1. Responsable del tratamiento
El responsable del tratamiento de tus datos personales es:
- Thinktier OÜ (en adelante, «Thinktier»)
- Código de registro Estonia: 17249293
- VAT: EE102949399
- Domicilio: Lõõtsa tn 5, 11415 Tallinn, Estonia
- Contacto: privacy@granel.io
2. Datos que tratamos
Tratamos las siguientes categorías de datos personales:
- Datos de cuenta: nombre, email, contraseña (guardada como hash por el proveedor de autenticación), organización y rol dentro de ella.
- Datos de uso del producto: deals, contrapartes (incluidos los nombres y datos de contacto de las personas de esas empresas), productos y documentos que tú o tu organización introducís en Granel.
- Mensajes capturados: si tu organización conecta WhatsApp o Telegram, o reenvía mensajes por correo, Granel recibe y guarda el texto íntegro de cada mensaje, el teléfono del remitente (WhatsApp) o su nombre de usuario (Telegram), y los identificadores del chat y del mensaje. Lo mismo vale para el texto que un usuario pega en la captura manual. Quien escribe esos mensajes —normalmente una contraparte de tu organización— no ha visitado este sitio ni ha aceptado esta política: ver el apartado siguiente.
- Datos de facturación: los que facilites al contratar un plan (por ejemplo, razón social, dirección y número de IVA) y el método de pago. El pago lo procesa Stripe; Granel no guarda los datos de la tarjeta.
- Datos técnicos: dirección IP, navegador, registros de acceso y eventos de seguridad.
- Datos de comunicación: lo que escribes en el formulario de contacto (nombre, email, empresa y mensaje) o nos envías por email, junto con los datos de atribución del formulario: página de llegada, página de procedencia y parámetros de campaña (utm_*, gclid, fbclid).
Datos que tratamos por cuenta de tu organización. Los deals, las contrapartes, los documentos y los mensajes capturados los decide tu organización: para esos datos, tu organización es la responsable del tratamiento y Thinktier actúa como encargada, en los términos del acuerdo de encargo del tratamiento. Corresponde a tu organización informar a sus contrapartes y contar con una base legal para reenviar sus mensajes a Granel.
3. Finalidades y base legal
Tratamos tus datos para:
- Prestar el servicio contratado (base legal: ejecución del contrato).
- Facturar y cumplir obligaciones fiscales (base legal: obligación legal).
- Mantener la seguridad del servicio y prevenir fraude (interés legítimo).
- Evitar el abuso de la prueba gratuita: al dar de alta una organización guardamos el hash (SHA-256) del email normalizado, no el email, para saber que ese correo ya ha usado su prueba aunque después se cierre la cuenta (interés legítimo; plazo en la tabla de conservación).
- Extraer operaciones de los mensajes capturados y del texto pegado, con ayuda de un modelo de IA, por cuenta de tu organización (encargo del tratamiento; la base legal es la de tu organización).
- Responder a tus consultas enviadas mediante el formulario de contacto y hacer su seguimiento comercial en nuestro CRM (consentimiento, que prestas al enviar el formulario).
- Mejorar el producto mediante análisis agregados de uso (interés legítimo) y, solo si la aceptas, analítica web (consentimiento; ver cookies).
4. Plazos de conservación
Cada categoría de datos tiene su propio plazo. Esta tabla es la referencia para cualquier plazo que se mencione en el sitio o en la aplicación.
| Categoría | Plazo | Qué ocurre al terminar |
|---|---|---|
| Datos de la organización: deals, contrapartes, productos, documentos y registro de auditoría | Mientras la organización exista en Granel. | Que termine la prueba o la suscripción no borra nada: la organización pasa a solo lectura y puede exportar sus datos. La supresión se hace a petición escrita a privacy@granel.io. |
| Mensajes capturados que nadie revisa | 7 días visibles desde que se reciben, más 30 de gracia (37 en total); 60 más 30 (90) si llegaron con la suscripción bloqueada. | A los 7 días caducan y dejan de poder revisarse; se eliminan de la base de datos al terminar el periodo de gracia. |
| Mensajes capturados ya revisados (confirmados o rechazados) | 37 días desde que se reciben. | Se elimina el mensaje original (texto, teléfono y remitente); los datos que se volcaron en el deal siguen siendo de la organización. |
| Remitentes rechazados por la lista de autorizados de un canal (teléfono, id o correo) | 30 días desde el último intento. | Se eliminan de la lista de integraciones; no se guarda el texto del mensaje. |
| Datos de cuenta de cada usuario | Mientras el usuario tenga cuenta. | A petición, se anonimizan su nombre y su email y se borran sus comentarios y avisos; las operaciones que registró siguen siendo de su organización. El hash del email de la prueba gratuita sigue su propia fila. |
