Política de privacidad

1. Alcance y roles de Mavvi

Esta política se aplica a visitantes de mavvi.es, contactos comerciales, compradores de dispositivos, titulares de cuentas y usuarios autorizados de la plataforma.

Mavvi actúa como responsable del tratamiento respecto de los datos necesarios para gestionar la web, la contratación, la facturación, la cuenta y el soporte. Cuando un cliente usa la plataforma para tratar datos de sus propios clientes, empleados, reseñadores o contactos, el cliente es el responsable y Mavvi actúa como encargado del tratamiento conforme al Acuerdo de encargo de tratamiento.

El negocio cliente actúa como responsable de los datos de contacto y debe contar con una base jurídica válida para enviar la solicitud. Mavvi trata esos datos siguiendo sus instrucciones como encargado.

2. Datos que tratamos

• Identificación y contacto: nombre, correo, teléfono, empresa, cargo y datos de usuarios autorizados. El nombre, el correo y el teléfono son obligatorios al registrar una nueva cuenta para contratar la plataforma; los demás campos se identifican como obligatorios u opcionales en el formulario correspondiente.
• Cuenta y negocio: credenciales cifradas mediante el proveedor de autenticación, nombre comercial, sector, ubicaciones, URL, teléfono, configuración de marca, usuarios autorizados y permisos.
• Contratación y facturación: plan, número de locales declarado, modalidad elegida, pedidos, dirección de envío, NIF/IVA, importes, facturas, estado del pago, tipo de acceso a la cuenta, comienzo y fin de las pruebas concedidas anteriormente y evidencias de aceptación. Shopify gestiona el checkout y el pedido del hardware; Stripe gestiona la contratación directa y los cobros del SaaS, además de los contratos acordados individualmente. Shopify y, en su caso, el proveedor elegido procesan el pago del hardware; Stripe procesa el pago del SaaS. Mavvi no recibe el número completo ni el CVC de la tarjeta.
• Dispositivos y uso: identificadores de expositores, estado de activación, escaneos, clics, origen, fecha aproximada, ubicación asociada e identificador aleatorio del navegador.
• Google Business Profile: cuenta conectada, fichas gestionadas, tokens OAuth cifrados, reseñas, respuestas, métricas y acciones que el usuario solicita publicar. Mavvi pide el alcance business.manage para prestar estas funciones.
• Contenido y análisis: textos de reseñas, borradores de respuesta, tono de marca, palabras clave, sentimiento, NPS estimado, solicitudes de retirada, informes y resultados GEO.
• Soporte: mensajes, archivos, correo, conversación de chat y datos técnicos necesarios para resolver incidencias.
• Datos técnicos y seguridad: IP, agente de usuario, registros de acceso, errores, eventos antifraude y cookies descritas en la Política de cookies.
• Contactos, actividad y solicitudes de valoración: nombre, correo, móvil opcional, locales relacionados, etiquetas, preferencias de comunicación, origen de la ficha, tipo y fecha de la cita, servicio o compra finalizada, identificadores técnicos seudonimizados, solicitudes enviadas, estado de entrega, clics, bajas y feedback privado. Mavvi no necesita notas clínicas, descripciones detalladas del servicio ni importes para esta función, y el cliente no debe introducirlos.

Al completar el registro guardamos tus datos de contacto, empresa y acceso para crear tu cuenta y permitirte entrar en el ejemplo, aunque después no contrates. Los utilizamos para gestionar la cuenta, atender tus solicitudes de ayuda y permitirte retomar el acceso o la contratación. Crear la cuenta no autoriza ningún cobro. El negocio y las operaciones de la muestra son ficticios y no utilizan los datos de tus clientes. Si contratas, conservas tu identidad de acceso y configuras tus negocios reales por separado.

3. Finalidades y bases jurídicas

Registrarte, acceder al ejemplo, iniciar una prueba reconocida anteriormente o aceptar los Términos y condiciones no te suscribe automáticamente a publicidad ni autoriza campañas comerciales. La información de privacidad explica cómo usamos tus datos; no es un consentimiento general para otros fines. Los avisos necesarios sobre la cuenta, las pruebas que correspondan y la facturación forman parte de la gestión del servicio solicitado.

Mavvi no utiliza los datos obtenidos mediante las APIs de Google para publicidad ni los vende. Su uso se limita a ofrecer al cliente las funciones que ha solicitado.

4. Origen de los datos

Los datos proceden del propio usuario o de su empresa, de la interacción con dispositivos Mavvi, de servicios conectados por el usuario (especialmente Google), de proveedores de pago y de fuentes públicas necesarias para localizar una ficha comercial.

Los datos de clientes del negocio pueden proceder de una introducción manual, de archivos Excel o CSV, o de sistemas conectados por el cliente, como su CRM o agenda. El negocio es responsable de informar a los interesados y de disponer de una base jurídica válida. Importar o sincronizar estos datos no genera comunicaciones automáticamente: cada solicitud de valoración requiere una acción manual de un usuario autorizado.

El cliente debe informar a sus empleados y demás interesados y garantizar que tiene base jurídica para introducir sus datos en Mavvi.

