# Política de privacidad de InvokeApp

**Versión 2.2 · 24 de octubre de 2026**


## Resumen

| | |
|---|---|
| **Quién trata tus datos** | MARTÍNEZ CAMPOY CONSULTING, S.L., que opera con la marca **InvokeApp**. |
| **Para qué** | Prestar la plataforma, atender tus solicitudes, facturar, mantener la seguridad y, si lo consientes, enviarte comunicaciones. |
| **Datos de tus clientes en la plataforma** | Los tratamos **por cuenta de tu empresa o de tu agencia**, que es la responsable. Solo seguimos sus instrucciones. |
| **Google y Meta** | Solo accedemos a Gmail, Google Calendar, WhatsApp, Instagram o Facebook si tú conectas la cuenta, y solo para las funciones que ves en la plataforma (§5 y §6). No vendemos esos datos, no los usamos para publicidad y no entrenamos modelos de IA con ellos. |
| **Dónde** | En Google Cloud. La plataforma y su base de datos, en Madrid (Unión Europea); los modelos de IA, en Bélgica (y en Países Bajos como respaldo de la generación de imágenes). Excepciones: la generación de vídeo (Veo) se hace en Estados Unidos y solo si tu empresa la activa, y los registros técnicos se guardan en la ubicación global de Google. Detalle en el §8. |
| **Tus derechos** | Acceso, rectificación, supresión, oposición, limitación y portabilidad: escribe a privacy@invokeapp.io. Puedes reclamar ante la AEPD. |
| **Borrar tus datos o desconectar una cuenta** | invokeapp.io/data-deletion |

---

## 1. Responsable del tratamiento

- **Sociedad:** MARTÍNEZ CAMPOY CONSULTING, S.L. (marca comercial InvokeApp).
- **CIF:** B88657853.
- **Domicilio:** Calle Roma, 15, 30600 Archena (Murcia), España.
- **Registro Mercantil:** Registro Mercantil de Murcia, hoja MU-120146.
- **Contacto de privacidad:** privacy@invokeapp.io.
- **Delegado de protección de datos:** no designado. Cualquier consulta sobre protección de datos: privacy@invokeapp.io.

MARTÍNEZ CAMPOY CONSULTING, S.L. es la única sociedad que presta el servicio InvokeApp: opera la web `invokeapp.io`,
la plataforma (`core.invokeapp.io`) y las aplicaciones conectadas a Google y a Meta.

## 2. A quién se aplica esta política y en qué papel actuamos

| Si eres… | Qué datos | Nuestro papel |
|---|---|---|
| Visitante de la web, suscriptor de la newsletter o persona que nos escribe | Los que nos das en formularios, correos o chats, y las cookies que aceptes | **Responsable** |
| Usuario de la plataforma (persona de una agencia o empresa con cuenta) | Datos de tu cuenta, de acceso, de facturación y de soporte | **Responsable** |
| Cliente, contacto o lead de una empresa o agencia que usa InvokeApp, o persona que escribe al WhatsApp de un negocio que usa InvokeApp | Los datos que esa empresa gestiona en la plataforma: fichas, mensajes, correos, citas, publicaciones | **Encargado** (o subencargado, cuando una agencia los trata por cuenta de su cliente). La responsable es esa empresa |

Cuando actuamos como encargados, tratamos los datos solo para prestar el servicio a la empresa responsable y según sus
instrucciones, conforme al acuerdo de encargo del tratamiento (artículo 28 del RGPD) que forma parte de nuestras
condiciones de servicio. Si tu caso es ese, dirige tus solicitudes a la empresa responsable; si nos escribes a
nosotros, se las trasladaremos sin demora y la ayudaremos a responderte.

