Política de privacidad: qué tratamos y por qué

La versión neerlandesa es la vinculante y esta castellana es la de lectura. El original está en theseo.nl/privacy/ (NL). Esta versión está pendiente de revisión por un abogado antes de publicarse. Los hechos que describe son los mismos; lo que cambia respecto del original es la ley que se cita y la autoridad ante la que puedes reclamar, y eso no es un detalle de traducción.

Para una persona en España se aplican tres capas a la vez: el RGPD, el Reglamento (UE) 2016/679, que es exactamente el mismo texto que rige en los Países Bajos; la LOPDGDD, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales; y la LSSI-CE, la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico, que es la que regula el almacenamiento en tu equipo y el correo comercial. Donde la versión neerlandesa remite a la ley neerlandesa de telecomunicaciones, esta remite a la LSSI. No es lo mismo y por eso esta página no es una traducción.

TheSEO decide para qué y cómo se usan los datos de esta web. En la ley eso se llama responsable del tratamiento. Puedes dirigirte a nosotros con cualquier pregunta al respecto. Estos son además los datos identificativos que una empresa española espera encontrar en la propia web, siguiendo el criterio del artículo 10 de la LSSI-CE.

Estado: donde un dato todavía no está fijado, lo decimos con todas las letras. No rellenamos un plazo ni una garantía que no podamos cumplir, y ese punto sigue marcado como abierto hasta que quede fijado.

No tenemos delegado de protección de datos designado. Las preguntas sobre privacidad llegan directamente al correo de arriba y las contesta una persona.

Medimos cómo se usa esta web con Microsoft Clarity, a propósito en el modo sin cookies. Antes de que el script cargue, le damos a Clarity la señal fija de que no hay consentimiento para cookies. Clarity entonces no coloca nada en tu equipo y no te puede reconocer ni seguir de página en página: cada vista cuenta como una sesión suelta.

Microsoft ve qué páginas se miran, dónde se hace clic y se hace scroll, cómo se mueve el ratón, y datos técnicos como navegador, dispositivo y país. Lo que escribes en un campo de formulario lo enmascara Clarity en cualquier modo y no se envía a Microsoft. Aparte de eso no hay software de analítica en la web: sin Google Analytics, sin píxeles publicitarios de Google, Meta o LinkedIn, y sin remarketing.

Por eso aquí no ves un aviso de cookies, y esa ausencia es deliberada. El artículo 22.2 de la LSSI-CE solo exige consentimiento cuando se almacena información en tu equipo o se accede a la que ya está ahí. Si eso no ocurre, no hay consentimiento que pedir, y un banner estaría pidiéndote permiso para algo que no pasa. La guía de cookies de la AEPD exige además que rechazar sea tan fácil como aceptar, en el mismo nivel y con la misma visibilidad; la manera más limpia de cumplir esa exigencia es no tener nada que aceptar.

La web en sí no coloca cookies. Nuestro proveedor de alojamiento sí puede colocar una cookie técnica para frenar tráfico de bots y ataques. Esa sirve a la seguridad y no se usa para reconocerte ni seguirte, y encaja en la excepción técnica del propio artículo 22.2.

Sí se guarda algo en tu navegador en dos sitios, los dos en las páginas del panel de MyParcel y los dos porque eres tú quien elige algo:

• Si en la página de inicio del panel de MyParcel (NL) eliges un paquete, tu navegador recuerda esa elección en el almacenamiento de sesión, bajo la clave mp-plan. Cierras la pestaña y desaparece.
• Si en la demo de ese panel (NL) cambias la vista, como el tema, la densidad o qué columnas ves, tu navegador lo recuerda en el almacenamiento local, bajo la clave myparcel-dashboard-preview-preferences. Eso se queda hasta que borras el almacenamiento de tu navegador.

Los dos se quedan en tu propio equipo. No llegan a nosotros ni a ningún tercero, y no se usan para reconocerte ni seguirte. Como se trata de una función que pides tú mismo, encaja en la excepción del artículo 22.2 de la LSSI-CE y no requiere consentimiento. La lista completa de lo que se guarda está en la página de cookies.

Las tipografías vienen de nuestro propio servidor. Antes se recogían directamente de Google; desde esa limpieza tu navegador ya no abre ninguna conexión con Google para verlas.

Lo que dejas tú

Si contactas o pides un análisis manual, tratamos tu nombre, correo electrónico, teléfono, la dirección de tu web y el contenido de tu mensaje.

Si usas una de las herramientas gratuitas, tratamos lo que rellenas en ese formulario: nombre de la empresa, sector y ciudad, y en la herramienta de reseñas también el texto de la reseña, el nombre de quien la escribió y el número de estrellas. Tu correo electrónico ahí es opcional.

Si pides un análisis de una web, tratamos la dirección que escribes.

Si usas una herramienta de esta web, registramos de dónde vino ese uso: en qué página de esta web estaba el formulario, qué web te envió hacia aquí si llegaste por un enlace, el código de campaña que iba en la dirección si entraste por un anuncio o un enlace de campaña, y el momento. Esto se avisa en cada herramienta donde ocurre.

De la web que te envió solo conservamos el dominio y la ruta; todo lo que iba detrás en la cadena de consulta se descarta ya en tu propio navegador y no llega a nuestro servidor. Con esto no te seguimos por otras webs: solo vemos ese único paso hacia nosotros, y solo porque tu navegador lo envía por su cuenta.

Lo que rellenas y lo que la herramienta te devolvió lo guardamos en nuestra propia base de datos. Eso vale para todas las herramientas de esta web. Va acompañado del tipo de dispositivo con el que usaste la herramienta, deducido de lo que envía tu navegador: móvil, tableta u ordenador, nada más. En esa fila no guardamos dirección IP y no colocamos nada en tu navegador para ello.

Con esos datos calculamos cuál de nuestros servicios te encajaría mejor, con el motivo al lado de cada punto. Es una ayuda para la conversación y no una decisión sobre ti: no se rechaza, concede ni tarifa nada de forma automática, y una persona lo mira antes de que se haga nada con ello. Si quieres saber qué consta sobre ti o quieres que se borre, se aplica sin más el capítulo de derechos de más abajo.

Lo que llega solo

En cada visita, nuestro proveedor de alojamiento ve tu dirección IP, tu navegador y dispositivo, qué página pides y en qué momento. Eso hace falta para enviarte la página y para frenar el abuso. Esos datos nacen al entregar la propia página; no los unimos a ningún perfil y no los usamos para reconocerte.

La marca de agua en las descargas de skills

Cada skill que descargas aquí lleva dos líneas en la cabecera del fichero SKILL.md: una línea visible que dice que la skill viene de theseo.nl y es gratuita bajo licencia MIT, y una línea de comentario con un identificador de edición con la forma tsk-año-mes-día-código. Ese identificador pertenece a esa edición del zip y no a ti: cualquiera que descargue la misma versión recibe el mismo identificador.

Al descargar no se registra nada sobre ti, no hace falta cuenta, y dentro de la skill no hay código que nos devuelva nada. El identificador está ahí para que una skill que aparezca en otro sitio se pueda rastrear hasta nosotros y hasta la versión que estaba aquí. Si quieres quitar esas dos líneas, puedes.

Si descargas uno de nuestros plugins de WordPress

En herramientas y plugins (NL) hay ocho plugins que puedes descargar sin cuenta. Al descargar no pedimos nada: ni nombre, ni correo, ni formulario. Lo que ocurre es lo mismo que en cualquier otra página, es decir, la línea que nuestro proveedor de alojamiento anota en su registro porque te envía un fichero. En el zip no hay contador y no hay código que nos devuelva nada.

Después el software está en tu servidor y nosotros ya no somos parte. Seis de los ocho no hacen ninguna petición saliente; escriben solo en tu propia base de datos o guardan solo lo que tú rellenas. Nosotros no vemos que hayas instalado uno de ellos, y mucho menos qué registra.

Dos sí hablan hacia fuera y en los dos casos es decisión tuya: el plugin de accesibilidad recoge en modo página tu propia página de tu propio dominio y nada más, y el previsualizador de fragmentos de IA solo envía algo a OpenAI si tú mismo pones una clave, y ese tráfico va por tu cuenta y no por la nuestra. Qué significa eso para tu propio papel como responsable del tratamiento está en el registro de subencargados. Ninguno de los ocho coloca una cookie ni escribe en el almacenamiento del navegador de tus visitantes, y ninguno de los ocho registra su dirección IP.

Lo que se añade si trabajamos juntos

Si trabajamos juntos se añaden los datos que pide el trabajo: personas de contacto, acceso a tu web o a tu cuenta publicitaria, y los datos necesarios para facturar.

La ley pide una base jurídica por cada fin. Abajo está cuál es, en lenguaje normal y con el artículo del RGPD al lado para quien lo quiera comprobar. Dos decisiones de esta tabla son una postura nuestra y no un hecho cerrado, y preferimos escribirlo antes que callarlo.

La primera: si rellenar una herramienta gratuita sin cuenta y sin pago ya es un contrato en el sentido del artículo 6.1.b. Las directrices 2/2019 del CEPD interpretan de forma estricta lo de necesario para la ejecución de un contrato. La segunda: si compartir datos con Microsoft para Clarity puede apoyarse en el interés legítimo, cuando Microsoft actúa ahí como responsable por su cuenta. Los dos puntos se los planteamos a un abogado; si alguno resulta ser distinto, cambia la base que aquí figura y no lo que hacemos en la práctica.

Correo comercial. No enviamos comunicaciones comerciales por correo electrónico a quien no las ha pedido. En España eso lo prohibe el artículo 21 de la LSSI-CE, que exige consentimiento previo, y el artículo 20 de esa misma ley exige que una comunicación comercial sea reconocible como tal y que el anunciante sea identificable. Cuando en una página nuestra ves un ejemplo de anuncio dentro de una figura, es un ejemplo y está marcado como tal.

No tomamos decisiones automatizadas con efecto jurídico sobre ti. Las herramientas de esta web dan un resultado y un consejo. Lo que hagas con eso lo decides tú, y no hay ninguna decisión sobre ti colgando de ahí.

Abajo está cada tercero que recibe datos tuyos por el uso de esta web, y qué va exactamente hacia allá. Antes de la lista, el recorrido en imagen: cuántas paradas hace un dato tuyo y dónde se queda.

Qué pasa dentro de Make

Los generadores no hacen el trabajo por sí mismos. Envían lo que rellenas a Make, donde un modelo de lenguaje escribe el texto y tu solicitud queda anotada en una hoja de cálculo de Google. Si no rellenas correo, esa anotación se queda en lo que hayas contado sobre tu empresa.

Ese mismo uso llega ahora también a nuestra propia base de datos. Es una duplicidad a propósito y temporal: no apagamos la hoja de cálculo hasta que esté demostrado que en nuestra propia base de datos no falta nada. En cuanto sea así, la hoja desaparece de esta cadena y aquí se dirá.

Quién trabaja por encargo nuestro y quién no

Cloudflare, Make, Supabase y Resend tratan datos por encargo nuestro. Solo los pueden usar para la tarea que les damos, y no para fines propios. Eso lo fijamos con esas partes en un contrato de encargo de tratamiento según el artículo 28 del RGPD.

Con SerpAPI todavía no tenemos ese contrato en el expediente. Por eso mantenemos lo que va hacia allá lo más pequeño posible: solo el nombre de empresa y la ciudad que tú mismo escribes en la comprobación, como consulta de búsqueda. Tu nombre, tu correo y tu dirección IP no van.

Y no hacemos como si eso quedara automáticamente fuera de la normativa: en un autónomo el nombre de la empresa suele ser el nombre de una persona, y entonces nombre más ciudad sí es un dato personal en el sentido del artículo 4 del RGPD. Mientras ese contrato no exista, falta también una garantía de transferencia, y por eso SerpAPI figura en nuestro registro como punto abierto. Así consta también en la página de subencargados.

Google, Stripe y Microsoft deciden en parte por su cuenta qué hacen con los datos. Para esa parte son ellos los responsables y valen sus propias condiciones de privacidad junto a esta página. Microsoft se declara expresamente responsable del tratamiento para Clarity. Por eso Microsoft figura en nuestro registro entre los demás destinatarios y no entre los encargados, y mantenemos lo que va hacia allá lo más pequeño posible: sin cookies y con los campos de formulario enmascarados.

No vendemos tus datos y no los cedemos a terceros que persigan con ellos fines comerciales propios.

La lista completa, con qué va a cada parte y dónde ocurre, está en nuestro registro de subencargados. Si trabajamos para ti y tratamos datos por cuenta tuya, valen los acuerdos de nuestro contrato de encargo de tratamiento.

La tabla de abajo lo dice exacto. La escala de encima lo dice de un vistazo: qué plazo es corto, cuál largo, y dónde nos ata la ley.

Estado: lo que Cloudflare guarda en sus propios registros depende de sus ajustes, y esa documentación la estamos cerrando. El plazo de noventa días es nuestra propia regla para registros de seguridad.

