Política de privacidad · Integración privada B24H
Editora y responsable de la integración
REDWOOD BRAND, S.L. es la editora y operadora inicial de CAFÉ DE PORTADA y la responsable de los tratamientos descritos.
- NIF
- B66629304
- Datos registrales contrastados
- Registro Mercantil de Barcelona, tomo 45036, folio 167, sección 8, hoja B-475028. Referencia publicada en BORME de 11/10/2023, inscripción 4; no constituye una certificación registral actual.
- Domicilio social
- C/ Comte d’Urgell 186, Local 1, 08036 Barcelona.
- Contacto
- contacto@cafedeportada.com
- Privacidad
- privacidad@cafedeportada.com
Esta documentación no incluye identificadores personales del administrador ni datos bancarios y no modifica la titularidad de las cuentas técnicas.
1. Alcance, datos y fines
Esta versión describe el circuito editorial privado y la coordinación P0.2 prevista, no la política de una futura newsletter o web con usuarios. La configuración productiva P0.2 sigue deshabilitada.
- Correo de la cuenta Google autorizada: comprobar la identidad de quien llama al coordinador.
- Identificadores y textos de noticias, fuentes, enlaces, fechas y estados: organizar la revisión y mantener su trazabilidad. Las noticias pueden contener información sobre personas; no se presume anonimización.
- Identificadores de actor, chat, bot, mensajes, solicitudes, decisiones y fechas: vincular cada revisión con el contenido e impedir respuestas antiguas o repetidas.
- Archivos de imagen, metadatos, versión y SHA-256: comprobar que la decisión corresponde al recurso registrado. Una huella no convierte todo el expediente en anónimo.
- Datos de ejecución, errores, auditoría y backups: diagnosticar incidencias, recuperar la operativa y acreditar acciones.
- Datos aportados en consultas y solicitudes de privacidad: recibirlas y darles respuesta a través de los contactos indicados.
2. Bases jurídicas y límites de uso
La seguridad, autenticación y trazabilidad de las revisiones y la gestión de contactos profesionales se apoyan en el interés legítimo de REDWOOD BRAND, S.L. de organizar y proteger su integración editorial, con evaluación de necesidad y ponderación de los derechos de las personas. Se limita el uso de identificadores a lo necesario para verificar actor, mensaje, etapa y recurso; no se reutilizan para publicidad o elaboración de perfiles de lectores.
La atención de derechos y de otras obligaciones aplicables se apoya en el cumplimiento de obligaciones legales. Conceder acceso OAuth no constituye una autorización general para cualquier tratamiento. La información periodística identificable requiere valoración específica del caso y no una aplicación indiscriminada del interés legítimo a categorías especiales o datos penales.
3. Permisos Google
| Scope | Capacidad y uso |
|---|---|
spreadsheets | Capacidad amplia sobre hojas accesibles a la cuenta; el código restringe sus operaciones al documento y acciones editoriales configurados. |
drive.readonly | Capacidad amplia de lectura y descarga de archivos accesibles; el coordinador comprueba la carpeta permitida y los archivos necesarios. Este scope no autoriza escrituras Drive. |
userinfo.email | Obtener y verificar el correo de la cuenta autenticada. |
La integración no prevé solicitar permisos Gmail, contactos o calendario. Las allowlists del código no reducen el alcance técnico del token OAuth. El acceso Google corresponde a la cuenta técnica autorizada, no a lectores del medio.
4. Destinatarios, proveedores y transferencias
REDWOOD BRAND, S.L. determina los fines de esta integración privada. Los datos se comunican a los servicios necesarios para las funciones descritas; no se comunica toda la cuenta Google a todos los proveedores.
- Google: Sheets, Drive y Apps Script reciben los registros y recursos de la integración. Los términos Google y sus marcos de transferencia explican su régimen general. La cobertura del acuerdo de tratamiento depende del producto y contrato aplicables: crear un proyecto Cloud no acredita por sí solo que el Drive de una cuenta personal esté cubierto por un contrato empresarial.
