Política de privacidad

Tiki-Taka Media GmbH, Curschmannstraße 9, 20251 Hamburgo, Alemania («nosotros», «nos») es el responsable del tratamiento en el sentido del art. 4.7 del RGPD de todos los datos personales tratados a través de la plataforma CrunchJunkie (app.crunchjunkie.io) y del sitio web crunchjunkie.io («Servicio»). Contacto: hello@crunchjunkie.io Hemos evaluado nuestras actividades de tratamiento y hemos determinado que, a la escala actual de operaciones, el nombramiento de un delegado de protección de datos no es obligatorio conforme al art. 37 del RGPD. Mantenemos esta evaluación en revisión a medida que crece el negocio. Para cualquier consulta sobre protección de datos, escriba a hello@crunchjunkie.io.

Tratamos datos personales con las siguientes finalidades y sobre las siguientes bases jurídicas: 2.1 Gestión de la cuenta (art. 6.1.b) del RGPD — ejecución del contrato) Tratamos su nombre, su dirección de correo electrónico y, en su caso, un hash de contraseña para crear y mantener su cuenta y darle acceso al Servicio. El inicio de sesión con OAuth (Google) nos proporciona su nombre, su correo electrónico y su foto de perfil; no recibimos su contraseña de redes sociales. 2.2 Prestación del Servicio (art. 6.1.b) del RGPD — ejecución del contrato) Almacenamos los datos publicitarios y de analítica que usted importa (métricas de cuentas publicitarias, nombres de clientes, nombres de campañas, contenido de informes) y los utilizamos exclusivamente para generar informes y prestar las funciones que ha contratado. Estos datos proceden de las plataformas publicitarias que usted conecta (p. ej., Google Ads, Meta, LinkedIn) con la autorización OAuth que usted ha concedido. En las cuentas de Google Ads conectadas almacenamos además el historial de cambios de la cuenta, porque Google lo conserva solo 30 días. Una vez al día copiamos qué se cambió, cuándo y cómo (por ejemplo, en la interfaz de Google Ads, a través de la API, mediante un script o mediante una regla automatizada), y la dirección de correo electrónico que Google comunica para cada cambio. Utilizamos el historial de cambios para el widget «Historial de cambios» de sus informes y para que los resúmenes y análisis de IA puedan tener en cuenta los cambios. Se almacena en nuestra base de datos en la UE (Fráncfort) y se conserva según lo indicado en el apartado 5. La dirección de correo electrónico solo se muestra en la app, a los miembros de su espacio de trabajo. Una exportación del espacio de trabajo la contiene únicamente cuando descarga la exportación el propietario del espacio de trabajo (Ajustes → Exporta tus datos), no cuando lo hace un administrador. Los informes compartidos, los PDF (incluidos los informes enviados por correo electrónico), la API y el conector MCP nunca muestran la dirección de correo electrónico: un cambio realizado por una persona aparece allí con la etiqueta «Su agencia». Las exportaciones de clientes no incluyen el historial de cambios. La dirección de correo electrónico nunca se envía a un proveedor de IA: a la IA solo se le indica «una persona» o la herramienta que realizó el cambio (por ejemplo, una regla automatizada). 2.3 Facturación (art. 6.1.b) del RGPD — contrato; art. 6.1.c) del RGPD — obligación legal) Transmitimos su información de pago a nuestro proveedor de pagos Stripe, Inc. Conservamos los datos relevantes para las facturas (plan, importe, fecha) durante el tiempo que exigen el Derecho mercantil y tributario alemán (actualmente 8 años para las facturas; § 257 HGB, § 147 AO). 2.4 Mejora del Servicio y seguridad (art. 6.1.f) del RGPD — interés legítimo) Recogemos datos de visualización de páginas, registros de interacción con las funciones e informes de errores. Nuestro interés legítimo es diagnosticar fallos, prevenir abusos y mejorar el producto. Estos datos no se utilizan para elaborar perfiles publicitarios. 2.5 Comunicación directa (art. 6.1.f) del RGPD — interés legítimo, o art. 6.1.a) del RGPD — consentimiento cuando sea necesario) Enviamos correos electrónicos transaccionales (restablecimiento de contraseña, envío de informes programados, avisos críticos del servicio). Los correos promocionales solo se envían con su consentimiento explícito. Puede retirar su consentimiento en cualquier momento mediante el enlace para darse de baja o escribiendo a hello@crunchjunkie.io. 2.6 Claves de sus propias cuentas de proveedores (art. 6.1.b) del RGPD — ejecución del contrato) Si conecta opcionalmente su propia clave de un proveedor de IA (p. ej., Anthropic, OpenAI, Google), almacenamos esa clave de forma cifrada y la utilizamos únicamente para atender las solicitudes de funciones de IA que usted inicie. No utilizamos esta clave para ninguna otra finalidad. Si conecta su propia cuenta de DataForSEO para el Rank Tracker, almacenamos su usuario y su contraseña de API de forma cifrada y los utilizamos únicamente para ejecutar las búsquedas que usted configure o inicie. La contraseña no vuelve a mostrarse nunca una vez guardada. 