Política de privacidad

Introducción

Esta política describe cómo BAI Business trata los datos personales recibidos a través de este sitio web y de los formularios y emails asociados.

Responsable del tratamiento

• Titular: Héctor Redondo Salgado
• NIF: ES45579222F
• Domicilio: Calle de la Solana de Opañel, 16, Madrid, España
• Contacto: info@baibusiness.com

Qué datos tratamos

Si nos escribes un email, completas el formulario de contacto o reservas una llamada estratégica, tratamos los datos que tú mismo nos proporcionas: nombre, email, organización a la que perteneces, teléfono (si lo aportas), canal de comunicación preferido y cualquier información que incluyas en tu mensaje. Los demás formularios del sitio recogen solo lo que piden: el email, y a veces el nombre de tu empresa, en la newsletter, la calculadora y la descarga de guías; tu nombre y tu email o teléfono en la lista previa a la llamada; y tu nombre, tu email (opcional, no se publica) y tu comentario en los comentarios del blog. Un comentario se publica con tu nombre y su texto después de revisarlo; si quieres que lo retiremos, escríbenos a info@baibusiness.com. Si aceptas todas las cookies, medimos además el uso del sitio con Google Tag Manager y Google Analytics (ver la política de cookies). No recogemos datos por ningún otro medio en el sitio público.

Los formularios del sitio (comentarios del blog, solicitud de información, reserva de llamada, newsletter, calculadora, descarga de guías y lista previa a la llamada) están protegidos con Cloudflare Turnstile, que distingue a las personas de los programas automáticos. Se carga la primera vez que tocas un formulario, no cuando solo lees una página. En ese momento tu navegador se conecta con Cloudflare (challenges.cloudflare.com) y le envía tu dirección IP, la huella TLS de tu navegador, su cabecera User-Agent y la clave y el origen de este sitio. Cloudflare no recibe lo que escribes en el formulario. Al enviarlo, nuestro servidor envía tu solicitud a la plataforma de BAI, que limita cuántos envíos acepta cada minuto en total para el sitio (no por visitante), y la plataforma comprueba el resultado de Turnstile con Cloudflare, a quien envía la dirección IP desde la que recibe la solicitud, que es la de nuestro servidor y no la tuya.

Finalidad

Usamos esos datos exclusivamente para contestarte, coordinar la llamada estratégica de 30 minutos, enviarte la documentación que solicites (por ejemplo, el diagnóstico de fricciones operativas) y, si te has suscrito explícitamente, enviarte la newsletter editorial de BAI con cadencia semanal. No vendemos datos personales ni los cedemos a terceros para sus propios fines. Los encargados de tratamiento que enumera esta política actúan por cuenta de BAI, con la salvedad de Cloudflare: además de prestar el servicio de protección de formularios, usa las señales de Turnstile para mejorar su propia detección de robots, como responsable de ese tratamiento (véase «Encargados de tratamiento»). Usamos Turnstile y el contador de envíos únicamente para proteger los formularios contra el abuso.

Base legal

El tratamiento se basa en tu consentimiento explícito (artículo 6.1.a del RGPD) cuando solicitas información, reservas una cita, te suscribes o publicas un comentario, y en el interés legítimo del responsable cuando contestamos comunicaciones que tú nos diriges.

La protección de los formularios con Turnstile y el límite de envíos por minuto se basan en el interés legítimo del responsable en la seguridad del sitio y en evitar el abuso (artículo 6.1.f del RGPD).

Conservación

Conservamos los datos mientras mantengas activa la relación con BAI (suscripción, llamada, cliente) y hasta dos años después del último contacto. Cuando ese plazo termina, o cuando nos pides que eliminemos tus datos, no los conservamos de forma que te identifiquen: sustituimos tus datos personales por valores que no identifican a nadie y conservamos solo la estructura del registro (por ejemplo, que hubo una reserva o una conversación). Si te das de baja de la newsletter o nos dices que no quieres que te contactemos, dejamos de escribirte y conservamos únicamente lo necesario para respetar esa decisión: una huella irreversible de tu dirección de correo, que se usa solo para comprobar que no volvemos a escribirte (artículo 21.3 del RGPD; el artículo 23.1 de la Ley Orgánica 3/2018 permite este tratamiento). El procedimiento está descrito en eliminar mis datos.

Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a info@baibusiness.com. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos.

