En Licto nos tomamos en serio tu privacidad. Esta política explica qué datos personales tratamos, con qué finalidad, en qué base jurídica nos apoyamos y cómo puedes ejercer tus derechos.
1. Responsable del tratamiento
- Responsable: Nail Iangazov (Autónomo (persona física)), que opera bajo el nombre comercial Licto
- NIE: Z0826018R
- Domicilio: Calle Albahaca 2, 18006 Granada, España
- Email de contacto: nuestra dirección de contacto
- Contacto de privacidad: la dirección de privacidad
2. Datos que tratamos, finalidades, base jurídica y plazos
La siguiente tabla resume cada actividad de tratamiento sobre los datos de tu cuenta y de tu uso del servicio. Cuando accedes con Google, el origen de esos datos a efectos del art. 14 RGPD es el propio Google.
| Actividad | Datos | Finalidad | Base jurídica | Plazo |
|---|---|---|---|---|
| Cuenta y perfil de empresa | Email y nombre; si accedes con Google, el identificador de cuenta que te asigna Google y si tu correo consta verificado (nunca recibimos tu contraseña); perfil de empresa opcional (razón social, NIF/CIF, sectores, regiones); fuente de registro. | Crear y gestionar tu cuenta y entregarte el servicio. Licto no usa contraseñas: se accede con enlace por correo, clave de acceso (passkey) o proveedor de identidad externo. | Ejecución del contrato (art. 6.1.b) | Mientras tu cuenta esté activa; borrado inmediato al darte de baja (ver apartado 5). |
| Preferencias, alertas y espacio de trabajo | Alertas, búsquedas guardadas, favoritos, seguimientos y etiquetas; historial de fichas vistas; valoraciones del índice de afinidad; recordatorios de plazo; preferencias de notificación por evento y canal; fecha y resultado de cada entrega de notificación. | Entregarte el servicio que has configurado y evitar notificaciones duplicadas. | Ejecución del contrato (art. 6.1.b) | Mientras tu cuenta esté activa. Entregas ya resueltas: 90 días; cola de reintentos: 30 días; buzón: leídas 90 días, archivadas 30 días y no leídas 180 días; recordatorios de plazo enviados: 30 días. |
| Correo electrónico del servicio | Email, asunto y contenido de cada mensaje, identificador del mensaje y eventos de entrega (entregado, rebotado, queja, baja). Los correos no incluyen píxeles de seguimiento de aperturas ni de clics. | Enviarte verificaciones, avisos, alertas y resúmenes, y no escribir a direcciones que rebotan o que se han dado de baja. | Ejecución del contrato (art. 6.1.b), obligación de honrar las bajas (art. 6.1.c) e interés legítimo en mantener la reputación de envío (art. 6.1.f) | Eventos de entrega: 90 días. El bloqueo de envío por baja o rebote se mantiene mientras no lo reactives. |
| Notificaciones por Telegram (opcional) | Identificador de chat de Telegram, fecha de vinculación y texto de las alertas enviadas. | Enviarte alertas por Telegram, solo si vinculas tu cuenta. | Consentimiento (art. 6.1.a) | Mientras mantengas la vinculación; borrado inmediato al desvincular (enviando /stop al bot de Licto en Telegram) o al darte de baja. |
| Pagos y facturación | Identificadores de cliente y de suscripción de Stripe, plan contratado, estado y fechas del periodo. Stripe recoge directamente tu nombre, email, dirección, NIF o NIF-IVA y datos de pago; Licto no almacena datos de tarjeta. | Cobrar las suscripciones de pago, emitir facturas y gestionar renovaciones, cancelaciones y cambios de plan. | Ejecución del contrato (art. 6.1.b) y obligaciones contables y fiscales (art. 6.1.c) | Identificadores de Stripe: mientras tu cuenta esté activa. Facturas emitidas: 6 años (art. 30 del Código de Comercio). |
