Política de Privacidad

Última actualización: 7 de agosto de 2026

1. Identidad del Responsable del tratamiento

La presente Política de Privacidad se aplica a los servicios digitales y a la plataforma operados por:

Estudio Cactus Media S.L.

Rda. Circunvalación 188, Castellón de la Plana, España

CIF: B12962957

Correo electrónico: support@stowlog.com

En función del tipo de datos y de la actividad, Estudio Cactus Media S.L. («Stowlog», «nosotros» o «nuestro») podrá actuar como:

• Responsable del tratamiento, para el registro de cuentas, la autenticación, la seguridad, la analítica, el marketing y la comunicación; o
• Encargado del tratamiento, por cuenta de cada Facility que utiliza la Plataforma Stowlog para gestionar sus propios usuarios y datos operativos.

2. Ámbito de aplicación

La presente Política se aplica a:

• Usuarios de la App de Stowlog (móvil, web o escritorio),
• Usuarios del Admin Dashboard de Stowlog,
• Visitantes del sitio web de Stowlog (www.stowlog.com),
• Clientes potenciales o contactos que interactúan con Stowlog a través de demos, correo electrónico o formularios de contacto, y
• Proveedores y prestadores de servicios con los que Stowlog mantiene relaciones comerciales.

Cada Facility que opera dentro de Stowlog podrá definir sus propios requisitos de recopilación de datos (por ejemplo, foto del documento de identidad, permiso de conducir o número de pasaporte). Stowlog trata esos datos por cuenta de la Facility, pero no determina su contenido ni su finalidad.

3. Categorías de datos tratados

A. Datos controlados por Stowlog (como Responsable del tratamiento)

Recopilados cuando los Usuarios se registran, se autentican o interactúan con la Plataforma a nivel general:

• Datos de identificación (nombre, correo electrónico, número de teléfono).
• Credenciales de la cuenta y datos de autenticación.
• Operador de red móvil y estado de entrega de los mensajes, cuando haya consentido recibir códigos de verificación por mensaje de texto.
• Datos de dispositivo y de uso (IP, navegador, registros de acceso).
• Cookies técnicas y datos analíticos (para la mejora del servicio).
• Datos de contacto facilitados a través de formularios, demos o boletines.
• Datos de proveedores para facturación, contratos y cumplimiento.
• Datos de geolocalización opcionales (cuando las Facilities activan módulos basados en la ubicación).

B. Datos tratados por cuenta de las Facilities (como Encargado del tratamiento)

Recopilados solo cuando el Usuario selecciona o interactúa con una Facility:

• Campos de datos personalizados definidos por esa Facility (por ejemplo, documento de identidad, permiso de conducir, foto, certificado de formación).
• Datos de actividad dentro de los módulos (registros de entrada, formularios de seguridad, registros de visitas, etc.).
• Registros de comunicación entre los Usuarios y los Administradores de la Facility.

Cada Facility decide:

• qué datos recopilar,
• por qué son necesarios, y
• durante cuánto tiempo se conservan.

Stowlog almacena y protege estos datos, pero no los utiliza para ninguna finalidad distinta de la prestación del servicio contratado.

4. Finalidad y base jurídica del tratamiento

5. Conservación, supresión y seudonimización de datos

5.1 Conservación general

• Stowlog conserva los datos de cuenta y de inicio de sesión mientras el usuario mantenga una cuenta activa.
• Los datos de clientes potenciales o de contacto se conservarán mientras la relación comercial permanezca activa o hasta que se retire el consentimiento.
• Los datos de proveedores y administrativos se almacenarán durante el periodo de conservación legalmente exigido.

5.2 Solicitudes de supresión de cuenta

Cuando un usuario solicita la supresión de su cuenta:

• Stowlog elimina o anonimiza de forma permanente todos los datos personales que controla directamente (por ejemplo, nombre, correo electrónico, teléfono, credenciales).
• La supresión de la cuenta de Stowlog no elimina automáticamente los datos operativos relacionados con la Facility, ya que dicha información pertenece a la Facility que la recopiló.
• Cuando se haya dado de baja de los mensajes de texto de verificación, el registro de dicha baja se conserva tras la supresión, limitado a lo estrictamente necesario para que no se envíe ningún mensaje más a ese número, según se describe en el apartado 11.

