Política de Privacidad

Quiénes somos

El responsable del tratamiento es Amine Khattabi Lechham, que opera como StoreRoaster. Para cualquier cuestión sobre esta política o sobre tus datos, escribe a support@storeroaster.com.

No hemos designado un Delegado de Protección de Datos. Nuestro tratamiento no cumple las condiciones del artículo 37 del RGPD que obligarían a ello; la dirección anterior es donde se atienden las solicitudes en materia de protección de datos.

Qué recogemos

• Datos de cuenta. Tu dirección de correo electrónico y el nombre que elijas mostrar en el panel si lo cambias. Puedes entrar con Google o con tu correo y una contraseña. Si entras con Google, recibimos además tu nombre y el identificador de tu cuenta de Google. Si usas contraseña, la guarda Supabase, nuestro proveedor de autenticación, protegida con un cifrado que no se puede revertir; nosotros nunca la vemos.
• Datos de facturación. Tu identificador de cliente en Stripe, el estado de la suscripción, el plan y el periodo de facturación. Nunca vemos ni almacenamos el número de tu tarjeta: Stripe gestiona los datos de pago en sus propios sistemas.
• Datos del análisis. La URL de la tienda que envías, y la puntuación, el análisis por IA, las sugerencias y las capturas de las páginas públicas de esa tienda (inicio, producto y carrito) que se generan. Esto describe la tienda auditada, no a ti.
• Copia de lo que vio el análisis. De cada análisis guardamos el código HTML de las páginas públicas de la tienda tal como las cargó nuestro navegador (inicio, producto y carrito), sin los scripts y sin los valores de los campos ocultos. Hasta el 14 de octubre de 2026 guardábamos también una imagen de la primera pantalla del pago; esas imágenes se eliminan con el resto a los 120 días. Nuestro navegador no inicia sesión ni introduce datos de nadie, así que no hay datos de compradores; pero esas páginas son públicas y pueden incluir datos personales que la propia tienda publica, como el nombre de quien firma una reseña o los datos de contacto del comercio.
• Tokens de acceso. Al iniciar un pago creamos un token de inicio de sesión de un solo uso, que solo sirve una vez completado el pago, para que puedas llegar a tu cuenta desde la página de confirmación. Almacenamos solo un hash de ese token junto a tu dirección de correo, nunca el token en sí.
• Intentos de pago. Cada vez que abres la página de pago de Stripe guardamos el identificador de esa sesión de pago, tu cuenta, el plan y el periodo que elegiste, si venías con una tienda para analizar, y si llegaste a pagar y cuándo. Nunca datos de tu tarjeta.
• Registro de acciones limitadas. Cuando compruebas una tienda, abres el pago, añades una tienda o un competidor, o cambias tu perfil o tu plan, anotamos tu cuenta y la hora. Si pides restablecer tu contraseña, anotamos tu correo y la IP desde la que lo pides.
• Uso de tu cuenta. Cuándo entraste por última vez en el panel o en la página de planes, con una precisión de una hora, y qué informes tuyos has abierto, cuándo y cuántas veces. Lo registra nuestro servidor, no depende de cookies y no guarda tu IP, tu navegador ni las páginas que visitas. Tampoco se registra quién abre un informe que hayas compartido.
• Diagnóstico de errores. Si algo falla mientras usas el servicio, recibimos un informe de error que describe qué falló y el contexto técnico, como tu navegador y la página en la que estabas.

Por qué lo recogemos, y sobre qué base

• Para prestar el servicio que solicitaste: crear tu cuenta, ejecutar análisis, generar informes y mantener tu sesión iniciada. Base: ejecución de un contrato (art. 6.1.b RGPD).
• Para facturar tu suscripción y darte acceso a aquello que pagaste. Base: ejecución de un contrato (art. 6.1.b).
• Para conservar los registros fiscales y contables de los pagos recibidos. Base: cumplimiento de una obligación legal (art. 6.1.c).
• Para diagnosticar errores y prevenir abusos de la cuota de análisis y de la propia infraestructura del servicio. Base: nuestro interés legítimo en un servicio operativo y no abusado (art. 6.1.f).
• Para poder comprobar un informe después: la copia de lo que vio el análisis permite revisar un hallazgo si lo discutes, o corregir un error de medición, sobre lo que el análisis vio de verdad y no sobre la tienda tal como esté semanas más tarde. Base: nuestro interés legítimo en que cada informe sea verificable (art. 6.1.f).
• Para saber si el servicio te resulta útil: si vuelves y si abres tus informes, para decidir qué mejorar. Base: nuestro interés legítimo en entender el uso de nuestro propio servicio (art. 6.1.f).
• Para entender dónde se queda la gente al contratar: cuántas personas abren el pago y cuántas lo completan. Base: nuestro interés legítimo en entender el uso de nuestro propio servicio (art. 6.1.f).
• Para entender cómo se usa el producto y decidir qué mejorar, mediante analítica de navegación y la grabación de las sesiones. Solo ocurre si lo aceptas, y puedes retirar esa aceptación cuando quieras. Base: tu consentimiento (art. 6.1.a).

No vendemos tus datos, no ejecutamos rastreadores publicitarios y no tomamos decisiones automatizadas con efectos jurídicos sobre ti. La analítica de producto agrupa tu actividad bajo el identificador de tu cuenta, pero solo para entender cómo se usa el producto: nunca para segmentarte comercialmente ni para decidir nada que te afecte. No hay correos de marketing: todo lo que enviamos está relacionado con el servicio.

