1. Qué recopilamos
Datos de cuenta: nombre, correo electrónico, datos de la organización. Datos de facturación: método de pago (gestionado por Stripe; no vemos los números de tarjeta). Datos del programa de afiliados: nombres, correos electrónicos e historial de pagos de los afiliados. Datos de seguimiento: clics, conversiones, direcciones IP (con hash para la detección de fraude). Datos importados: cuando una Marca migra desde otra plataforma de afiliados, los registros históricos de afiliados, conversiones, comisiones y atribución de clientes que sube (que pueden incluir correos electrónicos de clientes e identificadores de cliente/suscripción de Stripe). Datos de uso: qué funciones usa, informes de errores. Señales de fraude: en los clics de seguimiento y en los formularios de registro, de leads y de propuestas recopilamos una dirección IP con hash, el agente de usuario y la huella del dispositivo, y obtenemos puntuaciones de riesgo automatizadas (como indicadores de proxy, VPN, centro de datos y bot) de nuestro proveedor de detección de fraude; estas señales se usan únicamente para detectar fraude y tráfico inválido, nunca para publicidad. En las cuentas de afiliado también mantenemos una puntuación de riesgo por persona, calculada a partir de hechos de identidad (si su cuenta de pago y, cuando decidió hacerla, su verificación de identidad están verificadas), el estado de su cuenta de pago, la calidad del tráfico que envía, los reembolsos y contracargos de sus comisiones y los vínculos entre su cuenta y otras cuentas (un dispositivo, una dirección o un destino de pago compartidos, guardados como recuentos); como parte de ello obtenemos de nuestro proveedor de detección de fraude una puntuación de reputación de su buzón de inicio de sesión, y registramos la dirección IP de su solicitud de registro y, cuando nuestra etiqueta de prevención de fraude está presente, un identificador de dispositivo opaco de ese proveedor; ambos se conservan mientras se conserven los registros de la cuenta relacionada conforme a la Sección 6. Decisiones automatizadas: una puntuación de riesgo alta puede enviar la solicitud de un afiliado a revisión manual por parte de la Marca, o marcar un lead como inválido a la espera de revisión. La puntuación de riesgo del afiliado puede retener un pago para que Rekomi lo revise antes de enviarlo, aplicar un breve periodo de espera a un primer pago y, únicamente en la franja de riesgo más alta, rechazar un nuevo método de pago hasta que un revisor lo haya examinado, dejar una solicitud en manos de la Marca en lugar de aprobarla automáticamente, dejar una página de creador fuera del directorio y pausar la participación en una campaña hasta que un revisor la haya examinado. Nunca cierra una cuenta ni anula por sí sola una comisión ganada; esas son decisiones que toma un revisor identificado de Rekomi, y ese revisor puede cambiar cualquier resultado que produzca la puntuación. Si cree que una puntuación se ha equivocado, use el botón Pedir a Rekomi que lo revise en su configuración de pagos, pregunte a la Marca o escriba a support@rekomi.com y una persona lo comprobará.
Datos de verificación: cuando una marca solicita ser verificada para pagos instantáneos, confirmamos el control de su sitio web (un registro DNS o nuestro snippet de seguimiento), confirmamos una dirección de correo electrónico profesional mediante un enlace que enviamos y tomamos una de tres pruebas: la fecha de conexión y el volumen de una plataforma de ventas que la marca haya conectado, el nombre del titular de una cuenta bancaria que la marca vincule a través de Stripe Financial Connections (leído una sola vez para comparar el nombre; la cuenta no se guarda y nunca se carga) o una verificación de identidad realizada por Stripe Identity (el documento oficial y el selfie los trata Stripe conforme a su política de privacidad; nosotros guardamos solo la referencia de la sesión y el resultado). Cuando Rekomi exige una verificación de identidad (una marca por encima de nuestro umbral de puntuación de fraude, o una que un revisor señala), Stripe Identity verifica un documento oficial y un selfie coincidente; Stripe custodia las imágenes conforme a sus propias condiciones de privacidad, y Rekomi guarda solo el resultado y el nombre que figura en el documento, que comparamos con el nombre del titular de la cuenta bancaria de financiación de la marca. Los revisores ven estas pruebas junto con las señales de confianza descritas más abajo.
