Privacy Policy

1. Controller and scope

DEEPRFP, S.L.U. operates CapexCue and is responsible for the personal-data processing described here. Its tax number is B44564276 (EU VAT identifier ESB44564276) and registered office is Ronda Circunvalación, 188, 12003 Castelló de la Plana, Castellón, Spain. Contact [email protected] for privacy matters and [email protected] for service enquiries. Telephone: US: +1 512 333 1501 | EU: +34 644 425 399. Statutory company details appear in the Legal Notice.

This policy covers the integrated CapexCue website, public project database, verified email follows, accounts, company workspaces, supplier intelligence and paid services. It also covers identifiable people mentioned in source material and customer-supplied content. A description of an optional feature applies only when that feature is offered and used; it does not promise that every described feature is available in every plan. The Service Terms govern use of the service and customer-instruction processing; the Cookies Policy explains device storage. Reading this policy is information, not contractual acceptance or consent to every processing activity.

2. Information and where it comes from

• From visitors and users: account identifier, email address, password authentication data, verification actions, chosen follows, email preferences, support correspondence and any demo-booking details you choose to provide. Passwords are stored as hashes, not as readable passwords.
• From company users and inviting colleagues: company name, website reference, capabilities, territories, exclusions, free-text company priorities, supplier-profile versions, workspace roles and invitation addresses. A company owner can invite colleagues; a matching email domain does not automatically join a workspace.
• From use of private features: company samples, historical previews, assessments, relevance feedback, saved pursuits, notes, actions, dates and exports. Some business information identifies individuals and is therefore personal data.
• From transactions when purchasing is available: selected offer, contractual acceptance and terms version, account/company association, currency, amounts, tax and subscription status, and payment-provider references or dispute/refund events. Payment instruments are collected by the payment provider through its secure payment surface; CapexCue does not ask you to enter card details into profile or support fields.
• From devices and operations: IP/network information, request and error information, session and security tokens, anti-abuse digests, delivery status and operational records. A digest can still be personal data where it remains linkable to a person.
• From permitted public sources: project documents, official registers, publisher datasets and websites, including source URLs, quotations, dates and professional names, roles or business contact details where relevant to project evidence. Public availability does not remove data-protection obligations.
• If a content-upload feature is offered: the files or text you choose to supply and relevant extracted content, metadata and results needed for that feature. This does not authorize a new feature to reuse existing content for an unrelated purpose.

Required form fields are needed for the action identified on the form; optional fields can be left blank. Do not submit special-category data, criminal-record information, private identifiers or unrelated confidential personal information. Such data is not requested for the intended service; if received incidentally, we assess whether to remove, restrict or otherwise handle it lawfully.

3. Purposes and legal bases

• Accounts, authentication, requested workspace features, company profiles, previews and pursuits: performing a contract or taking requested steps before a contract where you are personally a party (GDPR Article 6(1)(b)). For representatives, employees and colleagues using a company service, our and the company’s legitimate interests in administering that service apply where appropriate (Article 6(1)(f)). Without the necessary information we cannot complete the requested action.
• Verified project, market or report emails: your specific request and consent to the selected optional updates (Article 6(1)(a)). Verification confirms the address and exact interest. A follow does not subscribe you to unrelated marketing. Stopping optional email does not prevent necessary account, security or transaction notices.
• CapexCue product news and related service offers: your separate opt-in (Article 6(1)(a)). Each marketing email offers a simple, free unsubscribe; you can also contact us to stop it. Account creation, a project/market follow or a company-monitoring preference does not itself grant marketing permission. We do not share your address for unspecified third-party marketing.
• Payments and subscriptions: contract administration or legitimate interests for company representatives, and compliance with applicable tax, accounting and legal obligations (Article 6(1)(c)).
• Security, rate limits, fraud prevention, debugging, continuity and proportionate dispute records: legitimate interests in protecting users and operating a dependable service, and legal obligations where applicable. We consider necessity, proportionality and the impact on individuals.
• Support and corrections: responding to requested pre-contract or contractual assistance, legitimate interests in correcting information and resolving enquiries, or compliance with data-protection obligations for rights requests, according to the request.
• Public-source research, evidence verification and proportionate publication of professional information: legitimate interests in providing reliable infrastructure intelligence and enabling relevant business research. We weigh relevance, reasonable expectations, source restrictions and the individual’s rights; information can be withheld, corrected or restricted. General public accessibility is not consent.
• Product-quality evaluation: legitimate interests in evaluating relevance, errors and usability with proportionate evidence and feedback. This does not authorize unrelated marketing, reuse of private workspace content as public project facts, or model training.

Professional email addresses and business content can identify people and remain subject to applicable privacy and electronic-marketing rules. Consent can be withdrawn without affecting earlier lawful processing. Contractual necessity or another applicable legal basis may still justify separate records; withdrawing email consent does not cancel a subscription. We do not sell personal data for advertising or run behavioral advertising.

