Política de privacidad

Versión: 1.17 · En vigor desde: 3 de noviembre de 2026

Esta Política de privacidad explica cómo Mailistix UG (haftungsbeschränkt) («Mailistix», «nosotros», «nos» y «nuestro») trata los datos personales cuando usted utiliza la aplicación de escritorio de Mailistix para macOS y Windows (la «Aplicación») y los servicios de servidor que operamos para ella (los «Servicios en la nube»; junto con la Aplicación, el «Servicio»), cuando se pone en contacto con nosotros y cuando visita mailistix.com.

Esta política tiene carácter informativo; no forma parte de su contrato con nosotros. Las reglas de uso del Servicio figuran en nuestros Términos del servicio (los «Términos») y en nuestro Contrato de licencia de software. Los términos escritos con mayúscula inicial que no se definan aquí tienen el significado que se les atribuye en los Términos. Encontrará más detalles sobre las Funciones de IA en nuestro Aviso sobre las funciones de IA, y las empresas que tratan datos por cuenta nuestra se enumeran en nuestra página de Subencargados del tratamiento.

Esta política se publica en https://mailistix.com/privacy-policy.

De un vistazo

• Para empresas. Mailistix se ofrece solo a empresas y a autónomos. Respecto del contenido de los correos electrónicos y de los datos de notificaciones que llegan a nuestros servidores, actuamos por cuenta de la empresa para la que usted utiliza Mailistix, como su encargado del tratamiento (sección 2.3).
• Su correo permanece en su ordenador. La Aplicación sincroniza su buzón directamente entre su ordenador y su proveedor de buzón (por ejemplo, Google o Microsoft) y lo almacena en una base de datos cifrada en su ordenador. Sus correos electrónicos, archivos adjuntos, contactos y calendario no se almacenan en nuestros servidores.
• El contenido del correo llega a nuestros servidores solo cuando usted utiliza una Función de IA. El texto que requiere una solicitud se transmite a través de nuestros servidores en la UE (de forma predeterminada, en Fráncfort, Alemania) a Microsoft Azure OpenAI o a Google Vertex AI, y nosotros no lo almacenamos. Para las notificaciones en tiempo real conservamos únicamente la dirección de su buzón y un número técnico de cambio, nunca contenido. Para detectar pruebas gratuitas repetidas, conservamos además un código seudonimizado de cada buzón que conecta; a partir de él no puede leerse la dirección (sección 4.3).
• La IA permanece en la UE salvo que nos indique que reside fuera de Europa. Si responde que reside en Europa (la UE, el EEE, el Reino Unido o Suiza), o no responde, todo el tratamiento de IA se realiza en la UE. Si responde que reside fuera de Europa, algunas solicitudes a los modelos Gemini de Google pueden tratarse fuera de la UE.
• Sin venta, sin publicidad, sin entrenamiento. No vendemos ni alquilamos datos personales, no mostramos anuncios y no utilizamos sus datos para publicidad ni para evaluar la solvencia. Ni nosotros ni nuestros proveedores de IA utilizamos sus correos electrónicos para entrenar modelos de IA.
• Analítica solo si usted da su consentimiento (opt-in). Las estadísticas de uso y los informes de fallos están desactivados salvo que usted los active. Utilizan un identificador aleatorio, no su nombre ni su dirección de correo electrónico.
• Polar gestiona los pagos. Polar Software, Inc. vende los Planes de pago como comerciante registrado (merchant of record) y trata sus datos de pago con arreglo a su propia política de privacidad. Nunca vemos los datos completos de su tarjeta.
• Usted tiene el control. En la Aplicación puede exportar los datos que conservamos en nuestros servidores, eliminar su Cuenta, quitar un buzón (lo que también revoca el acceso de Mailistix a su cuenta de Google), desactivar las Funciones de IA, cambiar su región y eliminar los datos de uso opcionales.
• Los datos de usuario de Google se utilizan únicamente en la medida en que lo permite la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de uso limitado (sección 5).
• Mailistix está destinado a adultos (mayores de 18 años).

1. Quiénes somos y cómo contactar con nosotros

1.1 Responsable del tratamiento. El responsable de los tratamientos descritos en la sección 2.2 es la siguiente sociedad, que actúa además como encargada del tratamiento respecto de los descritos en la sección 2.3:

Mailistix UG (haftungsbeschränkt)
Kolonnenstr. 8
10827 Berlin
Germany
Representada por el gerente: Marvin Muvunyi
Registro: Amtsgericht Charlottenburg (Berlin), HRB 291268 B

1.2 Contacto de privacidad. Para cualquier pregunta sobre sus datos personales o para ejercer sus derechos, escriba a legal@mailistix.com o a la dirección postal indicada arriba.

1.3 Representantes. Estamos establecidos en la Unión Europea, por lo que no necesitamos un representante en la UE. Para el Reino Unido, véase la sección 16.3. No hemos designado un representante en Suiza.

2. Qué abarca esta política y cuál es nuestra función

2.1 Ámbito de aplicación. Esta política abarca la Aplicación, los Servicios en la nube, nuestros canales de soporte y nuestro sitio web. No abarca los servicios de Google, Microsoft, Polar u otros terceros que usted utilice junto con Mailistix; se aplican sus propias políticas de privacidad.

2.2 Cuándo somos el responsable del tratamiento. Decidimos cómo y con qué fines se tratan los datos personales y, por tanto, somos el responsable del tratamiento en relación con:

• su Cuenta de Mailistix y su inicio de sesión, y el registro de su aceptación de los Términos y del Acuerdo de tratamiento de datos;
• su Plan, sus Créditos y sus registros de facturación;
• los registros de uso de las solicitudes de IA (sin contenido), la actividad de la Aplicación, la seguridad y la prevención de abusos, incluyendo las huellas de los buzones (sección 4.3);
• los registros de consentimiento y su configuración de región;
• la analítica y los informes de fallos opcionales, la supervisión de errores del servidor y las actualizaciones de la Aplicación;
• nuestra comunicación con usted, incluido el soporte (con excepción de los Datos personales del Cliente descritos en la sección 2.3); y
• nuestro sitio web, incluidos el formulario de contacto y la lista de espera.

2.3 Cuándo actuamos por cuenta de su empresa (encargado del tratamiento). Mailistix se ofrece solo a empresas y a autónomos (Términos, Sección 3.5). Todas las personas que utilizan Mailistix lo hacen para un Cliente empresarial: su empleador u otra organización, un cliente o su propia empresa si son autónomos. Para los siguientes tratamientos, actuamos por cuenta de ese Cliente empresarial, como su encargado del tratamiento, con arreglo a nuestro Acuerdo de tratamiento de datos:

• el contenido de las solicitudes de IA y el Resultado de la IA (sección 4.6);
• la transmisión, a través de nuestro servidor, de los códigos y tokens de inicio de sesión de un buzón al conectarlo (sección 4.3);
• los registros de las notificaciones en tiempo real de correo nuevo (sección 4.5);
• las solicitudes de baja con un solo clic (sección 4.8); y
• el contenido de los correos electrónicos y los datos personales de otras personas que usted incluya en un paquete de diagnóstico o en un mensaje de soporte (sección 4.14).

Quedan comprendidos en este tratamiento sus propios datos, así como los datos de otras personas, por ejemplo, las personas con las que usted mantiene correspondencia (los «Datos personales del Cliente»). Respecto de estos datos, el Cliente empresarial es el responsable del tratamiento: es él quien decide la base jurídica y se aplica su propia información sobre privacidad. Describimos este tratamiento en esta política para que sepa qué ocurre con sus datos. Si usted es autónomo y utiliza Mailistix para su propia actividad, usted es el Cliente empresarial. Lo más indicado es dirigir al Cliente empresarial las solicitudes relativas a estos datos; si nos las envía a nosotros, se las trasladamos (sección 12.7).

2.4 Datos que permanecen en su dispositivo. La mayor parte de lo que la Aplicación hace con su correo sucede únicamente en su ordenador, bajo su control y el de su Cliente empresarial. No tenemos acceso a esos datos y no somos ni responsable ni encargado del tratamiento respecto de ellos. Los describimos en esta política para que sepa qué hace la Aplicación.

2.5 Personas con las que usted mantiene correspondencia. Si usted no es usuario de Mailistix, sino una persona que escribe a un usuario de Mailistix o que recibe correos electrónicos de este, la sección 7 explica qué ocurre con sus datos.

3. Dónde se conservan sus datos: visión general

4. Qué tratamos, con qué fines y con qué base jurídica

Para cada actividad, esta sección describe los datos, la finalidad y la base jurídica con arreglo al Reglamento general de protección de datos de la UE (el «RGPD»). Las bases jurídicas son: el consentimiento (artículo 6, apartado 1, letra a), del RGPD), la ejecución de un contrato con usted o la aplicación de medidas precontractuales (artículo 6, apartado 1, letra b)), el cumplimiento de una obligación legal (artículo 6, apartado 1, letra c)) y los intereses legítimos nuestros o de un tercero (artículo 6, apartado 1, letra f)). Cuando nos basamos en intereses legítimos, los indicamos. Los plazos de conservación se resumen en la sección 10.

Si usted utiliza Mailistix para una organización. Cuando esta sección indica «contrato» como base jurídica, se aplica directamente si usted mismo es nuestra parte contratante, por ejemplo, como autónomo. Si usted utiliza Mailistix para una empresa u otra organización que es nuestra parte contratante, nos basamos, en su lugar, en intereses legítimos (artículo 6, apartado 1, letra f)): nuestro interés y el interés del Cliente empresarial en prestar el Servicio contratado por el Cliente empresarial a las personas que este autoriza a utilizarlo.

Tratamiento para su Cliente empresarial. Para los tratamientos marcados con «Función: encargado del tratamiento» más abajo, actuamos por cuenta de su Cliente empresarial (sección 2.3); la base jurídica es la del Cliente empresarial.

4.1 Su Cuenta de Mailistix

Datos: su dirección de correo electrónico; los códigos de inicio de sesión de un solo uso que le enviamos por correo electrónico (seis dígitos, válidos durante 15 minutos); la confirmación de su dirección de correo electrónico; el idioma de su interfaz; la fecha y hora de su registro y de sus inicios de sesión; y los tokens de sesión (un token de inicio de sesión válido durante una hora y un token de actualización que cambia con cada uso; una sesión termina tras 90 días sin uso). El servicio de autenticación de nuestro proveedor de alojamiento también registra datos técnicos de las solicitudes, incluida su dirección IP. En su ordenador, la Aplicación almacena su sesión cifrada con el almacenamiento seguro de su sistema operativo.

Fines: crear su Cuenta, iniciar su sesión, mantener su sesión iniciada, confirmar los cambios de su dirección de correo electrónico, mostrar la Aplicación en su idioma y proteger su Cuenta frente a accesos no autorizados.

Base jurídica: contrato (artículo 6, apartado 1, letra b)). Registros de seguridad: intereses legítimos (artículo 6, apartado 1, letra f)) en proteger las cuentas y el Servicio frente al uso indebido.

Usted inicia sesión en Mailistix con su dirección de correo electrónico y un código que le enviamos por correo electrónico; las Cuentas de Mailistix no tienen contraseña. Mailistix no ofrece el inicio de sesión con una cuenta de Google o de Microsoft; conectar un buzón (sección 4.3) es un paso aparte.

4.2 Decisiones de configuración y registros de consentimiento

Región. Durante la configuración, la Aplicación pregunta «¿Dónde resides?» con dos respuestas: «En Europa» (la UE, el EEE, el Reino Unido o Suiza) o «Fuera de Europa». Puede cambiar su respuesta en cualquier momento en Configuración › Privacidad e IA. Conservamos su respuesta, la hora y la versión de la Aplicación. La utilizamos únicamente para dos cosas: decidir dónde se tratan sus solicitudes de IA (sección 4.6.4) y calcular cuántos Créditos consume una solicitud de IA, porque los modelos de IA utilizados para las dos regiones tienen precios diferentes. Cambiar su región nunca añade Créditos. Hasta que responda, o si no se puede leer su respuesta, sus solicitudes de IA se tratan en la UE. No determinamos su ubicación a partir de su dirección IP.

Registros de consentimiento. Conservamos cuándo activó las Funciones de IA (con la versión del texto del consentimiento y la versión de la Aplicación) hasta que las desactive o elimine su Cuenta; cada activación o desactivación se registra además como un evento de seguridad (sección 4.15). También conservamos sus decisiones sobre la analítica y los informes de fallos opcionales, el historial de esas decisiones y el identificador aleatorio de analítica descrito en la sección 4.12.

Aceptación de los Términos. Cuando usted crea su Cuenta o acepta unos nuevos Términos en la Aplicación, confirma que tiene 18 años o más y que utiliza Mailistix para su empresa, para su actividad profesional por cuenta propia o, con su permiso, para la organización en la que trabaja, y acepta los Términos, incluido el Acuerdo de tratamiento de datos, y el Contrato de licencia de software. Registramos la versión de los Términos y del Acuerdo de tratamiento de datos que aceptó, la hora (la de nuestro servidor), si aceptó al registrarse o más adelante en la Aplicación, la versión de la Aplicación, el idioma de la Aplicación, qué redacción de la confirmación vio, junto con una suma de comprobación SHA-256 de esa redacción exacta, y la suma de comprobación SHA-256 de cada documento de la versión. Si usted se opone a una modificación anunciada de los Términos (Términos, Sección 19.3), registramos la oposición con los mismos datos. Al registrarse, las versiones aceptadas se conservan además junto con su Cuenta. Cuando confirma su dirección de correo electrónico, nuestro servidor registra su aceptación a partir de estos datos, junto con la hora en que solicitó el registro y la hora en que lo confirmó. Las exclusiones (opt-out) del convenio arbitral que nos envíe por correo electrónico se registran con la hora en que las recibimos y el identificador del mensaje. Para proteger estos registros frente a su pérdida y a su alteración posterior, cada día conservamos en Microsoft Azure Blob Storage, en Alemania, una lista de sumas de comprobación de estos registros (sin datos legibles), que no puede modificarse ni eliminarse durante 4 años y 1 mes, y una copia de seguridad de los registros (con su identificador de usuario y un hash de su dirección de correo electrónico en lugar de la dirección), que se elimina automáticamente a los 30 días (sección 8). Cuando se elimina su Cuenta, conservamos una copia de estos registros con su identificador de usuario y un hash unidireccional (SHA-256) de su dirección de correo electrónico en lugar de la dirección, hasta el 1 de enero del cuarto año posterior a la eliminación (sección 10).

