Política de privacidad

En vigor a partir del 14 de agosto de 2026. Se aplica a CommonLynk («CommonLynk», «nosotros», «nos»), gestionada por Common Ground Solutions (CGS), sociedad de responsabilidad limitada constituida conforme a la Ley egipcia n.º 159 de 1981, New Maadi, El Cairo, Egipto.

1. Acerca de esta política

Esta política explica cómo trata CommonLynk los datos personales cuando usted visita nuestro sitio web, crea una cuenta y utiliza la plataforma CommonLynk. Nos comprometemos a proteger los datos personales y a tratarlos de conformidad con los principales marcos de protección de datos, entre ellos el Reglamento General de Protección de Datos de la UE (RGPD) (General Data Protection Regulation, GDPR), y la legislación en materia de protección de datos aplicable a su uso de la plataforma.

CommonLynk es una plataforma multiinquilino (multi-tenant) que las organizaciones (ONG, organizaciones de la sociedad civil y entidades similares; en adelante, las «Organizaciones») utilizan para gestionar sus programas, personas beneficiarias, formularios e informes.

2. Nuestras dos funciones

Como responsable del tratamiento: respecto de los datos relativos a nuestra clientela directa y a las personas que visitan nuestro sitio web —titulares de cuentas, contactos de facturación y personas que se ponen en contacto con nosotros—, somos quienes decidimos los fines y los medios del tratamiento de dichos datos. Esta política rige dicho tratamiento.
Como encargado del tratamiento: respecto de los datos que una Organización introduce sobre las personas, los hogares y los establecimientos que registra y atiende en la plataforma (cada uno de ellos, una «Persona Beneficiaria») y sobre sus operaciones, la Organización es el responsable del tratamiento y CommonLynk actúa únicamente como encargado del tratamiento, siguiendo las instrucciones documentadas de la Organización. Dicho tratamiento se rige por nuestro Acuerdo de Tratamiento de Datos («ATD»), y las consultas sobre esos datos deben dirigirse a la Organización correspondiente.

3. Datos personales que recopilamos (como responsable del tratamiento)

Cuenta e identidad: nombre, correo electrónico profesional, organización, rol, idioma y preferencias regionales.
Autenticación: contraseña (almacenada mediante función hash), códigos de inicio de sesión de un solo uso y metadatos de seguridad y de inicio de sesión.
Facturación: nombre de facturación, dirección, número de identificación fiscal, suscripción, facturas y referencias de pago. No almacenamos números de tarjeta completos: los pagos con tarjeta los gestiona nuestro proveedor de pagos; las referencias de transferencias bancarias y los justificantes que usted cargue se almacenan para conciliar el pago.
Uso y datos técnicos: dirección IP (utilizada, entre otros fines, para mostrar la moneda y el idioma adecuados), datos del dispositivo o del navegador y datos de registro.
Comunicaciones: los mensajes que nos envía y los metadatos de entrega de correo electrónico.
Datos de diagnóstico y de asistencia: cuando la plataforma detecta un error, o cuando usted notifica un problema o formula una sugerencia, registramos información técnica sobre lo ocurrido: la dirección de la página, los detalles técnicos del error, su navegador y sistema operativo, su idioma, la hora, su cuenta y su organización, y un registro de las acciones realizadas inmediatamente antes (el tipo de acción y el nombre del control utilizado, nunca el contenido que usted escribió ni los registros que estaba consultando). Si decide adjuntar una captura de pantalla o un archivo a una notificación, también lo almacenamos. En la sección 6 se explica cómo se tratan estos datos, incluidos nuestros controles sobre las capturas de pantalla.