Quién más los trata

Estos son nuestros encargados del tratamiento. Cada uno recibe solo lo que necesita para hacer su trabajo, bajo un contrato de encargo de tratamiento, y ninguno puede usar tus datos para sus propios fines.

• Google: proveedor de identidad, solo si entras con Google. Al iniciar sesión nos comunica tu dirección de correo y el identificador de tu cuenta.
• Supabase: base de datos y autenticación de tu cuenta, tus análisis y tu estado de facturación, y almacenamiento privado de la copia de lo que vio cada análisis.
• Netlify: aloja la aplicación web.
• Railway: ejecuta el servicio de worker que realiza cada análisis.
• Stripe: procesamiento de pagos y gestión de suscripciones.
• Resend: envía los correos del servicio —la bienvenida al crear la cuenta, la confirmación de pago, los avisos de cambio de plan y el resumen semanal—. Recibe tu dirección de correo.
• Browserless: ejecuta el navegador sin interfaz que carga y captura la tienda analizada.
• OpenAI: recibe el contenido extraído y las capturas de la tienda analizada para generar la auditoría. Se trata del contenido público de la tienda, no de tus datos personales.
• Sentry: recibe los informes de error, y solo eso. Cuando algo falla en tu navegador o en nuestro servidor se envía el error con su traza técnica, la dirección de la página en la que ocurrió, el tipo de navegador y un rastro de las últimas acciones previas al fallo —qué pulsaste, a qué página navegaste, qué petición de red se lanzó— porque sin eso un error rara vez se puede reproducir. Ese rastro viaja únicamente adjunto a un error: si no falla nada, no se envía nada. No te identifica: no se le manda tu nombre, ni tu correo, ni el identificador de tu cuenta, ni tu dirección IP. Tampoco medimos con él cuánta gente visita el sitio ni cómo lo recorre; eso es lo que hace PostHog, y solo si lo aceptas.
• PostHog: analítica de producto, y solo si la aceptas en el aviso de cookies. Recibe tu comportamiento de navegación dentro de este sitio —qué páginas visitas, en qué orden, con qué tipo de navegador y dispositivo— y, si has iniciado sesión, también tu dirección de correo y tu nombre asociados al identificador de tu cuenta de Supabase. En cada sesión en la que la aceptas recibe además una grabación: una reconstrucción visual de tu paso por el sitio —movimientos, clics, desplazamiento y cambios de pantalla— que puede reproducirse después. Lo que escribes en cualquier campo de formulario se enmascara en tu propio navegador antes de enviarse, igual que tu correo allí donde la pantalla lo muestra como texto, así que no es legible en la grabación. Se aloja en la región europea de PostHog (eu.i.posthog.com), dentro de la Unión Europea. Si la rechazas, no se le envía nada en absoluto: ni analítica, ni grabación.

Transferencias fuera del EEE

Varios de los encargados anteriores operan infraestructura fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Cuando se transfieren datos personales allí, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea, o en una decisión de adecuación cuando exista alguna que cubra al destinatario. Puedes preguntarnos qué garantía se aplica a un encargado concreto en support@storeroaster.com.

Dos son la excepción, deliberadamente. PostHog está contratado en su región europea, y Sentry en la suya, con los servidores en Fráncfort (Alemania). Los datos de analítica y los informes de error no salen por tanto de la Unión Europea, y no hay en su caso transferencia internacional que amparar.

Cuánto tiempo los conservamos

• Datos de cuenta y de análisis: mientras exista tu cuenta, y se eliminan cuando nos pides cerrarla.
• Copia de lo que vio el análisis: 120 días desde el análisis, y después se elimina automáticamente. Cubre la garantía de devolución y el plazo habitual para reclamar un cargo.
• Tokens de acceso: se eliminan automáticamente siete días después de caducar. Dejan de ser utilizables mucho antes.
• Registro de acciones limitadas: 90 días; el de restablecer la contraseña, un día.
• Intentos de pago: mientras exista tu cuenta; si la cierras, dejan de estar vinculados a ella.
• Registros de facturación: se conservan durante el periodo que exige la normativa fiscal y contable española, que sobrevive a tu cuenta. Es la única categoría que no podemos eliminar a petición.
• Informes de error: se conservan según la ventana de retención propia de Sentry, en la Unión Europea, y no se usan para nada más.
• Datos de analítica: se conservan según la ventana de retención propia de PostHog. Solo existen si aceptaste la analítica, y puedes pedirnos su supresión igual que la del resto.

Cookies

Usamos las cookies necesarias para mantener tu sesión iniciada y, solo si lo aceptas, las de analítica de producto. Ninguna es de publicidad ni de rastreo entre sitios. Consulta la Política de Cookies para conocer las cookies concretas, qué recoge la analítica y cómo cambiar tu decisión.

Tus derechos

Tienes derecho a acceder, rectificar, suprimir, limitar y portar tus datos, y a oponerte al tratamiento basado en el interés legítimo. La página del RGPD explica cada derecho, cómo ejercerlo, cuánto tardamos y cómo reclamar ante una autoridad de control si no quedas satisfecho.

Cambios

Si esta política cambia de forma sustancial, actualizaremos la fecha de la parte superior de esta página y, cuando sea obligatorio, avisaremos por correo a los titulares de cuenta.