Política de privacidad

Resumen. Ahora Energio SLU («Energio») es la responsable de tus datos (apartado 1). Los tratamos para analizar tus facturas, compararlas con las ofertas de las comercializadoras con las que trabajamos y gestionar el cambio que elijas, casi siempre con tu consentimiento (apartado 3). Solo usamos cookies analíticas o de marketing si las aceptas. Conservamos los datos durante los plazos del apartado 6. Puedes acceder a tus datos, corregirlos, suprimirlos, oponerte a su tratamiento o retirar tu consentimiento escribiendo a dpd@energio.es (apartado 7).

Esta Política de privacidad explica cómo Ahora Energio SLU («Energio») recoge, trata y protege los datos personales de quienes visitan el sitio web, nos piden una comparación (leads), son clientes, colaboran con nosotros, usan nuestras aplicaciones o figuran en el BORME como administradores o socios de sociedades de nueva constitución. Energio es la responsable del tratamiento de esos datos conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos (RGPD), y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Cuando Energio trata datos por cuenta de una empresa cliente, como encargada del tratamiento, esa relación se rige por el acuerdo marco firmado con ella y no por esta Política de privacidad.

1. Responsable del tratamiento

Razón social: Ahora Energio SLU
NIF: B88686951
Domicilio social: Ronda del General Mitre, 126, 6.ª planta, 08021 Barcelona, España
Correo electrónico: hola@energio.es
Teléfono: +34 613 191 089
Sitio web: energio.es
Contacto de protección de datos: dpd@energio.es

2. Datos personales que trata Energio

2.1. Visitantes del sitio web

Datos técnicos: dirección IP, tipo de navegador y de dispositivo, páginas visitadas (la dirección completa, con su cadena de consulta, que puede incluir identificadores de clic publicitario), página de procedencia y fecha y hora de cada visita.
Cookies y tecnologías similares: según las categorías de la Política de cookies: las necesarias y, solo si las aceptas, las analíticas y las de marketing.
Tu decisión sobre las cookies: la opción que eliges en el aviso de cookies, su fecha, la página en la que la eliges, sin sus parámetros ni la parte que sigue a «#», y el agente de usuario de tu navegador (apartado 3.4).

2.2. Leads (solicitudes de comparación)

Identificación y contacto: nombre, teléfono y correo electrónico.
Documentos: facturas de energía (PDF o imágenes).
Descripción del negocio: si eres una empresa, información sobre tu actividad.
Respuestas del cuestionario para empresas: código postal, número de suministros eléctricos del negocio, tipo de negocio (y su descripción libre si eliges «Otro»), gasto mensual aproximado en electricidad, objetivos que buscas para el negocio y canal de contacto elegido (WhatsApp o llamada).
Respuestas del cuestionario de ahorro (hogares y pequeños negocios): tipo de vivienda o de negocio, si conoces tu consumo anual y, en su caso, el consumo que indicas, la superficie aproximada de la vivienda o la factura mensual aproximada del negocio, el ahorro anual estimado, en euros, que se te mostró, y el canal de contacto elegido (WhatsApp o llamada).
Atribución: cómo llegaste a Energio. Si has aceptado las cookies analíticas: de cada formulario que envías, la página, la de procedencia, los parámetros de campaña (utm_*) y los identificadores de Google Analytics (_ga, _ga_HMRZNPDWRP y FPLC) y de PostHog. Si has aceptado las cookies de marketing, también los identificadores publicitarios, como los de clic en un anuncio; sin esa aceptación, se eliminan y las direcciones de página registradas los muestran enmascarados.
Consentimiento: el estado de tu consentimiento en el momento del envío.
Formularios de anuncios de Meta: si nos dejas tus datos en el formulario de un anuncio de Meta, recibimos tu nombre, tus apellidos y tu teléfono.

2.3. Clientes

Identificación: nombre completo y NIF/NIE, o NIF de la persona jurídica.
Contacto: correo electrónico, teléfono y dirección postal.
Datos para la contratación: nacionalidad y cuenta bancaria (IBAN).
Datos del suministro: CUPS (código universal del punto de suministro), dirección del punto de suministro, datos de consumo e información de la tarifa actual.
Facturación: facturas de energía e información extraída de ellas (precios, consumos y periodos).
Datos de consumo de Datadis: historial de consumo que obtenemos con tu autorización (apartado 4.4).