Base jurídica: registros de región y de aceptación: contrato (artículo 6, apartado 1, letra b)) e intereses legítimos (artículo 6, apartado 1, letra f)) en poder probar qué condiciones se aplican y que el Servicio se utiliza con fines empresariales; para la copia conservada tras la eliminación: intereses legítimos (artículo 6, apartado 1, letra f)) en probar el contrato y la confirmación empresarial frente a reclamaciones jurídicas (artículo 17, apartado 3, letra e), del RGPD). Registros de sus decisiones sobre analítica e informes de fallos: obligación legal de poder demostrar el consentimiento (artículo 6, apartado 1, letra c), en relación con el artículo 7, apartado 1, del RGPD). Registros de la configuración de IA, y de todas las decisiones en la medida en que sirvan a este fin: intereses legítimos (artículo 6, apartado 1, letra f)) en documentar sus decisiones, demostrar que cumplimos los requisitos de Google y de nuestros proveedores, y aplicar sus decisiones en cada dispositivo que utilice.

4.3 Conexión de un buzón

Cómo funciona: usted conecta un buzón de Gmail o de Google Workspace, o un buzón de Microsoft (Outlook.com o Microsoft 365), a través de la página de inicio de sesión de Google o de Microsoft en el navegador de su sistema. Mailistix nunca ve su contraseña de Google o de Microsoft. La Aplicación recibe el permiso mediante un intercambio seguro de un solo uso en su propio ordenador (OAuth 2.0 con PKCE). Puede conectar hasta 10 buzones en la Prueba de Pro y en el Plan Pro, y uno en el Plan Basic.

Buzones de otros proveedores (IMAP): también puede conectar un buzón de otro proveedor con su dirección de correo electrónico y su contraseña. Para encontrar los servidores, la Aplicación busca primero en una lista de proveedores integrada en la Aplicación (basada en la base de datos de Mozilla Thunderbird, con añadidos nuestros); después consulta en el Sistema de Nombres de Dominio (DNS) los registros de correo del dominio, solicita al propio servidor del dominio un archivo de configuración (autoconfig, a través de HTTPS) y, si no encuentra nada, prueba nombres de servidor probables con una conexión segura. Estas solicitudes van de su ordenador a los servidores del dominio y a su proveedor de DNS; contienen el dominio, y la solicitud del archivo de configuración contiene además su dirección de correo electrónico, tal como prevé el estándar de configuración. Los nombres de servidor que la Aplicación haya encontrado fuera de su dominio se le muestran antes del primer inicio de sesión. Su contraseña se envía únicamente a los servidores de correo entrante y saliente que usted acepte, a través de una conexión cifrada, y se almacena en su ordenador, cifrada con el almacenamiento seguro de su sistema operativo. Nunca se nos envía.

Tokens: Google y Microsoft emiten tokens de acceso y de actualización que permiten a la Aplicación trabajar con su buzón. La Aplicación los almacena en su ordenador, cifrados con el almacenamiento seguro de su sistema operativo. Para obtener y renovar estos tokens, la Aplicación utiliza una función de servidor propia, porque la clave confidencial que identifica a Mailistix ante Google debe permanecer en un servidor. El código de autorización y los tokens pasan por esa función de camino a Google o Microsoft y de vuelta; no se almacenan en nuestros servidores, y nuestros registros no los contienen.

Permisos: los permisos que solicita Mailistix, y por qué, se enumeran en la sección 5.2 (Google) y en la sección 6.1 (Microsoft).

Huella del buzón: cuando usted conecta un buzón, nuestra función de servidor toma además la dirección de correo electrónico del buzón (en el caso de Google, la dirección de correo electrónico de su cuenta principal de Google; en el caso de Microsoft, la dirección que figura en la respuesta del inicio de sesión; en el caso de un buzón conectado con su contraseña, la dirección que usted introdujo, que la Aplicación envía una vez a nuestra función de servidor después de que usted conecte un buzón nuevo) y la convierte en un código seudonimizado, la «huella del buzón». Primero escribe la dirección en una única forma estándar (en minúsculas, sin un sufijo «+» y, en el caso de Gmail, sin puntos y con googlemail.com escrito como gmail.com), de modo que las variantes de una misma dirección den el mismo código, y después calcula a partir de ella un hash unidireccional con clave (HMAC-SHA-256 con una clave secreta que solo existe en nuestro servidor). Almacenamos únicamente este código, el proveedor (Google, Microsoft o IMAP), su identificador de usuario y cuándo conectó el buzón por primera y por última vez, nunca la dirección en sí. Sin la clave, el código no puede convertirse de nuevo en la dirección. Si otras Cuentas de Mailistix, incluidas las eliminadas, conectaron antes el mismo buzón, registramos un evento de seguridad que contiene únicamente cuántas Cuentas de ese tipo hay (sección 4.15). Utilizamos las huellas solo para detectar usos indebidos, en particular pruebas gratuitas repetidas con el mismo buzón bajo nuevas Cuentas; no se bloquea automáticamente a nadie. Una huella permanece cuando usted quita el buzón; se elimina 12 meses después de la eliminación de su Cuenta (sección 10). Base jurídica: intereses legítimos (artículo 6, apartado 1, letra f)) en la prevención del fraude y del uso indebido de las pruebas gratuitas.

Función: la conexión tiene lugar en su ordenador bajo su control. Nuestra función de servidor que transmite el código de autorización y los tokens actúa como encargada del tratamiento por cuenta de su Cliente empresarial (sección 2.3). Conservamos la huella del buzón para nuestro propio fin de prevenir usos indebidos, como responsable del tratamiento (sección 2.2). Se registra como evento de seguridad el hecho de que se haya conectado un buzón de Google o de Microsoft o de que su conexión haya fallado (sección 4.15). En el caso de un buzón de otro proveedor, la búsqueda de los servidores y la conexión tienen lugar en su ordenador; a nuestra función de servidor solo llega su dirección, para la huella del buzón.

4.4 Su correo en su ordenador

Sincronización, lectura y envío. La Aplicación intercambia su correo directamente entre su ordenador y los servidores de su proveedor de buzón (Google, Microsoft o los servidores IMAP y SMTP de otro proveedor). Su correo no pasa por nuestros servidores. Cuando usted envía un correo electrónico, la Aplicación lo envía a través de su propio buzón. La Aplicación nunca envía un correo electrónico ni responde a una invitación por sí sola; solo lo hace cuando usted hace clic en enviar o en responder.

Almacenamiento local. La Aplicación almacena su correo en una base de datos en su ordenador, cifrada con ChaCha20-Poly1305 y una clave aleatoria de 256 bits que protege su sistema operativo. Las versiones finales de la Aplicación no permiten almacenar datos sin cifrar. Los archivos adjuntos que usted abre se almacenan en caché de forma cifrada (AES-256-GCM) durante un máximo de 7 días y hasta 512 MiB; las copias temporales sin cifrar que se crean para que otro programa pueda abrir un archivo se eliminan transcurridos 10 minutos. Las imágenes de los correos electrónicos se almacenan en caché durante un máximo de 180 días y hasta 1 GB. Los archivos que guarda en un proyecto se almacenan en la carpeta de documentos de la Aplicación; al eliminar el documento, también se elimina el archivo.

Libreta de direcciones. La Aplicación elabora su lista de contactos a partir de las direcciones de su correo, en su ordenador. Mailistix no utiliza los servicios de contactos de Google ni de Microsoft.

Búsqueda. Las búsquedas se ejecutan en el índice local de la Aplicación y, cuando es necesario, en su proveedor de buzón.

Registros locales. La Aplicación conserva registros técnicos en su ordenador: un registro de rendimiento (30 días, como máximo 5 MB), archivos de traza breves en su carpeta temporal que se sobrescriben automáticamente (aproximadamente 1 MB) y un registro de soporte cifrado (7 días, como máximo 500 entradas y 2 MB). Las entradas de los registros se depuran de contenido personal. La Aplicación no genera volcados de memoria nativos en caso de fallo. Estos registros permanecen en su ordenador salvo que usted decida enviárnoslos (sección 4.14).

Cuánto tiempo se conservan. Sus datos locales permanecen en su ordenador después de que cierre sesión. Se eliminan cuando quita un buzón (el correo de ese buzón), cuando utiliza Configuración › General › Zona de peligro › Borrar todos los correos, o cuando elimina su Cuenta en ese ordenador. Desinstalar la Aplicación no los elimina; para quitarlos, elimine la carpeta de datos de la Aplicación después de desinstalarla (en macOS ~/Library/Application Support/Mailistix, en Windows %APPDATA%\Mailistix). Una vez al día, la Aplicación también crea una copia de seguridad cifrada de los datos que solo existen en su ordenador (proyectos, tareas, firmas, preferencias de escritura, chats de Ask AI y las conexiones de sus buzones, pero no su correo), para poder reparar una base de datos dañada. Conserva siete copias diarias y cuatro semanales, como máximo unas cinco semanas; quitar un buzón o borrar sus correos las sustituye, y eliminar su Cuenta las elimina.

Nuestra función: este tratamiento tiene lugar en su ordenador bajo su control. No tenemos acceso a él.

4.5 Notificaciones en tiempo real de correo nuevo

Para mostrar el correo nuevo con rapidez sin consultar constantemente a su proveedor de buzón, los Servicios en la nube transmiten notificaciones de cambios. Estas notificaciones nunca contienen el contenido de un correo electrónico.

Gmail: nuestra función de servidor registra ante Google una notificación («watch») para su buzón, utilizando el token de acceso actual de la Aplicación para esa única solicitud. Cuando algo cambia, Google publica un mensaje a través de Google Cloud Pub/Sub que contiene únicamente su dirección de Gmail y un número de cambio. Pub/Sub conserva ese mensaje como máximo una hora. Nuestra función de servidor comprueba la firma de Google y conserva su dirección de Gmail, el número de cambio y su identificador de usuario durante 7 días. El registro que vincula su dirección de Gmail con su Cuenta se conserva hasta 30 días después de su última renovación. La Aplicación obtiene entonces los cambios efectivos directamente de Google.

Microsoft: nuestra función de servidor crea una suscripción de notificaciones de Microsoft Graph para los mensajes nuevos y modificados de su buzón. Las notificaciones de Microsoft no contienen contenido. Conservamos el identificador de la suscripción, el identificador del mensaje, el buzón y su identificador de usuario durante 7 días, y los datos de la suscripción, con un secreto de verificación almacenado como hash, hasta que usted quite el buzón o elimine su Cuenta, y como máximo 30 días después de que la suscripción haya caducado. Una tabla de notificaciones antigua que ya no se rellena se elimina transcurridos 30 días.

Buzones conectados mediante IMAP: la Aplicación mantiene una conexión adicional desde su ordenador con el servidor del proveedor, que avisa del correo nuevo en la bandeja de entrada (IMAP IDLE), y además comprueba el buzón cada pocos minutos. Nuestros servidores no intervienen y no conservan registros de notificaciones para estos buzones.

Cuando usted quita un buzón, la Aplicación detiene el «watch» o la suscripción y elimina estos registros. Si no se puede acceder a nuestros servidores en ese momento, un proceso diario elimina los registros de notificaciones cuando tienen una antigüedad de 7 días.

Función: encargado del tratamiento por cuenta de su Cliente empresarial (sección 2.3).

4.6 Funciones de IA

4.6.1 Cuándo se envían los datos

Las Funciones de IA están desactivadas hasta que usted las activa en el cuadro de diálogo «Deja que la IA te ayude con el correo», que aparece cuando utiliza una por primera vez, o en Configuración › Privacidad e IA. Después, el contenido del correo electrónico se envía para el tratamiento de IA únicamente cuando usted utiliza una Función de IA, por ejemplo, cuando solicita un borrador, abre un resumen, hace una pregunta a Ask AI o abre un resumen previo de una reunión, y en el paso de aprendizaje descrito en la sección 4.6.6 después de que usted envíe una respuesta redactada por la IA. Puede desactivar las Funciones de IA en cualquier momento en Configuración › Privacidad e IA › «Funciones de IA». A partir de entonces, no se envía nada para el tratamiento de IA hasta que las vuelva a activar.

4.6.2 Qué se envía

Las solicitudes de borrador y de reescritura contienen además su nombre, su dirección de correo electrónico y su zona horaria, para que el borrador pueda dirigirse correctamente a las personas y entender palabras como «mañana». Las solicitudes de Ask AI y de resumen previo de reuniones contienen la fecha de hoy y su zona horaria por el mismo motivo. Además:

Los archivos adjuntos en sí no se envían, solo sus nombres y, para Ask AI, los pasajes de texto extraídos en su ordenador.

4.6.3 Cómo viaja una solicitud

La Aplicación envía la solicitud a través de una conexión cifrada a nuestras funciones de servidor, alojadas por Supabase en la UE (las funciones de servidor para solicitudes de IA se ejecutan únicamente en ubicaciones de la UE, de forma predeterminada Fráncfort, Alemania). Allí, nuestra función elabora las instrucciones para el modelo (las instrucciones se conservan en el servidor, y los correos electrónicos se marcan como datos no fiables, de modo que el texto de un correo electrónico no pueda dar instrucciones al modelo) y envía la solicitud a uno de nuestros proveedores de IA. La respuesta se devuelve a la Aplicación en flujo continuo.

4.6.4 Proveedores y regiones

Utilizamos Microsoft Azure OpenAI (modelos GPT, operados por Microsoft en su EU Data Zone; nuestro recurso está ubicado en Sweden Central) y Google Cloud Vertex AI (modelos Gemini). El proveedor que atiende una solicitud depende de la función y de la disponibilidad: si un modelo es lento o no está disponible, la solicitud pasa automáticamente a otro. Dónde se ejecutan estos modelos depende de su respuesta a «¿Dónde resides?»:

• «En Europa», o ninguna respuesta: todo el tratamiento de IA se realiza en la UE, en Microsoft Azure OpenAI, en su EU Data Zone, y en Google Vertex AI, en su multirregión de la UE (residencia de los datos en la UE).
• «Fuera de Europa»: la mayoría de las solicitudes a los modelos Gemini se ejecutan en el punto de conexión global de Google, que puede tratar los datos en cualquier país en el que Google ofrezca el modelo. Algunos pasos (la selección de correos electrónicos relevantes para Ask AI) se siguen ejecutando en la multirregión de la UE de Google, y todas las solicitudes a Microsoft se ejecutan en la EU Data Zone de Microsoft.

Comparaciones de modelos. Para mantener una calidad y una fiabilidad elevadas, podemos dirigir las solicitudes de algunos usuarios a un modelo diferente, o a una configuración de modelo diferente, de los mismos proveedores durante un tiempo limitado, por ejemplo, para comparar una nueva versión de un modelo. Su elección de región se aplica siempre. Comparamos únicamente medidas técnicas como los tiempos de respuesta, los errores, el número de tokens y los Créditos, nunca el contenido. Le informamos antes de que su Cuenta participe, y puede excluirse de la comparación escribiendo a legal@mailistix.com.

4.6.5 Qué se almacena y dónde

• En nuestros servidores: sin contenido. No almacenamos el contenido de sus solicitudes de IA ni del Resultado de la IA. Los registros técnicos de nuestras funciones de servidor no contienen contenido; nuestro proveedor de alojamiento los conserva hasta 90 días.
• Metadatos de uso: por cada solicitud registramos qué función y qué tipo de función de IA se utilizó (por ejemplo, «resumen», «resumen de conversación», «borrador de respuesta», «reescritura»), el modelo, el éxito o el error, el tiempo de respuesta, el número de tokens, los Créditos cobrados y el valor interno de un Crédito, junto con su identificador de usuario. No registramos contenido, asuntos ni destinatarios. Conservamos estos registros durante 180 días (sección 4.11).
• Respuestas retenidas: si nuestra comprobación de seguridad retiene una respuesta porque podría revelar nuestras instrucciones internas, registramos un evento de seguridad (su identificador de usuario, la función, si la respuesta fue retenida o interrumpida) sin el texto de la respuesta (sección 4.15).
• Desvío ante fallos del servicio: si un modelo falla para su solicitud, anotamos su identificador de usuario y el modelo que falló durante unos minutos, para que sus siguientes solicitudes lo omitan.
• En nuestros proveedores de IA: los proveedores tratan los datos únicamente para responder a la solicitud, con arreglo a condiciones de tratamiento de datos que les prohíben utilizarlos para entrenar sus modelos. Las llamadas a Microsoft se realizan con el almacenamiento de la solicitud desactivado. Los proveedores pueden conservar datos durante un tiempo limitado para el funcionamiento y la supervisión de abusos: Google Vertex AI puede mantener datos de entrada y resultados en memoria durante un máximo de 24 horas (almacenamiento en caché) y puede registrar durante un máximo de 90 días, en la región en la que se trató la solicitud, las instrucciones (prompts) que sus sistemas automatizados señalen como posible abuso, que empleados autorizados de Google pueden evaluar; Microsoft Azure OpenAI puede almacenar los prompts y los resultados durante un máximo de 30 días para supervisar abusos, y personal autorizado de Microsoft en el Espacio Económico Europeo puede revisarlos.
• En su ordenador: los borradores, los resúmenes, los resúmenes previos, los chats de Ask AI y las preferencias de IA se conservan en la base de datos cifrada de la Aplicación. Los chats de Ask AI se conservan hasta que usted los elimine (cada chat tiene un botón de eliminar). Los pares de borrador y texto enviado para el aprendizaje se conservan para los diez últimos correos electrónicos por contacto y durante un máximo de 180 días. Las estadísticas sobre los borradores de IA enviados (recuentos de palabras y cuánto los modificó, sin texto) se conservan durante un año.

4.6.6 Personalización, no entrenamiento

No entrenamos, ajustamos ni modificamos de otro modo ningún modelo de IA con sus datos, y nuestros proveedores tampoco pueden hacerlo. Mailistix personaliza los borradores de dos maneras, solo para usted:

• Ejemplos de escritura. Para cada borrador, la Aplicación elige hasta cinco correos electrónicos que usted envió anteriormente, preferiblemente al mismo contacto y en una situación similar, y los incluye en la solicitud para que el borrador suene como usted. Se eligen en su ordenador entre correos electrónicos que usted mismo redactó.
• Aprendizaje a partir de sus ediciones. Cuando usted envía una respuesta redactada por la IA que usted ha modificado, la Aplicación almacena en su ordenador la versión de la IA, su versión enviada y el correo electrónico al que respondió. Después los envía una vez a un modelo de IA, que describe en una frase qué revela su modificación sobre su forma de escribir (por ejemplo, la longitud o el tono; nunca su saludo, su despedida, su nombre ni su forma de tratamiento). La frase se almacena en su ordenador y se incluye en sus solicitudes de borrador posteriores. Hasta que se haya deducido, el par se incluye también en sus siguientes borradores para ese contacto.

Esta personalización se utiliza únicamente para sus propias solicitudes. Nunca se comparte con otros usuarios y nunca se utiliza para desarrollar ni mejorar un modelo para ninguna otra persona.

4.6.7 Función y base jurídica

• Función: encargado del tratamiento. Ejecutamos las Funciones de IA para su Cliente empresarial, como su encargado del tratamiento con arreglo al Acuerdo de tratamiento de datos (sección 2.3). Esto abarca todo el contenido de una solicitud de IA y el Resultado de la IA: su propio nombre, dirección de correo electrónico, correos electrónicos e instrucciones, y los datos de las personas que figuran en sus correos electrónicos (por ejemplo, el remitente de un correo electrónico que usted quiere resumir). El Cliente empresarial es el responsable del tratamiento y decide la base jurídica. Para los datos de las personas con las que usted mantiene correspondencia, suele ser su interés legítimo en gestionar su correspondencia de forma eficiente con las herramientas que elige (artículo 6, apartado 1, letra f)). Nuestras garantías lo respaldan: tratamiento solo cuando usted inicia una función, sin almacenamiento de contenido, tratamiento en la UE de forma predeterminada, sin entrenamiento y sin revisión humana por nuestra parte (la supervisión de abusos de nuestros proveedores de IA se describe en la sección 4.6.5).
• Los registros de uso de las solicitudes de IA (sección 4.6.5) no contienen contenido. Los conservamos como responsable del tratamiento; su base jurídica figura en la sección 4.11.
• Categorías especiales de datos (por ejemplo, información de salud que alguien menciona en un correo electrónico): sus correos electrónicos pueden contener este tipo de datos. No tenemos intención de tratarlos, no analizamos los correos electrónicos en busca de ellos y no los almacenamos. Corresponde al Cliente empresarial decidir si sus usuarios pueden utilizar las Funciones de IA con ese contenido y cuál es la base jurídica para ello (artículo 9, apartado 2, del RGPD); véanse el Acuerdo de tratamiento de datos, Sección 14.2, y la Política de uso aceptable.
• El cuadro de diálogo de IA: antes de que usted utilice por primera vez las Funciones de IA, la Aplicación le pide que las active. Esto le permite decidir si el contenido del correo electrónico puede salir de su ordenador para el tratamiento de IA, y es el permiso explícito que Google exige antes de que los datos de usuario de Google se compartan con un proveedor de IA. Lo registramos tal como se describe en la sección 4.2.

Encontrará más información sobre las Funciones de IA, sus límites y cómo se marca el Resultado de la IA en nuestro Aviso sobre las funciones de IA.

4.7 Calendario y reuniones

Datos: con su permiso (secciones 5.2 y 6.1), la Aplicación lee los eventos de sus calendarios de los próximos 30 días para mostrar su panel de reuniones y sus recordatorios. Por indicación suya, responde a invitaciones, añade un evento que usted crea y elimina los eventos que usted elige. Reconoce en su ordenador las llamadas de sus correos electrónicos (por ejemplo, mensajes con un enlace de videollamada), sin IA. Las reuniones, los recordatorios y los resúmenes previos se almacenan en su ordenador. Puede elegir en Configuración › Reuniones qué calendarios lee la Aplicación.

Uso en las Funciones de IA: las franjas horarias libres y ocupadas se añaden a las solicitudes de borrador únicamente cuando un correo electrónico pide una hora de reunión (sin títulos ni participantes). Los datos de la reunión se envían cuando usted abre un resumen previo de una reunión (sección 4.6.2).

Función: en su ordenador, este tratamiento tiene lugar bajo su control (sección 2.4); en las solicitudes de IA, actuamos como encargado del tratamiento por cuenta de su Cliente empresarial (sección 4.6.7).

4.8 Baja de boletines

Cuando usted se da de baja de un boletín en la Aplicación:

• Cancelación de la suscripción con un solo clic: la Aplicación envía la dirección de cancelación de la suscripción de la cabecera del correo electrónico a nuestra función de servidor, que envía la solicitud de cancelación al remitente. El remitente ve la dirección IP de nuestro servidor, no la suya. No registramos la dirección.
• Baja por correo electrónico: la Aplicación envía el correo electrónico de baja desde su propio buzón.
• Página de baja: la Aplicación abre la página del remitente en su navegador; el remitente ve su dirección IP.

En un buzón conectado mediante IMAP, la Aplicación comprueba por sí misma la firma digital del remitente (DKIM) antes de cancelar la suscripción, porque no puede basarse en la comprobación del proveedor. Para ello, cuando usted hace clic en Cancelar suscripción, la Aplicación lee el correo electrónico completo de su buzón y consulta en el Sistema de Nombres de Dominio la clave pública del remitente. Esta solicitud puede llegar al servidor DNS del remitente, que ve entonces la dirección de su proveedor de DNS. La Aplicación lo hace únicamente cuando usted hace clic, no cuando abre el correo electrónico.

La lista de boletines de los que usted se ha dado de baja se conserva en su ordenador.

Función: para la baja con un solo clic a través de nuestro servidor, encargado del tratamiento por cuenta de su Cliente empresarial (sección 2.3); todo lo demás sucede en su ordenador bajo su control.

4.9 Imágenes y enlaces en los correos electrónicos

Las imágenes que un correo electrónico carga desde internet están bloqueadas de forma predeterminada, porque pueden indicar al remitente cuándo abre usted el correo electrónico y aproximadamente dónde se encuentra. Si las permite para un correo electrónico o siempre (Configuración › Privacidad e IA › Imágenes en los correos), la Aplicación las carga directamente desde el servidor del remitente por HTTPS, y el remitente recibe su dirección IP. Los enlaces se abren en el navegador de su sistema; la Aplicación le avisa de las direcciones que imitan dominios conocidos. Las vistas previas de archivos adjuntos se ejecutan en un entorno aislado sin acceso a la red. La Aplicación no utiliza un servicio de vista previa de enlaces y no carga fuentes ni scripts de redes externas.

4.10 Planes, Créditos y pagos

Planes y Créditos. Cuando usted crea una Cuenta, comienza automáticamente una Prueba de Pro de 14 días, sin medio de pago. Conservamos un registro de su Plan, las fechas de la prueba y cualquier ampliación de la prueba, el estado de la suscripción, el periodo de gracia, el final del periodo de facturación, sus identificadores de cliente y de suscripción de Polar, y su saldo de Créditos, las concesiones de Créditos (importe, motivo, el administrador que las concedió y la caducidad; las concesiones de bonificación caducan a los 45 días de forma predeterminada), las reservas de Créditos para las solicitudes en curso, los límites diarios de gasto y los avisos en la Aplicación sobre Créditos.

Polar como comerciante registrado. Los Planes de pago los vende Polar Software, Inc. («Polar») como comerciante registrado (merchant of record) y revendedor. Polar recoge y trata sus datos de pago, su dirección de facturación y su información fiscal, emite facturas y gestiona los reembolsos y los contracargos, como responsable del tratamiento independiente con arreglo a la política de privacidad de Polar. Nunca vemos los datos completos de su tarjeta.

Qué compartimos con Polar:

• Proceso de pago: cuando abre por primera vez el proceso de pago, nuestro servidor crea un registro de cliente en Polar con su identificador de usuario de Mailistix y la dirección de correo electrónico de su Cuenta. Cada vez que abre el proceso de pago, enviamos a Polar su identificador de usuario, el producto, el idioma de su interfaz, la moneda, su dirección IP, que Polar utiliza para determinar su país a efectos de la moneda y de los impuestos y para la protección contra el fraude, y la información de que la compra es una compra empresarial, para la cual Polar solicita el nombre de facturación y la dirección de facturación completa, y las versiones de los Términos y del Acuerdo de tratamiento de datos que aceptó por última vez.
• Sincronización del Plan: una vez que ha abierto un proceso de pago, nuestro servidor sincroniza su Plan con Polar cuando usted inicia la Aplicación y en otros momentos, y mantiene la dirección de correo electrónico de su registro de cliente de Polar actualizada conforme a la dirección de correo electrónico de su Cuenta. Si nunca abre un proceso de pago, no enviamos a Polar nada sobre usted.

Qué nos envía Polar: notificaciones de eventos sobre su suscripción, incluidos su identificador de cliente, dirección de correo electrónico y nombre, su nombre y dirección de facturación y su número de identificación fiscal si los introdujo, el producto, los importes, la moneda y los impuestos, el estado y el periodo de la suscripción, y el motivo que indicó si canceló. Conservamos las notificaciones en bruto durante 30 días después de su tratamiento, también si usted elimina su Cuenta entretanto, y un registro de eventos de suscripción (tipo de evento y datos de Polar) durante 365 días; cuando usted elimina su Cuenta, estos registros de eventos de suscripción se eliminan.

