Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales es Adrián Estévez, empresario individual, con NIF 51805045Y y domicilio en Carrer Bell Lloc 6, 08812 Sant Pere de Ribes (Barcelona), España, titular del servicio Xivalo (xivalo.ai). Para cualquier cuestión relacionada con la privacidad, puedes contactarnos en info@xivalo.ai. El resto de datos identificativos están en el Aviso Legal.

2. Datos que Recopilamos

Recopilamos las siguientes categorías de datos personales:

• Datos de cuenta: nombre, dirección de correo electrónico y empresa u organización.
• Datos de reuniones: grabaciones de audio, transcripciones y resúmenes generados por inteligencia artificial.
• Datos de uso: marcas de tiempo de inicio de sesión, funcionalidades utilizadas y patrones de interacción con la plataforma.
• Datos técnicos: dirección IP, tipo de navegador, sistema operativo e información del dispositivo.
• Datos de pago: procesados de forma segura por Stripe. Xivalo no almacena números de tarjeta de crédito ni datos bancarios.
• Datos de Google: si conectas tu cuenta de Google, accedemos a tu nombre, dirección de correo electrónico, foto de perfil y eventos de tu Google Calendar (solo lectura) para sincronizar tus reuniones con la plataforma.

3. Base Legal del Tratamiento

De conformidad con el artículo 6 del Reglamento General de Protección de Datos (RGPD), tratamos tus datos con base en:

• Ejecución del contrato: gestión de tu cuenta y prestación del servicio contratado.
• Interés legítimo: mejora del servicio, seguridad de la plataforma y prevención del fraude.
• Consentimiento: comunicaciones comerciales, en caso de que las hubieras autorizado.

4. Finalidad del Tratamiento

Tus datos personales son tratados para las siguientes finalidades:

• Proporcionar el servicio de inteligencia de reuniones: grabación, transcripción y análisis.
• Procesar y analizar reuniones mediante inteligencia artificial.
• Enviar comunicaciones transaccionales relacionadas con tu cuenta y el servicio.
• Procesar pagos y gestionar la facturación.
• Mejorar la calidad y seguridad de la plataforma.

5. Procesamiento con Inteligencia Artificial

Xivalo utiliza varios proveedores de inteligencia artificial, cada uno para una función distinta:

• Deepgram (modelo Nova-3): transcripción del audio de las reuniones e identificación de los distintos interlocutores.
• OpenAI: análisis de la transcripción (resúmenes, temas, tareas detectadas), el asistente conversacional y la generación de representaciones vectoriales que permiten la búsqueda semántica dentro de tu espacio de trabajo.
• Recall.ai: gestión del asistente que se une a las reuniones para grabarlas y, en las reuniones captadas por esa vía, transcripción en tiempo real.

Este procesamiento se realiza bajo las siguientes condiciones:

• Los datos enviados a estos proveedores se procesan bajo un Acuerdo de Procesamiento de Datos (DPA), en calidad de encargados del tratamiento.
• No utilizan los datos enviados a través de sus APIs para entrenar sus modelos, de conformidad con sus respectivas políticas de uso de datos.
• Las grabaciones y transcripciones se almacenan en servidores de AWS en Europa (eu-west-3, París).

6. Datos de Google

Xivalo permite conectar tu cuenta de Google para sincronizar eventos de calendario, programar grabaciones automáticas de reuniones y, de forma opcional, priorizar y resumir tu bandeja de correo. A continuación se detalla cómo gestionamos los datos obtenidos a través de las APIs de Google:

6.1. Datos que accedemos

• Perfil básico: nombre, dirección de correo electrónico y foto de perfil de tu cuenta de Google (scopes: openid, profile, email).
• Eventos de calendario: acceso de solo lectura a los eventos de tu Google Calendar (scope: calendar.events.readonly), incluyendo título, fecha, hora, duración y participantes de cada evento.
• Correo de Gmail (opcional, solo si conectas tu bandeja): acceso de solo lectura a tus mensajes y conversaciones (scope gmail.readonly), incluyendo remitentes, destinatarios, asunto, fecha y cuerpo del mensaje. Xivalo nunca envía, responde, modifica ni borra correo en tu cuenta.

