Última actualización: 28 de agosto de 2026
Política de Privacidad
En ScalePath (operado por SCALE PATH) nos comprometemos a proteger tu privacidad y tus datos personales. Esta política explica qué datos recopilamos, con qué finalidad, cómo los tratamos y cuáles son tus derechos conforme al Reglamento General de Protección de Datos (RGPD) de la UE.
1. Responsable del Tratamiento
El responsable del tratamiento de tus datos es:
- Razón social: SCALE PATH
- Producto: ScalePath (scalepath.app)
- Email de contacto: scalepathapp@gmail.com
2. Datos que Recopilamos
2.1 Datos de cuenta y autenticación
- Dirección de correo electrónico
- Nombre y apellidos (si los proporcionas)
- Contraseña gestionada de forma segura por Supabase Auth
- Identificador de usuario único (UID)
2.2 Datos del workspace y negocio
- Nombre del workspace y configuraciones
- Miembros del equipo y sus roles
- Plan de suscripción contratado
2.3 Datos de contactos y leads
- Nombre, teléfono y correo de los contactos que importas o que te contactan vía WhatsApp / Instagram
- Historial de conversaciones y mensajes
- Etiquetas, estado del lead y puntuación de lead (lead score)
- Notas y datos adicionales que añadas manualmente
2.4 Datos de integraciones con Meta (WhatsApp / Instagram)
- Tokens de acceso de WhatsApp Business API e Instagram Graph API (almacenados cifrados)
- Identificadores de cuenta de WhatsApp Business (WABA) y página de Instagram
- Mensajes entrantes y salientes de tus clientes
2.5 Datos de facturación y pagos
- Email de facturación y país
- Datos fiscales de clientes y del workspace (razón social, identificador fiscal y domicilio de facturación)
- Los datos de tarjeta de crédito nunca son almacenados por nosotros; son procesados directamente por Stripe, Inc.
- Historial de suscripciones y facturas (referencias de Stripe)
- Presupuestos, facturas, transacciones e importes financieros registrados en tu workspace
- Datos fiscales y de pago cifrados de miembros, reglas de retribución e informes internos de liquidación
2.6 Datos de campañas de email
- Listas de destinatarios y sus correos
- Plantillas y contenido de emails
- Métricas de campañas: aperturas, clics, rebotes. Se asigna un identificador único por email enviado a través de Resend para poder rastrear eventos de entrega, apertura y clic a nivel de campaña.
2.7 Datos de uso y técnicos
- Dirección IP y tipo de dispositivo/navegador (logs de servidor)
- Páginas visitadas y acciones dentro de la plataforma
- Timestamps de inicio de sesión y actividad
2.8 Datos de IA
- Consultas enviadas al asistente ORYX (almacenadas temporalmente para generar la respuesta; no se usan para entrenar modelos)
- Clasificaciones automáticas de leads generadas por IA (intent, sentimiento, urgencia)
2.9 Activación y datos de ejemplo
- Respuestas opcionales del onboarding (sector, modelo de negocio, objetivo, tamaño de equipo y canales elegidos)
- Progreso de configuración y eventos mínimos de activación para medir si el producto ayuda a alcanzar el primer resultado
- Los datos de ejemplo se identifican en una carga separada, no se usan para entrenar IA y pueden eliminarse en cualquier momento con un solo clic
2.10 Check-ins opcionales del negocio
- Métricas que confirmas o corriges, como ingresos, reuniones, leads nuevos y valoración de la jornada
- Reflexiones breves que decides escribir y la instantánea de métricas del CRM usada para precargar la respuesta
- El histórico es privado para su autor, se puede exportar o borrar y no se envía a proveedores de IA salvo consentimiento explícito y revocable
3. Finalidad y Base Jurídica del Tratamiento
| Finalidad | Base jurídica (RGPD Art. 6) |
|---|---|
| Prestación del servicio y gestión de cuenta | Ejecución de contrato (Art. 6.1.b) |
| Procesamiento de pagos | Ejecución de contrato (Art. 6.1.b) |
| Envío de comunicaciones transaccionales | Ejecución de contrato (Art. 6.1.b) |
| Comunicaciones comerciales y marketing | Consentimiento (Art. 6.1.a) |
| Seguridad, prevención de fraude y cumplimiento legal | Interés legítimo / Obligación legal (Art. 6.1.c y 6.1.f) |
| Mejora del producto y análisis de uso | Interés legítimo (Art. 6.1.f) |
| Usar check-ins como contexto personalizado del Coach IA | Consentimiento explícito (Art. 6.1.a) |
4. Proveedores de Servicios (Encargados del Tratamiento)
Trabajamos con los siguientes proveedores que pueden procesar tus datos en nuestro nombre:
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Supabase | Autenticación, base de datos y almacenamiento | Según la infraestructura contratada |
| Stripe, Inc. | Procesamiento de pagos | EE.UU. (certificación PCI-DSS) |
| Meta Platforms (WhatsApp / Instagram / Ads) | Mensajería y, solo con consentimiento de marketing, medición de conversiones mediante Pixel y Conversions API | EE.UU. (Condiciones de Meta para empresas) |
| Resend, Inc. | Envío de emails transaccionales y de marketing | EE.UU. (DPA disponible) |
| Google Generative AI | Asistente IA (ORYX) | EE.UU. |
| OpenAI, LLC | Generación y análisis de contenido solicitado por el usuario | EE.UU. (DPA y CCT cuando proceda) |
| Sentry | Diagnóstico de errores sin Session Replay ni envío predeterminado de PII | EE.UU. (DPA y CCT cuando proceda) |
| Calendly, LLC | Integración de agenda y citas | EE.UU. |
| Vercel, Inc. | Alojamiento de la plataforma web | EE.UU. / UE |
Todas las transferencias internacionales de datos se realizan bajo mecanismos legales adecuados (Decisiones de adecuación, Cláusulas Contractuales Tipo o marcos equivalentes).