## 3. Datos que tratamos como responsables

| Actividad | Datos | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|---|
| Contacto (formulario, correo, WhatsApp de la web, videollamadas) | Nombre, correo, teléfono, empresa y lo que nos cuentes | Responder y, si lo pides, preparar una propuesta | Aplicación de medidas precontractuales a tu solicitud; interés legítimo en atender consultas | Hasta resolver la consulta y 12 meses más, salvo que se convierta en relación contractual |
| Newsletter | Correo y, si los das, nombre y datos de tu negocio | Enviarte el boletín | Consentimiento | Hasta que te des de baja (enlace en cada correo) |
| Descarga de guías, kits y playbooks | Correo, nombre y los datos de negocio que indiques | Entregarte el material y, si lo aceptas, comunicaciones relacionadas | Consentimiento | Hasta que retires el consentimiento |
| Comentarios en el blog | Nombre, correo y comentario | Moderar y publicar el comentario | Consentimiento | Mientras el comentario esté publicado |
| Cuenta de la plataforma | Nombre, correo, contraseña (guardada con hash, nunca en claro), empresa, rol, idioma y preferencias | Prestar el servicio contratado | Ejecución del contrato | Mientras la cuenta esté activa y, después, durante los plazos de prescripción, bloqueados |
| Prueba de la contratación | Versión de las condiciones aceptada, fecha y hora, usuario, dirección IP, navegador y canal de la aceptación | Acreditar qué condiciones se aceptaron, cuándo y quién lo hizo | Ejecución del contrato e interés legítimo en acreditar la contratación | Mientras dure el contrato y, después, durante los plazos de prescripción, bloqueados |
| Facturación y pagos | Datos fiscales, plan, importes e historial de pagos. **Los datos de la tarjeta los trata Stripe; nosotros no los guardamos** | Facturar y cobrar | Ejecución del contrato y obligación legal | 6 años (artículo 30 del Código de Comercio) y los plazos fiscales aplicables |
| Soporte | Solicitudes, conversaciones y adjuntos | Resolver incidencias | Ejecución del contrato | Mientras la cuenta esté activa y 3 años más |
| Seguridad y registros técnicos | Dirección IP, fecha y hora, acciones de acceso, errores | Proteger el servicio, investigar abusos e incidentes | Interés legítimo en la seguridad del servicio | Hasta 400 días |
| Métricas técnicas del servicio | Volúmenes, tiempos de respuesta y errores, **sin el contenido** de tus datos | Mantener la estabilidad y la capacidad del servicio | Interés legítimo | Agregadas, sin identificar a personas |
| Cookies de la web | Ver la [Política de cookies](https://invokeapp.io/cookies-policies) | | | |

No tomamos decisiones que produzcan efectos jurídicos sobre ti basadas únicamente en un tratamiento automatizado.

## 4. Inteligencia artificial

- La plataforma usa modelos **Gemini de Google a través de Vertex AI**, procesados en la **Unión Europea**
  (`europe-west1`, Bélgica); como respaldo, la generación de imágenes puede hacerse en Países Bajos (`europe-west4`).
  La conversión de texto a voz usa el punto de acceso europeo de Google Cloud Text-to-Speech. El dictado por voz de los
  asistentes se transcribe con Gemini en la Unión Europea y el audio no se guarda. **Excepción:** la
  generación de vídeo (modelo Veo) solo está disponible en Estados Unidos (`us-central1`); se usa únicamente cuando tu
  empresa activa esa función, con las garantías del apartado 8.
- La IA solo se usa en funciones que ves en la plataforma: borradores de mensajes, resúmenes, clasificación de
  respuestas, asistentes y agentes que tu empresa activa.
- **No entrenamos ni ajustamos modelos de IA** con tus datos, con los de tus clientes ni con datos obtenidos de Google o
  de Meta. Google, como proveedor de Vertex AI, no usa los datos que le enviamos para entrenar sus modelos.
- Antes de enviar texto al modelo seudonimizamos los datos personales que se detectan: correos, teléfonos, documentos
  de identidad, cuentas bancarias y tarjetas y, en la plataforma, los nombres que constan en el CRM. La detección no es
  perfecta: no cubre direcciones postales ni descripciones que permitan identificar a alguien, y en algunos agentes los
  nombres de persona pueden no detectarse. La protección está activada por defecto y solo puede desactivarla un
  administrador de la empresa.
- Los textos que la IA prepara para enviar a terceros (correos, mensajes, propuestas) se proponen como borradores para
  que una persona los revise, salvo que tu empresa active un modo autónomo; entonces se envían dentro de los límites que
  tu empresa configura y bajo su responsabilidad. Los agentes que conversan con personas (por ejemplo, por WhatsApp o en
  un chat web) responden en tiempo real y avisan de que son un sistema de IA.

