Política de privacidad y protección de datos
Última actualización:
En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), informamos de manera transparente sobre el tratamiento de los datos personales recabados a través de https://machineiq.app y de la plataforma SaaS MachineIQ.
1. Identidad del Responsable del Tratamiento
- Titular / Razón social: [RAZÓN SOCIAL / NOMBRE COMPLETO]
- CIF / NIF: [CIF/NIF]
- Domicilio social: [DOMICILIO SOCIAL]
- Datos registrales: [DATOS REGISTRO MERCANTIL]
- Contacto de privacidad y protección de datos: hola@machineiq.app
Nota para clientes profesionales (B2B): Respecto de los datos personales de empleados, operarios o colaboradores que un taller cliente incorpore a su espacio de trabajo (workspace), el taller cliente actúa como Responsable del Tratamiento y [RAZÓN SOCIAL / NOMBRE COMPLETO] actúa como Encargado del Tratamiento conforme al Acuerdo de Encargo de Tratamiento (DPA).
2. Categorías de datos que tratamos
- Datos identificativos y de cuenta: nombre y apellidos, correo electrónico profesional, nombre de la empresa o taller, idioma preferido, rol de usuario y hash criptográfico de contraseña (o identificador OAuth de Google).
- Datos técnicos e industriales del taller: inventario de máquinas CNC, catálogo de herramientas, parámetros de corte, análisis comparativos A/B, hojas de operaciones, programas G-code y registros de producción/OEE. Estos datos son titularidad exclusiva del cliente y se tratan únicamente para prestar el servicio contratado.
- Consultas al Asistente IA: mensajes e información contextual del taller remitidos voluntariamente al asistente técnico de mecanizado para generar respuestas en tiempo real.
- Datos de facturación y suscripción: razón social, NIF/IVA, dirección de facturación, plan contratado e historial de facturas. Los datos completos de tarjetas de pago son procesados directamente por Stripe (certificación PCI-DSS Nivel 1); MachineIQ nunca almacena números completos de tarjeta ni códigos CVV.
- Datos de navegación, errores y analítica: registros técnicos de seguridad (dirección IP abreviada/técnica, agente de usuario, trazas de error en Sentry) y, únicamente si otorgas tu consentimiento previo, eventos de uso agregados en Mixpanel.
3. Finalidades y bases jurídicas del tratamiento
| Finalidad | Base jurídica (Art. 6 RGPD) |
|---|---|
| Creación de cuenta, autenticación, gestión del workspace multiusuario, cálculo de OEE, análisis A/B, hojas de operaciones y soporte técnico. | Ejecución del contrato o medidas precontractuales (Art. 6.1.b RGPD). |
| Envío de comunicaciones operativas y transaccionales vinculadas al servicio (bienvenida, avisos de prueba, informes semanales del taller, alertas críticas). | Ejecución del contrato (Art. 6.1.b RGPD) e interés legítimo en el acompañamiento técnico del cliente B2B (Art. 6.1.f RGPD y Art. 21.2 LSSI-CE), con opción de baja en un clic en cada correo periódico. |
| Gestión de cobros, emisión de facturas y cumplimiento de obligaciones contables y fiscales. | Ejecución del contrato (Art. 6.1.b RGPD) y cumplimiento de obligaciones legales (Art. 6.1.c RGPD). |
| Seguridad de la infraestructura, prevención del fraude, control de acceso y diagnóstico de fallos en producción (Sentry). | Interés legítimo del responsable en garantizar la seguridad (Art. 6.1.f RGPD). |
| Analítica de uso del producto mediante Mixpanel y comunicaciones informativas a leads de formularios o calculadora de ahorro. | Consentimiento libre, específico, informado e inequívoco (Art. 6.1.a RGPD). |
4. Plazos de conservación de los datos
- Cuenta activa: mientras se mantenga la relación contractual o la cuenta permanezca activa.
- Cancelación o baja de cuenta: tras solicitar la supresión de la cuenta, los datos personales y operativos del workspace (si eres único administrador) se eliminan de forma activa. Cualquier copia residual en copias de seguridad cifradas queda purgada en un plazo máximo de 30 días naturales.
- Documentación fiscal y mercantil: las facturas y registros contables se conservarán debidamente bloqueados durante 5 años (obligaciones tributarias, Ley General Tributaria) y hasta 6 años a efectos mercantiles (Art. 30 del Código de Comercio).
- Preferencias de baja de correo (opt-out): la dirección de email en lista de exclusión se conserva bloqueada para evitar nuevos envíos no deseados (Art. 23 LOPDGDD).
- Datos de analítica (Mixpanel): máximo de 12 meses o hasta que revoques tu consentimiento.
5. Destinatarios, subencargados y transferencias internacionales
No vendemos ni cedemos tus datos personales a terceros con fines publicitarios. Nuestra base de datos principal se aloja en la Unión Europea (Fráncfort, Alemania). Para la prestación del servicio nos apoyamos en los siguientes encargados/subencargados del tratamiento:
| Proveedor | Servicio | Ubicación y garantías RGPD |
|---|---|---|
| Supabase, Inc. (infraestructura AWS eu-central-1) | Base de datos PostgreSQL gestionada, autenticación y almacenamiento cifrado | Unión Europea (Fráncfort, Alemania — eu-central-1) — Alojamiento íntegro en el EEE + DPA y Cláusulas Contractuales Tipo (SCC) UE |
| Vercel Inc. | Alojamiento web serverless, red de distribución (CDN) y ejecución de funciones | Unión Europea (nodo principal europeo) / EE. UU. (CDN global) — EU-U.S. Data Privacy Framework + Cláusulas Contractuales Tipo (SCC) UE |
| Stripe Payments Europe, Limited / Stripe, Inc. | Pasarela de pagos, facturación de suscripciones y prevención del fraude | Unión Europea (Irlanda) / EE. UU. — Certificación PCI-DSS Nivel 1, EU-U.S. DPF y Cláusulas Contractuales Tipo (SCC) UE |
| Resend, Inc. | Envío de correos electrónicos transaccionales, informes semanales y alertas | EE. UU. / Unión Europea — DPA + Cláusulas Contractuales Tipo (SCC) de la Comisión Europea |
| Mixpanel, Inc. | Analítica de producto anonimizada (únicamente previo consentimiento expreso) | EE. UU. / Unión Europea — Consentimiento previo (Art. 6.1.a RGPD), EU-U.S. DPF y SCC UE |
| Functional Software, Inc. (Sentry) | Monitorización de errores técnicos, rendimiento y estabilidad en producción | EE. UU. / Unión Europea — Minimización de datos, EU-U.S. Data Privacy Framework y SCC UE |
| Google Cloud EMEA Limited / Google LLC (Google Gemini AI) | Procesamiento bajo demanda de consultas técnicas en el Asistente IA de mecanizado | Unión Europea / EE. UU. — API empresarial sin entrenamiento de modelos con datos del cliente + SCC UE y EU-U.S. DPF |
Cuando algún proveedor tecnológico procesa metadatos o solicitudes desde fuera del Espacio Económico Europeo, la transferencia queda amparada por una decisión de adecuación de la Comisión Europea (como el EU-U.S. Data Privacy Framework) y/o por las Cláusulas Contractuales Tipo (SCC) aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión (Art. 46.2.c RGPD).
6. Derechos de protección de datos (ARSOPOL)
Como titular de los datos puedes ejercer gratuitamente en cualquier momento los derechos reconocidos en los artículos 15 a 22 del RGPD y 12 a 18 de la LOPDGDD:
- Acceso: conocer qué datos personales tuyos tratamos y obtener copia de ellos.
- Rectificación: modificar datos inexactos o completar los incompletos (también editable directamente en tu perfil).
- Supresión («derecho al olvido»): solicitar el borrado definitivo de tus datos personales cuando ya no sean necesarios o retires tu consentimiento.
- Oposición: oponerte a tratamientos basados en interés legítimo o al envío de comunicaciones periódicas.
- Portabilidad: recibir tus datos en un formato estructurado, de uso común y lectura mecánica (CSV/JSON/PDF) o transmitirlos a otro responsable.
- Limitación del tratamiento: solicitar la suspensión temporal del tratamiento en los supuestos legalmente previstos.
- Retirada del consentimiento: revocar cualquier consentimiento otorgado en cualquier momento, sin carácter retroactivo.
Puedes ejercer estos derechos escribiendo a hola@machineiq.app indicando el derecho que deseas ejercitar y la dirección de correo asociada a tu cuenta. Atenderemos tu solicitud a la mayor brevedad y siempre dentro del plazo legal máximo de 1 mes (30 días).
Asimismo, si consideras que el tratamiento no se ajusta a la normativa vigente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD — www.aepd.es).
7. Instrucciones públicas de eliminación de cuenta y datos
Facilitamos dos vías directas para solicitar y ejecutar la baja total de tu cuenta y la supresión de tus datos personales:
- Eliminación inmediata desde la aplicación (con sesión iniciada): accede a Configuración → Datos → Eliminar mi cuenta y confirma la operación. El sistema cancela automáticamente cualquier suscripción activa en Stripe, elimina los datos del workspace (si eres el único miembro/administrador) y suprime tu perfil y credenciales de autenticación en el acto.
- Solicitud pública sin iniciar sesión: si no recuerdas tu contraseña o no puedes acceder a la aplicación, utiliza el siguiente formulario o envía un correo desde tu dirección registrada a hola@machineiq.app con el asunto «Solicitud de supresión RGPD». Verificaremos la titularidad del correo y ejecutaremos la baja completa en un plazo objetivo inferior a 72 horas.
Formulario de solicitud de supresión sin iniciar sesión
Si no puedes acceder a tu cuenta, solicita aquí la eliminación completa de tu cuenta y datos asociados. Enviaremos un correo de verificación de titularidad a tu dirección y completaremos el borrado en menos de 72 horas.
8. Cookies y tecnologías de almacenamiento local
MachineIQ utiliza cookies de sesión necesarias (Supabase Auth) y, únicamente bajo consentimiento previo, almacenamiento analítico (Mixpanel). Nunca cargamos ni inicializamos Mixpanel antes de tu aceptación expresa. Puedes consultar el detalle completo en nuestra Política de cookies o .
9. Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo conforme al artículo 32 del RGPD: cifrado en tránsito mediante TLS 1.2/1.3 (HTTPS con HSTS), cifrado en reposo AES-256, aislamiento estricto entre talleres mediante políticas Row Level Security (RLS) en PostgreSQL, control de acceso por roles, copias de seguridad automáticas diarias en la UE y registro auditado de eventos críticos sin exposición de datos sensibles.
10. Cambios en la Política de privacidad
Podremos actualizar esta Política de privacidad para adaptarla a novedades legislativas o mejoras técnicas del servicio. Cuando los cambios sean sustanciales, lo notificaremos por correo electrónico o mediante aviso destacado en la plataforma con antelación razonable.