Política de Privacidad

Última actualización: 3 de septiembre de 2026

1. Identidad del Responsable del tratamiento

La presente Política de Privacidad se aplica a los servicios digitales y a la plataforma operados por:

Estudio Cactus Media S.L.

Rda. Circunvalación 188, Castellón de la Plana, España

CIF: B12962957

Correo electrónico: support@stowlog.com

En función del tipo de datos y de la actividad, Estudio Cactus Media S.L. («Stowlog», «nosotros» o «nuestro») podrá actuar como:

• Responsable del tratamiento, para el registro de cuentas, la autenticación, la seguridad, la analítica, el marketing y la comunicación; o
• Encargado del tratamiento, por cuenta de cada Facility que utiliza la Plataforma Stowlog para gestionar sus propios usuarios y datos operativos.

2. Ámbito de aplicación

La presente Política se aplica a:

• Usuarios de la App de Stowlog (móvil, web o escritorio),
• Usuarios del Admin Dashboard de Stowlog,
• Visitantes del sitio web de Stowlog (www.stowlog.com),
• Clientes potenciales o contactos que interactúan con Stowlog a través de demos, correo electrónico o formularios de contacto, y
• Proveedores y prestadores de servicios con los que Stowlog mantiene relaciones comerciales.

Cada Facility que opera dentro de Stowlog podrá definir sus propios requisitos de recopilación de datos (por ejemplo, foto del documento de identidad, permiso de conducir o número de pasaporte). Stowlog trata esos datos por cuenta de la Facility, pero no determina su contenido ni su finalidad.

3. Categorías de datos tratados

A. Datos controlados por Stowlog (como Responsable del tratamiento)

Recopilados cuando los Usuarios se registran, se autentican o interactúan con la Plataforma a nivel general:

• Datos de identificación (nombre, correo electrónico, número de teléfono).
• Credenciales de la cuenta y datos de autenticación.
• Operador de red móvil y estado de entrega de los mensajes, cuando haya facilitado un número de móvil para la verificación de identidad por mensaje de texto.
• Su aceptación registrada de nuestro texto de consentimiento para mensajes de texto y el registro de cualquier solicitud de baja de dichos mensajes.
• Datos de dispositivo y de uso (IP, navegador, registros de acceso).
• Cookies técnicas y datos analíticos (para la mejora del servicio).
• Datos de contacto facilitados a través de formularios, demos o boletines.
• Datos de proveedores para facturación, contratos y cumplimiento.
• Datos de geolocalización opcionales (cuando las Facilities activan módulos basados en la ubicación).

B. Datos tratados por cuenta de las Facilities (como Encargado del tratamiento)

Recopilados solo cuando el Usuario selecciona o interactúa con una Facility:

• Campos de datos personalizados definidos por esa Facility (por ejemplo, documento de identidad, permiso de conducir, foto, certificado de formación).
• Datos de actividad dentro de los módulos (registros de entrada, formularios de seguridad, registros de visitas, etc.).
• Registros de comunicación entre los Usuarios y los Administradores de la Facility.

Cada Facility decide:

• qué datos recopilar,
• por qué son necesarios, y
• durante cuánto tiempo se conservan.

Stowlog almacena y protege estos datos, pero no los utiliza para ninguna finalidad distinta de la prestación del servicio contratado.

4. Finalidad y base jurídica del tratamiento

5. Conservación, supresión y seudonimización de datos

5.1 Conservación general

• Stowlog conserva los datos de cuenta y de inicio de sesión mientras el usuario mantenga una cuenta activa.
• Los datos de clientes potenciales o de contacto se conservarán mientras la relación comercial permanezca activa o hasta que se retire el consentimiento.
• Los datos de proveedores y administrativos se almacenarán durante el periodo de conservación legalmente exigido.

