Política de Privacidad

1. Introducción y responsable del tratamiento

Quiénes somos

Bitelio es una plataforma de automatización de correo electrónico operada por Overthings, S.L., sociedad constituida conforme al Derecho español, con número de identificación fiscal (CIF) B57925703 y domicilio social en Pl. Alexandre Jaume 3, 2, 07002 Palma (Illes Balears), España. En relación con el servicio alojado disponible en bitelio.com, Overthings, S.L. actúa en dos condiciones distintas:

• Responsable del tratamiento: respecto de los datos vinculados a su cuenta (su dirección de correo electrónico, su contraseña y su información de facturación)
• Encargado del tratamiento: respecto de los datos de contactos que usted carga, que tratamos exclusivamente por cuenta de usted y conforme a sus instrucciones

Información de contacto

Correo electrónico: legal@bitelio.com
Dirección postal: Overthings, S.L., Pl. Alexandre Jaume 3, 2, 07002 Palma (Illes Balears), España
Plazo de respuesta: 7 días hábiles (30 días para las solicitudes en virtud del RGPD)

Esta política cubre

• El servicio alojado prestado en bitelio.com (SaaS)
• Cómo tratamos los datos de los usuarios situados en la UE/EEE
• Los derechos que el RGPD le confiere

Esta política NO cubre

• Los servicios de terceros que usted decida conectar a Bitelio
• Los sitios web externos a los que se acceda a través de enlaces incluidos en Bitelio

2. Datos que recopilamos

2.1 Datos de la cuenta (nosotros somos el responsable del tratamiento)

La siguiente información se recoge al registrar la cuenta:

• Su dirección de correo electrónico (necesaria para iniciar sesión y recibir notificaciones)
• Su contraseña (conservada únicamente como hash seguro; nunca en texto plano)
• El método de autenticación que haya elegido (contraseña, OAuth de Google, OAuth de GitHub)
• La fecha de creación de su cuenta y su inicio de sesión más reciente
• Si su dirección de correo electrónico ha sido verificada

Usuarios de OAuth: Si se registra a través de Google/GitHub, recibimos:

• Su dirección de correo electrónico
• El identificador OAuth del proveedor (nunca se almacena contraseña alguna)
• Un estado de correo electrónico previamente verificado

NO recopilamos:

• Su nombre (opcional, nunca obligatorio)
• Un número de teléfono
• Una dirección física
• Números de tarjetas de pago (estos van directamente a Stripe)

2.2 Datos de contactos (usted es el responsable del tratamiento; nosotros, el encargado)

Los contactos que usted añade a sus proyectos contienen los datos que usted facilita:

• Las direcciones de correo electrónico de sus contactos
• Los campos personalizados que usted defina (almacenados como JSON: nombre, empresa, preferencias, etc.)
• El estado de suscripción de cada contacto (suscrito/dado de baja)
• Marcas de tiempo que registran cuándo se creó o modificó un contacto
• Configuración regional/de idioma

Campos de sistema (reservados):

• bitelio_id (identificador único)
• bitelio_email (dirección de correo electrónico)
• unsubscribeUrl (generado automáticamente)

2.3 Datos de actividad de correo electrónico

Respecto de los mensajes enviados a través de Bitelio se registra lo siguiente:

• El asunto y el cuerpo HTML renderizado
• Las direcciones del remitente y del destinatario
• Cuándo se envió el mensaje y su estado de entrega
• El identificador de mensaje de entrega asignado al correo (utilizado para el seguimiento)
• Eventos de entrega: enviado, entregado, abierto, con clic, rebotado, con queja
• Recuentos agregados de aperturas y clics
• Las marcas de tiempo de cualquier rebote o queja

Que el seguimiento se produzca o no depende de la configuración de su proyecto:

• Activado: Se hace seguimiento de todos los correos
• Desactivado: No se hace seguimiento de nada
• Solo marketing: Se hace seguimiento de las campañas y los flujos de trabajo; de los mensajes transaccionales, no

2.4 Registros de solicitudes de la API (conservación de 30 días)

Para mantener la seguridad del servicio y diagnosticar problemas, nuestros registros capturan:

• El método HTTP, la ruta y el código de estado de cada solicitud
• Cuánto tardó la solicitud y cuándo se produjo
• La dirección IP de origen y la cadena user-agent
• El identificador del proyecto y el del usuario (cuando la solicitud estaba autenticada)
• Cualquier código de error y sus mensajes
• El tamaño de la solicitud y de la respuesta

Conservación: Se purgan automáticamente una vez transcurridos 30 días

2.5 Analítica de uso (exclusivamente interna)

Nuestra analítica interna es agregada y no contiene datos personales:

• Volumen de correo enviado por proyecto
• Cifras de rendimiento de campañas y flujos de trabajo
• Estadísticas de uso de funcionalidades (anonimizadas)
• Tasas de error e indicadores de rendimiento del sistema

2.6 Cookies y almacenamiento local

Cookie de autenticación (next_token):

• Finalidad: Contiene el token JWT que mantiene su sesión iniciada en el panel de control
• Duración: 7 días
• Tipo: Propia (first-party), httpOnly, secure (solo HTTPS)
• Ámbito: *.bitelio.com
• Puede eliminarse: Sí (la cookie se elimina al cerrar sesión)

Sin cookies de seguimiento:

• No hay cookies de terceros
• No hay cookies de analítica
• No hay cookies publicitarias

Almacenamiento local del navegador:

• Preferencias de la interfaz (tema, barra lateral plegada, etc.)
• Se conservan exclusivamente en su dispositivo; nunca se transmiten a nuestros servidores

3. Cómo utilizamos sus datos

3.1 Prestación del servicio

Sus datos nos permiten:

• Verificar su identidad y mantener su sesión activa (tokens JWT)
• Enviar correos electrónicos por cuenta de usted a través de AWS SES
• Almacenar y administrar sus listas de contactos
• Ejecutar sus campañas y automatizaciones de flujos de trabajo
• Medir el rendimiento del correo electrónico (cuando el seguimiento está activado)
• Presentar analíticas e informes

3.2 Facturación y pagos

Cuando existe uso de pago, nosotros:

• Calculamos los cargos en función de su uso (correos enviados)
• Gestionamos los pagos a través de Stripe
• Emitimos facturas y recibos
• Detectamos actividad fraudulenta

3.3 Seguridad y cumplimiento

Son objeto de supervisión continua:

• Las tasas de rebote y de quejas (para proteger la reputación del remitente)
• El abuso de la API y las infracciones de los límites de uso
• Los intentos de inicio de sesión que parezcan sospechosos
• El spam u otras infracciones de las políticas

Entre las medidas que podemos adoptar figuran:

• Suspender proyectos cuyas tasas de rebote o de quejas sean excesivas
• Bloquear direcciones IP implicadas en actividades maliciosas
• Exigir la verificación del correo electrónico cuando un registro parezca sospechoso

3.4 Comunicación

Motivos por los que podríamos ponernos en contacto con usted:

• Anuncios del servicio (interrupciones, mantenimiento)
• Alertas de seguridad (actividad inusual, violaciones de la seguridad de los datos)
• Cambios en nuestras políticas (Condiciones, Política de Privacidad)
• Asuntos de facturación (pagos fallidos, avisos de cuota)
• Notificaciones de cumplimiento (p. ej., un proyecto suspendido)

NO enviamos:

• Correos de marketing (salvo que usted haya dado su consentimiento expreso)
• Novedades del producto (salvo que se haya suscrito a ellas)
• Promociones por cuenta de terceros

3.5 Obligaciones legales

Los datos podrán además utilizarse o comunicarse con el fin de:

• Atender citaciones o resoluciones judiciales
• Hacer cumplir nuestras Condiciones del Servicio
• Salvaguardar los derechos y la seguridad de nuestros usuarios
• Impedir el fraude o las conductas ilícitas

4. Base jurídica del tratamiento (RGPD)

Las bases del RGPD en las que se fundamenta nuestro tratamiento son las siguientes:

4.1 Ejecución de un contrato (art. 6.1.b del RGPD)

• Crear su cuenta y autenticarle
• Enviar y entregar correo electrónico
• Facturar y procesar pagos
• Prestar soporte y mantener el servicio

Sin este tratamiento, el servicio Bitelio no puede prestársele.

