Política de privacidad

1. Introducción

Esta Política de privacidad describe ambos casos. Hemos intentado que sea breve, clara y honesta. Cuando una sección aplica solo a un grupo, lo indicamos. Los términos en mayúscula no definidos aquí tienen el significado establecido en nuestros Términos de servicio. En cuanto a los roles de protección de datos, las referencias a “tú” en esta política corresponden al “Cliente” (y, bajo el RGPD, al “Responsable del tratamiento”) en nuestro Acuerdo de procesamiento de datos.

Al usar formbase, reconoces que procesamos datos personales tal como se describe en esta política. Si no estás de acuerdo, no uses el Servicio.

2. Quiénes somos

Para los datos personales que los encuestados envían a través de tus formularios, tú (el usuario de formbase que creó el formulario) eres el responsable del tratamiento, y formbase actúa como tu encargado del tratamiento. Los términos de esa relación de procesamiento se describen en el Acuerdo de procesamiento de datos, que se aplica automáticamente a los clientes sujetos al RGPD o regímenes equivalentes. Esta Política de privacidad sigue informando a los encuestados sobre lo que formbase hace técnicamente con sus datos en tu nombre, pero no reemplaza tu propio aviso de privacidad.

Para preguntas, quejas o solicitudes de derechos de los interesados, contáctanos en support@formbase.so.

3. Ámbito de aplicación

• Visitas formbase.so o cualquiera de sus subdominios;
• Te registras, inicias sesión o usas la aplicación formbase en app.formbase.so;
• Envías una respuesta a un formulario alojado en formbase o incrustado en otro sitio web;
• Nos contactas para soporte, ventas, asociaciones o cualquier otra cosa;
• Lees o interactúas con nuestros correos de marketing, canales sociales o eventos.

No cubre sitios web, servicios o integraciones de terceros a los que enlazamos o que decides conectar, aunque se acceda a ellos desde dentro de formbase. Esos servicios tienen sus propias políticas de privacidad, y deberías revisarlas.

4. Datos personales que recopilamos

Datos de cuenta

• Tu dirección de correo electrónico, usada para iniciar sesión y recibir mensajes del sistema.
• Un nombre para mostrar y avatar si los configuras, usados para identificarte ante tus colaboradores.
• Datos de autenticación vinculados a los métodos de inicio de sesión que elijas, como inicio de sesión con enlace mágico, inicio de sesión con Google o inicio de sesión como invitado anónimo para sesiones de invitado de corta duración.
• Configuraciones del espacio de trabajo que definas, incluido el nombre del espacio de trabajo, la zona horaria y la lista de miembros que hayas invitado.

Tu dirección de correo electrónico es un requisito contractual para usar el Servicio — es el único dato requerido para registrarte, y sin él no podemos crear tu cuenta. El nombre para mostrar, el avatar y la configuración del espacio de trabajo son opcionales.

Datos de suscripción y facturación

• Un identificador de cliente de Polar que vincula tu cuenta de formbase con tu registro de cliente en Polar;
• Un identificador de suscripción de Polar y el intervalo de facturación elegido (mensual o anual);
• Marcas de tiempo del ciclo de vida de la suscripción, como el fin del período actual, la caducidad y los marcadores de período de gracia usados para aplicar los derechos de tu plan;
• Identificadores de pedido y recarga de créditos usados para provisionar créditos de IA.

formbase no ve ni almacena datos de tarjetas de pago, identificadores fiscales ni direcciones de facturación — Polar guarda esos registros directamente, y puedes acceder a ellos a través del portal de facturación de Polar. Cuando aceptas pagos de encuestados a través del campo de Pago, Stripe recopila todos los datos de tarjeta directamente; formbase recibe solo referencias no sensibles, como los últimos cuatro dígitos.

Contenido de formularios que creas

Datos de envío de los encuestados

• Las respuestas y archivos adjuntos que proporciona el encuestado, exactamente como los introdujo;
• Una marca de tiempo de envío, el idioma del navegador del encuestado, la zona horaria del espacio de trabajo (capturada en el momento del envío) y los identificadores que vinculan el envío a tu formulario;
• Borradores y envíos parciales guardados en el servidor mientras el encuestado rellena el formulario, más marcas de tiempo usadas para activar recordatorios de respuestas abandonadas (cuando los activas);
• Señales técnicas de análisis capturadas para cada formulario publicado, incluido el país aproximado (derivado de la zona horaria del encuestado o del encabezado CF-IPCountry del borde de Cloudflare), tipo de dispositivo, navegador, fuente de tráfico y duración de la interacción;
• Un identificador de visitante del lado del encuestado usado para deduplicar las vistas del formulario y los recuentos de interacción — consulta Cookies y almacenamiento similar para más detalles;
• Cuando usas el campo de Pago, una referencia al pago de Stripe que completó el encuestado (los datos de la tarjeta son gestionados por Stripe, no por formbase).

