# Política de privacidad de InvokeApp

**Versión 2.0 · 20 de octubre de 2026**


## Resumen

| | |
|---|---|
| **Quién trata tus datos** | MARTÍNEZ CAMPOY CONSULTING, S.L., que opera con la marca **InvokeApp**. |
| **Para qué** | Prestar la plataforma, atender tus solicitudes, facturar, mantener la seguridad y, si lo consientes, enviarte comunicaciones. |
| **Datos de tus clientes en la plataforma** | Los tratamos **por cuenta de tu empresa o de tu agencia**, que es la responsable. Solo seguimos sus instrucciones. |
| **Google y Meta** | Solo accedemos a Gmail, Google Calendar, WhatsApp, Instagram o Facebook si tú conectas la cuenta, y solo para las funciones que ves en la plataforma (§5 y §6). No vendemos esos datos, no los usamos para publicidad y no entrenamos modelos de IA con ellos. |
| **Dónde** | En servidores de Google Cloud en la Unión Europea (Madrid). Los modelos de IA, en la región europea de Google. |
| **Tus derechos** | Acceso, rectificación, supresión, oposición, limitación y portabilidad: escribe a privacy@invokeapp.io. Puedes reclamar ante la AEPD. |
| **Borrar tus datos o desconectar una cuenta** | invokeapp.io/data-deletion |

---

## 1. Responsable del tratamiento

- **Sociedad:** MARTÍNEZ CAMPOY CONSULTING, S.L. (marca comercial InvokeApp).
- **CIF:** B88657853.
- **Domicilio:** Calle Roma, 15, 30600 Archena (Murcia), España.
- **Registro Mercantil:** Registro Mercantil de Murcia, hoja MU-120146.
- **Contacto de privacidad:** privacy@invokeapp.io.
- **Delegado de protección de datos:** no designado. Cualquier consulta sobre protección de datos: privacy@invokeapp.io.

MARTÍNEZ CAMPOY CONSULTING, S.L. es la única sociedad que presta el servicio InvokeApp: opera la web `invokeapp.io`,
la plataforma (`core.invokeapp.io`) y las aplicaciones conectadas a Google y a Meta.

## 2. A quién se aplica esta política y en qué papel actuamos

| Si eres… | Qué datos | Nuestro papel |
|---|---|---|
| Visitante de la web, suscriptor de la newsletter o persona que nos escribe | Los que nos das en formularios, correos o chats, y las cookies que aceptes | **Responsable** |
| Usuario de la plataforma (persona de una agencia o empresa con cuenta) | Datos de tu cuenta, de acceso, de facturación y de soporte | **Responsable** |
| Cliente, contacto o lead de una empresa o agencia que usa InvokeApp, o persona que escribe al WhatsApp de un negocio que usa InvokeApp | Los datos que esa empresa gestiona en la plataforma: fichas, mensajes, correos, citas, publicaciones | **Encargado** (o subencargado, cuando una agencia los trata por cuenta de su cliente). La responsable es esa empresa |

Cuando actuamos como encargados, tratamos los datos solo para prestar el servicio a la empresa responsable y según sus
instrucciones, conforme al acuerdo de encargo del tratamiento (artículo 28 del RGPD) que forma parte de nuestras
condiciones de servicio. Si tu caso es ese, dirige tus solicitudes a la empresa responsable; si nos escribes a
nosotros, se las trasladaremos sin demora y la ayudaremos a responderte.

