Avís legal i Política de privacitat

Darrera actualització: 23 d'octubre de 2026

Aquesta pàgina conté l'avís legal dels llocs web de Xerinolia (xerinolia.com i core.xerinolia.com) i la seva política de privacitat. Explica quines dades personals tractem, per a què, amb quina base legal, durant quant de temps i amb qui les compartim, com tractem les dades que rebem de WhatsApp i de Meta, i com pots exercir els teus drets, inclòs el de demanar que eliminem les teves dades. Primer trobaràs un resum i, a continuació, la informació completa.

1. Resum

Informació bàsica sobre protecció de dades (primera capa). Cada punt es desenvolupa als apartats següents.

2. Avís legal

En compliment de l'article 10 de la Llei 34/2002, d'11 de juliol, de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSI-CE), s'informa que el titular dels llocs web xerinolia.com i core.xerinolia.com és:

L'activitat de Xerinolia no està subjecta a cap règim d'autorització administrativa prèvia. Xerinolia no està adherida a cap codi de conducta.

L'accés i ús d'aquests llocs web atribueix la condició d'usuari i implica l'acceptació d'aquest avís legal. El titular es reserva el dret de modificar els continguts dels llocs sense avís previ.

Què és core.xerinolia.com

És la plataforma tecnològica de Xerinolia (Xerinolia Core), amb què configurem i gestionem assistents d'IA per als nostres clients. Inclou:

• la consola de gestió, d'accés restringit al personal autoritzat de Xerinolia;
• les pàgines de demostració, on mostrem a un negoci com funcionaria el seu assistent;
• els enllaços d'un sol ús que enviem als nostres clients perquè acceptin el contracte, connectin el seu número de WhatsApp o connectin un calendari o una altra eina;
• els serveis tècnics dels assistents dels clients: el programa del xat que els negocis incorporen a les seves webs i els punts de connexió que fan servir WhatsApp, el telèfon i altres serveis.

Si parles amb l'assistent d'un negoci (pel seu WhatsApp, pel xat de la seva web o pel seu telèfon), el prestador d'aquell servei i el responsable de les teves dades és el negoci. Xerinolia hi actua només com a proveïdor tecnològic per compte seu. L'ús de la plataforma i de les pàgines públiques es regeix per les Condicions del servei.

Ús dels llocs web

No pots fer servir aquests llocs web per a finalitats il·lícites, introduir-hi programari maliciós, sobrecarregar-los, extreure'n continguts de manera automatitzada, ni fer-hi proves de càrrega o d'intrusió sense autorització escrita de Xerinolia. Només hi poden accedir a la consola les persones a qui Xerinolia ha donat credencials.

Propietat intel·lectual

Tots els continguts d'aquests llocs (textos, imatges, logotips, disseny i codi) i el programari de Xerinolia Core són titularitat d'Albert Farré Puche o es publiquen amb autorització dels seus titulars. No se'n permet la reproducció, distribució o transformació sense autorització expressa, llevat dels usos que permet la llei.

Els noms, logotips i continguts dels negocis que apareixen a les demostracions pertanyen als seus titulars, i Xerinolia els fa servir només per mostrar al negoci una demostració personalitzada. Si n'ets el titular i vols que retirem una demostració, escriu a hola@xerinolia.com i la retirarem en un termini màxim de 48 hores.

Algunes dades geogràfiques provenen d'OpenStreetMap: © col·laboradors d'OpenStreetMap, disponibles amb la llicència Open Database License (ODbL).

Responsabilitat

El titular no es fa responsable de l'ús indegut dels continguts dels llocs ni dels continguts de llocs de tercers accessibles mitjançant enllaços (per exemple, Instagram o WhatsApp). Les respostes que genera la intel·ligència artificial a les demostracions poden ser incompletes o inexactes i no constitueixen cap oferta, pressupost ni assessorament de Xerinolia ni del negoci a què es refereixen.

Rastrejador XerinoliaCoreBot

Xerinolia fa servir un rastrejador automàtic que s'identifica amb l'agent d'usuari XerinoliaCoreBot. Visita pàgines públiques de webs de negocis per preparar la demostració o la base de coneixement de l'assistent d'un negoci (com a màxim 15 pàgines de cada web) i per fer una anàlisi tècnica bàsica de la web amb finalitats de prospecció comercial (apartat 6.3). Respecta les instruccions del fitxer robots.txt, no inicia sessió i no omple formularis. Per impedir-ne les visites, afegeix al robots.txt de la teva web les línies User-agent: XerinoliaCoreBot i Disallow: /.

Punt de contacte

Per a qualsevol consulta, avís de continguts presumptament il·lícits o comunicació d'autoritats: hola@xerinolia.com, en català, castellà o anglès.

3. Responsable del tractament

El responsable del tractament de les dades descrites en aquesta política és Albert Farré Puche, empresari individual que opera amb el nom comercial Xerinolia, amb NIF 78086337A i domicili a l'Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida).

Per a qualsevol qüestió sobre les teves dades, escriu a hola@xerinolia.com amb la referència «Protecció de dades», o per correu postal a l'adreça anterior.

Xerinolia no ha designat cap delegat de protecció de dades. L'adreça anterior és el canal de contacte per a totes les qüestions de privacitat.

Aquesta política s'aplica d'acord amb el Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD).

4. Quan som responsables i quan tractem dades per compte d'un negoci

Xerinolia té dos papers diferents, segons de quines dades es tracti:

Com a responsable (dades pròpies)

Decidim per a què i com es fan servir aquestes dades:

• persones que visiten xerinolia.com o que ens escriuen pel formulari de contacte, per correu o per WhatsApp (apartat 5);
• representants i persones de contacte dels negocis clients: contracte, facturació, evidències d'acceptació, alta de WhatsApp i connexió de calendaris (apartat 6.1);
• usuaris de la consola de la plataforma (apartat 6.2);
• negocis als quals adrecem la nostra prospecció comercial (apartat 6.3);
• negocis per als quals preparem una demostració, persones que apareixen a la seva web pública i persones que proven una demostració (apartat 6.4);
• registres de seguretat de la consola, de les pàgines de demostració i dels enllaços d'un sol ús (apartat 6.5);
• el registre de les sol·licituds d'exercici de drets (apartat 6.6).

