Politica de Privacidad

Esta Politica de Privacidad describe como QualifAI recopila, utiliza, almacena y protege los datos personales de las personas que utilizan la Plataforma, de acuerdo con el Reglamento (UE) 2016/679 (Reglamento General de Proteccion de Datos, "RGPD") y demas normativa aplicable en materia de proteccion de datos.

1. Quienes somos (Responsable del tratamiento)

QualifAI ("nosotros", "la Plataforma") es una aplicacion/servicio SaaS operado por Eneko Andres Arizmendi SLU (NRT L719163S), sociedad domiciliada en Carrer dels Avellaners, Edif. Mandurana 3-5, Principat d'Andorra. Eneko Andres Arizmendi SLU opera principalmente bajo la marca Entrena con Conciencia (formacion y servicios online de entrenamiento y nutricion), y adicionalmente presta QualifAI como producto SaaS independiente; QualifAI no es una sociedad separada. Contacto para temas de privacidad, proteccion de datos y soporte: [email protected]. Para consultas comerciales o informacion general: [email protected].

Eneko Andres Arizmendi SLU esta constituida en el Principat d'Andorra. Andorra cuenta con una decision de adecuacion de la Comision Europea (Decision 2010/625/UE) que reconoce su nivel de proteccion de datos como equivalente al exigido por la UE, lo que facilita los flujos de datos entre la UE/EEE y Andorra. A la fecha de esta Politica, no se ha designado un representante establecido en la UE/EEE conforme al art. 27 RGPD. Nota: la Agencia Andorrana de Proteccio de Dades (APDA), mencionada en la seccion 8, es la autoridad de control domestica de Andorra y no sustituye a un representante en la UE.

2. Nuestro doble rol: responsable y encargado del tratamiento

Es importante distinguir dos tipos de datos personales que trata QualifAI:

• Datos del cliente (titular de la cuenta de Instagram Business). Respecto de los datos que usted nos entrega directamente al registrarse (nombre, email, datos de facturacion, credenciales de conexion, etc.), QualifAI actua como responsable del tratamiento y esta Politica aplica en su totalidad.
• Datos de los contactos/leads que escriben por DM. Respecto del contenido de los mensajes directos que reciben y envian nuestros clientes a traves de sus cuentas de Instagram conectadas, QualifAI actua como encargado del tratamiento (art. 28 RGPD) por cuenta del cliente, que es quien determina los fines y medios de ese tratamiento en su relacion con sus propios seguidores/leads. Si usted es una persona que ha escrito por DM a un negocio que utiliza QualifAI y desea ejercer sus derechos sobre esos datos, debe dirigirse en primer lugar al negocio (titular de la cuenta de Instagram) con el que se comunico; QualifAI colaborara con dicho negocio para atender la solicitud conforme a nuestro Acuerdo de Encargado del Tratamiento (DPA). QualifAI pone a disposicion de sus clientes un Acuerdo de Encargado del Tratamiento (DPA), que puede solicitarse escribiendo a [email protected].

3. Que datos recopilamos

Cuando un cliente conecta su cuenta de Instagram Business a QualifAI mediante Instagram Login, recopilamos:

• Datos de identificacion de la cuenta profesional conectada (nombre de usuario e ID de cuenta de Instagram), a traves del permiso instagram_business_basic. Utilizamos estos datos unicamente para identificar y mostrar en el panel que cuenta profesional ha quedado conectada. No recopilamos ni utilizamos la foto de perfil ni la categoria de negocio.
• Contenido de mensajes directos (DM) recibidos y enviados a traves de la cuenta conectada, a traves del permiso instagram_business_manage_messages, con el unico fin de automatizar respuestas y calificar leads. Esto incluye el texto de los mensajes, los identificadores y nombres de usuario de las personas que contactan al negocio, los eventos de webhook y el estado de la conversacion. Cuando un mensaje es de audio, procesamos la URL temporal del audio proporcionada por Meta con el unico fin de transcribirlo y generar la respuesta correspondiente.
• Tokens de acceso (OAuth) necesarios para operar la cuenta conectada, almacenados de forma cifrada y utilizados exclusivamente por el componente servidor de QualifAI.
• Datos de registro y facturacion del cliente: nombre, email, empresa, datos de pago (procesados por el proveedor de pagos, ver seccion 5).
• Datos tecnicos: direccion IP, tipo de dispositivo/navegador, registros de uso de la Plataforma (logs), con fines de seguridad y mejora del servicio. Los logs no almacenan el cuerpo de los mensajes; solo metadatos tecnicos y operativos.

No recopilamos contrasenas de Instagram. La autenticacion se realiza mediante OAuth 2.0 provisto por Meta.