2.4. Colaboradores (partners)

Identificación: nombre, NIF/NIE y dirección.
Contacto: correo electrónico y teléfono.
Datos financieros: cuenta bancaria para el pago de comisiones.
Actividad: leads aportados, ofertas confirmadas y comisiones.

2.5. Administradores y socios de sociedades de nueva constitución

Para la prospección comercial entre empresas (B2B), recogemos del Boletín Oficial del Registro Mercantil (BORME), una fuente pública, el nombre y el cargo de los administradores únicos o solidarios y de los socios únicos de las sociedades de nueva constitución, con los datos registrales y de la sociedad publicados: denominación, domicilio, actividad, capital social y fecha y referencia de la publicación. Los tratamos por nuestro interés legítimo en esa prospección (apartado 3.5) y los conservamos 12 meses desde su importación, salvo que la persona se convierta en lead. Puedes oponerte en cualquier momento escribiendo a dpd@energio.es.

2.6. Usuarios de las aplicaciones

Acceso y uso: credenciales de acceso y registros de uso de las aplicaciones de Energio. Los registros de uso son los registros de seguridad del apartado 6.
Informes de seguridad del navegador: cuando una página de nuestras aplicaciones carga o ejecuta algo que su política de seguridad de contenido no permite, tu navegador envía un informe a PostHog. PostHog guarda cuatro direcciones —la de la página, la del recurso bloqueado, la de la página de procedencia y la del archivo de origen—, todas sin su cadena de consulta y con enmascarados los segmentos que parecen identificadores; además, la directiva infringida y la efectiva, la política de la página y su modo de aplicación, el tipo de informe, la línea y la columna, el código de estado, el agente de usuario de tu navegador, la hora de recepción y un identificador aleatorio de cada informe. El informe no usa cookies ni almacenamiento local ni lleva ningún identificador asignado a ti, y no conservamos tu dirección IP ni la ubicación que se deriva de ella. Tu navegador lo envía sea cual sea tu decisión sobre las cookies.

2.7. Procedencia de los datos y datos obligatorios

Obtenemos los datos directamente de ti y también de los colaboradores que te ponen en contacto con Energio, de Datadis (con tu autorización), de los formularios de anuncios de Meta que rellenas, del BORME y de Apollo, que nos indica qué empresas visitan el sitio web.

Los campos marcados como obligatorios son necesarios para atender tu solicitud; si no los facilitas, no podremos preparar tu oferta.

3. Finalidades del tratamiento y base jurídica

3.1. Consentimiento (art. 6.1.a RGPD)

Tu consentimiento es libre, específico, informado e inequívoco. Puedes retirarlo en cualquier momento (apartado 8.2) sin que ello afecte a la licitud del tratamiento anterior a la retirada. Con tu consentimiento:

Analizamos tus facturas y tu consumo.
Obtenemos tus datos de consumo de Datadis.
Te recomendamos tarifas de energía y preparamos tus ofertas.
Gestionamos el cambio de comercializadora (apartado 4.1).
Te enviamos comunicaciones operativas sobre el servicio antes de la contratación; después, sobre la base del apartado 3.2.
Cualificamos y segmentamos tu solicitud con las respuestas de los cuestionarios. El canal de contacto que eliges en cada cuestionario se registra con la solicitud y se muestra al equipo comercial para que lo respete.
Te enviamos comunicaciones comerciales por teléfono, SMS, WhatsApp y correo electrónico, si marcas la casilla correspondiente, que es opcional (art. 21 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, LSSI, y, para las llamadas, art. 66.1.b de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones).
Si aceptas la categoría «Analítica» del aviso de cookies: analítica web y de producto con PostHog y Google Analytics, incluida, cuando está activa, la grabación de sesiones con los campos enmascarados, y el análisis del recorrido de las solicitudes. Este análisis registra qué pantallas de los formularios y cuestionarios recorres, si los envías o los abandonas, la creación de tu solicitud y la subida de facturas, sin el valor de tus respuestas: del cuestionario para empresas solo registramos el número de suministros (agrupado: 1, 2, 3, o 4 o más), el tipo de negocio y cuántos objetivos marcaste, y en el cuestionario de ahorro el nombre de la pantalla refleja si eliges vivienda o negocio y si conoces tu consumo.
Si aceptas la categoría «Marketing»: medición de conversiones publicitarias, creación de audiencias y publicidad personalizada en Meta y LinkedIn, e identificación con Apollo de las empresas que visitan el sitio web (apartado 4.3).

