Política de Privacidad

Fecha de entrada en vigor: 11 de abril de 2026

Esta Política de Privacidad explica cómo Votiq (“nosotros”, “nos” o “nuestro”) recopila, utiliza, divulga y protege la información personal cuando usted utiliza Votiq.io y los servicios relacionados (colectivamente, el “Servicio”). Estamos comprometidos a gestionar sus datos de forma responsable y en cumplimiento de las leyes de privacidad aplicables, incluido el Reglamento General de Protección de Datos de la UE (RGPD) y el RGPD del Reino Unido.

1. Información que Recopilamos

Recopilamos las siguientes categorías de información personal:

Datos de Cuenta & Perfil — Cuando se registra, recopilamos su nombre, dirección de correo electrónico, contraseña (cifrada), nombre de la organización, dirección de facturación y número de identificación fiscal/IVA cuando corresponda.

Datos de Retroalimentación & Participación — Solicitudes de funcionalidades, títulos y descripciones de publicaciones, comentarios, registros de votos, datos de reacciones y suscripciones a registros de cambios enviados por Proveedores y Usuarios finales.

Datos de Financiación Colectiva & Compromisos — Importes de compromisos, selecciones de campaña, estado del compromiso (pendiente, capturado, reembolsado) y confirmaciones del plazo de entrega. Los detalles del instrumento de pago son gestionados por Stripe, no por Votiq.

Datos de Uso & Técnicos — Direcciones IP, tipo y versión del navegador, sistema operativo, URLs de referencia, páginas visitadas, tiempo empleado, interacciones con funcionalidades y registros de solicitudes a la API. Estos datos se recopilan mediante registros del servidor y analítica propia.

Datos de Comunicación — Correos electrónicos que nos envía, tickets de soporte y sus preferencias de comunicación.

Datos de Inicio de Sesión de Terceros — Si se registra utilizando un proveedor externo (p. ej., Google OAuth), recibimos su nombre y dirección de correo electrónico de dicho proveedor.

2. Cómo Utilizamos su Información

Utilizamos la información recopilada para:

Proporcionar, operar y mantener el Servicio.
Autenticar usuarios, gestionar sesiones y aplicar controles de seguridad.
Procesar pagos de suscripción y transacciones de financiación colectiva a través de Stripe.
Enviar correos electrónicos transaccionales (confirmación de cuenta, restablecimiento de contraseña, recibos de compromisos, actualizaciones de estado de campañas y notificaciones de resumen).
Ejecutar funcionalidades de inteligencia artificial: detección de publicaciones duplicadas, análisis de sentimiento en retroalimentación y búsqueda semántica mediante incrustaciones vectoriales.
Generar analítica agregada e información sobre el uso del producto para los Proveedores.
Detectar y prevenir fraudes, abusos e incidentes de seguridad.
Cumplir con obligaciones legales y hacer cumplir nuestros Términos de Servicio.
Mejorar y desarrollar nuevas funcionalidades (utilizando datos agregados y anonimizados).

3. Base Jurídica del Tratamiento (RGPD)

Para las personas en la UE/EEE y el Reino Unido, tratamos los datos personales bajo las siguientes bases jurídicas:

Ejecución del contrato — Tratamiento necesario para prestar el Servicio para el que se ha registrado (gestión de cuenta, facturación, funcionalidades principales).
Intereses legítimos — Monitorización de seguridad, prevención de fraudes, analítica de producto y mejora del Servicio, siempre que nuestros intereses no prevalezcan sobre sus derechos.
Obligación legal — Conservación de registros financieros, respuesta a solicitudes legítimas de las autoridades.
Consentimiento — Comunicaciones de marketing, funcionalidades de analítica opcionales. Puede retirar el consentimiento en cualquier momento.

4. Almacenamiento & Seguridad de los Datos

Todos los datos se almacenan en Supabase, que funciona sobre la infraestructura de Amazon Web Services (AWS) en la UE (eu-west-1 por defecto). Los datos están cifrados en reposo (AES-256) y en tránsito (TLS 1.2+). El acceso a la base de datos está protegido por políticas de Seguridad a Nivel de Fila (RLS) con alcance a cada organización.

Implementamos las siguientes medidas de seguridad: contraseñas cifradas con bcrypt, claves de API cifradas con SHA-256, tokens de sesión JWT de corta duración, revisiones de seguridad periódicas y controles de acceso de mínimo privilegio para nuestro equipo. Realizamos copias de seguridad automatizadas de forma regular.

Ningún método de transmisión o almacenamiento electrónico es 100 % seguro. Si tomamos conocimiento de una brecha de datos que afecte a sus derechos, le notificaremos a usted y a las autoridades supervisoras competentes según lo exija la ley.