| Informes de error («¿Ves un error? Infórmanos») | Tu identificador de usuario si has iniciado sesión o, si no, tu nombre y email; tu dirección IP; el texto que escribas y la URL de la página. Al avisar a nuestro equipo por correo incluimos también el email de tu cuenta, para poder responderte, pero no lo guardamos en el informe. | Corregir datos incorrectos, mejorar la calidad del servicio y responderte. | Interés legítimo (art. 6.1.f) y tu acción afirmativa de enviar el informe (art. 6.1.a) | 180 días desde que el informe se resuelve o se descarta. Si nadie lo resuelve, a los 180 días borramos tu nombre, email e IP y conservamos solo el texto. |
| Seguridad, anti-abuso y diagnóstico | Registro de eventos de seguridad (fecha, tipo de evento, identificador de usuario, dirección IP y navegador); logs del servidor con identificadores seudonimizados; eventos de error redactados; señales del navegador que usa Cloudflare Turnstile para comprobar que eres una persona al registrarte, iniciar sesión o enviar un informe; cookie de seguridad de Cloudflare. | Proteger el servicio frente a abusos y fraude, investigar incidentes y diagnosticar fallos. | Interés legítimo (art. 6.1.f) | Registro de eventos de seguridad: 12 meses, también tras la baja. Logs del servidor: 30 días; trazas: 7 días; eventos de error: 90 días. |
| Analítica del servicio y uso de la API | Identificador seudónimo (HMAC) de tu usuario, códigos de evento, latencias y contadores. En planes con API o MCP: endpoint llamado, código de respuesta, consumo de cuota y la huella (hash) de tu clave o token. Además, lo que se busca en el directorio de organismos y en el buscador de licitaciones (texto y filtros, sin tu usuario, IP ni sesión) para saber qué no encuentra la gente. | Garantizar la calidad del servicio, aplicar cuotas y facturación y prevenir abusos. | Ejecución del contrato (art. 6.1.b) e interés legítimo (art. 6.1.f) | 24 meses (13 meses las búsquedas del directorio de organismos y de licitaciones); contadores de facturación: hasta el cierre del periodo más 5 años. |
| Analítica web y grabación de sesiones (opcionales) | Solo con tu consentimiento: identificador seudónimo, eventos de la interfaz, tipo de dispositivo, páginas visitadas y propiedades seudónimas (plan, cohorte, sector, fuente de registro), sin tu email. La grabación de sesiones requiere un consentimiento propio («Grabación de sesiones») y registra navegación y clics con todos los textos y campos enmascarados. | Entender cómo se usa el producto y mejorarlo. Por defecto no recopilamos analítica web ni grabamos sesiones. | Consentimiento (art. 6.1.a) | 24 meses; las grabaciones de sesión, 30 días. Puedes retirar el consentimiento en cualquier momento desde la Política de cookies. |
| Registro de consentimientos | Tipo de aceptación o consentimiento (Términos y Política de privacidad; comunicaciones comerciales), versión del documento aceptado y fechas de aceptación o retirada. La elección del banner de cookies se guarda solo en tu navegador. | Poder demostrar qué aceptaste y cuándo (art. 7.1 RGPD). | Obligación legal de acreditar el consentimiento (art. 6.1.c) | Mientras tu cuenta esté activa y 3 años desde la baja, vinculado solo a un identificador seudónimo. |
| Aviso por correo sin cuenta de una licitación o un organismo (opcional) | Tu correo electrónico, la licitación u organismo que sigues, la versión de los textos legales vigente al pedirlo y las fechas de confirmación, baja y último envío. | Avisarte por correo de los cambios de estado de esa licitación (la adjudicación es uno) o de las nuevas licitaciones de ese organismo, sin que tengas que crear una cuenta. Confirmas con un enlace que te enviamos y te das de baja con un clic desde cada correo. | Consentimiento (art. 6.1.a) | Mientras el aviso esté activo. Tras la baja conservamos la fila como constancia de la baja, hasta que se suprima tu cuenta si la tienes con ese correo. |