## 5. Datos de Google (Gmail, Google Calendar y otras APIs de Google)

Esta sección explica cómo InvokeApp accede, usa, guarda y comparte los datos de las cuentas de Google que conectas.

Hay dos tipos de conexión:

- **Gmail** se conecta con la aplicación de Google de InvokeApp: los permisos de la tabla de §5.1 se conceden a
  InvokeApp.
- **Google Calendar, Google Analytics, Google Ads y Google Tag Manager** se conectan con la **aplicación de Google de tu
  empresa**: el cliente OAuth que tu empresa crea en su propio proyecto de Google Cloud y registra en la plataforma. Esos
  permisos se conceden a tu aplicación, no a la de InvokeApp (§5.1, segunda tabla).

### 5.1 Permisos y para qué los usamos

Solo pedimos un permiso cuando activas la función que lo necesita, y solo se usa para esa función.

**Con la aplicación de Google de InvokeApp (Gmail):**

| Permiso | Cuándo se pide | Para qué |
|---|---|---|
| `openid`, `email` | Al conectar el correo de Gmail | Identificar la cuenta conectada y mostrártela en la plataforma |
| `gmail.send` | Al conectar el correo de tu empresa o de un proyecto | Enviar **desde tu propia cuenta** los correos de tus campañas, seguimientos y respuestas. Por defecto, cada envío lo aprueba una persona; si activas el modo autónomo, se envían dentro de los límites que configures |
| `gmail.readonly` | Solo si activas «Permitir leer respuestas» | Leer **únicamente los hilos que se iniciaron desde InvokeApp**: las respuestas de tus contactos a esos correos y los mensajes que tú escribas a mano en esos mismos hilos. Así la plataforma te muestra la conversación, detecta las respuestas y las bajas y detiene los seguimientos pendientes. **No leemos el resto de tu buzón** |

**Con la aplicación de Google de tu empresa** (InvokeApp usa los permisos que tu aplicación obtiene, solo para estas
funciones y por cuenta de tu empresa):

| Permiso | Cuándo se pide | Para qué |
|---|---|---|
| `calendar.events`, `calendar.readonly` | Al conectar un calendario para la recepcionista o la gestión de citas | Consultar tu disponibilidad y crear, cambiar o cancelar las citas que gestiona la plataforma |
| `analytics.readonly`, `adwords`, `tagmanager.readonly` | Solo si conectas Google Analytics, Google Ads o Tag Manager | Leer las métricas y configuraciones que se muestran en tus informes y paneles |

