Esta política explica qué datos personales trata Stackslides S.L. («wiweb») cuando visitas wiweb.io, creas una cuenta, publicas una página o contratas un plan en app.wiweb.io, conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

Stackslides S.L., Musitu 47, 08023 Barcelona (España). Contacto de privacidad: privacidad@wiweb.io. No se ha designado Delegado de Protección de Datos.

2. Importante: las páginas de nuestros clientes

Si has visitado una página publicada con wiweb (en un subdominio de wiweb.me o en el dominio de un negocio) y has enviado su formulario, el responsable de tus datos es el titular de esa página, no wiweb. wiweb actúa como encargado del tratamiento por cuenta de ese titular, conforme al Anexo de Encargo de Tratamiento: guardamos tu mensaje y se lo enviamos por correo, y nada más. Consulta la política de privacidad publicada en la página que visitaste y dirige a su titular el ejercicio de tus derechos; si nos escribes a nosotros, trasladaremos tu solicitud al titular responsable.

3. Qué datos tratamos, para qué y con qué base

• Cuenta y servicio. Tu correo, tu nombre y tu contraseña (cifrada), o los datos que Google nos facilita si entras con tu cuenta de Google (nombre, correo y foto); los datos de tu negocio o de tu página (nombre comercial, razón social, NIF, dirección y dirección fiscal, teléfono, horario, servicios y precios, enlaces a redes); el contenido de tu página y las fotos que subes; las conversaciones con el asistente de edición, que se guardan para que el hilo continúe y puedes borrar cuando quieras; y tu configuración. Base: ejecución del contrato (art. 6.1.b), también en el plan Free.
• Facturación. El pago lo procesa Stripe: nosotros guardamos tu identificador de cliente en Stripe, el plan, el estado de la suscripción y la fecha del primer cobro; Stripe conserva los datos de tu tarjeta y emite las facturas. No vemos ni almacenamos el número de tu tarjeta. Base: contrato y obligación legal (art. 6.1.c).
• Prueba de aceptación de las condiciones. Al contratar un plan de pago registramos quién aceptó las Condiciones, qué versión, cuándo y con qué sesión de pago. Base: interés legítimo en poder acreditar el contrato (art. 6.1.f).
• Comunicaciones del servicio. Correos de alta y bienvenida, el aviso de cada mensaje que recibe tu página, el correo de visitas, los informes de presencia (mensuales o semanales según tu plan), avisos sobre tu dominio, tus pagos y cambios en el servicio. Base: ejecución del contrato. Podremos enviarte información sobre nuestros propios servicios similares a los que ya usas (art. 21.2 LSSI), siempre con un enlace para darte de baja; cualquier otra comunicación comercial requerirá tu consentimiento.
• Soporte y formularios. Lo que nos escribas desde el formulario de ayuda del panel (tu mensaje y los datos de tu cuenta), desde el formulario de contacto de wiweb.io (nombre, correo, mensaje), desde la solicitud de acceso a Custom (nombre, correo, empresa, tu web actual si la indicas, la opción elegida y lo que necesitas) o desde el formulario de empleo (nombre, correo, puesto y carta). Nos llega a nuestro canal interno de Slack y a nuestro correo, para atenderte. Base: contrato o medidas precontractuales (art. 6.1.b) e interés legítimo en responder a quien nos escribe.
• Seguridad y funcionamiento. Registros técnicos de las peticiones (IP, navegador, fecha) en nuestros proveedores de alojamiento durante un plazo breve; para limitar abusos guardamos temporalmente un resumen cifrado (hash con sal) de la IP, nunca la IP; e informes de error con datos técnicos de la petición que falló. Base: interés legítimo en proteger la plataforma (art. 6.1.f).
• Medición y publicidad. En wiweb.io, y sólo si aceptas cada categoría en el aviso de cookies: analítica sin cookies (Vercel), Meta Píxel y su API de conversiones (que recibe tu correo cifrado de forma irreversible, tu IP y tu navegador cuando envías un formulario) y Google Ads. Base: consentimiento (art. 6.1.a y art. 22.2 LSSI). En el panel: analítica sin cookies y la etiqueta de Google Ads para atribuir a una campaña las altas de pago; base: interés legítimo en medir nuestra publicidad, al que puedes oponerte. Si aceptaste la publicidad en el aviso de wiweb.io, también Meta Píxel y su API de conversiones, que al crear tu cuenta reciben ese registro con tu correo cifrado de forma irreversible, tu IP y tu navegador; base: tu consentimiento. Detalle en la Política de Cookies.
