Consentl para sitios web — política de privacidad

Versión 1.0 · En vigor desde: 2026-10-23

Esta es una traducción. Para los clientes empresariales, prevalece la versión en inglés. Para los consumidores con residencia habitual en un país en el que el español es lengua oficial, la presente versión es igualmente auténtica que la versión en inglés; si ambas versiones difieren, se aplica el sentido más favorable para el consumidor. Para los demás consumidores, prevalece la versión en inglés, salvo que la normativa imperativa de protección de los consumidores de su país disponga otra cosa.

Esta política explica cómo se tratan los datos personales en relación con Consentl para sitios web: el panel de control de Consentl en app.consentl.com, el servicio de Consentl en api.consentl.com, que muestra el banner de consentimiento y recibe registros de consentimiento, solicitudes sobre datos personales y desistimientos en los sitios web de nuestros clientes, los plugins y plantillas que publicamos para plataformas de sitios web (fragmento de código para sitios web, Google Tag Manager, WordPress y WooCommerce, Shopware, PrestaShop, Magento) y los paquetes de documentos legales que se venden desde el generador de documentos legales en consentl.com. Se aplica a nuestros clientes y a los miembros de sus equipos, a las personas que compran un paquete de documentos legales, a las personas que se ponen en contacto con nosotros y, en la medida en que tratamos sus datos por cuenta de un cliente, a los visitantes de los sitios web que utilizan Consentl.

No abarca la aplicación Consentl para Shopify, que tiene su propia política de privacidad, ni las visitas a consentl.com, que se describen en nuestro aviso de privacidad del sitio web.

1. Quiénes somos

Proveedor y responsable del tratamiento: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Rumanía; n.º de inscripción en el Registro Mercantil J2020001305120; código de identificación fiscal (CUI) 42512332; no registrada a efectos del IVA (código de IVA intracomunitario RO46686340).
Contacto de privacidad: [email protected].
Delegado de protección de datos: no se ha designado ninguno. La protección de datos la gestiona directamente STL EMBEDED CREATIONS SRL; para cualquier cuestión de privacidad, escriba a la dirección anterior.
Estamos establecidos en la UE, por lo que no tenemos representante conforme al art. 27 del RGPD. Nuestra autoridad de control competente es la ANSPDCP rumana (sección 9).

2. Nuestras funciones

Responsable del tratamiento. Decidimos cómo se tratan los datos de nuestros clientes (las personas y empresas que abren una cuenta de Consentl), de los miembros de sus equipos, de los compradores de un paquete de documentos legales y de las personas que se ponen en contacto con nosotros: cuenta e inicio de sesión, seguridad, facturación, compra de paquetes de documentos legales, correos electrónicos del servicio y soporte (sección 3).
Encargado del tratamiento. Cuando el servicio de Consentl registra el consentimiento, recibe solicitudes sobre datos personales o de desistimiento, envía correos electrónicos a los visitantes de un sitio web o escanea un sitio web en busca de cookies, actuamos por cuenta del propietario del sitio web (nuestro cliente), que es el responsable del tratamiento (sección 4). Este tratamiento se rige por nuestro Acuerdo de encargo del tratamiento (Apéndice 2). Si usted es visitante de un sitio web que utiliza Consentl, diríjase a ese sitio web para ejercer sus derechos; nosotros ayudamos al propietario del sitio web a responder. Conforme a la California Consumer Privacy Act, somos el proveedor de servicios (service provider) del propietario del sitio web y, conforme a otras leyes estatales de EE. UU., su encargado del tratamiento (processor).
En consentl.com utilizamos nosotros mismos Consentl; respecto de los registros de consentimiento de nuestro propio sitio web, somos el responsable del tratamiento (aviso de privacidad del sitio web).

3. Datos que tratamos como responsable del tratamiento

Finalidad	Datos	Origen	Base jurídica	Conservación
Cuenta, inicio de sesión y equipo	Dirección de correo electrónico, nombre, contraseña (almacenada únicamente como hash scrypt), idioma del panel de control, fecha de verificación del correo electrónico; nombre de la cuenta (en el caso de una empresa: su nombre); si usted actúa como empresa o como consumidor; rol en la cuenta (propietario, administrador, miembro); la dirección para notificaciones que indique para las notificaciones sobre protección de datos y la fecha de su confirmación; si la cuenta y cada sitio utilizaron una prueba gratuita; una solicitud de eliminación de la cuenta y su fecha	Usted, en el registro y en el panel de control	Contrato, art. 6.1.b) del RGPD	Hasta que se elimine la cuenta (sección 8). Si la dirección de correo electrónico de un registro nunca se confirma, el usuario, la cuenta que pertenezca únicamente a ese usuario (si no tiene ningún sitio ni ninguna suscripción) y sus registros de aceptación se suprimen automáticamente 30 días después del registro. Las cuentas confirmadas que ya no se utilizan no se suprimen automáticamente (sus banners pueden seguir funcionando).
Sesiones y seguridad	Sesión (un hash del token de sesión, agente de usuario [user agent] del navegador, dirección IP abreviada a su parte de red, momentos de creación, de último uso y de última confirmación de la contraseña, caducidad); tokens de un solo uso para la verificación del correo electrónico y el restablecimiento de la contraseña (almacenados únicamente como hashes); una cookie de dispositivo firmada que permite que un navegador que ya inició sesión mantenga su propio límite de inicios de sesión; límites de frecuencia de inicios de sesión por dirección IP (solo en memoria)	Su navegador	Contrato, art. 6.1.b); nuestro interés legítimo en proteger las cuentas frente a ataques, art. 6.1.f)	Sesiones: 30 días, o 7 días sin uso, y después se suprimen; tokens: 3 días (verificación) o 1 hora (restablecimiento), suprimidos un día después de su caducidad; entradas de limitación de frecuencia: solo en memoria, no se escriben en la base de datos
Configuración del sitio	Nombre del sitio, nombres de host, plataforma, configuración del banner y de las regiones, idiomas, zona horaria, la dirección de correo electrónico de contacto del sitio y la fecha de su confirmación; las respuestas y las versiones publicadas de los documentos que usted crea con el generador de documentos legales (plan Business), que pueden incluir nombres y datos de contacto que usted introduzca; en Enterprise, credenciales de autenticación básica HTTP para escanear un sitio protegido (cifradas con AES-256-GCM)	Usted	Contrato, art. 6.1.b)	Hasta que usted elimine el documento, el sitio o la cuenta
Facturación	Identificadores de cliente y de suscripción de Stripe, plan, estado, intervalo de facturación, inicio de la suscripción, final del período en curso, cancelación al final del período, si usted actúa como empresa o como consumidor; en Stripe: nombre, dirección de correo electrónico, datos del medio de pago, dirección de facturación y, si la facilita, su identificación fiscal	Usted, a través de Stripe Checkout y del portal de clientes de Stripe	Contrato, art. 6.1.b); nuestras obligaciones legales en materia contable y fiscal, art. 6.1.c)	Mientras tenga una suscripción; las facturas y los registros contables, durante el plazo que exija la normativa contable rumana, hasta 10 años (art. 25 de la Ley 82/1991). Pendiente de confirmar: nuestro asesor de contabilidad está confirmando el plazo exacto.
Compra de un paquete de documentos legales	Pedido: las respuestas que usted da en el cuestionario del generador de documentos legales en consentl.com, que describen su empresa y pueden contener datos personales suyos y de las personas que indique (por ejemplo, una persona de contacto, un delegado de protección de datos o un representante: nombres, direcciones de correo electrónico y postales, números de teléfono); los tipos de documento del paquete; el token del pedido (almacenado únicamente como hash), su estado y sus fechas; si compra como empresa o como consumidor, y el nombre de la empresa; las declaraciones que marca en la página de pedido (qué declaración, su versión, un hash del texto exacto, el idioma y la hora; sin dirección IP); direcciones IP conservadas en memoria para limitar el número de pedidos por dirección. Pago: en Stripe, su dirección de correo electrónico, nombre, dirección de facturación, datos del medio de pago y, si lo facilita, su número de IVA; en nuestros sistemas, los identificadores de cliente, de pago y de factura de Stripe, el enlace a la factura o al recibo, el importe, la moneda y la fecha del pago. Paquete: los documentos generados (que contienen sus respuestas), el final del período de actualización de 12 meses, el número de regeneraciones y la fecha de envío del correo electrónico de confirmación. El paquete se añade a la cuenta de la dirección de correo electrónico que usted introduce en Stripe; si no existe, creamos una (véase «Cuenta» más arriba)	Usted, en consentl.com y en nuestra página de pedido; Stripe	Contrato, art. 6.1.b) del RGPD: el pedido (medidas precontractuales), el suministro del paquete, sus actualizaciones y su regeneración, y la cuenta en la que usted lo recibe; obligación legal, art. 6.1.c): facturas y contabilidad; nuestros intereses legítimos, art. 6.1.f): acreditar las declaraciones aceptadas en la página de pedido y proteger el formulario de pedido frente a usos indebidos	Los pedidos no pagados y sus respuestas se suprimen 1 hora después de que caduque el pedido: los pedidos caducan 24 horas después de su creación o, mientras se esté confirmando un medio de pago que se confirma más tarde, 14 días después de iniciado el pago. Pedidos pagados: el registro del pedido (sin las respuestas, que pasan al paquete) se suprime 7 días después del pago. Las respuestas de un paquete se conservan para que usted pueda volver a generar los documentos: durante el período de actualización de 12 meses y, después, solo mientras la cuenta tenga un sitio web en un plan que incluya el generador de documentos legales (Business o Enterprise); a continuación se suprimen automáticamente (se comprueba cada 6 horas). El paquete y sus documentos se conservan hasta que se elimine la cuenta (sección 8); una cuenta creada para una compra no se suprime a los 30 días si nunca se activa (a diferencia de un registro no confirmado), porque contiene un contrato ya ejecutado: pídanos que la suprimamos si así lo desea. Registros de aceptación: como en la fila siguiente. Facturas y registros de pago: como en «Facturación» más arriba. Entradas de limitación de frecuencia: solo en memoria, no se escriben en la base de datos ni en los registros
