Política de privacidad

Última actualización: 25 de septiembre de 2026

1. Responsable del tratamiento Yuri Omelchenko NIF: 301711887 R. José Filipe Neto Rebelo 5, 2º Drt, 2500-222 Caldas da Rainha, Portugal Correo electrónico: hello@flick-soft.tech

2. Datos que recogemos Cuando usted envía el formulario de contacto, recogemos: nombre (opcional), número de teléfono y dirección de correo electrónico. También recogemos los registros estándar del servidor (dirección IP, tipo de navegador, marcas de tiempo de acceso). Cuando usted utiliza nuestra plataforma, tratamos: • Datos de conversaciones: mensajes enviados y recibidos a través de los canales conectados (WhatsApp, Telegram, Instagram, Facebook Messenger, correo electrónico, chat del sitio web y otros canales que usted decida conectar, como VK, Avito, MAX o LinkedIn), incluidos el contenido de texto, los archivos multimedia, las marcas de tiempo y las confirmaciones de lectura • Datos de contacto: nombres de clientes potenciales/clientes, números de teléfono y direcciones de correo electrónico facilitados por usted con fines de CRM • Datos de negocio: etapas del pipeline, propuestas, citas, notas y otros registros del CRM • Datos de uso: marcas de tiempo de inicio de sesión, uso de funciones, tipo de navegador • Datos de inicio de sesión: si usted decide iniciar sesión con Google o Apple, recibimos del proveedor su nombre, su dirección de correo electrónico y un token de autenticación. No recibimos su contraseña, sus contactos, sus archivos ni ningún otro dato de la cuenta • Datos específicos de WhatsApp: números de teléfono, contenido de los mensajes, estado de entrega/lectura, archivos multimedia compartidos a través de la WhatsApp Business API • Datos de Instagram y Facebook: nombres de usuario, contenido de los mensajes, archivos multimedia compartidos a través de Instagram Direct y Facebook Messenger mediante la Meta Graph API • Metadatos de perfil de Instagram y Facebook: ID de la cuenta de Instagram Business, nombre de usuario, URL de la foto de perfil, tipo de cuenta y (cuando esté disponible) número de seguidores. ID y nombre de la página de Facebook. Se recogen únicamente cuando el propietario del negocio conecta la cuenta mediante OAuth, y se muestran en la configuración de canales del CRM para que el propietario pueda confirmar qué cuenta está vinculada. • Comentarios públicos de Instagram y Facebook: contenido de texto de los comentarios públicos dejados en las publicaciones, reels e historias de su negocio, además del nombre de usuario y el ID de quien comenta. Se utilizan para permitir que los operadores del CRM respondan públicamente o trasladen la conversación a mensajes directos (DM). NO leemos comentarios en publicaciones cuyo titular sea cualquier otra persona distinta del negocio conectado. • Metadatos del contenido saliente: cuando un operador del CRM publica, a través de Flick AI, una publicación, un reel o una historia en una cuenta de Instagram Business conectada, almacenamos el archivo multimedia, el pie de foto, la hora de publicación programada y el ID del contenido multimedia resultante. Nunca publicamos contenido sin una acción explícita de un operador. • Estadísticas agregadas (insights): impresiones, alcance, visitas al perfil, rendimiento de las publicaciones y número de seguidores de la cuenta de Instagram Business o de la página de Facebook conectada. Se utilizan exclusivamente para mostrar analíticas en el panel del CRM del negocio. A través de las API de Insights no se recoge ningún identificador individual de usuarios finales. • Metadatos de páginas de Facebook: lista de las páginas de Facebook que administra el usuario que realiza la conexión (se muestra durante el flujo de OAuth para que el usuario pueda elegir qué página conectar), nombre de la página, ID de la página y zona horaria de la página (se utiliza para respetar el horario comercial al programar mensajes salientes).