Comprobación de compra empresarial. Cuando se paga un pedido, nuestro servidor lee de Polar si el proceso de pago se marcó como compra empresarial y si se introdujeron un nombre de facturación y una dirección de facturación. Si falta alguno, conservamos el identificador del pedido y lo que faltaba hasta que se elimine su Cuenta y avisamos a nuestro equipo indicando el identificador del pedido, para poder ponernos en contacto con usted.

La gestión de su suscripción se realiza en el portal de clientes de Polar, que puede abrir desde la Aplicación. Si un pago falla, usted conserva el Plan Pro durante un periodo de gracia de 3 días; después su Cuenta pasa al Plan Basic. Mientras una suscripción pueda todavía generarle cargos, la Aplicación le pide que la cancele antes de eliminar su Cuenta. Cuando usted elimina su Cuenta y nunca ha comprado nada, pedimos a Polar que elimine su registro de cliente y anonimice sus datos personales. Si ha comprado algo, Polar conserva sus propios registros de cliente y de transacciones conforme a lo que exigen su política y la normativa fiscal.

Base jurídica: contrato (artículo 6, apartado 1, letra b)); obligación legal (artículo 6, apartado 1, letra c)) para los registros que debemos conservar conforme a la normativa fiscal y mercantil, como los extractos de Polar de las ventas y los pagos que realiza por cuenta nuestra; intereses legítimos (artículo 6, apartado 1, letra f)) en asignar los pagos a la Cuenta correcta, evitar el uso indebido de las pruebas y vender únicamente a clientes empresariales (Términos, Sección 3.5).

4.11 Registros de uso, control de costes y uso razonable

Registros de uso de IA: descritos en la sección 4.6.5 (sin contenido; 180 días). Muestran cuánto costó una solicitud de IA y nos permiten cobrar los Créditos correctamente, hacer cumplir los límites y detectar fallos y usos indebidos. Se incluyen en su exportación de datos.

Límites: para proteger el Servicio y nuestros costes, aplicamos límites técnicos, como un límite diario del coste de sus solicitudes de IA y un límite de solicitudes de IA por hora. Cuando se alcanza un límite, las solicitudes de IA quedan en pausa hasta que dicho límite se restablece.

Actividad en la Aplicación: registramos una entrada por cada día en que usted utiliza la Aplicación (se conserva durante 90 días) y la última vez que la Aplicación estuvo activa (se conserva hasta que usted elimine su Cuenta). Lo utilizamos para mostrar correctamente su Plan y su periodo de prueba, para identificar las Cuentas inactivas y para planificar la capacidad. Una persona de Mailistix también puede consultar su actividad de inicio de sesión y su uso de IA al decidir sobre un gesto de buena voluntad, como una ampliación única del periodo de prueba.

Base jurídica: contrato (artículo 6, apartado 1, letra b)) para el cobro de Créditos; intereses legítimos (artículo 6, apartado 1, letra f)) en el control de los costes, la estabilidad del Servicio, la prevención del uso indebido y la gestión de las Cuentas. Estos registros no contienen contenido de correos electrónicos y se conservan durante periodos breves.

4.12 Analítica e informes de fallos opcionales (solo con su consentimiento)

Durante la configuración, la Aplicación pregunta «¿Nos ayudas a mejorar Mailistix?» con las respuestas «No, gracias», «Sí, cuenta conmigo» y «Elegir por separado». No hay nada preseleccionado. Puede cambiar su decisión en cualquier momento en Configuración › Privacidad e IA › Mejora del producto.

Estadísticas de uso y de fiabilidad (PostHog). Si las activa, la Aplicación envía una lista fija de eventos a la nube de la UE de PostHog (Fráncfort, Alemania), por ejemplo: pasos de configuración completados, un buzón conectado (Gmail, Outlook o IMAP), un correo electrónico abierto, una respuesta enviada, una búsqueda realizada, una acción de IA solicitada, completada o fallida (con el proveedor y un intervalo de tokens), una actualización instalada, la categoría de su Plan, la versión de la Aplicación, el sistema operativo, el tipo de procesador y el idioma. Algunos eventos incluyen intervalos de tiempo aproximados, como cuánto tardó una sincronización o una búsqueda. No incluyen recuentos derivados de su buzón, como cuántos mensajes cargó una sincronización o cuántos resultados encontró una búsqueda. Las estadísticas nunca contienen contenido de correos electrónicos, asuntos, direcciones, texto de búsqueda, nombres de archivos, preguntas, respuestas ni citas. La geolocalización a partir de su dirección IP, el seguimiento automático de clics y la grabación de sesiones están desactivados. Los eventos se vinculan con un identificador aleatorio que se crea únicamente cuando usted opta por participar y que se conserva con su Cuenta, para que podamos eliminar los datos a petición suya; nunca enviamos su identificador de usuario ni su dirección de correo electrónico. Por tanto, los datos son seudonimizados, no anónimos. La analítica de Ask AI está actualmente desactivada por completo.

Informes de “Algo falló” (Sentry). Si los activa, la Aplicación envía informes de errores saneados a la región de la UE de Sentry (Alemania): el error, la versión de la Aplicación y el sistema operativo, sin usuario, detalles de la solicitud, contenido de correos electrónicos, instrucciones (prompts) ni contraseñas. La Aplicación muestra esta opción solo en las versiones que pueden enviar estos informes; la versión actual no puede, por lo que no ofrece la opción.

Retirada del consentimiento. Si desactiva una opción, la Aplicación deja de enviar de inmediato y elimina los informes pendientes de envío que haya en su ordenador. Configuración › Privacidad e IA › Eliminar datos de uso opcionales también desactiva la recogida y pide a PostHog que elimine todos los eventos y demás datos vinculados a su identificador aleatorio; PostHog realiza la eliminación poco después. La retirada no afecta al tratamiento realizado con anterioridad.

Base jurídica: consentimiento (artículo 6, apartado 1, letra a), del RGPD) y, para la lectura y el almacenamiento de información en su ordenador con estos fines, consentimiento con arreglo al § 25, apartado 1, de la Ley alemana de protección de datos en las telecomunicaciones y los servicios digitales (TDDDG) o a la legislación nacional correspondiente que transponga la Directiva sobre la privacidad y las comunicaciones electrónicas (ePrivacy).

4.13 Supervisión de errores del servidor

Nuestras funciones de servidor notifican los errores a la región de la UE de Sentry (Alemania) para que detectemos los fallos con rapidez. Estos informes contienen códigos de error fijos, el nombre de la función y etiquetas técnicas de resultado, pero ningún contenido de solicitud, mensajes de error sin procesar, identificadores de usuario ni direcciones IP. Hay una excepción: cuando nuestra comprobación de seguridad retiene una respuesta de IA (sección 4.15), el informe contiene un hash unidireccional abreviado de su identificador de usuario y la fecha, de modo que se nos alerta como máximo tres veces por usuario y día.

Base jurídica: intereses legítimos (artículo 6, apartado 1, letra f)) en la disponibilidad y la seguridad del Servicio.

4.14 Soporte y registros de diagnóstico

Soporte por correo electrónico. Cuando nos escribe, tratamos su dirección de correo electrónico, su mensaje y todo lo que incluya, para responderle. Le rogamos que no nos envíe contraseñas. No accederemos a su buzón. Si nos envía contenido específico de un correo electrónico para que le ayudemos con un problema, lo utilizamos únicamente para esa solicitud. Los correos electrónicos de soporte se conservan en nuestro sistema de correo electrónico de Microsoft 365 (sección 8) durante el periodo indicado en la sección 10.

Registros de diagnóstico. En Configuración › Soporte › Registros de diagnóstico, puede enviarnos un paquete de diagnóstico. La Aplicación le muestra su contenido antes de enviarlo: versión y compilación de la Aplicación, tipo y versión del sistema operativo, idioma de la Aplicación, una cronología técnica saneada con códigos fijos (por ejemplo, por qué falló una sincronización, un inicio de sesión, un borrador de IA, una actualización o un envío), para cada tipo de buzón el número de cuentas conectadas, cuántas necesitan volver a iniciar sesión y los códigos de los últimos errores de sincronización, el estado del índice de búsqueda y del reconocimiento de texto en los adjuntos en cifras, el uso de memoria y una nota opcional suya. No contiene contenido de correos electrónicos, direcciones de correo electrónico, nombres ni nombres de servidores o carpetas. Se vincula con su Cuenta para que podamos relacionarlo con su solicitud, se almacena en un espacio de almacenamiento privado y se elimina transcurridos 30 días. Puede enviar hasta cinco paquetes al día. Cuando llega un paquete, nuestro sistema de correo electrónico (Microsoft 365, sección 8) nos avisa con su referencia y datos técnicos (versión de la Aplicación, número de entradas, tamaño), pero no con su contenido, su nota ni su dirección de correo electrónico. Tras el envío, la Aplicación le muestra la referencia y la mantiene en la lista en el mismo lugar hasta que se elimina el paquete, para que pueda indicarla cuando nos escriba. Esta función es independiente de su decisión sobre la analítica. También puede eliminar el registro local («Eliminar copia local»).

Base jurídica: contrato (artículo 6, apartado 1, letra b)) para atender su solicitud; intereses legítimos (artículo 6, apartado 1, letra f)) en la corrección de fallos del Servicio. Función: los datos personales de otras personas, o el contenido de correos electrónicos, que usted incluya en un mensaje de soporte o en la nota de un paquete de diagnóstico son Datos personales del Cliente, que tratamos como encargado del tratamiento de su Cliente empresarial (sección 2.3).

4.15 Seguridad y prevención de abusos

Datos: eventos de seguridad (el tipo de evento, su resultado, un código, el origen, una pequeña cantidad de contexto técnico y su identificador de usuario; por ejemplo, una respuesta de IA retenida, una ampliación concedida del periodo de prueba o un buzón conectado que otras Cuentas conectaron antes, con solo el número de esas Cuentas), las huellas de los buzones que usted conecta (sección 4.3), contadores de límites de frecuencia (por ejemplo, para los intentos de inicio de sesión por dirección IP), el registro de nuestro servicio de autenticación (inicios de sesión, cierres de sesión y cambios en su Cuenta, con su dirección de correo electrónico y su dirección IP; cada entrada se conserva durante 180 días, incluso si usted elimina su Cuenta entretanto) y los registros de solicitudes de nuestro proveedor de alojamiento, incluidas las direcciones IP, que nuestro proveedor de alojamiento conserva durante un máximo de 7 días.

Protección de las Funciones de IA: los correos electrónicos se transmiten al modelo como datos marcados y no fiables; las instrucciones permanecen en nuestro servidor; una comprobación de seguridad retiene las respuestas que podrían revelar esas instrucciones; y la Aplicación no realiza ninguna acción en su buzón basada en el Resultado de la IA.

Uso indebido de las pruebas gratuitas: cuando usted conecta un buzón, comparamos su huella (sección 4.3) con las huellas de otras Cuentas, incluidas las Cuentas eliminadas en los últimos 12 meses, para detectar un buzón que se utiliza una y otra vez para nuevas pruebas gratuitas con nuevas Cuentas. Una coincidencia se registra como evento de seguridad con solo el número de otras Cuentas. No bloquea ni restringe ninguna Cuenta de forma automática.

Base jurídica: intereses legítimos (artículo 6, apartado 1, letra f)) en la protección de usted, de otros usuarios y del Servicio frente a ataques, fraudes y usos indebidos, incluido el uso indebido de las pruebas gratuitas; obligación legal (artículo 6, apartado 1, letra c)) cuando la ley exige medidas de seguridad (artículo 32 del RGPD).

4.16 Actualizaciones de la Aplicación

Unos 15 segundos después de iniciarse, y después cada cuatro horas mientras está en funcionamiento, la Aplicación consulta nuestro servidor de actualizaciones (un espacio de almacenamiento público en Supabase) para ver si hay una versión nueva. Si la hay, la Aplicación la descarga en segundo plano desde nuestro servidor de descargas en Cloudflare (almacenamiento en la UE, entrega a través de la red de Cloudflare) y la instala únicamente después de que usted lo confirme («Reiniciar e instalar»). Además, la Aplicación se entera de una versión nueva en cuanto la publicamos: mientras está en funcionamiento, mantiene abierta una conexión con Supabase Realtime que solo recibe nuestros anuncios de versiones nuevas, y un anuncio inicia una consulta en unos dos minutos. La Aplicación no envía por esta conexión ningún dato sobre su Cuenta; Supabase recibe su dirección IP. Cada consulta y cada descarga transmiten su dirección IP, el nombre del archivo de actualización para su sistema operativo y su tipo de procesador, y un identificador aleatorio de instalación que el componente de actualización crea en su ordenador y que no está vinculado a su Cuenta; estos datos aparecen en los registros de solicitudes de Supabase y Cloudflare. Cuando usted descarga la Aplicación desde downloads.mailistix.com, Cloudflare recibe del mismo modo su dirección IP y los datos de la solicitud.

Base jurídica: contrato (artículo 6, apartado 1, letra b)); intereses legítimos (artículo 6, apartado 1, letra f)) en la seguridad de las instalaciones.

4.17 Correos electrónicos que le enviamos

Enviamos los correos electrónicos necesarios para su Cuenta, como correos de confirmación, códigos de inicio de sesión de un solo uso y confirmaciones de un cambio de dirección de correo electrónico, en el idioma de su interfaz, a través de Microsoft 365, nuestro sistema de correo electrónico (sección 8). Polar envía recibos y correos electrónicos de facturación. Podemos escribirle sobre cambios sustanciales de esta política o de los Términos y sobre asuntos de seguridad. Si se une a la lista de espera de la versión beta (sección 4.18), le enviamos una breve confirmación y un correo electrónico cuando la versión beta para su plataforma esté lista. Actualmente no enviamos boletines ni otros correos electrónicos de marketing; si empezamos a hacerlo, pediremos su consentimiento cuando la ley lo exija, y cada uno de esos correos electrónicos contendrá un enlace de baja.

