Política de privacidad

El propietario del sitio que incrusta el widget es el responsable del tratamiento de los datos de sus visitantes y de su contenido. Nosotros actuamos como encargado por cuenta del propietario, y Google Cloud es subencargado (Vertex AI Search / Discovery Engine y Gemini para indexación, búsqueda y generación de respuestas; Cloud Storage para el almacenamiento intermedio de importación al índice; Firestore para cuentas, configuración, registros de consultas y auditoría; Firebase Authentication / Identity Platform para autenticación y sesiones). Respecto de la cuenta propia del propietario (email, pagos), somos el responsable del tratamiento.

También tratamos, en una medida limitada, el texto de las consultas de los visitantes para nuestros propios fines — métricas de calidad y protección frente a abusos; en esa parte concreta actuamos como responsable independiente. La base jurídica es nuestro interés legítimo (Art. 6(1)(f) GDPR) en mantener el servicio operativo, seguro y preciso; realizamos una evaluación de intereses legítimos (LIA), y este interés no prevalece sobre los derechos de los interesados.

Los pagos los gestiona Paddle como Merchant of Record: respecto de la transacción de pago, Paddle actúa como comerciante registrado y responsable independiente de los datos de pago, no como subencargado nuestro.

• Contenido del sitio — las páginas públicas del propietario se indexan para poder fundamentar las respuestas en ellas.
• Consultas de los visitantes — el texto de la pregunta se envía a Google Vertex/Gemini para generar una respuesta.
• Datos técnicos del visitante — la dirección IP se trata de forma transitoria en memoria para la protección frente a abusos y la limitación de tasa, y no se almacena en registros ni en una base de datos (principio de minimización de datos).
• Métricas de uso — recuentos de consultas y calidad de las respuestas (sin más contenido del necesario).
• Cuenta del propietario — email y datos de facturación (los pagos los gestiona Paddle como Merchant of Record; no almacenamos datos de tarjetas).

Nuestro sitio público puede utilizar cookies de analítica — estas solo se establecen con su consentimiento; consulte la Política de cookies para más detalles.

Datos de menores. El servicio es un producto B2B y no está dirigido a niños menores de 16 años.

La generación de respuestas, la indexación y el tratamiento de apoyo se ejecutan en la región de Google Cloud configurada para el servicio, bajo los términos empresariales de Google. Conforme a dichos términos, Google no utiliza los datos enviados a Vertex AI ni a la API de Gemini para entrenar sus modelos. Nosotros tampoco usamos su contenido ni sus consultas para entrenar ningún modelo.

El operador del servicio está establecido en Israel. Las transferencias de datos personales desde la UE a Israel se basan en la decisión de adecuación de la Comisión Europea para Israel; las transferencias a los servicios de Google se rigen por el Cloud Data Processing Addendum de Google y, cuando sea necesario, por las Standard Contractual Clauses (SCC) y/o el EU-US Data Privacy Framework.

Transparencia de la IA. Las respuestas las produce la inteligencia artificial a partir del contenido indexado; la interfaz del widget indica que responde la IA, y las respuestas llevan enlaces a sus fuentes.

• Google Cloud — Vertex AI Search (Discovery Engine) y Gemini — indexación, búsqueda y generación de respuestas.
• Google Cloud Storage — almacenamiento intermedio del texto extraído para su importación al índice.
• Google Cloud Firestore — cuentas de propietarios, configuración del servicio, registros de consultas y auditoría.
• Firebase Authentication / Identity Platform — autenticación de cuentas y gestión de sesiones.

Paddle procesa las suscripciones y los pagos como Merchant of Record y, en ese rol, actúa como responsable independiente y no como subencargado.

Una lista actualizada de subencargados está disponible previa solicitud. Damos aviso previo de los cambios previstos en nuestros subencargados y ofrecemos la posibilidad de oponerse.

