Aviso legal y Política de privacidad

Última actualización: 23 de octubre de 2026

Esta página contiene el aviso legal de los sitios web de Xerinolia (xerinolia.com y core.xerinolia.com) y su política de privacidad. Explica qué datos personales tratamos, para qué, con qué base legal, durante cuánto tiempo y con quién los compartimos, cómo tratamos los datos que recibimos de WhatsApp y de Meta, y cómo puedes ejercer tus derechos, incluido el de solicitar que eliminemos tus datos. Primero encontrarás un resumen y, a continuación, la información completa.

1. Resumen

Información básica sobre protección de datos (primera capa). Cada punto se desarrolla en los apartados siguientes.

2. Aviso legal

En cumplimiento del artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), se informa de que el titular de los sitios web xerinolia.com y core.xerinolia.com es:

La actividad de Xerinolia no está sujeta a ningún régimen de autorización administrativa previa. Xerinolia no está adherida a ningún código de conducta.

El acceso a estos sitios web y su uso atribuyen la condición de usuario e implican la aceptación de este aviso legal. El titular se reserva el derecho a modificar los contenidos de los sitios sin previo aviso.

Qué es core.xerinolia.com

Es la plataforma tecnológica de Xerinolia (Xerinolia Core), con la que configuramos y gestionamos asistentes de IA para nuestros clientes. Incluye:

• la consola de gestión, de acceso restringido al personal autorizado de Xerinolia;
• las páginas de demostración, donde mostramos a un negocio cómo funcionaría su asistente;
• los enlaces de un solo uso que enviamos a nuestros clientes para que acepten el contrato, conecten su número de WhatsApp o conecten un calendario u otra herramienta;
• los servicios técnicos de los asistentes de los clientes: el programa del chat que los negocios incorporan a sus webs y los puntos de conexión que utilizan WhatsApp, el teléfono y otros servicios.

Si hablas con el asistente de un negocio (por su WhatsApp, por el chat de su web o por su teléfono), el prestador de ese servicio y el responsable de tus datos es el negocio. Xerinolia actúa solo como proveedor tecnológico por cuenta suya. El uso de la plataforma y de las páginas públicas se rige por las Condiciones del servicio.

Uso de los sitios web

No puedes utilizar estos sitios web con fines ilícitos, introducir en ellos software malicioso, sobrecargarlos, extraer sus contenidos de forma automatizada ni realizar en ellos pruebas de carga o de intrusión sin autorización escrita de Xerinolia. Solo pueden acceder a la consola las personas a quienes Xerinolia ha dado credenciales.

Propiedad intelectual

Todos los contenidos de estos sitios (textos, imágenes, logotipos, diseño y código) y el software de Xerinolia Core son titularidad de Albert Farré Puche o se publican con autorización de sus titulares. No se permite su reproducción, distribución o transformación sin autorización expresa, salvo los usos que permita la ley.

Los nombres, logotipos y contenidos de los negocios que aparecen en las demostraciones pertenecen a sus titulares, y Xerinolia los utiliza solo para mostrar al negocio una demostración personalizada. Si eres su titular y quieres que retiremos una demostración, escribe a hola@xerinolia.com y la retiraremos en un plazo máximo de 48 horas.

Algunos datos geográficos proceden de OpenStreetMap: © colaboradores de OpenStreetMap, disponibles con la licencia Open Database License (ODbL).

Responsabilidad

El titular no se hace responsable del uso indebido de los contenidos de los sitios ni de los contenidos de sitios de terceros accesibles mediante enlaces (por ejemplo, Instagram o WhatsApp). Las respuestas que genera la inteligencia artificial en las demostraciones pueden ser incompletas o inexactas y no constituyen ninguna oferta, presupuesto ni asesoramiento de Xerinolia ni del negocio al que se refieren.

Rastreador XerinoliaCoreBot

Xerinolia utiliza un rastreador automático que se identifica con el agente de usuario XerinoliaCoreBot. Visita páginas públicas de webs de negocios para preparar la demostración o la base de conocimiento del asistente de un negocio (como máximo 15 páginas de cada web) y para hacer un análisis técnico básico de la web con fines de prospección comercial (apartado 6.3). Respeta las instrucciones del archivo robots.txt, no inicia sesión y no rellena formularios. Para impedir sus visitas, añade al robots.txt de tu web las líneas User-agent: XerinoliaCoreBot y Disallow: /.

Punto de contacto

Para cualquier consulta, aviso de contenidos presuntamente ilícitos o comunicación de autoridades: hola@xerinolia.com, en catalán, castellano o inglés.

3. Responsable del tratamiento

El responsable del tratamiento de los datos descritos en esta política es Albert Farré Puche, empresario individual que opera con el nombre comercial Xerinolia, con NIF 78086337A y domicilio en la Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida).

Para cualquier cuestión sobre tus datos, escribe a hola@xerinolia.com con la referencia «Protección de datos», o por correo postal a la dirección anterior.

Xerinolia no ha designado ningún delegado de protección de datos. La dirección anterior es el canal de contacto para todas las cuestiones de privacidad.

Esta política se aplica de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

4. Cuándo somos responsables y cuándo tratamos datos por cuenta de un negocio

Xerinolia tiene dos papeles distintos, según de qué datos se trate:

Como responsable (datos propios)

Decidimos para qué y cómo se utilizan estos datos:

• personas que visitan xerinolia.com o que nos escriben por el formulario de contacto, por correo o por WhatsApp (apartado 5);
• representantes y personas de contacto de los negocios clientes: contrato, facturación, evidencias de aceptación, alta de WhatsApp y conexión de calendarios (apartado 6.1);
• usuarios de la consola de la plataforma (apartado 6.2);
• negocios a los que dirigimos nuestra prospección comercial (apartado 6.3);
• negocios para los que preparamos una demostración, personas que aparecen en su web pública y personas que prueban una demostración (apartado 6.4);
• registros de seguridad de la consola, de las páginas de demostración y de los enlaces de un solo uso (apartado 6.5);
• el registro de las solicitudes de ejercicio de derechos (apartado 6.6).

