Política de privacidad

1. Introducción

La presente política de privacidad describe cómo Revowind SRL (número de empresa BE 0745.825.575), editor del servicio Cephor, recoge, utiliza, comparte y protege sus datos personales conforme al Reglamento (UE) 2016/679 (« RGPD ») y a la ley belga de 30 de julio de 2018 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

Al utilizar los servicios de Cephor, usted reconoce haber leído esta política. Si no acepta estas condiciones, no utilice nuestros servicios.

2. Responsable del tratamiento

3. Datos recogidos

En el marco de la prestación de nuestros servicios, recogemos y tratamos las siguientes categorías de datos:

3.1 Datos de identificación y de cuenta

• Nombre y apellidos
• Dirección de correo electrónico
• Contraseña (almacenada de forma cifrada)
• Información vinculada a sus Experiencias (URL de sitios, contenidos extraídos, parámetros del asistente, etc.)

3.2 Datos de las conversaciones (visitantes de sus sitios)

Cuando los visitantes interactúan con una Experiencia Cephor integrada en su sitio (voz o texto), podemos tratar:

• Contenido de los intercambios (transcripciones, mensajes)
• Números de teléfono (en las llamadas de voz)
• Fecha, hora y duración de las conversaciones
• Grabaciones de voz de las llamadas (para el tratamiento por IA y la calidad del servicio)
• Metadatos técnicos (dirección IP, user-agent, tipo de dispositivo)

3.3 Datos técnicos

• Dirección IP
• Tipo y versión del navegador
• Sistema operativo
• Datos de conexión y registros de acceso
• Identificadores de sesión

3.4 Datos de facturación

• Información de pago (tratada por Stripe)
• Historial de transacciones y consumo de créditos

4. Finalidades y bases jurídicas

Sus datos se tratan para las siguientes finalidades, según las bases jurídicas correspondientes:

5. Encargados y socios tecnológicos

Para prestar nuestros servicios recurrimos a encargados del tratamiento y a socios tecnológicos. Conforme al artículo 28 del RGPD, se establecen garantías adecuadas (contratos de encargo, cláusulas tipo, etc.) con cada uno de ellos.

Esta lista puede evolucionar para integrar nuevas tecnologías o mejorar nuestras prestaciones. Le informaremos de todo cambio significativo mediante la actualización de esta política.

5.1 Alojamiento e infraestructura

• Vercel Inc. (Estados Unidos) – Alojamiento de la aplicación web (frontend). Transferencia amparada por el Data Privacy Framework UE-Estados Unidos o las Cláusulas Contractuales Tipo (CCT).
• Google Cloud Platform (GCP) – Backend y alojamiento de archivos (CDN). Los datos pueden tratarse en la Unión Europea según la región configurada; las transferencias fuera del EEE están amparadas por las CCT o el Data Privacy Framework.
• Supabase Inc. – Bases de datos. Infraestructura alojada en la Unión Europea (región configurada) cuando procede; las transferencias fuera del EEE están amparadas por las CCT.

5.2 Telecomunicaciones

• Twilio Inc. (Estados Unidos) – Telefonía (llamadas de voz). Transferencia amparada por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea.

5.3 Inteligencia artificial y voz

• ElevenLabs Inc. – Síntesis de voz y agentes conversacionales de voz. Datos tratados conforme a las garantías contractuales y, en su caso, a las CCT.
• OpenAI LP (Estados Unidos) – Tratamiento del lenguaje natural. Transferencia amparada por las CCT.
• Anthropic PBC (Estados Unidos) – Inteligencia artificial (modelos Claude). Transferencia amparada por las CCT.

5.4 Pagos

• Stripe Inc. (Estados Unidos) – Tratamiento de los pagos. Stripe está certificado PCI-DSS nivel 1. Transferencia amparada por el Data Privacy Framework o las CCT.

5.5 Envío de correos

• Resend Inc. – Envío de correos transaccionales y de notificación. Datos tratados conforme a las garantías contractuales y, en su caso, a las CCT.

5.6 Monitorización y calidad del servicio

• Sentry (Functional Software Inc.) (Estados Unidos) – Vigilancia de los errores y del rendimiento de la aplicación. Sentry puede recoger datos técnicos (tipo de navegador, sistema operativo, dirección IP) y grabaciones de sesión para ayudarnos a identificar y corregir problemas técnicos. Transferencia amparada por las CCT.

6. Transferencias internacionales de datos

Algunos de nuestros encargados están establecidos fuera del Espacio Económico Europeo (EEE), en particular en Estados Unidos. Para esas transferencias nos aseguramos de que existan garantías adecuadas:

• Data Privacy Framework UE-Estados Unidos: para las empresas certificadas (Vercel, Stripe, etc.).
• Cláusulas Contractuales Tipo (CCT): aprobadas por la Comisión Europea para las demás transferencias.
• Medidas adicionales: cifrado de los datos, seudonimización cuando es posible y evaluación de riesgos.

Puede obtener una copia de las garantías adecuadas contactándonos en privacy@cephor.io.

