Política de privacidad

1. Responsable del tratamiento

El sitio web publiwp.com y el servicio PubliWP son gestionados y operados por INSTITUTO DE DESARROLLO SAN MIGUEL S.A., con CIF A10294338 y domicilio social en Av. Rodríguez de Ledesma, 18. Cáceres, España.

La facturación y gestión de suscripciones está a cargo de CENTRO DE ASESORAMIENTO EMPRESARIAL SERVIGESTION ASESORES, S.L., con CIF B10209203.

WebExtremadura presta servicios de gestión técnica, desarrollo, mantenimiento y soporte operativo de PubliWP.

Para cualquier consulta relacionada con PubliWP, puedes contactar con nosotros en info@publiwp.com.

2. Qué datos recogemos

Recogemos y tratamos los siguientes datos personales:

• Datos de registro: nombre y dirección de correo electrónico, necesarios para crear y gestionar tu cuenta.
• Credenciales cifradas: las credenciales de acceso a tus sitios WordPress (usuario y Application Password) se almacenan cifradas con AES-256-GCM. En ningún caso se almacenan en texto plano.
• Registros de actividad: registros de las acciones realizadas a través del servicio (publicación de borradores, consultas a sitios WordPress, etc.), con su fecha y el sitio afectado.
• Token de sesión: se almacena un token JWT en el almacenamiento local de tu navegador para mantener la sesión iniciada. No es una cookie y no se usa para rastreo.
• Datos de conexión de Meta (cuando aplica): si conectas una cuenta de Facebook o Instagram, almacenamos los tokens de acceso cifrados y los identificadores de página/cuenta de Instagram, necesarios para realizar publicaciones.
• Datos técnicos de tus webs (vigilante de Seguridad): versión de WordPress y de PHP, plugins y temas con su versión, nombres de los archivos PHP que haya en la carpeta de subidas, señales de posible infección y el número de administradores (identificados con un código, sin nombres ni correos). No incluyen el contenido de tus páginas ni datos de tus visitantes o clientes.
• Datos de pago: los pagos se procesan íntegramente a través de Stripe. No almacenamos datos de tarjeta de crédito. Solo guardamos el identificador de cliente de Stripe y el de la suscripción para gestionar tu plan.
• Datos para los correos de novedades: tu nombre, tu correo, tu plan y datos generales de uso (por ejemplo, cuántas webs tienes conectadas o qué funciones usas), para enviarte solo las novedades que te afectan. También sabremos si abres los correos o pulsas sus enlaces.
• Datos de Google (cuando aplica): si conectas un servicio de Google, como Google Merchant Center, tratamos los datos de ese servicio que se detallan en el apartado 6, «Uso de datos de Google».
• Datos de navegación (solo si aceptas las cookies de analítica): páginas visitadas, tipo de dispositivo y navegador, país aproximado y procedencia de la visita, recogidos por Google Analytics. No incluyen tu nombre ni tu correo.

3. Finalidad y base legal del tratamiento

Correos de novedades: solo los enviamos a quien tiene cuenta en PubliWP y tratan sobre el propio servicio (funciones nuevas, arreglos y mejoras). Cada correo incluye un enlace para darte de baja con un clic y también puedes pedirlo en info@publiwp.com. Darte de baja no afecta a los correos del servicio, que son necesarios para que tu cuenta funcione.

Red inmunitaria: si la revisión de Seguridad de una web detecta señales de infección, sus plugins y temas con su versión y los nombres de los archivos sospechosos se comparan con las webs de los demás clientes, para avisar a quien comparta algo de eso. Los avisos nunca dicen qué web ni qué cliente se infectó, ni su dirección, y no muestran cuántas webs forman la red. Solo se usan las revisiones de los últimos 90 días. Puedes oponerte escribiendo a info@publiwp.com; si desactivas el vigilante de Seguridad de una web, deja de aportar datos nuevos y sale de la red en un máximo de 90 días.

4. Conservación de los datos

• Datos de cuenta: mientras la cuenta esté activa. Al eliminar la cuenta se borran todos los datos asociados.
• Registros de actividad: se conservan durante 12 meses desde su generación.
• Tokens de Meta: se eliminan al desconectar la cuenta de Meta o al eliminar la cuenta de usuario.
• Permisos de servicios conectados: las autorizaciones de Google, Dropbox y pCloud y las credenciales cifradas de destinos compatibles con S3 se conservan mientras el usuario mantenga activa la conexión y se eliminan al desconectarla o eliminar la cuenta.
• Lista de novedades: mientras tengas cuenta y no te des de baja. Si te das de baja, conservamos solo tu correo marcado como «no enviar» para respetar tu decisión.
• Analítica: Google Analytics conserva los datos de navegación durante 14 meses.
• Microsoft Clarity: los datos los conserva Microsoft según sus condiciones. En PubliWP solo quedan, si el cliente las guarda, sus tres últimas consultas por web, que se borran al desconectar el servicio.

