1. ¿Quién es responsable de sus datos?
El servicio Gestiway es proporcionado por Gestiway SAS (à compléter), Adresse du siège à compléter. En función de los datos involucrados, actuamos en dos capacidades distintas:
- Responsable de tratamiento para los datos de los cuentas de nuestros clientes (nombre, correo electrónico, registros de conexión), gestión de suscripciones y soporte.
- Sous-traitant (artículo 28 del RGPD) para los datos introducidos por nuestros clientes profesionales en su espacio: sus prospectos y clientes, eventos, presupuestos, contratos, facturas, correos electrónicos y reseñas. Cada prestataire es entonces responsable del tratamiento; actuamos únicamente bajo instrucciones suyas, en el marco del acuerdo de subcontratación.
¿Es usted cliente de un fotógrafo, un DJ o de otro proveedor de servicios que utiliza Gestiway? Dirija sus solicitudes de acceso o eliminación directamente a dicho proveedor: él es responsable del tratamiento de sus datos. Nosotros le asistimos en la respuesta.
Contact pour toute question relative à vos données : dpo@gestiway.example.
2. Datos que tratamos como responsable de tratamiento
- Cuenta: nombre, dirección de correo electrónico, contraseña (almacenada únicamente en forma de hash bcrypt), secreto de autenticación de dos factores (cifrado), rol y espacios vinculados.
- Empresa cliente: razón social, SIREN, dirección, número de IVA, plan suscrito y historial de suscripciones.
- Pago del suscriptor: procesado a través de Stripe; nosotros no recibimos ni almacenamos ningún número de tarjeta bancaria.
- Seguridad: registros de conexión y acciones sensibles (fecha, dirección IP, navegador), intentos de conexión fallidos.
- Intercambios: mensajes enviados al soporte.
3. Finalidades y bases legales
| Finalidad | Base jurídica |
|---|---|
| Crear y gestionar su cuenta, proporcionar el servicio | Ejecución del contrato (art. 6.1.b RGPD) |
| Facturar el abono, gestionar la contabilidad | Obligación legal (art. 6.1.c) y ejecución del contrato |
| Asegurar el servicio, prevenir la fraude y los abusos (registros, limitación de intentos) | Interés legítimo (art. 6.1.f) para proteger el servicio y tus datos |
| Responder a sus solicitudes de soporte | Ejecución del contrato |
| Medir visitas y clics en la vitrina con Google Analytics 4 | Consentimiento (art. 6.1.a), revocable en cualquier momento |
| Le informamos de actualizaciones importantes al servicio y a sus condiciones | Ejecución del contrato y interés legítimo |
No utilizamos sus datos para publicidad dirigida ni para perfilado, y nunca los vendemos.
4. Períodos de conservación
| Datos | Duración |
|---|---|
| Cuenta de usuario | Durant la relation contractuelle, puis suppression ou anonymisation au plus tard 3 ans après la fin de la relation |
| Facturas de suscripción y documentos contables | 10 años (artículo L123-22 del Código comercial) |
| Journaux de connexion et d'audit | Período de 12 meses deslizante |
| Sesión de conexión | Máximo de 30 días |
| Enlaces de restablecimiento y verificación | 1 hora (contraseña), 7 días (verificación de correo electrónico) |
| Datos de espacios eliminados | Borrado 30 días después de la solicitud; las copias de seguridad eliminadas según su ciclo de rotación |
Para los datos de sus propios clientes, nuestros usuarios fijan sus periodos de conservación. El servicio propone por defecto la anonimización automática de prospectos inactivos desde hace 36 meses, conforme a la recomendación de la CNIL (3 años después del último contacto emanado del prospecto).
5. Destinatarios y subcontratistas
Sus datos solo son accesibles a las personas autorizadas del editor, dentro del límite de sus atribuciones, y a nuestros subcontratistas técnicos (almacenamiento, correos, pagos), listados en la página Subcontratistas.
Cada espacio de empresa está aislado al nivel de la base de datos: un usuario nunca puede acceder a los datos de otra empresa.
6. Localización y transferencias
Los datos se almacenan en la Unión Europea. Cuando se acepta Google Analytics, Google puede procesar datos de navegación fuera de la UE, de acuerdo con las garantías aplicables descritas en nuestra política de cookies. Cuando un proveedor de pago (Stripe) pueda acceder a ciertos datos desde un país tercero, este traslado está regulado por las cláusulas contractuales tipo de la Comisión Europea o por el marco de protección de datos UE–Estados Unidos.
7. Seguridad
- Cifrado de comunicaciones (HTTPS) y encabezados de seguridad estrictos.
- Contraseñas cifradas (bcrypt), autenticación de dos factores opcional, bloqueo temporal tras múltiples intentos fallidos.
- Aislamiento de cada empresa mediante políticas de seguridad al nivel de las líneas (PostgreSQL RLS).
- Cifrado AES-256-GCM de secretos y enlaces reafichables, tokens públicos almacenados únicamente en forma de hashes.
- Journal de audit de acciones sensibles, copias de seguridad periódicas.
8. Sus derechos
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Para ejercer estos derechos, escriba a dpo@gestiway.example. Respondemos en el plazo de un mes. Podemos solicitar un justificante si existen dudas razonables sobre su identidad.
Puede también exportar sus datos desde sus ajustes y presentar una queja ante la CNIL: cnil.fr/fr/plaintes.
10. Evolución de esta política
Esta política puede evolucionar. En caso de modificaciones importantes, los usuarios son informados por correo electrónico o dentro de la aplicación.