Como encargado del tratamiento (por cuenta de los negocios clientes)

Cuando una persona escribe o llama a un negocio que utiliza los asistentes de Xerinolia, el negocio es el responsable de sus datos: decide para qué se utilizan y cuánto tiempo se conservan. Xerinolia los trata solo siguiendo las instrucciones documentadas del negocio, de acuerdo con un contrato de encargo del tratamiento (artículo 28 del RGPD), y no los utiliza para fines propios. Esto incluye las conversaciones de WhatsApp, del chat web y del teléfono, los contactos, los leads y las reservas, las evidencias de consentimiento, los informes y avisos para el negocio y los registros técnicos del tráfico de los asistentes (apartado 7).

En estos casos, la información principal sobre el tratamiento se encuentra en la política de privacidad del negocio. Si nos escribes a nosotros sobre estos datos, trasladaremos tu solicitud al negocio en un plazo máximo de 1 día hábil y te lo comunicaremos.

Responsables independientes

Algunos proveedores tratan datos también para fines propios, como responsables independientes y de acuerdo con sus políticas: Meta y WhatsApp (para sus propios fines y para el inicio de sesión con Facebook), Twilio (datos de tráfico como operador de telecomunicaciones) y Google, Microsoft y Cal.com (en sus páginas de inicio de sesión).

5. Web xerinolia.com y formulario de contacto

Qué datos recogemos y para qué

Los datos que nos facilitas voluntariamente a través del formulario de contacto o cuando nos escribes por correo electrónico o WhatsApp:

No elaboramos perfiles, no tomamos decisiones automatizadas con estos datos y no los utilizamos para enviarte publicidad no solicitada.

Los datos del formulario marcados como obligatorios son necesarios para responderte; si no los facilitas, no podremos atender tu solicitud.

Datos que se recogen automáticamente. Como en cualquier sitio web, cuando visitas xerinolia.com el servidor (OVHcloud) y la red de Cloudflare tratan automáticamente la dirección IP, la fecha y la hora, la página solicitada y el navegador, para servir las páginas y proteger el sitio frente a abusos y ataques (interés legítimo, art. 6.1.f RGPD). Estos registros técnicos se conservan durante un tiempo limitado y no los utilizamos para analítica ni para publicidad.

Cuánto tiempo los conservamos

Los datos de contacto se conservan el tiempo necesario para gestionar tu solicitud y, como máximo, durante 2 años desde el último contacto, salvo que exista una relación contractual posterior (en tal caso, se aplica el apartado 6.1) o una obligación legal de conservación.

A quién se comunican

No vendemos ni cedemos estos datos a terceros. En el funcionamiento técnico de la web intervienen los siguientes proveedores (encargados del tratamiento):

• OVHcloud (alojamiento web, servidores en la UE).
• Cloudflare, Inc. (DNS, seguridad y enrutamiento de correo). Puede tratar direcciones IP para ofrecer el servicio.
• Resend / Amazon Web Services EMEA (envío de los correos del formulario, región UE).
• Google Fonts (tipografías servidas por Google; al cargarlas, tu navegador comunica tu dirección IP a Google).

Algunos de estos proveedores tienen su matriz fuera del Espacio Económico Europeo; en esos casos el tratamiento queda amparado por las Cláusulas Contractuales Tipo de la Comisión Europea o por el Marco de privacidad de datos UE-EE. UU. (apartado 10).

6. Plataforma Xerinolia Core: datos que tratamos como responsables

6.1 Clientes: representantes y personas de contacto

• Quién: personas que representan a un negocio cliente o en proceso de contratación, o que son su contacto (titular, gerente, persona que acepta el contrato, persona que conecta WhatsApp o un calendario, personas que reciben los avisos).
• Datos: nombre, teléfono y correo de la persona titular o de contacto; correos que recibirán los avisos, los informes y las alertas de seguridad; nombre comercial, razón social, NIF y dirección del negocio (que también son datos personales si el cliente es un empresario individual); comunicaciones y datos de facturación.
  • Al aceptar el contrato y el contrato de encargo del tratamiento: el nombre de quien acepta y el NIF del negocio, la fecha y la hora, la dirección IP, el navegador, el resumen criptográfico (hash) y una copia íntegra del documento aceptado y de la lista de subencargados.
  • Al conectar WhatsApp: un registro del alta con la fecha, la dirección IP y los identificadores de la cuenta de WhatsApp Business y del número (detalle en el apartado 8).
  • Al conectar un calendario u otra herramienta: la autorización de acceso (guardada cifrada) y el identificador de la cuenta conectada; en el caso de Microsoft, el nombre y el correo de la cuenta.
• Origen: la propia persona o el negocio al que representa.
• Finalidades: preparar, formalizar y ejecutar el contrato; prestar el servicio, el soporte y los avisos; facturar y cumplir las obligaciones contables y fiscales; acreditar la contratación y defendernos de posibles reclamaciones.
• Base jurídica: ejecución del contrato o de medidas precontractuales (art. 6.1.b RGPD); cumplimiento de obligaciones legales (art. 6.1.c RGPD); interés legítimo en mantener la relación con las personas de contacto de la empresa cliente y en conservar la prueba de la contratación (art. 6.1.f RGPD y art. 19 LOPDGDD).
• Conservación: mientras dure el contrato. Después, bloqueados durante los plazos legales: la documentación contable y las facturas, 6 años; las evidencias de la aceptación del contrato y del contrato de encargo, mientras sean necesarias para acreditar la contratación o defendernos de reclamaciones, dentro de los plazos de prescripción de las acciones. Cuando se suprimen los datos de un cliente, conservamos un registro mínimo (nombre, razón social, NIF, sector, modalidad y fechas).
• Destinatarios: los proveedores de alojamiento del apartado 10; los asesores contables y las entidades bancarias que nos prestan servicios; la Agencia Tributaria y otras autoridades, cuando la ley lo exija. Cuando conectas WhatsApp, inicias sesión directamente en Meta; cuando conectas un calendario, en Google, Microsoft o Cal.com: cada uno trata los datos del inicio de sesión como responsable, de acuerdo con su política.
• Obligatoriedad: los datos de identificación, de contacto, de facturación y de aceptación son necesarios para formalizar y prestar el servicio; si no nos los facilitas, no podremos contratarlo.