6.2. Cómo usamos estos datos

• Autenticar tu identidad e iniciar sesión en la plataforma.
• Mostrar tus próximas reuniones para que puedas programar grabaciones automáticas.
• Asociar grabaciones de reuniones con los eventos correspondientes de tu calendario.
• Clasificar tus conversaciones de correo por prioridad, resumirlas y detectar cuáles necesitan respuesta, para mostrártelo en tu Bandeja Xivalo.
• Asociar esas conversaciones a las fichas de contacto y de empresa de tu CRM, de modo que veas en una misma pantalla el correo y las reuniones que tienes con cada persona.

6.3. Almacenamiento y compartición

• Los datos de Google Calendar se almacenan en nuestra base de datos (Amazon RDS en la UE) y se actualizan periódicamente mientras la conexión esté activa. Los credenciales de acceso a tu cuenta de Google se guardan cifrados (AES-256-GCM).
• Recall.ai, nuestro proveedor de grabación de reuniones, actúa como encargado del tratamiento y recibe: (a) el credencial de acceso a tu Google Calendar, que necesita para consultar tus eventos y programar la grabación de las reuniones, y (b) los datos de esos eventos. Recall.ai trata estos datos únicamente por cuenta de Xivalo y conforme a nuestras instrucciones.
• OpenAI, nuestro encargado del tratamiento, recibe el contenido de los mensajes de correo únicamente para generar la prioridad, la categoría y el resumen que se te muestran en tu Bandeja Xivalo. OpenAI no utiliza estos datos para entrenar ni mejorar sus modelos. Conforme a su política de API, OpenAI puede conservarlos hasta 30 días con el único fin de detectar usos abusivos, y los elimina después.
• Tu correo se almacena cifrado (AES-256-GCM) y es privado de tu usuario: ningún otro miembro de tu espacio de trabajo puede acceder a él, ni directamente ni a través del asistente conversacional de la plataforma.
• Salvo lo anterior y los proveedores de infraestructura necesarios para prestar el servicio (AWS), no compartimos los datos obtenidos de las APIs de Google con ningún otro tercero.
• No utilizamos los datos de Google para publicidad, estudios de mercado ni para crear perfiles de usuario con fines distintos a la funcionalidad del servicio.
• No utilizamos los datos obtenidos de las APIs de Google para crear, entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automático generalizados, incluidos los modelos fundacionales.

6.4. Revocación del acceso

Puedes desconectar tu cuenta de Google en cualquier momento desde la configuración de tu espacio de trabajo. Al hacerlo, eliminamos los tokens de acceso y los datos de calendario almacenados. También puedes revocar el acceso directamente desde tu cuenta de Google.

Si has conectado tu bandeja de Gmail, puedes desconectarla en cualquier momento desde la configuración. Al desconectarla revocamos el acceso en tu cuenta de Google y borramos de forma permanente e inmediata todos los hilos, mensajes y resúmenes que tuviéramos guardados. Con la bandeja conectada, cada hilo se conserva como máximo 90 días desde la fecha de su último mensaje.

6.5. Cumplimiento con la Política de Google

El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google por parte de Xivalo se adhiere a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

7. Correo conectado por IMAP

Además de Gmail, puedes conectar a Xivalo un buzón de correo de cualquier proveedor que ofrezca acceso IMAP (por ejemplo Hostinger, OVH, IONOS, Zoho, un hosting con cPanel o Google Workspace mediante una contraseña de aplicación). En ese caso no interviene ninguna API de Google ni un permiso OAuth: Xivalo se conecta a tu servidor de correo con el usuario y la contraseña que tú nos das.

