Política de privacidad

Última actualización: 27 de octubre de 2026 · contacto@exmanual.com

Esta política explica cómo ExManual trata datos personales según el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Responsable

Qué datos tratamos

• Cuenta: nombre del negocio, correo y contraseña (la contraseña se guarda como huella, no en claro).
• Suscripción: producto contratado, precio, moneda, estado y los identificadores que devuelve Stripe.
• Google, cuando conectas Business Profile: correo de esa cuenta de Google; cuentas y ficha (nombre del local y dirección del establecimiento); reseñas (nombre público de quien reseña, estrellas, texto e identificador).
• Borradores de respuesta y el modo elegido: aprobación previa o publicación automática.
• Datos técnicos de la visita: dirección IP y agente de usuario al cargar la página o llamar a la API.

Finalidades y base jurídica

• Crear la cuenta, prestar la automatización y atenderla. Base: ejecución del contrato (art. 6.1.b RGPD).
• Cobrar la suscripción, emitir la factura y llevar la contabilidad. Base: obligación legal (art. 6.1.c RGPD).
• Leer la ficha y las reseñas, y publicar la respuesta que apruebas o que el modo automático publica. Base: el contrato del producto de reseñas, con el permiso que concedes en la pantalla de Google.
• Mantener la sesión, recordar la moneda que eliges y completar el alta tras el pago. Base: el servicio que pides (art. 6.1.b RGPD y art. 22.2 LSSI para el almacenamiento técnico).
• Seguridad y diagnóstico de fallos. Base: interés legítimo (art. 6.1.f RGPD), limitado a ese fin.

Plazos de conservación

• Cuenta y suscripción: mientras el contrato sigue vivo. Después, bloqueados durante los plazos legales (en general, cuatro años de obligaciones tributarias y seis años de documentación mercantil).
• Credenciales de Google: hasta que desconectas la cuenta en el portal o revocas el permiso en Google.
• Borradores de reseñas: mientras la automatización sigue de alta. El código no aplica un plazo de borrado más corto.
• Sesión del portal: hasta que cierras sesión. La del área de administración, hasta que cierras la pestaña.

Destinatarios y encargados

No vendemos datos personales ni los cedemos para que un tercero los use por su cuenta. Intervienen estos encargados:

• Stripe. Alta, cobro y cancelación de la suscripción.
• Google. Acceso a Business Profile, identidad de la cuenta (correo) y, en la web, las tipografías servidas desde sus servidores.
• Hostinger. Alojamiento del servicio en un VPS situado en la Unión Europea.
• OpenRouter. Las respuestas a las reseñas las redacta un modelo de IA de pago a través de OpenRouter, configurado sin entrenamiento con los datos y con cero retención.
• Anthropic (Claude). Los agentes internos del titular pueden llamar a la API de Anthropic si hay una clave configurada (apps/llm/claude_client.py). Ese canal no es el que redacta las respuestas a reseñas del portal.
• n8n autoalojado en el VPS de Hostinger. Orquesta la automatización (leer reseñas, pedir el borrador y devolverlo al portal). No es n8n Cloud.

Al abrir la landing, el navegador pide librerías a unpkg.com y tipografías a Google. Esas peticiones muestran la IP y el agente de usuario a esos prestadores. No instalan cookies en la carga comprobada. El portal solo pide las tipografías.

Transferencias internacionales

Hostinger (VPS en la UE) y el n8n autoalojado en ese VPS tratan los datos en la Unión Europea.

Stripe, Google, OpenRouter y Anthropic pueden tratar datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. Cuando no hay una decisión de adecuación, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea u otra garantía del artículo 46 del RGPD.

Datos de Google

El uso y la transferencia de la información recibida de las API de Google por parte de ExManual se ajustará a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

Qué se lee. Reseñas de Google Business Profile (nombre público, estrellas, texto e identificador) y la ficha (cuentas, nombre del local y dirección). También el correo de la cuenta de Google, solo para saber qué cuenta quedó conectada. Los permisos que pide el código son business.manage, userinfo.email y openid.

Gmail. El código del newsletter no usa Gmail. No hay permiso de la API de Gmail ni un flujo que lea el buzón. El catálogo describe «Mailchimp o Gmail» como conexión prevista de ese producto, que todavía no está implementada. El correo SMTP de las facturas del titular, si se configura, no es el buzón del cliente.

Para qué. Conectar la ficha, redactar una respuesta a cada reseña y publicarla cuando tú la apruebas o, si activas ese modo, de forma automática.

Qué no se hace. Esos datos no se venden. No se usan para publicidad. No se usan para entrenar modelos generales. Las respuestas a las reseñas las redacta un modelo de IA de pago a través de OpenRouter, configurado sin entrenamiento con los datos y con cero retención.

Cómo revocar el acceso. En el portal, Cuentas, desconecta Google: se borran las credenciales guardadas. También puedes retirar el permiso de la aplicación en la cuenta de Google. A partir de ese momento la automatización deja de leer reseñas y de publicar.

Derechos (ARSOPL) y la AEPD

Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y oponerte a decisiones automatizadas que te afecten de forma jurídica o similar. Para publicar respuestas sin revisión tienes que haber activado tú ese modo, y puedes volver a la aprobación en el portal.

Escríbenos a contacto@exmanual.com. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).