Última actualización: 26 de agosto de 2026
Titular: MHC Sp. z o.o.
NIF: PL7623690658
Domicilio: Rynek 41, 56-400 Oleśnica, Polonia
Correo: soporte@vibecodealo.com
Teléfono: +48 530 321 996
Puedes escribir a soporte@vibecodealo.com para cualquier cosa relacionada con tus datos.
| Datos | Para qué | Base legal | Cuánto tiempo |
|---|---|---|---|
| Correo, nombre, contraseña cifrada | Crear y mantener tu cuenta | Ejecución del contrato (art. 6.1.b RGPD) | Mientras tengas cuenta |
| Contenido de tus webs y de las conversaciones con la IA | Generar y publicar tus webs | Ejecución del contrato | Mientras tengas cuenta |
| Datos de facturación y pago | Cobrar la suscripción y emitir factura | Ejecución del contrato y obligación legal (art. 6.1.c) | Seis años, por el Código de Comercio |
| Dirección IP en forma de hash, y registros de acceso | Seguridad y prevención de abuso | Interés legítimo (art. 6.1.f) | 1 día |
| Correo, para avisos del servicio | Avisarte de cambios que te afectan | Ejecución del contrato | Mientras tengas cuenta |
| Correo, para contarte novedades de lo que has contratado | Avisarte de mejoras y cambios del producto que ya usas | Tu consentimiento (art. 6.1.a RGPD y art. 21.1 LSSI), que das encendiendo el interruptor de Mi cuenta. Nace apagado y no se enciende al darte de alta. Y aunque lo enciendas, no sale nada si nunca has tenido un plan contratado de pago: un periodo de prueba no cuenta. Lo que hace falta es haberlo contratado, no seguir contratándolo, así que si cancelas, el permiso sigue valiendo hasta que apagues el interruptor | Hasta que apagues ese interruptor |
| Correo, para ofertas y descuentos | Mandarte promociones y consejos de Vibecodealo | Tu consentimiento (art. 6.1.a RGPD y art. 21.1 LSSI). Es una casilla aparte, sin marcar, y no marcarla no cambia nada del servicio | Hasta que lo retires |
| La prueba de esos permisos: el texto exacto que se te enseñó, su versión, la fecha y una huella de tu conexión | Poder demostrar qué aceptaste y cuándo, que es lo que exige el art. 7.1 del RGPD | Obligación legal (art. 6.1.c) e interés legítimo en poder defendernos de una reclamación | Mientras el permiso siga dado, y 3 años más desde que lo retiras |
| Nombre y correo de tu cuenta de Google, si entras con Google | Identificarte al entrar, sin que tengas que recordar otra contraseña | Ejecución del contrato (art. 6.1.b RGPD) | Mientras tengas cuenta |
| Nombre, dirección, ciudad y teléfono de negocios que no son clientes nuestros, sacados de OpenStreetMap | El (antiguo) buscador de negocios sin web: una lista que nuestros clientes podían consultar y descargar. La herramienta está retirada; los datos que había recogido siguen guardados | Interés legítimo (art. 6.1.f). Los datos no los da el negocio: los recogemos de un tercero, así que se aplica el art. 14 RGPD | Mientras sigan guardados y no se pida la baja |
| Nombre, correo y cómo dices que traerías gente, si rellenas el formulario de afiliados | Valorar la colaboración contigo y contestarte | Tu consentimiento (art. 6.1.a RGPD), que das marcando la casilla del propio formulario. No prometemos ninguna comisión ni ningún premio: eso todavía no está decidido, y la casilla solo autoriza a tratar el dato para poder hablar contigo | Mientras no pidas que la borremos |
La dirección IP no se guarda en claro en ningún sitio. Donde hay que conservarla años como prueba (que aceptaste las condiciones, que diste un permiso de correo, que pediste una baja) lo que se guarda es una huella firmada con una clave secreta nuestra que cambia cada mes, así que desde fuera no hay forma de dar con la dirección probando direcciones una a una.