Las direcciones IP de los encuestados se procesan de forma transitoria para la limitación de velocidad, la protección contra bots de Cloudflare Turnstile y la prevención de abusos, y no se almacenan junto a los envíos.

Tú decides qué campos incluir y cuáles de estas señales técnicas capturar. Tú eres el responsable del tratamiento de los envíos — consulta la Sección 2 para ver los roles de protección de datos.

Los envíos de formularios pueden incluir categorías especiales de datos personales según el Artículo 9 del RGPD — como información de salud, opiniones políticas o datos biométricos — dependiendo de las preguntas que hagas. Como responsable del tratamiento, eres responsable de establecer una base legal válida según el Artículo 9(2) del RGPD antes de recopilar dichos datos y de realizar las divulgaciones necesarias a los encuestados.

Datos de uso del producto y del dispositivo

• Registros de actividad como las páginas que cargas, las funciones que usas y cuándo, usados para operar el producto, depurar problemas y entender qué funciones importan.
• Datos del dispositivo y el navegador como user-agent, tamaño de pantalla, sistema operativo, idioma y ubicación aproximada derivada de la IP.
• Dirección IP, usada para entregar el Servicio, detectar abusos, limitar la velocidad y cumplir obligaciones de seguridad.
• Datos de diagnóstico como informes de errores y trazas de rendimiento cuando la aplicación encuentra un problema, usados para diagnosticar y solucionar el problema.

Cookies y tecnologías similares

Datos de funciones de IA

• Los prompts que envías a la IA;
• El contexto que la función pasa junto al prompt, como la estructura del formulario que estás editando o los datos de envío que compartes explícitamente;
• Los resultados que devuelve la IA;
• Metadatos de consumo de créditos, para que podamos mostrar tu saldo restante y deducir el uso correctamente.

Estas entradas y salidas se envían a Amazon Bedrock para generar la respuesta. Podemos añadir o cambiar proveedores con el tiempo y actualizaremos esta Política de privacidad y la lista de subencargados en el Acuerdo de procesamiento de datos en consecuencia. Consulta Funciones de IA a continuación para conocer las protecciones contractuales que tenemos en vigor.

Datos de soporte y comunicaciones

De dónde provienen estos datos

5. Cómo usamos los datos personales

No vendemos datos personales y no compartimos datos personales con anunciantes ni intermediarios de datos con fines publicitarios. Para el tratamiento de datos de IA y los compromisos de no entrenamiento, consulta la Sección 13.

6. Bases legales para el tratamiento

• Contrato (Artículo 6(1)(b)) — prestar el Servicio, gestionar tu cuenta, procesar pagos, operar las funciones de IA y proporcionar soporte.
• Intereses legítimos (Artículo 6(1)(f)) — cuando nuestro interés no supera tus derechos. En concreto:
  • Proteger el Servicio — nuestro interés en mantener formbase y sus usuarios seguros frente a abusos, fraudes y ataques.
  • Mejorar el producto — nuestro interés en entender cómo se usa formbase para poder mejorarlo, basándonos en datos agregados y anonimizados siempre que sea posible.
  • Comunicaciones del servicio — nuestro interés en informarte sobre cambios en las funciones que ya usas.
  • Contar las visitas al sitio web — nuestro interés en saber cuántas personas visitan nuestro sitio web y qué páginas ven, medido sin cookies como se describe en Cookies y almacenamiento similar.
• Consentimiento (Artículo 6(1)(a)) — cookies de analítica y grabaciones de sesiones en nuestro sitio web, y compartición opcional de datos del producto. Puedes retirar el consentimiento en cualquier momento, por ejemplo desde Configuración de cookies en el pie del sitio web.
• Obligación legal (Artículo 6(1)(c)) — obligaciones fiscales, contables, de sanciones y otras obligaciones legales.
• Intereses vitales (Artículo 6(1)(d)) — solo en casos excepcionales para proteger la vida o la seguridad física de alguien.

Cuando nos basamos en intereses legítimos, tienes derecho a oponerte y reconsideraremos en función de tu situación específica.

