Política de privacidad

1. Responsable y contacto

El responsable del tratamiento es Manuel Jesús Ramos Jiménez, persona física que utiliza la marca Disskero. Disskero no es una sociedad ni una persona jurídica independiente. No existe un servicio de registro para clientes externos.

Contacto para privacidad, consultas y ejercicio de derechos: audio@disskero.com.

• Identificación completa del titular · Aviso legal

2. Tratamientos actuales

• Conectar y mantener la cuenta profesional propia mediante Instagram Login oficial; comprobar identidad, permisos y vigencia y renovar el token cuando proceda.
• Consultar publicaciones propias y conservar configuraciones independientes de campañas: nombre, palabras clave, mensajes, botones, condiciones y enlaces originales.
• Recibir, validar y registrar comentarios, mensajes y pulsaciones de botones oficiales, asociándolos al medio, participante y campaña que puedan acreditarse. El sistema ofrece respuestas públicas, respuestas privadas, mensajes con botones, consulta oficial de seguimiento y entrega de recursos, cuyo funcionamiento ha sido comprobado en pruebas reales controladas.
• Proteger el panel, prevenir duplicados y reingestas tras una supresión, tramitar derechos y diagnosticar errores con datos mínimos. Las campañas y los envíos están sujetos a controles independientes de activación y autorización.
• Consultar CONTACTOS dentro del panel privado, con referencias de actividad auténtica y filtros por campaña. Una persona sin nombre conocido se muestra con una etiqueta neutra, no con un nombre inventado.

3. Datos y procedencia

Los datos de Instagram proceden de las APIs y webhooks oficiales de Meta, de la autorización del titular y de las interacciones realizadas en Instagram. El administrador introduce las configuraciones de campaña.

• Cuenta profesional propia del titular: identificadores oficiales, nombre de usuario, nombre mostrado, tipo de cuenta profesional, URL del avatar cuando esté disponible y permisos concedidos. No son fotografías ni datos de perfil obtenidos de los participantes para CONTACTOS.
• Credenciales de conexión: token OAuth cifrado, fechas de emisión y caducidad y estado de verificación. AutoChat no pide ni almacena la contraseña de Instagram.
• Comentarios admitidos: identificador del comentario, identificador del medio, texto, identificador del autor cuando Meta lo proporciona, fecha y referencias técnicas para validación, deduplicación y asociación con campañas.
• Configuraciones e historial de campañas; estados y errores técnicos sanitizados de OAuth, mantenimiento y suscripción.
• Acceso administrativo y alojamiento: el proveedor puede tratar datos técnicos de conexión y seguridad, como IP, fecha y agente de usuario, conforme a su servicio.
• Interacciones de automatización: identificadores oficiales y seudónimos de relación entre comentario y mensajería, fechas, tipo de evento, pulsaciones y referencias opacas de botones, campaña acreditada, identificadores y estado de aceptación de mensajes por Meta, resultado de seguimiento cuando se consulte y primer clic único atribuible por participante y campaña en un enlace final. Se conservan referencias operativas y estadísticas, no un archivo del texto de las conversaciones privadas.
• Nombre de usuario del participante, de forma opcional cuando se habilite su conservación: último valor válido de from.username que Meta facilite en un comentario auténtico y verificado, fecha de observación y procedencia. Se utilizaría para reconocer al contacto en el panel privado y relacionar sus interacciones con campañas. No se consultan perfiles ni se recuperan masivamente nombres históricos; no se añaden nombres y apellidos, correos, teléfonos ni fotografías de participantes a CONTACTOS.

El receptor no guarda el payload completo del webhook, cabeceras de autorización ni secretos en sus registros de aplicación. Los identificadores seudonimizados o hashes no se consideran necesariamente anónimos. Debe evitarse incluir datos sensibles o de terceros innecesarios en comentarios o configuraciones.

La identidad del contacto se vincula mediante identificadores estables y asociaciones acreditadas, nunca por coincidencia del nombre visible. El nombre puede faltar o cambiar; solo se actualizaría ante una observación oficial nueva y más reciente, sin conservar una lista de nombres anteriores. Una etiqueta neutra representa al contacto sin nombre. La captura de nombres de participantes no está publicada ni habilitada en la fecha de esta política.

