Política de privacidad, CallMerlin

Responsable del tratamiento de datos personales: Small Guy B.V., que opera bajo el nombre CallMerlin Con domicilio en Breda, Países Bajos (KvK: 70358729) Correo electrónico: privacy@callmerlin.app

Recopilamos y tratamos las siguientes categorías de datos personales: a) Datos de cuenta: nombre, dirección de correo electrónico, nombre de empresa, número de teléfono (opcional), preferencia de idioma, dirección IP en el registro. b) Datos de pago: nombre de facturación, dirección de facturación, número de IVA. Los datos de tarjetas de crédito o bancarios son procesados y almacenados exclusivamente por Stripe, Inc. y no son almacenados por CallMerlin. c) Datos de uso: horas de inicio de sesión, funciones utilizadas, duración de la sesión, tipo de navegador, sistema operativo, tipo de dispositivo. d) Datos de llamadas: transcripciones de sesiones Merlin (el audio de esas sesiones no se conserva), números de teléfono de los llamantes, duración de la llamada, hora de la llamada, resultado de la llamada (como una cita reservada o una acción ejecutada) y resúmenes generados por IA. e) Datos de conexión: credenciales de los Servicios Conectados (claves API, tokens OAuth), almacenadas cifradas (AES-256), y los metadatos de las acciones realizadas en dichos servicios en nombre del Usuario. f) Datos de Usuarios PIN: nombre y configuración PIN de las personas a las que el Usuario concede acceso por voz, y números de teléfono de verificación utilizados para la autenticación de dos factores por SMS. g) Datos de comunicación: correspondencia con nuestro departamento de soporte o ventas. h) Datos de Llamantes: datos personales compartidos por los Llamantes durante una conversación con el asistente de voz (como nombre, datos de contacto y el asunto de su solicitud). Estos datos se tratan por cuenta del Usuario (el responsable del tratamiento); CallMerlin actúa como encargado del tratamiento. i) Datos de inicio de sesión OAuth (Google o Sign in with Slack): dirección de correo electrónico, nombre e información de perfil del proveedor de identidad, utilizados solo para crear o autenticar tu cuenta CallMerlin. Sign in with Slack usa únicamente los scopes openid, email y profile. Sign in with Slack (esta aplicación de inicio de sesión) no envía datos de usuario a un LLM. El procesamiento LLM comienza solo después del inicio de sesión, cuando el cliente utiliza activamente las funciones de IA. k) Audio de grabación temporal (grabación de reunión en vivo y Llamar con grabación en app/escritorio): cuando un usuario PIN graba a propósito, el audio se almacena temporalmente en la UE para reconocimiento de voz y para crear un resumen con puntos de acción. Tras un procesamiento correcto, el audio en bruto se elimina. Los resúmenes permanecen en la cuenta (véanse plazos de conservación). No hay grabación silenciosa: en Llamar con grabación, ambas partes oyen primero un anuncio antes de que empiece la grabación. No se usa para publicidad.

Tratamos los datos personales para los siguientes fines y sobre las siguientes bases jurídicas: a) Ejecución del contrato (art. 6, apdo. 1, letra b RGPD): — Creación y gestión de cuentas — Prestación de la Plataforma y todas sus funciones, incluida la gestión de llamadas — Procesamiento de pagos y facturación — Soporte técnico — Ejecución de servicios de IA y acciones en Servicios Conectados b) Interés legítimo (art. 6, apdo. 1, letra f RGPD): — Seguridad y prevención del fraude (incluida la detección de abusos de telefonía) — Mejora de la Plataforma y de los servicios — Análisis de patrones de uso (anonimizados cuando sea posible) — Comunicación directa sobre el Servicio (sin marketing) c) Consentimiento (art. 6, apdo. 1, letra a RGPD): — Correos electrónicos de marketing y boletines (opt-in) — Cookies analíticas que no sean estrictamente necesarias d) Obligación legal (art. 6, apdo. 1, letra c RGPD): — Obligaciones fiscales de conservación de los datos de facturación — Normativa de telecomunicaciones relativa al registro de números — Cooperación con órdenes judiciales — Obligación de notificación de violaciones de datos

