Política de privacidad

Esta Política de privacidad explica cómo SmartMailing ("SmartMailing", "nosotros") recopila, usa, almacena y protege los datos personales cuando visitas smartmailing.io, creas una cuenta o utilizas nuestra plataforma de email marketing.

SmartMailing es operado por Ionuț-Săndel Badiu, empresario individual (Einzelunternehmen, Gewerbeschein) con domicilio en Nordbahnstraße 13/11, 1020 Viena, Austria. GISA-Zahl: 40104775. Pequeño empresario conforme al §6 Abs 1 Z 27 UStG (sin número de IVA). El aviso legal completo está disponible en nuestro Impressum. Somos el responsable del tratamiento de los datos personales de los usuarios de la plataforma y el encargado del tratamiento de los datos de suscriptores que nuestros clientes suben (véase la sección 9 más abajo).

1. Datos personales que recopilamos

Recopilamos y tratamos las siguientes categorías de datos personales:

Datos de cuenta

Cuando creas una cuenta: dirección de email, nombre, contraseña con hash (gestionada por nuestro proveedor de autenticación; nunca vemos tu contraseña en texto plano) y marcas de tiempo de creación de la cuenta y del último inicio de sesión. Si te registras o inicias sesión con Google, Google nos facilita tu nombre y tu dirección de email. También guardamos un registro de tu aceptación de nuestras condiciones de servicio (la hora, la versión de las condiciones y dónde las aceptaste; si las aceptas en la aplicación, la dirección IP y el navegador; en el pago, tu solicitud de empezar un plan de pago de inmediato) como prueba de nuestro contrato. Cuando eliminas tu cuenta, solo conservamos la hora, la versión y el lugar de la aceptación (sin dirección IP ni navegador) durante 7 años, como prueba en caso de una disputa de facturación.

Datos de perfil y de marca

Nombres de marca, archivos de logotipo, colores de marca, fuentes, URL de sitios web que nos pides extraer, texto de pie de página, enlaces sociales y cualquier otro contenido que introduzcas para configurar tu marca.

Contenido y plantillas de email

Las plantillas de email, páginas de destino web, emails transaccionales y contenido de campañas que creas con la plataforma, incluido el contenido generado por IA a partir de tus entradas.

Datos de suscriptores (tratados por cuenta de nuestros clientes)

Cuando usas SmartMailing para gestionar tus propias listas de correo, subes datos personales de tus suscriptores (dirección de email, nombre, idioma, campos personalizados, registros de consentimiento, fuente del opt-in, IP en el momento del registro, país aproximado). El país aproximado se deduce de la dirección IP en el momento del registro (solo el país, ninguna ubicación más precisa) o lo facilitas tú mediante una importación, la API o el panel; decide si un destinatario debe dar su consentimiento antes de medir aperturas y clics cuando pides el consentimiento solo en la UE, el EEE y el Reino Unido, y puedes usarlo para agrupar a tus suscriptores y en tus exportaciones. Tratamos estos datos según tus instrucciones como encargado del tratamiento (véase la sección 9).

Datos de entrega de email

Las direcciones de los destinatarios, los asuntos, el HTML renderizado del email y los eventos de entrega (enviado, entregado, abierto, clicado, rebotado, denunciado) de los emails enviados a través de la plataforma, incluidas las marcas de tiempo y los metadatos derivados de la IP de nuestro proveedor de entrega.

Datos de pago

Si contratas un plan de pago, nuestro procesador de pagos (Stripe) recopila el nombre de facturación, la dirección, los datos de la tarjeta (nunca vemos los números de tarjeta) y el historial de transacciones. Por nuestra parte, solo almacenamos identificadores e importes relacionados con la facturación.

Datos técnicos / de registro

Dirección IP (truncada a /24 cuando se almacena a largo plazo), agente de usuario del navegador, referente, rutas de solicitud, registros de errores. Los conservamos por motivos de seguridad, depuración y prevención de abusos.

Historial de chat con IA

Si usas funciones de IA (por ejemplo, generar contenido de email a partir de tu sitio web), almacenamos las indicaciones que envías y las respuestas que recibes, vinculadas a tu proyecto, para que puedas volver a consultarlas y refinarlas.

