Política de privacidad

Esta política de privacidad regula el tratamiento de los datos personales de los usuarios que utilizan la plataforma blwe y sus servicios asociados (en adelante, "el Servicio"), operados por:

• Razón social: Domik Ventures S.L.
• NIF: B44638328
• Dirección: Passeig Baixador 34, 08195 Sant Cugat del Vallès, Barcelona, España
• Email de contacto: privacy@blwe.io
• Sitio web: https://blwe.io

Tratamos las siguientes categorías de datos personales:

• Datos de cuenta: nombre, email, contraseña cifrada, fotografía de perfil (opcional), idioma y zona horaria.
• Datos fiscales y de facturación: razón social, NIF/CIF, dirección postal, método de pago (procesado por proveedores certificados PCI-DSS).
• Datos de contactos del cliente (CRM): nombre, email, teléfono, NIF, dirección de los clientes y proveedores que el usuario gestiona en su cuenta.
• Datos de solicitantes del portal B2B: cuando un usuario activa el portal mayorista de su tienda Shopify, tratamos por su cuenta el nombre de contacto, email, nombre comercial, NIF/CIF, ciudad y país, web y mensaje de las tiendas que solicitan acceso, así como sus pedidos mayoristas.
• Conversaciones de la web de las tiendas: cuando un usuario conecta el chat o el formulario de contacto de su tienda online, tratamos por su cuenta el texto de las conversaciones (que puede incluir los datos que el cliente escriba, como nombres), el email y el nombre del cliente si los da, el número de pedido y el idioma. También guardamos las respuestas que la tienda envía al cliente por email desde su app (texto y fecha; en las automáticas, además el email de destino, para no enviar más de una al día a la misma dirección) y el borrador de respuesta que prepara la IA con su nota interna. Si el usuario activa la respuesta automática, enviamos por cuenta de su tienda, sin revisión de una persona, las respuestas a preguntas sencillas del formulario, marcadas como escritas por un asistente virtual. No guardamos su IP ni datos de su navegador. Todo se borra automáticamente pasado el plazo que fije el usuario, 365 días por defecto.
• Datos de leads del CRM: cuando un usuario importa o crea leads (posibles clientes de su empresa), tratamos por su cuenta su nombre, teléfono, email, código postal, ciudad, provincia, origen, interés y notas, el registro de su consentimiento (canal, fecha, origen y quién lo registró) y el historial de cambios. Las bajas («no contactar») se guardan solo como un código irreversible (hash con clave) que se mantiene aunque se borre el lead, para no volver a contactarle. Las filas originales de cada fichero importado se conservan 90 días, y el fichero subido se borra al terminar la importación o, si no se completa, como tarde en 48 horas.
• Mensajes de WhatsApp con leads: cuando el usuario envía secuencias de WhatsApp a sus leads desde el CRM, tratamos por su cuenta el registro de cada mensaje enviado (plantilla, fecha y estado de entrega que comunica Meta) y las respuestas de los leads (su texto o, si no es texto, solo el tipo). Las bajas por WhatsApp se guardan como un código irreversible (hash con clave) que se mantiene aunque se borre el lead. Los mensajes se borran junto con el lead, salvo los datos sin contenido que queden en el registro de una venta (punto siguiente).
• Registro de ventas del CRM: cuando un lead pasa a «ganado», guardamos por cuenta del usuario un registro de esa venta (fecha, origen, importe y el presupuesto aceptado o el aviso de pago que la causó) y de los mensajes de WhatsApp anteriores, sin su contenido: sus fechas, su tipo, la plantilla, quién lo envió (secuencia, persona o IA), su estado de entrega y una huella irreversible de su identificador en WhatsApp, además de las secuencias en las que estuvo inscrito. Sirve para la liquidación de esas ventas con la empresa cliente. Se conserva aunque se borre el lead, pero sin su nombre, teléfono ni email: solo con una referencia interna y el identificador que la empresa le dio en su propio sistema.
• Contenido generado y publicaciones: textos, imágenes y metadatos de los posts creados por el usuario para redes sociales.
• Tokens de autorización OAuth de redes sociales: tokens de acceso a Facebook, Instagram, LinkedIn, X (Twitter) y TikTok que el usuario autoriza explícitamente. Se almacenan cifrados con AES-256-GCM.
• Datos de uso y telemetría: direcciones IP, identificadores de dispositivo, registros de acceso, páginas visitadas y acciones realizadas en el Servicio.
• Comunicaciones: mensajes de soporte, valoraciones y cualquier interacción con nuestro equipo.

