Política de privacidad

Esta página es una traducción. El texto original es la versión en inglés: wexlo.eu/privacy.

Nombre comercial

Wexlo

Empresa

Rybier Consulting

Dirección

President Allendelaan 263
1068 VM Amsterdam

Número KvK

66637694

NIF-IVA

NL001677588B25

Contacto

hello@wexlo.eu

Somos el responsable del tratamiento descrito en esta página.

• Recogemos lo mínimo necesario para escanear sitios web, entregar informes y facturar, y del escaneo automatizado deliberadamente no almacenamos capturas de pantalla ni HTML de las páginas escaneadas. Solo una evaluación manual conserva capturas de pantalla, como prueba de las incidencias.
• Nuestra infraestructura funciona en la UE. Un paso de la cadena de elaboración de los informes (la generación de texto con IA) se realiza actualmente a través de un proveedor de Estados Unidos; lo decimos abiertamente más abajo en lugar de ocultarlo.
• Sin cookies publicitarias, sin seguimiento entre sitios, sin necesidad de banner de cookies. Una cookie de sesión funcional al iniciar sesión, y analítica sin cookies.
• Puede darse de baja de cualquier correo electrónico con un clic y solicitar la supresión de sus datos en cualquier momento.

• Escaneo gratuito. Usted nos indica la URL de un sitio web y su propia dirección de correo electrónico. Escaneamos la página de acceso público, almacenamos las incidencias y le enviamos los resultados por correo electrónico. Solo le enviamos correos de seguimiento sobre el producto completo (hasta cuatro) si marca la casilla correspondiente en el formulario. Cada correo de seguimiento contiene un enlace para darse de baja; un clic detiene de inmediato todos los correos de seguimiento posteriores. Base jurídica de los correos de seguimiento: su consentimiento (art. 6.1.a) del RGPD), que puede retirar en cualquier momento; la retirada no afecta a la licitud del tratamiento anterior a ella.
• Resultados del escaneo. Solo almacenamos incidencias estructuradas: la regla, el criterio de conformidad de las WCAG, la gravedad y un selector CSS. Del escaneo automatizado deliberadamente no almacenamos capturas de pantalla ni fragmentos HTML de las páginas escaneadas, de modo que los datos personales que puedan aparecer en esas páginas no acaben en nuestra base de datos.
• Cuentas de cliente y pedidos. Cuando contrata una suscripción, almacenamos el nombre de su empresa, su dirección de correo electrónico de contacto, su NIF-IVA, su país y los dominios que ha registrado, para realizar sus escaneos y facturarle. Base jurídica: ejecución del contrato (art. 6.1.b)) y obligaciones legales (fiscales) relativas a las facturas (art. 6.1.c)).
• Informes. Sus informes de escaneo y archivos PDF se conservan para que pueda descargarlos en su portal. Base jurídica: ejecución del contrato.
• Pruebas de una evaluación manual. Cuando uno de nuestros evaluadores revisa páginas a mano, tomamos capturas de pantalla de ellas, incluida una por cada paso de la navegación con el teclado, y conservamos los datos de medición en bruto. Eso nos permite fundamentar una incidencia y entregar el conjunto completo si se solicita, a usted o a la agencia que realiza la corrección. Las capturas muestran la página tal como la ve un visitante sin iniciar sesión; por tanto, los datos personales visibles en la propia página también aparecen en la captura. Conservamos este material durante 12 meses como máximo desde la fecha de la medición. Base jurídica: ejecución del contrato y, en el caso de una evaluación gratuita, nuestro interés legítimo en poder fundamentar lo que comunicamos.
• Pagos y facturación. Los pagos se realizan a través de Mollie; nunca vemos ni almacenamos sus datos de pago completos. Las facturas se emiten en nuestro sistema de contabilidad (Jortt) con el nombre, la dirección y el NIF-IVA de su empresa, tal como exige la normativa fiscal.
• Registro de pedidos y de aceptación. En el proceso de compra registramos qué versión de nuestras condiciones aceptó, cuándo, y la dirección IP y las características del navegador (user agent) de la solicitud. Lo usamos únicamente para prevenir el fraude y para fundamentar o rebatir disputas de pago (contracargos). Base jurídica: interés legítimo (art. 6.1.f): prevención del fraude y reclamaciones legales).