Mientras no decidas, o si rechazas las categorías «Analítica» y «Marketing», no enviamos a PostHog, Google Analytics, Meta, LinkedIn ni Apollo ningún dato sobre tu navegación, ni desde tu navegador ni desde nuestros servidores, salvo el evento sin identificadores sobre tu decisión (apartado 3.4), en el sitio web la descarga del contenedor de Google Tag Manager, que no activa ninguna etiqueta hasta que aceptas su categoría (apartado 4.2), y, en las aplicaciones, la descarga de la herramienta de PostHog (apartado 4.2) y los informes de seguridad del navegador (apartado 2.6). Si retiras tu aceptación de «Marketing», la etiqueta de LinkedIn puede seguir enviando datos hasta que la página se vuelva a cargar (apartado 4.3). Si envías tu solicitud sin haber aceptado «Analítica» —también cuando nos escribes por el chatbot—, no registramos ningún evento de analítica ligado a ella.

3.2. Ejecución de un contrato (art. 6.1.b RGPD)

Comunicaciones operativas sobre el servicio, una vez contratado.
Gestión de tu cuenta en la aplicación de cliente: tus credenciales de acceso, para que consultes y aceptes tus ofertas, a tu petición antes de contratar (medidas precontractuales) y en ejecución del contrato después.
Gestión de tu cuenta en la aplicación de colaboradores: tus credenciales de acceso, para que gestiones la colaboración con Energio.
Gestión de la relación con los colaboradores.
Pago de comisiones a los colaboradores.

3.3. Obligación legal (art. 6.1.c RGPD)

Cumplimiento de obligaciones fiscales, contables y legales.

3.4. Demostrar el consentimiento

Base jurídica: cumplimiento de la obligación de demostrar el consentimiento (art. 6.1.c RGPD, en relación con los arts. 5.2, 7.1 y 24 RGPD).

Registramos cada decisión de consentimiento —concesión, denegación o retirada— y conservamos el registro durante los plazos del apartado 6. De las decisiones del aviso de cookies guardamos la opción elegida, su fecha, la página sin sus parámetros ni la parte que sigue a «#» y el agente de usuario de tu navegador. En las aplicaciones, la página guardada puede incluir el identificador de un elemento concreto, como una oferta, por lo que ese registro puede relacionarse contigo.
A partir de cada decisión del aviso de cookies, también de un rechazo, enviamos a PostHog un evento sin ningún identificador asignado a ti, para saber cuántas personas aceptan o rechazan cada categoría: tu decisión y el estado de cada categoría, el idioma, la versión y la variante del aviso, la página (solo en el sitio web) y, si la dirección los lleva, los parámetros de campaña utm_source, utm_medium y utm_campaign. No incluye tu dirección IP ni tu agente de usuario, aunque podría llegar a relacionarse contigo a partir de la fecha y la página, o de un parámetro de campaña personalizado para ti. Es un tratamiento ulterior compatible con la finalidad del registro (art. 6.4 RGPD). Si aceptas «Analítica», tu decisión se registra además en PostHog como un evento de analítica más, asociado a tu identificador de PostHog.

3.5. Interés legítimo (art. 6.1.f RGPD)

Tras una ponderación documentada, tratamos datos por nuestro interés legítimo en:

la seguridad y el diagnóstico técnico del sitio web y de las aplicaciones, con datos personales o seudonimizados. Incluye los datos técnicos de cada visita al sitio web (apartado 2.1), que Framer trata por nuestra cuenta al alojar el sitio (apartado 4.2); los de las peticiones que tu navegador envía a nuestros servidores, y los informes de seguridad del navegador (apartado 2.6);
la conservación de las pruebas necesarias para formular, ejercer o defender reclamaciones (art. 17.3.e RGPD), con acceso restringido y bloqueo cuando proceda;
la prospección comercial entre empresas con los datos del BORME (apartado 2.5);
la carga en el sitio web de nuestro gestor de etiquetas, Google Tag Manager: tu navegador descarga su contenedor de Google antes de que decidas sobre las cookies, por lo que Google recibe tu dirección IP y los datos de tu navegador, pero el contenedor no activa ninguna etiqueta hasta que aceptas la categoría correspondiente (apartado 4.2).

Puedes oponerte a estos tratamientos conforme al art. 21 RGPD (apartado 7).

3.6. Datos anonimizados

Las métricas agregadas y los datos anonimizados de forma irreversible no son datos personales, por lo que no se les aplica el RGPD.

4. Destinatarios de los datos

Comunicamos datos personales a los siguientes destinatarios. Además, los comunicamos a las administraciones públicas, juzgados y tribunales cuando una ley nos obliga.

