Política de privacidad

Esta política explica cómo AITECA LAB, S.L. (en adelante, AITECA) trata los datos personales, en cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

El documento tiene dos partes porque AITECA interviene con dos papeles distintos. La Parte A se refiere a este sitio web y a la relación comercial con AITECA: aquí AITECA decide las finalidades y es responsable del tratamiento. La Parte B se refiere a Zentra, el CRM conversacional con asistente de inteligencia artificial: allí AITECA actúa como encargada por cuenta de la empresa que utiliza la herramienta, que es la responsable de esos datos.

Parte A. AITECA y este sitio web

A.1 Responsable del tratamiento

• Responsable: AITECA LAB, S.L.
• NIF: B88841382
• Domicilio: Plaza San Cristóbal, 14, 03002 Alicante, España
• Correo para asuntos de privacidad: privacidad@aiteca.tech
• Correo general: info@aiteca.tech
• Teléfono: +34 644 89 85 66

A.2 Qué datos tratamos

Formularios de contacto. Cuando solicitas información recogemos:

• Nombre y nombre de la empresa o proyecto.
• Correo electrónico y número de teléfono, con su prefijo internacional.
• Volumen aproximado de consultas que recibes, herramienta de gestión que utilizas y si la decisión de contratar depende solo de ti.
• La descripción de tu necesidad, en el campo libre.
• Tu preferencia sobre cómo quieres que te contactemos, por WhatsApp o por llamada.
• Cómo nos has conocido, si decides indicarlo.
• La página por la que entraste al sitio y, si aceptas las cookies de análisis, el sitio de procedencia y la campaña de origen.

Al enviar el formulario confirmas que has leído esta política. La casilla no es un consentimiento para recibir publicidad: solo acredita que se te ha informado.

Asistente conversacional del sitio. Si usas el chat que aparece en la web tratamos:

• Los mensajes de texto que escribes.
• Las notas de voz que grabas, para transcribirlas y poder responderte.
• Un identificador aleatorio de sesión que permite mantener el hilo de la conversación.

Llamadas al número comercial. El número +34 865 760 837, que aparece en la web como acceso al asistente de voz, está atendido por un sistema automatizado que graba y transcribe la conversación. Si llamas se tratan:

• Tu número de teléfono y la duración de la llamada.
• La grabación de audio de la conversación.
• La transcripción y el resumen de la llamada.

El número +34 644 89 85 66, que figura en estas páginas legales, es el canal de contacto con la empresa y no forma parte del asistente automatizado.

Navegación. Al visitar el sitio se tratan datos técnicos:

• Dirección IP, tipo de navegador y de dispositivo.
• Páginas visitadas y comportamiento de navegación, solo si aceptas las cookies de análisis.

El detalle de las cookies figura en la Política de cookies.

A.3 Finalidades y bases jurídicas

• Atender tu solicitud y preparar una propuesta. Base jurídica: aplicación de medidas precontractuales a petición del interesado, artículo 6.1.b del RGPD.
• Resolver tus consultas por el chat de la web o por teléfono. Base jurídica: interés legítimo en atender a quien nos contacta por un canal habilitado para ello, artículo 6.1.f, o medidas precontractuales cuando la consulta va dirigida a contratar.
• Grabar y transcribir las llamadas al número comercial para dejar constancia de lo solicitado y poder dar continuidad a la conversación. Base jurídica: interés legítimo, artículo 6.1.f. Puedes oponerte y pedir que se te atienda por otro canal escribiendo a privacidad@aiteca.tech.
• Gestionar la relación contractual y su facturación. Base jurídica: ejecución del contrato, artículo 6.1.b, y cumplimiento de obligaciones legales contables y fiscales, artículo 6.1.c.
• Enviar información sobre servicios similares a quien ya es cliente. Base jurídica: interés legítimo, con posibilidad de oponerte en cualquier momento y en cada comunicación.
• Medir el uso del sitio con analítica web. Base jurídica: tu consentimiento, artículo 6.1.a, que puedes retirar cuando quieras desde la página de cookies.
• Conocer por qué canal nos llegan las solicitudes, para medir la eficacia de nuestra presencia en buscadores y asistentes. Base jurídica: interés legítimo, artículo 6.1.f del RGPD.
• Garantizar la seguridad del sitio y prevenir el envío automatizado de formularios. Base jurídica: interés legítimo.

A.4 Destinatarios

No vendemos datos personales ni los cedemos con fines comerciales. Para prestar el servicio nos apoyamos en proveedores que actúan como encargados del tratamiento y que acceden a los datos únicamente siguiendo nuestras instrucciones:

• El proveedor de alojamiento del sitio web y de nuestra infraestructura interna.
• Google Ireland Limited, para la analítica del sitio y la gestión de etiquetas. La analítica solo se activa si aceptas las cookies.
• Microsoft Ireland Operations Limited, a través de Microsoft Clarity, para analizar de forma agregada cómo se usa la web. Solo se activa si aceptas las cookies.
• OpenAI y Google, como proveedores de los modelos de lenguaje que generan las respuestas del asistente conversacional de la web y que transcriben las notas de voz.
• Vapi, para la gestión del asistente de voz que atiende el número comercial, con la grabación, la transcripción y el resumen de la llamada.
• Meta Platforms, cuando eliges WhatsApp como vía de contacto en el formulario y la conversación continúa por ese canal.
• Los proveedores de correo electrónico y de gestión comercial que utilizamos internamente para organizar el seguimiento.
• Administraciones públicas, juzgados y fuerzas de seguridad, cuando exista una obligación legal de comunicación.

Cada uno de estos proveedores puede apoyarse a su vez en sus propios subencargados, detallados en sus respectivas políticas de privacidad.

A.5 Transferencias internacionales

Algunos de los proveedores citados en el apartado anterior están establecidos fuera del Espacio Económico Europeo o pueden tratar datos en terceros países, en particular en Estados Unidos. Es el caso de OpenAI y de Vapi. Google presta los servicios de analítica a través de Google Ireland Limited, y Microsoft la de Clarity a través de Microsoft Ireland Operations Limited; ambas pueden tratar datos fuera del Espacio Económico Europeo.

Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en el marco de adecuación que resulte aplicable a cada proveedor, junto con las medidas complementarias que en su caso correspondan. Puedes solicitar copia de las garantías aplicadas escribiendo a privacidad@aiteca.tech.

A.6 Plazos de conservación

• Los datos de quienes solicitan información y no llegan a contratar se conservan un máximo de dos años desde el último contacto, salvo que pidas antes su supresión.
• Los datos de clientes se conservan mientras dure la relación contractual y, después, bloqueados durante los plazos de prescripción legal y los exigidos por la normativa contable y fiscal.
• Las conversaciones del asistente del sitio y las transcripciones de llamadas se conservan durante el tiempo necesario para atender la consulta y acreditar su gestión.
• Las grabaciones de las llamadas al número comercial se conservan un máximo de un año y después se suprimen.
• Los datos de analítica web se conservan según los plazos configurados en la herramienta.

A.7 Tus derechos

Puedes ejercer los siguientes derechos escribiendo a privacidad@aiteca.tech, indicando cuál ejercitas y aportando información suficiente para identificarte:

• Acceso a los datos que tratamos sobre ti.
• Rectificación de los datos inexactos.
• Supresión, cuando ya no sean necesarios o retires tu consentimiento.
• Oposición al tratamiento basado en interés legítimo.
• Limitación del tratamiento mientras se resuelve una reclamación.
• Portabilidad de los datos que nos hayas facilitado.
• Retirada del consentimiento, sin que ello afecte al tratamiento anterior.

Respondemos en el plazo máximo de un mes. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos, en www.aepd.es.

Parte B. Zentra

Zentra es un CRM conversacional con asistente de inteligencia artificial. Unifica en una sola bandeja de entrada WhatsApp, Instagram, chat web, correo electrónico y llamadas de voz, e incorpora gestión de contactos, embudos de venta, tareas, calendario, formularios y automatizaciones.

B.1 Cómo se despliega Zentra

Zentra es una instalación independiente por cliente. Cada empresa que lo usa tiene su propio servidor, su propia base de datos PostgreSQL, su propio Redis y su propio almacenamiento de archivos, bajo su propio dominio. AITECA publica las imágenes de software y es el servidor del cliente el que las descarga y las ejecuta.