• Cómo nos encontró. Si llega a través de un enlace de campaña, registramos los parámetros de la campaña (etiquetas UTM) y la página de referencia junto con su solicitud o su pedido. Estos datos se obtienen de la dirección de la página; no intervienen cookies ni seguimiento entre sitios. Base jurídica: interés legítimo (medir qué canales funcionan).
• Inicio de sesión en el portal de clientes. Usamos enlaces de inicio de sesión de un solo uso enviados a su dirección de correo electrónico y una cookie de sesión funcional. No almacenamos contraseñas de clientes: no ofrecemos inicio de sesión con contraseña. De forma opcional, puede iniciar sesión con su cuenta de Google. La pantalla de consentimiento de Google muestra lo que se comparte en ese proceso: su nombre, su foto de perfil y su dirección de correo electrónico. Solo almacenamos el nombre y la dirección de correo electrónico; la foto se descarta al recibirla y no se almacena en nuestra base de datos. No pedimos nada más: ni contactos, ni calendario, ni archivos, ni ningún otro acceso a su cuenta de Google. El intento de inicio de sesión se vincula a la cuenta ya asociada a esa dirección de correo electrónico. Google, como responsable independiente, trata el propio intento de inicio de sesión con arreglo a su propia política de privacidad y, por tanto, sabe que en ese momento usted está iniciando sesión con nosotros. Si prefiere no hacerlo así, use en su lugar el enlace de inicio de sesión; esa opción sigue disponible en todo momento. Base jurídica: ejecución del contrato.
• Prevención de abusos. Limitamos el número de solicitudes por dirección IP (rate limiting). Estos contadores técnicos caducan automáticamente y solo se usan para mantener el servicio disponible. Base jurídica: interés legítimo.
• Correspondencia de asistencia. Si nos escribe o hace una pregunta a través del portal, conservamos esa conversación: su dirección de correo electrónico, los propios mensajes y cuándo se enviaron. La usamos únicamente para responderle y para poder consultarla si más adelante vuelve a plantearnos la misma pregunta. Conservamos las conversaciones de asistencia durante un máximo de 24 meses desde el último mensaje y después las eliminamos. Base jurídica: nuestro interés legítimo en responder a quienes se ponen en contacto con nosotros, y la ejecución del contrato si usted es cliente.
• Contactos profesionales. Si nos dirigimos a su organización en relación con Wexlo (prospección comercial entre empresas), tratamos datos de contacto profesionales procedentes de fuentes públicas, como el sitio web de su empresa, e incidencias de un escaneo de sus páginas web públicas. Base jurídica: interés legítimo (mercadotecnia directa dirigida a empresas, dentro de las normas de cada país sobre los canales). Puede oponerse en cualquier momento escribiendo a hello@wexlo.eu; en ese caso, dejamos de hacerlo de inmediato.
• Boletín. Si se suscribe a nuestro boletín, almacenamos su dirección de correo electrónico, su idioma, dónde se suscribió y cuándo lo confirmó. Base jurídica: su consentimiento. Primero le enviamos un correo de confirmación; si no confirma, eliminamos su dirección al cabo de 30 días. Puede darse de baja mediante el enlace de cada correo; 30 días después de darse de baja anonimizamos sus datos. Para el envío usamos Mailjet, un encargado del tratamiento en la UE.

Escanear una página implica necesariamente que nuestro escáner la carga brevemente, incluido todo lo que es visible en ella. Por diseño, del escaneo automatizado no conservamos casi nada: ni capturas de pantalla, ni HTML, ni el texto corrido de la página; solo las incidencias estructuradas descritas arriba, que pueden incluir una cita breve del elemento evaluado. Conservar no es lo mismo que enviar: durante la ejecución, el paso de evaluación con IA sí envía fragmentos acotados de la página, tal como se expone más abajo en la sección sobre transferencias. Esta es nuestra principal salvaguarda contra la recogida de datos personales de las personas que aparecen en los sitios web escaneados.