3. Finalidad y uso de los datos Sus datos se utilizan para: (a) responder a su consulta; (b) prestar el servicio de la plataforma Flick AI, incluida la comunicación con los clientes basada en IA; (c) mejorar nuestros algoritmos de IA y la calidad de las respuestas (nunca utilizamos para esta finalidad datos obtenidos de las API de Google); (d) enviar comunicaciones y notificaciones relacionadas con el servicio; (e) facilitar, en su nombre, la mensajería empresarial a través de la WhatsApp Business API, Instagram, Facebook Messenger y otros canales. No utilizamos sus datos con fines de marketing sin su consentimiento explícito.

4. Base jurídica (Art. 6 RGPD) • Consentimiento (Art. 6(1)(a)) — cuando usted envía el formulario de contacto o acepta el periodo de prueba • Ejecución de un contrato (Art. 6(1)(b)) — para prestar el servicio suscrito • Interés legítimo (Art. 6(1)(f)) — para responder a consultas comerciales. Se basa en nuestra expectativa razonable de que responder a las consultas enviadas a través de nuestro sitio web entra dentro de las expectativas razonables del interesado. Usted puede oponerse a este tratamiento en cualquier momento.

5. Decisiones automatizadas (Art. 22 RGPD) Nuestro sistema de IA trata automáticamente las consultas para: cualificar el nivel de interés, generar propuestas personalizadas, programar citas y sugerir acciones de seguimiento. Este tratamiento se basa en su consentimiento y es necesario para el servicio que usted ha solicitado. Usted tiene derecho a solicitar intervención humana, a expresar su punto de vista y a impugnar las decisiones automatizadas dirigiéndose a hello@flick-soft.tech.

6. Integración con las plataformas de Meta (WhatsApp, Instagram, Facebook y Messenger) Flick AI se integra con los servicios de Meta Platforms, Inc. a través de las siguientes API y permisos:

• WhatsApp Business API (permisos `whatsapp_business_messaging`, `whatsapp_business_management`): los mensajes se envían y se reciben a través de la infraestructura de la Cloud API de Meta. Recogemos y almacenamos números de teléfono, contenido de los mensajes (texto, imágenes, documentos, mensajes de voz), estado de entrega y lectura, metadatos de la cuenta de WhatsApp Business y plantillas de mensajes. El permiso `whatsapp_business_management` se utiliza exclusivamente para leer plantillas de mensajes y enviarlas a Meta para su aprobación, y para mostrar en la configuración del CRM el perfil de la cuenta de WhatsApp Business conectada.

• Mensajes directos de Instagram (permisos `instagram_business_basic`, `instagram_business_manage_messages`): tratamos los mensajes directos enviados a su cuenta de Instagram Business mediante la Meta Graph API. Recogemos y almacenamos el ID de la cuenta de Instagram, el nombre de usuario, la URL de la foto de perfil, el contenido de los mensajes y los archivos multimedia. El permiso `instagram_business_basic` se utiliza para mostrar la cuenta de Instagram Business conectada en la configuración de canales del CRM; con este permiso por sí solo no se realiza ninguna actividad de publicación ni de envío de mensajes.

• Comentarios de Instagram (permiso `instagram_business_manage_comments` y su equivalente heredado `instagram_manage_comments`): cuando un cliente comenta una publicación o un reel publicados por su cuenta de Instagram Business conectada, nuestro CRM incorpora el texto del comentario y el nombre de usuario de quien comenta para que un operador pueda responder públicamente o trasladar la conversación a mensajes directos (DM). No leemos ni almacenamos comentarios en publicaciones cuyo titular no sea el negocio conectado.

• Publicación de contenido en Instagram (permiso `instagram_business_content_publish` y su equivalente heredado `instagram_content_publish`): se utiliza únicamente cuando un operador del CRM crea expresamente una publicación, un reel o una historia a través de Flick AI. Subimos a su cuenta de Instagram Business conectada, mediante la Meta Graph API, el archivo multimedia, el pie de foto y, en su caso, los usuarios o ubicaciones etiquetados. Nunca publicamos contenido automáticamente sin una acción explícita de un operador.

• Instagram Insights (permiso `instagram_business_manage_insights` y su equivalente heredado `instagram_manage_insights`): se utiliza para mostrar en el panel del CRM analíticas agregadas de la cuenta de Instagram Business conectada (impresiones, alcance, visitas al perfil, rendimiento de las publicaciones, número de seguidores). Los datos de Insights son de solo lectura y agregados; no accedemos a métricas individuales de usuarios finales.

