Política de privacidad

Responsable del tratamiento: Alan Casañ Paniagua (NIF 53887963K), Ctra. Malilla nº 79, Esc. 1, Planta 06, Pta. 27, 46026 València (Valencia), España. Marca comercial: Spira. Contacto: acasan@spira.es · 646 257 297 / 661 462 301.

No estamos obligados a designar delegado de protección de datos. Para cualquier asunto sobre tus datos, escribe a la dirección de arriba.

1. Dos tratamientos distintos, no los mezcles

Esta política cubre dos cosas diferentes, y conviene distinguirlas:

• Tus datos, si eres un negocio que usa Spira. Aquí el responsable somos nosotros, y es de lo que trata todo lo que sigue.
• Los datos de quien escribe a un negocio que usa Spira —por WhatsApp o por Instagram— o le deja sus datos por los formularios, páginas o correo que el negocio gestiona con Spira. Ahí el responsable es ese negocio y nosotros solo actuamos como encargado, siguiendo sus instrucciones. Las condiciones están en el Anexo de encargo del tratamiento. Si has escrito a una empresa y quieres ejercer tus derechos, la vía es esa empresa; si nos escribes a nosotros, te pondremos en contacto con ella.

2. Qué datos tratamos

• De quien crea un agente: nombre, correo electrónico y teléfono; los datos del negocio que facilita (nombre comercial, servicios, horarios, precios, preguntas frecuentes, web, documentos que sube); si usa la respuesta a comentarios de Instagram, los textos que redacta y los archivos que sube para enviar a sus clientes (por ejemplo, un PDF, una imagen, un vídeo o una nota de voz con su voz), guardados en un almacén privado; y, para que elija en qué publicación escuchar comentarios, le enseñamos en su panel sus últimas publicaciones de Instagram (la miniatura, el texto y el enlace), que no guardamos (solo el identificador de la elegida); la dirección IP y el navegador desde el que lo hace (seguridad y prevención de abuso); y el número de WhatsApp que conecta al agente. Si conecta la integración oficial de WhatsApp, además: los identificadores de su cuenta de WhatsApp Business y de su número, el acceso que Meta nos concede para operarla (guardado cifrado), sus plantillas de mensaje y la fecha y versión de las condiciones que aceptó al conectarla.
• De quien contrata el plan: los datos de facturación que facilita a la pasarela de pago —nombre o razón social, NIF y dirección— y el histórico de cobros. No vemos ni guardamos el número de tu tarjeta: lo custodia Stripe.
• De las conversaciones: el contenido de los mensajes de WhatsApp y de Instagram entre el negocio y sus clientes que el agente atiende —las notas de voz se transcriben a texto—, el número de teléfono (WhatsApp) o el identificador y el nombre de perfil (Instagram) de quien escribe, y los datos que esa persona facilita en la conversación. Aquí actuamos como encargado del negocio (apartado 1).
• De los comentarios en Instagram: si el negocio activa la respuesta a comentarios, recibimos los comentarios que se publican en sus publicaciones de Instagram —el texto, y el identificador y el nombre de perfil de quien comenta— para ver si llevan alguna de las palabras que el negocio ha elegido (o, si el negocio así lo elige, para contestar a cualquier comentario) y, si es así, enviar a esa persona la respuesta privada que el negocio ha configurado. Si el negocio exige que le sigan para enviar su contenido, cuando la persona pulsa el botón Instagram nos dice si sigue la cuenta del negocio; no lo guardamos, solo lo usamos en ese momento. Para el mensaje de seguimiento, si esa persona ya había hablado antes con el negocio, el agente lee esa conversación para retomarla donde se quedó. De cada comentario guardamos solo su identificador, en qué publicación se hizo y quién lo hizo, para contar cuántas veces ha comentado cada persona; el texto se guarda únicamente en la conversación de quien recibe la respuesta, para que el agente sepa a qué está contestando. También aquí actuamos como encargado del negocio.
• De la agenda: si el negocio la activa, el nombre, teléfono, correo y notas de quien reserva una cita.
• De los avisos por WhatsApp oficial: si el negocio conecta la integración oficial, el permiso de cada persona para recibir sus avisos (si dijo que sí o que no, cuándo y con qué texto se le pidió) y el registro de los avisos enviados (a qué número, con qué plantilla, cuándo y si se entregó). Aquí también actuamos como encargado del negocio.
• De las demás herramientas del negocio: los datos que llegan por los formularios y páginas que publica con Spira, los correos que recibe en su dirección de entrada, los contactos que importa o registra en su portal y los de las personas de su equipo a las que da acceso. También aquí actuamos como encargado del negocio.
• Del titular de un dominio: si registras un dominio con nosotros, los datos del titular y de la persona de contacto que se detallan en el apartado 4.3.
• Datos de categorías especiales: según el sector del negocio (por ejemplo, una clínica), una conversación puede contener datos de salud aunque nadie los pida. Los tratamos como encargado, con las mismas garantías que el resto. Quien tiene que contar con la base jurídica del art. 9.2 del RGPD y configurar el agente para no pedir de más es el negocio, que es el responsable.

