Política de Privacidad · v1.5

Volver a repustar.es

DIVEN Consultores, S.L. (en adelante, «el PRESTADOR»), titular del sitio web https://repustar.es y de la plataforma RepuStar, informa a los usuarios sobre el tratamiento de sus datos personales de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Sección Primera

1. Responsable del Tratamiento

Datos del Responsable

DIVEN Consultores, S.L.

Marca comercial: RepuStar

NIF: B91786822

Domicilio social: Avda. Averroes, Nº 6, Edificio EuroSevilla, Planta 4, Módulo 1, 41020 Sevilla, España

Teléfono: +34 954 25 18 62

Correo electrónico general: hola@repustar.es

Contacto de protección de datos: dpd@diven.es

Sección Segunda

2. Datos Personales que Tratamos

En función de la relación del usuario con la plataforma, el PRESTADOR puede tratar las siguientes categorías de datos personales:

Categoría	Datos	Origen
Registro	Email, contraseña (cifrada)	Facilitados por el usuario
Perfil	Nombre, apellidos, teléfono, datos de facturación (NIF, dirección)	Facilitados por el usuario
Suscripción	Plan contratado, estado, fechas. Datos de pago gestionados por Stripe (el PRESTADOR no almacena datos de tarjeta)	Generados por el servicio / Stripe
Uso del servicio	Reseñas sincronizadas, respuestas generadas, configuración de empresas, registros de actividad	Generados por el servicio
Fichas de Google Business Profile conectadas	Datos de la ficha de la Empresa, reseñas y datos de sus autores (nombre público, imagen, valoración y texto), preguntas y respuestas, publicaciones, elementos multimedia, estadísticas de la ficha e identificadores técnicos de cuenta y ubicación	API de Google Business Profile, previa autorización del usuario
Técnicos	Dirección IP, tipo de navegador, cookies técnicas	Recogidos automáticamente
Origen del alta y código promocional	Canal por el que llegaste (los parámetros de campaña utm del enlace), el dominio de la página que te enlazó (solo el dominio, nunca la dirección completa) y, si te registras con un código promocional, ese código y por dónde llegó: el enlace o el QR de un distribuidor, tecleado en el formulario, recordado por la cookie rs_codigo_promo o desde el correo del diagnóstico gratis. No incluye ningún identificador del visitante ni de su navegación	Recogidos al registrarse

Sección Tercera

3. Finalidades y Bases Jurídicas del Tratamiento

Finalidad	Base jurídica (art. 6 RGPD)
Prestación del servicio RepuStar contratado	Ejecución del contrato (art. 6.1.b)
Conexión y gestión de la ficha de Google Business Profile del usuario (sincronización de reseñas, publicación de respuestas y contenidos, y estadísticas)	Ejecución del contrato (art. 6.1.b) respecto de los datos del usuario; el usuario actúa como responsable y el PRESTADOR como encargado (art. 28) respecto de los datos de terceros (autores de reseñas)
Gestión de la cuenta de usuario, facturación y cobros	Ejecución del contrato (art. 6.1.b)
Generación de contenidos mediante inteligencia artificial	Ejecución del contrato (art. 6.1.b)
Comunicaciones comerciales y boletín informativo	Consentimiento (art. 6.1.a)
Estudios de mercado y análisis estadísticos	Interés legítimo (art. 6.1.f)
Aplicar el descuento del código promocional con el que te registras y atribuir tu alta al distribuidor de ese código	Ejecución del contrato (art. 6.1.b) respecto del descuento; interés legítimo (art. 6.1.f) en atribuir cada alta al distribuidor que la consiguió
Medir, de forma agregada, por qué canales llegan las altas	Interés legítimo (art. 6.1.f)
Atención de consultas y soporte técnico	Ejecución del contrato (art. 6.1.b)
Cumplimiento de obligaciones fiscales y legales	Obligación legal (art. 6.1.c)
Seguridad del sitio web y detección de fraude	Interés legítimo (art. 6.1.f)

Comunicaciones comerciales: Solo se remitirán con el consentimiento previo del usuario, revocable en cualquier momento.

