Política de Privacidad

1. Responsable del tratamiento

Interco Software Development, S.L. (marca comercial "IC Mayora AI"), CIF B24973133, con domicilio en Plaza de la Glorieta 9, 30520 Jumilla (Murcia), España.

Para cuestiones de privacidad o ejercicio de derechos RGPD, contacte con privacidad@icmayora.com. Para consultas relativas a contratos DPO/DPA con clientes B2B: dpo@icmayora.com.

2. Datos que tratamos

2.1 Datos de cuenta del Cliente

• Correo electrónico, nombre.
• Hash de contraseña (no almacenamos la contraseña en claro).
• Tokens de sesión y de autenticación (cookies técnicas, ver abajo).

2.2 Datos de la organización del Cliente

• Denominación social, CIF/NIF, dirección fiscal, email de facturación — necesarios para emitir factura conforme al Reglamento de Facturación (RD 1619/2012).
• Configuración del asistente: horarios, servicios, vertical de negocio, idiomas soportados.

2.3 Datos de las llamadas recibidas por el asistente

• Número de teléfono del llamante (origen).
• Grabación de audio de la llamada (cuando el Cliente activa la grabación).
• Transcripción literal y metadatos de la llamada (fecha, duración, resultado).
• Datos facilitados por el llamante durante la conversación (nombre, email, motivo de la llamada, datos de reserva, etc.).

Para las llamadas gestionadas por el asistente, el Cliente es el Responsable del Tratamiento frente al llamante, y IC Mayora actúa como Encargado del Tratamiento en los términos del DPA.

2.4 Datos de pago

Los datos de tarjeta bancaria se tratan íntegramente por Stripe Payments Europe, Ltd. IC Mayora recibe únicamente identificadores de transacción y metadatos no sensibles (últimos 4 dígitos, marca de tarjeta, país de emisión).

2.5 Tokens de integraciones

Cuando el Cliente conecta servicios externos (Google Calendar, Outlook, HubSpot, Zoho CRM…), almacenamos tokens OAuth cifrados en reposo con AES-256-GCM.

3. Finalidades y bases jurídicas

• Prestar el Servicio contratado — base: ejecución del contrato (art. 6.1.b RGPD).
• Emitir facturas y cumplir obligaciones fiscales — base: obligación legal (art. 6.1.c RGPD).
• Atender consultas y soporte — base: ejecución del contrato.
• Seguridad, prevención de fraude y abuso — base: interés legítimo (art. 6.1.f RGPD).
• Mejora del servicio mediante métricas agregadas y anonimizadas — base: interés legítimo.
• Comunicaciones comerciales propias sobre el Servicio — base: consentimiento revocable (art. 21 LSSI-CE).

4. Aviso a los llamantes

Cada llamada entrante gestionada por el asistente comienza con un mensaje hablado informando al llamante de que la llamada puede ser grabada y transcrita con fines de atención al cliente, conforme a los art. 13 RGPD y LOPDGDD. Este aviso es responsabilidad del Cliente; IC Mayora lo incluye por defecto en el mensaje inicial del asistente.

5. Plazos de conservación

• Transcripciones de llamada: se eliminan de nuestros sistemas transcurridos 60 días desde la llamada, mediante un proceso automático diario.
• Grabaciones de audio (solo cuando el Cliente activa la grabación): no se almacenan en nuestros servidores, sino en la infraestructura del proveedor de procesamiento de voz, que las elimina transcurridos 14 días. Transcurrido ese plazo eliminamos también su referencia de nuestra base de datos.
• Metadatos de llamada (fecha, duración, resultado): 24 meses para facturación y análisis interno agregado.
• Contactos capturados en llamada (leads: nombre, teléfono, email y motivo): se conservan mientras el Cliente mantenga la cuenta, como parte de su registro de actividad; el Cliente puede eliminarlos en cualquier momento (borrado de la llamada asociada o de la cuenta completa).
• Datos de cuenta y organización: mientras el Cliente mantenga la cuenta. El Cliente puede solicitar su supresión en cualquier momento desde /dashboard/account; se conservarán únicamente los datos de facturación por obligación legal.
• Datos de facturación: hasta 6 años (art. 30 Código de Comercio) y 4 años a efectos tributarios (art. 66 LGT).

6. Encargados de tratamiento

Para prestar el Servicio recurrimos a proveedores que tratan datos personales por cuenta nuestra, con los que tenemos suscrito el correspondiente contrato de encargo conforme al art. 28 RGPD. Conforme al art. 13.1.e RGPD, los identificamos por categorías:

• Infraestructura y alojamiento (Unión Europea) — servidores y base de datos donde reside el Servicio.
• Telefonía IP y numeración (Unión Europea) — provisión del número y enrutado de las llamadas entrantes.
• Procesamiento de voz —transcripción y síntesis— y modelos de lenguaje que generan las respuestas del asistente (Estados Unidos).
• Procesamiento de pagos (Unión Europea).
• Envío de correo transaccional (Estados Unidos).
• Calendario y CRM (Unión Europea / Estados Unidos) — únicamente cuando el Cliente conecta expresamente dichas integraciones.

La relación actualizada e identificada de encargados y subencargados, con su ubicación y finalidad, forma parte del Anexo del DPA y está disponible sin coste solicitándola en privacidad@icmayora.com. Comunicaremos con antelación suficiente cualquier alta o sustitución de encargado, para que el Cliente pueda oponerse (art. 28.2 RGPD).

7. Transferencias internacionales

Algunos encargados están ubicados fuera del Espacio Económico Europeo (EE.UU., principalmente). Las transferencias están amparadas en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y en las medidas suplementarias aplicables; en el caso de EE.UU., también en el marco del Data Privacy Framework cuando el encargado está adherido a él.

8. Derechos de los interesados

En cualquier momento puede ejercer los derechos de acceso, rectificación, supresión, limitación, oposición, portabilidad y a no ser objeto de decisiones automatizadas individualizadas, enviando un email a privacidad@icmayora.com, acreditando su identidad.

Disponemos también de un endpoint automatizado para Clientes registrados en el dashboard que permite exportar sus datos (/dashboard/account) y solicitar la supresión de su cuenta.

Si considera que su solicitud no se ha atendido correctamente, puede presentar reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid.

9. Medidas de seguridad

• Cifrado TLS en todas las comunicaciones.
• Cifrado AES-256-GCM en reposo para tokens de integraciones y transcripciones.
• Contraseñas almacenadas mediante función de derivación con sal (bcrypt).
• Control de acceso basado en roles (OWNER / ADMIN / MEMBER).
• Registros de auditoría de eventos de seguridad relevantes.
• Expiración automática de sesiones e invalidación inmediata de las sesiones abiertas al restablecer la contraseña.
• Copias de seguridad periódicas de la base de datos.

10. Cookies

Utilizamos únicamente cookies técnicas necesarias para el funcionamiento del Servicio (sesión, estado OAuth). Más información en nuestra Política de Cookies.

11. Modificaciones

Esta política puede actualizarse para reflejar cambios legales o del Servicio. Publicaremos siempre la fecha de la última actualización y notificaremos cambios sustanciales al email de contacto.