• Facebook Messenger (permisos `pages_messaging`, `pages_show_list`, `pages_read_engagement`, `pages_user_timezone`): tratamos los mensajes de su página de Facebook mediante la Meta Graph API. Recogemos y almacenamos nombres de los usuarios, contenido de los mensajes y archivos multimedia. El permiso `pages_show_list` se utiliza durante el flujo de OAuth para que el negocio pueda elegir qué página conectar. `pages_read_engagement` se utiliza para mostrar métricas agregadas de la página en el panel del CRM. `pages_user_timezone` se utiliza exclusivamente para respetar el horario comercial de la página al programar mensajes salientes.

• Mensajes de marketing de Messenger (permiso `marketing_messages_messenger`): se utiliza únicamente cuando los usuarios finales han dado su consentimiento explícito (opt-in) para recibir mensajes de marketing de su negocio a través de Facebook Messenger (por ejemplo, mediante una casilla Send-to-Messenger en su sitio web). Hacemos seguimiento de los registros de opt-in, del estado de entrega de los mensajes y de los eventos de baja (opt-out). Los usuarios finales pueden darse de baja en cualquier momento respondiendo «STOP» o mediante la interfaz estándar de baja de Messenger.

6a. Human Agent (ampliación de la ventana de mensajería de 24 horas) En Instagram Direct y Facebook Messenger, Meta aplica una ventana de mensajería estándar de 24 horas durante la cual un negocio puede responder libremente a las conversaciones iniciadas por el usuario. Flick AI utiliza la etiqueta de mensaje `human_agent` para permitir que un operador humano real envíe una única respuesta de seguimiento hasta 7 días después del último mensaje del usuario. Esto se utiliza únicamente en los siguientes casos: • El mensaje del usuario llegó fuera del horario comercial (p. ej., en fin de semana) y la ventana estándar de 24 horas expiró antes de que un operador pudiera responder. • La solicitud del usuario requiere una revisión humana, coordinación con proveedores o una investigación que lleva más de 24 horas (p. ej., presupuestos solares a medida, reservas de tours de varios días, especificaciones técnicas). Las respuestas enviadas con la etiqueta `human_agent` siempre las redacta un operador real y autenticado del CRM — nunca la automatización ni la IA sin la aprobación de un operador. La etiqueta nunca se utiliza para contenido promocional, transaccional o no solicitado.

Para todas las integraciones con las plataformas de Meta: • Actuamos como proveedor de tecnología (Technology Provider) conforme a las Condiciones de la Plataforma de Meta • NO vendemos, compartimos ni utilizamos los datos de mensajes de las plataformas de Meta con fines publicitarios o de marketing • NO utilizamos ningún dato de las plataformas de Meta para entrenar modelos de IA • Las plantillas de mensajes (WhatsApp) y las plantillas de mensajes de marketing (Messenger) se envían a Meta para su aprobación antes de utilizarse en comunicaciones salientes • Meta Platforms trata los datos de conformidad con su propia política de privacidad (facebook.com/privacy/policy) • Verificamos las firmas de los webhooks (X-Hub-Signature) de Instagram y Facebook para garantizar la integridad de los datos • Los tokens de acceso de las cuentas de Meta conectadas se almacenan cifrados en reposo y se utilizan exclusivamente para las operaciones descritas anteriormente

7. Consentimiento y opt-in para el envío de mensajes Antes de enviar mensajes a usuarios finales a través de WhatsApp u otros canales: • Los usuarios finales deben dar su consentimiento explícito (opt-in) para recibir mensajes de su negocio • El opt-in puede obtenerse mediante el formulario de su sitio web, en una interacción presencial o por otros métodos conformes con la normativa • Los usuarios finales pueden darse de baja (opt-out) en cualquier momento respondiendo «STOP» o contactando directamente con el negocio • Conservamos los registros de opt-in conforme a lo exigido por la Política de WhatsApp Business de Meta y el RGPD

Los mensajes de marketing de Facebook Messenger (con el permiso `marketing_messages_messenger`) requieren un opt-in previo y explícito del usuario final (por ejemplo, una casilla Send-to-Messenger en su sitio web o un flujo de opt-in dentro de Messenger) y cumplen las políticas de Meta sobre notificaciones recurrentes y mensajes de marketing. Atendemos de inmediato todas las señales «STOP» o de baja (opt-out) e impedimos que se entregue ningún otro mensaje de marketing a través de este canal.

