Política de privacidad

1. Responsable y contacto

• Titular y responsable: Jimena Rioja Olmedillas, profesional autónoma.
• NIF: 12509246Y.
• Domicilio profesional: Calle La Perla 1, 47400 Medina del Campo (Valladolid), España.
• Email: info@recaut.com.

2. Datos tratados

• Solicitud de demo: nombre, email, teléfono si se facilita y fecha de aceptación de la política. Los datos se usan para responder a la solicitud y se eliminan a los 180 días de la última solicitud.
• Lista de espera: nombre, email, teléfono, plan de interés y fecha de aceptación de la política, si solicitas que te avisemos cuando el MVP esté disponible. Este formulario no crea una cuenta y los datos se eliminan a los 180 días de la última solicitud.
• Cuenta: nombre, email, contraseña protegida, verificación, sesiones, preferencias y registros de acceso.
• Negocio: nombre comercial, zona horaria, teléfono, email, plan, plantilla y configuración de recordatorios.
• Contactos y citas: nombre, teléfono, email, motivo, fecha, hora, duración, estado, identificadores de eventos y datos que el negocio introduzca o sincronice.
• Llamadas atendidas con IA: cuando el negocio activa la función, número de teléfono de quien llama (si no está oculto), número de Recaut al que se desvía la llamada, fecha, duración, resultado (cita dada, cambiada o cancelada, consulta o aviso), nombre y motivo de los avisos para devolver la llamada y consumo de minutos. El audio se procesa en tiempo real para mantener la conversación y Recaut no lo graba ni conserva transcripciones.
• Calendarios: proveedor, cuenta autorizada, calendarios seleccionados, eventos necesarios para operar y tokens OAuth cifrados.
• Mensajería: números, mensajes, respuestas y estados de entrega cuando se active WhatsApp u otro canal.
• Uso y seguridad: consumo, facturación, incidencias, logs, dirección IP, navegador y eventos de seguridad.
• Analítica web opcional: tras consentimiento, identificadores aleatorios de navegador y sesión, rutas, páginas y secciones vistas, interacciones, resultados y errores de formularios categorizados, duración aproximada, idioma, clase de dispositivo y origen/medio limitado. Los eventos no se vinculan a cuentas ni contienen valores escritos o IP.

El negocio debe evitar introducir categorías especiales de datos o información innecesaria. Si trata datos de salud u otras categorías especiales, debe analizar previamente la base jurídica y las garantías aplicables.

3. Roles de privacidad

Respecto de la cuenta y del uso de la plataforma, Recaut actúa como responsable. Respecto de los datos de clientes, contactos y citas que el negocio incorpora o sincroniza, el negocio determina los fines y actúa como responsable; Recaut actúa como encargado del tratamiento.

El negocio debe informar a sus clientes y disponer de base jurídica. Al registrarse, el titular acepta el Acuerdo de encargo del tratamiento en nombre del negocio; ese acuerdo regula las instrucciones, seguridad, subencargados, transferencias, asistencia y supresión o devolución.

4. Finalidades y bases jurídicas

• Atender solicitudes de demo y contactar a quien la pide: medidas precontractuales solicitadas por la persona interesada.
• Atender solicitudes de acceso a la beta y comunicar su disponibilidad: medidas precontractuales y, cuando el formulario lo solicite, consentimiento para recibir esa comunicación.
• Crear y administrar la cuenta y prestar la beta: ejecución del contrato o medidas precontractuales.
• Gestionar calendarios, agenda, citas y recordatorios por cuenta del negocio: contrato con el negocio e instrucciones documentadas de este.
• Proteger las cuentas, prevenir abusos y mantener registros técnicos: interés legítimo en la seguridad y obligaciones legales aplicables.
• Atender consultas e incidencias: ejecución del contrato e interés legítimo en prestar soporte.
• Cumplir obligaciones contables, fiscales y responder a requerimientos legales: obligación legal.
• Analítica propia no esencial: consentimiento previo, revocable en cualquier momento desde el panel de cookies.
• Comunicaciones comerciales: consentimiento o la base legal que corresponda; podrás oponerte o darte de baja en cada comunicación.

