Política de privacidad

1. Quiénes somos

El servicio MCPEmails disponible en mcpemails.com es operado por Albretsen Consulting, una empresa individual noruega (enkeltpersonforetak) propiedad de Asgeir Albretsen y gestionada por él, que opera bajo el nombre comercial "MCPEmails". En esta política, "MCPEmails", "nosotros", "nos" y "nuestro" se refieren a Albretsen Consulting. El servicio incluye todas las páginas del panel, los endpoints de API y el servidor de Model Context Protocol (MCP) que los agentes de IA usan para acceder a las cuentas de correo conectadas.

A los efectos de la legislación aplicable de protección de datos (incluido el Reglamento General de Protección de Datos de la UE, "RGPD"), MCPEmails es el responsable del tratamiento de los datos de cuenta y de uso. Para el contenido del correo, actuamos como encargado del tratamiento en tu nombre: transmitimos el contenido que nos autorizas a recuperar y no lo almacenamos.

Identificación del prestador del servicio: Albretsen Consulting es una empresa individual (enkeltpersonforetak) establecida en Noruega y gestionada por Asgeir Albretsen. Está inscrita en Enhetsregisteret, el Registro Central Coordinador de Entidades Jurídicas de Noruega, gestionado por Brønnøysundregistrene, con el número de organización 926 646 753. Nuestra dirección registrada es Håsteins gate 9, 5160 Laksevåg, Norway.

Albretsen Consulting no está actualmente inscrita en el registro noruego del IVA (Merverdiavgiftsregisteret). Puedes contactarnos sobre privacidad en privacy@mcpemails.com.

2. Datos que recopilamos

2.1 Datos de cuenta

Cuando creas una cuenta recopilamos tu dirección de correo y una contraseña con hash (nunca almacenamos contraseñas en texto plano). Opcionalmente puedes proporcionar un nombre para mostrar. Estos datos son necesarios para crear y mantener tu cuenta. Si marcas la casilla del formulario de registro para recibir consejos sobre el producto y ofertas por correo, también registramos que lo hiciste, cuándo y qué texto viste. Al registrarte, también registramos si usaste un teléfono, una tableta o un ordenador, según las cabeceras de la solicitud de tu navegador. Solo guardamos esa categoría, nunca la cadena de agente de usuario del navegador ni ningún identificador del dispositivo, y la usamos únicamente para entender de dónde vienen los registros.

2.2 Datos de espacio de trabajo y configuración

Almacenamos el nombre del espacio de trabajo que elijas y la configuración de cada bandeja conectada (tipo de proveedor, dirección de correo, estado de OAuth y marca de tiempo de conexión). No almacenamos tokens de acceso de OAuth ni contraseñas de aplicación en texto plano. Se cifran con AES-256-GCM antes de escribirse en la base de datos, y la clave de cifrado se guarda en un almacén de secretos separado.

2.3 Claves de API

Almacenamos un hash SHA-256 de cada clave de API que creas, junto con el nombre de la clave, sus alcances, la marca de tiempo de creación y la del último uso. El valor en bruto de la clave se te muestra exactamente una vez en el momento de la creación y nunca se almacena de forma recuperable.

2.4 Registros de uso y auditoría

Para cada llamada a una herramienta MCP que hace tu agente, registramos: el nombre de la herramienta (p. ej. email_read), la clave de API que hizo la llamada, la bandeja a la que se accedió, la marca de tiempo y si la llamada tuvo éxito. No registramos asuntos, cuerpos, destinatarios ni ningún otro contenido de correo en estos registros.

2.5 Contenido del correo: no se almacena

Cuando tu agente llama a email_read (para listar, leer o buscar) o cualquier otra herramienta de lectura, obtenemos el contenido solicitado en vivo desde tu proveedor de correo y lo devolvemos a tu agente en la misma respuesta HTTP. Ese contenido nunca se escribe en disco, se almacena en caché ni se registra. Una vez enviada la respuesta HTTP, no conservamos ninguna copia de ningún cuerpo de correo, asunto, adjunto o dato de contacto. La única excepción son los envíos programados: cuando pides a tu agente que programe un mensaje para entregarlo en el futuro, almacenamos ese mensaje saliente (sus destinatarios, asunto, cuerpo y cualquier adjunto) en nuestra base de datos hasta que se envía, y conservamos el registro después con fines de auditoría y resolución de problemas. Esto se aplica solo a los mensajes que programas explícitamente; el correo que tu agente lee o envía de inmediato nunca se almacena.