### 5.2 Qué guardamos, dónde y durante cuánto tiempo

- **Credenciales de acceso (tokens):** cifradas en nuestra base de datos. Al desconectar el correo de Gmail revocamos el
  permiso ante Google y borramos las credenciales. En las demás conexiones de Google (Calendar, Analytics, Ads o Tag
  Manager) marcamos la conexión como desconectada; quita también el acceso en
  [myaccount.google.com/permissions](https://myaccount.google.com/permissions), que es lo que invalida la credencial,
  y pide el borrado de las credenciales que sigan guardadas y de los datos en
  [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion).
- **Gmail:** de los hilos iniciados desde la plataforma guardamos remitente, destinatario, asunto, fecha,
  identificadores del mensaje y del hilo y el texto del mensaje, vinculados al contacto y a la campaña o seguimiento.
  No guardamos adjuntos ni mensajes de otros hilos.
- **Google Calendar:** guardamos solo los datos de las citas que crea o gestiona la plataforma (fecha, hora,
  identificador del evento y datos de contacto que aportó la persona). No copiamos el resto de tu calendario.
- **Analytics, Ads y Tag Manager:** las métricas que se muestran en tus informes.
- **Dónde:** en nuestra base de datos de Google Cloud en Madrid (`europe-southwest1`); las copias de seguridad, en la
  multirregión de la Unión Europea (§8).
- **Cuánto tiempo:** mientras la conexión esté activa y la función lo necesite. Desconectar la cuenta no borra por sí
  solo los datos ya guardados: si desconectas la cuenta de Google o cierras tu cuenta de InvokeApp, pídenos el borrado
  en [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion) y borraremos esos datos en un **máximo de 30 días
  desde tu petición**. Las copias de seguridad cifradas se eliminan por rotación en un máximo de 10 días más.

### 5.3 Con quién se comparten

No transferimos datos de Google a terceros salvo en estos casos:

1. A **Google Cloud y Vertex AI**, como proveedores nuestros, para alojar los datos y para las funciones de IA que ves
   en la plataforma (por ejemplo, clasificar una respuesta o proponer un borrador). Sin uso para entrenar modelos.
2. Cuando sea necesario por **seguridad** (por ejemplo, para investigar un abuso).
3. Para **cumplir la ley**.
4. En una fusión, adquisición o venta de activos, **solo con tu consentimiento previo y expreso**.

**Nunca** vendemos datos de Google ni los usamos para publicidad (incluida la publicidad personalizada o el
retargeting), para evaluar solvencia o conceder créditos, ni para crear, entrenar o mejorar modelos de IA.

Nuestro personal **no lee** el contenido de tus correos ni de tu calendario, salvo que nos lo pidas expresamente para un
mensaje concreto (por ejemplo, en una consulta de soporte), cuando sea necesario por seguridad o para cumplir la ley.

### 5.4 Declaración de uso limitado (Limited Use)

> InvokeApp's use and transfer to any other app of information received from Google APIs will adhere to the
> [Google API Services User Data Policy](https://developers.google.com/terms/api-services-user-data-policy), including
> the Limited Use requirements. The use of information received from Google Workspace APIs will adhere to the
> [Google Workspace User Data and Developer Policy](https://developers.google.com/workspace/workspace-api-user-data-developer-policy),
> including the Limited Use requirements.

*Traducción:* el uso que InvokeApp hace de la información recibida de las API de Google, y su transferencia a cualquier
otra aplicación, cumplirán la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de
uso limitado. El uso de la información recibida de las API de Google Workspace cumplirá la Política de datos de usuario y
para desarrolladores de Google Workspace, incluidos los requisitos de uso limitado.

### 5.5 Cómo retirar el acceso y borrar los datos

- En la plataforma: **Integraciones → la conexión de Google → Desconectar**. Si es el correo de Gmail, revocamos además
  el permiso ante Google.
- En tu cuenta de Google: [myaccount.google.com/permissions](https://myaccount.google.com/permissions) → InvokeApp (para
  Gmail) o la aplicación de tu empresa (para Calendar, Analytics, Ads y Tag Manager) → Quitar acceso.
- Para pedir el borrado de los datos ya guardados: [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion).