Com a encarregat del tractament (per compte dels negocis clients)

Quan una persona escriu o truca a un negoci que fa servir els assistents de Xerinolia, el negoci és el responsable de les seves dades: decideix per a què es fan servir i quant de temps es conserven. Xerinolia les tracta només seguint les instruccions documentades del negoci, d'acord amb un contracte d'encàrrec del tractament (article 28 del RGPD), i no les fa servir per a finalitats pròpies. Això inclou les converses de WhatsApp, del xat web i del telèfon, els contactes, els leads i les reserves, les evidències de consentiment, els informes i avisos per al negoci i els registres tècnics del trànsit dels assistents (apartat 7).

En aquests casos, la informació principal sobre el tractament és a la política de privacitat del negoci. Si ens escrius a nosaltres sobre aquestes dades, traslladarem la teva sol·licitud al negoci en un termini màxim d'1 dia hàbil i t'ho comunicarem.

Responsables independents

Alguns proveïdors tracten dades també per a finalitats pròpies, com a responsables independents i d'acord amb les seves polítiques: Meta i WhatsApp (per a les seves pròpies finalitats i per a l'inici de sessió amb Facebook), Twilio (dades de trànsit com a operador de telecomunicacions) i Google, Microsoft i Cal.com (a les seves pàgines d'inici de sessió).

5. Web xerinolia.com i formulari de contacte

Quines dades recollim i per a què

Les dades que ens facilites voluntàriament a través del formulari de contacte o quan ens escrius per correu electrònic o WhatsApp:

No elaborem perfils, no prenem decisions automatitzades amb aquestes dades i no les utilitzem per enviar-te publicitat no sol·licitada.

Les dades del formulari marcades com a obligatòries són necessàries per respondre't; si no les facilites, no podrem atendre la teva sol·licitud.

Dades que es recullen automàticament. Com en qualsevol lloc web, quan visites xerinolia.com el servidor (OVHcloud) i la xarxa de Cloudflare tracten automàticament l'adreça IP, la data i l'hora, la pàgina sol·licitada i el navegador, per servir les pàgines i protegir el lloc d'abusos i atacs (interès legítim, art. 6.1.f RGPD). Aquests registres tècnics es conserven durant un temps limitat i no els fem servir per a analítica ni per a publicitat.

Quant de temps les conservem

Les dades de contacte es conserven el temps necessari per gestionar la teva sol·licitud i, com a màxim, durant 2 anys des de l'últim contacte, llevat que existeixi una relació contractual posterior (en aquest cas, s'aplica l'apartat 6.1) o una obligació legal de conservació.

A qui es comuniquen

No venem ni cedim aquestes dades a tercers. Per al funcionament tècnic del web hi intervenen els següents proveïdors (encarregats del tractament):

• OVHcloud (allotjament web, servidors a la UE).
• Cloudflare, Inc. (DNS, seguretat i enrutament de correu). Pot tractar adreces IP per oferir el servei.
• Resend / Amazon Web Services EMEA (enviament dels correus del formulari, regió UE).
• Google Fonts (tipografies servides per Google; en carregar-les, el teu navegador comunica la teva adreça IP a Google).

Alguns d'aquests proveïdors tenen la matriu fora de l'Espai Econòmic Europeu; en aquests casos el tractament queda emparat per les Clàusules Contractuals Tipus de la Comissió Europea o pel Marc de privacitat de dades UE-EUA (apartat 10).

6. Plataforma Xerinolia Core: dades que tractem com a responsables

6.1 Clients: representants i persones de contacte

• Qui: persones que representen un negoci client o en procés de contractació, o que en són el contacte (titular, gerent, persona que accepta el contracte, persona que connecta WhatsApp o un calendari, persones que reben els avisos).
• Dades: nom, telèfon i correu de la persona titular o de contacte; correus que rebran els avisos, els informes i les alertes de seguretat; nom comercial, raó social, NIF i adreça del negoci (que també són dades personals si el client és un empresari individual); comunicacions i dades de facturació.
  • En acceptar el contracte i el contracte d'encàrrec del tractament: el nom de qui accepta i el NIF del negoci, la data i l'hora, l'adreça IP, el navegador, el resum criptogràfic (hash) i una còpia íntegra del document acceptat i de la llista de subencarregats.
  • En connectar WhatsApp: un registre de l'alta amb la data, l'adreça IP i els identificadors del compte de WhatsApp Business i del número (detall a l'apartat 8).
  • En connectar un calendari o una altra eina: l'autorització d'accés (desada xifrada) i l'identificador del compte connectat; en el cas de Microsoft, el nom i el correu del compte.
• Origen: la mateixa persona o el negoci que representa.
• Finalitats: preparar, formalitzar i executar el contracte; prestar el servei, el suport i els avisos; facturar i complir les obligacions comptables i fiscals; acreditar la contractació i defensar-nos de possibles reclamacions.
• Base jurídica: execució del contracte o de mesures precontractuals (art. 6.1.b RGPD); compliment d'obligacions legals (art. 6.1.c RGPD); interès legítim a mantenir la relació amb les persones de contacte de l'empresa client i a conservar la prova de la contractació (art. 6.1.f RGPD i art. 19 LOPDGDD).
• Conservació: mentre duri el contracte. Després, bloquejades durant els terminis legals: la documentació comptable i les factures, 6 anys; les evidències de l'acceptació del contracte i del contracte d'encàrrec, mentre siguin necessàries per acreditar la contractació o defensar-nos de reclamacions, dins dels terminis de prescripció de les accions. Quan se suprimeixen les dades d'un client, en conservem un registre mínim (nom, raó social, NIF, sector, modalitat i dates).
• Destinataris: els proveïdors d'allotjament de l'apartat 10; els assessors comptables i les entitats bancàries que ens presten serveis; l'Agència Tributària i altres autoritats, quan la llei ho exigeixi. Quan connectes WhatsApp, inicies la sessió directament a Meta; quan connectes un calendari, a Google, Microsoft o Cal.com: cadascun tracta les dades de l'inici de sessió com a responsable, d'acord amb la seva política.
• Obligatorietat: les dades d'identificació, de contacte, de facturació i d'acceptació són necessàries per formalitzar i prestar el servei; si no ens les facilites, no el podrem contractar.

6.2 Usuaris de la consola

• Qui: personal de Xerinolia i col·laboradors comercials amb compte a la consola.
• Dades: nom, correu i rol; contrasenya (desada només en forma de resum criptogràfic, mai en clar); secret del doble factor (xifrat); data i adreça IP de l'últim accés; sessions (adreça IP i navegador); subscripcions a notificacions del navegador, si les actives; registre d'auditoria de les accions fetes (què, quan i des de quina IP); clients i negocis potencials assignats i activitats anotades.
• Finalitats: donar accés i gestionar el compte; protegir la plataforma (autenticació, doble factor, detecció d'accessos anòmals); deixar constància de qui ha accedit a dades i què hi ha fet.
• Base jurídica: la relació laboral, mercantil o de col·laboració (art. 6.1.b RGPD); l'interès legítim en la seguretat de la xarxa i de la informació i el deure de seguretat (arts. 6.1.f i 32 RGPD).
• Conservació: les sessions caduquen com a màxim als 14 dies, i abans si passen 12 hores (administradors) o 24 hores (comercials) sense activitat; el registre d'auditoria, 2 anys; el compte, mentre duri la relació i, després, el temps necessari per mantenir la integritat del registre d'auditoria.
• Accés limitat: els usuaris amb funcions comercials només veuen els clients en mode de demostració, no les converses dels clients en servei.

6.3 Prospecció comercial adreçada a negocis

• Qui: empreses, empresaris individuals i professionals que podrien estar interessats en els serveis de Xerinolia. Les dades d'una societat no són dades personals; sí que ho són les d'un empresari individual o un professional.
• Dades: nom comercial o denominació, sector, adreça, web, telèfons i correus de contacte professionals publicats (com a màxim cinc telèfons i tres correus), senyals tècnics de la web (per exemple, si fa servir HTTPS o s'adapta al mòbil), una puntuació d'oportunitat de 0 a 100, notes i activitats del nostre equip, la persona de Xerinolia assignada i el registre de quan t'hem informat i de les consultes a sistemes d'exclusió publicitària.
• Dades que no tractem: no desem el NIF d'empresaris individuals; del Butlletí Oficial del Registre Mercantil (BORME) només fem servir dades de societats i no en desem noms d'administradors ni de socis; de Google Maps només conservem l'identificador del lloc (place_id), i la resta de dades que en rebem es mostren al nostre equip durant una hora com a màxim i no es desen.
• Origen: fonts accessibles al públic (OpenStreetMap, el BORME, Google Maps Platform i la web pública del negoci, analitzada pel nostre rastrejador); dades que ens facilites tu mateix; i llistes que el nostre equip incorpora manualment. En el primer contacte t'indicarem la font concreta de les teves dades.
• Com et contactarem: presencialment o per telèfon, sempre amb una persona. No t'enviarem correus electrònics, SMS ni missatges de WhatsApp comercials si no ens ho has demanat, i no fem trucades automatitzades. Si ets un empresari individual o un professional, només et trucarem després de consultar la Llista Robinson; si no, el contacte serà presencial.
• Finalitats: identificar negocis que es podrien beneficiar dels nostres serveis, contactar-los per presentar-los els serveis, preparar-los una demostració si hi estan interessats i fer-ne el seguiment.
• Base jurídica: l'interès legítim de Xerinolia a donar a conèixer els seus serveis a altres empreses (art. 6.1.f RGPD i art. 19 LOPDGDD). Hem ponderat aquest interès amb els teus drets: les dades són professionals i públiques, en fem un ús mínim, et contactem per mitjans poc intrusius i t'hi pots oposar en qualsevol moment.
• Informació: t'informem d'aquest tractament en el primer contacte i, en tot cas, dins del mes següent a la incorporació de les teves dades. Si en aquest termini no t'hem informat, suprimim les teves dades.
• Dret d'oposició: et pots oposar a la prospecció en qualsevol moment, sense justificar-ho, dient-ho a la persona que et contacta o escrivint a hola@xerinolia.com. Deixarem de tractar les teves dades per a aquesta finalitat i, perquè no et tornem a incorporar en cerques futures, només en conservarem un resum criptogràfic (hash) a una llista d'exclusió interna.
• Conservació: si no t'hem informat, se suprimeixen dins dels 30 dies; si no hi ha activitat, 12 mesos; si descartes els nostres serveis, 90 dies; els resultats de cada cerca, 3 dies; la llista d'exclusió, mentre Xerinolia faci prospecció comercial. Si contractes, s'aplica l'apartat 6.1.
• Destinataris: només els proveïdors d'allotjament. No cedim aquestes dades a ningú.

6.4 Demostracions

a) Negocis per als quals preparem una demostració i persones que apareixen a la seva web.

• Dades: nom del negoci, logotip, horaris, dades de contacte, serveis i preus publicats i el text de les pàgines públiques de la seva web (com a màxim quinze).
• Origen: la web pública del negoci i, si ens ha demanat la demostració, el mateix negoci.
• Finalitat: preparar una demostració personalitzada perquè el negoci vegi com funcionaria el seu assistent. El text de la web s'envia al proveïdor d'IA perquè en proposi preguntes freqüents.
• Base jurídica: l'interès legítim a demostrar el servei (art. 6.1.f RGPD) o, si el negoci ens ha demanat la demostració, l'aplicació de mesures precontractuals (art. 6.1.b RGPD).
• Conservació: el text extret de la web, 7 dies; la fitxa del negoci, mentre la demostració sigui necessària. Retirem la demostració en un termini màxim de 48 hores si el negoci ens ho demana.
• Resultats: al negoci només li expliquem, de manera general, com ha funcionat la demostració. Mai no li lliurem les converses ni les dades de les persones que l'han provada.

b) Persones que proven una demostració. Una demostració es pot provar al xat de la pàgina de demostració, escrivint al número de WhatsApp de demostració de Xerinolia o amb la prova de veu del navegador. En aquests casos, Xerinolia és la responsable de les dades. Les demostracions estan reservades a persones majors d'edat i et recomanem que hi facis servir dades inventades i que no hi introdueixis dades de salut, bancàries o d'identitat, contrasenyes ni dades d'altres persones.