7.1. Datos que tratamos

• Credenciales de acceso: la dirección de correo, el nombre de usuario, el servidor y el puerto IMAP, y la contraseña (o contraseña de aplicación) del buzón. La contraseña se guarda cifrada (AES-256-GCM) y solo se utiliza para leer tu buzón. Es una categoría de dato distinta de un token OAuth: no caduca ni se puede revocar desde un proveedor, así que la conservamos mientras la bandeja siga conectada.
• Contenido del correo: los mismos datos que en el caso de Gmail —remitentes, destinatarios, asunto, fecha y cuerpo de los mensajes de la bandeja de entrada y de la carpeta de enviados—, con acceso de solo lectura. Xivalo nunca envía, responde, mueve ni borra correo en tu buzón.

7.2. Cómo los usamos y con quién los compartimos

Exactamente igual que el correo de Gmail (apartados 6.2 y 6.3): clasificamos tus conversaciones por prioridad, las resumimos y las asociamos a tus contactos; el contenido se envía a OpenAI, nuestro encargado del tratamiento, únicamente para generar esa prioridad y ese resumen, sin usarse para entrenar modelos; y tu correo es privado de tu usuario. Las credenciales de acceso no se comparten con nadie: no salen de nuestra infraestructura (AWS, UE) y no se envían a OpenAI ni a ningún otro proveedor.

7.3. Baja y borrado

Puedes desconectar la bandeja en cualquier momento desde la configuración. Al hacerlo borramos de forma permanente e inmediata la contraseña y todos los hilos, mensajes y resúmenes guardados. Si el servidor rechaza la contraseña, la borramos también y te avisamos para que la vuelvas a introducir. Como no existe un permiso que revocar en tu proveedor, si quieres estar completamente seguro de que Xivalo ya no puede acceder, cambia allí la contraseña. Con la bandeja conectada, cada hilo se conserva como máximo 90 días desde la fecha de su último mensaje.

8. Almacenamiento de Datos

• Base de datos: Amazon RDS (PostgreSQL) en la región eu-west-3 (París, Francia).
• Almacenamiento de archivos: AWS S3 en región de la Unión Europea.
• Cifrado: todos los datos están cifrados tanto en reposo como en tránsito (TLS 1.2+).

9. Compartición de Datos

Compartimos datos únicamente con los siguientes terceros, necesarios para la prestación del servicio:

• Google: autenticación OAuth y sincronización de calendario. Los datos de Google se utilizan exclusivamente para las funcionalidades descritas en la sección 6 y conforme a la Política de Datos de Usuario de los Servicios de API de Google.
• OpenAI: análisis de transcripciones, triage y resumen de correo electrónico, asistente conversacional y búsqueda semántica (bajo DPA).
• Deepgram: transcripción del audio de las reuniones e identificación de interlocutores (bajo DPA).
• Recall.ai: asistente que se une a las reuniones para grabarlas, sincronización de calendario y transcripción en tiempo real. Recibe el credencial de acceso a tu calendario y los datos de tus eventos (bajo DPA).
• Stripe: procesamiento de pagos.
• AWS (Amazon Web Services): alojamiento de infraestructura.
• Meta (WhatsApp Business Platform): si tu empresa conecta su número de WhatsApp Business, los mensajes que tus clientes te escriben y las respuestas que se les envían pasan por la infraestructura de Meta, que es el operador del canal. Ver la sección 13.
• Meta (Facebook): si aceptas las cookies de marketing, compartimos datos de navegación (páginas visitadas, dirección IP anonimizada por Meta, user agent del navegador) para la creación de audiencias publicitarias personalizadas. Base legal: Consentimiento (Art. 6.1.a RGPD). Puedes retirar tu consentimiento en cualquier momento.
• OpenAI (ChatGPT Ads): si aceptas las cookies de marketing, compartimos datos de navegación (páginas visitadas, si has enviado el formulario de contacto, dirección IP y user agent del navegador) para medir los anuncios de Xivalo que se muestran en ChatGPT. Base legal: Consentimiento (Art. 6.1.a RGPD). Puedes retirar tu consentimiento en cualquier momento.

No vendemos datos personales a terceros bajo ninguna circunstancia.

