Política de privacidad

Responsable del tratamiento: Alan Casañ Paniagua (NIF 53887963K), Ctra. Malilla nº 79, Esc. 1, Planta 06, Pta. 27, 46026 València (Valencia), España. Marca comercial: Spira. Contacto: acasan@spira.es · 646 257 297 / 661 462 301.

No estamos obligados a designar delegado de protección de datos. Para cualquier asunto sobre tus datos, escribe a la dirección de arriba.

1. Dos tratamientos distintos, no los mezcles

Esta política cubre dos cosas diferentes, y conviene distinguirlas:

• Tus datos, si eres un negocio que usa Spira. Aquí el responsable somos nosotros, y es de lo que trata todo lo que sigue.
• Los datos de quien escribe al WhatsApp de un negocio que usa Spira. Ahí el responsable es ese negocio y nosotros solo actuamos como encargado, siguiendo sus instrucciones. Las condiciones están en el Anexo de encargo del tratamiento. Si has escrito a una empresa y quieres ejercer tus derechos, la vía es esa empresa; si nos escribes a nosotros, te pondremos en contacto con ella.

2. Qué datos tratamos

• De quien crea un agente: nombre, correo electrónico y teléfono; los datos del negocio que facilita (nombre comercial, servicios, horarios, precios, preguntas frecuentes, web, documentos que sube); la dirección IP y el navegador desde el que lo hace (seguridad y prevención de abuso); y el número de WhatsApp que conecta al agente.
• De quien contrata el plan: los datos de facturación que facilita a la pasarela de pago —nombre o razón social, NIF y dirección— y el histórico de cobros. No vemos ni guardamos el número de tu tarjeta: lo custodia Stripe.
• De las conversaciones: el contenido de los mensajes de WhatsApp entre el negocio y sus clientes que el agente atiende, el número de teléfono y el nombre de perfil de quien escribe, y los datos que esa persona facilita en la conversación. Aquí actuamos como encargado del negocio (apartado 1).
• De la agenda: si el negocio la activa, el nombre, teléfono, correo y notas de quien reserva una cita.
• Datos de categorías especiales: según el sector del negocio (por ejemplo, una clínica), una conversación puede contener datos de salud aunque nadie los pida. Los tratamos como encargado, con las mismas garantías que el resto. Quien tiene que contar con la base jurídica del art. 9.2 del RGPD y configurar el agente para no pedir de más es el negocio, que es el responsable.

Los datos que te pedimos para crear el agente y para facturarte son necesarios: sin ellos no podemos prestarte el servicio ni emitirte factura.

3. Para qué y con qué base legal

• Crear y operar tu agente y darte el portal — ejecución del contrato.
• Facturarte y cobrarte — ejecución del contrato y cumplimiento de nuestras obligaciones fiscales y contables.
• Escribirte sobre tu propio servicio (que tu agente está listo, que se te acaban los tokens, una incidencia, un cambio de condiciones) — ejecución del contrato. Estos avisos no son publicidad y no se pueden desactivar sin dejar de usar el servicio.
• Enviarte comunicaciones comerciales por correo o teléfono sobre nuestros servicios y mejoras de plan — tu consentimiento, que prestas marcando la casilla específica del formulario y que puedes retirar cuando quieras escribiendo a nuestro correo. Es una casilla aparte, opcional y desmarcada: no marcarla no te impide usar Spira.
• Seguridad, prevención de fraude y límite de una prueba gratuita por negocio — nuestro interés legítimo en que el servicio no se abuse. Para esto guardamos huellas de correo, teléfono y número de WhatsApp de quien ya ha usado una prueba.
• Medir qué anuncios funcionan — tu consentimiento para las cookies de medición (apartado 8) y nuestro interés legítimo para los datos de procedencia que ya viajan en la dirección web que visitas.
• Atender tus derechos y posibles reclamaciones — cumplimiento de una obligación legal.

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni te afecten significativamente de modo similar. Que tu agente se genere con inteligencia artificial no es una decisión sobre ti: es la prestación del servicio que has pedido.

3.1. Estás hablando con un agente de IA

Quien te atiende por WhatsApp o Instagram en nombre del negocio es un agente de inteligencia artificial, no una persona. Si preguntas si eres atendido por una persona o por una IA, el agente te lo dice claramente y nunca afirma ser humano, y puede pasarte con alguien del equipo del negocio si lo prefieres. Sus respuestas las genera un modelo de lenguaje a partir de la información que el negocio ha configurado; puede equivocarse, y nada de lo que diga sustituye al criterio profesional del negocio.

4. Con quién trabajamos

Para prestar el servicio nos apoyamos en proveedores que tratan datos por cuenta nuestra, con su correspondiente contrato de encargo:

• Supabase — base de datos y cuentas de acceso.
• Vercel — alojamiento de la aplicación web.
• Contabo — el servidor propio donde corren el motor del agente (n8n), la conexión con WhatsApp (Evolution) y la memoria de trabajo (Redis). Es donde viven las conversaciones.
• OpenAI y Anthropic — los modelos de inteligencia artificial que generan el agente y sus respuestas.
• Stripe — pagos y facturación.
• Resend — envío de los correos del servicio.
• GoHighLevel — nuestro CRM: gestión de tu contacto y del seguimiento comercial.
• Meta Platforms — WhatsApp, por donde circulan los mensajes, y el píxel de medición si aceptas las cookies (apartado 8).

