Legal
Version 2.1 · Effective 1 de octubre de 2026
Esta política explica qué hace OpusDone con los datos personales: los suyos, si es cliente nuestro, y los de sus clientes, si utiliza nuestro asistente para hablar con ellos.
Son dos supuestos distintos, y la sección 2 explica por qué esa diferencia determina casi todo lo que viene después. Si está aquí porque está a punto de enviarnos las conversaciones de sus clientes, lea primero la sección 2, después la 5 y después la 8.
OpusDone es un servicio de Softpact, operado desde España. Dirección postal: Carrer de Pujós, 5, 08904 Barcelona, España.
Para cuestiones de privacidad, o para ejercer cualquiera de los derechos de la sección 9, escriba a privacy@opusdone.com. Para cualquier otro asunto, hello@opusdone.com.
No hemos designado un delegado de protección de datos. Hemos valorado los criterios del artículo 37 del RGPD (Reglamento General de Protección de Datos) y hemos concluido que no concurre ninguno: nuestra actividad principal no consiste en la observación habitual y sistemática de personas a gran escala, ni en el tratamiento a gran escala de datos de categorías especiales. Mantenemos esa valoración bajo revisión y publicaremos aquí los datos de un delegado de protección de datos si eso cambia. Mientras tanto, la dirección indicada arriba llega a una persona concreta responsable de la protección de datos, no a un buzón desatendido.
Al estar establecidos en España, no estamos obligados a designar un representante en la Unión Europea conforme al artículo 27 del RGPD. Nuestra autoridad de control principal es la Agencia Española de Protección de Datos (AEPD).
Casi cualquier pregunta sobre este servicio tiene una respuesta distinta según de quién sean los datos por los que se pregunta. Hay dos situaciones y en cada una ocupamos una posición jurídica distinta.
Cuando usted se registra, configura un asistente, invita a sus compañeros o nos paga, somos nosotros quienes decidimos qué se recoge y para qué. Somos el responsable del tratamiento de esos datos, y esta política es la información que le facilitamos al respecto.
Cuando alguien escribe a su negocio y nuestro asistente le responde, esa conversación trata de su relación con su cliente. Usted decide que el asistente exista, qué sabe, qué puede decir y cuánto tiempo conserva el resultado. Usted es el responsable del tratamiento. Nosotros somos su encargado del tratamiento, y actuamos siguiendo sus instrucciones documentadas conforme al artículo 28 del RGPD.
Esto no es una formalidad. Tiene dos consecuencias prácticas. La primera: el deber de informar a sus clientes de que un asistente de IA gestiona sus mensajes y de que esos mensajes quedan registrados es suyo, no nuestro; le damos las herramientas para cumplirlo y le exigimos que las utilice, pero no tenemos con su cliente ninguna relación a través de la cual pudiéramos hacerlo nosotros. La segunda: si uno de sus clientes pide ver sus datos o que se supriman, la solicitud se dirige a usted; nosotros le ayudamos a responderla y no actuaremos por nuestra cuenta, porque actuar sobre los datos de un responsable del tratamiento sin su instrucción es en sí mismo una infracción.
Si conecta un calendario (Google Calendar o Cal.com), conservamos los tokens de acceso correspondientes y leemos la disponibilidad y los eventos que necesitamos para ofrecer y concertar citas. Si conecta un canal de mensajería, conservamos las credenciales de ese canal. No leemos nada de un sistema conectado más allá de lo que requiere la función de reserva o de mensajería.
Los pagos los gestiona Stripe. Los números de tarjeta no llegan nunca a nuestros servidores: conservamos una referencia de cliente de Stripe, el plan que tiene contratado y su historial de facturas.
