Política de Privacidad

Última actualización: 4 de septiembre de 2026

1. Responsable del tratamiento

Carlos Catalan da Silva, con NIF 46274499V, es responsable del tratamiento de los datos de los usuarios de la Plataforma bajo el nombre comercial Auto-Setter. Contacto: [email protected]. Para datos de tus contactos (mensajes, leads), la organización que los recopila actúa como responsable y Auto-Setter como encargado.

2. Datos que tratamos

Cuenta: nombre, correo electrónico y credenciales gestionadas por Supabase Auth. Organización: nombre, configuración del asistente, instrucciones y miembros del equipo. Canales conectados: identificador y nombre de la cuenta profesional, estado y token cifrado. Conversaciones: identificador de canal del contacto, mensajes recibidos, identificadores y fechas de mensaje, archivos que envíen los contactos, resúmenes generados por IA y metadatos asociados. Biblioteca multimedia: audios, imágenes y vídeos cargados por administradores, su nombre, finalidad, canales autorizados, checksum y declaraciones de derechos y consentimiento; cada archivo se analiza y se normaliza antes de almacenarse de forma privada. Uso: logs de auditoría, métricas de uso y costes de IA por organización. Pago: los datos de pago los gestiona Stripe; no almacenamos números de tarjeta. No usamos estos archivos para clonación de voz, reconocimiento facial, OCR, análisis de imágenes ni entrenamiento de modelos. El archivo original no se conserva después de su normalización de seguridad, que además descarta los metadatos incrustados (por ejemplo, la ubicación GPS de una foto). Está prohibido configurar el asistente para solicitar datos de salud o enviar por los canales conectados información sobre diagnósticos, tratamientos, historiales, síntomas u otros datos de salud. Los usuarios de la Plataforma deben informar también a sus contactos de que no comuniquen esta información por el canal.

3. Finalidades

Los datos se usan para prestar el servicio, facturar, detectar abusos, mantener la continuidad de las conversaciones, mejorar la calidad operativa del asistente dentro de la organización y cumplir con las obligaciones legales aplicables. Los audios pregrabados se procesan para comprobar su seguridad, normalizarlos y enviarlos únicamente en los canales que la organización haya autorizado, tras revisión.

4. Base legal

La base jurídica no es un interés legítimo genérico para toda la conversación. La organización conectada es responsable respecto de sus leads y debe documentar que cada uso encaja en la fila aplicable. Auto-Setter trata esos datos como encargado, siguiendo sus instrucciones.

Datos: Cuenta y configuración del usuario de la Plataforma
Finalidad: Crear la cuenta, prestar las funciones contratadas y gestionar la relación comercial.
Base jurídica: Art. 6.1.b RGPD: ejecución del contrato con el usuario de Auto-Setter.
Datos: Mensajes y datos necesarios para atender una solicitud iniciada por el lead
Finalidad: Responder a su consulta, comprender la necesidad expresada y tramitar la cita, reserva o medida precontractual que haya pedido.
Base jurídica: Art. 6.1.b RGPD: aplicación de medidas precontractuales a petición del propio interesado. No exige convertir la conversación en un consentimiento.
Datos: Datos accesorios de la conversación
Finalidad: Mantener la continuidad del hilo, evitar respuestas duplicadas o abusos, evaluar la calidad operativa y facilitar el seguimiento solicitado: identificador de canal, metadatos técnicos, estado y resumen operativo.
Base jurídica: Art. 6.1.f RGPD: interés legítimo de la organización, sujeto a necesidad, ponderación documentada y derecho de oposición. No ampara finalidades nuevas incompatibles.
Datos: Audios pregrabados y declaraciones de derechos asociadas
Finalidad: Analizar la seguridad del archivo, normalizarlo, administrarlo de forma privada y utilizarlo solo en los canales autorizados tras revisión.
Base jurídica: La organización debe documentar la base jurídica y, cuando intervenga la voz de una persona identificable, los derechos o autorizaciones aplicables antes de cargarlo. Una casilla de confirmación no sustituye esa evaluación.
Datos: Facturación y obligaciones contables o fiscales
Finalidad: Gestionar cobros, facturas y las obligaciones legales del prestador.
Base jurídica: Arts. 6.1.b y 6.1.c RGPD: contrato y cumplimiento de obligaciones legales.
Datos: Cookies y medición no esenciales
Finalidad: Analítica y marketing en los términos descritos en la Política de Cookies.
Base jurídica: Art. 6.1.a RGPD: consentimiento revocable.