El contador de intentos de acceso usa una huella más simple, sin esa clave, y toca decirlo claro: esa sí se puede deshacer, porque direcciones hay pocas y se pueden ir probando hasta ver cuál encaja. Por eso ese apunte dura 1 día y luego lo borra una tarea programada.
Te podemos escribir por tres motivos distintos, y no se mezclan. Es importante que se distingan porque uno de ellos no se puede desactivar y los otros dos sí:
| Qué correo | Con qué base legal | Cómo dejas de recibirlo |
|---|---|---|
| Avisos del servicio. Confirmar tu correo, recuperar la contraseña, un cobro que ha fallado, un dominio que ya funciona, una cita nueva en tu web | Ejecución del contrato. No son publicidad: son el servicio funcionando | No se pueden desactivar mientras tengas cuenta. Sin ellos no podrías recuperar tu contraseña ni enterarte de que un cobro ha fallado |
| Novedades de lo que has contratado. Mejoras y cambios del plan que ya usas | Tu consentimiento (art. 6.1.a del RGPD y art. 21.1 de la LSSI), que das encendiendo el interruptor de Mi cuenta. Nace apagado, al darte de alta no te lo pedimos y no se enciende solo. Y aunque esté encendido, solo salen si has tenido un plan contratado de pago: un periodo de prueba no cuenta, y cancelar no los para | En un clic desde el enlace de cualquiera de esos correos, sin entrar en tu cuenta, o apagando el mismo interruptor de Mi cuenta |
| Ofertas y descuentos. Promociones y consejos | Tu consentimiento, que das marcando una casilla aparte al registrarte o desde tu cuenta. Nace sin marcar | Lo mismo: un clic desde el propio correo, o el interruptor de Mi cuenta |
Aceptar las condiciones de uso no es dar permiso para la publicidad, y nunca lo va a ser. Un consentimiento metido dentro de un contrato que no lo necesita no es libre y no vale, y así lo dicen el artículo 7.4 del RGPD y su considerando 43. Por eso la casilla de las ofertas va aparte, sin marcar, y por eso el alta funciona exactamente igual si no la marcas: no cambia el precio, ni el plan, ni lo que puedes hacer.
De los dos permisos que sí puedes desactivar guardamos, para poder demostrar que existieron: el texto exacto que se te enseñó, su versión, la fecha y una huella criptográfica de tu conexión. Es lo que exige el artículo 7.1 del RGPD, que no pide poder decir que aceptaste, sino QUÉ aceptaste.
Darte de baja de uno no te da de baja del otro: son dos permisos con dos alcances, y el enlace de cada correo desactiva el suyo. En la pantalla de la baja hay un botón para desactivar los dos a la vez si es lo que quieres.
Retirar es tan fácil como dar (art. 7.3 RGPD): el mismo interruptor, en la misma pantalla, sin dar explicaciones y sin escribir a nadie. Y cuando retiras un permiso no borramos la prueba de que lo diste, porque es lo que nos permite explicar los correos que ya te habíamos mandado mientras lo tenías dado. Los plazos están en la tabla de abajo.
Guardamos también qué correo te hemos mandado y cuándo, y si salió o falló al salir. Sirve para dos cosas: contestarte cuando dices que no te ha llegado algo, y poder decir con qué base legal salió cada mensaje. No sabemos si tu proveedor de correo llegó a entregártelo: eso lo sabe él, no nosotros.
Y guardamos el texto de esos correos durante 90 días, en la versión de texto plano y sin el formato: es lo que nos permite contestarte con lo que decía exactamente el mensaje cuando nos preguntas por uno. Pasados esos días se borra solo y queda únicamente el apunte de que se mandó. Solo se guarda el texto de lo que llegó a salir, y solo lo pueden leer las personas de Vibecodealo que atienden soporte, que además dejan constancia de cada correo que abren.
