Política de privacidad | Smart Concierge

Responsable

Denys Hurskyi (autónomo), NIF Z3135092J, con domicilio profesional en Avda. Diego Ramírez Pastor, Torrevieja (Alicante), España, operando bajo la marca comercial «Smart Concierge» (smartconciergeservice.com). Contacto: info@smartconciergeservice.com.

Datos que tratamos

Datos de contacto del negocio (email, teléfono); mensajes de WhatsApp de clientes finales procesados en nombre del negocio; email de la cuenta de Google y datos de Google Calendar cuando el dueño conecta el calendario (lista de calendarios, identificadores y datos de eventos necesarios para consultar disponibilidad y crear, actualizar o cancelar citas); y logs técnicos (IP, timestamps) para operar el servicio. Cuando un negocio activa los recordatorios para volver a reservar: el teléfono del cliente final, la fecha y el servicio de su última visita y un registro de su elección sobre los recordatorios (sí/no, fecha y cómo se dio).

Finalidad

Prestar el conserje de WhatsApp: reservas, FAQ y traspaso a personal humano. El acceso a Google Calendar se usa solo para mostrar huecos libres y para crear, actualizar o cancelar eventos de cita de ese negocio. No vendemos datos personales. Opcional y solo si el negocio lo activa: un recordatorio por WhatsApp para volver a reservar pasado un tiempo fijado tras la visita (lo elige el negocio). Se envía únicamente a los clientes finales que lo aceptaron, un recordatorio por visita, sin promociones ni ofertas.

Datos de usuario de Google — cesión y divulgación

Los datos de usuario de Google obtenidos mediante las APIs de Google (tokens OAuth, email de la cuenta conectada, lista de calendarios y datos de eventos) se usan únicamente para operar Smart Concierge para el negocio que los conecta. No vendemos datos de usuario de Google. No compartimos, transferimos ni divulgamos datos de usuario de Google a anunciantes ni a intermediarios de datos. No compartimos el contenido de Google Calendar con otros tenants. Solo puede haber una divulgación limitada a subencargados de infraestructura que alojan o procesan el servicio bajo contrato (actualmente Hetzner, hosting en la UE), y solo en la medida necesaria para ejecutar la aplicación. No transferimos datos de usuario de Google a Meta ni a Stripe. OpenAI puede procesar el texto de conversaciones de WhatsApp para entender la intención de reserva; no enviamos cargas útiles de Google Calendar ni tokens OAuth de Google a OpenAI para entrenar modelos ni para fines no relacionados.

Mecanismos de protección de datos

Protegemos los datos sensibles con controles estándar del sector: cifrado TLS en tránsito; cifrado en reposo de los tokens OAuth de Google (refresh y access) almacenados en nuestra base de datos; acceso limitado a administradores autenticados de su propio tenant; aislamiento lógico de los datos de cada negocio (separación multi-tenant); y hosting en la UE (Hetzner) con medidas de seguridad del proveedor bajo contrato. El acceso a sistemas de producción está restringido a operadores autorizados.

IA / aprendizaje automático y Limited Use de Google

Smart Concierge utiliza IA de terceros (OpenAI) para interpretar mensajes de WhatsApp en flujos de reserva y FAQ. El uso de datos de usuario en bruto o derivados recibidos de las APIs de Google cumplirá la Google API Services User Data Policy, incluidos los requisitos de Limited Use. No usamos datos de usuario de Google Workspace o Google Calendar—en bruto, agregados o derivados—para crear, entrenar o mejorar modelos de aprendizaje automático o inteligencia artificial fundacionales o generalizados. Los datos de usuario de Google no se transfieren ni se venden para ese entrenamiento.

Base legal (RGPD)

Ejecución del contrato con el negocio; interés legítimo en la seguridad y operación del servicio; consentimiento del cliente final cuando aplica (mensajes voluntarios por WhatsApp). Recordatorios para volver a reservar: consentimiento del cliente final, solicitado una sola vez en el chat de WhatsApp tras su reserva (una pregunta clara de sí/no que nombra al negocio). El consentimiento es voluntario, no es condición para reservar y puede retirarse en cualquier momento. Sin él no se envía nada.

Subencargados

Meta (WhatsApp Cloud API), OpenAI / DeepSeek (procesamiento de lenguaje natural de mensajes de WhatsApp), Google (Google Calendar API cuando el negocio lo conecta), Hetzner (hosting en la UE) y Stripe (facturación cuando se usa). Cada proveedor se contrata con términos adecuados de seguridad y tratamiento de datos.

Negocio cliente y encargo de tratamiento

Los mensajes de WhatsApp y los datos de reserva de los clientes finales se tratan por cuenta del negocio al que escriben: ese negocio es el responsable del tratamiento. Smart Concierge actúa como encargado (art. 28 RGPD). El contrato de encargo (DPA) se firma junto con el contrato de servicios, no basta con crear una cuenta en el panel. Conservación de mensajes: 12 meses, más hasta 14 días de copias técnicas de ejecución en la plataforma de automatización.

Conservación

Mientras dure el contrato y los plazos legales. El historial de mensajes de WhatsApp se conserva 12 meses y luego se elimina automáticamente. Los tokens OAuth de Google y el vínculo del calendario se conservan mientras la integración esté conectada y se eliminan o invalidan cuando el negocio desconecta o se borra la cuenta. El negocio puede solicitar exportación o borrado según contrato. Los datos de clientes y reservas se conservan mientras dure el contrato con el negocio y se eliminan cuando el negocio o el cliente lo solicitan. El registro de la elección del cliente sobre los recordatorios (fecha, origen) forma parte de su ficha y se elimina junto con ella. Para mantener el hilo de la conversación, los últimos mensajes se conservan temporalmente hasta 7 días.

Derechos

Acceso, rectificación, supresión, limitación, portabilidad y oposición: contacto por email. Reclamación ante la AEPD (España). Recordatorios para volver a reservar: cada recordatorio incluye un botón «No recordar» y una breve nota de que puedes responder STOP; cualquiera de los dos retira tu consentimiento de inmediato y sin coste, y no volverás a recibir recordatorios. También puedes pedir al negocio, o escribirnos, que eliminemos tus datos.