Política de privacidad

II. De quién son los datos que abarca y cuál es nuestra función

Giov trata datos de varios grupos de personas. La función jurídica es distinta para cada uno.

• Operadores y administradores del espacio de trabajo: usted crea una cuenta con nosotros. Somos el responsable del tratamiento de esa cuenta, de la identidad de facturación y de los datos de uso del producto.
• Personas que visitan nuestro sitio web de marketing o nos escriben por correo electrónico: somos el responsable del tratamiento de esa consulta y de los datos del sitio web.
• Sus clientes y los visitantes de su sitio web o aplicación (“Usuarios Finales”): cuando chatean a través de un widget, un SDK o un canal que usted conecta, usted es el responsable del tratamiento. Nosotros tratamos esos datos siguiendo sus instrucciones, como encargado del tratamiento.
• Personas cuyos mensajes llegan a través de correo electrónico, WhatsApp, Messenger, Instagram o Telegram conectados: por lo general, usted es el responsable del tratamiento; el proveedor conectado es un responsable o encargado del tratamiento independiente conforme a sus propias condiciones. Tratamos los mensajes que llegan a su bandeja de entrada de Giov como su encargado del tratamiento.

III. Las superficies del producto que describe este aviso

Según su plan y su configuración, Giov puede tratar datos en relación con:

• Las páginas de marketing, los precios, el proceso de pago y la creación de cuentas.
• El panel de control para operadores: bandeja de entrada, asignación, notas, búsqueda, filtros, horario de atención, valoraciones y puestos de equipo.
• El widget del sitio web y su apariencia, los dominios y los campos previos al chat (nombre, correo electrónico, teléfono).
• El SDK de React Native y para móviles en las aplicaciones que usted publique.
• Los buzones de correo electrónico conectados en Pro, Business y Advanced, y las integraciones de WhatsApp, Messenger, Instagram y Telegram en Business y Advanced.
• La aplicación móvil de Giov para operadores, el registro de dispositivos y las notificaciones push, independientemente del SDK que usted incorpore en su propia aplicación.
• Los perfiles de visitantes, el centro de contactos, los atributos personalizados, la segmentación, el seguimiento de páginas y las cronologías.
• El historial de conversaciones, los archivos adjuntos, las exportaciones y los registros de auditoría.
• La analítica y los diagnósticos del espacio de trabajo.
• GiovBot: conocimiento, procedimientos, salvaguardas, pruebas, llamadas a modelos alojados y llamadas con clave propia (bring-your-own-key).
• La facturación, las pruebas, los derechos de cada plan y los créditos de IA alojada.

IV. Categorías de datos personales

V. Finalidades y bases jurídicas (RGPD del Reino Unido y de la UE)

Cuando se aplica el RGPD, nos basamos en las bases que figuran a continuación. Existen conceptos similares en otros regímenes (contrato, intereses legítimos, consentimiento, obligación legal).

• Artículo 6(1)(b), contrato: crear una cuenta, prestar los Servicios, aplicar los límites y créditos del plan, enviar correos electrónicos de verificación y de seguridad.
• Artículo 6(1)(c), obligación legal: cuestiones fiscales y contables, y respuesta a solicitudes legítimas.
• Artículo 6(1)(f), intereses legítimos: proteger el servicio, prevenir el abuso, comprender de forma limitada el uso del producto, mejorar la fiabilidad y responder a consultas. Usted puede oponerse; véase Derechos.
• Artículo 6(1)(a), consentimiento: cookies opcionales de estadísticas o de marketing mediante Cloudflare Zaraz, y correo electrónico de marketing opcional. Usted puede retirar el consentimiento sin que ello afecte al servicio esencial.
• Respecto de los datos de Usuarios Finales en su widget o en sus canales, usted determina la base jurídica (por lo general, su contrato con esa persona, los intereses legítimos en prestar soporte o el consentimiento para cookies y mensajes de marketing).

VI. Pagos

Los planes de pago se venden en el proceso de pago a través de nuestro revendedor en línea, Paddle.com, que actúa como comerciante registrado (Merchant of Record) de la compra. Los datos de la tarjeta los recoge Paddle, no Giov.

Recibimos el correo electrónico utilizado en el proceso de pago, el estado de la suscripción y los identificadores necesarios para activar las funciones de pago en su espacio de trabajo. El tratamiento que Paddle da a los datos del comprador se describe en su aviso de privacidad en https://www.paddle.com/legal/privacy.