• Dades:
  • Xat: els missatges; un identificador aleatori del navegador, que al nostre servidor només es desa en forma de resum criptogràfic; la pàgina des de la qual escrius; i un resum criptogràfic de l'adreça IP per limitar l'ús.
  • WhatsApp: el número o l'identificador de WhatsApp, el nom del perfil i els missatges. Si escrius sense un codi de demostració vàlid, no desem el missatge a la plataforma: només passa per una memòria temporal d'encaminament que caduca automàticament. Mentre la línia de demostració funciona, es conserven les dades tècniques que el servei de WhatsApp necessita per xifrar i lliurar els missatges amb cada número.
  • Prova de veu: la veu es processa en temps real per convertir-la en text i respondre't; desem la transcripció, un resum i un resum criptogràfic de l'adreça IP. No gravem l'àudio.
  • En tots els casos: el resum de la conversa i una puntuació de l'interès mostrat, generats per la IA, i qualsevol dada que hi facilitis voluntàriament.
• Finalitats: que puguis provar l'assistent; que el nostre equip valori com ha funcionat la demostració; i evitar abusos.
• Base jurídica: l'interès legítim de Xerinolia a mostrar el seu servei, a valorar-ne el funcionament i a protegir-lo (art. 6.1.f RGPD); per a la persona que ens ha demanat la demostració, l'aplicació de mesures precontractuals (art. 6.1.b RGPD). T'hi pots oposar, també a la puntuació.
• Conservació: les converses de demostració es conserven com a màxim 90 dies des de cada missatge i les dades de la demostració se suprimeixen quan deixa de ser necessària.
• Destinataris: els proveïdors d'IA que generen les respostes, els resums i les puntuacions; ElevenLabs i Google, per a la prova de veu; i WhatsApp, que presta el servei de missatgeria com a responsable d'acord amb la seva pròpia política (apartat 10).
• Garanties: l'assistent s'identifica com a intel·ligència artificial des del primer missatge. En una demostració no t'atén ningú del negoci: si vols parlar amb una persona de Xerinolia, escriu a hola@xerinolia.com.

6.5 Seguretat i dades que es recullen automàticament

• Qui: persones que accedeixen a la consola, a les pàgines de demostració i als enllaços d'un sol ús de core.xerinolia.com.
• Dades: als registres del servidor web, l'adreça IP, la data i l'hora, la pàgina sol·licitada, el codi de resposta i el navegador; als registres de l'aplicació, dades tècniques de funcionament; resums criptogràfics de l'adreça IP per limitar el nombre de peticions; alertes de seguretat.
• Finalitat: garantir la seguretat de la plataforma, prevenir abusos i atacs i diagnosticar errors.
• Base jurídica: l'interès legítim en la seguretat de la xarxa i de la informació (art. 6.1.f i considerant 49 RGPD) i el deure de seguretat (art. 32 RGPD).
• Conservació: els registres del servidor i de l'aplicació es conserven durant un temps limitat i es renoven periòdicament; les alertes resoltes se suprimeixen als 180 dies; el registre d'auditoria, 2 anys.

Els registres tècnics de les peticions que es fan als assistents dels negocis clients (xat web, WhatsApp i telèfon) els tractem per compte de cada negoci (apartat 7).

6.6 Sol·licituds d'exercici de drets

Quan exerceixes un dret, desem la sol·licitud, la resposta i les dates, amb les dades mínimes per identificar-la, per poder acreditar que l'hem atesa (art. 6.1.c RGPD). Conservem aquest registre 3 anys.

7. Dades que tractem per compte dels negocis clients

Aquest apartat descriu, per transparència, les dades que tractem com a encarregats quan una persona parla amb l'assistent d'un negoci client. El responsable és el negoci, que fixa les finalitats i els terminis, i t'ha d'informar amb la seva pròpia política de privacitat. Les tractem només per prestar el servei al negoci, d'acord amb el contracte d'encàrrec del tractament, i no les fem servir per a finalitats pròpies.

Quines dades

• WhatsApp: el número de telèfon o identificador de WhatsApp, l'identificador d'usuari que WhatsApp assigna per a cada empresa, el nom i el nom d'usuari del perfil; el contingut dels missatges (text, peus de foto, noms de fitxers, ubicacions compartides, contactes compartits i respostes de botons); l'estat de lliurament dels missatges; i els missatges que el negoci envia des de l'app WhatsApp Business. Si el negoci fa servir alhora l'app i l'assistent (coexistència), també l'historial de converses recent, fins al termini de conservació que tingui fixat, i els noms de la seva llibreta de contactes, que només serveixen per actualitzar el nom de contactes que ja ens consten.
• Notes de veu i imatges: no desem els fitxers d'àudio, imatge o vídeo. Si el negoci activa la transcripció de notes de veu o la descripció d'imatges (desactivades per defecte), el fitxer es processa només en memòria i en desem la transcripció o la descripció xifrades.
• Xat web: els missatges; un identificador aleatori del visitant, que al servidor només es desa en forma de resum criptogràfic; la pàgina des de la qual s'escriu (sense paràmetres); i un resum criptogràfic de l'adreça IP per limitar abusos. La sessió de xat dura 6 hores.
• Telèfon: el número que truca, la transcripció, el resum i la durada de la trucada. Per defecte no es grava l'àudio; si el negoci activa la gravació, la locució inicial ho avisa. Cada trucada atesa genera un registre de contacte per al negoci, llevat que la persona digui que és menor d'edat.
• Dades derivades: un resum de la conversa, la intenció, una puntuació de 0 a 100 de la probabilitat que la persona esdevingui client del negoci (amb el motiu), els registres de contacte (leads) i de reserves, i les evidències de consentiment (per exemple, per rebre recordatoris de cites).
• Registres tècnics del trànsit dels assistents.