Esta lista es también la que autoriza a nuestros subencargados frente a los negocios que nos contratan (Anexo de encargo, apartado A.5): un proveedor que no esté aquí no está autorizado. Si damos de alta uno nuevo, lo comunicaremos con antelación razonable.

4.1. Exportaciones que decides tú

Dos funciones del portal sacan datos de Spira por decisión tuya, y conviene que sepas lo que implican. La descarga CSV de tus contactos: a partir de ese momento el fichero es tuyo y su custodia también. Y el enlace de calendario (ICS): si lo pegas en Google Calendar, Apple Calendario u Outlook, tus citas —con el nombre y el teléfono de las personas que reservaron— pasan a estar también en los servidores de ese proveedor, con sus propias condiciones. En los dos casos actúas como responsable de esos datos. El enlace ICS es secreto y revocable: cualquiera que lo tenga puede ver tus citas, así que no lo publiques, y si se te escapa puedes generar otro desde “Mi agenda” — el anterior deja de funcionar al instante.

4.2. Conexión con Google Calendar (opcional, en implantación)

Si decides conectar tu Google Calendar, Spira te pedirá permiso a través de la pantalla de consentimiento de Google. Esto es lo que hacemos con ese acceso:

• Qué permiso pedimos y para qué. Solo el necesario para crear un calendario propio dentro de tu cuenta (lo verás como “Citas Spira”) y gestionar los eventos de ese calendario. Sirve para una única cosa: que las citas que reserva tu agente aparezcan también en el calendario que ya usas.
• Qué NO podemos hacer. Ese permiso no da acceso al resto de tus calendarios: no leemos tus eventos personales, ni sus invitados, ni podemos siquiera obtener la lista de calendarios que tienes. Solo vemos y tocamos lo que la propia aplicación ha creado.
• El calendario es tuyo. Google te asigna a ti su propiedad. Si dejas de usar Spira, ese calendario y su historial se quedan en tu cuenta.
• No escribimos a nadie más. Los eventos se crean sin invitados, así que Google no envía ningún correo ni notificación a tus clientes: se mantiene la regla de este producto de no iniciar nunca una comunicación con la persona que escribió a tu negocio.
• Qué guardamos. Un testigo de autorización (token) cifrado, el identificador del calendario creado y la dirección de la cuenta de Google que conectaste, para poder mostrártela. No copiamos ni almacenamos el contenido de tus eventos.
• Dónde y con quién. En nuestra base de datos (Supabase) y en el alojamiento de la app (Vercel), los mismos encargados del apartado 4. No compartimos, vendemos ni cedemos estos datos a terceros, ni los usamos para publicidad ni para entrenar modelos de inteligencia artificial.
• Cómo se revoca. Desde tu panel o desde tu cuenta de Google (Seguridad → Aplicaciones de terceros). Al revocar, borramos el token y dejamos de escribir; el calendario y sus citas se quedan contigo.
• Cuánto dura. El token se borra al desconectar, al darte de baja o al revocarlo desde Google.

El uso que Spira hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos sus requisitos de uso limitado (Limited Use).

5. Transferencias internacionales

Algunos de los proveedores del apartado 4 están establecidos fuera del Espacio Económico Europeo o pueden tratar datos allí, señaladamente en Estados Unidos: OpenAI, Anthropic, Stripe, GoHighLevel, Vercel, Supabase y Meta. Esas transferencias se amparan, según el proveedor, en una decisión de adecuación de la Comisión Europea —el marco de privacidad de datos UE-EE. UU., cuando el proveedor está certificado— o en las Cláusulas Contractuales Tipo de la Comisión, con las garantías adicionales que procedan. Si quieres saber qué mecanismo concreto ampara a un proveedor determinado, escríbenos y te lo decimos.

6. Cuánto tiempo conservamos cada cosa

• Tu cuenta y la configuración de tu agente: mientras la relación esté vigente.
• Conversaciones, contactos captados, citas y tareas: mientras tu agente esté activo. Al procesar tu baja los eliminamos de nuestra base de datos, junto con los recursos del agente.
• Prueba gratuita que no acaba en contratación: los datos tratados durante la prueba se suprimen 30 días después de agotarse el cupo. La cuenta y la configuración del negocio se conservan, para que si vuelve no haya perdido su agente.
• Facturas y datos fiscales: el plazo que exige la normativa mercantil y tributaria, que llega hasta seis años.
• Huellas de correo, teléfono y número de WhatsApp de quien ya ha consumido una prueba gratuita: se conservan mientras siga siendo necesario para impedir pruebas repetidas del mismo negocio, que es la finalidad para la que existen.
• Datos de quien deja sus datos y no llega a crear un agente: los conservamos mientras siga viva la gestión comercial de ese contacto. Puedes pedirnos su supresión en cualquier momento y la ejecutamos.