7. Cómo compartimos los datos personales

Con subencargados que nos ayudan a gestionar formbase

• Convex — base de datos de la aplicación y backend.
• Cloudflare R2 — almacenamiento de objetos para archivos subidos y firmas.
• Cloudflare — CDN, DNS, seguridad en el borde, nombres de host personalizados y protección contra bots Turnstile.
• Polar — facturación de suscripciones y compras de créditos de IA (Comerciante de registro; controlador independiente para los datos de facturación del comprador).
• Stripe — procesamiento de pagos de encuestados a través de Stripe Connect (controlador independiente para datos de pago).
• Amazon Web Services (AWS) — Amazon Bedrock para las funciones de IA; Amazon SES para correos transaccionales y del sistema, incluidos recordatorios de respuestas abandonadas en espacios de trabajo Pro.
• Axiom — registros operativos y supervisión.
• PostHog — analítica de nuestro sitio web y de las altas de cuentas.
• Unsplash — API de búsqueda de imágenes; las imágenes seleccionadas se almacenan en Cloudflare R2 y se sirven desde allí.

La lista autorizada y actualizada de subencargados, junto con las categorías de datos que procesa cada uno y las regiones en las que operan, se mantiene en nuestro Acuerdo de procesamiento de datos.

Con las integraciones que conectas

Con tus colaboradores

Por razones legales y de seguridad

En una transferencia de negocio

8. Transferencias internacionales de datos

Cuando los datos personales salen del EEE, nos basamos en las Cláusulas Contractuales Tipo (CCT) adoptadas bajo la Decisión (UE) 2021/914, el Adendo de Transferencia Internacional de Datos del Reino Unido, el adendo de la FDPIC suiza, decisiones de adecuación o el Marco de Privacidad de Datos UE-EE.UU. (DPF), según corresponda. También aplicamos cifrado en tránsito y en reposo, acceso restringido y minimización contractual de datos. El mecanismo de transferencia aplicable para cada subencargado se detalla en nuestro Acuerdo de procesamiento de datos.

9. Retención de datos

• Los datos de cuenta se conservan mientras tu cuenta esté activa. Cuando nos pides que eliminemos tu cuenta, los registros de cuenta se eliminan de los sistemas activos poco después de procesar la solicitud y permanecen en copias de seguridad solo hasta que expira la ventana de copia de seguridad correspondiente.

• La configuración de formularios y los envíos se conservan mientras exista tu espacio de trabajo y no los hayas eliminado. Cancelar una suscripción Pro te mueve al nivel gratuito; solo cerrar tu cuenta activa la eliminación. También puedes configurar un período de retención de envíos por formulario; los envíos se eliminan automáticamente mediante un trabajo de limpieza programado cuando ese período vence.

• Los borradores de envíos que un encuestado inicia pero no envía se conservan durante un período limitado y luego se purgan, a menos que hayas configurado una retención diferente.

• Los formularios en la papelera que hayas movido a la papelera se purgan permanentemente después de un breve período de gracia.

• Las sesiones anónimas (de invitado) creadas cuando pruebas formbase sin cuenta se purgan automáticamente en un período corto.

• Los registros de facturación se conservan durante el período requerido por la ley contable y fiscal aplicable. Polar, como Comerciante de registro, conserva sus propios registros de facturación bajo su propia política de retención.

• Las comunicaciones de soporte enviadas hacia o desde la bandeja de entrada de soporte de formbase se conservan durante el tiempo necesario para resolver tu solicitud y gestionar cualquier reclamación legal relacionada.

• Los datos de uso del producto y del dispositivo — registros de actividad, metadatos del dispositivo y diagnósticos — se retienen en forma identificable durante un período limitado y luego se eliminan o agregan para que ya no se pueda identificar a usuarios individuales.

• Los registros operativos y de seguridad generados por el Servicio se conservan durante el período necesario para operar, depurar y proteger el Servicio. Cuando un incidente específico requiere un período más largo, restringimos el acceso y eliminamos los registros en cuanto expira la obligación.

• Las copias de seguridad se crean con un programa regular con una ventana de retención corta. Los archivos subidos almacenados en Cloudflare R2 no están cubiertos por el versionado de objetos; las eliminaciones de archivos subidos son irrecuperables de inmediato. Los datos personales eliminados de producción se vuelven irrecuperables una vez que expira la ventana de copia de seguridad correspondiente.

• Los prompts y resultados de IA enviados a Amazon Bedrock no son almacenados por AWS una vez procesada la solicitud y no se usan para entrenar ningún modelo, según se describe en los Términos de Servicio de AWS.