Base jurídica: contrato (artículo 6, apartado 1, letra b)); obligación legal (artículo 6, apartado 1, letra c)) para los avisos que exige la ley; consentimiento (artículo 6, apartado 1, letra a)) para los correos electrónicos de la lista de espera.

4.18 Nuestro sitio web

Cuando visita mailistix.com, el servidor web trata los datos técnicos necesarios para servir las páginas y protegerlas, como su dirección IP, el tipo de navegador, la página solicitada y la hora. El sitio web está alojado por Cloudflare (Cloudflare Pages), que también opera el DNS de nuestro dominio y trata estos datos por cuenta nuestra, como nuestro encargado del tratamiento, para servir el sitio web y protegerlo frente a ataques; la solicitud la responde el centro de datos de Cloudflare más cercano a usted. Nosotros mismos no conservamos registros del servidor del sitio web. El sitio web no instala cookies de seguimiento ni de publicidad y no incorpora contenido de terceros, salvo Cloudflare Web Analytics para los visitantes de fuera de la UE y Google reCAPTCHA en el formulario de contacto y en la lista de espera, que se carga solo después de que usted lo permita (ambos más abajo); sus fuentes se sirven desde nuestro propio dominio. Mientras el sitio web o partes de él estén protegidos con contraseña, una cookie estrictamente necesaria recuerda durante un máximo de 30 días que usted introdujo la contraseña; no contiene ningún identificador y es la misma para todos los visitantes. Cloudflare también puede instalar una cookie de seguridad estrictamente necesaria que ayuda a Cloudflare a distinguir a las personas del tráfico automatizado.

Estadísticas del sitio web (Cloudflare Web Analytics), solo fuera de la UE. Para los visitantes de fuera de la Unión Europea, Cloudflare añade a nuestras páginas un pequeño script (de static.cloudflareinsights.com) que mide las visualizaciones de página y los tiempos de carga: la dirección de la página y la página de la que usted procede, el navegador, el sistema operativo y el tipo de dispositivo, el país derivado de su dirección IP y valores de tiempo. Cloudflare trata estos datos por cuenta nuestra como nuestro encargado del tratamiento y nos muestra únicamente estadísticas agregadas, no visitantes individuales; no los utiliza para realizar un seguimiento de su actividad en otros sitios web. Las mediciones detalladas se conservan durante 7 días; después, solo una muestra de aproximadamente el 10 %. Los visitantes de la UE no reciben el script.

Formulario de contacto. Si nos escribe a través del formulario de https://mailistix.com/contact, tratamos su nombre, dirección de correo electrónico y mensaje para responderle. El formulario remite su mensaje a nuestro buzón legal@mailistix.com de Microsoft 365, nuestro sistema de correo electrónico (sección 8), y le envía una confirmación desde ese buzón que no reproduce ninguna parte de su mensaje; no conservamos copia de la confirmación. Conservamos su mensaje en nuestro buzón igual que un correo electrónico de soporte (sección 10). Para limitar el uso indebido, el formulario acepta como máximo cinco intentos por hora desde una misma dirección IP y envía como máximo dos confirmaciones al día a una misma dirección de correo electrónico. Los contadores se conservan en la caché de Cloudflare en la ubicación de Cloudflare que gestionó la solicitud y contienen únicamente un hash unidireccional con clave (HMAC con una clave secreta) de la dirección IP o de la dirección de correo electrónico, no la dirección en sí (sección 10). Un campo oculto, invisible para las personas, filtra los envíos automatizados. Antes de enviar, usted confirma que ha leído esta Política de privacidad.

Lista de espera. Si se une a la lista de espera de la versión beta de Mailistix en https://mailistix.com, tratamos su dirección de correo electrónico, la plataforma que ha elegido (Mac o Windows) y la hora a la que marcó la casilla descrita más abajo. Los utilizamos únicamente para enviarle de inmediato una breve confirmación y para escribirle una vez, por correo electrónico, cuando la versión beta para su plataforma esté lista (una vez por cada plataforma, si se unió para ambas). No los utilizamos para boletines ni para ningún otro marketing y no los comunicamos a terceros, salvo a los encargados del tratamiento que se indican en la sección 8. La lista de espera remite su inscripción a un buzón nuestro de Microsoft 365, nuestro sistema de correo electrónico (sección 8), y le envía la confirmación desde ese mismo buzón, de modo que las respuestas nos llegan allí; no conservamos copia de la confirmación. Las inscripciones de nuestro buzón son la lista de espera; no la conservamos en ningún otro lugar. Antes de unirse, usted marca una casilla para confirmar que ha leído esta Política de privacidad y que acepta que utilicemos su dirección de correo electrónico tal como se describe aquí. Usted figura en la lista de espera en cuanto envía el formulario; el correo electrónico de confirmación no le pide ningún paso adicional. Para limitar el uso indebido, la lista de espera acepta como máximo diez intentos por hora desde una misma dirección IP y envía como máximo dos confirmaciones al día a una misma dirección de correo electrónico. Los contadores se conservan en la caché de Cloudflare en la ubicación de Cloudflare que gestionó la solicitud y contienen únicamente un hash unidireccional con clave (HMAC con una clave secreta) de la dirección IP o de la dirección de correo electrónico, no la dirección en sí (sección 10). Un campo oculto, invisible para las personas, filtra los envíos automatizados.

Google reCAPTCHA en el formulario de contacto y en la lista de espera. Para proteger el formulario de contacto y la lista de espera frente al spam y al abuso automatizado, utilizamos reCAPTCHA v3, que nos proporciona Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Ireland («Google»), con arreglo a las condiciones de Google Cloud y al Cloud Data Processing Addendum. Desde el 2 de abril de 2026, Google trata los datos de reCAPTCHA por cuenta nuestra como nuestro encargado del tratamiento, no con arreglo a su propia política de privacidad. reCAPTCHA no se carga cuando usted abre la página. Solo cuando pulsa «Send message» y después «Allow and send» en el cuadro de diálogo que se abre (formulario de contacto), o pulsa «Join the waitlist» y después «Allow and join» en el cuadro de diálogo de la lista de espera (lista de espera), su navegador carga reCAPTCHA desde los servidores de Google. Google recibe entonces su dirección IP e información sobre su navegador y su dispositivo (por ejemplo, el tipo de navegador, el idioma y el tamaño de pantalla), la dirección de la página, la fecha y la hora, y cómo interactúa usted con la página (por ejemplo, los movimientos del ratón y el tiempo que pasa en ella). reCAPTCHA lee e instala una cookie para su análisis de riesgo y puede leer otros identificadores de su navegador. A partir de estos datos, Google evalúa la probabilidad de que sea una persona quien envía el formulario. Nuestro servidor transmite el token resultante a Google, sin su dirección IP, recibe únicamente esta evaluación, la utiliza para aceptar o rechazar el mensaje o la inscripción y no la almacena. Google puede tratar estos datos fuera de la UE, en particular en Google LLC en los Estados Unidos, que está certificada en el Marco de Privacidad de Datos UE-EE. UU.; las condiciones de tratamiento de datos de Google incluyen además las cláusulas contractuales tipo (sección 9.3).

Base jurídica: intereses legítimos (artículo 6, apartado 1, letra f)) en ofrecer un sitio web seguro y en responder a los mensajes que las personas nos envían, incluida la protección del formulario de contacto y de la lista de espera frente al uso indebido, y en saber cómo se utilizan nuestras páginas y con qué rapidez se cargan (estadísticas del sitio web fuera de la UE); contrato (artículo 6, apartado 1, letra b)) cuando su mensaje se refiere a su Cuenta o a un contrato con nosotros; para la cookie de contraseña y la cookie de seguridad de Cloudflare, el § 25, apartado 2, número 2, TDDDG (estrictamente necesarias); para Google reCAPTCHA, su consentimiento (artículo 6, apartado 1, letra a), del RGPD y § 25, apartado 1, TDDDG), que usted da en el cuadro de diálogo. Su consentimiento se aplica únicamente a la visita actual a la página; puede retirarlo en cualquier momento con efectos para el futuro cerrando la pestaña del navegador o recargando la página, tras lo cual reCAPTCHA no se vuelve a cargar hasta que usted lo permita de nuevo. Sin él no puede enviar el formulario ni unirse a la lista de espera, pero puede escribirnos a legal@mailistix.com.

Base jurídica de la lista de espera: su consentimiento (artículo 6, apartado 1, letra a), del RGPD), que usted da al marcar la casilla. Puede retirarlo en cualquier momento con efectos para el futuro respondiendo al correo electrónico de confirmación o escribiendo a legal@mailistix.com; entonces eliminaremos su inscripción. Si otra persona ha introducido su dirección, puede pedirnos del mismo modo que eliminemos la inscripción. El tratamiento efectuado antes de la retirada sigue siendo lícito. Sin su consentimiento no puede unirse a la lista de espera, pero puede escribirnos a legal@mailistix.com.

5. Datos de usuario de Google

Esta sección explica cómo Mailistix accede a los datos que recibe de las API de Google («datos de usuario de Google»), como los datos de Gmail y de Google Calendar, y cómo los utiliza, almacena, comparte y elimina.

5.1 Uso limitado

El uso por parte de Mailistix de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. (Texto original en inglés: «Mailistix's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.») También cumplimos la Política de datos de usuario y para desarrolladores de las API de Google Workspace.

5.2 A qué accede Mailistix y por qué

Mailistix no solicita acceso a sus Contactos de Google, a Google Drive ni a otros servicios de Google.

5.3 Cómo utiliza Mailistix los datos de usuario de Google

Mailistix utiliza los datos de usuario de Google únicamente para prestar las funciones que usted ve y utiliza en la Aplicación: leer, organizar, buscar, redactar y enviar correo electrónico, su calendario y sus reuniones, y las Funciones de IA que usted decide utilizar. Además, con fines de seguridad, nuestro servidor deriva de su dirección de Gmail la huella del buzón descrita en la sección 4.3, que sirve únicamente para detectar usos indebidos, como las pruebas gratuitas repetidas. Mailistix no utiliza los datos de usuario de Google para ningún otro fin.

5.4 Dónde se almacenan los datos de usuario de Google

• En su ordenador: sus correos electrónicos, archivos adjuntos, etiquetas, eventos de calendario y los tokens de acceso, en la base de datos cifrada de la Aplicación y en el almacenamiento seguro de su sistema operativo (sección 4.4).
• En nuestros servidores: únicamente su dirección de Gmail, un número de cambio y el vínculo con su Cuenta para las notificaciones en tiempo real (sección 4.5); la huella del buzón, un código derivado de su dirección de Gmail con fines de seguridad, que no es la dirección y que no puede convertirse de nuevo en ella sin la clave de nuestro servidor (sección 4.3); y sus registros de uso de IA, que no contienen datos de usuario de Google. El contenido de los correos electrónicos no se almacena en nuestros servidores.
• En nuestros proveedores de IA: el contenido de una solicitud de IA, únicamente para tratarla y durante los periodos limitados que el proveedor aplica por su parte, según se indica en la sección 4.6.5.

5.5 Con quién se comparten los datos de usuario de Google

Transferimos datos de usuario de Google a terceros únicamente:

1. para prestar las funciones que usted utiliza, con su permiso: a Microsoft Azure OpenAI y Google Vertex AI cuando usted utiliza una Función de IA, después de que usted haya activado las Funciones de IA (sección 4.6); al propio Google cuando Ask AI busca en su buzón; y al remitente de un boletín cuando usted se da de baja (sección 4.8);
2. a proveedores de servicios que operan el Servicio por cuenta nuestra con arreglo a contratos que los obligan a atenerse a nuestras instrucciones y a guardar confidencialidad, a saber, Supabase (alojamiento, Fráncfort) y Google Cloud Pub/Sub (metadatos de notificaciones);
3. con fines de seguridad, por ejemplo, para investigar un abuso;
4. para cumplir la ley aplicable, por ejemplo, una orden judicial vinculante; y
5. como parte de una fusión, adquisición o venta de activos, solo después de haber obtenido su consentimiento previo y explícito.

5.6 Lo que nunca hacemos con los datos de usuario de Google

• No vendemos datos de usuario de Google, y no los transferimos a plataformas publicitarias, corredores de datos (data brokers) ni revendedores de información.
• No los utilizamos para mostrar publicidad, incluidos el retargeting y la publicidad personalizada o basada en intereses.
• No los utilizamos para determinar la solvencia ni con fines de concesión de crédito.
• No utilizamos datos de Google Workspace, incluidos los datos de Gmail y de Calendar, para desarrollar, mejorar ni entrenar modelos de IA o de aprendizaje automático generalizados o no personalizados. La única personalización es la personalización por usuario descrita en la sección 4.6.6, que se utiliza únicamente para prestarle funciones a usted, se almacena en su ordenador y no modifica ningún modelo.
• No permitimos que ninguna persona lea datos de usuario de Google, salvo (a) cuando usted haya dado su conformidad expresa para mensajes o datos concretos, por ejemplo, en una solicitud de soporte; (b) cuando sea necesario por motivos de seguridad, como la investigación de un abuso o de un incidente de seguridad; (c) para cumplir la ley aplicable; o (d) cuando los datos, incluidos los datos derivados de ellos, hayan sido agregados y anonimizados y se utilicen para operaciones internas de conformidad con la ley aplicable. La supervisión automatizada de abusos de nuestros proveedores de IA puede señalar una solicitud para su revisión por empleados autorizados de Google o de Microsoft, dentro de los límites descritos en la sección 4.6.5.