4. Por qué los utilizamos y nuestras bases jurídicas

Tratamos los datos anteriores para: prestar el servicio y garantizar su seguridad; autenticarle; tramitar suscripciones, pagos y facturas; prestar asistencia; diagnosticar, corregir y prevenir fallos en la plataforma (sección 6); enviar correos electrónicos relativos al servicio y transaccionales; y cumplir las obligaciones legales. En función de la legislación aplicable, nuestras bases jurídicas incluyen la ejecución de un contrato, el interés legítimo, el consentimiento y el cumplimiento de obligaciones legales. Cuando la base sea el consentimiento, usted podrá retirarlo en cualquier momento. Nuestro interés legítimo respecto de los datos de diagnóstico consiste en mantener la plataforma en correcto funcionamiento y en condiciones de seguridad; limitamos lo que se recopila a lo que sirve a dicha finalidad.

5. Subencargados del tratamiento y comunicación de datos

Recurrimos a terceros previamente evaluados para prestar el servicio, por ejemplo, para la entrega de correo electrónico, el procesamiento de pagos y el alojamiento en la nube o las copias de seguridad. Estos terceros tratan los datos únicamente siguiendo nuestras instrucciones y con las garantías adecuadas. En la sección Subencargados del tratamiento (lista actual), al final de esta política, figura una lista actualizada de los subencargados del tratamiento, en la que se indica el nombre de cada proveedor, qué datos trata y dónde. Notificamos con al menos 30 días de antelación la incorporación o sustitución de un subencargado del tratamiento, de modo que las Organizaciones puedan oponerse por motivos razonables relacionados con la protección de datos. No vendemos datos personales.

5A. Conexión de su propio almacenamiento (Google Drive, Dropbox, OneDrive o S3)

Una Organización puede, de forma opcional, conectar su propio almacenamiento en la nube para que CommonLynk entregue allí una copia de los paquetes cifrados de copias de seguridad de la Organización (véase la sección 4A(8) del Acuerdo de Tratamiento de Datos). Cuando usted conecta una cuenta de este tipo, CommonLynk utiliza únicamente un acceso limitado a la carpeta de la aplicación: la conexión solo puede leer y escribir los archivos de copia de seguridad que la propia CommonLynk crea en su carpeta dedicada; nunca puede ver, leer ni acceder a ninguno de sus demás archivos de esa cuenta.

Uso limitado de las API de Google. Cuando usted conecta Google Drive, el uso y la transferencia por parte de CommonLynk de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de uso limitado (Limited Use). En concreto, CommonLynk no utiliza los datos de usuario de Google para mostrar publicidad; no los vende ni los transfiere a intermediarios de datos ni a revendedores de información; no los utiliza con fines de evaluación de la solvencia crediticia o de concesión de préstamos; y no los utiliza para entrenar, crear o mejorar ningún modelo generalizado de inteligencia artificial o de aprendizaje automático. Ninguna persona lee estos datos, salvo con su consentimiento expreso, cuando resulte necesario por motivos de seguridad o para cumplir la ley, o de forma agregada o anonimizada para operaciones internas. La limitación equivalente a la carpeta de la aplicación se aplica a Dropbox (App Folder) y a OneDrive (Microsoft Graph Files.ReadWrite.AppFolder).

6. Datos de diagnóstico y notificaciones de fallos

Cuando algo falla en la plataforma, o cuando usted notifica un problema, registramos datos de diagnóstico para poder comprender y corregir el fallo: los detalles técnicos del error, la dirección de la página, el navegador y el sistema operativo, el idioma de la interfaz, las marcas de tiempo, quién había iniciado sesión y en qué espacio de trabajo, y un rastro de las acciones realizadas inmediatamente antes del fallo, limitado a el tipo de acción y el nombre del control utilizado, nunca lo que se escribió ni el contenido de ningún registro. Usted también puede optar por adjuntar una captura de pantalla o un archivo.

Las notificaciones las leen personas. Nuestro personal de asistencia recibe cada día un resumen interno con las notificaciones recibidas, de modo que una persona lee cada una de ellas. Dicho resumen se envía por correo electrónico y nunca incluye capturas de pantalla ni archivos cargados: contiene un enlace que abre la notificación dentro de la plataforma, de forma que siguen aplicándose las protecciones descritas a continuación, incluido el registro de quién la abrió.