2.7 Reservas de demos (art. 6.1.b) del RGPD — medidas precontractuales a petición suya) Si reserva una llamada de demo en crunchjunkie.io/demo, tratamos el nombre, la dirección de correo electrónico y —si decide facilitarlos— la empresa, el sitio web y la nota que escriba, junto con su zona horaria, para poder celebrar la llamada y enviarle una confirmación. La cita se crea en el Google Calendar del fundador (Google Ireland Limited / Google LLC) con un enlace de Google Meet, y Google le envía la invitación de calendario; su nombre, su correo electrónico y su nota aparecen en esa entrada del calendario. Conservamos una forma con hash de su dirección IP (nunca la dirección en sí) para limitar el abuso de reservas automatizadas. Al cancelar desde el enlace de su correo de confirmación, la cita se elimina de ambos calendarios. Los registros de reservas se eliminan 12 meses después de la llamada. 2.8 Herramientas gratuitas y formulario de contacto de nuestro sitio web (art. 6.1.b) del RGPD — medidas adoptadas a petición suya; art. 6.1.f) del RGPD — interés legítimo) Nuestro sitio web ofrece una comprobación de visibilidad en IA gratuita, una auditoría GEO gratuita y un formulario de contacto. Para la comprobación de visibilidad en IA y la auditoría GEO almacenamos el sitio web que usted introdujo, el resultado, el idioma de la página que utilizó y, si lo facilita, su dirección de correo electrónico. Para el formulario de contacto almacenamos su nombre, su dirección de correo electrónico, su empresa, su número de clientes y su mensaje. En nuestra base de datos su dirección IP se almacena solo de forma abreviada: una dirección IPv4 con su último bloque puesto a 0, una dirección IPv6 recortada a sus primeros 48 bits. La solicitud en sí se contabiliza durante un minuto con su dirección IP completa en nuestro limitador de frecuencia (véase Upstash en el apartado 3.1); ese recuento se elimina después por sí solo. Utilizamos estos datos para ofrecerle lo que ha solicitado (el resultado en pantalla y, si facilitó una dirección de correo electrónico, el informe que el formulario ofrece por correo; en el caso del formulario de contacto, nuestra respuesta) y para limitar cada día cuántas veces pueden ejecutarse las herramientas gratuitas desde una misma red, de modo que no se abuse de ellas (nuestro interés legítimo en proteger el servicio y sus costes). Salvo que marque la casilla de novedades del producto, la dirección de correo electrónico que facilita en una herramienta gratuita se utiliza únicamente para enviarle ese informe; en caso contrario, nos ponemos en contacto con usted al respecto solo si nos lo pide. Si marca esa casilla (nunca está marcada de antemano, y el informe funciona sin ella), utilizamos además su dirección de correo electrónico para enviarle novedades ocasionales del producto sobre CrunchJunkie (art. 6.1.a) del RGPD, consentimiento). Para asegurarnos de que la dirección es suya, primero le enviamos un correo en el que le pedimos que la confirme (un enlace en el correo del informe que lleva a un botón de confirmación), y enviamos novedades del producto solo después de que usted haya confirmado. Almacenamos cuándo dio su consentimiento, cuándo lo confirmó y el texto con el que estuvo de acuerdo, en el idioma en que lo vio. Puede retirar su consentimiento en cualquier momento mediante el enlace para darse de baja que figura en cada uno de esos correos o escribiendo a hello@crunchjunkie.io; a partir de entonces no le enviamos más novedades del producto. En la auditoría GEO registramos además si se abrió el correo del informe. Cada envío se reenvía también por correo a nuestro propio buzón (hello@crunchjunkie.io) para que lo veamos y podamos responder: en una herramienta gratuita, el sitio web, el resultado y su dirección de correo electrónico si la facilitó; en el formulario de contacto, su mensaje y sus datos. Estos correos permanecen en ese buzón y no se eliminan automáticamente; pídanoslo y los eliminamos. Ambas herramientas leen las páginas públicas del sitio web que usted introdujo, y la comprobación de visibilidad en IA hace preguntas sobre él a proveedores de IA con nuestra propia cuenta. Ninguna transmite su correo electrónico ni su dirección IP. 12 meses después de que usted los enviara, eliminamos los registros de la comprobación de visibilidad en IA y los mensajes del formulario de contacto. Un resultado de auditoría GEO tiene su propia página, que usted puede compartir. Esa página no contiene datos personales, solo el sitio web auditado y sus puntuaciones, y sigue disponible en su enlace; transcurridos 12 meses eliminamos del registro de la auditoría su dirección de correo electrónico, si abrió el correo del informe y su dirección IP abreviada, junto con cualquier consentimiento a las novedades del producto (su fecha, su confirmación y su texto). Los mismos 12 meses se aplican al registro de consentimiento de una comprobación de visibilidad en IA, que se elimina junto con el resto de esa comprobación.