Solicitudes de autoridades públicas

Si una autoridad pública nos pide datos personales, comprobamos que la solicitud es legal y que la autoridad es competente antes de revelar nada. Impugnamos una solicitud que no tenga base legal, que proceda de una autoridad de fuera de la Unión Europea sin un acuerdo internacional que la ampare, o que pida más de lo necesario. Revelamos solo los datos que la solicitud exige. Dejamos constancia escrita de cada solicitud, de nuestra respuesta y de su razonamiento jurídico. Cuando actuamos por cuenta de una empresa que conectó sus canales, se lo comunicamos antes de revelar los datos, salvo que la ley lo prohíba.

Encargados de tratamiento

Para enviar los emails transaccionales utilizamos Resend (Resend Inc.) como proveedor de envío, conforme a su adenda de tratamiento de datos, que forma parte de sus condiciones de servicio. El sitio y la plataforma se alojan en servidores de IONOS en España que gestiona BAI Business. Para medir el uso del sitio web utilizamos Google Tag Manager y Google Analytics (Google LLC), solo si aceptas todas las cookies (consentimiento, art. 6.1.a RGPD, que puedes retirar en cualquier momento desde «Configurar cookies» en el pie de página). Antes de aceptar no se envía nada a Google. Si aceptas, Google recibe tu dirección IP y datos técnicos de la visita y los trata en Estados Unidos al amparo del Marco de Privacidad de Datos UE-EE. UU.; el detalle está en la política de cookies. Los encargados que tratan los datos de los canales de Meta se enumeran en la sección siguiente.

Proveedor de inteligencia artificial. Las funciones de inteligencia artificial de la plataforma envían texto a Google LLC mediante la API de Gemini, que actúa como nuestro subencargado de tratamiento. Para algunas peticiones, nuestra política de enrutado usa en su lugar a Anthropic (API de Claude); sus condiciones están en la sección de canales de Meta, más abajo. La IA se usa para: la recepcionista, que responde a las personas que escriben a una empresa por el chat de su web o por sus canales conectados; la conversación que la recepcionista mantiene con un cliente en el portal del cliente, incluida la entrevista de alta; y los asistentes de la plataforma, que ayudan al equipo de una empresa con sus propios datos (por ejemplo, respuestas sugeridas, resúmenes, traducciones y búsquedas en su base de conocimiento).

Qué se envía: lo que la persona escribe en la conversación, los mensajes anteriores necesarios para responder, los fragmentos de la base de conocimiento de la propia empresa que son relevantes para la pregunta y los documentos que una empresa sube para que la plataforma los lea (por ejemplo, para crear una plantilla). En las conversaciones de la recepcionista y de los asistentes, las direcciones de correo, los teléfonos, los números de tarjeta de pago, los números de cuenta bancaria (IBAN) y los números de DNI/NIE se enmascaran antes de enviar el texto; otros datos personales que una persona escriba en un mensaje, como un nombre o una dirección, no se enmascaran.

Según las condiciones de pago de la API de Gemini, Google no usa las peticiones ni las respuestas para mejorar sus productos y conserva registros solo durante un periodo limitado, para detectar y prevenir abusos. Google puede tratar los datos en cualquier país donde él o sus subencargados tengan instalaciones, incluido Estados Unidos. La transferencia se apoya en la certificación de Google LLC en el Marco de Privacidad de Datos UE-EE. UU. y, cuando esta no sea aplicable, en las cláusulas contractuales tipo de su adenda de tratamiento de datos.

Cuando BAI Business presta su plataforma a una empresa cliente (por ejemplo, alojando su web, su CRM o su chat), actúa como encargado de tratamiento por cuenta de esa empresa, que es la responsable de los datos de sus propios visitantes y clientes. Lo hace solo siguiendo sus instrucciones y bajo un contrato de encargo conforme al artículo 28 del RGPD, que fija el objeto y la duración del tratamiento, los datos y las personas afectadas, las medidas de seguridad, los subencargados autorizados y la devolución o supresión de los datos al terminar.

Para proteger los formularios utilizamos Cloudflare Turnstile (Cloudflare, Inc.). Cloudflare trata como encargado, por cuenta de BAI, las señales necesarias para prestar el servicio y, como responsable, las que usa para mejorar su detección de robots, según su adenda de privacidad de Turnstile. Puede tratarlas en Estados Unidos; Cloudflare se apoya en las certificaciones del Marco de Privacidad de Datos UE-EE. UU. y, si dejaran de valer, en cláusulas contractuales tipo (información de Cloudflare sobre el RGPD). A diferencia de Google, Cloudflare se contacta aunque hayas elegido «Solo necesarias», porque es una medida de seguridad del formulario y no de medición; solo ocurre si tocas un formulario.