Imágenes y archivos subidos (alojados en enlaces públicos)

Las imágenes, logotipos y otros archivos que subes al editor, a tu biblioteca de marca o al creador de firmas de email, así como las imágenes que extraemos de una URL de sitio web que nos indicas, se guardan en nuestro almacenamiento de archivos en la nube y se sirven desde una dirección web pública. Esto es necesario para que los clientes de correo y los navegadores puedan mostrar las imágenes dentro de los emails, firmas y páginas alojadas que creas sin iniciar sesión. Las direcciones son largas y no aparecen listadas en ningún sitio, pero no están protegidas con contraseña: cualquiera que tenga el enlace puede abrir el archivo, incluso después de que un email haya sido reenviado. No subas archivos que contengan datos personales de otras personas, material confidencial o cualquier contenido que no quieras que un destinatario comparta. Puedes eliminar un archivo en cualquier momento desde el editor, y eliminamos tus archivos cuando se elimina tu cuenta.

Respuestas entrantes a tus emails

Si activas la gestión de respuestas para una marca, las respuestas que los suscriptores envían a tu dirección de respuesta se reciben en nuestra infraestructura. Guardamos la dirección del remitente, el asunto y el texto del mensaje, te los mostramos en la bandeja de Respuestas y los usamos para preparar con IA una respuesta sugerida que revisas y apruebas antes de que se envíe nada. Si conectas un chat de Telegram, el texto del mensaje también se reenvía allí. Las respuestas se conservan 12 meses y se eliminan antes si haces una eliminación RGPD del suscriptor.

Conocimiento de marca (Brand Brain)

Los documentos y textos que subes como conocimiento de marca se dividen en fragmentos y nuestro proveedor de IA los convierte en vectores numéricos (embeddings) para que la plataforma pueda recuperar los fragmentos relevantes al redactar contenido. Los fragmentos y vectores se guardan con tu marca y se eliminan con ella.

Entrada de voz

Si dictas texto con la función de micrófono, la grabación de audio se envía a nuestro proveedor de IA para su transcripción. Conservamos el texto resultante como parte de tu proyecto; el audio en sí no lo almacenamos.

Datos importados de otras plataformas de email

Cuando usas el importador de un clic (Mailchimp, MailerLite, Brevo), utilizamos la clave API que pegas para leer tus listas y suscriptores en ese proveedor, guardamos los suscriptores importados en tu cuenta y descartamos la clave al terminar la importación. El otro proveedor sigue siendo responsable del tratamiento independiente de los datos que conserva.

Revisores de campañas

Si invitas a alguien a revisar una campaña, guardamos su nombre y dirección de email, le enviamos un código de acceso de un solo uso y conservamos sus comentarios y su decisión de aprobación junto con la campaña. Su sesión de revisión dura como máximo 7 días.

Informes de autenticación de email (DMARC)

Cuando diriges los informes DMARC de tu dominio hacia nosotros, los proveedores de correo nos envían informes agregados que contienen las direcciones IP de los servidores que enviaron correo usando tu dominio, volúmenes de mensajes y resultados de autenticación. No contienen direcciones de destinatarios y se conservan 6 meses.

Servicios conectados

Si conectas Canva, guardamos los tokens de acceso que emite Canva para poder listar e importar tus diseños; si vinculas un chat de Telegram, guardamos el identificador del chat. Puedes desconectar cualquiera de los dos en cualquier momento.

Soporte y correspondencia

Cuando nos contactas por email, conservamos la correspondencia y los datos que incluyas durante el tiempo necesario para atender el asunto y, cuando se refiera a tu contrato, durante el plazo de prescripción legal.

Chat de soporte

Nuestro sitio web y nuestro panel ofrecen un chat en directo con nuestro soporte, gestionado por Crisp. Solo se carga cuando lo abres. Lo que escribes en el chat, y tu dirección de email si has iniciado sesión, llega a Crisp y a nosotros para que podamos responder; conservamos los chats igual que la correspondencia por email (véase arriba).

Boletín de SmartMailing

Si te suscribes a nuestro propio boletín en smartmailing.io, guardamos tu dirección de email y el momento de tu confirmación por doble opt-in. Puedes darte de baja de cada envío con un clic.