6.2 Usuarios de la consola

• Quién: personal de Xerinolia y colaboradores comerciales con cuenta en la consola.
• Datos: nombre, correo y rol; contraseña (guardada solo en forma de resumen criptográfico, nunca en claro); secreto del doble factor (cifrado); fecha y dirección IP del último acceso; sesiones (dirección IP y navegador); suscripciones a notificaciones del navegador, si las activas; registro de auditoría de las acciones realizadas (qué, cuándo y desde qué IP); clientes y negocios potenciales asignados y actividades anotadas.
• Finalidades: dar acceso y gestionar la cuenta; proteger la plataforma (autenticación, doble factor, detección de accesos anómalos); dejar constancia de quién ha accedido a datos y qué ha hecho con ellos.
• Base jurídica: la relación laboral, mercantil o de colaboración (art. 6.1.b RGPD); el interés legítimo en la seguridad de la red y de la información y el deber de seguridad (arts. 6.1.f y 32 RGPD).
• Conservación: las sesiones caducan como máximo a los 14 días, y antes si pasan 12 horas (administradores) o 24 horas (comerciales) sin actividad; el registro de auditoría, 2 años; la cuenta, mientras dure la relación y, después, el tiempo necesario para mantener la integridad del registro de auditoría.
• Acceso limitado: los usuarios con funciones comerciales solo ven los clientes en modo de demostración, no las conversaciones de los clientes en servicio.

6.3 Prospección comercial dirigida a negocios

• Quién: empresas, empresarios individuales y profesionales que podrían estar interesados en los servicios de Xerinolia. Los datos de una sociedad no son datos personales; sí lo son los de un empresario individual o un profesional.
• Datos: nombre comercial o denominación, sector, dirección, web, teléfonos y correos de contacto profesionales publicados (como máximo cinco teléfonos y tres correos), señales técnicas de la web (por ejemplo, si utiliza HTTPS o se adapta al móvil), una puntuación de oportunidad de 0 a 100, notas y actividades de nuestro equipo, la persona de Xerinolia asignada y el registro de cuándo te hemos informado y de las consultas a sistemas de exclusión publicitaria.
• Datos que no tratamos: no guardamos el NIF de empresarios individuales; del Boletín Oficial del Registro Mercantil (BORME) solo utilizamos datos de sociedades y no guardamos nombres de administradores ni de socios; de Google Maps solo conservamos el identificador del lugar (place_id), y el resto de datos que recibimos de este servicio se muestran a nuestro equipo durante una hora como máximo y no se guardan.
• Origen: fuentes accesibles al público (OpenStreetMap, el BORME, Google Maps Platform y la web pública del negocio, analizada por nuestro rastreador); datos que nos facilitas tú mismo; y listas que nuestro equipo incorpora manualmente. En el primer contacto te indicaremos la fuente concreta de tus datos.
• Cómo te contactaremos: presencialmente o por teléfono, siempre a través de una persona. No te enviaremos correos electrónicos, SMS ni mensajes de WhatsApp comerciales si no nos lo has pedido, y no hacemos llamadas automatizadas. Si eres un empresario individual o un profesional, solo te llamaremos después de consultar la Lista Robinson; en caso contrario, el contacto será presencial.
• Finalidades: identificar negocios que podrían beneficiarse de nuestros servicios, contactarlos para presentarles los servicios, prepararles una demostración si están interesados y hacer su seguimiento.
• Base jurídica: el interés legítimo de Xerinolia en dar a conocer sus servicios a otras empresas (art. 6.1.f RGPD y art. 19 LOPDGDD). Hemos ponderado este interés con tus derechos: los datos son profesionales y públicos, hacemos de ellos un uso mínimo, te contactamos por medios poco intrusivos y puedes oponerte en cualquier momento.
• Información: te informamos de este tratamiento en el primer contacto y, en todo caso, dentro del mes siguiente a la incorporación de tus datos. Si en ese plazo no te hemos informado, suprimimos tus datos.
• Derecho de oposición: puedes oponerte a la prospección en cualquier momento, sin necesidad de justificarlo, diciéndoselo a la persona que te contacta o escribiendo a hola@xerinolia.com. Dejaremos de tratar tus datos para esta finalidad y, para no volver a incorporarte en búsquedas futuras, solo conservaremos un resumen criptográfico (hash) en una lista de exclusión interna.
• Conservación: si no te hemos informado, se suprimen dentro de los 30 días; si no hay actividad, 12 meses; si descartas nuestros servicios, 90 días; los resultados de cada búsqueda, 3 días; la lista de exclusión, mientras Xerinolia realice prospección comercial. Si contratas, se aplica el apartado 6.1.
• Destinatarios: solo los proveedores de alojamiento. No cedemos estos datos a nadie.

6.4 Demostraciones

a) Negocios para los que preparamos una demostración y personas que aparecen en su web.

• Datos: nombre del negocio, logotipo, horarios, datos de contacto, servicios y precios publicados y el texto de las páginas públicas de su web (como máximo quince).
• Origen: la web pública del negocio y, si nos ha pedido la demostración, el propio negocio.
• Finalidad: preparar una demostración personalizada para que el negocio vea cómo funcionaría su asistente. El texto de la web se envía al proveedor de IA para que proponga preguntas frecuentes a partir de él.
• Base jurídica: el interés legítimo en demostrar el servicio (art. 6.1.f RGPD) o, si el negocio nos ha pedido la demostración, la aplicación de medidas precontractuales (art. 6.1.b RGPD).
• Conservación: el texto extraído de la web, 7 días; la ficha del negocio, mientras la demostración sea necesaria. Retiramos la demostración en un plazo máximo de 48 horas si el negocio nos lo pide.
• Resultados: al negocio solo le explicamos, de forma general, cómo ha funcionado la demostración. Nunca le entregamos las conversaciones ni los datos de las personas que la han probado.

b) Personas que prueban una demostración. Una demostración se puede probar en el chat de la página de demostración, escribiendo al número de WhatsApp de demostración de Xerinolia o con la prueba de voz del navegador. En estos casos, Xerinolia es la responsable de los datos. Las demostraciones están reservadas a personas mayores de edad y te recomendamos que utilices datos inventados y que no introduzcas datos de salud, bancarios o de identidad, contraseñas ni datos de otras personas.