| Aviso del plazo de una licitación por correo sin cuenta (opcional) | Tu correo electrónico, la licitación cuyo plazo sigues, la versión de los textos legales vigente al pedirlo, las fechas de confirmación, fin, baja y último envío, y un registro de los avisos ya enviados para no repetirlos. | Recordarte por correo, 7 y 2 días antes de que cierre el plazo de presentación, el plazo de una licitación abierta. Es un aviso aparte del anterior, con su propio consentimiento y su propio enlace de baja: no incluye cambios de estado ni la adjudicación. Confirmas con un enlace y te das de baja con un clic desde cada correo. | Consentimiento (art. 6.1.a) | Hasta que pase el plazo de la licitación o te des de baja: tras el último aviso, o si la licitación se cierra antes, el seguimiento termina solo. Borramos tu correo 30 días después de terminar o de la baja, y 7 días después de pedirlo si no lo confirmaste. |
| Comunicaciones comerciales (opcionales) | Tu email y la casilla opcional marcada en el registro. | Enviarte novedades del servicio solo si has aceptado recibirlas. | Consentimiento (art. 6.1.a) | Hasta que retires el consentimiento o te des de baja de las comunicaciones. |
No tomamos decisiones automatizadas con efectos jurídicos sobre ti (art. 22 RGPD). Los índices y recomendaciones que muestra el servicio, como el índice de afinidad, son informativos y puedes ignorarlos.
3. Datos de terceros procedentes de fuentes oficiales
Además de los datos de tu cuenta, Licto trata información publicada en fuentes oficiales de contratación pública que puede incluir datos personales de terceros (adjudicatarios y órganos de contratación). Esta información no procede de ti; la ofrecemos con fines informativos y de transparencia, en cumplimiento del deber de información del artículo 14 del RGPD.
- Categorías de datos: datos identificativos de adjudicatarios publicados en las plataformas oficiales (denominación; NIF (para empresarios individuales, Licto lo muestra parcialmente enmascarado; la fuente oficial puede publicarlo completo); importes de adjudicación), incluidos empresarios individuales (autónomos); y datos de contacto institucional de los órganos de contratación (buzones, teléfonos y direcciones del órgano). Conservamos también la publicación original recibida de la fuente, que puede contener datos personales de terceros.
- Fuentes: Plataforma de Contratación del Sector Público (PLACSP), TED (Diario Oficial de la Unión Europea), portales de contratación y de datos abiertos de las comunidades autónomas, boletines oficiales y perfiles de contratante de los organismos (ver Fuentes de datos).
- Finalidad: agregación y análisis de información de contratación pública con fines informativos.
- Base jurídica: interés legítimo (art. 6.1.f RGPD) en la reutilización de información publicada por mandato legal (Ley 9/2017 de Contratos del Sector Público, Ley 19/2013 de transparencia y Ley 37/2007 sobre reutilización de la información del sector público), así como el artículo 19 de la LOPDGDD para los datos de contacto profesional y de empresarios individuales tratados en su condición de tales.
- Plazo de conservación: mientras la información permanezca publicada en las fuentes oficiales o hasta que prospere una solicitud de oposición o de supresión. Los datos de la BDNS que Licto carga para identificar a las empresas se conservan 4 años desde su carga.
Aviso a empresarios individuales adjudicatarios (art. 14.5.b RGPD). Publicamos datos de empresarios individuales adjudicatarios obtenidos de las plataformas oficiales de contratación. No les informamos individualmente porque supondría un esfuerzo desproporcionado dado su número; por eso esta información es pública, mostramos su nombre sin apellidos completos y sin NIF completo allí donde identificamos que se trata de una persona física, no indexamos sus perfiles ni las fichas de licitación en las que figuran y atendemos su derecho de oposición o supresión en nuestra dirección de contacto.