• Medición propia de visitas (sin cookies). Contamos las páginas vistas de wiweb.io desde nuestro propio servidor, con la misma técnica que usamos en la web de cada cliente: guardamos día, página, dominio que te enlazó, país y tipo de dispositivo, y un identificador de un solo sentido que se calcula con tu IP y tu navegador y cambia cada día, de modo que no se te puede reconocer de un día para otro. No usamos cookies ni guardamos nada en tu dispositivo, y la IP no se almacena: sirve para calcular ese identificador y se descarta. No se cruza con tu cuenta ni con ningún otro dato, y no sale de nuestros proveedores. Los registros se borran a los 400 días. Base: interés legítimo en medir nuestra propia audiencia (art. 6.1.f), en los términos de la excepción de medición de audiencia de la AEPD.
• De dónde llegas. Al registrarte guardamos con tu cuenta cómo llegaste a wiweb: las etiquetas de campaña que traía el enlace (utm_source, utm_medium, utm_campaign, utm_term, utm_content), el identificador de clic del anuncio si lo había (gclid de Google, fbclid de Meta), el sitio web que te envió —sólo su dominio, nunca la dirección completa—, la página de wiweb.io desde la que pulsaste y la fecha. Se copia a tu proyecto al crear tu página. No usa cookies ni guarda nada en tu dispositivo, y no lo enviamos a terceros: sólo nos dice qué canales nos traen clientes. Base: interés legítimo en medir de dónde vienen nuestras altas (art. 6.1.f), al que puedes oponerte.
• Datos públicos de tu negocio. Al crear tu página buscamos tu ficha pública en Google (nombre, dirección, horario, valoración) para rellenarla, y, en los planes con seguimiento y como comprobación inicial al crear la página, preguntamos a Google, a los asistentes de IA y a proveedores de datos de búsqueda cómo aparece tu negocio. Lo que enviamos son búsquedas genéricas con tu oficio y tu ciudad y la dirección pública de tu página; nunca los datos de tu cuenta. Base: ejecución del contrato.
• Fotos y vídeos. Si buscas fotos de stock, Pexels recibe el término de búsqueda y la foto elegida se copia a nuestro almacenamiento. Si añades un vídeo, YouTube recibe el identificador del vídeo para leer su título.
• Tu cuenta de Instagram, si la conectas. Desde Ajustes puedes conectar tu cuenta profesional de Instagram. Meta nos da entonces, con tu autorización y con un único permiso de lectura (instagram_business_basic), tu nombre de usuario, tu nombre, tu foto de perfil, tu número de seguidores y tus últimas ocho publicaciones (la imagen, el pie de foto y el enlace), para mostrarlos en el widget de Instagram y en el de Seguidores de tu página. No leemos mensajes ni comentarios, no publicamos nada y no compartimos estos datos con nadie. Guardamos el permiso de acceso cifrado, copiamos las imágenes a nuestro almacenamiento —tu página no pide nada a Instagram cuando alguien la visita— y las refrescamos una vez al día. Base: ejecución del contrato (art. 6.1.b): lo pides tú al conectar, y lo deshaces cuando quieras.
• Tu cuenta de TikTok, si la conectas. Desde Ajustes puedes conectar tu cuenta de TikTok. TikTok nos da entonces, con tu autorización y sólo con permisos de lectura (user.info.basic, user.info.profile, user.info.stats y video.list), tu nombre de usuario, tu nombre, tu foto de perfil, tu número de seguidores y tus últimos ocho vídeos públicos (la portada, el título y el enlace), para mostrarlos en un widget de tu página. No publicamos nada, no leemos mensajes y no compartimos estos datos con nadie. Guardamos el permiso de acceso cifrado, copiamos las portadas a nuestro almacenamiento —tu página no pide nada a TikTok cuando alguien la visita— y las refrescamos una vez al día. Base: ejecución del contrato (art. 6.1.b).
• Tu canal de YouTube, si pones su dirección. wiweb usa los servicios de la API de YouTube para leer los datos públicos del canal cuya dirección escribes en Ajustes: nombre, foto, número de suscriptores y el vídeo destacado o el último publicado. No accedemos a tu cuenta de Google ni pedimos ninguna autorización: es lo mismo que ve cualquiera en tu canal. Las imágenes se copian a nuestro almacenamiento y se refrescan a diario. Al usar estos datos se aplican la Política de privacidad de Google y las Condiciones de YouTube. Base: ejecución del contrato (art. 6.1.b).