5. Conservación de los Datos
- Datos de cuenta: mientras la cuenta esté activa y hasta 30 días después de su eliminación.
- Datos de contactos y mensajes: durante la vigencia del contrato y hasta 30 días tras la cancelación.
- Datos de facturación: 5 años por obligación fiscal y contable.
- Logs de seguridad: 12 meses.
- Copias de seguridad: máximo 90 días.
6. Seguridad de los Datos
Implementamos medidas técnicas y organizativas para proteger tus datos:
- Cifrado en tránsito mediante TLS 1.2+ en todas las conexiones
- Cifrado en reposo de la base de datos e infraestructura de almacenamiento
- Tokens de acceso de terceros almacenados de forma cifrada
- Control de acceso basado en roles (RBAC) dentro de cada workspace
- Revisiones periódicas de seguridad y gestión de parches
7. Tus Derechos (RGPD)
Como titular de los datos tienes los siguientes derechos:
- Acceso: solicitar una copia de los datos que tenemos sobre ti.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión («derecho al olvido»): solicitar la eliminación de tus datos.
- Limitación: restringir el tratamiento de tus datos en determinados casos.
- Portabilidad: recibir tus datos en formato estructurado y legible por máquina.
- Oposición: oponerte al tratamiento basado en interés legítimo.
- Retirar el consentimiento en cualquier momento, sin afectar a la licitud del tratamiento previo.
Para ejercer cualquiera de estos derechos, escríbenos a scalepathapp@gmail.com. Responderemos en un plazo máximo de 30 días.
También tienes derecho a presentar una reclamación ante la autoridad de control competente. En España: Agencia Española de Protección de Datos (AEPD) — www.aepd.es.
8. Eliminación de Datos (Solicitud de Borrado)
Puedes solicitar la eliminación completa de tu cuenta y todos tus datos de las siguientes formas:
- Desde la plataforma: Configuración → Cuenta → Eliminar cuenta.
- Por email a scalepathapp@gmail.com indicando «Solicitud de eliminación de datos».
Procesaremos tu solicitud en un plazo de 30 días. Los datos de facturación se conservarán el tiempo legalmente requerido.
9. Cookies
Utilizamos los siguientes tipos de cookies:
- Cookies de sesión (necesarias): gestionadas por Supabase Auth para mantener tu sesión iniciada.
- Cookies de Facebook/Meta SDK: cuando utilizas las integraciones de WhatsApp Business o Instagram, el SDK de JavaScript de Meta puede establecer cookies de terceros para gestionar la autenticación OAuth. Estas cookies son necesarias para el funcionamiento de dichas integraciones y no se utilizan con fines publicitarios.
- Medición publicitaria de Meta (opcional): en funnels que la tengan activada, Pixel y Conversions API solo se ejecutan después de elegir «Permitir marketing». Comparten un identificador de evento para evitar duplicados; los identificadores de contacto enviados desde servidor se normalizan y se resumen con SHA-256.
Puedes rechazar o retirar el consentimiento de marketing; el funnel y sus formularios siguen funcionando con cookies necesarias.
10. Menores de Edad
ScalePath es un servicio dirigido exclusivamente a empresas y profesionales. No recopilamos conscientemente datos de menores de 16 años. Si detectamos que se han facilitado datos de un menor, los eliminaremos de inmediato.
11. Cambios en esta Política
Nos reservamos el derecho a actualizar esta política. Notificaremos los cambios relevantes por email o mediante un aviso en la plataforma. La fecha de la última actualización figura al inicio de este documento.
12. Contacto
Para cualquier consulta sobre privacidad o ejercicio de derechos:
Email: scalepathapp@gmail.com
Web: www.scalepath.app