Decisiones automatizadas: Los sistemas de inteligencia artificial utilizados en la plataforma no adoptan decisiones automatizadas con efectos jurídicos sobre el usuario ni elaboran perfiles en los términos del artículo 22 del RGPD. Los contenidos generados por IA se ofrecen como sugerencia orientativa y requieren la revisión y aprobación del usuario antes de su publicación.

Sección Cuarta

4. Conservación de los Datos

Los datos se conservan el tiempo necesario para cumplir la finalidad que motivó su recogida y para determinar las posibles responsabilidades derivadas del tratamiento.

Tipo de dato	Periodo de conservación
Datos de cuenta y servicio	Vigencia del contrato + 30 días para exportación
Datos de facturación y documentación contable	6 años desde el último asiento contable (art. 30 del Código de Comercio); prescripción fiscal general: 4 años (Ley General Tributaria)
Registros de auditoría	1 año desde su generación (la IP se almacena seudonimizada mediante hash)
Direcciones IP en registros de seguridad (intentos de acceso)	Máximo 90 días
Origen del alta (canal, dominio de referencia y vía del código)	Mientras exista la cuenta; se borra con ella
Generaciones de IA	2 años, con fines de trazabilidad y defensa jurídica; la mejora del servicio, solo con datos anonimizados o agregados
Tokens de acceso OAuth de servicios conectados (Google Business Profile)	Mientras la conexión permanezca activa y sea necesaria para prestar el servicio. Se revocan y eliminan al desconectar el servicio, al revocar el usuario la autorización o al finalizar el contrato, sin conservarse accesos técnicos inactivos
Contenido en bruto obtenido de las APIs de Google (respuestas de la GBP API: datos de la ficha, reseñas, publicaciones, preguntas y respuestas, elementos multimedia y estadísticas)	Máximo 30 días desde su obtención, conforme al compromiso declarado a Google. Se purga además por completo y de forma inmediata al desconectar el servicio o al revocar el usuario la autorización
Reseñas incorporadas al histórico de reputación de la Empresa	Mientras se mantenga la relación contractual, conforme a la fila «Datos de cuenta y servicio». Este plazo es independiente del de 30 días aplicable a las respuestas en bruto de las APIs de Google
Datos de consentimiento	5 años desde la revocación

Cumplidos los plazos, los datos se suprimen o anonimizan con medidas de seguridad adecuadas.

Tratamos direcciones IP asociadas a intentos de acceso con fines de seguridad (prevención de fraude y ataques de fuerza bruta), sobre la base del interés legítimo (art. 6.1.f RGPD), conforme a la LOPDGDD y RGPD; se conservan un máximo de 90 días. El resto de registros de auditoría almacenan la IP de forma seudonimizada (hash).

Sección Quinta

5. Destinatarios de los Datos

No está prevista ninguna comunicación de datos personales a terceros salvo las necesarias para el desarrollo y ejecución del servicio. Los datos podrán ser tratados por los siguientes proveedores, con los cuales el PRESTADOR tiene suscritos los contratos de encargado de tratamiento exigidos por la normativa vigente:

Proveedor	Finalidad	Ubicación
Supabase	Alojamiento de base de datos y autenticación	Irlanda (UE)
Vercel	Alojamiento de la aplicación web	UE / EE.UU. (cláusulas contractuales tipo)
Stripe	Procesamiento de pagos y facturación	Irlanda (UE) / EE.UU. (cláusulas contractuales tipo)
Anthropic	Generación de contenidos mediante inteligencia artificial	EE.UU. (cláusulas contractuales tipo)
Resend	Envío de correos electrónicos transaccionales	UE / EE.UU. (cláusulas contractuales tipo)
Google	Integración con Google Business Profile (por cuenta del usuario)	UE / EE.UU. (cláusulas contractuales tipo)
Meta Platforms	Envío de mensajes de WhatsApp (invitaciones y notificaciones transaccionales)	Irlanda (UE) / EE.UU. (cláusulas contractuales tipo)
402T Labs, S.L.U.	Envío de mensajes SMS por cuenta de las Empresas usuarias	Vigo, España (UE), sin transferencia internacional

