Política de privacidad

FirstSales ('nosotros' o 'nuestro') gestiona la plataforma FirstSales en firstsales.io. Es un producto de cold email entre empresas (B2B) que ofrece secuencias de email asistidas por IA, calentamiento automático de buzones y dominios, herramientas de entregabilidad, gestión de listas de prospectos y analítica de campañas.

Esta Política de privacidad explica cómo recogemos, recibimos, usamos, guardamos, compartimos, transferimos y protegemos los datos personales cuando usted usa el sitio web y la plataforma de FirstSales (en conjunto, el 'Servicio'). Se aplica a todas las personas que visitan firstsales.io, a todos los titulares de cuentas y usuarios de prueba, y a cualquier persona cuyos datos pasen por nuestros sistemas.

Para los datos personales de nuestros propios usuarios y visitantes del sitio web, FirstSales es el responsable del tratamiento: decidimos por qué y cómo se tratan los datos. Para los datos personales que los usuarios suben sobre sus propios prospectos y contactos (listas de destinatarios, datos de enriquecimiento, importaciones del CRM), FirstSales es encargado del tratamiento. Actuamos siguiendo las instrucciones del usuario, que es el responsable de esos datos.

Si recibió un cold email enviado con FirstSales y quiere saber por qué le contactaron, o quiere que le quiten de la lista del remitente, responda a ese email o contacte directamente con el remitente. También puede escribirnos a firstsales@support.communicate.so y le ayudaremos a hacer llegar su solicitud.

Al crear una cuenta, empezar una prueba o usar cualquier parte del Servicio, usted confirma que ha leído y entendido esta Política de privacidad. Si no está de acuerdo con alguna parte, no use el Servicio.

Los datos personales que recogemos dependen de cómo use usted FirstSales.

Datos de cuenta y perfil: cuando se registra, recogemos su nombre, su dirección de email y los datos opcionales de perfil que añada, como el nombre de la empresa, el cargo o el sitio web. Si invita a miembros del equipo, recogemos sus direcciones de email para enviar las invitaciones.

Datos de facturación y pago: cuando empieza una suscripción de pago o la prueba de $1, nos da datos de facturación como el nombre del titular y la información de la tarjeta. Nuestros procesadores de pagos externos (actualmente Stripe) gestionan los pagos. Nunca recibimos ni guardamos en nuestros servidores el número completo de su tarjeta, el CVV ni la fecha de caducidad completa. Recibimos y guardamos un token de pago, los cuatro últimos dígitos, la marca de la tarjeta y el país de facturación, para gestionar su suscripción y prevenir el fraude.

Datos de buzones y dominios conectados: para enviar email en su nombre, usted permite a FirstSales acceder a su cuenta de email mediante OAuth (Google, Microsoft o proveedores similares) o mediante credenciales SMTP/IMAP. Esto nos permite enviar email desde su dirección, leer el estado de entrega del correo enviado y, si activa el calentamiento, intercambiar mensajes de calentamiento dentro de nuestra red. Guardamos los tokens OAuth (cifrados), su dirección de email, el nombre visible, la identidad del proveedor y los ajustes de envío. Accedemos a los metadatos del email (asunto, hora, message-id, direcciones de los destinatarios) y, en algunos casos, a una parte limitada del cuerpo del email, solo para hacer el calentamiento, registrar aperturas y clics, y darle analítica de entregabilidad.

Datos de prospectos y contactos que suben los usuarios: puede subir archivos CSV, conectar integraciones con su CRM o añadir contactos a mano. Estos registros pueden incluir nombres, direcciones de email profesionales, cargos, nombres de empresas, URLs de LinkedIn y otros datos de prospección. Estos datos le pertenecen. Usted es el responsable del tratamiento y solo usted debe asegurarse de tener una base legal para tratar y contactar a cada persona.