Los datos que te pedimos para crear el agente y para facturarte son necesarios: sin ellos no podemos prestarte el servicio ni emitirte factura.

3. Para qué y con qué base legal

• Crear y operar tu agente y darte el portal — ejecución del contrato.
• Facturarte y cobrarte — ejecución del contrato y cumplimiento de nuestras obligaciones fiscales y contables.
• Escribirte sobre tu propio servicio (que tu agente está listo, que se te acaba la prueba, una incidencia, un cambio de condiciones) — ejecución del contrato. Estos avisos no son publicidad y no se pueden desactivar sin dejar de usar el servicio.
• Tu vídeo-testimonio, si nos lo mandas para conseguir más días de prueba: lo usamos para dar a conocer Spira en nuestra web, nuestras redes y nuestra publicidad — tu consentimiento (la autorización que marcas al enviarlo), que puedes retirar cuando quieras escribiendo a nuestro correo. Guardamos el enlace que nos das y qué autorizaste, cuándo y quién.
• Enviarte comunicaciones comerciales por correo o teléfono sobre nuestros servicios y mejoras de plan — tu consentimiento, que prestas marcando la casilla específica del formulario y que puedes retirar cuando quieras escribiendo a nuestro correo. Es una casilla aparte, opcional y desmarcada: no marcarla no te impide usar Spira.
• Seguridad, prevención de fraude y límite de una prueba gratuita por negocio — nuestro interés legítimo en que el servicio no se abuse. Para esto guardamos huellas de correo, teléfono y número de WhatsApp de quien ya ha usado una prueba.
• Medir qué anuncios funcionan — tu consentimiento para las cookies de medición (apartado 8) y nuestro interés legítimo para los datos de procedencia que ya viajan en la dirección web que visitas.
• Atender tus derechos y posibles reclamaciones — cumplimiento de una obligación legal.

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni te afecten significativamente de modo similar. Que tu agente se genere con inteligencia artificial no es una decisión sobre ti: es la prestación del servicio que has pedido.

3.1. Estás hablando con un agente de IA

Quien te atiende por WhatsApp o Instagram en nombre del negocio es un agente de inteligencia artificial, no una persona. Si preguntas si eres atendido por una persona o por una IA, el agente te lo dice claramente y nunca afirma ser humano, y puede pasarte con alguien del equipo del negocio si lo prefieres. Sus respuestas las genera un modelo de lenguaje a partir de la información que el negocio ha configurado; puede equivocarse, y nada de lo que diga sustituye al criterio profesional del negocio.

4. Con quién trabajamos

Para prestar el servicio nos apoyamos en proveedores que tratan datos por cuenta nuestra. Con ellos tenemos suscritos, o en proceso de formalización, los acuerdos de encargo del tratamiento que exige el art. 28 del RGPD; si quieres saber en qué punto está el de un proveedor concreto, escríbenos y te lo decimos.

• Supabase — base de datos y cuentas de acceso.
• Vercel — alojamiento de la aplicación web.
• Contabo (Unión Europea — Francia) — el servidor propio donde corren el motor del agente (n8n), la conexión con WhatsApp (Evolution) y la memoria de trabajo (Redis). Es donde viven las conversaciones.
• OpenAI y Anthropic — los modelos de inteligencia artificial que generan el agente y sus respuestas.
• Firecrawl — lee la web pública de tu negocio cuando nos das su dirección al crear el agente, para preparar lo que el agente sabe de ti. Solo recibe esa dirección.
• Stripe — pagos y facturación.
• Resend — envío de los correos del servicio y recepción de los que llegan a la dirección de correo de entrada de cada negocio.
• Soluciones Corporativas IP, S.L. (DonDominio) — solo si registras un dominio con nosotros: es el agente registrador acreditado por la ICANN a través del cual lo registramos a tu nombre. Trata los datos del titular por cuenta nuestra (apartado 4.3).
• GoHighLevel — nuestro CRM: gestión de tu contacto y del seguimiento comercial.
• Meta Platforms — WhatsApp e Instagram, por donde circulan los mensajes; si el negocio conecta la integración oficial de WhatsApp, la plataforma de WhatsApp Business por la que se envían y reciben los mensajes de ese número, en virtud del acuerdo que el negocio acepta directamente con Meta; y el píxel de medición si aceptas las cookies (apartado 8).