4.1. Comercializadoras de energía

Cuando aceptas una oferta, comunicamos a la comercializadora elegida los datos necesarios para gestionar el cambio de contrato: tus datos de identificación y de contacto, tu nacionalidad, tu cuenta bancaria y los datos del punto de suministro. Solo lo hacemos con tu consentimiento expreso, en el momento de aceptar la oferta.

4.2. Proveedores de servicios (encargados del tratamiento)

Estos proveedores tratan datos por cuenta de Energio, siguiendo nuestras instrucciones y conforme a un contrato de encargo del tratamiento (art. 28 RGPD):

Amazon Web Services (AWS): infraestructura en la nube y almacenamiento. Ubicación: UE (España e Irlanda).
Google Cloud: extracción de datos de facturas y nuestro servidor de etiquetado (eh.energio.es), que, entre otras cosas, envía a la API de Conversiones de Meta los eventos que tu navegador le remite directamente (apartado 4.3). Ubicación: UE para la extracción de facturas; UE / global para el gestor de etiquetas. Garantía: apartado 5.
Google Workspace: correo electrónico, comunicaciones y gestión interna. Ubicación: UE.
Google Analytics y Google Tag Manager: analítica web, solo si aceptas la categoría «Analítica»: datos de navegación, incluida la dirección completa de la página con su cadena de consulta, y los identificadores _ga, _ga_HMRZNPDWRP y, a través de nuestro servidor de etiquetado, FPID y FPLC. Google Tag Manager carga en tu navegador las etiquetas de analítica y de marketing de las categorías que aceptas. Su contenedor se descarga antes de que decidas: en esa descarga Google recibe los datos técnicos de la conexión (tu dirección IP y tu navegador), pero no se activa ninguna etiqueta de analítica ni de marketing. Ubicación: UE / EE. UU. Garantía: apartado 5.
PostHog: analítica de producto y marketing, solo si aceptas «Analítica»; los eventos sin identificador de las decisiones sobre cookies (apartado 3.4); los informes de seguridad del navegador (apartado 2.6), y los registros técnicos y de errores de nuestros sistemas, sin tus datos de contacto ni de identificación. En el sitio web, tu navegador no descarga la herramienta de PostHog hasta que aceptas «Analítica». En las aplicaciones, la herramienta y su configuración se descargan de PostHog al abrirlas, antes de que decidas, pero no registran ningún evento hasta que aceptas. Ubicación: UE (Fráncfort, Alemania).
Framer (Framer B.V., Países Bajos): alojamiento y publicación del sitio web; recibe los datos técnicos de cada visita (apartado 2.1). Ubicación: sus servicios se alojan en AWS en EE. UU., con infraestructura adicional en Europa y Asia-Pacífico. Garantía: apartado 5.
Attio (Attio Ltd, Reino Unido): gestión de la relación comercial (CRM) con leads, clientes y los contactos obtenidos del BORME. Ubicación: UE; Attio Ltd está establecida en el Reino Unido, que cuenta con decisión de adecuación (apartado 5).
Manychat (Manychat, Inc., EE. UU.): gestionamos con Manychat las conversaciones por WhatsApp: el chatbot y la recepción de solicitudes, incluidos el nombre, los apellidos y el teléfono de los formularios de anuncios de Meta, y, cuando la persona a la que enviamos un enlace que ha caducado lo pide, el envío por WhatsApp de un enlace nuevo a su oferta o a la aplicación de cliente, para lo que Manychat recibe el teléfono y el enlace nuevo. Manychat guarda las conversaciones en servidores de AWS en Fráncfort (UE); Manychat, Inc. y sus subencargados, que prestan servicios de alojamiento, mensajería, soporte y registro de errores, están en EE. UU. (lista de subencargados). Garantía: apartado 5.
Holded: facturación y contabilidad. Ubicación: UE (España).
Slack: comunicación interna y avisos operativos del equipo, con identificadores internos y enlaces, sin tus datos de contacto. Ubicación: EE. UU. Garantía: apartado 5.
Linear: gestión de proyectos. Ubicación: UE.

4.3. Plataformas publicitarias y de prospección comercial

Estas plataformas solo reciben datos si has aceptado la categoría «Marketing» del aviso de cookies en el momento de cada envío. Las vías que pasan por PostHog requieren además que hayas aceptado la categoría «Analítica». Si retiras tu aceptación de «Marketing», la página se vuelve a cargar para detener la etiqueta de LinkedIn. Hasta esa recarga, que normalmente tarda menos de un segundo, la etiqueta puede seguir enviando datos; si tu navegador no puede guardar tu decisión, la página no se recarga y puede seguir enviándolos hasta que salgas del sitio web, recargues la página o cierres la pestaña.

