Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos es el titular de Citable (en adelante, «Citable», «nosotros»):

Titular

Pol Angrill Domingo

NIF

ES48021407Y

Domicilio

Rambla Principal 92, 08800 Vilanova i la Geltrú (Barcelona), España

Email

hello@get-citable.com

Para cualquier asunto de privacidad puedes escribir también a privacy@get-citable.com.

2. Datos que recogemos

Según cómo uses el servicio, tratamos:

• Datos de cuenta: tu email y, si entras con Google, el nombre y la foto que Google comparte. No usamos contraseñas: entras con un enlace por email o con Google.
• Datos de tus webs: dominio, marca, competidores, preguntas que seguimos, voz de marca, artículos, borradores y ajustes de publicación.
• Conexiones: los permisos de tu CMS, Search Console y Google Analytics (sólo lectura en Google), de las integraciones que conectes (GitHub, Slack, Google Sheets y Docs, HubSpot, Semrush o Ahrefs) y, si conectas tu bandeja de correo, el permiso para enviar desde ella. Los tokens de acceso, el webhook de Slack y las claves de API se guardan cifrados (AES-256-GCM), nunca llegan al navegador y puedes revocarlos cuando quieras.
• Bandeja de correo (campañas de contacto): tu dirección y nombre, y de cada correo de campaña lo que escribiste, el destinatario, cuándo salió y los identificadores de mensaje y de hilo que devuelve tu proveedor. En Gmail el permiso es SÓLO de envío (gmail.send): no leemos tu correo. En Outlook, además de enviar, leemos los metadatos de los mensajes del hilo (remitente y fecha) para saber si te respondieron; nunca el contenido ni los adjuntos, y sólo guardamos que hubo respuesta y su fecha. Nunca añadimos adjuntos ni píxeles de seguimiento de aperturas.
• LinkedIn automático (complemento de pago): la cuenta de LinkedIn que conectas en la ventana de Unipile (Citable no ve tu contraseña: sólo guardamos el identificador de la cuenta en Unipile, tu nombre, tu identificador de LinkedIn y si es de pago). Desde ella enviamos sólo la nota de invitación y el mensaje que apruebas y lanzas a cada persona; de LinkedIn leemos, a través de Unipile, su identificador, si aceptó la invitación y si respondió, nunca el texto de las conversaciones.
• HeyReach (canal LinkedIn de las campañas): tu clave de API, guardada cifrada (AES-256-GCM). A HeyReach sólo le enviamos, de cada página que apruebas y exportas, la URL del perfil de LinkedIn de la persona, su nombre, la publicación y el rol leídos de la página, y la nota de invitación y el mensaje que aprobaste (con el título, la pregunta y el ángulo como variables); nunca su email. De HeyReach leemos el estado de cada lead (invitación enviada o aceptada, mensaje enviado, respondió), nunca el contenido de las conversaciones.
• LinkedIn (posts en tu perfil): tu nombre, email e identificador de miembro (OpenID Connect) y el token de acceso, guardado cifrado, con el permiso de publicar en tu nombre (w_member_social). A LinkedIn sólo le enviamos el texto de los posts que apruebas y el enlace del artículo. Los perfiles de LinkedIn de los autores sólo los guardamos si la propia página los enlaza o si los pegas tú: nunca visitamos LinkedIn para buscarlos.
• Lista de «no contactar»: las direcciones que tú añades (o que pidieron no recibir más correos), para no volver a escribirles.
• Datos de facturación: nombre o razón social, dirección, NIF y el historial de pagos, que guarda Stripe. Nunca vemos ni guardamos los datos de tu tarjeta.
• Equipo: los emails de las personas que invitas a tu espacio.
• Informe gratuito: el email, la web y las preguntas que nos das. Para evitar abusos guardamos un resumen irreversible (hash) de tu IP, no la IP.
• Datos técnicos: registros del servidor (IP, navegador, rutas visitadas) que se conservan poco tiempo para seguridad y diagnóstico.
• Programa de referidos: si llegas por un enlace de referido, el código del enlace, el momento del clic y la página de destino, en una cookie propia de 90 días; los clics se cuentan por día y por enlace, sin tu IP ni ningún identificador tuyo. A quien te recomendó sólo le enseñamos datos agregados (fecha de alta, plan, estado y lo que gana), nunca quién eres.
• Agencias: los datos fiscales y de pago que nos da la agencia para abonarle sus comisiones, y las comisiones, retenciones y ajustes de cada factura de sus clientes.
• Lo que nos escribas por email.

3. Datos que tratamos por cuenta de nuestros clientes

En dos funciones Citable trata datos en nombre del cliente, que es el responsable y nosotros su encargado:

• El script de visitas que el cliente pone en su web: no usa cookies, no guarda la IP ni identifica al visitante; sólo suma una vista a la página y, si la visita viene de un asistente de IA, a esa fuente.
• El widget de captación de las agencias: los datos que deja quien lo usa (por ejemplo, su email y su web) se guardan para la agencia que lo ha instalado.

4. Finalidad y base legal

• Prestar el servicio: medir, escribir, publicar y enviarte los informes (ejecución del contrato).
• Cobrar y facturar (ejecución del contrato y obligación legal).
• Enviarte comunicaciones del servicio: avisos de publicación, resumen semanal, alertas técnicas (ejecución del contrato e interés legítimo). Del resumen semanal te puedes dar de baja en un clic.
• Preparar y enviarte el informe gratuito que pides (tu solicitud y nuestro interés legítimo en responderla) y evitar abusos (interés legítimo).
• Atribuir las altas a quien las recomendó y calcular sus créditos y comisiones (interés legítimo y ejecución del contrato con el referente; donde se exija, tu consentimiento).
• Enviarte novedades y ofertas, sólo si nos das tu consentimiento expreso.
• Cumplir obligaciones legales.

No vendemos tus datos ni los usamos para publicidad ni para entrenar modelos de IA. A los proveedores de IA sólo les enviamos lo necesario para cada tarea (por ejemplo, el tema y las fuentes de un artículo), a través de sus API para empresas.

5. Encargados del tratamiento

Compartimos los datos imprescindibles con estos proveedores, que actúan como encargados del tratamiento con contrato y garantías:

Si conectas otras herramientas desde Ajustes → Integraciones, les enviamos en tu nombre sólo lo necesario para lo que pidas; cada una trata los datos según sus propias condiciones y la desconectas cuando quieras (revocamos nuestro acceso):

Si conectas Google Search Console, Google Analytics, tu bandeja de Gmail u Outlook (Microsoft 365) o tu CMS (Framer, Webflow, WordPress, Ghost, Shopify, Wix, Notion, HubSpot, Contentful, Sanity, Strapi, Storyblok o Medium), leemos o enviamos datos a esos servicios en tu nombre; cada uno trata los datos según sus propias condiciones. El uso de la información recibida de las APIs de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado: los datos de Gmail sólo se usan para enviar los correos que apruebas, no se usan para publicidad ni para entrenar modelos de IA y no se ceden a terceros. Si conectas tu cuenta de HeyReach o tu perfil de LinkedIn, les enviamos en tu nombre sólo lo descrito arriba; HeyReach y LinkedIn tratan esos datos según sus propias condiciones y políticas de privacidad. Si tu web se sirve a través de Lantis (producto del mismo titular), Lantis nos envía las visitas de rastreadores de IA a tu web.

Si tu espacio lo gestiona una agencia, su equipo ve y gestiona los datos de tu espacio con los permisos que tenga, y la agencia ve tu plan, lo que pagas y la comisión que gana. Si llegaste por el enlace de referido de una agencia, la agencia sólo ve datos agregados.

6. Transferencias internacionales

Algunos proveedores están en Estados Unidos o tratan datos fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas adicionales que correspondan.

7. Plazo de conservación

Conservamos tus datos mientras tengas cuenta. Si la cierras o nos pides que la borremos, eliminamos o anonimizamos tus datos en un plazo máximo de 90 días, salvo los que la ley nos obligue a guardar más tiempo (por ejemplo, los de facturación, durante los plazos que exige la normativa mercantil y fiscal española, hasta 6 años). Los registros técnicos del servidor se conservan sólo unos días.

8. Tus derechos

Tienes derecho a:

• Acceso: saber qué datos tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Supresión: pedir que los borremos.
• Portabilidad: recibirlos en un formato estructurado.
• Oposición: oponerte a los tratamientos basados en interés legítimo.
• Limitación: restringir el tratamiento en ciertos casos.
• Retirar tu consentimiento cuando el tratamiento se base en él.

Para ejercerlos, escríbenos a privacy@get-citable.com desde el email de tu cuenta. Respondemos en un plazo máximo de un mes. Si no quedas satisfecho, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD).

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos: cifrado en tránsito (TLS), tokens de terceros cifrados en reposo, acceso por roles dentro de cada espacio y enlaces firmados para los informes de sólo lectura. Si una brecha de seguridad afecta a tus datos, te avisaremos en el plazo que marca la ley.

10. Menores

Citable es un servicio para profesionales y no está dirigido a menores de 18 años.

11. Cookies

La web pública no usa cookies de analítica ni de publicidad. Las que usamos están en la política de cookies.

12. Cambios en esta política

Podemos actualizar esta política cuando sea necesario. Si el cambio es importante te avisaremos por email antes de que entre en vigor. La fecha de la última actualización aparece siempre al principio.