Registros de aceptación y desistimientos de consumidores	Qué versión de nuestras Condiciones, de nuestra política de privacidad y de nuestro Acuerdo de encargo del tratamiento y qué declaración de aceptación expresa aceptó usted, en qué idioma y cuándo (un hash del texto exacto mostrado; sin dirección IP); su solicitud expresa de que el servicio comience durante el plazo de desistimiento; si usted es consumidor y desiste de una suscripción de pago: la suscripción, el plan, la fecha del contrato, el momento del desistimiento y el reembolso	Usted, en el registro, en el proceso de pago y en la función de desistimiento	Contrato, art. 6.1.b); obligación legal, art. 6.1.c); nuestro interés legítimo en acreditar el contrato, art. 6.1.f)	Durante la vigencia del contrato y 3 años después de la eliminación de la cuenta (plazo general de prescripción, art. 2517 del Código Civil rumano); después se suprimen automáticamente. Cuando se elimina la cuenta, estos registros se conservan con la referencia de la cuenta y la dirección de correo electrónico de la persona que aceptó o desistió, y nada más de la cuenta. Los registros de un registro de usuario cuya dirección de correo electrónico nunca se confirmó se suprimen con él a los 30 días (véase «Cuenta» más arriba)
Correos electrónicos del servicio	Su dirección de correo electrónico, el nombre del sitio y el contenido del mensaje: correos electrónicos de la cuenta (verificación, restablecimiento de la contraseña, aviso de que alguien ha intentado registrar su dirección), confirmación de una dirección para notificaciones o de una dirección de contacto del sitio, nueva solicitud sobre datos personales, nuevo desistimiento, informe de escaneo, confirmación de una suscripción de pago, acuse de recibo de un desistimiento de una suscripción, confirmación de la compra de un paquete de documentos legales (con el enlace de descarga, el enlace a la factura y las condiciones de compra), eliminación de la cuenta (programada, cancelada, realizada), avisos de cambios en nuestras condiciones o en los subencargados del tratamiento	Los datos de la cuenta y del sitio indicados más arriba	Contrato, art. 6.1.b)	No los conservamos tras el envío; Brevo conserva registros de entrega (sección 6)
Soporte	Nombre, dirección de correo electrónico y contenido de los mensajes que nos envía	Usted	Contrato, art. 6.1.b), o nuestro interés legítimo en responder a las consultas, art. 6.1.f)	3 años desde el cierre de la consulta: revisamos los buzones una vez al año y suprimimos la correspondencia cerrada hace más de 3 años, salvo que se necesite un plazo mayor para la formulación o la defensa de reclamaciones
Obligaciones legales y reclamaciones	Los datos necesarios para la solicitud o la reclamación	Las categorías anteriores	Obligación legal, art. 6.1.c); nuestro interés legítimo en la formulación, el ejercicio o la defensa de reclamaciones, art. 6.1.f)	Mientras lo exija la obligación o el plazo de prescripción (por lo general, 3 años)
Funcionamiento del servicio y seguridad de la API pública	Registro de accesos del panel de control y de la API (método, ruta sin cadena de consulta, estado, duración; sin dirección IP); metadatos de las peticiones tratados por nuestro proveedor de alojamiento, incluidas las direcciones IP; direcciones IP conservadas en memoria para la limitación de la frecuencia de peticiones	Peticiones a nuestros servidores	Nuestro interés legítimo en un servicio seguro y disponible, art. 6.1.f)	No almacenamos ni exportamos registros de peticiones. El registro de accesos solo se escribe en la salida de la aplicación en ejecución; nuestro proveedor de alojamiento conserva esa salida (registros de ejecución) solo mientras la aplicación se ejecuta y la borra cuando desplegamos una nueva versión. Los registros de compilación y de despliegue, que no contienen datos de visitantes ni de clientes, los conserva DigitalOcean durante 90 días. Los datos de las peticiones en la red perimetral (edge) (Cloudflare, contratada por DigitalOcean) los conserva el proveedor conforme a sus propias condiciones. Pendiente de confirmar: DigitalOcean está confirmando el plazo de conservación de la red perimetral. Entradas de limitación de frecuencia: solo en memoria, nunca se escriben en la base de datos ni en los registros; pueden permanecer en memoria tras la ventana de limitación hasta que se limpie la tabla o se reinicie el servidor
Administración interna y estadísticas	Direcciones de correo electrónico y nombres de las cuentas y de los usuarios, roles, última actividad, sitios con sus nombres de host, plataforma, plan y estado de la suscripción, recuentos agregados (visualizaciones del banner, decisiones, escaneos, solicitudes); para el acceso propio de los operadores: un registro de auditoría con la cuenta del operador, la página consultada, una dirección IP abreviada y el agente de usuario	Los datos anteriores	Nuestro interés legítimo en gestionar, mantener y planificar el servicio, art. 6.1.f)	Se muestran en directo a partir de los datos anteriores, sin copiarlos; entradas del registro de auditoría: se suprimen automáticamente a los 2 años
Comprobación del estado del plugin	Clave del sitio, nombre de host del sitio, idioma	El plugin de su sitio web	Contrato, art. 6.1.b)	No se almacenan
Actualizaciones del plugin (plugin de WordPress desde consentl.com)	La dirección IP de su servidor y la versión del plugin (en el agente de usuario) cuando su WordPress consulta a consentl.com si hay una nueva versión, unas dos veces al día; sin clave del sitio, dirección del sitio ni datos de visitantes	Su servidor web	Nuestro interés legítimo en proporcionar actualizaciones que usted pueda instalar, art. 6.1.f)	Solo en los datos de las peticiones del proveedor de alojamiento de nuestro sitio web (véase el aviso de privacidad del sitio web)