5.7 Eliminación de los datos de usuario de Google y revocación del acceso

• Quitar un buzón: Configuración › Cuentas de correo › «Quitar cuenta». La Aplicación detiene las notificaciones en tiempo real de ese buzón, elimina nuestros registros de notificaciones, elimina de su ordenador los datos y los tokens del buzón y revoca el acceso de Mailistix a su cuenta de Google en Google.
• Eliminar su Cuenta: Configuración › General › Cuenta › Eliminar cuenta (sección 12.4). Esto elimina sus datos de nuestros servidores, salvo los registros que la sección 12.4 indica que permanecen durante un tiempo limitado, y, en ese ordenador, de la Aplicación, y revoca el permiso de Google.
• Revocar el acceso en Google: también puede quitar Mailistix en cualquier momento en la página «Aplicaciones y servicios de terceros» de su cuenta de Google (https://myaccount.google.com/connections). Entonces la Aplicación ya no puede acceder a su buzón; los datos que ya estén en su ordenador permanecen allí hasta que usted los elimine según se ha descrito más arriba.
• Solicitar la eliminación por correo electrónico: escriba a legal@mailistix.com. Tenga en cuenta que no podemos acceder a los datos de su ordenador.

Quitar el acceso de Mailistix no elimina nada de su buzón de Gmail ni de su Google Calendar. La huella del buzón (sección 4.3) se conserva con fines de seguridad: permanece cuando usted quita un buzón o revoca el acceso y se elimina 12 meses después de la eliminación de su Cuenta.

6. Datos de usuario de Microsoft

6.1 Permisos. Para los buzones de Microsoft (Outlook.com y Microsoft 365), Mailistix solicita: el inicio de sesión y el perfil básico (openid, profile, email, User.Read) para identificar el buzón, mostrar su nombre y derivar la huella del buzón (sección 4.3); offline_access para mantenerlo sincronizado; Mail.ReadWrite para sincronizar, organizar, mover y eliminar mensajes y guardar borradores; Mail.Send para enviar los correos electrónicos que usted redacta; y Calendars.ReadWrite para sus reuniones, invitaciones y eventos. Es posible que su organización deba aprobar estos permisos.

6.2 Uso, almacenamiento y comunicación. Los datos de usuario de Microsoft se tratan exactamente como se describe para los datos de usuario de Google en las secciones 5.3 a 5.6: se almacenan en su ordenador, se utilizan únicamente para las funciones que usted utiliza, se envían para el tratamiento de IA únicamente cuando usted utiliza una Función de IA, nunca se venden, nunca se utilizan para publicidad ni para entrenar modelos de IA, y ninguna persona los lee salvo en los casos enumerados en la sección 5.6. Nuestros servidores almacenan únicamente los metadatos de notificaciones descritos en la sección 4.5 y la huella del buzón descrita en la sección 4.3, que derivamos con fines de seguridad de la dirección que figura en la respuesta del inicio de sesión de Microsoft.

6.3 Revocación del acceso. Quitar un buzón de Microsoft en la Aplicación pone fin a la suscripción a las notificaciones, elimina nuestros registros de notificaciones de ese buzón y elimina de su ordenador los datos y los tokens del buzón; la huella del buzón permanece según se describe en la sección 4.3. Para quitar también el permiso en Microsoft, utilice la página de permisos de aplicaciones de su cuenta de Microsoft (para cuentas personales: https://account.live.com/consent/Manage; para cuentas profesionales o educativas: https://myapps.microsoft.com, o consulte a su administrador).

7. Si una persona con la que usted mantiene correspondencia utiliza Mailistix

Esta sección se dirige a las personas que no son usuarios de Mailistix pero cuyos datos llegan a Mailistix porque intercambian correos electrónicos con un usuario de Mailistix o participan con él en reuniones.

• Quién es responsable: los usuarios de Mailistix utilizan Mailistix para una empresa: su empleador u otra organización, un cliente o su propia empresa (el «Cliente empresarial», sección 2.3). El Cliente empresarial es el responsable del tratamiento de sus datos en el buzón del usuario, en la Aplicación y en las Funciones de IA. Determina la base jurídica y es responsable de informarle (artículos 13 y 14 del RGPD). Cuando sus datos llegan a nuestros servidores, los tratamos únicamente por cuenta del Cliente empresarial, como su encargado del tratamiento con arreglo a nuestro Acuerdo de tratamiento de datos. Facilitamos la siguiente información para que sepa qué ocurre con Mailistix.
• Qué datos: su nombre, su dirección de correo electrónico y el contenido de los correos electrónicos que intercambia con el usuario (incluidos los nombres y el texto de los archivos adjuntos), y los datos de reuniones, como las invitaciones que usted envía.
• Origen: el buzón del usuario de Mailistix en su proveedor de buzón (por ejemplo, Google o Microsoft).
• En el ordenador del usuario: la Aplicación almacena estos datos en la base de datos local cifrada del usuario. Queda bajo el control del usuario y del Cliente empresarial; nosotros no tenemos acceso a estos datos.
• En nuestros servidores y en nuestros proveedores de IA: únicamente cuando el usuario utiliza una Función de IA, por ejemplo, para resumir su correo electrónico o redactarle una respuesta, el contenido pertinente se trata como se describe en la sección 4.6. Nosotros no lo almacenamos y no se utiliza para entrenar modelos de IA.
• Finalidad y base jurídica: permitir al usuario leer, organizar y responder a su correspondencia. La base jurídica es la del Cliente empresarial; suele ser su interés legítimo en gestionar su correspondencia de forma eficiente con las herramientas que elige (artículo 6, apartado 1, letra f), del RGPD).
• Destinatarios y transferencias: Supabase y nuestros proveedores de IA, como subencargados del Cliente empresarial (sección 8), con las transferencias descritas en la sección 9.
• Sus derechos: póngase en contacto con el usuario de Mailistix o con el Cliente empresarial, que también puede acceder a los datos del ordenador del usuario. Si nos escribe a legal@mailistix.com, trasladamos su solicitud al Cliente empresarial cuando podemos identificarlo, y le ayudamos a responder (sección 12.7). No sabemos quién es usted salvo que el usuario trate su correo electrónico con una Función de IA, y no almacenamos sus datos, por lo que no podemos ponernos en contacto con usted nosotros mismos.

8. Quién recibe datos personales

Compartimos datos personales únicamente como se describe en esta política. Nuestros encargados del tratamiento actúan únicamente conforme a nuestras instrucciones, con arreglo a acuerdos de tratamiento de datos; respecto de los Datos personales del Cliente (sección 2.3) son nuestros subencargados con arreglo al Acuerdo de tratamiento de datos. La lista actual, con detalles, figura en nuestra página de Subencargados del tratamiento.

No vendemos datos personales, y no los compartimos con terceros para su publicidad.

9. Transferencias internacionales de datos

9.1 Tratamiento en la UE de forma predeterminada. Nuestros servidores están en Fráncfort, Alemania. El tratamiento de IA tiene lugar en la UE para los usuarios de la UE y para los usuarios que no han respondido a la pregunta sobre la región. Nuestra analítica opcional y nuestra supervisión de errores se ejecutan en la UE.

9.2 Ubicaciones de las funciones de servidor. Nuestras funciones de servidor para solicitudes de IA se ejecutan en ubicaciones de la UE. Nuestras demás funciones de servidor (por ejemplo, el intercambio de tokens de inicio de sesión con su proveedor de buzón, el proceso de pago, la exportación de datos y la cancelación de la suscripción con un solo clic) se ejecutan en la ubicación perimetral (edge) de Supabase más cercana a usted, que puede estar fuera de la UE si usted se encuentra fuera de Europa; transmiten los datos sin almacenarlos allí, y la base de datos permanece en Fráncfort.

9.3 Proveedores fuera de la UE. Varios de nuestros proveedores son empresas de fuera de la UE, o pertenecen a ellas: Microsoft, Google, Sentry (Functional Software, Inc.), PostHog, Cloudflare y Polar tienen su sede en los Estados Unidos, y nuestra contraparte contractual en Supabase es Supabase Pte. Ltd. en Singapur, parte de un grupo que incluye también a Supabase, Inc. en los Estados Unidos. Incluso cuando los datos se almacenan en la UE, estas empresas pueden acceder a ellos desde fuera de la UE para soporte o mantenimiento, y pueden estar sujetas a la legislación de esos países. Protegemos tales transferencias del siguiente modo:

• Google, Microsoft, Cloudflare, Sentry y PostHog están certificadas en el Marco de Privacidad de Datos UE-EE. UU., para el cual la Comisión Europea ha adoptado una decisión de adecuación (Decisión de Ejecución (UE) 2023/1795 de la Comisión). Sus condiciones de tratamiento de datos incluyen además las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión).
• Supabase no está certificada en el Marco de Privacidad de Datos, y Singapur no cuenta con una decisión de adecuación. Nos basamos en las cláusulas contractuales tipo del acuerdo de tratamiento de datos de Supabase: Módulo 2 para los datos de los que somos responsables del tratamiento, Módulo 3 para los Datos personales del Cliente, con las adendas para el Reino Unido y Suiza.

Además, limitamos lo que sale de su ordenador, alojamos nuestra base de datos y nuestras funciones de servidor de IA en la UE, ciframos los datos en tránsito y en reposo, y no almacenamos el contenido de las solicitudes de IA.

9.4 Usuarios fuera de Europa. Si usted respondió que reside fuera de Europa, algunas de sus solicitudes de IA se tratan en el punto de conexión global de Google, que puede tratar datos en cualquier país en el que Google ofrezca el modelo. Estas transferencias están cubiertas por el Cloud Data Processing Addendum de Google, incluidas las cláusulas contractuales tipo, y por la certificación de Google LLC en el Marco de Privacidad de Datos.

9.5 Polar. Los datos que enviamos a Polar se transfieren a los Estados Unidos. Polar no está certificada en el Marco de Privacidad de Datos. Nuestro contrato con Polar incluye la adenda de tratamiento de datos de Polar con las cláusulas contractuales tipo. Cuando estas no cubren una transferencia, esta se basa en el artículo 49, apartado 1, letra b), del RGPD, porque es necesaria para la compra que usted solicita.

9.6 Copias. Puede solicitar una copia de las garantías que utilizamos escribiendo a legal@mailistix.com. Para el Reino Unido y Suiza, véanse las secciones 16.3 y 16.4.

9.7 Servidores con los que usted decide contactar. Cuando carga imágenes de un correo electrónico, abre una página de cancelación de la suscripción o cancela una suscripción con un solo clic (secciones 4.8 y 4.9), la solicitud va al servidor del remitente, esté donde esté, porque usted lo solicita.

9.8 Reglamento de Datos de la UE. Dónde se encuentra la infraestructura de cada parte del Servicio, a qué legislación está sujeta y cómo protegemos los datos conservados en la UE frente al acceso ilícito de autoridades extranjeras se describen en nuestra página de Subencargados del tratamiento (sección 4) y en la Sección 13 del Acuerdo de tratamiento de datos.

10. Cuánto tiempo conservamos los datos

Conservamos los datos personales solo mientras los necesitamos para los fines de la sección 4, y después los eliminamos. Cuando usted elimina su Cuenta, los datos vinculados a ella que se encuentran en el servidor se eliminan de inmediato, salvo que esta tabla indique otra cosa. Si su contrato termina de otro modo, por ejemplo, por resolución, su Cuenta permanece durante un periodo de recuperación de datos de 30 días, en el que usted puede exportar sus datos (si no puede iniciar sesión, le enviamos el archivo de exportación previa solicitud), y después se elimina del mismo modo (Términos, Sección 15.10). En esta tabla, «hasta que se elimine su Cuenta» abarca ambos casos.

En nuestros servidores y en nuestros proveedores

En su ordenador (bajo su control; se eliminan cuando usted elimina su Cuenta en ese ordenador)

Podemos conservar los datos durante más tiempo cuando la ley lo exija o cuando los necesitemos para la formulación, el ejercicio o la defensa de reclamaciones, y solo con esa finalidad.

11. Cómo protegemos sus datos

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• conexiones cifradas (TLS 1.2 o 1.3) para todo el tráfico; las versiones de producción de la Aplicación no permiten desactivar las comprobaciones de certificados;
• una base de datos local cifrada cuya clave protege su sistema operativo, tokens de buzón en el almacenamiento seguro de su sistema operativo y cachés cifradas para los archivos adjuntos;
• en nuestros servidores: reglas de acceso a nivel de fila en cada tabla, de modo que cada usuario solo pueda acceder a sus propios registros; tokens de inicio de sesión de corta duración con tokens de actualización rotatorios; límites de frecuencia; nueva confirmación de su identidad antes de eliminar su Cuenta; verificación de las notificaciones que recibimos de Google, Microsoft y Polar; secretos conservados en una bóveda protegida; y registros sin contenido ni tokens;
• en la Aplicación: una política de seguridad de contenido, correos electrónicos mostrados en un entorno aislado sin scripts, HTML de correo electrónico saneado y vistas previas de archivos adjuntos sin acceso a la red;
• protección de las Funciones de IA frente a la manipulación mediante el contenido de los correos electrónicos (sección 4.15);
• acceso a las consolas de administración limitado a las personas que lo necesitan.

Ningún sistema es completamente seguro. Si es probable que una violación de la seguridad de los datos personales entrañe un riesgo para usted, informaremos a las autoridades competentes y, cuando proceda, a usted, con arreglo a lo que exija la ley.

12. Sus derechos y opciones

12.1 Sus derechos

Con arreglo al RGPD, usted tiene derecho a:

• acceder a sus datos personales y recibir una copia (artículo 15);
• que se rectifiquen los datos inexactos (artículo 16);
• que se supriman sus datos (artículo 17);
• que se limite el tratamiento (artículo 18);
• recibir los datos que usted nos ha facilitado en un formato estructurado y de lectura mecánica, y que se transmitan a otro proveedor (portabilidad de los datos, artículo 20);
• oponerse al tratamiento basado en intereses legítimos (artículo 21; véase el recuadro siguiente);
• retirar su consentimiento en cualquier momento con efectos para el futuro (artículo 7, apartado 3); y
• presentar una reclamación ante una autoridad de control (artículo 77; sección 12.6).

