Política de Privacidad

1. Responsable del tratamiento y alcance

• Responsable: Antonio Samuel Martín Polo, que opera con el nombre comercial Autonomio y la marca ImmigraFlow (en adelante, el "Prestador")
• NIF: 50555557Q
• Domicilio: Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España
• Correo electrónico: hello@immigraflow.io
• Sitio web: immigraflow.io

ImmigraFlow es una plataforma para despachos que llevan expedientes de extranjería. Esta política explica cómo trata el Prestador los datos de los que es responsable: los de los despachos que contratan ImmigraFlow y sus usuarios, y los de las personas que visitan el sitio web o contactan con el Prestador.

Los datos de los clientes de cada despacho (expedientes, documentos, mensajes) los decide y controla el despacho, que es su responsable. El Prestador los trata solo por cuenta del despacho, como encargado del tratamiento, conforme al Contrato de encargo del tratamiento. Si eres cliente de un despacho que usa ImmigraFlow, el despacho es quien te informa sobre el tratamiento de tus datos y ante quien puedes ejercer tus derechos (sección 8).

2. Datos que tratamos

2.1. Despachos y sus usuarios

• Identificación y contacto: nombre, correo electrónico, teléfono y rol de cada usuario; denominación, NIF y domicilio del despacho.
• Acceso: credenciales de acceso (la contraseña la guarda cifrada el proveedor de autenticación) o inicio de sesión con Google.
• Facturación de la suscripción: plan, módulos, importes y estado de los pagos. Los pagos los procesa Stripe; el Prestador no almacena datos de tarjetas.
• Soporte y comunicaciones: consultas, incidencias y conversaciones con el asistente de soporte.
• Uso de la Plataforma: actividad y registros técnicos y, si el usuario acepta las cookies de analítica, datos de uso según la Política de Cookies.

2.2. Visitantes y contactos

• Formularios: los datos que facilites al pedir información, registrarte en un webinar, suscribirte al boletín o empezar una prueba gratuita (nombre, correo, teléfono, despacho y mensaje).
• Origen de la visita: la campaña o el enlace por el que llegas al sitio web, que se guarda en la sesión de tu navegador y se asocia a tu registro solo si te registras.

2.3. Datos recopilados automáticamente

• Datos de navegación: dirección IP, tipo de navegador, idioma y páginas visitadas.
• Cookies: según se describe en la Política de Cookies.

3. Finalidades del tratamiento

• Prestación del servicio: dar de alta y mantener la cuenta del despacho y de sus usuarios y prestar el servicio contratado.
• Facturación: cobrar la suscripción y emitir las facturas.
• Soporte: atender consultas e incidencias, también con un asistente de inteligencia artificial.
• Comunicaciones del servicio: avisos sobre la cuenta, la seguridad, la prueba gratuita y los cambios de los Términos.
• Comunicaciones comerciales: el boletín y los webinars, a quien se suscribe, y novedades de ImmigraFlow a los despachos clientes. Todas incluyen la forma de darse de baja.
• Analítica y medición de campañas: entender cómo se usa el sitio web y la Plataforma y medir los resultados de la publicidad, solo con tu consentimiento.
• Seguridad: prevenir el fraude y los abusos y registrar los errores técnicos para corregirlos.
• Cumplimiento legal: obligaciones fiscales, contables y de cualquier otro tipo que resulten aplicables.

4. Base legal del tratamiento

5. Encargados y destinatarios

Los proveedores que tratan datos por cuenta del Prestador son los mismos que figuran como subencargados en la cláusula 10 del Contrato de encargo. Cada uno interviene solo en el servicio que se indica:

Además, si aceptas las cookies de publicidad, Google Ireland Limited (Google Ads) y Meta Platforms Ireland Limited (píxel de Meta) reciben datos de tu navegación en el sitio web para medir las campañas, como responsables de su propio tratamiento. La Agencia Tributaria y los demás organismos públicos reciben los datos que la ley obligue a comunicarles.

5.1. Canal de WhatsApp

Si un despacho activa el canal de WhatsApp, los mensajes con sus clientes pasan por el servidor de integración del Prestador (DigitalOcean, Fráncfort) y por los servidores de WhatsApp, con el número y la cuenta de WhatsApp del despacho. Ese tratamiento lo decide el despacho y se rige por el Contrato de encargo y por la sección 9 de los Términos y Condiciones. El canal es opcional y el despacho puede desactivarlo en cualquier momento; los mensajes quedan en la Plataforma aunque el canal deje de estar disponible.

6. Transferencias internacionales

Algunos de los proveedores de la sección 5 están establecidos en Estados Unidos o prestan el servicio desde allí; en particular, la aplicación se ejecuta en servidores de Vercel en Estados Unidos y las funciones de inteligencia artificial pasan por OpenRouter y por el proveedor de cada modelo, que puede estar fuera del Espacio Económico Europeo. Estas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) o, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. La ubicación y la garantía de cada proveedor figuran en la tabla de la sección 5.