Meta (Meta Platforms Ireland Limited, Irlanda). Si aceptas «Marketing», enviamos a Meta información sobre tu visita por tres vías:

Píxel de Meta, en tu navegador: los identificadores de las cookies _fbp y _fbc, el identificador de clic fbclid, tu dirección IP, el agente de usuario de tu navegador, la dirección completa de la página —con su cadena de consulta, que puede incluir identificadores de clic publicitario—, la de procedencia y los eventos de conversión. El píxel guarda además en tu navegador el último sitio externo desde el que llegaste y la hora de esa visita.
API de Conversiones de Meta, desde tu navegador a través de nuestro servidor de etiquetado (eh.energio.es), sin instalar cookies: solo los eventos de visita e interacción PageView (ver una página), ViewContent (ver un producto o servicio), AddToCart (añadir al carrito), InitiateCheckout (iniciar el pago), Search (buscar), AddPaymentInfo (añadir datos de pago) y AddToWishlist (guardar en favoritos), con el identificador y la hora de cada evento, _fbp y _fbc si existen, la dirección de la página y la de procedencia sin su cadena de consulta ni la parte que sigue a «#», tu dirección IP, el agente de usuario de tu navegador y, en su caso, datos comerciales (moneda, importe, identificador de la transacción y, de cada artículo, su identificador, cantidad y precio). Esta vía nunca envía los eventos Lead, Purchase ni CompleteRegistration, ni tu correo electrónico, nombre, apellidos o teléfono.
API de Conversiones de Meta, a través de PostHog, cuando envías una solicitud: el evento de conversión, _fbp, _fbc, fbclid, el agente de usuario de tu navegador y la dirección de la página con los identificadores de clic publicitario enmascarados. La configuración prevé además tu correo electrónico, tu nombre, tus apellidos y tu teléfono convertidos en un código hash (SHA-256), pero no se envían, porque PostHog no los asocia a tu navegador.

Lo hacemos para medir el resultado de nuestras campañas, crear audiencias y mostrarte anuncios personalizados en Facebook e Instagram.

Quién responde de qué con Meta. Energio y Meta somos corresponsables del tratamiento (art. 26 RGPD) de la recogida de estos datos y de su transmisión a Meta. Una vez que Meta los recibe, los trata como responsable independiente para sus propios fines (por ejemplo, combinarlos con otros datos, mostrar anuncios o mejorar sus productos), según su Política de privacidad. Hemos aceptado con Meta el Apéndice para responsables del tratamiento de los datos. Lo esencial de ese acuerdo es que Energio te informa de este tratamiento conjunto, como hace este apartado; que Meta atiende tus derechos de acceso, rectificación, supresión, limitación y portabilidad sobre los datos que conserva tras la transmisión, y que cada uno responde de su propia base jurídica, de tu derecho de oposición respecto a su propio tratamiento y de la seguridad de su parte: Meta, de sus herramientas, y Energio, de su instalación y configuración. Puedes ejercer tus derechos ante cualquiera de los dos; si tu solicitud afecta a datos que conserva Meta, se la trasladaremos en un plazo máximo de siete días naturales.

LinkedIn (LinkedIn Ireland Unlimited Company, Irlanda). Si aceptas «Marketing», enviamos a LinkedIn información sobre tu visita por dos vías:

Etiqueta Insight de LinkedIn, que se carga en tu navegador a través de Google Tag Manager: la dirección de la página —con su cadena de consulta, que puede incluir identificadores de clic publicitario— y la de procedencia, tu dirección IP (que LinkedIn trunca o convierte en un código hash), el agente de usuario de tu navegador, la hora de la visita, identificadores aleatorios de la carga de la página y las cookies de LinkedIn, como li_fat_id (véase la Política de cookies). Con la función Website Actions, la etiqueta envía además lo que haces en la página: las páginas que visitas, con su título, el tiempo que pasas en cada una y tus clics, con el texto, el tipo (botón, enlace, imagen…) y el enlace del elemento pulsado, la dirección y el texto alternativo de la imagen que contenga y la posición del elemento en la estructura de la página (los elementos que lo contienen, con sus identificadores, clases y atributos). Según la documentación de LinkedIn, también transmite cuándo envías un formulario y un código hash de usuario propio de la sesión.
API de Conversiones de LinkedIn, a través de PostHog, cuando envías una solicitud: el identificador de la cookie li_fat_id y el evento de conversión. La configuración prevé además tu correo electrónico convertido en un código hash (SHA-256), tu cargo y el código de país, pero no se envían, porque PostHog no los asocia a tu navegador.