No vendemos sus datos personales. Solo compartimos datos con las siguientes categorías de destinatarios: 3.1 Subencargados del tratamiento de infraestructura Conforme exige el art. 28 del RGPD, hemos celebrado contratos de encargo del tratamiento (DPA) con todos los subencargados del tratamiento que tratan datos personales por cuenta nuestra. Algunos subencargados reciben únicamente datos no personales —por ejemplo, los proveedores de búsqueda que reciben términos de marca, de temas y de competidores, no información sobre personas identificables— y para ellos no se exige un DPA. Nuestro registro de subencargados (Ajustes → Datos y residencia, y el Informe de ubicación de datos y subencargados exportable) indica, para cada proveedor, si existe un DPA y qué garantía de transferencia se aplica. Cuando un proveedor no publica ninguna, el registro lo dice en lugar de dar a entender que existe. La lista actual: • Vercel Inc. (EE. UU.) — Alojamiento, CDN, ejecución de funciones serverless (capacidad de cómputo de la aplicación) y almacenamiento de archivos y objetos (logotipos subidos y archivos de informes generados). Región de datos: Fráncfort (fra1), UE. Garantía de transferencia: Marco de Privacidad de Datos UE-EE. UU. + cláusulas contractuales tipo. DPA: vercel.com/legal/dpa • Neon Inc. (EE. UU.) — Base de datos PostgreSQL. Región de datos: Fráncfort (eu-central-1), UE. Garantía de transferencia: cláusulas contractuales tipo. DPA: neon.tech/dpa • Upstash, Inc. (EE. UU.) — Contadores compartidos de límite de frecuencia para los puntos de acceso de la API y de inicio de sesión (recuentos de solicitudes asociados a la dirección IP; los contadores caducan automáticamente en un plazo de 15 minutos). Región de datos: Fráncfort (eu-central-1), UE. Garantía de transferencia: cláusulas contractuales tipo. DPA: upstash.com/static/trust/dpa.pdf • WorkOS, Inc. (EE. UU.) — Servidor de autorización OAuth del conector MCP. Cuando usted conecta un asistente de IA (por ejemplo, Claude o ChatGPT) a CrunchJunkie, WorkOS recibe su identificador de usuario, su dirección de correo electrónico y su nombre para emitir el token de acceso de ese asistente. Solo interviene cuando usted conecta un cliente MCP. Garantía de transferencia: cláusulas contractuales tipo. DPA: workos.com/legal/dpa • Stripe, Inc. (EE. UU.) — Procesamiento de pagos. Garantía de transferencia: cláusulas contractuales tipo. DPA: stripe.com/legal/dpa • Resend Inc. (EE. UU.) — Envío de correo electrónico transaccional. Garantía de transferencia: cláusulas contractuales tipo. 3.2 Proveedores de IA (funciones de IA y escaneos de visibilidad en IA) Cuando usted aporta su propia clave de IA, su consulta y los datos pertinentes del informe se envían al punto de acceso de la API del proveedor cuya clave haya configurado (p. ej., api.anthropic.com, api.openai.com). Usted es el responsable de ese tratamiento; consulte por separado la política de privacidad y las condiciones de ese proveedor. Algunos pasos de IA se ejecutan con la propia cuenta de Anthropic de CrunchJunkie, tanto si usted aporta su propia clave como si utiliza Managed AI: los análisis de visibilidad en IA (el perfil de marca rellenado a partir de su sitio web, las objeciones, las verificaciones de hechos y las sugerencias de competidores), las conclusiones de IA de una auditoría GEO y la lectura de cada respuesta de visibilidad en IA para encontrar las marcas que nombra. Las respuestas nuevas se leen con su propia clave solo cuando hay una clave de Anthropic guardada como clave de su asistente de IA (Ajustes → Claves de IA y API); cuando volvemos a leer respuestas almacenadas para corregir cómo se leyeron (una nueva comprobación administrativa o una nueva extracción), se utiliza en todos los casos nuestra cuenta. Para estos pasos, Anthropic, PBC (EE. UU.) recibe las respuestas de IA almacenadas, los datos de marca que usted monitoriza (nombres de marca y de competidores, datos de marca) y el texto de las páginas correspondientes, y actúa como nuestro subencargado del tratamiento (cláusulas contractuales tipo; véase el registro de subencargados). Cuando usted utiliza el Rank Tracker, las palabras clave que sigue, el lugar, el idioma y el tipo de dispositivo de cada búsqueda se envían a DataForSEO con la cuenta que usted conectó. Usted es el responsable de ese tratamiento; DataForSEO actúa por cuenta suya y conforme al acuerdo que usted tiene con ella. Consulte por separado su política de privacidad y sus condiciones. Las palabras clave son términos de búsqueda y, por regla general, no contienen datos personales; no introduzca datos personales como palabras clave. Si su espacio de trabajo utiliza un presupuesto del Rank Tracker en lugar de su propia cuenta de DataForSEO, los mismos datos se envían a DataForSEO