Política de privacidad

1. Quién es responsable

Citia es un producto de The Kavu. El responsable es Royal Capital S.L., con CIF B81714982 y domicilio en Calle Corazón de María 33, 28002 Madrid, España. Para cualquier cuestión sobre esta política escribe a nicolas@thekavu.com.

Citia tiene dos tipos de personas alrededor y la ley las trata de forma distinta. Si tienes una cuenta porque gestionas un negocio, somos responsables del tratamiento de los datos de esa cuenta. Si eres cliente de un negocio que usa Citia y has escrito a su WhatsApp, el responsable es ese negocio: nosotros tratamos tus datos por encargo suyo y siguiendo sus instrucciones.

En ese segundo caso, dirige tus solicitudes al negocio con el que hablaste. Si nos llegan a nosotros, se las trasladamos y te lo decimos.

2. Qué datos tratamos

De la persona que gestiona el negocio: nombre, correo electrónico y credenciales de acceso (los gestiona Clerk, nuestro proveedor de identidad), y los datos del negocio que introduce — nombre, país, zona horaria, catálogo de servicios con precios y duraciones, equipo y horarios.

Si contratas un plan de pago, también los datos de facturación: nombre o razón social, correo electrónico, dirección de facturación y, si la indicas, tu identificación fiscal, junto con el plan, el estado de la suscripción y las facturas. Los datos de la tarjeta los recoge y guarda Stripe: Citia nunca ve el número completo de tu tarjeta.

De los clientes del negocio: el identificador de WhatsApp y el teléfono, el nombre que WhatsApp facilita o que el negocio anota, el idioma detectado, las notas que el negocio añade, el historial de la conversación — texto, imágenes, notas de voz y su transcripción — y las reservas asociadas.

Fotos de la carta de servicios que el negocio sube al ponerse en marcha, para que Citia lea de ahí los nombres, las duraciones y los precios.

Datos técnicos de funcionamiento: registros de error y estados de entrega de los mensajes.

Citia no pide categorías especiales de datos. Si un cliente escribe información de salud u otra categoría sensible por su cuenta en una conversación, queda en el historial de ese negocio como parte del mensaje.

3. Para qué los usamos y con qué base legal

Para prestar el servicio que el negocio ha contratado: responder en WhatsApp, proponer horas libres, crear, cambiar y cancelar reservas y enviar confirmaciones y recordatorios. La base legal frente al negocio es la ejecución del contrato; frente a sus clientes, el encargo de tratamiento que el negocio nos da.

Para redactar las respuestas del agente enviamos a Anthropic el contenido de la conversación que hace falta para contestar, y las notas de voz a AssemblyAI para transcribirlas. Ninguno de los dos usa esos datos para entrenar sus modelos.

Para mantener el servicio en pie: diagnosticar fallos, prevenir abuso y controlar el coste de uso. La base legal es nuestro interés legítimo en que el servicio funcione y no se pueda explotar.

Si contratas un plan de pago, para cobrarlo, emitir sus facturas y gestionar la suscripción. La base legal es la ejecución del contrato; conservar las facturas es además una obligación legal.

Para cumplir obligaciones legales cuando corresponda.

No vendemos datos, no los usamos para publicidad ni para perfilado comercial, y no los cedemos a nadie fuera de los proveedores enumerados más abajo.

4. Datos de tu cuenta de Google

Si conectas tu Google Calendar, Citia pide un solo permiso y no más: ver y modificar eventos (googleapis.com/auth/calendar.events). Citia trabaja sobre el calendario principal de la cuenta que conectes.

Citia usa ese acceso para dos cosas: no ofrecer a un cliente una hora en la que ya tienes algo, y dejar cada reserva reflejada en tu calendario para que la veas donde ya miras.

Guardamos cifradas las credenciales de acceso, las horas en las que estás ocupado y las reservas que Citia ha creado. No copiamos a nuestra base de datos el contenido de tus otros eventos: ni el título ni ninguna otra información.

No compartimos estos datos con ningún tercero, no los usamos para entrenar modelos de inteligencia artificial y no los usamos para publicidad.

Puedes revocar el acceso cuando quieras, desde Citia o desde la página de permisos de tu cuenta de Google. Al revocarlo borramos las credenciales y dejamos de consultar tu calendario.

Declaración exigida por Google: Citia's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5. Quién trata datos por nuestra cuenta

Vercel — alojamiento de la aplicación y almacenamiento privado de las fotos y del audio.

Neon — base de datos, alojada en la Unión Europea (Fráncfort).

Clerk — registro e inicio de sesión de la persona que gestiona el negocio.

Anthropic — el modelo que redacta las respuestas del agente.

AssemblyAI — transcripción de las notas de voz.

Kapso — conexión con la API de WhatsApp Business.

Meta Platforms — entrega de los mensajes de WhatsApp.

Google — sincronización de calendario, únicamente si la conectas.

Stripe (Stripe Payments Europe, Ltd., Irlanda) — cobro de los planes de pago, facturas y gestión de la suscripción, únicamente si contratas uno.

Algunos de estos proveedores tratan datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en una decisión de adecuación.

6. Cuánto tiempo los guardamos

Mientras la cuenta esté activa conservamos las conversaciones, las reservas y los datos de clientes: son el historial de trabajo del negocio y su registro de lo que se acordó con cada persona.

Las fotos de la carta se quedan en nuestro almacenamiento después de la importación. Hoy no se borran automáticamente. Si quieres que las eliminemos, escríbenos y lo hacemos.

Cuando un negocio deja de usar Citia y nos pide el borrado, eliminamos sus datos y los de sus clientes en un plazo máximo de 30 días, salvo lo que debamos conservar por obligación legal.

Las facturas de un plan de pago y los datos de facturación que contienen se conservan durante seis años, el plazo que fija el Código de Comercio (artículo 30), también después de cerrar la cuenta o de pedir el borrado.

Los registros técnicos los conserva nuestro proveedor de alojamiento durante el periodo de retención de su propio servicio. No los usamos para nada distinto de diagnosticar fallos.

7. Seguridad

Todo el tráfico va cifrado con HTTPS. Las credenciales de conexión con proveedores se guardan cifradas en la base de datos, nunca en claro.

Cada negocio está aislado de los demás: toda consulta lleva el identificador del negocio y ninguna cuenta puede ver las conversaciones, los clientes ni las reservas de otra.

Las fotos y el audio se guardan en almacenamiento privado y se leen mediante enlaces firmados de vida corta, no desde una URL pública.

8. Tus derechos

Puedes pedirnos acceso a tus datos, su rectificación, su supresión, la limitación del tratamiento, su portabilidad, y oponerte al tratamiento. Escribe a nicolas@thekavu.com y te contestamos en el plazo de un mes.

Si eres cliente de un negocio que usa Citia, dirige la solicitud a ese negocio: es quien decide sobre esos datos. Nosotros le damos las herramientas para atenderla.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

9. Menores

Citia se dirige a negocios y a sus clientes adultos. No pedimos ni tratamos deliberadamente datos de menores de 16 años. Si detectas que un menor nos ha facilitado datos, escríbenos y los eliminamos.

10. Cambios en esta política

La versión vigente es siempre la publicada en esta página, con su fecha de actualización arriba. Si un cambio afecta de forma relevante a cómo tratamos los datos, avisamos por correo a los negocios con cuenta activa antes de aplicarlo.

11. Contacto

The Kavu — Royal Capital S.L., con CIF B81714982 y domicilio en Calle Corazón de María 33, 28002 Madrid, España. nicolas@thekavu.com.