Legal | Origen Agency

Política de privacidad

Última actualización: 20 de octubre de 2026

En Origen Agency («nosotros», «nuestro») tomamos en serio la privacidad de los datos personales que tratamos al ofrecer nuestros servicios de captación de leads B2B y nuestro CRM. Esta política describe cómo recogemos, usamos, almacenamos y protegemos la información cuando utilizas nuestra web y la plataforma Origen Agency CRM, alojada en subdominios de origenagency.com, incluidas sus páginas de reserva y de conexión de calendario.

1. Datos que recopilamos

1.1 Datos que tú nos proporcionas

Nombre, email corporativo, teléfono y empresa al registrarte o contactarnos.
Información de leads B2B que introduces o importas en el CRM (nombre, email, empresa, sector, web, notas).
Contenido que escribes en plantillas de email, notas internas y campañas.

1.2 Datos que obtenemos al conectar Google

Si autorizas la integración con tu cuenta de Google, accedemos a:

Google Calendar, para consultar tu disponibilidad (solo si una franja está ocupada o libre) y para crear, modificar y cancelar los eventos de las reuniones agendadas a través del CRM. No leemos el contenido de tus otros eventos (scopes: calendar.events, calendar.events.freebusy).
Gmail, exclusivamente para enviar emails programados desde el CRM como si fueran tuyos (scope: gmail.send). No leemos, ni almacenamos, ni accedemos a otros emails de tu bandeja.
Email, nombre y foto de perfil básicos (scopes: openid email profile).

1.3 Datos técnicos

Logs de uso (timestamps de acciones, errores) para diagnóstico.
Dirección IP y user-agent para seguridad.

2. Cómo usamos los datos

Proveer el servicio del CRM y todas sus funcionalidades.
Agendar reuniones en tu calendario y enviar emails de confirmación/recordatorio/follow-up a tus leads.
Generar informes y estadísticas internas del cliente.
Comunicarte cambios importantes del servicio, soporte técnico y novedades (puedes darte de baja en cualquier momento).

3. Limited Use: Google API Services

El uso que hace Origen Agency CRM de la información recibida de Google APIs cumple con la Política de Datos de Usuario de Google API Services, incluidos los requisitos de Limited Use. Concretamente:

No vendemos los datos obtenidos de Google APIs.
No usamos los datos para servir anuncios.
No los compartimos con terceros más allá de lo estrictamente necesario para operar el servicio (proveedores listados abajo).
No los leen humanos excepto: a) con tu consentimiento expreso, b) por seguridad, c) para cumplir la ley aplicable, o d) cuando los datos se anonimicen y agreguen para mejorar el servicio.
No usamos los datos obtenidos de Google APIs para desarrollar, mejorar ni entrenar modelos generales de inteligencia artificial o aprendizaje automático, ni los enviamos a herramientas de IA de terceros.

Origen Agency's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Qué datos de Google guardamos y cómo los protegemos. Solo guardamos lo imprescindible para que la integración funcione:

Los tokens de acceso de Google, cifrados en reposo y en tránsito, para poder actuar en tu calendario y enviar los emails que tú programas.
El email de la cuenta de Google conectada.
El identificador, la fecha y la hora de los eventos que crea el CRM, para poder cambiarlos o cancelarlos.

No guardamos el contenido de tus otros eventos ni ningún email de tu bandeja. Al desconectar el calendario desde el CRM borramos los tokens guardados.

4. Almacenamiento y proveedores

Los datos se almacenan en infraestructura segura cifrada en reposo y en tránsito:

Supabase (Frankfurt, UE), base de datos PostgreSQL y autenticación.
Resend, proveedor de envío de email (fallback cuando no usas tu propio Gmail).
Anthropic Claude API, procesamiento de IA cuando usas funciones como «Personalizar con IA». El contenido enviado a Claude no se usa para entrenamiento. Nunca enviamos a Claude datos obtenidos de Google APIs (calendario o Gmail).

5. Seguridad y protección de datos sensibles

Tratamos como datos sensibles los tokens de acceso de Google, el email de la cuenta de Google conectada, el contenido de los emails que programas y los datos de contacto de tus leads. Los protegemos con estas medidas:

Cifrado en tránsito: todas las comunicaciones entre tu navegador, el CRM, nuestra base de datos y las APIs de Google viajan cifradas con HTTPS (TLS).
Cifrado en reposo: la base de datos y sus copias de seguridad están cifradas con AES-256 en los servidores de Supabase en Frankfurt (Unión Europea).
Tokens de Google solo en el servidor: los tokens se guardan en la base de datos del servidor y solo los usan nuestras funciones de servidor para enviar los emails que tú programas y gestionar los eventos de tus reuniones. La aplicación del CRM nunca los solicita ni los muestra.
Control de acceso: cada usuario accede con sus propias credenciales y las contraseñas se guardan cifradas con hash, nunca en texto plano. Las políticas de seguridad a nivel de fila de la base de datos hacen que cada usuario solo pueda acceder a los datos de su propia cuenta; dentro de Origen, solo el personal autorizado que gestiona tu cuenta puede acceder a ellos.
Mínimo acceso necesario: de Gmail solo pedimos el permiso de enviar emails (gmail.send). No podemos leer tu bandeja de entrada y no guardamos ningún email de tu cuenta de Google. De Google Calendar solo consultamos si una franja está libre u ocupada y gestionamos los eventos que crea el CRM.
Sin uso secundario: los datos obtenidos de Google APIs no se venden, no se usan para publicidad, no se envían a servicios de inteligencia artificial y no se comparten con terceros.
Borrado: al desconectar Google desde el CRM o al eliminar tu cuenta, borramos los tokens guardados.
Incidentes de seguridad: si se produjera una brecha que afectara a tus datos, te lo comunicaríamos a ti y a la autoridad de control en un máximo de 72 horas, como exige el RGPD.

6. Retención y eliminación

Conservamos tus datos mientras tu cuenta esté activa. Cuando solicitas la eliminación de tu cuenta:

Borramos todos tus datos personales y los de los leads que importaste.
Revocamos los tokens OAuth de Google asociados a tu cuenta.
Los logs anonimizados pueden conservarse hasta 90 días para auditoría de seguridad.

Puedes solicitar la eliminación escribiéndonos a d.garcia@origenagency.com.

7. Revocación del acceso a Google

Puedes revocar el acceso de Origen Agency CRM a tu cuenta de Google en cualquier momento desde https://myaccount.google.com/permissions. Al hacerlo, dejaremos de poder crear eventos en tu calendario o enviar emails en tu nombre.

8. Tus derechos (RGPD)

Como usuario en el EEE tienes derecho a:

Acceder a los datos que tenemos sobre ti.
Rectificar datos incorrectos.
Solicitar el borrado («derecho al olvido»).
Portabilidad de tus datos en formato estructurado.
Oponerte al tratamiento.
Presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

9. Cookies

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada. No usamos cookies de tracking publicitario. Para más detalles consulta nuestra Política de Cookies.

10. Enlaces a terceros

Nuestro sitio web puede contener enlaces a otros sitios. Una vez que abandonas nuestra web no tenemos control sobre el destino. Esos sitios tienen sus propias políticas, te recomendamos consultarlas.

11. Cambios a esta política

Podemos actualizar esta política. Si hay cambios sustanciales, te avisaremos por email con al menos 30 días de antelación. La versión vigente siempre estará en esta URL.

12. Contacto

Para cualquier consulta sobre privacidad: