Política de privacidad
Última actualización: 13 de noviembre de 2026
1. Quién somos y a quién se aplica
Fersoft Technologies, LLC, sociedad de responsabilidad limitada constituida en Delaware (número de archivo 10321376), con domicilio en 1111B S Governors Ave STE 39885, Dover, DE 19904, Estados Unidos, opera castly (castly.sh), un servicio para que developers y empresas envíen notificaciones web push a las personas que se suscriben en sus webs. Para cualquier cuestión de privacidad escríbenos a hola@castly.sh.
Esta política distingue dos casos:
- Clientes (quien crea una cuenta y su organización): somos el responsable del tratamiento de los datos de su cuenta.
- Suscriptores de nuestros clientes (quien acepta las notificaciones de una web que usa castly): el responsable del tratamiento es esa web, y nosotros somos su encargado del tratamiento: tratamos esos datos solo para prestarle el servicio y siguiendo sus instrucciones.
2. Si recibes notificaciones de una web que usa castly
Qué datos: la suscripción push que crea tu navegador al aceptar las notificaciones (una dirección del servicio push de tu navegador y sus claves de cifrado); el navegador y el sistema operativo; si la web los envía, su identificador de usuario para ti y unas etiquetas (por ejemplo, tu plan o tu idioma); si la web marca tu navegador como dispositivo de prueba, esa marca y su nombre; y los eventos de cada notificación: cuándo se envió, si se entregó, si hiciste clic y, si falló, el código de error del servicio push.
Para qué: para entregarte las notificaciones de esa web y mostrarle si llegaron. No usamos tus datos para publicidad ni los vendemos, y no los cruzamos entre webs: si te suscribes a dos webs que usan castly, cada una tiene su propia suscripción sin relación con la otra. El contenido de cada notificación viaja cifrado hasta tu navegador.
Tus derechos: puedes dejar de recibir notificaciones cuando quieras retirando el permiso en los ajustes de tu navegador o desde la propia web. Para acceder a tus datos, corregirlos o eliminarlos, dirígete a la web en cuestión. Si nos escribes a hola@castly.sh, trasladaremos tu petición a esa web y le ayudaremos a responderla.
Conservación: la suscripción, mientras la web la mantenga; los eventos de entrega, 30 días. Después solo quedan totales diarios sin datos personales. Si la web borra su proyecto o su cuenta, borramos tus datos en un plazo máximo de 30 días, salvo lo que quede temporalmente en copias de seguridad.
3. Si tienes una cuenta
- Cuenta: nombre, correo electrónico, contraseña protegida con un algoritmo de resumen (nunca en claro), idioma y estado de verificación. Si entras con Google, recibimos tu nombre, tu correo verificado y el identificador de tu cuenta de Google; no guardamos tokens de Google.
- Organización y proyectos: nombres, URL de la web e icono de cada proyecto, plan, uso mensual, configuración del aviso de permiso, claves VAPID, claves de API (de las secretas solo guardamos un resumen), la URL de tu webhook y el registro de sus llamadas, y las notificaciones que envías con su contenido.
- Facturación: estado del plan, identificadores de cliente y suscripción de Stripe y los datos necesarios para las facturas. Los datos de tu tarjeta se introducen en Stripe, no en castly.
Los usamos para prestar el servicio que contratas y gestionar tu cuenta (ejecución del contrato), tramitar pagos y facturas (contrato y obligaciones legales), enviarte los correos necesarios de cuenta, uso y suscripción, como el aviso al acercarte a tu cuota (contrato) y proteger el servicio frente a fraudes y abusos (interés legítimo). Puedes editar tus datos desde el panel y pedirnos el acceso, la rectificación, la supresión, la oposición, la limitación o la portabilidad en hola@castly.sh. Podemos pedirte información razonable para verificar tu identidad. Puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o la autoridad de protección de datos de tu país.
4. Seguridad y registros técnicos
Las claves privadas VAPID y los secretos de los webhooks se guardan cifrados con AES-GCM, y de las claves de API secretas solo guardamos un resumen SHA-256. Para limitar intentos abusivos guardamos durante minutos u horas un resumen de la dirección IP junto a un contador; nunca la IP en claro. Las plataformas que usamos generan registros técnicos de seguridad. Usamos conexiones cifradas y controles de acceso por organización. Ningún sistema es infalible; gestionaremos y notificaremos las brechas cuando lo exija la ley, y avisaremos sin demora a los clientes afectados.
5. Proveedores (subencargados)
- Cloudflare: infraestructura, red, colas, base de datos y envío de correos (Cloudflare Email Service). Todos los datos del servicio se guardan en Cloudflare.
- Stripe: pagos, facturas y suscripciones. Puede actuar como responsable independiente de algunos datos de pago.
- Google: si eliges entrar con Google, como proveedor de identidad.
Para entregar cada notificación, la enviamos al servicio push del navegador del suscriptor (por ejemplo, el de Google, Mozilla, Apple o Microsoft), que forma parte del navegador que el suscriptor eligió; el contenido viaja cifrado de forma que solo su navegador puede leerlo. Los artículos del blog se redactan con Workers AI de Cloudflare sin datos personales. Las tipografías se sirven desde nuestros servidores. Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo; cuando el RGPD lo exija, usaremos decisiones de adecuación o garantías válidas como las cláusulas contractuales tipo.
6. Cookies y almacenamiento local
castly no usa cookies de publicidad ni de analítica. Solo usamos almacenamiento técnico:
__Host-session: mantiene tu sesión en el panel (30 días).google_*: protegen el inicio de sesión con Google durante unos minutos.- Almacenamiento local del navegador: tu idioma y el tema claro u oscuro del panel.
En las webs de nuestros clientes, el SDK de castly guarda en el navegador del visitante el identificador de su suscripción y, para el aviso de permiso, cuántas páginas ha visto y si eligió «Ahora no», durante los días que fije la web; el elemento <castly-optin> recuerda lo mismo. Informar de ello a sus visitantes corresponde a cada web.
7. Conservación de los datos de los clientes
Conservamos la cuenta, la organización y sus proyectos mientras uses el servicio. Los logs de entrega se borran a los 30 días. Si pides eliminar tu cuenta, borraremos o anonimizaremos sus datos y los de tus suscriptores en un plazo máximo de 30 días, salvo los que debamos conservar por ley (por ejemplo, facturas) o los que permanezcan temporalmente en copias de seguridad. Los registros de envío de correo se conservan hasta 30 días y los contadores de intentos, horas.
8. Menores
Las cuentas son para mayores de edad. Las webs que usan castly deciden a quién piden permiso para enviar notificaciones y son responsables de cumplir las normas sobre menores que les apliquen.
9. Cambios
Publicaremos los cambios en esta página y, si son relevantes, avisaremos a los clientes por correo o en el panel.