Aviso de privacidad

• Tratamos los datos de quienes usan CaptaLeads (agencias, traffickers, empresas y sus equipos) para dar el servicio y protegerlo.
• De los datos que se cargan sobre los clientes y sobre los contactos que traen los anuncios, la responsable es la agencia, el trafficker o la empresa que los carga, y nosotros somos encargados: solo los tratamos por su cuenta.
• Los teléfonos y correos de los contactos no se guardan en claro: se guarda una huella cifrada (HMAC) y una máscara, que bastan para cruzarlos con los avisos y trabajos del negocio (los que apunta en su programa de gestión, hoja de cálculo o centralita). De esos avisos y trabajos, el teléfono y el correo se guardan solo como huella.
• Los permisos de conexión con Meta y Google se guardan cifrados. Su contraseña no la conoce nadie: se guarda transformada con scrypt.
• El sistema aprende de los resultados de las campañas de las organizaciones que aceptan la cláusula de aprendizaje, siempre de forma agregada y anónima. Nadie ve los datos de otra organización.
• Inteligencia artificial: cuando el agente de IA o el board estén en uso, Anthropic recibe los datos del negocio y de sus campañas que necesita para redactar (detalle en el punto 6), nunca correos ni teléfonos de los contactos. Cada organización tiene un tope de gasto de IA.
• No vendemos datos, no hacemos publicidad con ellos y solo usamos cookies técnicas.
• Puede borrar su cuenta usted mismo con «Eliminar mi cuenta», en Configuración, y ejercer sus derechos escribiendo a info@multiatlas.net.

El responsable del tratamiento es MULTIATLAS, S.L. («MultiAtlas»), con NIF pendiente de incorporar, inscripción en el Registro Mercantil pendiente de incorporar y domicilio en C/ Azafrán 9, 41927 Mairena del Aljarafe, Sevilla (España). Contacto para todo lo relacionado con sus datos: info@multiatlas.net.

Este aviso se rige por el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). En lo que toca a las cookies, se aplica también la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

Somos responsables de los datos que necesitamos para la relación con usted: las cuentas con las que se entra, la organización y su equipo, las solicitudes de acceso, la seguridad de la plataforma y el soporte.

Somos encargados de los datos que la agencia, el trafficker o la empresa carga o conecta sobre sus clientes o su negocio: sus cuentas publicitarias, campañas y métricas, los contactos que traen los anuncios, los avisos y trabajos del negocio y los correos que reciben los informes. Ahí la responsable es la agencia, el trafficker o la empresa, que debe informar a esas personas y contar con una base legal. Las condiciones de ese encargo están en el contrato de encargo del tratamiento.

Si usted es cliente de una agencia que usa CaptaLeads, o dejó sus datos en un anuncio, diríjase primero a esa agencia o a ese negocio. Si nos escribe, le haremos llegar su solicitud.

• Su cuenta: nombre, correo y la contraseña transformada con scrypt (no se puede leer). De cada sesión: una huella del identificador de sesión, la organización activa, una huella de la IP, el navegador y la fecha de caducidad. También la fecha de su último acceso y, de cada texto que acepta en el alta (términos, aviso de privacidad y cláusula de aprendizaje), el documento, la versión, una huella de la IP y la fecha.
• Su organización y su equipo: nombre, tipo (agencia, autónomo o empresa), país, moneda, zona horaria y el plan contratado. De cada persona del equipo: nombre, correo, papel, las plataformas de su asiento y los clientes asignados, con el permiso que tiene en cada uno. De cada invitación: el correo de la persona invitada, quién la invitó, el papel y los clientes que tendrá, y un enlace que caduca a los 7 días.
• Los clientes de la agencia (en una empresa, su propio negocio): nombre, sector, país, sitio web, marcas, festivos, notas, las respuestas del alta (por ejemplo, si tiene Business Manager o fanpage) y la comprobación de su landing (si tiene el píxel de Meta, las etiquetas de Google o Analytics); la estrategia (qué vende, a quién, oferta, zonas, objetivos y presupuesto), el board (oferta, avatar, audiencias y anuncios propuestos) y las instrucciones y límites del agente.
• Las cuentas publicitarias conectadas (Meta y Google, incluido Google Garantizado): los permisos de conexión (tokens, guardados cifrados), los identificadores y nombres de las cuentas, su estado y si hay problemas de pago; campañas, conjuntos de anuncios y anuncios (nombre, estado, objetivo, presupuesto, segmentación por edad, zonas, intereses o palabras clave, títulos, textos y direcciones de destino) y sus métricas diarias (gasto, impresiones, alcance, clics, contactos, conversiones, llamadas y mensajes).
• Los contactos que traen los anuncios (formularios de Meta, llamadas y mensajes de Google Garantizado): canal, tipo, fecha, campaña y anuncio de origen y, en Google Garantizado, si se cobró. Del teléfono y del correo solo se guarda una huella cifrada (HMAC) y una máscara como «+34 ••• ••123»; nunca en claro.
• Los avisos y trabajos del negocio, que la agencia sube en un archivo CSV o que el programa del negocio manda por la entrada automática: referencia del negocio, tipo (aviso, trabajo, venta o perdido), fecha, importe, marca y origen. El teléfono y el correo, solo como huella (HMAC), para cruzarlos con los contactos: la máscara que se ve en la vista previa se calcula en el momento y no se guarda. Las filas sin referencia reciben una propia, firmada con HMAC. Los nombres, direcciones y notas que traiga el archivo se ignoran: no se guardan. La clave de la entrada automática se guarda solo como huella (SHA-256) y sus 8 primeros caracteres; puede enviarse en una cabecera o, si el programa no lo permite, en la propia dirección (?clave=). La bitácora anota cada archivo importado (su nombre, hasta 120 caracteres, y cuántos avisos entraron, se actualizaron o tenían errores) y los cambios de cada fuente.
• El trabajo del agente: análisis, recomendaciones, alertas, el registro de cada cambio en las campañas (qué se cambió, antes, después y quién) y el resultado de cada cambio a los 7 días.
• Uso de la IA: de cada consulta, la organización, el cliente, la tarea, el modelo, los tokens y el coste, para controlar el gasto.
• Informes por correo (el semanal, los lunes; el mensual, el día 2): de quien los recibe, su correo, su nombre y su tipo (del equipo o cliente) y, si se da de baja, la fecha de baja, que se conserva para no volver a escribirle; de cada correo enviado, el destinatario, el asunto, el tipo y su estado. La baja de un clic desde el programa de correo (List-Unsubscribe) queda en la bitácora con la IP solo como huella (HMAC), y la página de baja muestra el correo enmascarado.
• Base de conocimiento: los capítulos que suba la agencia (texto, PDF o Word), guardados como texto con su título, autor y fuente para que el agente los consulte. Lo que sube una organización solo lo usa la IA para esa organización y las demás no lo ven. La base común la cargan las personas que operan la plataforma: las organizaciones no ven su texto, pero la IA la usa para todas. Le pedimos no incluir en ella datos de otras personas.
• Solicitudes de acceso desde la portada: nombre, correo, empresa, tipo, número aproximado de cuentas, mensaje y una huella de la IP. Esos datos (sin la IP) nos llegan también por correo.
• Seguridad: la IP nunca se guarda en claro, solo una huella (HMAC), en la bitácora (accesos, cambios de permisos, modo soporte, bajas de los informes) y para limitar los intentos de acceso y los envíos con una clave errónea a la entrada automática. Cloudflare, nuestro proveedor de alojamiento, registra además las peticiones (IP, navegador, hora) para operar y proteger el servicio.

Para darse de alta son obligatorios su nombre, su correo, una contraseña y los datos básicos de su organización; en la solicitud de acceso, todos los campos salvo los marcados como opcionales. Sin ellos no podemos crear la cuenta, darle el servicio ni responderle.

No pedimos datos sensibles (salud, ideología, origen, vida sexual, datos de menores) y le pedimos no escribirlos en notas, instrucciones ni documentos.

No enviamos publicidad. Si algún día quisiéramos hacerlo, o usar sus datos para algo distinto, le pediríamos antes su consentimiento.

Nos apoyamos en estos proveedores, que tratan los datos solo por nuestra cuenta y para prestarnos su servicio:

Meta y Google no son proveedores nuestros: son las plataformas cuyas cuentas usted conecta. Por sus API leemos campañas, métricas y contactos y aplicamos los cambios que usted o el agente deciden dentro de sus límites. Cada una trata esos datos según su propia política de privacidad, y le identifica cuando autoriza la conexión.

Los informes llegan a los correos que la agencia indique y pueden abrirse con un enlace de solo lectura, firmado, que muestra las cifras del negocio y de sus campañas, no datos de contactos; quien tenga ese enlace puede verlo, y la agencia puede anularlo. Solo entregaríamos datos a una autoridad cuando una ley o una orden lo exija.

Dentro de la plataforma, las personas que la operan («raíz»: el equipo de MultiAtlas y su equipo de desarrollo) ven de todas las organizaciones el nombre y el correo de su dueño; cuántas personas, clientes y cuentas tiene; el gasto y el coste y los tokens de IA de los últimos 30 días, y cuántas alertas tiene abiertas; también las solicitudes de acceso. Para ayudar, pueden entrar en una organización en «modo soporte», con los permisos de un administrador; cada entrada y cada salida queda en la bitácora (quién, en qué organización y cuándo).

La base de datos está en la Unión Europea: Neon la aloja en Fráncfort (Alemania). Cloudflare, Anthropic y Resend son empresas de Estados Unidos y pueden tratar datos fuera del Espacio Económico Europeo; Cloudflare, además, atiende cada petición desde su red mundial. Cuando un proveedor trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está adherido o, si no, en las cláusulas contractuales tipo aprobadas por la Comisión Europea que forman parte de sus condiciones de tratamiento de datos.

• Los datos de su cuenta, su organización, sus clientes y sus campañas, mientras la cuenta exista. Al eliminarla, se borran en ese momento.
• Las sesiones caducan a los 30 días o al salir; los enlaces para restablecer la contraseña, a la hora; los registros de intentos de acceso se borran a las 24 horas.
• Las invitaciones caducan a los 7 días; las que no se aceptan se borran 30 días después de caducar.
• Los avisos y trabajos, mientras existan su fuente y su cliente: al borrar una fuente se borran con ella.
• Quien se da de baja de los informes se conserva con su fecha de baja mientras exista el cliente, para no volver a escribirle.
• El registro de uso de la IA, mientras exista la organización.
• El registro de cambios en las campañas y la bitácora no se pueden modificar; se borran con la organización cuando quien la registró elimina su cuenta.
• Las solicitudes de acceso, 12 meses, o hasta que quien la envió elimine su cuenta.
• Las copias de restauración de la base de datos caducan solas en un plazo que no supera los 30 días.
• Lo que una ley obligue a conservar (por ejemplo, datos fiscales cuando haya cobro), el tiempo que esa ley exija.

Puede ejercer los derechos que le reconocen los artículos 15 a 22 del RGPD: acceder a sus datos, rectificarlos, pedir su supresión, la limitación de su tratamiento o su portabilidad, oponerse a su tratamiento y no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que le afecten de forma significativa (punto 11). Si el tratamiento se basa en su consentimiento, puede retirarlo en cualquier momento, sin que eso afecte a lo tratado antes de retirarlo.

Lo más rápido: en Configuración, «Eliminar mi cuenta» borra su cuenta y sus datos en el momento, sin pedírselo a nadie. Si usted registró la organización, se borra completa (equipo, clientes, campañas, métricas, contactos, avisos y trabajos, informes y su bitácora) y se desconectan Meta y Google; si es parte del equipo de otra persona, se borran su usuario y su acceso, y los datos de esa organización se quedan.

Para lo demás, escriba a info@multiatlas.net con el asunto «Protección de datos», indicando qué derecho quiere ejercer y el correo con el que entra. Si hay dudas razonables sobre su identidad, podremos pedirle que la acredite. Le respondemos en un mes como máximo. Es gratuito.

Si se encuentra fuera del Espacio Económico Europeo, en esa misma dirección puede ejercer también los derechos que le reconozca la ley de su país.

Si considera que no atendimos bien su solicitud o que el tratamiento de sus datos no cumple la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Si vive o trabaja en otro país del Espacio Económico Europeo, también puede reclamar ante la autoridad de control de ese país.

CaptaLeads es para profesionales mayores de edad. No dirigimos anuncios a menores: las campañas que crea la app llevan una edad mínima de 18 años en la segmentación por edad, y el agente solo propone audiencias de 18 años o más.

El agente toma decisiones automáticas sobre campañas (por ejemplo, pausar un anuncio o ajustar un presupuesto), dentro de los límites que fija cada agencia, y todas quedan registradas. No toma decisiones sobre personas que produzcan efectos jurídicos sobre ellas o les afecten de forma significativa. Cuando la IA está en uso, en la revisión diaria solo redacta el resumen y puede retener un cambio para que lo apruebe una persona; nunca añade cambios.

• Conexiones cifradas (HTTPS) y cabeceras de seguridad estrictas; no se carga nada de servidores de terceros.
• Cada organización ve solo lo suyo: los permisos se comprueban en el servidor en cada petición, por papel y por cliente.
• Contraseñas con scrypt; tokens de Meta y Google cifrados con AES-256-GCM y descifrados solo en el servidor al usarlos.
• Teléfonos y correos de los contactos y de los avisos y trabajos, y la IP, solo como huella cifrada (HMAC); claves de la entrada automática, solo como huella; enlaces de los informes firmados; límite de intentos de acceso.
• Registro de cambios en las campañas y bitácora que la propia base de datos impide modificar.

Ningún sistema es infalible. Si hubiera una brecha de seguridad que suponga un riesgo, la notificaremos a la autoridad cuando corresponda y, si el riesgo es alto, a usted sin dilación indebida.

Solo usamos cookies técnicas, necesarias para entrar y para conectar las cuentas; por eso no mostramos un aviso de cookies. Detalle en la página de cookies.

Si cambiamos este aviso, publicaremos aquí la nueva versión con su fecha y, si el cambio es importante, lo avisaremos por correo. Vea también los términos y condiciones.