Intereses legítimos. Cuando nos basamos en el art. 6.1.f), nuestros intereses consisten en mantener la seguridad y la disponibilidad de las cuentas y del servicio, prevenir el uso indebido de los formularios y puntos de acceso públicos, responder a las consultas y acreditar el contrato. Puede oponerse en cualquier momento (sección 9).

¿Es obligatorio facilitar los datos? Para abrir una cuenta se necesitan una dirección de correo electrónico y una contraseña, y para comprar un plan de pago, los datos de facturación. Para comprar un paquete de documentos legales se necesitan las respuestas que requieren sus documentos, una dirección de correo electrónico y los datos de pago. Sin ellos no podemos prestar el servicio. Ponerse en contacto con el soporte es voluntario.

Cookies del panel de control. El panel de control solo utiliza cookies estrictamente necesarias: __Host-consentl_s (sesión iniciada, 30 días), __Host-consentl_csrf (protección frente a la falsificación de peticiones en sitios cruzados, 1 año), __Host-consentl_d (cookie de dispositivo para el límite de inicios de sesión, 1 año) y __Host-consentl_lang (el idioma que usted elija en el selector de idioma de las páginas de inicio de sesión, de registro o de pago, hasta que cierre el navegador; solo se instala cuando elige un idioma). No utiliza herramientas analíticas ni publicitarias. Stripe Checkout y el portal de clientes son páginas de Stripe, que instala allí sus propias cookies conforme a su propia política.

