Política de privacidad

1. Responsable del tratamiento e información de contacto

1.1 Responsable del tratamiento

El responsable del tratamiento en el sentido del Reglamento (UE) 2016/679 (RGPD) es: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Viena, Austria. N.º de registro mercantil: FN 618845t (Tribunal Mercantil de Viena). NIF: ATU80258169. Correo: legal@hanc.ai. Web: hanc.ai

1.2 Contacto de privacidad

Para preguntas sobre protección de datos: datenschutz@hanc.ai. Correo postal: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Viena, Austria.

1.3 Alcance

Esta política de privacidad se aplica a: (a) el sitio web hanc.ai, (b) la plataforma app.hanc.ai, (c) todos los servicios, APIs e integraciones relacionados.

1.4 Marco jurídico

RGPD, DSG austriaca 2018, BDSG alemana, TDDDG alemana, FADP suiza, Reglamento europeo de IA.

2. Resumen de actividades de tratamiento

A continuación se ofrece una visión general de nuestras actividades de tratamiento de datos. Se proporciona información detallada en las secciones posteriores.

Visitas al sitio web: dirección IP (anonimizada), navegador, páginas visitadas, referrer. Base jurídica: interés legítimo (art. 6(1)(f) del RGPD). Retención: 90 días.

Formulario de contacto / correo: nombre, correo, empresa, contenido del mensaje. Base jurídica: contrato (art. 6(1)(b)) o interés legítimo (art. 6(1)(f)). Retención: 6 meses tras la resolución.

Creación de cuenta: nombre, correo, empresa, sector, dirección. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: duración de la cuenta + 7 años.

Configuración del agente: nombre de la empresa, servicios, horario, saludos, sector. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: duración de la cuenta.

Llamadas de voz: número del interlocutor, metadatos de la llamada, audio (si la grabación está activa), transcripciones. Base jurídica: contrato (art. 6(1)(b)) + interés legítimo (art. 6(1)(f)). Retención: 30 días por defecto (configurable por el cliente).

Procesamiento de pagos: método de pago (vía Stripe), tipo de plan, facturas. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: 7 años (BAO austriaca § 132).

Analítica: uso de funciones, datos de sesión, métricas de rendimiento. Base jurídica: interés legítimo (art. 6(1)(f) del RGPD). Retención: 26 meses.

Marketing / Boletín: correo, nombre, preferencias. Base jurídica: consentimiento (art. 6(1)(a) del RGPD). Retención: hasta la retirada del consentimiento.

3. Principios del tratamiento de datos

3.1 Minimización de datos

Recogemos datos personales solo en la medida necesaria para los fines descritos. El tratamiento está vinculado al propósito (art. 5(1)(b) y (c) del RGPD).

3.2 Limitación del almacenamiento

Los datos personales se almacenan solo durante el tiempo necesario o según lo exigido por las obligaciones legales de retención.

3.3 Seguridad de los datos

Implementamos medidas técnicas y organizativas apropiadas (art. 32 del RGPD).

4. Tratamiento al visitar el sitio web

4.1 Archivos de registro del servidor

Al visitar nuestro sitio web, recogemos: dirección IP (anonimizada), fecha/hora, URL, volumen de datos, estado HTTP, navegador, SO, referrer. Base jurídica: art. 6(1)(f) del RGPD. Retención: 30 días.

4.2 Contacto por correo

Datos recogidos: dirección de correo, nombre, empresa, contenido, fecha/hora. Base jurídica: art. 6(1)(b) o (f) del RGPD. Retención: 6 meses tras la resolución de la consulta.

4.3 Formulario de contacto

Igual que el correo, más selección de tema y marca de tiempo del consentimiento RGPD. HubSpot como encargado (DPA vigente).

4.4 Boletín

Si procede: correo, nombre, empresa. Doble opt-in obligatorio. Brevo (Sendinblue) como encargado. Enlace de baja en cada correo. Base jurídica: art. 6(1)(a) del RGPD.

5. Tratamiento al usar la plataforma

5.1 Registro

Datos recogidos: correo, contraseña (hasheada), nombre, nombre de la empresa, sector, dirección comercial. Base jurídica: art. 6(1)(b) del RGPD.

5.2 Configuración del agente

Datos recogidos: nombre de la empresa, servicios, horario de trabajo, texto de saludo, categoría de sector. Finalidad: creación y operación del agente.

5.3 Facturación

Stripe como procesador de pagos. Almacenamos: tipo de plan, ciclo de facturación, historial de facturas. Stripe almacena: detalles del método de pago (PCI DSS Level 1). Base jurídica: art. 6(1)(b) del RGPD.

5.4 Analítica de uso

PostHog para inteligencia de negocio. Datos: uso de funciones, datos de sesión, métricas de rendimiento del agente. Base jurídica: art. 6(1)(f) del RGPD.

