Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de esta plataforma es InsurFlow (en adelante, "la plataforma"). Puedes contactar con nosotros en privacy@insurflow.es.

2. Datos que tratamos

• Datos de identificación y contacto del usuario (nombre, email, teléfono) facilitados durante el alta o incorporados por la correduría.
• Datos de clientes de la correduría cargados por el usuario (nombre, NIF, pólizas, documentos) tratados en calidad de encargado por cuenta del cliente corporativo (la correduría).
• Datos técnicos: IP, timestamps, identificadores de sesión y logs de auditoría necesarios para la seguridad del servicio.
• Conversaciones de WhatsApp Business: cuando la correduría conecta su número, recibimos y almacenamos los mensajes entrantes y salientes para automatización y trazabilidad.

3. Finalidades y base jurídica

• Ejecución del contrato (art. 6.1.b RGPD): prestar el servicio SaaS contratado por la correduría.
• Interés legítimo (art. 6.1.f RGPD): seguridad, prevención del fraude, auditoría y mejora del producto sobre agregados anonimizados.
• Obligación legal (art. 6.1.c RGPD): conservación fiscal, contable y mercantil cuando resulte aplicable.
• Consentimiento (art. 6.1.a RGPD): comunicaciones comerciales distintas del servicio y cookies no esenciales.

4. Encargo de tratamiento

Cuando la correduría utiliza la plataforma para gestionar datos de sus clientes, InsurFlow actúa como encargado del tratamiento en los términos del art. 28 RGPD. Firmamos con cada correduría un acuerdo de encargado (DPA) que regula las instrucciones, medidas de seguridad, subencargados autorizados y transferencias internacionales.

5. Subencargados

Utilizamos los siguientes subencargados, todos ellos bajo cláusulas contractuales tipo cuando aplique:

• Hetzner Online GmbH (Alemania) — alojamiento, bases de datos, almacenamiento de objetos y copias de seguridad.
• Meta Platforms Ireland Ltd. (Irlanda) — WhatsApp Business Cloud API para la mensajería.
• Stripe Payments Europe Ltd. (Irlanda) — pasarela de pago y suscripciones.
• Signaturit Solutions S.L. (España) — firma electrónica avanzada y cualificada.
• Mistral AI SAS (Francia) — modelos de lenguaje para la automatización. Los prompts viajan con datos del cliente únicamente cuando el flujo lo requiere y nunca se utilizan para entrenamiento.

6. Conservación

Conservamos los datos durante la vigencia del contrato y, tras su terminación, el plazo legal aplicable (6 años para obligaciones mercantiles y 10 años para la prevención del blanqueo de capitales cuando proceda). Pasado ese plazo, los datos se eliminan o se anonimizan irreversiblemente.

7. Seguridad

Aplicamos cifrado en tránsito (TLS 1.2+) y en reposo, control de acceso por roles, aislamiento por tenant a nivel de base de datos, registros de auditoría inmutables y copias de seguridad cifradas. Nuestros proveedores de infraestructura están certificados ISO 27001 y/o SOC 2 Type II.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiéndonos a privacy@insurflow.es. Si el tratamiento se realiza por cuenta de una correduría, te redirigiremos a ella como responsable. Tienes derecho a presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Cambios en esta política

Publicaremos cualquier cambio sustancial en esta página con al menos 30 días de antelación. La fecha al inicio refleja la última revisión.