Política de Privacidad

1. Responsable del tratamiento

Esta política describe cómo se tratan los datos personales de los usuarios del sitio web discerniria.es, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

2. Qué datos se recogen y a través de qué medios

• Formularios de contacto: nombre, empresa (opcional), correo electrónico, teléfono y mensaje, según el formulario. Los campos obligatorios son necesarios para atender la solicitud; no facilitarlos impide tramitarla.
• Diagnóstico interactivo: las respuestas que el usuario selecciona en el cuestionario y, si decide solicitar contacto, el nombre y el teléfono que facilita voluntariamente, junto con el texto orientativo que se le mostró. Si el usuario no llega a solicitar contacto, sus respuestas no se almacenan: permanecen únicamente en su navegador durante la sesión y se descartan al finalizarla.
• Agente conversacional de voz («Sofía»): la voz se procesa en tiempo real durante la llamada para poder responder, pero la conversación no se registra ni se almacena; no se conservan ni el audio ni la transcripción una vez finalizada (véase el apartado 4).
• Datos técnicos y registros de seguridad: los proveedores de alojamiento y seguridad del sitio pueden generar registros técnicos (dirección IP, fecha y hora, página solicitada, tipo de navegador, errores y eventos de seguridad), incluidos los del servicio antispam Cloudflare Turnstile.
• Datos de navegación y medición: cuando se active la analítica web (Google Analytics 4), se tratarán datos de uso del sitio únicamente si el usuario presta su consentimiento a través del banner de cookies.

3. Finalidades y bases jurídicas

Cada finalidad se apoya en una base jurídica principal. En ningún caso se condiciona la atención de una consulta a la aceptación de comunicaciones comerciales.

• Atender consultas y solicitudes de contacto o de diagnóstico, y preparar en su caso la primera sesión de análisis: medidas precontractuales solicitadas por el propio interesado (art. 6.1.b RGPD).
• Mantener la conversación con el agente de voz: consentimiento del usuario, que decide libremente iniciar la conversación (art. 6.1.a RGPD).
• Garantizar la seguridad y el correcto funcionamiento del sitio (verificación antispam y registros técnicos de seguridad): interés legítimo del responsable en proteger sus sistemas y prevenir el abuso (art. 6.1.f RGPD, considerandos 47 y 49).
• Medición de audiencia mediante cookies analíticas: consentimiento, gestionado a través del banner de cookies (art. 6.1.a RGPD).
• Envío de comunicaciones comerciales, en su caso: consentimiento específico prestado mediante casilla separada y no premarcada, revocable en cualquier momento. Finalidad opcional e independiente.

No se adoptan decisiones automatizadas con efectos jurídicos o similares sobre el usuario ni se elaboran perfiles en el sentido del artículo 22 del RGPD. El resultado del diagnóstico es una orientación general basada en las respuestas del propio usuario, sin efectos vinculantes ni evaluación personal de este.

4. El agente de voz «Sofía»: transparencia y no conservación

El sitio ofrece un agente conversacional de voz basado en inteligencia artificial. Antes de iniciar la conversación se informa al usuario de que está interactuando con un sistema de inteligencia artificial. Se recomienda al usuario no comunicar durante la conversación datos especialmente sensibles ni información confidencial.

La voz se procesa técnicamente en tiempo real durante la llamada únicamente para poder mantener la conversación. Una vez finalizada, no se conserva ni el audio ni la transcripción: el servicio está configurado en modo de retención cero, de modo que el contenido de la conversación no se registra ni se almacena. Los datos de las conversaciones tampoco se utilizan para entrenar los modelos de inteligencia artificial del proveedor, opción expresamente desactivada.

Este servicio es prestado por el proveedor ElevenLabs, cuyo tratamiento técnico transitorio puede producirse en Estados Unidos (véase el apartado 6). Además, el widget genera y guarda en el navegador un identificador anónimo propio (no un dato de audio ni de conversación) para mantener su funcionamiento durante la sesión.

5. Destinatarios y encargados del tratamiento

No se comunican datos a terceros ajenos a la prestación del servicio, salvo obligación legal. Determinados proveedores pueden acceder a los datos en el marco de sus servicios, cada uno con acceso limitado a lo estrictamente necesario:

• Supabase — base de datos donde se almacenan las solicitudes recibidas. Alojamiento en la Unión Europea (Irlanda).
• Vercel — alojamiento y publicación del sitio web.
• Cloudflare — verificación antispam (Turnstile) y servicios de red y seguridad.
• ElevenLabs — tecnología del agente conversacional de voz (procesamiento técnico transitorio; sin conservación).
• Telegram — canal por el que el responsable recibe un aviso interno de nueva solicitud, limitado a los datos mínimos necesarios, como el nombre, el sector y la página de origen. Por este canal no se envían el teléfono, el correo electrónico ni el contenido completo del mensaje.
• Brevo — servicio utilizado para enviar al responsable un correo electrónico interno con los datos completos de cada solicitud recibida mediante los formularios. Según la información publicada por el proveedor, las bases de datos utilizadas para prestar el servicio se alojan en la Unión Europea.
• Google Workspace — servicio de correo electrónico corporativo en el que el responsable recibe y gestiona las solicitudes y comunicaciones de los usuarios.
• Google Analytics 4 — servicio de medición de audiencia, solo cuando se encuentre activado y el usuario haya prestado su consentimiento mediante el banner de cookies.