## 3. Datos que tratamos como responsables

| Actividad | Datos | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|---|
| Contacto (formulario, correo, WhatsApp de la web, videollamadas) | Nombre, correo, teléfono, empresa y lo que nos cuentes | Responder y, si lo pides, preparar una propuesta | Aplicación de medidas precontractuales a tu solicitud; interés legítimo en atender consultas | Hasta resolver la consulta y 12 meses más, salvo que se convierta en relación contractual |
| Newsletter | Correo y, si los das, nombre y datos de tu negocio | Enviarte el boletín | Consentimiento | Hasta que te des de baja (enlace en cada correo) |
| Descarga de guías, kits y playbooks | Correo, nombre y los datos de negocio que indiques | Entregarte el material y, si lo aceptas, comunicaciones relacionadas | Consentimiento | Hasta que retires el consentimiento |
| Comentarios en el blog | Nombre, correo y comentario | Moderar y publicar el comentario | Consentimiento | Mientras el comentario esté publicado |
| Cuenta de la plataforma | Nombre, correo, contraseña (guardada con hash, nunca en claro), empresa, rol, idioma y preferencias | Prestar el servicio contratado | Ejecución del contrato | Mientras la cuenta esté activa y, después, durante los plazos de prescripción, bloqueados |
| Facturación y pagos | Datos fiscales, plan, importes e historial de pagos. **Los datos de la tarjeta los trata Stripe; nosotros no los guardamos** | Facturar y cobrar | Ejecución del contrato y obligación legal | 6 años (artículo 30 del Código de Comercio) y los plazos fiscales aplicables |
| Soporte | Solicitudes, conversaciones y adjuntos | Resolver incidencias | Ejecución del contrato | Mientras la cuenta esté activa y 3 años más |
| Seguridad y registros técnicos | Dirección IP, fecha y hora, acciones de acceso, errores | Proteger el servicio, investigar abusos e incidentes | Interés legítimo en la seguridad del servicio | Hasta 400 días |
| Métricas técnicas del servicio | Volúmenes, tiempos de respuesta y errores, **sin el contenido** de tus datos | Mantener la estabilidad y la capacidad del servicio | Interés legítimo | Agregadas, sin identificar a personas |
| Cookies de la web | Ver la [Política de cookies](https://invokeapp.io/cookies-policies) | | | |

No tomamos decisiones que produzcan efectos jurídicos sobre ti basadas únicamente en un tratamiento automatizado.

## 4. Inteligencia artificial

- La plataforma usa modelos **Gemini de Google a través de Vertex AI**, procesados en la **región europea**
  (`europe-west1`, Bélgica).
- La IA solo se usa en funciones que ves en la plataforma: borradores de mensajes, resúmenes, clasificación de
  respuestas, asistentes y agentes que tu empresa activa.
- **No entrenamos ni ajustamos modelos de IA** con tus datos, con los de tus clientes ni con datos obtenidos de Google o
  de Meta. Google, como proveedor de Vertex AI, no usa los datos que le enviamos para entrenar sus modelos.
- Los resultados de la IA son borradores: requieren revisión humana antes de usarse frente a terceros. Cuando un
  agente conversa con personas (por ejemplo, por WhatsApp o en un chat web) se informa de que es un sistema de IA.

## 5. Datos de Google (Gmail, Google Calendar y otras APIs de Google)

Esta sección explica cómo InvokeApp accede, usa, guarda y comparte los datos de las cuentas de Google que conectas.

### 5.1 Permisos y para qué los usamos

Solo pedimos un permiso cuando activas la función que lo necesita, y solo se usa para esa función.

| Permiso | Cuándo se pide | Para qué |
|---|---|---|
| `openid`, `email` | Al conectar cualquier cuenta de Google | Identificar la cuenta conectada y mostrártela en la plataforma |
| `gmail.send` | Al conectar el correo de tu empresa o de un proyecto | Enviar **desde tu propia cuenta** los correos que tú o tu equipo aprobáis en la plataforma: campañas, seguimientos y respuestas |
| `gmail.readonly` | Solo si activas «Permitir leer respuestas» | Leer **únicamente los hilos que se iniciaron desde InvokeApp**: las respuestas de tus contactos a esos correos y los mensajes que tú escribas a mano en esos mismos hilos. Así la plataforma te muestra la conversación, detecta las respuestas y las bajas y detiene los seguimientos pendientes. **No leemos el resto de tu buzón** |
| `calendar.events`, `calendar.readonly` | Al conectar un calendario para la recepcionista o la gestión de citas | Consultar tu disponibilidad y crear, cambiar o cancelar las citas que gestiona la plataforma |
| `analytics.readonly`, `adwords`, `tagmanager.readonly` | Solo si conectas Google Analytics, Google Ads o Tag Manager | Leer las métricas y configuraciones que se muestran en tus informes y paneles |