Esto tiene una consecuencia importante: no existe ninguna plataforma central de AITECA en la que se agreguen datos de varios clientes. Los datos de cada empresa viven únicamente en su propia instalación.

B.2 Quién es responsable y quién encargado

• El cliente de Zentra es el responsable del tratamiento de los contactos, conversaciones y contenidos que gestiona con la herramienta. Es él quien decide las finalidades y quien debe informar a sus contactos y atender sus derechos.
• AITECA es encargada del tratamiento respecto de esos datos. Accede a ellos únicamente para prestar el servicio, dar soporte y mantener la infraestructura, siguiendo las instrucciones del cliente y en el marco del contrato de encargo previsto en el artículo 28 del RGPD.
• AITECA es responsable del tratamiento solo respecto de sus propios datos: los visitantes de aiteca.tech, los formularios de contacto, los contactos comerciales y la relación contractual con sus clientes. Eso es lo que describe la Parte A.

Si has hablado por WhatsApp, Instagram o teléfono con una empresa que usa Zentra, el responsable de tus datos es esa empresa, no AITECA. En la página de Eliminación de datos se explica cómo proceder en ese caso.

B.3 Qué datos trata Zentra

• Contactos: nombre, apellidos, correo electrónico, teléfono, empresa, origen, notas libres, campos personalizados definidos por el cliente y el estado del consentimiento de marketing por canal, con su fecha y su origen.
• Conversaciones y mensajes: el contenido íntegro de los mensajes, los archivos adjuntos, las transcripciones de las notas de voz y, en el caso del correo electrónico, los campos de cabecera y el cuerpo del mensaje.
• Llamadas de voz: transcripción completa, resumen, datos recogidos durante la llamada, número de teléfono, duración y grabación.
• Formularios: las respuestas enviadas, junto con la dirección IP y el navegador de quien los envía.
• Usuarios del CRM: correo electrónico, contraseña cifrada, nombre, rol, puesto, teléfono y departamento.
• Registros de auditoría del asistente: las instrucciones enviadas al modelo, el mensaje del usuario, el historial de la conversación, la respuesta generada y las herramientas invocadas.

B.4 Finalidades y bases jurídicas

Zentra trata estos datos para prestar el servicio contratado por el cliente, lo que incluye:

• Conectar los canales de comunicación y sincronizar sus mensajes.
• Enviar y recibir mensajes en nombre del cliente.
• Generar respuestas y borradores asistidos por inteligencia artificial.
• Transcribir notas de voz y llamadas, y analizar las imágenes y documentos recibidos.
• Gestionar contactos, oportunidades, tareas, formularios y agenda.
• Ejecutar las automatizaciones configuradas por el cliente.
• Prestar soporte técnico y mantener la infraestructura.
• Garantizar la seguridad del sistema y registrar la actividad para poder auditarla.
• Facturar el servicio.

La base jurídica frente a las personas cuyos datos se tratan corresponde determinarla al cliente, que es el responsable. Habitualmente será la ejecución de un contrato o de medidas precontractuales, el consentimiento cuando se trate de comunicaciones comerciales, el interés legítimo en la atención a clientes o el cumplimiento de una obligación legal.

La base jurídica que legitima el acceso de AITECA a esos datos es el contrato de encargo de tratamiento suscrito con el cliente. Para la facturación del servicio y la conservación de la documentación contable, AITECA actúa por obligación legal propia.

B.5 Canales de Meta y permisos utilizados

Cuando el cliente conecta Zentra con WhatsApp Business Platform o con Instagram, la aplicación solicita a Meta Platforms los permisos necesarios para operar esos canales en su nombre. Cada permiso se utiliza para lo siguiente:

• whatsapp_business_management: dar de alta y configurar la cuenta de WhatsApp Business del cliente, gestionar sus números de teléfono y las plantillas de mensaje que Meta debe aprobar.
• whatsapp_business_messaging: enviar y recibir mensajes de WhatsApp en nombre del cliente, incluidos los archivos adjuntos y las notas de voz.
• business_management: vincular la cuenta de empresa del cliente y verificar los activos que ha autorizado a la aplicación.
• instagram_business_basic: identificar la cuenta profesional de Instagram conectada y sus datos básicos de perfil.
• instagram_business_manage_messages: leer y responder los mensajes directos de Instagram desde la bandeja unificada.