Si la ley nos exige conservar un registro durante más tiempo — por ejemplo para cumplir una obligación fiscal, antilavado de dinero o una orden judicial — restringimos el acceso a ese registro y lo eliminamos en cuanto expira la obligación.

10. Seguridad

• Cifrado de datos personales en tránsito mediante TLS 1.2 o superior, y en reposo usando algoritmos estándar del sector;
• Controles de acceso basados en el principio de mínimo privilegio, con acceso interno a los sistemas de producción restringido en función de la necesidad de saber;
• Registro y monitorización de acciones administrativas en sistemas de producción;
• Segmentación de red y aislamiento de los entornos de producción respecto a los de desarrollo;
• Gestión de vulnerabilidades, incluida la aplicación oportuna de actualizaciones de seguridad y un canal de divulgación responsable en support@formbase.so;
• Controles de acceso que limitan el acceso a producción al personal autorizado.

Ningún sistema es perfectamente seguro. Si detectas una vulnerabilidad o un posible compromiso, repórtalo a support@formbase.so.

11. Tus derechos

• Derecho de acceso — solicitar una copia de los datos personales que tenemos sobre ti e información sobre cómo se procesan.
• Derecho de rectificación — pedirnos que corrijamos datos inexactos o incompletos.
• Derecho de supresión — pedirnos que eliminemos datos personales cuando no hay una razón predominante para conservarlos. También puedes cerrar tu cuenta y eliminar la mayoría de tus datos tú mismo desde el producto.
• Derecho a la limitación del tratamiento — pedirnos que pausemos el tratamiento en ciertas situaciones, por ejemplo mientras verificamos una corrección u objeción.
• Derecho a la portabilidad de los datos — recibir tus datos personales en un formato estructurado, de uso común y legible por máquina, o que se envíen a otro responsable del tratamiento. La función de exportación en la aplicación cubre la mayor parte de esto para formularios y envíos, con salida en CSV y Excel (XLSX).
• Derecho de oposición — oponerte al tratamiento basado en intereses legítimos, incluida la elaboración de perfiles, y al marketing directo en cualquier momento.
• Derecho a retirar el consentimiento — cuando nos basamos en tu consentimiento, puedes retirarlo en cualquier momento. Retirar el consentimiento no afecta la legalidad del tratamiento antes de la retirada.
• Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (Artículo 22 del RGPD) — no tomamos decisiones sobre ti que produzcan efectos jurídicos o igualmente significativos únicamente mediante tratamiento automatizado, incluida la elaboración de perfiles.

Para ejercer cualquiera de estos derechos, escribe a support@formbase.so o usa las opciones de autoservicio disponibles en la aplicación. Responderemos en el plazo de un mes, o te diremos por qué necesitamos más tiempo. Podemos pedir información para verificar tu identidad antes de actuar sobre una solicitud, especialmente en caso de acceso o eliminación.

Si no estás satisfecho con cómo hemos gestionado tus datos, puedes presentar una reclamación ante una autoridad supervisora — para los usuarios en Noruega, la Autoridad Noruega de Protección de Datos (Datatilsynet, datatilsynet.no). También puedes reclamar ante la autoridad del país del EEE donde vives o trabajas.

Derechos de los encuestados

12. Cookies y almacenamiento similar

• Estrictamente necesarios — te mantienen conectado, recuerdan el espacio de trabajo que usaste por última vez, protegen la aplicación contra la falsificación de solicitudes entre sitios y almacenan preferencias esenciales. No se pueden desactivar sin romper el producto.
• Funcionales — recuerdan preferencias de interfaz como el tema, el estado de la barra lateral y el idioma. Puedes borrarlos desde tu navegador.
• Analítica en nuestro sitio web (formbase.so y formbase.no) — PostHog, nuestro proveedor de analítica, cuenta cada visita sin guardar nada en tu dispositivo. Sus servidores combinan tu dirección IP y el agente de usuario de tu navegador con un valor aleatorio que cambia cada día y después se elimina, de modo que una visita no puede vincularse con tus visitas de otros días. Solo si aceptas en el banner de cookies, PostHog instala además una cookie (ph_*_posthog) y entradas en localStorage que reconocen tu navegador, y graba tus visitas como grabaciones de sesiones. Tu elección se guarda en localStorage (fb_analytics_consent) para no preguntarte en cada página. Puedes cambiarla en cualquier momento desde Configuración de cookies en el pie del sitio web; retirarla borra lo que PostHog haya guardado.
• Análisis en páginas de formularios alojados — un identificador de visitante aleatorio (fb_visitor_id) en localStorage, más indicadores de corta duración en sessionStorage (fb_viewed, fb_engaged), usados para deduplicar recuentos de vistas e interacciones. Este almacenamiento no es necesario para que el formulario funcione y no permite publicidad, seguimiento entre sitios ni elaboración de perfiles. formbase coloca este almacenamiento como encargado del tratamiento siguiendo tus instrucciones como responsable. Si tus encuestados están en jurisdicciones donde se requiere consentimiento previo para el almacenamiento no esencial (como el EEE bajo la Directiva ePrivacy o Noruega bajo Ekomloven § 3-15), eres responsable de obtener ese consentimiento antes de que se cargue la página del formulario.