Datos de uso y del producto: recogemos información sobre cómo usa el Servicio, como las páginas visitadas, las funciones activadas, las secuencias creadas, las campañas lanzadas, los emails enviados y registrados, las aperturas y los clics, y la duración de las sesiones. Estos datos se vinculan sobre todo a su cuenta y no se usan para seguirle por otros sitios.

Datos del dispositivo y registros: nuestros servidores registran automáticamente su dirección IP, el tipo y la versión del navegador, el sistema operativo, la URL de origen y la hora cuando usa el Servicio. Usamos estos registros para la supervisión de la seguridad, la corrección de errores y la prevención del abuso.

• Cookies y herramientas similares: usamos cookies esenciales para mantener su sesión iniciada y protegerle frente a ataques CSRF. Podemos usar cookies de analítica para entender el uso general del producto. Las cookies de preferencias recuerdan ajustes como la zona horaria y el idioma. Para ver todos los detalles sobre cookies, herramientas de seguimiento y cómo excluirse, consulte nuestra Política de cookies.

Usamos la información que recogemos para estos fines:

• Prestar el Servicio: iniciar su sesión, enviar email y hacer el calentamiento por usted, gestionar campañas y secuencias, guardar y mostrar sus listas de prospectos, y mostrar paneles de analítica.
• Gestión de la cuenta y facturación: gestionar suscripciones, activaciones de prueba y renovaciones, e informarle de cambios de plan, facturas y problemas de pago.
• Entregabilidad y calentamiento: analizar patrones de envío, señales de reputación, tasas de rebote y llegada a la bandeja de entrada para aconsejarle y ajustar automáticamente los calendarios de calentamiento.
• Redacción asistida por IA: usar el contexto de su campaña (a quién escribe, la descripción de su producto, el tono elegido) para redactar textos de email personalizados. No entrenamos modelos de IA compartidos con sus datos privados de prospectos ni con el contenido de sus emails sin su consentimiento explícito.
• Atención al cliente: responder a sus solicitudes, resolver problemas y ayudarle a empezar.
• Seguridad y prevención del abuso: detectar cuentas falsas, spam enviado desde nuestra plataforma, intentos de acceso no autorizado e incumplimientos de nuestros Términos del servicio.
• Obligaciones legales y de cumplimiento: conservar los registros que exige la ley, responder a solicitudes legales válidas y hacer cumplir nuestros acuerdos.
• Mejorar el producto: estudiar tendencias de uso generales y anonimizadas para mejorar funciones, corregir errores y decidir qué construir después.

No vendemos sus datos personales, el contenido de sus buzones conectados ni sus listas de prospectos a nadie con fines publicitarios.

Si usted está en el Espacio Económico Europeo (EEE), el Reino Unido o Suiza, tratamos sus datos personales con una o varias de estas bases legales según el Reglamento General de Protección de Datos (RGPD) y la ley nacional aplicable:

• Contrato (artículo 6(1)(b)): el tratamiento que necesitamos para cumplir nuestro contrato con usted, como gestionar su cuenta, enviar email, gestionar la facturación y darle soporte.
• Interés legítimo (artículo 6(1)(f)): el tratamiento para nuestros intereses comerciales legítimos, cuando sus derechos no prevalecen sobre ellos. Por ejemplo, la detección del fraude, la supervisión de la seguridad, la analítica del producto, informar a los clientes actuales de funciones relacionadas y mejorar las herramientas de entregabilidad.
• Consentimiento (artículo 6(1)(a)): cuando nos basamos en su consentimiento, como para las cookies de analítica opcionales o los emails de marketing a personas a las que contacta la propia FirstSales. Puede retirar su consentimiento en cualquier momento. Esto no afecta al tratamiento hecho antes.
• Obligación legal (artículo 6(1)(c)): el tratamiento que exige la ley, como conservar registros fiscales o responder a órdenes judiciales o a reguladores.

