Gestyou

Política de privacidad

Qué datos personales trata Gestyou, para qué, con qué base legal y durante cuánto tiempo, y cómo ejercer tus derechos. Escrita para entenderse sin ser abogado; si algo no queda claro, escríbenos.

Última actualización: octubre 2026 · Cumplimiento RGPD

1. Quién es el responsable

Gestyou, NIF 72824559G, es el responsable del tratamiento de los datos que se describen aquí. Contacto: info@gestyou.app. Para cuestiones de privacidad, privacidad@gestyou.app.

2. A quién afecta esta política

  • Empresas usuarias: la persona que crea la cuenta y los empleados que invita. Gestyou es el responsable de sus datos.
  • Clientes de esas empresas: las personas cuyos datos introduce la empresa en Gestyou (contactos, presupuestos, contratos, facturas). De esos datos el responsable es la empresa usuaria y Gestyou actúa como encargado del tratamiento: los tratamos solo para prestarle el servicio y siguiendo sus instrucciones. Si eres cliente de una empresa que usa Gestyou, dirígete a ella para ejercer tus derechos.
  • Técnicos externos: personas sin cuenta que acceden a la hoja de ruta de un evento mediante un enlace temporal que les envía la empresa.
  • Visitantes de la web pública (gestyou.app), incluido quien usa el chat de la web o se apunta a la newsletter.

3. Qué datos tratamos

  • Cuenta: nombre, email, contraseña (guardada cifrada de forma irreversible con bcrypt, nunca en claro), y si los añades, teléfono y foto de perfil. Si activas la verificación en dos pasos, el secreto necesario para comprobar los códigos.
  • Empresa: nombre, NIF, dirección, logo, datos fiscales y de facturación, plan y estado de la suscripción.
  • Datos que introduces sobre tus clientes y tu actividad: contactos, eventos, inventario, presupuestos, contratos, facturas, hojas de ruta, incidencias y documentos. Son tuyos: solo los tratamos para que la aplicación funcione.
  • Registro de seguridad: dirección IP, navegador y fecha de acciones sensibles (inicio de sesión, cambio de contraseña, activación de la verificación en dos pasos, aceptación de estos documentos legales, alta en la newsletter). Sirve para detectar accesos no autorizados y para poder demostrar que se dio el consentimiento.
  • Pagos: los datos de tarjeta los trata Stripe directamente y nunca pasan por nuestros servidores. Nosotros guardamos solo los identificadores de cliente y suscripción de Stripe, el plan y el estado de pago.
  • Uso de la aplicación: dentro de la aplicación, con la sesión iniciada, medimos qué pantallas y botones se usan y cuáles no, y grabamos la sesión de forma enmascarada para ver dónde se atasca la gente. Lo hacemos sin cookies. Al usuario se le identifica por su identificador interno (no por nombre ni email) y a la empresa por el suyo, junto con el rol y el plan. En la grabación todo el texto aparece sustituido por asteriscos, los campos de formulario van ocultos y las imágenes salen como cajas grises: se ve dónde se pulsó y qué pantalla se rompió, no lo que había escrito. El texto de los botones y enlaces tampoco se envía. Ver la sección 8 para oponerte.
  • Errores técnicos: cuando algo falla, recogemos el error, la página, el navegador y el sistema operativo. Si el fallo ocurre en el navegador, se guarda también una grabación de los segundos anteriores, con el mismo enmascaramiento de arriba. Si no hay error, esa grabación se descarta en tu propio navegador y nunca sale de él.
  • Chat de la web pública: el texto que escribes y la página desde la que abriste el chat. No guardamos IP ni cookies; el identificador de la conversación vive en tu navegador y desaparece al cerrar la pestaña. Las respuestas las genera un modelo de inteligencia artificial de Anthropic, así que el texto de tu pregunta se envía a Anthropic para responderla.
  • Notificaciones push: si las activas, la dirección técnica que tu navegador nos da para poder avisarte. Puedes desactivarlas cuando quieras desde Ajustes o desde el propio navegador.
  • Google: si entras con «Continuar con Google», recibimos de Google tu email verificado y tu nombre. Si conectas Google Calendar, pedimos a Google el permiso más limitado que existe para ello: crear en tu cuenta un calendario llamado «Gestyou» y crear, cambiar y borrar solo los eventos de ese calendario. Guardamos el token de acceso que nos da Google para hacerlo, y lo borramos cuando desconectas Google Calendar desde Ajustes o eliminas tu cuenta (el calendario «Gestyou» y sus eventos se quedan en tu cuenta de Google, y puedes borrarlos tú). No podemos ver ni tocar el resto de tus calendarios, no vendemos ni cedemos esos datos y no los usamos para publicidad ni para entrenar modelos de inteligencia artificial. El uso que Gestyou hace de la información recibida de las API de Google cumple la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.
  • Funciones de inteligencia artificial: al generar un contrato o una hoja de ruta con IA, los datos del evento que pides redactar se envían a Anthropic para producir el texto. No se usan para entrenar modelos.