5. Datos de Pago

El procesamiento de pagos es gestionado por Stripe, Inc., un procesador de pagos certificado PCI DSS Nivel 1. Votiq no almacena, transmite ni tiene acceso a números completos de tarjetas de crédito, códigos CVV ni datos bancarios sin procesar. Stripe almacena los tokens de método de pago y gestiona todos los datos de tarjetas.

Para la financiación colectiva, los Proveedores conectan sus cuentas Stripe a través de Stripe Connect. Stripe actúa como responsable independiente del tratamiento de los datos de pago procesados en relación con los desembolsos. Consulte la Política de Privacidad de Stripe para más detalles.

6. Tratamiento mediante IA

Votiq utiliza servicios de inteligencia artificial para mejorar la calidad de la gestión de retroalimentación:

Anthropic Claude (Análisis de Sentimiento) — Los títulos y descripciones de las publicaciones se envían a la API de Anthropic para clasificar el sentimiento (positivo, neutro, negativo) e identificar el tono. Solo se transmite el contenido textual de las publicaciones; no se incluye ninguna información de cuenta personalmente identificable en estas solicitudes. Los datos se tratan de conformidad con la Política de Privacidad de Anthropic.
VoyageAI (Incrustaciones Semánticas) — El texto de las publicaciones se convierte en incrustaciones vectoriales por VoyageAI para habilitar la búsqueda de similitud semántica y la detección de duplicados. Solo se transmite el texto de las publicaciones. Las incrustaciones se almacenan en Supabase y se utilizan exclusivamente dentro del ámbito de su organización. Los datos se tratan de conformidad con la política de privacidad de VoyageAI.

El tratamiento mediante IA está habilitado de forma predeterminada para los Proveedores con planes de pago, pero puede desactivarse en la configuración del espacio de trabajo. No utilizamos sus datos para entrenar modelos de IA de terceros; los datos enviados a estas APIs se utilizan únicamente para la inferencia sobre su contenido.

7. Servicios de Terceros

Compartimos datos con los siguientes terceros únicamente en la medida necesaria para prestar el Servicio:

Stripe — Procesamiento de pagos y desembolsos mediante Stripe Connect.
Supabase — Base de datos, autenticación, tiempo real y almacenamiento de archivos (alojado en AWS).
Vercel — Alojamiento de la aplicación y red perimetral (CDN). Vercel procesa registros de solicitudes que pueden incluir direcciones IP.
Resend — Entrega de correo electrónico transaccional (correos de cuenta, recibos de compromisos, resúmenes).
Anthropic — Análisis de sentimiento con IA (solo texto de publicaciones).
VoyageAI — Incrustaciones vectoriales semánticas (solo texto de publicaciones).
Inngest — Orquestación de trabajos en segundo plano para el procesamiento asíncrono (p. ej., capturas de pago, disparadores de correo electrónico). Las cargas útiles de los trabajos pueden contener referencias a IDs de usuario e IDs de publicación.

No vendemos sus datos personales a terceros. No compartimos sus datos con anunciantes. El intercambio de datos con subencargados del tratamiento se rige por Acuerdos de Tratamiento de Datos cuando lo exige el RGPD.

8. Cookies & Almacenamiento Local

Votiq utiliza únicamente cookies esenciales. No utilizamos cookies de publicidad ni de seguimiento de terceros.

Cookies de sesión — Establecidas por Supabase Auth para mantener su sesión autenticada. Se eliminan cuando cierra el navegador o cierra sesión.
Cookies de preferencias — Almacenan preferencias de interfaz de usuario como el tema (modo oscuro/claro) y la selección de idioma.
Tokens CSRF — Tokens de corta duración utilizados para proteger el envío de formularios.

Utilizamos el almacenamiento local del navegador para almacenar en caché el estado de la interfaz de usuario no sensible (p. ej., selecciones de filtros abiertas). No se almacenan datos personales en el almacenamiento local. Puede borrar el almacenamiento local en cualquier momento a través de la configuración de su navegador.

Dado que solo utilizamos cookies esenciales, no mostramos un banner de consentimiento de cookies. Si desactiva las cookies, las funcionalidades de autenticación no funcionarán.