Per a què

Respondre les consultes, derivar la conversa a una persona del negoci quan cal, gestionar cites, enviar recordatoris de cites a qui hi ha consentit, i enviar al negoci avisos i informes sobre l'activitat del seu assistent.

Quant de temps

• Converses: el termini que fixa el negoci; per defecte, 90 dies. Una tasca diària suprimeix les que l'han superat.
• El contingut de les converses copiat als leads i a les reserves se suprimeix en el mateix termini.
• Dades de contacte dels leads i de les reserves: mentre el negoci les necessiti, fins que en demani la supressió o fins que acaba el contracte.
• Converses de prova del negoci: 7 dies.
• Converses telefòniques al proveïdor de veu: el mateix termini que el negoci ha fixat per a les converses.
• Evidències de consentiment (per exemple, per rebre recordatoris de cites): mentre duri el tractament i fins a 3 anys després, per poder-lo acreditar.
• En acabar el contracte, suprimim totes les dades que tractem per compte del negoci com a molt tard en 45 dies (després d'un període de 30 dies en què el negoci en pot demanar una còpia), llevat de les que la llei ens obligui a conservar (Condicions del servei, apartat 14).

Com exercir els drets

Adreça't directament al negoci. Si ens escrius a nosaltres (hola@xerinolia.com), traslladarem la sol·licitud al negoci en un termini màxim d'1 dia hàbil i l'executarem quan el negoci ens ho indiqui. Més informació a Com demanar l'eliminació de les teves dades.

8. Dades de WhatsApp i de Meta

Aquest apartat explica com tractem les dades que obtenim de Meta a través de la WhatsApp Business Platform (API al núvol de WhatsApp), de l'alta integrada de Meta (Embedded Signup) i de l'inici de sessió amb Facebook per a empreses. En aquesta política les anomenem «Dades de la plataforma».

8.1 Com funciona

• Xerinolia actua com a proveïdor tecnològic (Tech Provider) de la WhatsApp Business Platform: el negoci client connecta el seu número a la nostra aplicació de Meta perquè l'assistent pugui rebre i respondre missatges.
• L'alta la fa una persona autoritzada del negoci en una finestra de Meta, on inicia la sessió, tria o crea el compte de WhatsApp Business (WABA) i el número, accepta les condicions de Meta i de WhatsApp i concedeix a l'aplicació de Xerinolia els permisos whatsapp_business_management i whatsapp_business_messaging.
• El negoci continua essent el titular del seu compte de WhatsApp Business i del seu número, i hi conserva l'accés complet des del WhatsApp Manager de Meta. Pot retirar l'accés de Xerinolia en qualsevol moment (instruccions).
• Tractem les Dades de la plataforma només per compte del negoci client i seguint les seves instruccions, com a encarregats del tractament, i mantenim separades les dades de cada client.

8.2 Quines Dades de la plataforma rebem

En l'alta del negoci:

• un codi d'un sol ús, que Meta lliura a la pàgina d'alta i que bescanviem immediatament per una autorització d'accés al compte de WhatsApp Business del negoci; el codi no es desa ni es registra;
• l'autorització d'accés (token) i, si Meta la facilita, la seva data de caducitat;
• els identificadors del compte de WhatsApp Business, del número i del portafoli d'empresa; el número en format internacional; el nom verificat; l'indicador de qualitat del número; si el número fa servir també l'app WhatsApp Business (coexistència) i el tipus de plataforma;
• les dades tècniques de l'alta i, per seguretat, la data i l'adreça IP des de la qual es fa;
• si el número es registra només a l'API, un PIN de verificació en dos passos de 6 xifres que genera Xerinolia i que es desa xifrat; si el número fa servir la coexistència, demanem a Meta la sincronització única dels contactes i de l'historial de l'app.

No demanem ni desem dades del perfil personal de Facebook de la persona que fa l'alta (com la foto, els amics o les publicacions).

Mentre es presta el servei, Meta ens envia notificacions (webhooks) sobre:

• els missatges que el negoci rep dels seus clients finals i l'estat de lliurament dels missatges enviats (dades descrites a l'apartat 7);
• els missatges que el negoci envia des de l'app WhatsApp Business i, en coexistència, l'historial i l'estat dels contactes;
• canvis del compte, la qualitat i el límit de missatgeria del número, i l'estat de les plantilles de missatge.

Desem, vinculats al canal del negoci: els identificadors, el número, el nom visible, l'indicador de qualitat i el límit de missatgeria; l'autorització d'accés i el PIN, xifrats; els darrers esdeveniments del compte i l'estat de les plantilles; i comptadors de la sincronització.

Consultes que fem a Meta: comprovar l'estat del número cada 15 minuts; enviar les respostes de l'assistent dins de la finestra de 24 hores des de l'últim missatge del client final; enviar plantilles de recordatori de cites només a qui hi ha donat el consentiment explícit; descarregar fitxers multimèdia de Meta només quan el negoci ha activat la transcripció o la descripció; i, quan es desconnecta un canal, donar de baixa la subscripció de l'aplicació al compte.

8.3 Per a què les fem servir

Només per prestar al negoci el servei del seu assistent: respondre els missatges, encaminar-los, derivar la conversa a una persona del negoci, avisar el negoci i l'equip de Xerinolia d'incidències del canal, mantenir la connexió del número i enviar recordatoris a qui hi ha consentit. La plataforma no té cap funció d'enviaments massius i bloqueja els missatges promocionals que no tinguin un consentiment registrat.