OÜ (Estonia) con la cuenta de CrunchJunkie. DataForSEO actúa entonces como nuestro subencargado del tratamiento (véase la lista de subencargados); según su política de privacidad, conserva los datos de las tareas, incluidas las palabras clave, durante 365 días. Cuando usted activa Managed AI, CrunchJunkie ejecuta las llamadas de IA con sus propias claves de proveedor y, por tanto, recurre a los siguientes subencargados de IA para los modelos y funciones que usted active: OpenAI, L.L.C. (EE. UU.), Anthropic, PBC (EE. UU.), Google LLC (EE. UU.), Perplexity AI, Inc. (EE. UU.), X.AI LLC (EE. UU.), DeepSeek (China), Meta Platforms Ireland Limited (Irlanda, utilizada para los escaneos de visibilidad en Meta AI; tratamiento por Meta Platforms, Inc., EE. UU., certificada en el DPF), SerpAPI, LLC (EE. UU., utilizada para leer Google AI Overviews, Google AI Mode y Microsoft Copilot) y Tavily (EE. UU., utilizada para la recuperación complementaria de búsqueda web en las funciones de investigación y de briefing de contenido). En cada caso, el prompt y la respuesta de IA resultante se tratan para producir sus métricas de visibilidad. SerpAPI y Tavily reciben únicamente términos de búsqueda no personales (palabras clave de marca, de temas y de competidores). DeepSeek y Meta AI solo intervienen si usted activa expresamente ese modelo; DeepSeek trata los datos en China. Las garantías de transferencia varían según el proveedor y se enumeran por proveedor en nuestro registro de subencargados (Ajustes → Datos y residencia, y el Informe de ubicación de datos y subencargados exportable): el Marco de Privacidad de Datos UE-EE. UU. respaldado por cláusulas contractuales tipo para los proveedores estadounidenses certificados en el DPF (p. ej., OpenAI, Google), el Marco de Privacidad de Datos UE-EE. UU. por sí solo para Meta AI (entidad contratante de la UE, entidad de tratamiento estadounidense certificada en el DPF), cláusulas contractuales tipo para los demás (p. ej., Anthropic, Perplexity, xAI) y —para los proveedores que no publican ningún mecanismo de transferencia del artículo 46 (actualmente SerpAPI, Tavily y DeepSeek)— nuestro registro lo hace constar abiertamente en lugar de afirmar una garantía que no existe. En todos los casos, CrunchJunkie envía datos a proveedores de IA únicamente como resultado de sus acciones en el Servicio: configurar una clave, activar Managed AI, configurar escaneos de visibilidad en IA o auditorías GEO, o utilizar una función de IA. Entrenamiento. CrunchJunkie no utiliza su contenido para entrenar ningún modelo de IA ni de aprendizaje automático, y no construimos modelos propios. Recurrimos a subencargados de IA a través de sus API. En el caso de los principales proveedores (OpenAI, Anthropic, Google, Perplexity), los datos enviados a través de la API no se utilizan por defecto para entrenar sus modelos. Algunos proveedores opcionales tratan los datos de entrada de la API conforme a sus propias condiciones: según sus políticas publicadas, DeepSeek y Tavily pueden utilizar los datos de entrada enviados para entrenar o mejorar sus modelos; cada uno interviene solo si usted activa expresamente el modelo o la función correspondiente. Cuando usted aporta su propia clave, rigen las condiciones de API de su proveedor. Los detalles contractuales figuran en nuestro DPA y en el DPA de cada proveedor. 3.3 Autoridades policiales Podemos comunicar datos si así lo exige una orden legal válida, una resolución judicial o la legislación aplicable. Cuando la ley lo permita, se lo notificaremos antes de cumplir. 3.4 Transmisiones de empresa Si CrunchJunkie se vende, se fusiona o se reestructura, sus datos pueden transferirse a la entidad sucesora con los mismos compromisos de privacidad.

Nuestra infraestructura principal —capacidad de cómputo de la aplicación, almacenamiento de archivos y base de datos (Vercel, Neon)— se encuentra en la UE (Fráncfort). Cuando se transfieren datos a subencargados del tratamiento en terceros países (principalmente Estados Unidos y —solo si usted activa expresamente el modelo DeepSeek— China), nos basamos en: • Las cláusulas contractuales tipo (CCT) de la UE conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión. • El Marco de Privacidad de Datos UE-EE. UU. (DPF) cuando el subencargado del tratamiento está certificado. Algunos subencargados opcionales no publican ningún mecanismo de transferencia del artículo 46; nuestro registro de subencargados (Ajustes → Datos y residencia) lo hace constar por proveedor en lugar de dar a entender una garantía que no existe, y esos proveedores reciben únicamente términos de búsqueda no personales o intervienen solo con su aceptación expresa. Puede solicitar una copia del mecanismo de transferencia aplicable escribiendo a hello@crunchjunkie.io.