El contenido de tu correo solo se envía al cliente MCP o agente de IA que tú has conectado y utilizas (por ejemplo, Claude, Cursor u otro cliente MCP que elijas). Cuando invocas una herramienta, MCPEmails transmite el contenido solicitado a ese cliente para que pueda atender tu petición. MCPEmails no envía el contenido de tu correo a ningún proveedor de IA elegido por su cuenta. Una vez que el contenido llega al cliente que has elegido, se rige por la política de privacidad y los términos propios de ese cliente o proveedor de IA, que eres responsable de revisar. MCPEmails actúa únicamente como conducto y no conserva ninguna copia del contenido.

2.6 Datos técnicos y operativos

Recopilamos datos operativos estándar del lado del servidor, incluidas direcciones IP (para limitación de tasa y prevención de abuso), marcas de tiempo de peticiones, códigos de estado HTTP y tipos de error. Estos datos se conservan en forma agregada y anonimizada y no se vinculan a cuentas individuales después de 30 días.

2.7 Cookies y almacenamiento local

El panel establece una cookie de sesión propia emitida por Supabase Auth para mantenerte con la sesión iniciada. Si marcas la casilla de correo de marketing en el formulario de registro y luego continúas con Google o GitHub, también establecemos una cookie propia de corta duración (mcpe_signup_mc) que conserva esa elección durante la redirección de inicio de sesión. Caduca a los 15 minutos y se elimina en cuanto vuelves. No usamos cookies de seguimiento, cookies de publicidad ni cookies de terceros. Almacenamos dos valores propios y pequeños en el almacenamiento local de tu navegador y en ningún otro lugar: tu preferencia de tema (mcpe-theme) y un registro de cómo llegaste al sitio por primera vez (mcpe-acquisition). El segundo solo contiene una categoría general de la fuente de tráfico (por ejemplo reddit u organic_google) y el tipo de página en la que aterrizaste, nunca un identificador, un término de búsqueda ni una URL completa. Se conserva hasta 30 días y no se usa para seguirte por otros sitios.

2.8 Analítica de producto

Usamos Vercel Web Analytics para analítica de producto sin cookies y respetuosa con la privacidad. Medimos visitas y un pequeño embudo de configuración con categorías agregadas. Nunca enviamos contenido de correo, direcciones, claves API, tokens OAuth, identificadores de usuario o espacio de trabajo, solicitudes MCP ni datos del buzón. Consulta la documentación de analítica de Vercel. Como esta configuración no usa cookies ni identificadores no esenciales, no se requiere un banner de consentimiento según nuestra política elegida.

3. Cómo usamos tus datos

Usamos los datos descritos arriba para los siguientes fines:

3.1 Prestación del servicio

Usamos tus datos de cuenta para autenticarte, la configuración de tu espacio de trabajo para enrutar las llamadas a herramientas MCP al proveedor de correo correcto y tus claves de API para autorizar las peticiones del agente. Sin estos datos el servicio no puede funcionar. La base jurídica según el RGPD es la ejecución de un contrato.

3.2 Seguridad y prevención de abuso

Usamos direcciones IP, tasas de petición y patrones de error para detectar y bloquear actividad abusiva, aplicar límites de tasa y proteger la disponibilidad del servicio para todos los usuarios. La base jurídica son nuestros intereses legítimos en operar un servicio seguro.

3.3 Analíticas de uso y mejora del producto

Usamos datos de uso agregados y anonimizados (recuentos de llamadas a herramientas, tasas de error, latencia) para entender cómo se usa el servicio y priorizar mejoras. Las analíticas siguen siendo agregadas: no usamos datos de uso a nivel individual para este fin. Las señales individuales de cuenta y de uso solo se usan para aplicar los límites del plan (sección 3.4) y, si lo aceptaste, para elegir qué correo de marketing enviarte (sección 3.9). La base jurídica son nuestros intereses legítimos en mejorar el servicio.