7. Conservación de los datos

• Cuenta del despacho y de sus usuarios: mientras exista la cuenta. Al terminar la suscripción, la cuenta pasa a modo de solo lectura durante 12 meses y después sus datos se suprimen de forma automática, previo aviso por correo electrónico al titular y a los administradores de la cuenta con al menos 30 días de antelación. El despacho puede pedir antes la supresión, que se ejecuta en un plazo máximo de 30 días.
• Datos de los clientes de cada despacho: los conserva el Prestador por cuenta del despacho, según la cláusula 15 del Contrato de encargo: supresión automática a los 12 meses de terminar la suscripción, con aviso al despacho al menos 30 días antes, supresión antes si el despacho la pide, en un máximo de 30 días, y bloqueo durante 6 años de las facturas que el despacho emitió y de sus registros VeriFactu, salvo que el despacho indique otra cosa. Los documentos que el despacho borra se eliminan definitivamente a los 30 días.
• Facturación de la suscripción: 6 años, conforme al artículo 30 del Código de Comercio.
• Formularios de contacto, demostración y webinar: el tiempo necesario para atender la solicitud; se suprimen cuando lo pidas.
• Boletín: hasta que te des de baja.
• Analítica: como máximo 13 meses. La duración de cada cookie figura en la Política de Cookies.
• Copias de seguridad: las copias diarias del proveedor de base de datos se conservan 7 días, y las de la copia externa de la base de datos, 30 días. La copia externa de los ficheros retira los documentos borrados 30 días después de que salgan del almacenamiento principal.
• Preguntas a los asistentes de inteligencia artificial: las preguntas que haces al asistente de dudas del portal del cliente, al de investigación jurídica o al de soporte se guardan tras retirar de forma automática los datos personales (los nombres que se detectan, los números de documento, correos, teléfonos e IBAN) durante un máximo de 180 días, para mejorar las respuestas. Cada despacho ve solo las suyas; el Prestador puede analizar el conjunto de todos los despachos, pero solo sobre ese texto ya depurado y solo para mejorar el servicio. No se usan para entrenar modelos de terceros: los proveedores de inteligencia artificial están configurados sin retención de datos.

8. Tus derechos

Conforme al RGPD y a la LOPDGDD, puedes ejercer los siguientes derechos:

• Acceso: saber si tratamos tus datos y obtener una copia.
• Rectificación: corregir los datos inexactos.
• Supresión: pedir que se eliminen cuando ya no sean necesarios.
• Limitación del tratamiento: pedir que se restrinja en determinados supuestos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Oposición: oponerte al tratamiento basado en el interés legítimo y a las comunicaciones comerciales.
• Retirada del consentimiento: en cualquier momento, sin que afecte a la licitud del tratamiento anterior.

Para ejercerlos, escribe a hello@immigraflow.io indicando tu nombre y el derecho que quieres ejercer. Responderemos en el plazo de un mes. Si eres cliente de un despacho que usa ImmigraFlow, dirígete a tu despacho; si nos escribes a nosotros, le trasladaremos tu solicitud.

Si consideras que no se han atendido debidamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

9. Seguridad

El Prestador aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de las comunicaciones (TLS/HTTPS).
• Cifrado en reposo de la base de datos y de los ficheros, y cifrado adicional de certificados electrónicos y credenciales.
• Aislamiento entre despachos mediante políticas de seguridad a nivel de fila en todas las tablas, y control de acceso por roles dentro de cada despacho.
• Base de datos y ficheros alojados en la Unión Europea, y copias de seguridad diarias.
• Registro de errores técnicos sin datos identificativos.

El detalle está en la cláusula 9 del Contrato de encargo.

10. Menores de edad

ImmigraFlow está dirigido a profesionales y no a menores de edad. Los datos de menores que un despacho incluye en sus expedientes (por ejemplo, los hijos en una reagrupación familiar) los trata el despacho como responsable, y el Prestador solo por su cuenta, conforme al Contrato de encargo.

11. Extensión de Chrome Mercurio

La extensión de Chrome de ImmigraFlow rellena los formularios de las sedes electrónicas con los datos de los clientes del despacho. Los trata por cuenta del despacho, conforme al Contrato de encargo, y además trata los siguientes datos:

11.1. Datos tratados por la extensión

• Sesión: el token de autenticación se guarda en el almacenamiento local de la extensión en el navegador (chrome.storage.local) hasta que el usuario cierra la sesión.
• Datos de clientes: nombre, NIE/NIF, dirección y datos de la solicitud del cliente, que la extensión pide a la Plataforma solo para el rellenado y no guarda en el navegador.
• Descripción del formulario: una descripción compacta de los campos del formulario de la sede (etiquetas, tipos de campo, texto cercano), sin los datos personales que contenga la página. Se envía al servidor para emparejar los campos y se descarta después.
• Certificados electrónicos: solo el nombre del titular y el NIF del certificado, para rellenar los datos del presentador. Los ficheros de certificado cifrados (.p12) no salen nunca del servidor.
• Actas de incidencia: cuando el usuario lo pide, una captura de la página de la sede que ha fallado, que se guarda en el expediente.
• Registro de operaciones: cada rellenado (tipo de formulario, número de campos rellenados, duración) se registra para auditoría interna.

11.2. Procesamiento por inteligencia artificial

Para emparejar los campos del formulario con los datos del cliente, el servidor de ImmigraFlow envía la descripción de los campos y los datos del cliente a un modelo de IA (Gemini, de Google, con Claude, de Anthropic, como alternativa) a través de OpenRouter. La IA devuelve las correspondencias y los datos no se guardan más allá de la operación.

11.3. Permisos de la extensión

12. Modificaciones

El Prestador puede actualizar esta política. Cualquier cambio se publicará en esta página con su fecha, y los cambios importantes se comunicarán a los despachos por correo electrónico.

13. Contacto

Para cualquier consulta sobre protección de datos:

• Correo electrónico: hello@immigraflow.io
• Correo postal: Antonio Samuel Martín Polo, Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España