8.4 Com les protegim

• L'autorització d'accés i el PIN es xifren amb AES-256-GCM i una clau pròpia de cada client, i el xifratge queda vinculat al client i a la finalitat. Només es desxifren en el moment de fer una crida a Meta i no apareixen mai als registres, a les cues de treball ni a les respostes de la plataforma.
• Comprovem la signatura de cada notificació de Meta i generem una alerta si en rebem diverses de no vàlides en poc temps.
• Les dades de cada client es mantenen separades lògicament i l'accés del nostre personal està limitat per rols (apartat 15).

8.5 Amb qui les compartim

Les Dades de la plataforma només es comuniquen:

• al negoci client a qui pertanyen;
• als proveïdors que les tracten per compte nostre per prestar el servei (allotjament i còpies de seguretat, models d'IA que generen les respostes i, si el negoci l'activa, transcripció de notes de veu), que s'hi han compromès per escrit amb obligacions de confidencialitat i de protecció de dades (apartat 10); i
• a les autoritats, quan la llei ens hi obligui.

No venem, no llicenciem ni comprem Dades de la plataforma, i no les fem servir per a publicitat, per crear o ampliar perfils de les persones (l'única valoració que fem és la puntuació del contacte que l'assistent calcula per al negoci a partir del contingut de la mateixa conversa, apartat 12), per prendre decisions sobre la seva elegibilitat (per exemple, per a crèdits, habitatge, ocupació o assegurances), per discriminar ni per fer cap mena de vigilància.

8.6 Meta i WhatsApp

Meta i WhatsApp tracten les dades del servei de missatgeria per compte del negoci i també com a responsables independents per a les seves pròpies finalitats, d'acord amb les seves condicions i la seva política de privacitat. WhatsApp pot tractar i transferir dades als Estats Units i a altres països. L'emmagatzematge local a la UE de l'API de WhatsApp no està activat. Per conèixer com tracta Meta les dades, consulta la Política de privacitat de WhatsApp i la Política de privacitat de Meta.

8.7 Conservació i supressió

• Les converses i els contactes segueixen el termini que fixa el negoci (apartat 7).
• Si el negoci retira l'accés de la nostra aplicació des de Meta, rebem l'avís, marquem el canal com a desconnectat i deixem d'utilitzar l'autorització d'accés. Suprimim l'autorització d'accés quan el negoci ens ho demana i, com a molt tard, quan acaba el contracte, moment en què també donem de baixa la subscripció de l'aplicació al compte.
• Suprimim les Dades de la plataforma quan ho demana la persona afectada o el negoci, quan el negoci deixa de ser client, quan ja no són necessàries per a la finalitat per a la qual les vam obtenir, quan deixem de prestar el servei o quan Meta ens ho demana, llevat que la llei ens obligui a conservar-ne una part.
• Com fer-ho: Com demanar l'eliminació de les teves dades.

8.8 Compliment de les condicions de Meta i de WhatsApp

Tractem les Dades de la plataforma només tal com es descriu en aquesta política i d'acord amb les Condicions de la plataforma de Meta, les Polítiques per a desenvolupadors, les condicions de Meta i de WhatsApp per a la WhatsApp Business Platform i la Política de missatgeria de WhatsApp Business. Exigim per contracte als nostres clients que també les compleixin (Condicions del servei). Si Meta ens ho demana, suprimim Dades de la plataforma o suspenem el servei d'un client.

8.9 Pàgina d'alta de WhatsApp

La pàgina d'alta de WhatsApp (un enllaç d'un sol ús de core.xerinolia.com) carrega el kit de desenvolupament (SDK) de Facebook de Meta, necessari per obrir la finestra d'alta integrada. Vegeu l'apartat 17.2.

9. Intel·ligència artificial

• Avís d'IA. A WhatsApp i al xat web, el primer missatge diu, per exemple: «Hola! Soc l'assistent virtual (IA) de {negoci}. Si prefereixes parlar amb una persona, digues-m'ho.» Al telèfon, la locució inicial diu «Hola, t'atén un assistent d'intel·ligència artificial» i avisa que la trucada es transcriu (i, si el negoci l'ha activada, que es grava). El negoci no pot desactivar aquests avisos.
• Atenció per una persona. L'assistent deriva la conversa a una persona del negoci quan la persona ho demana i en les situacions que ho requereixen; les sol·licituds de drets i les queixes es deriven a una persona. Quan algú del negoci respon des de l'app, l'assistent deixa de respondre en aquella conversa durant 120 minuts.
• Límits. Els assistents s'adrecen a l'atenció al client de cada negoci. No fan diagnòstics ni donen consells mèdics; en una emergència remeten al 112. Les respostes de la IA poden contenir errors.
• Models. Les respostes, els resums i les puntuacions els generen els proveïdors de models d'IA de l'apartat 10. Per a cada negoci només es fan servir els proveïdors que consten a la llista de subencarregats que ha acceptat. Per als negocis de salut i els despatxos professionals, els models d'IA de text només es fan servir en ubicacions de la UE; l'assistent telefònic, si el negoci el contracta, funciona amb ElevenLabs, als EUA.
• Sense entrenament. Xerinolia no fa servir les converses ni les Dades de la plataforma per entrenar, ajustar ni millorar models d'IA, i fa servir els proveïdors de models de text en modalitats comercials en què no entrenen els seus models amb aquest contingut.
• Sense biometria. No fem servir la veu per identificar ningú ni fem reconeixement d'emocions.
• Menors. Si la persona diu que és menor d'edat, l'assistent no li demana dades ni en desa cap registre de contacte.

10. Destinataris, proveïdors i transferències internacionals

No venem dades personals ni les cedim per a publicitat. Hi accedeixen els proveïdors següents, que les tracten per compte nostre (o, quan s'indica, com a responsables independents), només en la mesura necessària per a cada servei:

Quan la plataforma envia avisos per correu electrònic o per un servei de notificacions a l'equip, ho fa a través de proveïdors que hi actuen com a encarregats. La llista de subencarregats que s'aplica a cada client, amb la ubicació i la garantia de cadascun, és a l'annex del seu contracte d'encàrrec del tractament.

També poden accedir a les dades de facturació dels clients els assessors que ens porten la comptabilitat i les entitats bancàries que gestionen els cobraments, i les administracions públiques i els jutjats quan la llei ho exigeixi.