VII. Destinatarios

Compartimos datos con proveedores únicamente en la medida necesaria para operar Giov. Destinatarios habituales:

• Cloudflare, a través de la cual operamos la plataforma Giov, incluidos el DNS, la entrega de contenido, Workers, el almacenamiento y la gestión del consentimiento y de etiquetas de Zaraz. El tratamiento utiliza la red global de Cloudflare; el tratamiento de cuentas y del plano de control se realiza habitualmente en Estados Unidos y en el Espacio Económico Europeo.
• Resend, para los correos electrónicos de verificación, de cuenta, de facturación, de resumen y de notificación de conversaciones fuera de línea, incluidas las direcciones de los destinatarios y el contenido de los mensajes. El tratamiento se realiza habitualmente en Estados Unidos.
• Expo, para el envío de notificaciones push a los móviles de los operadores, incluidos los tokens push del dispositivo y el contenido de las notificaciones. El envío también utiliza el servicio de notificaciones de la plataforma del dispositivo. El tratamiento se realiza habitualmente en Estados Unidos.
• Paddle.com, para el pago de los planes de pago, las facturas y el estado de la suscripción. El tratamiento se realiza habitualmente en el Reino Unido, el Espacio Económico Europeo y Estados Unidos.
• Cloudflare Workers AI para la inferencia y las incrustaciones (embeddings) alojadas, y Cloudflare AI Gateway cuando se utilice para enrutar las solicitudes a modelos. Con su propia clave, el proveedor configurado también recibe la instrucción y el contexto pertinentes. La disponibilidad de los modelos y las ubicaciones de ese proveedor dependen de su configuración.
• Su proveedor de correo electrónico conectado y la infraestructura en la que se ejecuta el transporte de correo electrónico de Giov, para el acceso al buzón, la sincronización y las respuestas salientes. Las ubicaciones dependen de ese proveedor y de la región en la que se ejecute el transporte.
• En Business y Advanced, el proveedor de identidad OIDC o SAML 2.0 que usted configure, como Microsoft Entra ID, Google Workspace, Okta, Auth0 u OneLogin, recibe la solicitud de inicio de sesión y devuelve las declaraciones de identidad necesarias para hacerlas coincidir con un operador existente. Si usted configura SCIM, el proveedor envía a Giov los cambios en los perfiles y en la activación de los operadores para que el espacio de trabajo pueda aprovisionar o desactivar el acceso. Se aplican las condiciones y las ubicaciones de ese proveedor.
• Los destinatarios que se encuentran tras las herramientas externas que usted configure para GiovBot, para realizar las acciones activadas con los argumentos enviados a esas herramientas. Las ubicaciones dependen de esas herramientas.
• Asesores profesionales (jurídicos y contables), sujetos a confidencialidad.
• Autoridades cuando lo exija la ley, o partes de una transmisión empresarial genuina con protecciones equivalentes.

VIII. Transferencias internacionales

Operamos la plataforma Giov a través de Cloudflare, y se puede acceder a Giov desde más de un país. Los proveedores pueden tratar datos en el Reino Unido, en el Espacio Económico Europeo, en Estados Unidos o en otras regiones. Vendemos a clientes de todo el mundo, por lo que sus Operadores y Usuarios Finales pueden encontrarse en cualquier lugar que usted permita.

Cuando la legislación aplicable exija una garantía para una transferencia internacional, un mecanismo de transferencia adecuado debe amparar dicha transferencia. Según la ley y el destino, esto puede implicar una decisión de adecuación, garantías contractuales y medidas adicionales. Este aviso no formaliza por sí mismo las cláusulas contractuales tipo de la UE ni la adenda de transferencia internacional de datos del Reino Unido (UK International Data Transfer Addendum), y la mención de un mecanismo en este aviso no significa que ampare a todos los proveedores o destinos. Contacte con legal@giovchat.app para conocer las ubicaciones de tratamiento, las garantías aplicables y la información de proveedores pertinentes para su espacio de trabajo, incluidas las transferencias amparadas por la legislación de Nigeria, Kenia o Sudáfrica.