Además vale esto: no guardamos nada más tiempo del que lo necesitamos. Si nos pides que borremos algo y no hay una obligación legal que lo impida, lo borramos.

Parte de los terceros de arriba están en Estados Unidos: Cloudflare, Google, Microsoft, Resend, SerpAPI y Stripe. Make funciona en un servidor europeo, reconocible por la dirección de conexión que empieza por hook.eu1.

Para las transferencias a Estados Unidos valen las cláusulas contractuales tipo de la Comisión Europea, o el EU-US Data Privacy Framework si la parte está adherida. Las dos son garantías reconocidas por el RGPD, y ese régimen es exactamente el mismo desde España que desde los Países Bajos, porque el reglamento es el mismo.

Cuál de las dos vale por cada parte está abajo. Los contratos citados están en nuestro propio registro de proveedores, con versión y fecha.

Estado: para Make estamos cerrando el inventario de los escenarios y la prueba contractual. Hasta entonces mantenemos lo más pequeño posible lo que va hacia allá por las herramientas gratuitas.

Tienes los derechos de abajo. Los ejerces escribiendo a sales@theseo.nl. Respondemos dentro de un mes, casi siempre mucho antes. No cuesta nada.

• Acceso. Pedir qué datos tuyos tenemos y qué hacemos con ellos.
• Rectificación. Hacer corregir lo que no es exacto o está incompleto.
• Supresión. Hacer borrar lo que ya no necesitamos o no podemos guardar.
• Limitación. Hacer parar el uso temporalmente, por ejemplo mientras averiguamos si los datos o la base son correctos. Los conservamos, pero no hacemos nada más con ellos.
• Portabilidad. Llevarte los datos que aportaste tú mismo en un formato de uso común, o hacer que se envíen directamente a otra parte.
• Oposición. Oponerte al tratamiento basado en interés legítimo. Contra el uso para marketing directo puedes oponerte siempre, y entonces para sin más ponderación.
• Retirar el consentimiento. Si has dado consentimiento para algo, lo puedes retirar en cualquier momento. Lo que hicimos antes sigue siendo lícito, y a partir de ese momento para.

La LOPDGDD desarrolla estos derechos para España en sus artículos 12 a 18, y añade los derechos digitales de su título X. No los repetimos aquí con más detalle del que hemos comprobado.

Podemos pedir datos adicionales para asegurarnos de que la solicitud viene de ti. No pedimos más de lo necesario para eso.

Reclamación

Si no estás conforme con cómo tratamos tus datos, dínoslo primero a nosotros en sales@theseo.nl. Si no llegamos a un acuerdo, tienes dos vías y las dos existen de verdad:

• Como estamos establecidos en los Países Bajos, nuestra autoridad de control principal es la neerlandesa Autoriteit Persoonsgegevens, en autoriteitpersoonsgegevens.nl (NL).
• Si resides en España, puedes reclamar además ante la Agencia Española de Protección de Datos (AEPD), en aepd.es. No tienes que elegir la neerlandesa por el hecho de que nosotros estemos allí.

Las dos rutas conviven y ninguna de las dos desaparece por la otra. Lo decimos así de explícito porque una traducción perezosa de la página neerlandesa te habría dejado solo con la primera.

Brecha de seguridad o vulnerabilidad

¿Crees que se han filtrado datos, o ves una vulnerabilidad en esta web? Escribe a sales@theseo.nl con la palabra brecha en el asunto. Describe con la mayor precisión posible qué ves y cuándo. Un aviso así lo tratamos con prioridad y te contamos qué hacemos con él.

Si se trata de una vulnerabilidad y todavía no de una filtración, en responsible disclosure está cómo avisar, qué te pedimos y qué recibes de vuelta.

Si resulta ser una brecha con riesgo para las personas afectadas, lo notificamos dentro de las 72 horas a la autoridad de control. Si el riesgo es alto, informamos también a las personas afectadas.

Cambios

Si cambia algo en lo que tratamos o con qué terceros, ajustamos esta página. Arriba está la versión, aquí abajo la fecha del último cambio.

Consulta también nuestras condiciones generales para lo que acordamos por producto, el registro de subencargados para la lista completa de terceros, el contrato de encargo de tratamiento para lo que rige cuando tratamos datos por cuenta tuya, y la declaración de cookies y seguimiento para lo que se guarda exactamente en tu equipo. Qué IA usamos nosotros y para qué está en la declaración de transparencia sobre IA; lo que hemos medido de esta web en accesibilidad está en la declaración de accesibilidad.