Política de privacidad de Skailon · versión 1.2

Versión en español; hay una versión en inglés con el mismo contenido: skailon.com/privacy.

1. Quiénes somos

El responsable de los datos descritos en esta política es ЕЙ АЙ СИСТЕМИ ЕООД (AI Systems EOOD), sociedad búlgara con EIK 208733960 y domicilio en ul. Grigor Cheshmedzhiev 29, ap. 25A, 1404 Sofía (Bulgaria), titular de la marca Skailon. Para cualquier asunto de privacidad: hola@skailon.com.

2. Nuestros dos papeles

Somos responsables de los datos de quienes visitan skailon.com, de quienes nos dejan sus datos o nos escriben, y de los usuarios de las cuentas de nuestros clientes en lo que se refiere a su cuenta, su acceso, su seguridad y la facturación.

Somos encargados de los datos de los contactos y leads de nuestros clientes, y de la actividad de cada usuario dentro del espacio de su empresa: las tareas, los mensajes que envía y los tramos en que está conectado. En esos casos el responsable es el negocio: trata esos datos según sus propias condiciones y su política de privacidad, y nosotros solo seguimos sus instrucciones, conforme a nuestro contrato de encargado (skailon.com/legal/dpa). Si eres cliente de uno de esos negocios, o trabajas en él, dirígete a él para ejercer tus derechos; nosotros le ayudamos a atenderlos.

3. Qué datos tratamos como responsables, para qué y con qué base

Por correo o por el WhatsApp de soporte no nos envíes datos de tus clientes: el soporte que los necesite lo damos desde el panel. Si nos llegan por esas vías, los pasamos al panel y los borramos de ellas.

Los datos de la cuenta y de la facturación son necesarios para darte el servicio: sin ellos no podemos crear tu cuenta. El resto es voluntario.

4. Inteligencia artificial

Skailon usa modelos de lenguaje para redactar respuestas, clasificar y resumir conversaciones, leer imágenes y documentos, analizar llamadas y responder a las preguntas del panel. Para cada tarea se envía al proveedor del modelo el contenido necesario, no el historial completo.

El proveedor es Anthropic, con sede en EE. UU., que puede ejecutar el procesamiento en EE. UU. o en otras regiones de su infraestructura. Anthropic se obliga por contrato a no usar ese contenido para entrenar sus modelos, y lo borra en un máximo de 30 días, salvo que deba conservarlo por ley o para investigar un uso indebido.

Las notas de voz y las llamadas se transcriben en la Unión Europea (Microsoft Azure, Irlanda), y el texto resultante se trata como el resto de la conversación.

Cuando gestionamos nuestros propios contactos, la IA no toma decisiones que produzcan efectos jurídicos sobre ti ni te afecten de forma similar.

5. Mensajería y Meta

Cuando un negocio conecta WhatsApp, Instagram o Facebook, lo hace con sus propias cuentas de Meta, y los mensajes pasan por Meta con las condiciones que el negocio acepta con ella.

En el panel, el kit de Facebook se carga solo cuando pulsas «Conectar» en un canal de Meta, después de avisarte de que Meta puede usar sus cookies.

Las conversiones de anuncios solo se envían a Meta si el negocio lo activa, solo con identificadores que Meta ya emitió (sin teléfono, correo ni nombre) y nunca si el negocio ha declarado que trata datos de salud. Con cada conversión viajan el nombre del suceso, la fecha y, si es una venta, su importe.

6. Datos de Google y uso limitado

Cuando un usuario del Servicio conecta su cuenta de Google, por ejemplo para iniciar sesión con Google o para conectar su Google Calendar, accedemos a sus datos de Google solo para prestar las funciones que pide expresamente: identificarle, leer la disponibilidad del calendario conectado y crear, actualizar o borrar los eventos que corresponden a las citas gestionadas en Skailon. Solo guardamos los datos mínimos necesarios para esas funciones y nunca los usamos para publicidad.

El uso que hace Skailon de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, cumplirán la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use). El uso de los datos de usuario, en bruto o derivados, recibidos de las API de Workspace cumplirá la Google User Data Policy, incluidos los requisitos de uso limitado. En particular:

• no transferimos datos de usuario de Google a terceros, salvo cuando sea necesario para prestar las funciones descritas, con el consentimiento del usuario, por motivos de seguridad o para cumplir la ley;
• no los usamos para mostrar anuncios;
• no permitimos que ninguna persona los lea, salvo con el consentimiento expreso del usuario, cuando sea necesario por seguridad o para cumplir la ley, o si los datos se han agregado y anonimizado.

Los datos de usuario de Google nunca se usan para entrenar modelos generales de inteligencia artificial o de aprendizaje automático.

