Política de Privacidad

1. Responsable del tratamiento

Esta política describe cómo se tratan los datos personales de los usuarios del sitio web discerniria.es, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

2. Qué datos se recogen y a través de qué medios

• Formularios de contacto: nombre, empresa (opcional), correo electrónico, teléfono y mensaje, según el formulario. Los campos obligatorios son necesarios para atender la solicitud; no facilitarlos impide tramitarla.
• Diagnóstico interactivo: las respuestas que el usuario selecciona en el cuestionario y, si decide solicitar contacto, el nombre y el teléfono que facilita voluntariamente, junto con el texto orientativo que se le mostró. Si el usuario no llega a solicitar contacto, sus respuestas no se almacenan: permanecen únicamente en su navegador durante la sesión y se descartan al finalizarla.
• Agente conversacional de voz («Sofía»): la voz se procesa en tiempo real durante la llamada para poder responder, pero la conversación no se registra ni se almacena; no se conservan ni el audio ni la transcripción una vez finalizada (véase el apartado 4).
• Datos técnicos y registros de seguridad: los proveedores de alojamiento y seguridad del sitio pueden generar registros técnicos (dirección IP, fecha y hora, página solicitada, tipo de navegador, errores y eventos de seguridad), incluidos los del servicio antispam Cloudflare Turnstile.
• Datos de navegación y medición: cuando se active la analítica web (Google Analytics 4), se tratarán datos de uso del sitio únicamente si el usuario presta su consentimiento a través del banner de cookies.

3. Finalidades y bases jurídicas

Cada finalidad se apoya en una base jurídica principal. En ningún caso se condiciona la atención de una consulta a la aceptación de comunicaciones comerciales.

• Atender consultas y solicitudes de contacto o de diagnóstico, y preparar en su caso la primera sesión de análisis: medidas precontractuales solicitadas por el propio interesado (art. 6.1.b RGPD).
• Mantener la conversación con el agente de voz: consentimiento del usuario, que decide libremente iniciar la conversación (art. 6.1.a RGPD).
• Garantizar la seguridad y el correcto funcionamiento del sitio (verificación antispam y registros técnicos de seguridad): interés legítimo del responsable en proteger sus sistemas y prevenir el abuso (art. 6.1.f RGPD, considerandos 47 y 49).
• Medición de audiencia mediante cookies analíticas: consentimiento, gestionado a través del banner de cookies (art. 6.1.a RGPD).
• Envío de comunicaciones comerciales, en su caso: consentimiento específico prestado mediante casilla separada y no premarcada, revocable en cualquier momento. Finalidad opcional e independiente.

No se adoptan decisiones automatizadas con efectos jurídicos o similares sobre el usuario ni se elaboran perfiles en el sentido del artículo 22 del RGPD. El resultado del diagnóstico es una orientación general basada en las respuestas del propio usuario, sin efectos vinculantes ni evaluación personal de este.

4. El agente de voz «Sofía»: transparencia y no conservación

El sitio ofrece un agente conversacional de voz basado en inteligencia artificial. Antes de iniciar la conversación se informa al usuario de que está interactuando con un sistema de inteligencia artificial. Se recomienda al usuario no comunicar durante la conversación datos especialmente sensibles ni información confidencial.

La voz se procesa técnicamente en tiempo real durante la llamada únicamente para poder mantener la conversación. Una vez finalizada, no se conserva ni el audio ni la transcripción: el servicio está configurado en modo de retención cero, de modo que el contenido de la conversación no se registra ni se almacena. Los datos de las conversaciones tampoco se utilizan para entrenar los modelos de inteligencia artificial del proveedor, opción expresamente desactivada.

Este servicio es prestado por el proveedor ElevenLabs, cuyo tratamiento técnico transitorio puede producirse en Estados Unidos (véase el apartado 6). Además, el widget genera y guarda en el navegador un identificador anónimo propio (no un dato de audio ni de conversación) para mantener su funcionamiento durante la sesión.

5. Destinatarios y encargados del tratamiento

No se comunican datos a terceros ajenos a la prestación del servicio, salvo obligación legal. Determinados proveedores pueden acceder a los datos en el marco de sus servicios, cada uno con acceso limitado a lo estrictamente necesario:

• Supabase — base de datos donde se almacenan las solicitudes recibidas. Alojamiento en la Unión Europea (Irlanda).
• Vercel — alojamiento y publicación del sitio web.
• Cloudflare — verificación antispam (Turnstile) y servicios de red y seguridad.
• ElevenLabs — tecnología del agente conversacional de voz (procesamiento técnico transitorio; sin conservación).
• Telegram — canal por el que el responsable recibe un aviso interno de nueva solicitud, con datos mínimos. Los datos de contacto completos no se envían por este canal y se consultan en la base de datos alojada en la UE.
• Google — analítica web (Google Analytics 4), solo cuando se active y con consentimiento.