Para usar Vibecodealo hace falta una cuenta. Puedes crearla con tu correo y una contraseña, o con el botón Entrar con Google. Las dos vías sirven igual y puedes cambiar de una a otra.
Si eliges Google, le pedimos a Google exactamente tres permisos, los tres básicos de identidad, y nada más:
| Permiso | Qué nos da | Para qué lo usamos |
|---|---|---|
openid | Un identificador estable de tu cuenta | Reconocerte cuando vuelves, aunque cambies de correo |
email | Tu dirección de correo y si Google la da por verificada | Ser la dirección de tu cuenta y mandarte los avisos del servicio |
profile | Tu nombre público | Saludarte por tu nombre. La foto que trae ese permiso no la leemos ni la guardamos |
No pedimos acceso a tu Gmail, ni a tus contactos, ni a tu Drive, ni a tu calendario, ni a ninguna otra cosa. No podemos leer tu correo ni tus archivos porque nunca hemos pedido permiso para ello, y Google no nos deja acceder a lo que no está en esa lista.
Solo aceptamos el correo si Google nos dice que está verificado. Si no lo está, no creamos la cuenta: si no lo hiciéramos así, cualquiera podría reclamar un correo que no es suyo.
Puedes retirarle el acceso a Vibecodealo cuando quieras desde la página de conexiones de tu cuenta de Google. Si lo haces, deja de funcionar el botón de entrar con Google, pero tu cuenta y tus webs siguen ahí: entras poniendo una contraseña desde recuperar contraseña.
Cuando alguien rellena un formulario o pide cita en una web que has creado, el responsable de esos datos eres tú, no Vibecodealo. Nosotros actuamos como encargado del tratamiento: los guardamos y te los mostramos siguiendo tus instrucciones, y no los usamos para nada más.
Eso significa que a ti te corresponde informar a esas personas, recoger su consentimiento y atender sus derechos. Las webs generadas incluyen la casilla de consentimiento y el enlace a tu política de privacidad para ponértelo fácil, pero la responsabilidad es tuya.
Si activas el calendario suscribible de tu agenda, desde la pantalla de tus citas, esos datos salen además hacia el calendario que tú elijas (Google, Apple o Microsoft, según dónde pegues la dirección). Esa salida la decides tú y ese proveedor es tuyo, no nuestro: lo que hacemos nosotros es publicar la lista en una dirección secreta que solo tú conoces. Va lo justo para que te sirva de agenda (día y hora, servicio, nombre, teléfono y la nota que dejara esa persona) y nunca su correo electrónico. Del pasado solo se publican las dos últimas semanas, para que una dirección que se te escape no se lleve tu historial entero. Puedes cambiar esa dirección o apagarla cuando quieras desde la misma pantalla: al hacerlo, cualquier calendario donde la hubieras pegado deja de recibir nada.
Esta parte no va dirigida a nuestros clientes, sino a los negocios que aparecieron en esa lista sin habérnoslo pedido. Es la información que exige el artículo 14 del RGPD, que es el que se aplica cuando los datos no los ha dado la persona interesada.
Vibecodealo tuvo una herramienta llamada buscador de negocios sin web, retirada el 9 de agosto de 2026. Mientras estuvo activa, quien contrataba determinados planes podía consultar qué negocios de una ciudad o una provincia no declaraban página web en su ficha de OpenStreetMap, y descargarse esa lista en un fichero. Hoy no hay ningún plan que la incluya ni ninguna pantalla desde la que consultarla.
Los datos que recogió son: nombre del negocio, tipo de actividad, dirección, ciudad, provincia y teléfono cuando la ficha lo traía. Salieron de OpenStreetMap, el mapa libre, a través del extracto público de España que publica Geofabrik. No se compraron, no se sacaron de ningún otro sitio y no se cruzaron con ninguna otra base.
Que tu ficha no declarara web no era una afirmación de que no la tuvieras: podías tener página y no haberla puesto en el mapa. Lo que la lista publicaba era la ausencia de esa etiqueta, no una conclusión sobre tu negocio.