10. Retención de Datos

• Cuenta activa: los datos se conservan mientras la cuenta del usuario permanezca activa.
• Cuenta eliminada: los datos se eliminan en un plazo máximo de 30 días tras la solicitud de baja.
• Correo electrónico: 90 días desde la fecha del último mensaje del hilo. Transcurrido el plazo, los hilos, mensajes y cuerpos se eliminan de forma permanente. Al desconectar la bandeja se borra todo de inmediato.
• Conversaciones de WhatsApp: 90 días desde el último mensaje de la conversación. Transcurrido el plazo se eliminan de forma permanente, junto con el número de teléfono y el nombre de perfil de quien escribió.
• Facturas: se conservan durante 5 años por obligación legal.

11. Derechos del Usuario

De conformidad con los artículos 15 a 22 del RGPD, tienes derecho a:

• Acceso: solicitar una copia de tus datos personales.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos.
• Portabilidad: recibir tus datos en un formato legible por máquina.
• Oposición: oponerte al tratamiento de tus datos.
• Limitación: restringir el tratamiento en determinadas circunstancias.

Para ejercer cualquiera de estos derechos, contacta con nosotros en info@xivalo.ai. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

12. Extensión de Chrome

La extensión «Xivalo · Tu navegador» para Google Chrome permite que el asistente de Xivalo haga, a petición tuya, tareas en las pestañas que compartes con él, desde tu propio navegador y con tu sesión en esas webs. A continuación se detalla qué datos trata y cómo los gestiona:

12.1. Datos que trata la extensión

• Solo de las pestañas que compartes, y solo mientras están compartidas: el texto visible, los controles de la página con su nombre y su valor, las URLs saneadas (sin credenciales, fragmentos ni valores de parámetros que parezcan secretos) y, cuando la tarea lo necesita, capturas de la parte visible de la página.
• Nunca el valor de contraseñas, códigos de un solo uso, datos de tarjeta o IBAN, ni capturas de pantallas de inicio de sesión, verificación en dos pasos o CAPTCHA: esas pantallas se marcan y eres tú quien toma el control.
• Datos de sesión: un token que empareja la extensión con tu cuenta y tu workspace de Xivalo, guardado en el almacenamiento de sesión de Chrome, que se borra al cerrar el navegador. Las cookies y las sesiones de las webs en las que se trabaja se quedan en tu navegador y no se envían.

12.2. Permisos del navegador

La extensión solicita los siguientes permisos de Chrome, cada uno necesario para su funcionamiento:

• debugger: leer el contenido accesible de la pestaña compartida y hacer clic o escribir en ella, también cuando está en segundo plano. Solo se adjunta a pestañas que tú compartes, y Chrome muestra su aviso mientras está activo. No se usa para leer tráfico de red, cookies ni el almacenamiento de las webs.
• activeTab: leer la URL y el título de la pestaña activa al abrir la extensión, para ofrecerte compartirla.
• tabGroups: agrupar las pestañas de una tarea bajo «Xivalo» para que veas cuáles está usando.
• storage: guardar la sesión de emparejamiento y el estado mínimo de la tarea hasta que cierras el navegador.
• alarms: despertar la extensión periódicamente para recibir los siguientes pasos de una tarea en curso.
• Acceso a xivalo.ai: comunicarse con la API de Xivalo. No da acceso a las webs en las que se trabaja.

12.3. Tratamiento de los datos

• Lo que la extensión lee de las pestañas compartidas se envía a Xivalo y, desde Xivalo, a OpenAI, nuestro encargado del tratamiento, que dirige la tarea. OpenAI no utiliza estos datos para entrenar sus modelos.
• Las respuestas de cada paso se guardan cifradas y se borran a las 24 horas. Las capturas que guardas como evidencia de una tarea quedan en un espacio privado tuyo en Xivalo (AWS, UE), que nadie más de tu empresa puede ver, hasta que las borras o borras tu cuenta.
• Tú decides qué se comparte y puedes pausar o detener una tarea en cualquier momento. Las acciones que cambian algo en una web pueden requerir tu aprobación previa según el modo que elijas.
• La extensión no ejecuta código enviado por el servidor, no lee tu historial de navegación y no recopila datos analíticos ni de seguimiento.