4. Automatizaciones, mensajes y clics

El motor de automatizaciones está implantado y operativo en producción. Las respuestas, mensajes, botones, comprobación de seguimiento y entrega dependen de las campañas que el titular habilite y de los permisos y ventanas de Meta. Disponer de estas funciones no implica que todas las campañas estén activas ni que cualquier comentario origine un envío. La captura opcional del nombre en CONTACTOS es un tratamiento distinto que todavía no está habilitado.

El tratamiento de cada campaña debe limitarse a la interacción o recurso solicitado. Se conservan referencias mínimas para gestionar el flujo y sus estadísticas. Un mensaje aceptado por Meta no acredita entrega, recepción o lectura en el dispositivo. Un clic atribuible no acredita una descarga, compra ni que la apertura sea humana.

No se usa el texto de los DMs para crear un archivo de conversaciones. Los enlaces de medición son opacos y no utilizan cookies propias; se excluyen las previsualizaciones identificables. Un enlace reenviado o un escáner no identificado puede atribuir una apertura al destinatario inicial. Registrar un contacto no autoriza mensajes masivos ni publicidad adicional.

5. Base jurídica

La gestión limitada de interacciones expresamente solicitadas, la revisión de su ejecución y la seguridad se basan en el interés legítimo del responsable (artículo 6.1.f del RGPD), evaluado atendiendo a finalidad, necesidad, expectativas, minimización y posibilidad de oposición. No se solicitan categorías especiales de datos ni se realiza una evaluación comercial de personas o decisiones con efectos jurídicos o de importancia similar.

Para la identificación auxiliar en CONTACTOS, el interés concreto es reconocer de forma comprensible las interacciones solicitadas y reducir confusiones al revisarlas o atender derechos. Se prevé conservar solo el último nombre recibido por el canal oficial, con acceso exclusivo del titular y caducidad breve, sin consultas de perfiles ni usos publicitarios nuevos. Se ha ponderado esta finalidad frente a las alternativas y los riesgos de vinculación y desactualización; no se deduce su licitud del mero carácter público del nombre.

Atender derechos y obligaciones de protección de datos se basa en el artículo 6.1.c. No se presume una relación contractual por comentar o seguir la cuenta. Un comentario público tampoco autoriza campañas de publicidad o usos posteriores ajenos a lo solicitado.

Puedes oponerte a los tratamientos basados en interés legítimo escribiendo a audio@disskero.com. El tratamiento afectado cesará salvo que se acrediten motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o sea necesario para formular, ejercer o defender reclamaciones. Cualquier comunicación comercial adicional exigirá su propia habilitación conforme a la normativa aplicable; la mera disponibilidad técnica de Meta no la proporciona.

Comentar un Reel, seguir la cuenta o pulsar un botón no implica aceptar esta política ni prestar consentimiento para finalidades distintas. El interés legítimo no exige por sí mismo un consentimiento individual, pero no sustituye las obligaciones de información. Antes de habilitar la conservación opcional del nombre debe facilitarse la información aplicable a las personas afectadas mediante un mecanismo adecuado al contexto. Publicar esta política no acredita por sí solo que esa obligación esté cumplida.

6. Proveedores, destinatarios y transferencias

Meta opera Instagram bajo sus propias condiciones y política de privacidad; AutoChat accede únicamente mediante sus APIs oficiales. Cloudflare presta alojamiento, ejecución, D1, colas y control de acceso; para los datos tratados por cuenta del titular se contempla su acuerdo de encargado de tratamiento.

No se garantiza residencia exclusiva en la UE. El DPA de Cloudflare prevé el Marco de Privacidad de Datos y cláusulas contractuales tipo, según proceda. La información y garantías aplicables pueden solicitarse al responsable.

El acceso ordinario al panel queda restringido al titular. No se venden datos ni se conectan cuentas de clientes. Podrán comunicarse datos por obligación legal. Los proveedores pueden tratar sus propios datos de servicio y seguridad conforme a sus respectivas políticas.

• Política de privacidad de Instagram
• Acuerdo de tratamiento de Cloudflare

7. Conservación

El criterio es conservar solo lo necesario para la interacción, seguridad y atención de derechos. El código dispone de depuración programada y una operación administrativa: minimiza texto de comentarios e identificadores directos a partir de 30 días, retira recibos técnicos a partir de 30 días, registros de recepción a partir de 90 días y métricas individuales a partir de 366 días, con las excepciones de registros en curso o referencias aún necesarias previstas para cada caso. Son umbrales operativos, no plazos impuestos por ley ni un borrado instantáneo de todas las tablas o copias.