5. Destinatarios y proveedores

Mavvi no vende datos personales. Puede comunicarlos a autoridades cuando exista obligación legal y permite su acceso a proveedores sujetos a contrato y a instrucciones:

• Supabase: base de datos, almacenamiento y autenticación.
• Vercel: alojamiento y funcionamiento de la web y la plataforma Mavvi; analítica de visitas sin cookies mediante Vercel Web Analytics, solo tras consentimiento.
• Shopify: catálogo, checkout, pedidos, pagos, prevención del fraude, expedición y devoluciones del hardware.
• Stripe: contratación directa mensual o de pago único, cobros del SaaS, facturación y prevención del fraude. El acceso a la cuenta de ejemplo y las pruebas sin tarjeta no crean un cobro en Stripe.
• Proveedores de pago elegidos en el checkout: ejecución del pago cuando el comprador selecciona un método externo, como PayPal o Klarna.
• Resend: envío de correos operativos.
• Google: Places, Business Profile y modelos Gemini cuando se usan las funciones correspondientes.
• OpenAI: análisis de Mavvi GEO cuando el cliente activa esa función y el proveedor está configurado.
• PostHog EU: analítica de producto, solo tras consentimiento.
• Sentry: diagnóstico de errores y rendimiento sin envío intencional de PII.
• Cloudflare Turnstile y Upstash: control de bots y limitación de abuso.
• Transportistas: entrega y gestión de incidencias de pedidos físicos.

6. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando sucede, Mavvi exige un mecanismo válido, como una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU. para entidades adheridas o cláusulas contractuales tipo, junto con medidas complementarias cuando sean necesarias.

7. Conservación

• Altas sin completar: eliminamos el registro y sus datos de contacto tras 30 días naturales de inactividad cuando no se haya completado la creación de la cuenta, iniciado una prueba, realizado una compra ni exista otra relación activa con Mavvi. La actividad del usuario al retomar el alta actualiza ese plazo. Una cuenta de ejemplo creada correctamente se trata como una cuenta activa conforme al apartado siguiente; no se elimina como si fuera un registro incompleto. Esta regla no se aplica a clientes con pruebas o compras ni sustituye los procedimientos de baja de una cuenta que haya utilizado el servicio.
• Cuenta y servicio: mientras la cuenta esté activa y durante el plazo necesario para atender responsabilidades.
• Contratos, facturas y justificantes: bloqueados durante los plazos fiscales y mercantiles aplicables; con carácter general, hasta 6 años.
• Datos de Google y tokens: mientras exista la conexión o hasta que el usuario solicite su desconexión o eliminación. Consulta Cómo eliminar datos de Google.
• Soporte: durante la relación y después mientras pueda ser necesario para acreditar la atención prestada o defender reclamaciones.
• Analítica: según los plazos de la Política de cookies y hasta retirar el consentimiento.
• Las bajas y supresiones se conservarán mientras sean necesarias para impedir nuevos envíos. El resto de datos se conservará durante la vigencia de la cuenta y los plazos legales aplicables.

Para impedir que la misma localización repita la prueba gratuita, Mavvi conserva un registro mínimo del identificador acreditado del local y del inicio y fin de su prueba. Ese registro no contiene reseñas, respuestas ni credenciales de Google y puede mantenerse separado de la cuenta después de su cierre, mientras sea necesario para aplicar la regla de prueba única. El tratamiento se basa en el interés legítimo de prevenir el uso repetido de la promoción. Se revisará su necesidad y se aplicarán los derechos de protección de datos y las obligaciones de supresión que correspondan.

Cuando procede la supresión, los datos se eliminan o anonimizan. Las copias de seguridad quedan aisladas y se sobrescriben conforme al ciclo técnico del proveedor, sin utilizarse para otros fines.

8. Derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar un consentimiento sin afectar al tratamiento previo. Escribe a mavvi@mavvi.es indicando el derecho que ejerces. Mavvi puede pedir información razonable para verificar la identidad.

Si actúas como cliente de un negocio que usa Mavvi, dirige primero la solicitud a ese negocio, que es el responsable de esos datos. Mavvi le prestará asistencia como encargado.

También puedes reclamar ante la Agencia Española de Protección de Datos.

9. Decisiones automatizadas e inteligencia artificial

Los análisis de sentimiento, palabras clave, NPS, elegibilidad de retirada, borradores de respuesta y métricas GEO son ayudas automatizadas. No producen por sí mismas decisiones jurídicas o efectos equivalentes sobre personas. El cliente debe revisar cualquier contenido antes de usarlo y decide si lo publica.

10. Seguridad

Mavvi aplica control de acceso por cuenta, cifrado en tránsito, cifrado de tokens de Google, separación de credenciales, registros de seguridad, copias de respaldo y medidas contra abuso. Ningún sistema es infalible; ante una brecha se actuará conforme al RGPD y se informará cuando resulte obligatorio.

11. Menores y cambios

Mavvi es un servicio B2B y no se dirige a menores. Esta política puede actualizarse por cambios normativos, técnicos o de proveedores. Si el cambio afecta materialmente al tratamiento de clientes activos, se comunicará por un medio adecuado antes de que produzca efectos.