Lo hacemos para medir las conversiones de nuestras campañas en LinkedIn, crear audiencias y mostrarte anuncios personalizados.

Quién responde de qué con LinkedIn. Energio y LinkedIn somos corresponsables del tratamiento (art. 26 RGPD) solo de la recogida de estos datos y de su transmisión a LinkedIn. Lo esencial de nuestra relación es que Energio decide usar estas herramientas, te informa y te pide el consentimiento antes de activarlas, y que LinkedIn diseña las herramientas y decide qué datos recogen. Desde la transmisión, LinkedIn es el único responsable de lo que hace con los datos (asociarlos a tu perfil, crear audiencias, mostrar anuncios, elaborar informes y mejorar sus servicios), según su Política de privacidad; Energio solo recibe de LinkedIn informes agregados que no te identifican. Según LinkedIn, elimina los identificadores directos en 7 días y los datos seudonimizados en 180 días. Puedes ejercer tus derechos ante Energio o ante LinkedIn; las solicitudes sobre el tratamiento posterior a la transmisión las atiende LinkedIn, y si nos las diriges, se las trasladaremos. Si tienes cuenta en LinkedIn, también puedes limitar este uso en tu configuración de anuncios de LinkedIn.

Apollo (ZenLeads Inc., EE. UU.). Si aceptas «Marketing», Apollo recibe, a través de su píxel, tu dirección IP, el agente de usuario de tu navegador, las páginas que visitas y un identificador seudónimo de visitante (apolloAnonId), para identificar qué empresas visitan el sitio web con fines de prospección comercial entre empresas. Apollo actúa como encargado del tratamiento respecto a los eventos de visita que recibe y como responsable independiente cuando los coteja con su propia base de datos.

4.4. Datadis

Si nos das tu autorización, accedemos a tus datos de consumo a través de Datadis, la plataforma oficial de los distribuidores eléctricos españoles, con tu NIF/NIE o el NIF de la persona jurídica y el CUPS. La autorización es válida durante 24 meses. Puedes revocarla en cualquier momento escribiendo a datadis@energio.es, y Energio lo comunicará a Datadis en un plazo de tres días. Datadis trata tus datos identificativos para facilitarnos tus datos de consumo; puedes ejercer tus derechos sobre ese tratamiento ante Datadis en dpo@datadis.es.

4.5. Plataformas de mensajería

WhatsApp (Meta Platforms Ireland Limited) transmite los mensajes que intercambias con nuestro chatbot, según sus propias condiciones.

5. Transferencias internacionales

Algunos proveedores tratan datos fuera del Espacio Económico Europeo (EEE). Estas transferencias se amparan en las siguientes garantías:

Attio: según la confirmación escrita de Attio, su infraestructura principal y los datos de sus clientes se alojan y tratan en la UE, aunque Attio no se compromete con una región concreta. Attio Ltd está establecida en el Reino Unido, cuya adecuación reconocen las Decisiones de Ejecución (UE) 2021/1772 y 2025/2574. Según su Política de privacidad, cuando intervienen proveedores o sistemas situados fuera del Reino Unido o del EEE, Attio aplica, según proceda, una decisión de adecuación, cláusulas contractuales tipo, el acuerdo internacional de transferencia de datos del Reino Unido (UK IDTA) o su adenda (UK Addendum).
Google Analytics y Google Tag Manager: conforme a las Condiciones de Tratamiento de Datos de Google Ads, Google transfiere los datos a EE. UU. al amparo del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), en el que Google LLC está certificada, y de las cláusulas contractuales tipo cuando ese marco no se aplica (información de Google sobre transferencias).
Google Cloud: si trata datos fuera del EEE, su adenda de tratamiento de datos aplica la solución alternativa de transferencia que Google haya adoptado o, en su defecto, cláusulas contractuales tipo.
Manychat: aunque Manychat guarda las conversaciones en la UE, Manychat, Inc. y sus subencargados pueden acceder a ellas desde EE. UU. La transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU., en el que Manychat, Inc. declara estar certificada, y, si no se aplica, en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), según su acuerdo de tratamiento de datos.
Framer: Framer B.V. está establecida en la UE, pero sus servicios se alojan en EE. UU. Framer ampara las transferencias a sus subencargados en el Marco de Privacidad de Datos UE-EE. UU., cuando están certificados, o, en su defecto, en cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914).
Apollo: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo, según su acuerdo de tratamiento de datos.
Slack: cláusulas contractuales tipo de la Comisión Europea.
Meta y LinkedIn: para el tratamiento que hacen como responsables independientes, pueden transferir los datos a Meta Platforms, Inc. y a LinkedIn Corporation, en EE. UU., al amparo del Marco de Privacidad de Datos UE-EE. UU. o de cláusulas contractuales tipo, según sus políticas de privacidad.