- n8n Cloud: organiza las operaciones, custodia credenciales y puede conservar datos de ejecución. Sus condiciones remiten al acuerdo de tratamiento; la lista de subencargados identifica participantes y ubicaciones. No se garantiza residencia europea de todas las operaciones de terceros por usar n8n Cloud.
- DonDominio / Soluciones Corporativas IP: presta el buzón contacto y el alias privacidad, que entrega en el mismo buzón. Sus condiciones del servicio Mail incluyen un anexo de encargo para el tratamiento por cuenta del cliente; también trata datos propios de contratación y gestión.
- Telegram: transporta los mensajes y datos de revisión. Su política lo identifica como responsable respecto al uso de su plataforma; no se presenta como un mero encargado bajo un contrato firmado por Redwood. Esa política contempla entidades del grupo en Islas Vírgenes Británicas y Dubái y cláusulas contractuales para transferencias intragrupo. No se afirma cifrado de extremo a extremo en las conversaciones con el bot.
- OpenAI API: recibe los contenidos remitidos por el nodo de análisis/redacción. Su acuerdo de tratamiento regula los datos de cliente bajo el acuerdo de servicio aplicable y contempla transferencias mediante cláusulas contractuales o decisiones de adecuación. La documentación de datos de la API distingue registros de abuso y estado de las funciones. No se ha acreditado Zero Data Retention, región europea exclusiva ni borrado uniforme para esta cuenta.
- Cloudflare Pages, alojamiento previsto de estas páginas: entrega los HTML y procesa los datos técnicos de conexión necesarios, como IP y datos de solicitud. No recibirá por la publicación de estas páginas la base editorial privada ni tokens OAuth. Su DPA distingue el tratamiento por cuenta del cliente y contempla transferencias fuera del EEE con las garantías previstas para los supuestos aplicables; no se promete alojamiento exclusivo en la UE.
Los mecanismos publicados por cada proveedor no prueban que un contrato concreto esté formalizado para todas las cuentas y servicios usados. REDWOOD deberá mantener acreditados los encargos y la base de las transferencias de su operativa efectiva. La revisión ha dejado pendiente acreditar especialmente la cobertura contractual del almacenamiento Google actual; la publicación informativa de estas páginas no certifica ese extremo ni habilita P0.2.
Puede solicitarse información sobre los destinatarios y una copia o referencia de las garantías aplicables a través de privacidad@cafedeportada.com, con las limitaciones legítimas de confidencialidad. No se declara que todas las operaciones se limiten a España o al EEE.
5. Conservación: objetivos adoptados y aplicación pendiente
Los siguientes criterios se han adoptado como objetivos operativos. No están implementados como borrados automáticos ni garantizan la eliminación en todos los sistemas. La revisión técnica ha comprobado las estructuras de Sheets, activos de Drive y guardado de ejecuciones en B24H; no una política de eliminación aplicada a todos los sistemas. Los expedientes con necesidad jurídica o recuperación pendiente se restringirán y revisarán, sin liberar barreras ni repetir decisiones por antigüedad.
| Datos | Objetivo operativo adoptado |
|---|---|
| Posts no publicados | Revisar a los 30 días desde la última actuación; retirar datos no necesarios a los 90 días, previa comprobación de referencias, deduplicación y expediente. No equivale a permiso para publicar noticias antiguas. |
| Material publicado y fuentes | Mientras sea necesario para el archivo periodístico y su justificación; revisión anual de necesidad, exactitud, derechos e identificación personal. No se promete archivo perpetuo. |
| Solicitudes, operaciones y decisiones de Revisión | Objetivo de revisión a los 12 meses desde el cierre; después revisión/minimización. Mantener el rastro técnico mínimo necesario mientras el registro editorial relacionado pueda recibir reintentos. No purgar operaciones abiertas, barreras o resultados inciertos; revisión de su necesidad cada 30 días. |
| PNG, presentaciones y descartes | Descartados o no publicados: revisión a los 30 días desde el cierre y retirada solo si no hay referencias activas. Imágenes publicadas: según necesidad del contenido y sus derechos. La papelera del proveedor no equivale a eliminación inmediata. |
| Ejecuciones n8n | Objetivo: 14 días para datos completos de ejecución, sujeto al límite efectivo del plan Cloud; errores investigados, evidencia mínima separada hasta 90 días desde su cierre. Validación/configuración pendientes; cuotas pueden reducir la disponibilidad. |
| Telegram | Revisión manual mensual y objetivo de retirada de mensajes editoriales/preview cerrados tras 30 días, una vez preservada la evidencia necesaria. No existe aquí un borrado automático ni control sobre copias de terceros o retenciones del proveedor. |
| Backups locales nuevos | Objetivo de rotación pendiente de implementar: copias operativas 30 días y hasta tres mensuales. El archivo histórico de recuperación queda separado: revisión 90 días después del cierre de P0.2, sin borrar evidencia ni barreras por el mero transcurso del plazo. |
| Consultas y ejercicio de derechos | Consultas ordinarias: hasta 12 meses tras el cierre. Expedientes de derechos: hasta 3 años tras el cierre como criterio adoptado de rendición de cuentas, sujeto a validación y minimización; no se presenta como obligación uniforme. Restricción/bloqueo cuando proceda por reclamación u obligación legal. |
La eliminación de un dato activo no borra por sí sola copias, historial de versiones, mensajes externos o respaldos del proveedor. La aplicación de estos criterios requiere un procedimiento controlado que preserve la integridad de los registros y permita recuperar incidencias; no existen borrados automáticos generales por el mero transcurso de esos plazos.
6. Derechos y atención de solicitudes
Podrán ejercerse los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan, y retirar el consentimiento cuando sea la base aplicable. Podrá reclamarse ante la autoridad competente, en España la Agencia Española de Protección de Datos.
Canal: privacidad@cafedeportada.com. Este alias entrega en el buzón de contacto. REDWOOD BRAND, S.L. es responsable de atender este canal y mantener el registro de recepción, alcance, respuesta y cierre. El objetivo de revisión del buzón cada día hábil requiere una persona asignada; no se afirma una asignación ni una automatización no acreditadas. Se comprobará la identidad de forma proporcionada cuando sea necesario, sin exigir una copia de DNI de manera sistemática.
El plazo legal ordinario de respuesta es un mes desde la recepción. Si la complejidad o el número de solicitudes lo justifica, podrá ampliarse hasta otros dos meses, informando dentro del primer mes y explicando el motivo. La falta de un procedimiento automático no elimina esta obligación. Si existe delegado de protección de datos o su designación resulta exigible, sus datos se incorporarán; no se declara aquí un nombramiento inexistente.
7. Seguridad y revocación
Las credenciales se guardan en el almacén protegido de n8n, no en estas páginas. El candidato de coordinador incorpora comprobaciones de identidad, estado y recursos, todavía no activadas en producción; la coordinación por bloqueo no protege frente a cualquier escritor externo o edición manual de Sheets. No se garantiza seguridad absoluta.
La cuenta propietaria puede retirar el acceso desde sus conexiones Google. Revocar OAuth no elimina automáticamente noticias, auditorías, imágenes, mensajes ni backups. Un resultado incierto debe reconciliarse antes de reintentar o eliminar sus evidencias.
8. Páginas informativas y cambios
Estos HTML no contienen formularios, analítica, publicidad, cookies propias ni código de conexión OAuth. El alojamiento previsto puede procesar datos técnicos de solicitud para prestar y proteger el servicio. No se ha verificado una duración concreta de sus registros ni se promete que no existan. No se ofrecen formularios, suscripciones ni funciones publicitarias desde estas páginas.
La política se versionará con responsable, fecha efectiva y cambios de finalidad o proveedores. La fecha de esta versión identifica el texto; las modificaciones se comunicarán con una nueva versión cuando corresponda.