Política de privacidad

1. A quién se aplica esta política

ConvoScore tiene dos tipos de usuarios, y esta política cubre a ambos. Como titular de una cuenta, nos facilitas tus propios datos para gestionar tu panel, y respecto de esos datos ConvoScore es el responsable del tratamiento. Como visitante de un sitio web que ha incrustado un chatbot de ConvoScore, la información que compartes va al propietario del sitio: respecto de esos datos, el propietario del sitio es el responsable y ConvoScore actúa únicamente como su encargado, tratándolos según sus instrucciones.

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos:

• Datos de la cuenta: tu nombre, un nombre de empresa opcional, tu dirección de correo electrónico y una contraseña con hash seguro o, si inicias sesión con Google, tu identificador de cuenta de Google.
• Datos de sitio y configuración: los sitios y chatbots que creas, su redacción y sus ajustes, y tu propia clave de API de Gemini si decides facilitarla (almacenada cifrada).
• Datos de visitantes y conversaciones: todo lo que un visitante escribe en un chatbot, normalmente su nombre, empresa, datos de contacto y necesidad indicada, junto con la transcripción completa y la prioridad y los campos estructurados derivados de ella.
• Datos técnicos: dirección IP, agente de usuario del navegador y marcas de tiempo en los registros del servidor, conservados por seguridad y para la resolución de problemas.
• Datos de facturación: tu plan, el estado de tu suscripción y los identificadores de cliente y de suscripción de Paddle. Los datos de la tarjeta los gestiona íntegramente Paddle; nosotros nunca los vemos ni los almacenamos.

3. Cómo usamos los datos y bases jurídicas

Usamos los datos de la cuenta y del sitio para ofrecer el panel y hacer funcionar tus chatbots (ejecución de nuestro contrato contigo). Usamos los datos de las conversaciones de los visitantes para generar solicitudes estructuradas para el propietario del sitio y para llevar a cabo la propia conversación, lo que implica enviar el contenido de los mensajes a la API de Gemini de Google para la comprensión del lenguaje (por instrucción del propietario del sitio, como su encargado). Usamos los datos técnicos para mantener el Servicio seguro y diagnosticar problemas (nuestro interés legítimo en un servicio seguro y en funcionamiento). Usamos tu correo electrónico para enviar avisos de servicio y de facturación (contrato) y, solo con tu consentimiento, novedades ocasionales sobre el producto. No vendemos datos personales y no usamos las conversaciones de los visitantes para entrenar nuestros propios modelos.

4. Encargados del tratamiento y dónde se almacenan tus datos

Utilizamos un número reducido de proveedores de infraestructura para hacer funcionar ConvoScore. Cada uno trata los datos solo en la medida necesaria para prestar su parte del Servicio.

• Neon (Neon Inc.) — la base de datos PostgreSQL que almacena todos los datos de cuentas, sitios, conversaciones y contactos. Alojada en la Unión Europea, región eu-central-1 (Fráncfort, Alemania). Proporciona las copias de seguridad continuas que se usan para la recuperación.
• Vercel (Vercel Inc.) — alojamiento de la aplicación, funciones sin servidor y CDN. Ejecuta el código que procesa las solicitudes; el cómputo se realiza principalmente en Estados Unidos. Vercel no recibe una copia separada de la base de datos.
• Google (Google LLC) — la API de Gemini procesa el contenido de los mensajes de las conversaciones para entender los mensajes de los visitantes y extraer campos estructurados, en la infraestructura de Google, principalmente en Estados Unidos. Si un propietario de un sitio aporta su propia clave de API de Gemini, las conversaciones de ese sitio se procesan con esa clave y bajo las condiciones de Google con ese cliente. Google Analytics (también Google LLC) se usa en el sitio de marketing, pero solo después de que aceptes las cookies analíticas mediante el banner de preferencias de cookies.
• Envío de correo — el correo transaccional (avisos de contactos, restablecimientos de contraseña, avisos de facturación y de incidentes) se envía a través de un proveedor SMTP externo, actualmente Google (Gmail / Google Workspace), en Estados Unidos.
• Paddle (Paddle.com Market Limited) — comerciante registrado de las suscripciones de pago. Trata tus datos de facturación y de pago como responsable independiente conforme a su propia política de privacidad; con sede en el Reino Unido.

5. Transferencias internacionales de datos

Tus datos almacenados residen en la UE, pero parte del tratamiento se realiza en Estados Unidos (cómputo de Vercel, API de Gemini de Google, envío de correo). Cuando se transfieren datos personales fuera de la UE/EEE, el Reino Unido o Türkiye, nos basamos en los mecanismos de transferencia que ofrecen esos proveedores, principalmente las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando proceda, el Marco de Privacidad de Datos UE-EE. UU. Puedes solicitarnos más detalles sobre una transferencia concreta.

