Política de privacidad

Katla Privacy AB («Katla» o «nosotros»), con número de registro (organisationsnummer) 559603-7134 y domicilio social en Tulpanvägen 3a, 125 53 Älvsjö, Suecia, es la persona jurídica que está detrás de este servicio. Gestiona el sitio web katla.app, la consola de Katla y la API, el SDK, el widget, la CLI y el servidor MCP que la acompañan. Esta política explica qué datos personales recogemos, por qué los recogemos, con quién los compartimos y qué puedes pedirnos que hagamos con ellos.

Para tu propia cuenta y los datos que nos proporcionas sobre tus sitios, somos el responsable del tratamiento. Para los registros de consentimiento que tus visitantes dejan a través de Katla en tus sitios web, tú eres el responsable y nosotros somos tu encargado del tratamiento: tratamos esos datos siguiendo tus instrucciones, conforme a los Términos del servicio y sin ningún fin propio.

Recogemos las siguientes categorías de datos personales:

• Datos de la cuenta: tu nombre, tu dirección de correo electrónico y la URL de tu foto de perfil, que recibimos de nuestro proveedor de identidad cuando inicias sesión. Si inicias sesión con una cuenta de Google, ese nombre, esa dirección de correo y esa foto de perfil proceden de Google.
• Datos de equipos: los equipos a los que perteneces, tu rol en ellos y las invitaciones que envías o aceptas.
• Datos de sitios y escaneos: los dominios que añades, los registros de verificación de propiedad que colocas y todo lo que un escaneo encuentra en ellos: cookies, rastreadores, etiquetas y metadatos de las páginas.
• Registros de consentimiento: las elecciones que hacen los visitantes de tus sitios web, junto con una marca de tiempo y los datos necesarios para acreditar la elección. Se recogen en tu nombre, como tu encargado del tratamiento.
• Datos de facturación: tu plan, el estado de tu suscripción y tus facturas. Los datos de la tarjeta se introducen en la plataforma de nuestro procesador de pagos y nunca llegan a nuestros servidores.
• Datos de soporte y contacto: lo que nos escribes a través del formulario de contacto o por correo electrónico, para poder responderte.
• Registros técnicos: dirección IP, agente de usuario y metadatos de las solicitudes, que se conservan durante 30 días para mantener el servicio en funcionamiento e investigar abusos y errores.
• Datos de integraciones: lo que una cuenta de terceros conectada pone a nuestra disposición, descrito para Google en las secciones 05 a 08 más abajo.

Usamos los datos personales únicamente para:

• Prestar el servicio: ejecutar escaneos, clasificar lo que encuentran, generar políticas, registrar el consentimiento y mostrártelo todo.
• Autenticarte y mantener seguras tu cuenta y tu pertenencia a equipos.
• Facturarte, si tienes un plan de pago, y enviarte los recibos y los avisos de impago correspondientes.
• Enviarte correos del servicio de los que razonablemente no puedes darte de baja, como los avisos de seguridad, y correos de primeros pasos de los que puedes darte de baja en cualquier momento.
• Atender las solicitudes de soporte y responder a lo que nos envías.
• Mantener el servicio disponible y seguro: limitación de solicitudes, prevención de abusos y fraudes, depuración y planificación de capacidad.
• Cumplir obligaciones legales, contables y de auditoría.

Nos basamos en la ejecución de un contrato (artículo 6.1.b) del RGPD) para gestionar tu cuenta y prestar el servicio; en nuestros intereses legítimos (artículo 6.1.f) del RGPD) para mantener el servicio seguro y mejorarlo; en tu consentimiento (artículo 6.1.a) del RGPD) para las cookies no esenciales y para conectar una cuenta de terceros como Google Tag Manager; y en el cumplimiento de una obligación legal (artículo 6.1.c) del RGPD) cuando la ley nos exige conservar registros.

Cuando actuamos como tu encargado del tratamiento para los registros de consentimiento de los visitantes, te corresponde a ti, como responsable, determinar la base jurídica de ese tratamiento.

Katla accede a datos de usuario de Google en un único punto: la instalación opcional de Google Tag Manager, que inicias tú mismo desde la página Install de un sitio y que no hace nada hasta que completas la pantalla de consentimiento de Google. Si nunca conectas Google Tag Manager, Katla no accede a ningún dato de usuario de Google.

