1. Quiénes somos
Zoosial es un producto de Zoosial (en adelante, "nosotros", "nuestro" o "la plataforma"). Operamos el servicio disponible en zoosial.com, una herramienta que permite a sus usuarios conectar, gestionar y automatizar sus propias cuentas de redes sociales mediante los flujos oficiales de autorización OAuth de cada plataforma.
Responsable del tratamiento: Zoosial / Ismael Nabte · privacy@zoosial.com
2. Qué datos tratamos
2.1 Datos de cuenta
- Dirección de correo electrónico y nombre utilizados para crear la cuenta en Zoosial.
- Las credenciales de acceso (email y contraseña) las gestiona Supabase Auth; también es posible iniciar sesión con Google (OAuth). Nunca almacenamos ni vemos tu contraseña en texto plano: la gestiona el proveedor de autenticación.
2.2 Tokens de acceso de plataformas externas
Cuando el usuario autoriza la conexión con una red social (Meta/Facebook Pages e Instagram Business, Google/YouTube y Google Business, TikTok, Telegram, WhatsApp), dicha plataforma nos emite un token de acceso (y en algunos casos un token de actualización). Estos tokens se almacenan cifrados en reposo con AES-256-GCM y se usan exclusivamente para ejecutar las acciones que el propio usuario solicita dentro de Zoosial.
2.3 Metadatos de cuentas conectadas
- Identificador de página o perfil (ID externo asignado por la plataforma social).
- Nombre público del perfil o página.
- URL de imagen de perfil (para mostrarla en el panel).
2.4 Contenido gestionado por el usuario
Publicaciones y contenido programado, mensajes, comentarios, automatizaciones, colas de publicación, métricas/analíticas y leads que el usuario decide gestionar a través del servicio. Solo los procesamos para ejecutar las instrucciones del usuario; no los analizamos ni los utilizamos con otros fines.
2.5 Media subida por el usuario
Las imágenes y vídeos que el usuario sube para publicar se alojan temporalmente en la red de entrega de contenido (CDN) de Bunny.net y se borran automáticamente ~24 horas después de publicarse (llegado ese punto la plataforma de destino ya conserva su propia copia).
2.6 Configuración e integraciones
- Configuración de webhooks salientes (URL de destino y un secreto de firma).
- Claves de API generadas por el usuario, almacenadas hasheadas con HMAC + pepper, nunca en texto plano.
- Contadores de uso y snapshots de analíticas.
2.7 Datos técnicos
- Logs de acceso (IP, agente de usuario, timestamp) durante un máximo de 30 días, con fines de seguridad y diagnóstico.
- Identificadores de sesión.
No vendemos, cedemos ni monetizamos datos personales. No realizamos perfilado publicitario propio.
3. Para qué usamos los datos
- Prestar el servicio: ejecutar las operaciones solicitadas (publicar, responder, analizar, anunciar, capturar leads) a través de las APIs oficiales de cada plataforma.
- Autenticación: verificar la identidad del usuario al acceder al panel.
- Notificaciones del servicio: alertas operativas relevantes (errores de sincronización, renovación de tokens, cambios en los términos).
- Seguridad: detectar accesos no autorizados, abusos y actividad anómala.
- Mejora del servicio: datos técnicos agregados y anónimos (nunca individuales) para detectar errores y mejorar el rendimiento.
4. Base legal del tratamiento
- Ejecución de contrato (Art. 6.1.b RGPD): el tratamiento de tokens y metadatos es necesario para prestar el servicio que el usuario ha contratado.
- Consentimiento explícito (Art. 6.1.a RGPD): el usuario otorga consentimiento activo al conectar cada plataforma social mediante el flujo OAuth.
- Interés legítimo (Art. 6.1.f RGPD): los logs técnicos de seguridad y los datos de diagnóstico.
5. Con quién compartimos datos
Plataformas de terceros (APIs oficiales)
Cuando el usuario ordena una acción, enviamos los datos necesarios a la API oficial de la plataforma correspondiente. Cada plataforma gestiona esos datos según sus propias políticas de privacidad:
Subprocesadores (proveedores de infraestructura)
- Supabase (base de datos y autenticación): almacena las credenciales de acceso, los tokens cifrados y los datos del servicio bajo acuerdo de procesamiento de datos (DPA) compatible con RGPD.