3.4 Facturación y aplicación de planes

Usamos los recuentos de uso para determinar si tu espacio de trabajo ha alcanzado los límites del plan y para calcular tu factura en los planes de pago. La base jurídica es la ejecución de un contrato.

3.5 Cumplimiento legal

Podemos tratar y divulgar datos cuando lo exija la legislación aplicable, una orden judicial o una autoridad reguladora. La base jurídica es el cumplimiento de una obligación legal.

3.6 Lo que nunca haremos

• Vender tus datos personales o de uso a terceros.
• Usar el contenido de tu correo para entrenar modelos de IA.
• Usar tus datos para mostrarte publicidad.
• Compartir tus datos con terceros para sus propios fines de marketing.

3.7 Servicios de la API de Google: uso limitado

El uso y la transferencia a cualquier otra aplicación por parte de MCPEmails de la información recibida de las API de Google (incluida la API de Gmail) se ajustará a la Política de datos de usuario de los servicios de la API de Google, incluidos los requisitos de uso limitado.

Cuando conectas una cuenta de Gmail, concedes a MCPEmails los siguientes alcances de Gmail. Solicitamos cada alcance únicamente para proporcionar las funciones que invocas a través de tu agente de IA, y los usamos solo en tu nombre:

• gmail.readonly: listar mensajes y leer el contenido de los mensajes para que tu agente pueda buscar, leer y resumir correo a petición tuya.
• gmail.send: redactar y enviar mensajes que tu agente crea a petición tuya.
• gmail.modify: organizar tu correo según tus indicaciones, incluido aplicar y quitar etiquetas, marcar mensajes como leídos o no leídos, archivar mensajes, mover mensajes entre carpetas y mover mensajes a la papelera.

De acuerdo con los requisitos de uso limitado, MCPEmails:

• usa los datos de usuario de Google solo para proporcionar y mejorar las funciones de cara al usuario descritas arriba;
• no transfiere ni vende datos de usuario de Google a terceros, intermediarios de datos o redes publicitarias;
• no usa los datos de usuario de Google para mostrar anuncios;
• no usa los datos de usuario de Google para desarrollar, mejorar o entrenar modelos de IA o de aprendizaje automático generalizados o no personalizados;
• no permite que personas lean datos de usuario de Google a menos que (a) des consentimiento explícito para mensajes específicos, (b) sea necesario por motivos de seguridad como investigar abusos, (c) sea obligatorio para cumplir la legislación aplicable, o (d) los datos hayan sido agregados y anonimizados.

Como se describe en la Sección 2.5, el contenido de correo recuperado de la API de Gmail se transmite hacia tu agente en la misma petición y MCPEmails nunca lo almacena, lo guarda en caché ni lo registra.

3.8 API de Microsoft: acceso al buzón y cómo revocarlo

Cuando conectas un buzón de Outlook o Microsoft 365, Microsoft te pide que apruebes un conjunto de permisos concreto y detallado: leer y organizar tu correo, y enviar correo en tu nombre. Usamos ese acceso únicamente para ejecutar las funciones que pidas a un agente de IA sobre tu buzón, como leer, buscar, organizar, redactar y enviar. No lo usamos para crear una copia de tu buzón, y nunca usamos el contenido del correo, ni nada derivado de él, con fines publicitarios o de marketing.

Puedes retirar este acceso en cualquier momento, directamente con Microsoft y sin pedírnoslo. Para una cuenta personal de Microsoft, usa Permisos de la cuenta Microsoft. Para una cuenta profesional o educativa, usa Mis aplicaciones. Al revocar el acceso allí, dejamos de poder acceder a ese buzón de inmediato. Si tu administrador de TI aprobó MCPEmails para toda la organización, solo un administrador puede retirar esa aprobación para toda la organización.