• Datos:
  • Chat: los mensajes; un identificador aleatorio del navegador, que en nuestro servidor solo se guarda en forma de resumen criptográfico; la página desde la que escribes; y un resumen criptográfico de la dirección IP para limitar el uso.
  • WhatsApp: el número o el identificador de WhatsApp, el nombre del perfil y los mensajes. Si escribes sin un código de demostración válido, no guardamos el mensaje en la plataforma: solo pasa por una memoria temporal de enrutamiento que caduca automáticamente. Mientras la línea de demostración está en funcionamiento, se conservan los datos técnicos que el servicio de WhatsApp necesita para cifrar y entregar los mensajes con cada número.
  • Prueba de voz: la voz se procesa en tiempo real para convertirla en texto y responderte; guardamos la transcripción, un resumen y un resumen criptográfico de la dirección IP. No grabamos el audio.
  • En todos los casos: el resumen de la conversación y una puntuación del interés mostrado, generados por la IA, y cualquier dato que facilites voluntariamente.
• Finalidades: que puedas probar el asistente; que nuestro equipo valore cómo ha funcionado la demostración; y evitar abusos.
• Base jurídica: el interés legítimo de Xerinolia en mostrar su servicio, valorar su funcionamiento y protegerlo (art. 6.1.f RGPD); para la persona que nos ha pedido la demostración, la aplicación de medidas precontractuales (art. 6.1.b RGPD). Puedes oponerte a este tratamiento, también a la puntuación.
• Conservación: las conversaciones de demostración se conservan como máximo 90 días desde cada mensaje y los datos de la demostración se suprimen cuando deja de ser necesaria.
• Destinatarios: los proveedores de IA que generan las respuestas, los resúmenes y las puntuaciones; ElevenLabs y Google, para la prueba de voz; y WhatsApp, que presta el servicio de mensajería como responsable de acuerdo con su propia política (apartado 10).
• Garantías: el asistente se identifica como inteligencia artificial desde el primer mensaje. En una demostración no te atiende nadie del negocio: si quieres hablar con una persona de Xerinolia, escribe a hola@xerinolia.com.

6.5 Seguridad y datos que se recogen automáticamente

• Quién: personas que acceden a la consola, a las páginas de demostración y a los enlaces de un solo uso de core.xerinolia.com.
• Datos: en los registros del servidor web, la dirección IP, la fecha y la hora, la página solicitada, el código de respuesta y el navegador; en los registros de la aplicación, datos técnicos de funcionamiento; resúmenes criptográficos de la dirección IP para limitar el número de peticiones; alertas de seguridad.
• Finalidad: garantizar la seguridad de la plataforma, prevenir abusos y ataques y diagnosticar errores.
• Base jurídica: el interés legítimo en la seguridad de la red y de la información (art. 6.1.f y considerando 49 RGPD) y el deber de seguridad (art. 32 RGPD).
• Conservación: los registros del servidor y de la aplicación se conservan durante un tiempo limitado y se renuevan periódicamente; las alertas resueltas se suprimen a los 180 días; el registro de auditoría, 2 años.

Los registros técnicos de las peticiones que se hacen a los asistentes de los negocios clientes (chat web, WhatsApp y teléfono) los tratamos por cuenta de cada negocio (apartado 7).

6.6 Solicitudes de ejercicio de derechos

Cuando ejerces un derecho, guardamos la solicitud, la respuesta y las fechas, con los datos mínimos para identificarla, para poder acreditar que la hemos atendido (art. 6.1.c RGPD). Conservamos este registro 3 años.

7. Datos que tratamos por cuenta de los negocios clientes

Este apartado describe, por transparencia, los datos que tratamos como encargados cuando una persona habla con el asistente de un negocio cliente. El responsable es el negocio, que fija las finalidades y los plazos, y debe informarte mediante su propia política de privacidad. Los tratamos solo para prestar el servicio al negocio, de acuerdo con el contrato de encargo del tratamiento, y no los utilizamos para fines propios.

Qué datos

• WhatsApp: el número de teléfono o identificador de WhatsApp, el identificador de usuario que WhatsApp asigna para cada empresa, el nombre y el nombre de usuario del perfil; el contenido de los mensajes (texto, pies de foto, nombres de archivos, ubicaciones compartidas, contactos compartidos y respuestas de botones); el estado de entrega de los mensajes; y los mensajes que el negocio envía desde la app WhatsApp Business. Si el negocio utiliza a la vez la app y el asistente (coexistencia), también el historial de conversaciones reciente, hasta el plazo de conservación que tenga fijado, y los nombres de su agenda de contactos, que solo sirven para actualizar el nombre de contactos que ya nos constan.
• Notas de voz e imágenes: no guardamos los archivos de audio, imagen o vídeo. Si el negocio activa la transcripción de notas de voz o la descripción de imágenes (desactivadas por defecto), el archivo se procesa solo en memoria y guardamos cifradas la transcripción o la descripción.
• Chat web: los mensajes; un identificador aleatorio del visitante, que en el servidor solo se guarda en forma de resumen criptográfico; la página desde la que se escribe (sin parámetros); y un resumen criptográfico de la dirección IP para limitar abusos. La sesión de chat dura 6 horas.
• Teléfono: el número que llama, la transcripción, el resumen y la duración de la llamada. Por defecto no se graba el audio; si el negocio activa la grabación, la locución inicial lo avisa. Cada llamada atendida genera un registro de contacto para el negocio, salvo que la persona diga que es menor de edad.
• Datos derivados: un resumen de la conversación, la intención, una puntuación de 0 a 100 de la probabilidad de que la persona se convierta en cliente del negocio (con el motivo), los registros de contacto (leads) y de reservas, y las evidencias de consentimiento (por ejemplo, para recibir recordatorios de citas).
• Registros técnicos del tráfico de los asistentes.