## 6. Datos de Meta (WhatsApp, Instagram y Facebook)

### 6.1 Permisos y para qué los usamos

| Permiso | Para qué |
|---|---|
| `whatsapp_business_management`, `whatsapp_business_messaging` | Conectar la cuenta de WhatsApp Business del negocio con las credenciales de acceso que el propio negocio facilita (más adelante, también mediante el registro integrado de Meta, Embedded Signup); enviar y recibir por cuenta del negocio los mensajes y plantillas que este configura; gestionar plantillas; recibir los estados de entrega y lectura y los avisos de calidad |
| `instagram_basic`, `instagram_content_publish`, `pages_show_list`, `pages_read_engagement`, `pages_manage_posts`, `business_management` | Elegir la página de Facebook o la cuenta profesional de Instagram y publicar en ella los contenidos que programes |
| `ads_read` | Solo si conectas Meta Ads: leer las métricas de tus campañas para tus informes |

Hoy las conexiones de Instagram, Facebook y Meta Ads usan la aplicación de Meta del propio negocio o la de su agencia
(apartado 7). Solo pediremos esos permisos con la aplicación de InvokeApp cuando Meta los apruebe.

### 6.2 Qué datos tratamos

- **WhatsApp:** número de teléfono y nombre de perfil de las personas que escriben o a las que se escribe, contenido de
  los mensajes y adjuntos, estados de entrega y lectura, plantillas, e identificadores de la cuenta (cuenta de WhatsApp
  Business y número). Las credenciales de acceso se guardan cifradas.
- **Instagram y Facebook:** identificadores de la página o cuenta, credenciales cifradas, contenido publicado y su
  estado.

### 6.3 De quién son las cuentas y en qué papel actuamos

- La cuenta de WhatsApp Business, el número de teléfono y el portfolio comercial son **del negocio que los conecta**, no
  de InvokeApp ni de la agencia. El negocio conserva acceso completo a WhatsApp Manager y puede desconectar InvokeApp
  cuando quiera.
- Actuamos como **proveedor tecnológico (Tech Provider)** del negocio en WhatsApp: tratamos sus datos de Meta **solo
  por cuenta y según las instrucciones de ese negocio**, separados de los de otros clientes, y **nunca para fines
  propios**.
- Usamos los datos de WhatsApp solo para las funciones que el negocio activa. Si el negocio usa la recepcionista con el
  CRM de InvokeApp, se guarda en la ficha del contacto un resumen de la conversación, que forma parte de los datos de
  ese negocio y que las funciones de su CRM (por ejemplo, la puntuación de leads) pueden tener en cuenta. No vendemos
  los datos de WhatsApp, no los compartimos con terceros y **no los usamos para crear, entrenar o mejorar modelos de
  IA**.
- Meta factura directamente al negocio los mensajes de WhatsApp.

### 6.4 Conservación y borrado

Los mensajes y datos de Meta se conservan mientras la conexión esté activa y el negocio los necesite. Desconectar la
cuenta no borra por sí solo los datos ya guardados: si el negocio desconecta su cuenta o deja de tener cuenta en
InvokeApp, puede pedirnos el borrado y lo haremos en un **máximo de 30 días desde la petición**. Las instrucciones
están en [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion).

### 6.5 Si escribes al WhatsApp de un negocio que usa InvokeApp

El responsable de tus datos es ese negocio: dirígete a él para ejercer tus derechos o para no recibir más mensajes
(también puedes escribir «BAJA» o «STOP» en la conversación). Si nos escribes a nosotros, trasladaremos tu solicitud al
negocio sin demora.

## 7. Otras plataformas que puedes conectar

InvokeApp permite conectar otras plataformas (por ejemplo, CRM, mensajería, calendarios, CMS o redes sociales). En
todas: la conexión la autorizas tú; usamos los datos solo para la función que activas; las credenciales se guardan
cifradas; y puedes desconectarlas en cualquier momento desde **Integraciones**. Al desconectar, marcamos la conexión
como desconectada; retira también el acceso desde el propio proveedor, que es lo que invalida la credencial, y pide el
borrado de las credenciales que sigan guardadas y de los datos en
[invokeapp.io/data-deletion](https://invokeapp.io/data-deletion). Algunas conexiones usan la aplicación de
desarrollador que aportas tú (tu propio identificador y secreto de aplicación); en ese caso, la relación con la
plataforma la mantiene tu aplicación.

