Política de Privacidad

Última actualización: abril de 2025

La presente Política de Privacidad describe cómo ClientDesk, operado por Xavier Puig (en adelante, «el Proveedor»), trata los datos personales en el marco de la prestación del servicio, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Esta política distingue dos contextos de tratamiento con roles jurídicos distintos, tal y como exige el RGPD:

• Tratamiento propio: datos de los usuarios que contratan y usan la Plataforma (clientes del Proveedor).
• Tratamiento por cuenta ajena: datos que los usuarios introducen en la Plataforma sobre sus propios clientes o terceros (el Proveedor actúa como Encargado).

PARTE A — Datos de los usuarios de ClientDesk

Esta sección aplica a los datos personales de las personas que crean y usan una cuenta en ClientDesk (titulares de la cuenta, administradores y empleados del negocio).

A.1 Responsable del tratamiento

• Identidad: Xavier Puig
• NIF: (pendiente de indicar)
• Domicilio: España
• Correo de contacto: hola@clientdesk.app

A.2 Datos que recopilamos

• Datos de cuenta: nombre completo, dirección de correo electrónico y contraseña (almacenada de forma cifrada mediante algoritmos seguros; el Proveedor no tiene acceso a la contraseña en texto plano).
• Datos del negocio: nombre del centro o empresa, sector de actividad y configuración de la cuenta.
• Datos de facturación: gestionados íntegramente por Paddle (Merchant of Record). ClientDesk no almacena datos de tarjeta bancaria ni información de pago sensible. Únicamente se registra el estado de la suscripción.
• Datos de uso: registros de acceso, funcionalidades utilizadas y datos técnicos (dirección IP, tipo de dispositivo y navegador) con fines de seguridad, resolución de incidencias y mejora del servicio.
• Comunicaciones: contenido de los mensajes enviados al Proveedor por correo electrónico u otros canales de soporte.

A.3 Finalidad y base jurídica del tratamiento

A.4 Conservación de los datos

Los datos se conservan mientras la cuenta esté activa. Una vez cancelada la cuenta o transcurridos 90 días desde la suspensión por impago, los datos se eliminan de forma definitiva, salvo que la normativa exija un periodo mayor (p. ej., datos con relevancia fiscal: 5 años; datos necesarios para la defensa ante posibles reclamaciones: hasta prescripción de la acción correspondiente).

A.5 Destinatarios y subencargados

El Proveedor utiliza los siguientes proveedores de servicios con acceso a datos, con los que mantiene los contratos de encargo de tratamiento exigidos por el art. 28 RGPD:

• Supabase Inc. — Infraestructura de base de datos. Datos almacenados en servidores de la Unión Europea. Garantías: cláusulas contractuales tipo de la UE.
• Vercel Inc. — Alojamiento de la aplicación web. Opera con garantías adecuadas conforme al RGPD.
• Paddle.com Market Limited — Procesamiento de pagos y Merchant of Record. Opera conforme al RGPD; puede implicar tratamiento en Reino Unido e Irlanda bajo garantías equivalentes.
• Resend Inc. — Envío de correos electrónicos transaccionales (confirmaciones, avisos del servicio, facturas).

No se ceden datos a terceros con fines publicitarios ni se venden datos en ningún caso.

A.6 Transferencias internacionales

Algunos de los proveedores indicados tienen su sede fuera del Espacio Económico Europeo (EEE). En todos los casos, las transferencias se realizan bajo las garantías adecuadas exigidas por el RGPD (cláusulas contractuales tipo adoptadas por la Comisión Europea, decisiones de adecuación u otros mecanismos equivalentes).

A.7 Derechos del usuario

El usuario puede ejercer en cualquier momento los siguientes derechos frente al Proveedor:

• Acceso: obtener confirmación de si se tratan datos suyos y, en su caso, acceder a ellos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): solicitar la eliminación de sus datos cuando ya no sean necesarios o retire el consentimiento.
• Oposición: oponerse al tratamiento basado en interés legítimo.
• Portabilidad: recibir sus datos en formato estructurado, de uso común y lectura mecánica.
• Limitación del tratamiento: solicitar la restricción del tratamiento en los supuestos previstos por el RGPD.
• Retirada del consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Para ejercer estos derechos, envíe una solicitud a hola@clientdesk.appindicando el derecho que desea ejercer y aportando copia de su documento de identidad. El Proveedor responderá en el plazo máximo de un mes, prorrogable por dos meses adicionales en casos complejos.

Tiene también derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.

A.8 Cookies y tecnologías similares

ClientDesk utiliza exclusivamente cookies técnicas estrictamente necesariaspara el funcionamiento del servicio, en particular para la gestión de sesión de usuario. No se utilizan cookies de seguimiento, analítica de terceros, perfilado publicitario ni redes sociales. Al ser cookies estrictamente necesarias, no requieren consentimiento conforme a la LSSI y la guía de la AEPD.