Nota honesta: la memoria de trabajo que el agente usa en el servidor para seguir el hilo de cada conversación, y las copias de seguridad de nuestros proveedores, tienen sus propios ciclos técnicos. Si necesitas la supresión completa e inmediata de todo rastro, escríbenos y la ejecutamos a mano; no esperes a que caduque sola.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a acasan@spira.es. Cuando el tratamiento se base en tu consentimiento, puedes retirarlo cuando quieras, sin que ello afecte a la licitud del tratamiento anterior. Te responderemos en el plazo de un mes.

Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Cookies, píxel de Meta y medición de anuncios

8.1. Medición publicitaria (solo con tu consentimiento)

Usamos una cookie de medición publicitaria: el píxel de Meta (Meta Platforms Ireland Ltd.), que nos ayuda a saber qué anuncios funcionan y a medir conversiones. Solo se activa si la aceptas en el aviso de cookies; si la rechazas, no se instala nada. Meta puede tratar datos conforme a su política de privacidad. Respecto de esta medición, Meta Platforms Ireland Ltd. y Spira actuamos como corresponsables (art. 26 RGPD) en la recogida y transmisión de esos datos; el tratamiento posterior que Meta haga por su cuenta ya no forma parte de esa corresponsabilidad.

Como exige ese reparto, te informamos de lo esencial del acuerdo: Meta y Spira hemos suscrito el Apéndice para responsables del tratamiento de Meta para determinar nuestras respectivas responsabilidades sobre esa recogida y transmisión conjunta, que se realiza tal y como establecen las Condiciones de las herramientas para empresas de Meta. Nosotros nos encargamos de darte esta información; y Meta Ireland es la parte responsable de atender tus derechos de acceso, rectificación, supresión, limitación y portabilidad (arts. 15 a 20 RGPD) sobre los datos que conserva después. La información del art. 13.1.a y b sobre Meta, sus bases jurídicas y cómo ejercer tus derechos ante ella está en su política de privacidad. Si nos diriges a nosotros una solicitud sobre este tratamiento conjunto, se la trasladaremos a Meta.

Si aceptas, el píxel también envía a Meta tu correo, teléfono y nombre cifrados mediante un resumen criptográfico irreversible (SHA-256), junto con un identificador interno y el país, para poder reconocer la conversión aunque las cookies fallen. Meta no recibe estos datos legibles, y el cifrado lo hace tu propio navegador antes de enviarlos. Si rechazas, no se envía nada.

Puedes retirar o cambiar tu decisión en cualquier momento: pulsa aquí para configurar tus cookies, o borra las cookies y los datos de este sitio desde tu navegador.

8.2. Todo lo que guardamos en tu navegador

Esta es la lista completa, sin letra pequeña:

• spira_consent — cookie propia, 180 días. Recuerda si aceptaste o rechazaste la medición, para no volver a preguntártelo. Es técnica: se guarda digas lo que digas.
• spira_interno — cookie propia, 180 días. Marca los navegadores de nuestro equipo para excluirlos de la medición. Solo existe si alguien de Spira la activa.
• spira_atr — cookie propia, 90 días. Guarda de qué anuncio o campaña llegaste la primera vez, para atribuir correctamente el alta. Se escribe solo si aceptas la medición.
• _fbp y _fbc — cookies de Meta. Identifican tu navegador y el clic del anuncio. Solo si aceptas.
• spira_cookies_marketing y spira_modo_interno — en el almacenamiento local. La misma decisión y la misma marca de equipo que las dos primeras cookies; el duplicado existe porque el navegador y el servidor necesitan leerlas de sitios distintos.
• spira_wizard_v1 — en el almacenamiento local, 24 horas. Guarda lo que llevas rellenado del asistente —incluidos tu nombre, tu correo y tu teléfono— para que no lo pierdas si se te cierra la pestaña. Se borra solo pasado ese tiempo, y puedes borrarlo antes vaciando los datos del sitio en tu navegador. No sale de tu dispositivo.
• spira_ref — en el almacenamiento local. El código de recomendación con el que llegaste, para no perderlo entre pantallas.
• spira_cal_5dias — en el almacenamiento local. Si prefieres ver tu agenda en semana de 5 o de 7 días. Solo dentro del portal.

8.3. Datos de procedencia del anuncio

Cuando llegas desde un anuncio, la dirección web incluye parámetros que indican de qué campaña vienes (utm_source, utm_campaign, fbclid y similares). Si nos dejas tus datos, los guardamos junto a tu solicitud para saber qué anuncios funcionan y atribuir correctamente las altas; también se adjuntan a los registros de pago para poder medir el rendimiento de cada campaña.

Esos parámetros ya viajan en la dirección que has visitado: no hace falta leer nada de tu dispositivo para verlos, y por eso su lectura no depende del aviso de cookies. La base jurídica es nuestro interés legítimo en medir la eficacia de nuestra publicidad, y nunca incluyen información sensible. Conservarlos entre visitas sí usa una cookie (spira_atr, apartado 8.2), y esa solo se escribe si aceptas. Puedes oponerte a este tratamiento escribiendo a acasan@spira.es.