Marcar una ficha como «declaraba una web y ese dominio ya no respondía» era lo único que sí era una conclusión nuestra, y salía de una consulta de DNS al dominio que declaraba la ficha, no de visitar la página. Lo decimos porque es la diferencia entre lo que redistribuíamos de un tercero y lo que calculábamos nosotros, y porque tienes derecho a discutirlo.
Si eres autónomo, esos datos de contacto son datos personales tuyos aunque sean los del negocio, y se tratan como tales.
La base era el interés legítimo (art. 6.1.f RGPD): poner en contacto a quien hace webs con negocios que podrían necesitar una, usando información que ya era pública. Se trataba la mínima necesaria para eso y nada más.
No te íbamos a escribir, y la herramienta no sabía hacerlo. No tenía botón de enviar, ni plantillas de correo, ni ninguna integración de envío: lo que producía era una lista y un fichero. El artículo 21 de la LSSI-CE prohíbe mandar publicidad por correo a quien no la ha pedido. Si alguien de esa lista se ponía en contacto contigo, lo hacía desde su propio correo o su teléfono y bajo su propia responsabilidad, no la nuestra, y se le advertía de ello en pantalla y dentro del propio fichero que se descargaba.
No vendimos esa lista ni la cedimos a nadie fuera de los clientes que consultaban la herramienta.
Tienes derecho a oponerte (art. 21 RGPD) y no hace falta que expliques por qué. El formulario público que había para pedirlo se retiró con la herramienta (no tiene sentido dejar en pie un formulario que alimenta una lista que ya no se explota), así que la vía que queda es escribirnos a soporte@vibecodealo.com.
La baja se aplica a la lista entera, no solo a quien te encontró, y se mantiene si el buscador volviera a activarse algún día: si tu negocio sigue apareciendo en el mapa, no volverá a enseñarse.
Al pedir la baja te damos un justificante. Es la prueba de que la pediste y es lo que te permite deshacerla si algún día cambias de opinión; no sirve para tocar la baja de ningún otro negocio. Si lo pierdes, escríbenos y lo hacemos a mano.
Quitarte de aquí no te quita de OpenStreetMap, que es otra organización y otra base de datos: eso se pide en openstreetmap.org.
Para poder acreditar que una baja se pidió, guardamos el texto que se te mostró, la fecha, una huella criptográfica de tu conexión y, si dejas tu correo, una huella de ese correo. El correo no se guarda en claro y no se usa para escribirte, que es justo lo que has pedido que no pase. La baja en sí no caduca; los plazos de lo demás están en la tabla de abajo.
Solo con los proveedores necesarios para que el servicio funcione:
Algunos están fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea o en una decisión de adecuación.
No vendemos tus datos ni los cedemos a terceros con fines publicitarios. Nunca.