Licto incorpora denominaciones de empresas procedentes de la BDNS (Intervención General de la Administración del Estado) y las asocia por NIF a los perfiles de empresa. No se utiliza el nombre de personas físicas procedente de la BDNS, y no se asocian identificadores enmascarados con identificadores completos.
Los datos de adjudicatarios de la Generalitat Valenciana se publican con el NIF enmascarado. Licto no los vincula con otros registros mediante el NIF parcial, el nombre ni ningún otro dato, de modo que no se revierte la disociación aplicada por el editor.
Las personas cuyos datos figuran en estas fuentes pueden ejercer los derechos de acceso, rectificación, supresión, oposición y limitación del tratamiento escribiendo a nuestra dirección de contacto, así como presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es (se abre en una pestaña nueva)). Atenderemos las solicitudes de oposición o supresión ocultando el perfil correspondiente cuando proceda.
Los índices estadísticos que calcula Licto (por ejemplo, el Índice Licto) no se calculan para personas físicas.
4. Base jurídica
- Ejecución del contrato (art. 6.1.b RGPD) para los datos de cuenta y preferencias del servicio.
- Obligación legal (art. 6.1.c RGPD) para la conservación de facturas, la honra de las bajas de correo y la prueba de tus consentimientos.
- Interés legítimo (art. 6.1.f RGPD) para mantenimiento técnico, prevención de fraude y seguridad, y para la reutilización de datos de fuentes oficiales descrita en el apartado 3.
- Consentimiento (art. 6.1.a RGPD) para analítica opcional, grabación de sesiones, notificaciones por Telegram y comunicaciones comerciales. Puedes retirarlo en cualquier momento sin afectar la licitud del tratamiento previo.
5. Plazo de conservación
Conservamos tus datos mientras tu cuenta esté activa. Cuando eliminas tu cuenta desde tu panel personal, ejecutamos en la misma operación y de forma inmediata e irreversible dos pasos:
- Borrado de todos los datos asociados a tu cuenta — alertas, seguimientos, búsquedas guardadas, favoritos, perfil de empresa (incluido NIF/CIF si lo habías rellenado), notificaciones, historial de páginas vistas, valoraciones de recomendaciones, recordatorios de plazos, passkeys, tokens MCP, sesiones y refresh tokens.
- Anonimización del registro de usuario: sustituimos tu email, nombre e identificadores de inicio de sesión externos (Google, Telegram) por marcadores no identificables, borramos los datos de origen de tu alta y desactivamos la cuenta.
No existe período de gracia ni mecanismo de recuperación. Tras la operación, el registro anonimizado restante no contiene datos de contacto (email, nombre) ni identificadores de inicio de sesión y se conserva únicamente para preservar la integridad referencial del registro de eventos de seguridad.
Facturas: las conservamos durante 6 años por obligación legal (art. 17.3.b RGPD, art. 30 del Código de Comercio y art. 19 del Real Decreto 1619/2012). Se custodian en Stripe, nuestro proveedor de pagos.
Cuando eliminas tu cuenta, anonimizamos tu ficha de cliente en Stripe (nombre, email, teléfono, dirección, NIF y tarjetas guardadas) y conservamos únicamente las facturas ya emitidas, que contienen sus propios datos de facturación, durante el plazo legal. Algunos otros datos pueden conservarse durante un plazo limitado únicamente cuando la ley nos obligue.
Conservamos, vinculado solo a ese registro anonimizado, el historial de tus consentimientos (qué aceptaste o retiraste y cuándo, incluida la versión de los Términos y de esta política) durante 3 años desde la baja, como prueba de que contábamos con tu consentimiento (art. 7.1 RGPD); después se elimina.
Copias de seguridad. Las copias de seguridad de la base de datos de cuentas están cifradas y no pueden modificarse; se conservan como máximo 36 días y después se eliminan automáticamente. Durante ese plazo pueden contener datos de una cuenta ya eliminada. Registramos cada eliminación de cuenta (solo un identificador interno y la fecha) fuera de esa base de datos, cada hora. Si alguna vez tuviéramos que restaurar una copia, antes de reanudar el servicio volvemos a aplicar las eliminaciones registradas desde la fecha de la copia. Solo una eliminación realizada en la hora anterior a una pérdida total del servidor podría no estar registrada; en ese caso puedes volver a solicitarla y la aplicaremos de nuevo.
