Política de privacidad

1. Quién trata tus datos

Criba es un producto de Terral Studio, denominación comercial compartida por dos profesionales autónomos independientes: Rubén Díaz Fraga (NIF 34281643M) y Daniel Aguilar Fernández (NIF 77199164D), ambos en Málaga, España. Cada suscripción la contrata y la factura uno de ellos con sus propios datos fiscales. Contacto: contact@terral.studio.

No hay delegado de protección de datos designado, porque no concurre ninguno de los supuestos del artículo 37.1 RGPD.

Los dos profesionales deciden conjuntamente los fines y los medios del tratamiento de los datos de Criba, así que son corresponsables en el sentido del artículo 26 RGPD. Tienen suscrito un acuerdo que reparte entre ellos las obligaciones de protección de datos —el registro de actividades, la atención de derechos, la seguridad de la infraestructura y la notificación de brechas— y que designa un punto de contacto único. Con independencia de ese reparto, puedes ejercer tus derechos frente a cualquiera de los dos escribiendo a contact@terral.studio, y ambos responden solidariamente ante ti: eso el artículo 26.3 no lo puede cambiar.

2. Dos papeles distintos, y conviene no confundirlos

Respecto de tus datos como usuario —tu nombre, tu correo, tu suscripción— somos responsables del tratamiento, y esta política te dice todo lo que hacemos con ellos.

Respecto de los contactos que tú localizas con Criba, el responsable eres tú: tú decides qué zona buscar, a quién llamar y cuándo borrarlo. Nosotros somos encargados del tratamiento y actuamos siguiendo tus instrucciones, en los términos del contrato de encargado que firmamos contigo antes de darte acceso, con el contenido del artículo 28.3 RGPD.

3. Datos de usuarios registrados

Tratamos lo que nos facilitas al registrarte (nombre, correo electrónico, contraseña, que guardamos derivada con sal y nunca en claro) y lo que añadas en tus ajustes (empresa, preferencias de búsqueda), con la finalidad de prestarte el servicio, gestionar tu suscripción y atenderte.

Base jurídica: ejecución del contrato (art. 6.1.b RGPD). Para la facturación, obligación legal (art. 6.1.c).

Conservación: mientras mantengas la cuenta. Tras la baja conservamos los datos 30 días por si quieres recuperarla y después los suprimimos, salvo los que tengan trascendencia fiscal o mercantil, que quedan bloqueados durante los plazos legales de prescripción.

4. Si pides una prueba gratuita

En /prueba tratamos tu nombre, tu correo, tu empresa y lo que nos cuentes sobre qué vendes y a quién, con la única finalidad de valorar la solicitud y darte acceso. No hay alta automática: la lee una persona.

Base jurídica: aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD).

Conservación: si aceptamos la solicitud, los datos pasan a formar parte de tu cuenta y se rigen por el apartado anterior. Si la rechazamos o no llegas a responder, se suprimen a los 12 meses.

5. Datos de las empresas que localizas

Criba localiza negocios mediante la API oficial de Google Places y visita el sitio web que cada negocio publica para extraer los datos de contacto que él mismo ha hecho públicos. Con esa información se elabora una ficha.

Sí guardamos esas fichas en nuestra base de datos. Es lo que permite que Criba funcione como agenda comercial: sin almacenamiento no habría estados, ni notas, ni próximos pasos. Se guardan el nombre del negocio, su dirección, teléfono, correo, web, coordenadas, el identificador público de Google, la puntuación de encaje con sus motivos, y lo que el usuario escriba encima.

Puntuación automatizada: cada ficha recibe una puntuación de 0 a 100 con sus motivos, generada por un modelo de lenguaje a partir de un extracto del sitio web público del negocio. Es elaboración de perfiles en el sentido del art. 4.4 RGPD. No es una decisión automatizada del art. 22: su único efecto es ordenar una lista de contactos, y ninguna consecuencia jurídica se deriva de ella.

Base jurídica: interés legítimo (art. 6.1.f RGPD) en facilitar el contacto profesional entre empresas, con la ponderación documentada que exige el art. 5.2 y que puedes solicitarnos.

Correos nominativos: descartamos automáticamente las direcciones con forma de nombre.apellido@. El filtro no es infalible y algunas direcciones personales pueden colarse; si detectas una, escríbenos y la eliminamos.

6. Si tu negocio aparece en Criba y no quieres

Escríbenos a contact@terral.studio indicando el nombre del negocio y su web o teléfono. Suprimiremos sus datos en el plazo máximo de un mes que fija el art. 12.3 RGPD, y conservaremos únicamente el identificador mínimo necesario para que no vuelva a aparecer en búsquedas posteriores.

La exclusión automática está en desarrollo; hasta que esté disponible, la aplicamos de forma manual. Si vuelves a ver tu negocio después de habérnoslo pedido, dínoslo y lo corregimos.

7. Con quién compartimos datos

No vendemos ni cedemos datos a nadie. Nos apoyamos en estos proveedores, que actúan como encargados o subencargados con contrato del art. 28 RGPD:

• OVH SAS (Francia) — servidor y base de datos. Todos los datos se alojan en la Unión Europea
• Google Ireland Ltd. — Places API, para localizar los negocios
• Groq, Inc. (EE. UU.) — puntuación de encaje. Recibe un extracto de hasta 700 caracteres del sitio web público del negocio
• Stripe Payments Europe Ltd. (Irlanda) — cobro de las suscripciones
• Resend, Inc. (EE. UU.) — correo transaccional
• CARTO — teselas del mapa de resultados. No recibe ningún dato de tu cartera, pero al dibujarse el mapa tu navegador se conecta a su servidor, que ve tu dirección IP y la zona que estás consultando. Criba funciona igual sin abrir el mapa

Las transferencias a Estados Unidos se amparan en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. Puedes pedirnos copia de las garantías.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contact@terral.studio. Responderemos en el plazo de un mes, prorrogable por dos más si la solicitud es compleja, en cuyo caso te avisaremos.

Si consideras que no hemos atendido tu solicitud correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es), C/ Jorge Juan 6, 28001 Madrid.

9. Obligaciones de quien usa Criba

Los datos obtenidos a través de Criba no habilitan por sí solos el envío de comunicaciones comerciales, y esto conviene leerlo despacio:

• Correo electrónico: el art. 21 LSSI prohíbe las comunicaciones comerciales no solicitadas salvo que exista relación contractual previa. En prospección en frío esa excepción no concurre. La prohibición se aplica también cuando el destinatario es una empresa
• Llamadas: art. 23 LOPDGDD y Circular 1/2023 de la AEPD, incluida la consulta de sistemas de exclusión publicitaria cuando el destinatario sea persona física
• Información al contactado: el art. 14 RGPD obliga a decirle de dónde has sacado sus datos, a más tardar en la primera comunicación. Te facilitamos un texto tipo para ello

El incumplimiento es responsabilidad exclusiva del usuario y causa de resolución del servicio.

10. Seguridad

Contraseñas derivadas con sal, sesiones firmadas, comunicaciones bajo HTTPS, base de datos no expuesta a internet, acceso administrativo restringido y aislamiento entre cuentas verificado en cada petición. Ninguna medida es infalible: si detectamos una violación de seguridad que afecte a tus datos te lo comunicaremos conforme al art. 34 RGPD.

11. Cambios en esta política

Si cambiamos algo sustancial te avisaremos por correo. La fecha de la última actualización figura arriba, y conservamos las versiones anteriores por si necesitas saber qué decía en una fecha concreta.