Lista de espera del lanzamiento

Mientras SmartMailing aún no está abierto a todos, nuestra página de espera te permite dejar tu dirección de email para recibir una invitación. Guardamos la dirección y la hora, la usamos solo para enviar esa invitación y la eliminamos como muy tarde a los 12 meses.

De dónde proceden los datos

Obtenemos datos personales directamente de ti, de los sitios web cuya URL nos pides extraer, de tus suscriptores cuando usan tus formularios o responden a tus emails, de los proveedores de correo (informes de entrega y DMARC), de las plataformas de email desde las que importas, de Google si inicias sesión con Google y de nuestro procesador de pagos. Facilitar los datos de cuenta y de facturación es un requisito contractual: sin ellos no podemos crear tu cuenta ni facturar un plan de pago. Todo lo demás es opcional y solo se trata cuando usas la función correspondiente.

2. Base jurídica del tratamiento (artículo 6 del RGPD)

Cada actividad de tratamiento se basa en una de las siguientes bases:

• Ejecución del contrato (art. 6.1.b): operar tu cuenta, almacenar tus proyectos, enviar emails en tu nombre, prestar atención al cliente. Sin esto no podemos ofrecer el servicio que contrataste.
• Obligación legal (art. 6.1.c): conservar registros de facturación conforme a la normativa fiscal, responder a solicitudes legítimas de las autoridades, mantener los registros exigidos por las normas de prevención del blanqueo de capitales o de protección del consumidor.
• Interés legítimo (art. 6.1.f): supervisión de la seguridad, prevención del fraude y los abusos, mejora del servicio, analítica interna. Ponderamos estos intereses frente a tus derechos y utilizamos los datos mínimos necesarios.
• Consentimiento (art. 6.1.a): envío de emails de marketing opcionales sobre nuevas funciones de SmartMailing. Puedes retirar tu consentimiento en cualquier momento haciendo clic en el enlace de baja del email correspondiente.

Emails de servicio y de producto. Los emails que forman parte del funcionamiento de tu cuenta (códigos de acceso, recibos, pagos fallidos, estado de campañas, avisos de entregabilidad, avisos de seguridad) se envían sobre la base del contrato y no pueden desactivarse mientras exista la cuenta. Podemos enviar a clientes existentes novedades ocasionales sobre las funciones de SmartMailing que ya usan, sobre la base de nuestro interés legítimo, con un enlace de baja en cada mensaje (artículo 13, apartado 2, de la Directiva ePrivacy). Nuestro boletín para personas que no son clientes solo se envía con tu consentimiento por doble opt-in.

Cuando nos basamos en el interés legítimo, hemos ponderado nuestro interés frente a tus derechos y usamos solo los datos necesarios; puedes oponerte en cualquier momento (véase la sección 6).

3. Subencargados del tratamiento que utilizamos

Recurrimos a los siguientes proveedores externos para prestar el servicio. Cada uno está vinculado por un acuerdo de tratamiento de datos y, cuando algún dato se transfiere fuera del Espacio Económico Europeo (EEE), la transferencia se rige por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea y por medidas complementarias.

Actualizamos esta lista cuando añadimos o cambiamos subencargados. Los cambios importantes se comunican con antelación a los usuarios de la plataforma cuando es razonable.

Otros destinatarios. Más allá de los encargados anteriores, solo comunicamos datos personales a: tribunales, autoridades de control y fuerzas de seguridad cuando la ley nos obliga; nuestros contables, abogados y aseguradoras bajo confidencialidad; y a un operador sucesor si SmartMailing se vende o fusiona, en cuyo caso se te informará y esta política seguirá aplicándose. Nunca vendemos datos personales ni compartimos datos de suscriptores con anunciantes.

4. Transferencias internacionales de datos

La mayoría de los datos personales se tratan dentro de la UE/EEE: nuestros servidores de aplicación se ejecutan en Fráncfort (Vercel), el envío de email en producción usa Amazon SES en la UE, el worker de extracción de sitios web funciona en Hostinger en la UE y el chat de soporte en Crisp en la UE. La base de datos está alojada por Supabase en Suiza, a la que la UE reconoce un nivel de protección adecuado mediante una decisión de adecuación (por lo que no se requieren CCT para ella). Cuando se transfieren datos personales fuera del EEE (a determinados subencargados ubicados en Estados Unidos, en concreto OpenAI, Stripe, Cloudflare, Vercel (acceso de soporte y entrega en el borde) y Resend para los emails propios de SmartMailing), nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), complementadas con medidas técnicas y organizativas (TLS en tránsito, cifrado en reposo, controles de acceso). Para más información sobre una transferencia concreta, escribe a [email protected].

