Política de privacidad

1. Quién es el responsable

2. Dos situaciones distintas

Es importante distinguir dos escenarios, porque las responsabilidades son diferentes:

a) Datos de visitantes y clientes de Pactum Sales IA

Cuando rellenas un formulario de esta web o contratas el servicio, nosotros somos el responsable del tratamiento de tus datos. Esta política explica ese tratamiento.

b) Datos que nuestros clientes gestionan con la herramienta

Cuando un cliente usa Pactum Sales IA para atender a sus contactos, es ese cliente quien decide qué datos trata y para qué: él es el responsable y nosotros actuamos como encargado del tratamiento, limitándonos a procesar los datos siguiendo sus instrucciones.

3. Qué datos tratamos

Solicitud de alta y contacto

• Nombre y apellidos
• Dirección de correo electrónico
• Número de teléfono / WhatsApp
• Nombre de la empresa o proyecto (opcional)

Cuenta de cliente

• Correo electrónico y contraseña (almacenada cifrada mediante scrypt, nunca en claro)
• Fecha de alta y de último acceso
• Plan contratado y consumo de créditos
• Registro de acciones relevantes sobre la cuenta (auditoría), con dirección IP

Datos técnicos de seguridad

• Dirección IP e intentos de inicio de sesión, para limitar ataques de fuerza bruta
• Cookie técnica de sesión (ver Política de Cookies)

Datos tratados por cuenta de nuestros clientes (encargo)

Al usar la herramienta, nuestros clientes tratan datos de sus propios contactos que quedan alojados en nuestros sistemas:

• Número de teléfono y nombre de perfil del contacto
• Contenido íntegro de los mensajes intercambiados
• Transcripción de las notas de voz recibidas
• Resúmenes de la conversación generados automáticamente
• Estado comercial, etiquetas y notas que el cliente asigne

No solicitamos ni tratamos deliberadamente categorías especiales de datos (salud, ideología, religión, orientación sexual, datos biométricos). Nuestros clientes se comprometen contractualmente a no usar la herramienta para tratarlas.

4. Para qué y con qué base legal

5. Tratamiento por inteligencia artificial

Debes conocer esto con claridad porque es el núcleo del servicio:

• El contenido de las conversaciones se envía a proveedores de modelos de inteligencia artificial para generar las respuestas. En concreto a Anthropic (modelos Claude) y, para transcribir audios y generar índices de búsqueda, a OpenAI.
• Estos proveedores actúan como subencargados y, conforme a sus condiciones para clientes de API, no utilizan los datos enviados para entrenar sus modelos.
• Las respuestas se generan automáticamente. No se toman decisiones automatizadas con efectos jurídicos sobre las personas en el sentido del art. 22 RGPD: la herramienta conversa y organiza información comercial, pero no concede ni deniega derechos, ni elabora perfiles con consecuencias significativas.
• Nuestros clientes pueden intervenir en cualquier momento en una conversación y desactivar la respuesta automática.

6. Con quién se comparten

No vendemos ni cedemos datos personales. Se comunican únicamente a los proveedores necesarios para prestar el servicio, todos ellos vinculados por contrato de encargo:

También podrán comunicarse datos a Administraciones Públicas, Fuerzas y Cuerpos de Seguridad o Juzgados cuando exista obligación legal.

7. Transferencias internacionales

Algunos de los proveedores anteriores están ubicados en Estados Unidos, lo que supone una transferencia internacional de datos fuera del Espacio Económico Europeo.

Estas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y, cuando resulta aplicable, en la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU., complementadas con las medidas técnicas descritas en el apartado de seguridad.

Puedes solicitarnos copia de las garantías aplicadas escribiendo a privacidad@pactumsales.com.

8. Cuánto se conservan

Los plazos concretos figuran en la tabla del apartado 4. Con carácter general:

• Mientras dure la relación contractual, conservamos los datos necesarios para prestar el servicio.
• Al finalizar el contrato, los datos de la cuenta y las conversaciones se eliminan o anonimizan en un plazo máximo de 60 días, salvo que exista obligación legal de conservarlos.
• Los datos de facturación se conservan bloqueados 6 años por obligación mercantil y fiscal.
• Los registros de seguridad (IP, intentos de acceso) se conservan 12 meses.

Antes de la eliminación puedes solicitar una exportación de tus datos en formato estructurado.

9. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar que se eliminen cuando ya no sean necesarios.
• Oposición: oponerte a tratamientos basados en interés legítimo.
• Limitación: pedir que se suspenda el tratamiento mientras se resuelve una reclamación.
• Portabilidad: recibir tus datos en formato estructurado y de uso común.
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Para ejercerlos, escribe a privacidad@pactumsales.com indicando el derecho que deseas ejercer y adjuntando copia de un documento identificativo. Responderemos en el plazo máximo de un mes.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.

10. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre ellas:

• Cifrado en tránsito mediante HTTPS/TLS en todas las comunicaciones.
• Contraseñas cifradas con scrypt y sal aleatoria por usuario; nunca se almacenan en claro ni son recuperables.
• Aislamiento estricto entre clientes: cada cuenta accede exclusivamente a sus propios datos, verificado mediante pruebas automatizadas que se ejecutan ante cada cambio del sistema.
• Limitación de intentos de acceso para prevenir ataques de fuerza bruta.
• Cookies de sesión con atributos HttpOnly, Secure y SameSite.
• Registro de auditoría de las acciones sensibles sobre las cuentas.
• Copias de seguridad periódicas de la base de datos.

En caso de violación de seguridad que suponga un riesgo para tus derechos, lo notificaremos a la autoridad de control en 72 horas y a los afectados cuando el riesgo sea alto, conforme a los artículos 33 y 34 del RGPD.

11. Menores de edad

Este servicio está dirigido exclusivamente a profesionales y empresas. No va destinado a menores de edad y no recabamos conscientemente sus datos. Si detectamos que hemos tratado datos de un menor sin base legítima, los eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios legales o del servicio. La fecha de la última actualización figura al principio. Si los cambios son sustanciales, avisaremos a los clientes por correo electrónico con antelación razonable.