Para su cuenta, sus pedidos, sus facturas y este sitio web, somos el responsable del tratamiento. Cuando escaneamos los sitios web que indica en el marco de una suscripción de pago, actuamos como su encargado del tratamiento respecto de los datos personales que aparezcan en esas páginas: usted decide qué escaneamos, y nosotros los tratamos únicamente para elaborar sus informes. Ese tratamiento se rige por nuestro contrato de encargo de tratamiento (DPA), que forma parte de nuestras condiciones: no hace falta una firma aparte.

Las incidencias del escaneo se resumen en informes en lenguaje claro mediante un modelo de IA de Anthropic (Claude) y, en los escaneos de pago, ese mismo modelo evalúa cinco criterios de conformidad de las WCAG relativos al texto. Para el texto del informe solo enviamos las incidencias estructuradas. Para la evaluación se envían además fragmentos acotados de la página escaneada: el título, los encabezados, el texto alternativo de las imágenes, el texto de los enlaces, un breve fragmento del texto que rodea cada elemento y las frases con instrucciones basadas en características sensoriales. Con estas llamadas a la IA no se envían datos de la cuenta. Los fragmentos enviados no se almacenan; sí conservamos las incidencias estructuradas que resultan de ellos, que pueden incluir una cita breve del elemento evaluado. Según nuestro contrato de API, Anthropic no usa estos datos para entrenar sus modelos. Anthropic es un proveedor de Estados Unidos; consulte más abajo la sección sobre transferencias. No usamos la IA para tomar decisiones automatizadas sobre usted que produzcan efectos jurídicos o le afecten significativamente de modo similar (artículo 22 del RGPD): el escaneo analiza sitios web, no personas.

Si se ha activado el análisis de imágenes (una función opcional, desactivada por defecto), en los escaneos de pago también enviamos a Anthropic las imágenes significativas de las páginas escaneadas, su texto alternativo y un breve extracto del texto de la página que las rodea, únicamente para evaluar la accesibilidad de esas imágenes. Las imágenes se usan solo para realizar el análisis y, por regla general, Anthropic las elimina en un plazo de 30 días (más tiempo solo cuando sea necesario para prevenir abusos o por obligaciones legales); nunca se usan para entrenar modelos de IA. La transferencia a Estados Unidos se realiza sobre la base de las cláusulas contractuales tipo aprobadas por la Comisión Europea (consulte más abajo la sección sobre transferencias), y Wexlo no conserva copias de las imágenes. Sin este consentimiento expreso no se envía ninguna imagen. Dónde da ese consentimiento depende de lo que compre: en un pedido puntual hay en el proceso de compra una casilla opcional, desmarcada por defecto, y en una suscripción es el titular de la cuenta quien toma esa decisión en el portal, al configurar un dominio y solicitar un escaneo. Puede retirarlo en cualquier momento: en una suscripción, el titular de la cuenta vuelve a desactivar el ajuste en el portal, y en un pedido puntual nos escribe a hello@wexlo.eu. La retirada se aplica a lo que venga después, no a un escaneo que ya se haya realizado. Base jurídica: consentimiento.

• Scalingo: alojamiento de la aplicación (UE)
• Fly.io: alojamiento del escáner, del CRM y de la analítica (datos de contacto de posibles clientes y de clientes; estadísticas de visitas) (región de la UE; empresa estadounidense)
• Neon: base de datos (región de la UE; empresa estadounidense)
• Cloudflare: almacenamiento de informes y pruebas (R2, jurisdicción de la UE), DNS y cortafuegos (empresa estadounidense)
• Upstash: limitación de solicitudes y cola de tareas (región de la UE; empresa estadounidense)
• Mailjet: envío de correo electrónico (UE; grupo Sinch)
• Resend: envío de correo electrónico de reserva, solo cuando falla Mailjet (UE; empresa estadounidense)
• Google (Workspace): nuestro buzón de atención al cliente, por lo que todo correo que nos envíe pasa por él y se queda allí (región de la UE; empresa estadounidense)
• Mollie: procesamiento de pagos (UE)
• Jortt: facturación y contabilidad (UE)
• vatverify.dev: validación del NIF-IVA (solo recibe el número de IVA que usted introduce)
• Anthropic: texto de los informes con IA, evaluación con IA del texto de las páginas y, solo si el titular de la cuenta activa el análisis de imágenes, imágenes de las páginas (Estados Unidos; nuestro contrato de API recoge que estos datos no se usan para entrenar modelos)
• Sentry: supervisión de errores (región con residencia de datos en la UE)