No utilizamos los datos de su cuenta con fines publicitarios, no los vendemos y no los ponemos a disposición de terceros para sus propios fines.

4. Datos que tratamos por cuenta de los propietarios de sitios web

El propietario del sitio web decide si se utilizan estas funciones y cómo, y es responsable de informar a sus visitantes (por ejemplo, en su propia política de privacidad y de cookies). La base jurídica es la del propietario del sitio web; solo tratamos los datos siguiendo sus instrucciones documentadas. Todos los detalles figuran en el Anexo I-B del Acuerdo de encargo del tratamiento.

Categoría	Datos	Conservación
Registros de consentimiento (prueba del consentimiento)	Identificador de consentimiento seudonimizado (un valor aleatorio que también se almacena en la cookie `consentl` del visitante, de modo que un registro puede vincularse a ese navegador), fecha y hora, acción (aceptar todo, rechazar todo, personalizado, cerrar, señal de exclusión, implícito), opciones por categoría, código de región, país (solo cuando lo facilita un proveedor de red situado delante de nuestros servidores; no es el caso con nuestro alojamiento actual), idioma, revisión de la configuración del banner, nombre de host del sitio web, ruta de la página (sin cadena de consulta), dirección IP abreviada a su parte de red (IPv4 /24, IPv6 /48), agente de usuario del navegador, señal Global Privacy Control	Se suprimen automáticamente cuando superan el plazo de conservación del sitio: el plazo del plan (Free y Pro, 425 días; Business, 730 días; Enterprise, 1.825 días), pero nunca menos que la duración del consentimiento establecida por el propietario del sitio web más 30 días. Tras un cambio a un plan con un plazo más corto, el plazo anterior se aplica durante 30 días más. Todos los registros se suprimen cuando se elimina el sitio
Consulta de la región	Para aplicar las reglas de la región del visitante, el script consulta a nuestro servicio el país del visitante. El servicio busca la dirección IP en una copia local de la base de datos de países DB-IP Lite, en memoria; no se envía nada a ningún otro proveedor. La respuesta es el código del país (no se distingue entre los estados de EE. UU.)	No se almacena ni se registra; la región que aplicó el banner forma parte del registro de consentimiento anterior y se conserva en el navegador del visitante durante la sesión (`consentl_r`, sección 5)
Visualizaciones del banner y estadísticas	Contadores por sitio y por día (visualizaciones y decisiones, variante A/B). No se envía nada antes de que el visitante decida; una visualización se contabiliza junto con la primera decisión del visitante tras mostrarse el banner, sin ningún identificador	2 años, y después se suprimen automáticamente; todos los contadores se suprimen cuando se elimina el sitio
Solicitudes sobre datos personales (acceso, copia, rectificación, supresión, exclusión de la venta o del intercambio)	Tipo de solicitud, dirección de correo electrónico, nombre y mensaje opcionales, idioma, región y ley aplicable, estado, plazo, hash del token de verificación del correo electrónico, fechas, notas del propietario del sitio web	Solicitudes cuya dirección de correo electrónico nunca se confirmó: se suprimen 30 días después de su envío. Todas las demás solicitudes, cualquiera que sea su estado: se suprimen automáticamente 3 años después de su última modificación, o cuando se elimina el sitio; suprimimos solicitudes concretas antes si así lo indica por escrito el propietario del sitio web
Solicitudes de desistimiento de la UE (Directiva (UE) 2023/2673)	Referencia del pedido, dirección de correo electrónico, nombre, artículos afectados, idioma, estado, momento del correo electrónico de acuse de recibo, notas del propietario del sitio web	Se suprimen automáticamente 3 años después de su última modificación, o cuando se elimina el sitio
Correos electrónicos a los visitantes	Dirección de correo electrónico y contenido de los correos electrónicos de verificación, confirmación y acuse de recibo, enviados a través de Brevo. Las respuestas se dirigen a la dirección de contacto confirmada del sitio web, si existe; en caso contrario, a nuestro buzón (sección 6)	No los conservamos tras el envío; registros de entrega en Brevo
Escaneos de cookies	Nombres, dominios, categorías y duraciones de las cookies y de los elementos de almacenamiento, hosts de terceros y etiquetas insertadas directamente, observados cuando nuestro escáner visita el sitio web como visitante anónimo desde Fráncfort (UE)	El último escaneo de un sitio se conserva hasta que se elimina el sitio; los escaneos anteriores se suprimen automáticamente 400 días después de su realización; las entradas de cookies, hasta que el propietario del sitio web las elimine o se elimine el sitio