Google Business Profile — Roles de tratamiento: El usuario es el responsable del tratamiento de los datos gestionados a través de Google Business Profile, actuando el PRESTADOR como encargado del tratamiento en la medida en que accede a dichos datos para la prestación del servicio. Esta relación queda formalizada en las Condiciones Generales de Contratación. Las reseñas públicas se obtienen de las plataformas de origen directamente o a través de proveedores especializados de datos.

Uso de datos obtenidos mediante APIs de Google

El uso y la transferencia por parte de RepuStar de la información recibida de las APIs de Google se ajustan a la Google API Services User Data Policy, incluidos sus requisitos de Uso Limitado (Limited Use):

Permiso solicitado: gestión de la ficha de empresa del usuario (Business Profile, ámbito business.manage), previa autorización mediante el sistema de consentimiento OAuth de Google. Solo se solicitan los permisos necesarios para las funcionalidades que el usuario active (principio de minimización).
La autorización OAuth no amplía la finalidad: el consentimiento otorgado en Google habilita técnicamente el acceso, pero no constituye por sí solo una base jurídica autónoma ni una autorización para tratar los datos con fines distintos de los descritos en esta Política.
Datos obtenidos: información de las fichas autorizadas por el usuario (datos de la ficha, reseñas y datos de sus autores, respuestas, elementos multimedia, publicaciones, preguntas y respuestas, estadísticas e identificadores técnicos).
Acciones por cuenta del usuario: además de leer datos, la Plataforma puede escribir en la ficha conectada (responder reseñas, publicar contenidos, actualizar información y responder preguntas). Estas acciones se ejecutan únicamente tras la aprobación concreta del usuario o conforme a la automatización que él mismo haya configurado de forma expresa.
Finalidad exclusiva: proporcionar y mejorar las funcionalidades visibles de la Plataforma solicitadas por el usuario.
No publicidad: estos datos no se utilizan con fines publicitarios ni de segmentación.
No venta ni cesión: no se venden ni se transfieren a terceros, salvo a los encargados indicados en la tabla anterior cuando sea necesario para prestar el servicio, por motivos de seguridad o por obligación legal.
No entrenamiento de IA: no se emplean para entrenar ni mejorar modelos de inteligencia artificial de propósito general.
Acceso humano restringido: ninguna persona lee estos datos, salvo (i) con el consentimiento del usuario, (ii) por motivos de seguridad, (iii) para cumplir la legislación aplicable, o (iv) cuando los datos se hayan agregado o anonimizado para operaciones internas.
Seguridad de los tokens: los tokens OAuth se protegen como credenciales sensibles (cifrado en reposo, acceso restringido y mínimo privilegio) y no se transmiten a proveedores ni subencargados que no los necesiten.
Conservación y revocación: el contenido en bruto obtenido de las APIs de Google se conserva un máximo de 30 días desde su obtención. El usuario puede revocar el acceso en cualquier momento desde la Plataforma o desde myaccount.google.com/permissions; producida la desconexión o la revocación, cesa el acceso, se eliminan los tokens y dicho contenido se purga por completo y de forma inmediata, completándose la desvinculación dentro de los 7 días hábiles comprometidos con Google. Las reseñas ya incorporadas al histórico de reputación de la Empresa son dato de la Plataforma y se conservan mientras dure la relación contractual, conforme a la Sección Cuarta.

Transferencias internacionales: Algunos proveedores tratan datos en EE.UU. Para los proveedores adheridos al Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework) —entre ellos Google LLC—, la transferencia se ampara en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023. Con carácter complementario, o para los proveedores no adheridos, se aplican las Cláusulas Contractuales Tipo de la Unión Europea u otros mecanismos de garantía adecuados. Toda transferencia se realiza conforme al capítulo V de la LOPDGDD y RGPD.