| Dato | Se conserva | Por qué |
|---|---|---|
| Tu cuenta y tus webs | Mientras la cuenta esté abierta, y 30 días más desde que pides la baja | Esos 30 días son para que puedas arrepentirte: hasta que vencen no se borra nada, y la cancelas tú misma desde tu cuenta, que es también desde donde se pide. Vencido el plazo lo ejecuta una tarea programada |
| Facturas y apuntes de créditos | 6 años desde la última anotación | Obligación legal: art. 30 del Código de Comercio y art. 66 de la Ley General Tributaria. Esto sobrevive al borrado de la cuenta porque no depende de nosotros |
| Hash de la IP de los intentos de acceso | 1 día | Detectar ataques de fuerza bruta. Se guarda una huella, no la dirección en claro, y aun así dura 1 día: pasada la ventana más larga del limitador ya no cuenta para nada, así que guardarlo sería guardar por guardar |
| Sesiones iniciadas | 30 días como máximo, se use o no se use | Es un tope absoluto: una sesión no se alarga por usarla |
| Lo que dejan los visitantes en TUS webs | Los borras tú cuando quieras; si no, se van con la web | El responsable eres tú, no nosotros |
| La baja de un negocio en el (antiguo) buscador de negocios sin web | No caduca | Es una oposición: si se borrara, ese negocio volvería a salir si el buscador volviera a existir algún día |
| La prueba de que aceptaste estas condiciones al crear la cuenta (el texto exacto que se te enseñó, su versión, la fecha y la huella de la conexión) | Mientras sea la aceptación vigente, y 5 años más desde que deja de serlo | Es el papel que acredita que aceptaste el contrato, y sin él no podríamos demostrarlo si algún día lo discutes. Cinco años es lo que tarda en prescribir una reclamación derivada de un contrato (art. 1964.2 del Código Civil). Esto sobrevive al cierre de la cuenta, porque la reclamación puede llegar después |
| La prueba de un permiso de correo comercial (el texto, su versión, la fecha y la huella de la conexión) | Mientras el permiso siga dado, y 3 años más desde que lo retiras | Retirar un permiso no borra la prueba de que se dio: esa prueba es lo que explica los correos que ya se habían mandado mientras estaba dado. Tres años es lo que tarda en prescribir una infracción de la LSSI. Esto sobrevive al cierre de la cuenta, porque la reclamación puede llegar después |
| Qué correo te hemos mandado, cuándo y si salió | 2 años desde el envío | Para contestarte cuando no te llega algo y para poder decir con qué base legal salió cada mensaje. Es el apunte: de qué correo se trataba, no lo que decía (eso es la fila de abajo, y dura mucho menos). No sabemos si tu proveedor llegó a entregártelo |
| El texto de esos correos, en versión de texto plano y sin formato | 90 días desde el envío | Para poder decirte qué decía exactamente un mensaje cuando preguntas por él. Dura mucho menos que el apunte de arriba a propósito: el apunte es la prueba de con qué permiso te escribimos y esto solo sirve para atenderte. Se borra solo, y solo se guarda el de los correos que llegaron a salir |
Cuando pides que borremos algo, se borra de verdad; no se marca como oculto. Lo único que puede quedarse es lo que la ley nos obliga a conservar y lo que esta tabla dice, con el plazo que dice. Los borrados los ejecuta una tarea programada que corre cada hora, no una revisión manual.
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, escribiendo a soporte@vibecodealo.com. Te responderemos en el plazo de un mes.
Para la supresión no hace falta que escribas: la pides tú desde vibecodealo.com/app/cuenta, en «Borrar mi cuenta». Se ejecuta a los 30 días y la puedes cancelar desde ahí mismo mientras tanto.
Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante una autoridad de control. La nuestra es la polaca, la UODO (uodo.gov.pl), porque el titular está establecido en Polonia. Pero el RGPD te deja reclamar también ante la de tu país de residencia: si vives en España, la Agencia Española de Protección de Datos (aepd.es).
Las contraseñas se guardan cifradas con una función de derivación de clave, nunca en claro. Todo el tráfico va por HTTPS.
Sobre el aislamiento entre cuentas, lo contamos como funciona de verdad: no hay una base de datos por cliente. Todas comparten la misma, cada dato lleva marcado a qué cuenta pertenece y todas las consultas filtran por esa marca. O sea que lo que separa una cuenta de otra es el código, y por eso está escrito en un solo sitio: para poder revisarlo entero. Lo que sí impide la base de datos por sí sola es otra cosa, y ésa es de hierro: que un dato de una cuenta acabe colgando de otra.
El servicio no está dirigido a menores de 18 años. Al crear la cuenta y aceptar las condiciones declaras ser mayor de edad; no comprobamos la edad de nadie, así que esa declaración es lo único que hay. Si nos consta que una cuenta es de un menor, la cerramos.
Cuando esta política cambie, la versión nueva se publica en esta página con su fecha de actualización arriba, y la anterior deja de aplicarse desde ese momento. No mandamos un correo por cada cambio: esta página con su fecha es el aviso, y es lo que podemos sostener hoy.