Política de privacidad

1.1 Responsable del tratamiento

El responsable del tratamiento en el sentido del Reglamento (UE) 2016/679 (RGPD) es: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Viena, Austria. N.º de registro mercantil: FN 618845t (Tribunal Mercantil de Viena). NIF: ATU80258169. Correo: [email protected]. Web: hanc.ai

1.2 Contacto de privacidad

Para preguntas sobre protección de datos: [email protected]. Correo postal: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Viena, Austria.

1.3 Alcance

Esta política de privacidad se aplica a: (a) el sitio web hanc.ai, (b) la plataforma app.hanc.ai, (c) todos los servicios, APIs e integraciones relacionados.

1.4 Marco jurídico

RGPD, DSG austriaca 2018, BDSG alemana, TDDDG alemana, FADP suiza, Reglamento europeo de IA, CCPA/CPRA, PDPL EAU.

A continuación se ofrece una visión general de nuestras actividades de tratamiento de datos. Se proporciona información detallada en las secciones posteriores.

Visitas al sitio web: dirección IP (anonimizada), navegador, páginas visitadas, referrer. Base jurídica: interés legítimo (art. 6(1)(f) del RGPD). Retención: 90 días.

Formulario de contacto / correo: nombre, correo, empresa, contenido del mensaje. Base jurídica: contrato (art. 6(1)(b)) o interés legítimo (art. 6(1)(f)). Retención: 6 meses tras la resolución.

Creación de cuenta: nombre, correo, empresa, sector, dirección. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: duración de la cuenta + 7 años.

Configuración del agente: nombre de la empresa, servicios, horario, saludos, sector. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: duración de la cuenta.

Llamadas de voz: número del interlocutor, metadatos de la llamada, audio (si la grabación está activa), transcripciones. Base jurídica: contrato (art. 6(1)(b)) + interés legítimo (art. 6(1)(f)). Retención: 30 días por defecto (configurable por el cliente).

Procesamiento de pagos: método de pago (vía Stripe), tipo de plan, facturas. Base jurídica: contrato (art. 6(1)(b) del RGPD). Retención: 7 años (BAO austriaca § 132).

Analítica: uso de funciones, datos de sesión, métricas de rendimiento. Base jurídica: interés legítimo (art. 6(1)(f) del RGPD). Retención: 26 meses.

Marketing / Boletín: correo, nombre, preferencias. Base jurídica: consentimiento (art. 6(1)(a) del RGPD). Retención: hasta la retirada del consentimiento.

3.1 Minimización de datos

Recogemos datos personales solo en la medida necesaria para los fines descritos. El tratamiento está vinculado al propósito (art. 5(1)(b) y (c) del RGPD).

3.2 Limitación del almacenamiento

Los datos personales se almacenan solo durante el tiempo necesario o según lo exigido por las obligaciones legales de retención.

3.3 Seguridad de los datos

Implementamos medidas técnicas y organizativas apropiadas (art. 32 del RGPD).

4.1 Archivos de registro del servidor

Al visitar nuestro sitio web, recogemos: dirección IP (anonimizada), fecha/hora, URL, volumen de datos, estado HTTP, navegador, SO, referrer. Base jurídica: art. 6(1)(f) del RGPD. Retención: 30 días.

4.2 Contacto por correo

Datos recogidos: dirección de correo, nombre, empresa, contenido, fecha/hora. Base jurídica: art. 6(1)(b) o (f) del RGPD. Retención: 6 meses tras la resolución de la consulta.

4.3 Formulario de contacto

Igual que el correo, más selección de tema y marca de tiempo del consentimiento RGPD. HubSpot como encargado (DPA vigente).

4.4 Boletín

Si procede: correo, nombre, empresa. Doble opt-in obligatorio. Brevo (Sendinblue) como encargado. Enlace de baja en cada correo. Base jurídica: art. 6(1)(a) del RGPD.

5.1 Registro

Datos recogidos: correo, contraseña (hasheada), nombre, nombre de la empresa, sector, dirección comercial. Base jurídica: art. 6(1)(b) del RGPD.