## 8. Destinatarios y transferencias internacionales

- No vendemos datos personales.
- Nuestros proveedores (encargados del tratamiento) están en [invokeapp.io/subprocessors](https://invokeapp.io/subprocessors),
  con su función, la ubicación del tratamiento y la garantía aplicable. Los principales: Google Cloud (alojamiento e IA),
  Stripe (pagos), Meta y Twilio (mensajería), y Google Workspace y Brevo para el correo electrónico que enviamos.
- Algunas funciones que tu empresa activa envían consultas a terceros que no son proveedores nuestros: por ejemplo, la
  prospección y el enriquecimiento de leads buscan en Google Maps Platform y en el buscador de Google el sector, la zona
  o el nombre del negocio. También figuran en [invokeapp.io/subprocessors](https://invokeapp.io/subprocessors).
- Si un proveedor trata datos fuera del Espacio Económico Europeo, lo hace con garantías del Capítulo V del RGPD:
  decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo. Las
  excepciones que no tienen todavía esa garantía acreditada (hoy, las alertas técnicas internas que se envían por
  Telegram, que actúa como responsable independiente) se indican en esa misma página.
- Comunicaremos datos a autoridades solo cuando la ley lo exija.

Dónde trata los datos la propia plataforma (Google Cloud):

| Qué | Dónde |
|---|---|
| La plataforma, los agentes, la base de datos y los ficheros | Madrid (`europe-southwest1`), Unión Europea |
| Los modelos de IA | Bélgica (`europe-west1`), Unión Europea; Países Bajos (`europe-west4`) como respaldo de la generación de imágenes |
| La generación de vídeo (Veo), solo si tu empresa la activa | Estados Unidos (`us-central1`) |
| Las colas de tareas y las tareas programadas | Bélgica (`europe-west1`), Unión Europea |
| Los mensajes que la plataforma pasa a los agentes (Pub/Sub) | Sin región fija configurada: Google Cloud los guarda en la región más próxima a quien los publica, hoy la plataforma en Madrid |
| Las copias de seguridad de la base de datos | Multirregión de la Unión Europea |
| Los registros técnicos y los secretos de la plataforma | Ubicación global de Google Cloud, que puede guardarlos en centros de datos de cualquier país |
| La web pública `invokeapp.io` | Red de distribución global de Firebase; el blog, con su servidor en Países Bajos (`europe-west4`) |

## 9. Seguridad

Cifrado en tránsito (HTTPS/TLS) y en reposo; credenciales de terceros cifradas a nivel de aplicación, con las claves en
un gestor de secretos y un sistema que permite rotarlas; separación de los datos de cada empresa; acceso por roles;
registro de la actividad; y envío a los modelos de IA solo del contenido que necesita cada función: texto y, en las
funciones de voz o de imagen, el audio dictado (no se guarda) o las imágenes que se aportan. Ninguna medida es
infalible: si se produce una brecha que te afecte, lo comunicaremos conforme al RGPD.

**¿Has encontrado una vulnerabilidad?** Escríbenos a security@invokeapp.io con los detalles. No hagas pruebas que
afecten a datos de otros clientes.

## 10. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad,
y retirar en cualquier momento el consentimiento que hayas dado, escribiendo a privacy@invokeapp.io (también atendemos
las solicitudes que lleguen a letstalk@invokeapp.io, el canal de la cláusula 11.4 de las Condiciones de servicio). Te
responderemos en el plazo de un mes. Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia
Española de Protección de Datos ([www.aepd.es](https://www.aepd.es)).

## 11. Menores

InvokeApp es un servicio para empresas y profesionales. No está dirigido a menores de 14 años y no tratamos
conscientemente sus datos.

## 12. Cambios en esta política

Publicaremos aquí cualquier cambio con su fecha. Si un cambio afecta a cómo usamos datos de Google o de Meta, te
avisaremos antes en la plataforma o por correo y, cuando la norma de la plataforma lo exija, te pediremos de nuevo el
consentimiento antes de usar los datos de la nueva forma.