Política de privacidad
Última actualización: 21 de octubre de 2026
Esta política explica cómo se tratan los datos personales en la web zacovi.es y en la plataforma ZACOVI (en adelante, «la Plataforma»), conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Responsable del tratamiento
- Responsable: Jonathan Josue Villalobos Coba, empresario individual (autónomo), con nombre comercial ZACOVI
- NIF: 05321939S
- Domicilio: Passatge Pla del Remei, 12, 08500 Vic (Barcelona), España
- Contacto para privacidad: privacidad@zacovi.es
No se ha designado delegado de protección de datos porque no es obligatorio para esta actividad (art. 37 RGPD y art. 34 LOPDGDD).
Dos papeles distintos
- Como responsable, el titular decide sobre los datos de las personas que usan la Plataforma (su equipo y los usuarios de sus clientes) y sobre los datos necesarios para la relación profesional con sus clientes. Esta política trata de esos datos.
- Como encargado del tratamiento, el titular solo guarda y muestra, por cuenta de cada cliente, los datos personales de terceros que el cliente decida subir (por ejemplo, datos de sus propios clientes o empleados dentro de archivos, mensajes o materiales). Esos datos se tratan según las instrucciones del cliente y el contrato de encargado del tratamiento que se firma con él; el responsable de ellos es el cliente.
2. A quién se aplica
- Clientes y sus usuarios: empresas y autónomos que contratan servicios al titular, y las personas que, por invitación, acceden al portal del cliente en su nombre.
- Equipo: personas que trabajan con el titular y tienen una cuenta en la Plataforma (empleados o colaboradores, cuando los haya).
- Contactos: personas que escriben a los correos de ZACOVI.
La Plataforma es solo para uso profesional y no está dirigida a menores de 18 años.
3. Qué datos se tratan, para qué y con qué base
| Finalidad | Datos | Base legal |
|---|---|---|
| Crear y gestionar las cuentas (acceso solo por invitación, inicio de sesión, recuperación de contraseña, roles y permisos) | Email, contraseña (guardada cifrada por el proveedor de autenticación; el titular nunca la ve), rol, organización o cliente al que da acceso, fechas de alta y acceso | Ejecución del contrato o de las medidas precontractuales con el cliente, y relación con el equipo (art. 6.1.b RGPD); para los usuarios que actúan en nombre de un cliente, el interés legítimo de prestarle el servicio (art. 6.1.f) |
| Gestionar la relación con los clientes y sus proyectos | Nombre de la empresa o del autónomo, persona de contacto, email, teléfono y notas; proyectos, tareas, revisiones, solicitudes de cambios, mensajes y archivos | Ejecución del contrato (art. 6.1.b) |
| Dejar constancia de las aprobaciones de entregas | Quién aprueba, su email, fecha y hora del servidor, versión aprobada, archivos mostrados y el texto aceptado (no se guarda IP ni navegador) | Interés legítimo de poder acreditar lo aprobado (art. 6.1.f) |
| Mostrar servicios y pagos y compartir documentos económicos (facturas emitidas fuera de la Plataforma) | Servicios, cuotas, importes, estado de los pagos y documentos compartidos | Ejecución del contrato (art. 6.1.b) y obligaciones fiscales y contables (art. 6.1.c) |
| Enviar correos del servicio (invitaciones, nueva versión para revisar, recordatorio, aprobación registrada, mensajes nuevos, confirmación de cuenta y recuperación de contraseña) | Email del destinatario y los datos mínimos del aviso (organización, proyecto público, enlace). Nunca el texto de los mensajes ni los archivos | Ejecución del contrato (art. 6.1.b) |
| Gestionar el equipo | Nombre, apellidos, email, teléfono, puesto y notas | Relación laboral o de colaboración (art. 6.1.b) |
| Seguridad de la Plataforma (control de accesos, límites contra abuso, antivirus de archivos, registros técnicos, copias de seguridad) | Dirección IP y datos técnicos de la conexión; registro de actividad (quién hizo qué y cuándo); huellas cifradas (HMAC) de email e IP para los límites de intentos; resultado del análisis antivirus | Interés legítimo en proteger la Plataforma y los datos (art. 6.1.f y considerando 49) |
| Atender consultas y el ejercicio de derechos | Lo que nos envíes | Interés legítimo y obligación legal (art. 6.1.c y 6.1.f) |
No se toman decisiones automatizadas con efectos jurídicos ni se elaboran perfiles. No se usan los datos con fines publicitarios y no se envían comunicaciones comerciales desde la Plataforma.
