Política de privacidad

Última actualización: 2 de octubre de 2026

Esta política explica qué datos personales tratamos en Atendyo, para qué, con qué base legal, con quién los compartimos, cuánto tiempo los guardamos y cómo puedes ejercer tus derechos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

2. Qué datos tratamos, para qué y durante cuánto tiempo

Para qué	Datos	Base jurídica	Cuánto tiempo
Mostrarte nuestras webs y protegerlas (atendyo.com y https://bot.flexigotech.com)	Dirección IP, fecha y hora, página pedida y navegador, en los registros técnicos del servidor.	Interés legítimo en que la web funcione y sea segura (art. 6.1.f RGPD).	Los de atendyo.com los guarda Netlify, que aloja esa web, el tiempo que fijan sus condiciones. Los de nuestro servidor se sobrescriben solos al llenarse el espacio reservado para ellos.
Contestarte en el chat de atendyo.com (nuestro propio asistente)	Lo que escribes, el texto de lo que adjuntas y, si pides hablar con una persona, tu nombre, tu correo y tu mensaje.	Medidas precontractuales a petición tuya (art. 6.1.b) e interés legítimo en atender a quien nos consulta (art. 6.1.f).	La conversación y sus adjuntos se borran solos según el plazo configurado (por defecto 30 días de inactividad); la petición de contacto, cuando pasa ese mismo plazo desde que la haces.
Demo instantánea	La dirección de la web que indicas, tu correo (solo si lo das, para enviarte el enlace) y lo que escribes al asistente de la demo.	Medidas precontractuales a petición tuya (art. 6.1.b).	La demo se borra entera, con tu correo y tus mensajes, a las 48 horas. Tu correo puede quedar en los registros técnicos del servidor hasta que se sobrescriben.
Tu cuenta (la que se crea en https://bot.flexigotech.com/registro)	Tu nombre, tu correo, el nombre de tu empresa si lo das y la dirección IP desde la que creas la cuenta; la huella de tu contraseña (nunca la contraseña) y la de los enlaces de un solo uso que te enviamos para confirmar tu correo o cambiar la contraseña; la dirección de tu web, lo que tu asistente aprende de ella y lo que le enseñas en el panel; lo que se escribe a tu asistente y los datos que deja quien pide hablar con una persona; cuándo entras en el panel; y si aceptas recibir novedades.	Ejecución de las condiciones que aceptas al crearla (art. 6.1.b). Las novedades y ofertas de Atendyo, solo con tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras.	Mientras exista la cuenta. Una cuenta del plan Gratis que no se usa (30 días sin que entres en el panel y sin que tu asistente atienda conversaciones en tu web) se borra entera 7 días después de avisarte por correo, con sus conversaciones, sus contactos y los archivos que subiste; no se aplica a las cuentas que han tenido un plan de pago. Si contratas un plan de pago, se aplica además la fila «Planes de pago».
Opiniones sobre Atendyo	Nombre, negocio (opcional), puntuación y texto que envías. Solo se publican tras revisarlas una a una.	Consentimiento (art. 6.1.a).	Hasta que retires el consentimiento o pidas que las borremos.
Planes de pago	Correo, nombre del negocio y su web, datos de facturación, estado de la suscripción y de los cobros. Los datos de la tarjeta o del medio de pago los trata Stripe; nosotros no los vemos.	Ejecución del contrato (art. 6.1.b) y obligaciones legales contables y fiscales (art. 6.1.c).	Mientras dure el contrato. Después, las facturas y la contabilidad se guardan bloqueadas 6 años (art. 30 del Código de Comercio; la prescripción fiscal es de 4 años, art. 66 de la Ley General Tributaria) y luego se destruyen (art. 32 LOPDGDD).
Constancia de lo que aceptaste	Versión de las condiciones y de esta política que aceptaste, fecha y hora, correo, dirección IP y navegador.	Interés legítimo en poder probar el contrato y tu aceptación (art. 6.1.f).	La IP y el navegador, 30 días en nuestra base de datos. La versión aceptada y el momento, junto a tu cuenta (con tu elección sobre las novedades) mientras exista y, si contratas un plan de pago, también en tu suscripción de Stripe, al menos mientras dure el contrato.
Tu panel y lo que conectas	Configuración del asistente, lo que le enseñas (tu web, documentos, preguntas frecuentes) y, cifradas, las credenciales de Shopify o WhatsApp que conectes.	Ejecución del contrato (art. 6.1.b).	Mientras exista tu cuenta. Si cancelas un plan de pago, la cuenta sigue en el plan Gratis con estos datos (tus documentos y WhatsApp, en pausa) hasta que pidas borrarla; si instalaste desde Shopify, se borra sola 48 horas después de desinstalar.
Correos del servicio	Tu correo y el contenido del aviso: los enlaces para confirmar tu correo o cambiar tu contraseña, recibos con su factura, avisos de renovación del plan anual (30 y 7 días antes), cobros fallidos, confirmación de baja, avisos de contactos y, en el plan Gratis, el aviso al llegar al límite del mes y el aviso antes de borrar una cuenta que no se usa.	Ejecución del contrato (art. 6.1.b) y obligaciones legales de información al contratar (art. 6.1.c).	El registro de que un aviso salió se borra a los 30 días. Brevo, que los envía, guarda su propio registro de envío según sus condiciones.
Contestar a quien nos escribe	Lo que nos cuentas en tu correo o carta y tus datos de contacto.	Medidas precontractuales o ejecución del contrato (art. 6.1.b) e interés legítimo en contestarte (art. 6.1.f).	El tiempo necesario para atenderte y, después, mientras puedan derivarse responsabilidades de esa comunicación.
Presentar Atendyo a empresas (prospección comercial; ver apartado 3)	Nombre del negocio, dirección de su web, la dirección de correo de contacto que publica en ella, a qué se dedica, la plataforma de su tienda y si ya tiene chat o WhatsApp; la demo que preparamos con su web; cuándo le escribimos y lo que nos responde; si abre la demo, que la ha abierto, su navegador, su idioma y la pregunta que hace.	Interés legítimo en ofrecer nuestro servicio a empresas con una prueba hecha con su propia información (art. 6.1.f RGPD; para los datos de contacto de profesionales, art. 19 LOPDGDD).	La demo, con el registro de si se abrió, se borra sola a los 14 días, o al momento si pides la baja. La ficha y el registro de envíos se conservan mientras dure la campaña. Si pides la baja, tu dominio y tu correo quedan en una lista de exclusión para no volver a escribirte.
Comisiones de partners	Si instalas Atendyo en Shopify desde el enlace de un partner, el código de ese partner queda anotado en tu cuenta.	Interés legítimo en pagar a cada partner lo que le corresponde (art. 6.1.f).	Mientras exista tu cuenta.