5. Calendarios, mensajería e inteligencia artificial

Si el negocio conecta Google Calendar o, cuando esté disponible, Outlook, Recaut recibe los permisos OAuth que el titular autorice y accede a los datos necesarios para mostrar disponibilidad y crear o gestionar eventos. El negocio puede desconectar la integración desde la plataforma; al hacerlo se dejará de acceder al calendario y se revocarán o eliminarán las credenciales almacenadas conforme al funcionamiento del proveedor.

La integración con WhatsApp se utilizará únicamente cuando esté habilitada por el negocio y disponible en la cuenta. Podrá implicar el tratamiento de números, mensajes, respuestas y estados de entrega por Recaut y Meta. El negocio debe informar a las personas que contacten con él y definir una base jurídica para las instrucciones que dé a Recaut.

Los asistentes utilizan modelos de lenguaje para recoger la configuración del negocio o interpretar solicitudes de agenda y redactar respuestas. El contenido necesario para generar la respuesta puede enviarse a OpenAI a través de su API. La IA puede producir resultados inexactos; el negocio debe revisar la configuración y las operaciones de agenda. Recaut no utiliza el sistema para adoptar decisiones automatizadas que produzcan efectos jurídicos o similares sobre una persona.

Si el negocio activa las llamadas atendidas con IA, las llamadas que desvía a su número de Recaut las recibe Zadarma y las atiende un asistente de voz que se presenta al inicio como asistente virtual, conforme al artículo 50 del Reglamento europeo de inteligencia artificial. El audio de la conversación se envía en tiempo real al modelo de voz (Google Gemini y, si así se configura, OpenAI) para entender a la persona y responder; las consultas y reservas las resuelve Recaut con las reglas de agenda del negocio. Recaut no transfiere llamadas: si la persona quiere hablar con el negocio, se crea un aviso para que el negocio le devuelva la llamada. El negocio debe informar a sus clientes de que su teléfono puede ser atendido por este asistente.

6. Proveedores y destinatarios

Recaut utiliza los siguientes proveedores o podrá utilizarlos en las funciones disponibles, limitando la comunicación a los datos necesarios para cada servicio:

• Hostinger: aloja el VPS de Recaut y presta el servicio SMTP de correo transaccional. El VPS, donde se ejecuta PostgreSQL, está en Alemania (Fráncfort), según la configuración de la cuenta de Recaut. Esta ubicación se refiere al VPS; no presupone que el correo o los sistemas de soporte y subencargados se procesen en el mismo centro. El acuerdo público de Hostinger contempla como entidades posibles Hostinger International Ltd (Chipre), Hostinger UK Limited y Hostinger Global S.à r.l. (Luxemburgo); la entidad aplicable será la indicada en el pedido/contrato de Recaut. Acuerdo de tratamiento de Hostinger · ubicaciones de servidores.
• Backblaze: almacena las copias de seguridad de la base de datos de Recaut, cifradas con GPG en el VPS antes de enviarse, en su región europea (Países Bajos). Backblaze no tiene la clave para descifrarlas. Las copias se conservan como máximo 14 días. Acuerdo de tratamiento de Backblaze.
• OpenAI: su API puede recibir los fragmentos de conversación necesarios para configurar el negocio o interpretar peticiones de agenda; el backend usa Chat Completions y por defecto el modelo de agenda es gpt-4o-mini. Para clientes del EEE, el DPA identifica a OpenAI Ireland Ltd. La documentación actual de la API indica que los registros estándar de monitorización de abuso pueden incluir contenido y se conservan hasta 30 días, salvo excepciones; el almacenamiento de estado depende del endpoint y de la configuración. Por defecto, los datos API no se usan para entrenar modelos salvo adhesión expresa al uso compartido de datos. DPA · controles y retención de datos de la API.
• Google: recibe las solicitudes que el negocio autoriza para conectar Google Calendar. La integración solicita identidad básica, lectura de la lista de calendarios, consulta de disponibilidad y lectura/gestión de eventos propios de los calendarios autorizados. Google Fonts se carga desde sus servidores y puede transmitir datos técnicos de la solicitud, incluida la dirección IP. Recaut tratará los datos de Google únicamente para las funciones descritas y conforme a la política de datos de usuario de Google API. Política de datos de usuario de Google API · información de privacidad de Google Fonts.
• Microsoft Outlook / Microsoft Graph: cuando el negocio conecte una cuenta, recibe las solicitudes OAuth y los datos de calendario necesarios para consultar disponibilidad y crear, modificar o cancelar eventos. Los permisos solicitados incluyen identidad básica, acceso sin conexión y lectura/gestión de calendarios. Microsoft podrá actuar como encargado o responsable según el servicio y los términos aplicables. DPA de Microsoft.
• WhatsApp Business Platform / Meta: cuando el negocio active el canal, se tratarán números de teléfono, mensajes, respuestas, plantillas y estados de entrega para tramitar conversaciones de agenda y recordatorios. La entidad contratante y los mecanismos de transferencia serán los identificados en los términos aplicables a la cuenta, incluidos, cuando corresponda, WhatsApp Ireland Limited y el anexo de transferencias de WhatsApp Business. Términos de tratamiento de WhatsApp Business.
• Zadarma: cuando el negocio active las llamadas con IA, presta el número de teléfono al que se desvían las llamadas y las entrega a Recaut; trata los números de origen y destino, la duración y los datos técnicos de la llamada. La entidad aplicable será la indicada en el contrato de Recaut con Zadarma.
• Google (Gemini): cuando el negocio active las llamadas con IA, recibe en tiempo real el audio de la llamada y la información de agenda necesaria para mantener la conversación. Recaut lo utiliza, cuando la configuración lo permite, a través de Google Cloud (Vertex AI) en una región europea y conforme al acuerdo de tratamiento de datos de Google Cloud, que excluye el uso de los datos del cliente para entrenar modelos. Acuerdo de tratamiento de datos de Google Cloud.
• Stripe: cuando se habiliten los pagos, recibirá los datos necesarios para crear y gestionar clientes, suscripciones, pagos, facturas y prevención del fraude, como identificadores de cuenta, email, datos de facturación y estado de pago. Los datos completos de tarjeta se introducen y procesan en Stripe; Recaut no pretende almacenarlos. Stripe puede actuar como encargado para determinadas operaciones y como responsable independiente para otras. La entidad aplicable será la indicada en el contrato de Stripe. DPA de Stripe.
• Holded: cuando se habilite la facturación, podrá recibir los datos identificativos y fiscales del negocio, datos de facturas, importes, conceptos y estado de pago para emitir y llevar la contabilidad de las facturas. Holded Technologies, S.L. tratará los datos por cuenta de Recaut conforme al acuerdo de tratamiento disponible en sus condiciones. Términos y acuerdo de tratamiento de Holded.

La inclusión de un proveedor en esta política describe las funciones previstas para el servicio y no significa que se le transmitan datos antes de que la función correspondiente se ofrezca, configure o utilice. Los proveedores pueden actuar como encargados para determinadas operaciones y como responsables independientes para sus propias obligaciones, cuentas, seguridad y cumplimiento legal; la calificación depende de cada servicio y contrato.

7. Ubicación y transferencias internacionales

La base de datos y el VPS principal de Recaut se alojan en Alemania (Fráncfort), dentro del Espacio Económico Europeo. Esa ubicación no determina por sí sola dónde procesan los datos el servicio de correo, los proveedores de IA, calendarios, fuentes web ni sus subencargados. OpenAI indica en su DPA que las transferencias de datos del EEE a otras entidades o subencargados se apoyan, cuando corresponda, en cláusulas contractuales tipo o decisiones de adecuación. Hostinger, Google y las futuras integraciones aplican los mecanismos que correspondan a la entidad, producto y cuenta contratados. Puedes solicitar información sobre las garantías aplicables y cómo obtener una copia escribiendo a info@recaut.com. Información de la AEPD sobre transferencias internacionales.