5.3 Modelo de doble conservación para los registros de la Facility

• Cada Facility es el Responsable del tratamiento de los datos recopilados durante las interacciones del usuario (por ejemplo, cursos de seguridad, registros de entrada de visitantes, validaciones de contratistas).
• Estos registros pueden ser conservados por la Facility en virtud de obligaciones legales o de cumplimiento, incluso después de suprimir la cuenta de un usuario.
• Al suprimir, Stowlog seudonimizará los identificadores del usuario dentro de los registros de la Facility, sustituyendo el nombre, el correo electrónico o el documento del usuario por una referencia interna anonimizada (por ejemplo, «Usuario eliminado» o «Usuario #A12F»).
• La Facility podrá seguir viendo el registro operativo (por ejemplo, «Inducción de seguridad completada por Usuario eliminado el 10 de marzo de 2025»), pero la identidad personal deja de ser visible o recuperable dentro de Stowlog.
• Stowlog no controla la conservación ni la supresión de los datos recopilados por las Facilities. Cada Facility define su propia política de conservación de datos como Responsable del tratamiento independiente.

5.4 Notificación y autonomía de la Facility

• Cuando se tramita una solicitud de supresión de un usuario, Stowlog notifica a todas las Facilities asociadas a la cuenta de ese usuario.
Las Facilities podrán entonces optar por:
• conservar los registros seudonimizados con fines legales o de auditoría, o
• anonimizarlos o eliminarlos de acuerdo con sus propias políticas de datos.
• Stowlog nunca comparte los datos de usuarios suprimidos; esta notificación es puramente operativa y garantiza que las Facilities sepan que los identificadores del usuario se han eliminado.

5.5 Base jurídica de la conservación

Este proceso cumple el artículo 17.3 del RGPD, que permite la conservación o la seudonimización cuando:

• Los datos son necesarios para el cumplimiento de una obligación legal; o
• La conservación es necesaria para la formulación, el ejercicio o la defensa de reclamaciones; o
• La Facility tiene un interés legítimo en mantener registros de auditoría o de cumplimiento en materia de seguridad.

Todas las acciones de supresión y seudonimización se registran con fines de auditoría y responsabilidad proactiva.

6. Comunicación de datos y destinatarios

Stowlog no vende ni alquila datos personales. Los datos solo podrán comunicarse a:

• Las Facilities con las que interactúan los usuarios,
• Prestadores de servicios técnicos (alojamiento, infraestructura, correo electrónico, analítica, soporte),
• Autoridades o tribunales cuando sea legalmente exigible,
• Entidades financieras y autoridades fiscales cuando sea necesario para fines contables o de cumplimiento, y
• Proveedores o subcontratistas que realizan actividades por cuenta de Stowlog en virtud de acuerdos de tratamiento de datos.

Todos los datos se alojan en centros de datos de MongoDB Atlas (AWS) ubicados dentro de la Unión Europea o en países con garantías adecuadas de protección de datos conforme al RGPD. Cuando un sub-procesador trata necesariamente datos fuera del Espacio Económico Europeo para poder prestar su servicio —por ejemplo, para transmitir un mensaje de verificación a un número de móvil—, dicha transferencia se rige por el mecanismo indicado para ese sub-procesador en la lista siguiente.

La lista actual de sub-procesadores que intervienen en la prestación de la plataforma Stowlog, junto con su ubicación y los mecanismos de transferencia aplicables, está disponible en https://www.stowlog.com/legal/sub-processors.

6.1 Números de móvil y datos de consentimiento de SMS

No compartimos, vendemos ni facilitamos su número de teléfono móvil ni sus datos de consentimiento para el envío de mensajes a terceros ni a entidades afiliadas con fines de marketing o promocionales. Todas las categorías anteriores excluyen los datos de alta y el consentimiento para la recepción de mensajes de texto; esta información no se comunicará a ningún tercero, salvo al proveedor de comunicaciones que transmite los mensajes por nuestra cuenta y cuando la comunicación sea legalmente exigible.