Esta lista es también la que autoriza a nuestros subencargados frente a los negocios que nos contratan (Anexo de encargo, apartado A.5): un proveedor que no esté aquí no está autorizado. Si damos de alta uno nuevo, lo comunicaremos con antelación razonable.

4.1. Exportaciones que decides tú

Dos funciones del portal sacan datos de Spira por decisión tuya, y conviene que sepas lo que implican. La descarga CSV de tus contactos: a partir de ese momento el fichero es tuyo y su custodia también. Y el enlace de calendario (ICS): si lo pegas en Google Calendar, Apple Calendario u Outlook, tus citas —con el nombre y el teléfono de las personas que reservaron— pasan a estar también en los servidores de ese proveedor, con sus propias condiciones. En los dos casos actúas como responsable de esos datos. El enlace ICS es secreto y revocable: cualquiera que lo tenga puede ver tus citas, así que no lo publiques, y si se te escapa puedes generar otro desde “Calendario” — el anterior deja de funcionar al instante.

4.2. Conexión con Google Calendar (opcional, en implantación)

Si decides conectar tu Google Calendar, Spira te pedirá permiso a través de la pantalla de consentimiento de Google. Esto es lo que hacemos con ese acceso:

• Qué permiso pedimos y para qué. Solo el necesario para crear un calendario propio dentro de tu cuenta (lo verás como “Citas Spira”) y gestionar los eventos de ese calendario. Sirve para una única cosa: que las citas que reserva tu agente aparezcan también en el calendario que ya usas.
• Qué NO podemos hacer. Ese permiso no da acceso al resto de tus calendarios: no leemos tus eventos personales, ni sus invitados, ni podemos siquiera obtener la lista de calendarios que tienes. Solo vemos y tocamos lo que la propia aplicación ha creado.
• El calendario es tuyo. Google te asigna a ti su propiedad. Si dejas de usar Spira, ese calendario y su historial se quedan en tu cuenta.
• No escribimos a nadie más. Los eventos se crean sin invitados, así que Google no envía ningún correo ni notificación a tus clientes: conectar el calendario no hace que ninguno de ellos reciba nada.
• Qué guardamos. Un testigo de autorización (token) cifrado, el identificador del calendario creado y la dirección de la cuenta de Google que conectaste, para poder mostrártela. No copiamos ni almacenamos el contenido de tus eventos.
• Dónde y con quién. En nuestra base de datos (Supabase) y en el alojamiento de la app (Vercel), los mismos encargados del apartado 4. No compartimos, vendemos ni cedemos estos datos a terceros, ni los usamos para publicidad ni para entrenar modelos de inteligencia artificial.
• Cómo se revoca. Desde tu panel o desde tu cuenta de Google (Seguridad → Aplicaciones de terceros). Al revocar, borramos el token y dejamos de escribir; el calendario y sus citas se quedan contigo.
• Cuánto dura. El token se borra al desconectar, al darte de baja o al revocarlo desde Google.

El uso que Spira hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos sus requisitos de uso limitado (Limited Use).