5.2 Solicitudes de supresión de cuenta

Cuando un usuario solicita la supresión de su cuenta:

• Stowlog elimina o anonimiza de forma permanente todos los datos personales que controla directamente (por ejemplo, nombre, correo electrónico, teléfono, credenciales), con la excepción que se indica a continuación.
• La supresión de la cuenta de Stowlog no elimina automáticamente los datos operativos relacionados con la Facility, ya que dicha información pertenece a la Facility que la recopiló.
• Cuando haya facilitado un número de móvil para los mensajes de texto de verificación, su aceptación registrada de nuestro texto de consentimiento y el registro de cualquier solicitud de baja de dichos mensajes se conservan tras la supresión tal como están, y se utilizan únicamente para acreditar que la aceptación se prestó y para que no se envíe ningún mensaje más a dicho número, según se describe en el apartado 11.

5.3 Modelo de doble conservación para los registros de la Facility

• Cada Facility es el Responsable del tratamiento de los datos recopilados durante las interacciones del usuario (por ejemplo, cursos de seguridad, registros de entrada de visitantes, validaciones de contratistas).
• Estos registros pueden ser conservados por la Facility en virtud de obligaciones legales o de cumplimiento, incluso después de suprimir la cuenta de un usuario.
• Al suprimir, Stowlog seudonimizará los identificadores del usuario dentro de los registros de la Facility, sustituyendo el nombre, el correo electrónico o el documento del usuario por una referencia interna anonimizada (por ejemplo, «Usuario eliminado» o «Usuario #A12F»).
• La Facility podrá seguir viendo el registro operativo (por ejemplo, «Inducción de seguridad completada por Usuario eliminado el 10 de marzo de 2025»), pero la identidad personal deja de ser visible o recuperable dentro de Stowlog.
• Stowlog no controla la conservación ni la supresión de los datos recopilados por las Facilities. Cada Facility define su propia política de conservación de datos como Responsable del tratamiento independiente.

5.4 Notificación y autonomía de la Facility

• Cuando se tramita una solicitud de supresión de un usuario, Stowlog notifica a todas las Facilities asociadas a la cuenta de ese usuario.
Las Facilities podrán entonces optar por:
• conservar los registros seudonimizados con fines legales o de auditoría, o
• anonimizarlos o eliminarlos de acuerdo con sus propias políticas de datos.
• Stowlog nunca comparte los datos de usuarios suprimidos; esta notificación es puramente operativa y garantiza que las Facilities sepan que los identificadores del usuario se han eliminado.

5.5 Base jurídica de la conservación

Este proceso cumple el artículo 17.3 del RGPD, que permite la conservación o la seudonimización cuando:

• Los datos son necesarios para el cumplimiento de una obligación legal; o
• La conservación es necesaria para la formulación, el ejercicio o la defensa de reclamaciones; o
• La Facility tiene un interés legítimo en mantener registros de auditoría o de cumplimiento en materia de seguridad.

Todas las acciones de supresión y seudonimización se registran con fines de auditoría y responsabilidad proactiva.

6. Comunicación de datos y destinatarios

Stowlog no vende ni alquila datos personales. Los datos solo podrán comunicarse a:

• Las Facilities con las que interactúan los usuarios,
• Prestadores de servicios técnicos (alojamiento, infraestructura, correo electrónico, analítica, soporte),
• Autoridades o tribunales cuando sea legalmente exigible,
• Entidades financieras y autoridades fiscales cuando sea necesario para fines contables o de cumplimiento, y
• Proveedores o subcontratistas que realizan actividades por cuenta de Stowlog en virtud de acuerdos de tratamiento de datos.

Todos los datos se alojan en centros de datos de MongoDB Atlas (AWS) ubicados dentro de la Unión Europea o en países con garantías adecuadas de protección de datos conforme al RGPD. Cuando un sub-procesador trata necesariamente datos fuera del Espacio Económico Europeo para poder prestar su servicio —por ejemplo, para transmitir un mensaje de verificación a un número de móvil—, dicha transferencia se rige por el mecanismo indicado para ese sub-procesador en la lista siguiente.

La lista actual de sub-procesadores que intervienen en la prestación de la plataforma Stowlog, junto con su ubicación y los mecanismos de transferencia aplicables, está disponible en https://www.stowlog.com/legal/sub-processors.

6.1 Números de móvil y datos de consentimiento de SMS

No compartimos, vendemos ni facilitamos su número de teléfono móvil ni sus datos de consentimiento para el envío de mensajes a terceros ni a entidades afiliadas con fines de marketing o promocionales. Todas las categorías anteriores excluyen los datos de alta y el consentimiento para la recepción de mensajes de texto; esta información no se comunicará a ningún tercero, salvo al proveedor de comunicaciones que transmite los mensajes por nuestra cuenta y cuando la comunicación sea legalmente exigible.

Su número de móvil se comunica únicamente a encargados que actúan siguiendo nuestras instrucciones documentadas —nuestros proveedores de alojamiento y de base de datos y Twilio Inc. como proveedor de envío de SMS— y a su operador de telefonía móvil, que trata necesariamente el mensaje para poder entregarlo. Twilio trata su número de móvil y el contenido del mensaje con la exclusiva finalidad de transmitir los mensajes de verificación que usted haya solicitado, en virtud de un acuerdo de tratamiento de datos por escrito. Twilio no puede utilizar su número de móvil para fines propios, ni venderlo ni alquilarlo; puede recurrir a sus propios sub-encargados y encaminar el mensaje a través de operadores de red móvil, únicamente para poder entregarlo y bajo obligaciones contractuales equivalentes.

Su número de móvil y el contenido del mensaje de verificación se transfieren a Twilio Inc. en Estados Unidos al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) y de la certificación de Twilio en el Marco de Privacidad de Datos UE-EE. UU. Puede solicitar una copia de dichas garantías en support@stowlog.com. Cuando un código de verificación se envía a un número situado fuera del Espacio Económico Europeo, el mensaje transita necesariamente por la red del operador de destino en dicho país. Los detalles de esta contratación figuran en https://www.stowlog.com/legal/sub-processors.

El registro de su aceptación del texto de consentimiento para mensajes de texto que publicamos, descrito en el apartado 11, lo conserva Stowlog y no se comunica a ningún destinatario distinto de los proveedores de alojamiento y de base de datos indicados más arriba. No se comunica a Twilio Inc., que recibe únicamente su número de móvil y el contenido del mensaje que debe entregar, y no se utiliza para ninguna finalidad distinta de acreditar que la aceptación se prestó. Cuando se ha registrado una aceptación, esta recoge qué texto se mostró a esa persona, en qué idioma y cuándo lo aceptó.

7. Obligaciones del Encargado del tratamiento (artículo 28 del RGPD)

Cuando actúa como Encargado del tratamiento, Stowlog deberá:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas de la Facility.
• Garantizar que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad.
• Aplicar las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD.
• Mantener registros de las actividades de tratamiento y asistir a la Facility en el cumplimiento de las obligaciones del RGPD.
• Notificar a la Facility cualquier violación de la seguridad de los datos personales sin dilación indebida.
• No recurrir a ningún sub-encargado sin la autorización previa de la Facility.
• A la finalización de los servicios, suprimir o devolver todos los datos personales según las instrucciones de la Facility.
• Seudonimizar o anonimizar los datos personales cuando se solicite su supresión pero existan motivos legales o de cumplimiento que exijan su conservación.

8. Derechos de los interesados

Los Usuarios podrán ejercer los siguientes derechos conforme al RGPD:

• Acceso a sus datos personales.
• Rectificación de los datos inexactos.
• Supresión («derecho al olvido»).
• Limitación u oposición al tratamiento.
• Portabilidad de sus datos.
• Retirada del consentimiento en cualquier momento (sin que ello afecte a la licitud del tratamiento previo).

Cómo ejercer sus derechos:

• Si facilitó sus datos directamente a Stowlog (por ejemplo, para su cuenta, un formulario de contacto o comunicaciones de marketing): contacte con support@stowlog.com.
• Si sus datos fueron recopilados por una Facility (por ejemplo, permiso de conducir, pasaporte, foto): contacte directamente con esa Facility, ya que es el Responsable del tratamiento de esa información.

Stowlog asistirá a las Facilities en la respuesta a dichas solicitudes cuando sea necesario.

9. Seguridad de los datos

Stowlog aplica medidas de seguridad acordes con la certificación ISO 27001 y con los estándares del sector, entre ellas:

• Transmisión de datos cifrada (HTTPS / TLS 1.2+).
• Controles de acceso basados en roles.
• Alojamiento en la nube redundante y copias de seguridad continuas.
• Registro y supervisión de accesos no autorizados.
• Auditorías periódicas y obligaciones de confidencialidad del personal.

En caso de violación de la seguridad de los datos, Stowlog notificará a las partes afectadas y a las autoridades competentes conforme a los artículos 33 y 34 del RGPD.

10. Cookies y analítica

Stowlog utiliza cookies necesarias y analíticas para garantizar la funcionalidad y mejorar la experiencia del usuario.

Los detalles sobre los tipos de cookies y las preferencias están disponibles en la Política de Cookies en https://www.stowlog.com/legal/cookies.

11. Comunicaciones por SMS y mensajes de texto

Finalidad. Stowlog opera un único programa de mensajes de texto, «Stowlog Account Verification»: el envío de códigos de un solo uso destinados a verificar su identidad cuando accede a su cuenta de Stowlog o confirma una acción sensible para la seguridad. Este programa no se utiliza para enviar comunicaciones comerciales, promocionales ni operativas.

Cómo llega su número a nosotros. Usted facilita su número de móvil, dentro de la App de Stowlog, al crear su cuenta o posteriormente al añadir o verificar un número en una cuenta ya existente. No lo obtenemos de ninguna otra fuente: ningún número se compra, se alquila, se importa de una lista ni nos lo facilita un tercero. En función de la configuración de su cuenta, puede ser necesario un número de móvil para completar el registro. Cuando hay un número de móvil asociado a su cuenta, el código de un solo uso para iniciar sesión puede enviarse a dicho número o a la dirección de correo electrónico de la cuenta. Su número se utiliza únicamente para el programa de verificación de Stowlog y no es transferible ni cedible a ningún otro remitente.

Datos tratados. Para este programa se tratan su número de móvil, el operador de red y el país asociados al mismo, el estado de entrega de cada mensaje, su aceptación registrada del texto de consentimiento que se describe a continuación y el registro de cualquier solicitud de baja que usted realice. Los números de móvil facilitados para la verificación de identidad no se utilizan para enviar comunicaciones comerciales ni promocionales de ningún tipo, ni en el marco de este programa ni de ningún otro. La base jurídica del envío de estos mensajes es la ejecución del contrato (artículo 6.1.b del RGPD), al formar parte estos mensajes de la autenticación de la cuenta.

Registro de su consentimiento. Cuando usted acepta el texto de consentimiento que publicamos para este programa, registramos dicha aceptación. El registro se asocia a su número de móvil en formato internacional E.164 y hace constar que el consentimiento se prestó, la versión y el hash SHA-256 del texto exacto aceptado, el idioma en que se publicó, que se prestó marcando una casilla en pantalla (clickwrap), si se prestó al registrar una cuenta o al verificar o cambiar el número de una cuenta ya existente, la cuenta o la verificación previa al alta a la que se refiere, y la fecha y la hora de la aceptación tomadas de nuestros propios servidores. Cuando la solicitud los incluye, conserva además la dirección IP, el agente de usuario (user agent) y la versión de la aplicación comunicados en ese momento; esos tres datos son opcionales y no figuran en todos los registros. La versión es el hash del propio texto, y el hash que consta en el registro lo calculamos nosotros a partir de nuestra propia copia publicada, en lugar de aceptarlo del dispositivo, por lo que un registro no puede citar un texto y llevar el hash de otro; conservamos todas las versiones que hemos publicado, de modo que el texto al que remite cualquier registro puede recuperarse y volver a calcularse su hash. Los registros se asocian al número de móvil y no a la cuenta, y el historial se amplía en lugar de modificarse: el único valor que llega a reescribirse es el vínculo con la cuenta, cuando una aceptación prestada antes de que la cuenta existiera se asocia a la cuenta creada a partir de ella, conservándose la fecha de la aceptación. La base jurídica de la conservación de este registro es nuestro interés legítimo en poder acreditar que la aceptación se prestó (artículo 6.1.f del RGPD). El propio texto se reproduce íntegramente en nuestras Condiciones de los SMS.