3. Prospección comercial: de dónde salen los datos

Para presentar Atendyo escribimos a empresas y negocios con una demo del asistente preparada con la información pública de su web. No te pedimos estos datos a ti, así que te contamos su origen (art. 14 RGPD):

• Origen: la dirección de correo sale de la web pública del propio negocio (normalmente del aviso legal o de la página de contacto); preferimos direcciones genéricas como info@ o contacto@. Para encontrar negocios usamos listas públicas: la lista de Google de las webs más visitadas desde España (Chrome UX Report), las reseñas públicas de la tienda de aplicaciones de Shopify y registros públicos de DNS. Antes de escribir comprobamos que el buzón existe, sin enviarle nada.
• Oposición: puedes oponerte en cualquier momento respondiendo «BAJA» al correo, con el enlace de baja del propio correo o escribiendo a comercial@flexigobe.com. Borramos la demo al momento y no te volvemos a escribir. Si además quieres que borremos la ficha y el registro de envíos, pídelo (borrado de datos).
• Los correos los envía Brevo, que añade una imagen invisible para registrar si se abren.

4. Con quién compartimos los datos

No vendemos datos personales ni los cedemos para publicidad. Estos proveedores tratan datos por nuestra cuenta, cada uno para lo que se indica. Además, comunicamos datos a las administraciones públicas cuando una ley lo exige (por ejemplo, a la Agencia Tributaria).