Puedes pedirnos una copia de estas garantías escribiendo a dpd@energio.es.

6. Plazos de conservación

Leads no convertidos: 1 año desde el registro.
Datos de clientes (identificación, contacto, facturas y consumo): 2 años desde la última interacción.
Ofertas aceptadas y datos de contratación: 6 años desde la aceptación de la oferta (obligaciones fiscales y legales).
Datos de colaboradores (identificación, contacto y cuenta bancaria): durante la relación y 6 años después.
Facturas y comisiones de colaboradores: 6 años desde su emisión (art. 30 del Código de Comercio).
Cuentas de las aplicaciones: tus credenciales de acceso, mientras tu cuenta esté activa; si pides suprimirla, las eliminamos en un plazo de 30 días.
Registros de seguridad: 1 año. Incluyen el registro de auditoría de las acciones relevantes para la seguridad en las aplicaciones, con tu dirección IP y el agente de usuario de tu navegador, y los registros de seguridad de nuestra base de datos.
Datos del BORME: 12 meses desde su importación, salvo que la persona se convierta en lead. Si te opones, eliminamos tus datos y conservamos solo los imprescindibles para no volver a contactarte.
Historial de atribución y respuestas de los cuestionarios: el mismo plazo que la solicitud a la que pertenecen; se eliminan con ella. La copia enviada a PostHog sigue el plazo de la analítica de producto.
Conversaciones con el chatbot (Manychat): el mismo plazo que la solicitud o los datos de cliente a los que corresponden; si no llegas a enviar una solicitud, 1 año desde tu último mensaje. Al terminar el plazo, eliminamos el contacto y sus conversaciones de Manychat. Las copias que guarda WhatsApp siguen sus propias condiciones (apartado 4.5).
Analítica de producto (PostHog): hasta 2 años en PostHog y hasta 4 años más en nuestro archivo interno de exportación de analítica; al terminar ese plazo, eliminamos también del archivo las versiones anteriores de esos datos. Siguen este plazo los informes de seguridad del navegador (apartado 2.6) y los eventos de las decisiones sobre cookies (apartado 3.4).
Google Analytics: eventos, 2 meses; datos de usuario, 14 meses, plazo que se reinicia con cada actividad nueva. Estos ajustes no afectan a los informes agregados.
Registros técnicos y de errores de nuestros sistemas: 30 días en nuestra infraestructura y 14 días en el servicio de registros de PostHog. Los errores que se registran en PostHog como incidencias siguen el plazo de la analítica de producto.
Datos técnicos de las visitas y de las peticiones que tu navegador envía a nuestros servidores (apartado 2.1): 30 días en los registros de esos servidores. Los que recibe Framer al alojar el sitio web siguen el punto siguiente.
Datos técnicos que recibe Framer al alojar el sitio web: Framer los trata por cuenta de Energio como máximo mientras dure nuestro contrato, y los suprime cuando se lo pedimos, salvo que la ley le obligue a conservarlos.
Cookies y almacenamiento local: el plazo que indica la Política de cookies, o hasta que las borres o retires tu consentimiento. Las que el sitio web no puede borrar (FPID y las cookies de LinkedIn en su propio dominio) se conservan hasta que caducan o las borras tú.
Registros de decisiones de consentimiento: una concesión, mientras dure el tratamiento que ampara y 6 años después; una denegación o una retirada, 6 años desde la decisión. Una decisión del aviso de cookies que mantiene aceptada alguna categoría sujeta a consentimiento («Preferencias», «Analítica» o «Marketing») se conserva como una concesión.
Autorización de Datadis: es válida 24 meses (apartado 4.4); su registro se conserva como los registros de decisiones de consentimiento.
Datos que Meta y LinkedIn tratan como responsables independientes: según sus propias políticas de privacidad (apartado 4.3).