8. Almacenamiento y conservación de los datos Su información se almacena en servidores seguros dentro del Espacio Económico Europeo (EEE): Letonia y Alemania. Algunos de los proveedores enumerados en la sección 9 (tratamiento por IA y transcripción de voz) tratan datos fuera del EEE, tal como se describe en las secciones 9 y 10. Conservamos sus datos hasta 12 meses después de su última interacción; transcurrido ese plazo, se eliminan automáticamente. Los datos de mensajes de las plataformas de Meta (WhatsApp, Instagram, Facebook) se conservan mientras dure su suscripción activa y se eliminan en un plazo de 30 días desde el cierre de la cuenta. Los datos agregados de estadísticas (métricas de Instagram y de páginas de Facebook) se almacenan en caché para mostrarlos en el panel y se actualizan periódicamente; se eliminan junto con la cuenta o cuando se desconecta el canal. Los tokens de acceso de las cuentas de Meta conectadas se cifran en reposo y se revocan de nuestro backend de inmediato cuando el negocio desconecta el canal o solicita la eliminación de la cuenta.

8a. Seguridad de los datos y mecanismos de protección Protegemos todos los datos personales y sensibles (contenido de los mensajes, datos de contacto, tokens de acceso OAuth, datos de calendarios y de hojas de cálculo) con las siguientes medidas técnicas y organizativas: • Cifrado en tránsito: todas las conexiones a nuestra plataforma y todas las llamadas a API de terceros utilizan HTTPS/TLS 1.2+; los webhooks entrantes de las plataformas de mensajería se verifican con firmas criptográficas (p. ej., X-Hub-Signature) • Protección de credenciales: las contraseñas de las cuentas se almacenan únicamente como hashes bcrypt con sal (salt); las sesiones utilizan tokens JWT firmados de corta duración; los tokens de acceso OAuth de las cuentas conectadas (Google, Meta y otros canales) se almacenan cifrados en reposo y nunca se exponen al navegador • Control de acceso: el control de acceso basado en roles (RBAC) garantiza que los miembros del personal solo vean los datos que su rol les permite; el aislamiento entre inquilinos (tenants) se aplica a nivel de base de datos mediante PostgreSQL Row-Level Security, de modo que un negocio nunca puede acceder a los datos de otro; el acceso administrativo está limitado al personal autorizado, según el principio de necesidad de conocer • Infraestructura: todos los datos se almacenan en centros de datos del EEE (Alemania y Letonia); las bases de datos no están expuestas a la internet pública; las copias de seguridad diarias automatizadas se conservan en servidores de la UE con un periodo de conservación limitado • Respuesta a incidentes: las sospechas de violación de la seguridad se gestionan conforme al procedimiento de notificación descrito en el §13