7. Plazo de conservación

Conservamos sus datos personales únicamente durante el tiempo necesario para las finalidades para las que fueron recogidos:

• Datos de cuenta: durante todo el uso del servicio y, después, 3 años tras el cierre de su cuenta (para atender posibles reclamaciones).
• Datos de las conversaciones (transcripciones, grabaciones): 90 días como máximo, salvo obligación legal en contrario o una conservación más breve según la configuración.
• Datos de facturación: 10 años conforme a las obligaciones legales belgas en materia contable.
• Registros técnicos: 12 meses como máximo.

8. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas para proteger sus datos contra todo acceso no autorizado, modificación, divulgación o destrucción:

• Cifrado de los datos en tránsito (TLS) y en reposo cuando procede (AES-256)
• Autenticación segura con hash de las contraseñas (bcrypt)
• Control de acceso estricto y principio de mínimo privilegio
• Vigilancia y registro de los accesos
• Copias de seguridad periódicas
• Selección de encargados que ofrecen garantías de seguridad adecuadas

Nos comprometemos a mejorar continuamente nuestras medidas de seguridad en función de la evolución de las amenazas y de las buenas prácticas del sector.

9. Sus derechos

Conforme al RGPD, usted dispone de los siguientes derechos respecto de sus datos personales:

• Derecho de acceso (art. 15): obtener la confirmación del tratamiento de sus datos y recibir una copia.
• Derecho de rectificación (art. 16): hacer corregir los datos inexactos que le conciernen.
• Derecho de supresión (art. 17): solicitar la supresión de sus datos en determinadas circunstancias.
• Derecho a la limitación del tratamiento (art. 18): restringir el tratamiento de sus datos en ciertos casos.
• Derecho a la portabilidad (art. 20): recibir sus datos en un formato estructurado y de uso común.
• Derecho de oposición (art. 21): oponerse al tratamiento de sus datos basado en el interés legítimo.
• Derecho a retirar su consentimiento: en cualquier momento, cuando el tratamiento se base en el consentimiento.

Para ejercer estos derechos, contáctenos en privacy@cephor.io. Responderemos en el plazo de un mes conforme al RGPD.

Reclamación ante una autoridad de control: si considera que el tratamiento de sus datos constituye una violación del RGPD, tiene derecho a presentar una reclamación ante la Autoridad de Protección de Datos belga:

10. Cookies y tecnologías similares

10.1 Cookies estrictamente necesarias

Estas cookies son indispensables para el funcionamiento del servicio y están exentas de consentimiento conforme a la directiva ePrivacy:

• Cookies de sesión: mantenimiento de su conexión durante la visita.
• Cookies de autenticación: identificación segura tras el inicio de sesión.
• Cookies de preferencias: memorización de sus elecciones de interfaz.

10.2 Tecnologías de monitorización

Para asegurar la calidad y la estabilidad de nuestro servicio, utilizamos tecnologías de vigilancia técnica:

• Sentry: detección de errores y mejora del rendimiento. Sentry puede grabar sesiones (clics, navegación) para ayudarnos a resolver problemas técnicos. Esos datos se utilizan únicamente para la depuración y la mejora del servicio, y no con fines publicitarios ni de elaboración de perfiles.

Estas tecnologías se utilizan en nuestro interés legítimo de asegurar el buen funcionamiento y la mejora continua de nuestro servicio (art. 6.1.f RGPD).

10.3 Cookies publicitarias

No utilizamos ninguna cookie publicitaria, de seguimiento de marketing ni de elaboración de perfiles comerciales.

11. Tratamiento automatizado e inteligencia artificial

Nuestro servicio se apoya en tecnologías de inteligencia artificial para:

• El reconocimiento y la síntesis de voz
• La comprensión del lenguaje natural
• La generación de respuestas adecuadas
• La gestión de las conversaciones (voz y texto)

Estos tratamientos automatizados se realizan en el marco de la ejecución del contrato. Puede contactar con nuestro equipo para cualquier pregunta o solicitud de intervención humana.

12. Datos de los visitantes de sus sitios

Como usuario profesional de Cephor, usted es responsable del tratamiento de los datos personales de los visitantes que interactúan con sus Experiencias en sus sitios. Cephor actúa como encargado del tratamiento de esos datos, dentro del perímetro del Servicio.

Usted se compromete a informar a sus visitantes del uso de un asistente conversacional (voz/texto) y a cumplir sus propias obligaciones en virtud del RGPD (información, base jurídica, derechos de las personas, etc.).

13. Modificaciones de la política

Podemos actualizar esta política de privacidad para reflejar los cambios en nuestras prácticas, nuestros socios tecnológicos o la normativa aplicable.

Modificaciones sustanciales: si una modificación sustancial afecta a sus derechos o a la forma en que se tratan sus datos, se lo comunicaremos por correo electrónico o mediante un aviso en la plataforma al menos 15 días antes de la entrada en vigor.

Excepciones: las modificaciones pueden aplicarse en un plazo más breve o de inmediato en caso de obligación legal o reglamentaria, de decisión de una autoridad de protección de datos, de necesidad de seguridad o de cambio de encargado que ofrezca garantías equivalentes o superiores.

La fecha de la última actualización figura al principio de este documento.

14. Contacto

Para cualquier pregunta sobre esta política de privacidad o el tratamiento de sus datos personales, contáctenos:

• Correo electrónico: privacy@cephor.io
• Correo postal: Revowind SRL – Rue de la Mitingotte 19 – 6640 Vaux-sur-Sûre, Bélgica