5. Uso de inteligencia artificial

PubliWP actúa como intermediario entre asistentes de inteligencia artificial de terceros (ChatGPT, de OpenAI, y Claude, de Anthropic) y las plataformas conectadas por el usuario (WordPress, Facebook, Instagram y otras).

En relación con el uso de IA, debes tener en cuenta lo siguiente:

• Proveedor del modelo de IA: el modelo lo proporciona el asistente que elijas: OpenAI, L.L.C. (EE. UU.) o Anthropic, PBC (EE. UU.). PubliWP no es el fabricante ni el proveedor del modelo; actuamos exclusivamente como integrador en el sentido del Reglamento UE 2024/1689 (AI Act).
• Transferencia de datos al proveedor de IA: cuando das instrucciones a través de ChatGPT o Claude, el contenido de esas instrucciones y los datos necesarios para ejecutarlas (títulos de posts, contenido, configuración del sitio) pueden ser procesados en los servidores de OpenAI o Anthropic, ubicados fuera del Espacio Económico Europeo. Este tratamiento se rige por la política de privacidad de OpenAI o la política de privacidad de Anthropic.
• No se entrenan modelos: PubliWP no usa los datos de los usuarios para entrenar, ajustar ni mejorar ningún modelo de IA.
• Rol del cliente como deployer: el usuario o cliente que utiliza PubliWP para publicar contenido en sus plataformas actúa como responsable del despliegue (deployer) en el sentido del AI Act, y es el responsable de cumplir con las obligaciones de transparencia aplicables a dicho contenido (como el etiquetado de contenido generado con IA cuando así lo exija el art. 50 del AI Act).

6. Uso de datos de Google

Este apartado explica qué datos de Google trata PubliWP, para qué y cómo puedes retirar el acceso. Se aplica a la aplicación de Google «PubliWP Merchant API» (proyecto de Google Cloud publiwp-merchant-api) y, en lo que corresponda, a los demás servicios de Google que conectes a PubliWP.

6.1. Autorización del usuario

• PubliWP solo accede a datos de una cuenta de Google después de que el usuario conecte voluntariamente un servicio de Google desde su panel de PubliWP y lo autorice expresamente en la pantalla de consentimiento de Google (OAuth 2.0).
• PubliWP no obtiene acceso automático a ninguna cuenta de Google ni conoce la contraseña de Google del usuario.
• Cada servicio de Google se conecta por separado y con sus propios permisos. Conectar Google Merchant Center no da acceso a Gmail, Google Drive, Google Calendar, los contactos ni a ningún otro servicio de Google.
• El usuario puede retirar el acceso en cualquier momento (apartado 6.7).

6.2. Datos de Google Merchant Center que puede consultar PubliWP

Al conectar Google Merchant Center, el usuario concede a PubliWP el permiso https://www.googleapis.com/auth/content y el de ver la dirección de correo de su cuenta de Google. Con ellos, PubliWP consulta a través de la Merchant API de Google, y solo sobre las cuentas de Merchant Center a las que tiene acceso la cuenta de Google conectada:

• la dirección de correo de la cuenta de Google conectada, para mostrar con qué cuenta se hizo la conexión;
• las cuentas de Merchant Center accesibles: identificador, nombre, zona horaria e idioma;
• los productos tal como los procesa Google: identificador, título, precio y precio de oferta, disponibilidad, GTIN, marca, enlace, imagen, idioma y etiqueta de feed;
• el estado de cada producto en los destinos de Google (aprobado, pendiente o rechazado, por país), los motivos de rechazo y los problemas o avisos de cada producto;
• los problemas o avisos que afectan a la cuenta de Merchant Center;
• las fuentes de datos de productos y su configuración (tipo, idioma, países y, si las hay, dirección y frecuencia de descarga);
• cuando Google los proporciona para esa cuenta, métricas de rendimiento de los productos (impresiones, clics y porcentaje de clics) y sugerencias de precio con su efecto previsto.

Aunque el permiso de Google también permitiría modificar Merchant Center, la integración actual de PubliWP solo consulta datos: no crea, modifica ni elimina productos, fuentes de datos ni la configuración de la cuenta de Merchant Center.

