POLÍTICA DE PRIVACIDAD

Fecha de entrada en vigor: 1 de abril de 2026 | Versión 1.0

DATOS DEL RESPONSABLE DEL TRATAMIENTO

1. Introducción y ámbito de aplicación

ExactFlow p.s.a. («ExactFlow», «nosotros», «nos» o «nuestro/a») se compromete a proteger la privacidad y los datos personales de todas las personas que interactúan con nuestra plataforma, sitio web y servicios. La presente Política de privacidad explica cómo recopilamos, utilizamos, almacenamos, compartimos y protegemos los datos personales de conformidad con:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Reglamento General de Protección de Datos – GDPR)

• Ley de 10 de mayo de 2018 sobre la Protección de Datos Personales (Dz.U. 2018 poz. 1000, as amended)

• Ley de 18 de julio de 2002 sobre la Prestación de Servicios por Medios Electrónicos (Dz.U. 2002 Nr 144, poz. 1204, as amended)

• Ley de 16 de julio de 2004 – Ley de Telecomunicaciones (Dz.U. 2004 Nr 171, poz. 1800, as amended)

• Cualquier otra legislación nacional o de la UE aplicable en materia de protección de datos

La presente Política de privacidad se aplica a todos los usuarios de la plataforma ExactFlow, incluidos los clientes empresariales registrados, sus usuarios autorizados, los visitantes de nuestro sitio web, los clientes potenciales y los terceros cuyos datos podemos tratar en el curso de la prestación de nuestros servicios. Al acceder a nuestros servicios o utilizarlos, usted reconoce haber leído y comprendido la presente Política de privacidad.

2. Categorías de datos personales que recopilamos

2.1 Datos que usted nos facilita directamente

Cuando usted se registra, se suscribe o interactúa con ExactFlow, recopilamos:

• Datos de identidad: nombre completo, cargo profesional, función dentro de su organización

• Datos de contacto: dirección de correo electrónico empresarial, número de teléfono, dirección postal

• Credenciales de cuenta: nombre de usuario, contraseña cifrada (hash), tokens de autenticación

• Datos de facturación y pago: razón social, número de identificación fiscal (NIP), dirección de facturación, detalles del método de pago (procesados a través de procesadores de pago certificados)

• Datos de comunicación: mensajes, tickets de soporte, comentarios y correspondencia con nuestro equipo

2.2 Datos recopilados automáticamente

Cuando usted accede a nuestra plataforma o sitio web, podemos recopilar automáticamente:

• Datos técnicos: dirección IP, tipo y versión del navegador, sistema operativo, identificadores de dispositivo

• Datos de uso: páginas visitadas, funcionalidades utilizadas, duración de la sesión, datos de flujo de clics, registros de errores

• Datos de cookies y seguimiento: según se describe en nuestra Política de cookies independiente

• Datos de registro: registros del servidor, registros de acceso e información de diagnóstico

2.3 Datos procedentes de integraciones con terceros

Cuando usted conecta ExactFlow a plataformas de venta de terceros, sistemas ERP, proveedores logísticos u otras plataformas, podemos recibir los datos necesarios para realizar la integración, incluidos datos de pedidos, listados de productos, cifras de inventario, datos de clientes de sus cuentas en plataformas de venta e información de envío. Usted es responsable de asegurarse de que dispone de la autorización adecuada y de una base jurídica legítima para compartir dichos datos con nosotros.

3. Finalidades y bases jurídicas del tratamiento

4. Inteligencia artificial y tratamiento automatizado

La plataforma de ExactFlow incorpora agentes de IA (Axel, Zane, Tesa, Raya, Nia y Kai) que realizan un tratamiento automatizado de datos para prestar las funcionalidades esenciales del servicio. Le informamos de lo siguiente:

4.1 Naturaleza del tratamiento automatizado

Nuestros agentes de IA tratan datos operativos empresariales, incluidos historiales de pedidos, registros de inventario, datos financieros, patrones de ventas y registros relacionados con recursos humanos, con el fin de generar análisis, recomendaciones y acciones automatizadas en su nombre. Este tratamiento se lleva a cabo siguiendo sus instrucciones y bajo su dirección como responsable del tratamiento de los datos de sus clientes.

4.2 Ausencia de decisiones individuales basadas exclusivamente en el tratamiento automatizado con efectos jurídicos

ExactFlow no somete a las personas físicas a decisiones basadas exclusivamente en el tratamiento automatizado que produzcan efectos jurídicos o efectos significativos similares en el sentido del artículo 22 del GDPR, sin revisión humana. Todas las recomendaciones sustanciales generadas por la IA requieren confirmación humana antes de su ejecución, salvo que el Administrador de la cuenta lo haya configurado expresamente de otra manera con las salvaguardas adecuadas.

4.3 Entrenamiento de la IA

No utilizamos sus datos comerciales específicos ni los datos personales de sus clientes para entrenar nuestros modelos de IA generales sin su consentimiento escrito expreso. Las estadísticas de rendimiento agregadas y anonimizadas pueden utilizarse para mejorar el rendimiento del sistema de conformidad con nuestros intereses legítimos.

5. Comunicación de datos y destinatarios

Compartimos datos personales únicamente cuando es necesario y con las salvaguardas adecuadas:

5.1 Proveedores de servicios (encargados del tratamiento)

Contratamos subencargados del tratamiento cuidadosamente evaluados para apoyar nuestras operaciones, incluidos proveedores de infraestructura en la nube (establecidos en la UE o con mecanismos de transferencia adecuados), procesadores de pago certificados según las normas PCI-DSS, servicios de entrega de correo electrónico, plataformas de atención al cliente y proveedores de análisis. Todos los subencargados están sujetos a Acuerdos de Tratamiento de Datos (ATD) que cumplen con el artículo 28 del GDPR.