Su número de móvil se comunica únicamente a encargados que actúan siguiendo nuestras instrucciones documentadas —nuestros proveedores de alojamiento y de base de datos y Twilio Inc. como proveedor de envío de SMS— y a su operador de telefonía móvil, que trata necesariamente el mensaje para poder entregarlo. Twilio trata su número de móvil y el contenido del mensaje con la exclusiva finalidad de transmitir los mensajes de verificación que usted haya solicitado, en virtud de un acuerdo de tratamiento de datos por escrito. Twilio no puede utilizar su número de móvil para fines propios, ni venderlo ni alquilarlo; puede recurrir a sus propios sub-encargados y encaminar el mensaje a través de operadores de red móvil, únicamente para poder entregarlo y bajo obligaciones contractuales equivalentes.

Su número de móvil y el contenido del mensaje de verificación se transfieren a Twilio Inc. en Estados Unidos al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) y de la certificación de Twilio en el Marco de Privacidad de Datos UE-EE. UU. Puede solicitar una copia de dichas garantías en support@stowlog.com. Cuando un código de verificación se envía a un número situado fuera del Espacio Económico Europeo, el mensaje transita necesariamente por la red del operador de destino en dicho país. Los detalles de esta contratación figuran en https://www.stowlog.com/legal/sub-processors.

7. Obligaciones del Encargado del tratamiento (artículo 28 del RGPD)

Cuando actúa como Encargado del tratamiento, Stowlog deberá:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas de la Facility.
• Garantizar que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad.
• Aplicar las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD.
• Mantener registros de las actividades de tratamiento y asistir a la Facility en el cumplimiento de las obligaciones del RGPD.
• Notificar a la Facility cualquier violación de la seguridad de los datos personales sin dilación indebida.
• No recurrir a ningún sub-encargado sin la autorización previa de la Facility.
• A la finalización de los servicios, suprimir o devolver todos los datos personales según las instrucciones de la Facility.
• Seudonimizar o anonimizar los datos personales cuando se solicite su supresión pero existan motivos legales o de cumplimiento que exijan su conservación.

8. Derechos de los interesados

Los Usuarios podrán ejercer los siguientes derechos conforme al RGPD:

• Acceso a sus datos personales.
• Rectificación de los datos inexactos.
• Supresión («derecho al olvido»).
• Limitación u oposición al tratamiento.
• Portabilidad de sus datos.
• Retirada del consentimiento en cualquier momento (sin que ello afecte a la licitud del tratamiento previo).

Cómo ejercer sus derechos:

• Si facilitó sus datos directamente a Stowlog (por ejemplo, para su cuenta, un formulario de contacto o comunicaciones de marketing): contacte con support@stowlog.com.
• Si sus datos fueron recopilados por una Facility (por ejemplo, permiso de conducir, pasaporte, foto): contacte directamente con esa Facility, ya que es el Responsable del tratamiento de esa información.

Stowlog asistirá a las Facilities en la respuesta a dichas solicitudes cuando sea necesario.

9. Seguridad de los datos

Stowlog aplica medidas de seguridad acordes con la certificación ISO 27001 y con los estándares del sector, entre ellas:

• Transmisión de datos cifrada (HTTPS / TLS 1.2+).
• Controles de acceso basados en roles.
• Alojamiento en la nube redundante y copias de seguridad continuas.
• Registro y supervisión de accesos no autorizados.
• Auditorías periódicas y obligaciones de confidencialidad del personal.

En caso de violación de la seguridad de los datos, Stowlog notificará a las partes afectadas y a las autoridades competentes conforme a los artículos 33 y 34 del RGPD.

10. Cookies y analítica

Stowlog utiliza cookies necesarias y analíticas para garantizar la funcionalidad y mejorar la experiencia del usuario.

Los detalles sobre los tipos de cookies y las preferencias están disponibles en la Política de Cookies en https://www.stowlog.com/legal/cookies.

11. Comunicaciones por SMS y mensajes de texto

Finalidad. Stowlog opera un único programa de mensajes de texto: el envío de códigos de un solo uso destinados a verificar su identidad cuando accede a su cuenta de Stowlog o confirma una acción sensible para la seguridad. Este programa no se utiliza para enviar comunicaciones comerciales, promocionales ni operativas.