9. Subencargados del tratamiento y terceros Utilizamos los siguientes proveedores de servicios: • Alojamiento de servidores: Hetzner Online GmbH (Alemania), SIA Nano IT (Letonia) — con sede en la UE • Tratamiento por IA: Google LLC (servicios de IA de Google) trata el texto de los mensajes y el contexto de la conversación para generar respuestas automáticas. Los datos pueden tratarse fuera del EEE al amparo de cláusulas contractuales tipo (Art. 46 RGPD) • IA de respaldo: DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.) puede tratar el texto de los mensajes únicamente cuando el proveedor principal de IA no está disponible; los datos se tratan fuera del EEE • Transcripción de voz: Groq, Inc. (EE. UU.) transcribe los mensajes de voz recibidos en los canales conectados; Deepgram, Inc. (EE. UU.) presta el servicio de conversión de voz a texto para la función opcional de llamadas en directo. El audio se trata fuera del EEE conforme a las condiciones de tratamiento de datos de los proveedores • Proveedores de inicio de sesión: Google LLC (Sign in with Google) y Apple Inc. (Sign in with Apple) — se utilizan exclusivamente para autenticarle cuando usted elige el inicio de sesión social • Mapas y geocodificación: Google Maps Platform (Google LLC) — se utiliza para mostrar imágenes de satélite y geocodificar direcciones para las propuestas solares • Sincronización de calendario (opcional): si usted conecta Google Calendar (Google LLC) o Apple iCloud Calendar (Apple Inc.), los datos de las citas se sincronizan entre la plataforma y su calendario • API de comunicación: WhatsApp Business API (Meta Platforms, Inc.), Instagram Direct API (Meta), Facebook Messenger API (Meta), Telegram Bot API, Resend (envío de correo electrónico) • Suministro de fuentes tipográficas: Google Fonts (su dirección IP se transmite a Google; policies.google.com/privacy) No vendemos, alquilamos ni compartimos sus datos personales con otros terceros, salvo cuando lo exija la legislación aplicable o una orden judicial.

9a. Datos de usuario de Google (Google API Services — Limited Use) Si usted conecta funciones de Google (Sign in with Google, sincronización con Google Calendar, exportación a Google Sheets, acceso a archivos de Google Drive), Flick AI recibe únicamente los datos descritos en el §2 y los utiliza exclusivamente para prestar las funciones de cara al usuario que usted ha solicitado: autenticarle, crear y actualizar eventos de calendario para sus citas, y leer/escribir las hojas de cálculo y los archivos que usted seleccione expresamente. • NO utilizamos los datos de usuario de Google con fines publicitarios o de marketing • NO vendemos los datos de usuario de Google a ninguna parte • NO utilizamos los datos de usuario de Google para desarrollar, mejorar o entrenar modelos de IA o de aprendizaje automático (ni generalizados ni personalizados) • NO transferimos los datos de usuario de Google a terceros, salvo cuando sea necesario para prestar las funciones que usted ha solicitado, para cumplir la legislación aplicable o en el marco de una fusión o adquisición, con aviso previo a usted • Ninguna persona lee los datos de usuario de Google, salvo que: contemos con su permiso explícito para un caso de soporte; sea necesario por motivos de seguridad (p. ej., para investigar abusos); o los datos estén agregados y anonimizados para operaciones internas Puede revocar en cualquier momento el acceso de Flick AI a sus datos de Google en https://myaccount.google.com/permissions o desconectando la integración en la configuración del CRM; los datos de Google almacenados se eliminan entonces conforme a las reglas de los §8 y §12. El uso y la transferencia a cualquier otra aplicación, por parte de Flick AI, de la información recibida de las API de Google se ajustarán a la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Limited Use (uso limitado).

10. Transferencias internacionales de datos Nuestros servidores y el almacenamiento principal de datos se encuentran en el EEE. El tratamiento por IA (servicios de IA de Google) y Google Fonts pueden implicar transferencias de datos a Google fuera del EEE; dichas transferencias están amparadas por las cláusulas contractuales tipo (CCT) de Google, conforme al Art. 46 RGPD. La IA de respaldo (DeepSeek) y la transcripción de voz (Groq, Deepgram) también tratan datos fuera del EEE, tal como se describe en la sección 9.

11. Sus derechos (Arts. 15–22 RGPD) Usted tiene derecho a: acceder a sus datos personales (Art. 15), rectificar los datos inexactos (Art. 16), solicitar la supresión / «derecho al olvido» (Art. 17), limitar el tratamiento (Art. 18), la portabilidad de los datos en un formato electrónico de uso común (Art. 20) y oponerse al tratamiento (Art. 21). Para ejercer cualquiera de estos derechos, escriba a hello@flick-soft.tech. Podemos verificar su identidad antes de tramitar su solicitud. Responderemos en un plazo de 30 días.