4.2 Interés legítimo (art. 6.1.f del RGPD)

• Supervisar la seguridad y prevenir el fraude
• Mejorar el servicio y corregir errores
• Analítica de uso (anonimizada)
• Vigilar la reputación del remitente (tasas de rebote/quejas)

Puede oponerse a este tratamiento en cualquier momento (escriba a legal@bitelio.com).

4.3 Obligación legal (art. 6.1.c del RGPD)

• Observar la legislación contra el spam
• Responder a requerimientos legales (citaciones)
• Conservación de registros fiscales y financieros
• Notificar las violaciones de la seguridad de los datos

4.4 Consentimiento (art. 6.1.a del RGPD)

• Comunicaciones de marketing de Bitelio (solo si usted da su consentimiento)
• Funcionalidades opcionales cuyo uso requiere el consentimiento como condición previa

El consentimiento, una vez prestado, puede retirarse en cualquier momento.

5. Almacenamiento y seguridad de los datos

5.1 Ubicación de los datos

Todos los datos residen dentro de la Unión Europea / Espacio Económico Europeo:

• Infraestructura principal: Hetzner (alojamiento con sede en Alemania)
• Base de datos: PostgreSQL, accesible únicamente a través de conexiones cifradas (TLS)
• Caché Redis: exclusivamente datos efímeros y en memoria
• Copias de seguridad: conservadas en ubicaciones de la UE/EEE

No se almacenan datos en: EE. UU., China ni ningún país fuera de la UE (con la única excepción de AWS SES para el correo en tránsito)

5.2 Medidas de seguridad

Salvaguardias técnicas:

• Contraseñas: con hash mediante algoritmos seguros estándar del sector
• Cookies: httpOnly, secure, SameSite=none (HTTPS)
• Conexiones a la base de datos: cifradas mediante TLS/SSL
• API: accesible únicamente por HTTPS (TLS 1.2+)
• Tokens JWT: caducan a los 7 días y se transportan en cookies httpOnly
• Limitación de tasa: defensa frente a ataques de fuerza bruta

Salvaguardias organizativas:

• Control de acceso: solo un conjunto restringido de personal puede acceder a los datos de producción
• Registro: los registros de solicitudes de la API se conservan 30 días para auditoría de seguridad
• Supervisión: alertas automatizadas ante actividad sospechosa

5.3 Notificación de violaciones de la seguridad de los datos

En caso de producirse una violación de la seguridad de los datos:

• Los usuarios afectados serán informados en un plazo de 72 horas (como exige el RGPD)
• El aviso se enviará a la dirección de correo electrónico de su cuenta
• Identificará qué categorías de datos se han visto afectadas
• Expondrá las medidas que usted puede adoptar para protegerse

6. Comunicación de datos y subencargados del tratamiento

Los datos salen de nuestros sistemas únicamente hacia los subencargados de confianza sin los cuales el servicio no podría funcionar:

6.1 Amazon Web Services (AWS SES)

• Finalidad: Entrega de correo electrónico (relé SMTP)
• Datos comunicados: Correos del remitente y del destinatario, asunto, cuerpo, adjuntos
• Ubicación: Los datos transitan únicamente en tránsito (el proveedor de entrega no los almacena)
• Protección: DPA de AWS (acuerdo de tratamiento de datos) junto con Cláusulas Contractuales Tipo
• Más información: aws.amazon.com/ses/

6.2 Stripe

• Finalidad: Procesamiento de pagos
• Datos comunicados: Correo de facturación, importes de uso, historial de transacciones
• Ubicación: Global (cuenta con la certificación PCI-DSS de nivel 1)
• Protección: DPA de Stripe junto con el cumplimiento PCI
• Más información: stripe.com/privacy

6.3 Hetzner

• Finalidad: Alojamiento de la infraestructura (servidores, base de datos, almacenamiento)
• Datos comunicados: Todos los datos de la aplicación
• Ubicación: UE/EEE (centros de datos situados en Alemania)
• Protección: Un proveedor establecido en la UE y conforme al RGPD
• Más información: hetzner.com/legal/privacy-policy