13. Datos de WhatsApp Business

Xivalo permite a una empresa conectar su número de WhatsApp Business para que un agente automático responda a sus clientes a partir del material que esa empresa ha publicado dentro de Xivalo. Esta funcionalidad está desactivada por defecto y solo se activa si la empresa la enciende expresamente.

En este tratamiento la empresa que conecta su número es la Responsable del Tratamiento y Xivalo actúa como Encargado. Los datos tratados son de los clientes finales de esa empresa, no de Xivalo.

13.1. Datos que recibimos

• Número de teléfono de la persona que escribe, en formato internacional, tal y como lo entrega Meta.
• Nombre del perfil de WhatsApp de esa persona, si lo tiene visible.
• Contenido de los mensajes que envía al número de la empresa, y de las respuestas que se le envían.
• Identificador del mensaje y su fecha, que Meta asigna y que usamos para no responder dos veces al mismo mensaje.

No accedemos a la agenda de contactos, al historial previo de la empresa ni a ningún otro dato de la cuenta de WhatsApp más allá de lo anterior.

13.2. Cómo usamos estos datos

• Generar la respuesta que se envía al cliente. La respuesta se construye únicamente a partir del material que la empresa ha marcado como publicado dentro de Xivalo; si ese material no cubre la pregunta, el agente responde que no lo sabe en vez de improvisar.
• Mostrarle a la empresa la conversación y, en particular, las preguntas que su material no supo responder.
• Contabilizar el consumo del servicio para su facturación.

Estos datos no se utilizan para entrenar modelos de inteligencia artificial, ni los nuestros ni los de terceros, y no se comparten con otras empresas usuarias de Xivalo.

13.3. Almacenamiento y compartición

• Las conversaciones se almacenan en nuestra base de datos (Amazon RDS en la Unión Europea) y se eliminan a los 90 días del último mensaje.
• El contenido del mensaje se envía a OpenAI para redactar la respuesta. OpenAI no utiliza los datos enviados a través de su API para entrenar sus modelos.
• El credencial de acceso que Meta emite para el número se guarda cifrado y no se muestra de nuevo en ninguna pantalla.

13.4. Revocación del acceso

La empresa puede apagar el agente o desconectar el número desde su panel de Xivalo en cualquier momento, y también revocar el acceso de Xivalo desde la configuración de su cuenta de Meta Business. Al desconectar el número se eliminan las conversaciones asociadas.

Si eres cliente de una empresa que usa Xivalo y quieres ejercer tus derechos sobre los mensajes que le has escrito, dirígete a esa empresa, que es la Responsable del Tratamiento. Puedes escribirnos a info@xivalo.ai y te ayudaremos a localizarla.

14. Cookies

Para obtener información detallada sobre las cookies que utilizamos, consulta nuestra Política de Cookies.

15. Transferencias Internacionales

Los datos pueden ser procesados en Estados Unidos por OpenAI, Deepgram y Recall.ai, en todos los casos bajo Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea. El almacenamiento principal de datos se realiza en la Unión Europea (región de París, Francia).

16. Seguridad

Implementamos medidas técnicas y organizativas para proteger tus datos, incluyendo:

• Cifrado TLS en todas las comunicaciones.
• Base de datos cifrada en reposo.
• Controles de acceso basados en roles.
• Revisiones periódicas de seguridad.

17. Menores

El Servicio no está dirigido a menores de 16 años. No recopilamos conscientemente datos personales de menores. Si tienes conocimiento de que un menor ha proporcionado datos personales, contacta con nosotros para proceder a su eliminación.

18. Modificaciones

Nos reservamos el derecho de modificar esta Política de Privacidad. Los cambios se notificarán por correo electrónico con al menos 30 días de antelación antes de su entrada en vigor.

Consulta también nuestros Términos de Servicio y nuestra Política de Cookies.