Para qué

Responder a las consultas, derivar la conversación a una persona del negocio cuando es necesario, gestionar citas, enviar recordatorios de citas a quien lo ha consentido, y enviar al negocio avisos e informes sobre la actividad de su asistente.

Cuánto tiempo

• Conversaciones: el plazo que fija el negocio; por defecto, 90 días. Una tarea diaria suprime las que lo han superado.
• El contenido de las conversaciones copiado a los leads y a las reservas se suprime en el mismo plazo.
• Datos de contacto de los leads y de las reservas: mientras el negocio los necesite, hasta que solicite su supresión o hasta que finalice el contrato.
• Conversaciones de prueba del negocio: 7 días.
• Conversaciones telefónicas en el proveedor de voz: el mismo plazo que el negocio ha fijado para las conversaciones.
• Evidencias de consentimiento (por ejemplo, para recibir recordatorios de citas): mientras dure el tratamiento y hasta 3 años después, para poder acreditarlo.
• Al finalizar el contrato, suprimimos todos los datos que tratamos por cuenta del negocio como máximo en 45 días (tras un periodo de 30 días durante el cual el negocio puede pedir una copia), salvo los que la ley nos obligue a conservar (Condiciones del servicio, apartado 14).

Cómo ejercer los derechos

Dirígete directamente al negocio. Si nos escribes a nosotros (hola@xerinolia.com), trasladaremos la solicitud al negocio en un plazo máximo de 1 día hábil y la ejecutaremos cuando el negocio nos lo indique. Más información en Cómo solicitar la eliminación de tus datos.

8. Datos de WhatsApp y de Meta

Este apartado explica cómo tratamos los datos que obtenemos de Meta a través de la WhatsApp Business Platform (API en la nube de WhatsApp), del alta integrada de Meta (Embedded Signup) y del inicio de sesión con Facebook para empresas. En esta política los denominamos «Datos de la plataforma».

8.1 Cómo funciona

• Xerinolia actúa como proveedor tecnológico (Tech Provider) de la WhatsApp Business Platform: el negocio cliente conecta su número a nuestra aplicación de Meta para que el asistente pueda recibir y responder mensajes.
• El alta la realiza una persona autorizada del negocio en una ventana de Meta, donde inicia sesión, elige o crea la cuenta de WhatsApp Business (WABA) y el número, acepta las condiciones de Meta y de WhatsApp y concede a la aplicación de Xerinolia los permisos whatsapp_business_management y whatsapp_business_messaging.
• El negocio sigue siendo el titular de su cuenta de WhatsApp Business y de su número, y conserva el acceso completo a ellos desde el WhatsApp Manager de Meta. Puede retirar el acceso de Xerinolia en cualquier momento (instrucciones).
• Tratamos los Datos de la plataforma solo por cuenta del negocio cliente y siguiendo sus instrucciones, como encargados del tratamiento, y mantenemos separados los datos de cada cliente.

8.2 Qué Datos de la plataforma recibimos

En el alta del negocio:

• un código de un solo uso, que Meta entrega a la página de alta y que canjeamos inmediatamente por una autorización de acceso a la cuenta de WhatsApp Business del negocio; el código no se guarda ni se registra;
• la autorización de acceso (token) y, si Meta la facilita, su fecha de caducidad;
• los identificadores de la cuenta de WhatsApp Business, del número y del portfolio empresarial; el número en formato internacional; el nombre verificado; el indicador de calidad del número; si el número utiliza también la app WhatsApp Business (coexistencia) y el tipo de plataforma;
• los datos técnicos del alta y, por seguridad, la fecha y la dirección IP desde la que se realiza;
• si el número se registra solo en la API, un PIN de verificación en dos pasos de 6 cifras que genera Xerinolia y que se guarda cifrado; si el número utiliza la coexistencia, solicitamos a Meta la sincronización única de los contactos y del historial de la app.

No pedimos ni guardamos datos del perfil personal de Facebook de la persona que realiza el alta (como la foto, los amigos o las publicaciones).

Mientras se presta el servicio, Meta nos envía notificaciones (webhooks) sobre:

• los mensajes que el negocio recibe de sus clientes finales y el estado de entrega de los mensajes enviados (datos descritos en el apartado 7);
• los mensajes que el negocio envía desde la app WhatsApp Business y, en coexistencia, el historial y el estado de los contactos;
• cambios de la cuenta, la calidad y el límite de mensajería del número, y el estado de las plantillas de mensaje.

Guardamos, vinculados al canal del negocio: los identificadores, el número, el nombre visible, el indicador de calidad y el límite de mensajería; la autorización de acceso y el PIN, cifrados; los últimos eventos de la cuenta y el estado de las plantillas; y contadores de la sincronización.

Consultas que hacemos a Meta: comprobar el estado del número cada 15 minutos; enviar las respuestas del asistente dentro de la ventana de 24 horas desde el último mensaje del cliente final; enviar plantillas de recordatorio de citas solo a quien ha dado su consentimiento explícito; descargar archivos multimedia de Meta solo cuando el negocio ha activado la transcripción o la descripción; y, cuando se desconecta un canal, dar de baja la suscripción de la aplicación a la cuenta.

8.3 Para qué los utilizamos

Solo para prestar al negocio el servicio de su asistente: responder a los mensajes, encaminarlos, derivar la conversación a una persona del negocio, avisar al negocio y al equipo de Xerinolia de incidencias del canal, mantener la conexión del número y enviar recordatorios a quien lo ha consentido. La plataforma no tiene ninguna función de envíos masivos y bloquea los mensajes promocionales que no cuenten con un consentimiento registrado.