Su derecho de oposición (artículo 21 del RGPD)

Cuando tratamos sus datos personales sobre la base de intereses legítimos (artículo 6, apartado 1, letra f), del RGPD), usted tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular. Dejaremos entonces de tratarlos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.

No utilizamos sus datos para la mercadotecnia directa, salvo el correo electrónico que enviamos a quienes figuran en la lista de espera cuando la versión beta está lista; se basa en su consentimiento (sección 4.18). Si alguna vez utilizamos sus datos para otro tipo de mercadotecnia directa, usted podrá oponerse en cualquier momento sin necesidad de indicar motivos, y dejaremos de hacerlo.

Para oponerse, escriba a legal@mailistix.com.

12.2 Controles en la Aplicación

12.3 Ejercicio de sus derechos por correo electrónico

Puede ejercer todos sus derechos escribiendo a legal@mailistix.com desde la dirección de correo electrónico de su Cuenta (para la lista de espera: la dirección con la que se unió). Si no podemos estar seguros de que una solicitud procede de usted, podemos pedirle que la confirme, por ejemplo, iniciando sesión en la Aplicación. Respondemos en el plazo de un mes; para solicitudes complejas o numerosas podemos ampliar este plazo hasta dos meses más y le explicaremos el motivo. El ejercicio de sus derechos es gratuito, salvo que las solicitudes sean manifiestamente infundadas o excesivas.

12.4 Eliminación de su Cuenta

La eliminación surte efecto de inmediato, por lo que la Aplicación ofrece primero Exportar datos en el mismo cuadro de diálogo. Para eliminar su Cuenta, debe haber iniciado sesión en los últimos 10 minutos y escribir DELETE para confirmar. Si una suscripción de pago todavía pudiera generarle cargos, la Aplicación le pide primero que la cancele. Cuando usted elimina su Cuenta, nuestro servidor elimina sus archivos enviados a soporte, sus datos de analítica en PostHog, sus registros de notificaciones y de cuotas, su registro de cliente de Polar si nunca compró nada, y después su Cuenta con todos los datos vinculados a ella, incluidos sus registros de consentimiento; permanece una copia de su aceptación de los Términos y del Acuerdo de tratamiento de datos sin su dirección de correo electrónico (sección 10). Si su contrato termina de otro modo, la misma eliminación se realiza tras el periodo de recuperación de datos de 30 días (sección 10; Términos, Sección 15.10). Algunos registros permanecen durante un tiempo limitado (sección 10): la copia de sus registros de aceptación hasta el 1 de enero del cuarto año posterior a la eliminación, las huellas de los buzones durante 12 meses, los eventos de seguridad hasta 180 días sin su identificador de usuario, las entradas del registro de nuestro servicio de autenticación hasta 180 días, y las notificaciones de Polar hasta 30 días después de su tratamiento. Polar conserva sus propios registros de compras (sección 4.10). Si no puede utilizar la Aplicación, puede pedirnos por correo electrónico que eliminemos su Cuenta; después de confirmar que la solicitud procede de usted, realizamos la misma eliminación en nuestros servidores, pero no podemos acceder a los datos de su ordenador ni revocar por usted el permiso de Google o de Microsoft (secciones 5.7 y 6.3). En el ordenador en el que elimina su Cuenta, la Aplicación también detiene las notificaciones en tiempo real, revoca el acceso de Mailistix a sus buzones de Google y elimina todos los datos locales de su Cuenta. En otros ordenadores en los que haya utilizado la Aplicación, se cierra su sesión, pero los datos locales permanecen hasta que usted elimine allí la carpeta de datos de la Aplicación (sección 4.4); Configuración › General › Zona de peligro › Borrar todos los correos elimina los correos electrónicos almacenados.

12.5 Datos a los que no podemos acceder

Sus correos electrónicos y demás datos de su ordenador no están en nuestros servidores, por lo que no podemos acceder a ellos, rectificarlos, exportarlos ni eliminarlos por usted; puede hacerlo usted mismo en la Aplicación. Su buzón en sí permanece en su proveedor de buzón, y puede exportarlo allí.

12.6 Reclamaciones

Puede presentar una reclamación ante la autoridad de control de protección de datos del país de la UE o del EEE en el que viva o trabaje o en el que haya tenido lugar la presunta infracción. La autoridad de control competente en nuestro caso es la Comisionada para la Protección de Datos y la Libertad de Información de Berlín (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany, www.datenschutz-berlin.de. Le agradeceríamos que se pusiera en contacto con nosotros en primer lugar, para que podamos intentar resolver el asunto.

12.7 Datos que tratamos para un Cliente empresarial

Respecto de los Datos personales del Cliente (sección 2.3), el Cliente empresarial es el responsable del tratamiento, y las solicitudes para ejercer sus derechos deben dirigirse a él. Si nos envía una solicitud de este tipo, la trasladamos al Cliente empresarial sin dilación indebida siempre que podamos identificarlo, le comunicamos que lo hemos hecho y ayudamos al Cliente empresarial a responder. Los controles de la sección 12.2 siguen estando a su disposición como usuario.

13. ¿Es obligatorio facilitar sus datos?

No está legalmente obligado a facilitarnos ningún dato personal. No obstante:

• su dirección de correo electrónico y los códigos de inicio de sesión que le enviamos a ella son necesarios para crear y utilizar una Cuenta;
• conectar un buzón es necesario para utilizar Mailistix como cliente de correo electrónico;
• la Aplicación pregunta a todos dónde residen durante la configuración; hasta que usted responda, el tratamiento de IA permanece en la UE;
• un Plan de pago requiere los datos de pago que solicita Polar;
• el formulario de contacto requiere su nombre, su dirección de correo electrónico y su mensaje, su confirmación de que ha leído esta política y su consentimiento para Google reCAPTCHA; sin ellos, puede escribirnos por correo electrónico;
• la lista de espera requiere su dirección de correo electrónico, su plataforma, su confirmación de que ha leído esta política y su consentimiento para el uso de su dirección y para Google reCAPTCHA; sin ellos, puede escribirnos por correo electrónico; y
• las Funciones de IA, el permiso de calendario, la analítica, los informes de fallos y los registros de diagnóstico son opcionales. Sin ellos, las funciones correspondientes no están disponibles, pero puede utilizar el resto del Servicio.

14. Decisiones automatizadas

No tomamos decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar (artículo 22 del RGPD). El Servicio aplica reglas técnicas que se derivan de su Plan y de los Términos, como los límites de Créditos, un límite diario de coste de IA, los límites de frecuencia y el paso al Plan Basic tras una suscripción impagada; estas no se basan en una evaluación de sus aspectos personales. Una anotación de que un buzón ha sido conectado por varias Cuentas (sección 4.15) no da lugar a ninguna medida automática. El Resultado de la IA consiste en sugerencias que usted decide si utiliza.

15. Menores

Mailistix está destinado únicamente a personas de 18 años o más y no está dirigido a menores. No recogemos a sabiendas datos personales de menores. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con legal@mailistix.com y los eliminaremos.

16. Disposiciones regionales complementarias

Las siguientes secciones se aplican, además del resto de esta política, a las personas de las regiones mencionadas. En caso de contradicción con el resto de esta política, prevalece la sección regional para la región de que se trate. En todas las regiones, tratamos los Datos personales del Cliente (sección 2.3) como proveedor de servicios o encargado del tratamiento por cuenta del Cliente empresarial, que es el responsable de ellos con arreglo a la legislación local; los derechos descritos a continuación se ejercen entonces frente al Cliente empresarial, y nosotros le prestamos asistencia tal como se describe en la sección 12.7.

16.1 Estados Unidos

16.1.1 Aviso en el momento de la recogida (California). Este aviso se aplica a los residentes de California con arreglo a la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act), modificada por la Ley de Derechos de Privacidad de California (California Privacy Rights Act) («CCPA»). La CCPA también protege a las personas que actúan en nombre de una empresa, como nuestros usuarios. Es posible que actualmente no alcancemos los umbrales de aplicabilidad de la CCPA (por ejemplo, unos ingresos brutos anuales superiores a 26 625 000 USD en 2025 y 2026), pero respetamos los derechos que se indican a continuación para todos los residentes en los EE. UU. En los últimos 12 meses recogimos las siguientes categorías de información personal. Los datos que permanecen únicamente en su ordenador no los recogemos nosotros. Cuando tratamos información personal por cuenta de un Cliente empresarial (sección 2.3), actuamos como su proveedor de servicios (service provider) con arreglo a la Sección 16 del Acuerdo de tratamiento de datos.

No recogemos información biométrica, geolocalización precisa ni información profesional, laboral o educativa como tal; dicha información puede aparecer en los correos electrónicos que usted trata con las Funciones de IA y recibe entonces el mismo tratamiento que el contenido de correo electrónico.

16.1.2 Sin venta, sin compartición, sin publicidad dirigida. No vendemos ni compartimos información personal (tal como se definen esos términos en la CCPA), no lo hemos hecho en los últimos 12 meses y no la utilizamos para publicidad conductual entre contextos ni para publicidad dirigida. No tenemos conocimiento efectivo de que vendamos ni compartamos información personal de consumidores menores de 16 años. Dado que no vendemos ni compartimos, no ofrecemos un enlace «Do Not Sell or Share»; no obstante, tratamos una señal de Global Privacy Control como una solicitud válida de exclusión de la venta y de la compartición.

16.1.3 Información personal sensible. Utilizamos y comunicamos información personal sensible únicamente para las finalidades permitidas conforme a Cal. Code Regs. tit. 11, § 7027(m), como prestar el Servicio que usted solicita y garantizar la seguridad y la integridad. No la utilizamos para inferir características sobre usted.

16.1.4 Sus derechos. Usted tiene derecho a: saber qué información personal recogemos, utilizamos y comunicamos y a acceder a ella; eliminarla; rectificar la información personal inexacta; excluirse de la venta o de la compartición (no aplicable, ya que no vendemos ni compartimos); limitar el uso de la información personal sensible (no aplicable, véase más arriba); y no sufrir discriminación por ejercer sus derechos. Utilice los controles de la sección 12.2 o escriba a legal@mailistix.com. Confirmamos la recepción en un plazo de 10 días hábiles y respondemos en un plazo de 45 días naturales, que podemos prorrogar una sola vez por otros 45 días, previa notificación. Verificamos las solicitudes relacionándolas con su Cuenta, por ejemplo, pidiéndole que inicie sesión en la Aplicación.

16.1.5 Agentes autorizados. Puede utilizar un agente autorizado. Solicitaremos al agente la autorización firmada por usted y podemos pedirle que verifique su identidad directamente con nosotros, salvo que el agente acredite un poder de representación válido.

16.1.6 No discriminación. No le denegaremos el Servicio, no le cobraremos un precio diferente ni le prestaremos un servicio de calidad diferente por haber ejercido sus derechos de privacidad.

16.1.7 Otras comunicaciones. No comunicamos información personal a terceros para sus propios fines de mercadotecnia directa (Cal. Civ. Code § 1798.83). No le rastreamos a través de sitios web de terceros, por lo que las señales «Do Not Track» del navegador no cambian nuestra forma de funcionar.

16.1.8 Otros estados de los EE. UU. Las leyes generales de privacidad de otros estados, incluidos Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana, Iowa, Delaware, Nebraska, Nuevo Hampshire, Nueva Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky y Rhode Island, por lo general no protegen a las personas que actúan en un contexto comercial o laboral, que es como se utiliza Mailistix, y se aplican solo por encima de umbrales que es posible que no alcancemos. Cuando una ley de este tipo se le aplique, es posible que usted tenga derecho a confirmar si tratamos sus datos personales, a acceder a ellos, rectificarlos y eliminarlos, a obtener una copia portátil, y a excluirse de la publicidad dirigida, de la venta y de la elaboración de perfiles con efectos jurídicos o que le afecten significativamente de modo similar. No realizamos publicidad dirigida, venta ni dicha elaboración de perfiles. Para ejercer sus derechos, utilice los controles de la sección 12.2 o escriba a legal@mailistix.com. Respondemos en un plazo de 45 días, que podemos prorrogar una sola vez por otros 45 días cuando la ley lo permita.

Apelaciones. Si nos negamos a atender su solicitud, puede apelar escribiendo a legal@mailistix.com con el asunto «Privacy appeal» en un plazo razonable tras nuestra decisión. Responderemos en el plazo que exija la ley de su estado (por lo general 45 o 60 días) y explicaremos nuestra decisión. Si no está conforme, puede ponerse en contacto con el Fiscal General (Attorney General) de su estado.

16.1.9 Nevada. No vendemos la información cubierta según se define en la ley de Nevada (NRS 603A). No obstante, puede enviar una solicitud de exclusión a legal@mailistix.com.

16.2 Canadá

16.2.1 PIPEDA. Tratamos la información personal de las personas en Canadá de conformidad con la Ley de Protección de la Información Personal y los Documentos Electrónicos (Personal Information Protection and Electronic Documents Act, PIPEDA) y las leyes provinciales aplicables. Al utilizar el Servicio, usted consiente el tratamiento descrito en esta política; puede retirar su consentimiento en cualquier momento, con sujeción a las restricciones legales o contractuales, y le informaremos de las consecuencias que dicha retirada tendría para el Servicio. Puede acceder a su información personal y rectificarla tal como se describe en la sección 12. Su información personal se trata fuera de Canadá, principalmente en la UE y, a través de los proveedores mencionados en la sección 8, posiblemente en los Estados Unidos y, para los usuarios de fuera de la UE, en otros países en los que opera Google. En tal caso, los tribunales y las autoridades de esos países pueden tener acceso a ella. Cuando tratamos información personal para un Cliente empresarial (sección 2.3), ese cliente sigue siendo responsable de ella, y nosotros la utilizamos únicamente para prestar el Servicio a ese cliente. Puede ponerse en contacto con nosotros sobre privacidad en legal@mailistix.com y presentar una reclamación ante la Oficina del Comisionado de Privacidad de Canadá (Office of the Privacy Commissioner of Canada, www.priv.gc.ca).

