Política de privacidad de Clickwise — servicios v2

Versión del 27 de septiembre de 2026. La versión canónica es la inglesa.

1. Quién es el responsable

El responsable del tratamiento descrito en esta política es SOFT DEV FZ LLC, sociedad de responsabilidad limitada de zona franca con licencia n.º 9485/2016 de la Fujairah Creative City Free Zone Authority (Media Free Zone). El domicilio que figura en su licencia es: Fujairah – Twin Towers, P.O. Box 4422, Fujairah, Emiratos Árabes Unidos. SOFT DEV FZ LLC opera la marca Clickwise para los servicios de la sección 2.

Contacto de privacidad: privacy@hello.clickwise.net

2. Qué cubre esta política

Esta política cubre:

• el panel de Clickwise en panel-v2.clickwise.net: cuentas de afiliados y merchants, alta y onboarding;
• la API pública y el servidor MCP de Clickwise bajo panel-v2.clickwise.net/api/v1/ (incluido /api/v1/mcp/), los archivos de descubrimiento (llms.txt, /.well-known/ai-plugin.json, /.well-known/mcp.json), las páginas públicas de programas y del catálogo, y los feeds de productos;
• el Clickwise Tracker en go.clickwise.net y los enlaces de redirección de Clickwise bajo /dl/ (por ejemplo en r2.clickwise.net y share.clickwise.net), incluidos los avisos de conversión (postbacks y píxeles) que reciben;
• los correos que enviamos y recibimos para operar el servicio y para contactar a posibles socios.

No cubre:

• t.clickwise.net ni la plataforma heredada Clickwise v1, que tienen su propio aviso;
• Clickwise AI Ads en ads.clickwise.net, que tiene su propia política de privacidad;
• los sitios de anunciantes, redes de afiliación y publishers, que tratan los datos según sus propias políticas.

3. Qué datos tratamos

3.1 Cuentas, alta y onboarding

Cuando creas o usas una cuenta, tratamos:

• Identidad y acceso: nombre de usuario, nombre y apellido, correo electrónico y tu contraseña, que se guarda como hash con sal, no en texto plano. También guardamos tu idioma, tu zona horaria y la fecha de tu último inicio de sesión y de tu última actividad.
• Afiliados: país, dirección postal, tipo de entidad jurídica, número de identificación fiscal, nombre, URL y país del sitio web, y los datos de pago que cargues: ID y nombre de PayPal, o banco, titular, país y dirección del banco, IBAN o código SWIFT y número de cuenta.
• Merchants: razón social, país, tipo de entidad jurídica, número de identificación fiscal, dirección de facturación, ciudad y código postal, y nombre, teléfono, correo y usuario de mensajería de los contactos principal y técnico.
• Documentos que subas para verificar tu cuenta o tus datos fiscales.
• Inicio de sesión con Google (opcional): el identificador de tu cuenta de Google, tu correo de Google y la URL de tu foto de perfil.
• Verificación en dos pasos (opcional): tu secreto del autenticador; tus códigos de recuperación; y, si decides confiar en un dispositivo, un registro de ese dispositivo con el user agent de su navegador.
• Solicitudes de onboarding, incluidas las iniciadas desde nuestro servidor MCP: lo que envíes tú o tu agente de IA (por ejemplo razón social, sitio web, nombre y correo de contacto, país, rubro, redes que usas, dónde vas a publicar los enlaces, mensajes libres y respuestas a nuestras preguntas de seguimiento), el idioma usado y el país estimado a partir de tu dirección IP (sección 3.7).

Nuestro asistente de IA (Google Gemini, sección 5) evalúa las solicitudes de onboarding y hace preguntas de seguimiento. Las solicitudes de merchants pueden aprobarse o rechazarse automáticamente según esa evaluación. Puedes solicitar la revisión humana de una decisión automatizada escribiendo a privacy@hello.clickwise.net.

3.2 API pública y servidor MCP

Por cada llamada a una herramienta de nuestro servidor MCP registramos: la hora, el nombre de la herramienta y el método, el resultado, el tiempo de respuesta, el nombre del cliente de IA cuando se puede identificar, tu dirección IP, tu user agent, la versión del protocolo, un resumen limitado a ciertos campos de la solicitud, un resumen de la respuesta, el mensaje de error si lo hay, y la cuenta de afiliado o la solicitud vinculada, si existe.

