Política de Privacidad

1. Responsable del tratamiento

• Identidad: Vysite Informática y Marketing SL
• Nombre comercial: Vysite
• CIF: B75569780
• Dirección: C/ Paseo de la Cuba, nº 2, Entreplanta 1, 02001 Albacete (España)
• Email de privacidad: privacidad@maxinv.es

2. Doble papel de Vysite: responsable y encargado

La presente Política distingue dos relaciones de tratamiento diferenciadas:

• Responsable del tratamiento — datos de usuarios de la Plataforma: Vysite trata los datos personales de las personas físicas que crean y gestionan cuentas (email, nombre, datos de facturación). En este caso, Vysite actúa como responsable.
• Encargado del tratamiento — datos introducidos por los clientes: Los datos de empleados, activos y demás información que las organizaciones clientes introducen en la Plataforma son responsabilidad de dichos clientes. Vysite únicamente los trata por cuenta del cliente conforme a sus instrucciones, actuando como encargado según el artículo 28 del RGPD. Las condiciones de este tratamiento se regulan en el Acuerdo de Encargo de Tratamiento (DPA), disponible para firma durante la contratación.

3. Datos que recopilamos como responsables

3.1 Datos de registro y cuenta

• Dirección de correo electrónico
• Nombre y apellidos (opcionalmente)
• Contraseña (almacenada con hash irreversible; Vysite no tiene acceso a la contraseña en texto plano)
• Nombre y slug de la organización, rol dentro de la organización

3.2 Datos de facturación y suscripción

• Datos de pago gestionados directamente por Stripe (Vysite no almacena datos de tarjetas bancarias)
• Historial de pagos e identificadores de suscripción
• País de facturación

3.3 Datos de uso y técnicos

• Dirección IP y datos del navegador (en registros de servidor)
• Registro de acciones en el audit log interno (para seguridad y trazabilidad)
• Datos de sesión necesarios para la autenticación
• Con consentimiento: identificadores seudónimos, canal/campaña, tipo de navegador y dispositivo, páginas públicas e interacciones normalizadas del embudo. No enviamos a los proveedores de analítica el contenido del inventario, texto libre ni identificadores internos de usuarios, organizaciones o activos.

4. Finalidades y base jurídica

5. Plazos de conservación

• Datos de cuenta activa: durante toda la vigencia de la relación contractual.
• Datos tras cancelación: 30 días para posible reactivación. Transcurrido dicho plazo, supresión o anonimización. Los datos contables y fiscales se conservan 5 años conforme a la legislación española.
• Registros de seguridad (logs): máximo 12 meses.
• Datos del período de prueba no convertido: 90 días desde la expiración del trial.
• Google Analytics: 14 meses para datos de eventos en la propiedad y hasta 2 años para sus cookies, salvo límites más estrictos del navegador o retirada previa.
• Microsoft Clarity: 30 días para reproducciones de sesión y hasta 9 meses para datos agregados de clics, mapas de calor y sesiones marcadas.

5.1 Qué ocurre exactamente al cancelar la cuenta

Cuando una organización cliente cancela su cuenta, se activa un período de 30 días en modo de solo lectura durante el cual puede reactivarla sin pérdida de información. Explicado en términos sencillos y sin que esto suponga por sí solo una afirmación de cumplimiento normativo (que depende de la revisión jurídica caso por caso), transcurrido ese plazo sin reactivación:

• Los datos operativos de la organización (empleados, dispositivos, asignaciones, incidencias y demás información introducida por el cliente) se eliminan de la base de datos en uso.
• Determinados registros que Vysite necesita conservar por motivos de trazabilidad, seguridad o defensa jurídica —como el audit log, los eventos de plataforma y las actas de entrega o devolución ya firmadas— no se destruyen, sino que se anonimizan: se retira toda referencia identificativa a personas y a la organización, conservando únicamente el hecho de que la acción tuvo lugar.
• Antes de que la eliminación se ejecute, la plataforma ofrece la posibilidad de descargar una exportación de las actas de entrega/devolución generadas hasta ese momento.
• Vysite conserva un registro del consentimiento informado prestado por la organización en el momento de solicitar la cancelación (fecha, identidad de quien la solicitó y confirmación expresa de haber sido informado del plazo de 30 días), como prueba de que la cancelación fue voluntaria e informada.

Copias de seguridad: las copias de seguridad periódicas de la plataforma pueden contener, hasta que esa copia en concreto agote su propio plazo de retención, una versión no anonimizada de los datos de una organización ya eliminada. Esto es una consecuencia técnica del propio funcionamiento de las copias de seguridad (no se modifican copias ya generadas) y no de una decisión de conservar esos datos indefinidamente. Vysite cuenta con un procedimiento para excluir organizaciones eliminadas de cualquier restauración realizada a partir de una copia de seguridad, de forma que una restauración nunca reintroduce en el servicio en producción los datos de una organización que ya solicitó su eliminación.

6. Proveedores, destinatarios y transferencias internacionales

Vysite recurre a los siguientes proveedores. Su papel concreto como encargado, proveedor o responsable independiente depende del servicio y de la configuración aplicable. Cuando hay transferencias fuera del EEE se emplean las garantías contractuales o mecanismos aplicables:

Vysite no vende ni cede datos personales a terceros con fines comerciales propios.

7. Derechos de los interesados

Puede ejercer en cualquier momento los siguientes derechos enviando una solicitud motivada y acreditando su identidad a privacidad@maxinv.es:

• Acceso (art. 15 RGPD): confirmar si se tratan sus datos y obtener una copia.
• Rectificación (art. 16 RGPD): corregir datos inexactos o incompletos.
• Supresión (art. 17 RGPD): eliminar sus datos cuando ya no sean necesarios.
• Limitación (art. 18 RGPD): suspender el tratamiento en determinados supuestos.
• Portabilidad (art. 20 RGPD): recibir sus datos en formato estructurado.
• Oposición (art. 21 RGPD): oponerse al tratamiento basado en interés legítimo.
• Retirada del consentimiento en cualquier momento, sin efecto retroactivo.

Responderemos en el plazo máximo de un mes (prorrogable a tres en casos complejos). También puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

8. Acuerdo de Encargo de Tratamiento (DPA)

Las organizaciones clientes que utilizan Vysite Inventario IT para gestionar datos de sus empleados actúan como responsables del tratamiento. Vysite actúa como encargado al procesar esa información por cuenta del cliente, conforme al artículo 28 del RGPD. El DPA que regula esta relación está disponible para revisión y firma durante la contratación. Si lo necesita para su DPIA o procesos de compliance, contacte con privacidad@maxinv.es.

9. Seguridad

Vysite implementa medidas técnicas y organizativas adecuadas al riesgo, incluyendo: cifrado en tránsito (TLS 1.2+) y en reposo; aislamiento multi-tenant mediante Row-Level Security en base de datos; autenticación multifactor para administradores; copias de seguridad automáticas con PITR; audit log inmutable; y acceso a producción por principio de mínimo privilegio. En caso de brecha de seguridad, se notificará a la AEPD y a los afectados en los plazos establecidos por los artículos 33 y 34 del RGPD.

10. Modificaciones

Esta Política puede modificarse para adaptarse a cambios legales o del servicio. Los cambios se comunicarán con al menos 30 días de antelación mediante aviso en la Plataforma o por correo electrónico. El uso continuado del servicio implica la aceptación de la nueva versión.