Política de privacidad — Brymio

Esta política explica qué datos personales trata Krokanti Games SL cuando usas Brymio (www.brymio.com), para qué los trata y qué puedes hacer con ellos. Está escrita para que la entiendas sin ayuda: si algo no queda claro, escríbenos y lo aclaramos.

Quién trata tus datos

Krokanti Games SL, sociedad española, es la responsable del tratamiento de los datos de las personas que se registran en Brymio. Puedes escribirnos a info@krokanti.com para cualquier asunto de protección de datos; también es la dirección para ejercer tus derechos.

Qué es Brymio

Brymio es una sola plataforma con varios módulos que cada organización activa o desactiva cuando quiere: Facturación (facturas, presupuestos, gastos, impuestos y conciliación bancaria en España), Equipo (registro de jornada y RRHH básico: ausencias, nóminas, calendario), Contratación (ofertas de empleo y candidaturas), Comercio (operativa de tienda para Shopify y WooCommerce: productos, pedidos, stock y clientes), Buscador (la búsqueda de tu tienda online), Proyectos (tareas, páginas y documentación) y Salud de tienda (auditorías de rendimiento, SEO y accesibilidad de una web). Todos los planes incluyen todos los módulos, así que los datos que tratamos dependen de lo que tengas activado, no de lo que pagues.

Cuándo somos responsables y cuándo encargados

De los datos de quien abre una cuenta —nombre, correo, facturación de la suscripción— somos responsables nosotros. De los datos que tu organización sube, conecta o recibe —los de tus empleados, las personas que se presentan a tus ofertas, tus clientes, los compradores de tu tienda, tus proveedores— el responsable eres tú y nosotros actuamos como encargados del tratamiento: los tratamos solo para prestarte el servicio y siguiendo tus instrucciones, no para nada nuestro. Si necesitas un contrato de encargo de tratamiento firmado, pídenoslo en info@krokanti.com.

Si tu organización da acceso por API o MCP a herramientas de terceros, como un asistente de inteligencia artificial, esa decisión es tuya como responsable. Tú eliges y contratas esas herramientas, informas a las personas cuyos datos van a tratar y, con quienes se presentan a tus ofertas, no tomas ninguna decisión basada únicamente en un tratamiento automatizado. Nosotros damos el acceso que nos indicas y nada más: lo que esas herramientas hagan con los datos no depende de nosotros ni es responsabilidad nuestra. En Contratación, el acceso de estas herramientas por MCP viene apagado y solo puede encenderlo un administrador de la empresa.

Datos que tratamos

Según los módulos que tengas activados, tratamos estas categorías:

Cuenta: nombre, correo electrónico, imagen de perfil si la subes, idioma, la contraseña guardada de forma irreversible y, si los activas, el secreto de tu app de doble factor y sus códigos de respaldo.
Organización: nombre, identificador de la URL, NIF, dirección, zona horaria, logotipo, miembros con su rol y sus invitaciones pendientes.
Facturación: tus datos fiscales y los de tus clientes y proveedores, incluidos sus NIF y direcciones; facturas y sus líneas, presupuestos, gastos con sus justificantes, movimientos bancarios que importes y resúmenes de impuestos. Una factura emitida ya no se modifica y, si la organización activa Veri*factu, queda además encadenada por huella criptográfica.
Equipo: los fichajes de cada empleado con la hora del servidor, encadenados por huella para que no se puedan alterar (una corrección no borra el original, se guarda aparte con su autor y su motivo); ausencias y vacaciones; contratos y jornada prevista; nóminas y documentos que publica la empresa, con su acuse de recibo; fecha de nacimiento si el empleado la indica; y su forma de acceder (contraseña, enlace por correo, llave de acceso o PIN de quiosco).
Contratación: de quien se presenta a una oferta, lo que escribe en el formulario (nombre, correo, teléfono, su mensaje y las respuestas a las preguntas de la oferta) y los archivos que adjunte, como el currículo; el texto exacto del aviso de privacidad que aceptó y cuándo; y, de la empresa, las fases por las que pasa la candidatura, las notas internas y las entrevistas. De quien solo visita una oferta contamos las visitas con un código que cambia cada día, sin guardar su dirección IP ni su navegador. La empresa que publica la oferta es la responsable de estos datos y Brymio su encargado. Brymio no entrega los currículos a ningún proveedor para que los lea o los interprete y no descarta ninguna candidatura de forma automática: las decisiones las toma siempre una persona.
Comercio: lo que traemos de tu propia tienda Shopify o WooCommerce —productos, stock, pedidos y clientes, incluidos el nombre, el correo, el teléfono y las direcciones de quien te compra— más las credenciales de conexión de la tienda, que guardamos cifradas.
Proyectos: páginas, bases de datos y tareas, comentarios, menciones, historial de versiones, etiquetas y archivos adjuntos. Las notas seguras se cifran en tu navegador antes de salir de él: nosotros solo guardamos el texto cifrado y no podemos leerlo.
Salud de tienda: las URL que pides auditar, el resultado de cada análisis y las capturas de pantalla de esas páginas.
Buscador: las búsquedas que tus compradores escriben en tu tienda, cuántos resultados devolvió cada una y en qué producto hicieron clic. No guardamos su dirección IP ni su navegador: para poder distinguir una visita de otra sin identificar a nadie, esos datos solo se usan como ingredientes de un código con clave que cambia cada día, así que el de ayer no se puede enlazar con el de hoy. Del catálogo guardamos una copia para poder buscar en ella.
Uso: páginas vistas, funciones utilizadas y errores, para saber qué se usa y qué falla.
Pago: plan de la organización, estado de la suscripción e identificadores de Stripe. Los datos de la tarjeta los trata Stripe directamente y nunca llegan a nuestros servidores.
Dispositivo y seguridad: dirección IP, navegador, registros de acceso y de acciones administrativas, e intentos fallidos de inicio de sesión, que usamos para frenar ataques de fuerza bruta.
Ayuda: lo que escribes al asistente de la burbuja de ayuda y, si usas el formulario de contacto, tu nombre, tu correo, tu empresa si la indicas, tu mensaje y la conversación con el asistente si decides adjuntarla. Si prefieres que tu consulta no pase por un modelo de inteligencia artificial, usa directamente el formulario de contacto o escríbenos a info@krokanti.com: lo lee una persona.
Novedades y ofertas: si te suscribes desde la web pública, tu correo, el idioma, cuándo diste el consentimiento, qué versión del texto aceptaste y cuándo lo confirmaste.

Geolocalización, biometría y otros datos delicados

El módulo Equipo toca datos laborales, así que conviene ser explícitos:

Geolocalización: solo se guarda en el instante de un fichaje, y solo si la empresa la tiene activada (viene activada y se puede apagar en los ajustes de Equipo) y además el empleado ha dado su consentimiento. No hay seguimiento continuo ni rastro entre fichajes. El empleado puede retirar el consentimiento cuando quiera desde sus ajustes y, a partir de ahí, sus fichajes se guardan sin coordenadas.
Biometría: Brymio no trata datos biométricos. No hay huella dactilar ni reconocimiento facial en ninguna parte del producto. Las llaves de acceso (passkeys) usan el sensor de tu propio dispositivo: la biometría no sale de él y nosotros solo recibimos una firma criptográfica.
Foto de quiosco: el modo quiosco puede guardar una foto en el momento del fichaje. Viene desactivado por defecto, lo activa la empresa si quiere y las fotos se borran automáticamente a los 90 días.
Pulso de ánimo: las respuestas son anónimas y solo se muestran agregadas. Si en el periodo hay menos de tres respuestas, no se enseña ningún dato, para que nadie sea identificable por descarte.

Para qué los tratamos

Tratamos los datos anteriores para lo siguiente, y para nada más:

Prestarte el servicio: emitir facturas, registrar la jornada, publicar ofertas y gestionar candidaturas, sincronizar tu tienda, gestionar proyectos y auditar webs.
Identificarte y proteger la cuenta: inicio de sesión, doble factor, gestión de sesiones y revocación inmediata del acceso.
Cumplir obligaciones legales, tuyas y nuestras: conservar el registro de jornada y la documentación fiscal con los requisitos que exige la normativa española.
Cobrar la suscripción y llevar la facturación de la propia plataforma, a través de Stripe.
Enviarte correos de servicio: verificación de la cuenta, enlaces de acceso, avisos de ausencias, recordatorios de fichaje, informes mensuales y avisos importantes del servicio.
Ejecutar las funciones de inteligencia artificial: leer un ticket o una factura para rellenar un gasto, responder preguntas sobre tus cifras y dudas fiscales, proponer fichas de producto, resumir o reescribir una página, sacar tareas de un texto, sugerir sinónimos para el buscador o explicar una auditoría. Casi todas se ejecutan solo cuando las lanzas tú. Algunas corren solas: en los planes que incluyen IA, el análisis de cada auditoría de Salud de tienda, el informe mensual de Facturación y el resumen mensual de jornada de cada empleado (el modelo recibe fechas y horas, nunca su nombre); y en cualquier plan, el párrafo del correo mensual de Facturación (el modelo solo recibe los totales del mes). En todos los casos se envía solo lo necesario para esa tarea.
Medir el uso y el rendimiento del sitio para mejorarlo. Google Analytics solo se carga si aceptas las cookies analíticas.
Atenderte cuando nos escribes por el formulario de contacto o por correo, contestarte desde el asistente de la burbuja de ayuda y resolver incidencias.
Enviarte novedades y ofertas comerciales de Brymio, y el código de bienvenida, solo si te suscribes y confirmas tu correo con el enlace que te mandamos.

Con qué base legal

Conforme al Reglamento General de Protección de Datos, tratamos tus datos sobre estas bases:

Ejecución del contrato: todo lo necesario para darte el servicio que has contratado y para cobrarlo.
Consentimiento: cookies analíticas, geolocalización del fichaje, notificaciones push, vinculación con Telegram y la suscripción a novedades y ofertas. Puedes retirarlo cuando quieras, sin que eso afecte a lo tratado antes.
Interés legítimo: seguridad de la plataforma, prevención del abuso y mejora del producto.
Obligación legal: conservación del registro de jornada (art. 34.9 del Estatuto de los Trabajadores) y de la documentación fiscal y contable.

Con quién compartimos datos

Para funcionar nos apoyamos en estos proveedores, que tratan datos por cuenta nuestra bajo contrato. No vendemos datos a nadie, no los cedemos con fines publicitarios y no los usamos para entrenar modelos de inteligencia artificial.

Vercel — alojamiento y ejecución de la aplicación. Las funciones que tratan tus datos se ejecutan en su región de Fráncfort (Alemania). Empresa estadounidense.
Neon — base de datos PostgreSQL donde vive todo lo que guarda la plataforma, alojada en Fráncfort (Alemania). Empresa estadounidense.
Cloudflare R2 — almacenamiento de archivos: nóminas y documentos del equipo, currículos y adjuntos de las candidaturas (estos, en un almacén situado en la Unión Europea), justificantes de gastos, adjuntos de proyectos, capturas de las auditorías, logotipos, fotos de perfil y las copias de seguridad de la base de datos.
Brevo — envío del correo transaccional (verificación, enlaces de acceso, avisos y recordatorios), de los mensajes del formulario de contacto, que nos llegan por correo, y de las novedades a quien se suscribe. Empresa francesa, tratamiento en la Unión Europea.
Cloudflare Turnstile — comprobación anti-robots en los formularios públicos de alta, de candidatura, de contacto y de suscripción a novedades. Analiza señales técnicas del navegador para distinguir a una persona de un programa automático y no se usa para publicidad ni analítica.
Stripe — cobro y gestión de la suscripción. Trata directamente los datos de la tarjeta, que nosotros no vemos ni guardamos.
Google PageSpeed Insights y Thum.io — Salud de tienda les pasa la dirección pública de la web que auditas para medir su rendimiento y hacer la captura de pantalla, y Google nos da además su icono. No reciben datos tuyos ni de tus clientes.
OpenRouter — pasarela por la que pasan todas las funciones de inteligencia artificial de Brymio, también el asistente de la burbuja de ayuda. Encamina cada petición a un modelo de un proveedor como Google, OpenAI o Alibaba (Qwen) y solo recibe el contenido de esa petición. Brymio no usa ese contenido para entrenar modelos; lo que OpenRouter y el proveedor del modelo hacen con lo que reciben se rige por sus propias condiciones.
Inngest — coordina los trabajos en segundo plano: las importaciones y la sincronización de tiendas en Comercio y las auditorías de Salud de tienda (las programadas y los reintentos). Los avisos que le mandamos llevan identificadores, nunca credenciales.
GitHub — ejecuta cada noche la copia de seguridad de la base de datos y la deja en Cloudflare R2. La copia pasa por sus servidores mientras dura el proceso y no se guarda allí.
Telegram — solo si un empleado o un miembro vincula su cuenta con el bot, para fichar o para recibir avisos. En ese caso Telegram trata sus mensajes con el bot y su identificador de usuario. Si nadie lo vincula, no interviene.
Servicios de notificaciones del navegador (Google, Mozilla, Apple o Microsoft, según el navegador) — solo si activas las notificaciones push. Llevan el aviso hasta tu dispositivo; el contenido viaja cifrado y ellos no pueden leerlo.
Tu tienda Shopify o WooCommerce — no es un proveedor nuestro sino tuyo, pero los datos van y vienen de ella: leemos y escribimos con las credenciales que nos das y solo para lo que pidas.
Google Analytics 4 — analítica de la web pública, únicamente si aceptas las cookies analíticas.

