Política de privacidad

En vigor desde el 10 de julio de 2026 · Versión 1.2

Esta es una traducción de cortesía. La versión de referencia es la versión en inglés. Tus derechos bajo el RGPD se aplican leas la versión que leas.

1. Quiénes somos

Qixoo («nosotros») es un producto de software como servicio que te permite añadir un editor de contenido integrado a tu web ya existente. El servicio se opera desde España (Unión Europea); el responsable del tratamiento es el operador de Qixoo, localizable en el contacto de abajo.

Contacto: hello@qixoo.app.

2. Qué recogemos

Recogemos solo lo necesario para que el servicio funcione.

Datos de cuenta

• Dirección de correo — se usa para enviar enlaces de acceso y avisos del servicio. Si entras con Google, recibimos de Google tu dirección de correo (y si está verificada): nada más de tu cuenta de Google.
• Plan, tokens y estado de facturación — plan actual, periodicidad, fin del periodo en curso y un registro de tokens de IA (concedidos y gastados). Qixoo no guarda datos de tarjetas; cuando se active el pago con tarjeta lo procesará Stripe y solo conservaremos el identificador de cliente de Stripe.
• Soporte y comunicaciones — los mensajes que envías al soporte integrado, los tickets y nuestras respuestas.

Datos de los sitios

• Metadatos del sitio — la URL, el nombre visible y una clave de API interna para cada sitio que conectas.
• Ediciones de contenido — los textos, imágenes y URLs de enlaces que cambias con el editor (para poder volver a aplicarlos en cada carga de página de tus visitantes).
• Archivos subidos — las imágenes que subes por el editor. Se guardan en Supabase Storage, región UE.
• Envíos de formularios — si tu web usa nuestro gestor de formularios, guardamos cada envío para que puedas leerlo en el panel.

Datos de visitantes (las personas que entran en TU web)

El script incrustado (qixoo.js) no pone cookies, no hace seguimiento entre sitios y no comparte nada con anunciantes. Por defecto solo descarga tus ediciones guardadas desde nuestra API. Dos cosas ocurren únicamente si tú las activas:

• Envíos de formularios — si un visitante envía un formulario en tu web, los campos enviados se guardan para que los leas en tu panel y recibes un aviso por correo.
• Analítica (módulo opcional) — cuenta visitas con un hash anónimo sin cookies que rota a diario; la IP en bruto no se guarda en ningún sitio y los visitantes no se identifican de forma individual.

Respecto a los datos de visitantes recogidos en tu web, el responsable del tratamiento eres tú y Qixoo los trata por cuenta tuya. Asegúrate de que el aviso de privacidad de tu propia web cubre los formularios y la analítica que actives.

3. Por qué los recogemos (bases jurídicas)

• Para prestar el servicio (contrato) — aplicar tus ediciones a tu web exige guardarlas.
• Para autenticarte (contrato) — los tokens de acceso se guardan con hash y caducan.
• Para ejecutar las funciones de IA que invocas (contrato) — véase §5.
• Para atender el soporte (contrato / interés legítimo).
• Para aplicar los límites del plan y prevenir abusos (interés legítimo) — recuentos de uso y limitación por IP de los intentos fallidos de acceso.
• Para enviar correo transaccional (contrato) — enlaces de acceso, avisos, invitaciones, respuestas de soporte.

No usamos tus datos para publicidad, elaboración de perfiles ni reventa de analítica, y no vendemos datos personales.

4. Dónde están (encargados y transferencias)

Trabajamos con un conjunto reducido de proveedores (encargados del tratamiento):

• Supabase — base de datos y almacenamiento de archivos, alojados en la UE.
• Render — alojamiento de la aplicación, región UE (Fráncfort).
• Resend — envío de correo transaccional (con sede en EE. UU.; se aplican garantías aprobadas por la UE, como las cláusulas contractuales tipo).
• Google — verificación del acceso con Google y procesamiento de IA (§5).
• Anthropic — procesamiento de IA para determinadas funciones (§5).
• Stripe — pagos con tarjeta, cuando se active el pago en línea.
• Cloudflare — DNS de nuestro dominio y enrutado del correo entrante: los mensajes que envías a nuestras direcciones @qixoo.app pasan por Cloudflare Email Routing y se entregan en un buzón de Google (Gmail) que controlamos.

Cuando un proveedor trata datos fuera de la UE/EEE, la transferencia se apoya en una decisión de adecuación o en cláusulas contractuales tipo. Las tipografías y el resto de recursos de la página se sirven desde nuestro propio dominio: tu navegador no hace peticiones de fuentes a Google ni a ningún tercero.

5. Tratamiento por IA

Cuando usas una función de IA (reescribir un texto, generar una web, traducir, el asistente de soporte), el contenido necesario para esa acción —tu instrucción y el texto o la estructura relevante de la página— se envía a nuestros proveedores de IA (Google, Anthropic) para producir el resultado, bajo sus condiciones de API. No usamos tu contenido para entrenar modelos propios. Por favor, no metas datos personales sensibles (salud, finanzas, números de documento) en las instrucciones a la IA.

6. Cuánto tiempo los conservamos

Conservamos tus datos mientras exista tu cuenta. Cuando la eliminas (véase §8) borramos físicamente cada registro ligado a tu usuario: sitios, bloques, archivos subidos, envíos de formularios y cualquier acceso de cliente que hayas creado. Los enlaces de acceso caducan a los 15 minutos (48 horas en las invitaciones a clientes); las sesiones caducan solas como mucho a los 30 días (las del equipo, a los 7). Los registros técnicos de corta duración (logs de peticiones del servidor web, para depuración y prevención de abusos) se guardan hasta 30 días.

7. Cookies y almacenamiento local

El panel usa el localStorage y el sessionStorage del navegador para mantener la sesión y recordar preferencias (posición del panel, banner de bienvenida descartado, lista de sitios actual). Nada de eso se envía a ningún sitio. No ponemos cookies en absoluto.

El script incrustado en tu web pública usa sessionStorage solo cuando abres el editor (guarda el token de edición de corta duración para sobrevivir a un F5). En los visitantes normales no se activa.

8. Tus derechos

Según el RGPD tienes derecho a:

• Acceso — descargar un volcado JSON completo de todo lo que guardamos sobre ti. Panel → Ajustes → Exportar mis datos, o llamar a GET /api/user/export.
• Portabilidad — cada sitio que conectas te da una copia ZIP de sus ediciones y archivos subidos en los planes Personal y superiores.
• Supresión — eliminar tu cuenta y cada registro asociado de la base de datos. Panel → Ajustes → Eliminar cuenta, o llamar a DELETE /api/user/delete con el cuerpo {"confirm":"DELETE MY ACCOUNT"}.
• Rectificación — cambiar tu correo o los metadatos de un sitio cuando quieras desde el panel.
• Oposición y reclamación — escríbenos, o dirígete a tu autoridad de protección de datos. Nuestra autoridad de control principal es la AEPD española (aepd.es); si resides en la UE/EEE también puedes reclamar ante la autoridad de tu país.

9. Seguridad y notificación de incidentes

Todo el tráfico va cifrado en tránsito (HTTPS en todas partes; nuestro dominio está en la lista de precarga HSTS, así que los navegadores rechazan las conexiones sin cifrar). Los enlaces de acceso, los tokens de sesión y los de edición se guardan solo como hashes de un solo sentido, nunca en texto plano; las contraseñas del equipo se guardan con bcrypt. El acceso a los datos de producción está limitado al equipo del operador. Si alguna vez un incidente de seguridad afecta a tus datos personales, te lo notificaremos a ti y a la autoridad de control correspondiente sin dilación indebida, dentro de las 72 horas cuando el RGPD lo exija.

10. Residentes en California (CCPA/CPRA)

Qixoo no alcanza hoy los umbrales que harían aplicable la Ley de Privacidad del Consumidor de California, pero respetamos igualmente sus derechos para quienes residan allí:

• Categorías que recogemos: identificadores (dirección de correo), información comercial (plan e historial de compras), actividad en internet o apps (acciones en tu propio panel) y contenido de usuario (ediciones, archivos y envíos de formularios de tus webs). No recogemos información personal sensible en el sentido de la CPRA.
• Ni venta ni cesión: no vendemos información personal ni la cedemos para publicidad conductual entre contextos, así que no hay nada de lo que desistir y no se exige un enlace «Do Not Sell or Share». Tampoco hay rastreo publicitario que una señal Global Privacy Control pudiera desactivar.
• Tus derechos —conocer y acceder, corregir, eliminar y portar tus datos— con las mismas herramientas de autoservicio del §8 (Ajustes → Exportar mis datos / Eliminar cuenta) o escribiéndonos. Verificamos las solicitudes por tu sesión iniciada o por el correo registrado.
• No discriminación: ejercer derechos de privacidad nunca afecta a tu servicio ni a tu precio.
• Representantes autorizados pueden presentar una solicitud en tu nombre acreditando la autorización.

11. Menores

Qixoo no está pensado para menores de 16 años. Si crees que se ha registrado un menor, escríbenos y eliminaremos la cuenta.

12. Cambios en esta política

Si actualizamos esta política de forma material, avisaremos por correo a las cuentas activas al menos 14 días antes de que el cambio entre en vigor.

Si algo aquí no queda claro o quieres ejercer alguno de los derechos del §8, escribe a hello@qixoo.app.