4. Finalidades y base juridica del tratamiento (art. 6 RGPD)

• Ejecucion del contrato (art. 6.1.b RGPD): para prestar el servicio contratado, conectar la cuenta profesional, recibir y responder DMs, operar el sistema automatizado de conversacion en DM, mostrar las conversaciones en el CRM, calificar leads, mantener el historial de conversacion asociado a cada cuenta conectada y generar reportes de metricas al cliente.
• Interes legitimo (art. 6.1.f RGPD): para garantizar la seguridad de la Plataforma, prevenir fraude y abuso, y mejorar nuestros servicios mediante analisis agregado y no identificativo.
• Obligacion legal (art. 6.1.c RGPD): para cumplir con obligaciones fiscales, contables y de otro tipo impuestas por la normativa aplicable.
• Consentimiento (art. 6.1.a RGPD): cuando corresponda, por ejemplo para el envio de comunicaciones comerciales por email, que usted podra retirar en cualquier momento.

No usamos estos datos para publicidad de terceros, no los vendemos ni los compartimos con terceros salvo los proveedores necesarios para operar el servicio (ver punto 5). No utilizamos los datos obtenidos de Meta para crear audiencias publicitarias, vender datos ni realizar vigilancia de usuarios.

5. Destinatarios y encargados del tratamiento

Utilizamos los siguientes proveedores (encargados del tratamiento) para procesar datos en nombre de QualifAI, todos ellos sujetos a acuerdos de encargo de tratamiento conforme al art. 28 RGPD:

• Meta / Instagram (API de mensajeria), para el envio y recepcion de mensajes directos a traves de la cuenta conectada. Mas informacion: developers.facebook.com/documentation/instagram-platform.
• OpenAI, L.L.C., para el procesamiento de lenguaje natural utilizado en la generacion de las respuestas automatizadas. OpenAI procesa el texto de los mensajes y el contexto de la conversacion y, cuando el mensaje es de audio, accede a la URL temporal proporcionada por Meta para transcribirlo y generar la respuesta.
• HostHatch, LLC, como proveedor de infraestructura y servidores donde se alojan y procesan los datos de la Plataforma (webs de QualifAI, broker de OAuth, n8n y base de datos PostgreSQL), incluidos datos de cuentas, mensajes, conversaciones, tokens cifrados y datos operativos. Ubicacion de la infraestructura: Estados Unidos.
• Cloudflare, Inc., como proveedor de DNS, proxy, seguridad y disponibilidad. Cloudflare puede procesar trafico web, metadatos tecnicos y los datos que sean tecnicamente accesibles durante el transito por el proxy y la terminacion TLS.

Stripe se utiliza unicamente como proveedor de pagos, para la gestion segura del cobro de las suscripciones. Stripe no recibe mensajes, tokens ni otros datos obtenidos a traves de la API de Meta. QualifAI no almacena los datos de tarjeta del cliente.

No cedemos sus datos a terceros con fines comerciales propios de dichos terceros.

6. Transferencias internacionales de datos

Algunos de nuestros proveedores procesan datos fuera del EEE, incluyendo en Estados Unidos:

• HostHatch, LLC aloja la infraestructura de la Plataforma en Estados Unidos.
• Meta, OpenAI y Stripe pueden procesar datos fuera del EEE, incluyendo en Estados Unidos.

En esos casos, nos aseguramos de que la transferencia se realice conforme a un mecanismo valido segun el RGPD; en concreto, estos proveedores operan sobre la base de Clausulas Contractuales Tipo (SCC) aprobadas por la Comision Europea como garantia para sus transferencias de datos fuera del EEE. Las copias de seguridad se almacenan en infraestructura propia y autogestionada de QualifAI ubicada en Argentina (ver seccion 10). Puede solicitar mas informacion sobre estas garantias escribiendo a [email protected].

7. Plazo de conservacion

Los datos de la Plataforma se almacenan y procesan en infraestructura ubicada en Estados Unidos (proveedor HostHatch, LLC). Los plazos de conservacion son los siguientes:

• Baja o cancelacion normal del servicio: se corta el acceso web del cliente, se desvincula Instagram y el token de acceso se elimina de forma inmediata. Los chats y demas datos operativos se conservan durante dos meses para permitir una eventual reactivacion. Transcurrido ese plazo, se eliminan los chats y demas datos del cliente.
• Solicitud expresa de eliminacion: la eliminacion de los datos operativos se completa en un plazo maximo de siete dias desde la recepcion y verificacion de la solicitud (ver la pagina de Eliminacion de Datos).
• Copias de seguridad: las copias residuales que pudieran contener esos datos vencen mediante la rotacion automatica de backups en un plazo maximo de 20 dias (ver seccion 10).
• Datos de facturacion del cliente (titular de la cuenta): se conservan durante el plazo exigido por la normativa fiscal aplicable a Eneko Andres Arizmendi SLU.

Transcurridos estos plazos, los datos seran eliminados o anonimizados de forma segura.

