1. Responsable del Tratamiento
La entidad responsable del tratamiento de datos personales recogidos a través de la plataforma kaptto es kaptto, Lda., con sede en Portugal. Para cualquier cuestión relacionada con protección de datos, puede contactarnos a través del email: privacidade@kaptto.pt
2. Datos Recogidos
En el ámbito de la utilización de la plataforma, podemos recoger los siguientes datos personales:
- Usuarios de la plataforma: nombre, email, teléfono, cargo, datos de autenticación, dirección IP y datos de uso.
- Clientes evaluadores: nombre (cuando se proporciona), email, teléfono, valoración numérica, comentario, fecha y hora de la valoración, datos del dispositivo.
- Datos de empresas: denominación social, logotipo, dirección, contactos, datos de facturación.
- Datos del Google Business Profile: cuando el usuario conecta voluntariamente su cuenta de Google, accedemos al nombre de la cuenta, ubicaciones del negocio, valoraciones publicadas por clientes (incluyendo nombre del autor, clasificación y comentario), y la posibilidad de publicar respuestas en nombre del propietario. Estos datos se obtienen a través del scope https://www.googleapis.com/auth/business.manage de la API Google Business Profile.
3. Finalidad del Tratamiento
Los datos personales se tratan para las siguientes finalidades:
- Prestación y gestión del servicio de recogida de valoraciones;
- Identificación del ganador y entrega de premios del sorteo, cuando el cliente opte por dejar su contacto;
- Análisis estadístico y generación de informes de satisfacción;
- Comunicación de soporte y notificaciones operativas;
- Importación y gestión centralizada de valoraciones del Google Business Profile, incluyendo la posibilidad de responder a valoraciones directamente desde la plataforma;
- Cumplimiento de obligaciones legales y reglamentarias.
4. Base Legal
El tratamiento de datos personales se fundamenta en las siguientes bases legales, conforme al artículo 6 del RGPD:
- Consentimiento: para la recogida de datos de contacto de los clientes evaluadores y para la identificación y entrega de premios del sorteo;
- Ejecución del contrato: para la prestación del servicio a los usuarios registrados;
- Interés legítimo: para la mejora del servicio y análisis de uso;
- Obligación legal: para el cumplimiento de requisitos legales y fiscales.
4b. Integración con Google Business Profile
La plataforma kaptto permite a los usuarios conectar voluntariamente su cuenta de Google para integrar datos del Google Business Profile. Esta integración utiliza el protocolo OAuth 2.0 y requiere el consentimiento explícito del usuario.
Scope utilizado: https://www.googleapis.com/auth/business.manage
Datos accedidos y finalidades:
- Cuentas y ubicaciones: listado de cuentas y ubicaciones del negocio para selección por el usuario;
- Valoraciones: importación de valoraciones de Google (nombre del autor, clasificación, comentario, fecha) para visualización centralizada en el dashboard;
- Respuestas: publicación de respuestas a valoraciones en nombre del propietario de la ubicación.
Almacenamiento de tokens: los tokens de acceso OAuth se encriptan con AES-256-GCM antes del almacenamiento y nunca se comparten con terceros. Los tokens pueden ser revocados en cualquier momento por el usuario en la configuración de la plataforma.
Revocación: el usuario puede desconectar su cuenta de Google en cualquier momento, lo que revoca inmediatamente el acceso de la plataforma a los datos del Google Business Profile. La desactivación de una ubicación también desconecta automáticamente la cuenta de Google asociada.
5. Compartición de Datos
Los datos personales no se venden a terceros. Pueden ser compartidos con: (a) sub-procesadores esenciales para el funcionamiento de la plataforma (ver sección 5.1), mediante acuerdos de tratamiento de datos; (b) la empresa contratante, en lo que respecta a las valoraciones de sus clientes; (c) autoridades competentes, cuando lo exija la ley. Todos los sub-procesadores están vinculados por obligaciones de confidencialidad y protección de datos (artículo 28 del RGPD).
5.1. Sub-procesadores
kaptto recurre a los siguientes proveedores para el funcionamiento del servicio. Todos han sido evaluados respecto a conformidad RGPD y garantías de seguridad. Las transferencias fuera del Espacio Económico Europeo se realizan al amparo de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea.
- Vercel Inc. (EE.UU.) — Hosting de la aplicación y CDN. Transferencia bajo SCC.
- Neon Tech Inc. (servidores en UE — Fráncfort) — Base de datos PostgreSQL gestionada.
- Resend Inc. (EE.UU.; región de envío configurada en la UE — Irlanda) — Envío de emails transaccionales (invitaciones, recuperación de contraseña, códigos de acceso, alertas e informes). Transferencia bajo SCC.
- Anthropic PBC (EE.UU.) — Análisis de valoraciones y generación de respuestas vía Claude (modelo Haiku 4.5). Transferencia bajo SCC. Los datos enviados no se usan para entrenar modelos.
- Google LLC (EE.UU.) — Google Business Profile API (importación de valoraciones públicas y publicación de respuestas). Solo activado si el usuario conecta su cuenta Google.
- Functional Software Inc. (Sentry) (EE.UU.; región de almacenamiento configurada en la UE) — Monitorización técnica de errores y de rendimiento. Transferencia bajo SCC. Filtros aplicados para eliminar datos personales antes del envío.
- Upstash Inc. (servidores en UE) — Caché temporal para límites de uso (rate limiting). Sin datos personales identificables.
Esta lista está actualizada a Septiembre de 2026. Los cambios materiales se comunicarán por email a los usuarios con 30 días de antelación.
6. Retención de Datos
Los datos personales se conservan mientras sean necesarios para las finalidades para las que se recogieron. Las cuentas de usuario y las valoraciones recogidas se conservan mientras la empresa cliente tenga el servicio contratado. Hay datos con plazo propio, borrados automáticamente: los enlaces de recuperación de contraseña y las invitaciones sin aceptar, cuando caducan; los códigos de acceso, pasados sus 10 minutos de validez; los códigos de premio caducados y no canjeados, a los 6 meses; los registros técnicos de ejecución y de las llamadas a la API, a los 90 días. La empresa cliente puede solicitar en cualquier momento la eliminación de sus datos y de los datos de sus clientes evaluadores, a través del email indicado en la sección de Contacto; la solicitud se ejecuta en un plazo de 30 días, salvo obligación legal de conservación.
7. Derechos de los Titulares
Conforme al RGPD, los titulares de los datos tienen los siguientes derechos:
- Derecho de acceso: obtener confirmación y copia de los datos personales tratados (artículo 15);
- Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos (artículo 16);
- Derecho de supresión: solicitar la eliminación de datos personales, cuando sea aplicable (artículo 17);
- Derecho a la portabilidad: recibir los datos personales en un formato estructurado y de lectura automática (artículo 20);
- Derecho de oposición: oponerse al tratamiento de datos en determinadas circunstancias (artículo 21);
- Derecho a la limitación del tratamiento: solicitar la restricción del tratamiento de datos (artículo 18).
Para ejercer cualquiera de estos derechos, contáctenos a través del email privacidade@kaptto.pt
8. Cookies
La plataforma utiliza cookies estrictamente necesarias para el funcionamiento del servicio (autenticación y sesión). No se utilizan cookies de rastreo publicitario ni de análisis. El usuario puede configurar su navegador para rechazar cookies, aunque ello pueda afectar al funcionamiento de la plataforma.
9. Seguridad
Implementamos medidas técnicas y organizativas adecuadas para proteger los datos personales contra acceso no autorizado, pérdida, destrucción o alteración. Estas medidas incluyen encriptación de datos en tránsito (TLS), encriptación de tokens OAuth con AES-256-GCM, hash seguro de contraseñas (bcrypt), control de acceso basado en roles y auditorías regulares de seguridad.
10. Cambios
La presente Política de Privacidad puede ser actualizada periódicamente. Cualquier cambio significativo será comunicado a los usuarios por email o mediante notificación en la plataforma, con un mínimo de 15 días de antelación.
11. Contacto
Para cualquier cuestión relacionada con esta Política de Privacidad o con el tratamiento de sus datos personales, contáctenos a través de: privacidade@kaptto.pt
También tiene derecho a presentar una reclamación ante la Comisión Nacional de Protección de Datos (CNPD) — .www.cnpd.pt