Las herramientas de búsqueda y de feed de productos exigen una API key de afiliado (X-API-Key), que vincula esas llamadas con la cuenta del afiliado. Las herramientas request_tracked_links, request_merchant_onboarding y update_profile reciben datos como los de la sección 3.1, por ejemplo un correo de contacto o de reclamo, nombre visible, sitio web, país y método de pago.

Las páginas públicas de programas y del catálogo, llms.txt, los manifiestos y los feeds de productos describen programas y productos. Visitarlos genera los registros del servidor de la sección 3.5. Con tu consentimiento publicitario, las páginas públicas de programas de afiliación también cargan el píxel de medición de OpenAI (3.4).

3.3 Enlaces de seguimiento, clics y conversiones

Cuando alguien sigue un enlace de seguimiento de Clickwise en go.clickwise.net o un enlace /dl/, registramos un clic con: un ID de clic; la hora; el host; los identificadores de campaña, afiliado y enlace; la URL de destino; el sub-ID que haya puesto el afiliado; la dirección IP tal como llega, sin truncar, enmascarar ni convertir en hash; el user agent del navegador; el HTTP Referer; y, si vienen en el enlace, identificadores publicitarios de clic como gclid, gbraid y wbraid de Google, y un ID de clic externo.

El tracker no guarda una ubicación del clic. Si un enlace restringe el tráfico por país, la redirección /dl/ consulta el país de la dirección IP en ipapi.co (sección 3.7) para elegir la ruta; ese país no se guarda con el clic.

El endpoint /api/touch del tracker puede crear o recuperar un clic a partir de los identificadores que recibe. Guarda los mismos tipos de datos y no pone ninguna cookie.

El sitio de destino, y las redes de afiliación que gestionan el enlace, reciben los parámetros de la URL de destino. Entre ellos puede haber identificadores que Clickwise agrega para atribuir la venta.

Avisos de conversión. Cuando un anunciante, una red o un sitio web nos avisa de una venta, un lead u otro evento, registramos el tipo de evento, el ID de pedido, los importes, la comisión, la moneda, el ID de clic y los identificadores de clic de Google que se incluyan, junto con datos técnicos de la solicitud del aviso: dirección IP, user agent, Referer, método HTTP, ruta, parámetros de la consulta y cuerpo de la solicitud. Si el aviso es un píxel que carga un navegador (por ejemplo en la página de confirmación de un pedido), esos datos técnicos son los de ese navegador.

3.4 Cookies y tecnologías similares

El responsable considera cwclk una cookie de atribución de la red necesaria para calcular y pagar comisiones. No pedimos consentimiento antes de ponerla. La necesidad de un control de consentimiento en determinadas jurisdicciones sigue pendiente de asesoría jurídica. La redirección funciona sin cookies ni JavaScript, y la configuración de tu navegador puede bloquear o borrar cookies. Cuando la plataforma publicitaria comprueba un enlace en segundo plano (seguimiento paralelo), la cookie que se pone en esa solicitud de fondo no necesariamente llega a tu navegador.

Píxel de medición de OpenAI. En las páginas de alta de afiliados y de merchants y en las páginas públicas de programas de afiliación, solo cuando aceptas la medición publicitaria (cw_consent=all), cargamos el Ads Measurement Pixel de OpenAI, un script alojado por OpenAI. Tras un alta o una solicitud exitosa, la página envía a OpenAI un nombre de evento y una referencia construida con el número interno de la nueva cuenta o solicitud. No le pasamos campos del formulario, correos, nombres ni URL. Sin ese consentimiento, no se carga el script del píxel ni se envía una solicitud a su dominio. Puedes cambiar tu elección desde los ajustes de cookies de esas páginas; elegir solo las esenciales detiene las cargas y los eventos de medición futuros. Si el píxel ya se ha cargado, retirar el consentimiento recarga la página para detenerlo. Lo que el script lea o guarde en tu navegador lo determina OpenAI.