8. Sus derechos

De acuerdo con el RGPD, usted tiene derecho a:

• Acceso: obtener confirmacion de si tratamos sus datos y acceder a ellos.
• Rectificacion: solicitar la correccion de datos inexactos o incompletos.
• Supresion ("derecho al olvido"): solicitar la eliminacion de sus datos cuando ya no sean necesarios o en los demas supuestos previstos por la ley.
• Limitacion del tratamiento: solicitar que se restrinja el uso de sus datos en determinados supuestos.
• Portabilidad: recibir sus datos en un formato estructurado y de uso comun, o solicitar su transmision a otro responsable.
• Oposicion: oponerse al tratamiento de sus datos basado en interes legitimo, incluida la elaboracion de perfiles.
• No ser objeto de decisiones automatizadas que produzcan efectos juridicos significativos sobre usted, salvo en los supuestos permitidos por la ley (ver seccion 9).

Puede ejercer estos derechos escribiendo a [email protected] indicando en el asunto "Proteccion de datos", o desconectando la cuenta mediante el boton "Desconectar cuenta" disponible en el panel de configuracion de la Plataforma. Responderemos a su solicitud en el plazo maximo de un mes desde su recepcion, prorrogable dos meses adicionales en casos de especial complejidad, conforme al art. 12.3 RGPD.

Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamacion ante la autoridad de control competente. Si usted reside en Andorra, la autoridad competente es la Agencia Andorrana de Proteccio de Dades (APDA). Si reside en un Estado miembro de la UE/EEE, puede reclamar ante la autoridad de control de su propio pais de residencia.

9. Decisiones automatizadas e Inteligencia Artificial

QualifAI utiliza sistemas de inteligencia artificial para generar automaticamente respuestas dentro de los mensajes directos de la cuenta conectada. El contenido de los mensajes, incluidas las transcripciones de los mensajes de audio, puede ser procesado por proveedores de IA (ver seccion 5) unicamente con el fin de generar la respuesta correspondiente. Estas respuestas se generan sin intervencion humana en cada mensaje individual, pero no constituyen decisiones que produzcan efectos juridicos ni afecten significativamente de forma similar a las personas en el sentido del art. 22 RGPD, dado que se trata de contenido conversacional automatizado que el cliente (titular de la cuenta) puede supervisar y corregir en todo momento.

QualifAI no inicia conversaciones con usuarios de Instagram que no hayan contactado previamente al negocio conectado. Las respuestas automaticas y los seguimientos se envian unicamente dentro de una conversacion iniciada por el usuario y dentro de la ventana de mensajeria permitida por Meta.

10. Seguridad de los datos

Aplicamos medidas tecnicas y organizativas razonables para proteger los datos personales frente a accesos no autorizados, perdida o alteracion, incluyendo:

• Cifrado en transito (HTTPS/TLS) en las comunicaciones.
• Cifrado de los tokens de acceso en reposo. Los tokens se utilizan exclusivamente por el broker de OAuth del lado del servidor y nunca se exponen en el navegador.
• Control de acceso por cuenta y token de autenticacion, con aislamiento entre clientes (multi-tenant) en la base de datos.
• Copias de seguridad periodicas almacenadas en infraestructura propia y autogestionada de QualifAI ubicada en Argentina. La transferencia de las copias se realiza mediante SSH. La retencion maxima de las copias es de 20 dias y las copias vencidas se eliminan mediante rotacion automatica. Estas copias se conservan unicamente para recuperacion ante incidentes y no se utilizan para la operacion normal.
• Registro de accesos a la infraestructura, sin almacenar el cuerpo de los mensajes.

Pese a estas medidas, ningun sistema es completamente infalible, y no podemos garantizar la seguridad absoluta de la informacion transmitida por internet.

11. Menores de edad

Los Servicios no estan dirigidos a menores de 18 anos. QualifAI no recopila conscientemente datos de menores de esa edad. Si tiene conocimiento de que un menor nos ha proporcionado datos personales sin el consentimiento correspondiente, contactenos en [email protected] para proceder a su eliminacion.

12. Cookies y tecnologias similares

Nuestro sitio web utiliza unicamente cookies tecnicas necesarias para su correcto funcionamiento (por ejemplo, de sesion). Si en el futuro se incorporan cookies no esenciales (analitica, publicidad, etc.), se implementara previamente un banner de consentimiento conforme a la normativa de cookies (ePrivacy) y se enlazara aqui una Politica de Cookies especifica.

13. Cambios a esta politica

Podemos actualizar esta Politica de Privacidad. Notificaremos cambios significativos por correo electronico y/o mediante un aviso dentro de la Plataforma. Le recomendamos revisar esta pagina periodicamente.

14. Contacto

Para consultas sobre privacidad: [email protected].

Responsable del tratamiento: Eneko Andres Arizmendi SLU (NRT L719163S), Carrer dels Avellaners, Edif. Mandurana 3-5, Principat d'Andorra.

Politica de privacidad Terminos y condiciones Eliminacion de datos © 2026 QualifAI