Consentimiento. El alta se produce en la App de Stowlog —durante el registro o posteriormente, al añadir o modificar un número de móvil en los ajustes de la cuenta—, al facilitar su número de móvil y aceptar de forma expresa la recepción de mensajes de verificación en ese número. El control de consentimiento es independiente de la aceptación de los Términos y Condiciones y de esta Política, no está marcado por defecto y es opcional: puede no otorgarlo, o retirarlo con posterioridad, y seguir utilizando Stowlog, realizándose la verificación de identidad mediante un código de un solo uso enviado a la dirección de correo electrónico asociada a su cuenta. Se conserva registro de la fecha y la hora del consentimiento, del número de móvil facilitado, de la dirección IP desde la que se envió, de la cuenta a la que se refiere y del texto de la pantalla de consentimiento mostrada en ese momento. Dicho consentimiento se refiere únicamente al programa de verificación de Stowlog y no es transferible ni cedible a ningún otro remitente.

Datos tratados. Para este programa se tratan su número de móvil, el operador de red y el país asociados al mismo, el estado de entrega de cada mensaje y el registro de consentimiento y de baja descrito más arriba. Los números de móvil facilitados para la verificación de identidad no se utilizan para enviar comunicaciones comerciales ni promocionales de ningún tipo, ni en el marco de este programa ni de ningún otro. La base jurídica es la ejecución del contrato (artículo 6.1.b del RGPD), al formar parte estos mensajes de la autenticación de la cuenta.

Conservación. Su número de móvil se suprime o anonimiza junto con su cuenta conforme al apartado 5.2 de esta Política. Los registros de entrega de los mensajes se conservan durante el plazo necesario para operar, proteger y diagnosticar el servicio, sobre la base de nuestro interés legítimo (artículo 6.1.f del RGPD). El registro de su consentimiento, y el de cualquier baja, se conserva durante el plazo necesario para acreditarlo. El registro de baja se conserva tras la supresión de la cuenta, limitado a lo estrictamente necesario para que no se envíe ningún mensaje más a un número que se ha dado de baja.

Frecuencia y coste. La frecuencia de los mensajes es variable. Se envía un mensaje cada vez que se solicita un código de verificación para su cuenta. Pueden aplicarse las tarifas estándar de mensajes y datos de su operador.

Baja y ayuda. Para dejar de recibir mensajes, responda STOP en cualquier momento; también se atienden las palabras STOPALL, UNSUBSCRIBE, CANCEL, END y QUIT. Para volver a recibirlos, responda START o UNSTOP. Para obtener asistencia, responda HELP al número desde el que recibió el mensaje o escriba a support@stowlog.com.

Entrega. Los operadores de telefonía no son responsables de los mensajes retrasados o no entregados.

Las condiciones completas de este programa de mensajería están disponibles en https://www.stowlog.com/legal/sms-terms.

12. Relación con las Facilities

Cada Facility que opera dentro de Stowlog es una organización independiente que controla sus propios datos. Cuando facilita datos a través de formularios o módulos de una Facility:

• La Facility actúa como Responsable del tratamiento,
• Stowlog actúa como Encargado del tratamiento,
• Stowlog almacena y protege los datos, pero no puede modificarlos ni eliminarlos sin instrucción de la Facility.

Las Facilities pueden tener sus propios avisos de privacidad; recomendamos revisarlos para más detalles sobre su uso específico de sus datos.

13. Origen de los datos

Los datos personales pueden obtenerse directamente de los usuarios, a través de interacciones con las Facilities, o mediante registros automatizados y cookies generados por el uso de la Plataforma. Los datos de geolocalización opcionales solo se recopilan si la Facility los activa y el usuario lo consiente.

14. Menores

La Plataforma Stowlog está destinada únicamente a uso profesional y no se dirige a menores de 18 años. Si Stowlog tiene conocimiento del registro accidental de un menor, la cuenta será eliminada.

15. Actualizaciones de esta Política

Stowlog podrá actualizar esta Política periódicamente para reflejar cambios legales, técnicos o de negocio. Todas las actualizaciones se publicarán en https://www.stowlog.com/legal/privacy. El uso continuado de la Plataforma implica la aceptación de la versión revisada.

16. Contacto y autoridad de control

Para cualquier consulta o reclamación relativa a la protección de datos, contacte con: support@stowlog.com

Si no queda satisfecho con nuestra respuesta, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

Estudio Cactus Media S.L.

Rda. Circunvalación 188, Castellón de la Plana, España

www.stowlog.com