NINGÚN OTRO TERCERO

• Sin proveedores de analítica (Google Analytics, Mixpanel y similares)
• Sin redes publicitarias
• Sin intermediarios de datos ni empresas de marketing
• Sin píxeles de seguimiento de redes sociales

6.4 Comunicaciones exigidas por ley

La comunicación de datos puede resultar necesaria en respuesta a:

• Resoluciones judiciales o citaciones
• Solicitudes de las fuerzas y cuerpos de seguridad (respaldadas por un procedimiento legal válido)
• Requerimientos de seguridad nacional (con sujeción a las garantías legales aplicables)
• Emergencias (cuando deba evitarse un daño inmediato)

Salvo que la ley lo prohíba, se le informará de cualquier comunicación de este tipo.

7. Conservación de los datos

7.1 Datos de la cuenta

• Conservación: Mientras exista su cuenta, hasta que usted la elimine
• Eliminación: Surte efecto de inmediato y es permanente (no existe periodo de gracia)
• Copias de seguridad: Se purgan de las copias de seguridad en un plazo de 30 días

7.2 Datos de contactos

• Conservación: Hasta que usted elimine los contactos o su cuenta
• Su control: Los contactos pueden eliminarse uno a uno o de forma masiva
• Sin eliminación automática: Sus contactos nunca se eliminan por iniciativa nuestra

7.3 Datos de actividad de correo electrónico

• Conservación: Sin límite temporal fijo (para dar soporte a la analítica y al seguimiento de la entregabilidad)
• Incluye: Tasas de apertura, tasas de clics e historial de rebotes
• Finalidad: Disparadores de flujos de trabajo, rendimiento de campañas, reputación del remitente

7.4 Registros de solicitudes de la API

• Conservación: 30 días; después se eliminan automáticamente
• Finalidad: Auditoría de seguridad y depuración
• Eliminación: Un proceso de limpieza diario descarta todo registro con más de 30 días

7.5 Datos de cuentas eliminadas

• La eliminación de una cuenta surte efecto de inmediato
• No existe ventana de recuperación ni "eliminación reversible" (soft delete)
• Se borra todo lo asociado a la cuenta: contactos, campañas, flujos de trabajo, historial de correo, claves de API, proyectos
• Los registros de facturación se conservan cuando la ley lo exige (el plazo varía según la jurisdicción)

7.6 Conservación por imperativo legal

• Registros financieros: se conservan según lo exija la normativa fiscal
• Respuestas a citaciones: se conservan durante el tiempo que la ley nos obligue

8. Sus derechos en virtud del RGPD

Los residentes de la UE/EEE tienen derecho a ejercer los derechos que se indican a continuación:

8.1 Derecho de acceso (art. 15)

• Solicitar una copia de todos los datos personales que conservamos sobre usted
• Obtener esos datos en un formato legible por máquina (JSON)
• Cómo ejercerlo: Escriba a legal@bitelio.com o recupere sus datos a través de la API

8.2 Derecho de rectificación (art. 16)

• Obtener la corrección de los datos inexactos o incompletos
• Cómo ejercerlo: Modifique la configuración de su cuenta en el panel de control o escriba a legal@bitelio.com

8.3 Derecho de supresión ("derecho al olvido") (art. 17)

• Obtener la eliminación de su cuenta y de todo lo vinculado a ella
• La supresión es inmediata e irreversible (sin periodo de gracia)
• Cómo ejercerlo: Panel de control > Configuración > Eliminar cuenta, o escriba a legal@bitelio.com

8.4 Derecho a la portabilidad de los datos (art. 20)

• Llevarse sus datos como exportación en JSON
• Trasladarlos a otro servicio
• Cómo ejercerlo: Extraiga sus datos a través de los endpoints de la API o solicítelo en legal@bitelio.com

8.5 Derecho de oposición (art. 21)

• Oponerse al tratamiento realizado sobre la base del interés legítimo
• Oponerse a la recepción de correos de marketing
• Cómo ejercerlo: Escriba a legal@bitelio.com

8.6 Derecho a la limitación del tratamiento (art. 18)

• Obtener la limitación del tratamiento de sus datos durante un periodo de tiempo
• Cómo ejercerlo: Escriba a legal@bitelio.com

