Legal
Política de privacidad
En resumen
- Recogemos lo mínimo imprescindible y lo guardamos en la Unión Europea.
- Este sitio no usa cookies, estadísticas ni píxeles de seguimiento. Las fuentes se sirven desde nuestro propio servidor.
- Nunca vendemos tus datos ni los usamos para entrenar modelos de IA.
- Puedes ver, exportar o borrar tus datos en cualquier momento: privacy@kosmly.app.
1. Quiénes somos
El responsable del tratamiento es Kosmly Ltd, sociedad registrada en Inglaterra y Gales (n.º [number]), domicilio social [address], IVA [GB number] («Kosmly», «nosotros»). Contacto: privacy@kosmly.app. Delegado de protección de datos: [name and contact, if appointed].
Estamos inscritos en la Information Commissioner's Office (ICO) del Reino Unido con el número [ZA000000]. Como prestamos servicio a personas de la Unión Europea, nuestro representante en la UE conforme al artículo 27 del RGPD es [name, address in an EU country, email].
Tratamos los datos personales conforme al UK GDPR y la Data Protection Act 2018 y, para las personas de la UE y el EEE, conforme al RGPD (Reglamento 2016/679). En esta política, «RGPD» se refiere a ambos.
2. Qué cubre esta política
Esta política cubre kosmly.app, la lista de espera de Kosmly y las cuentas de los comerciantes que usan Kosmly. Cuando nuestros agentes tratan datos de los clientes de tu tienda, tú eres el responsable y nosotros actuamos como tu encargado del tratamiento. Ese tratamiento se rige por nuestro Acuerdo de tratamiento de datos, no por esta política.
Visitas desde asistentes de IA. Cuando un visitante llega a una tienda desde un asistente de IA (por ejemplo ChatGPT, Perplexity, Gemini, Copilot o Claude), el plugin o la app de Kosmly cuenta la visita: solo el día, el asistente y la página de llegada. No se instala ninguna cookie ni se guardan direcciones IP ni identificadores del visitante, así que el recuento no contiene datos personales. Los contadores se borran junto con la cuenta de la tienda.
IndexNow. Cuando una página cambia, el plugin de WordPress y el módulo de PrestaShop lo comunican a los buscadores mediante IndexNow (api.indexnow.org), enviando solo la dirección pública de la página. No se envía ningún dato personal.
Google Merchant Center (opcional). Si un comerciante conecta su cuenta de Google Merchant Center, Orion lee solo sus informes de precios: precios de mercado de productos, sin datos personales. La conexión es opcional y se puede retirar en cualquier momento.
Entrega de emails. Cuando un email que enviamos se rechaza de forma definitiva o se marca como spam, nuestro proveedor de email (Brevo) nos avisa y dejamos de escribir a esa dirección. Guardamos solo un hash (SHA-256) de la dirección y el motivo, no la dirección en sí. Son datos personales seudonimizados, conservados por nuestro interés legítimo en no enviar correo no deseado y en respetar las oposiciones; los guardamos incluso después de borrar una cuenta, porque de lo contrario podríamos volver a escribir a esa dirección.
3. Qué recogemos, por qué y durante cuánto tiempo
| Finalidad | Datos | Base jurídica (RGPD) | Conservación |
|---|---|---|---|
| Lista de espera y novedades del lanzamiento | Correo, fecha y prueba del doble opt-in | Consentimiento, art. 6(1)(a) | Hasta que te des de baja, o 12 meses después del lanzamiento público |
| Tu cuenta de Kosmly | Nombre, correo, URL de la tienda, plataforma, plan, ajustes | Contrato, art. 6(1)(b) | Mientras exista la cuenta, y 30 días más |
| Facturación y facturas | Datos de la empresa, número de IVA, facturas | Obligación legal, art. 6(1)(c) | 6 años, como exige la normativa fiscal británica (HMRC) |
| Correos de la cuenta (bienvenida, propuestas pendientes, avisos de plan y consumo, problemas técnicos) | Nombre, correo, idioma, URL de la tienda | Contrato, art. 6(1)(b) | Mientras exista la cuenta |
| Consejos para empezar (1, 3 y 7 días después del registro) | Nombre, correo, idioma | Interés legítimo, art. 6(1)(f); baja con un clic en cada correo | Hasta la baja o el cierre de la cuenta |
| Brand Scan de tu sitio | Páginas públicas del sitio (los datos de contacto se ocultan antes del análisis) | Contrato, art. 6(1)(b) | Mientras exista la cuenta |
| Solicitudes de soporte | Mensajes y archivos adjuntos que nos envías | Contrato o interés legítimo, art. 6(1)(b)/(f) | 24 meses desde el cierre de la solicitud |
| Seguridad del sitio y del servicio | Dirección IP, navegador, hora de la solicitud | Interés legítimo, art. 6(1)(f) | 30 días |
| Registros del servicio (sesiones de acceso, correos enviados, uso de la IA, historial de acciones) | Tokens de sesión y de enlace, dirección de correo y asunto, modelo, tokens y coste de cada llamada de IA (sin texto), quién hizo qué y cuándo | Contrato e interés legítimo, art. 6(1)(b)/(f) | Sesiones y enlaces caducados 1 día; correos 90 días; uso de la IA 90 días en detalle, después totales mensuales durante 13 meses; historial de acciones y registro de auditoría 24 meses |
4. Cookies
kosmly.app no instala cookies ni carga nada desde servidores de terceros, así que no necesitamos un banner de cookies. Si algún día añadimos estadísticas, usaremos una herramienta sin cookies alojada en la UE o pediremos antes tu consentimiento, y actualizaremos esta página.