No utilizamos los datos de los visitantes para nuestros propios fines, no los combinamos entre sitios web y no los vendemos ni los compartimos.

5. Qué almacena el script de Consentl en los dispositivos de los visitantes

En un sitio web que utiliza Consentl, el script almacena unos pocos elementos en el navegador del visitante. Deben figurar en la declaración de cookies del sitio web; la base de datos de cookies integrada los enumera.

Nombre	Tipo	Finalidad	Duración
`consentl`	cookie	Almacena las opciones sobre cookies del visitante y el identificador de consentimiento	la que establezca el propietario del sitio web (por defecto, 180 días; como máximo, 395)
`consentl_r`	almacenamiento de sesión	Recuerda la región para el banner de consentimiento durante la visita	sesión del navegador
`consentl_ab`	almacenamiento de sesión	Mantiene al visitante en la misma variante del banner en las páginas siguientes de la visita mientras el propietario del sitio web realiza una prueba A/B del banner (solo cuando hay una prueba en curso; solo se escribe tras la elección del visitante)	sesión del navegador
`consentl_age`	cookie	Recuerda que el visitante confirmó su edad (solo si el sitio web utiliza la verificación de edad)	la que establezca el propietario del sitio web (por defecto, 30 días)
`consentl_a11y`	almacenamiento local	Recuerda la configuración de visualización que el visitante eligió en el menú de accesibilidad (solo si se utiliza)	hasta que el visitante la restablezca
`__cf_bm`	cookie de `api.consentl.com`, instalada por la red de nuestro proveedor de alojamiento (Cloudflare, contratada por DigitalOcean)	Distingue a las personas del tráfico automatizado para proteger el servicio; nosotros no la leemos ni la utilizamos	30 minutos

El script también envía peticiones a api.consentl.com: carga el banner, consulta el país del visitante (sección 4, «Consulta de la región»), no envía nada más antes de que el visitante haga su elección, después envía el registro de consentimiento (junto con él, sin ningún identificador, una indicación de que se mostró el banner) y carga la lista de cookies cuando el visitante la abre. Nuestro análisis de lo que ocurre antes del consentimiento está a disposición de los propietarios de sitios web previa solicitud.

6. Destinatarios y subencargados del tratamiento

Recurrimos a los siguientes proveedores de servicios. La lista actual, con las garantías para las transferencias y el registro de cambios, figura en nuestra lista de subencargados del tratamiento; a los propietarios de sitios web se les avisa por correo electrónico 30 días antes de que se añada un nuevo subencargado del tratamiento.

Destinatario	Función	Finalidad	Ubicación
DigitalOcean, LLC (Nueva York, EE. UU.)	Encargado del tratamiento	Alojamiento, bases de datos y copias de seguridad, escáner, registros	Fráncfort (Alemania); acceso remoto desde terceros países conforme a su DPA
Cloudflare, Inc. (EE. UU.), contratada por DigitalOcean	Encargado del tratamiento (subencargado de DigitalOcean)	Terminación TLS, distribución de contenidos y protección frente a DDoS y bots para las peticiones a nuestros servidores (incluida la cookie `__cf_bm`, sección 5)	Red perimetral (edge) mundial
Brevo SAS (París, Francia)	Encargado del tratamiento	Envío de correos electrónicos	Unión Europea
Proton AG (Ginebra, Suiza)	Encargado del tratamiento	Alojamiento del correo electrónico de nuestros buzones [email protected] y [email protected]: correspondencia de soporte y de privacidad, respuestas a nuestros correos electrónicos y solicitudes que los propietarios de sitios web nos reenvían	Suiza
Stripe Payments Europe, Limited (Dublín, Irlanda)	Encargado del tratamiento para el procesamiento de pagos por cuenta nuestra, y responsable del tratamiento independiente para la prevención del fraude y sus obligaciones legales	Pagos de suscripciones y de paquetes de documentos legales, facturas, reembolsos, correos electrónicos de la página de pago y del portal de facturación	UE; Stripe puede transferir datos a Stripe, Inc. (EE. UU.) con sus propias garantías
El propietario del sitio web	Responsable del tratamiento	Recibe los registros de consentimiento, las solicitudes y los desistimientos de sus visitantes (sección 4)	—
Autoridades	Responsables del tratamiento independientes	Cuando estemos legalmente obligados a comunicar datos (por ejemplo, a las autoridades tributarias en relación con las facturas)	—