Dos integraciones opcionales implican transferencias adicionales solo si las activas: Telegram (servidores en los Emiratos Árabes Unidos y otros lugares) recibe el texto de las respuestas entrantes, y Canva (Australia y Estados Unidos) recibe las solicitudes relativas a los diseños que importas. Ninguno de esos países cuenta con una decisión de adecuación de la UE a este efecto, por lo que ambas transferencias se basan en las cláusulas contractuales tipo incluidas en las condiciones de tratamiento de datos de los proveedores, y puedes ponerles fin en cualquier momento desconectando la integración.

5. Cuánto tiempo conservamos tus datos

Conservamos los datos personales solo mientras sean necesarios para la finalidad con la que se recogieron. Unas tareas de limpieza automáticas se ejecutan cada hora para aplicar los plazos siguientes.

• Datos de la cuenta: mientras tu cuenta esté activa. Se eliminan en un plazo de 30 días desde la solicitud de eliminación de la cuenta.
• Perfiles de marca, plantillas, proyectos, conocimiento de marca: igual que los datos de la cuenta; se eliminan con la cuenta.
• Imágenes y archivos subidos: hasta que los elimines o elimines tu cuenta.
• Historial de chat con IA: se conserva hasta que elimines el proyecto o tu cuenta.
• Datos de suscriptores subidos por nuestros clientes: se conservan hasta que el cliente elimine al suscriptor o su cuenta. Las altas que nunca se confirman por doble opt-in se eliminan a los 30 días.
• Eventos de entrega e interacción por mensaje (enviado, entregado, abierto, clic, rebote, queja): 90 días desde la fecha de envío para emails de campaña y automatización, 30 días para emails transaccionales. Las estadísticas agregadas de campaña, sin direcciones de destinatarios, se conservan con la campaña.
• Respuestas entrantes: 12 meses, o antes si se elimina al suscriptor.
• Informes agregados DMARC: 6 meses.
• Entradas de la lista de supresión: se conservan mientras exista la marca, para que la marca no vuelva a escribir a esa dirección; se eliminan cuando el cliente elimina la marca o la cuenta. Que la persona se dio de baja queda en la prueba de consentimiento descrita a continuación.
• Registros de consentimiento: se conservan durante la vida del suscriptor. Cuando se elimina un suscriptor, una marca o una cuenta, se conserva una prueba mínima durante 3 años más y después se elimina, para poder acreditar el consentimiento en una disputa o ante una consulta de la autoridad: una forma con hash unidireccional de la dirección (una dirección conocida puede cotejarse con ella, pero la dirección no puede leerse a partir de ella), las fechas de alta y de confirmación, el texto y la fuente del consentimiento, las respuestas al consentimiento de seguimiento y las fechas de baja. No se conserva ninguna dirección IP, nombre ni otro dato.
• Registro de los emails de servicio que te enviamos: 6 meses.
• Lista de espera del lanzamiento: hasta que enviemos la invitación, como máximo 12 meses.
• Registros de consultas de IA (Brand Brain): 30 días.
• Registro de la eliminación de una cuenta: 7 años (un identificador de usuario seudonimizado, la referencia de cliente de Stripe y las aceptaciones de las condiciones descritas en la sección 1, como prueba en una disputa de facturación).
• Registros de facturación y fiscales: 7 años, según exige el §132 de la Bundesabgabenordnung (BAO) austriaca.
• Registros técnicos / de seguridad: hasta 90 días, después se eliminan o agregan.
• Copias de seguridad: nuestro proveedor de base de datos, Supabase, hace cada día una copia de seguridad de la base de datos, que se conserva 7 días y se guarda cifrada, por lo que los datos eliminados pueden permanecer en una copia hasta 7 días. Las imágenes y archivos subidos no forman parte de estas copias.

6. Tus derechos

En virtud del RGPD, dispones de los siguientes derechos sobre tus datos personales. Para ejercer cualquiera de ellos, escribe a [email protected]. Respondemos en el plazo de un mes (prorrogable dos meses para solicitudes complejas).