Vercel y Cloudflare cuentan con adendas de tratamiento de datos de adhesión automática al aceptar sus condiciones de servicio, que incorporan Cláusulas Contractuales Tipo. ElevenLabs cuenta con adenda propia y está certificada en el Marco de Privacidad de Datos UE-EE. UU. Brevo dispone de una adenda de tratamiento de datos integrada en sus condiciones de servicio y declara que las bases de datos utilizadas para prestar el servicio se alojan en la Unión Europea. Google Workspace dispone de condiciones de procesamiento de datos aplicables a su utilización profesional. Telegram no ofrece una adenda de tratamiento de datos equivalente; por ello, el riesgo se mitiga minimizando el dato enviado por ese canal, que no incluye teléfono, correo electrónico ni el contenido completo del mensaje.

6. Transferencias internacionales

Algunos proveedores o sus subencargados pueden tratar datos fuera del Espacio Económico Europeo, en particular en Estados Unidos, como ElevenLabs y, en su caso, Vercel, Cloudflare, Google Workspace, Google Analytics 4 o Telegram. En estos supuestos, la transferencia deberá ampararse en un mecanismo válido conforme al capítulo V del RGPD: adhesión de la entidad correspondiente al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), Cláusulas Contractuales Tipo u otra garantía admitida por la normativa, junto con las medidas complementarias que procedan. El usuario puede solicitar información sobre dichas garantías y sobre cómo obtener una copia dirigiéndose a info@discerniria.es.

Vercel y Cloudflare amparan sus transferencias en Cláusulas Contractuales Tipo; Cloudflare, además, está adherida al Marco de Privacidad de Datos UE-EE. UU. ElevenLabs está certificada en dicho Marco y complementa su adenda con Cláusulas Contractuales Tipo. Google dispone de condiciones de procesamiento de datos que contemplan las garantías aplicables a las transferencias internacionales realizadas en el marco de Google Workspace y de sus restantes servicios. Brevo declara que las bases de datos utilizadas para prestar el servicio se alojan en la Unión Europea y su adenda de tratamiento contempla las garantías aplicables si alguno de sus subencargados realiza transferencias internacionales. El usuario puede solicitar información adicional sobre estas garantías dirigiéndose a info@discerniria.es.

7. Plazos de conservación

Los datos se conservan durante el tiempo necesario para la finalidad que motivó su recogida y, cuando proceda, durante la relación que pueda derivarse. A título orientativo:

• Solicitudes no convertidas en relación —contacto o diagnóstico sin continuidad—: máximo un año desde el último contacto. Este mismo plazo se aplica tanto a los registros almacenados en la base de datos como a los correos electrónicos internos de aviso recibidos en Google Workspace.
• Conversaciones con el agente de voz: no se conservan (retención cero).
• Datos de clientes y relaciones contractuales: durante la relación y los plazos legales de prescripción aplicables (fiscales, contables y contractuales).
• Registros técnicos y de seguridad: durante el plazo definido por cada proveedor para fines de seguridad y diagnóstico.
• Copias de seguridad de la base de datos (Supabase): copia diaria, con una ventana de retención de 7 días; no se emplea recuperación punto en el tiempo (PITR).

Transcurridos los plazos, los datos se suprimen o se bloquean debidamente cuando deban conservarse a disposición de las autoridades. Las copias de seguridad se someten a un ciclo de sobrescritura que garantiza su eliminación efectiva.

8. Derechos de los interesados

El usuario puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, dirigiéndose a info@discerniria.es e indicando el derecho que desea ejercer. El responsable atenderá la solicitud en el plazo de un mes desde su recepción, prorrogable conforme al RGPD cuando la complejidad lo justifique. Solo se solicitará información adicional para verificar la identidad cuando existan dudas razonables sobre la misma.

El usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (Edificio Cuzco IV, Paseo de la Castellana, 141, planta 9, 28046 Madrid · registroentrada@aepd.es · www.aepd.es) si considera que el tratamiento no se ajusta a la normativa.

9. Seguridad

El responsable aplica medidas técnicas y organizativas apropiadas al riesgo: cifrado de las comunicaciones (HTTPS), control de accesos a la base de datos mediante políticas restrictivas, protección de credenciales y secretos, minimización de los datos recabados y limitación del acceso y del intercambio de datos entre servicios a lo necesario para recibir, gestionar y responder cada solicitud.

Ante cualquier incidente que pueda afectar a la seguridad de los datos personales, el responsable evaluará el riesgo para los derechos y libertades de los interesados en un plazo máximo de 24-48 horas desde su detección. Cuando el riesgo sea apreciable, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas desde que se tenga conocimiento del incidente (art. 33 RGPD) y, si el riesgo es alto para los interesados, se les comunicará sin dilación indebida (art. 34 RGPD). Se mantendrá un registro interno de cualquier incidente, con independencia de si resultó exigible su notificación a la autoridad.

10. Menores de edad

Los servicios del sitio se dirigen a profesionales y empresas. No se recaban conscientemente datos de menores de catorce años, edad a partir de la cual el ordenamiento español permite el consentimiento propio para el tratamiento de datos (art. 7 LOPDGDD). Si un padre, madre o tutor tiene conocimiento de que un menor ha facilitado datos, puede solicitar su supresión en info@discerniria.es.

11. Actualizaciones de esta política

Esta política puede actualizarse para reflejar cambios normativos o en los servicios del sitio (por ejemplo, la activación de la analítica web). La versión vigente estará siempre publicada en discerniria.es, con indicación de su fecha.