IX. Conservación

• Los registros de la cuenta y del espacio de trabajo se conservan para prestar el espacio de trabajo, mantener su seguridad y cumplir las obligaciones de conservación de registros aplicables. Cancelar un plan de pago o eliminar a un Operador no elimina por sí mismo el espacio de trabajo.
• Plazos de conservación de las conversaciones, una vez que esté activa la eliminación por antigüedad: Starter, 90 días después de la última actividad; Pro, 12 meses naturales UTC después de la última actividad; Business y Advanced, sin límite de antigüedad según el plan. La eliminación por antigüedad solo comienza en una fecha de inicio publicada, previo aviso a los clientes. Hasta esa fecha, las conversaciones no se eliminan automáticamente por antigüedad. Los hilos marcados para su supresión se retiran de la bandeja de entrada, de la búsqueda y de la exportación mientras se completa la eliminación. Los contactos, las fuentes de conocimiento, los índices vectoriales, las cachés y las copias de seguridad no se eliminan mediante esa tarea sobre conversaciones.
• Un límite de visualización del historial no equivale a su eliminación. Los registros pueden permanecer en el almacenamiento, en los registros o en las copias de seguridad después de que dejen de aparecer en el producto, hasta que finalice el ciclo de eliminación o de copia de seguridad aplicable.
• Identificadores de facturación y facturas: durante los plazos exigidos por motivos fiscales y de disputas (a menudo hasta seis años en el Reino Unido).
• Correspondencia de soporte y jurídica: durante el tiempo necesario para resolver el asunto y conservar un registro limitado.
• Registros de consentimiento de Zaraz: según la duración de la cookie de consentimiento de Cloudflare, para que podamos demostrar que se registró una elección.
• Eliminación de una cuenta de empresa: el propietario del espacio de trabajo puede eliminar toda la cuenta de la empresa en el panel de control, en Ajustes, Empresa, Eliminar cuenta de la empresa, tras confirmar su contraseña y el nombre de la empresa. Primero debe cancelarse cualquier suscripción de pago activa. La eliminación se programa para 30 días después de la confirmación. Las retenciones por facturación o por conservación pueden suspender la supresión. El espacio de trabajo sigue funcionando durante el periodo de cancelación y el propietario puede cancelar antes de que comience la supresión, incluso mientras la eliminación esté suspendida. Enviamos un correo electrónico al propietario cuando la eliminación se programa, se cancela y se completa.
• Qué suprime la eliminación de una cuenta de empresa: transcurrido el periodo de cancelación de 30 días, comenzamos a suprimir las conversaciones y los mensajes del espacio de trabajo, los archivos adjuntos y demás archivos almacenados, los registros de clientes y contactos, las fuentes de conocimiento y sus entradas en el índice de búsqueda, las exportaciones, las conexiones de canales, los miembros del equipo, los ajustes, el historial de auditoría y el propio registro del espacio de trabajo. La finalización sigue a la limpieza de la base de datos, del índice de búsqueda y de los archivos almacenados. Los espacios de trabajo de mayor tamaño o las interrupciones del servicio pueden requerir más tiempo, y la limpieza fallida se reintenta. Las cuentas de inicio de sesión que no pertenezcan a ningún otro espacio de trabajo se eliminan con él, incluidos su contraseña y los ajustes de autenticación de dos factores. Los datos suprimidos no pueden recuperarse.
• Eliminación de la cuenta propia de un Operador: cualquier Operador que no sea el propietario del espacio de trabajo puede solicitar que se elimine su cuenta en Ajustes, Perfil, Eliminar mi cuenta, y puede retirar la solicitud mientras esté pendiente. Un administrador del espacio de trabajo ve la solicitud en el panel de control y la aprueba o la rechaza. Una vez aprobada, el Operador es retirado de ese espacio de trabajo y pierde el acceso de inmediato; su inicio de sesión, su contraseña y sus ajustes de autenticación de dos factores se eliminan, salvo que otro espacio de trabajo siga utilizando el mismo inicio de sesión. Las conversaciones, notas y demás trabajo que gestionó permanecen en el espacio de trabajo como parte de su historial de soporte, porque ese historial pertenece al Cliente.
• Qué permanece tras la eliminación: un registro mínimo de que se solicitó y se completó la eliminación de una cuenta de empresa (identificador del espacio de trabajo y fechas, sin nombres ni direcciones de correo electrónico); los identificadores de facturación y las facturas que conservamos nosotros o nuestro proveedor de pagos durante los periodos descritos anteriormente; las copias en copias de seguridad cifradas, que están protegidas frente al uso ordinario y se eliminan mediante el ciclo de vida de las copias de seguridad; las cachés y el estado operativo de corta duración, que caducan por sí solos; y los mensajes ya entregados a canales de terceros, como el correo electrónico o las aplicaciones de mensajería, que esos proveedores controlan.
• Usted puede solicitar la eliminación sin iniciar sesión en account deletion request form. Envíe su correo electrónico, el nombre de su empresa o negocio y el alcance de la solicitud, y luego confirme el correo electrónico de verificación en un plazo de 24 horas. La verificación envía una solicitud para su revisión; no elimina los datos de inmediato. Las solicitudes de empresa requieren la verificación del propietario del espacio de trabajo y entran en el mismo calendario de 30 días después de que nuestro equipo compruebe la autoridad y la facturación. Las solicitudes de miembros se envían a los administradores de la empresa. Las solicitudes de clientes y de canales conectados pueden requerir comprobaciones de identidad adicionales e instrucciones de la empresa que controla los registros. Un enlace de comprobante privado muestra el progreso y permite retirar la solicitud antes de su aprobación o de la supresión, según corresponda.
• Los registros de solicitudes públicas incluyen el correo electrónico enviado, la empresa, el tipo de solicitud, los detalles opcionales, las marcas de tiempo de verificación y de revisión, y los enlaces a cualquier flujo de eliminación resultante. Los envíos no verificados caducan a las 24 horas. Tras la resolución, eliminamos los datos de contacto enviados y las notas de texto libre. Se conservan metadatos mínimos del comprobante y de la decisión para demostrar cómo se gestionó la solicitud y atender las obligaciones legales o de disputas. El acceso privado al comprobante caduca a los 180 días; esa caducidad no suprime por sí misma el registro mínimo de la solicitud. Aplicamos límites de frecuencia para evitar el abuso del servicio de correo electrónico de verificación.
• También puede solicitar la exportación, el cierre del espacio de trabajo o la eliminación en legal@giovchat.app, por ejemplo si no puede acceder a su correo electrónico, si el administrador de su espacio de trabajo no ha respondido a una solicitud de eliminación o si usted es Usuario Final de uno de nuestros Clientes. Verificamos su identidad y su autoridad, identificamos los datos y sistemas afectados, y le explicamos el plazo aplicable y cualquier excepción legítima. La Adenda de encargo del tratamiento de datos disponible en https://giovchat.app/dpa abarca el Contenido del Cliente que tratamos en su nombre.