Señales de seguridad de los pagos: para mantener segura la vía de pago a afiliados, registramos la dirección IP y, cuando nuestra etiqueta de prevención de fraude está presente, un identificador de dispositivo de la solicitud que crea una cuenta de Marca (registro), de la solicitud que crea un inicio de sesión de afiliado (registro) y de la solicitud que crea una cuenta de Afiliado con una Marca (aceptar una invitación o solicitar la admisión), así como de las acciones realizadas en una cuenta de Marca. En el caso de los afiliados, Stripe también nos informa del estado de la cuenta de pago (si está habilitada, qué le falta a Stripe, el nombre del banco, el nombre del titular y los cuatro últimos dígitos de la cuenta bancaria vinculada, y una huella de esa cuenta; nunca el número de cuenta completo), y lo conservamos para comprobar que la persona que cobra es la persona que se registró. Cuando una Marca vincula una cuenta bancaria para financiar pagos a través de Stripe Financial Connections, Stripe comparte con nosotros el nombre o los nombres de los titulares y una indicación del saldo, junto con los datos tokenizados de la cuenta; guardamos los nombres de los titulares para contrastarlos con los datos de la propia cuenta. Comparamos estas señales entre cuentas para detectar autonegociación y rondas de pagos fraudulentas, se las mostramos a nuestros propios operadores en una consola de revisión y, cuando encontramos fraude, conservamos los identificadores (correo electrónico, IP, dispositivo, huella del instrumento de pago) en una lista de bloqueo interna. Estas señales se usan únicamente para la prevención del fraude y la seguridad, nunca para publicidad, y se conservan mientras se conserven los registros de la cuenta relacionada conforme a la Sección 6.
2. Cómo lo usamos
Para prestar el Servicio. Para enviar correos electrónicos transaccionales (cuenta, pagos, facturación). Para mejorar el producto (solo analítica agregada). Para detectar fraude y abusos. Para cumplir obligaciones legales. No vendemos sus datos. No usamos sus datos para entrenar modelos de IA sin su consentimiento explícito. El personal de Rekomi puede acceder a su cuenta para prestar soporte o investigar fraude; cada uno de esos accesos queda registrado en el registro de auditoría.
Comunicaciones por correo electrónico. Los correos de servicio (avisos de cuenta, seguridad, pagos, facturación y legales) se envían siempre mientras tenga una cuenta. Los correos opcionales, como consejos, recordatorios de configuración y avisos de pago, pueden desactivarse en Configuración o mediante el enlace de baja que incluye cada uno de ellos.
3. Subencargados y transferencias internacionales
Compartimos datos personales con subencargados verificados que nos ayudan a operar la plataforma, entre ellos Stripe (facturación y pagos), IPQualityScore (puntuación de riesgo de fraude e identidad de direcciones IP, dispositivos, direcciones de correo electrónico y datos de facturación de la suscripción, y notificación de identificadores vinculados a fraude confirmado), Paddle y Braintree (seguimiento de conversiones para las marcas que conectan esas cuentas), Lemon Squeezy (seguimiento de conversiones para las marcas que conectan sus tiendas), Chargebee (seguimiento de conversiones para las marcas que conectan sus sitios de Chargebee), Polar (seguimiento de conversiones para las marcas que conectan sus organizaciones de Polar), Recurly (seguimiento de conversiones para las marcas que conectan sus sitios de Recurly), Gumroad (seguimiento de conversiones para las marcas que conectan sus cuentas de vendedor de Gumroad), Creem (seguimiento de conversiones para las marcas que conectan sus tiendas de Creem), Dodo Payments (seguimiento de conversiones para las marcas que conectan sus cuentas de Dodo Payments), Mollie (seguimiento de conversiones para las marcas que conectan sus cuentas de Mollie), Shopify (seguimiento de conversiones y, para los comerciantes que instalan nuestra app de Shopify, facturación de su suscripción a Rekomi y de la comisión), Wix (seguimiento de conversiones y, para las marcas que instalan nuestra app desde el Wix App Market, facturación de su suscripción a Rekomi a través de Wix), BigCommerce (seguimiento de conversiones y, para las marcas que instalan nuestra app desde el BigCommerce App Marketplace, facturación de su suscripción a Rekomi a través de BigCommerce), PayPal (pagos a afiliados en algunas regiones), Clerk (autenticación), Cloudflare (DNS, CDN y edge), Vercel (alojamiento del sitio web y de la aplicación web), Resend (correo electrónico), DigitalOcean (alojamiento y almacenamiento privado de archivos), nuestros proveedores de PostgreSQL y Redis gestionados, Sentry (monitorización de errores, con grabación de sesión enmascarada en caso de error y direcciones IP eliminadas), IPQualityScore (detección