Política de Privacidad

1. Introducción

Bienvenido a Caramel ("nosotros", "nuestro" o "nos"). Estamos comprometidos con la protección de sus datos personales y el respeto de sus derechos de privacidad conforme al Reglamento General de Protección de Datos (RGPD) y demás normativa de privacidad aplicable en todo el mundo. Esta Política de Privacidad explica cómo recopilamos, utilizamos, divulgamos y protegemos su información cuando utiliza nuestra plataforma y servicios.

Caramel es una plataforma de empresa a empresa. Las empresas la utilizan para crear y publicar formularios, recopilar y gestionar sus propios registros de clientes, y ejecutar campañas de marketing por correo electrónico, SMS, aplicaciones de mensajería y notificaciones push, junto con las integraciones y los servicios de asesoría premium que dan soporte a ese trabajo.

Nuestro Compromiso con la Residencia de Datos en la UE: Priorizamos la soberanía de los datos procesando y almacenando sus datos principalmente dentro de la Unión Europea, utilizando proveedores de infraestructura radicados en la UE.

Esta política se aplica a:

• Nuestro sitio web y aplicaciones web
• Nuestras aplicaciones móviles (iOS y Android)
• Nuestros servicios de API
• Todos los demás servicios relacionados que ofrecemos

2. Información del Responsable del Tratamiento

A efectos del RGPD, actuamos como:

• Responsable del Tratamiento respecto de los usuarios de la plataforma y las cuentas empresariales
• Encargado del Tratamiento respecto de los datos de los clientes finales que nuestros clientes empresariales cargan, recopilan o a quienes envían mensajes a través de la plataforma

3. Información que Recopilamos

3.1 Información que Usted Proporciona Directamente

Información de la Cuenta:

• Nombre completo y cargo
• Dirección de correo electrónico (verificada)
• Número de teléfono (para 2FA y notificaciones)
• Nombre de la empresa y datos de registro (para cuentas empresariales)
• Números de identificación fiscal / IVA
• Contraseña (cifrada con bcrypt, nunca almacenada en texto plano)

Información de Pago:

• Datos de la tarjeta de pago (tokenizados a través de los servidores de Stripe en la UE)
• Datos de cuenta bancaria/IBAN (para pagos SEPA)
• Dirección de facturación
• Historial de transacciones
• Preferencias de facturación

Datos de Clientes Finales (tratados en nombre de las empresas):

Cuando una empresa utiliza Caramel para contactar con sus propios clientes, tratamos los datos que dicha empresa nos suministra o recopila. Actuamos como encargado del tratamiento respecto de la totalidad de estos datos:

• Datos de contacto (nombre, dirección de correo electrónico, número de teléfono)
• Respuestas enviadas a través de los formularios que publica la empresa
• Estado del consentimiento de marketing y preferencias de comunicación
• Registros de entrega, apertura, clic y baja de mensajes
• Pertenencia a segmentos e historial de campañas
• Idioma y configuración regional, cuando se hayan facilitado

3.2 Información Recopilada Automáticamente

Datos Técnicos:

• Dirección IP (anonimizada transcurridos 7 días)
• Tipo de dispositivo e identificadores (con hash)
• Tipo y versión del navegador
• Sistema operativo
• Zona horaria y configuración regional
• Preferencias de idioma

Datos de Uso:

• Páginas visitadas y funciones utilizadas
• Patrones de clic y rutas de navegación
• Búsquedas realizadas dentro de la plataforma
• Métricas de rendimiento
• Registros de errores (sin datos personales)
• Duración de la sesión

Datos de Cookies: Cookies esenciales para el funcionamiento, y cookies de análisis/marketing cuando usted haya dado su consentimiento — véase nuestra Política de Cookies.

3.3 Información de Terceros

• Verificación de pagos por parte de Stripe (servidores de la UE)
• Eventos de entrega e interacción de mensajes procedentes de nuestros proveedores de envío
• Datos de analítica de PostHog (nube de la UE)

3.4 Categorías Especiales de Datos

NO recopilamos categorías especiales de datos personales (salud, datos biométricos, origen racial/étnico, opiniones políticas, creencias religiosas, etc.), salvo cuando:

• Sea necesario para el cumplimiento de una obligación legal
• Se hayan facilitado expresamente con un consentimiento separado
• Sea necesario para el cumplimiento de la normativa laboral (cuentas empresariales)

4. Base Jurídica para el Tratamiento (Artículo 6 del RGPD)

Tratamos sus datos personales sobre la base de los siguientes fundamentos jurídicos:

5. Cómo Utilizamos su Información

5.1 Finalidades Principales

5.2 Toma de Decisiones Automatizada y Elaboración de Perfiles

Utilizamos una toma de decisiones automatizada limitada para:

• Detección de Fraude: Puntuación del riesgo de las transacciones
• Segmentación de Marketing: Categorización de clientes
• Personalización del Servicio: Recomendaciones de funcionalidades

Sus Derechos:

• Solicitar la intervención humana en decisiones automatizadas
• Oponerse a la elaboración de perfiles con fines de marketing
• Excluirse de la toma de decisiones automatizada
• Solicitar una explicación de la lógica aplicada

6. Compartición y Divulgación de Datos

6.1 Proveedores de Servicios en la UE (Encargados del Tratamiento)

Todos nuestros encargados del tratamiento principales mantienen la residencia de datos en la UE:

6.2 Servicios de Comunicación

6.3 Categorías de Destinatarios

• Socios Comerciales: Únicamente sus propios datos de clientes
• Asesores Profesionales: Abogados, contables (bajo acuerdo de confidencialidad)
• Autoridades Reguladoras: Cuando sea legalmente exigido
• Fuerzas y Cuerpos de Seguridad: Únicamente con una base jurídica válida
• Potenciales Adquirentes: Durante procesos de fusión o adquisición (bajo acuerdo de confidencialidad)

6.4 Nunca Compartimos Datos Con

• Corredores de datos o anunciantes
• Terceros para sus propios fines de marketing
• Ninguna persona sin base jurídica
• Países fuera de la UE sin garantías adecuadas

7. Transferencias Internacionales de Datos

7.1 Prioridad de la Residencia de Datos en la UE

Tratamiento Principal: Todos los datos se tratan y almacenan dentro de la UE:

• Base de datos: Alemania (Hetzner)
• Aplicación: Regiones de la UE
• Analítica: Servidores de la UE
• Copias de seguridad: Ubicaciones en la UE

7.2 Transferencias Limitadas a Terceros Países

Cuando son necesarias transferencias fuera de la UE:

7.3 Garantías de las Transferencias

• Cláusulas Contractuales Tipo (CCT): Módulo 2 (Responsable a Encargado)
• Medidas Suplementarias: Cifrado de extremo a extremo, seudonimización, minimización de datos, restricciones de acceso
• Evaluaciones de Impacto de las Transferencias (TIA): Completadas para cada transferencia
• Sus Derechos: Solicitar copias de la documentación de las garantías

8. Seguridad de los Datos

8.1 Medidas Técnicas (Alineadas con ISO 27001)

8.2 Medidas Organizativas

8.3 Respuesta ante Violaciones de Seguridad

Cronología de Detección y Respuesta:

1. 0-1 horas: Detección y contención del incidente
2. 1-24 horas: Evaluación del impacto y mitigación
3. 24-72 horas: Notificación a la autoridad de control (si procede)
4. Más de 72 horas: Notificación a los usuarios (si el riesgo es elevado)

Registro de Violaciones: Mantenido conforme al artículo 33.5 del RGPD.

9. Conservación de Datos

9.1 Calendario de Conservación

9.2 Principios de Conservación

• Minimización de Datos: Solo conservamos lo estrictamente necesario
• Limitación de la Finalidad: Eliminación una vez cumplida la finalidad
• Requisitos Legales: Cumplimiento de los plazos de conservación obligatorios
• Eliminación Automatizada: Calendarios de purgado sistemático
• Rotación de Copias de Seguridad: Conservación de copias de seguridad durante 90 días

10. Sus Derechos de Privacidad (Capítulo III del RGPD)

10.1 Resumen de sus Derechos

10.2 Cómo Ejercer sus Derechos

10.3 Verificación de Identidad

Por su seguridad, exigimos:

• Verificación del correo electrónico de la cuenta
• Autenticación de dos factores
• Documento de identidad oficial (para solicitudes sensibles, con datos ocultados)
• Preguntas de seguridad

10.4 Reclamaciones

Procedimiento Interno: Contacte primero con nuestro Delegado de Protección de Datos, con escalado a la dirección y resolución en un plazo de 30 días.

11. Derechos de Privacidad Internacionales

12. Privacidad de los Menores

Restricciones de Edad:

• Edad mínima: 18 años (con carácter general)
• UE/EEE: 16 años con consentimiento parental
• Otras regiones: Mayoría de edad legal

Si descubrimos usuarios menores de edad:

1. Suspensión inmediata de la cuenta
2. Intento de notificación a los padres o tutores
3. Eliminación de los datos en un plazo de 48 horas

13. Comunicaciones de Marketing

13.1 Aceptación/Exclusión

13.2 Métodos para Darse de Baja

• Baja con un solo clic en los correos electrónicos
• SMS: Responder STOP
• Portal de privacidad: Controles granulares
• Correo electrónico: privacy@joincaramel.com

14. Enlaces y Servicios de Terceros

Nuestra plataforma puede contener enlaces a sitios web de terceros. No somos responsables de sus prácticas de privacidad. Le recomendamos revisar sus políticas antes de facilitar cualquier dato personal.

Políticas de Privacidad de los Servicios Integrados:

• Privacidad de Stripe
• Privacidad de PostHog
• Privacidad de AWS

15. Tratamiento de Datos para Empresas

Cuando tratamos datos en nombre de empresas:

Consulte nuestro Generador de DPA para más detalles.

16. Cambios en esta Política

Notificación de Cambios:

• Correo electrónico: aviso previo de 30 días para cambios sustanciales
• Plataforma: notificación mediante banner
• Versiones anteriores disponibles a petición en privacy@joincaramel.com

Calendario de Revisión: Revisión trimestral, con actualización anual como mínimo.

17. Accesibilidad

Esta Política de Privacidad está disponible en:

• Idiomas: Inglés, francés, alemán, español, italiano
• Accesibilidad: Conforme con WCAG 2.1 AA
• Formatos alternativos: Disponibles a petición

18. Jurisdicción y Resolución de Disputas

18.2 Contacto Antes de Iniciar Acciones Legales

Antes de iniciar cualquier procedimiento legal:

1. Envíe una solicitud a privacy@joincaramel.com o a través del Portal de Solicitudes de Privacidad
2. Conceda un plazo de 30 días para su resolución
3. Considere la mediación a través de las autoridades francesas competentes

Al utilizar nuestros servicios, usted acepta expresamente que ÚNICAMENTE los tribunales de París tienen jurisdicción, salvo en los casos en que el derecho de la UE establezca protecciones imperativas para los consumidores.

Contáctenos