X. Seguridad

Utilizamos TLS en tránsito, contraseñas con hash, 2FA opcional por correo electrónico y MFA con autenticador en todos los planes, inicio de sesión único OIDC y SAML 2.0 y aprovisionamiento de operadores mediante SCIM en Business y Advanced, controles de acceso en los sistemas de producción, registros de auditoría estructurados y credenciales de API con alcance limitado. Los códigos enviados por correo electrónico, los códigos de recuperación y los tokens de aprovisionamiento de SCIM se almacenan como hashes. Los secretos de autenticador y los secretos de cliente de OIDC se almacenan cifrados. Ningún método de transmisión o de almacenamiento es perfectamente seguro. Usted debe mantener bajo su control las cuentas de operador, los dominios del widget, los tokens de los canales, las credenciales de SSO, los tokens de SCIM y las claves de IA.

XI. GiovBot y tratamiento automatizado

GiovBot utiliza aprendizaje automático para generar y enviar respuestas a partir de su conocimiento y del contexto de la conversación. Según la configuración, puede capturar datos del visitante, actualizar variables, transferir o cerrar una conversación y llamar a herramientas externas que realizan acciones en sistemas conectados. Los argumentos y resultados de las herramientas pueden contener datos personales. Usted controla qué herramientas y permisos están activados y debe revisar su finalidad, sus destinatarios y sus efectos. GiovBot no está concebido para decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o similarmente significativos sobre una persona, como las decisiones crediticias o laborales. Usted sigue siendo responsable de una supervisión humana adecuada y de informar a los Usuarios Finales de que pueden estar interactuando con una IA.

Si usted considera que un resultado automatizado sobre usted como Operador (por ejemplo, de derechos o de indicadores de abuso) es incorrecto, escriba a legal@giovchat.app y lo examinaremos con revisión humana.

XII. Sus derechos y reclamaciones

Según el lugar donde resida, puede tener derecho a acceder a sus datos personales, rectificarlos, suprimirlos o exportarlos; a limitar u oponerse a determinados tratamientos; a retirar su consentimiento; y a presentar una reclamación ante una autoridad de control (en el Reino Unido, la ICO; en la UE, su autoridad local de protección de datos).