4. Company access and public-source information

Information entered in a company workspace is visible to authorized members according to their role. Owners administer membership; personal email choices remain separate. CapexCue staff and contracted service providers may access information when needed for support, security, lawful operation or a legal obligation, with appropriate access restrictions. Where the customer determines the purposes of personal data supplied for processing on its behalf, the customer acts as controller (or an authorized processor) and CapexCue acts as processor (or subprocessor), as described in the Service Terms. CapexCue remains responsible for its own controller activities.

Private corrections, notes and customer strategies do not automatically become public project facts. Public evidence is assessed separately. We limit professional personal data from public or other indirect sources to what is relevant and proportionate for project intelligence. We provide the required information within the statutory period, normally within one month and earlier at first communication or disclosure where required, unless a specific documented legal exception applies with appropriate safeguards. Public availability alone is not an exemption. If information about you appears in CapexCue, you can ask for its available source details, access, correction, erasure, restriction or object to its use through our privacy contact, whether or not you have an account or supplied it yourself.

5. AI-assisted processing

We use AI to assist project research, supplier matching and assessment. External processing is limited to relevant public project/evidence material and the company-profile information needed for the requested feature. If a document-upload or other content feature is offered, relevant content or extracted passages may also be processed for its stated purpose. Account passwords, payment details and private pursuit notes are not sent as matching inputs. We minimize content sent to providers; a possible future feature does not authorize unrelated reuse of existing customer content.

We do not train or fine-tune AI models on customer data, and we do not permit our AI providers to use that data to train their models. We do not opt customer content into provider model-training or data-sharing programs. Quality checks and feedback may improve service rules and workflows without training models on customer content.

We minimize the information sent to AI providers and use the storage controls appropriate to the selected API feature. Our current direct API route requests no persistent response storage; this does not mean that all provider copies disappear immediately. Providers may retain technical, security or abuse-monitoring records and limited caches under their applicable policies and legal duties. Retention depends on the route and feature used; no universal zero-retention or fixed deletion date is promised. Profiles and results kept in CapexCue follow section 8. We assess additional storage features before using them for customer content.

AI processing uses the OpenAI API or, if selected for the relevant service, Microsoft Azure OpenAI. These are alternative processing routes; the applicable provider and safeguards are identified before processing begins. No fixed-country or universal zero-retention claim is made.

AI proposals are subject to evidence-based review and deterministic controls. Matches express relevance and uncertainty; they are not solely automated decisions about individuals with legal or similarly significant effects. Customers decide their own commercial actions and do not assume CapexCue’s routine product-quality responsibilities.

6. Recipients and providers

We share information only as needed for the identified purpose with authorized workspace members, contracted providers, professional advisers, payment parties, competent authorities or parties involved in establishing or defending lawful claims. Processors act under appropriate agreements and instructions.

• Postmark is our provider for verification, essential account/transaction emails, requested project/market/report updates, and separately chosen CapexCue product news and related offers. It processes recipient addresses, message content and delivery/suppression records. Marketing uses permission-based recipient lists and unsubscribe controls; public contact information is not automatically a marketing subscription.
• FastSpring is our reseller and merchant of record for paid purchases. It processes buyer, transaction, payment, tax, fraud, subscription, refund and dispute information and provides the records needed for access and reconciliation. Its Privacy Statement supplements this notice. FastSpring describes joint-controller processing with sellers for merchant-of-record transactions, its own controller purposes and processor activities for seller-directed services. The applicable allocation follows the actual activity and merchant arrangement. CapexCue-related rights requests may be sent to us or to FastSpring; we coordinate where required and make the essence of any applicable joint-controller arrangement available.
• Hetzner provides the server infrastructure hosting the application, its self-hosted database and retained customer content, together with configured provider backups. Any additional provider used for encrypted independent backups or optional future file storage will process only the necessary data under our instructions and will be identified before that processing begins. These services are subject to the retention policy below.
• Sentry provides application error reporting through our selected US-region project. We send minimized exception categories, application code locations, environment and release identifiers to diagnose failures. This integration excludes form and request content, credentials, cookies, customer or supplier content, AI prompts and outputs, local variables, tracing and session replay. Sentry also receives the server connection information necessary to deliver these error reports.
• Google Workspace handles business correspondence sent to our support, billing, privacy and other role mailboxes, including attachments you send.
• Google Calendar supplies the optional demo-booking calendar only when you choose to open it or follow its external link. Google receives connection/device information and the booking details you enter; we use appointment enquiries to arrange the requested meeting. Google’s Privacy Policy applies to its service. A booking does not create a paid subscription.
• Cloudflare provides DNS and any separately enabled traffic-delivery or security services. Optional Cloudflare Web Analytics is currently off. Its activation would require the relevant processing information and any required choices before collection. Namecheap is our domain registrar, not automatically a recipient of application content.

The AI provider alternatives are described in section 5. We identify the relevant recipient categories and material changes before the affected processing. You can obtain further information about the providers applicable to your data and transfer safeguards through our privacy contact.