• Datos de la cuenta y del espacio de trabajo: se conservan mientras dure la suscripción del espacio de trabajo. Cuando la suscripción ha terminado (una cuyo pago aún se está cobrando no ha terminado), conservamos el espacio de trabajo durante 30 días para que usted pueda exportarlo (Ajustes → Exporta tus datos) o elegir de nuevo un plan. Después enviamos un correo a su propietario o propietarios y, 7 días después de ese correo, eliminamos el espacio de trabajo y todo lo que contiene, junto con todos los inicios de sesión que no pertenezcan a ningún otro espacio de trabajo; elegir un plan antes de esa fecha lo conserva todo. Una suscripción en pausa («Pausar suscripción y conservar mis datos») no ha terminado: sus datos se conservan hasta 12 meses mientras está en pausa, y el propietario o los propietarios reciben entonces el mismo correo con 30 días de preaviso; una pausa o una cancelación solicitada antes de que se registraran las pausas se trata como una pausa desde el día en que terminó la suscripción. Un espacio de trabajo con un paquete acordado individualmente se elimina según lo acordado; algunos otros (por ejemplo, uno concedido gratuitamente o con miembros de nuestro personal entre sus miembros) se revisan y se eliminan a mano. Las facturas se conservan según lo indicado más abajo para los registros de facturación. Cuando usted mismo elimina su cuenta, sus datos se eliminan o se anonimizan en un plazo de 30 días desde la eliminación de la cuenta. • Datos de métricas publicitarias que usted importa: se conservan hasta 36 meses y después se eliminan. • Historial de cambios de Google Ads (incluida la dirección de correo electrónico que Google comunica para cada cambio): se conserva 25 meses desde la fecha de cada cambio y después se elimina; se elimina antes si desconecta la cuenta de Google Ads o elimina el cliente o el espacio de trabajo. • Datos importados de Peec AI con su clave de Peec —las respuestas de IA con sus fuentes y las marcas que nombran, las cifras de visibilidad de Peec (globales y por etiqueta), los prompts y las consultas de fan-out—: se conservan mientras Peec esté conectado; las consultas de fan-out, como máximo 400 días. Al desconectar Peec se elimina todo ello, una importación grande en unos pocos minutos, junto con los análisis que elaboramos a partir de esas respuestas; un prompt que los propios escaneos de CrunchJunkie también ejecutaron, o a partir del cual se creó un briefing de contenido, se conserva, y un briefing de contenido se conserva sin sus citas de respuestas de Peec. • Registros de facturación: se conservan durante el tiempo que exigen el Derecho mercantil y tributario alemán (actualmente 8 años para las facturas; § 257 HGB, § 147 AO). • Registros del servidor y trazas de errores: se conservan 90 días. • Registros de los cambios realizados a través del conector MCP (qué cuenta y qué conexión realizó el cambio, qué acción y los ID de lo que cambió; nunca el texto enviado): se conservan 12 meses y después se eliminan. • Exportaciones de clientes (un archivo ZIP con los informes y los datos de un cliente, generado cuando el propietario o un administrador del espacio de trabajo lo solicita): el archivo se conserva durante 7 días desde que está listo y después se elimina; una exportación que falla o se cancela se elimina de inmediato. El registro de que se realizó una exportación (quién la solicitó, cuándo, su estado y tamaño, y cuándo se descargó; nunca su contenido ni el nombre del cliente) se conserva 12 meses y después se elimina. • Claves de API de IA: se eliminan de inmediato al retirarlas o al eliminar la cuenta. • Reservas de demos (nombre, correo electrónico, empresa/sitio web/nota opcionales, zona horaria, IP con hash): 12 meses después de la llamada, y después se eliminan. • Comprobación de visibilidad en IA gratuita y formulario de contacto (el sitio web introducido, el resultado, una dirección de correo electrónico opcional, la dirección IP abreviada a /24 o /48; en el formulario de contacto, nombre, correo electrónico, empresa, número de clientes y mensaje): 12 meses y después se eliminan. • Auditoría GEO gratuita: la dirección de correo electrónico, si se abrió el correo del informe y la dirección IP abreviada se eliminan a los 12 meses; la página del resultado (el sitio web auditado y sus puntuaciones, sin datos personales) sigue disponible en su enlace. • Comprobaciones de autorreferidos en los programas de recomendación (apartado 11b, desde el 29 de octubre de 2026): la parte de red de las direcciones IP (IPv4 /24, IPv6 /48) registrada con una recomendación se elimina 12 meses después de que se registrara la recomendación; si en ese momento la recomendación sigue sometida a revisión de autorreferido, o uno de sus pagos tiene un contracargo abierto, se elimina en nuestra siguiente limpieza diaria tras decidirse la revisión o cerrarse el contracargo. La última red vista de quien recomienda se elimina 12 meses después de que se viera por última vez. • Correos electrónicos a nuestro buzón sobre envíos de herramientas gratuitas y mensajes del formulario de contacto: no se eliminan automáticamente; se eliminan a petición. Copias de seguridad: realizamos una copia de seguridad cifrada de la base de datos cada noche y la conservamos 30 días, tras los cuales se elimina automáticamente. Cuando borramos sus datos del sistema en producción, pueden por tanto permanecer copias dentro de esas copias de seguridad hasta que rote la última que los contenga, como máximo 30 días. Las copias de seguridad se restauran únicamente para recuperarse de un fallo, nunca para recuperar datos cuya eliminación usted haya solicitado. Si solicita la eliminación antes de que venzan estos plazos, atenderemos su solicitud, salvo que la ley exija un plazo de conservación más largo.