5.2 Configuración del agente

Datos recogidos: nombre de la empresa, servicios, horario de trabajo, texto de saludo, categoría de sector. Finalidad: creación y operación del agente.

5.3 Facturación

Stripe como procesador de pagos. Almacenamos: tipo de plan, ciclo de facturación, historial de facturas. Stripe almacena: detalles del método de pago (PCI DSS Level 1). Base jurídica: art. 6(1)(b) del RGPD.

5.4 Analítica de uso

PostHog para inteligencia de negocio. Datos: uso de funciones, datos de sesión, métricas de rendimiento del agente. Base jurídica: art. 6(1)(f) del RGPD.

5.5 Servicio de devolución de llamada para demo

Cuando solicita una devolución de llamada para demo, tratamos su número de teléfono únicamente para iniciar una única llamada de demostración desde nuestro agente de voz IA. Base jurídica: su consentimiento explícito (art. 6(1)(a) del RGPD). Datos tratados: número de teléfono en formato E.164. Retención: eliminados automáticamente en 24 horas. Subencargado: Twilio Inc. (EE. UU.), conforme a las Cláusulas Contractuales Tipo. Divulgación de IA conforme al art. 50 del Reglamento europeo de IA.

6.1 Datos de llamada

Tratamos: número de teléfono del interlocutor, marca de tiempo de la llamada, duración de la llamada, ID del agente, resultado de la llamada. Base jurídica: art. 6(1)(b) del RGPD (ejecución del contrato) y art. 6(1)(f) del RGPD (interés legítimo).

6.2 Datos de voz

Procesamiento de voz a texto en tiempo real vía Azure (región UE). El audio de voz se procesa en memoria y no se almacena de forma persistente salvo que el cliente active la grabación de llamadas.

6.3 Grabaciones de llamadas

Opcionales, controladas por el cliente. Almacenadas cifradas en Azure UE. Retención: definida por el cliente (por defecto 90 días). El cliente es responsable del cumplimiento de las leyes locales de grabación de llamadas.

6.4 Tratamiento por IA

Datos de conversación tratados por Azure OpenAI (región UE). Sin entrenamiento con datos del cliente. Datos tratados según el DPA de Microsoft.

6.5 Transcripciones

Almacenadas cifradas. Accesibles al cliente vía panel. Retención: definida por el cliente.

6.6 Reglamento europeo de IA (art. 50)

Se informa a los interlocutores de que están hablando con un sistema de IA al inicio de cada llamada.

7.1 Cookies esenciales

Gestión de sesión, autenticación, preferencia de idioma. No se requiere consentimiento (TDDDG sección 25(2)).

7.2 Cookies de analítica

PostHog (autoalojado / UE). Se requiere consentimiento (TDDDG sección 25(1)). Banner de cookies con opt-in.

7.3 Cookies de marketing

Ninguna en el lanzamiento. Si se añaden: se requerirá consentimiento, listadas en el banner de cookies.

7.4 Banner de cookies

Plataforma de gestión del consentimiento. Opt-in/opt-out granular. Consentimiento almacenado durante 12 meses. Retirada posible en cualquier momento.

7.5 Lista de cookies

hanc_session: gestión de sesión — mantiene el estado de sesión del usuario. Duración: sesión. Tipo: esencial.

hanc_locale: preferencia de idioma — almacena el idioma de interfaz seleccionado. Duración: 1 año. Tipo: esencial.

hanc_consent: estado de consentimiento de cookies — registra las elecciones de consentimiento. Duración: 1 año. Tipo: esencial.

_ph_*: analítica PostHog — sigue patrones de uso anonimizados. Duración: 1 año. Tipo: analítica.

_hs*: seguimiento de HubSpot — habilita la integración con CRM. Duración: 13 meses. Tipo: marketing.

stripe_*: procesamiento de pagos — soporta sesiones seguras de Stripe. Duración: sesión. Tipo: esencial.

Usamos los siguientes subencargados:

Microsoft (Azure): alojamiento en la nube, LLM, STT, TTS. Ubicación: Dublín, Irlanda / EE. UU. Finalidad: infraestructura, tratamiento por IA. Garantía: alojamiento UE (Azure West Europe), DPA art. 28, EU-US DPF.