8.4 Cómo los protegemos

• La autorización de acceso y el PIN se cifran con AES-256-GCM y una clave propia de cada cliente, y el cifrado queda vinculado al cliente y a la finalidad. Solo se descifran en el momento de hacer una llamada a Meta y no aparecen nunca en los registros, en las colas de trabajo ni en las respuestas de la plataforma.
• Comprobamos la firma de cada notificación de Meta y generamos una alerta si recibimos varias no válidas en poco tiempo.
• Los datos de cada cliente se mantienen separados lógicamente y el acceso de nuestro personal está limitado por roles (apartado 15).

8.5 Con quién los compartimos

Los Datos de la plataforma solo se comunican:

• al negocio cliente al que pertenecen;
• a los proveedores que los tratan por cuenta nuestra para prestar el servicio (alojamiento y copias de seguridad, modelos de IA que generan las respuestas y, si el negocio la activa, transcripción de notas de voz), que se han comprometido por escrito a cumplir obligaciones de confidencialidad y de protección de datos (apartado 10); y
• a las autoridades, cuando la ley nos obligue a ello.

No vendemos, no licenciamos ni compramos Datos de la plataforma, y no los utilizamos para publicidad, para crear o ampliar perfiles de las personas (la única valoración que hacemos es la puntuación del contacto que el asistente calcula para el negocio a partir del contenido de la propia conversación, apartado 12), para tomar decisiones sobre su elegibilidad (por ejemplo, para créditos, vivienda, empleo o seguros), para discriminar ni para realizar ningún tipo de vigilancia.

8.6 Meta y WhatsApp

Meta y WhatsApp tratan los datos del servicio de mensajería por cuenta del negocio y también como responsables independientes para sus propios fines, de acuerdo con sus condiciones y su política de privacidad. WhatsApp puede tratar y transferir datos a Estados Unidos y a otros países. El almacenamiento local en la UE de la API de WhatsApp no está activado. Para conocer cómo trata Meta los datos, consulta la Política de privacidad de WhatsApp y la Política de privacidad de Meta.

8.7 Conservación y supresión

• Las conversaciones y los contactos siguen el plazo que fija el negocio (apartado 7).
• Si el negocio retira el acceso de nuestra aplicación desde Meta, recibimos el aviso, marcamos el canal como desconectado y dejamos de utilizar la autorización de acceso. Suprimimos la autorización de acceso cuando el negocio nos lo pide y, a más tardar, cuando finaliza el contrato, momento en que también damos de baja la suscripción de la aplicación a la cuenta.
• Suprimimos los Datos de la plataforma cuando lo pide la persona afectada o el negocio, cuando el negocio deja de ser cliente, cuando ya no son necesarios para la finalidad para la que los obtuvimos, cuando dejamos de prestar el servicio o cuando Meta nos lo pide, salvo que la ley nos obligue a conservar una parte.
• Cómo hacerlo: Cómo solicitar la eliminación de tus datos.

8.8 Cumplimiento de las condiciones de Meta y de WhatsApp

Tratamos los Datos de la plataforma solo tal como se describe en esta política y de acuerdo con las Condiciones de la plataforma de Meta, las Políticas para desarrolladores, las condiciones de Meta y de WhatsApp para la WhatsApp Business Platform y la Política de mensajería de WhatsApp Business. Exigimos por contrato a nuestros clientes que también las cumplan (Condiciones del servicio). Si Meta nos lo pide, suprimimos Datos de la plataforma o suspendemos el servicio de un cliente.

8.9 Página de alta de WhatsApp

La página de alta de WhatsApp (un enlace de un solo uso de core.xerinolia.com) carga el kit de desarrollo (SDK) de Facebook de Meta, necesario para abrir la ventana de alta integrada. Consulta el apartado 17.2.

9. Inteligencia artificial

• Aviso de IA. En WhatsApp y en el chat web, el primer mensaje dice, por ejemplo: «¡Hola! Soy el asistente virtual (IA) de {negocio}. Si prefieres hablar con una persona, dímelo.» En el teléfono, la locución inicial dice «Hola, te atiende un asistente de inteligencia artificial» y avisa de que la llamada se transcribe (y, si el negocio la ha activado, de que se graba). El negocio no puede desactivar estos avisos.
• Atención por una persona. El asistente deriva la conversación a una persona del negocio cuando la persona lo pide y en las situaciones que lo requieren; las solicitudes de derechos y las quejas se derivan a una persona. Cuando alguien del negocio responde desde la app, el asistente deja de responder en esa conversación durante 120 minutos.
• Límites. Los asistentes están destinados a la atención al cliente de cada negocio. No hacen diagnósticos ni dan consejos médicos; en una emergencia remiten al 112. Las respuestas de la IA pueden contener errores.
• Modelos. Las respuestas, los resúmenes y las puntuaciones los generan los proveedores de modelos de IA del apartado 10. Para cada negocio solo se utilizan los proveedores que constan en la lista de subencargados que ha aceptado. Para los negocios de salud y los despachos profesionales, los modelos de IA de texto solo se utilizan en ubicaciones de la UE; el asistente telefónico, si el negocio lo contrata, funciona con ElevenLabs, en EE. UU.
• Sin entrenamiento. Xerinolia no utiliza las conversaciones ni los Datos de la plataforma para entrenar, ajustar ni mejorar modelos de IA, y utiliza los proveedores de modelos de texto en modalidades comerciales en las que estos no entrenan sus modelos con este contenido.
• Sin biometría. No utilizamos la voz para identificar a nadie ni hacemos reconocimiento de emociones.
• Menores. Si la persona dice que es menor de edad, el asistente no le pide datos ni guarda ningún registro de contacto.