5.5 Servicio de devolución de llamada para demo

Cuando solicita una devolución de llamada para demo, tratamos su número de teléfono únicamente para iniciar una única llamada de demostración desde nuestro agente de voz IA. Base jurídica: su consentimiento explícito (art. 6(1)(a) del RGPD). Datos tratados: número de teléfono en formato E.164. Retención: durante la vigencia de la relación contractual; se eliminan al eliminar la cuenta. Destinatarios: categorías de subencargados descritas anteriormente; la lista actual está disponible previa solicitud en privacy@hanc.ai. Divulgación de IA conforme al art. 50 del Reglamento europeo de IA.

6. Tratamiento de llamadas de voz e interacciones de IA

6.1 Datos de llamada

Tratamos: número de teléfono del interlocutor, marca de tiempo de la llamada, duración de la llamada, ID del agente, resultado de la llamada. Base jurídica: art. 6(1)(b) del RGPD (ejecución del contrato) y art. 6(1)(f) del RGPD (interés legítimo).

6.2 Datos de voz

Procesamiento de voz a texto en tiempo real vía Azure (región UE). El audio de voz se procesa en memoria y no se almacena de forma persistente salvo que el cliente active la grabación de llamadas.

6.3 Grabaciones de llamadas

Opcionales, controladas por el cliente. Almacenadas cifradas en Azure UE. Conservación: durante la vigencia de la relación contractual; no se aplica caducidad automática por tiempo; se elimina al eliminar la cuenta o a petición. El cliente es responsable del cumplimiento de las leyes locales de grabación de llamadas.

6.4 Tratamiento por IA

Datos de conversación tratados por Azure OpenAI (región UE). Sin entrenamiento con datos del cliente. Datos tratados según el DPA de Microsoft.

6.5 Transcripciones

Almacenadas cifradas. Accesibles al cliente vía panel. Conservación: durante la vigencia de la relación contractual; no se aplica caducidad automática por tiempo; se elimina al eliminar la cuenta o a petición.

6.6 Reglamento europeo de IA (art. 50)

Se informa a los interlocutores de que están hablando con un sistema de IA al inicio de cada llamada.

7. Cookies y tecnologías similares

7.1 Cookies esenciales

Gestión de sesión, autenticación, preferencia de idioma. No se requiere consentimiento (TDDDG sección 25(2)).

7.2 Cookies de analítica

PostHog Cloud EU (Fráncfort). Se requiere consentimiento (TDDDG sección 25(1)). Banner de cookies con opt-in.

7.3 Cookies de marketing

Ninguna en el lanzamiento. Si se añaden: se requerirá consentimiento, listadas en el banner de cookies.

7.4 Banner de cookies

Plataforma de gestión del consentimiento. Opt-in/opt-out granular. Consentimiento almacenado durante 12 meses. Retirada posible en cualquier momento.

7.5 Lista de cookies

hanc_session: gestión de sesión — mantiene el estado de sesión del usuario. Duración: sesión. Tipo: esencial.

hanc_locale: preferencia de idioma — almacena el idioma de interfaz seleccionado. Duración: 1 año. Tipo: esencial.

hanc_consent: estado de consentimiento de cookies — registra las elecciones de consentimiento. Duración: 1 año. Tipo: esencial.

_ph_*: analítica PostHog — sigue patrones de uso anonimizados. Duración: 1 año. Tipo: analítica.

_hs*: seguimiento de HubSpot — habilita la integración con CRM. Duración: 13 meses. Tipo: marketing.

stripe_*: procesamiento de pagos — soporta sesiones seguras de Stripe. Duración: sesión. Tipo: esencial.

8. Servicios de terceros y transferencias de datos

Utilizamos proveedores de servicios en las categorías de alojamiento, base de datos, procesamiento de IA, telefonía, pagos, correo electrónico y analítica. La lista detallada de subencargados está disponible en nuestro Trust Center: security.hanc.ai.

9. Sus derechos como interesado

Conforme al RGPD, usted tiene los siguientes derechos: derecho de acceso (art. 15), derecho de rectificación (art. 16), derecho de supresión (art. 17), derecho a la limitación del tratamiento (art. 18), derecho a la portabilidad de los datos (art. 20), derecho de oposición (art. 21), derecho a retirar el consentimiento (art. 7(3)) y derecho a presentar una reclamación ante una autoridad de control (art. 77).

Contacto: datenschutz@hanc.ai

Autoridad de control: Autoridad Austriaca de Protección de Datos (Datenschutzbehörde), Barichgasse 40-42, 1030 Viena, dsb@dsb.gv.at

10. Periodos de retención de datos

Archivos de registro del servidor: 30 días (interés legítimo).

Consultas del formulario de contacto: 6 meses tras la resolución (contrato/interés legítimo).

Datos de cuenta: duración del contrato + 7 años (contrato + BAO austriaca § 132).

Facturación / facturas: 7 años (BAO austriaca § 132).

Grabaciones de llamadas: duración del contrato, sin caducidad automática (ejecución del contrato).

Transcripciones de llamadas: duración del contrato, sin caducidad automática (ejecución del contrato).

Datos de analítica: 26 meses (interés legítimo).

Registros de consentimiento de cookies: 12 meses (TDDDG).