Compartimos datos personales con las siguientes categorías de destinatarios: a) Proveedor de alojamiento: Google Cloud Platform (región europe-west4, Eemshaven, Países Bajos). Tratamiento exclusivamente dentro de la UE. b) Red de distribución de contenidos: Cloudflare, Inc. (configuración UE). Caché perimetral para contenido estático; sin almacenamiento de datos personales. c) Procesador de pagos: Stripe, Inc. / Stripe Payments Europe, Ltd. Tratamiento conforme a PCI-DSS nivel 1. d) Operadores de telecomunicaciones: para el suministro de números de teléfono, el enrutamiento de llamadas y el envío de mensajes SMS (como códigos 2FA). e) Proveedor de modelos de IA - xAI, Inc. (Grok): para la prestación de servicios de IA (reconocimiento de voz, modelos de lenguaje, chat y voz). Los mensajes de chat, el audio/las transcripciones y los archivos compartidos en la conversación pueden enviarse a xAI para inferencia. Contratamos con xAI bajo un acuerdo de tratamiento de datos con opt-out del entrenamiento de modelos con datos de clientes. Los datos de clientes no se usan para entrenar modelos de IA. En las apps móviles, este uso compartido solo ocurre después del permiso explícito en la app. f) Proveedores de correo electrónico: para el envío de correos electrónicos transaccionales (confirmaciones de cuenta, restablecimientos de contraseña, facturas). g) Servicios Conectados: por instrucción del Usuario, el asistente de voz transmite datos a los Servicios Conectados configurados por el Usuario (por ejemplo, para reservar una cita). El Usuario determina qué servicios están conectados. h) Análisis del sitio web: Google LLC (Google Analytics 4 / Google Tag Manager), Apollo.io (Website Visitors: identificar empresas visitantes) y Hotjar Ltd. (grabaciones de sesión y mapas de calor; almacenamiento de datos en la UE, Irlanda), únicamente cuando el visitante ha aceptado las cookies analíticas. Nunca vendemos datos personales a terceros. No facilitamos datos personales a terceros para sus propios fines de marketing. Una lista actualizada de subencargados está disponible previa solicitud en privacy@callmerlin.app.

5.1. Todo el tratamiento primario de datos tiene lugar dentro de la Unión Europea, en la región de Google Cloud europe-west4 (Eemshaven, Países Bajos). 5.2. Para determinados servicios de IA, telefonía o análisis del sitio web (Apollo.io), los datos personales pueden transferirse a subencargados establecidos en los Estados Unidos. En tales casos, la transferencia se basa en: a) el Marco de Privacidad de Datos UE-EE. UU. (DPF), en la medida en que el destinatario esté certificado DPF; o b) las Cláusulas Contractuales Tipo (CCT) establecidas por la Decisión de Ejecución (UE) 2021/914; y c) medidas técnicas complementarias, incluido el cifrado de los datos en tránsito y la limitación del alcance del tratamiento. 5.3. Previa solicitud, CallMerlin informará al Usuario sobre las garantías específicas aplicadas a las transferencias fuera de la UE.

Aplicamos los siguientes plazos de conservación: a) Datos de cuenta: se conservan mientras la cuenta esté activa. Tras la terminación, los datos personales se eliminan en un plazo de 30 días, salvo que exista una obligación legal de conservación. b) Datos de facturación: se conservan durante 7 años tras el ejercicio fiscal en que se emitió la factura, de conformidad con las obligaciones fiscales neerlandesas de conservación (art. 52 AWR). c) Transcripciones de llamadas y resúmenes de IA: se conservan un máximo de 90 días tras la llamada, salvo que el Usuario configure otro plazo de conservación. El audio de las sesiones Merlin no se conserva. Para grabación de reunión en vivo y Llamar con grabación: grabación de llamada o en vivo → almacenamiento temporal en la UE → reconocimiento de voz → resumen/puntos de acción → el audio en bruto se elimina tras un procesamiento correcto. d) Credenciales de conexión: se eliminan inmediatamente cuando el Usuario revoca la conexión y, en cualquier caso, en un plazo de 30 días tras la terminación de la cuenta. e) Registros de acceso y de seguridad: se conservan un máximo de 12 meses. f) Datos de Llamantes (tratados como encargado): se conservan conforme a las instrucciones del Usuario (responsable del tratamiento) y se eliminan en un plazo de 30 días tras la terminación de la cuenta.

7.1. El sitio web de marketing (callmerlin.app) utiliza: a) Cookies estrictamente necesarias: para autenticación, integridad de sesión y configuración de idioma. No requieren consentimiento. b) Analítica sin cookies: Umami Cloud mide páginas vistas y estadísticas de uso anonimizadas, sin cookies y sin datos personales. No requiere consentimiento. c) Cookies analíticas: para medir el uso del sitio web mediante Google Analytics 4 (cargado a través de Google Tag Manager), para identificar empresas visitantes mediante Apollo.io Website Visitors, y para grabaciones de sesión y mapas de calor mediante Hotjar. Solo se instalan tras el consentimiento explícito (opt-in) a través del banner de cookies. 7.2. El panel de control utiliza cookies estrictamente necesarias para la autenticación y la gestión de sesiones. Opcionalmente, solo tras el consentimiento explícito a través del banner de cookies, Hotjar se carga para grabaciones de sesión y mapas de calor de la navegación del panel. El contenido sensible del panel (llamadas, datos PIN y nombres de cuenta) se enmascara en las grabaciones. 7.3. El widget de voz integrable no instala cookies de seguimiento en el sitio web del Usuario. El Usuario es responsable de informar a los visitantes de su sitio web de conformidad con la Directiva ePrivacy. 7.4. El Usuario puede gestionar sus preferencias de cookies a través del banner de cookies o de la configuración del navegador.