10. Destinatarios, proveedores y transferencias internacionales

No vendemos datos personales ni los cedemos para publicidad. Acceden a ellos los proveedores siguientes, que los tratan por cuenta nuestra (o, cuando se indica, como responsables independientes), solo en la medida necesaria para cada servicio:

Cuando la plataforma envía avisos al equipo por correo electrónico o por un servicio de notificaciones, lo hace a través de proveedores que actúan como encargados. La lista de subencargados que se aplica a cada cliente, con la ubicación y la garantía de cada uno, figura en el anexo de su contrato de encargo del tratamiento.

También pueden acceder a los datos de facturación de los clientes los asesores que nos llevan la contabilidad y las entidades bancarias que gestionan los cobros, así como las administraciones públicas y los juzgados cuando la ley lo exija.

Herramientas propias del negocio. Cuando un negocio conecta su calendario (Google Calendar, Microsoft 365, Cal.com) o su CRM (por ejemplo, HubSpot, Pipedrive, Holded, Zoho, Odoo, Salesforce o Dynamics), enviamos a esas herramientas los datos que el negocio nos indica, por instrucción suya. Estos proveedores son del negocio, no de Xerinolia.

Dónde están los datos. El servidor de la plataforma y sus copias de seguridad están en la UE. Algunos proveedores tratan datos fuera de la UE: la voz (ElevenLabs), la telefonía (Twilio), algunos modelos de IA (Anthropic y, si se activan, OpenAI) y Meta.

Transferencias fuera del Espacio Económico Europeo. Cuando un proveedor trata datos fuera del EEE, la transferencia se basa en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas complementarias necesarias, y, cuando el proveedor está certificado, en la decisión de adecuación del Marco de privacidad de datos UE-EE. UU. Puedes solicitar información sobre estas garantías en hola@xerinolia.com.

11. Plazos de conservación

Conservamos los datos solo el tiempo necesario para cada finalidad. Después, los suprimimos o, cuando la ley nos obliga a conservarlos, los mantenemos bloqueados, solo a disposición de jueces, tribunales y autoridades competentes.

12. Perfiles y decisiones automatizadas

Xerinolia no toma decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o que te afecten de forma similar. Hacemos estas valoraciones automáticas sencillas, que son una forma de elaboración de perfiles:

• Puntuación de oportunidad de los negocios potenciales (de 0 a 100), basada en señales técnicas de la web, el sector y los datos de contacto disponibles. Solo sirve para que nuestro equipo organice el trabajo; siempre es una persona quien decide si te contacta.
• Puntuación del interés mostrado en las demostraciones, para que nuestro equipo valore cómo ha funcionado la demostración.
• Puntuación de los contactos que hace el asistente para el negocio cliente (de 0 a 100, con el motivo), a partir del contenido de la propia conversación. La hacemos por cuenta del negocio, solo para que priorice el seguimiento y reciba avisos de contactos prioritarios. El contrato prohíbe al negocio utilizarla para tomar decisiones automatizadas.

Puedes oponerte a ellas en cualquier momento escribiendo a hola@xerinolia.com o, en el caso de la puntuación de los contactos, al negocio.

13. Tus derechos

Puedes ejercer en cualquier momento estos derechos:

• Acceso: saber si tratamos datos tuyos y obtener una copia.
• Rectificación: corregir los datos inexactos o incompletos.
• Supresión: solicitar que los eliminemos, entre otros casos cuando ya no sean necesarios, cuando retires el consentimiento o cuando te opongas al tratamiento. Este derecho está disponible para cualquier persona, esté donde esté.
• Oposición: oponerte a los tratamientos basados en el interés legítimo, incluida la elaboración de perfiles. En la prospección comercial, la oposición es absoluta: dejaremos de tratar tus datos para ese fin sin que tengas que justificar nada.
• Limitación del tratamiento: solicitar que conservemos los datos pero que no los utilicemos mientras se resuelve una reclamación o una oposición.
• Portabilidad: recibir en un formato estructurado y legible por máquina los datos que nos has facilitado, cuando el tratamiento se base en el consentimiento o en un contrato.
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Cómo. Escribe a hola@xerinolia.com con la referencia «Protección de datos», o por correo postal a la Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida), indicando qué derecho quieres ejercer. Solo te pediremos información adicional para identificarte si tenemos dudas razonables sobre tu identidad y, en ese caso, pediremos lo mínimo imprescindible. Si actúa en tu nombre un representante, deberá acreditar la representación.

Plazo y coste. Te responderemos en el plazo de un mes desde que recibamos la solicitud. Este plazo puede ampliarse dos meses más si la solicitud es compleja o recibimos muchas; en ese caso te lo comunicaremos dentro del primer mes. El ejercicio de los derechos es gratuito.

Datos tratados por cuenta de un negocio. Si los datos proceden de las conversaciones con el asistente de un negocio, dirígete al negocio. Si nos escribes a nosotros, le trasladaremos la solicitud en un plazo máximo de 1 día hábil.

Reclamación. Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos o la Autoridad Catalana de Protección de Datos.

14. Cómo solicitar la eliminación de los datos

Puedes solicitar en cualquier momento que eliminemos tus datos. Hemos preparado una página con instrucciones paso a paso para cada caso: Cómo solicitar la eliminación de tus datos. En resumen:

• Si has hablado con el asistente de un negocio (WhatsApp, chat web o teléfono): dirígete al negocio o escríbenos a hola@xerinolia.com con el asunto «Eliminación de datos», el número de teléfono que utilizaste y el nombre del negocio.
• Si tu negocio ha conectado WhatsApp con Xerinolia: puedes retirar el acceso de nuestra aplicación desde Meta Business Suite y solicitarnos la supresión de los datos.
• Si has probado una demostración, si te contactamos por prospección o si nos escribiste desde la web: escríbenos a la misma dirección.