7. International transfers

Some email, infrastructure, payment and AI processing involves recipients or access outside the European Economic Area. Such transfers take place only under a lawful GDPR Chapter V mechanism, such as an applicable adequacy decision covering the recipient and processing or appropriate safeguards, including standard contractual clauses with the necessary assessment and supplementary measures.

We do not rely on acceptance of these terms as blanket consent to international transfers. Contact [email protected] for the arrangements applicable to your data and a copy of relevant safeguards, subject to necessary redactions. No single-country storage promise is made.

8. Retention, account closure and deletion

The optional structured search logger is currently off on the production service. If enabled to improve project discovery, it records redacted search text, allowed filters, page, result count and request time. Pattern-based redaction removes recognizable email addresses, URLs and credential/token patterns; it cannot guarantee removal of every secret pasted into free text. Do not enter passwords, API keys or other secrets in search. New structured search records contain no raw IP, session value or cookie-derived audience identifier. Earlier records may contain the daily pseudonymous group described in the notice then in force; we do not add it to new events. Repeated submissions and zero results are counted, not interpreted as unique visitors. If this optional collection is activated, its retention period or meaningful criteria and operational deletion arrangement will be stated before collection. Earlier records remain subject to the notice and obligations applicable when collected. Disabling this logger stops future structured events; it does not erase earlier records or disable separate access, security, error and delivery logs, which follow their own purposes and retention.

The separate optional interaction logger is currently off. Its defined scope is limited to fixed copy, evidence-opening, export-response, result-view and calendar actions, time/environment/test classification and public project/release references where relevant; it has no user, session, IP, private-object, query-text or arbitrary-property fields. Before activation, we establish an operational deletion arrangement and communicate the retention period or meaningful criteria for the selected purpose. Counts do not prove unique people, a download/read, a shared citation, a booked meeting or payment. Account, profile, sample, pursuit and follow outcomes remain their existing service records rather than a second conversion history.

We retain account information, company profiles, customer content and saved results while needed to provide the service you keep with us. Uploaded files are included only where that feature is available. Cancelling paid renewal is different from deleting an account or content; free features and shared company records may continue where still requested and lawful.

When you request deletion or close an account, we verify your authority proportionately and act on applicable erasure requests without undue delay. Available controls and our privacy contact identify the scope that can be removed, including the effect on shared company records. We remove or restrict affected active data as appropriate; an accepted request does not mean every separate copy has already been erased. Cancelling renewal alone is not a deletion request.

We maintain a rolling backup window of up to 30 days. Information deleted from the active service may remain in protected backup copies until those copies expire. Backup access is restricted to recovery and justified security or legal purposes. This backup window does not postpone mandatory erasure duties or statutory response periods, and does not change obligations already incurred. Provider-held service and security records are treated separately under their applicable purposes and legal duties; this is not a promise that every provider or independent recipient deletes all copies within the backup window.

Retention is reviewed by category and purpose: account and company records remain while needed for the requested service and any lawful shared-company relationship; recovery copies remain only for the recovery cycle or a justified incident; security and delivery records remain only for investigation, reliable delivery, suppression or a documented legal need. Records are deleted, minimized or restricted when their applicable purpose or legal period ends. You may ask our privacy contact for the criteria and current handling of your data.

Narrow exceptions apply to records that must be preserved under law, for establishing or defending lawful claims, or under a valid continuing company relationship. These are restricted to the necessary records and period; they do not justify keeping deleted customer files or entire profiles indefinitely. Where Spanish law requires blocking, access is restricted to the relevant liabilities and records are erased when that period ends. Separate company ownership may mean that leaving a workspace does not authorize deletion of the company’s shared records.

Accounting/transaction records have their own legal periods: Spanish commercial accounting duties generally require six years, tax obligations generally involve four years and contractual claims commonly have a five-year limitation period, subject to the applicable start, interruption or extension rules. Optional-email suppression and consent records are kept proportionately to honor preferences and demonstrate compliance. Support correspondence, delivery/security records and public-source personal information are kept only as justified by their purpose, legal duties and continuing relevance; these are not governed automatically by the customer-file backup window. AI processing copies follow section 5.

You can request closure, erasure or information about the applicable period at [email protected]. Verification does not extend the applicable statutory response periods. Your rights and lawful exceptions are explained below.

9. Security and your part

We apply access controls, password hashing, tenant restrictions and security checks appropriate to the application. We use encrypted connections, restricted hosting/storage access, protected recovery copies and safeguards appropriate to the risk; no system is guaranteed immune from unauthorized access, loss or interruption. Tell [email protected] promptly about suspected account misuse, keep credentials confidential and sign out on shared devices. This does not transfer our own data-protection duties to you.

10. Your rights and complaints

Where the legal conditions apply, you can request access and a copy, rectification, erasure, restriction, objection to legitimate-interest processing and portability of data processed automatically on consent or contract. You can withdraw consent at any time and object to direct marketing at any time. Rights concerning solely automated significant decisions apply where such processing occurs. These rights have legal conditions and exceptions, which we explain if relevant to your request.