4. Destinatarios y proveedores
Los datos no se ceden a terceros salvo obligación legal. Para prestar el servicio se usan estos proveedores, que actúan como encargados del tratamiento con su correspondiente contrato:
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Hetzner Online GmbH (Alemania) | Servidor de la aplicación y almacenamiento de las copias de seguridad | Alemania (UE) |
| Supabase, Inc. (EE. UU.) | Base de datos, autenticación y almacenamiento de archivos | Fráncfort, Alemania (UE) |
| OVH SAS (Francia) | Correo electrónico (buzón y envío de los correos de la Plataforma) y dominio | UE |
| Resend (Plus Five Five, Inc., EE. UU.) | Envío de los correos de cuenta (confirmación y recuperación de contraseña) | Región de la UE (Irlanda) |
Transferencias internacionales: los datos se alojan en la UE. Supabase y Resend son empresas de EE. UU.; si su personal o sus sistemas acceden a los datos desde fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incluidas en sus acuerdos de tratamiento, con medidas adicionales como el cifrado y el control de accesos.
5. Cuánto tiempo se conservan
| Datos | Plazo |
|---|---|
| Cuenta de usuario | Mientras tenga acceso. Al retirarse el acceso, se suprime en un plazo máximo de 30 días, salvo lo que deba conservarse por otro motivo de esta tabla |
| Datos de clientes y proyectos (incluidos mensajes y archivos) | Mientras dure la relación y, después, 1 año para resolver incidencias, salvo que el cliente pida antes su supresión |
| Constancia de aprobaciones | Mientras dure el proyecto y, después, hasta 5 años (plazo general de prescripción de acciones, art. 1964 del Código Civil) |
| Documentos económicos y datos de pagos | 6 años (art. 30 del Código de Comercio) y lo exigido por la normativa fiscal |
| Intentos de envío de correo y registros de límites de uso | 30 días |
| Registros técnicos del servidor | Rotación automática; como máximo 30 días |
| Registro de actividad | 2 años |
| Notificaciones internas | 1 año |
| Copias de seguridad | Hasta unos 3 meses (7 diarias, 4 semanales y 3 mensuales); un dato suprimido desaparece de las copias cuando caducan |
6. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar un consentimiento si lo hubieras dado, escribiendo a privacidad@zacovi.es e indicando qué derecho ejerces. Se responderá en el plazo de un mes (art. 12 RGPD). Si fuera necesario para comprobar tu identidad, se podrá pedir información adicional.
Si los datos fueron subidos por un cliente del titular (como encargado), se trasladará tu solicitud a ese cliente, que es el responsable.
Si consideras que tus derechos no se han respetado, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Seguridad
Se aplican medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas:
- conexiones cifradas (HTTPS/TLS) y envío de correos con cifrado y autenticación del dominio (SPF, DKIM y DMARC);
- acceso solo por invitación, contraseñas cifradas, límites de intentos de inicio de sesión y permisos por rol;
- separación de los datos de cada organización y de cada cliente en la propia base de datos;
- archivos en almacenamiento privado, entregados solo tras comprobar los permisos y analizados con antivirus antes de poder abrirse;
- copias de seguridad diarias cifradas en un almacenamiento separado dentro de la UE, con pruebas de restauración;
- servidor protegido (acceso por clave, cortafuegos, actualizaciones de seguridad automáticas, procesos aislados) y registros sin contraseñas ni enlaces de acceso.
8. Cambios
Esta política se actualizará si cambia el tratamiento de los datos. La versión vigente estará siempre publicada en la Plataforma, con su fecha.