6.3. Para qué se usan

Los datos de Google se usan exclusivamente para prestar las funciones de PubliWP que el usuario solicita, por ejemplo:

• mostrar en su panel el estado de sus productos en Google;
• detectar productos rechazados y explicar por qué un producto no aparece en Google Shopping y qué puede hacer para corregirlo;
• mostrar los problemas de su cuenta de Merchant Center y de dónde salen sus productos;
• mostrar el rendimiento de sus productos y facilitar análisis y diagnósticos, como comprobar si el precio que tiene Google coincide con el de su tienda;
• responder a las consultas que el usuario haga sobre su Merchant Center a los asistentes de IA conectados a PubliWP (apartado 6.4).

No se usan para publicidad, para crear perfiles, para valorar la solvencia o conceder crédito, para entrenar o mejorar modelos de inteligencia artificial ni para ninguna otra finalidad incompatible con el servicio solicitado.

6.4. Asistentes de inteligencia artificial

Cuando el usuario pregunta por su Merchant Center a un asistente de IA conectado a PubliWP, PubliWP entrega a ese asistente los datos necesarios para responder a esa consulta concreta, y solo entonces:

• ChatGPT (OpenAI) o Claude (Anthropic), cuando el usuario los conecta a PubliWP (apartado 5). Esos datos quedan en la conversación del usuario con su asistente, sujeta a la política de privacidad de cada proveedor.
• El Asistente de Gestión de PubliWP, que funciona con el proveedor de IA y la clave que el propio cliente configura (OpenAI, DeepSeek, OpenRouter o Z.ai), y solo si el cliente le da acceso a la tienda. Los datos se envían a ese proveedor bajo la cuenta del cliente.
• Las automatizaciones del propio cliente (claves de API de PubliWP con acceso a la tienda), que reciben los datos que el cliente pida y los llevan a donde él las haya configurado.

PubliWP no envía datos de Google a ningún proveedor de IA por iniciativa propia ni los usa para entrenar modelos.

6.5. Tokens de acceso y credenciales

• Para mantener la conexión, PubliWP guarda los tokens de acceso y de renovación que entrega Google, cifrados en su base de datos y separados de la conexión de Google que el usuario tenga para otros servicios.
• Los tokens nunca se muestran en el panel, no se entregan a los asistentes de IA, no se publican ni se incluyen en los registros del servicio.
• Los tokens no se venden ni se usan para nada distinto de consultar, en nombre del usuario, los datos descritos en el apartado 6.2.

6.6. Compartición de datos

• PubliWP no vende los datos obtenidos de Google ni los usa para publicidad, propia o de terceros.
• No los cede a terceros, salvo: cuando el usuario lo pide para usar una función, como en el apartado 6.4; a los proveedores tecnológicos imprescindibles para prestar el servicio, como el alojamiento del servidor (apartado 7), con las medidas adecuadas; cuando sea necesario por seguridad, por ejemplo para investigar un abuso; o para cumplir una obligación legal.
• Las personas de PubliWP no consultan los datos de Merchant Center de un cliente salvo que el propio cliente lo pida (por ejemplo, en una consulta de soporte), por seguridad o por obligación legal.

6.7. Conservación, revocación y eliminación

• PubliWP no guarda una copia del catálogo de Merchant Center: consulta a Google en el momento en que el usuario lo pide.
• Conserva, mientras la conexión esté activa, los tokens, el correo de la cuenta de Google conectada, la lista de cuentas de Merchant Center accesibles (identificador y nombre) y la cuenta elegida. El registro de actividad anota la conexión, la desconexión y la cuenta elegida, y se conserva 12 meses como el resto de registros.
• Si el usuario usa el Asistente de Gestión, las últimas intervenciones de esa conversación, que pueden incluir datos de Merchant Center, se conservan hasta que empieza una conversación nueva o elimina su cuenta.
• Fuera de estos casos, los datos se conservan solo durante el tiempo estrictamente necesario para prestar el servicio, mantener la conexión y cumplir las obligaciones legales aplicables.
• El usuario puede desconectar Google Merchant Center desde su panel (Conexiones → Redes sociales → Google Merchant Center → Desconectar): PubliWP pide a Google que retire el permiso y borra los tokens y los datos de la conexión. También se borran al eliminar la cuenta de PubliWP.
• También puede retirar el acceso desde su cuenta de Google, en myaccount.google.com/permissions.
• Puede pedir la eliminación de los datos asociados escribiendo a info@publiwp.com.

6.8. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos de Google: cifrado de los tokens en la base de datos, comunicaciones cifradas mediante HTTPS/TLS, acceso al panel con autenticación, separación entre clientes (cada cliente solo puede usar su propia conexión y las cuentas de Merchant Center que Google confirma para su cuenta de Google) y acceso a los sistemas limitado al personal que lo necesita. Ningún sistema es completamente infalible, pero revisamos estas medidas para prevenir accesos no autorizados.