No usamos cookies ni almacenamiento similar para rastrear a los encuestados en otros sitios web con fines publicitarios, y no colocamos cookies publicitarias en las páginas de formularios alojados. Puedes borrar cookies, localStorage y sessionStorage a través de la configuración de tu navegador. Bloquear las cookies o el almacenamiento estrictamente necesarios puede impedir que partes del Servicio funcionen.

Si creas formularios en formbase, tus formularios alojados establecerán fb_visitor_id en localStorage en los dispositivos de los encuestados tal como se describe arriba. Deberías divulgar esto en tu propio aviso de privacidad a los encuestados.

13. Funciones de IA

Los resultados de la IA se generan probabilísticamente y pueden ser inexactos, incompletos o desactualizados. Eres responsable de revisar cada resultado generado por IA antes de usarlo, publicarlo o enviarlo a los encuestados.

No debes enviar datos personales, secretos u otra información sensible a través de las funciones de IA a menos que tengas una base legal para compartir esa información con nuestros subencargados y hayas considerado los riesgos. No controlamos cómo los proveedores responden a las solicitudes legítimas del gobierno dirigidas a ellos.

14. Menores

Los usuarios de formbase pueden crear formularios destinados a audiencias más jóvenes. Si recopilas datos personales de menores a través de formbase, eres responsable de obtener el consentimiento parental o del tutor requerido y de gestionar esos datos de acuerdo con la ley aplicable, incluida la COPPA cuando sea relevante. La Sección 6 de los Términos de servicio enumera las clases de datos sensibles para los que el Servicio no está diseñado, y la Sección 7 establece los usos prohibidos, incluido el contenido que explota o pone en peligro a menores.

No recopilamos conscientemente datos personales de menores de dieciséis (16) años (o menores de trece (13) donde la COPPA establece un umbral inferior). Si crees que hemos recopilado inadvertidamente datos personales de un menor por debajo del umbral de edad aplicable sin el consentimiento requerido, contáctanos en support@formbase.so y los eliminaremos sin demora indebida.

15. Comunicaciones

• Correos del sistema sobre tu cuenta, seguridad, facturación y los formularios que creas. Forman parte del Servicio y no puedes cancelar su suscripción mientras tu cuenta esté activa.
• Anuncios del servicio sobre cambios en el producto, las políticas o las funciones que usas. Los mantenemos al mínimo necesario para mantenerte informado.

16. Aviso para residentes de California

formbase no vende información personal y no comparte información personal para publicidad conductual entre contextos. Dado que no se produce ninguna venta ni compartición, no se requiere ni se proporciona ningún enlace de “No vender ni compartir mi información personal”.

Las categorías de información personal que recopilamos, los fines y los períodos de retención se describen en la Sección 4, la Sección 5 y la Sección 9. No construimos perfiles conductuales con fines publicitarios y no usamos información personal sensible para inferencias o elaboración de perfiles.

Para ejercer tus derechos — incluido el derecho a saber, eliminar, corregir, optar por no participar o limitar la información personal sensible — escribe a support@formbase.so. No discriminaremos contra ti por ejercer ninguno de estos derechos.

17. Cambios en esta Política de privacidad

Si continúas usando el Servicio después de que un cambio entre en vigor, aceptas la Política de privacidad actualizada. Si no estás de acuerdo con un cambio, puedes cerrar tu cuenta antes de que entre en vigor.

18. Contáctanos

• Preguntas sobre privacidad, solicitudes de derechos de los interesados e informes de seguridad — support@formbase.so

formbase no ha designado un Delegado de Protección de Datos. Nuestro equipo de privacidad monitoriza la bandeja de entrada de support@formbase.so y dirigirá tu solicitud al lugar adecuado.

Documentos relacionados