Política de Privacidad de Ulula

Última actualización: 26 de febrero de 2026

1. Responsable del Tratamiento

De acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa que los datos personales facilitados a través de la Plataforma Ulula serán tratados por:

Responsable: Sera Creativo (Ulula)
Domicilio: Palencia, España
Correo electrónico de contacto: frank@seracreativo.com

2. Finalidad del Tratamiento

Los datos personales serán tratados con las siguientes finalidades:

Gestionar el registro y acceso a la Plataforma.
Proporcionar los servicios contratados por la Empresa Cliente.
Gestionar la facturación, cobros y pagos a través de procesadores de pago externos certificados (ver sección 4).
Almacenar y gestionar información en servicios cloud externos como Supabase, actuando como encargado del tratamiento.
Cumplir con las obligaciones legales y fiscales aplicables en España y la Unión Europea, incluyendo normativa anti-blanqueo de capitales (AML) y prevención de la financiación del terrorismo (CFT).
Verificar el cumplimiento de las restricciones geográficas y de sanciones internacionales aplicables a los servicios de pago.
Mejorar la calidad de los servicios mediante estadísticas internas y análisis de uso (datos anonimizados cuando sea posible).
Comunicar novedades, actualizaciones o incidencias relacionadas con el servicio (notificaciones necesarias para la correcta prestación del mismo).

3. Base Jurídica del Tratamiento

El tratamiento de los datos se ampara en:

La ejecución de un contrato (prestación del servicio SaaS).
El cumplimiento de obligaciones legales (fiscales, contables, anti-blanqueo de capitales y de sanciones internacionales).
El interés legítimo de Ulula en mejorar la calidad del servicio, mantener la seguridad de la Plataforma y prevenir actividades fraudulentas.
El consentimiento expreso en los casos de envío de comunicaciones comerciales (si se habilitan).

4. Destinatarios de los Datos

Los datos podrán ser comunicados o tratados por los siguientes encargados de tratamiento, en función del proveedor de pago asignado según la ubicación geográfica de la Empresa Cliente:

4.1 Procesadores de Pago

La Plataforma utiliza una arquitectura multi-proveedor de pagos. El proveedor específico asignado a cada Empresa Cliente se determina automáticamente en función de su país de constitución y domicilio fiscal:

| Proveedor | Jurisdicción | Función | |-----------|-------------|---------| | Stripe Payments Europe, Ltd. | Irlanda, UE | Procesamiento de suscripciones y pagos de marketplace | | Redsys Servicios de Procesamiento, S.L. | España, UE | Procesamiento de pagos con tarjeta (mercado español) | | PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxemburgo, UE | Procesamiento de pagos alternativos | | Square (Block, Inc.) | EE.UU. (con CCT) | Procesamiento de pagos POS y online |

Cada proveedor de pago actúa como encargado de tratamiento independiente y opera bajo sus propios términos de servicio y políticas de privacidad. Los datos de pago se comparten exclusivamente con el proveedor asignado a la Empresa Cliente; nunca se comparten datos de pago entre proveedores.

4.2 Infraestructura Cloud

Supabase Inc., como encargado del tratamiento para la gestión y almacenamiento de datos en la nube, con servidores localizados en la Unión Europea (Frankfurt, Alemania), bajo Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

4.3 Servicios de Terceros

Google LLC, para los servicios descritos en la sección "Integración con Servicios de Google" de esta política.

4.4 Autoridades

En cumplimiento de obligaciones legales, los datos podrán comunicarse a la Administración Tributaria, autoridades de prevención de blanqueo de capitales u otras autoridades competentes en España y la UE.
No se realizarán transferencias internacionales de datos fuera del Espacio Económico Europeo salvo obligación legal o consentimiento expreso del interesado, garantizando siempre las medidas de protección adecuadas (Cláusulas Contractuales Tipo, decisiones de adecuación o excepciones del artículo 49 RGPD).

5. Integración con Servicios de Google

Ulula se integra con varios servicios de Google para proporcionar funcionalidades avanzadas a los usuarios. Esta sección detalla de forma clara y transparente qué datos de Google accedemos, cómo los recopilamos, almacenamos y utilizamos.