• Acceso (art. 15): solicitar una copia de los datos personales que tenemos sobre ti.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión (art. 17): solicitar la eliminación de tu cuenta y tus datos personales. Algunos datos pueden conservarse por obligaciones legales (por ejemplo, registros de facturación).
• Limitación (art. 18): solicitar que pausemos el tratamiento de tus datos mientras se resuelve una controversia.
• Portabilidad (art. 20): solicitar tus datos en un formato estructurado y legible por máquina (JSON).
• Oposición (art. 21): oponerte al tratamiento basado en el interés legítimo, incluida la elaboración de perfiles.
• Retirada del consentimiento (art. 7): cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento. Esto no afecta al tratamiento lícito previo.
• Presentar una reclamación (art. 77): presentar una reclamación ante una autoridad de control. La autoridad competente para SmartMailing es la autoridad austriaca de protección de datos (Datenschutzbehörde, DSB): dsb.gv.at, Barichgasse 40-42, 1030 Viena, Austria. También puedes acudir a la autoridad de control de tu lugar de residencia habitual.

Puedes ejercer la mayoría de los derechos por tu cuenta: descargar una copia de tus datos (Cuenta, luego Exportar mis datos; el archivo indica lo que contiene), cambiar tus datos en los ajustes de la cuenta y eliminar tu cuenta con "Eliminar mi cuenta". Para las solicitudes por email podemos pedirte que confirmes la solicitud desde la dirección de email registrada en la cuenta, para no entregar datos a la persona equivocada. Las solicitudes son gratuitas salvo que sean manifiestamente infundadas o excesivas.

7. Decisiones automatizadas, elaboración de perfiles e IA

SmartMailing utiliza modelos de IA (actualmente proporcionados por OpenAI, a través del Cloudflare AI Gateway, salvo el worker de configuración de marca, que llama a OpenAI directamente) para: generar y traducir textos de email a partir de tus indicaciones, convertir el conocimiento de marca en embeddings y clasificar los fragmentos relevantes, redactar respuestas sugeridas a las respuestas entrantes, resumir los resultados de campaña y transcribir la entrada de voz. En todos los casos el resultado se te muestra y nada se envía a un destinatario sin tu acción. OpenAI procesa las solicitudes de API bajo sus condiciones Enterprise, no las utiliza para entrenar sus modelos y las conserva hasta 30 días para el control de abusos antes de eliminarlas.

Se trata de asistencia para el contenido, no de decisiones automatizadas sobre ti en el sentido del artículo 22 del RGPD. Aun así, dos mecanismos automatizados afectan a cómo puedes usar el servicio, y queremos ser transparentes al respecto:

• Protección de la entregabilidad: supervisamos automáticamente las tasas de rebote y de quejas y la autenticación DNS de cada dominio de envío. Si se superan los umbrales fijados en nuestros Términos del servicio, o si DKIM sigue fallando durante más de 24 horas, el envío para ese dominio se pausa automáticamente y se te notifica. Esto protege la entregabilidad de todos los clientes. Siempre puedes pedir que una persona revise la pausa contactándonos, y el envío se reanuda automáticamente una vez corregida la causa.
• Segmentación de suscriptores: la plataforma puede agrupar a los suscriptores de un cliente según su interacción (por ejemplo, "abrió en los últimos 90 días"). Se trata de una elaboración de perfiles realizada por instrucción del cliente; el cliente es el responsable del tratamiento y decide si la utiliza.

No utilizamos datos personales para entrenar modelos de IA propios.

8. Cookies y tecnologías similares

SmartMailing solo utiliza cookies esenciales y entradas de almacenamiento del navegador necesarias para operar el servicio:

• Sesión de autenticación: se establece al iniciar sesión y sirve para mantenerte conectado. Necesaria para que el servicio funcione.
• Tokens CSRF / de seguridad: se establecen para proteger frente a la falsificación de solicitudes entre sitios.
• Preferencia de idioma (NEXT_LOCALE): guarda el idioma elegido en el selector del sitio.
• Acceso de revisor: una cookie de sesión de 7 días que solo se establece para los revisores que inician sesión en una página de revisión de campaña.
• Protección anti-bots: Cloudflare Turnstile puede establecer una cookie de desafío de corta duración en los formularios que protege.
• Chat de soporte: solo después de que abras el chat, Crisp guarda cookies y entradas de almacenamiento del navegador que mantienen tu conversación; antes no se carga nada de Crisp.
• Páginas de pago: Stripe establece sus propias cookies estrictamente necesarias en las páginas de pago y del portal de facturación; consulta la política de privacidad de Stripe.
• Estado del editor: entradas de almacenamiento del navegador que conservan el trabajo no guardado del editor y tus preferencias de interfaz en tu dispositivo.