de fraude y de tráfico inválido, incluida la reputación de IP, la huella de dispositivo y el análisis de las URL de páginas de destino y de propuestas), Anthropic (funciones de IA cuando usted invoca una, donde un prompt puede incluir los nombres y correos electrónicos de los destinatarios que introduce en los mensajes de contacto y el texto del perfil de creador, mientras que las estadísticas de rendimiento se envían de forma agregada, y la revisión automatizada de fraude de las nuevas cuentas de marca, que envía el expediente de la marca que ven nuestros revisores, incluidos los nombres del propietario y del titular de la tarjeta, los correos electrónicos del propietario y de facturación, la dirección IP y el identificador de dispositivo del registro, los cuatro últimos dígitos, la caducidad, el código postal y el país de facturación y los resultados de las comprobaciones de la tarjeta de la suscripción, la configuración de las campañas, los nombres, correos electrónicos y direcciones IP de registro de los afiliados de la marca, los nombres de los titulares de las cuentas de financiación, el texto del sitio web y el texto que la marca escribió en su descripción y en sus respuestas de verificación, para que el modelo pueda redactar un resumen de riesgo, y la revisión automatizada de fraude de las cuentas de afiliado, que envía los hechos propios de la persona (puntuación, señales, estado de la cuenta de pago sin números de cuenta, resultados de tráfico y de dinero, coincidencias como recuentos, texto de la página de creador) para que el modelo redacte un resumen de riesgo que lee una persona; nada de lo enviado se usa para entrenar modelos), Zapier (la página de Zapier del panel de marca integra Zapier, que recibe el nombre y el correo electrónico del usuario de marca con sesión iniciada), Gravatar de Automattic (el panel de marca muestra un avatar por cada cliente referido, lo que envía a Gravatar un hash MD5 del correo electrónico de ese cliente desde el navegador de quien lo ve, por lo que Gravatar también ve la dirección IP de esa persona), Google Fonts (fuentes servidas al cargar la página en las páginas de inscripción de los portales de marca y en la sección “Acerca de” de las páginas de creadores, por lo que Google ve la dirección IP del visitante), Calendly (integrado en nuestra página de reserva de demos; lo que introduce en el formulario de reserva va a Calendly), Google Analytics (se carga en cada visita con el almacenamiento denegado y solo envía pings sin cookies hasta que acepta las cookies de analítica, tras lo cual se activa la medición completa), PostHog (analítica de producto, solo con consentimiento de cookies de analítica) e Intercom (chat de soporte, solo con consentimiento de cookies de marketing; los usuarios con sesión iniciada se identifican ante Intercom por identificador, nombre, correo electrónico y fecha de registro). La lista completa y fechada está en /legal/subprocessors.
Webhooks y Zapier. Cuando una Marca se suscribe a webhooks salientes o conecta Zapier, Rekomi entrega los nombres y correos electrónicos de los afiliados (y los detalles del evento) de los eventos que la Marca elige a los endpoints que la Marca configura. Esos endpoints los elige y controla la Marca, por lo que son encargados propios de la Marca, no subencargados de Rekomi.
CRM conectados. Cuando una Marca conecta un CRM o una plataforma de email a Rekomi, sincronizamos con esa plataforma los registros de afiliados y clientes que la Marca selecciona, siguiendo las instrucciones de la Marca. Ese proveedor es un encargado propio de la Marca, elegido y controlado por ella, no un subencargado de Rekomi, y el tratamiento que hace de los datos se rige por el acuerdo de la Marca con él.
Nuestra región de tratamiento por defecto es Estados Unidos. Cuando transferimos datos personales fuera del EEE, del Reino Unido o de Suiza, nos apoyamos en las Cláusulas Contractuales Tipo, en la Adenda internacional de transferencia de datos del Reino Unido y en las adaptaciones suizas a las Cláusulas Contractuales Tipo reconocidas por el FDPIC, tal y como se describe en nuestro DPA.
Datos protegidos de clientes de Shopify. Cuando un comerciante instala nuestra app de Shopify, recibimos datos de pedidos y de clientes de su tienda a través de la Admin API y de los webhooks de Shopify. Tratamos lo mínimo que necesitamos para atribuir las ventas de afiliados, calcular comisiones, facturar al comerciante e informar del rendimiento del programa. No vendemos estos datos, limitamos su uso a esas finalidades, los ciframos en tránsito y en reposo, y atendemos las solicitudes obligatorias de Shopify sobre los interesados (solicitud de datos de cliente, supresión de cliente y supresión de tienda) devolviendo o eliminando los datos que conservamos, conforme a los requisitos de Protected Customer Data de Shopify.