8. Conservación y supresión

• Solicitudes de demo y lista de espera: los datos se eliminan a los 180 días de la última solicitud o antes si solicitas su supresión.
• Cuentas sin verificar: si el email no se confirma, la cuenta y el negocio creados en el registro se eliminan a los 7 días.
• Analítica web: los eventos anónimos se borran automáticamente a los 13 meses. La retirada del consentimiento detiene la recogida futura en ese navegador, pero no borra por sí sola los eventos ya almacenados.
• Conversaciones de WhatsApp: el texto de los mensajes se conserva 30 días para que el negocio pueda ver la conversación y después se borra automáticamente. El contexto de una petición de cita en curso se elimina a las 24 horas.
• Llamadas con IA: el número de quien llama se borra del registro de la llamada a los 30 días y los avisos ya atendidos se eliminan 30 días después de marcarse como hechos; se conservan solo la fecha, la duración y el resultado para el consumo de minutos. Los avisos pendientes se mantienen hasta que el negocio los atiende.
• Prueba beta sin conversión: Recaut elimina los datos operativos del negocio —incluidos contactos, citas, conversaciones y configuración— dentro de los 90 días siguientes al fin de la prueba. La cuenta no se mantiene habilitada por el mero hecho de conservar evidencia bloqueada.
• Suscripción cancelada: los datos operativos se eliminan dentro de los 90 días siguientes a la fecha efectiva de terminación de la suscripción, no a la fecha en que se solicita una baja futura al final del periodo ya pagado.
• Cierre sin solicitud de borrado: durante un máximo de cinco años desde el cierre podremos conservar bloqueados el correo de la cuenta, el nombre del negocio, las fechas de alta y cierre y la evidencia de aceptación de los documentos legales, exclusivamente para acreditar la relación, atender reclamaciones y cumplir obligaciones aplicables. Este archivo no se usa para prestar el servicio, reactivar la cuenta, analítica ni marketing; se suprime al vencer el plazo, salvo obligación legal concreta.
• Solicitud expresa de eliminación: puedes solicitarla desde el panel; la purga prioritaria elimina los datos operativos y no crea el archivo contractual de cinco años, salvo que una obligación legal concreta exija conservar información mínima.
• Cuenta activa: durante la vigencia del servicio y el tiempo necesario para cumplir obligaciones legales o atender reclamaciones.
• Calendarios externos: la supresión en Recaut no elimina eventos que ya se hayan creado en el calendario del negocio ni datos que el proveedor de calendario conserve según sus condiciones.
• Copias de respaldo: el borrado de datos operativos se programa antes del día 90 para permitir la rotación de las copias, cuya retención máxima configurada es de 14 días.

Si una norma exige conservar documentos contables u otra información, se conservará solo el conjunto necesario durante el plazo legal correspondiente, con acceso restringido. Cuando proceda el derecho de supresión, la información que deba mantenerse para posibles responsabilidades quedará bloqueada: reservada y sin uso, salvo puesta a disposición de jueces, tribunales o autoridades competentes, y se destruirá al vencer el plazo aplicable.

También puedes solicitar la eliminación escribiendo a info@recaut.com. Si existe una obligación legal de conservación, solo se mantendrá la información estrictamente necesaria, bloqueada y durante el plazo aplicable.

9. Derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación, portabilidad o retirar un consentimiento escribiendo a info@recaut.com. Podemos solicitar información razonable para verificar la identidad.

Si la solicitud se refiere a datos cargados por un negocio, debe dirigirse preferentemente a ese negocio. Recaut asistirá conforme al acuerdo de encargo. También puedes reclamar ante la AEPD.