7. Transferencias internacionales

Nuestros servidores y bases de datos se encuentran en la UE (Fráncfort). Algunos proveedores son empresas estadounidenses, y las peticiones pasan por la ubicación perimetral (edge) más cercana al visitante, que puede estar fuera de la UE. Cuando se transfieren datos personales a un país sin decisión de adecuación, o cuando pueden ser objeto de acceso desde él, la transferencia está amparada por las cláusulas contractuales tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión) incluidas en el acuerdo de encargo del tratamiento del proveedor y, cuando el destinatario está certificado, también por el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) (Decisión de Ejecución (UE) 2023/1795 de la Comisión). Para el Reino Unido se aplica la Adenda del Reino Unido (UK Addendum) o la extensión al Reino Unido del Data Privacy Framework; para Suiza, el Swiss-US Data Privacy Framework o las cláusulas contractuales tipo con las adaptaciones reconocidas por el FDPIC suizo. Suiza (Proton) cuenta con una decisión de adecuación de la UE. Puede solicitarnos una copia de las garantías.

8. Conservación y supresión

Los plazos de conservación figuran en las secciones 3 y 4.

La eliminación de un sitio suprime de inmediato su configuración, sus registros de consentimiento, sus estadísticas, sus solicitudes sobre datos personales, sus desistimientos, su lista de cookies, sus escaneos y los documentos generados. Exporte antes lo que necesite (el registro de consentimientos puede exportarse en formato CSV).
La finalización de un plan de pago hace que el sitio pase al plan Free; sus datos siguen disponibles.
Descarga de sus datos: «Descargar mis datos (JSON)» en la página «Cuenta» le proporciona un archivo JSON con los datos de su usuario y de su cuenta, los registros de aceptación, los desistimientos de suscripciones, los paquetes de documentos legales con sus respuestas y cada sitio con su configuración, su lista de cookies, sus solicitudes sobre datos personales, sus desistimientos y su registro de consentimientos (nunca contraseñas, tokens ni credenciales de escaneo).
Eliminación de su cuenta: el propietario de la cuenta puede eliminarla en la página «Cuenta», tras cancelar los planes de pago, o solicitárnoslo en [email protected]. La cuenta sigue disponible durante 30 días (para exportar datos o cancelar la eliminación; los banners siguen funcionando); después suprimimos la cuenta, todos sus sitios con sus datos, sus paquetes de documentos legales con sus documentos y respuestas, y los usuarios que no pertenezcan a ninguna otra cuenta. Los registros de aceptación y los desistimientos de suscripciones se conservan durante 3 años más (sección 3). Las facturas y los registros de pago permanecen en Stripe conforme exija la normativa contable.
Los datos suprimidos desaparecen de las copias de seguridad de la base de datos en un plazo de 7 días (el plazo de conservación de las copias de seguridad de nuestra base de datos gestionada). Los registros de ejecución se borran en el siguiente despliegue (sección 3).
Los registros de facturación que la normativa contable nos obliga a conservar se conservan durante ese plazo (sección 3).

9. Sus derechos

Conforme al RGPD y al UK GDPR, usted tiene derecho a:

acceder a sus datos personales y obtener una copia (art. 15);
obtener la rectificación de los datos inexactos (art. 16); puede rectificar la mayoría de los datos de la cuenta en el panel de control;
obtener la supresión de sus datos (art. 17);
obtener la limitación del tratamiento (art. 18);
recibir los datos que nos haya facilitado sobre la base de un contrato en un formato de lectura mecánica y que se transmitan a otro responsable del tratamiento (art. 20); «Descargar mis datos (JSON)» en la página «Cuenta» lo hace para su cuenta;
oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en nuestros intereses legítimos (art. 21);
presentar una reclamación ante una autoridad de control, en particular en el país de la UE en el que tenga su residencia habitual o su lugar de trabajo o en el que se haya producido la supuesta infracción (art. 77). Nuestra autoridad competente es la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, 010336 București, Rumanía — www.dataprotection.ro (sitio externo).