Proveedor	Para qué	Dónde	Garantía si salen de la UE
netcup GmbH	Servidor de la aplicación y base de datos (conversaciones, cuentas, demos).	Alemania (UE)	No salen de la UE.
Netlify, Inc.	Alojamiento de la web atendyo.com: guarda la IP de quien la visita en sus registros.	EE. UU.	Marco de Privacidad de Datos UE-EE. UU. (Netlify está certificada) y cláusulas contractuales tipo.
Sendinblue SAS (Brevo)	Envío de los correos del servicio y de la prospección.	Francia (UE)	No salen de la UE.
Stripe Payments Europe, Limited	Cobros, suscripciones, facturas y portal de pagos. Stripe trata los datos del pago por nuestra cuenta y, además, como responsable por su cuenta para prevenir el fraude y cumplir sus obligaciones contra el blanqueo de capitales (su política: stripe.com/es/privacy).	Irlanda (UE); parte del tratamiento, en EE. UU.	Marco de Privacidad de Datos UE-EE. UU. (Stripe, LLC está certificada).
Mistral AI	Modelo de inteligencia artificial que genera respuestas del asistente a partir del texto de la conversación.	Francia (UE)	No salen de la UE.
Groq (Groq UK Limited)	Modelo de inteligencia artificial que genera respuestas y describe las fotos que adjuntan los clientes. Sus condiciones le prohíben usar estos datos para entrenar modelos.	Reino Unido; procesa los datos en EE. UU.	Reino Unido: decisión de adecuación de la Comisión Europea. EE. UU.: cláusulas contractuales tipo (Groq no está en el Marco de Privacidad de Datos).
Cloudflare, Inc. (Workers AI)	Modelo de inteligencia artificial que genera respuestas. Sus condiciones le prohíben usar estos datos para entrenar modelos.	EE. UU.	Marco de Privacidad de Datos UE-EE. UU. (Cloudflare está certificada) y cláusulas contractuales tipo.
Modelo propio	Modelo de inteligencia artificial instalado en nuestro propio servidor: cuando responde él, la conversación no sale de ese servidor.	Alemania (UE)	No salen de la UE.
Meta Platforms Ireland Limited (API de WhatsApp Business)	Solo si un negocio conecta su WhatsApp: recibe y envía esos mensajes.	Irlanda (UE); parte del tratamiento, en EE. UU.	Marco de Privacidad de Datos UE-EE. UU. (Meta Platforms, Inc. está certificada).
Shopify International Limited	Solo para tiendas Shopify: datos de la tienda, sus productos y los pedidos que se consultan; y el cobro cuando se instala desde la Shopify App Store.	Irlanda (UE); grupo Shopify en Canadá y otros países	Normas corporativas vinculantes de Shopify y cláusulas contractuales tipo.
Jina AI GmbH e Internet Archive	Leer la web pública de un negocio cuando no deja leerla directamente. Solo reciben la dirección de esa web, no datos de personas.	Alemania (UE) y EE. UU.	No les enviamos datos personales.

5. Transferencias internacionales

Algunos proveedores tratan datos fuera del Espacio Económico Europeo, como se indica en la tabla anterior. Cada transferencia se ampara en una de estas garantías del RGPD: el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), la decisión de adecuación del Reino Unido, las normas corporativas vinculantes o las cláusulas contractuales tipo aprobadas por la Comisión Europea. La aplicación y la base de datos están en Alemania.

6. Decisiones automatizadas

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa (art. 22 RGPD). El asistente contesta de forma automática, pero no decide nada sobre ti. Para elegir a qué empresas escribir usamos filtros automáticos sobre información pública (si tienen tienda online, en qué idioma está su web, si ya tienen chat), que no tienen efectos jurídicos.

7. Tus derechos

Puedes pedir el acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento de tus datos, y retirar en cualquier momento el consentimiento que nos hayas dado, escribiendo a comercial@flexigobe.com. Indica qué derecho ejerces; solo te pediremos que acredites tu identidad si tenemos dudas razonables sobre ella. Contestamos en el plazo de un mes, que puede prorrogarse dos meses más en casos complejos, avisándote (art. 12.3 RGPD). Cómo pedir que borremos tus datos, paso a paso: borrado de datos.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es.

8. Seguridad

• Todas las conexiones van cifradas (HTTPS).
• La aplicación y la base de datos están en servidores de la Unión Europea.
• Las claves y credenciales que los clientes conectan (Shopify, WhatsApp) se guardan cifradas en la base de datos.
• Cada negocio tiene su espacio aislado: los datos de uno nunca se mezclan con los de otro.
• El acceso a cada panel exige el correo y la contraseña de su cuenta; la contraseña no se guarda en claro.
• El asistente solo da datos de un pedido cuando el cliente confirma el correo del pedido y otro dato (número de pedido, código postal, nombre o teléfono) o ha iniciado sesión en la tienda, y bloquea los intentos repetidos.
• De las fotos y los PDF que adjuntan los clientes solo guardamos el texto que se extrae de ellos, no el archivo.
• Borramos solos los datos cuando pasa su plazo (apartado 2) y limitamos el número de peticiones para frenar abusos.
• Hacemos una copia de seguridad diaria de la base de datos, en el mismo servidor de la Unión Europea y con acceso restringido, y guardamos las de los últimos 7 días. Lo que se borra desaparece también de las copias en ese plazo.
• Si hubiera una brecha de seguridad, la notificaremos a la AEPD en un plazo de 72 horas cuando la ley lo exija, y a las personas afectadas si supone un alto riesgo para ellas (arts. 33 y 34 RGPD).

9. Menores

Nuestras webs y el servicio van dirigidos a negocios, no a menores de 14 años (art. 7 LOPDGDD).

10. Cambios en esta política

Si cambiamos esta política, publicaremos aquí la versión nueva con su fecha y, si el cambio es relevante para nuestros clientes, se lo avisaremos por correo.