### 5.2 Qué guardamos, dónde y durante cuánto tiempo

- **Credenciales de acceso (tokens):** cifradas en nuestra base de datos. Al desconectar la cuenta las revocamos ante
  Google y las eliminamos.
- **Gmail:** de los hilos iniciados desde la plataforma guardamos remitente, destinatario, asunto, fecha,
  identificadores del mensaje y del hilo y el texto del mensaje, vinculados al contacto y a la campaña o seguimiento.
  No guardamos adjuntos ni mensajes de otros hilos.
- **Google Calendar:** guardamos solo los datos de las citas que crea o gestiona la plataforma (fecha, hora,
  identificador del evento y datos de contacto que aportó la persona). No copiamos el resto de tu calendario.
- **Analytics, Ads y Tag Manager:** las métricas que se muestran en tus informes.
- **Dónde:** Google Cloud, Unión Europea (Madrid, `europe-southwest1`).
- **Cuánto tiempo:** mientras la conexión esté activa y la función lo necesite. Si desconectas la cuenta de Google,
  eliminas la campaña o cierras tu cuenta, borramos esos datos en un **máximo de 30 días**. Las copias de seguridad
  cifradas se eliminan por rotación en un máximo de 10 días.

### 5.3 Con quién se comparten

No transferimos datos de Google a terceros salvo en estos casos:

1. A **Google Cloud y Vertex AI**, como proveedores nuestros, para alojar los datos y para las funciones de IA que ves
   en la plataforma (por ejemplo, clasificar una respuesta o proponer un borrador). Sin uso para entrenar modelos.
2. Cuando sea necesario por **seguridad** (por ejemplo, para investigar un abuso).
3. Para **cumplir la ley**.
4. En una fusión, adquisición o venta de activos, **solo con tu consentimiento previo y expreso**.

**Nunca** vendemos datos de Google ni los usamos para publicidad (incluida la publicidad personalizada o el
retargeting), para evaluar solvencia o conceder créditos, ni para crear, entrenar o mejorar modelos de IA.

Nuestro personal **no lee** el contenido de tus correos ni de tu calendario, salvo que nos lo pidas expresamente para un
mensaje concreto (por ejemplo, en una consulta de soporte), cuando sea necesario por seguridad o para cumplir la ley.

### 5.4 Declaración de uso limitado (Limited Use)

> InvokeApp's use and transfer to any other app of information received from Google APIs will adhere to the
> [Google API Services User Data Policy](https://developers.google.com/terms/api-services-user-data-policy), including
> the Limited Use requirements. The use of information received from Google Workspace APIs will adhere to the
> [Google Workspace User Data and Developer Policy](https://developers.google.com/workspace/workspace-api-user-data-developer-policy),
> including the Limited Use requirements.

*Traducción:* el uso que InvokeApp hace de la información recibida de las API de Google, y su transferencia a cualquier
otra aplicación, cumplirán la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de
uso limitado. El uso de la información recibida de las API de Google Workspace cumplirá la Política de datos de usuario y
para desarrolladores de Google Workspace, incluidos los requisitos de uso limitado.

### 5.5 Cómo retirar el acceso y borrar los datos

- En la plataforma: **Integraciones → la conexión de Google → Desconectar**.
- En tu cuenta de Google: [myaccount.google.com/permissions](https://myaccount.google.com/permissions) → InvokeApp →
  Quitar acceso.
- Para pedir el borrado de los datos ya guardados: [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion).

## 6. Datos de Meta (WhatsApp, Instagram, Facebook y Threads)

### 6.1 Permisos y para qué los usamos

| Permiso | Para qué |
|---|---|
| `whatsapp_business_management`, `whatsapp_business_messaging` | Conectar la cuenta de WhatsApp Business del negocio, mediante el registro integrado de Meta (Embedded Signup) o con las credenciales que el propio negocio facilita; enviar y recibir por cuenta del negocio los mensajes y plantillas que este configura; gestionar plantillas; recibir los estados de entrega y lectura y los avisos de calidad |
| `instagram_basic`, `instagram_content_publish`, `pages_show_list`, `pages_read_engagement`, `pages_manage_posts`, `business_management` | Elegir la página de Facebook o la cuenta profesional de Instagram y publicar en ella los contenidos que programes |
| `threads_basic`, `threads_content_publish` | Publicar en tu perfil de Threads los contenidos que programes |
| `ads_read` | Solo si conectas Meta Ads: leer las métricas de tus campañas para tus informes |

### 6.2 Qué datos tratamos

- **WhatsApp:** número de teléfono y nombre de perfil de las personas que escriben o a las que se escribe, contenido de
  los mensajes y adjuntos, estados de entrega y lectura, plantillas, e identificadores de la cuenta (cuenta de WhatsApp
  Business y número). Las credenciales de acceso se guardan cifradas.
- **Instagram, Facebook y Threads:** identificadores de la página o cuenta, credenciales cifradas, contenido publicado y
  su estado.

### 6.3 De quién son las cuentas y en qué papel actuamos

- La cuenta de WhatsApp Business, el número de teléfono y el portfolio comercial son **del negocio que los conecta**, no
  de InvokeApp ni de la agencia. El negocio conserva acceso completo a WhatsApp Manager y puede desconectar InvokeApp
  cuando quiera.
- Actuamos como **proveedor tecnológico (Tech Provider)** del negocio: tratamos sus datos de Meta **solo por cuenta y
  según las instrucciones de ese negocio**, separados de los de otros clientes, y **nunca para fines propios**.
- No usamos los datos de WhatsApp para crear o ampliar perfiles de personas más allá de la propia conversación, no los
  vendemos ni los compartimos con terceros, y **no los usamos para crear, entrenar o mejorar modelos de IA**.
- Meta factura directamente al negocio los mensajes de WhatsApp.

### 6.4 Conservación y borrado

Los mensajes y datos de Meta se conservan mientras la conexión esté activa y el negocio los necesite, con los plazos que
este configure. Si el negocio desconecta su cuenta, nos pide el borrado o deja de tener cuenta en InvokeApp, los
borramos en un **máximo de 30 días**. Las instrucciones están en [invokeapp.io/data-deletion](https://invokeapp.io/data-deletion).

### 6.5 Si escribes al WhatsApp de un negocio que usa InvokeApp

El responsable de tus datos es ese negocio: dirígete a él para ejercer tus derechos o para no recibir más mensajes
(también puedes escribir «BAJA» o «STOP» en la conversación). Si nos escribes a nosotros, trasladaremos tu solicitud al
negocio sin demora.

## 7. Otras plataformas que puedes conectar

InvokeApp permite conectar otras plataformas (por ejemplo, CRM, mensajería, calendarios, CMS o redes sociales). En
todas: la conexión la autorizas tú; usamos los datos solo para la función que activas; las credenciales se guardan
cifradas; y puedes desconectarlas en cualquier momento desde **Integraciones**. Algunas conexiones usan la aplicación
de desarrollador que aportas tú (tu propio identificador y secreto de aplicación); en ese caso, la relación con la
plataforma la mantiene tu aplicación.

## 8. Destinatarios y transferencias internacionales

- No vendemos datos personales.
- Nuestros proveedores (encargados del tratamiento) están en [invokeapp.io/subprocessors](https://invokeapp.io/subprocessors),
  con su función, la ubicación del tratamiento y la garantía aplicable. Los principales: Google Cloud (alojamiento e IA,
  en la UE), Stripe (pagos), Meta y Twilio (mensajería), y Google Workspace para el correo electrónico que enviamos.
- Si un proveedor trata datos fuera del Espacio Económico Europeo, lo hace con garantías del Capítulo V del RGPD:
  decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo.
- Comunicaremos datos a autoridades solo cuando la ley lo exija.

## 9. Seguridad

Cifrado en tránsito (HTTPS/TLS) y en reposo; credenciales de terceros cifradas a nivel de aplicación con rotación de
claves; separación de los datos de cada empresa; acceso por roles y con el mínimo privilegio; registro de la actividad;
y envío a los modelos de IA solo del texto que necesita cada función. Ninguna medida es infalible: si se produce una brecha
que te afecte, lo comunicaremos conforme al RGPD.

**¿Has encontrado una vulnerabilidad?** Escríbenos a security@invokeapp.io con los detalles. No hagas pruebas que
afecten a datos de otros clientes.

## 10. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad,
y retirar en cualquier momento el consentimiento que hayas dado, escribiendo a privacy@invokeapp.io. Te responderemos
en el plazo de un mes. Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de
Protección de Datos ([www.aepd.es](https://www.aepd.es)).

## 11. Menores

InvokeApp es un servicio para empresas y profesionales. No está dirigido a menores de 14 años y no tratamos
conscientemente sus datos.

## 12. Cambios en esta política

Publicaremos aquí cualquier cambio con su fecha. Si un cambio afecta a cómo usamos datos de Google o de Meta, te
avisaremos antes en la plataforma o por correo y, cuando la norma de la plataforma lo exija, te pediremos de nuevo el
consentimiento antes de usar los datos de la nueva forma.