Privacidad y RGPD
Esta página explica cómo trata sol2flow los datos personales, para quienes administran instancias autoalojadas y para los clientes de la edición cloud. Describe lo que hace el software; no es asesoramiento jurídico.
Quién es responsable
- Autoalojado: quien opera la instancia es el responsable del tratamiento según el RGPD para todos sus datos. El proyecto sol2flow no recibe nada de tu instancia: ni telemetría, ni comprobación de actualizaciones, ni fuentes o scripts externos. sol2flow solo contacta con los servicios que tú configuras (consulta Terceros).
- Edición cloud: para el contenido que tu organización guarda en sus espacios de trabajo, tu organización es la responsable y el operador del cloud lo trata por cuenta suya (el operador ofrece un contrato de encargo del tratamiento según el art. 28 del RGPD). Para las cuentas, la facturación y la seguridad del servicio, el responsable es el operador; consulta su política de privacidad.
Qué se guarda
| Datos | Notas |
|---|---|
| Cuenta: nombre, nombre de usuario, correo, foto de perfil, idioma, tema, zona horaria | Editables en Ajustes → Perfil y Ajustes → Preferencias |
| Inicio de sesión: contraseña (con hash), identidad de inicio de sesión único, verificación en dos pasos, llaves de acceso, claves de API | Solo hashes o valores cifrados; nunca contraseñas ni claves legibles |
| Sesiones: dirección IP, navegador, horas | Listadas en Ajustes → Seguridad |
| Dispositivos y lugares de los inicios de sesión: navegador y sistema operativo, país y ciudad, primera y última vez, cuántas veces | Para los avisos de inicios de sesión inusuales; no se guarda la dirección IP ni la cadena completa del navegador |
| Contenido de los espacios: tareas, comentarios, checklists, adjuntos, registros de tiempo, actividad | Pertenece al espacio de trabajo |
| Notificaciones, invitaciones, solicitudes para unirse | Las invitaciones contienen la dirección invitada |
| Registro de auditoría: eventos de seguridad y administración con dirección IP y navegador | Lo leen el staff Owner, Admin y Auditor; los admins de un espacio ven el suyo sin direcciones IP |
| Organizaciones y facturación: empresa, dirección, NIF-IVA, correo de facturación, facturas | Los datos de tarjeta nunca llegan a sol2flow; de eso se encargan los proveedores de pago |
| Mensajes del formulario de contacto: nombre, correo, empresa, mensaje, dirección IP acortada | Solo si usas el formulario de contacto |
Cuánto tiempo se guarda
| Datos | Se guarda | Ajuste |
|---|---|---|
| Registro de auditoría | De 30 a 3650 días, 365 por defecto | Admin → General → Registro de auditoría |
| Mensajes del formulario de contacto | De 30 a 3650 días, 365 por defecto; spam 30 días | Admin → General → Formulario de contacto |
| Espacios eliminados | Restaurables de 1 a 365 días, 30 por defecto; después se purgan con sus archivos | Admin → General → Datos y legal |
| Exportaciones | 7 días | — |
| Sesiones | Hasta cerrar sesión o caducar (12 horas, o 30 días con «Recordarme») | — |
| Dispositivos y lugares de los inicios de sesión | 180 días después del último inicio de sesión desde ellos | — |
| Registros nunca confirmados | 7 días | — |
| Invitaciones terminadas | 90 días después de aceptarse, rechazarse, revocarse o caducar | — |
| Notificaciones | Leídas: 90 días; sin leer: 1 año | — |
| Personas de importaciones terminadas | 90 días | — |
| Tareas en segundo plano (p. ej. correos en cola) | Alrededor de una semana | — |
| Archivos de registro | Los LOG_FILE_MAX_FILES archivos más recientes (10 por defecto) | Referencia de configuración |
| Cuentas y contenido de los espacios | Hasta que se eliminan | — |
| Facturas | No se eliminan automáticamente: la normativa fiscal obliga a conservarlas | Elimínalas tú cuando termine el plazo legal |
Una limpieza diaria elimina lo que ha llegado a su límite. Tus copias de seguridad conservan los datos hasta que rotan; consulta Copias de seguridad y actualizaciones.