Eines pròpies del negoci. Quan un negoci connecta el seu calendari (Google Calendar, Microsoft 365, Cal.com) o el seu CRM (per exemple, HubSpot, Pipedrive, Holded, Zoho, Odoo, Salesforce o Dynamics), hi enviem les dades que el negoci ens indica, per instrucció seva. Aquests proveïdors són del negoci, no de Xerinolia.

On són les dades. El servidor de la plataforma i les seves còpies de seguretat són a la UE. Alguns proveïdors tracten dades fora de la UE: la veu (ElevenLabs), la telefonia (Twilio), alguns models d'IA (Anthropic i, si s'activen, OpenAI) i Meta.

Transferències fora de l'Espai Econòmic Europeu. Quan un proveïdor tracta dades fora de l'EEE, la transferència es basa en les clàusules contractuals tipus aprovades per la Comissió Europea, amb les mesures complementàries necessàries, i, quan el proveïdor hi està certificat, en la decisió d'adequació del Marc de privacitat de dades UE-EUA. Pots demanar informació sobre aquestes garanties a hola@xerinolia.com.

11. Terminis de conservació

Conservem les dades només el temps necessari per a cada finalitat. Després, les suprimim o, quan la llei ens obliga a conservar-les, les mantenim bloquejades, només a disposició de jutges, tribunals i autoritats competents.

12. Perfils i decisions automatitzades

Xerinolia no pren decisions basades únicament en un tractament automatitzat que tinguin efectes jurídics sobre tu o que t'afectin de manera similar. Fem aquestes valoracions automàtiques senzilles, que són una forma d'elaboració de perfils:

• Puntuació d'oportunitat dels negocis potencials (de 0 a 100), basada en senyals tècnics de la web, el sector i les dades de contacte disponibles. Només serveix perquè el nostre equip ordeni la feina; sempre és una persona qui decideix si et contacta.
• Puntuació de l'interès mostrat a les demostracions, perquè el nostre equip valori com ha funcionat la demostració.
• Puntuació dels contactes que fa l'assistent per al negoci client (de 0 a 100, amb el motiu), a partir del contingut de la mateixa conversa. La fem per compte del negoci, només perquè prioritzi el seguiment i rebi avisos de contactes prioritaris. El contracte prohibeix al negoci fer-la servir per prendre decisions automatitzades.

T'hi pots oposar en qualsevol moment escrivint a hola@xerinolia.com o, en el cas de la puntuació dels contactes, al negoci.

13. Els teus drets

Pots exercir en qualsevol moment aquests drets:

• Accés: saber si tractem dades teves i obtenir-ne una còpia.
• Rectificació: corregir les dades inexactes o incompletes.
• Supressió: demanar que les eliminem, entre altres casos quan ja no siguin necessàries, quan retiris el consentiment o quan t'oposis al tractament. Aquest dret està disponible per a tothom, sigui on sigui.
• Oposició: oposar-te als tractaments basats en l'interès legítim, inclosa l'elaboració de perfils. A la prospecció comercial, l'oposició és absoluta: hi deixarem de tractar les teves dades sense que hagis de justificar res.
• Limitació del tractament: demanar que conservem les dades però que no les fem servir mentre es resol una reclamació o una oposició.
• Portabilitat: rebre en un format estructurat i llegible per màquina les dades que ens has facilitat, quan el tractament es basi en el consentiment o en un contracte.
• Retirar el consentiment en qualsevol moment, sense que això afecti la licitud del tractament anterior.

Com. Escriu a hola@xerinolia.com amb la referència «Protecció de dades», o per correu postal a l'Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida), indicant quin dret vols exercir. Només et demanarem informació addicional per identificar-te si tenim dubtes raonables sobre la teva identitat, i en aquest cas en demanarem el mínim imprescindible. Si actua per tu un representant, n'haurà d'acreditar la representació.

Termini i cost. Et respondrem en el termini d'un mes des que rebem la sol·licitud. Aquest termini es pot ampliar dos mesos més si la sol·licitud és complexa o en rebem moltes; en aquest cas t'ho comunicarem dins del primer mes. L'exercici dels drets és gratuït.

Dades tractades per compte d'un negoci. Si les dades són de les converses amb l'assistent d'un negoci, adreça't al negoci. Si ens escrius a nosaltres, li traslladarem la sol·licitud en un termini màxim d'1 dia hàbil.

Reclamació. Si consideres que no hem atès correctament els teus drets, pots presentar una reclamació davant l'Agència Espanyola de Protecció de Dades o l'Autoritat Catalana de Protecció de Dades.

14. Com demanar l'eliminació de les dades

Pots demanar en qualsevol moment que eliminem les teves dades. Hem preparat una pàgina amb instruccions pas a pas per a cada cas: Com demanar l'eliminació de les teves dades. En resum:

• Si has parlat amb l'assistent d'un negoci (WhatsApp, xat web o telèfon): adreça't al negoci o escriu-nos a hola@xerinolia.com amb l'assumpte «Eliminació de dades», el número de telèfon que vas fer servir i el nom del negoci.
• Si el teu negoci ha connectat WhatsApp amb Xerinolia: pots retirar l'accés de la nostra aplicació des de Meta Business Suite i demanar-nos la supressió de les dades.
• Si has provat una demostració, si et vam contactar per prospecció o si ens vas escriure des del web: escriu-nos a la mateixa adreça.

15. Seguretat

Apliquem mesures administratives, físiques i tècniques adequades al risc, entre les quals:

• connexions xifrades (HTTPS amb TLS 1.2 o 1.3 i HSTS);
• xifratge amb AES-256-GCM i claus pròpies de cada client de les autoritzacions d'accés a WhatsApp, dels PIN, de les credencials d'integracions i dels secrets del doble factor;
• contrasenyes desades amb un resum criptogràfic robust (scrypt), doble factor per a les persones administradores, galetes de sessió protegides i caducitat de les sessions per inactivitat;
• accés per rols, amb el mínim privilegi, i registre d'auditoria de les accions;
• separació lògica de les dades de cada client;
• limitació de peticions i comprovació de la signatura de les notificacions de Meta i d'ElevenLabs;
• servidor a la UE, amb contenidors aïllats i base de dades sense accés des d'Internet;
• mesures contra la manipulació dels assistents mitjançant instruccions malicioses;
• supressió dels secrets als registres tècnics;
• còpies de seguretat xifrades.