8.7 Derecho a presentar una reclamación

• Presentar una reclamación ante una autoridad de protección de datos
• La autoridad española competente respecto de Overthings, S.L. es la Agencia Española de Protección de Datos (AEPD, www.aepd.es); igualmente puede dirigirse a la autoridad de control de su propio Estado miembro de la UE/EEE
• Autoridades de control de la UE/EEE: edpb.europa.eu

9. Seguimiento de correos electrónicos

9.1 Modos de seguimiento

Bitelio ofrece tres modos de seguimiento, configurables por proyecto:

9.2 Cómo funciona el seguimiento

Seguimiento de aperturas:

• Se inserta una imagen de píxel transparente de 1x1 en el HTML del correo
• El píxel se carga cuando el destinatario abre el mensaje (siempre que las imágenes estén habilitadas)
• Qué se registra: la marca de tiempo de la primera apertura y el número total de aperturas
• Limitación: el bloqueo de imágenes por parte del destinatario puede impedir este mecanismo

Seguimiento de clics:

• Los enlaces del mensaje se reescriben para pasar por el servidor de redirección de Bitelio
• Qué se registra: la marca de tiempo del primer clic, el número total de clics y la URL del enlace
• A continuación, el destinatario es reenviado sin demora al destino original

Datos recopilados:

• Cuándo se produjo el evento
• El identificador del contacto y el del correo afectados
• NO se capturan las direcciones IP ni los user-agents de los destinatarios

9.3 Privacidad de los destinatarios

Los destinatarios que deseen evitar el seguimiento disponen de varias opciones:

• Desactivar las imágenes en su cliente de correo (lo que impide el seguimiento de aperturas)
• Elegir un cliente de correo que suprima los píxeles de seguimiento (Apple Mail Privacy Protection)
• Abstenerse de hacer clic en los enlaces (lo que evita el seguimiento de clics)

Importante: Su propia política de privacidad debe informar a sus contactos de que se realiza este seguimiento.

10. Cookies y almacenamiento local

10.1 Cookies

Establecemos una única cookie, y ninguna otra:

SIN COOKIES DE SEGUIMIENTO

• Sin cookies de Google Analytics
• Sin cookies de Facebook Pixel
• Sin cookies publicitarias ni de marketing
• Sin cookies de terceros

10.2 Almacenamiento local del navegador

Determinadas preferencias no sensibles de la interfaz residen en el almacenamiento local de su navegador:

• Su elección de tema (modo claro/oscuro)
• Si la barra lateral está plegada o desplegada
• Qué columnas de las tablas están visibles
• Cómo está organizado su panel de control

Estos valores:

• Permanecen en todo momento dentro de su navegador
• Nunca se transmiten a nuestros servidores
• Desaparecen cuando usted borra los datos de su navegador
• No desempeñan ningún papel en el seguimiento

10.3 Analítica (solo con su consentimiento)

Si habilitamos la medición de audiencia en nuestros sitios web públicos, esta se carga exclusivamente después de que usted la acepte a través del aviso de cookies. Hasta que usted dé su consentimiento, no se ejecuta ningún script de analítica ni se recopila dato de uso alguno. Su elección se guarda localmente en su navegador y puede modificarse en cualquier momento mediante el enlace "Preferencias de cookies" del pie de página.

10.4 Consentimiento de cookies

La única cookie que establecemos es estrictamente necesaria para la autenticación, por lo que la Directiva ePrivacy no nos obliga a solicitar consentimiento para ella. Toda tecnología no esencial (como la analítica descrita en el punto 10.3) está sujeta a su consentimiento previo y explícito.

Si usted se opone a la cookie de autenticación, Bitelio no puede utilizarse, ya que el inicio de sesión depende de ella.