Utilizamos Vercel Web Analytics, una herramienta de analítica respetuosa con la privacidad y sin cookies, para medir las páginas vistas y el tráfico de forma agregada en nuestro propio sitio. No instala cookies, no almacena identificadores en tu dispositivo y no te rastrea entre sitios; deriva de los datos de la solicitud un hash efímero y no reversible para contar las visitas. Como no se almacena ni se lee nada en tu dispositivo, esto no requiere consentimiento conforme a la Directiva ePrivacy (§165 TKG 2021). Nuestra base jurídica es nuestro interés legítimo (art. 6.1.f del RGPD) en comprender el uso agregado de nuestro sitio. Vercel trata estos datos en Estados Unidos sobre la base de las Cláusulas Contractuales Tipo. No utilizamos cookies publicitarias ni rastreadores entre sitios. Si en algún momento introducimos tecnologías que almacenen o accedan a información en tu dispositivo más allá de lo estrictamente necesario, desplegaremos previamente un banner de consentimiento conforme.

Seguimiento en los emails enviados por nuestros clientes. Los emails de campaña enviados a través de SmartMailing pueden contener una imagen de seguimiento invisible que registra cuándo se abre el email, y enlaces reescritos para poder contar los clics. Que lo hagan depende de dos cosas: de la configuración que el cliente eligió para su marca (medir a todos; medir solo a los destinatarios que aceptaron; pedir el consentimiento solo a los destinatarios de la UE, el EEE y el Reino Unido y medir a todos los demás; o no medir a nadie) y de la respuesta del propio destinatario. Un destinatario que ha rechazado la medición nunca se mide, sea cual sea la configuración; cuando se requiere consentimiento, solo se mide a quienes aceptaron, además de los destinatarios recogidos antes del 14 de abril de 2026 que recibieron un aviso informativo único y no se opusieron en un plazo de 14 días. En la configuración regional, los destinatarios de país desconocido se tratan como si necesitaran dar su consentimiento, salvo que el cliente elija otra cosa. Los emails medidos llevan, junto al enlace de baja, un enlace «Preferencias de seguimiento» que abre la página de preferencias, donde el destinatario puede retirar o dar esa respuesta en cualquier momento sin darse de baja. Un email enviado sin medición no lleva imagen de seguimiento y sus enlaces quedan intactos. Los emails transaccionales (recibos, confirmaciones, restablecimientos de contraseña) y las respuestas a mensajes de un destinatario nunca se miden. Cada cliente es responsable, como responsable del tratamiento, de informar a los destinatarios y de obtener su consentimiento cuando la ley del país del destinatario lo exija: la CNIL francesa (recomendación del 14 de abril de 2026) y la Garante italiana (decisión del 17 de abril de 2026) consideran los píxeles de seguimiento de apertura como un acceso al dispositivo del destinatario que requiere consentimiento previo con fines de marketing. Cada respuesta se guarda con su texto, hora y origen. Los eventos de interacción se eliminan a los 90 días (véase la sección 5).

9. Cuando SmartMailing actúa como encargado del tratamiento

Cuando tú (el cliente) subes datos de suscriptores a SmartMailing (a través de la API, los formularios de suscripción alojados, el añadido manual o la importación CSV), eres el responsable del tratamiento de esos suscriptores, y SmartMailing actúa como tu encargado del tratamiento.

Tratamos los datos de suscriptores únicamente según tus instrucciones documentadas: almacenarlos, segmentarlos, enviar los emails que redactas, registrar los consentimientos y los eventos de entrega. No usamos los datos de suscriptores para nuestros propios fines, no los vendemos y no contactamos a los suscriptores por nuestra cuenta (salvo los emails transaccionales que tú activas, como la confirmación de doble opt-in).