Las capturas de pantalla merecen una mención específica. Una captura de pantalla de una página de la plataforma puede contener datos personales de las personas a las que atiende una Organización. Por ello: las capturas de pantalla solo se toman cuando una persona decide adjuntar una; la persona ve una vista previa y puede ocultar cualquier parte de ella, o descartarla, antes de enviarla; se almacenan en un almacenamiento protegido al que no se puede acceder desde la web pública; solo el personal de asistencia autorizado puede abrirlas, y cada vez que se abre una se deja constancia en nuestro registro de auditoría; y se conservan y eliminan de conformidad con la Política de Conservación de Datos.

7. Transferencias internacionales

La plataforma puede tratar datos en más de un país. Cuando se transfieran datos personales fuera de las fronteras de un país, aplicamos las garantías exigidas por la legislación aplicable (que pueden incluir las autorizaciones de la autoridad reguladora, garantías contractuales como las cláusulas contractuales tipo, o el alojamiento dentro de la región que exija la jurisdicción correspondiente). Las Organizaciones deben consultar el Acuerdo de Tratamiento de Datos para conocer los detalles pertinentes respecto de los datos de sus personas beneficiarias.

8. Conservación

Conservamos los datos personales únicamente durante el tiempo necesario para los fines indicados y según lo exija la ley. Los datos de las cuentas y de los espacios de trabajo siguen el ciclo de vida establecido en nuestra Política de Conservación de Datos (activo → período de gracia → inactivo → eliminación).

9. Sus derechos

Con sujeción a la legislación aplicable, usted puede tener derecho a acceder a sus datos personales, rectificarlos, suprimirlos, limitar su tratamiento u oponerse a él, retirar su consentimiento y solicitar su portabilidad, así como a presentar una reclamación ante su autoridad de protección de datos. Para ejercer estos derechos respecto de los datos que tratamos como responsable del tratamiento, póngase en contacto con nuestra delegada de protección de datos, Yasmine Ossama — dpo@commonlynk.com. Respecto de los datos que una Organización trate sobre usted en calidad de Persona Beneficiaria, póngase en contacto con dicha Organización (le prestaremos asistencia como encargado del tratamiento).

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado en tránsito (HTTPS), controles de acceso, aislamiento de los espacios de trabajo, acceso autenticado a los archivos cargados y copias de seguridad periódicas. Ningún sistema es perfectamente seguro, pero trabajamos para proteger sus datos y para notificar con prontitud a las partes pertinentes si se produce una violación de la seguridad.

11. Menores de edad

La plataforma está destinada a ser utilizada por las Organizaciones y su personal, no a ser utilizada directamente por menores de edad. Cuando una Organización registre datos de menores de edad como Personas Beneficiarias, la Organización es el responsable del tratamiento y responde de obtener el consentimiento reforzado y de aplicar la protección reforzada que exija la legislación aplicable; CommonLynk le presta apoyo en ello como encargado del tratamiento.

12. Modificaciones y contacto

Podemos actualizar esta política; la fecha de «última actualización» cambiará y se notificarán las actualizaciones sustanciales. Consultas o solicitudes: nuestra delegada de protección de datos, Yasmine Ossama — dpo@commonlynk.com / Common Ground Solutions (CGS), sociedad de responsabilidad limitada constituida conforme a la Ley egipcia n.º 159 de 1981, New Maadi, El Cairo, Egipto.

Subencargados del tratamiento (lista actual)

Qué es esta página

Un subencargado del tratamiento es una empresa tercera que trata datos personales por cuenta de CommonLynk para prestar el servicio. En esta página se nombra a todos ellos y se indica qué datos trata cada uno y dónde, de modo que una Organización que utilice CommonLynk pueda cumplir sus propias obligaciones de responsabilidad proactiva y de diligencia debida ante los donantes.