7. Datos de Zoom

Cuando el administrador de un negocio cliente conecta la cuenta de Zoom del negocio al Servicio (la app «Skailon» del Zoom App Marketplace), recibimos de Zoom avisos sobre las reuniones y los seminarios web de esa cuenta: cuándo empieza y termina una sesión, cuándo entra o sale un participante, y cuándo alguien se inscribe o cancela su inscripción. De las sesiones ya terminadas (las de los últimos 14 días al conectar la cuenta, y cualquier sesión cuyos avisos no llegaran) leemos además en Zoom, solo en lectura, la lista de participantes con sus horas de entrada y salida y su correo, y el correo del anfitrión para no contarlo. Usamos estos datos solo para mostrar al negocio cómo fueron sus sesiones en directo (curva de asistencia, pico, quién se quedó hasta el final, inscripciones) y para reconocer qué participantes ya son contactos de ese negocio.

• Qué guardamos: el ID de la cuenta de Zoom que dirige los avisos, el correo del usuario de Zoom que conectó la app y los tokens de acceso y de renovación de OAuth, cifrados. De cada sesión guardamos solo datos derivados: un hash irreversible de cada participante o inscrito y, si su correo coincide con un contacto del negocio, la referencia a ese contacto.
• Qué no guardamos: los nombres ni los correos de los participantes, el contenido de las reuniones, las grabaciones, los chats ni las transcripciones. El anfitrión no cuenta como participante.
• Con quién se comparte: solo lo ve el negocio que conectó la cuenta. No lo vendemos ni lo usamos para publicidad ni para entrenar modelos de IA.
• Cómo desconectarla: desde Skailon (Canales › Integraciones › Zoom › Desconectar) o eliminando la app desde el Zoom App Marketplace. Cuando Zoom nos avisa de que se eliminó la app, borramos de inmediato los tokens y el correo de la cuenta de Zoom conectada. Instrucciones: skailon.com/zoom.

8. Con quién compartimos datos

Proveedores que tratan datos por nuestra cuenta o por cuenta de nuestros clientes, cada uno con su contrato de encargo. La lista completa y vigente, con la ubicación y la garantía de cada uno, está en skailon.com/legal/subprocesadores. Hoy son:

• Supabase: base de datos y archivos. Datos en Alemania; empresa con sede en EE. UU.
• Render: servidores, cola y caché. Datos en Alemania; empresa con sede en EE. UU.
• Anthropic: modelos de IA. EE. UU. u otras regiones de su infraestructura.
• Microsoft Azure: transcripción de voz. Datos en Irlanda; empresa con sede en EE. UU.
• Telnyx: llamadas y SMS. EE. UU.
• Resend: correos del servicio. EE. UU.
• Sentry: registro de errores. Datos en Alemania; empresa con sede en EE. UU.
• Vercel: alojamiento de la web y del panel. EE. UU.
• Hostinger International Ltd. (Chipre): el buzón hola@skailon.com y nuestra herramienta de automatización, que recibe el formulario de la web (servidor en París, con copias de seguridad en los Países Bajos). Hostinger guarda los buzones y sus copias en el Espacio Económico Europeo, sin concretar el país, y en el tratamiento del correo intervienen también subencargados suyos con sede en EE. UU.

Para nuestros propios datos, además:

• Stripe: pagos.
• Cloudflare: comprobación anti-bots en el alta.
• Google: el inicio de sesión con Google y el correo de soporte, porque leemos y contestamos hola@skailon.com desde una cuenta de Gmail.

Meta. Cuando un negocio conecta WhatsApp, Instagram o Facebook, Meta trata los mensajes con las condiciones que el negocio acepta con ella (apartado 5). Nosotros usamos también WhatsApp, con nuestra propia cuenta de Skailon, para el WhatsApp de soporte y las conversaciones contigo.

Integraciones que el negocio conecta con su propia cuenta (por ejemplo ElevenLabs, Fathom, Zoom, Google Calendar, GoHighLevel o ManyChat), sus webhooks o sus fuentes de datos: los datos se envían a esos servicios porque el negocio lo configura, y se rigen por la relación entre el negocio y cada servicio.

No vendemos datos ni los usamos para publicidad de terceros.

9. Transferencias fuera de la Unión Europea

Algunos de nuestros proveedores tienen su sede en EE. UU. o tratan datos allí:

• Tratan datos en EE. UU.: Anthropic (que puede usar también otras regiones), Telnyx, Resend, Vercel, Stripe, Cloudflare, Meta y Google.
• Alojan los datos en la UE, pero son empresas con sede en EE. UU. y pueden acceder a ellos desde allí para dar soporte: Supabase, Render, Sentry y Microsoft.
• Hostinger: guarda los buzones en el Espacio Económico Europeo, pero entre los subencargados que intervienen en el correo hay empresas de EE. UU. Para esas transferencias se aplican las cláusulas tipo de su contrato de encargo.

Estas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE–EE. UU. En skailon.com/legal/subprocesadores indicamos la garantía de cada proveedor. Puedes pedirnos una copia de las cláusulas escribiendo a hola@skailon.com.

10. Cuánto tiempo guardamos los datos

• Cuenta y acceso al panel: mientras la cuenta exista. Cuando termina el servicio, 30 días y se suprimen. Una cuenta sin suscripción se da por terminada tras 60 días sin uso.
• Constancia de la aceptación de las condiciones: mientras dure la relación y 5 años después.
• Facturación: 10 años, por la ley contable búlgara.
• Copias de seguridad: lo que borramos según estos plazos desaparece también de nuestras copias de seguridad cuando se renuevan, en un máximo de 30 días más.
• Formulario de la web y conversaciones con nosotros: la copia del formulario que recibe nuestra herramienta de automatización se borra sola en un máximo de 14 días. Cuando te contactamos, tus datos y la conversación se guardan como contacto 24 meses desde el último contacto, salvo que te hagas cliente.
• Soporte: los mensajes, mientras exista tu cuenta y 12 meses después; el registro de cada entrada en tu cuenta, mientras dure la relación y 5 años después.
• Registros técnicos de la web y de errores: los de errores, 30 días; los del servidor, 7 días; los del panel y de la web, 30 días.
• Datos de los leads de nuestros clientes: los decide cada negocio. Cuando termina el servicio, el negocio tiene al menos 30 días para pedir su devolución; después se suprimen, conforme al contrato de encargado.

11. Tus derechos

Puedes pedirnos el acceso a tus datos, su rectificación, su supresión, la limitación de su tratamiento y su portabilidad, y retirar tu consentimiento cuando quieras, escribiendo a hola@skailon.com. Te contestamos en un mes como máximo.

Derecho de oposición. Puedes oponerte en cualquier momento a que tratemos tus datos por interés legítimo. Dejaremos de hacerlo, salvo que haya motivos legítimos imperiosos o los necesitemos para defendernos de reclamaciones. Si te opones a recibir comunicaciones comerciales, dejaremos de enviártelas siempre.

Para borrar los datos que nos llegan por Meta tienes también las instrucciones de skailon.com/data-deletion.

Puedes reclamar ante la Comisión búlgara de Protección de Datos Personales (cpdp.bg) o ante la autoridad de tu país (en España, la AEPD, aepd.es).

12. Seguridad

• Cada cliente está aislado del resto en la base de datos.
• Las conexiones con la web, el panel y los servicios van cifradas (HTTPS).
• Las credenciales de los canales se guardan cifradas.
• Los accesos del personal de Skailon usan verificación en dos pasos y quedan registrados.

13. Cookies y almacenamiento en el navegador

Web. No usa cookies de analítica ni de publicidad, y la medición de visitas es agregada y sin cookies. Mientras rellenas el formulario, guardamos en tu navegador lo que vas escribiendo (nombre, correo, país y teléfono), para no perderlo si la página se recarga; se borra al enviarlo o al cerrar la pestaña. La campaña de la que vienes (utm, gclid, fbclid) la leemos de la dirección de la página y la enviamos con el formulario, sin guardarla en tu navegador.

Panel. Usa una cookie de sesión, imprescindible para entrar, y otra cookie propia, de un año, que solo recuerda que hubo una sesión para llevarte a la pantalla de entrada correcta. Guarda en tu navegador las preferencias que eliges (tema, idioma, zona horaria, columnas, pantallas ancladas, sonidos, micrófono y avisos descartados), el borrador sin enviar del chat de configuración y, si los activas, la suscripción a los avisos del navegador. Cuando recargas saldo en Facturación, se carga el script de Stripe para el pago, que deja dos cookies suyas para prevenir el fraude: __stripe_mid (un año) y __stripe_sid (30 minutos). No hay analítica ni publicidad. El kit de Facebook, que puede usar cookies de Meta, se carga solo cuando pulsas «Conectar» en un canal de Meta, y te lo avisamos antes.

14. Menores

Skailon es un servicio para empresas y no está dirigido a menores de 16 años.

15. Cambios

Avisaremos de los cambios importantes por correo o en el panel. La fecha de arriba indica la versión vigente.

Para cualquier pregunta sobre privacidad o para ejercer tus derechos: hola@skailon.com.