Contact [email protected] or write to the registered office with enough information to identify the request. A representative may act with evidence of authority. We do not routinely require a copy of an identity document; we request proportionate additional verification only where reasonably needed. Requests are normally free. We respond without undue delay and ordinarily within one month; a lawful extension of up to two further months for complexity or number of requests will be explained within the first month.

You may complain to the Spanish Data Protection Agency (AEPD) or the competent supervisory authority, including where you habitually reside or work. Contacting us first is not a condition for complaining. No statutory data protection officer appointment is asserted by this notice.

11. Capacity and policy changes

CapexCue is designed for commercial project research. Entering a service contract requires legal capacity or valid representation as explained in the Service Terms. We do not deliberately seek children’s personal information. Where a child’s consent is relied on in Spain, the statutory rules, including parental or guardian authorization for children under 14, apply; this is distinct from capacity to contract.

The version date identifies this notice. Material changes to processing will be communicated through an appropriate channel before they apply, and any consent or other legal requirement will be addressed separately. Updating a privacy notice does not retrospectively authorize a new use of data. Both language versions communicate the same information and preserve the same rights.

1. Responsable y ámbito

DEEPRFP, S.L.U. opera CapexCue y es responsable de los tratamientos de datos personales descritos aquí. Su NIF es B44564276 (identificador de IVA intracomunitario ESB44564276) y su domicilio social es Ronda Circunvalación, 188, 12003 Castelló de la Plana, Castellón, España. Contacte con [email protected] para cuestiones de privacidad y con [email protected] para consultas del servicio. Teléfonos: US: +1 512 333 1501 | EU: +34 644 425 399. Los datos societarios figuran en el Aviso legal.

Esta política abarca el sitio y la aplicación integrados de CapexCue, la base pública de proyectos, los seguimientos verificados por correo, las cuentas, los espacios de empresa, la inteligencia para proveedores y los servicios de pago. También comprende a las personas identificables mencionadas en las fuentes y en el contenido facilitado por clientes. La descripción de una función opcional solo se aplica cuando se ofrece y se utiliza; no promete que todas las funciones descritas estén disponibles en todos los planes. Las Condiciones del servicio regulan el uso y el tratamiento por instrucciones del cliente; la Política de cookies explica el almacenamiento en dispositivos. Leer esta política es recibir información, no aceptar un contrato ni consentir todos los tratamientos.

2. Información y procedencia

• De visitantes y usuarios: identificador de cuenta, dirección de correo electrónico, datos de autenticación mediante contraseña, verificaciones, seguimientos elegidos, preferencias de correo, consultas y los datos que decida facilitar para reservar una demostración. Las contraseñas se conservan mediante funciones de resumen criptográfico, no como contraseñas legibles.
• De usuarios de empresa y compañeros que invitan: denominación y sitio web de la empresa, capacidades, territorios, exclusiones, prioridades empresariales en texto libre, versiones del perfil del proveedor, roles y direcciones de invitación. Un propietario puede invitar a compañeros; compartir un dominio de correo no incorpora automáticamente a una empresa.
• Del uso de funciones privadas: muestras de empresa, vistas previas históricas, evaluaciones, comentarios de relevancia, oportunidades comerciales guardadas, notas, acciones, fechas y exportaciones. La información empresarial que identifica a personas físicas también es un dato personal.
• De operaciones de compra, cuando estén disponibles: oferta elegida, aceptación contractual y versión de las condiciones, vinculación con cuenta y empresa, moneda, importes, impuestos, estado de suscripción y referencias del proveedor de pago o incidencias de reembolso y reclamación. El proveedor recoge los instrumentos de pago en su entorno seguro; CapexCue no solicita datos de tarjetas en campos de perfil o asistencia.
• De dispositivos y operaciones: información de IP y red, peticiones y errores, identificadores de sesión y seguridad, resúmenes para prevenir abusos, estado de entrega y registros operativos. Un resumen criptográfico puede seguir siendo un dato personal si permite vincularse a una persona.
• De fuentes públicas cuyo uso esté permitido: documentos de proyectos, registros oficiales, conjuntos de datos y sitios de editores, con direcciones de origen, citas, fechas y nombres, cargos o contactos profesionales pertinentes para la evidencia del proyecto. La disponibilidad pública no elimina las obligaciones de protección de datos.
• Si se ofrece carga de contenido: los archivos o textos que decide facilitar y el contenido extraído, metadatos y resultados pertinentes necesarios para esa función. Esto no autoriza que una función nueva reutilice contenido existente para fines ajenos.

Los campos obligatorios son necesarios para la acción indicada en el formulario; los opcionales pueden dejarse en blanco. No facilite categorías especiales de datos, antecedentes penales, identificadores privados ni información personal confidencial ajena al servicio. No se solicitan estos datos; si se reciben incidentalmente, valoraremos su supresión, restricción u otro tratamiento lícito.