Aviso de cambios. Notificamos a las Organizaciones con al menos 30 días de antelación la incorporación o sustitución de un subencargado del tratamiento. Una Organización puede oponerse por motivos razonables relacionados con la protección de datos; el procedimiento figura en la sección 5 del ATD. Para recibir los avisos de cambios, póngase en contacto con nuestra delegada de protección de datos, Yasmine Ossama — dpo@commonlynk.com.

Última revisión: 18 de agosto de 2026.

Subencargados del tratamiento actuales

Brevo

Finalidad: correo electrónico transaccional saliente: mensajes relativos a la cuenta, la facturación, la asistencia y las notificaciones
Datos personales tratados: nombre y dirección de correo electrónico de la persona destinataria, asunto y cuerpo del mensaje, metadatos de entrega
Lugar de tratamiento: UE
Estado: Activo

Paymob

Finalidad: procesamiento de pagos con tarjeta
Datos personales tratados: nombre de facturación, datos de contacto, identificadores de pago. CommonLynk nunca recibe ni almacena números de tarjeta: estos se introducen en la página alojada por el propio proveedor
Lugar de tratamiento: Egipto
Estado: Configurado; todavía no trata datos reales de titulares de tarjetas; se activará cuando se efectúe el primer pago real

Contabo GmbH

Finalidad: alojamiento de la infraestructura de servidores (servidor privado virtual [VPS] en el que se ejecutan la plataforma y sus bases de datos, incluido el primer espacio de trabajo) y almacenamiento externo de copias de seguridad con acceso controlado
Datos personales tratados: todos los datos de la plataforma, en reposo, en tratamiento y en las copias de seguridad completas
Lugar de tratamiento: Alemania (UE)
Estado: Activo

Ampliación del alojamiento. A medida que CommonLynk crezca, es posible que otros espacios de trabajo se alojen con otros proveedores o en otros países. Cada uno de esos proveedores figurará en esta lista y se notificará con antelación a las Organizaciones antes de su incorporación, conforme a la sección 5 del ATD.

Terceros que no son subencargados del tratamiento

Se enumeran para dejar constancia de que su ausencia es deliberada y no un descuido, ya que las personas encargadas de las revisiones de diligencia debida suelen preguntar por ellos:

GeoNames

Motivo por el que no es un subencargado del tratamiento: CommonLynk obtiene de este servicio datos públicos de referencia sobre divisiones administrativas. No se envía ningún dato personal.

Fuente pública de tipos de cambio

Motivo por el que no es un subencargado del tratamiento: se obtienen los tipos de cambio; no se envía nada.

Consulta de país a partir de la dirección IP (base de datos local)

Motivo por el que no es un subencargado del tratamiento: el país de la persona visitante (para la moneda y el idioma) se obtiene de una base de datos local; no se envía ninguna dirección IP a ningún tercero.

Mantenimiento del hardware propio de Contabo GmbH

Motivo por el que no es un subencargado del tratamiento: está cubierto por el contrato de alojamiento mencionado anteriormente y no constituye una contratación independiente.

Almacenamiento para el depósito de copias de seguridad conectado por el responsable del tratamiento (Google Drive / Dropbox / OneDrive / S3)

Motivo por el que no es un subencargado del tratamiento: cuando una Organización conecta su propio almacenamiento para recibir copias de seguridad, esa cuenta es una instalación propia de la Organización y no un subencargado del tratamiento de CommonLynk. CommonLynk utiliza un acceso limitado a la carpeta de la aplicación y solo puede actuar sobre los archivos de copia de seguridad que ella misma crea. Véase la sección 4A(8) del ATD.

Qué exigimos a cada subencargado del tratamiento

De conformidad con la sección 5 del ATD, cada subencargado del tratamiento está sujeto a un contrato por escrito que le impone obligaciones de protección de datos que ofrecen, como mínimo, el mismo nivel de protección que las que CommonLynk asume frente a sus Organizaciones, y CommonLynk sigue siendo plenamente responsable del cumplimiento de dichas obligaciones por parte de aquellos.