9. Conservación de Datos

Conservamos los datos personales durante los siguientes períodos:

Datos de cuenta — Conservados durante la duración de su suscripción más 30 días tras la eliminación de la cuenta, para permitir la exportación de datos. Transcurridos 30 días, los datos de la cuenta se eliminan permanentemente.
Datos de retroalimentación & publicaciones — Conservados mientras la cuenta de la organización esté activa. Eliminados en un plazo de 30 días desde la eliminación de la cuenta.
Registros financieros — El historial de facturación y los registros de transacciones se conservan durante 7 años para cumplir con las obligaciones legales contables y fiscales.
Registros del servidor — Los registros de solicitudes se conservan durante 90 días por razones de seguridad y depuración.
Incrustaciones de IA — Eliminadas en un plazo de 30 días desde la eliminación de la cuenta.

10. Sus Derechos (RGPD & Derechos de Privacidad)

Dependiendo de su ubicación, puede tener los siguientes derechos en relación con sus datos personales:

Derecho de acceso — Solicitar una copia de los datos personales que conservamos sobre usted.
Derecho de rectificación — Solicitar la corrección de datos inexactos o incompletos.
Derecho de supresión (“derecho al olvido”) — Solicitar la eliminación de sus datos personales, sujeto a las obligaciones legales de conservación.
Derecho a la portabilidad de los datos — Recibir sus datos en un formato legible por máquina (JSON/CSV).
Derecho a la limitación del tratamiento — Solicitar que limitemos el tratamiento de sus datos en determinadas circunstancias.
Derecho de oposición — Oponerse al tratamiento basado en intereses legítimos o para marketing directo.
Derecho a retirar el consentimiento — Cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento.

Responderemos a las solicitudes verificadas en un plazo de 30 días (prorrogable hasta 60 días adicionales para solicitudes complejas, con notificación previa). Es posible que necesitemos verificar su identidad antes de atender una solicitud.

11. Exportación de Datos & Eliminación de Cuenta (RGPD)

Votiq proporciona herramientas de autoservicio para ejercer sus derechos sobre los datos:

Exportación de datos — Disponible en la configuración de su espacio de trabajo bajo “Datos & Privacidad”. Puede descargar una exportación JSON completa de las publicaciones, votos, comentarios, registros de cambios y datos de miembros de su organización.
Eliminación de cuenta — Disponible en la configuración del espacio de trabajo. La eliminación de su cuenta inicia un período de gracia de 30 días durante el cual los datos se conservan y pueden exportarse. Transcurridos 30 días, todos los datos personales se eliminan permanente e irreversiblemente, salvo los registros financieros conservados por obligación legal.

Para enviar una solicitud manual de datos o si necesita asistencia, contacte con privacy@votiq.io.

12. Transferencias Internacionales de Datos

Votiq almacena y trata principalmente los datos en la UE (AWS eu-west-1). Sin embargo, algunos de nuestros subencargados del tratamiento operan en Estados Unidos (Stripe, Anthropic, VoyageAI, Inngest, Vercel, Resend). Cuando los datos personales se transfieren fuera de la UE/EEE, nos aseguramos de que existan salvaguardias adecuadas, incluidas:

Cláusulas Contractuales Tipo (CCT) de la UE incorporadas en los Acuerdos de Tratamiento de Datos.
Decisiones de adecuación de la Comisión Europea cuando corresponda.

Puede solicitar información sobre las salvaguardias específicas aplicables a las transferencias internacionales contactando con privacy@votiq.io.

13. Privacidad de los Menores

El Servicio no está dirigido ni destinado a ser utilizado por personas menores de 16 años. No recopilamos conscientemente datos personales de menores de 16 años. Si descubrimos que un menor de 16 años nos ha proporcionado datos personales, tomaremos medidas para eliminarlos de inmediato. Si cree que un menor nos ha proporcionado sus datos, por favor contacte con privacy@votiq.io.

14. Cambios en esta Política

Podemos actualizar esta Política de Privacidad periódicamente. Si los cambios son sustanciales, le notificaremos por correo electrónico o mediante un aviso destacado en el Servicio al menos 14 días antes de que los cambios entren en vigor. Le recomendamos revisar esta política periódicamente. El uso continuado del Servicio tras la fecha de entrada en vigor constituye la aceptación de la política revisada.

15. Delegado de Protección de Datos

Hemos designado un Delegado de Protección de Datos (DPD) responsable de supervisar nuestras prácticas de protección de datos. Si tiene preguntas o inquietudes sobre cómo gestionamos sus datos personales, puede contactar con nuestro DPD en:

Delegado de Protección de Datos, Votiq
privacy@votiq.io

También tiene derecho a presentar una reclamación ante su autoridad local de supervisión en materia de protección de datos. En la UE, puede encontrar su autoridad nacional en edpb.europa.eu.

16. Contacto

Para todas las consultas relacionadas con la privacidad, solicitudes de derechos de los interesados o preguntas sobre esta política, por favor contacte con:

Equipo de Privacidad de Votiq
privacy@votiq.io