El listado vigente de permisos concedidos es el que figura en la configuración de la aplicación Zentra en el panel de Meta. Los datos recibidos por estos canales se almacenan exclusivamente en el servidor del cliente y no se comparten con otros clientes ni se utilizan para finalidades ajenas a la prestación del servicio.

B.6 Proveedores y subencargados

Estas son las conexiones directas del sistema, agrupadas por función, con la información que sale hacia cada una. Cada proveedor puede apoyarse a su vez en sus propios subencargados, detallados en sus respectivas políticas de privacidad.

Proveedores de inteligencia artificial.

OpenAI, Anthropic y Google, este último a través de Gemini en AI Studio o de Vertex AI. Reciben el mensaje del contacto, el historial reciente de la conversación y el contexto de ese contacto, que incluye nombre, teléfono, correo, empresa, notas, oportunidades y citas. También reciben el fichero de audio completo de las notas de voz, para transcribirlas, y las imágenes y documentos que el contacto envíe, para analizarlos. Los mismos proveedores generan las representaciones vectoriales que sostienen la búsqueda semántica, y esos vectores se almacenan en la base de datos del propio cliente. Cuál de los tres se utiliza en cada instalación es configurable. Las cuentas de estos proveedores las contrata el cliente a su nombre, por lo que actúan como subencargados suyos.

Políticas de privacidad: OpenAI, Anthropic, Google.

Mensajería.

Meta Platforms, para WhatsApp Business Platform e Instagram. Recibe y entrega los mensajes, los adjuntos y los identificadores de los participantes en la conversación. Como alternativa configurable, el proveedor de soluciones yCloud puede actuar de intermediario para WhatsApp. Puedes consultar la política de privacidad de Meta.

Voz.

Vapi, para la gestión de las llamadas telefónicas. Recibe las instrucciones del asistente, el contexto del contacto y el teléfono de quien llama, y devuelve la transcripción de la llamada, un resumen y la grabación, que Zentra descarga al servidor del cliente.

Correo electrónico.

Depende de la cuenta que conecte el cliente: Google, mediante la API de Gmail y el servicio de notificaciones de cambio de buzón; Microsoft, mediante Graph para Outlook; o un servidor IMAP y SMTP genérico. El correo saliente del sistema se envía a través del servidor SMTP del propio cliente.

Calendario.

Google Calendar u Outlook Calendar, según lo que conecte el cliente. Se sincronizan el título, la descripción, el horario y los asistentes de cada evento.

Integraciones definidas por el cliente.

El administrador de cada instalación puede configurar automatizaciones que envían datos a URL externas, herramientas del asistente conectadas a servicios propios y servidores MCP. En esos casos el destino lo elige el cliente, no AITECA, y corresponde al cliente valorar la licitud de esas comunicaciones y suscribir los acuerdos que procedan.

Zentra no incorpora herramientas de analítica, de publicidad, de seguimiento de errores ni de telemetría. El producto no envía datos de uso a terceros con esas finalidades.

B.7 Uso de inteligencia artificial

El contenido de las conversaciones se procesa mediante modelos de lenguaje de terceros para generar respuestas, borradores, transcripciones y resúmenes. Conforme a las condiciones que OpenAI y Anthropic aplican a sus clientes de API, el contenido enviado no se utiliza para entrenar sus modelos, aunque puede conservarse durante un periodo limitado para el control de usos abusivos. En el caso de Google, esa exclusión está garantizada en Vertex AI y en el nivel de pago de la API de Gemini, no en el nivel gratuito de AI Studio, que por ese motivo no debe utilizarse en instalaciones productivas.

Las personas que se comunican con una empresa que usa Zentra deben saber que están interactuando con un sistema automatizado. La herramienta está diseñada para que esa información sea explícita, y corresponde al cliente configurarla de forma que así sea. Esta obligación de transparencia enlaza con el Reglamento europeo de inteligencia artificial, cuyas exigencias en esta materia son aplicables desde agosto de 2026.