Si aparecen por accidente categorías especiales de datos personales en las listas de prospectos subidas, solo las tratamos con consentimiento explícito o cuando la ley lo permite. Recomendamos firmemente a los usuarios que no suban datos sensibles de este tipo al Servicio.

Conectar su buzón es lo que permite a FirstSales enviar email por usted. Controlamos estrictamente el acceso a su cuenta de email y solo lo usamos en la medida necesaria para las funciones que usted active.

Cuando conecta un buzón de Google Workspace o Microsoft 365 mediante OAuth, concede a FirstSales permisos OAuth concretos. En Google, pedimos permisos para enviar email (gmail.send), para leer las etiquetas y los metadatos necesarios para el seguimiento de entregas (gmail.readonly o similar) y, si el calentamiento está activado, para añadir y gestionar mensajes de calentamiento. No pedimos acceso a toda su bandeja de entrada ni a sus contactos más allá de lo que necesitan las funciones que active.

Guardamos los tokens OAuth cifrados en reposo con cifrado estándar del sector. Los tokens de acceso se renuevan automáticamente y solo se guardan mientras su buzón sigue conectado. Si revoca el permiso OAuth en los ajustes de su cuenta de Google o Microsoft, nuestro acceso termina de inmediato.

• Leemos los metadatos del email (remitente, destinatario, asunto, message-id, hora) para relacionar los mensajes enviados con los eventos de apertura y clic.
• Para el calentamiento, nuestro sistema envía y recibe mensajes cortos con apariencia humana entre las cuentas conectadas de nuestra red de calentamiento. Estos mensajes están escritos claramente por una máquina para el calentamiento y no contienen el contenido real de sus campañas.
• No leemos, indexamos ni analizamos el contenido completo de los emails de su bandeja de entrada más allá de lo que usted envía a través del Servicio.
• No compartimos ni vendemos el contenido de sus emails, ni lo usamos para publicidad, comercio de datos o entrenamiento de modelos de IA compartidos, sin su consentimiento explícito.
• Solo accedemos a su buzón siguiendo sus instrucciones. Usted sigue siendo responsable de que su uso de los buzones conectados cumpla los términos del servicio de su proveedor de email.

Si desconecta un buzón de FirstSales, dejamos de acceder a él de inmediato. Conservamos los metadatos vinculados a la actividad pasada de las campañas (registros de envío, eventos de analítica) según nuestras normas de conservación, para que sus informes de campaña sigan completos.

FirstSales es una herramienta de prospección entre empresas. Los usuarios suben listas de contactos profesionales, normalmente personas que trabajan en empresas, para hacer campañas de cold email. Cuando usted sube datos de prospectos, es el responsable de esos datos y FirstSales es su encargado del tratamiento.

Solo usted debe asegurarse de tener una base legal para tratar y contactar a cada persona de su lista de prospectos. Debe cumplir todas las leyes aplicables, incluidas CAN-SPAM, el RGPD, CASL y cualquier otra norma de los países de sus destinatarios.

Como responsable de los datos de prospectos, usted debe:

• Obtener sus contactos por medios legítimos (por ejemplo, información profesional pública, formularios de aceptación o listas compradas a proveedores que cumplen la ley) y confirmar que tiene una base legal para la prospección B2B.
• Asegurarse de que cada campaña de email identifique claramente al remitente, tenga un asunto honesto e incluya una opción de baja que funcione, como exigen CAN-SPAM y leyes similares.
• Atender rápidamente las solicitudes de baja y supresión. FirstSales ofrece funciones de listas de supresión, y usted debe usarlas cuando un contacto pide que le quiten.
• No subir categorías especiales de datos personales (salud, finanzas, política, biometría u otros datos sensibles) a la base de datos de prospectos.
• No subir datos que no tenga derecho legal a tratar o a usar para email comercial.