3. Finalidades y bases jurídicas

• Cuentas, autenticación, funciones solicitadas del espacio de trabajo, perfiles, vistas previas y oportunidades comerciales: ejecución de un contrato o aplicación de medidas precontractuales solicitadas cuando usted sea parte personalmente (artículo 6.1.b del RGPD). Para representantes, empleados y compañeros que utilicen un servicio contratado por una empresa, se aplicará, cuando corresponda, nuestro interés legítimo y el de la empresa en administrarlo (artículo 6.1.f). Sin los datos necesarios no podremos completar la acción solicitada.
• Correos de seguimiento de proyectos, mercados o informes: su solicitud específica y consentimiento para las actualizaciones opcionales elegidas (artículo 6.1.a). La verificación confirma la dirección y el interés concreto. Un seguimiento no supone el alta en publicidad ajena a él. La baja de correos opcionales no impide avisos necesarios sobre cuenta, seguridad u operaciones.
• Novedades de CapexCue y ofertas de servicios relacionados: su consentimiento separado (artículo 6.1.a). Cada correo comercial permite darse de baja de forma sencilla y gratuita; también puede pedirlo contactando con nosotros. Crear cuenta, seguir un proyecto o mercado o elegir avisos de seguimiento de empresa no concede por sí solo permiso de marketing. No compartimos su dirección para publicidad indeterminada de terceros.
• Pagos y suscripciones: gestión contractual o interés legítimo respecto de representantes de empresa y cumplimiento de obligaciones fiscales, contables y legales aplicables (artículo 6.1.c).
• Seguridad, límites de peticiones, prevención de fraude, diagnóstico, continuidad y registros proporcionados de controversias: interés legítimo en proteger a los usuarios y operar un servicio fiable, y obligaciones legales cuando proceda. Valoramos la necesidad, la proporcionalidad y el efecto sobre las personas.
• Asistencia y correcciones: atención precontractual o contractual solicitada, interés legítimo en corregir información y resolver consultas, o cumplimiento de obligaciones de protección de datos al atender derechos, según el caso.
• Investigación de fuentes públicas, verificación de evidencias y publicación proporcionada de información profesional: interés legítimo en ofrecer información fiable sobre infraestructuras y facilitar investigación comercial pertinente. Ponderamos la relevancia, las expectativas razonables, las restricciones de la fuente y los derechos de las personas; podemos omitir, corregir o restringir información. El acceso público no equivale a consentimiento.
• Evaluación de la calidad del producto: interés legítimo en evaluar relevancia, errores y usabilidad mediante evidencias y comentarios proporcionados. No autoriza publicidad ajena, convertir contenido privado en hechos públicos de proyectos ni entrenar modelos.

Las direcciones profesionales y el contenido empresarial pueden identificar personas y siguen sujetos a las normas aplicables de privacidad y comunicaciones comerciales. El consentimiento puede retirarse sin afectar a la licitud del tratamiento anterior. La necesidad contractual u otra base aplicable puede justificar registros separados; retirar el consentimiento para correos no cancela una suscripción. No vendemos datos personales para publicidad ni realizamos publicidad comportamental.

4. Acceso de empresa e información de fuentes públicas

La información de un espacio de empresa es visible para sus miembros autorizados según su función. Los propietarios administran las altas y permisos; las preferencias personales de correo son independientes. El personal de CapexCue y sus proveedores contratados pueden acceder cuando sea necesario para asistencia, seguridad, funcionamiento lícito u obligaciones legales, con restricciones de acceso adecuadas. Cuando el cliente determina los fines de los datos personales que facilita para su tratamiento por cuenta propia, actúa como responsable (o encargado autorizado) y CapexCue como encargado (o subencargado), según las Condiciones del servicio. CapexCue conserva la responsabilidad de sus propios tratamientos como responsable.

Las correcciones privadas, notas y estrategias del cliente no se convierten automáticamente en hechos públicos de proyectos. La evidencia pública se evalúa por separado. Limitamos los datos personales profesionales obtenidos de fuentes públicas o indirectas a lo pertinente y proporcionado para la inteligencia de proyectos. Facilitamos la información exigible dentro del plazo legal, normalmente en un mes y antes en la primera comunicación o divulgación cuando corresponda, salvo que concurra una excepción legal concreta, documentada y con las salvaguardas adecuadas. El acceso público no constituye por sí solo una exención. Si aparece información sobre usted en CapexCue, puede pedir los detalles disponibles sobre su origen, acceso, rectificación, supresión, limitación u oponerse al tratamiento mediante nuestro contacto de privacidad, aunque no tenga cuenta ni haya facilitado los datos.