El asistente no adopta decisiones con efectos jurídicos o significativos sobre las personas de forma automatizada. Su función es asistir a los usuarios del CRM, que mantienen el control sobre las conversaciones y pueden intervenir en cualquier momento.

B.8 Plazos de conservación

La política de conservación es configurable por el cliente. Los valores por defecto son los siguientes:

• 90 días para los registros de llamadas al modelo de lenguaje y de ejecución de herramientas.
• 30 días para los borradores generados por el asistente.
• 365 días para las llamadas de voz, que además se anonimizan al vencer ese plazo.

Al eliminar un contacto, el sistema borra automáticamente sus registros asociados del asistente y anonimiza los registros de auditoría en los que aparecía. El resto de datos se conserva mientras el cliente mantenga el servicio y decida conservarlos, ya que es él quien determina los plazos como responsable del tratamiento.

B.9 Medidas de seguridad

• Aislamiento por cliente: cada instalación tiene su propio servidor, base de datos y almacenamiento, sin que exista una base compartida entre clientes.
• Cifrado con AES-256-GCM de las credenciales de terceros almacenadas en base de datos, como contraseñas de correo, tokens de calendario y tokens de servidores MCP y de herramientas propias.
• Cifrado del tráfico con TLS mediante certificados gestionados de forma automática.
• Contraseñas de los usuarios del CRM almacenadas cifradas, nunca en claro.
• Control de acceso por roles dentro de la herramienta.
• Registro de auditoría de la actividad del asistente.

B.10 Transferencias internacionales

La instalación se realiza en el servidor que elige el cliente, ya sea un VPS contratado por él o su propia infraestructura. AITECA recomienda Hostinger y aconseja seleccionar una región situada dentro del Espacio Económico Europeo. La ubicación final de los datos alojados la decide el cliente.

Varios de los proveedores citados en el apartado B.6 están establecidos fuera del Espacio Económico Europeo, en particular en Estados Unidos. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en el marco de adecuación que resulte aplicable a cada proveedor, junto con las medidas complementarias que en su caso correspondan.

En el caso de Google, Vertex AI permite fijar la región en la que se tratan las peticiones. AITECA recomienda seleccionar una región situada dentro del Espacio Económico Europeo, y así lo configura en las instalaciones que administra. Si no se fija región, Google puede tratar las peticiones fuera del Espacio Económico Europeo. Cada proveedor detalla en su propia política de privacidad los mecanismos de transferencia que aplica.

B.11 Derechos y cómo ejercerlos

Toda persona cuyos datos se traten en Zentra puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.

Como el responsable es la empresa que utiliza la herramienta, la vía natural es dirigirse a ella directamente. Si la solicitud se dirige a AITECA, la trasladaremos al responsable sin dilación indebida y te confirmaremos que lo hemos hecho. Puedes escribirnos a privacidad@aiteca.tech.

En todo caso, puedes presentar una reclamación ante la Agencia Española de Protección de Datos, en www.aepd.es, o ante la autoridad de control de tu país de residencia.

B.12 Cómo desconectar la integración con Meta

El cliente puede retirar en cualquier momento la conexión de Zentra con WhatsApp Business Platform o con Instagram desde la configuración de su cuenta de empresa en Meta, en el apartado de aplicaciones conectadas, o desde la propia configuración de canales de la herramienta.

Al desconectar, Zentra deja de enviar y de recibir mensajes por ese canal de forma inmediata, y los permisos concedidos quedan revocados. Los mensajes y contactos que ya estaban almacenados en el servidor del cliente no se borran de forma automática por el hecho de desconectar: para eliminarlos hay que solicitarlo, siguiendo el procedimiento de la página de Eliminación de datos.

B.13 Eliminación de datos

Cambios en esta política

Esta política puede actualizarse para reflejar cambios en los servicios, en los proveedores o en la normativa aplicable. La fecha de la última revisión figura al principio del documento. Los cambios relevantes se comunicarán a los clientes por los canales habituales.

Documentos relacionados: Condiciones del servicio, Política de cookies y Aviso legal.