Desconectar la bandeja de entrada en tu panel de MCPEmails tiene el mismo efecto por nuestra parte y además elimina las credenciales guardadas de ese buzón. Puedes hacer cualquiera de las dos primero; no es necesario hacer ambas.

3.9 Correo de marketing directo

Solo enviamos correos de marketing (consejos sobre el producto y ofertas, por ejemplo sobre un plan de pago cuando tu espacio de trabajo alcanza un límite del plan) si lo aceptaste marcando la casilla del formulario de registro. La casilla está desmarcada por defecto y no deducimos el consentimiento de ninguna otra acción. La base jurídica es tu consentimiento (artículo 6.1.a del RGPD), que la ley noruega de control del marketing (markedsføringsloven, § 15) también exige para el marketing por correo electrónico.

Para elegir cuál de unos pocos mensajes enviar, y cuándo, usamos señales de la cuenta y del uso del producto: por ejemplo, que tu espacio de trabajo alcanzó un límite del plan, cuántos buzones tienes conectados, tu plan y cuándo te registraste. Nunca usamos para ello el contenido de tu buzón ni nada derivado de él.

Puedes retirar tu consentimiento en cualquier momento con el enlace para darte de baja que incluye cada correo de marketing. Surte efecto de inmediato y no afecta a los recibos, avisos de seguridad ni otros correos que necesitamos enviar para gestionar tu cuenta. Guardamos cuándo diste tu consentimiento y qué texto viste, para poder demostrar que se otorgó.

4. Conservación de datos

Conservamos cada categoría de datos durante los siguientes períodos:

Cuando eliminas tu cuenta, iniciamos la eliminación de todos los datos personales en un plazo de 30 días. Las estadísticas de uso agregadas y no personales derivadas de tu cuenta pueden conservarse más allá de este período en forma anonimizada.

5. Terceros e intercambio de datos

5.1 Proveedores de infraestructura (encargados del tratamiento)

Usamos los siguientes subencargados para operar el servicio. Cada uno está vinculado por un Acuerdo de Tratamiento de Datos y trata los datos solo siguiendo nuestras instrucciones:

5.2 Proveedores de correo (tus proveedores, no los nuestros)

Cuando conectas Gmail, Outlook / Microsoft 365, Fastmail u otra cuenta IMAP, MCPEmails se autentica con ese proveedor usando las credenciales que proporcionas. La propia política de privacidad de tu proveedor de correo rige los datos guardados en tu buzón. MCPEmails accede a tu buzón solo cuando tu agente hace una llamada a una herramienta, y solo para los mensajes o carpetas específicos que la herramienta solicita.

5.3 Sin intermediarios de datos ni redes publicitarias

No compartimos ningún dato con intermediarios de datos, redes publicitarias, plataformas de redes sociales ni empresas de analíticas que construyen perfiles de usuario.

5.4 Divulgaciones legales

Podemos divulgar datos personales si lo exige la ley, un proceso legal válido (como una orden judicial o citación), o para proteger los derechos, la propiedad o la seguridad de MCPEmails, nuestros usuarios o el público. Cuando la ley lo permita, notificaremos a los usuarios afectados antes de divulgar sus datos.

5.5 Transferencias empresariales

En caso de fusión, adquisición o venta de activos, los datos personales pueden transferirse como parte de esa transacción. Notificaremos a los usuarios a través de la dirección de correo de su cuenta antes de que ocurra cualquier transferencia de este tipo y antes de que sus datos queden sujetos a una política de privacidad diferente.

6. Transferencias internacionales de datos

MCPEmails se opera desde Noruega, que está sujeta al marco de protección de datos del Espacio Económico Europeo (EEE). Si accedes al servicio desde fuera del EEE, tus datos pueden transferirse y tratarse en países dentro del EEE.

Nuestros subencargados de infraestructura (Supabase, Vercel) operan bajo Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea para transferencias de datos a terceros países. Para Stripe, el tratamiento está cubierto por su certificación del Marco de Privacidad de Datos UE-EE. UU.