Las condiciones de esta relación de encargo del tratamiento se establecen en nuestro Acuerdo de tratamiento de datos, disponible en smartmailing.io/legal/dpa. Al usar la plataforma aceptas el DPA. Los suscriptores que deseen ejercer sus derechos deben contactar contigo (el responsable del tratamiento); te ayudaremos a responder.

La función de encargado también abarca las páginas alojadas que operamos para ti (páginas de suscripción, confirmación, preferencias y baja, incluido el flujo de baja conversacional), la gestión de respuestas entrantes y las respuestas redactadas por IA descritas en la sección 7, el seguimiento de la interacción y la segmentación. Cuando activas la gestión de respuestas, vinculas un chat de Telegram o usas funciones de IA sobre datos de suscriptores, nos das instrucciones de utilizar los subencargados correspondientes indicados en la sección 3. Tus formularios de suscripción y páginas alojadas deberían enlazar a tu propia política de privacidad para que los suscriptores reciban la información que el artículo 13 del RGPD te exige.

10. Seguridad

Protegemos los datos personales con estas medidas técnicas y organizativas: TLS para todas las conexiones a nuestra plataforma; cifrado en reposo por parte de nuestros proveedores de alojamiento; separación entre clientes mediante seguridad a nivel de fila (row-level security) para todos los accesos a la base de datos desde el panel del cliente y mediante comprobaciones de propiedad en nuestro código de servidor allí donde nuestros servidores usan la clave privilegiada de la base de datos, que nunca llega a un navegador; webhooks verificados por firma o secreto compartido; inicio de sesión en dos pasos opcional para cada cuenta; revisiones de seguridad de nuestro código; y actualizaciones de seguridad de nuestras dependencias en cuanto se conocen vulnerabilidades. Cada cuenta tiene un único titular; todavía no hay roles de equipo compartidos.

En caso de una violación de datos personales que afecte a tus datos, notificaremos a la autoridad de control competente en un plazo de 72 horas e informaremos a los usuarios afectados cuando lo exijan los artículos 33-34 del RGPD.

Conviene conocer dos límites. Primero, las imágenes y archivos que subes se sirven, por diseño, desde enlaces públicos sin autenticación (véase la sección 1), así que su protección depende de que el enlace no se comparta. Segundo, nuestro personal solo puede acceder a los datos de los clientes para soporte, investigación de abusos y obligaciones legales; el acceso administrativo requiere inicio de sesión en dos pasos, y los cambios administrativos en las cuentas de clientes (como aprobar, pausar o eliminar una marca) quedan registrados; la consulta de datos no se registra individualmente.

11. Menores

SmartMailing es un servicio para empresas y adultos. Debes tener al menos 18 años para crear una cuenta (consulta la sección 3 de nuestras condiciones de servicio), y el servicio no está dirigido a menores. No recopilamos a sabiendas datos personales de menores de 18 años como usuarios de la plataforma. Si sabemos que una cuenta pertenece a una persona menor de 18 años, la cerramos y eliminamos los datos personales asociados, salvo los registros que la ley nos obliga a conservar. Si crees que un menor ha creado una cuenta o nos ha proporcionado datos personales, contáctanos y actuaremos.

12. Cambios en esta política

Podemos actualizar esta política de vez en cuando para reflejar cambios en el tratamiento, los encargados del tratamiento o la legislación aplicable. Los cambios importantes se comunicarán a los usuarios de la plataforma por email al menos 14 días antes de su entrada en vigor. La fecha de "última actualización" en la parte superior de esta página indica la revisión más reciente.

13. Contacto

Para cualquier pregunta relacionada con la privacidad o para ejercer cualquiera de los derechos enumerados en la sección 6, escríbenos a [email protected]. Procuramos responder en cinco días hábiles, y en un mes para las solicitudes formales de protección de datos.

Si no estás satisfecho con nuestra respuesta, puedes presentar una reclamación ante tu autoridad local de protección de datos. La autoridad competente para SmartMailing es la autoridad austriaca de protección de datos (DSB): dsb.gv.at.

No hemos designado un delegado de protección de datos porque las condiciones del artículo 37 del RGPD no se aplican a una empresa de nuestro tamaño y actividad; la dirección anterior es el punto de contacto único para todos los asuntos de protección de datos.