Política de privacidad de Dropfly

Versión preliminar 0.9 · Vigente desde el 29 de septiembre de 2026.

Pendiente de revisión legal. Si la revisión cambia algo importante, te avisaremos antes de que aplique.

1. Quién es el responsable

1.1. El responsable del tratamiento de los datos descritos en esta política es Dropfly (dropfly.online, "Dropfly"). Publicaremos la razón social y el domicilio de la entidad que presta el Servicio en cuanto esté constituida.

1.2. Contacto para privacidad y soporte: soporte@dropfly.online.

1.3. Dos papeles distintos:

• Para los datos de nuestros usuarios (comerciantes y sus equipos), de la lista de espera y de los visitantes del sitio, Dropfly es responsable.
• Para los datos de los clientes finales de cada comerciante (compradores, destinatarios, contactos de WhatsApp), el comerciante es el responsable y Dropfly actúa como encargado del tratamiento, siguiendo sus instrucciones según el Anexo de tratamiento de datos (DPA). Si eres cliente de una tienda que usa Dropfly, dirige tus solicitudes primero a esa tienda; nosotros la ayudaremos a atenderlas.

2. Qué datos tratamos

No pedimos datos sensibles (salud, religión, etc.). Si un cliente final los incluye en un chat, se tratan como el resto del contenido y según las instrucciones del comerciante.

3. De dónde obtenemos los datos

• De ti, al registrarte, apuntarte a la lista de espera, configurar tu tienda o escribir a soporte.
• Automáticamente, al usar el Servicio (logs, cookies necesarias).
• De terceros que conectas: Shopify (datos de tu tienda y clientes), Meta/WhatsApp (mensajes entrantes y estados), Google (si inicias sesión con Google), transportadoras y el procesador de pagos (estado del pago).

4. Para qué los usamos y con qué base legal

No vendemos datos personales ni los usamos para publicidad de terceros. No entrenamos modelos de IA propios con los datos del comerciante ni de sus clientes.

5. Con quién los compartimos

5.1. Con proveedores (subprocesadores) que nos ayudan a prestar el Servicio: alojamiento, base de datos, almacenamiento de archivos, email, mensajería, y pagos. La lista actualizada está en Subprocesadores.

5.2. Con servicios que el comerciante conecta y elige: Shopify, Meta/WhatsApp, transportadoras y el proveedor de IA que configure con su propia clave (Anthropic, OpenAI, Google o DeepSeek). Estos servicios tratan los datos según sus propias políticas y la relación con el comerciante.

5.3. Con autoridades, cuando la ley lo exija y tras verificar la validez de la solicitud.

5.4. En caso de reorganización, fusión o venta del negocio, con el sucesor, que quedará obligado por esta política.

6. Transferencias internacionales

6.1. Nuestra infraestructura principal está en la Unión Europea: servidor en Francia (Contabo) y base de datos en Frankfurt, Alemania (Neon sobre AWS eu-central-1).

6.2. Algunos proveedores tratan datos en Estados Unidos u otros países (por ejemplo Resend, Meta, Shopify, Google, Cloudflare y los proveedores de IA estadounidenses).

6.3. Si el comerciante elige DeepSeek como proveedor de IA, el historial de las conversaciones se transfiere a China.

6.4. Aplicamos garantías adecuadas cuando la ley las exige: cláusulas contractuales tipo o acuerdos de tratamiento de datos con los proveedores, cifrado en tránsito y minimización de los datos enviados.

7. Cuánto tiempo guardamos los datos

Al vencer el plazo, los datos se borran o se anonimizan.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables, entre ellas:

• cifrado en tránsito (HTTPS/TLS) y conexión cifrada con la base de datos;
• contraseñas con hash argon2id y verificación en dos pasos opcional;
• credenciales de integraciones cifradas en reposo con AES-256-GCM;
• aislamiento entre tiendas en la base de datos (Row-Level Security) y un rol de base de datos con los permisos mínimos;
• control de acceso por roles dentro de cada tienda;
• archivos de chat en almacenamiento privado, accesibles solo con enlaces firmados de corta duración;
• copias de seguridad y un procedimiento de respuesta a incidentes.

Ningún sistema es 100 % seguro. Si ocurre una filtración que te afecte, te avisaremos según la ley aplicable.

9. Tus derechos

9.1. Según la ley de tu país, puedes tener derecho a:

• acceder a tus datos;
• rectificarlos si son inexactos;
• borrarlos (supresión o cancelación);
• portarlos en un formato estructurado;
• oponerte o limitar ciertos tratamientos (por ejemplo, marketing);
• retirar tu consentimiento cuando esa sea la base legal, sin afectar lo tratado antes;
• presentar una queja ante la autoridad de protección de datos.

9.2. Cómo ejercerlos: escribe a soporte@dropfly.online desde el email de tu cuenta, o usa las opciones de la aplicación cuando existan. Las instrucciones para borrar tus datos están en Eliminación de datos. Podemos pedirte verificar tu identidad. Responderemos en un plazo máximo de 15 días hábiles, o el menor que exija tu ley.

9.3. Borrado de cuenta: al pedirlo, desactivamos la cuenta, abrimos un periodo de gracia de 30 días para exportar o arrepentirte y luego borramos los datos (las copias de seguridad se eliminan en su rotación).

9.4. Clientes finales: si eres cliente de una tienda que usa Dropfly, contacta con esa tienda. Si nos escribes a nosotros, reenviaremos tu solicitud al comerciante y le ayudaremos a responder. Para dejar de recibir mensajes de WhatsApp de una tienda, responde "BAJA", "STOP" o "PARAR".

10. Menores de edad

El Servicio es para empresas y personas mayores de 18 años. No recogemos a sabiendas datos de menores como usuarios. Si crees que un menor nos dio sus datos, escríbenos y los borraremos.

11. Cambios en esta política

Publicaremos cada nueva versión con su fecha y número. Si el cambio es relevante, te avisaremos por email o en la aplicación con antelación razonable y, cuando la ley lo exija, pediremos de nuevo tu consentimiento.

12. Notas por país

Dropfly se dirige a comercios de América Latina (Centroamérica, Caribe hispano, Sudamérica, México y Brasil). No se dirige a EE. UU. ni Canadá. La tabla resume, a modo informativo, la norma principal de cada país; siempre aplican también las normas imperativas de tu país.