El panel de control no se basa en el consentimiento, por lo que allí no hay ningún consentimiento que retirar.

Para ejercer sus derechos, escriba a [email protected] desde la dirección de su cuenta. Respondemos en el plazo de un mes; este plazo puede prorrogarse otros dos meses en el caso de solicitudes complejas, en cuyo caso le explicaremos el motivo. Los residentes en otras jurisdicciones (por ejemplo, estados de EE. UU., Brasil o Canadá) pueden utilizar la misma dirección para ejercer los derechos que les reconocen sus leyes.

Los visitantes de un sitio web que utiliza Consentl deben dirigirse en primer lugar a ese sitio web (sección 2). Si nos escribe a nosotros, reenviamos su solicitud al propietario del sitio web y le ayudamos a responder.

10. Decisiones automatizadas

No adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o efectos igualmente significativos (art. 22 del RGPD). Stripe analiza los pagos para detectar fraudes y puede rechazar un pago; consulte la política de privacidad de Stripe. Si se rechaza un pago, puede pedirnos a nosotros o a Stripe una revisión por parte de una persona.

11. Menores

El panel de control está destinado a adultos y no está dirigido a menores; no abrimos a sabiendas cuentas para menores de 18 años. Entre los visitantes de los sitios web de nuestros clientes puede haber menores; el propietario del sitio web decide cómo tratarlos (por ejemplo, con una verificación de edad).

12. Para los propietarios de sitios web sujetos a las leyes estatales de privacidad de EE. UU.

Como su proveedor de servicios (CCPA) o encargado del tratamiento (otras leyes estatales de EE. UU.), Consentl recopila para usted: identificadores (identificador de consentimiento seudonimizado, dirección IP abreviada), actividad en internet (ruta de la página, agente de usuario del navegador, señal Global Privacy Control), geolocalización a nivel de país (deducida de la dirección IP sin almacenarla) y, en el caso de las solicitudes sobre datos personales y de los desistimientos, datos de contacto y referencias de pedidos. Solo los utilizamos para registrar el consentimiento y gestionar las solicitudes por cuenta de usted, los conservamos durante los plazos de la sección 4 y no los vendemos ni los compartimos ni utilizamos información personal sensible.

13. Seguridad

Las contraseñas se almacenan como hash con scrypt; los tokens de sesión, de verificación y de restablecimiento se almacenan únicamente como hashes; las sesiones caducan tras 7 días sin uso; todos los formularios del panel de control están protegidos frente a la falsificación de peticiones en sitios cruzados; las acciones sensibles requieren una confirmación reciente de la contraseña; el panel de control y la API pública se ejecutan en hosts separados; las credenciales de escaneo se cifran con AES-256-GCM; las direcciones IP de los visitantes se abrevian antes de su almacenamiento; el servicio utiliza usuarios de base de datos específicos con derechos limitados; todo el tráfico está cifrado (TLS) y las bases de datos y las copias de seguridad están cifradas en reposo. Los detalles figuran en el Anexo II del Acuerdo de encargo del tratamiento.

14. Cambios e idioma

Cuando esta política cambia, publicamos una nueva versión con su fecha de entrada en vigor al principio, e informamos a los propietarios y administradores de las cuentas de los cambios sustanciales por correo electrónico antes de que surtan efecto. Esta política está redactada en inglés, y publicamos traducciones de ella en nuestro sitio web; si la necesita en otra lengua oficial de la UE, escríbanos. Si una traducción difiere de la versión en inglés, prevalece la versión en inglés, salvo que la normativa imperativa de protección de los consumidores de su país exija otra cosa. Si usted es un consumidor, la versión en una lengua oficial del país de su residencia habitual, cuando la publiquemos, es igualmente auténtica que la versión en inglés; si ambas versiones difieren, se aplica el sentido más favorable para usted. Nada de lo dispuesto en esta cláusula limita la información que tiene derecho a recibir en su idioma.

Fuente: docs/legal/es/SAAS-PRIVACY.md en el repositorio de Consentl.