LiveKit Inc.: voz en tiempo real / WebRTC. Ubicación: San José, EE. UU. Finalidad: infraestructura de llamadas. Garantía: SCC art. 46(2)(c), servidores relay UE.

Twilio: telefonía (SIP/PSTN). Ubicación: Dublín, Irlanda / EE. UU. Finalidad: llamadas telefónicas. Garantía: alojamiento UE, DPA art. 28, EU-US DPF.

ElevenLabs Inc.: TTS/STT (opcional). Ubicación: Nueva York, EE. UU. Garantía: SCC art. 46(2)(c).

Cartesia AI, Inc.: TTS/STT (opcional). Ubicación: San Francisco, EE. UU. Garantía: SCC art. 46(2)(c).

PostHog Inc.: analítica. Ubicación: San Francisco, EE. UU. Garantía: opción autoalojada en la UE, SCC art. 46(2)(c).

HubSpot Ireland Ltd: CRM. Ubicación: Dublín, Irlanda. Garantía: alojamiento UE, DPA art. 28.

Brevo (Sendinblue SAS): correo. Ubicación: París, Francia. Garantía: alojamiento UE, DPA art. 28.

Stripe Payments Europe Ltd: pagos. Ubicación: Dublín, Irlanda. Garantía: PCI DSS Level 1, alojamiento UE.

Conforme al RGPD, usted tiene los siguientes derechos: derecho de acceso (art. 15), derecho de rectificación (art. 16), derecho de supresión (art. 17), derecho a la limitación del tratamiento (art. 18), derecho a la portabilidad de los datos (art. 20), derecho de oposición (art. 21), derecho a retirar el consentimiento (art. 7(3)) y derecho a presentar una reclamación ante una autoridad de control (art. 77).

Contacto: [email protected]

Autoridad de control: Autoridad Austriaca de Protección de Datos (Datenschutzbehörde), Barichgasse 40-42, 1030 Viena, [email protected]

Archivos de registro del servidor: 30 días (interés legítimo).

Consultas del formulario de contacto: 6 meses tras la resolución (contrato/interés legítimo).

Datos de cuenta: duración del contrato + 7 años (contrato + BAO austriaca § 132).

Facturación / facturas: 7 años (BAO austriaca § 132).

Grabaciones de llamadas: definidas por el cliente, por defecto 90 días (ejecución del contrato).

Transcripciones de llamadas: definidas por el cliente, por defecto 90 días (ejecución del contrato).

Datos de analítica: 26 meses (interés legítimo).

Registros de consentimiento de cookies: 12 meses (TDDDG).

11.1 RGPD (UE/EEE)

Marco de cumplimiento principal. Todos los datos alojados en la UE (Azure West Europe).

11.2 DSG austriaca 2018

Disposiciones nacionales adicionales para Austria.

11.3 BDSG alemana

Disposiciones adicionales para usuarios alemanes.

11.4 FADP suiza

Cumplimiento para usuarios suizos. Adecuación de datos reconocida por la UE.

11.5 Reglamento europeo de IA

Obligaciones de transparencia del art. 50. Notificación al interlocutor al inicio de la llamada.

11.6 CCPA/CPRA (California)

Sin venta de información personal. Derecho a saber, eliminar y oponerse. Contacto: [email protected] con asunto "CCPA Request".

11.7 PDPL (EAU/Arabia Saudí)

Cumplimiento para usuarios de la región del Golfo. Aviso en árabe disponible para los locales AR.

Cifrado: TLS 1.3 en tránsito, AES-256 en reposo.

Control de acceso: basado en roles, autenticación multifactor para acceso administrativo.

Infraestructura: Azure West Europe con georedundancia.

Monitorización: detección automatizada de amenazas, sistemas de detección de intrusiones.

Respuesta a incidentes: notificación en 72 horas conforme al art. 33 del RGPD.

Certificaciones pendientes: SOC 2 Type II, ISO 27001.

Podemos actualizar esta política de privacidad ocasionalmente. Los cambios materiales se comunicarán por correo a los usuarios registrados y mediante un aviso destacado en nuestro sitio web. La fecha de la revisión más reciente se indica al principio de esta política.