En virtud del RGPD, todo interesado tiene los siguientes derechos: a) Derecho de acceso (art. 15 RGPD): el derecho a saber si se tratan datos personales y cuáles. b) Derecho de rectificación (art. 16 RGPD): el derecho a que se corrijan los datos inexactos o incompletos. c) Derecho de supresión / derecho al olvido (art. 17 RGPD): el derecho a solicitar la eliminación de los datos personales, en la medida en que no exista una obligación legal de conservación. d) Derecho a la limitación del tratamiento (art. 18 RGPD): el derecho a limitar el tratamiento en determinadas circunstancias. e) Derecho a la portabilidad de los datos (art. 20 RGPD): el derecho a recibir los datos personales en un formato estructurado, de uso común y legible por máquina. f) Derecho de oposición (art. 21 RGPD): el derecho a oponerse al tratamiento basado en el interés legítimo. g) Derecho a retirar el consentimiento (art. 7, apdo. 3 RGPD): cuando el tratamiento se base en el consentimiento, este podrá retirarse en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a la retirada. h) Derecho a presentar una reclamación ante la autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens): como autoridad de control en los Países Bajos. Sitio web: https://autoriteitpersoonsgegevens.nl Las solicitudes pueden presentarse en privacy@callmerlin.app. Respondemos en un plazo de 7 días. En el caso de solicitudes complejas, este plazo puede ampliarse hasta 60 días, de lo cual informaremos al interesado dentro de los primeros 7 días. Los Llamantes cuyos datos se traten por cuenta de un Usuario (nuestro cliente) deben dirigir su solicitud principalmente a dicho Usuario, que es el responsable del tratamiento. Asistiremos al Usuario en la gestión de tales solicitudes.

CallMerlin ha implementado medidas técnicas y organizativas adecuadas para proteger los datos personales contra el tratamiento no autorizado o ilícito, la pérdida accidental, la destrucción o el daño: a) Cifrado: TLS 1.3 para los datos en tránsito; AES-256 para los datos en reposo, incluidas las credenciales de los Servicios Conectados. b) Control de acceso: control de acceso basado en roles (RBAC), principio de privilegio mínimo, autenticación de dos factores para cuentas de administrador, verificación PIN para el acceso por voz. c) Aislamiento de datos: arquitectura multiinquilino con separación estricta por cuenta. d) Supervisión: registro en tiempo real y alertas ante patrones de acceso inusuales y abusos de telefonía. e) Copias de seguridad: copias de seguridad automatizadas diarias con almacenamiento cifrado. f) Respuesta a incidentes: plan documentado de respuesta a incidentes con procedimiento para violaciones de datos. g) Concienciación: formación periódica del personal en protección de datos.

La Plataforma no está dirigida a personas menores de 16 años. No recopilamos a sabiendas datos personales de menores. Si descubrimos que se han recopilado datos personales de un menor sin el consentimiento de sus padres o tutores, eliminaremos dichos datos lo antes posible.

11.1. Cuando un Usuario conecta servicios de Google (por ejemplo Calendar, Docs, Sheets, Contactos o envío de Gmail) mediante OAuth, CallMerlin accede a los datos de usuario de Google Workspace solo para proporcionar las funciones solicitadas por el Usuario mediante voz o chat. 11.2. Declaración Limited Use: El uso de datos de usuario en bruto o derivados recibidos de las API de Google Workspace se ajusta a la Google User Data Policy, incluidos los requisitos de Limited Use. 11.3. CallMerlin no usa, transfiere ni vende datos de usuario de Google Workspace (incluidos datos en bruto, agregados o derivados) para crear, entrenar o mejorar modelos de IA/ML fundacionales o generalizados. 11.4. Cuando un proveedor de IA externo procesa datos de Google Workspace para inferencia (entender la solicitud y ejecutar herramientas), ese tratamiento se limita a la función dirigida por el usuario. Con los proveedores se acuerda que los datos del cliente vía API no se usan para entrenar modelos sin permiso explícito. 11.5. Los usuarios pueden revocar el acceso a Google en cualquier momento mediante Conexiones de CallMerlin y en https://myaccount.google.com/permissions.

12.1. CallMerlin puede modificar esta Política de privacidad ocasionalmente. Las modificaciones se anunciarán con al menos 30 días de antelación por correo electrónico a la dirección registrada. 12.2. La versión actual de la Política de privacidad está siempre disponible en callmerlin.app/es/legal/privacy. 12.3. El uso continuado de la Plataforma tras la fecha de entrada en vigor de la Política de privacidad modificada constituye aceptación.

Para preguntas sobre esta Política de privacidad o para ejercer sus derechos: Small Guy B.V. (CallMerlin) Correo electrónico: privacy@callmerlin.app Respondemos en un plazo de 7 días. También puede presentar una reclamación ante la autoridad neerlandesa de protección de datos: https://autoriteitpersoonsgegevens.nl