5.1 Datos de Google que Accedemos

A continuación se especifican los tipos exactos de datos de usuario de Google que nuestra aplicación puede acceder:

Datos de Autenticación y Perfil

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Identidad | openid | Identificador único de usuario de Google | | Correo electrónico | userinfo.email | Dirección de email principal de la cuenta de Google | | Información de perfil | userinfo.profile | Nombre completo, foto de perfil (URL), idioma preferido |

Datos de Google My Business (opcional, solo negocios)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Información del negocio | business.manage | Nombre del negocio, dirección, teléfono, categoría, horarios de apertura, descripción | | Publicaciones | business.manage | Contenido de publicaciones, imágenes, fechas de publicación | | Reseñas | business.manage | Texto de reseñas, puntuación, nombre del autor, fecha, respuestas | | Fotos del negocio | business.manage | URLs de imágenes del perfil de empresa |

Datos de Google Blogger (opcional, solo si se conecta)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Blogs | blogger / blogger.readonly | Nombre del blog, URL, descripción | | Publicaciones | blogger / blogger.readonly | Título, contenido, fecha de publicación, autor |

Datos de Google Calendar (opcional, solo si se conecta)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Eventos | calendar | Título del evento, fecha/hora de inicio y fin, descripción, ubicación, asistentes | | Calendarios | calendar | Nombre del calendario, zona horaria, color |

5.2 Cómo Recopilamos los Datos de Google

Proceso de autorización:

Consentimiento explícito: Antes de acceder a cualquier dato de Google, el usuario debe iniciar el proceso de conexión haciendo clic en un botón claramente etiquetado (ej: "Conectar con Google", "Iniciar sesión con Google").
Pantalla de consentimiento de Google: El usuario es redirigido a la pantalla oficial de consentimiento de Google, donde ve exactamente qué permisos está otorgando.
Autorización granular: El usuario puede elegir qué servicios conectar. La autenticación básica (email, perfil) es necesaria para crear una cuenta, pero los servicios adicionales (Calendar, My Business, Blogger) son opcionales.
Obtención de tokens: Tras la autorización, Google proporciona tokens de acceso que Ulula utiliza para acceder a los datos autorizados.

Momentos de recopilación:

Registro/Login: Se accede a email y perfil básico para crear o autenticar la cuenta.
Conexión de servicios: Se accede a datos de Calendar, My Business o Blogger solo cuando el usuario conecta explícitamente cada servicio.
Sincronización programada: Para servicios conectados, se realizan sincronizaciones periódicas para mantener los datos actualizados (ej: nuevas reseñas, cambios en eventos).

5.3 Cómo Almacenamos los Datos de Google

Datos que almacenamos:

| Categoría | Qué Almacenamos | Dónde se Almacena | Duración | |-----------|-----------------|-------------------|----------| | Tokens de acceso | Access token, refresh token | Base de datos Supabase (cifrado) | Mientras la conexión esté activa | | Identificadores | ID de usuario de Google, ID de recursos conectados | Base de datos Supabase | Mientras la cuenta exista | | Datos sincronizados | Información del negocio, eventos, publicaciones | Base de datos Supabase (UE) | Mientras la conexión esté activa | | Caché temporal | Respuestas de API para rendimiento | Memoria del servidor | Máximo 24 horas |

Medidas de seguridad del almacenamiento:

Cifrado en reposo: Todos los datos se almacenan cifrados en Supabase con AES-256.
Cifrado en tránsito: Todas las comunicaciones utilizan HTTPS/TLS 1.3.
Ubicación: Los datos se almacenan en servidores de la Unión Europea (Frankfurt, Alemania).
Acceso restringido: Solo los sistemas automatizados y el personal técnico autorizado pueden acceder a los datos almacenados.
Tokens seguros: Los tokens de Google se almacenan de forma separada y cifrada, nunca en texto plano.

Datos que NO almacenamos:

Contraseñas de Google (nunca las vemos ni almacenamos)
Contenido completo de emails
Contactos de Google
Datos de Google Drive
Historial de búsquedas

5.4 Cómo Usamos los Datos de Google

Usos específicos por tipo de dato:

| Dato | Uso Principal | Uso Secundario | |------|--------------|----------------| | Email | Identificar cuenta, enviar notificaciones del servicio | Recuperación de cuenta | | Nombre y foto | Mostrar en perfil de usuario, personalizar interfaz | Mostrar en reservas/pedidos al negocio | | Datos de My Business | Sincronizar información del negocio bidireccionalemente | Responder reseñas desde Ulula | | Eventos de Calendar | Crear reservas como eventos, sincronizar disponibilidad | Enviar recordatorios | | Publicaciones de Blogger | Publicar contenido del negocio en el blog conectado | Mostrar historial de publicaciones |

Usos que NO hacemos:

No vendemos datos: Los datos de Google nunca se venden, alquilan o comercializan a terceros.
No hacemos publicidad: Los datos no se usan para mostrar publicidad personalizada ni se comparten con redes publicitarias.
No hacemos profiling: No creamos perfiles de comportamiento ni análisis predictivos con datos de Google.
No transferimos a terceros: Los datos de Google no se comparten con otras empresas, excepto los encargados de tratamiento necesarios (Supabase para almacenamiento).