Al terminar estos plazos, eliminamos los datos de forma segura o los anonimizamos con fines estadísticos, salvo que debamos bloquearlos por una obligación legal o una reclamación en curso. Las copias de seguridad de nuestra base de datos se sustituyen en un plazo de 30 días.

7. Tus derechos

Tienes los siguientes derechos sobre tus datos personales:

Acceso: saber si tratamos tus datos y obtener una copia.
Rectificación: corregir los datos inexactos o completar los incompletos.
Supresión: pedir que eliminemos tus datos («derecho al olvido»).
Limitación: pedir que restrinjamos el tratamiento en determinadas circunstancias.
Portabilidad: recibir tus datos en un formato estructurado, de uso común y de lectura mecánica.
Oposición: oponerte al tratamiento basado en nuestro interés legítimo y, en cualquier caso, al envío de comunicaciones comerciales.
Retirada del consentimiento: retirar tu consentimiento en cualquier momento.
No ser objeto de decisiones automatizadas: no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (art. 22 RGPD).

Energio no toma decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar. Aun así, puedes pedir que una persona revise cualquier comparación o recomendación automatizada.

7.1. Cómo ejercer tus derechos

Envíanos tu solicitud a:

Correo electrónico: dpd@energio.es
Correo postal: Ronda del General Mitre, 126, 6.ª planta, 08021 Barcelona, España

Indica en ella:

tu nombre y apellidos;
el derecho que quieres ejercer;
una dirección en la que responderte.

Solo te pediremos una copia de tu documento de identidad cuando sea necesaria para verificar tu identidad.

Te responderemos en el plazo de un mes desde que recibamos tu solicitud. En casos complejos podemos prorrogarlo dos meses más; si es así, te avisaremos dentro del primer mes (art. 12.3 RGPD).

7.2. Reclamación ante la AEPD

Si consideras que no hemos atendido debidamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

Web: www.aepd.es
Contacto y dirección actualizados: www.aepd.es/la-agencia/donde-encontrarnos
Sede electrónica: sedeagpd.gob.es

8. Consentimiento

8.1. Cómo recoge Energio tu consentimiento

Formularios web: antes de enviar tu solicitud, una casilla para confirmar que has leído esta Política de privacidad y una casilla separada para cada consentimiento: el de preparar tus ofertas y, si subes facturas, el de tratarlas, necesarios para atender tu solicitud, y el de recibir comunicaciones comerciales, que es opcional.
Aviso de cookies: consentimiento por categorías: «Necesarias» (siempre activas), «Preferencias», «Analítica» y «Marketing». Más información en la Política de cookies.
WhatsApp: mensaje de consentimiento, con opciones para aceptarlo o rechazarlo, antes de recoger tus datos.

8.2. Cómo puedes retirar tu consentimiento

Cookies: desde «Configuración de cookies» en el sitio web y en las aplicaciones.
Tratamiento de datos y comunicaciones comerciales: escribiendo a dpd@energio.es.
Autorización de Datadis: escribiendo a datadis@energio.es (apartado 4.4).

La retirada del consentimiento no afecta a la licitud del tratamiento realizado antes de ella.

9. Menores

Los servicios de Energio se dirigen a personas mayores de edad o menores emancipados (Términos de uso). No recogemos deliberadamente datos personales de otros menores; si detectamos que lo hemos hecho, los eliminamos sin dilación, salvo que la ley nos obligue a conservarlos.

10. Medidas de seguridad

Energio aplica medidas técnicas y organizativas adecuadas para proteger los datos personales.

10.1. Medidas técnicas

Cifrado de los datos en reposo y en tránsito (TLS/HTTPS).
Controles de acceso basados en roles.
Registro de auditoría de accesos y operaciones.
Almacenamiento seguro de documentos, como las facturas.
Copias de seguridad cifradas.
Monitorización continua de la seguridad.

10.2. Medidas organizativas

Principio de mínimo privilegio en el acceso a los datos.
Formación del personal en protección de datos.
Políticas de seguridad de la información.
Procedimientos de respuesta ante incidentes de seguridad.

11. Modificaciones

Podemos modificar esta Política de privacidad. Si el cambio es sustancial, te lo comunicaremos por correo electrónico o con un aviso en el sitio web.

Si un cambio afecta a un tratamiento basado en tu consentimiento, te pediremos un nuevo consentimiento cuando el RGPD lo exija. Los cambios en los tratamientos que no se basan en el consentimiento se aplican desde su publicación o comunicación, siempre que cuenten con una base jurídica válida.