| Registro de pruebas gratuitas: hash del email normalizado (no el email) | 24 meses desde que se concede la prueba. | Se borra automáticamente. Puedes pedir su supresión antes en privacy@granel.io; a cambio, ese correo podría volver a recibir una prueba. |
| Invitaciones al equipo | El enlace caduca a los 7 días. | La invitación deja de poder aceptarse. |
| Facturas y registros contables | 7 años, por la legislación contable estonia. | Se conservan todo el plazo legal, aunque la cuenta se haya cerrado. |
| Formulario de contacto (CRM) | 24 meses, salvo que la conversación derive en una relación comercial. | Se eliminan del CRM. |
| Registros técnicos y de errores | Los que fija la configuración de cada proveedor (Vercel, Sentry). | A consultar en privacy@granel.io. |
| Tu decisión sobre las cookies de analítica | En el almacenamiento local de tu navegador, hasta que lo borres. | El banner vuelve a aparecer. |
| Preferencia de idioma | Cookie de 1 año. | Se vuelve al idioma del navegador. |
| Dispositivo de confianza (protección frente a fuerza bruta) | Cookie de 90 días, renovada en cada acceso correcto. | Tus intentos fallidos vuelven a contar en el límite general de intentos. |
| Aviso de instalación de la aplicación cerrado | En el almacenamiento local de tu navegador, hasta que lo borres. | El aviso vuelve a ofrecerse. |
5. Encargados del tratamiento (sub-procesadores)
Para prestar el servicio compartimos datos con los siguientes proveedores, que los tratan por nuestra cuenta:
- Supabase — infraestructura de base de datos, almacenamiento de documentos y autenticación.
- Vercel — hosting y entrega de la aplicación y del sitio.
- Stripe — procesador de pagos.
- Resend — envío de emails transaccionales y recepción del correo de captura de mensajes.
- Upstash — caché y límites de tasa.
- Sentry — monitorización de errores.
- Groq, Inc. (Estados Unidos) — proveedor principal de la extracción asistida por IA: recibe el texto íntegro de los mensajes capturados y del texto pegado, incluidos los nombres, teléfonos u otros datos personales que contengan, junto con un extracto del catálogo de la organización (nombre, tipo y país de hasta 20 contrapartes, y nombre, categoría y unidad de hasta 20 productos, los que el mensaje nombra y los más recientes) para emparejarlos, y devuelve los campos de la operación.
- Google (API de Gemini, Estados Unidos) — proveedor alternativo para la misma extracción, que se usa cuando Groq no está configurado o no puede atender la extracción (por ejemplo, si retira el modelo o está caído).
- Vera OS (os.nvdigital.es) — CRM externo en el que se registran los envíos del formulario de contacto (nombre, email, empresa, mensaje, datos de atribución y constancia del consentimiento) para responder y hacer el seguimiento comercial. Es el único destino de ese formulario.
Si un proveedor de IA puede usar o no el contenido que recibe para entrenar o mejorar sus modelos depende de los términos del servicio contratado con él, no de Granel. Puedes pedirnos qué términos se aplican hoy escribiendo a privacy@granel.io.
Canales de entrada. Si tu organización conecta WhatsApp (plataforma de WhatsApp Business de Meta) o Telegram, los mensajes llegan a Granel a través de esas plataformas. Meta y Telegram no son encargados de Thinktier: su tratamiento de los mensajes se rige por los términos que tu organización acepta al usar esos servicios.
Transferencias internacionales. Los textos que se envían a extracción se transfieren a Estados Unidos, donde los tratan Groq, Inc. o Google. Google Analytics, si lo aceptas, también puede tratar datos en Estados Unidos. El resto de proveedores de la lista puede tratar datos fuera del Espacio Económico Europeo según su propia infraestructura. Estas transferencias se amparan en la decisión de adecuación UE-EE. UU. cuando el proveedor está adherido a ella o, en su defecto, en las garantías del artículo 46 del RGPD que ofrece cada proveedor (por ejemplo, las cláusulas contractuales tipo de la Comisión Europea). Puedes pedir la ubicación de cada proveedor y copia de la garantía aplicable escribiendo a privacy@granel.io.
6. Tus derechos
Como titular de los datos, puedes ejercer los siguientes derechos contemplados en el RGPD:
- Acceso a tus datos personales.
- Rectificación de datos inexactos.
- Supresión («derecho al olvido»).
- Limitación del tratamiento.
- Portabilidad de los datos.
- Oposición al tratamiento.
- Retirar el consentimiento cuando sea la base legal aplicable.
Para ejercerlos, escríbenos a privacy@granel.io. También puedes presentar una reclamación ante la autoridad estonia de protección de datos (Andmekaitse Inspektsioon, www.aki.ee).
8. Cambios en esta política
Podemos actualizar esta política para reflejar cambios en el servicio o en la legislación aplicable. Avisaremos a los usuarios registrados por email con al menos 30 días de antelación cuando los cambios sean materiales.