Datos recibidos de Facebook, Instagram y WhatsApp (canales de Meta)

Esta sección se aplica a las empresas que usan la plataforma de BAI Business (app.baibusiness.com) y conectan su propia página de Facebook (Messenger), cuenta profesional de Instagram o cuenta de WhatsApp Business, y a las personas que escriben a esas empresas por esos canales. Cubre la plataforma, no el sitio web público. Los encargados que enumera actúan únicamente por cuenta de BAI.

Qué datos recibimos

• De la empresa, al conectar un canal: los identificadores de su página, de su cuenta de Instagram (id y nombre de usuario) y de su cuenta de WhatsApp Business, y los tokens de acceso que Meta emite para ellos. Los tokens se guardan cifrados y nunca se muestran en la interfaz.
• De Meta, cuando una persona escribe a la empresa: el texto del mensaje, el identificador del remitente en ese canal (un identificador de ámbito de página o de Instagram, o el teléfono del remitente en WhatsApp) y la hora del mensaje.

Para qué los usamos

BAI actúa por cuenta de la empresa que conectó el canal. Mostramos cada mensaje en la bandeja de esa empresa, dejamos que su recepcionista con IA lo responda dentro de la ventana de mensajería que Meta permite, pasamos la conversación a una persona cuando hace falta y, cuando la persona lo pide, creamos una reserva o un registro de contacto para esa empresa. Una empresa también puede publicar el contenido de sus propios productos en su propia página o cuenta de Instagram; eso no lee datos de sus seguidores. El recepcionista es el asistente de recepción de la propia empresa, configurado por ella; BAI no lo ofrece como asistente de IA de propósito general. No usamos estos datos para publicidad, elaboración de perfiles ni venta, y no los combinamos entre empresas: cada espacio de trabajo ve solo sus propios datos.

Quién los trata por nuestra cuenta

• IONOS: alojamiento de la plataforma y de su base de datos (centro de datos en España), conforme al contrato de encargo de tratamiento que forma parte de sus condiciones generales.
• Google (API de Gemini) y Anthropic (API de Claude): proveedores de inteligencia artificial que generan la respuesta de la recepcionista; nuestra política de enrutado decide cuál responde cada petición. Las direcciones de correo, los números de teléfono, los números de tarjeta de pago, los números de cuenta bancaria (IBAN) y los números de DNI/NIE se enmascaran antes de enviar el texto.
• Otros datos personales que una persona escriba en un mensaje, como un nombre o una dirección, no se enmascaran. Según sus condiciones pueden tratarlo en cualquier país donde mantengan instalaciones; cada proveedor actúa conforme a sus condiciones de tratamiento de datos (Google, para la API de pago de Gemini: adenda de tratamiento de datos; Anthropic: adenda de tratamiento de datos, que forma parte de sus condiciones comerciales).
• Resend: envío del correo de aviso que recibe el operador de la empresa cuando una conversación pasa a una persona, que contiene un resumen enmascarado.
• Almacén de secretos propio, en nuestros servidores: guarda las credenciales de nuestra aplicación. No recibe contenido de mensajes.

Cuánto tiempo los conservamos

El contenido de los mensajes sigue la sección de Conservación de arriba. Una persona o una empresa puede pedir su eliminación anticipada en cualquier momento.

Eliminar tus datos

Si escribiste a una empresa que usa BAI Business, escribe a info@baibusiness.com o usa el formulario descrito en eliminar mis datos. Si conectaste tu propia página de Facebook o tu cuenta de Instagram a BAI Business con el inicio de sesión de Facebook o de Instagram, también puedes quitar BAI Business en los ajustes de aplicaciones de Facebook o Instagram y pedir a Meta que elimine tus datos: Meta avisa entonces a nuestra devolución de llamada de eliminación de datos, desconectamos las Páginas y las cuentas de Instagram que conectaste, eliminamos los tokens de acceso que guardábamos para ellas y devolvemos un código de confirmación y un enlace de estado. Las conversaciones que hayas tenido con la Página de un negocio las conserva ese negocio y no forman parte de esa solicitud: cuando el negocio lo ofrece, su chat permite retirar tu consentimiento o pedir la supresión; si no, escríbenos como se describe arriba.

Decisiones automatizadas

Cuando usas la plataforma autenticada en app.baibusiness.com, el sistema puede realizar procesamiento asistido por IA (clasificación de leads, redacción de respuestas sugeridas). Tienes derecho a solicitar revisión humana de cualquier decisión significativa tomada por procesamiento automatizado. Los proveedores de IA que tratan estos datos, lo que se les envía y las garantías de la transferencia internacional se describen en «Encargados de tratamiento».