15. Seguridad

Aplicamos medidas administrativas, físicas y técnicas adecuadas al riesgo, entre ellas:

• conexiones cifradas (HTTPS con TLS 1.2 o 1.3 y HSTS);
• cifrado con AES-256-GCM y claves propias de cada cliente de las autorizaciones de acceso a WhatsApp, de los PIN, de las credenciales de integraciones y de los secretos del doble factor;
• contraseñas guardadas con un resumen criptográfico robusto (scrypt), doble factor para las personas administradoras, cookies de sesión protegidas y caducidad de las sesiones por inactividad;
• acceso por roles, con el mínimo privilegio, y registro de auditoría de las acciones;
• separación lógica de los datos de cada cliente;
• limitación de peticiones y comprobación de la firma de las notificaciones de Meta y de ElevenLabs;
• servidor en la UE, con contenedores aislados y base de datos sin acceso desde Internet;
• medidas contra la manipulación de los asistentes mediante instrucciones maliciosas;
• supresión de los secretos en los registros técnicos;
• copias de seguridad cifradas.

Si se produce una violación de seguridad que afecte a datos personales, actuaremos de acuerdo con el RGPD y, si afecta a datos de un negocio cliente, le informaremos para que pueda cumplir sus obligaciones.

Informar de una vulnerabilidad. Si detectas una vulnerabilidad o un problema de seguridad, escribe a hola@xerinolia.com con el asunto «Seguridad», sin explotarla ni acceder a datos de terceros. Te responderemos lo antes posible.

16. Menores

Los servicios de Xerinolia se dirigen a empresas y profesionales, y las demostraciones están reservadas a personas mayores de edad. No recogemos conscientemente datos de menores. Si una persona dice a un asistente que es menor de edad, el asistente no le pide datos, no crea ningún registro de contacto y no le hace reservas.

17. Cookies y almacenamiento local

17.1 xerinolia.com

Este sitio web no utiliza cookies. Ni propias ni de terceros, ni de publicidad ni de analítica.

La única tecnología de almacenamiento que utilizamos es el localStorage de tu navegador, exclusivamente para guardar temporalmente el texto del formulario de contacto mientras lo rellenas y que no pierdas lo que has escrito. Esta información no sale nunca de tu dispositivo, no se nos envía y se borra automáticamente cuando envías el formulario. Al tratarse de una función estrictamente técnica solicitada por el usuario, está exenta de consentimiento según el artículo 22.2 de la LSSI-CE. Las tipografías se cargan desde Google Fonts (apartado 5).

17.2 core.xerinolia.com

La plataforma no utiliza cookies ni ninguna otra tecnología con fines de analítica o de publicidad (con la única excepción del kit de Meta en la página de alta de WhatsApp, que se explica más abajo), y las tipografías se alojan en el propio servidor. Fuera de eso, solo utiliza los elementos técnicos necesarios para el servicio que has solicitado:

• Página de aceptación del contrato: no utiliza cookies ni almacenamiento local.
• Página de alta de WhatsApp: al abrirla se carga el kit de desarrollo (SDK) de Facebook de Meta, necesario para el alta integrada. Meta puede leer o guardar cookies en su dominio y recibir datos de navegación y eventos técnicos automáticos de la página, de acuerdo con su política de cookies. Xerinolia no tiene acceso a ellos ni los utiliza para publicidad. Esta página solo la utilizan los representantes de los negocios que conectan WhatsApp.
• Conexión de calendarios: te redirigimos a la página de inicio de sesión de Google, Microsoft o Cal.com, que aplican sus propias políticas.
• Recursos de terceros en las demostraciones: el logotipo del negocio se carga desde su propia web (que recibe la dirección IP del visitante, pero no la dirección de la página de demostración); si inicias la prueba de voz, el navegador se conecta a ElevenLabs y, en algunos navegadores, puede descargar un componente de audio de la red jsDelivr.

17.3 Chat de Xerinolia en las webs de los negocios

El negocio es el titular de su web y el responsable de su política de cookies. El chat que incorpora utiliza:

Normalmente estos elementos se crean cuando el visitante abre el chat. Si el chat está integrado dentro de la página, o si ha habido una conversación en las últimas 24 horas, se crean al cargar la página; en ese caso, el negocio debe valorar si necesita el consentimiento del visitante. Al cargar la página, el navegador descarga el programa del chat desde core.xerinolia.com, que recibe su dirección IP como encargado del negocio.

17.4 Cómo gestionarlos

Puedes borrar en cualquier momento las cookies y el almacenamiento local desde la configuración de tu navegador. Si borras la cookie de sesión, tendrás que volver a iniciar sesión; si borras el almacenamiento del chat, empezarás una conversación nueva. Si en el futuro incorporamos cookies o herramientas que no sean estrictamente necesarias, actualizaremos esta política y te pediremos el consentimiento antes de activarlas.

18. Qué no hacemos con los datos

• No vendemos datos personales ni Datos de la plataforma, y no los licenciamos ni los compramos.
• No hacemos publicidad con los datos ni utilizamos herramientas de analítica o de publicidad; la única tecnología de terceros de este tipo es el kit de Meta en la página de alta de WhatsApp (apartado 17.2).
• No entrenamos modelos de IA con las conversaciones ni con los Datos de la plataforma.
• No utilizamos los datos de los clientes de los negocios para fines propios (por ejemplo, para nuestra prospección), ni los combinamos con los de otros clientes.
• No tomamos decisiones automatizadas con efectos jurídicos, no determinamos la elegibilidad de nadie para servicios como créditos, vivienda, empleo o seguros, y no utilizamos los datos para discriminar ni para vigilar a personas.
• No enviamos comunicaciones comerciales por correo, SMS o WhatsApp a quien no nos las ha pedido.

19. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios normativos, técnicos o del servicio. Publicaremos cualquier cambio en esta página, con la fecha de actualización. Si el cambio es relevante, lo comunicaremos a nuestros clientes y a los usuarios de la consola por los canales habituales antes de que se aplique. Esta política está disponible en catalán, castellano e inglés, y todas las versiones tienen el mismo valor.

20. Contacto

Para cualquier duda sobre este aviso legal o sobre el tratamiento de tus datos: hola@xerinolia.com o Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida).

Documentos relacionados: Condiciones del servicio · Cómo solicitar la eliminación de tus datos.