Datos	Finalidad	Base jurídica
Cuenta y configuración del usuario de la Plataforma	Crear la cuenta, prestar las funciones contratadas y gestionar la relación comercial.	Art. 6.1.b RGPD: ejecución del contrato con el usuario de Auto-Setter.
Mensajes y datos necesarios para atender una solicitud iniciada por el lead	Responder a su consulta, comprender la necesidad expresada y tramitar la cita, reserva o medida precontractual que haya pedido.	Art. 6.1.b RGPD: aplicación de medidas precontractuales a petición del propio interesado. No exige convertir la conversación en un consentimiento.
Datos accesorios de la conversación	Mantener la continuidad del hilo, evitar respuestas duplicadas o abusos, evaluar la calidad operativa y facilitar el seguimiento solicitado: identificador de canal, metadatos técnicos, estado y resumen operativo.	Art. 6.1.f RGPD: interés legítimo de la organización, sujeto a necesidad, ponderación documentada y derecho de oposición. No ampara finalidades nuevas incompatibles.
Audios pregrabados y declaraciones de derechos asociadas	Analizar la seguridad del archivo, normalizarlo, administrarlo de forma privada y utilizarlo solo en los canales autorizados tras revisión.	La organización debe documentar la base jurídica y, cuando intervenga la voz de una persona identificable, los derechos o autorizaciones aplicables antes de cargarlo. Una casilla de confirmación no sustituye esa evaluación.
Facturación y obligaciones contables o fiscales	Gestionar cobros, facturas y las obligaciones legales del prestador.	Arts. 6.1.b y 6.1.c RGPD: contrato y cumplimiento de obligaciones legales.
Cookies y medición no esenciales	Analítica y marketing en los términos descritos en la Política de Cookies.	Art. 6.1.a RGPD: consentimiento revocable.

5. Conservación

Los datos se conservan mientras la organización esté activa. Los administradores pueden retirar archivos de la biblioteca. Al pausar la organización se aplica un periodo de gracia de 30 días antes de la purga física; la persona propietaria también puede ordenar el borrado inmediato e irreversible. Las solicitudes de borrado enviadas por Meta purgan el canal de Instagram y sus datos asociados. Todo ello salvo la información que deba conservarse por obligación legal. Los archivos originales cargados para inspección no se conservan. Consulta las instrucciones en https://auto-setter.com/auth/data-deletion.

6. Comunicaciones a terceros

Usamos estos subencargados: Supabase (base de datos, autenticación y almacenamiento de archivos), Stripe (cobro de la suscripción; trata datos de facturación del cliente de la Plataforma, no de los contactos finales) y OpenRouter, que enruta al modelo de lenguaje las tareas de texto del asistente. A OpenRouter llega el contenido de las conversaciones, los resúmenes, la memoria del contacto y los expedientes del CRM necesarios para generar cada respuesta. Cuando conectas un canal, intercambiamos con Meta los identificadores, mensajes y archivos necesarios para prestar la integración de Instagram. Cada subencargado debe estar sujeto a las garantías contractuales aplicables.

7. Transferencias internacionales

Supabase aloja la base de datos de producción en la Unión Europea (Fráncfort, Alemania). Stripe trata los datos de facturación en Irlanda. Meta y OpenRouter —junto con los proveedores de modelos a los que este enruta— tratan datos en Estados Unidos, fuera del Espacio Económico Europeo. Para esas transferencias exigimos a cada subencargado las garantías del artículo 46 del RGPD, cláusulas contractuales tipo o mecanismo equivalente. Puedes solicitar información sobre el estado de esas garantías en la dirección de contacto de esta política.

8. Derechos ARCO

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a [email protected]. Si eres contacto de una organización usuaria, dirígete primero a esa organización, que actúa como responsable. También puedes seguir las instrucciones públicas de borrado en https://auto-setter.com/auth/data-deletion.

9. Seguridad

La Plataforma aplica cifrado en tránsito (TLS) y en reposo para tokens sensibles (Fernet), Row Level Security a nivel de base de datos, rate limiting en endpoints sensibles y logs de auditoría append-only. Antes de guardar audio, imágenes o vídeo, la Plataforma exige controles antimalware y una normalización en un entorno aislado; si alguno no está disponible, la carga se rechaza. Las imágenes y los vídeos se vuelven a codificar sin metadatos y nunca se someten a OCR ni a modelos de visión, lo que impide que un archivo lleve instrucciones ocultas destinadas a manipular al asistente.

10. Cambios en esta política

Notificaremos cambios relevantes por correo o aviso en la Plataforma con al menos 15 días de antelación.