4. Cuentas sociales conectadas
Los creadores pueden vincular cuentas sociales (YouTube, Instagram, Facebook, TikTok, X, Twitch, Pinterest, Threads, Discord, Bluesky, LinkedIn, beehiiv) a su perfil de Rekomi para demostrar que son suyas y mostrar estadísticas verificadas de audiencia. La vinculación usa el inicio de sesión oficial de cada plataforma (OAuth) o, en las plataformas que no lo tienen (Bluesky, beehiiv), una credencial que usted crea para ese fin y que puede revocar en la plataforma en cualquier momento; Rekomi nunca ve la contraseña de su cuenta. Las credenciales de acceso que emite cada plataforma se guardan cifradas y se usan únicamente para leer la identidad pública de su perfil (nombre, usuario, avatar) y las estadísticas de audiencia (por ejemplo, el número de seguidores o suscriptores y las métricas agregadas de visualizaciones), que se actualizan aproximadamente una vez al día. Desconectar una plataforma desde su panel elimina de inmediato las credenciales que guardamos y, cuando la plataforma lo permite, también las revoca en la plataforma; eliminar la conexión borra además el historial de estadísticas guardado. Nunca publicamos en su nombre y no usamos los datos de las cuentas sociales para entrenar modelos de IA o de aprendizaje automático.
Perfiles públicos de creador. Una vez que publica su página de creador, es pública en rekomi.com/@handle y visible para cualquiera, incluidos los recuentos verificados de seguidores y suscriptores de las cuentas que decida conectar, y las páginas publicadas y revisadas aparecen también en el directorio de creadores que las Marcas consultan dentro de Rekomi. Las Marcas pueden conectar igualmente cuentas sociales para mostrar recuentos verificados de seguidores en sus páginas públicas de campaña. Usted controla qué cuentas están conectadas y si su página está publicada; desconectar una cuenta retira sus estadísticas de su página, y despublicar la página la retira junto con su entrada en el directorio.
Datos de usuario de Google (YouTube). Si conecta un canal de YouTube, Rekomi usa los servicios de la API de YouTube. Con su consentimiento, accedemos (mediante permisos de solo lectura) a la identidad de su canal (identificador, título, miniatura) y a sus estadísticas (número de suscriptores, número de vídeos y métricas agregadas de visualizaciones de 28 días). Usamos estos datos para una única finalidad: verificar que el canal es suyo y mostrar esas estadísticas en su perfil de creador de Rekomi. Estas estadísticas son solo informativas. Rekomi nunca paga, recompensa ni compensa de ningún otro modo a nadie por ver, dar me gusta, comentar, compartir o suscribirse a contenido de YouTube, y ningún pago en Rekomi se basa en las visualizaciones o la interacción en YouTube; las comisiones se ganan únicamente por ventas y registros referidos que se completan en el sitio web de la propia marca. No los vendemos, no los usamos para publicidad, no los usamos para entrenar modelos de IA o de aprendizaje automático y no los compartimos con nadie salvo con los subencargados de infraestructura que alojan Rekomi (sección 3), que los tratan únicamente siguiendo nuestras instrucciones. Están cifrados en tránsito y en reposo. Guardamos solo instantáneas recientes de las estadísticas; desconectar YouTube elimina de inmediato nuestras credenciales de Google y revoca el acceso de Rekomi en Google, y eliminar la conexión borra también las estadísticas guardadas. También puede revocar el acceso de Rekomi en cualquier momento desde su configuración de seguridad de Google. El uso y la transferencia por parte de Rekomi de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. Al conectar YouTube acepta también las Condiciones del servicio de YouTube; el tratamiento que Google hace de sus datos se describe en la Política de privacidad de Google.
5. Cookies
Usamos cookies propias para la autenticación y para registrar el consentimiento. Usamos cookies de seguimiento propias en los dominios de los clientes únicamente cuando su programa de afiliados activa el seguimiento de Rekomi. La política de cookies completa está en /legal/cookies.
6. Conservación de los datos
Datos de cuenta y de programa: se conservan mientras la cuenta está activa. Tras la cancelación se conservan para que pueda exportarlos o reactivar la cuenta, y se eliminan cuando nos lo pide o elimina la cuenta. Datos de seguimiento: se conservan durante la vida de la cuenta; agregados, de forma indefinida. Registros de auditoría: se conservan de forma indefinida y nunca se eliminan, porque son el registro de quién cambió qué; una entrada de auditoría guarda el estado anterior y posterior al cambio, por lo que las entradas antiguas pueden seguir conteniendo el nombre o el correo electrónico de una persona cuya cuenta se haya eliminado después. Identificadores de clientes en los registros de conversión (el nombre o el correo electrónico de un cliente referido): se eliminan cuando Shopify envía una solicitud de supresión de cliente o de tienda, y previa solicitud a support@rekomi.com en el resto de cierres de cuenta. Datos protegidos de clientes de Shopify: se conservan solo el tiempo necesario para prestar el servicio, se eliminan o anonimizan en los 30 días siguientes al cierre de una cuenta o a una solicitud de supresión de tienda, y se eliminan ante una solicitud de supresión de cliente según exige Shopify. Copias de seguridad de la base de datos: diarias, con recuperación a un punto en el tiempo de 7 días, por lo que los datos eliminados pueden persistir en una copia de seguridad hasta 7 días.