Para los datos de los que somos el responsable del tratamiento, esta es la base del artículo 6 que corresponde a cada finalidad.
| Qué hacemos | Datos | Base jurídica |
|---|---|---|
| Darle una cuenta y prestar el servicio que ha contratado | Datos de cuenta y de negocio | Ejecución de un contrato (art. 6.1.b) |
| Cobrar y llevar los registros contables | Datos de facturación | Ejecución de un contrato y obligación legal respecto de los registros que debemos conservar (art. 6.1.b y c) |
| Mantener el servicio seguro: limitación de frecuencia, verificaciones antibots, investigación de abusos, registros de auditoría | Datos técnicos, datos de cuenta | Interés legítimo: prestar un servicio que no sea trivialmente vulnerable al abuso (art. 6.1.f) |
| Atender sus solicitudes de soporte | Lo que nos envíe | Ejecución de un contrato, o interés legítimo si todavía no es cliente |
| Cookies no esenciales en nuestro sitio web | Véase la Política de Cookies | Consentimiento (art. 6.1.a del RGPD y art. 5.3 de la Directiva ePrivacy). Actualmente no instalamos ninguna. |
| Enviarle correos de producto sobre un servicio que ya utiliza | Su correo electrónico profesional | Interés legítimo, con un enlace de baja en cada mensaje |
| Responder a una consulta comercial que nos ha enviado | Datos del formulario de contacto | Interés legítimo: usted nos lo ha pedido (art. 6.1.f) |
Cuando nos basamos en el interés legítimo, hemos realizado la ponderación que exige el RGPD y le facilitaremos el razonamiento si lo solicita.
En cuanto a las conversaciones de sus clientes, nosotros somos el encargado del tratamiento, por lo que la base jurídica le corresponde establecerla a usted, no a nosotros. Nuestra base para el tratamiento es su instrucción conforme al artículo 28. Véanse la sección 2 y las obligaciones que usted asume en los Términos.
Esta es la sección que la mayoría de las políticas de privacidad de productos de IA omite. Y es también la sección por la que preguntarán sus propios clientes y su delegado de protección de datos.
Para generar cada respuesta, enviamos a un modelo de lenguaje de gran tamaño: la conversación mantenida hasta ese momento, las instrucciones que acotan el asistente a su negocio y los extractos pertinentes de la base de conocimiento que usted nos ha facilitado. Eso incluye todo lo que su cliente haya escrito en la conversación, y por eso importa el uso que se dé a su asistente.
| Proveedor | Para qué se utiliza | Dónde trata los datos | Garantía de la transferencia |
|---|---|---|---|
| Anthropic PBC | Generates the assistant’s replies from the conversation and the business’s knowledge base | United States | Standard Contractual Clauses, together with the provider’s EU–US Data Privacy Framework certification where it applies |
Sus conversaciones no se utilizan para entrenar los modelos de nadie. No entrenamos modelos con datos de clientes, y utilizamos a nuestros proveedores con condiciones que excluyen el contenido de la API de su entrenamiento. Si eso cambiara alguna vez en el caso de un proveedor que utilicemos, cambiaremos de proveedor o se lo preguntaremos antes; no actualizaremos esta página en silencio.
Cuando la transcripción de voz está activada, el archivo de audio se envía a un proveedor de reconocimiento de voz y se convierte en texto para que el asistente pueda responderlo. El audio es un dato personal y a menudo revela más que las propias palabras; si prefiere que no salga nunca de la plataforma, la transcripción puede desactivarse en su cuenta.
El artículo 50 del Reglamento de Inteligencia Artificial de la UE exige que se informe a la persona que interactúa con un sistema de IA de que lo está haciendo. Nuestros asistentes lo indican y, conforme a los Términos, usted no puede configurar ninguno para que niegue ser una IA o para que afirme ser una persona concreta.
Un modelo de lenguaje produce texto probable, no hechos verificados. El asistente tiene instrucciones de responder únicamente a partir de la información de su negocio y de transferir la conversación a una persona antes que inventarse una respuesta, pero ninguna instrucción convierte eso en una garantía absoluta. Nada de lo que diga constituye asesoramiento, y la responsabilidad por lo que un asistente en producción diga a sus clientes le corresponde a usted como responsable del tratamiento.
La plataforma —servidores de aplicación, base de datos y almacenamiento de archivos— funciona en la Unión Europea. Las conversaciones de sus clientes se almacenan en la UE.
Parte del tratamiento sale de ella. Los proveedores de modelos de IA de la sección 5, nuestro proveedor de reconocimiento de voz y algunas herramientas operativas están establecidos en Estados Unidos. Esas transferencias se amparan en la certificación del proveedor conforme al Marco de Privacidad de Datos UE-EE. UU. cuando resulta aplicable, y en las cláusulas contractuales tipo de la Comisión Europea cuando no, junto con una evaluación del impacto de la transferencia y las medidas técnicas descritas en la sección 11.