Plausible no figura en esta lista porque no le llega nada. Plausible es software de código abierto que instalamos y gestionamos en nuestros propios servidores en la UE; la empresa que lo desarrolla no recibe ningún dato sobre su visita. El proveedor de esos servidores (Fly.io) figura más arriba.

También medimos qué páginas se visitan dentro de su entorno con la sesión iniciada. Lo hacemos del mismo modo sin cookies, con una medida adicional que el sitio público no necesita. Las direcciones del portal pueden contener un identificador, por ejemplo de un dominio, de una consulta de asistencia o de una invitación. Eliminamos ese identificador antes de registrar nada: nuestras estadísticas solo muestran que se visitó una página de ajustes, nunca a qué dominio o a qué consulta se refería. Medimos que se visitó una página, no quién estuvo allí.

Solo compartimos datos personales con estas partes para los fines indicados arriba, al amparo de los acuerdos que la ley exige para cada una de ellas: un contrato de encargo de tratamiento cuando la parte actúa como nuestro encargado del tratamiento. Nunca vendemos datos personales. Si decide iniciar sesión con Google, se autentica ante la propia Google, y Google es responsable independiente de su propio tratamiento, no nuestro encargado del tratamiento. De ese inicio de sesión solo conservamos su nombre y su dirección de correo electrónico. La misma lista, con las funciones de encargado detalladas, forma parte de nuestro DPA.

Nuestra infraestructura está alojada en la UE: la aplicación, el escáner, la base de datos, el almacenamiento, la cola, el correo electrónico, los pagos y la facturación funcionan en regiones de la UE. Hay dos salvedades que exponemos con franqueza. En primer lugar, el texto de nuestros informes se genera actualmente con IA a través de la API de Anthropic en Estados Unidos; esa transferencia está cubierta por las cláusulas contractuales tipo de la UE, y la limitamos: el paso del informe solo envía incidencias estructuradas, y el paso de evaluación envía fragmentos acotados de la página escaneada en lugar de la página completa. Los datos de su cuenta no se incluyen en ninguno de los dos. En segundo lugar, algunos de nuestros proveedores con región en la UE (Neon, Fly.io, Cloudflare, Upstash, Google, Resend) son empresas estadounidenses; los datos de usted permanecen en sus regiones de la UE, pero esas empresas, al ser estadounidenses, pueden estar sujetas a la legislación de Estados Unidos. Cuando sí se produce una transferencia a Estados Unidos, se basa en el Marco de Privacidad de Datos entre la UE y EE. UU. para las entidades certificadas en virtud de él y, en los demás casos, en las cláusulas contractuales tipo de la UE. Puede solicitar una copia de las cláusulas contractuales tipo aplicadas escribiendo a hello@wexlo.eu; las propias cláusulas contractuales tipo están publicadas en el sitio web de la Comisión Europea. Si desea el panorama completo y preciso, la lista de subencargados de arriba nombra a cada parte e indica su ubicación.

• Pedidos, facturas y registros de aceptación: 7 años, el plazo legal de conservación de la documentación financiera en los Países Bajos.
• Datos de la cuenta de cliente: mientras exista su cuenta. Ante una solicitud de supresión, eliminamos o anonimizamos todo excepto lo que la normativa fiscal nos obliga a conservar.
• Resultados e informes de escaneos de pago: mientras exista su cuenta o hasta que nos pida que los eliminemos.
• Pruebas de una evaluación manual (capturas de pantalla y datos de medición en bruto): como máximo 12 meses desde la fecha de la medición; después se eliminan automáticamente. Si nos pide que las eliminemos antes, lo haremos.
• Datos del escaneo gratuito (dirección de correo electrónico y resultados): hasta que se dé de baja o nos pida que los eliminemos, y como máximo 12 meses desde su último escaneo. Después de que se dé de baja, solo conservamos lo necesario para garantizar que se respete su baja.
• Conversaciones de asistencia: como máximo 24 meses desde el último mensaje. Las conversaciones que siguen abiertas no se eliminan solo por su antigüedad.
• Registros de seguridad y de auditoría: como máximo 24 meses, salvo que un incidente de seguridad en curso o un litigio exijan más tiempo.
• Contadores de limitación de solicitudes: caducan automáticamente en unas pocas horas.
• Enlaces de inicio de sesión: de un solo uso, válidos durante 15 minutos y eliminados automáticamente.