PARTE B — Datos introducidos por los usuarios en la Plataforma

Esta sección se refiere a los datos personales de terceros (p. ej., clientes finales, empleados del negocio) que los usuarios introducen en ClientDesk para gestionar su actividad.

B.1 Roles en el tratamiento

Respecto a estos datos, los roles son los siguientes:

• Responsable del tratamiento: el usuario (empresa o profesional que contrata ClientDesk). Es quien determina los fines y medios del tratamiento y quien tiene la obligación legal de cumplir con el RGPD y la LOPDGDD respecto a dichos datos.
• Encargado del tratamiento: el Proveedor (ClientDesk / Xavier Puig). Trata los datos exclusivamente siguiendo las instrucciones del Responsable, en el marco de la prestación del servicio, conforme al artículo 28 del RGPD.

B.2 Obligaciones del Responsable (usuario)

Al usar la Plataforma para gestionar datos de terceros, el usuario declara y garantiza que:

• Dispone de base jurídica suficiente (consentimiento informado, relación contractual, interés legítimo u otra prevista en el RGPD) para tratar cada categoría de datos que introduce en la Plataforma.
• Ha cumplido con el deber de información hacia los titulares de los datos (art. 13 y 14 RGPD), informándoles de cómo se tratan sus datos.
• No introducirá en la Plataforma categorías especiales de datos(datos de salud, ideología política, religión, origen étnico, orientación sexual, datos biométricos, etc.) sin haber adoptado las medidas reforzadas que exige el artículo 9 del RGPD.
• Atenderá los derechos de los titulares (acceso, rectificación, supresión, oposición, portabilidad, limitación) de manera directa, siendo el único responsable de gestionarlos.
• Notificará al Proveedor cualquier solicitud de un titular relativa a datos alojados en la Plataforma, para facilitar la colaboración necesaria.

B.3 Compromisos del Encargado (Proveedor)

El Proveedor, en su condición de Encargado del tratamiento, se compromete a:

• Tratar los datos únicamente conforme a las instrucciones del Responsable y no para fines propios.
• Garantizar la confidencialidad de los datos y que el personal con acceso esté sujeto a obligación de sigilo.
• Aplicar medidas técnicas y organizativas adecuadas al riesgo para garantizar la seguridad de los datos (cifrado en tránsito y en reposo, control de accesos, copias de seguridad, etc.).
• No contratar subencargados sin informar previamente al Responsable (los subencargados actuales se listan en la Parte A, sección A.5).
• Notificar al Responsable, sin dilación indebida, cualquier violación de seguridad que afecte a sus datos (art. 33 RGPD).
• Asistir al Responsable, en la medida de lo posible, en el cumplimiento de sus obligaciones frente a los titulares de los datos y ante las autoridades de control.
• A elección del Responsable, suprimir o devolver todos los datos personales una vez finalizada la prestación del servicio, y suprimir las copias existentes salvo obligación legal de conservación.
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones como Encargado.

B.4 Exclusión de responsabilidad del Proveedor

El Proveedor no asume responsabilidad alguna derivada del tratamiento de datos realizado por el usuario (Responsable), incluyendo sin limitación:

• La falta de base jurídica para el tratamiento de los datos introducidos.
• El incumplimiento del deber de información a los titulares de los datos.
• La introducción de categorías especiales de datos sin las garantías requeridas.
• Las sanciones, multas o reclamaciones derivadas de la actuación del usuario como Responsable del tratamiento.
• Reclamaciones de terceros titulares de los datos frente al usuario.

Seguridad de los datos

ClientDesk aplica medidas técnicas y organizativas para proteger los datos frente a accesos no autorizados, pérdida, destrucción o alteración, que incluyen:

• Cifrado de las comunicaciones mediante TLS/HTTPS.
• Cifrado de datos en reposo en la base de datos.
• Control de acceso basado en roles (RBAC) y aislamiento estricto entre cuentas (multi-tenant).
• Autenticación segura gestionada por Supabase Auth.
• Copias de seguridad periódicas.
• Acceso a datos de producción restringido al personal mínimo necesario.

Modificaciones de esta política

El Proveedor se reserva el derecho de actualizar esta Política de Privacidad para adaptarla a cambios normativos o del servicio. Los cambios relevantes se notificarán por correo electrónico y/o mediante aviso en la Plataforma con al menos 15 días de antelación. El uso continuado del servicio tras dicho plazo implica la aceptación de la política actualizada.

Contacto y delegado de protección de datos

Para cualquier consulta, ejercicio de derechos o comunicación en materia de protección de datos, puede contactar con el Proveedor en:

hola@clientdesk.app
Xavier Puig — España

Tiene derecho a presentar una reclamación ante la autoridad de control competente: Agencia Española de Protección de Datos (AEPD) — www.aepd.es.