Política de Privacidad
Última actualización: 2026-08-24
Esta política explica qué datos personales trata Popytab, con qué finalidad, con qué base jurídica y durante cuánto tiempo, cuando usted utiliza popytab.com. Está redactada conforme al inventario técnico real del producto a fecha de esta publicación; se actualizará cuando el producto cambie de forma relevante para el tratamiento de datos.
1. Responsable del tratamiento
YelauGroup LLC, con domicilio en 1704 Llano St, Ste B-1495, Santa Fe, NM 87505, Estados Unidos (EIN 37-2084749), es el responsable del tratamiento de los datos de cuenta y de uso de la plataforma descritos en esta política.
Para el contenido de trabajo que usted o su organización introducen dentro de sus espacios de trabajo (por ejemplo, texto libre en tableros, tarjetas o comentarios que pueda referirse a terceras personas, como clientes o empleados de su organización), Popytab actúa como encargado del tratamiento por cuenta de la organización que administra ese espacio de trabajo, la cual actúa como responsable respecto de esos datos de terceros. Esta relación se formaliza, para clientes empresariales, en el Acuerdo de Encargo de Tratamiento (DPA).
2. Qué datos tratamos
Los datos que trata Popytab dependen de cómo usa el servicio:
| Dato | Origen | Obligatorio |
|---|---|---|
| Nombre | Formulario de registro | Sí |
| Correo electrónico | Formulario de registro | Sí |
| Contraseña | Formulario de registro (se almacena únicamente su hash, nunca en texto plano) | Sí, si no usa un método de acceso alternativo |
| Nombre y descripción del espacio de trabajo, tableros, listas, tarjetas, etiquetas, comentarios, elementos de checklist | Introducidos directamente por usted o su equipo | Depende del uso |
| Archivos adjuntos y sus metadatos (nombre original, tipo, tamaño) | Subidos por usted a una tarjeta | No |
| Correo electrónico de personas invitadas a un espacio de trabajo | Introducido por un miembro del espacio de trabajo al invitar | No |
| Registro interno de actividad (usuario, acción, objeto afectado, fecha) | Generado automáticamente al usar el producto | Automático |
| Identificador pseudonimizado de intentos de acceso (login/registro) | Generado automáticamente por el sistema de seguridad, ver apartado 5 | Automático |
Popytab no trata datos de facturación o de pago (no existe integración de cobro), no utiliza cookies o herramientas de analítica/publicidad, y no registra direcciones IP ni user-agent salvo el tratamiento pseudonimizado descrito en el apartado 5.
3. Finalidades y base jurídica de cada tratamiento
No aplicamos una base jurídica única: cada tratamiento tiene su propia base, detallada a continuación.
| Tratamiento | Finalidad | Base jurídica |
|---|---|---|
| Alta de cuenta y autenticación | Crear y gestionar su cuenta de usuario, permitirle iniciar sesión | Ejecución de un contrato (art. 6.1.b RGPD) — necesario para prestarle el servicio que solicita |
| Uso de espacios de trabajo, tableros, tarjetas, comentarios y adjuntos | Prestar la funcionalidad principal del producto | Ejecución de un contrato (art. 6.1.b RGPD) |
| Invitación de miembros a un espacio de trabajo | Permitir que un miembro añada colaboradores a su equipo | Ejecución de un contrato respecto de quien invita; interés legítimo en la gestión de la colaboración solicitada (art. 6.1.f RGPD) respecto de la persona invitada |
| Registro interno de actividad | Mostrar el historial de cambios dentro de un espacio de trabajo, auditoría interna básica | Interés legítimo (art. 6.1.f RGPD) — funcionalidad de colaboración solicitada por el propio equipo |
| Limitación de intentos de acceso (rate limiting) en login, registro y acceso de demostración | Prevenir ataques de fuerza bruta y abuso automatizado de los formularios de acceso | Interés legítimo en la seguridad del servicio (art. 6.1.f RGPD) |
| Contenido de terceros introducido por su organización en tableros/tarjetas/comentarios | Prestar el servicio de gestión de tableros a la organización cliente | Determinada por la organización cliente en su calidad de responsable; Popytab trata ese dato únicamente siguiendo sus instrucciones, conforme al DPA |
Popytab no realiza actualmente ningún tratamiento con fines de marketing, publicidad, elaboración de perfiles o toma de decisiones automatizadas, y por tanto no solicita su consentimiento para ninguno de esos fines porque no existen.