Instalamos exactamente una cookie: una cookie de sesión funcional en el portal de clientes, que se instala en el momento en que inicia sesión y le mantiene con la sesión iniciada. Ningún otro elemento de este sitio instala cookies. Nuestra analítica no almacena absolutamente nada en su dispositivo, ni cookies ni almacenamiento local (consulte Analítica más abajo), y no usamos cookies publicitarias ni de seguimiento. Por ese motivo no mostramos un banner de cookies.

Usamos Plausible Analytics para ver cómo se utilizan nuestras páginas de marketing. Lo gestionamos nosotros mismos: es software de código abierto alojado en nuestros propios servidores en la UE, servido desde analytics.wexlo.eu, por lo que su visita nunca llega a la empresa que desarrolla Plausible.

Además de las páginas vistas, registramos un pequeño número de eventos de interacción anónimos (que se inició un escaneo, que se completó un pedido, que se envió un formulario de contacto) para ver dónde encuentran dificultades los visitantes. Esos eventos no contienen datos personales: ni dirección de correo electrónico, ni sitio web escaneado, ni detalles del pedido.

Nuestra analítica no almacena nada en su dispositivo: ni cookies, ni almacenamiento local. La única cookie que instalamos en cualquier parte es una cookie de sesión funcional en el portal de clientes, y solo cuando inicia sesión (consulte Cookies más arriba). Para poder distinguir las visitas repetidas dentro de un mismo día, el software calcula un hash a partir de su dirección IP, su navegador y la fecha, con una clave que se destruye y se sustituye cada 24 horas. Su dirección IP en sí nunca se almacena, y una vez desaparecida esa clave, el hash ya no puede vincularse a usted ni relacionarse con sus visitas del día siguiente.

Como nuestra analítica no almacena ni lee nada en su dispositivo (artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas; artículo 11.7a de la Ley de Telecomunicaciones neerlandesa), no pedimos consentimiento para ella. Base jurídica del análisis en sí: interés legítimo (art. 6.1.f) del RGPD) en entender cómo funciona nuestro propio sitio.

Todo el tráfico se cifra en tránsito (TLS, aplicado mediante HSTS) y los datos se cifran en reposo en nuestros proveedores de base de datos y de almacenamiento. Por diseño reducimos al mínimo lo que recogemos, usamos enlaces de inicio de sesión de un solo uso en lugar de contraseñas, restringimos el acceso interno según el principio de mínimo privilegio y registramos los eventos relevantes para la seguridad. Ningún sistema es perfectamente seguro; si alguna vez una violación de la seguridad de los datos personales afecta a sus derechos, les informaremos a usted y a la autoridad de control, tal como exige el RGPD.

Tiene derecho a acceder a sus datos personales, a rectificarlos, a suprimirlos y a recibir una copia de ellos (portabilidad), a limitar su tratamiento y a oponerse a él, y puede retirar su consentimiento en cualquier momento sin que ello afecte al tratamiento realizado antes de la retirada. Los clientes pueden solicitar la supresión directamente desde el portal; cualquier persona puede escribir a hello@wexlo.eu. Respondemos en el plazo de un mes. También puede presentar una reclamación ante la Autoridad neerlandesa de Protección de Datos (autoriteitpersoonsgegevens.nl) o ante la autoridad de control de su propio país de la UE.

Si esta política cambia, actualizamos esta página y la fecha que figura arriba; en caso de cambios sustanciales, informamos a los clientes por correo electrónico. La versión vigente está siempre en https://wexlo.eu/nl/privacy.