Política de Privacidad de Ulula

Última actualización: 26 de febrero de 2026

1. Responsable del Tratamiento

De acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa que los datos personales facilitados a través de la Plataforma Ulula serán tratados por:

• Responsable: Sera Creativo (Ulula)
• Domicilio: Palencia, España
• Correo electrónico de contacto: frank@seracreativo.com

2. Finalidad del Tratamiento

Los datos personales serán tratados con las siguientes finalidades:

• Gestionar el registro y acceso a la Plataforma.
• Proporcionar los servicios contratados por la Empresa Cliente.
• Gestionar la facturación, cobros y pagos a través de procesadores de pago externos certificados (ver sección 4).
• Almacenar y gestionar información en servicios cloud externos como Supabase, actuando como encargado del tratamiento.
• Cumplir con las obligaciones legales y fiscales aplicables en España y la Unión Europea, incluyendo normativa anti-blanqueo de capitales (AML) y prevención de la financiación del terrorismo (CFT).
• Verificar el cumplimiento de las restricciones geográficas y de sanciones internacionales aplicables a los servicios de pago.
• Mejorar la calidad de los servicios mediante estadísticas internas y análisis de uso (datos anonimizados cuando sea posible).
• Comunicar novedades, actualizaciones o incidencias relacionadas con el servicio (notificaciones necesarias para la correcta prestación del mismo).

3. Base Jurídica del Tratamiento

El tratamiento de los datos se ampara en:

• La ejecución de un contrato (prestación del servicio SaaS).
• El cumplimiento de obligaciones legales (fiscales, contables, anti-blanqueo de capitales y de sanciones internacionales).
• El interés legítimo de Ulula en mejorar la calidad del servicio, mantener la seguridad de la Plataforma y prevenir actividades fraudulentas.
• El consentimiento expreso en los casos de envío de comunicaciones comerciales (si se habilitan).

4. Destinatarios de los Datos

Los datos podrán ser comunicados o tratados por los siguientes encargados de tratamiento, en función del proveedor de pago asignado según la ubicación geográfica de la Empresa Cliente:

4.1 Procesadores de Pago

La Plataforma utiliza una arquitectura multi-proveedor de pagos. El proveedor específico asignado a cada Empresa Cliente se determina automáticamente en función de su país de constitución y domicilio fiscal:

| Proveedor | Jurisdicción | Función | |-----------|-------------|---------| | Stripe Payments Europe, Ltd. | Irlanda, UE | Procesamiento de suscripciones y pagos de marketplace | | Redsys Servicios de Procesamiento, S.L. | España, UE | Procesamiento de pagos con tarjeta (mercado español) | | PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxemburgo, UE | Procesamiento de pagos alternativos | | Square (Block, Inc.) | EE.UU. (con CCT) | Procesamiento de pagos POS y online |

Cada proveedor de pago actúa como encargado de tratamiento independiente y opera bajo sus propios términos de servicio y políticas de privacidad. Los datos de pago se comparten exclusivamente con el proveedor asignado a la Empresa Cliente; nunca se comparten datos de pago entre proveedores.

4.2 Infraestructura Cloud

• Supabase Inc., como encargado del tratamiento para la gestión y almacenamiento de datos en la nube, con servidores localizados en la Unión Europea (Frankfurt, Alemania), bajo Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
• Vercel Inc., como encargado del tratamiento para el alojamiento y la entrega de la aplicación web, bajo Cláusulas Contractuales Tipo. Trata los datos que se muestran en el panel de la Empresa Cliente —entre ellos las conversaciones de sus clientes— en el momento de servirlos, sin almacenarlos de forma permanente.

4.3 Servicios de Terceros

• Google LLC, para los servicios descritos en la sección "Integración con Servicios de Google" de esta política.

4.4 Comunicaciones y Asistente de IA

Cuando una Empresa Cliente activa los canales de comunicación con asistente de inteligencia artificial (chat web, teléfono, SMS o WhatsApp), intervienen además los siguientes encargados de tratamiento:

| Proveedor | Jurisdicción | Función | |-----------|-------------|---------| | Twilio Inc. | EE.UU. (con CCT) | Transporte de mensajes SMS y WhatsApp, y de llamadas telefónicas | | Google LLC | EE.UU. (con CCT) | Generación de las respuestas del asistente (modelos Gemini) | | OpenAI, L.L.C. | EE.UU. (con CCT) | Generación de las respuestas de voz en tiempo real |

Los datos tratados por estos proveedores se limitan al contenido de la conversación entre el cliente final y la Empresa Cliente, y a los identificadores necesarios para entregarla (número de teléfono o identificador de sesión). No se utilizan para entrenar modelos, no se comparten entre Empresas Clientes distintas y no se emplean con fines publicitarios.