6.9. Cumplimiento de la política de Google

El uso que PubliWP hace de la información recibida de las APIs de Google, y su transferencia a cualquier otra aplicación, cumplirá la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).

PubliWP’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6.10. Contacto

Para cualquier cuestión sobre privacidad, revocación del acceso, eliminación de datos o dudas sobre los datos de Google, escribe a info@publiwp.com.

7. Destinatarios de los datos

No vendemos ni cedemos datos personales a terceros. Solo los tratan, por cuenta nuestra o porque tú lo pides, estos proveedores:

• OpenAI, L.L.C. y Anthropic, PBC: cuando usas ChatGPT o Claude para gestionar contenido a través del servidor MCP de PubliWP, reciben los datos necesarios para ejecutar tus instrucciones. Esta transferencia se produce fuera del EEE y se rige por las garantías contractuales de cada proveedor.
• Meta Platforms Ireland Ltd.: cuando conectas una cuenta de Facebook/Instagram, los datos de publicación se transmiten a través de la Meta Graph API bajo la política de privacidad de Meta.
• Google, Dropbox y pCloud: únicamente cuando conectas voluntariamente uno de sus servicios (por ejemplo Search Console, Analytics, Perfil de Empresa, Merchant Center o Drive), PubliWP usa sus APIs oficiales para lo que pides, como transferir las copias seleccionadas al espacio autorizado. También puede utilizarse el proveedor compatible con S3 elegido directamente por el usuario.
• Stripe Payments Europe, Ltd.: procesa los pagos y las suscripciones.
• Resend, Inc. (EE. UU.): envía los correos del servicio (bienvenida, contraseña, avisos).
• Sendinblue SAS, «Brevo» (Francia, UE): gestiona la lista y el envío de los correos de novedades.
• Microsoft Ireland Operations Limited (Microsoft Clarity): solo para los clientes que solicitan el servicio opcional Microsoft Clarity para sus webs. Trata, como subencargado, los datos de navegación de los visitantes de esas webs que aceptan las cookies de analítica. Puede implicar transferencias fuera del EEE, con las garantías contractuales de Microsoft.
• Google Ireland Limited: presta Google Analytics, solo si aceptas las cookies de analítica. Consulta la política de cookies.
• Proveedor de infraestructura (Contabo GmbH, Alemania): aloja el servidor del servicio en un centro de datos de la Unión Europea.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo (OpenAI, Anthropic, Resend y, en su caso, Google), la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo aprobadas por la Comisión Europea. La ubicación de los destinos externos de copias depende del proveedor y de la región elegidos por el propio usuario; pCloud informa durante la autorización si la cuenta pertenece a su centro de datos europeo o estadounidense.

8. Tus derechos

De acuerdo con el RGPD (Reglamento UE 2016/679) tienes derecho a:

• Acceso: obtener confirmación de si tratamos tus datos y una copia de los mismos.
• Rectificación: solicitar la corrección de datos inexactos.
• Supresión: solicitar el borrado de tus datos («derecho al olvido»).
• Limitación: solicitar la limitación del tratamiento en determinadas circunstancias.
• Portabilidad: recibir tus datos en formato estructurado y de uso común.
• Oposición: oponerte al tratamiento basado en interés legítimo, incluidos los correos de novedades.
• Retirar el consentimiento en cualquier momento (sin afectar a la licitud del tratamiento anterior), por ejemplo el de las cookies de analítica desde la política de cookies.

Para ejercer cualquiera de estos derechos, envía un correo a info@publiwp.com con el asunto «Ejercicio de derechos RGPD» indicando tu nombre, el correo de tu cuenta y el derecho que deseas ejercer.

Si no recibes respuesta satisfactoria, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

9. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas para proteger tus datos:

• Cifrado AES-256-GCM para credenciales almacenadas en base de datos.
• Autenticación mediante tokens JWT con caducidad.
• Comunicaciones cifradas mediante HTTPS/TLS.
• Base de datos accesible únicamente desde la red interna del servidor.
• Acceso al panel restringido mediante autenticación.

10. Cookies y almacenamiento local

No usamos cookies de publicidad. Usamos almacenamiento técnico imprescindible (el token de sesión y una cookie que recuerda tu decisión sobre las cookies) y, solo si lo aceptas, cookies de analítica de Google Analytics. Al entrar por primera vez te preguntamos, con los botones «Aceptar» y «Rechazar» al mismo nivel, y puedes cambiar de opinión en cualquier momento. Todo el detalle está en la política de cookies.

11. Cambios en esta política

Podemos actualizar esta política de privacidad. Los cambios significativos se notificarán por correo electrónico a los usuarios registrados. La fecha de «última actualización» en la parte superior de este documento refleja la versión vigente.