Política de privacidad

Esta política explica qué información personal recopila SOPFlow, por qué la recopilamos, con quién la compartimos y qué derechos tienes sobre ella. SOPFlow opera desde Miami, Florida, Estados Unidos; las preguntas sobre esta política deben dirigirse a admin@sopflow.io.

1. Quiénes somos

"SOPFlow", "nosotros", "nuestro" y "nos" se refieren a SOPFlow, que opera desde Miami, Florida, Estados Unidos, y ofrece el sitio web en sopflow.io. Para cualquier pregunta sobre privacidad, puedes comunicarte con nosotros en admin@sopflow.io.

2. Qué datos recopilamos

Recopilamos la siguiente información:

• Datos de cuenta: el nombre y dirección de correo electrónico que proporcionas, y un hash bcrypt de tu contraseña (nunca el texto sin cifrar).
• Contenido del Espacio de trabajo: las organizaciones, organigramas, procedimientos operativos estándar, versiones, fases, pasos y archivos que creas dentro de SOPFlow. Eres propietario de estos datos.
• Datos técnicos: dirección IP, agente de usuario y marcas de tiempo en eventos de autenticación y mutaciones para que podamos investigar abusos y construir un registro de auditoría.
• Tokens de verificación y seguridad: tokens de verificación de correo electrónico con hash (validez de 14 días), códigos 2FA con hash bcrypt (validez de 10 minutos) y tokens de dispositivo confiable con hash (validez de 30 días).
• Envíos de formulario de contacto: el tema, nombre, correo electrónico, asunto, cuerpo, IP y agente de usuario de cualquier mensaje que envíes a través de nuestro formulario de contacto.
• Datos de extensión del navegador Recorder (opcional): si instalas la extensión SOPFlow Recorder para Chrome y haces clic en Iniciar grabación, la extensión captura los objetivos de clic, etiquetas de campos de formulario, URLs de página, títulos de página y capturas de pantalla de las pestañas que activamente grabas dentro de la ventana donde inicias la sesión. Pausar detiene nuevas capturas; los datos pendientes pueden seguir cargándose al pausar o detener. También se capturan opciones seleccionadas, estados de casillas, comandos de teclado, nombres de archivos y notas que guardas. Los valores se ocultan de forma predeterminada. Contraseñas, campos de pago y códigos de un solo uso siguen ocultos aunque desactives el enmascaramiento general. Las superficies incrustadas que no pueden inspeccionarse se ocultan en las imágenes. Revisa las imágenes y los valores: estos controles no garantizan eliminar toda información sensible. Las grabaciones permanecen en el Espacio de trabajo hasta su eliminación y purga.

La extensión guarda localmente en el navegador su clave de conexión, ajustes, acciones pendientes e imágenes enmascaradas para permitir reintentos y recuperación. La narración opcional requiere permiso de micrófono y consentimiento explícito para enviar audio a SOPFlow y OpenAI para transcribirlo. Las transcripciones con tiempos se combinan con las acciones e imágenes para redactar el SOP. Pausar y finalizar apagan el micrófono. SOPFlow elimina el audio temporal del servidor después de cada intento. El audio pendiente o fallido permanece en el navegador hasta que lo descartas; el audio local transcrito se elimina. El dictado local, cuando el navegador lo admite, no envía audio. Los borradores escritos o dictados localmente permanecen en el navegador hasta que los guardas. El texto guardado puede enviarse al proveedor de IA configurado al redactar instrucciones. La extensión no graba vídeo continuo ni captura la navegación fuera de una sesión de grabación.

El Recorder captura durante las sesiones que inicias. La configuración de cookies controla la medición del sitio; la sección de cookies explica cómo se gestiona el consentimiento.

Las grabaciones pueden contener interacciones, valores de campos e imágenes. El enmascaramiento no garantiza eliminar toda la información sensible. La eliminación puede pasar por la papelera antes de la purga; los archivos ya importados a un SOP se gestionan por separado. Las funciones de IA pueden enviar contenido seleccionado a proveedores configurados, incluidos Anthropic u OpenAI. Stripe procesa pagos; Sentry puede procesar diagnósticos cuando está configurado, y Google gestiona medición según los controles descritos abajo.

Aviso de privacidad del chat de soporte

SOPFlow guarda tus mensajes del chat de soporte, los archivos que decidas compartir y los datos de contacto que proporciones para responder a tus solicitudes. Anthropic procesa las respuestas de IA. Nuestro equipo de soporte puede revisar la conversación y los datos de contacto para ayudarte. Si has iniciado sesión, las solicitudes pueden incluir contenido relevante de tu espacio de trabajo, según tus permisos actuales. No compartas contraseñas, datos de pago ni otra información sensible en el chat.

El chat te pide que aceptes este aviso antes de iniciar o cargar una conversación. Puedes cerrar el aviso sin iniciar un chat. Esta elección no cambia tus preferencias de cookies del sitio.

3. Por qué los recopilamos

Usamos los datos anteriores estrictamente para:

• Autenticarte y mantener tu Espacio de trabajo seguro.
• Aplicar permisos basados en roles y aislamiento de inquilinos.
• Detectar y responder a abusos (limitación de velocidad, inicios de sesión sospechosos).
• Mantener un registro de auditoría de quién cambió qué y cuándo.
• Entregar correos electrónicos transaccionales (verificación, 2FA, notificaciones).
• Responder a tus solicitudes de soporte, ventas o legales.

Si tu organización otorga el permiso de identificación de clientes de nuestros Términos de servicio, también podemos mostrar su nombre comercial y un logo aprobado en nuestro sitio web y en materiales de marketing digital únicamente para identificarla como cliente. Esto solo cubre identificadores comerciales y no autoriza la divulgación de información personal ni de contenido privado del espacio de trabajo. Puedes excluir a tu organización de este uso en cualquier momento escribiendo a admin@sopflow.io; el proceso y el plazo de retirada se describen en esa sección.

4. Base legal (GDPR)

Si estás en el Espacio Económico Europeo, el Reino Unido u otra jurisdicción con un marco de base legal similar al GDPR, nos basamos en:

• Necesidad contractual — proporcionar el servicio para el que te registraste.
• Interés legítimo — seguridad, prevención de abusos y registros de auditoría.
• Consentimiento — cualquier cosa más allá de lo anterior, como recibir un boletín si alguna vez ofrecemos uno (hoy no lo hacemos).

5. Terceros

SOPFlow se ejecuta en un solo VPS alojado. Usamos un pequeño número de sub-procesadores:

• Alojamiento: OVH (IP dedicada, región única).
• Entrega de correo electrónico: nuestra propia instancia Postfix en el mismo host, con DKIM, SPF y DMARC configurados. No hay ESP de terceros.
• DNS y TLS: proveedores estándar para dominio y certificados Let's Encrypt.

Los proveedores configurados procesan la información necesaria para prestar sus servicios, incluida la generación de IA, los pagos, el diagnóstico y la medición según las preferencias de cookies. Contacta con nosotros para información sobre proveedores y tratamiento de datos.

6. Cookies y analítica

SOPFlow usa dos categorías de cookies:

Estrictamente necesarias (siempre activas)

• sopflow_token — cookie de sesión JWT httpOnly. Vence en 7 días. Se usa para autenticarte.
• sopflow_device — token de dispositivo confiable 2FA httpOnly. Vence en 30 días. Se usa para omitir 2FA en un navegador que previamente has verificado.
• sopflow.theme, sopflow.lang, sopflow.consent — almacenados en localStorage (no son cookies). Recuerdan tu preferencia de modo claro/oscuro, tu idioma y tu respuesta al banner de cookies. Ninguno se envía a terceros.

Analítica y publicidad

La configuración del consentimiento puede variar según la región. El sitio utiliza controles para Google Analytics, Google Tag Manager y Google Ads cuando están configurados. Puedes revisar o cambiar tu elección en «Gestionar preferencias de cookies» en el pie de página. Rechazar o retirar el consentimiento desactiva el almacenamiento opcional correspondiente; pueden enviarse señales de consentimiento a Google. No consideres estas señales una garantía de anonimato.

Repetición de sesiones con Microsoft Clarity

Cuando está habilitado y con tu consentimiento explícito, Microsoft Clarity recopila clics, desplazamientos, páginas visitadas e información del navegador y dispositivo para crear mapas de calor y reconstruir sesiones y mejorar la usabilidad. Es independiente de SOPFlow Recorder. Enmascaramos el contenido y excluimos rutas sensibles de cuenta y autenticación; el enmascaramiento no elimina todos los metadatos, como direcciones y títulos de página. Enviamos consentimiento de análisis a Clarity y denegamos el almacenamiento publicitario. Puedes retirar tu consentimiento en Configuración o en las preferencias de cookies del pie de página. Consulta la Declaración de privacidad de Microsoft. Clarity conserva normalmente las repeticiones durante 30 días, y las sesiones seleccionadas, etiquetadas o favoritas y los datos agregados durante un máximo de 9 meses.