Cada Empresa Cliente dispone de su propia subcuenta de mensajería, de modo que sus conversaciones quedan aisladas de las del resto.

4.5 Autoridades

• En cumplimiento de obligaciones legales, los datos podrán comunicarse a la Administración Tributaria, autoridades de prevención de blanqueo de capitales u otras autoridades competentes en España y la UE.
• No se realizarán transferencias internacionales de datos fuera del Espacio Económico Europeo salvo obligación legal o consentimiento expreso del interesado, garantizando siempre las medidas de protección adecuadas (Cláusulas Contractuales Tipo, decisiones de adecuación o excepciones del artículo 49 RGPD).

Cómo respondemos a una solicitud de una autoridad pública

Que una autoridad pida datos no significa que se entreguen sin más. Antes de responder a cualquier solicitud —policial, judicial, administrativa o de inteligencia— seguimos estos cuatro pasos, y los seguimos siempre:

1. Revisión de legalidad. Se comprueba que la solicitud llega por un cauce oficial verificable, que identifica a la autoridad que la emite, que cita la base legal que la ampara y que su alcance se corresponde con esa base. Una petición informal, sin base legal identificable o llegada por un canal que no se puede verificar no se atiende.

2. Impugnación cuando procede. Si la solicitud parece ilegal, excesiva o desproporcionada respecto al fin que invoca, se recurre por los cauces disponibles y se recaba asesoramiento jurídico antes de entregar nada. No se entrega por evitar la fricción.

3. Minimización. Se entrega únicamente el dato concreto requerido y de las personas concretas identificadas en la solicitud. No se conceden accesos generales, ni volcados completos, ni datos de terceros ajenos al requerimiento, aunque estén en el mismo registro.

4. Documentación. De cada solicitud se registra la fecha, la autoridad que la emite, su base legal, los datos entregados —o la negativa— y el razonamiento que llevó a esa decisión. Ese registro se conserva y permite rendir cuentas después.

Cuando la ley lo permite, se informa a la persona afectada de que sus datos han sido requeridos. Cuando la propia solicitud lo prohíbe, no se informa mientras dure esa prohibición.

5. Integración con Servicios de Google

Ulula se integra con varios servicios de Google para proporcionar funcionalidades avanzadas a los usuarios. Esta sección detalla de forma clara y transparente qué datos de Google accedemos, cómo los recopilamos, almacenamos y utilizamos.

5.1 Datos de Google que Accedemos

A continuación se especifican los tipos exactos de datos de usuario de Google que nuestra aplicación puede acceder:

Datos de Autenticación y Perfil

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Identidad | openid | Identificador único de usuario de Google | | Correo electrónico | userinfo.email | Dirección de email principal de la cuenta de Google | | Información de perfil | userinfo.profile | Nombre completo, foto de perfil (URL), idioma preferido |

Datos de Google My Business (opcional, solo negocios)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Información del negocio | business.manage | Nombre del negocio, dirección, teléfono, categoría, horarios de apertura, descripción | | Publicaciones | business.manage | Contenido de publicaciones, imágenes, fechas de publicación | | Reseñas | business.manage | Texto de reseñas, puntuación, nombre del autor, fecha, respuestas | | Fotos del negocio | business.manage | URLs de imágenes del perfil de empresa |

Datos de Google Blogger (opcional, solo si se conecta)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Blogs | blogger / blogger.readonly | Nombre del blog, URL, descripción | | Publicaciones | blogger / blogger.readonly | Título, contenido, fecha de publicación, autor |

Datos de Google Calendar (opcional, solo si se conecta)

| Tipo de Dato | Permiso de Google | Datos Específicos Accedidos | |--------------|-------------------|----------------------------| | Eventos | calendar | Título del evento, fecha/hora de inicio y fin, descripción, ubicación, asistentes | | Calendarios | calendar | Nombre del calendario, zona horaria, color |

5.2 Cómo Recopilamos los Datos de Google

Proceso de autorización:

1. Consentimiento explícito: Antes de acceder a cualquier dato de Google, el usuario debe iniciar el proceso de conexión haciendo clic en un botón claramente etiquetado (ej: "Conectar con Google", "Iniciar sesión con Google").