11. Transferencias internacionales de datos

11.1 Almacenamiento principal (UE/EEE)

Todo nuestro almacenamiento principal de datos se encuentra en la UE/EEE:

• Centros de datos de Hetzner (Alemania)
• Base de datos PostgreSQL (UE/EEE)
• Caché Redis (UE/EEE)

11.2 Correo en tránsito (AWS SES - EE. UU.)

La entrega de correo a través de AWS SES conlleva una transferencia temporal de datos a EE. UU.:

• Los mensajes en proceso de entrega pueden atravesar regiones situadas fuera de la UE
• Afecta únicamente a datos en tránsito (no se produce almacenamiento a largo plazo fuera de la UE/EEE)
• Protegido mediante acuerdos de tratamiento de datos (DPA) y Cláusulas Contractuales Tipo (CCT)

11.3 Procesamiento de pagos (Stripe - Global)

Los pagos gestionados por Stripe se procesan a escala mundial con garantías adecuadas:

• Certificación PCI-DSS de nivel 1
• Cubiertos por el DPA de Stripe y el cumplimiento del RGPD
• Representante en la UE: Stripe Payments Europe, Ltd. (Irlanda)

Más información: stripe.com/privacy-center/legal

11.4 Decisiones de adecuación

Las decisiones de adecuación de la UE son nuestra base preferida para las transferencias siempre que estén disponibles. Las transferencias a EE. UU. se fundamentan en Cláusulas Contractuales Tipo (CCT) en la forma aprobada por la Comisión Europea.

12. Privacidad de los menores

Restricción de edad

• Los menores de 16 años no son el público al que se dirige Bitelio
• Nunca recopilamos a sabiendas datos de menores de 16 años
• Registrar una cuenta exige declarar que se tienen 16 años o más

Si lo descubrimos

• Si una cuenta pertenece a un menor de 16 años, la cuenta se elimina sin demora
• Las cuentas eliminadas por ser de un menor no reciben reembolso alguno

Derechos de los padres

• Si sospecha que su hijo ha abierto una cuenta, escriba a legal@bitelio.com
• El asunto se investigará con prontitud y la cuenta será eliminada

Edad de consentimiento según el RGPD

Fijada en 16 años (art. 8 del RGPD). Aunque los Estados miembros pueden rebajar este umbral hasta los 13 años, el estándar que aplicamos es de 16.

13. Ámbito de aplicación de esta política

El servicio alojado en bitelio.com —la única forma en la que se ofrece Bitelio— es lo que esta Política de Privacidad regula.

Quedan fuera de su ámbito los servicios de terceros que usted conecte a Bitelio y los sitios web externos a los que Bitelio enlace; cada uno de ellos se rige por su propia política de privacidad.

14. Modificaciones de la política de privacidad

Esta Política de Privacidad podrá revisarse para reflejar:

• Ajustes en la forma en que tratamos los datos
• Funcionalidades o servicios que introduzcamos
• Exigencias legales o reglamentarias
• Aclaraciones o la corrección de errores

Notificación

• Cambios sustanciales: todos los usuarios reciben un preaviso de 30 días por correo electrónico
• Cambios no sustanciales: solo se actualiza la fecha de "Última actualización"
• Cambios de gran relevancia: se muestra un aviso destacado en la página de inicio

Sus opciones

• Al continuar utilizando el servicio, usted acepta la política revisada
• Si está en desacuerdo, deberá eliminar su cuenta antes de que los cambios surtan efecto
• Puede obtener sus datos antes de la eliminación (derecho a la portabilidad del RGPD)

Historial de versiones

Las versiones anteriores pueden obtenerse previa solicitud (escriba a legal@bitelio.com)

15. Información de contacto

¿Alguna duda sobre esta Política de Privacidad o sobre sus datos?

Delegado de Protección de Datos (DPD)

El art. 37 del RGPD no nos obliga por el momento a designar uno. Si en el futuro se designara un DPD, sus datos de contacto figurarían aquí.

Representante en la UE

No se requiere ninguno, ya que Overthings, S.L. está establecida en la UE (España)

Autoridad de control

Presentar una reclamación ante una autoridad de protección de datos es su derecho. La autoridad española competente respecto de Overthings, S.L. es la Agencia Española de Protección de Datos (AEPD, www.aepd.es); también puede dirigirse a la autoridad de control de su propio Estado miembro de la UE/EEE. Encuentre su autoridad: edpb.europa.eu

Soporte técnico

• Correo electrónico: hello@bitelio.com