10. Seguridad y brechas

Aplicamos controles proporcionales al riesgo: acceso restringido, contraseñas protegidas, cifrado de secretos y tokens, separación por negocio, copias de seguridad, minimización, logs y procedimientos de incidentes. Ningún sistema conectado a Internet garantiza seguridad absoluta.

Las brechas se analizarán y, cuando corresponda, se notificarán a la autoridad y a las personas afectadas. Los negocios serán informados sin dilación indebida cuando afecten a datos tratados por su cuenta.

11. Cookies y almacenamiento local

La plataforma utiliza cookies técnicas o tecnologías equivalentes para mantener la sesión, proteger la cuenta y recordar preferencias. La analítica propia solo se activa tras consentimiento y no se utilizan cookies publicitarias. Consulta la Política de cookies para conocer las tecnologías, finalidades, duración y opciones de retirada.

12. Menores

Recaut está dirigido a negocios y profesionales y no está diseñado para que menores creen cuentas. Si un negocio trata datos de menores como clientes, debe cumplir la normativa y obtener las autorizaciones necesarias.

13. Origen de los datos y carácter obligatorio

Los datos pueden proceder de la propia persona interesada, del negocio que contrata Recaut, de los calendarios y servicios que el negocio autoriza, de los proveedores de mensajería o de los dispositivos y navegadores utilizados para acceder al servicio. Cuando el negocio introduzca datos de sus clientes, deberá haberles informado previamente o hacerlo dentro del plazo legal aplicable cuando los datos no se hayan obtenido directamente de ellos.

Los campos necesarios para crear una cuenta, prestar una función o cumplir una obligación legal se identificarán como obligatorios. Si no se facilitan, Recaut podrá no crear la cuenta o no prestar la función correspondiente. Los demás campos son voluntarios y no condicionan el acceso a las funciones que no los necesiten.

14. Detalle de tratamientos del negocio

La siguiente descripción resume los principales tratamientos que Recaut puede realizar por cuenta del negocio:

• Agenda: consultar disponibilidad, crear, actualizar, cancelar y sincronizar eventos conforme a las instrucciones del negocio.
• Contactos: mantener nombre, teléfono y email para asociarlos con citas y responder a solicitudes de agenda.
• Recordatorios: seleccionar citas que cumplen la anticipación configurada, generar el mensaje de la plantilla y registrar únicamente el estado operativo necesario para evitar duplicados.
• Conversaciones: recibir mensajes, mantener contexto durante una conversación activa, extraer datos de agenda y eliminar el contexto cuando la sesión termina o deja de ser necesario.
• Auditoría operativa: conservar identificadores, estados y marcas de tiempo necesarios para comprobar que una operación se ejecutó una sola vez y atender incidencias.

El negocio puede solicitar información adicional sobre el tratamiento concreto de sus datos y debe documentar sus instrucciones cuando utilice funciones automatizadas.

15. Subencargados y acceso por personal autorizado

Recaut podrá recurrir a subencargados para alojamiento, base de datos, correo, mensajería, procesamiento de lenguaje, pagos, soporte y monitorización. Solo tendrán acceso a los datos necesarios para su servicio, estarán sujetos a obligaciones de confidencialidad y seguridad y no podrán utilizarlos para fines propios incompatibles.

Recaut podrá utilizar una autorización general de subencargados. Los cambios relevantes se comunicarán al negocio cuando proceda y este podrá formular objeciones justificadas conforme al acuerdo de encargo. El personal de Recaut accederá a datos solo cuando sea necesario para operar, mantener o resolver incidencias, bajo instrucciones y control de acceso.

16. Medidas técnicas y organizativas

Las medidas se revisan según la naturaleza, el alcance y el riesgo del tratamiento. Entre ellas pueden incluirse:

• contraseñas almacenadas mediante funciones de derivación y controles de sesión;
• cifrado de secretos, tokens OAuth y comunicaciones en tránsito;
• separación lógica de datos entre negocios y controles de autorización por cuenta;
• principio de mínimo privilegio para personal, servicios y claves de integración;
• copias de seguridad, procedimientos de restauración y control de cambios;
• registro de operaciones relevantes, monitorización y detección de accesos anómalos;
• procedimientos de alta, baja y revisión de accesos;
• gestión de vulnerabilidades, dependencias e incidentes.

La descripción no constituye una garantía de seguridad absoluta ni sustituye el análisis de riesgos, el registro de actividades o las políticas internas de Recaut y del negocio.

17. Violaciones de seguridad

Recaut mantendrá un procedimiento para identificar, contener, investigar, documentar y resolver incidentes que puedan afectar a datos personales. Cuando actúe como encargado, comunicará al negocio sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento, con la información disponible para que el negocio pueda valorar sus obligaciones de notificación.

Cuando Recaut actúe como responsable, notificará a la autoridad de control y a las personas afectadas cuando exista obligación legal, teniendo en cuenta el riesgo para sus derechos y libertades. No se comunicarán detalles que puedan agravar el incidente o comprometer la seguridad de la investigación.

18. Evaluaciones de riesgo y decisiones automatizadas

Recaut evaluará si un tratamiento puede generar un riesgo alto y si resulta necesaria una evaluación de impacto. El negocio sigue siendo responsable de valorar sus propios tratamientos, especialmente cuando utilice datos de salud, perfiles, comunicaciones a gran escala o automatizaciones que puedan afectar significativamente a sus clientes.

La extracción de información de mensajes y la propuesta de horarios son funciones de asistencia. No se utilizarán para evaluar personalidad, solvencia, salud, rendimiento o características similares. Si una función llegara a producir efectos jurídicos o igualmente significativos mediante decisiones exclusivamente automatizadas, se habilitarán las garantías, información e intervención humana exigidas por la normativa antes de ofrecerla.

19. Ejercicio de derechos por cuenta del negocio

El negocio podrá solicitar acceso, exportación, rectificación, supresión o devolución de los datos que trata mediante Recaut, así como asistencia para responder solicitudes de sus clientes. Recaut podrá pedir instrucciones claras y verificar que quien solicita la operación está autorizado por el negocio.

Salvo obligación legal, Recaut no responderá directamente a una solicitud de un cliente del negocio sin coordinarse con este cuando la respuesta pueda revelar datos de otros clientes, afectar a la agenda o exceder las instrucciones recibidas.

20. Cierre, devolución y eliminación

Al finalizar la cuenta o el acuerdo de encargo, el negocio podrá solicitar la devolución o exportación de los datos en un formato razonablemente utilizable. Recaut eliminará los datos operativos dentro de los 90 días siguientes a la cancelación efectiva o al fin de la prueba no convertida. Si el titular solicita la eliminación desde el panel, la purga se prioriza y no se crea el archivo de cinco años, salvo obligación legal concreta. El borrado se programa antes del día 90 para permitir que las copias de seguridad roten dentro del plazo publicado.

Si el negocio cierra sin solicitar la eliminación de la cuenta, Recaut podrá conservar durante un máximo de cinco años desde el cierre un archivo separado con datos mínimos de cuenta y evidencia contractual, únicamente bloqueado para acreditar la relación y atender responsabilidades. No se utilizará para reactivar la cuenta ni para fines comerciales y se destruirá al finalizar el plazo, salvo obligación legal concreta.

21. Registro de actividades y cumplimiento

Recaut mantendrá la documentación interna que resulte necesaria para demostrar el cumplimiento: inventario y registro de tratamientos, acuerdos de encargo, relación de subencargados, análisis de riesgos, gestión de derechos, incidentes y transferencias internacionales.

Esta política informa a las personas interesadas, pero no sustituye el acuerdo de encargo, el registro de actividades, la política de conservación, la política de cookies, el análisis de riesgos ni las cláusulas informativas que el negocio deba facilitar a sus clientes.

22. Cambios y contacto

La política podrá actualizarse por cambios legales, técnicos o del servicio. Los cambios relevantes se comunicarán por medios adecuados. Para consultas o solicitudes de privacidad: info@recaut.com.