5. Tratamiento asistido por IA

Utilizamos IA para apoyar la investigación de proyectos, la correspondencia con proveedores y su evaluación. El tratamiento externo se limita a la información pública pertinente sobre proyectos y evidencias y a los datos del perfil de empresa necesarios para la función solicitada. Si se ofrece una función de carga de documentos u otros contenidos, también podrán tratarse contenidos pertinentes o pasajes extraídos para el fin indicado. No se envían contraseñas, datos de pago ni notas privadas de oportunidades como entradas para la correspondencia. Minimizamos el contenido enviado a los proveedores; una posible función futura no autoriza reutilizaciones ajenas del contenido existente.

No entrenamos ni ajustamos modelos de IA con datos de clientes, ni permitimos que nuestros proveedores de IA los utilicen para entrenar sus modelos. No incorporamos contenido de clientes a programas de entrenamiento o intercambio de datos del proveedor. Las comprobaciones de calidad y las opiniones pueden mejorar las reglas y procesos del servicio sin entrenar modelos con contenido de clientes.

Minimizamos la información enviada a proveedores de IA y usamos controles de almacenamiento adecuados a la función de API seleccionada. La vía directa actual solicita que no se guarden respuestas de forma persistente; esto no significa que todas las copias del proveedor desaparezcan inmediatamente. Los proveedores pueden conservar registros técnicos, de seguridad o prevención de abusos y cachés limitadas conforme a sus políticas y deberes legales. La conservación depende de la vía y función utilizadas; no se promete conservación universalmente nula ni una fecha fija de supresión. Los perfiles y resultados guardados en CapexCue siguen la sección 8. Evaluamos funciones adicionales de almacenamiento antes de utilizarlas con contenido del cliente.

El tratamiento de IA utiliza la API de OpenAI o, si se selecciona para el servicio correspondiente, Microsoft Azure OpenAI. Son rutas alternativas; el proveedor y las salvaguardas aplicables se identifican antes del tratamiento. No se promete un país fijo ni una conservación universalmente nula.

Las propuestas de IA están sujetas a revisión basada en evidencias y controles deterministas. Las correspondencias expresan relevancia e incertidumbre; no son decisiones exclusivamente automatizadas sobre personas con efectos jurídicos o de importancia similar. Los clientes deciden sus propias actuaciones comerciales y no asumen la revisión ordinaria de calidad de CapexCue.

6. Destinatarios y proveedores

Compartimos información solo en la medida necesaria para el fin indicado con miembros autorizados del espacio, proveedores contratados, asesores profesionales, participantes en pagos, autoridades competentes o partes que deban formular o defender reclamaciones legítimas. Los encargados actúan conforme a acuerdos e instrucciones adecuados.

• Postmark es nuestro proveedor de verificaciones, correos esenciales de cuenta y operaciones, actualizaciones solicitadas de proyectos, mercados e informes, y novedades de CapexCue y ofertas relacionadas elegidas por separado. Trata direcciones, contenido de mensajes y registros de entrega y exclusión. El marketing utiliza listas de destinatarios basadas en permisos y controles de baja; un contacto público no se convierte automáticamente en suscripción comercial.
• FastSpring es nuestro revendedor y comerciante registrado para compras de pago. Trata información de compradores, operaciones, pagos, impuestos, fraude, suscripciones, reembolsos y controversias, y facilita los registros necesarios para acceso y conciliación. Su Declaración de privacidad complementa este aviso. FastSpring describe corresponsabilidad con vendedores en operaciones como comerciante registrado, fines propios como responsable y funciones de encargado en servicios prestados por instrucciones del vendedor. El reparto aplicable depende de la actividad y del acuerdo comercial reales. Las solicitudes de derechos relacionadas con CapexCue pueden dirigirse a nosotros o a FastSpring; nos coordinamos cuando procede y facilitamos los aspectos esenciales del acuerdo de corresponsabilidad aplicable.
• Hetzner proporciona la infraestructura de servidor que aloja la aplicación, su base de datos autogestionada y el contenido de clientes conservado, además de las copias de seguridad configuradas del proveedor. Cualquier proveedor adicional utilizado para copias de seguridad independientes cifradas o para el almacenamiento opcional de archivos en el futuro tratará solo los datos necesarios conforme a nuestras instrucciones y será identificado antes de que comience dicho tratamiento. Estos servicios están sujetos a la política de conservación siguiente.
• Sentry proporciona informes de errores de la aplicación mediante nuestro proyecto seleccionado en Estados Unidos. Enviamos categorías de excepciones, ubicaciones del código de la aplicación e identificadores del entorno y de la versión, reducidos a lo necesario para diagnosticar fallos. Esta integración excluye el contenido de formularios y solicitudes, credenciales, cookies, contenido de clientes o proveedores, instrucciones y respuestas de IA, variables locales, trazas y reproducción de sesiones. Sentry recibe también la información de conexión del servidor necesaria para entregar estos informes.
• Google Workspace gestiona la correspondencia empresarial dirigida a nuestros buzones de asistencia, facturación, privacidad y otras funciones, incluidos los adjuntos que envíe.
• Google Calendar proporciona el calendario opcional de demostraciones solo cuando decide abrirlo o seguir su enlace externo. Google recibe información de conexión y dispositivo y los datos de reserva que introduzca; utilizamos las consultas de cita para organizar la reunión solicitada. Su Política de privacidad se aplica a ese servicio. Una reserva no crea una suscripción de pago.
• Cloudflare presta DNS y los servicios de entrega de tráfico o seguridad que se activen por separado. Cloudflare Web Analytics está desactivado actualmente. Su activación requeriría la información del tratamiento y las opciones exigibles antes de recoger datos. Namecheap es nuestro registrador de dominio, no un destinatario automático del contenido de la aplicación.