12. Eliminación de datos Puede solicitar en cualquier momento la eliminación completa de su cuenta y de todos los datos asociados. Para solicitar la eliminación: • Envíe un correo electrónico a hello@flick-soft.tech con el asunto «Data Deletion Request» • Indique la dirección de correo electrónico asociada a su cuenta • Tramitaremos la eliminación en un plazo de 30 días y le confirmaremos por correo electrónico que se ha completado Una vez realizada la eliminación, todos los datos personales, el historial de conversaciones, los registros de clientes potenciales y los archivos asociados a su cuenta se eliminarán de forma permanente de nuestros sistemas. Los datos que estemos legalmente obligados a conservar (p. ej., los registros de facturación) se conservarán durante el plazo mínimo exigido por la ley y, después, se eliminarán.

En concreto, respecto de los datos de las plataformas de Meta: tras la eliminación de la cuenta o la desconexión del canal, todo el historial de mensajes, los metadatos de perfil, los datos de estadísticas (insights), los metadatos de contenido y los tokens de acceso OAuth asociados a la cuenta de WhatsApp Business, la cuenta de Instagram Business o la página de Facebook conectadas se eliminan en un plazo de 7 días. Las suscripciones a webhooks se revocan de inmediato. También puede revocar nuestro acceso en cualquier momento directamente a través de Meta Business Suite → Configuración del negocio → Integraciones, lo que impedirá de inmediato cualquier nueva recogida de datos por parte de Flick AI.

13. Notificación de violaciones de la seguridad de los datos En caso de una violación de la seguridad de los datos personales que suponga un riesgo para sus derechos y libertades, procederemos a: notificarla a la CNPD en un plazo de 72 horas desde que tengamos conocimiento de ella (Art. 33 RGPD); comunicarla a las personas afectadas sin dilación indebida si la violación supone un alto riesgo (Art. 34 RGPD).

14. Datos de menores Nuestro servicio está diseñado para empresas y no está dirigido a personas menores de 16 años. No recogemos a sabiendas datos personales de menores.

15. Cambios en esta política Podemos actualizar esta política ocasionalmente. Los cambios sustanciales se publicarán en esta página con la nueva fecha de «Última actualización». El uso continuado del sitio web tras los cambios constituye su aceptación.

16. Autoridad de control Usted tiene derecho a presentar una reclamación ante la autoridad portuguesa de protección de datos: Comissão Nacional de Proteção de Dados (CNPD) www.cnpd.pt

17. Aplicación móvil (iOS) La aplicación para iOS Flick AI CRM (identificador de paquete `tech.flick-soft.crm`) es un cliente nativo de la misma plataforma Flick AI descrita anteriormente. Se conecta al mismo backend alojado en la UE y no incorpora ningún SDK de terceros de seguimiento, publicidad o analítica.

17.1 Datos recogidos por la aplicación • Credenciales de la cuenta: el correo electrónico y la contraseña introducidos al iniciar sesión se transmiten mediante HTTPS/TLS a nuestro endpoint de autenticación; el token de autenticación JWT devuelto se almacena en el llavero (Keychain) de iOS (mediante el Secure Enclave de Apple, cuando está disponible) y nunca se escribe en un almacenamiento sin cifrar. • Sign in with Google / Sign in with Apple: si usted elige el inicio de sesión social, recibimos de Google o de Apple su nombre, su dirección de correo electrónico y un token de identidad para autenticarle. Nunca recibimos de estos proveedores su contraseña ni ningún otro dato de la cuenta. • Token de notificaciones push: cuando usted activa las notificaciones, se envía a nuestro backend un token push de Expo (identificador anónimo del dispositivo emitido por Expo / Apple APNs), que se almacena, vinculado a su cuenta de usuario, en la tabla `mobile_push_tokens`. Este token se utiliza exclusivamente para enviar notificaciones push (nuevo mensaje, nuevo cliente potencial, tarea asignada, escalado). No se comparte con ningún tercero con fines publicitarios. • Metadatos del dispositivo: se recogen el modelo del dispositivo y la versión del sistema operativo con fines de diagnóstico y compatibilidad (p. ej., «iPhone15,2 · iOS 18.2»). No se solicita ni se recoge ningún identificador publicitario (IDFA) — no se muestra el aviso de App Tracking Transparency porque no realizamos seguimiento. • Contenido que usted crea o consulta: los mensajes, clientes potenciales, tareas y archivos a los que accede en la aplicación se transmiten entre su dispositivo y nuestro backend alojado en la UE mediante HTTPS / WebSocket seguro. No se almacenan de forma permanente en el dispositivo, más allá de la caché estándar del sistema operativo para las imágenes que usted ha abierto. • Acceso a la cámara y a la fototeca: solo se solicita cuando usted pulsa expresamente el botón de adjuntar en un chat para enviar una imagen. Las imágenes que selecciona se suben a esa misma conversación en el backend y no se envían a ningún otro lugar.

