Política de privacidad

1. Quiénes somos

VexNexa es un servicio de escaneo de accesibilidad desarrollado en los Países Bajos. Ayudamos a los propietarios de sitios web a hacer sus sitios más accesibles probando el cumplimiento de WCAG.

2. Qué datos recopilamos

Datos de escaneo

• URL de la página escaneada
• Metadatos técnicos sobre problemas de accesibilidad
• Marcas de tiempo del escaneo
• Dirección IP para limitación de velocidad y prevención de abuso

Importante: no almacenamos datos personales del contenido de la página (como nombres, correos, números de teléfono); solo analizamos estructura HTML y accesibilidad.

Datos de cuenta (opcional)

• Dirección de correo electrónico
• Nombre (si se proporciona)
• Contraseña con hash
• Preferencias de cuenta

Contacto

• Nombre y dirección de correo electrónico
• Contenido del mensaje
• Marca de tiempo del envío

Inicio de sesión con Google (OAuth)

Cuando eliges iniciar sesión con tu cuenta de Google, recibimos únicamente la siguiente información de tu perfil de Google a través de la integración Google OAuth:

• Tu dirección de correo electrónico (necesaria para identificar la cuenta)
• Tu nombre completo tal como está registrado en Google
• Un identificador único de cuenta de Google (sub) para enlazar inicios de sesión futuros

Datos de pago

Importante: VexNexa no almacena por sí misma números de tarjeta de crédito ni de cuenta bancaria. Todos los datos de pago son procesados exclusivamente por nuestro proveedor de pagos Mollie B.V. en su entorno certificado PCI-DSS.

• De Mollie recibimos solo una referencia de pago (payment ID), el estado (éxito/fallo), el importe y el tipo de método de pago (p. ej. iDEAL, SEPA, tarjeta) — nunca el número de tarjeta.
• Para la facturación legalmente exigida conservamos los datos de la factura (razón social, dirección, número de IVA, número de factura, importe).
• Puedes revocar un método de pago guardado en cualquier momento cancelando tu suscripción o contactando con soporte.

3. Base legal (Art. 6 GDPR)

• Ejecución de contrato – escaneos, resultados, gestión de cuenta.
• Interés legítimo – seguridad (limitación de velocidad, detección de abuso), mejoras básicas.
• Consentimiento – cookies de análisis/marketing y cualquier comunicación opt-in.
• Obligación legal – requisitos de retención y solicitudes de autoridades.

4. Cookies y seguimiento

Cookies funcionales (necesarias)

• Sesión para usuarios conectados
• Preferencias (idioma, tema)
• Estado de consentimiento de cookies

Cookies de análisis (opcionales)

Con consentimiento, podemos usar análisis respetuosos con la privacidad (ej., Vercel Analytics o alternativa). Medimos estadísticas agregadas, no perfiles individuales.

• Estadísticas de visitantes (agregadas/anónimas)
• Páginas y características populares
• Rendimiento técnico

You can manage consent through the configuración de cookies.

Parámetros UTM

Podemos almacenar temporalmente parámetros UTM para entender el origen. Estos no contienen datos personales.

5. Cómo y por qué usamos los datos

• Realizar escaneos y mostrar resultados
• Gestión de cuenta e inicio de sesión
• Servicio al cliente y soporte
• Mejora del servicio (con consentimiento para análisis)
• Cumplimiento de leyes y regulaciones

No vendemos ni alquilamos tus datos a terceros con fines de marketing.

6. Destinatarios y encargados del tratamiento

Solo compartimos datos con proveedores de servicios que los tratan en nuestro nombre en virtud de un Acuerdo de Tratamiento de Datos (DPA) conforme al art. 28 del RGPD. Por categoría, los encargados actuales son:

• Hosting & edge: Vercel Inc. — alojamiento de la aplicación y enrutamiento edge. Las transferencias hacia EE. UU. se cubren con Cláusulas Contractuales Tipo (CCT) de la UE y medidas técnicas complementarias.
• Base de datos y almacenamiento: Supabase (alojado en AWS en la UE, región de Fráncfort) — almacenamiento principal de datos de cuenta y de escaneo. Los datos permanecen en la UE.
• Autenticación: Supabase Auth para inicio de sesión con correo y contraseña, y Google LLC para la integración opcional Google OAuth. Con Google OAuth recibimos solo tu correo, tu nombre completo y un ID de cuenta de Google.
• Pagos: Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam) — gestiona todos los pagos y está certificada PCI-DSS de forma independiente. VexNexa no almacena ningún dato de tarjeta.
• Correo (transaccional): Resend (Resend Inc.) — envía correos transaccionales (verificación, restablecimiento de contraseña, notificaciones de factura/informe). Las transferencias se cubren con CCT.

7. Transferencias fuera de la UE/EEE

Si se producen transferencias fuera de la UE (ej., enrutamiento edge o registros de soporte), usamos garantías apropiadas como Cláusulas Contractuales Estándar de la UE y medidas adicionales.

8. Almacenamiento de datos, seguridad y retención

Ubicaciones de almacenamiento

• Base de datos/cómputo en centros de datos de la UE
• Copias de seguridad dentro de Europa

Medidas de seguridad

• TLS/HTTPS de extremo a extremo
• Contraseñas con hash
• Control de acceso de mínimo privilegio y monitoreo
• Parches/actualizaciones regulares
• Minimización de datos

Períodos de retención

• Datos de escaneo: 1 año (Gratis); más largo para cuentas de pago (configurable en tu cuenta)
• Datos de cuenta: hasta la eliminación de la cuenta o según lo legalmente requerido
• Mensajes de contacto: hasta 2 años
• Análisis: hasta 24 meses (agregado/anonimizado cuando sea posible)
• Los datos de facturación se conservan durante 7 años conforme a la obligación legal de conservación fiscal de la Agencia Tributaria neerlandesa (Belastingdienst).

Eliminamos o anonimizamos antes los datos cuando ya no son necesarios, salvo que la conservación sea legalmente obligatoria (como la obligación fiscal de conservación de los datos de facturación).

9. Tus derechos (GDPR/AVG)

Je rechten uitoefenen? Mail info@vexnexa.com. Respondemos dentro de 30 días.

10. Niños

No dirigido a niños menores de 16 años. Contáctanos si se han recopilado datos; los eliminaremos.

11. Data breaches

We immediately investigate the impact, limit risks and report if required to the Dutch Data Protection Authority and affected parties.

12. Toma de decisiones automatizada

No tomamos decisiones basadas únicamente en procesamiento automatizado con efectos legales para ti.

13. Cambios a esta política

Comunicamos cambios significativos por correo electrónico (si corresponde), una notificación en el sitio y actualización de la fecha.

14. Contacto y quejas

Not satisfied? File a complaint with the Dutch Data Protection Authority via autoriteitpersoonsgegevens.nl.