Tratamos los datos para las siguientes finalidades:

• Prestar el Servicio contratado: gestión de la cuenta, generación de contenido con IA, programación y publicación en redes sociales del usuario, gestión de su CRM, presupuestos, facturación y contabilidad.
• Cumplir con obligaciones legales fiscales, mercantiles y contables (especialmente Reglamento VeriFacTu, Ley de Servicios Digitales, RGPD).
• Atención al cliente y soporte técnico.
• Mejora del Servicio y análisis estadístico anonimizado.
• Envío de comunicaciones comerciales sobre nuestros productos (solo con consentimiento previo, revocable en cualquier momento).
• Prevención de fraude, uso indebido y cumplimiento de los Términos del Servicio.

Las bases jurídicas para el tratamiento son:

• Ejecución del contrato (Art. 6.1.b RGPD): para todo lo relacionado con la prestación del Servicio.
• Obligación legal (Art. 6.1.c RGPD): para cumplimiento fiscal, mercantil y de compliance.
• Interés legítimo (Art. 6.1.f RGPD): para prevención de fraude, mejora del Servicio y análisis estadístico.
• Consentimiento (Art. 6.1.a RGPD): para conexión de cuentas de redes sociales (OAuth), envío de marketing y cookies no esenciales.

Para prestar el Servicio, comunicamos datos a los siguientes prestadores (encargados de tratamiento, contractualmente obligados a cumplir el RGPD):

• Proveedores de redes sociales a los que el usuario autoriza acceso vía OAuth: Meta Platforms Ireland Ltd. (Facebook, Instagram), LinkedIn Ireland Unlimited, X Corp., TikTok Technology Ltd. Ver sus respectivas políticas de privacidad.
• Proveedores de inteligencia artificial: OpenAI Ireland Ltd. (procesamiento de prompts para generación de contenido). Los prompts se envían anonimizados; OpenAI no entrena modelos con nuestros datos.
• Sugerencias de respuesta en el CRM: Anthropic (Estados Unidos) actúa como proveedor de inteligencia artificial. Solo si la empresa usuaria activa las sugerencias de respuesta con IA, Anthropic recibe, para proponer un borrador, el nombre de pila del lead, su interés, su etapa en el CRM, sus últimos mensajes de WhatsApp, los datos propios del lead que la empresa haya marcado como visibles para la IA (por ejemplo, un enlace o una fecha) y la fecha límite de la secuencia de mensajes en la que esté inscrito, junto con los textos de conocimiento y las promociones que la empresa haya aprobado. Nunca recibe el teléfono, el email, los apellidos ni las notas internas de su ficha, ni los datos propios que la empresa no haya marcado como visibles para la IA; los teléfonos, emails y apellidos que aparezcan escritos en los mensajes o en esos datos se detectan y ocultan automáticamente antes del envío. El borrador lo revisa y lo envía una persona, salvo en las secuencias de mensajes en las que la empresa active la respuesta automática: ahí la IA responde sola, con límites: como mucho 3 respuestas por lead cada 24 horas, redactadas a partir de los textos que la empresa haya aprobado y con una comprobación automática de enlaces y cifras antes de enviarlas. Los mensajes de la secuencia avisan de que puede responder una IA y una persona de la empresa puede tomar el control de la conversación en cualquier momento.
• Accesos con IA del equipo de las tiendas: si un usuario da acceso a su equipo (por ejemplo, de marketing) para cambiar contenido de su tienda desde su propio asistente de IA, tratamos por su cuenta el email y el nombre de esas personas, sus sesiones y el registro de los cambios que hacen (qué, cuándo y el antes y el después), que se conserva dos años. Si el usuario se lo permite, también pueden consultar los pedidos de su tienda sin datos de clientes: número, fechas, estado, importes, códigos de descuento, canal, idioma, productos, origen de la visita y qué número de pedido es en el historial de ese cliente; nunca nombre, email, teléfono, dirección ni la personalización. Si el usuario lo permite («Atención al cliente»), las personas de su equipo con ese permiso leen y contestan las conversaciones de clientes del chat y del formulario de contacto de su web (con el nombre, el email, el pedido y los mensajes del cliente) desde su propio asistente de IA, y las respuestas salen por el correo de la tienda. Guardamos quién envió cada respuesta, con la conversación y durante su mismo plazo, y en el registro de cambios el estado y los recuentos de la conversación, nunca datos del cliente; el texto de una respuesta solo queda en ese registro mientras espera aprobación y se borra en la limpieza diaria tras decidirse. Las consultas quedan en el registro técnico del servidor sin textos, nombres ni emails.
• Asistente de la web de las tiendas: Anthropic (Estados Unidos) actúa como proveedor de inteligencia artificial. Solo si el usuario conecta el asistente de su tienda online, Anthropic recibe, para redactar cada respuesta, los últimos mensajes de la conversación (con los datos que el cliente escriba en ellos), la configuración y la base de conocimiento del chatbot del usuario y los datos de pedido que consulte, en las herramientas de su tienda o en la copia de sus pedidos de Shopify (por ejemplo, la fase de un pedido, su seguimiento o un enlace). Para preparar el borrador de respuesta a cada mensaje del formulario de contacto, Anthropic recibe ese mensaje con el nombre, el email, el asunto y el pedido o la referencia que escriba el cliente. Los datos de sesión que la tienda envía para sus herramientas no se le pasan ni se guardan.
• Proveedores de infraestructura cloud: Hetzner Online GmbH (Alemania), proveedor de servidores donde se aloja el Servicio.
• Proveedores de email transaccional y notificaciones.
• Procesadores de pago certificados PCI-DSS (Stripe, Revolut Business).
• Asesoría fiscal y legal de la empresa, sometida a secreto profesional.
• Autoridades públicas cuando exista obligación legal (AEAT, Inspección de Trabajo, fuerzas de seguridad).

