Política de Privacidad — SaasToStore
Última actualización: 3 de noviembre de 2026
En caso de divergencia de interpretación, la versión inglesa de esta Política de Privacidad prevalece.
1. Responsable del tratamiento
Méga Joule — Empresario individual (auto-entrepreneur) Representado por: Khalfallah MAHFOUD SIREN: 995 382 512 — SIRET: 995 382 512 00011 Código APE: 6201Z (Programación informática) Dirección: 3 allée Rouget de Lisle — 78300 Poissy, Francia Correo electrónico: hello@saastostore.com
2. Datos recopilados y finalidades
2.1 Datos de cuenta
| Dato | Finalidad | Base legal |
|---|---|---|
| Dirección de correo electrónico | Autenticación, notificaciones transaccionales, facturación | Ejecución del contrato |
| Contraseña (hash bcrypt, coste 10) | Seguridad de la cuenta | Ejecución del contrato |
| Fecha de registro | Gestión de cuenta, prevención de fraude | Interés legítimo |
| Preferencia de idioma | Interfaz de usuario localizada | Interés legítimo |
2.2 Datos del proyecto
| Dato | Finalidad | Base legal |
|---|---|---|
| URL de origen PWA / sitio web | Análisis técnico, compilación, pipeline de build | Ejecución del contrato |
| Nombre de la aplicación | Generación de ficha de tienda, configuración de build | Ejecución del contrato |
| Nombre de paquete Android | Identificación única de la app en Google Play | Ejecución del contrato |
| Icono de la app (subido por el usuario) | Assets de Android, Desktop y tienda | Ejecución del contrato |
| Capturas de pantalla (autogeneradas) | Ficha de Play Store / Microsoft Store | Ejecución del contrato |
| Iconos generados | Artefactos de Android y Desktop | Ejecución del contrato |
| Descripción y textos de tienda | Ficha de tienda (aportados por el usuario o generados por IA) | Ejecución del contrato |
| Tienda(s) de destino seleccionadas | Enrutamiento de build y publicación multi-tienda | Ejecución del contrato |
| Configuración de build Desktop (ancho, alto) | Parámetros de build Tauri/Pake | Ejecución del contrato |
2.3 Datos de build y publicación
| Dato | Finalidad | Base legal |
|---|---|---|
| Archivo AAB / APK compilado | Publicación en tiendas Android | Ejecución del contrato |
| Archivos compilados .msi / .dmg / .AppImage | Distribución vía GitHub Releases | Ejecución del contrato |
| Keystore Android (cifrado AES-256-GCM) | Firma de la app para actualizaciones y reenvíos | Ejecución del contrato |
| Logs de build | Depuración, soporte, seguridad | Interés legítimo |
| Estado, marcas de tiempo e historial de builds | Seguimiento del pipeline, panel de usuario | Ejecución del contrato |
| Datos de callback por plataforma Desktop | Reporte de progreso en tiempo real | Ejecución del contrato |
2.4 Datos de conexión a tiendas
Todas las credenciales de tiendas de terceros se cifran con AES-256-GCM con un vector de inicialización (IV) aleatorio único por entrada y se almacenan en la base de datos de SaasToStore. Solo se descifran cuando se necesitan: en el servidor de build o de publicación para las llamadas a las API de las tiendas, y en nuestra función de envío de notificaciones para las claves APNs. Para firmar y subir una app iOS, la clave de App Store Connect descifrada se deposita en nuestro almacenamiento privado, donde la máquina de build macOS (GitHub Actions) la recupera mediante un enlace que caduca a los 30 minutos.
Tiendas cubiertas: Google Play (token OAuth 2.0), Amazon Appstore (client ID/secret), Samsung Galaxy Store (credenciales de cuenta de servicio), Microsoft Partner Center (tenant Azure AD + client secret), Snap Store (credenciales snapcraft), Flathub (token GitHub personal), Apple App Store Connect (Issuer ID, Key ID, Team ID y clave privada .p8, para firmar su app iOS y subirla a su cuenta).
Notificaciones push iOS: clave APNs de cada app (Key ID, Team ID y clave privada .p8), para enviar notificaciones push a su app iOS.
Todos con base legal de consentimiento explícito.
2.5 Datos de pago
Los pagos son procesados exclusivamente por Stripe Inc. SaasToStore nunca almacena datos bancarios. Se conservan para contabilidad: ID de cliente Stripe, identificador del plan suscrito, fechas y montos de transacciones, e IDs de eventos webhook de Stripe.
2.6 Datos de navegación y técnicos
| Dato | Finalidad | Base legal |
|---|---|---|
| Dirección IP | Seguridad, prevención de abuso | Interés legítimo |
| Tipo y versión del navegador | Compatibilidad, depuración | Interés legítimo |
| Sistema operativo | Análisis de compatibilidad | Interés legítimo |
| Páginas visitadas, tiempo en página | Análisis de rendimiento, uso de funciones | Interés legítimo |
| URL de referencia | Análisis de fuentes de tráfico | Interés legítimo |
| Logs de errores e informes de fallos | Estabilidad del producto | Interés legítimo |
| Eventos del recorrido del producto (sitio analizado, proyecto creado, build lanzado o bloqueado, APK descargado, pago iniciado) — sin IP ni user agent completo, conservados 13 meses | Mejora del recorrido de inicio | Interés legítimo |
La medición publicitaria (Google Tag Manager, Google Ads) solo funciona con su consentimiento — véase la sección 3.3.
3. Cookies y almacenamiento local
SaasToStore utiliza cookies funcionales y claves de almacenamiento local estrictamente necesarias para el funcionamiento del Servicio. Las cookies de medición publicitaria solo se instalan si usted las acepta (sección 3.3).
3.1 Cookies
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
sb-<proyecto>-auth-token | Esencial | Sesión (hasta 7 días) | Token de sesión de autenticación Supabase |
sb-<proyecto>-auth-token-code-verifier | Esencial | Sesión | Verificador de código PKCE OAuth (flujo de auth Google Play) |
3.2 Almacenamiento local
| Clave | Duración | Finalidad |
|---|---|---|
sts_locale | Persistente | Idioma preferido del usuario (EN/FR/DE/ES/PT-BR) |
sts_redirected | Sesión | Prevención de bucles de redirección en detección inicial de idioma |
sts_consent | 13 meses | Su elección sobre las cookies (aceptada o rechazada) y su fecha |
3.3 Consentimiento de cookies
SaasToStore carga Google Tag Manager y la etiqueta de Google Ads (Google Ireland Ltd / Google LLC) para medir qué anuncios traen visitantes al sitio y cuáles de ellos compran después. Estas herramientas funcionan en el modo de consentimiento de Google, con todas las señales denegadas por defecto: mientras no haga clic en Aceptar en el banner, no instalan ninguna cookie publicitaria (como _gcl_au) ni envían ningún identificador publicitario. Si acepta, las cookies publicitarias se conservan 90 días como máximo. Rechazar no cambia nada en el funcionamiento del Servicio. Su elección se conserva 13 meses y después se le vuelve a preguntar; puede cambiarla en cualquier momento con el enlace Configurar cookies del pie de página. Base jurídica: consentimiento (art. 6.1.a RGPD, art. 22.2 LSSI).
4. Plazos de conservación
| Categoría de datos | Duración de conservación |
|---|---|
| Datos de cuenta activa | Vida útil de la cuenta |
| Configuración de proyecto y build | 12 meses tras el último build |
| Archivos AAB / APK compilados | 30 días tras la compilación |
| Artefactos de build Desktop (GitHub Releases) | 90 días tras el build |
| Keystore Android | Vida útil de la cuenta + 30 días tras eliminación |
| Credenciales de tiendas | Hasta revocación por el usuario o eliminación de cuenta |
| Datos de pago y registros de transacciones | 10 años (obligación legal contable francesa — Art. L.123-22 C.com.) |
| Logs técnicos y de build | 90 días |
| Logs de navegación | 30 días |
Tras la eliminación de la cuenta, todos los datos personales se eliminan en 30 días, excepto los que deban conservarse por obligaciones legales.
Cómo eliminar tu cuenta
Puedes eliminar tu cuenta en cualquier momento, desde la app Android de SaasToStore o desde la web:
- Inicia sesión y abre Cuenta — la pestaña Account en la app, o https://saastostore.com/account en la web.
- Elige Eliminar mi cuenta, escribe tu dirección de e-mail para confirmar y pulsa Eliminar definitivamente.
Se eliminan tu cuenta, tus proyectos, builds, keystores y conexiones con las stores; se aplican las excepciones indicadas arriba. También puedes solicitar la eliminación por e-mail a hello@saastostore.com.
5. Destinatarios y encargados del tratamiento
5.1 Subencargados del tratamiento
| Proveedor | Función | Datos compartidos | Ubicación |
|---|---|---|---|
| Supabase Inc. | Base de datos, autenticación, almacenamiento, edge functions | Datos de cuenta, proyecto, credenciales (cifradas), jobs de build | UE (AWS eu-west-1, Irlanda) |
| Cloudflare, Inc. | Alojamiento y distribución del sitio, DNS, dominio del conector MCP | Dirección IP, páginas solicitadas, tipo de navegador | Red mundial (Cloudflare, Inc., EE. UU.) |
| Ionos SE | Servidor de compilación AAB/APK, correos de inicio de sesión y de cuenta (SMTP) | URL de origen, nombre, icono, parámetros de build; dirección y contenido de los correos | Alemania (UE) |
| GitHub Inc. | Pipelines de build Desktop e iOS (GitHub Actions), almacenamiento de artefactos Desktop (GitHub Releases) | URL de origen, nombre, icono, configuración del build, ID de job | EE. UU. |
| Stripe Inc. | Procesamiento de pagos | Correo electrónico, importes, planes | EE. UU. (PCI-DSS Nivel 1) |
| Resend Inc. | Entrega de correo electrónico transaccional | Dirección de correo, datos de resultado de build | EE. UU. |
| Anthropic PBC | Generación de texto por IA | Nombre de app, URL, categoría | EE. UU. |
| Google LLC (Gemini) | Generación de imágenes por IA | Nombre de app, URL, esquema de colores | EE. UU. |
| Browserless Inc. | Capturas de pantalla automáticas de PWA | URL de origen | EE. UU. |
| Google LLC (Firebase) | Entrega de notificaciones push | Tokens de suscripción push | EE. UU. |
| PWABuilder / Microsoft | Generación de paquetes .msix | URL de origen, nombre | EE. UU. |
5.2 Transferencias fuera de la UE
Las transferencias internacionales a proveedores en EE. UU. se realizan bajo cláusulas contractuales tipo (CCT), el Marco de Privacidad de Datos UE-EE. UU. o las derogaciones del artículo 49 del RGPD. Puede solicitar información sobre mecanismos específicos en hello@saastostore.com.
5.3 Sin venta de datos
SaasToStore no vende, alquila ni transfiere datos personales a terceros con fines comerciales o publicitarios.