5.5 Compartición de Datos de Google

Datos compartidos dentro de Ulula:

Entre usuario y negocio: Cuando un usuario hace una reserva o pedido, el negocio ve el nombre y email del usuario.
Entre miembros del equipo: Los miembros del equipo de un negocio con permisos apropiados pueden ver los datos de Google conectados al negocio.

Datos compartidos con terceros:

| Tercero | Datos Compartidos | Propósito | |---------|-------------------|-----------| | Supabase Inc. | Todos los datos almacenados | Infraestructura de base de datos (encargado de tratamiento) | | Ningún otro | - | No compartimos datos de Google con ningún otro tercero |

5.6 Control del Usuario y Revocación

Cómo ver los datos de Google almacenados:

Accede a tu cuenta en Ulula.
Ve a Configuración > Cuenta.
En la sección "Servicios conectados" verás qué datos de Google están conectados.

Cómo desconectar servicios de Google:

En Ulula: Ve a Configuración > Cuenta > Servicios conectados > "Desconectar".
En Google: Visita https://myaccount.google.com/permissions y revoca el acceso de "Ulula".

Qué sucede al desconectar:

Los tokens de acceso se eliminan inmediatamente.
Los datos sincronizados (ej: información del negocio copiada) permanecen hasta que el usuario los elimine o solicite su eliminación.
Ulula deja de poder acceder a nuevos datos de Google.

Solicitar eliminación de datos:

Envía un email a frank@seracreativo.com solicitando la eliminación de tus datos de Google. Procederemos en un plazo máximo de 30 días.

5.7 Cumplimiento con Políticas de Google

Ulula cumple con:

Política de Datos de Usuario de los Servicios API de Google, incluyendo los requisitos de Uso Limitado.
Términos de Servicio de las APIs de Google.
Política de Privacidad de Google.

Requisitos de Uso Limitado que cumplimos:

Limitamos el uso de datos a proporcionar o mejorar las funciones visibles para el usuario.
No transferimos datos a terceros excepto según lo necesario para proporcionar el servicio.
No usamos datos para publicidad personalizada.
No permitimos que humanos lean datos de usuario excepto con consentimiento explícito o por seguridad/cumplimiento legal.

6. Conservación de los Datos

Los datos se conservarán mientras dure la relación contractual con la Empresa Cliente. Una vez finalizada la relación, se conservarán bloqueados el tiempo necesario para cumplir con las obligaciones legales:

6 años para documentación fiscal y contable (Ley General Tributaria y Código de Comercio de España).
5 años para datos derivados de obligaciones de prevención de blanqueo de capitales (Ley 10/2010).
3 años para datos de transacciones con finalidades de reclamación (plazo general de prescripción de acciones personales del Código Civil).

Transcurridos estos plazos, los datos serán eliminados de forma segura e irreversible.

7. Derechos de los Usuarios

Los usuarios tienen derecho a:

Acceso: Conocer qué datos personales se están tratando.
Rectificación: Corregir datos inexactos o incompletos.
Supresión: Solicitar la eliminación de datos cuando ya no sean necesarios para los fines recogidos.
Limitación del tratamiento: Restringir el tratamiento en determinadas circunstancias.
Oposición: Oponerse al tratamiento de sus datos.
Portabilidad: Solicitar la transferencia de datos a otro proveedor de servicios en un formato estructurado y de uso común.

Para ejercer estos derechos, deberá enviar una solicitud junto con copia de su documento de identidad a: frank@seracreativo.com. El plazo máximo de respuesta es de 30 días. En caso de no estar conforme con la respuesta, el usuario puede reclamar ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

8. Seguridad de los Datos

Ulula adopta las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales, incluyendo:

Cifrado en tránsito (HTTPS/TLS 1.3) y en reposo (AES-256)
Control de accesos basado en roles (RBAC)
Almacenamiento en servicios cloud que cumplen con el RGPD, con servidores en la Unión Europea
Monitorización y auditoría de accesos
Procedimientos de respuesta ante incidentes de seguridad conforme al artículo 33 del RGPD (notificación a la autoridad de control en 72 horas)

9. Uso de Cookies

La Plataforma podrá utilizar cookies técnicas necesarias para el funcionamiento del servicio y, en su caso, cookies analíticas o de terceros (previo consentimiento del usuario). Consulte nuestra Política de Cookies para más información.

10. Actualización de la Política

Ulula se reserva el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas, técnicas o de servicios prestados por terceros. Cualquier cambio será notificado de forma visible en la Plataforma con una antelación mínima de 30 días.