2. Pantalla de consentimiento de Google: El usuario es redirigido a la pantalla oficial de consentimiento de Google, donde ve exactamente qué permisos está otorgando.

3. Autorización granular: El usuario puede elegir qué servicios conectar. La autenticación básica (email, perfil) es necesaria para crear una cuenta, pero los servicios adicionales (Calendar, My Business, Blogger) son opcionales.

4. Obtención de tokens: Tras la autorización, Google proporciona tokens de acceso que Ulula utiliza para acceder a los datos autorizados.

Momentos de recopilación:

• Registro/Login: Se accede a email y perfil básico para crear o autenticar la cuenta.
• Conexión de servicios: Se accede a datos de Calendar, My Business o Blogger solo cuando el usuario conecta explícitamente cada servicio.
• Sincronización programada: Para servicios conectados, se realizan sincronizaciones periódicas para mantener los datos actualizados (ej: nuevas reseñas, cambios en eventos).

5.3 Cómo Almacenamos los Datos de Google

Datos que almacenamos:

| Categoría | Qué Almacenamos | Dónde se Almacena | Duración | |-----------|-----------------|-------------------|----------| | Tokens de acceso | Access token, refresh token | Base de datos Supabase (cifrado) | Mientras la conexión esté activa | | Identificadores | ID de usuario de Google, ID de recursos conectados | Base de datos Supabase | Mientras la cuenta exista | | Datos sincronizados | Información del negocio, eventos, publicaciones | Base de datos Supabase (UE) | Mientras la conexión esté activa | | Caché temporal | Respuestas de API para rendimiento | Memoria del servidor | Máximo 24 horas |

Medidas de seguridad del almacenamiento:

• Cifrado en reposo: Todos los datos se almacenan cifrados en Supabase con AES-256.
• Cifrado en tránsito: Todas las comunicaciones utilizan HTTPS/TLS 1.3.
• Ubicación: Los datos se almacenan en servidores de la Unión Europea (Frankfurt, Alemania).
• Acceso restringido: Solo los sistemas automatizados y el personal técnico autorizado pueden acceder a los datos almacenados.
• Tokens seguros: Los tokens de Google se almacenan de forma separada y cifrada, nunca en texto plano.

Datos que NO almacenamos:

• Contraseñas de Google (nunca las vemos ni almacenamos)
• Contenido completo de emails
• Contactos de Google
• Datos de Google Drive
• Historial de búsquedas

5.4 Cómo Usamos los Datos de Google

Usos específicos por tipo de dato:

| Dato | Uso Principal | Uso Secundario | |------|--------------|----------------| | Email | Identificar cuenta, enviar notificaciones del servicio | Recuperación de cuenta | | Nombre y foto | Mostrar en perfil de usuario, personalizar interfaz | Mostrar en reservas/pedidos al negocio | | Datos de My Business | Sincronizar información del negocio bidireccionalemente | Responder reseñas desde Ulula | | Eventos de Calendar | Crear reservas como eventos, sincronizar disponibilidad | Enviar recordatorios | | Publicaciones de Blogger | Publicar contenido del negocio en el blog conectado | Mostrar historial de publicaciones |

Usos que NO hacemos:

• No vendemos datos: Los datos de Google nunca se venden, alquilan o comercializan a terceros.
• No hacemos publicidad: Los datos no se usan para mostrar publicidad personalizada ni se comparten con redes publicitarias.
• No hacemos profiling: No creamos perfiles de comportamiento ni análisis predictivos con datos de Google.
• No transferimos a terceros: Los datos de Google no se comparten con otras empresas, excepto los encargados de tratamiento necesarios (Supabase para almacenamiento).

5.5 Compartición de Datos de Google

Datos compartidos dentro de Ulula:

• Entre usuario y negocio: Cuando un usuario hace una reserva o pedido, el negocio ve el nombre y email del usuario.
• Entre miembros del equipo: Los miembros del equipo de un negocio con permisos apropiados pueden ver los datos de Google conectados al negocio.