11. Transferencias internacionales de datos y cumplimiento

11.1 RGPD (UE/EEE)

Marco de cumplimiento principal. La infraestructura de aplicación y voz está alojada en Hetzner (Alemania), la base de datos principal en MongoDB Atlas (Fráncfort) y los servicios de Microsoft Azure se ejecutan en regiones de la UE; algunas cargas de trabajo auxiliares de IA pueden tratarse fuera del EEE, y cada transferencia está documentada por proveedor en nuestra documentación de cumplimiento en security.hanc.ai.

11.2 DSG austriaca 2018

Disposiciones nacionales adicionales para Austria.

11.3 BDSG alemana

Disposiciones adicionales para usuarios alemanes.

11.4 FADP suiza

Cumplimiento para usuarios suizos. Adecuación de datos reconocida por la UE.

11.5 Reglamento europeo de IA

Obligaciones de transparencia del art. 50. Notificación al interlocutor al inicio de la llamada.

12. Seguridad de datos

Cifrado: TLS 1.3 en tránsito, AES-256 en reposo.

Control de acceso: basado en roles, autenticación multifactor para acceso administrativo.

Infraestructura: Hetzner (Alemania) y regiones de Microsoft Azure en la UE.

Monitorización: prevención de intrusiones a nivel de servidor y la monitorización de nuestros proveedores de infraestructura.

Respuesta a incidentes: notificación en 72 horas conforme al art. 33 del RGPD.

Certificaciones: nuestros proveedores de infraestructura están certificados (Hetzner: ISO 27001; Stripe: PCI DSS Nivel 1). Hanc.AI no dispone de certificación SOC 2 ni ISO 27001 propia.

13. Cambios en esta política de privacidad

Podemos actualizar esta política de privacidad ocasionalmente. Los cambios materiales se comunicarán por correo a los usuarios registrados y mediante un aviso destacado en nuestro sitio web. La fecha de la revisión más reciente se indica al principio de esta política.

El tratamiento por cuenta de clientes empresariales se rige por nuestro acuerdo de tratamiento de datos (DPA), que forma parte de nuestras Condiciones del servicio, se presenta durante el registro y está disponible en la cuenta del cliente y en nuestro Trust Center: security.hanc.ai.

14. Datos de usuario de Google

Cuando conecta una cuenta de Google a Hanc.AI, solo accedemos a los datos de usuario de Google necesarios para las funciones que usted activa. Estos son los permisos de Google (scopes) que solicitamos y para qué los usamos:

• Google Calendar (calendar, calendar.readonly, calendar.events, calendar.calendarlist.readonly, calendar.freebusy): su lista de calendarios, sus horas libres y ocupadas y sus eventos, para que su empleado de IA ofrezca horas libres a quien llama y reserve, cambie o cancele citas en el calendario que usted elija.
• Google Tasks (tasks, tasks.readonly): sus listas de tareas y sus tareas, para que las vea en Hanc.AI y su empleado de IA cree o actualice tareas después de una llamada, como una devolución de llamada o un seguimiento.
• Contactos de Google, «Otros contactos» (contacts.other.readonly): nombres, direcciones de correo electrónico y números de teléfono que Google guardó automáticamente en su cuenta, para que su empleado de IA reconozca a quien llama y complete sus datos de contacto. Solo leemos estos datos; nunca modificamos ni eliminamos sus contactos.

Uso. Usamos los datos de usuario de Google únicamente para ofrecer y mejorar las funciones descritas arriba en su cuenta de Hanc.AI. No los usamos para publicidad, no los vendemos y no los usamos para desarrollar, mejorar o entrenar modelos generales de inteligencia artificial o aprendizaje automático.

Acceso humano. Nuestro personal no lee sus datos de usuario de Google salvo que usted nos lo pida (por ejemplo, en una solicitud de soporte), que sea necesario por motivos de seguridad, como investigar un abuso, que lo exija la ley o que los datos se hayan agregado y anonimizado para operaciones internas.

Comunicación a terceros. No transferimos datos de usuario de Google a terceros, salvo a proveedores que los tratan por cuenta nuestra para ofrecer estas funciones (alojamiento y procesamiento con IA de sus llamadas), con contratos de encargo del tratamiento que los obligan a las mismas restricciones, o cuando lo exija la ley.

Conservación y eliminación. Los datos de usuario de Google se transmiten por conexiones cifradas y se conservan solo el tiempo necesario para las funciones que usted ha activado. Cuando desconecta su cuenta de Google o elimina su cuenta de Hanc.AI, eliminamos sin dilación indebida los datos de usuario de Google que conservamos, salvo que la ley nos obligue a guardarlos.

Su control. Puede desconectar su cuenta de Google en cualquier momento desde su cuenta de Hanc.AI o en la página de permisos de su cuenta de Google, y pedirnos que eliminemos sus datos con los datos de contacto que figuran en esta política.

Limited Use. El uso y la transferencia a cualquier otra aplicación, por parte de Hanc.AI, de la información recibida de las API de Google se ajustarán a la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).