6. Seguridad de los datos
SaasToStore implementa las siguientes medidas de seguridad técnicas y organizativas:
- Cifrado en tránsito: HTTPS en nuestro sitio web, nuestro conector MCP y la API de nuestra base de datos, con TLS 1.3 (TLS 1.2 para navegadores más antiguos); el sitio redirige HTTP a HTTPS y envía una cabecera HSTS
- Cifrado en reposo: AES-256-GCM con IV único por entrada para tokens OAuth, credenciales de stores y keystores
- Seguridad de contraseñas: hashing bcrypt con factor de coste 10 por nuestro servicio de autenticación, Supabase Auth; nunca se almacenan contraseñas en texto plano
- Seguridad a nivel de filas (RLS): aplicada a nivel de base de datos
- Principio de mínimo privilegio: cada componente solo accede a los datos estrictamente necesarios
- Sanitización de logs: filtrado automático de contraseñas, tokens y secretos en los logs
- Notificación de incidentes: en caso de violación de datos, SaasToStore notificará a la CNIL en 72 horas (Art. 33 RGPD) y a los usuarios afectados sin demora indebida (Art. 34 RGPD)
7. Sus derechos según el RGPD (residentes en la UE/EEE)
| Derecho | Descripción | Cómo ejercerlo |
|---|---|---|
| Acceso (Art. 15) | Obtener confirmación del tratamiento y copia de sus datos | Correo electrónico a hello@saastostore.com |
| Rectificación (Art. 16) | Corregir datos inexactos o incompletos | Correo electrónico o configuración de cuenta |
| Supresión (Art. 17) | Solicitar la eliminación de sus datos | Correo electrónico o eliminación de cuenta |
| Limitación (Art. 18) | Solicitar la suspensión temporal del tratamiento | Correo electrónico |
| Portabilidad (Art. 20) | Recibir sus datos en formato estructurado y legible por máquina | Correo electrónico |
| Oposición (Art. 21) | Oponerse al tratamiento basado en interés legítimo | Correo electrónico |
| Retirada del consentimiento | Revocar el consentimiento en cualquier momento | Configuración de cuenta o correo electrónico |
Plazo de respuesta: 30 días. Para solicitudes complejas, puede ampliarse dos meses con aviso previo.
Autoridad de control: CNIL (Francia) — https://www.cnil.fr — o la autoridad de su país de residencia.
8. Sus derechos según el UK RGPD (residentes en el Reino Unido)
Los residentes en el Reino Unido tienen derechos equivalentes bajo el UK RGPD y la Data Protection Act 2018. Autoridad competente: Information Commissioner's Office (ICO) — https://ico.org.uk
9. Sus derechos según CCPA/CPRA (residentes de California)
Los residentes de California tienen derecho a conocer, eliminar, corregir sus datos y oponerse a la venta de información personal. SaasToStore no vende datos personales. Para solicitudes: hello@saastostore.com (respuesta en 45 días).
10. Inteligencia artificial
Algunas funciones del Servicio utilizan modelos de IA para generar contenido:
- Anthropic Claude Haiku: genera descripciones de tienda. Datos transmitidos: nombre de app, URL, categoría.
- Google Gemini: genera iconos de app. Datos transmitidos: nombre de app, URL, esquema de colores.
El contenido generado por IA es una sugerencia. El usuario es el único responsable de su revisión y conformidad legal. SaasToStore no utiliza sus datos para entrenar modelos de IA.
11. Notificaciones push
El servicio de entrega de notificaciones push es proporcionado por Google LLC (Firebase Cloud Messaging). SaasToStore transmite el contenido de las notificaciones y los tokens de destino a Firebase, pero no retiene tokens push de usuarios finales más allá de lo necesario para la entrega inmediata.
12. Menores de edad
El Servicio está destinado exclusivamente a usuarios mayores de 18 años. SaasToStore no recopila conscientemente datos personales de menores de 13 años. Contáctenos en hello@saastostore.com si cree que un menor ha creado una cuenta.
13. Enlaces e integraciones de terceros
Esta Política de Privacidad no se aplica a los servicios de terceros. Le recomendamos revisar las políticas de privacidad de cualquier servicio de terceros al que acceda a través de SaasToStore.
14. Notificación de violaciones de datos
Ante una violación de datos personales, SaasToStore notificará a la CNIL en 72 horas (Art. 33 RGPD) y a los usuarios afectados sin demora indebida (Art. 34 RGPD) si existe alto riesgo para sus derechos y libertades.
15. Cambios en esta Política
Los cambios materiales se comunicarán por correo electrónico con al menos 15 días de antelación. La versión actual siempre está disponible en https://saastostore.com/privacy.
16. Contacto — Protección de datos
Khalfallah MAHFOUD Responsable del tratamiento — Méga Joule Correo electrónico: hello@saastostore.com Dirección: 3 allée Rouget de Lisle — 78300 Poissy, Francia
Respondemos en un plazo de 30 días desde la recepción de su solicitud.