CONTACTOS muestra personas con actividad auténtica registrada durante los últimos 30 días. Esa ventana es un filtro visual, no una orden de borrado. Las referencias derivadas de actividad se depuran a partir de 90 días, sin ampliar por ello los plazos de los registros originales, las métricas o las marcas de deduplicación.

Para el tratamiento opcional de nombres previsto, el nombre, su versión de búsqueda, la fecha de observación y la procedencia quedarán limitados a 30 días desde la última observación oficial nueva. Una retransmisión técnica o una actividad posterior sin nombre no renovará ese plazo. El tratamiento requerirá excluir el nombre caducado de las lecturas y búsquedas y retirarlo físicamente en el siguiente ciclo diario de mantenimiento de CONTACTOS que se complete correctamente; no se promete borrado físico en el instante exacto de caducidad. Estos controles deben estar operativos antes de habilitar la recogida, que continúa sin publicarse. Las copias conservan sus ventanas de recuperación.

Las claves seudónimas mínimas de relación con una campaña y de correspondencia entre ámbitos de identidad se conservan mientras sean necesarias para evitar otra primera respuesta o atender derechos, sin conservar por ello indefinidamente el nombre. Las marcas existentes de supresión completa permanecen restringidas para impedir reingestas; se revisan al dejar de existir su finalidad o cerrar la cuenta. No contienen el texto del comentario y no se consideran anónimas. Una supresión completa y una oposición limitada al nombre tienen alcances diferentes.

Las campañas y su historial se conservan para su gestión y recuperación; el borrado lógico no equivale a borrado físico. Cualquier dato de terceros introducido excepcionalmente en una configuración exige revisión y supresión selectiva, sin destruir campañas ajenas. El token se mantiene cifrado mientras exista la conexión; desconectar no elimina todos los históricos.

Las solicitudes de derechos se documentan con lo mínimo necesario para atenderlas y acreditar su gestión o una obligación concreta. Las copias de recuperación y los registros del proveedor siguen sus ventanas reales; no se promete su desaparición inmediata. Antes de reactivar el sistema tras una restauración deben reaplicarse las supresiones. Puedes solicitar revisión o supresión sin esperar a los criterios anteriores.

8. Seguridad

El panel utiliza Cloudflare Access y comprobaciones del servidor; los tokens se mantienen cifrados y fuera del JavaScript del navegador. Los eventos POST requieren firma HMAC-SHA256 válida, límites de tamaño y validación de cuenta; la persistencia previene duplicados.

Estas medidas reducen riesgos, pero no garantizan seguridad absoluta. No se solicitan contraseñas ni tokens para tramitar derechos.

9. Derechos y reclamaciones

Según las condiciones legales, puedes solicitar acceso, rectificación, supresión, limitación, oposición y, cuando corresponda, portabilidad. Si un tratamiento se basara en consentimiento, podrás retirarlo sin afectar a su licitud anterior. También puedes pedir información sobre las garantías de transferencias aplicables.

La solicitud debe dirigirse al contacto de privacidad aprobado e incluir solo la información necesaria para localizar los datos y verificar razonablemente al solicitante. Las instrucciones de eliminación detallan el procedimiento manual.

Puedes pedir la rectificación o retirada de un nombre inexacto o desactualizado, así como la supresión u oposición que proceda, escribiendo a audio@disskero.com. Se verifica la identidad por medios proporcionados y referencias fiables, nunca solo por el nombre visible, y se delimita el alcance sin extender una petición limitada al nombre a todo el tratamiento. La captura opcional no se habilitará sin una garantía que permita respetar esas solicitudes y evitar la reincorporación indebida del nombre. La tramitación es manual; no se presenta como una exclusión parcial automatizada ya disponible.

El plazo legal ordinario de respuesta es de un mes desde la recepción; podrá ampliarse otros dos meses por complejidad o número de solicitudes, informando dentro del primer mes y explicando los motivos. Puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

• Instrucciones de eliminación
• Agencia Española de Protección de Datos

10. Este sitio y cambios de política

Este sitio legal contiene únicamente contenido estático: no incorpora formularios, scripts de seguimiento, analítica ni cookies de seguimiento propias. El alojamiento puede procesar datos técnicos necesarios para servir y proteger las páginas.

Información actualizada el 11 de noviembre de 2026. Los cambios sustanciales de finalidad o tratamiento requerirán revisar esta información antes de aplicarse. La identificación completa del titular se encuentra en el aviso legal.