Nuestra base de datos, que contiene los datos de cuenta y configuración, está alojada en la UE (Estocolmo, Suecia) para todos los clientes. Ningún plan ni ajuste la traslada a otra región.

7. Tus derechos

Según tu ubicación, puedes tener los siguientes derechos sobre tus datos personales:

• Acceso. Solicitar una copia de todos los datos personales que tenemos sobre ti.
• Rectificación. Pedirnos que corrijamos datos inexactos o incompletos.
• Supresión ("derecho al olvido"). Solicitar la eliminación de tus datos personales. Puedes activarlo tú mismo eliminando tu cuenta en Panel → Configuración → Eliminar cuenta.
• Limitación. Pedirnos que limitemos el tratamiento de tus datos en determinadas circunstancias.
• Portabilidad de datos. Solicitar tus datos en un formato legible por máquina (JSON).
• Oposición. Oponerte al tratamiento basado en intereses legítimos.
• Retirar el consentimiento. Cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin afectar a la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, escríbenos a privacy@mcpemails.com. Responderemos en un plazo de 30 días (o 72 horas para solicitudes urgentes relacionadas con la seguridad). Podemos pedirte que verifiques tu identidad antes de procesar la solicitud.

Si te encuentras en el EEE o el Reino Unido, tienes derecho a presentar una reclamación ante tu autoridad de control local. En Noruega, esta es el Datatilsynet (datatilsynet.no).

8. Seguridad

Nos tomamos en serio la seguridad de tus datos e implementamos medidas técnicas y organizativas adecuadas, entre ellas:

• Todos los datos en tránsito se cifran usando TLS 1.2 o superior. Las conexiones que no admiten TLS se rechazan.
• Los tokens de OAuth y las credenciales IMAP se cifran en reposo usando AES-256-GCM. La clave de cifrado se guarda en una instancia separada de Supabase Vault y nunca se ubica junto a los datos cifrados.
• Las claves de API se procesan con hash SHA-256 antes de almacenarse. La clave en bruto no puede recuperarse a partir del hash.
• El acceso a la base de datos está protegido por políticas de Seguridad a Nivel de Fila (RLS) que impiden que un espacio de trabajo acceda a los datos de otro, incluso en caso de un error de lógica de consulta.
• El acceso administrativo a la infraestructura de producción requiere autenticación multifactor y queda registrado.

A pesar de estas medidas, ningún sistema es perfectamente seguro. Si descubres una vulnerabilidad de seguridad, repórtala de forma responsable a security@mcpemails.com. Procuramos acusar recibo de los informes en un plazo de 24 horas y resolver las vulnerabilidades confirmadas en 72 horas para los problemas críticos.

En caso de una violación de datos personales que probablemente entrañe un riesgo para tus derechos y libertades, notificaremos a los usuarios afectados y a la autoridad de control pertinente en un plazo de 72 horas desde que tengamos conocimiento de la violación, conforme al Artículo 33 del RGPD.

9. Privacidad de los menores

MCPEmails no está dirigido a menores de 16 años. No recopilamos conscientemente datos personales de nadie menor de 16 años. Si crees que hemos recopilado inadvertidamente datos de un menor, contáctanos en privacy@mcpemails.com y los eliminaremos sin demora.

10. Cambios en esta política

Podemos actualizar esta Política de privacidad de vez en cuando. Cuando hagamos cambios materiales (como recopilar nuevas categorías de datos o compartir datos con nuevos terceros):

• Actualizaremos la fecha de «Última actualización» en la parte superior de esta página.
• Enviaremos una notificación por correo a la dirección registrada en tu cuenta al menos 14 días antes de que los cambios entren en vigor.
• Mostraremos un aviso destacado en el panel durante 14 días después de que el cambio entre en vigor.

Tu uso continuado del servicio después de que un cambio entre en vigor constituye la aceptación de la política actualizada. Si no estás de acuerdo con un cambio material, puedes eliminar tu cuenta antes de la fecha de entrada en vigor.

11. Contáctanos

Si tienes preguntas sobre esta Política de privacidad, deseas ejercer un derecho como interesado o quieres reportar una preocupación de privacidad, contáctanos: