Política de privacidad

En Papely tratamos los datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

El responsable del tratamiento es Jesús Olazagoitia (NIF 16613653V), que opera bajo la marca Papely, con domicilio en Av. Lope de Vega, 55, 26006 Logroño (La Rioja), España. Contacto: [email protected].

2. Datos que recogemos

• Cuenta: nombre, email y credenciales de acceso.
• Facturación: identificación fiscal y datos de pago, procesados por nuestro proveedor (Polar).
• Contenido del usuario: plantillas PDF, datasets, documentos generados, tipografías que subas y configuración del workspace.
• Datos técnicos: dirección IP, tipo de navegador, idioma, métricas de uso y registros de errores.
• Comunicaciones: emails de soporte y respuestas a encuestas.

3. Finalidades y base legal

• Prestación del servicio (ejecución del contrato): operar la plataforma, generar documentos y enviar entregables.
• Facturación y obligaciones legales: emitir facturas, cumplir obligaciones contables y fiscales.
• Soporte: responder a tus consultas.
• Mejora del producto (interés legítimo): analizar uso agregado para depurar errores y priorizar mejoras.
• Marketing (consentimiento): solo cuando aceptes recibir comunicaciones promocionales.

4. Conservación de datos

Conservamos los datos de la cuenta mientras esté activa. Una vez cancelada, los datos de facturación se mantienen el tiempo legalmente exigido. Los documentos generados se conservan según el plan contratado (ver tabla de planes en la página de precios). Los registros técnicos se anonimizan o eliminan transcurridos 12 meses.

5. Destinatarios y encargados

Para prestar el servicio compartimos datos con encargados del tratamiento que cumplen el RGPD:

• Infraestructura: Railway (hosting), Cloudflare R2 (almacenamiento de objetos).
• Pagos: Polar.
• Email transaccional: Postmark.
• Autenticación: Google (cuando el usuario inicia sesión con Google).
• Observabilidad: Sentry (registros de errores).
• Medición publicitaria: Google Ads, OpenAI Ads y Meta Ads, solo si aceptas las cookies de marketing (ver la Política de cookies).

No vendemos datos personales a terceros. Las transferencias internacionales se basan en las cláusulas contractuales tipo o en decisiones de adecuación de la Comisión Europea.

6. Datos de Google Workspace (complemento de Google Sheets™)

Si instalas nuestro complemento para Google Sheets™, este accede a datos de tu cuenta de Google. Describimos aquí ese tratamiento conforme a la Política de Datos de Usuario de los Servicios de la API de Google.

• A qué accedemos: el complemento solo puede leer la hoja de cálculo desde la que lo abres (permiso spreadsheets.currentonly). No accede a tu Google Drive, ni a otros archivos, ni a tu correo. Mientras el panel lateral está abierto lee la fila de cabeceras, el nombre de la hoja y cuántas filas tienes seleccionadas —lo necesario para que puedas asociar columnas a campos— y lo actualiza periódicamente para reflejar tu selección. Los valores de las filas solo se leen cuando inicias una generación.
• Cómo lo usamos: al iniciar una generación, y solo en ese momento, los valores de las columnas que hayas asociado a campos de tu plantilla se envían a nuestros servidores (api.papely.app) para generar los PDF correspondientes. Las columnas que no asocies no se envían. Si activas el envío por correo, las columnas que indiques como destinatario y nombre se usan además para entregar cada documento.
• Cómo lo almacenamos: las filas enviadas y los PDF resultantes se guardan en tu workspace de Papely con el mismo tratamiento y los mismos plazos de conservación que el resto del contenido de usuario (apartado 4). El token que conecta el complemento con tu cuenta de Papely se guarda en las propiedades de usuario de Google Apps Script, asociado a tu usuario de Google, y nunca se escribe en celdas de la hoja. Puedes revocarlo cuando quieras desde el propio complemento o desde la página de integraciones de Papely.
• Con quién lo compartimos: con los encargados del tratamiento del apartado 5, necesarios para generar y entregar los documentos. Nuestro servicio de registro de errores (Sentry) recibe únicamente el mensaje y la traza del error, nunca el contenido de tu hoja de cálculo.

Uso limitado: el uso y la transferencia de la información recibida de las API de Google se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos sus requisitos de Uso Limitado. En particular, no usamos los datos de Google Workspace con fines publicitarios, no los vendemos ni los cedemos a intermediarios de datos, y no los empleamos para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o aprendizaje automático generalizados o no personalizados.

7. Asistentes de IA y servidor MCP

Papely ofrece un servidor MCP (Model Context Protocol) para que puedas usar tus plantillas desde un asistente de IA compatible. Si lo conectas, el asistente intercambia datos con Papely en tu nombre a través de las herramientas del servidor. Describimos aquí ese tratamiento.

• Qué recibimos del asistente: el identificador de la plantilla y los valores de sus campos. Si pides enviar los documentos por correo, también el email y el nombre de cada destinatario, y el asunto, el cuerpo y el texto del botón del mensaje. Si el asistente nos indica la URL de una imagen, Papely descarga esa imagen y la guarda en tu workspace para usarla en tus documentos. Estos datos y los PDF resultantes se guardan en tu workspace con el mismo tratamiento y los mismos plazos de conservación que el resto del contenido de usuario (apartado 4).
• Qué devolvemos al asistente: los nombres y los campos de tus plantillas, el estado de cada generación (con el mensaje de error si falla), el estado de entrega de cada correo por destinatario (con su email, su nombre, las fechas de envío, entrega y descarga y, si falla, el motivo), una referencia a cada imagen registrada y enlaces de descarga temporales de los documentos generados, que caducan al cabo de una hora.
• Datos de la conexión OAuth: si conectas el asistente mediante OAuth, este registra en Papely datos de identificación de su aplicación, como su nombre, su logotipo y sus URI de redirección, y Papely te pide que autorices el acceso en una pantalla de consentimiento. Cada token de acceso caduca a la hora y cada token de refresco, a los 7 días. Los tokens se eliminan automáticamente una vez pasadas 48 horas desde que caduca su token de refresco, y las aplicaciones registradas que no tienen ningún token, una vez pasados 30 días desde su registro.
• Con quién lo compartimos: con los encargados del tratamiento del apartado 5, necesarios para generar y entregar los documentos. Lo que devuelven las herramientas lo recibe el proveedor de tu asistente (por ejemplo, Anthropic, OpenAI u otros), que lo trata según el acuerdo que tengas con él. Papely no controla ese tratamiento.
• Lo que no hacemos: Papely no accede a tu historial de conversaciones, a la memoria del asistente ni a otros archivos que tengas en él. Solo recibe lo que el asistente envía al usar las herramientas de Papely.
• Tu control: puedes revocar en cualquier momento el acceso de un asistente conectado mediante OAuth desde la sección «Clientes autorizados» de la página de la integración MCP; al hacerlo se borran sus tokens. Si lo conectaste con una clave de API, puedes revocarla desde la página de la integración API. Las generaciones hechas desde un asistente quedan registradas con origen MCP y aparecen en el historial de la página de la integración MCP.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas. Escríbenos a [email protected]. Si consideras que tu solicitud no ha sido atendida correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos: cifrado en tránsito (TLS), control de accesos, copias de seguridad y monitorización. Ningún sistema es 100% seguro; te recomendamos usar contraseñas robustas y activar las protecciones disponibles en tu cuenta.

10. Menores

Papely no se dirige a menores de 16 años. Si detectamos que se han recogido datos de un menor sin el consentimiento adecuado, los eliminaremos.

11. Cambios en la política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Te avisaremos de los cambios sustanciales con antelación razonable.