Los datos de analítica web (consentidos) y los datos de uso del servicio y de API se conservan hasta 24 meses, y las grabaciones de sesión 30 días; transcurridos esos plazos se eliminan automáticamente del almacén analítico. El registro de eventos de seguridad (audit log) mantiene su plazo de 12 meses.
Mantenemos un registro de eventos de seguridad (audit log) durante 12 meses para investigación de incidentes y cumplimiento normativo, también después de la baja. Este registro contiene metadatos técnicos (timestamp, tipo de evento, identificador de usuario, dirección IP y navegador) y no incluye datos de contacto ni datos personales sensibles.
6. Encargados del tratamiento y otros destinatarios
Para prestarte el servicio recurrimos a los siguientes proveedores. Cada uno trata únicamente los datos estrictamente necesarios para su función; el rol de cada uno (encargado del tratamiento o responsable independiente) figura en la tabla:
| Servicio | Rol | Datos procesados | Ubicación y garantías | Política de privacidad |
|---|---|---|---|---|
| IONOS | Encargado del tratamiento: alojamiento (VPS) de toda la infraestructura propia (base de datos, analítica, índice de búsqueda) | Todos los datos del servicio (en reposo y en tránsito en el servidor) | Madrid, España (UE) | Ver política (se abre en una pestaña nueva) |
| Cloudflare (Tunnel/CDN y WAF, Turnstile, R2) | Encargado del tratamiento: tráfico, TLS y cortafuegos; verificación anti-bot (Turnstile); copias de seguridad cifradas de la base de datos (R2) | Dirección IP, cookies de sesión, contenido de las peticiones, señales del navegador (Turnstile), copias cifradas de la base de datos | Global (red de distribución); R2 en jurisdicción UE. Transferencias: Cláusulas contractuales tipo / Marco de Privacidad de Datos UE-EE. UU. | Ver política (se abre en una pestaña nueva) |
| Resend | Encargado del tratamiento: envío de emails transaccionales, alertas y resúmenes | Email, nombre, contenido del mensaje y eventos de entrega | Envío desde Irlanda (UE). Transferencias: Cláusulas contractuales tipo / Marco de Privacidad de Datos UE-EE. UU. | Ver política (se abre en una pestaña nueva) |
| Stripe | Encargado del tratamiento de pagos y suscripciones; además, responsable independiente de sus obligaciones legales (prevención del fraude, normativa financiera) | Email, nombre, dirección, NIF o NIF-IVA y datos de pago | Irlanda (UE) y EE. UU. Transferencias: Marco de Privacidad de Datos UE-EE. UU. y Data Transfers Addendum de Stripe | Ver política (se abre en una pestaña nueva) |
| PostHog | Encargado del tratamiento: analítica de producto y grabación de sesiones, solo con tu consentimiento (la grabación, con un consentimiento propio) | Identificador seudónimo, eventos de la interfaz, propiedades seudónimas (plan, cohorte, sector, fuente de registro) y, en su caso, grabación de sesión con textos y campos enmascarados | UE (PostHog Cloud región UE) | Ver política (se abre en una pestaña nueva) |
| Sentry | Encargado del tratamiento: detección de errores | Eventos de error (redactados), sin grabación de sesión: traza, URL y texto del error | UE (proyecto configurado en la región UE); proveedor con sede en EE. UU. Transferencias: Cláusulas contractuales tipo / Marco de Privacidad de Datos UE-EE. UU. | Ver política (se abre en una pestaña nueva) |
| Telegram | Responsable independiente de su servicio de mensajería; Licto le envía los datos por Bot API solo si vinculas tu cuenta | Identificador de chat de Telegram y texto de las alertas | Fuera del EEE. Base: tu consentimiento explícito (art. 49.1.a) | Ver política (se abre en una pestaña nueva) |