FirstSales solo trata los datos de prospectos para ejecutar sus campañas, mostrar los registros en su panel y darle analítica de sus envíos. No comparamos sus listas de prospectos con las de otros clientes, no vendemos datos de prospectos ni los usamos para nada distinto del trabajo de campaña que usted nos pide.

Cuando su cuenta termina, eliminamos los datos de prospectos según el calendario de conservación de la Sección 8.

No vendemos datos personales. Solo compartimos datos personales en los casos limitados que se indican abajo.

Subencargados y proveedores de servicios: usamos empresas externas elegidas con cuidado para ayudarnos a prestar el Servicio. Estos subencargados pueden tratar datos personales por cuenta nuestra, pero sus contratos les obligan a usarlos solo para los fines que fijamos y a mantenerlos seguros. Los principales tipos de subencargados son:

• Infraestructura en la nube: servicios de alojamiento y bases de datos que guardan datos de cuentas, de campañas y registros en entornos de nube seguros.
• Infraestructura de envío de email: servicios de relé SMTP y de entregabilidad que ayudan a enrutar y supervisar el email saliente.
• Procesadores de pagos: Stripe (y servicios similares) que gestionan los pagos con tarjeta. Estos procesadores cumplen PCI-DSS.
• Analítica y supervisión de errores: herramientas que recogen datos generales de uso del producto y registros de errores de la aplicación, para ayudarnos a mejorar la fiabilidad y el rendimiento.
• Herramientas de atención al cliente: plataformas de soporte y chat que usamos para responder a sus tickets y preguntas.
• Proveedores de inicio de sesión: proveedores de identidad OAuth (Google, Microsoft) cuyos servidores de autorización usa usted al conectar buzones.

Divulgaciones legales y de seguridad: podemos divulgar datos personales si lo exige la ley, un reglamento, un procedimiento legal o una solicitud válida de una autoridad (como una orden judicial o una citación). Cuando la ley lo permita, le avisaremos antes de entregar datos en respuesta a una solicitud así. También podemos divulgar datos para proteger los derechos, los bienes o la seguridad de FirstSales, de nuestros usuarios o del público.

Transmisiones de la empresa: si hay una fusión, una adquisición, una financiación, una reorganización, una quiebra o la venta de todos o parte de nuestros activos, los datos personales que tenemos pueden pasar al nuevo propietario. Le informaremos de cualquier transmisión así y de las opciones que tenga.

Con su consentimiento: compartimos sus datos con otros terceros cuando usted nos lo indica claramente, por ejemplo cuando aprueba una integración nativa con su CRM.

Conservamos los datos personales mientras su cuenta está activa y durante un periodo fijado después, o durante el tiempo que exija la ley.

• Cuentas activas: conservamos su perfil, los registros de facturación, los datos de campañas y los metadatos de los buzones conectados mientras exista su cuenta.
• Después de que termine su cuenta o cancele: conservamos los registros básicos de la cuenta y el historial de facturación hasta 7 años para cumplir obligaciones financieras y legales. Conservamos la analítica de campañas (métricas generales, registros de envío) hasta 2 años después de que termine la cuenta, para resolver disputas.
• Datos de prospectos y contactos: se eliminan en los 90 días siguientes al fin de la cuenta, salvo que usted pida que se eliminen antes.
• Tokens OAuth: se revocan y se eliminan de inmediato cuando desconecta un buzón o elimina su cuenta.
• Registros del servidor y de seguridad: se conservan hasta 12 meses para la supervisión de la seguridad y la prevención del abuso, y después se eliminan o se anonimizan.
• Copias de seguridad: las copias cifradas pueden conservar datos hasta 60 días más después del periodo normal de conservación antes de borrarse.

Puede pedirnos en cualquier momento que eliminemos su cuenta y sus datos personales escribiendo a firstsales@support.communicate.so. Atendemos las solicitudes de eliminación en un plazo de 30 días, salvo que la ley nos obligue a conservar ciertos registros.