Escriba a legal@giovchat.app. Podemos necesitar verificar su identidad y su autoridad para presentar la solicitud. Respondemos sin dilación indebida y dentro del plazo exigido por la legislación aplicable a su solicitud. Cuando se aplica el RGPD del Reino Unido, esto es normalmente un mes natural, con sujeción a sus normas de verificación de identidad y a las prórrogas permitidas. Si se permite una prórroga y es necesaria, la explicamos dentro del plazo de respuesta inicial. Cuando no podamos atender una solicitud, explicamos el motivo y los derechos de reclamación aplicables. El calendario de cierre de la empresa de 30 días no sustituye a sus derechos aplicables en materia de datos personales ni a sus plazos de respuesta. Los administradores del espacio de trabajo controlan los puestos de operador y los datos de Usuarios Finales en el panel de control. Los Usuarios Finales pueden contactar con la empresa cuyo widget utilizaron; ayudaremos a esa empresa con una solicitud válida.

Para los registros de pago que conserva el revendedor, también puede utilizar los datos de contacto que figuran en su recibo o https://paddle.net.

XIII. California (CCPA / CPRA)

Si usted es residente de California, esta sección se aplica a la información personal que recogemos como empresa. En los doce meses anteriores recogimos las categorías descritas más arriba (identificadores, información comercial, actividad en internet, geolocalización derivada de la IP y el contenido del cliente que usted envía). Las utilizamos para los fines empresariales descritos en esta política.

No vendemos su información personal a cambio de dinero. No la compartimos para publicidad conductual entre contextos como práctica esencial de Giov. Si eso cambia, ofreceremos un control de “No vender ni compartir” (“Do Not Sell or Share”). No utilizamos ni divulgamos información personal sensible para inferir características, y le pedimos que no nos envíe datos sensibles que no necesitemos.

Usted puede solicitar conocer, acceder a, rectificar o eliminar información personal, y no ser discriminado por ejercer los derechos de la CCPA. Envíe las solicitudes a legal@giovchat.app con el asunto “CCPA Request”. Lo verificaremos (por ejemplo, comprobando que coincida el correo electrónico de la cuenta). Un agente autorizado puede presentar una solicitud acreditando su autoridad.

Actualmente no respondemos a las señales de “No rastrear” (Do Not Track) del navegador porque no existe un estándar coherente en el sector; Configuración de cookies y el consentimiento de Zaraz son el control de las cookies opcionales en nuestro sitio.

XIV. Otros estados de EE. UU., Brasil, Canadá y Australia

Nevada: no vendemos “información cubierta” (“covered information”) tal como la define la ley de Nevada. Escriba a legal@giovchat.app si desea recibir un aviso en caso de que esa práctica cambie.

Otras leyes de privacidad de estados de EE. UU. (por ejemplo, Virginia, Colorado, Connecticut o Texas) pueden otorgarle derechos de acceso, eliminación, exclusión de la publicidad dirigida o de la elaboración de perfiles, y apelación contra una denegación. Utilice el mismo correo electrónico. Si su estado exige un proceso de apelación, describiremos el siguiente paso en nuestra respuesta.

Brasil (LGPD): usted puede solicitar la confirmación del tratamiento, el acceso, la rectificación, la anonimización, la portabilidad, información sobre la comunicación de datos y la revocación del consentimiento, y presentar una reclamación ante la ANPD.

Canadá (PIPEDA) y Australia (Privacy Act / APPs): usted puede solicitar el acceso y la rectificación, y presentar una reclamación ante la OPC o la OAIC si no podemos resolver el asunto. Tratamos los datos de los Operadores para ejecutar el contrato y para operar un servicio SaaS global seguro.

XV. Menores

Giov está concebido para uso empresarial. No recogemos a sabiendas datos personales de menores de 16 años (o de menores de 13 años cuando el criterio pertinente sea la COPPA de EE. UU.). Si usted considera que lo hemos hecho, contacte con legal@giovchat.app y los eliminaremos. Usted no debe dirigir el widget a menores ni utilizar Giov para recoger datos de menores salvo que cuente con una base jurídica y con el consentimiento de los progenitores cuando se exija.

XVI. Cookies

Las cookies y el almacenamiento similar en el propio sitio de Giov se describen en https://giovchat.app/cookies. Cuando se activan herramientas opcionales a través de Cloudflare Zaraz, el panel de consentimiento presenta las opciones disponibles. El almacenamiento que el widget o el SDK establezca en sus propiedades es responsabilidad suya. El almacenamiento móvil del operador y las preferencias de notificación son independientes de las opciones sobre cookies del navegador.

XVII. Cambios

Podemos actualizar esta política a medida que Giov cambie. Revisaremos la fecha indicada más arriba y, en caso de cambios sustanciales, lo notificaremos a los propietarios de las cuentas por correo electrónico o en el panel de control.