4.3. Si registras un dominio con nosotros

• Qué datos. Los del titular, que eres tú: nombre o razón social, NIF, dirección postal, teléfono y correo electrónico, y el nombre, apellidos y correo de la persona de contacto que indiques al comprarlo. Los tomamos de la ficha de empresa de tu portal y del formulario de compra.
• Para qué y con qué base. Para registrar y renovar el dominio a tu nombre, mantenerlo y tramitar su traslado cuando lo pidas: ejecución del contrato. Que los datos sean veraces y se comuniquen al registro lo exigen además las normas de la ICANN y de cada registro.
• A quién se comunican. A DonDominio, que los trata por cuenta nuestra (apartado 4). Al registro de la extensión —por ejemplo Red.es para los .es, o el operador del .com—, que los recibe como responsable por su cuenta porque sin ellos no puede asignarte el dominio. En los dominios genéricos, la ICANN obliga además al registrador a guardar una copia de seguridad de los datos del registro con un depositario independiente, para proteger al titular si el registrador dejara de operar.
• Consulta pública. Los registros ofrecen servicios públicos de consulta de la titularidad de los dominios (el llamado Whois). Qué datos del titular se muestran lo decide la política de cada registro: por lo general se ocultan los datos personales de las personas físicas y pueden mostrarse el nombre de la organización, su provincia y su país cuando el titular es una empresa.
• Fuera del Espacio Económico Europeo. Algunos registros están establecidos en Estados Unidos (por ejemplo, el del .com y el .net). Comunicarles los datos es necesario para ejecutar el registro que tú has pedido, que es la base de esa transferencia (art. 49.1.b y c del RGPD).
• Cuánto tiempo. Mientras el dominio esté registrado a través de nosotros. Después, solo lo necesario para atender las obligaciones legales y las posibles reclamaciones derivadas del registro; puedes pedirnos su supresión en cualquier momento y la ejecutamos, salvo lo que la ley nos obligue a conservar. Lo que ya conste en el registrador y en el registro se rige por sus propias políticas.
• Si la persona de contacto no eres tú, tienes que informarle de esta comunicación de sus datos antes de indicarla.

5. Transferencias internacionales

Algunos de los proveedores del apartado 4 están establecidos fuera del Espacio Económico Europeo o pueden tratar datos allí, señaladamente en Estados Unidos: OpenAI, Anthropic, Firecrawl, Stripe, Resend, GoHighLevel, Vercel, Supabase y Meta. (Lo de los registros de dominios, que no son proveedores nuestros, está en el apartado 4.3.) Esas transferencias se amparan, según el proveedor, en una decisión de adecuación de la Comisión Europea —el marco de privacidad de datos UE-EE. UU., cuando el proveedor está certificado— o en las Cláusulas Contractuales Tipo de la Comisión, con las garantías adicionales que procedan. Si quieres saber qué mecanismo concreto ampara a un proveedor determinado, escríbenos y te lo decimos.

6. Cuánto tiempo conservamos cada cosa

• Tu cuenta y la configuración de tu agente: mientras la relación esté vigente.
• Conversaciones, contactos captados, citas y tareas —y, con la integración oficial de WhatsApp, los mensajes recibidos por ella, el permiso de cada persona y el registro de avisos enviados—: mientras tu agente esté activo. Al procesar tu baja, el servicio sigue hasta el final del periodo que ya pagaste y los eliminamos de nuestra base de datos 30 días después de que termine, junto con los recursos del agente.
• Prueba gratuita que no acaba en contratación: los datos tratados durante la prueba se suprimen 30 días después de terminar la prueba. La cuenta y la configuración del negocio se conservan, para que si vuelve no haya perdido su agente.
• Tu vídeo-testimonio: lo usamos mientras no retires tu autorización; la constancia de lo que autorizaste se conserva mientras puedan pedirnos cuentas de ese uso.
• Facturas y datos fiscales: el plazo que exige la normativa mercantil y tributaria, que llega hasta seis años.
• Datos del titular de un dominio: como se explica en el apartado 4.3.
• Huellas de correo, teléfono y número de WhatsApp de quien ya ha consumido una prueba gratuita: se conservan mientras siga siendo necesario para impedir pruebas repetidas del mismo negocio, que es la finalidad para la que existen.
• Datos de quien deja sus datos y no llega a crear un agente: los conservamos mientras siga viva la gestión comercial de ese contacto. Puedes pedirnos su supresión en cualquier momento y la ejecutamos.

Nota honesta: la memoria de trabajo que el agente usa en el servidor para seguir el hilo de cada conversación, y las copias de seguridad de nuestros proveedores, tienen sus propios ciclos técnicos. Si necesitas la supresión completa e inmediata de todo rastro, escríbenos y la ejecutamos a mano; no esperes a que caduque sola.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a acasan@spira.es. Cuando el tratamiento se base en tu consentimiento, puedes retirarlo cuando quieras, sin que ello afecte a la licitud del tratamiento anterior. Te responderemos en el plazo de un mes.

Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Cookies, píxel de Meta y medición de anuncios

8.1. Medición publicitaria (solo con tu consentimiento)

Usamos una cookie de medición publicitaria: el píxel de Meta (Meta Platforms Ireland Ltd.), que nos ayuda a saber qué anuncios funcionan y a medir conversiones. Solo se activa si la aceptas en el aviso de cookies; si la rechazas, no se instala nada. Meta puede tratar datos conforme a su política de privacidad. Respecto de esta medición, Meta Platforms Ireland Ltd. y Spira actuamos como corresponsables (art. 26 RGPD) en la recogida y transmisión de esos datos; el tratamiento posterior que Meta haga por su cuenta ya no forma parte de esa corresponsabilidad.

Como exige ese reparto, te informamos de lo esencial del acuerdo: Meta y Spira hemos suscrito el Apéndice para responsables del tratamiento de Meta para determinar nuestras respectivas responsabilidades sobre esa recogida y transmisión conjunta, que se realiza tal y como establecen las Condiciones de las herramientas para empresas de Meta. Nosotros nos encargamos de darte esta información; y Meta Ireland es la parte responsable de atender tus derechos de acceso, rectificación, supresión, limitación y portabilidad (arts. 15 a 20 RGPD) sobre los datos que conserva después. La información del art. 13.1.a y b sobre Meta, sus bases jurídicas y cómo ejercer tus derechos ante ella está en su política de privacidad. Si nos diriges a nosotros una solicitud sobre este tratamiento conjunto, se la trasladaremos a Meta.

Si aceptas, el píxel también envía a Meta tu correo, teléfono y nombre cifrados mediante un resumen criptográfico irreversible (SHA-256), junto con un identificador interno y el país, para poder reconocer la conversión aunque las cookies fallen. Meta no recibe estos datos legibles, y el cifrado lo hace tu propio navegador antes de enviarlos. Si rechazas, no se envía nada.

Puedes retirar o cambiar tu decisión en cualquier momento: pulsa aquí para configurar tus cookies, o borra las cookies y los datos de este sitio desde tu navegador.

8.2. Todo lo que guardamos en tu navegador

Esta es la lista completa, sin letra pequeña:

• spira_consent — cookie propia, 180 días. Recuerda si aceptaste o rechazaste la medición, para no volver a preguntártelo. Vale para todas nuestras direcciones bajo spira.es (por ejemplo app.spira.es y wagents.spira.es), para que tu decisión te acompañe al pasar de una a otra. Es técnica: se guarda digas lo que digas.
• spira_interno — cookie propia, 180 días. Marca los navegadores de nuestro equipo para excluirlos de la medición. Solo existe si alguien de Spira la activa.
• spira_atr — cookie propia, 90 días. Guarda de qué anuncio o campaña llegaste la primera vez, para atribuir correctamente el alta. Se escribe solo si aceptas la medición.
• _fbp y _fbc — cookies de Meta. Identifican tu navegador y el clic del anuncio. Solo si aceptas.
• spira_cookies_marketing y spira_modo_interno — en el almacenamiento local. La misma decisión y la misma marca de equipo que las dos primeras cookies; el duplicado existe porque el navegador y el servidor necesitan leerlas de sitios distintos.
• spira_wizard_v1 — en el almacenamiento local, 24 horas. Guarda lo que llevas rellenado del asistente —incluidos tu nombre, tu correo y tu teléfono— para que no lo pierdas si se te cierra la pestaña. Se borra solo pasado ese tiempo, y puedes borrarlo antes vaciando los datos del sitio en tu navegador. No sale de tu dispositivo.
• spira_ref — en el almacenamiento local. El código de recomendación con el que llegaste, para no perderlo entre pantallas.
• spira_cal_5dias — en el almacenamiento local. Si prefieres ver tu agenda en semana de 5 o de 7 días. Solo dentro del portal.

8.3. Datos de procedencia del anuncio

Cuando llegas desde un anuncio, la dirección web incluye parámetros que indican de qué campaña vienes (utm_source, utm_campaign, fbclid y similares). Si nos dejas tus datos, los guardamos junto a tu solicitud para saber qué anuncios funcionan y atribuir correctamente las altas; también se adjuntan a los registros de pago para poder medir el rendimiento de cada campaña.

Esos parámetros ya viajan en la dirección que has visitado: no hace falta leer nada de tu dispositivo para verlos, y por eso su lectura no depende del aviso de cookies. La base jurídica es nuestro interés legítimo en medir la eficacia de nuestra publicidad, y nunca incluyen información sensible. Conservarlos entre visitas sí usa una cookie (spira_atr, apartado 8.2), y esa solo se escribe si aceptas. Puedes oponerte a este tratamiento escribiendo a acasan@spira.es.