No solicitamos categorías especiales de datos; te pedimos no incluirlas en campos de texto libre. No adoptamos decisiones automatizadas con efectos jurídicos sobre ti.

4. Inteligencia artificial: qué enviamos y a quién

Usamos modelos de OpenAI para escribir y corregir los textos de tu página, para describir y encuadrar tus fotos y para el chat del editor. Reciben el contenido de tu página y los datos de tu negocio (incluidas las fotos, cuando la función lo necesita) y tus mensajes al asistente. No reciben tus datos de facturación ni los mensajes que tus clientes te envían por el formulario. Según las condiciones de sus API, OpenAI no usa estos datos para entrenar sus modelos y los conserva un máximo de 30 días para detectar abusos; Perplexity no conserva las consultas de su API; y Google no usa los datos de la API de pago de Gemini para mejorar sus productos. Los análisis de presencia (ChatGPT, Perplexity, Gemini y Google) envían preguntas genéricas del tipo «mejor peluquería en Gràcia», sin datos personales.

5. Conservación

• Los datos de la cuenta y el contenido de tu página se conservan mientras la cuenta esté activa. Las cuentas gratuitas no caducan.
• Si borras tu página o tu cuenta, queda bloqueada durante 90 días —invisible para todos y recuperable sólo si nos lo pides— y después se elimina de forma definitiva, fotos incluidas.
• Los mensajes que recibe tu página y sus datos de visitas los tratamos por cuenta tuya; los identificadores diarios de visitantes se borran a los 400 días (ver el Anexo de Encargo).
• Los datos de facturación se conservan bloqueados durante los plazos legales mercantiles y fiscales; el registro de aceptación de las Condiciones, durante los plazos de prescripción de las eventuales responsabilidades, aunque borres la cuenta.
• Los datos de tu Instagram, mientras la conexión exista. Los borramos —el permiso de acceso y las copias de tus publicaciones y tu foto— cuando desconectas desde Ajustes o cuando retiras el acceso a wiweb desde Instagram (Configuración → Sitios web y aplicaciones); también puedes pedírnoslo por correo. Lo mismo con TikTok: los borramos cuando desconectas desde Ajustes, y dejamos de usarlos si retiras el acceso desde TikTok. Los datos públicos de tu canal de YouTube dejan de mostrarse si no hemos podido refrescarlos en 30 días, y desaparecen cuando quitas la dirección del canal o borras tu página.
• Las candidaturas de empleo y los mensajes de contacto, hasta 12 meses.
• Los registros técnicos, unos días; los resúmenes cifrados de IP para limitar abusos, unas horas.

