Política de Privacidad

Automatiza Formación ([RAZÓN SOCIAL COMPLETA], CIF [CIF/NIF], domicilio en [DIRECCIÓN FISCAL]) es responsable del tratamiento de los datos personales recogidos a través de la plataforma App Automatiza (app.automatizaformacion.com), en adelante “el Servicio”.

Contacto para cuestiones de privacidad: [EMAIL DE CONTACTO/DPO].

El Servicio es una plataforma SaaS multi-tenant: academias y centros de formación (“clientes” o “tenants”) contratan App Automatiza para gestionar sus propios leads y automatizar su contacto comercial mediante agentes de IA (voz y chat), CRM y hojas de cálculo. Esta política cubre dos perfiles distintos:

• Usuarios del dashboard: personas empleadas por un tenant que acceden a App Automatiza para gestionar sus leads.
• Leads/contactos: personas cuyos datos gestiona un tenant dentro del Servicio (potenciales alumnos). El tenant es responsable como “responsable del tratamiento” de sus propios leads; Automatiza Formación actúa como “encargado del tratamiento” respecto a esos datos, conforme al art. 28 RGPD.

De usuarios del dashboard: nombre, email, contraseña (almacenada cifrada), rol dentro del tenant, registros de acceso.

De leads/contactos (gestionados por el tenant): nombre, teléfono, email, historial de conversaciones con los agentes de IA (texto y, en su caso, transcripción de llamadas de voz), estado de cualificación, y cualquier dato adicional que el tenant decida almacenar en sus hojas de cálculo o CRM conectado.

De integraciones conectadas: tokens de acceso OAuth (Google, HubSpot, Zoho, WhatsApp Business), almacenados cifrados en reposo (AES-256-GCM). No almacenamos las contraseñas de estas cuentas de terceros, solo los tokens de autorización que el propio usuario concede.

App Automatiza permite a cada tenant conectar su propia cuenta de Google para sincronizar leads con una hoja de cálculo de Google Sheets de su elección. El acceso a los datos de Google se limita estrictamente a lo necesario:

• Selector de archivos (scope drive.file): solo accedemos al archivo o archivos que el propio usuario selecciona explícitamente a través del selector oficial de Google (Google Picker). No listamos, leemos ni accedemos a ningún otro archivo de su Google Drive.
• Lectura/escritura de hojas (scope spreadsheets): una vez seleccionada la hoja, leemos y escribimos únicamente las filas y columnas necesarias para sincronizar los leads gestionados en el Servicio.

El uso y la transferencia a App Automatiza de la información recibida de las APIs de Google cumple con la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).

• Prestación del Servicio contratado por el tenant.
• Automatización del contacto comercial con leads mediante agentes de IA, por cuenta y orden del tenant.
• Sincronización de datos con las herramientas que el tenant decide conectar.
• Seguridad, prevención de fraude y cumplimiento de obligaciones legales.
• Soporte técnico y mejora del Servicio.

Ejecución del contrato de prestación de servicios (art. 6.1.b RGPD) respecto a usuarios del dashboard; encargo de tratamiento por cuenta del tenant (art. 6.1.b y art. 28 RGPD) respecto a los leads; interés legítimo para seguridad y prevención de fraude (art. 6.1.f RGPD).

Para prestar el Servicio recurrimos a los siguientes proveedores:

• Infraestructura y base de datos: servidor propio (Supabase autoalojado en VPS de Automatiza Formación) — los datos no se comparten con Supabase Inc.
• Proveedores de modelos de lenguaje (IA): Anthropic y/o OpenAI, a través de una pasarela propia (LiteLLM), para el procesamiento conversacional de los agentes IA.
• Voz: Retell y Ultravox, para llamadas de voz automatizadas.
• Mensajería: Meta (WhatsApp Business API), cuando el tenant activa el canal de WhatsApp.
• CRM: HubSpot y/o Zoho CRM, únicamente si el tenant conecta su propia cuenta.
• Hojas de cálculo: Google (Sheets/Drive API), únicamente si el tenant conecta su propia cuenta de Google Cloud.
• Monitorización de errores: Sentry.

[TODO: confirmar ubicación de cada proveedor y, si corresponde, incluir garantías de transferencia internacional — cláusulas contractuales tipo (SCC) — para proveedores fuera del Espacio Económico Europeo.]

Las credenciales de integraciones de terceros se almacenan cifradas en reposo (AES-256-GCM). El acceso a los datos está segmentado por tenant mediante políticas de seguridad a nivel de fila (Row Level Security) en la base de datos, de forma que ningún tenant puede acceder a los datos de otro.

[TODO: definir plazo de conservación real — p. ej. mientras dure la relación contractual con el tenant, más el plazo legal aplicable tras la baja.]

Cualquier persona tiene derecho a acceder, rectificar, suprimir, limitar u oponerse al tratamiento de sus datos, así como a la portabilidad de los mismos. Los leads deben dirigir estas solicitudes al tenant correspondiente (responsable de sus datos); los usuarios del dashboard pueden dirigirse a [EMAIL DE CONTACTO/DPO]. También tienen derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Podemos actualizar esta política para reflejar cambios en el Servicio o en la normativa aplicable. Publicaremos cualquier cambio relevante en esta misma página.