7. Retención de datos

• Cuentas activas: los datos se mantienen mientras tu cuenta esté activa.
• Cuentas eliminadas: se eliminan dentro de 30 días de la terminación. Las copias de seguridad se rotan dentro de 90 días.
• Registro de auditoría: retenido durante 2 años después de la mutación correspondiente. Se mantiene incluso después de la eliminación de la cuenta para cumplir con obligaciones legales e investigar disputas.
• Envíos de formulario de contacto: retenidos durante 2 años, luego eliminados a menos que sea necesario mantenerlos más (p. ej., retención legal, caso de soporte abierto).

8. Tus derechos

Dependiendo de tu jurisdicción, puedes tener derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Rectificar datos inexactos o incompletos.
• Eliminar tus datos (sujeto a nuestro interés legítimo en mantener registros de auditoría hasta 2 años).
• Portar tus datos a otro servicio.
• Objetar el procesamiento basado en interés legítimo.
• Presentar una queja ante una autoridad supervisora en tu país de residencia.

Para ejercer cualquiera de estos derechos, envía un correo a admin@sopflow.io. Verificaremos tu identidad antes de actuar sobre la solicitud y responderemos dentro de 30 días.

9. Seguridad

Consulta nuestra política de seguridad dedicada para el modelo de amenaza completo, controles y proceso de divulgación responsable. En resumen: solo HTTPS, cookies HttpOnly + Secure + SameSite, hash de contraseña bcrypt, verificación de correo electrónico, 2FA en dispositivos nuevos, aislamiento de base de datos por inquilino en la capa de consulta, registro de auditoría completo, correo saliente firmado con DKIM.

10. Transferencias internacionales

Tus datos se almacenan en la región donde se encuentra nuestro proveedor de alojamiento. Si accedes a SOPFlow desde un país diferente, tus datos se transferirán y procesarán en esa región. Nos basamos en cláusulas contractuales estándar donde corresponda.

11. Niños

SOPFlow está destinado a usuarios empresariales adultos de 18 años o más. No recopilamos datos de niños sabiendo. Si crees que un niño ha creado una cuenta, contáctanos en admin@sopflow.io y la eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Si realizamos un cambio material, enviaremos un correo a todos los titulares de cuentas activas al menos 30 días antes de que el cambio entre en vigencia, y actualizaremos la fecha "Última actualización" en la parte superior de esta página.

13. Contacto

Preguntas sobre privacidad, solicitudes de datos, quejas — envía un correo a admin@sopflow.io o usa nuestro formulario de contacto y elige "Pregunta general".

14. Privacidad de la atención por SMS

Si eliges la atención por SMS de SOPFlow, tratamos tu número móvil, el contenido de los mensajes de soporte, su estado de entrega y la fecha y el origen de tu consentimiento o baja de SMS. Usamos estos registros para prestar el soporte que solicitaste, gestionar la entrega y respetar tus preferencias de comunicación. El consentimiento para llamadas, correo electrónico o grabación de llamadas no autoriza los SMS.

No vendemos, alquilamos ni compartimos información móvil, datos de inscripción a SMS ni registros de consentimiento con terceros o empresas afiliadas para fines de marketing o promoción. Las demás disposiciones de esta política sobre datos compartidos excluyen estos registros para fines ajenos al programa de SMS. Solo comunicamos los datos necesarios a Telnyx, las operadoras móviles y los proveedores contratados que entregan y dan soporte a los mensajes, o los datos cuya divulgación exige la ley.

El personal autorizado puede acceder a los registros de soporte y consentimiento. Conservamos los registros necesarios para resolver tu solicitud y respetar el consentimiento, las bajas y las obligaciones legales. Darse de baja detiene los mensajes de soporte, pero no elimina el registro de bloqueo que evita nuevos envíos. Para consultas de privacidad o solicitudes de eliminación, escribe a admin@sopflow.io. Consulta los términos de atención por SMS para conocer las instrucciones de consentimiento, STOP y HELP.