Antes de que elijas en el banner, la etiqueta de Google funciona con el almacenamiento denegado y puede enviar a Google LLC señales técnicas sin cookies — como la URL de la página, el referente, el estado del consentimiento y si existe información de un clic publicitario — para elaborar informes y modelos agregados. No se instalan ni se leen cookies de analítica o publicidad. La base de este tratamiento mínimo es nuestro interés legítimo (art. 6(1)(f) del RGPD) en medir la eficacia del sitio público aplicando la minimización de datos.

Si consientes las cookies de medición publicitaria, Google recibe el hecho de que se ha producido una conversión y el identificador del clic en el anuncio que la precedió. Esto se utiliza únicamente para medir el rendimiento de nuestra publicidad. La base jurídica de la medición completa es tu consentimiento (art. 6(1)(a) del RGPD); puedes retirarlo en cualquier momento mediante el enlace «Configuración de cookies» en el pie de página. No activamos la personalización publicitaria y estos datos no se usan para crear perfiles para publicidad en otros sitios.

Periodos de conservación:

• Direcciones IP de los visitantes — no se almacenan: se tratan solo de forma transitoria en memoria para la protección frente a abusos y se descartan inmediatamente tras gestionar la solicitud.
• Texto de las consultas de los visitantes — 90 días, tras los cuales se anonimiza o elimina; las métricas agregadas sin datos personales pueden conservarse más tiempo.
• Artefactos de indexación en el almacenamiento intermedio — se eliminan de forma programada, normalmente en un plazo de 7 días.
• Índice del sitio — mientras el proyecto esté activo; al cerrar un proyecto, el índice y los recursos relacionados se eliminan.
• Datos de la cuenta del propietario — mientras la cuenta esté activa; tras su cierre se eliminan, sujeto a los periodos de conservación obligatorios (por ejemplo, contables y fiscales).

Los interesados pueden solicitar el acceso a sus datos, su rectificación, supresión o la limitación del tratamiento, y oponerse al tratamiento; conforme a la CCPA — conocer las categorías de datos, solicitar la supresión y excluirse de una «venta» (no vendemos datos). Dado que el operador está establecido en Israel, también se aplica la Protection of Privacy Law (PPL) en su versión modificada por la Amendment 13: derechos de acceso y rectificación, requisitos de transparencia y notificación de incidentes de seguridad graves al regulador.

Cómo presentar una solicitud (DSAR). Las solicitudes sobre los datos de los visitantes se dirigen al propietario del sitio como responsable del tratamiento — nosotros, como encargado, le asistimos (localización y eliminación de datos, limpieza de registros, eliminación del proyecto). Las solicitudes sobre los datos de la cuenta del propietario deben enviarse a nosotros a través del formulario de contacto. Respondemos dentro de los plazos establecidos por la ley aplicable (bajo el GDPR, por lo general en el plazo de un mes).

No podemos eludir contractualmente las obligaciones imperativas del GDPR/CCPA/PPL — la responsabilidad se reparte por ley.

Los datos se transmiten por TLS; el acceso de las cuentas de servicio sigue el principio de mínimo privilegio. Las consultas se depuran y se someten a límites de tasa antes de llamar a cualquier servicio de pago (protección frente a inyección y denial-of-wallet). Los proyectos están aislados: cada uno se ejecuta contra su propio índice. Cuando está habilitado, Google reCAPTCHA Enterprise se usa en modo de supervisión opcional para detectar bots y abusos y puede procesar las señales de interacción del visitante conforme a las condiciones de privacidad de Google; el widget puede no enviar ningún token.

En caso de un incidente de seguridad grave que afecte a datos personales, notificamos a la autoridad competente (en Israel, la Privacy Protection Authority, PPA) y, cuando lo exija la ley, a las personas afectadas y al propietario del sitio, dentro de los plazos aplicables.

Solicitudes de privacidad y DSAR al servicio beta: envíalas a través del formulario de contacto.

Para solicitudes sobre datos de visitantes, contacta con el propietario del sitio cliente como responsable del tratamiento.