5. Con quién compartimos los datos
Solo con los proveedores que nos ayudan a hacer funcionar Kosmly, con un acuerdo escrito de tratamiento de datos y solo para las finalidades indicadas:
- Brevo (Sendinblue SAS, Francia): lista de espera y correos de la cuenta.
- Scaleway SAS (París, Francia): alojamiento de la aplicación, base de datos y copias de seguridad.
- Amazon Web Services EMEA SARL (Fráncfort, Alemania), Google Cloud EMEA Limited (Vertex AI, regiones de la UE), Microsoft Ireland Operations Limited (Azure OpenAI, París), Mistral AI SAS (Francia) y Scaleway SAS (París): los modelos de IA con los que trabajan los agentes, dentro de la UE, sin entrenar con tus datos. Requesty Ltd enruta las llamadas hacia ellos desde su punto de acceso de Fráncfort.
- DataForSEO OU (Estonia): datos de búsqueda, solo recibe palabras clave y dominios. Cloudflare, Inc.: DNS y alojamiento de este sitio.
- Paddle.com Market Ltd (Reino Unido): nuestro revendedor para los pagos en línea. Paddle te vende la suscripción como merchant of record, gestiona los datos de pago y el IVA y actúa como responsable independiente según su propia política. Nunca vemos los datos completos de tu tarjeta.
- Los marketplaces de aplicaciones (Shopify, WordPress.org, PrestaShop Addons) cuando instalas o compras a través de ellos.
La lista completa y actualizada está en nuestra lista de subencargados. Nunca vendemos datos personales.
6. Dónde se guardan tus datos
Guardamos y tratamos los datos en la Unión Europea. Nuestra empresa tiene su sede en el Reino Unido, que la UE reconoce como país con un nivel de protección adecuado, y el Reino Unido reconoce a la UE del mismo modo, así que los datos pueden circular legalmente entre ambos. Si un proveedor accediera a los datos desde otro país, solo lo permitimos con una decisión de adecuación (como el EU-US Data Privacy Framework y su extensión británica), las Cláusulas Contractuales Tipo de la Comisión Europea o el International Data Transfer Agreement o Addendum británico, con una evaluación del riesgo de la transferencia.
7. Inteligencia artificial
No usamos tus datos personales ni los de tus clientes para entrenar modelos de IA, y nuestros proveedores de IA tienen prohibido hacerlo por contrato. Kosmly no toma decisiones sobre personas que produzcan efectos jurídicos o efectos similares significativos (art. 22 RGPD). Más información en nuestra declaración de transparencia sobre IA.
8. Tus derechos
Puedes pedirnos acceder a tus datos, rectificarlos, suprimirlos, limitar su tratamiento o exportarlos, oponerte al tratamiento basado en el interés legítimo y retirar tu consentimiento en cualquier momento (cada correo incluye un enlace para darte de baja con un clic). Escribe a privacy@kosmly.app. Respondemos en el plazo de un mes. También puedes reclamar ante la Information Commissioner's Office del Reino Unido (ico.org.uk) o, si estás en la UE, ante la autoridad de protección de datos de tu país (en España, la AEPD).
9. Seguridad
Cifrado en tránsito y en reposo, acceso solo para quien lo necesita con autenticación de dos factores, registros de acceso, copias de seguridad cifradas en dos lugares de la UE (Francia y Países Bajos) con una prueba de restauración cada mes, y un procedimiento probado para brechas de datos. Las copias se conservan como máximo 35 días: los datos que borras desaparecen de todas las copias en 35 días. Los detalles están en el Anexo II del DPA.
10. Cambios
Si cambiamos esta política de forma relevante, te avisaremos por correo antes de que el cambio se aplique. La fecha de arriba indica siempre la versión más reciente.