Conservación. Su número de móvil se suprime o anonimiza junto con su cuenta conforme al apartado 5.2 de esta Política, con una excepción: su aceptación registrada del texto de consentimiento, y el registro de cualquier solicitud de baja de los mensajes, se conservan con posterioridad tal como están, incluidos su número de móvil, la cuenta o la verificación previa al alta a la que se refiere la aceptación y, en su caso, la dirección IP, el agente de usuario y la versión de la aplicación que consten en el registro. No se utilizan para ninguna finalidad distinta de acreditar que la aceptación se prestó y de garantizar que no se envía ningún mensaje después de una baja. Los registros de entrega de los mensajes se conservan durante el plazo necesario para operar, proteger y diagnosticar el servicio, sobre la base de nuestro interés legítimo (artículo 6.1.f del RGPD). Cuando usted se da de baja respondiendo a un mensaje, Stowlog registra dicha baja en una lista de supresión independiente del registro de su aceptación, que se consulta antes de cada mensaje que enviamos, de modo que no se envía ningún mensaje más a ese número; la baja la registra y la aplica también Twilio Inc. como proveedor de envío de SMS. La baja no borra una aceptación prestada con anterioridad: dicho registro se conserva sin cambios.

Frecuencia y coste. La frecuencia de los mensajes varía: un mensaje por cada inicio de sesión o solicitud de verificación (Message frequency varies — one message per sign-in or verification request.) Pueden aplicarse las tarifas estándar de mensajes y datos de su operador.

Baja y ayuda. Para dejar de recibir mensajes, responda STOP en cualquier momento. Se atienden todas estas palabras clave: STOP, STOPALL, UNSUBSCRIBE, CANCEL, END, QUIT, OPTOUT, REVOKE. Envíe la palabra clave sola: una respuesta que incluya otras palabras junto a ella puede no reconocerse como solicitud de baja. También puede escribir a support@stowlog.com y detendremos los mensajes. Para volver a recibir mensajes tras una baja, responda START, YES, UNSTOP — estas palabras nunca incorporan un número al programa por primera vez; eso solo ocurre cuando usted lo facilita en la App de Stowlog. Para obtener asistencia, responda HELP o INFO al número desde el que recibió el mensaje o escriba a support@stowlog.com.

Entrega. Los operadores de telefonía no son responsables de los mensajes retrasados o no entregados.

Las condiciones completas de este programa de mensajería están disponibles en https://www.stowlog.com/legal/sms-terms.

12. Relación con las Facilities

Cada Facility que opera dentro de Stowlog es una organización independiente que controla sus propios datos. Cuando facilita datos a través de formularios o módulos de una Facility:

• La Facility actúa como Responsable del tratamiento,
• Stowlog actúa como Encargado del tratamiento,
• Stowlog almacena y protege los datos, pero no puede modificarlos ni eliminarlos sin instrucción de la Facility.

Las Facilities pueden tener sus propios avisos de privacidad; recomendamos revisarlos para más detalles sobre su uso específico de sus datos.

13. Origen de los datos

Los datos personales pueden obtenerse directamente de los usuarios, a través de interacciones con las Facilities, o mediante registros automatizados y cookies generados por el uso de la Plataforma. Los datos de geolocalización opcionales solo se recopilan si la Facility los activa y el usuario lo consiente.

14. Menores

La Plataforma Stowlog está destinada únicamente a uso profesional y no se dirige a menores de 18 años. Si Stowlog tiene conocimiento del registro accidental de un menor, la cuenta será eliminada.

15. Actualizaciones de esta Política

Stowlog podrá actualizar esta Política periódicamente para reflejar cambios legales, técnicos o de negocio. Todas las actualizaciones se publicarán en https://www.stowlog.com/legal/privacy. El uso continuado de la Plataforma implica la aceptación de la versión revisada.

16. Contacto y autoridad de control

Para cualquier consulta o reclamación relativa a la protección de datos, contacte con: support@stowlog.com

Si no queda satisfecho con nuestra respuesta, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

Estudio Cactus Media S.L.

Rda. Circunvalación 188, Castellón de la Plana, España

www.stowlog.com