Inicio de sesión con Google. Si lo eliges, el servicio de inicio de sesión de Google se ejecuta en tu navegador según los términos de Google.

La página de inicio del panel muestra un aviso de cookies y no carga scripts de analítica ni de publicidad. Las páginas de alta y las páginas públicas de programas de afiliación también ofrecen el aviso de consentimiento y los ajustes de cookies.

3.5 Registros del servidor

Por cada solicitud a nuestros servicios, nuestro proveedor de hosting, Google Cloud, registra la dirección IP, el user agent, la URL completa solicitada con sus parámetros (que pueden incluir identificadores de clic como gclid), el método, el estado, el tamaño y el tiempo de respuesta, y el Referer cuando el navegador lo envía. El registro propio del tracker anota el nombre de la ruta, no la ruta ni la consulta. Las direcciones IP también se usan como clave de contadores de límite de solicitudes por minuto, que caducan a los 60 segundos.

3.6 Correos y outreach

• Envío. Enviamos correos del servicio y de outreach a través de Resend, con el dominio remitente send.clickwise.net, y a través de la API de Gmail de nuestros buzones de Google Workspace.
• Eventos de entrega. Resend nos informa eventos de entrega: enviado, entregado, abierto, rebotado, queja y demorado. Los guardamos junto con el mensaje.
• Respuestas y correo entrante. El correo enviado a direcciones @clickwise.net llega a un buzón de Google Workspace. Nuestros sistemas lo leen automáticamente y guardan en nuestros registros de contactos el remitente, los destinatarios, la fecha, el asunto y el cuerpo. Google Gemini puede clasificarlo o resumirlo. El correo enviado a ciertos buzones personales queda fuera de la lectura automática.
• Outreach. Para encontrar posibles merchants y publishers recopilamos datos de contacto profesionales: razón social, sitio web o dominio, nombre del contacto, correo profesional, país, rubro, redes de afiliación que usa y un resumen de investigación escrito por nuestra IA. Las fuentes son datos de redes de afiliación, sitios web públicos, recomendaciones, carga manual, mensajes entrantes, Clickwise AI Ads y los proveedores de datos de contacto B2B Hunter, Apollo, Prospeo y Snov.io. Comprobamos con Bouncer si una dirección puede recibir correo. Si un destinatario marca nuestro mensaje como spam, el contacto pasa a «no contactar». Antes de enviar cualquier outreach, el sistema comprueba ese estado y cualquier baja registrada.

• Solicitudes de privacidad. Resend recibe los mensajes a privacy@hello.clickwise.net para atención humana, fuera de los flujos comerciales y de onboarding automatizados. El panel registra el remitente, el destinatario, los identificadores del mensaje, la hora y el estado de atención, sin descargar ni conservar el cuerpo o el asunto en ese registro. Se envía al buzón de Workspace del dueño un aviso con el remitente y el asunto. El mensaje completo permanece en Resend para quien atienda tu solicitud. La correspondencia que involucra buzones personales protegidos queda fuera de esta recepción automatizada. Los webhooks de entrada de la cuenta compartida de Resend también notifican a otros proyectos operados internamente metadatos del mensaje, incluidos remitente, destinatario y asunto.

3.7 Detección de idioma y país

Enviamos tu dirección IP a ipapi.co para saber tu país en tres casos: cuando abres la página de inicio del panel sin idioma en la dirección, cuando usas los formularios de alta y de onboarding, y cuando sigues un enlace /dl/ restringido por país. Guardamos el resultado en caché 24 horas, con la dirección IP como clave, o 5 minutos si la consulta falla. En las solicitudes de onboarding, el país estimado se guarda con la solicitud.

4. Para qué usamos tus datos y con qué base legal

Las siguientes bases expresan la posición adoptada por SOFT DEV FZ LLC como responsable. No afirman que se haya completado una evaluación jurídica independiente.

5. Quién recibe los datos

Proveedores de servicios

Sigue pendiente la evaluación individual del rol de cada proveedor como encargado o responsable independiente y de los acuerdos de tratamiento correspondientes. Afventures aloja correo cuyo responsable sigue siendo SOFT DEV FZ LLC, como un encargo intragrupo; su documentación formal está pendiente.