Exportar, corregir y eliminar
| Solicitud | Cómo |
|---|---|
| Una copia de los datos de una persona | La persona elige Ajustes → Tus datos → Descargar mis datos: un ZIP con su perfil, membresías, comentarios, registros de tiempo, notificaciones, sesiones, su registro de seguridad y más |
| Una copia de un espacio de trabajo | Sus admins eligen Ajustes → Espacio de trabajo → Importar y exportar → Exportar espacio |
| Corregir datos | Cada persona edita su perfil; el staff puede editar cuentas en Admin → Usuarios |
| Eliminar una cuenta | Ajustes → Tus datos → Eliminar cuenta, o el staff en Admin → Usuarios → Eliminar usuario |
| Eliminar un espacio de trabajo | Sus admins en Ajustes → Espacio de trabajo → General, o el staff en Admin → Espacios de trabajo; se purga tras el periodo de gracia |
| Dejar de recibir correos de tareas | Ajustes → Notificaciones (cada persona), o para toda la instancia en Admin → General |
| Bloquear una cuenta sin eliminarla | El staff la desactiva en Admin → Usuarios |
| Un mensaje del formulario de contacto | El staff lo busca y lo elimina en Admin → Mensajes |
Cuando se elimina una cuenta, su contenido en los espacios compartidos se mantiene y aparece como "Usuario eliminado"; las entradas del registro de auditoría solo conservan el ID de la cuenta hasta que el periodo de conservación del registro las elimina; las facturas de una organización se mantienen porque la ley lo exige. Detalles: Exportación y eliminación de datos.
Cookies y almacenamiento del navegador
sol2flow solo usa cookies y almacenamiento del navegador necesarios para funcionar o que recuerdan una elección de la persona: la sesión, cookies de corta duración durante el inicio de sesión y la confirmación del correo, el idioma, el tema, la zona horaria, el último espacio de trabajo y la vista del tablero. Ninguna sirve para seguimiento ni publicidad, así que no hace falta un banner de consentimiento. La documentación y el sitio web de sol2flow no usan cookies; solo recuerdan el tema en el almacenamiento local del navegador.
Terceros
No se envía nada a ningún sitio mientras no lo configures:
- Envío de correo (tu servidor SMTP o un proveedor como Amazon SES): las direcciones de los destinatarios y el contenido de los correos.
- Almacenamiento de archivos si usas almacenamiento compatible con S3: adjuntos, fotos, exportaciones.
- Seguimiento de errores si defines
SENTRY_DSN: mensajes de error y trazas, sin datos de usuarios, direcciones IP, cookies ni contenido de las peticiones. - Los proveedores de inicio de sesión único que añadas.
- Una fuente de ubicación para los avisos de inicio de sesión, si configuras una (Referencia de configuración): las cabeceras de ubicación de Cloudflare, o un archivo GeoLite2 / DB-IP que se lee en tu propio servidor (no sale nada de él).
- Los proveedores de pago (Stripe, PayPal, Blockonomics) si activas la facturación, y el servicio VIES de la UE para comprobar NIF-IVA.
- Los webhooks que configuren los admins de los espacios.
sol2flow no usa herramientas de analítica, ni fuentes o CDN externos, ni avatares remotos (como Gravatar), ni contenido incrustado. Tu proveedor de alojamiento, proxy inverso o CDN ve todo el tráfico: tenlo en cuenta en tus contratos.
Enlaces legales
En Admin → General → Datos y legal puedes definir una URL de la política de privacidad, una URL de las condiciones de servicio y una URL del aviso legal. Se enlazan debajo de los formularios de inicio de sesión y de registro y, con la sesión iniciada, en Ajustes → Tus datos → Legal. Si hay una política de privacidad o unas condiciones, las cuentas nuevas deben aceptarlas y se guarda la hora. Consulta Ajustes de la instancia.
Tu lista de comprobación como operador
sol2flow te da las herramientas; estos puntos te corresponden a ti, con asesoramiento jurídico cuando haga falta:
- Publica una política de privacidad y enlázala (arriba). Describe los datos y plazos de esta página con los valores que elegiste, tus encargados del tratamiento, tus copias de seguridad y cómo pueden ejercer sus derechos las personas.
- Publica un aviso legal si la ley lo exige (en Alemania, § 5 DDG).
- Firma contratos de encargo del tratamiento con los servicios que uses (alojamiento, correo, almacenamiento, copias de seguridad, seguimiento de errores) y, si alojas para otros, ofréceles un contrato de encargo del tratamiento.
- Lleva un registro de las actividades de tratamiento (art. 30 del RGPD).
- Protege el servidor: HTTPS en tu proxy inverso (consulta Proxy inverso y TLS), discos y copias de seguridad cifrados, una
APP_ENCRYPTION_KEYrobusta, actualizaciones. - Configura el envío de correo antes de empezar: sin servidor de correo, sol2flow escribe los correos, incluidos los enlaces de inicio de sesión, en su registro.
- Ten un procedimiento ante brechas de datos: el registro de auditoría (inicios de sesión, intentos fallidos, cambios de seguridad, acciones del staff, con direcciones IP) ayuda a averiguar qué ocurrió; consérvalo el tiempo suficiente. Las brechas de datos personales suelen tener que notificarse a la autoridad de control en un plazo de 72 horas.