CrunchJunkie utiliza cookies y tecnologías de almacenamiento similares en tres categorías: • Estrictamente necesarias: inicio de sesión, seguridad, recordar su elección sobre las cookies y recordar el enlace de recomendación por el que llegó (la cookie «cj_ref»; véase el apartado 11a). Son necesarias para el funcionamiento del sitio y no requieren consentimiento. • Analítica: Google Analytics, establecida solo con su consentimiento, para entender cómo se utilizan el sitio web y el producto. • Medición publicitaria: cookies de Google Ads, Meta, Reddit y OpenAI (ChatGPT Ads), establecidas solo con su consentimiento, para medir si funcionan nuestras propias campañas publicitarias en esas plataformas. No operamos redes publicitarias de terceros en este sitio y no vendemos datos personales. La lista completa y siempre actualizada de cookies —nombres, proveedores, duraciones y finalidades— se muestra en la tabla siguiente. Se genera a partir del mismo registro que alimenta nuestro banner de consentimiento, por lo que no puede desviarse de lo que el sitio establece realmente. El consentimiento se solicita antes de establecer cualquier cookie no esencial, y los eventos del lado del servidor (API de conversiones) dependen del mismo consentimiento. Puede cambiar o retirar su elección en cualquier momento mediante «Configuración de cookies» en el pie de página. Respetamos la señal Global Privacy Control preestableciendo la publicidad en desactivada. Un registro de cada consentimiento (un identificador aleatorio, las elecciones y la versión de la política; nunca su dirección IP) se conserva durante cinco años, como exige el art. 7.1 del RGPD, y después se elimina automáticamente.

Aplicamos las siguientes medidas técnicas y organizativas (MTO) de conformidad con el art. 32 del RGPD: • Cifrado en tránsito: todas las conexiones utilizan TLS 1.2 o superior (HSTS aplicado). • Cifrado en reposo: las claves de API de IA y los tokens de acceso y de actualización de OAuth se cifran con AES-256-GCM en la capa de aplicación antes de su almacenamiento; la propia base de datos está además cifrada en reposo por nuestro proveedor de infraestructura. Las contraseñas se almacenan con hash bcrypt (factor de coste 12) y nunca en texto plano. • Aislamiento de inquilinos: todas las consultas a la base de datos se limitan al ID del equipo autenticado en la capa de aplicación; el acceso a datos entre inquilinos se impide por la propia arquitectura. • Control de acceso: el acceso a la base de datos de producción se restringe a un conjunto mínimo de personal autorizado; se exige autenticación multifactor; el acceso se registra y se revisa. • Limitación de frecuencia: los puntos de acceso de autenticación y las rutas críticas de la API tienen un límite de frecuencia por IP para prevenir ataques de fuerza bruta y de relleno de credenciales. • Respuesta a incidentes: existe un proceso documentado para detectar, evaluar y notificar las violaciones de la seguridad de los datos en un plazo de 72 horas desde su descubrimiento, conforme al art. 33 del RGPD. Una descripción detallada de nuestras MTO está disponible en nuestro contrato de encargo del tratamiento (DPA) (véase /legal/dpa).

Con arreglo al RGPD, usted tiene los siguientes derechos, que puede ejercer en cualquier momento escribiendo a hello@crunchjunkie.io: • Acceso (art. 15): obtener una copia de los datos personales que conservamos sobre usted. • Rectificación (art. 16): pedirnos que corrijamos datos inexactos o incompletos. • Supresión (art. 17): pedirnos que eliminemos sus datos («derecho al olvido») cuando no se aplique ninguna base jurídica prevalente. • Limitación del tratamiento (art. 18): pedirnos que limitemos cómo tratamos sus datos mientras se resuelve una controversia. • Portabilidad de los datos (art. 20): recibir sus datos en un formato estructurado y de lectura mecánica. • Oposición (art. 21): oponerse al tratamiento basado en el interés legítimo; dejaremos de tratarlos salvo que acreditemos motivos legítimos imperiosos. • Retirada del consentimiento (art. 7.3): cuando el tratamiento se basa en el consentimiento, retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior. Respondemos a todas las solicitudes verificables en un plazo de 30 días (ampliable en 2 meses para solicitudes complejas, con aviso previo). Usted también tiene derecho a presentar una reclamación ante una autoridad de control: la del lugar donde vive o trabaja, o la competente para nosotros. Como nuestro domicilio social está en Hamburgo, nuestra autoridad competente es: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Ludwig-Erhard-Str. 22, 20459 Hamburgo, Alemania datenschutz-hamburg.de

No utilizamos decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos o similarmente significativos sobre usted en el sentido del art. 22 del RGPD, con una excepción desde el 29 de octubre de 2026: la comprobación de autorreferidos en los programas de recomendación (apartado 11b), que puede retener automáticamente una recompensa por recomendación y revertir la comisión que aún no se haya pagado. Nunca reclama la comisión ya pagada; eso solo puede decidirlo una persona. La decisión automatizada es necesaria para la ejecución del contrato (art. 22.2.a) del RGPD): nuestros Términos del servicio (apartado 12b) y las Condiciones del Programa de embajadores de marca (cláusula 7.2) no recompensan el autorreferido. Puede impugnar esa decisión, exponer su punto de vista y solicitar que la revise una persona escribiendo a hello@crunchjunkie.io (art. 22.3 del RGPD).

El Servicio se integra con plataformas publicitarias y de analítica de terceros (Google Ads, Meta, LinkedIn, TikTok, etc.). Cuando usted conecta estas plataformas mediante OAuth, sus propias políticas de privacidad rigen los datos conservados en sus sistemas. No somos responsables de sus prácticas de tratamiento de datos.