Las alternativas de proveedor de IA se describen en la sección 5. Identificamos las categorías pertinentes de destinatarios y los cambios sustanciales antes del tratamiento afectado. Puede obtener más información sobre los proveedores aplicables a sus datos y las garantías de transferencia mediante el contacto de privacidad.

7. Transferencias internacionales

Algunos tratamientos de correo, infraestructura, pagos e IA implican destinatarios o accesos fuera del Espacio Económico Europeo. Estas transferencias solo se realizan con un mecanismo lícito del capítulo V del RGPD, como una decisión de adecuación aplicable al destinatario y al tratamiento, o garantías adecuadas, incluidas cláusulas contractuales tipo con la evaluación y las medidas complementarias necesarias.

No utilizamos la aceptación de estas condiciones como consentimiento general a transferencias internacionales. Contacte con [email protected] para conocer los acuerdos aplicables a sus datos y obtener copia de las garantías pertinentes, con las ocultaciones necesarias. No se promete almacenamiento en un único país.

8. Conservación, cierre de cuenta y supresión

El registro estructurado opcional de búsquedas está desactivado actualmente en el servicio de producción. Si se activa para mejorar el descubrimiento de proyectos, registra texto depurado, filtros admitidos, página, número de resultados y hora. La depuración por patrones elimina direcciones de correo, URL y patrones reconocibles de credenciales o tokens; no garantiza eliminar todo secreto pegado en texto libre. No introduzca contraseñas, claves de API ni otros secretos en la búsqueda. Los nuevos registros estructurados no contienen IP originales, valores de sesión ni identificadores de audiencia derivados de cookies. Los anteriores pueden contener el grupo seudónimo diario descrito en el aviso entonces vigente; no lo añadimos a eventos nuevos. Los envíos repetidos y resultados vacíos se cuentan sin interpretarlos como visitantes únicos. Si se activa esta recogida opcional, se indicarán previamente su plazo o criterios significativos de conservación y el mecanismo operativo de supresión. Los registros anteriores siguen sujetos al aviso y obligaciones aplicables cuando se recogieron. Desactivar este registro detiene los nuevos eventos estructurados; no elimina registros anteriores ni desactiva los registros separados de acceso, seguridad, errores y entrega, que siguen sus propias finalidades y plazos.

El registro opcional separado de interacciones está desactivado actualmente. Su ámbito definido se limita a acciones fijas de copia, apertura de evidencias, respuesta de exportación, consulta de resultados y calendario, hora, entorno, clasificación de pruebas y referencias públicas de proyecto y publicación cuando proceda; no contiene campos de usuario, sesión, IP, objeto privado, texto de búsqueda ni propiedades arbitrarias. Antes de activarlo establecemos un mecanismo operativo de supresión y comunicamos el plazo o criterios significativos de conservación para la finalidad seleccionada. Los recuentos no prueban personas únicas, descargas o lecturas, citas compartidas, reuniones reservadas ni pagos. Las altas, perfiles, muestras, oportunidades comerciales y seguimientos conservan sus registros de servicio existentes, sin duplicarlos en otro historial de conversiones.

Conservamos la información de cuenta, perfiles de empresa, contenido del cliente y resultados guardados mientras sean necesarios para prestar el servicio que mantiene con nosotros. Los archivos cargados se incluyen solo cuando esa función está disponible. Cancelar una renovación de pago es distinto de eliminar una cuenta o contenido; las funciones gratuitas y los registros compartidos de empresa pueden continuar cuando sigan solicitados y sean lícitos.

Cuando solicita supresión o cierra una cuenta, verificamos su facultad de forma proporcionada y atendemos las solicitudes de supresión aplicables sin dilación indebida. Los controles disponibles y nuestro contacto de privacidad identifican el ámbito que puede retirarse, incluido su efecto sobre registros compartidos de la empresa. Retiramos o restringimos los datos activos afectados según corresponda; aceptar una solicitud no significa que cada copia separada ya se haya borrado. Cancelar la renovación no equivale por sí solo a solicitar supresión.

Mantenemos una ventana móvil de copias de seguridad de hasta 30 días. La información eliminada del servicio activo puede permanecer en copias protegidas hasta que estas caduquen. El acceso se limita a recuperación y fines justificados de seguridad o legales. Esta ventana no aplaza obligaciones legales de supresión ni plazos de respuesta, ni modifica obligaciones ya contraídas. Los registros de servicio y seguridad conservados por proveedores siguen por separado sus finalidades y deberes legales; no se promete que cada proveedor o destinatario independiente borre todas sus copias dentro de esa ventana.