Eliminar su cuenta borra para siempre sus campañas, secuencias, listas de prospectos, ajustes de buzones conectados y datos de perfil. No se puede deshacer. Conservamos los registros de facturación que exige la ley fiscal, de forma anonimizada o mínima, durante el periodo que fija la ley.

Proteger sus datos y el acceso a sus buzones es esencial para nuestro producto. Aplicamos medidas de seguridad técnicas y organizativas adecuadas a la sensibilidad de los datos.

• Cifrado en tránsito: todo el tráfico entre su navegador o cliente de email y nuestros servidores usa TLS 1.2 o superior. Los endpoints de la API solo aceptan HTTPS.
• Cifrado en reposo: las bases de datos, el almacenamiento de archivos y las copias de seguridad se cifran en reposo con AES-256 o equivalente. Los tokens OAuth y las credenciales SMTP se cifran además en la aplicación antes de guardarse.
• Control de acceso: solo el personal autorizado puede acceder a los sistemas de producción y a los datos de clientes, y cada persona recibe el mínimo acceso que necesita. Registramos y revisamos todos los accesos a producción. El acceso de administración exige autenticación multifactor.
• Gestión de tokens: nunca registramos ni mostramos los tokens OAuth en texto plano. Los tokens de actualización cambian cada vez que se usan. Solo guardamos los permisos mínimos que necesita cada integración de buzón.
• Gestión de vulnerabilidades: auditamos nuestras dependencias con regularidad, aplicamos rápidamente los parches de seguridad y revisamos los cambios de código en busca de problemas de seguridad.
• Respuesta a incidentes: mantenemos un plan de respuesta a incidentes. Si se produce una violación de datos personales, informaremos a los usuarios afectados y a las autoridades de control competentes en el plazo que exija la ley.

Aun con estas medidas, ninguna transmisión por internet ni ningún sistema de almacenamiento es 100% seguro. Si cree que alguien ha accedido sin permiso a su cuenta de FirstSales, escriba de inmediato a firstsales@support.communicate.so y cambie su contraseña y sus permisos OAuth.

FirstSales opera en todo el mundo y puede tratar sus datos personales en países distintos del suyo. En concreto, nuestra infraestructura está alojada principalmente en Estados Unidos. Si usted está en el EEE, el Reino Unido o Suiza, sus datos personales pueden enviarse y tratarse en Estados Unidos o en otros países que quizá no protejan los datos tanto como su país.

Cuando enviamos datos personales desde el EEE, el Reino Unido o Suiza a un país sin decisión de adecuación, nos basamos en garantías adecuadas, entre ellas:

• Cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea, incluidas en nuestros acuerdos con subencargados e importadores de datos.
• El Acuerdo Internacional de Transferencia de Datos del Reino Unido (IDTA), o el anexo británico a las SCC, para las transferencias desde el Reino Unido.
• Evaluaciones de impacto de las transferencias cuando son obligatorias, con medidas técnicas adicionales (cifrado, seudonimización) cuando procede.

Al usar el Servicio, usted reconoce que sus datos pueden transferirse al extranjero como se describe arriba. Para preguntas sobre las garantías que se aplican a sus datos, escriba a firstsales@support.communicate.so.

Según dónde se encuentre, usted puede tener ciertos derechos sobre sus datos personales. Respetaremos estos derechos con rapidez y sin obstáculos innecesarios.