4. Para qué los usamos

  • Prestar el servicio contratado y mantener tu sesión y tu cuenta seguras.
  • Facturar la suscripción y cumplir las obligaciones fiscales y contables.
  • Enviarte comunicaciones operativas: recibos, avisos de la prueba, firmas, pagos, recordatorios.
  • Enviar en tu nombre y con tu marca los presupuestos, contratos y valoraciones a tus clientes, cuando tú lo pides.
  • Entender qué partes de la aplicación se usan y cuáles no, y dónde se atasca la gente, para mejorarla.
  • Detectar y corregir errores técnicos.
  • Responder a las preguntas del chat de la web y mejorar la información que damos.
  • Enviarte la newsletter si te apuntas.

No vendemos tus datos, no los cedemos a terceros para su propio marketing y no hacemos publicidad basada en tu comportamiento.

  • Ejecución del contrato (art. 6.1.b RGPD): cuenta, empresa, datos de tu actividad, pagos, comunicaciones operativas, envíos a tus clientes.
  • Obligación legal (art. 6.1.c): facturación y conservación fiscal, registro de la aceptación de los documentos legales.
  • Interés legítimo (art. 6.1.f): seguridad de las cuentas (registro de accesos), medición del uso de la aplicación, corrección de errores y chat de la web. Hemos limitado estos tratamientos para que no te perjudiquen: sin cookies, sin nombre ni email en la analítica, pantallas enmascaradas y plazos de conservación cortos. Puedes oponerte (sección 8).
  • Consentimiento (art. 6.1.a): newsletter, notificaciones push y conexión con Google Calendar. Lo puedes retirar cuando quieras sin que afecte al resto del servicio.

6. Quién más trata los datos

Usamos proveedores que tratan datos por nuestra cuenta, con contrato de encargado y solo para lo que se indica. Cuando están fuera de la Unión Europea, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU.

  • Supabase — base de datos y almacenamiento de archivos. Servidores en Suecia (Unión Europea).
  • Vercel — alojamiento de la web y la aplicación. Estados Unidos, con red de distribución global.
  • Railway — alojamiento del servidor de la aplicación (API). Estados Unidos.
  • Stripe — cobro de suscripciones y, si lo activas, cobros a tus clientes. Estados Unidos e Irlanda.
  • Sentry — avisos de errores técnicos y grabación enmascarada cuando hay un error. Servidores en Alemania (Unión Europea).
  • PostHog — medición del uso de la aplicación y grabación enmascarada de sesiones. Servidores en Alemania (Unión Europea). Los datos viajan a través de nuestro propio dominio.
  • Anthropic — inteligencia artificial para contratos, hojas de ruta y el chat de la web. Estados Unidos.
  • Resend — envío de correos electrónicos. Estados Unidos.
  • Google — inicio de sesión con Google y, si lo conectas, Google Calendar.
  • Cloudflare — comprobación anti-robots (Turnstile) en el formulario de registro.
  • YouTube — vídeos incrustados en la academia, en modo de privacidad reforzada (youtube-nocookie.com).

7. Durante cuánto tiempo

  • Datos de la cuenta y de tu actividad: mientras la cuenta esté activa. Si cancelas la suscripción quedan bloqueados 90 días por si vuelves; pasado ese plazo los borramos. Si eliminas la cuenta desde Ajustes → Mi cuenta, se borran al momento, sin periodo de espera y sin posibilidad de recuperarlos; las copias de seguridad automáticas se renuevan solas y lo borrado desaparece de ellas en unos días.
  • Facturación: el plazo que exige la normativa fiscal y mercantil, hasta 6 años.
  • Registro de aceptación de los documentos legales: mientras exista la cuenta y hasta la prescripción de las posibles responsabilidades.
  • Registro de accesos: mientras exista la cuenta.
  • Uso de la aplicación: los eventos de uso hasta 12 meses; las grabaciones de sesión, 30 días.
  • Errores técnicos y sus grabaciones: 90 días.
  • Chat de la web: las conversaciones se borran automáticamente a los 12 meses.
  • Newsletter: hasta que te des de baja; el enlace para hacerlo va en cada correo.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y retirar cualquier consentimiento que hayas dado.

  • Tus datos y los de tu empresa los puedes ver, corregir y exportar directamente desde la aplicación.
  • Para oponerte a la medición de uso y a la grabación de sesiones, activa la señal «No rastrear» (Do Not Track) en tu navegador, que respetamos, o escríbenos y la desactivamos para tu cuenta.
  • Para lo demás, escribe a privacidad@gestyou.app desde el email de tu cuenta. Respondemos en el plazo de un mes.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

9. Seguridad

Cifrado en tránsito (HTTPS) y en reposo, aislamiento de los datos de cada empresa en la base de datos, control de acceso por roles, verificación en dos pasos opcional, contraseñas guardadas con bcrypt, límite de intentos frente a ataques de fuerza bruta y registro de las operaciones sensibles. Los enlaces que se envían a técnicos externos y a tus clientes son temporales y caducan solos.

10. Menores

Gestyou es una herramienta para empresas. No está dirigida a menores de edad y no tratamos sus datos a sabiendas.

11. Cambios en esta política

Si cambiamos algo relevante te avisaremos por email antes de que entre en vigor. La fecha de arriba indica la versión vigente.

12. Cookies

Qué guardamos en tu navegador y por qué está explicado en la política de cookies.