Si es produeix una violació de seguretat que afecti dades personals, actuarem d'acord amb el RGPD i, si afecta dades d'un negoci client, l'informarem perquè pugui complir les seves obligacions.

Informar d'una vulnerabilitat. Si detectes una vulnerabilitat o un problema de seguretat, escriu a hola@xerinolia.com amb l'assumpte «Seguretat», sense explotar-la ni accedir a dades de tercers. Et respondrem al més aviat possible.

16. Menors

Els serveis de Xerinolia s'adrecen a empreses i professionals, i les demostracions estan reservades a persones majors d'edat. No recollim conscientment dades de menors. Si una persona diu a un assistent que és menor d'edat, l'assistent no li demana dades, no en crea cap registre de contacte i no li fa reserves.

17. Galetes i emmagatzematge local

17.1 xerinolia.com

Aquest lloc web no utilitza galetes (cookies). Ni pròpies ni de tercers, ni de publicitat ni d'analítica.

L'única tecnologia d'emmagatzematge que fem servir és el localStorage del teu navegador, exclusivament per guardar temporalment el text del formulari de contacte mentre l'omples i que no perdis el que has escrit. Aquesta informació no surt mai del teu dispositiu, no ens l'enviem i s'esborra automàticament quan envies el formulari. En tractar-se d'una funció estrictament tècnica sol·licitada per l'usuari, està exempta de consentiment segons l'article 22.2 de la LSSI-CE. Les tipografies es carreguen de Google Fonts (apartat 5).

17.2 core.xerinolia.com

La plataforma no fa servir galetes ni cap altra tecnologia amb finalitats d'analítica o de publicitat (amb l'única excepció del kit de Meta a la pàgina d'alta de WhatsApp, que s'explica més avall), i les tipografies s'allotgen al mateix servidor. Fora d'això, només fa servir els elements tècnics necessaris per al servei que has demanat:

• Pàgina d'acceptació del contracte: no fa servir galetes ni emmagatzematge local.
• Pàgina d'alta de WhatsApp: en obrir-la es carrega el kit de desenvolupament (SDK) de Facebook de Meta, necessari per a l'alta integrada. Meta pot llegir o desar galetes al seu domini i rebre dades de navegació i esdeveniments tècnics automàtics de la pàgina, d'acord amb la seva política de galetes. Xerinolia no hi té accés ni els fa servir per a publicitat. Aquesta pàgina només la fan servir els representants dels negocis que connecten WhatsApp.
• Connexió de calendaris: et redirigim a la pàgina d'inici de sessió de Google, Microsoft o Cal.com, que apliquen les seves pròpies polítiques.
• Recursos de tercers a les demostracions: el logotip del negoci es carrega des de la seva pròpia web (que rep l'adreça IP del visitant, però no l'adreça de la pàgina de demostració); si inicies la prova de veu, el navegador es connecta a ElevenLabs i, en alguns navegadors, pot descarregar un component d'àudio de la xarxa jsDelivr.

17.3 Xat de Xerinolia a les webs dels negocis

El negoci és el titular de la seva web i el responsable de la seva política de galetes. El xat que hi incorpora fa servir:

Normalment aquests elements es creen quan el visitant obre el xat. Si el xat està integrat dins de la pàgina, o si hi ha hagut una conversa en les últimes 24 hores, es creen en carregar la pàgina; en aquest cas, el negoci ha de valorar si necessita el consentiment del visitant. En carregar la pàgina, el navegador descarrega el programa del xat des de core.xerinolia.com, que en rep l'adreça IP com a encarregat del negoci.

17.4 Com gestionar-los

Pots esborrar en qualsevol moment les galetes i l'emmagatzematge local des de la configuració del teu navegador. Si esborres la galeta de sessió, hauràs de tornar a iniciar sessió; si esborres l'emmagatzematge del xat, començaràs una conversa nova. Si en el futur incorporem galetes o eines que no siguin estrictament necessàries, actualitzarem aquesta política i et demanarem el consentiment abans d'activar-les.

18. Què no fem amb les dades

• No venem dades personals ni Dades de la plataforma, i no en llicenciem ni en comprem.
• No fem publicitat amb les dades ni fem servir eines d'analítica o de publicitat; l'única tecnologia de tercers d'aquest tipus és el kit de Meta a la pàgina d'alta de WhatsApp (apartat 17.2).
• No entrenem models d'IA amb les converses ni amb les Dades de la plataforma.
• No fem servir les dades dels clients dels negocis per a finalitats pròpies (per exemple, per a la nostra prospecció), ni les combinem amb les d'altres clients.
• No prenem decisions automatitzades amb efectes jurídics, no determinem l'elegibilitat de ningú per a serveis com crèdits, habitatge, ocupació o assegurances, i no fem servir les dades per discriminar ni per vigilar persones.
• No enviem comunicacions comercials per correu, SMS o WhatsApp a qui no ens les ha demanat.

19. Canvis d'aquesta política

Podem actualitzar aquesta política per adaptar-la a canvis normatius, tècnics o del servei. Publicarem qualsevol canvi en aquesta pàgina, amb la data d'actualització. Si el canvi és rellevant, ho comunicarem abans que s'apliqui als nostres clients i als usuaris de la consola pels canals habituals. Aquesta política està disponible en català, castellà i anglès, i totes les versions tenen el mateix valor.

20. Contacte

Per a qualsevol dubte sobre aquest avís legal o sobre el tractament de les teves dades: hola@xerinolia.com o Avda. de les Basses, 8 — 25133 Vilanova de Segrià (Lleida).

Documents relacionats: Condicions del servei · Com demanar l'eliminació de les teves dades.