5.2 Integraciones con terceros

Cuando usted activa integraciones con plataformas de venta o plataformas digitales (p. ej., Amazon, eBay, Shopify, Allegro), los datos se intercambian con dichas plataformas conforme a sus instrucciones. ExactFlow actúa como su encargado del tratamiento en relación con dichos intercambios.

5.3 Divulgación legal y regulatoria

Podemos divulgar datos personales cuando así lo exija la ley, una resolución judicial o a solicitud de las autoridades reguladoras polacas o de la UE, incluido el Urząd Ochrony Danych Osobowych (UODO). Le informaremos de cualquier solicitud de este tipo, salvo que estemos legalmente impedidos para hacerlo.

5.4 Operaciones corporativas

En caso de fusión, adquisición o venta de la totalidad o parte del negocio de ExactFlow, los datos personales podrán transferirse a la entidad sucesora, con el mismo nivel de protección que el previsto en la presente Política y en la legislación aplicable.

6. Transferencias internacionales de datos

ExactFlow está establecida en Polonia y trata los datos principalmente dentro del Espacio Económico Europeo (EEE). Cuando los datos se transfieren fuera del EEE, garantizamos una protección adecuada mediante uno o varios de los siguientes mecanismos:

• Decisiones de adecuación de la Comisión Europea

• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Commission Implementing Decision (EU) 2021/914)

• Normas corporativas vinculantes, cuando resulte aplicable

• Derogaciones específicas al amparo del artículo 49 del GDPR, cuando esté permitido

Puede solicitar una copia del mecanismo de transferencia aplicable poniéndose en contacto con nosotros en privacy@exactflow.com.

7. Seguridad de los datos

ExactFlow implementa medidas técnicas y organizativas de nivel empresarial para proteger los datos personales contra el acceso no autorizado, la divulgación, la alteración o la destrucción, incluyendo:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256)

• Control de acceso basado en roles y principios de mínimo privilegio

• Autenticación multifactor para el acceso a la plataforma

• Pruebas de penetración regulares y evaluaciones de vulnerabilidades

• Prácticas de gestión de la seguridad de la información alineadas con ISO 27001

• Formación integral de los empleados en materia de protección de datos

• Planificación de la continuidad del negocio y recuperación ante desastres

En caso de violación de datos personales que suponga un riesgo para sus derechos y libertades, le notificaremos sin dilación indebida y, cuando sea requerido, notificaremos a la UODO en un plazo de 72 horas desde que tengamos conocimiento de la violación, de conformidad con el artículo 33 del GDPR.

8. Sus derechos como interesado

En virtud del GDPR y de la legislación polaca aplicable, usted tiene los siguientes derechos en relación con sus datos personales:

Para ejercer cualquiera de sus derechos, contáctenos en privacy@exactflow.com. Responderemos en el plazo de un mes natural desde la recepción de su solicitud. En casos complejos, podemos ampliar este plazo en dos meses adicionales, informándole de ello. Podemos verificar su identidad antes de tramitar su solicitud.

9. Cookies y tecnologías de seguimiento

Utilizamos cookies y tecnologías de seguimiento similares en nuestro sitio web y plataforma. La información detallada sobre las cookies que utilizamos, sus finalidades y cómo gestionar sus preferencias se recoge en nuestra Política de cookies independiente, disponible en www.exactflow.com/en/cookie. En resumen:

• Las cookies estrictamente necesarias se utilizan para habilitar las funcionalidades esenciales y no pueden desactivarse.

• Las cookies analíticas/de rendimiento nos ayudan a comprender cómo los visitantes utilizan nuestra plataforma (requiere consentimiento).

• Las cookies de marketing/segmentación pueden utilizarse para mostrar publicidad relevante (requiere consentimiento).

Puede gestionar sus preferencias de cookies en cualquier momento a través de nuestro Gestor de consentimiento de cookies o de la configuración de su navegador.

10. Datos de menores

Los servicios de ExactFlow están dirigidos exclusivamente a clientes empresariales (B2B) y no están destinados ni dirigidos a personas menores de 18 años. No recopilamos a sabiendas datos personales de menores. Si usted considera que hemos recopilado inadvertidamente dichos datos, póngase en contacto con privacy@exactflow.com y los eliminaremos de inmediato.

11. Conservación de datos

Conservamos los datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recopilados, incluidos los requisitos legales, contables o de información. Los períodos de conservación específicos aplicables a cada categoría de tratamiento se recogen en la Sección 3. Una vez transcurrido el período de conservación aplicable, los datos personales se eliminan de forma segura o se anonimizan de conformidad con nuestra Política de conservación de datos.

12. Modificaciones de la presente Política de privacidad

Podemos actualizar la presente Política de privacidad periódicamente para reflejar cambios en nuestras actividades de tratamiento, la legislación aplicable o las mejores prácticas. Notificaremos a los titulares de cuentas registradas cualquier cambio sustancial por correo electrónico con al menos 30 días de antelación a su entrada en vigor. La Política actualizada también se publicará en nuestro sitio web con la fecha de entrada en vigor revisada. El uso continuado de nuestros servicios tras la fecha de entrada en vigor de los cambios constituye la aceptación de la Política actualizada.

13. Contacto y reclamaciones

Para cualquier pregunta, inquietud o solicitud relacionada con la presente Política de privacidad o nuestras actividades de tratamiento de datos, contáctenos en:

— FIN DE LA POLÍTICA DE PRIVACIDAD —