| Google (inicio de sesión externo) | Responsable independiente de su propio tratamiento, no encargado por cuenta de Licto; solo si eliges «Continuar con Google» | Nos comunica tu email, tu nombre y un identificador de cuenta; Google sabe además que has iniciado sesión en Licto | UE / EE. UU. (Marco de Privacidad de Datos UE-EE. UU.) | Ver política (se abre en una pestaña nueva) |
| Microsoft (inicio de sesión externo) | Responsable independiente de su propio tratamiento, no encargado por cuenta de Licto; solo si eliges «Continuar con Microsoft» | Nos comunica tu email, tu nombre, un identificador de cuenta y si el dominio de tu email está verificado; Microsoft sabe además que has iniciado sesión en Licto | UE / EE. UU. (Marco de Privacidad de Datos UE-EE. UU.) | Ver política (se abre en una pestaña nueva) |
7. Transferencias internacionales
Algunos de estos proveedores (Cloudflare, Resend, Stripe, Sentry) pueden tratar datos en Estados Unidos. Estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo de la Comisión Europea, según se indica en la tabla del apartado 6. Lo mismo aplica a Google LLC si utilizas «Continuar con Google» y a Microsoft Corporation si utilizas «Continuar con Microsoft»: ambas están adheridas al Marco de Privacidad de Datos UE-EE. UU., y este tratamiento solo se produce si eliges ese método de acceso — con enlace por correo o clave de acceso no interviene. Si activas el canal opcional de Telegram, Licto envía a Telegram (responsable independiente de su servicio, fuera del EEE) tu identificador de chat y el texto de tus alertas sobre la base de tu consentimiento explícito al vincular tu cuenta (art. 49.1.a RGPD); puedes desvincularla en cualquier momento.
8. Tus derechos
De acuerdo con el RGPD, tienes los siguientes derechos sobre tus datos personales:
- Acceso (art. 15): saber qué datos tenemos sobre ti.
- Rectificación (art. 16): corregir datos inexactos o incompletos.
- Supresión (art. 17, «derecho al olvido»): eliminar tu cuenta y datos asociados.
- Limitación del tratamiento (art. 18) en determinados supuestos.
- Oposición (art. 21) al tratamiento basado en interés legítimo.
- Portabilidad (art. 20): recibir tus datos en un formato estructurado y de uso común. Puedes ejercer este derecho de forma autónoma desde tu sección «Tus derechos GDPR» en
/cuenta, que descarga un archivo JSON con los datos personales que conservamos, salvo los listados en el apartado 5. El archivo de exportación incluye tus preferencias de notificación (tipos de aviso desactivados y ajustes por canal), el horario de entrega de avisos, enlaces a tus facturas en Stripe y un resumen de los eventos de uso registrados en nuestros servidores. Puedes solicitar una copia completa en la dirección de privacidad. - Retirada del consentimiento en cualquier momento.
Para ejercer cualquier derecho relacionado con tus datos personales, escríbenos a la dirección de privacidad (o a nuestra dirección de contacto si lo prefieres). Responderemos en el plazo máximo de un mes (prorrogable a dos meses si la solicitud es compleja).
9. Reclamación ante la autoridad de control
Si consideras que el tratamiento de tus datos no se ajusta al RGPD, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es (se abre en una pestaña nueva).
10. Seguridad
Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: cifrado en tránsito (HTTPS), acceso sin contraseñas (enlace por correo, clave de acceso o proveedor externo), tokens de un solo uso con caducidad corta, scrubbing de datos personales en logs, principio de mínimo privilegio en accesos internos y revisión periódica de proveedores.
11. Cambios en esta política
Si actualizamos esta política, publicaremos la nueva versión en esta misma URL e indicaremos la fecha de «Última actualización». Si los cambios son sustanciales, te avisaremos por email.