6. Conservación de datos

Conservamos los datos solo mientras son necesarios:

• Datos de la cuenta: se conservan mientras tu cuenta esté abierta y se eliminan en un plazo de 30 días desde el cierre de la cuenta, salvo cuando una obligación legal o fiscal nos exija conservar algo más tiempo.
• Datos de visitantes y conversaciones: se conservan hasta que los elimines o cierres el sitio; esto lo controlas desde tu panel. No imponemos una caducidad propia, por lo que debes eliminar los datos de contactos que ya no necesites.
• Registros del servidor: se conservan hasta 30 días y luego se eliminan o se anonimizan.
• Copias de seguridad de la base de datos: una ventana móvil de recuperación a un momento dado de al menos 7 días; los registros eliminados desaparecen de las copias de seguridad a medida que esa ventana avanza.
• Registros de facturación: los registros de facturas y transacciones los conservan tanto nosotros como Paddle durante el tiempo que exija la legislación fiscal, normalmente varios años.

7. Aislamiento de datos entre inquilinos

La configuración del chatbot, las conversaciones y los contactos de cada sitio están acotados a ese sitio y a su propietario. El acceso se comprueba en cada solicitud frente a la cuenta con la sesión iniciada, y los datos nunca pasan de un inquilino a otro.

8. Cookies y almacenamiento local

El panel usa una cookie de sesión para mantenerte con la sesión iniciada; es estrictamente necesaria y solo se establece después de que inicies sesión. El widget incrustable usa el almacenamiento local en el propio dispositivo del visitante para reanudar una conversación en curso, y el sitio de marketing recuerda tu elección de idioma y tu preferencia de cookies, todo ello estrictamente necesario. Con tu consentimiento, otorgado mediante el banner de preferencias de cookies (puedes reabrirlo en cualquier momento desde el enlace "Preferencias de cookies" del pie de página), también establecemos cookies de Google Analytics para entender el tráfico agregado del sitio de marketing; no se establece ninguna cookie más allá de las estrictamente necesarias hasta que das tu consentimiento, y puedes retirarlo en cualquier momento. No establecemos cookies publicitarias ni de seguimiento entre sitios.

9. Tus derechos

Según dónde vivas, incluido en virtud del RGPD de la UE/el Reino Unido y del KVKK de Türkiye, puedes tener derecho a acceder, rectificar, exportar (portabilidad), eliminar o restringir el tratamiento de los datos personales que tengamos sobre ti, y a oponerte al tratamiento basado en el interés legítimo. Para ejercer un derecho sobre tus propios datos de cuenta, contáctanos desde el correo electrónico de tu cuenta; responderemos en un plazo de 30 días. Si tu solicitud se refiere a un visitante cuyos datos se recopilaron a través de tu sitio, te asistiremos como encargado, pero la solicitud debe dirigirse normalmente a ti como responsable. También tienes derecho a presentar una reclamación ante tu autoridad local de protección de datos.

10. Cómo protegemos los datos

Entre las medidas de seguridad se incluyen:

• Las contraseñas se almacenan únicamente como hashes con sal, nunca en texto plano.
• La clave de API de Gemini de cada sitio se cifra en reposo con AES-256-GCM y nunca se devuelve en texto plano a través del panel ni de ninguna API.
• Todo el tráfico se sirve a través de HTTPS/TLS.
• El acceso a los datos del panel se autoriza por cuenta y se aplica en cada solicitud.
• La base de datos está alojada en la UE con el acceso restringido a la aplicación, y las copias de seguridad continuas están activadas.

11. Notificación de brechas de datos

Si tenemos conocimiento de una brecha de seguridad que afecte a tus datos personales, la investigaremos con prontitud, actuaremos para contenerla y te lo notificaremos por correo electrónico sin dilación indebida, y en un plazo de 72 horas cuando lo exija la ley, incluyendo qué ha ocurrido, qué datos están afectados y qué podemos hacer nosotros y tú al respecto. Cuando actuemos como tu encargado respecto de los datos de los visitantes, te lo notificaremos para que puedas cumplir tus propios deberes de notificación como responsable.

12. Datos de menores

ConvoScore es una herramienta empresarial y no está dirigida a menores. No recopilamos a sabiendas datos personales de personas menores de 16 años. Si crees que un menor ha facilitado datos a través de un chatbot, contáctanos y los eliminaremos.

13. Cambios en esta política

Podemos actualizar esta Política de privacidad de vez en cuando. Los cambios importantes se reflejarán con una fecha de "Última actualización" actualizada en esta página y, en los cambios significativos, avisaremos a los titulares de cuenta por correo electrónico o mediante un aviso en el panel antes de su entrada en vigor.

14. Contacto

Puedes enviar tus preguntas sobre esta Política de privacidad, o ejercer un derecho de privacidad, a través de nuestra página de Contacto o por correo electrónico a la dirección que allí figura. Si te encuentras en la UE/EEE o en el Reino Unido y quieres un punto de contacto único para la protección de datos, usa la misma dirección e indícala a la atención del contacto de privacidad.