La base de datos y la aplicación están en la Unión Europea, pero varios de estos proveedores son estadounidenses y algunos, como OpenRouter y los proveedores de los modelos de inteligencia artificial, pueden tratar los datos fuera de ella, así que hay transferencias internacionales de datos. Se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando procede, en el Marco de Privacidad de Datos UE-EE. UU.

Seguridad

Los datos viajan siempre cifrados por TLS y se guardan cifrados en disco. Las contraseñas nunca se almacenan en claro: se guardan con funciones diseñadas para eso (bcrypt para los miembros, scrypt para los empleados). Los tokens de API se guardan como hash SHA-256 y las credenciales de tu tienda, cifradas. Un cambio de contraseña, un «cerrar sesión en todos los dispositivos» o la baja de una cuenta invalidan al instante todas las sesiones abiertas. Los intentos de acceso están limitados y la cuenta se bloquea temporalmente tras varios fallos seguidos. Y una precisión honesta: no tenemos certificación ISO 27001 ni SOC 2, y no vamos a decir lo contrario.

Cuánto tiempo los conservamos

Cada dato vive lo que tiene que vivir:

Cuenta y organización: mientras la cuenta esté activa. Si eliminas una organización, deja de ser accesible de inmediato y podemos restaurarla durante 30 días. Pasado ese plazo la dejamos desactivada y la eliminamos definitivamente cuando nos lo pidas, salvo lo que la ley nos obliga a conservar (facturas y registro de jornada).
Facturación: las facturas emitidas y, si usas Veri*factu, sus registros encadenados no se borran a petición, porque la normativa fiscal y mercantil española obliga a conservarlos. Se guardan durante los plazos legales de conservación —cuatro años a efectos tributarios y seis años los libros y la documentación contable— y después se eliminan.
Registro de jornada: la ley obliga a conservar los fichajes durante cuatro años (art. 34.9 del Estatuto de los Trabajadores). No se pueden borrar antes, ni siquiera cuando el empleado deja la empresa, ni se pueden modificar: las correcciones se guardan aparte y dejan rastro. Las fotos de quiosco, en cambio, se borran a los 90 días.
Contratación: cada candidatura se conserva doce meses desde que se recibe —la empresa puede cambiar el plazo en sus ajustes—, o hasta que se cierra la oferta si entonces sigue abierta, y al vencer se anonimiza sola: desaparecen lo escrito, los archivos, las notas y las entrevistas. Si la persona aceptó aparte entrar en la bolsa de talento para futuras ofertas, se conserva otro plazo igual, y puede retirar ese consentimiento cuando quiera. Se exceptúan las candidaturas de quien acaba contratado, que pasan a formar parte de su relación laboral. Las visitas contadas en cada oferta se borran a los 90 días.
Comercio: los productos, pedidos y clientes importados se conservan mientras exista el proyecto y se eliminan al borrarlo. Desconectar la tienda deja de traer datos nuevos, pero no borra lo que ya se importó. Atendemos también las peticiones de borrado que Shopify nos envía en nombre de un comprador.
Proyectos: tareas y notas viven mientras la organización las mantenga. La papelera se puede vaciar en cualquier momento.
Salud de tienda: los informes se conservan hasta que los borras; los que quedan a medias o fallan se eliminan solos a los 30 días.
Buscador: la copia del catálogo y el registro de búsquedas viven mientras la tienda tenga el buscador activo. Al borrar el proyecto o la organización desaparecen con ellos.
Novedades y ofertas: mientras sigas suscrito. Si no confirmas la suscripción, borramos tu correo a los 30 días; si te das de baja, lo borramos 30 días después.
Ayuda: Brymio no guarda las conversaciones con el asistente. Tu navegador conserva la conversación mientras la pestaña está abierta, y de cada pregunta solo apuntamos su coste, sin el texto. Para frenar abusos contamos las preguntas que llegan desde cada dirección IP, guardada solo como huella, y ese recuento se borra al día siguiente. Lo que mandas por el formulario de contacto nos llega como correo a info@krokanti.com y se queda en ese buzón, no en la base de datos; si quieres que lo borremos, pídenoslo.
Copias de seguridad: cada noche hacemos una copia de la base de datos y la guardamos 35 días. Un dato eliminado desaparece de la aplicación al momento, pero puede seguir en una copia hasta que esa copia se borra.