Vercel y Cloudflare cuentan con adendas de tratamiento de datos de adhesión automática al aceptar sus condiciones de servicio, que incorporan Cláusulas Contractuales Tipo. ElevenLabs cuenta con adenda propia y está certificada en el Marco de Privacidad de Datos UE-EE. UU. Telegram no ofrece una adenda de tratamiento de datos equivalente; el riesgo se mitiga minimizando al máximo el dato enviado por ese canal, que no incluye teléfono, correo electrónico ni el contenido del mensaje.

6. Transferencias internacionales

Algunos proveedores tratan datos fuera del Espacio Económico Europeo, en particular en Estados Unidos (como ElevenLabs y, en su caso, Vercel, Cloudflare, Google o Telegram). En estos supuestos, la transferencia debe ampararse en un mecanismo válido conforme al capítulo V del RGPD: adhesión de la entidad al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) o Cláusulas Contractuales Tipo, junto con las medidas complementarias que procedan. El usuario puede solicitar información sobre dichas garantías y sobre cómo obtener una copia dirigiéndose a info@discerniria.es.

Vercel y Cloudflare amparan sus transferencias en Cláusulas Contractuales Tipo; Cloudflare, además, está adherida al Marco de Privacidad de Datos UE-EE. UU. ElevenLabs está certificada en dicho Marco, incluida su extensión para el Reino Unido, y complementa su adenda con Cláusulas Contractuales Tipo. El usuario puede solicitar información adicional sobre estas garantías dirigiéndose a info@discerniria.es.

7. Plazos de conservación

Los datos se conservan durante el tiempo necesario para la finalidad que motivó su recogida y, cuando proceda, durante la relación que pueda derivarse. A título orientativo:

• Solicitudes no convertidas en relación (contacto o diagnóstico sin continuidad): máximo un año desde el último contacto.
• Conversaciones con el agente de voz: no se conservan (retención cero).
• Datos de clientes y relaciones contractuales: durante la relación y los plazos legales de prescripción aplicables (fiscales, contables y contractuales).
• Registros técnicos y de seguridad: durante el plazo definido por cada proveedor para fines de seguridad y diagnóstico.
• Copias de seguridad de la base de datos (Supabase): copia diaria, con una ventana de retención de 7 días; no se emplea recuperación punto en el tiempo (PITR).

Transcurridos los plazos, los datos se suprimen o se bloquean debidamente cuando deban conservarse a disposición de las autoridades. Las copias de seguridad se someten a un ciclo de sobrescritura que garantiza su eliminación efectiva.

8. Derechos de los interesados

El usuario puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, dirigiéndose a info@discerniria.es e indicando el derecho que desea ejercer. El responsable atenderá la solicitud en el plazo de un mes desde su recepción, prorrogable conforme al RGPD cuando la complejidad lo justifique. Solo se solicitará información adicional para verificar la identidad cuando existan dudas razonables sobre la misma.

El usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (Edificio Cuzco IV, Paseo de la Castellana, 141, planta 9, 28046 Madrid · registroentrada@aepd.es · www.aepd.es) si considera que el tratamiento no se ajusta a la normativa.

9. Seguridad

El responsable aplica medidas técnicas y organizativas apropiadas al riesgo: cifrado de las comunicaciones (HTTPS), control de accesos a la base de datos mediante políticas restrictivas, protección de credenciales y secretos, minimización de los datos recabados y limitación del envío de datos entre servicios al mínimo imprescindible.

Ante cualquier incidente que pueda afectar a la seguridad de los datos personales, el responsable evaluará el riesgo para los derechos y libertades de los interesados en un plazo máximo de 24-48 horas desde su detección. Cuando el riesgo sea apreciable, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas desde que se tenga conocimiento del incidente (art. 33 RGPD) y, si el riesgo es alto para los interesados, se les comunicará sin dilación indebida (art. 34 RGPD). Se mantendrá un registro interno de cualquier incidente, con independencia de si resultó exigible su notificación a la autoridad.

10. Menores de edad

Los servicios del sitio se dirigen a profesionales y empresas. No se recaban conscientemente datos de menores de catorce años, edad a partir de la cual el ordenamiento español permite el consentimiento propio para el tratamiento de datos (art. 7 LOPDGDD). Si un padre, madre o tutor tiene conocimiento de que un menor ha facilitado datos, puede solicitar su supresión en info@discerniria.es.

11. Actualizaciones de esta política

Esta política puede actualizarse para reflejar cambios normativos o en los servicios del sitio (por ejemplo, la activación de la analítica web). La versión vigente estará siempre publicada en discerniria.es, con indicación de su fecha.