16.2.2 Quebec. La persona responsable de la protección de la información personal es nuestro gerente, Marvin Muvunyi, a quien se puede contactar en legal@mailistix.com. Con arreglo a la Ley sobre la protección de la información personal en el sector privado de Quebec (Act respecting the protection of personal information in the private sector), usted tiene derecho a acceder a su información personal y a rectificarla, a retirar su consentimiento, a recibir la información personal informatizada que usted facilitó en un formato tecnológico estructurado y de uso común (portabilidad), y a pedirnos que dejemos de difundir su información personal o que desindexemos cualquier hipervínculo asociado a su nombre cuando se cumplan las condiciones legales. Mailistix no utiliza tecnología que le identifique, le localice o elabore su perfil de forma predeterminada: la analítica opcional está desactivada salvo que usted la active, y no recogemos su ubicación. Antes de comunicar información personal fuera de Quebec, evaluamos si recibirá una protección adecuada. Puede presentar una reclamación ante la Commission d'accès à l'information du Québec (www.cai.gouv.qc.ca). Todavía no ofrecemos el Servicio en Quebec (Términos, Parte II, Sección D.1); antes de hacerlo, ofreceremos esta política en francés. Hasta entonces, esta sección se aplica principalmente a las personas de Quebec que mantienen correspondencia con usuarios de Mailistix (sección 7).

16.3 Reino Unido

Si usted se encuentra en el Reino Unido, se aplican el RGPD del Reino Unido y la Data Protection Act 2018, modificada por la Data (Use and Access) Act 2025, y las referencias al RGPD en esta política se entienden hechas al RGPD del Reino Unido. Tiene los derechos descritos en la sección 12. Puede presentarnos una queja sobre nuestro uso de sus datos personales escribiendo a legal@mailistix.com; acusaremos recibo de su queja en un plazo de 30 días, la examinaremos sin dilación indebida y le comunicaremos el resultado. También puede presentar una reclamación ante la Information Commissioner's Office (ico.org.uk). Las transferencias de sus datos a la UE se basan en los reglamentos de adecuación del Reino Unido relativos al EEE; las transferencias a los Estados Unidos se basan en la Extensión para el Reino Unido del Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado; en los demás casos, las transferencias a los Estados Unidos, Singapur u otros países se basan en la Adenda sobre transferencia internacional de datos a las cláusulas contractuales tipo de la UE (International Data Transfer Addendum) o en el Acuerdo de transferencia internacional de datos (International Data Transfer Agreement). En la pregunta sobre la región, las personas del Reino Unido responden «En Europa»; sus solicitudes de IA se tratan entonces en la UE (sección 4.6.4). Todavía no hemos designado un representante en el Reino Unido conforme al artículo 27 del RGPD del Reino Unido; designaremos uno antes de ofrecer activamente el Servicio en el Reino Unido.

16.4 Suiza

Si usted se encuentra en Suiza, se aplica la Ley federal suiza de protección de datos revisada (Federal Act on Data Protection, revFADP). Tiene los derechos de información, acceso, rectificación, supresión, oposición y portabilidad de los datos, y puede presentar una reclamación ante el Comisionado Federal de Protección de Datos y de Información (www.edoeb.admin.ch). Sus datos se tratan principalmente en la UE, cuyos países Suiza reconoce como países que ofrecen una protección adecuada; las transferencias a los Estados Unidos se basan en el Marco de Privacidad de Datos Suiza-EE. UU. cuando el destinatario está certificado; en los demás casos, las transferencias a los Estados Unidos, Singapur u otros países se basan en las cláusulas contractuales tipo de la UE con las modificaciones exigidas para Suiza. En la pregunta sobre la región, las personas de Suiza responden «En Europa»; sus solicitudes de IA se tratan entonces en la UE (sección 4.6.4).

16.5 Brasil

Si usted se encuentra en Brasil, se aplica la Ley General de Protección de Datos (Lei Geral de Proteção de Dados, LGPD, Ley n.º 13.709/2018). Nos amparamos en las bases jurídicas de la ejecución de un contrato, los intereses legítimos, el cumplimiento de obligaciones legales y el consentimiento, tal como se describe en la sección 4. Con arreglo al artículo 18 de la LGPD, usted tiene derecho a la confirmación del tratamiento, al acceso, a la rectificación, a la anonimización, al bloqueo o a la eliminación de los datos innecesarios o excesivos, a la portabilidad, a la eliminación de los datos tratados con consentimiento, a la información sobre las entidades con las que compartimos datos y sobre la posibilidad de no dar el consentimiento y sus consecuencias, y a la revocación del consentimiento. También puede presentar una petición ante la Autoridad Nacional de Protección de Datos (ANPD, www.gov.br/anpd). Las transferencias internacionales se basan en las garantías de la sección 9 y, cuando se exija, en las cláusulas contractuales tipo aprobadas por la ANPD. Nuestro contacto de protección de datos (encarregado) es nuestro gerente, Marvin Muvunyi, a quien se puede contactar en legal@mailistix.com.

16.6 Australia

Si usted se encuentra en Australia, tratamos su información personal de conformidad con los Principios Australianos de Privacidad (Australian Privacy Principles) de la Privacy Act 1988 (Cth). Comunicamos información personal a destinatarios fuera de Australia: en la UE (Alemania, Suecia y otros países de la UE), en Singapur y en los Estados Unidos y, si usted respondió que reside fuera de Europa, en otros países en los que opera Google (secciones 8 y 9). Puede acceder a su información personal y rectificarla tal como se describe en la sección 12. Si tiene una queja, póngase primero en contacto con nosotros; responderemos en un plazo de 30 días. Si no está conforme, puede presentar una reclamación ante la Oficina del Comisionado de Información de Australia (Office of the Australian Information Commissioner, www.oaic.gov.au).

16.7 Nueva Zelanda

Si usted se encuentra en Nueva Zelanda, se aplica la Privacy Act 2020. Tiene derecho a acceder a su información personal y a solicitar su rectificación. Comunicamos información personal a destinatarios fuera de Nueva Zelanda tal como se describe en las secciones 8 y 9, con garantías contractuales que exigen una protección comparable. Si alguien que le escribe utiliza Mailistix, la sección 7 describe cómo se trata su información. Puede presentar una reclamación ante la Oficina del Comisionado de Privacidad (Office of the Privacy Commissioner, www.privacy.org.nz).

16.8 Japón

Si usted se encuentra en Japón, se aplica la Ley de Protección de la Información Personal (Act on the Protection of Personal Information, APPI). Facilitamos datos personales a destinatarios de países extranjeros tal como se describe en las secciones 8 y 9: en la UE, que la Comisión de Protección de la Información Personal reconoce como dotada de un sistema de protección de la información personal equivalente al de Japón; en los Estados Unidos, que no tienen una ley federal general de privacidad, y en Singapur, que tiene la Personal Data Protection Act 2012; en ambos, nuestros destinatarios están obligados por contrato a proteger los datos de conformidad con los principios de la APPI; y, para los usuarios que respondieron que se encuentran fuera de la UE, en otros países en los que opera Google. Nuestras medidas de control de seguridad se describen en la sección 11. Puede solicitar la divulgación (incluidos los registros de comunicación a terceros), la rectificación, la suspensión del uso, la supresión y el cese de la comunicación a terceros escribiendo a legal@mailistix.com. Para nuestro nombre, dirección y representante, véase la sección 1.

16.9 Corea del Sur

Si usted se encuentra en la República de Corea, se aplica la Ley de Protección de la Información Personal (Personal Information Protection Act, PIPA). Los fines, los elementos de información, los plazos de conservación y los encargados del tratamiento se describen en las secciones 4, 8 y 10. Transferencias al extranjero: su información personal se transfiere a través de la red, cuando usted utiliza el Servicio, a los destinatarios y países enumerados en la sección 8 (Alemania y otros países de la UE; Singapur y los Estados Unidos; y, para los usuarios que respondieron que se encuentran fuera de la UE, otros países en los que opera Google), para los fines y con los plazos de conservación indicados en las secciones 4, 8 y 10. Los nombres de los destinatarios figuran en la sección 8 y en nuestra página de Subencargados del tratamiento; puede ponerse en contacto con ellos a través de nosotros en legal@mailistix.com. Puede rechazar una transferencia al extranjero no utilizando la función de que se trate (por ejemplo, las Funciones de IA o la analítica opcional) o eliminando su Cuenta; es posible que deje entonces de estar disponible la funcionalidad esencial de cliente de correo electrónico. Destrucción: cuando termina el plazo de conservación, eliminamos los archivos electrónicos de modo que no puedan restaurarse. Puede ejercer sus derechos de acceso, rectificación, supresión y suspensión del tratamiento tal como se describe en la sección 12. Nuestro responsable de privacidad es nuestro gerente, Marvin Muvunyi, a quien se puede contactar en legal@mailistix.com. También puede ponerse en contacto con el comité de mediación de conflictos de la Comisión de Protección de la Información Personal (www.kopico.go.kr) o con el Centro de Denuncias de Vulneraciones de la Privacidad de la KISA (privacy.kisa.or.kr, teléfono 118).

16.10 India

Si usted se encuentra en la India, se aplican la Ley de Protección de Datos Personales Digitales (Digital Personal Data Protection Act, 2023) y las Reglas de Protección de Datos Personales Digitales (Digital Personal Data Protection Rules, 2025) a medida que entren en vigor. Esta política constituye nuestro aviso sobre los datos personales que tratamos y sus fines (sección 4). Cuando nos basamos en su consentimiento, puede retirarlo con la misma facilidad con que lo dio (sección 12.2); cuando facilita datos voluntariamente para un fin específico, como crear una Cuenta, los tratamos para ese fin. Tiene derecho a acceder a la información sobre sus datos personales, a rectificarlos, completarlos, actualizarlos y suprimirlos, a designar a otra persona para que ejerza sus derechos en caso de fallecimiento o incapacidad, y a la resolución de quejas. Envíe sus quejas a nuestro gerente, Marvin Muvunyi, a legal@mailistix.com; respondemos en el plazo que fijen las Reglas de Protección de Datos Personales Digitales, como máximo 90 días. Si no está conforme con nuestra respuesta, puede presentar una reclamación ante la Junta de Protección de Datos de la India (Data Protection Board of India).

16.11 Singapur

Si usted se encuentra en Singapur, se aplica la Ley de Protección de Datos Personales (Personal Data Protection Act 2012, PDPA). Puede solicitar el acceso a sus datos personales y su rectificación, y retirar su consentimiento dándonos un preaviso razonable; le comunicaremos las consecuencias probables de la retirada. Cuando transferimos datos personales fuera de Singapur, nos aseguramos mediante contratos de que los destinatarios ofrezcan una protección comparable a la de la PDPA. La persona responsable de nuestro cumplimiento de la PDPA es nuestro gerente, Marvin Muvunyi, a quien se puede contactar en legal@mailistix.com. También puede presentar una reclamación ante la Comisión de Protección de Datos Personales (Personal Data Protection Commission, www.pdpc.gov.sg).

16.12 Sudáfrica

Si usted se encuentra en Sudáfrica, se aplica la Ley de Protección de la Información Personal (Protection of Personal Information Act, 2013, POPIA). Tiene derecho a acceder a su información personal, rectificarla y suprimirla, a oponerse al tratamiento por motivos razonables y a presentar una reclamación ante el Regulador de la Información (Information Regulator, inforegulator.org.za). Transferimos información personal fuera de Sudáfrica únicamente con las garantías descritas en la sección 9, que ofrecen una protección sustancialmente similar a la de la POPIA. Nuestro responsable de información es nuestro gerente, Marvin Muvunyi, a quien se puede contactar en legal@mailistix.com.

16.13 Türkiye

Si usted se encuentra en Türkiye, se aplica la Ley de Protección de Datos Personales n.º 6698 (KVKK). Para el tratamiento descrito en la sección 2.2, somos el responsable del tratamiento; respecto de los Datos personales del Cliente (sección 2.3), el responsable del tratamiento es el Cliente empresarial y nosotros somos su encargado del tratamiento. Tratamos sus datos personales para los fines de la sección 4, sobre la base de la ejecución de un contrato, nuestros intereses legítimos, el cumplimiento de obligaciones legales y, cuando se exija, su consentimiento explícito (artículo 5 de la KVKK). Transferimos datos personales al extranjero (sección 9) sobre la base de las garantías permitidas por el artículo 9 de la KVKK. Con arreglo al artículo 11 de la KVKK, usted tiene derecho a saber si sus datos se tratan y a solicitar información al respecto, a conocer la finalidad del tratamiento, a conocer los destinatarios en Türkiye y en el extranjero, a solicitar la rectificación y la supresión, así como su notificación a los destinatarios, a oponerse a un resultado en su contra derivado exclusivamente de un análisis automatizado, y a reclamar una indemnización por los daños causados por un tratamiento ilícito. Envíe las solicitudes a legal@mailistix.com; si rechazamos su solicitud o no respondemos en un plazo de 30 días, puede presentar una reclamación ante la Junta de Protección de Datos Personales (Personal Data Protection Board).

17. Cambios en esta política

Actualizamos esta política cuando cambian el Servicio o la ley. El número de versión y la fecha desde la que se aplica figuran en la parte superior, y las versiones anteriores permanecen disponibles en nuestro sitio web. Le informaremos de los cambios sustanciales en la Aplicación o por correo electrónico con al menos 30 días de antelación a su entrada en vigor. Cuando un cambio requiera su consentimiento, lo solicitaremos.

18. Contacto

Mailistix UG (haftungsbeschränkt)
Kolonnenstr. 8
10827 Berlin
Germany
Privacidad y asuntos jurídicos: legal@mailistix.com

Documentos relacionados: Términos del servicio · Contrato de licencia de software · Aviso sobre las funciones de IA · Subencargados del tratamiento · Acuerdo de tratamiento de datos