Cuando lo conectas, solicitamos estos ámbitos de OAuth y accedemos exactamente a los datos que cubre cada uno:

Los datos de usuario de Google se usan exclusivamente para realizar la instalación que has solicitado, y para nada más. En concreto:

• Tus listas de cuentas, contenedores y espacios de trabajo se usan para mostrar el selector del asistente de instalación, de modo que puedas elegir dónde va la etiqueta.
• Los ID de la cuenta, el contenedor y el espacio de trabajo elegidos se usan para escribir una etiqueta de HTML personalizado llamada «Katla consent», que se dispara con el activador integrado «Consent Initialization - All Pages» de Tag Manager, para que los valores predeterminados del consentimiento se establezcan antes de que se ejecute cualquier etiqueta de analítica o de publicidad. No se lee, cambia ni elimina nada más de tu contenedor.
• Los ID de la etiqueta, el activador y la versión que devuelve Google se guardan para que una actualización o una desconexión posterior cambie exactamente lo que creó Katla y deje intacto el resto de tu contenedor.
• Solo se crea, y se publica, una versión del contenedor cuando decides publicar desde el asistente.
• La dirección de correo electrónico de la cuenta de Google se guarda y se muestra en la consola como referencia, para que sepas a qué cuenta de Google pertenece una conexión. Nunca se usa para autenticarte ni para autorizar nada.
• El token de actualización que emite Google se guarda cifrado con AES-256-GCM y solo se usa para obtener un token de acceso de corta duración cuando alguna de las acciones anteriores lo necesita. El token de acceso en sí nunca se guarda.

No vendemos datos de usuario de Google, no los compartimos ni transferimos a ningún tercero con fines de publicidad, analítica, elaboración de perfiles, evaluación crediticia o concesión de préstamos, y no los usamos para entrenar, reentrenar ni mejorar ningún modelo de inteligencia artificial o de aprendizaje automático, ya sea propio o ajeno.

Los datos de usuario de Google se transmiten de vuelta a la propia API de Tag Manager de Google para llevar a cabo las acciones que has solicitado, y aparte de eso solo se comunican a:

• Nuestro proveedor de alojamiento y base de datos, que guarda el registro cifrado de la conexión en nuestro nombre como subencargado del tratamiento y no le da ningún otro uso.
• El personal de Katla, y solo cuando sea necesario para operar el servicio, investigar un problema de seguridad o atender una solicitud de soporte que hayas planteado, y solo durante el tiempo que requiera esa tarea.
• Una autoridad competente, cuando la ley exija la comunicación y la solicitud sea válida; te lo comunicaremos salvo que la ley nos lo impida.

El uso que Katla hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustan a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos los requisitos de Uso Limitado.

Los datos de usuario de Google solo se conservan mientras existe la conexión. Al desconectar Google Tag Manager desde la página Install se eliminan la etiqueta y el activador que creó Katla, se revoca el token de actualización ante Google y se borra de nuestra base de datos el registro de la conexión: los ID de la cuenta, el contenedor, el espacio de trabajo, la etiqueta y la versión, y la dirección de correo de Google guardada. Eliminar el sitio o tu cuenta tiene el mismo efecto.

También puedes revocar el acceso de Katla en cualquier momento desde la página de permisos de tu cuenta de Google, en myaccount.google.com/permissions. Al hacerlo se detiene de inmediato cualquier acceso posterior; escríbenos a privacy@katla.app si además quieres que eliminemos el registro de la conexión por nuestra parte.

No vendemos datos personales. Solo los compartimos con los proveedores de servicios que necesitamos para hacer funcionar Katla, cada uno vinculado por un acuerdo de tratamiento de datos y cada uno tratando solo lo que su función requiere:

• WorkOS: autenticación y gestión de sesiones.
• Stripe: facturación de suscripciones y procesamiento de pagos.
• Resend: correo transaccional y de primeros pasos.
• Anthropic: clasificación con IA de las cookies y rastreadores que encuentra un escaneo. Se envían los hallazgos del escaneo; los datos de la cuenta y los registros de consentimiento no, y los datos no se usan para entrenar modelos.
• Better Stack: registro de la aplicación y monitorización de errores.
• Google: solo si has conectado Google Tag Manager, y solo como se describe en las secciones 05 a 08.
• Nuestros proveedores de alojamiento, base de datos y colas, que almacenan y mueven datos en nuestro nombre.