Pagos. Los pagos a afiliados se hacen actualmente de forma manual, por banco o PayPal. El proveedor de pagos recibe los datos del destinatario y de la transacción necesarios para realizar el pago.

Otros destinatarios. Los anunciantes, redes de afiliación y afiliados que intervienen en una referencia reciben los identificadores y la información de la transacción necesarios para la atribución y el pago. También podemos comunicar datos cuando la ley lo exija o para formular, ejercer o defender reclamaciones.

6. Transferencias internacionales

SOFT DEV FZ LLC está establecida en los Emiratos Árabes Unidos. Nuestros servidores de aplicación, bases de datos, caché y almacenamiento de archivos están en la región europe-west1 de Google Cloud (Bélgica). Google Cloud Logging guarda nuestros registros en su ubicación global. Otros proveedores de la sección 5 pueden tratar datos fuera de los Emiratos Árabes Unidos y del Espacio Económico Europeo, incluso en Estados Unidos. Resend almacena el correo de privacidad recibido en hello.clickwise.net en su región US East (Virginia del Norte). Sigue pendiente la evaluación de las ubicaciones de cada proveedor y de las garantías aplicables a las transferencias; esta política no afirma que ya existan garantías contractuales concretas.

7. Cuánto tiempo guardamos los datos

Nuestra posición sobre la conservación es guardar los datos mientras tu cuenta esté activa y el tiempo que exijan la conciliación y la contabilidad. Hoy no hay un calendario de borrado automático para cuentas, clics y avisos de conversión de afiliados, registros de comisiones, llamadas MCP, solicitudes de onboarding, registros de contactos ni correos. Cerrar una cuenta la marca como eliminada sin borrar automáticamente los datos asociados. Las herramientas de borrado y anonimización, incluidas las de direcciones IP de clics, siguen pendientes de implementación; no prometemos un plazo de borrado que el sistema no aplique.

• Registros del servidor: 30 días.
• Copias de seguridad de las bases de datos: copias automáticas; conservamos las últimas 30 de la base del panel y las últimas 7 de la base de tracking, más 7 días de registros de transacciones.
• Caché de consulta de país: 24 horas (5 minutos si la consulta falló).
• Cookies: según la tabla de la sección 3.4. Cuando una cookie caduca, no se borran los registros de nuestros servidores.

8. Tus derechos

Según la ley que se te aplique, puedes tener derecho a acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte a su tratamiento (incluida la oposición al outreach en cualquier momento), recibirlos en un formato portable, retirar tu consentimiento cuando el tratamiento se base en él y reclamar ante una autoridad de protección de datos. La posición del responsable es que se aplica la Ley de Protección de Datos Personales de los EAU (Decreto-Ley Federal n.º 45 de 2021) y, a los usuarios en la Unión Europea, el RGPD por su artículo 3(2). No hemos designado un representante en la UE; la obligación de designarlo y las autoridades de control competentes siguen pendientes de asesoría jurídica.

Para ejercerlos, escribe a privacy@hello.clickwise.net. Antes de actuar sobre una solicitud podemos pedirte información razonable para confirmar tu identidad. No envíes contraseñas, datos de pago ni documentos de identidad que no hagan falta. Los registros que guarda un anunciante o una red pueden requerir una solicitud aparte a esa organización. Responderemos dentro de un mes desde que recibamos tu solicitud. Este compromiso de respuesta no significa que todos los registros se borren automáticamente en ese plazo; las obligaciones contables pueden exigir que conservemos algunos registros.

9. Seguridad

Las contraseñas se guardan como hash con sal. La verificación en dos pasos está disponible para las cuentas. Los secretos del autenticador se guardan cifrados; un secreto guardado antes de que existiera el cifrado se convierte la próxima vez que se usa. En producción, las cookies de sesión y de CSRF solo se envían por HTTPS. Las credenciales del servicio se guardan en Google Cloud Secret Manager.

10. Cambios en esta política

Cuando cambie nuestro tratamiento, actualizaremos esta política y su fecha. Esta versión refleja la implementación revisada el 27 de septiembre de 2026.