Cuando eliminas tu cuenta, tu usuario queda marcado como eliminado, se cierran todas tus sesiones y se borran los datos de Comercio de las organizaciones que solo eran tuyas. Lo que la ley obliga a conservar —las facturas emitidas y el registro de jornada— sobrevive a esa eliminación durante el plazo legal y no se usa para nada más. Descarga antes tu copia en JSON desde los ajustes.

Cuando se borra una organización entera, o cuando un empleado ejerce su derecho de supresión, las fichas de las personas no se conservan con nombre: pasan a un seudónimo derivado de su propio identificador. Los fichajes siguen ahí porque la ley los exige durante cuatro años y un fichaje que no dice de quién es no es un registro, pero ya no van unidos a un nombre, un correo, una fecha de nacimiento, una ubicación ni una foto.

El portal de facturas de un cliente se abre con un enlace, y ese enlace caduca a los 180 días. Al caducar se invalida también en nuestra base de datos, así que un correo antiguo reenviado no vuelve a abrir nada; quien lo emitió puede generar otro cuando haga falta.

Tus derechos

Sobre tus datos personales puedes ejercer estos derechos:

Acceso: saber qué datos tenemos sobre ti y pedir una copia. En los ajustes tienes una descarga inmediata en JSON, sin esperar a nadie.
Rectificación: corregir lo que esté mal o incompleto.
Supresión: pedir que borremos tus datos, salvo los que la ley nos obliga a conservar.
Portabilidad: llevarte tus datos en un formato estructurado y legible por máquina.
Limitación: pedir que dejemos de tratar ciertos datos mientras se resuelve una discrepancia.
Oposición: oponerte a los tratamientos que hacemos por interés legítimo.
Retirada del consentimiento: desactivar las cookies analíticas, la geolocalización del fichaje, las notificaciones push o la vinculación con Telegram, y darte de baja de las novedades con el enlace de cada correo, cuando quieras.

Para ejercerlos escríbenos a info@krokanti.com desde la dirección de tu cuenta. Respondemos en el plazo de un mes. Si no te convence nuestra respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Si eres empleado y usas Brymio porque tu empresa lo ha contratado, ejerce tus derechos ante tu empresa: es ella quien decide qué se trata y para qué. Nosotros la ayudaremos a atenderte, y si no obtienes respuesta puedes escribirnos y te encaminamos.

Si te has presentado a una oferta publicada con Brymio, la responsable de tus datos es la empresa que la publicó, y su aviso de privacidad está junto al formulario. Con el enlace que recibes al presentarte y un código que te mandamos al correo puedes consultar tu candidatura, corregir lo que escribiste, descargar tus datos, salir de la bolsa de talento o borrarla, sin esperar a nadie; para lo demás, dirígete a la empresa, y si no obtienes respuesta escríbenos y te encaminamos.

Si fichas con Brymio, no hace falta que esperes: en Ajustes tienes «Tus datos», con la descarga de todo lo que guardamos sobre ti y la solicitud de borrado de lo que no estamos obligados a conservar.

Menores

Brymio es una herramienta de trabajo y no está dirigida a menores de 16 años; no abrimos cuentas a menores. Si una empresa da de alta como empleado a una persona menor de edad legalmente contratada, es esa empresa quien responde de la licitud del tratamiento.

Cambios en esta política

Podemos actualizar esta política si cambian nuestras prácticas, los proveedores o la normativa. Si el cambio es relevante te avisaremos por correo o dentro de la aplicación. La fecha de la parte superior indica la última revisión.

Contacto

Para cualquier duda sobre esta política o sobre tus datos, escríbenos a info@krokanti.com o a Krokanti Games SL, España.