También comunicaremos datos personales cuando la ley lo exija, y a una entidad sucesora en caso de fusión o adquisición, en cuyo caso esta política seguirá aplicándose hasta que se te indique lo contrario. Pide a privacy@katla.app la lista actual de subencargados del tratamiento.

Tus datos personales pueden transferirse a países de fuera del Espacio Económico Europeo y tratarse allí. Cuando eso ocurre, nos basamos en una decisión de adecuación o en cláusulas contractuales tipo, junto con las garantías adicionales que esas cláusulas exigen.

Puedes obtener una copia de las garantías en las que nos basamos para una transferencia concreta escribiendo a privacy@katla.app, y te la enviaremos. Si una transferencia se basa en cambio en una decisión de adecuación, te indicaremos qué decisión se aplica.

Conservamos los datos personales solo mientras son necesarios para el fin para el que se recogieron. Los datos de la cuenta, de los equipos y de los sitios se conservan mientras tu cuenta esté abierta. Los registros de consentimiento se conservan mientras tú los conserves, ya que acreditar el consentimiento es la razón de guardarlos, y se eliminan cuando los eliminas o cierras tu cuenta. Los registros de facturación se conservan durante el tiempo que exija la normativa fiscal y contable. Los registros técnicos, que incluyen direcciones IP, se conservan durante 30 días y después se eliminan. Los datos de la conexión con Google siguen lo indicado en la sección 08.

Cuando cierras tu cuenta, conservamos tus datos durante un breve periodo para que puedas exportarlos, y después los eliminamos o los anonimizamos.

Aplicamos medidas técnicas y organizativas adecuadas: cifrado en tránsito, cifrado en reposo de credenciales y tokens de terceros, controles de acceso de alcance limitado, acceso del personal según el principio de mínimo privilegio y registro de auditoría de las acciones administrativas. Ningún sistema es perfectamente seguro, pero te notificaremos a ti y a la autoridad de control competente cualquier violación de la seguridad de los datos personales cuando la ley lo exija.

Según el RGPD y otras leyes comparables, tienes derecho a acceder a tus datos personales, a que se rectifiquen o se supriman, a limitar su tratamiento u oponerte a él, a recibirlos en un formato portable y a retirar tu consentimiento en cualquier momento, sin que ello afecte al tratamiento ya realizado. Según la CCPA/CPRA tienes además derecho a saber qué recogemos, a que lo eliminemos, a que lo corrijamos y a excluirte de su venta o de que se comparta; no vendemos ni compartimos datos personales en el sentido en que se definen esos términos.

Escribe a privacy@katla.app para ejercer cualquiera de estos derechos. Respondemos en el plazo de un mes. Si no estás conforme con nuestra respuesta, puedes presentar una reclamación ante tu autoridad local de protección de datos.

Katla es una herramienta profesional y no está dirigida a menores de 16 años. No recogemos a sabiendas datos personales de menores. Si crees que un menor nos ha facilitado datos, ponte en contacto con nosotros y los eliminaremos.

Las cookies que instala el propio katla.app, para qué sirve cada una y cuánto dura, se enumeran en nuestra Política de cookies, que Katla genera a partir de su propio escaneo de este sitio. Puedes cambiar tus elecciones allí o mediante el widget de consentimiento en cualquier momento.

Nada llega a nuestro proveedor de analítica antes de que elijas. La etiqueta no se carga en absoluto hasta que permites las cookies de analítica, lo que significa que ninguna solicitud, ninguna dirección IP y ninguna dirección de página llegan a Google desde una visita en la que rechazaste o simplemente no respondiste. Es la más estricta de las dos formas de configurar Google Consent Mode; la elegimos porque vendemos herramientas de consentimiento y preferimos renunciar a la medición. Un navegador que envía una señal de Global Privacy Control se trata como un rechazo, y para él tampoco se carga nada.

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley. Los cambios importantes se anuncian en la consola o por correo electrónico, y la fecha de entrada en vigor que figura al principio de esta página siempre te indica qué versión estás leyendo. Las versiones anteriores están disponibles previa solicitud.

Preguntas sobre esta política o sobre los datos personales que conservamos: privacy@katla.app. Puedes contactar con nuestro delegado de protección de datos en dpo@katla.app. El responsable del tratamiento es Katla Privacy AB, número de registro (organisationsnummer) 559603-7134, Tulpanvägen 3a, 125 53 Älvsjö, Suecia. También tienes derecho a presentar una reclamación ante tu autoridad de control local; en Suecia es la Integritetsskyddsmyndigheten (IMY).