Transferencias internacionales: Algunos prestadores procesan datos fuera del Espacio Económico Europeo (Estados Unidos principalmente). Estas transferencias se realizan amparadas en cláusulas contractuales tipo aprobadas por la Comisión Europea o decisiones de adecuación.

• Datos de cuenta: mientras la cuenta permanezca activa y hasta 30 días tras su cancelación.
• Datos fiscales y de facturación: 6 años desde la última operación (artículo 30 Código de Comercio español).
• Logs de acceso y telemetría: 12 meses.
• Tokens OAuth de redes sociales: hasta que el usuario desconecte la red social o cancele la cuenta.
• Comunicaciones de soporte: 3 años desde el cierre del caso.

Como interesado, dispones de los siguientes derechos:

• Derecho de acceso (Art. 15 RGPD).
• Derecho de rectificación (Art. 16 RGPD).
• Derecho de supresión ("al olvido", Art. 17 RGPD).
• Derecho a la limitación del tratamiento (Art. 18 RGPD).
• Derecho a la portabilidad de datos (Art. 20 RGPD).
• Derecho de oposición (Art. 21 RGPD).
• Derecho a no ser objeto de decisiones automatizadas individualizadas (Art. 22 RGPD).
• Derecho a retirar el consentimiento prestado en cualquier momento.

Para ejercer estos derechos envía un email a privacy@blwe.io adjuntando copia de tu DNI/pasaporte para verificar tu identidad. Responderemos en el plazo máximo de 30 días.

Adicionalmente, tienes derecho a presentar reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que el tratamiento no se ajusta a la normativa.

Puedes solicitar la eliminación completa de tu cuenta y todos sus datos asociados en cualquier momento mediante:

1. Desde la propia plataforma (recomendado): inicia sesión en blwe → Perfil → Configuración de la cuenta → "Eliminar cuenta definitivamente". Confirma con tu contraseña.
2. Por email: envía solicitud a privacy@blwe.io con el asunto "Solicitud de eliminación de cuenta - GDPR Art. 17" indicando el email asociado a tu cuenta y adjuntando copia de tu DNI/pasaporte para verificar identidad. Procesaremos la baja en un máximo de 30 días.

Qué se elimina: todos tus datos personales, contactos del CRM, contenido generado, tokens OAuth de redes sociales, configuraciones, historial de uso y cualquier información identificable.

Qué se conserva por obligación legal: facturas emitidas y datos fiscales asociados durante el periodo legalmente exigido (6 años) según el Código de Comercio español. Estos datos quedan bloqueados, accesibles solo ante requerimiento de autoridades competentes.

Eliminación de tokens de redes sociales: al darte de baja revocamos automáticamente todos los tokens OAuth almacenados. Puedes además revocarlos manualmente desde la configuración de privacidad de cada red social (Facebook → Configuración → Apps y sitios web).

Utilizamos cookies estrictamente necesarias para la autenticación y el correcto funcionamiento del Servicio (no requieren consentimiento), y cookies analíticas anonimizadas para mejorar la plataforma. No usamos cookies publicitarias ni de seguimiento de terceros.

Aplicamos medidas técnicas y organizativas apropiadas para proteger los datos: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), control de acceso con autenticación de dos factores opcional, copias de seguridad cifradas, registros de auditoría, y formación continua del equipo. Notificaremos a la AEPD y a los afectados cualquier brecha de seguridad en los plazos legales.

blwe es una herramienta profesional dirigida a empresas y profesionales mayores de 18 años. No recopilamos conscientemente datos de menores de 16 años. Si tomamos conocimiento de tales datos, los eliminaremos.

Podemos actualizar esta política cuando sea necesario por cambios legales o operativos. Las modificaciones sustanciales se notificarán por email a los usuarios registrados con al menos 30 días de antelación. La fecha de última actualización aparece al inicio de este documento.

Para cualquier consulta sobre privacidad escribe a privacy@blwe.io.

Domik Ventures S.L. — NIF B44638328
Passeig Baixador 34, 08195 Sant Cugat del Vallès, Barcelona, España