4. Destinatarios y encargados del tratamiento
Sus datos se alojan y procesan con la ayuda de los siguientes proveedores, que actúan como encargados del tratamiento:
| Proveedor | Finalidad | País de establecimiento | Región técnica del tratamiento |
|---|---|---|---|
| Supabase, Inc. | Base de datos (PostgreSQL) y almacenamiento de archivos adjuntos | Proveedor establecido en Estados Unidos | Región técnica primaria confirmada: West EU (Ireland), eu-west-1. La selección de región determina la ubicación del dato primario, sin perjuicio de accesos o transferencias internacionales que puedan producirse en la prestación del servicio. |
| Vercel Inc. | Alojamiento, compilación y entrega de la aplicación | Proveedor establecido en Estados Unidos | Región técnica según la configuración contractual/técnica del servicio; verificar en la cuenta correspondiente. |
El país de establecimiento de un proveedor (dónde está constituida la empresa) no es necesariamente el mismo lugar donde se procesan técnicamente los datos; por eso se indican por separado en la tabla anterior. El detalle completo, incluida la finalidad exacta y el estado de cada acuerdo contractual, está publicado en la lista de subencargados. Popytab no vende ni cede sus datos personales a terceros con fines comerciales o publicitarios.
5. Seguridad de los intentos de acceso (rate limiting)
Para proteger su cuenta frente a ataques de fuerza bruta, Popytab limita el número de intentos de acceso, registro y uso de la cuenta de demostración en una ventana de tiempo. Para ello, la dirección IP de la petición (y, en el caso del login, también el correo electrónico introducido) se transforma mediante una función criptográfica unidireccional (HMAC-SHA256) antes de almacenarse: el valor guardado es un identificador opaco que no permite recuperar la IP o el correo electrónico originales sin la clave secreta del servidor, y nunca se registra la IP ni el correo electrónico en texto claro en esta tabla ni en ningún registro (log). Este identificador se conserva únicamente durante la ventana de control (entre 15 minutos y 1 hora según el formulario) más un breve margen de gracia, tras el cual se elimina de forma automática.
6. Transferencias internacionales
YelauGroup LLC y los proveedores de infraestructura descritos en el apartado 4 (Supabase, Vercel) son empresas establecidas en Estados Unidos. Esto se refiere al país de constitución de cada empresa, no necesariamente al lugar donde se procesan técnicamente sus datos: no afirmamos que todos sus datos se procesen en Estados Unidos, ni tampoco que permanezcan en todo momento dentro de Europa, porque no disponemos de esa certeza para todos los servicios (ver apartado 4). Para Supabase, la región técnica primaria está confirmada (West EU / Ireland, eu-west-1) y su cobertura contractual se considera sustancialmente resuelta. Para Vercel, la región técnica y la cobertura contractual continúan pendientes de verificación administrativa. En cualquier caso, al estar estos proveedores establecidos fuera del Espacio Económico Europeo, pueden producirse accesos o transferencias internacionales de sus datos (por ejemplo, para soporte técnico o cumplimiento legal) aunque el procesamiento técnico ordinario se realice en una región concreta. El estado actualizado de cada proveedor se refleja en la lista de subencargados.
7. Representante en la Unión Europea
YelauGroup LLC está establecida fuera de la Unión Europea. Popytab tiene prevista una transición societaria para que la titularidad y operación del servicio correspondan a una sociedad establecida en España. Hasta que dicha transición sea jurídicamente efectiva, la situación relativa al artículo 27 del RGPD permanece pendiente de resolución.
8. Plazo de conservación
Sus datos de cuenta y el contenido de sus espacios de trabajo se conservan mientras su cuenta permanezca activa. Actualmente Popytab no dispone de un proceso automatizado de purga por antigüedad para la mayoría de los datos (por ejemplo, el registro interno de actividad); trabajamos en incorporar dicho proceso. El identificador pseudonimizado de control de acceso descrito en el apartado 5 se elimina de forma automática y acotada poco después de expirar su ventana de control. Si solicita la eliminación de su cuenta, sus datos personales de cuenta se eliminarán siguiendo el procedimiento descrito en el apartado 9.
9. Sus derechos
Conforme a la normativa de protección de datos que le resulte aplicable, puede tener derecho a acceder a sus datos, solicitar su rectificación o supresión, oponerse al tratamiento, solicitar su limitación o solicitar la portabilidad de sus datos.
Actualmente el producto no ofrece un autoservicio automatizado para el borrado completo de una cuenta o la exportación estructurada de datos; puede eliminar directamente desde la interfaz el contenido que crea (tableros, tarjetas, adjuntos, etiquetas) y puede salir de un espacio de trabajo. Para el resto de derechos, incluida la eliminación completa de su cuenta, puede dirigirse por correo electrónico a legal@popytab.com o por correo postal a la dirección indicada en el apartado 1; atenderemos su solicitud manualmente en el plazo legalmente exigible.
10. Cookies
Popytab únicamente utiliza la cookie técnica estrictamente necesaria para mantener su sesión iniciada. El detalle completo está en la Política de Cookies.
11. Menores de edad
Popytab es una herramienta de uso profesional/empresarial y no está dirigida a menores de edad. No solicitamos ni recopilamos conscientemente datos de menores.
12. Cambios en esta política
Podemos actualizar esta política cuando cambie el tratamiento real de datos en el producto. Publicaremos cualquier cambio en esta misma página junto con su fecha de actualización.