Qué alcanza la supresión y qué no. Después de eliminar su cuenta, Stripe y PayPal conservan sus propios registros de transacciones conforme a sus propias normas de conservación, ya que son responsables del tratamiento independientes de los pagos que procesaron. Su historial de chat de Intercom se elimina previa solicitud. Las entradas del registro de auditoría se conservan como se describe arriba.
7. Derechos de los interesados (RGPD y CCPA)
Puede solicitar el acceso, la rectificación, la supresión o la portabilidad de sus datos personales en support@rekomi.com. Respondemos en un plazo de 30 días. La portabilidad la gestiona soporte dentro de ese plazo; las Marcas también pueden exportar en cualquier momento los datos de su programa en CSV desde el panel, y los afiliados pueden descargar su propio historial de ganancias. Los afiliados pueden eliminar su propia cuenta desde Configuración sin contactar con nosotros. Los residentes en California también pueden oponerse a la venta de datos (no vendemos datos).
8. Responsable del tratamiento, bases legales y sus derechos
Responsable del tratamiento. Uplup Inc., 382 NE 191st St, PMB 836716, Miami, FL 33179-3899, Estados Unidos, es el responsable del tratamiento (Controller) de los datos personales de las personas que tienen una cuenta de Rekomi (usuarios de marca y afiliados en su relación directa con Rekomi) y de los visitantes de rekomi.com. Respecto de los datos personales de los clientes y afiliados de una Marca que la Marca incorpora a su programa, la Marca es la responsable del tratamiento y Rekomi es su encargado del tratamiento conforme a nuestro DPA. No hemos designado un representante en la UE ni en el Reino Unido.
Bases legales (RGPD y RGPD del Reino Unido). Tratamos sus datos para ejecutar nuestro contrato con usted (gestionar su cuenta, el seguimiento, los pagos y el soporte); por nuestro interés legítimo en mantener la plataforma segura y libre de fraude, tráfico inválido y abusos; para cumplir obligaciones legales como las normas fiscales y de sanciones; y con su consentimiento para las cookies de analítica y de marketing, que puede retirar en cualquier momento en la configuración de cookies.
Sus derechos. Puede acceder a sus datos, rectificarlos, suprimirlos, limitar su tratamiento o solicitar su portabilidad, y oponerse al tratamiento basado en el interés legítimo, escribiendo a support@rekomi.com. También tiene derecho a presentar una reclamación ante su autoridad de control de protección de datos. Cuando una comprobación de riesgo automatizada afecte a un pago, a un método de pago o a una solicitud suya (Sección 1), puede pedir que una persona la revise, exponer su versión y recurrir el resultado con el botón Pedir a Rekomi que lo revise en su configuración de pagos o en support@rekomi.com; un revisor identificado puede cambiar cualquier resultado.
California (CCPA/CPRA). En los últimos 12 meses hemos recopilado las categorías descritas en la Sección 1: identificadores (nombre, correo electrónico, dirección IP, identificadores de dispositivo), información comercial (registros de programa, conversiones y pagos), actividad en internet (clics, datos de uso) y, en el caso de los afiliados que cobran a través de Rekomi, información financiera y fiscal gestionada por nuestros proveedores de pagos. No vendemos ni compartimos información personal para publicidad conductual entre contextos, y no le discriminamos por ejercer sus derechos. Las solicitudes se envían a support@rekomi.com.
9. Seguridad
RLS por cliente, cifrado en reposo y en tránsito, webhooks firmados. El modelo de seguridad completo está en /security.
10. Menores
Rekomi no está dirigido a menores de 18 años, y debe tener 18 años o más para tener una cuenta. No recopilamos de forma consciente datos de menores.
11. Cambios
Notificamos a los clientes los cambios sustanciales por correo electrónico con al menos 30 días de antelación. Seguir usando el servicio después de un cambio supone aceptarlo.
Mantenemos esta política al día a medida que el producto evoluciona. Preguntas sobre sus datos: support@rekomi.com.