Aviso GDPR (Unión Europea)

Quién es el responsable

DMCLUB LLC, Sociedad de responsabilidad limitada (LLC) constituida en el Estado de Nuevo México, EE. UU. el 21 de agosto de 2024. Es la empresa que opera SellerForge y la responsable del tratamiento de tus datos.

• Registro: N.º de entidad 7820518 · archivo 0002491626 (Secretary of State de Nuevo México).
• Domicilio: 8206 Louisiana Blvd NE, Suite A #4478, Albuquerque, NM 87113, EE. UU.
• Contacto (privacidad, derechos y soporte): [email protected].

Responsable y alcance

SellerForge (DMCLUB LLC) trata los datos como mínimo reglamentado en la UE. Este documento aplica a la app, a Daisy (asistente de IA) y a Forge Studio.

Qué guardamos y por qué

Solo lo necesario para que el servicio funcione:

• Credenciales con hash argon2id (jamás en texto plano).
• Memoria de conversación de Daisy, podada por ventana del plan.
• Contenido de trabajo (planes, assets, exports) almacenado localmente en tu tenant.
• Prueba de tu consentimiento (cuándo y qué versión aceptaste).
• Intentos de acceso (email enmascarado + IP minimizada) para seguridad, máx. 12 meses.

Edad mínima y consentimiento

Solo mayores de 18 años pueden crear cuenta (capacidad contractual, pagos y protección de menores COPPA/RGPD). Al registrarte confirmas tu edad y aceptas estos Términos y la Privacidad con casillas explícitas; guardamos fecha y versión como prueba. Sin esa aceptación no hay cuenta.

Retención finita

Nada se guarda para siempre. La memoria de IA se retiene según el plan: Starter 30 días, Pro 180 días, Agency 730 días. Al pedir el borrado de tu cuenta, todo se elimina tras una gracia de 30 días.

Tus derechos (RGPD)

Puedes ejercer siempre:

• Acceso y portabilidad.
• Rectificación.
• Supresión total (borrado irreversible tras la gracia).
• Oposición y restricción.
• Retirada de consentimiento en cualquier momento.
• No ser objeto de decisiones solo automatizadas (art. 22): Daisy y el bot proponen, tú decides y confirmas cada acción crítica.

Derechos según tu país

Damos a todos los usuarios los derechos de acceso, rectificación, borrado y portabilidad, vivas donde vivas. Además:

• UE/EEE y Reino Unido (RGPD/UK GDPR): derecho a reclamar ante tu autoridad de protección de datos.
• California y otros estados de EE. UU. (CCPA/CPRA y leyes similares): derecho a saber, borrar y corregir; no vendemos ni compartimos datos para publicidad.
• Brasil (LGPD), Canadá (PIPEDA) y otros países: ejerces los derechos que tu ley local reconozca escribiendo al contacto indicado.
• Transferencias internacionales: tus datos pueden tratarse en EE. UU.; para usuarios del EEE/Reino Unido se usan cláusulas contractuales tipo cuando procede.

Cómo borrar tu cuenta

En la app: dashboard > Borrar cuenta. O vía API: DELETE /api/v1/auth/account. La petición se concede, se revocan tus sesiones y el acceso se bloquea; transcurridos 30 días se purga todo (cuenta, jobs, tenant content y métricas). Puedes cancelarla en ese periodo.

No vendemos datos

No se vende, cede ni comparte información personal con terceros, ni se usan rastreadores o analíticas de terceros. Sin venta = sin derecho de exclusión adicional (CCPA); si eso cambiara, habría opt-out explícito.

Facturación: lo que se conserva

Al borrar tu cuenta se purga todo (cuenta, jobs, conversaciones del bot, leads, métricas y tokens) salvo los registros de cobro, que la ley fiscal obliga a conservar 6 años (ES). Esos registros no se usan para marketing.

Contacto

Para derechos, dudas o incidencias de seguridad escribe [email protected]. Respuesta en 30 días (RGPD) con verificación de identidad.

Subencargados y transferencias

Tratamos tus datos en tu propia máquina (local-first). Solo procesamos datos en terceros cuando es imprescindible y bajo contrato (art. 28 RGPD): Stripe, Inc. (EE. UU., pagos PCI-DSS, con SCC) y el proveedor SMTP transaccional configurado en tu despliegue. No hay más subencargados. Representante en la UE pendiente de designación (art. 27): hasta entonces, contacto en el [email protected].

Seguridad

• Contraseñas con argon2id, sesiones JWT (15 min), MFA TOTP disponible.
• Aislamiento por tenant: cada cuenta solo ve su contenido.
• Local-first y offline-first: los modelos de IA se ejecutan en tu máquina.
• Stripe es el único pago externo permitido; los cobros requieren consentimiento y clave explícita (SF_STRIPE_LIVE).