Cuando usted conecta una cuenta de Google (Google Ads, Google Analytics 4 o Google Search Console), CrunchJunkie solicita acceso de solo lectura a sus propios datos publicitarios y de analítica a través de las API de Google para mostrarle esas métricas dentro de los informes y paneles que usted elabora. El uso y la transferencia por parte de CrunchJunkie de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso limitado. En concreto: • Solo accedemos a los datos de usuario de Google necesarios para prestar y mejorar las funciones de informes que usted ha solicitado. • No vendemos datos de usuario de Google ni los utilizamos con fines publicitarios. • No transferimos datos de usuario de Google a terceros salvo cuando sea necesario para prestar o mejorar el Servicio (nuestros subencargados del tratamiento enumerados en el apartado 3), para cumplir la legislación aplicable o como parte de una fusión o adquisición con compromisos equivalentes. • No permitimos que personas lean sus datos de usuario de Google salvo que tengamos su acuerdo afirmativo para datos concretos, sea necesario por motivos de seguridad (p. ej., investigar un abuso), para cumplir la legislación aplicable o los datos estén agregados y anonimizados para operaciones internas. • Los tokens OAuth se almacenan cifrados y se utilizan únicamente para atender las funciones que usted inicie. Al desconectar una integración en CrunchJunkie se elimina su token almacenado una vez que nada más en su espacio de trabajo utilice el mismo inicio de sesión de Google (véanse las Instrucciones para eliminar sus datos, apartado 2). CrunchJunkie no revoca los tokens de Google en Google, porque una revocación allí retira todos los permisos que usted concedió a CrunchJunkie, incluidas sus otras conexiones de Google; para retirar el acceso de CrunchJunkie en Google, quítelo en cualquier momento en los ajustes de su cuenta de Google (Seguridad → Aplicaciones y servicios de terceros). Lo mismo se aplica a Meta (Facebook: Configuración → Integraciones de empresa). De las plataformas que usted puede conectar, CrunchJunkie revoca un token en el propio proveedor solo en el caso de Reddit Ads.

Si solicita participar o participa en nuestro Programa de embajadores de marca (regido por las Condiciones del Programa, que son independientes), tratamos datos personales suyos como participante del programa, distintos de cualquier dato que tratemos sobre usted como cliente. Esto incluye: los datos que envía en su solicitud (su nombre, correo electrónico, sitio web, la audiencia y los canales a través de los que promociona, sus rangos de seguidores, métodos de promoción y cualquier mensaje que facilite); su cuenta de embajador y su enlace de referido; los datos de pago que nos facilita para cobrar su comisión; y los registros de las recomendaciones que se le atribuyen y de la comisión calculada. La base jurídica es la ejecución del acuerdo de embajador (art. 6.1.b) del RGPD) y nuestro interés legítimo en operar el programa y prevenir el fraude (art. 6.1.f) del RGPD). Conservamos estos datos mientras participe y, después, durante el tiempo exigido por motivos fiscales, contables y jurídicos. No le revelamos la identidad de un cliente referido: su portal y los correos del programa muestran únicamente una referencia de recomendación opaca y el estado de la suscripción, nunca el nombre del cliente. La atribución de las recomendaciones utiliza la cookie propia «cj_ref» descrita en el apartado 6 y en la tabla de cookies siguiente.

Este apartado se aplica desde el 29 de octubre de 2026. A partir de ese día, cuando alguien se registra a través de un enlace de recomendación, en el programa de recomendación de clientes («Recomienda y gana») o en el Programa de embajadores de marca, comprobamos automáticamente si la recomendación es un autorreferido: si quien recomienda y el cliente referido son la misma persona o están bajo un control común. Comprobamos en el momento del registro y de nuevo cuando vence una recompensa: en «Recomienda y gana», cuando el cliente referido paga por primera vez; en el Programa de embajadores de marca, en cada ciclo de facturación pagado. La finalidad es prevenir el fraude en las recomendaciones, de modo que no se abone ninguna recompensa por recomendación (crédito en la cuenta o comisión) por recomendarse a uno mismo. Base jurídica: nuestro interés legítimo en prevenir el fraude en las recomendaciones (art. 6.1.f) del RGPD); en el caso de los embajadores, también la ejecución del acuerdo de embajador, cuyas condiciones excluyen el autorreferido (art. 6.1.b) del RGPD). Qué almacenamos para la comprobación: • únicamente la parte de red de una dirección IP, nunca la dirección completa: la red IPv4 /24 o IPv6 /48 desde la que quien recomienda abrió por última vez la página de recomendación o el portal de embajadores (que también se registra con cada recomendación realizada a través de su enlace), y aquella desde la que se registró el cliente referido; • qué cuenta se registró a través del enlace (en una recomendación realizada cuando la comprobación aún no estaba en funcionamiento, la cuenta que se creó junto con el espacio de trabajo referido, cuando eso es seguro); • los nombres de las señales que coincidieron (por ejemplo, «mismo dominio de correo electrónico de empresa»), el resultado de la comprobación, las fechas de la comprobación y de cualquier revisión, la dirección de correo electrónico del administrador de CrunchJunkie que revisó el caso y el motivo que indicó. Qué comparamos, a partir de datos que ya tenemos, sin almacenarlos para la comprobación: la dirección de correo electrónico de la cuenta que se registró a