Revisamos la conservación por categoría y finalidad: los registros de cuenta y empresa permanecen mientras sean necesarios para el servicio solicitado y una relación compartida lícita; las copias de recuperación, solo durante su ciclo o un incidente justificado; y los registros de seguridad y entrega, solo para investigación, entrega fiable, exclusiones o una necesidad legal documentada. Los registros se borran, minimizan o restringen al terminar su finalidad o plazo legal. Puede solicitar al contacto de privacidad los criterios y el tratamiento actual de sus datos.

Se aplican excepciones limitadas a registros que deban conservarse por ley, para formular o defender reclamaciones legítimas, o por una relación empresarial válida que continúe. Se limitan a los registros y plazos necesarios; no justifican conservar indefinidamente archivos borrados o perfiles completos. Cuando la legislación española exige bloqueo, se restringe el acceso a las responsabilidades correspondientes y los registros se suprimen al terminar ese periodo. La titularidad empresarial independiente puede implicar que abandonar un espacio no permita borrar los registros compartidos de la empresa.

Los registros contables y de operaciones tienen sus propios plazos legales: las obligaciones mercantiles españolas suelen exigir seis años, las tributarias normalmente cuatro, y las reclamaciones contractuales suelen tener un plazo de prescripción de cinco años, con las reglas aplicables de inicio, interrupción o ampliación. Los registros de consentimiento y exclusión de correos opcionales se conservan de forma proporcionada para respetar preferencias y acreditar cumplimiento. La correspondencia de asistencia, los registros de entrega y seguridad y los datos personales de fuentes públicas se conservan solo en la medida justificada por su fin, obligaciones legales y relevancia continuada; no quedan automáticamente sujetos al plazo de copias de archivos del cliente. Las copias del tratamiento de IA siguen la sección 5.

Puede solicitar cierre, supresión o información sobre el plazo aplicable en [email protected]. La verificación no amplía los plazos legales de respuesta aplicables. Los derechos y excepciones legales se explican a continuación.

9. Seguridad y colaboración del usuario

Aplicamos controles de acceso, resúmenes criptográficos de contraseñas, separación entre empresas y comprobaciones de seguridad adecuadas a la aplicación. Aplicamos conexiones cifradas, acceso restringido a alojamiento y almacenamiento, copias protegidas y salvaguardas de recuperación adecuadas al riesgo; ningún sistema garantiza inmunidad frente a accesos indebidos, pérdida o interrupciones. Avise con prontitud a [email protected] si sospecha un uso indebido, mantenga sus credenciales confidenciales y cierre sesión en dispositivos compartidos. Esto no le transfiere nuestras obligaciones de protección de datos.

10. Derechos y reclamaciones

Cuando concurran las condiciones legales, puede solicitar acceso y copia, rectificación, supresión, limitación, oposición al tratamiento por interés legítimo y portabilidad de los datos tratados automáticamente por consentimiento o contrato. Puede retirar el consentimiento en cualquier momento y oponerse en cualquier momento a la mercadotecnia directa. Los derechos relativos a decisiones automatizadas significativas se aplican cuando exista ese tratamiento. Los derechos tienen condiciones y excepciones legales que explicaremos si afectan a su solicitud.

Contacte con [email protected] o escriba al domicilio social aportando información suficiente para identificar su petición. Puede actuar mediante representante con acreditación de su facultad. No exigimos de forma rutinaria una copia del documento de identidad; solo solicitamos verificación adicional proporcionada cuando resulte razonablemente necesaria. Las solicitudes son normalmente gratuitas. Respondemos sin dilación indebida y, por regla general, en un mes; si procede una ampliación legal de hasta otros dos meses por complejidad o número de solicitudes, se explicará dentro del primer mes.

Puede reclamar ante la Agencia Española de Protección de Datos (AEPD) o la autoridad de control competente, incluida la de su residencia habitual o lugar de trabajo. No es obligatorio contactarnos antes. Este aviso no afirma el nombramiento de un delegado de protección de datos legalmente designado.

11. Capacidad y cambios de la política

CapexCue está diseñado para la investigación comercial de proyectos. La contratación requiere capacidad legal o representación válida conforme a las Condiciones del servicio. No buscamos deliberadamente datos de menores. Si se utiliza el consentimiento de un menor en España, se aplican las reglas legales, incluida la autorización parental o del tutor para menores de 14 años; esto es distinto de la capacidad para contratar.

La fecha de versión identifica este aviso. Los cambios materiales del tratamiento se comunicarán por un canal adecuado antes de aplicarse y se atenderá por separado cualquier requisito de consentimiento u otra exigencia legal. Actualizar un aviso no autoriza retroactivamente un uso nuevo. Ambas versiones lingüísticas transmiten la misma información y preservan los mismos derechos.