Sección Sexta

6. Derechos del Usuario

El usuario podrá ejercer los siguientes derechos en relación con sus datos personales:

Derecho de acceso: conocer qué datos personales están siendo tratados.
Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos.
Derecho de supresión: solicitar la eliminación de los datos cuando ya no sean necesarios.
Derecho de oposición: oponerse al tratamiento de los datos en determinadas circunstancias.
Derecho de limitación: solicitar la limitación del tratamiento en los supuestos previstos legalmente.
Derecho de portabilidad: recibir los datos en un formato estructurado y de uso común.
Derecho a retirar el consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.
Derecho a no ser objeto de decisiones automatizadas: en los términos del artículo 22 del RGPD, incluida la elaboración de perfiles.

Ejercicio de derechos

Dirigirse al contacto de protección de datos:

dpd@diven.es

DIVEN Consultores, S.L. — Avda. Averroes, Nº 6, Edificio EuroSevilla, Planta 4, Módulo 1, 41020 Sevilla, España

En caso de duda razonable sobre la identidad del solicitante, podrá requerirse documentación acreditativa.

El usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que el tratamiento no se ajusta a la normativa vigente.

Sección Séptima

7. Carácter Obligatorio de los Datos

Los campos marcados con asterisco (*) son obligatorios para prestar el servicio; el resto son voluntarios. El usuario garantiza la veracidad de los datos facilitados y comunicará cualquier modificación. Sin los datos obligatorios, el PRESTADOR no puede garantizar la correcta prestación del servicio.

Sección Octava

8. Medidas de Seguridad

El PRESTADOR trata los datos personales conforme a la LOPDGDD y el RGPD y a los principios del artículo 5 del RGPD: licitud, lealtad, transparencia, minimización y limitación de la finalidad y de la conservación.

El PRESTADOR garantiza que ha implementado políticas técnicas y organizativas apropiadas para aplicar las medidas de seguridad que establecen la LOPDGDD y el RGPD, incluyendo:

Cifrado en tránsito (TLS/SSL) en todas las comunicaciones.
Cifrado AES-256 de los tokens de acceso OAuth almacenados, u otras medidas equivalentes conforme al estado de la técnica.
Datos alojados en la Unión Europea (Irlanda) como ubicación principal.
Control de acceso basado en roles y autenticación con doble factor para el panel de administración.
Copias de seguridad periódicas y automatizadas.
Registro de auditoría inmutable de todas las acciones realizadas en la plataforma.

Inteligencia artificial: Los textos enviados a proveedores de IA se transmiten cifrados. Dichos proveedores tratan los datos únicamente para prestar el servicio, como encargados o subencargados conforme al artículo 28 del RGPD y a los contratos de encargo suscritos, sin utilizarlos para el entrenamiento de modelos de propósito general, salvo autorización expresa del usuario y base jurídica válida.

Sección Novena

9. Cookies

La plataforma RepuStar utiliza cookies técnicas necesarias para el correcto funcionamiento del servicio y, únicamente previo consentimiento explícito del usuario recabado mediante el banner de cookies, rastreadores no esenciales de analítica y publicidad, que permanecen bloqueados mientras no se acepten. Las cookies pueden implicar el tratamiento de datos personales conforme a la normativa vigente. La información detallada sobre las cookies utilizadas, su finalidad y la forma de desactivarlas se encuentra en la Política de Cookies disponible en el sitio web (repustar.es/politica-cookies.html).

Entre las cookies técnicas está rs_codigo_promo (60 días): guarda únicamente el código del distribuidor o de la oferta con el que llegas a la web, para aplicar su descuento al darte de alta y atribuir el alta a ese distribuidor. No guarda ningún identificador tuyo ni de tu navegación.

Sección Décima

10. Modificaciones de la Política de Privacidad

El PRESTADOR podrá modificar esta Política para adaptarla a novedades legislativas, jurisprudenciales o de la industria, anunciando los cambios en la plataforma con antelación razonable.

Última actualización: 15 de octubre de 2026