17.2 Autenticación biométrica (Face ID / Touch ID) Si usted activa el desbloqueo biométrico, la plantilla biométrica (los datos de su rostro o de su huella dactilar) se trata exclusivamente en el dispositivo mediante el framework Local Authentication de Apple y el Secure Enclave. Nunca sale de su dispositivo, nunca se nos transmite a nosotros ni a ningún tercero, y no recibimos ni almacenamos datos biométricos. La aplicación solo recibe de iOS una señal binaria de éxito/fallo.

17.3 Almacenamiento local en el dispositivo • Keychain (cifrado): token de autenticación JWT; opcionalmente, el correo electrónico guardado para el autocompletado. • Preferencias de la aplicación (UserDefaults, sin cifrar): idioma (en/pt/ru), notificaciones push activadas/desactivadas, desbloqueo biométrico activado/desactivado. • Caché de imágenes: el sistema operativo almacena en caché las imágenes que usted ha abierto; iOS las borra cuando queda poco espacio de almacenamiento, o puede borrarlas usted mismo mediante Ajustes → General → Almacenamiento del iPhone → Flick AI CRM → Desinstalar app.

17.4 Terceros utilizados por la aplicación móvil • Apple Push Notification service (APNs): necesario para enviar notificaciones push a iOS. Se rige por la Política de privacidad de Apple. • Expo Push API (Expo, Inc.): un servicio de retransmisión que agrupa por lotes las notificaciones de nuestro backend hacia APNs. Expo recibe únicamente el token push y la carga útil (payload) del mensaje (título, cuerpo breve, tipo de notificación, ID del registro relacionado). Política de privacidad de Expo: expo.dev/privacy. • Google Identity Services / Apple Sign In: solo se contactan si usted elige el inicio de sesión social, y exclusivamente para la autenticación. • Nuestro propio backend (Hetzner Alemania, SIA Nano IT Letonia) — la misma infraestructura en la UE que la plataforma web. La aplicación móvil NO utiliza Google Analytics, Firebase Analytics, Meta SDK, Crashlytics, Mixpanel, Amplitude, Segment ni ningún otro SDK de analítica/publicidad.

17.5 App Tracking Transparency (ATT) No realizamos un seguimiento de su actividad en aplicaciones o sitios web propiedad de otras empresas. Por ello, no se muestra el aviso de ATT. No se recoge ningún IDFA.

17.6 Conservación y eliminación de datos (móvil) • Los tokens push se eliminan de nuestro backend inmediatamente al cerrar sesión (DELETE /api/mobile/push-tokens/:deviceId) y Expo los invalida automáticamente si usted desinstala la aplicación. • Todas las reglas de conservación de datos en el servidor del §8 se aplican de forma idéntica a los usuarios de la aplicación móvil. • Para solicitar la eliminación de su cuenta y de todos los datos asociados, siga el procedimiento del §12 (escriba a hello@flick-soft.tech con el asunto «Data Deletion Request»). Así se eliminarán sus datos con independencia de que se haya accedido a ellos a través de la web o de iOS.

17.7 Menores (móvil) Al igual que el servicio web, la aplicación para iOS está destinada a usuarios profesionales de 16 años o más y no está dirigida a niños. Tiene la clasificación 4+ en la App Store (sin contenido inapropiado), pero esta clasificación se refiere al contenido, no al público al que va dirigida la aplicación.

17.8 Contacto para cuestiones de privacidad específicas de la aplicación móvil hello@flick-soft.tech — el mismo contacto que para el servicio web.