- Bunny.net (CDN de media): aloja temporalmente las imágenes y vídeos que el usuario sube para publicar (~24 h).
- Hostinger / Easypanel (hosting): alojamiento del servidor de la aplicación.
- WaSender (proveedor de WhatsApp NO oficial, por QR): si el usuario opta por conectar WhatsApp por esta vía, su número de teléfono y los mensajes gestionados se comparten con WaSender, un tercero, para poder enviar y recibir mensajes. La alternativa oficial es WhatsApp Cloud API (Meta), que no pasa por WaSender.
No compartimos datos con anunciantes, brokers de datos ni terceros con fines de marketing.
6. Conservación y seguridad
Los tokens y datos de cuenta se conservan mientras la cuenta permanezca activa. Si el usuario desconecta una cuenta en la app, sus tokens se eliminan de inmediato. Si revoca el acceso desde la propia plataforma social o cierra su cuenta en Zoosial, los datos asociados se eliminan de nuestros registros en un plazo máximo de 30 días.
La media subida por el usuario (imágenes/vídeos) se aloja en el CDN de Bunny.net y se borra automáticamente ~24 horas después de publicarse. Los logs técnicos se eliminan automáticamente a los 30 días.
Medidas de seguridad aplicadas
- Conexiones cifradas con TLS 1.2+ en todas las comunicaciones.
- Tokens OAuth de acceso y refresco cifrados en reposo con AES-256-GCM.
- Claves de API almacenadas hasheadas con HMAC + pepper, nunca en texto plano.
- Los webhooks salientes se firman con un secreto para que el destino pueda verificar su autenticidad.
- Las credenciales de acceso las gestiona Supabase Auth; no almacenamos contraseñas en texto plano.
7. Tus derechos (RGPD / ARCO)
De acuerdo con el Reglamento General de Protección de Datos (RGPD) y la legislación aplicable, tienes los siguientes derechos:
- Acceso: obtener confirmación de si tratamos tus datos y recibir una copia.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión ("derecho al olvido"): solicitar la eliminación de tus datos cuando ya no sean necesarios.
- Portabilidad: recibir tus datos en formato estructurado y de uso común.
- Oposición: oponerte al tratamiento basado en interés legítimo.
- Limitación: solicitar la restricción del tratamiento en determinadas circunstancias.
Para ejercer cualquiera de estos derechos, escribe a privacy@zoosial.com. Responderemos en un plazo máximo de 30 días.
8. Eliminación de datos
Puedes solicitar la eliminación de tus datos de tres formas:
- Desde la app: desconecta una cuenta conectada en Zoosial. Esto elimina sus tokens de acceso de inmediato.
- Desde la plataforma social: revoca el acceso de "Zoosial" / "Zoosial" en la configuración de integraciones de Facebook, Instagram, Google, TikTok, etc. Esto invalida nuestros tokens de forma inmediata.
- Por email (borrado total): escribe a privacy@zoosial.com con el asunto "Eliminación de datos" y tu correo de cuenta. Eliminaremos tus datos en un plazo máximo de 30 días.
9. Cookies y rastreo
Zoosial utiliza únicamente cookies estrictamente necesarias para el funcionamiento del servicio (sesión de usuario). No utilizamos cookies de seguimiento, publicidad comportamental ni analítica de terceros (como Google Analytics) sin consentimiento previo.
- Cookie de sesión (
sc_session): identifica la sesión autenticada. Se elimina al cerrar sesión o al expirar. No es rastreable entre sitios.
10. Menores de edad
Zoosial es un servicio profesional dirigido a mayores de 18 años. No recopilamos conscientemente datos de menores. Si detectas que un menor ha creado una cuenta, contáctanos en privacy@zoosial.com para eliminarla de inmediato.
11. Cambios en esta política
Podemos actualizar esta política para reflejar cambios en el servicio o en la legislación aplicable. Cuando los cambios sean significativos, lo notificaremos por email al menos 14 días antes de su entrada en vigor. La fecha de última actualización siempre aparece al inicio de este documento.