Datos compartidos con terceros:

| Tercero | Datos Compartidos | Propósito | |---------|-------------------|-----------| | Supabase Inc. | Todos los datos almacenados | Infraestructura de base de datos (encargado de tratamiento) | | Ningún otro | - | No compartimos datos de Google con ningún otro tercero |

5.6 Control del Usuario y Revocación

Cómo ver los datos de Google almacenados:

1. Accede a tu cuenta en Ulula.
2. Ve a Configuración > Cuenta.
3. En la sección "Servicios conectados" verás qué datos de Google están conectados.

Cómo desconectar servicios de Google:

1. En Ulula: Ve a Configuración > Cuenta > Servicios conectados > "Desconectar".
2. En Google: Visita https://myaccount.google.com/permissions y revoca el acceso de "Ulula".

Qué sucede al desconectar:

• Los tokens de acceso se eliminan inmediatamente.
• Los datos sincronizados (ej: información del negocio copiada) permanecen hasta que el usuario los elimine o solicite su eliminación.
• Ulula deja de poder acceder a nuevos datos de Google.

Solicitar eliminación de datos:

Envía un email a frank@seracreativo.com solicitando la eliminación de tus datos de Google. Procederemos en un plazo máximo de 30 días.

5.7 Cumplimiento con Políticas de Google

Ulula cumple con:

• Política de Datos de Usuario de los Servicios API de Google, incluyendo los requisitos de Uso Limitado.
• Términos de Servicio de las APIs de Google.
• Política de Privacidad de Google.

Requisitos de Uso Limitado que cumplimos:

1. Limitamos el uso de datos a proporcionar o mejorar las funciones visibles para el usuario.
2. No transferimos datos a terceros excepto según lo necesario para proporcionar el servicio.
3. No usamos datos para publicidad personalizada.
4. No permitimos que humanos lean datos de usuario excepto con consentimiento explícito o por seguridad/cumplimiento legal.

6. Conservación de los Datos

Los datos se conservarán mientras dure la relación contractual con la Empresa Cliente. Una vez finalizada la relación, se conservarán bloqueados el tiempo necesario para cumplir con las obligaciones legales:

• 6 años para documentación fiscal y contable (Ley General Tributaria y Código de Comercio de España).
• 5 años para datos derivados de obligaciones de prevención de blanqueo de capitales (Ley 10/2010).
• 3 años para datos de transacciones con finalidades de reclamación (plazo general de prescripción de acciones personales del Código Civil).

Con independencia de lo anterior, las conversaciones mantenidas con el asistente de inteligencia artificial (chat web, teléfono, SMS o WhatsApp) se conservan un máximo de 24 meses desde el último mensaje, y se eliminan automáticamente al cumplirse ese plazo. La Empresa Cliente puede solicitar su borrado antes.

Transcurridos estos plazos, los datos serán eliminados de forma segura e irreversible.

7. Derechos de los Usuarios

Los usuarios tienen derecho a:

• Acceso: Conocer qué datos personales se están tratando.
• Rectificación: Corregir datos inexactos o incompletos.
• Supresión: Solicitar la eliminación de datos cuando ya no sean necesarios para los fines recogidos.
• Limitación del tratamiento: Restringir el tratamiento en determinadas circunstancias.
• Oposición: Oponerse al tratamiento de sus datos.
• Portabilidad: Solicitar la transferencia de datos a otro proveedor de servicios en un formato estructurado y de uso común.

Para ejercer estos derechos, deberá enviar una solicitud junto con copia de su documento de identidad a: frank@seracreativo.com. El plazo máximo de respuesta es de 30 días. En caso de no estar conforme con la respuesta, el usuario puede reclamar ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

8. Seguridad de los Datos

Ulula adopta las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales, incluyendo:

• Cifrado en tránsito (HTTPS/TLS 1.3) y en reposo (AES-256)
• Control de accesos basado en roles (RBAC)
• Almacenamiento en servicios cloud que cumplen con el RGPD, con servidores en la Unión Europea
• Monitorización y auditoría de accesos
• Procedimientos de respuesta ante incidentes de seguridad conforme al artículo 33 del RGPD (notificación a la autoridad de control en 72 horas)

9. Uso de Cookies

La Plataforma podrá utilizar cookies técnicas necesarias para el funcionamiento del servicio y, en su caso, cookies analíticas o de terceros (previo consentimiento del usuario). Consulte nuestra Política de Cookies para más información.

10. Actualización de la Política

Ulula se reserva el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas, técnicas o de servicios prestados por terceros. Cualquier cambio será notificado de forma visible en la Plataforma con una antelación mínima de 30 días.