Derechos según el RGPD (personas en el EEE, el Reino Unido y Suiza):

• Derecho de acceso: puede pedir una copia de los datos personales que tenemos sobre usted y saber cómo los tratamos.
• Derecho de rectificación: puede pedirnos que corrijamos datos personales incorrectos o incompletos.
• Derecho de supresión ('derecho al olvido'): puede pedirnos que eliminemos sus datos personales cuando ya no los necesitemos para el fin con el que los recogimos, cuando retire su consentimiento (y no haya otra base legal) o cuando el tratamiento sea ilícito.
• Derecho a la portabilidad: puede pedir sus datos personales en un formato estructurado, de uso común y legible por máquina para llevarlos a otro responsable, cuando el tratamiento se basa en el consentimiento o en un contrato y es automatizado.
• Derecho de oposición: puede oponerse al tratamiento basado en nuestro interés legítimo, incluido el marketing directo. Pararemos salvo que demostremos motivos legítimos imperiosos que prevalezcan sobre sus intereses.
• Derecho a la limitación del tratamiento: puede pedirnos que limitemos el tratamiento de sus datos en ciertos casos, por ejemplo mientras se resuelve una disputa sobre su exactitud.
• Derechos sobre decisiones automatizadas: no tomamos decisiones sobre usted con efectos legales o igual de importantes solo por medios automatizados, sin intervención de una persona.

Derechos según la CCPA/CPRA (residentes en California):

• Derecho a saber: puede pedirnos que le digamos las categorías y los datos concretos de información personal que hemos recogido sobre usted, de dónde vienen, por qué los usamos y con qué terceros los compartimos.
• Derecho a eliminar: puede pedirnos que eliminemos la información personal que hemos recogido, con algunas excepciones.
• Derecho a corregir: puede pedirnos que corrijamos información personal incorrecta.
• Derecho a oponerse a la venta o al intercambio: no vendemos ni compartimos información personal para publicidad conductual entre contextos. No necesita excluirse, pero puede contactarnos para confirmarlo.
• Derecho a no ser discriminado: no le trataremos de forma injusta por ejercer sus derechos de privacidad.

Cómo ejercer sus derechos: envíe una solicitud a firstsales@support.communicate.so con el asunto 'Privacy Rights Request'. Comprobaremos su identidad antes de atender su solicitud y responderemos en 30 días (o en 45 días cuando la ley lo permita y se lo avisemos). Una solicitud cada 12 meses es gratuita.

Si está en el EEE o el Reino Unido y cree que no hemos tratado sus datos de forma lícita, tiene derecho a presentar una reclamación ante su autoridad de control local (por ejemplo, la Comisión de Protección de Datos de Irlanda, la ICO del Reino Unido o la autoridad de su Estado miembro). Le animamos a contactarnos primero en firstsales@support.communicate.so para intentar resolver el problema directamente.

Privacidad de los menores: el Servicio es solo para profesionales y no está dirigido a menores de 16 años (o de la edad de consentimiento digital de su país). No recogemos a sabiendas datos personales de menores. Si cree que un menor nos ha dado datos personales, escriba a firstsales@support.communicate.so y los eliminaremos rápidamente.

Cambios en esta política: podemos actualizar esta Política de privacidad de vez en cuando para reflejar cambios en nuestras prácticas, en la ley o en las funciones del producto. Cuando hagamos cambios importantes, le avisaremos por email (a la dirección de su cuenta) y con un aviso claro en el producto al menos 14 días antes de que el cambio entre en vigor. La fecha de 'Última actualización' al principio de esta página siempre indica la fecha de la última versión. Si sigue usando el Servicio después de que entre en vigor una política actualizada, acepta los cambios.

Podemos facilitarle versiones anteriores de esta Política de privacidad si las solicita.

Cómo contactarnos: si tiene preguntas, inquietudes o solicitudes sobre esta Política de privacidad o sobre cómo tratamos los datos, contáctenos:

• Email: firstsales@support.communicate.so
• Asunto para temas de privacidad: 'Privacy Inquiry' o 'Privacy Rights Request'
• Intentamos responder a toda pregunta de privacidad en 5 días hábiles y atender las solicitudes de derechos en 30 días.

Si un asunto de protección de datos no se puede resolver por nuestro canal de soporte, las personas del EEE y del Reino Unido pueden llevarlo a su autoridad nacional de control de protección de datos. Los residentes en California pueden contactar con la California Privacy Protection Agency (CPPA).