6. Destinatarios y encargados

No vendemos ni cedemos tus datos a terceros salvo obligación legal. Para prestar el servicio nos apoyamos en proveedores que tratan datos por cuenta nuestra bajo contrato (art. 28 RGPD). Es la lista completa, con su país y el mecanismo que ampara la transferencia cuando están fuera del Espacio Económico Europeo:

• Vercel Inc. (EE. UU.) — alojamiento, red de entrega, funciones y analítica sin cookies. Certificado en el EU-US Data Privacy Framework (DPF).
• Supabase, Inc. (EE. UU.) — base de datos, autenticación y almacenamiento de archivos. Los datos se alojan en la Unión Europea (Irlanda, región eu-west-1); el acceso remoto del proveedor desde EE. UU. se ampara en Cláusulas Contractuales Tipo de la Comisión Europea.
• Stripe Payments Europe, Ltd. (Irlanda) y Stripe, Inc. (EE. UU.) — pagos y facturas. DPF.
• Resend, Inc. (EE. UU.) — envío de los correos del servicio. DPF.
• Functional Software, Inc. (Sentry) (EE. UU.) — monitorización de errores. DPF.
• Slack Technologies, LLC / Salesforce, Inc. (EE. UU.) — avisos internos de los formularios y de la ayuda. DPF.
• Meta Platforms Ireland Ltd. (Irlanda) — API de Instagram, sólo si conectas tu cuenta: recibe tu autorización y nos devuelve los datos de tu perfil y tus publicaciones. DPF.
• TikTok Technology Limited (Irlanda) — API de TikTok, sólo si conectas tu cuenta: recibe tu autorización y nos devuelve los datos de tu perfil y tus vídeos.
• Google Ireland Ltd. / Google LLC (Irlanda / EE. UU.) — API de Gemini, servicios de la API de YouTube (datos públicos de tu canal, si pones su dirección), PageSpeed, Maps y Places, YouTube, Google Ads, correo corporativo, y las tipografías que las páginas cargan si su visitante lo acepta. DPF.
• OpenAI Ireland Ltd. (Irlanda), con tratamiento por OpenAI OpCo, LLC (EE. UU.) — funciones de escritura, edición y chat asistidas por IA. Cláusulas Contractuales Tipo.
• Perplexity AI, Inc. (EE. UU.) — análisis de presencia en la IA. DPF.
• Serper (Reino Unido) — resultados de búsqueda de Google. Decisión de adecuación del Reino Unido.
• DataForSEO OÜ (Estonia, UE) — volúmenes de búsqueda.
• Pexels GmbH (Alemania, UE) — fotos de stock.
• Meta Platforms Ireland Ltd. (Irlanda) — Meta Píxel y su API de conversiones, en wiweb.io y en el panel, sólo con tu consentimiento de publicidad. DPF (Meta Platforms, Inc.).

7. Transferencias internacionales

Varios proveedores están en Estados Unidos. Cuando el proveedor está certificado en el EU-US Data Privacy Framework, la transferencia se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023; en los demás casos (Supabase y OpenAI), en las Cláusulas Contractuales Tipo de la Comisión Europea junto con su evaluación de impacto de la transferencia. La base de datos y los archivos de tu cuenta y de tu página se almacenan en la Unión Europea (Irlanda). Las transferencias al Reino Unido se amparan en su decisión de adecuación.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar tu consentimiento en cualquier momento, escribiendo a privacidad@wiweb.io. Respondemos en el plazo de un mes. Podremos pedirte que acredites tu identidad. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), que es la autoridad de control del responsable.

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado del tráfico (TLS) en todos los sitios, incluidas las páginas de los clientes; aislamiento de los datos de cada cliente mediante control de acceso a nivel de fila en la base de datos; acceso con privilegios mínimos; resúmenes cifrados en lugar de direcciones IP; historial de cambios y copias de cada página que permiten restaurar versiones anteriores; limitación de peticiones; y un mecanismo de suspensión inmediata de páginas abusivas.

10. Cambios

Publicaremos cualquier actualización de esta política en esta página, indicando la fecha de la última versión, y avisaremos a los clientes de los cambios sustanciales por correo electrónico.