través del enlace con la de quien recomienda, y sus dominios; las direcciones de correo electrónico de facturación y las direcciones de facturación; las huellas de las tarjetas de pago, que comparamos a través de nuestro proveedor de pagos, Stripe; y cuándo se unió quien recomienda al espacio de trabajo referido. En la comisión de un embajador, la dirección de correo electrónico de facturación, la dirección de facturación y la tarjeta son las de la factura y el pago del propio ciclo de facturación; en el crédito de «Recomienda y gana», las de la cuenta de facturación del cliente referido. Por parte de quien recomienda, utilizamos su dirección de correo electrónico y los datos de facturación de los demás espacios de trabajo de los que es propietario (no del referido). Una huella identifica una tarjeta sin revelarla; nunca vemos los números de tarjeta. Qué ocurre si hay una coincidencia: • La cuenta que se registró a través del enlace tiene la dirección de correo electrónico de quien recomienda (comparada sin distinguir mayúsculas, sin un sufijo «+» y, en Gmail, sin puntos). No se abona ninguna recompensa por la recomendación, y la comisión contabilizada sobre ella pero aún no pagada se revierte automáticamente. Si una persona de CrunchJunkie constata después que no se trata de un autorreferido, la comisión revertida se restablece y se paga de la forma habitual. • Un pago procedía de quien recomienda: se realizó con una tarjeta guardada en otro espacio de trabajo del que es propietario quien recomienda, o su dirección de correo electrónico de facturación es la propia de quien recomienda o la de otro espacio de trabajo del que es propietario. En el Programa de embajadores de marca esto se valora para cada ciclo de facturación según su propia factura y su propio pago: un ciclo de facturación pagado por el embajador no genera comisión, los demás ciclos de facturación de la recomendación no se ven afectados y no se revierte nada, tampoco después de que la titularidad del espacio de trabajo referido se haya transferido al embajador. En «Recomienda y gana» se valora sobre la cuenta de facturación del cliente referido cuando paga por primera vez, y una coincidencia significa que el crédito en la cuenta no se concede. • Un indicio más débil de control común somete la recomendación a revisión. Hasta que una persona de CrunchJunkie haya decidido, la recompensa se retiene: en el caso de un embajador, toda la comisión de la recomendación aún no pagada, incluida la comisión de ciclos de facturación contabilizados antes de abrirse la revisión. Por regla general, examinamos cada revisión abierta en un plazo de 7 días. Si la persona da por buena la recomendación, la comisión retenida se paga de la forma habitual. Estos indicios son el mismo dominio de correo electrónico de empresa (las direcciones de proveedores de correo gratuitos nunca cuentan), un registro desde la red desde la que quien recomienda había abierto por última vez la página de recomendación o el portal de embajadores, la misma dirección de facturación que la de otro espacio de trabajo del que es propietario quien recomienda, y que quien recomienda se una al espacio de trabajo referido en los 7 días siguientes a su registro. Unirse más tarde, por ejemplo como agencia invitada por su cliente, no es un indicio de autorreferido. La comprobación automatizada de autorreferidos nunca reclama la comisión ya pagada. Solo puede hacerlo una persona de CrunchJunkie que revise una recomendación y confirme que es un autorreferido; el importe se descuenta entonces de los siguientes pagos del embajador (Condiciones del Programa de embajadores de marca, cláusula 6.3). Las decisiones automatizadas son necesarias para la ejecución del contrato (art. 22.2.a) del RGPD): nuestros Términos del servicio (apartado 12b) y las Condiciones del Programa de embajadores de marca (cláusula 7.2) no recompensan el autorreferido. Cuando una recompensa se retiene o se revierte automáticamente, puede impugnar la decisión, exponer su punto de vista y solicitar que la revise una persona (art. 22.3 del RGPD) escribiendo a hello@crunchjunkie.io. Plazo de conservación: las redes registradas con una recomendación se eliminan 12 meses después de que se registrara la recomendación. Si en ese momento la recomendación sigue sometida a revisión de autorreferido, o uno de sus pagos es objeto de un contracargo abierto (una disputa de pago con el banco del cliente), se conservan hasta que se decida la revisión o se cierre el contracargo, y se eliminan en nuestra siguiente limpieza diaria. La red desde la que quien recomienda abrió por última vez la página de recomendación o el portal de embajadores se elimina 12 meses después de que se viera por última vez, con independencia de que alguien se haya registrado o no a través del enlace. Los nombres de las señales coincidentes y el resultado no son datos de red; se conservan junto con el registro de la recomendación. Los embajadores solo ven una referencia de recomendación opaca y un estado neutro (como «no válido», «en revisión» o «algunos pagos no válidos»). Nunca ven la identidad del cliente referido ni qué señal coincidió.

Podemos actualizar esta política a medida que evolucione nuestro Servicio o cambien los requisitos legales. Los cambios sustanciales se comunicarán por correo electrónico o mediante un aviso en la app al menos 14 días antes de su entrada en vigor. La fecha de «última actualización» que figura en la parte superior de esta página indica cuándo se realizó la revisión más reciente. El uso continuado del Servicio después de la fecha de entrada en vigor supone el reconocimiento de la política actualizada.