Indicaremos el mecanismo concreto de un proveedor concreto si se nos solicita. Una garantía genérica de que «utilizamos cláusulas contractuales tipo» no informa de nada, y no es nuestra intención que esta sección sea eso.
Preferimos contarle lo que hace el sistema hoy antes que publicar un calendario que todavía no hemos automatizado.
| Qué | Cuánto tiempo |
|---|---|
| Los datos de su cuenta y de su negocio | Mientras tenga una cuenta y, después, hasta 90 días desde su cierre, para que una cancelación accidental pueda revertirse. |
| Las conversaciones, las citas y las oportunidades comerciales de sus clientes | Mientras siga siendo cliente, salvo que nos indique que los suprimamos. Esto lo controla usted: es el responsable del tratamiento, y la supresión siguiendo su instrucción es su derecho conforme al artículo 28.3.g) y nuestra obligación. |
| Los datos técnicos de visitantes del sitio web asociados a conversaciones del widget | Se enmascaran según el calendario configurado para su cuenta. |
| Los registros de eventos de entrega y de webhooks | 30 días. |
| Las facturas y los registros contables | El tiempo que exige la normativa fiscal española, actualmente seis años, con independencia del cierre de la cuenta. |
| Los registros de seguridad y de auditoría | Se conservan mientras sean necesarios para investigar un abuso y después se suprimen. |
Cuando cierre su cuenta, suprimimos o anonimizamos de forma irreversible sus datos en un plazo de 90 días, salvo lo que debamos conservar por motivos fiscales o legales. Puede solicitar una exportación antes de irse.
Si somos el responsable del tratamiento de datos relativos a usted —porque es cliente, visitante o alguien que nos ha escrito—, puede ejercer frente a nosotros los siguientes derechos:
Escriba a privacy@opusdone.com. Respondemos en el plazo de un mes y le avisaremos si necesitamos más tiempo, lo que puede ocurrir con solicitudes complejas. Es gratuito. Puede que le pidamos confirmar su identidad, porque entregar sus datos a alguien que dijera ser usted sería el peor de los dos fallos posibles.
También puede presentar una reclamación ante una autoridad de control. La nuestra es la Agencia Española de Protección de Datos (AEPD) — https://www.aepd.es — y puede reclamar igualmente ante la autoridad del lugar donde viva o trabaje. Preferiríamos que nos lo dijera primero, pero no está obligado a hacerlo.
La plataforma puntúa las conversaciones entrantes para que un negocio pueda ver qué consultas parece que merece más la pena atender primero. Esa puntuación ordena una lista para una persona. No decide si alguien recibe una respuesta, si se le deniega un servicio o si se le aplican condiciones distintas.
Por eso no consideramos que se trate de una decisión que produzca efectos jurídicos o efectos similarmente significativos conforme al artículo 22 del RGPD. Es una ayuda para priorizar, con una persona al final. Si alguna vez construimos algo que condicione automáticamente un resultado, eso sería un cambio sustancial, y esta sección y el número de versión cambiarían con él.
Ningún sistema es perfectamente seguro y no vamos a afirmar lo contrario. Si se produce una brecha que probablemente entrañe un riesgo para los derechos de las personas, lo notificaremos a la autoridad de control en el plazo de 72 horas, como se exige, y se lo comunicaremos sin dilación indebida a los clientes afectados para que puedan cumplir sus propias obligaciones frente a sus clientes.
Este es un servicio para empresas. No está dirigido a menores y no recogemos a sabiendas datos de personas menores de 16 años a través de nuestro propio sitio web ni de las cuentas del producto.
Sus clientes son otra cuestión: si su negocio atiende a menores, personas de menos de 16 años pueden escribir a su asistente. Usted es el responsable del tratamiento de esas conversaciones, y cualquier exigencia de consentimiento o de autorización parental que resulte aplicable le corresponde cumplirla a usted. Si nos dice que una conversación afecta a un menor y que debe suprimirse, la suprimiremos.
El número de versión y la fecha de entrada en vigor que figuran al principio de esta página cambian cada vez que cambia esta política, y el historial de versiones del final indica qué cambió. Para los cambios sustanciales que afecten a los clientes, enviamos un correo electrónico a los titulares de las cuentas al menos 30 días antes de que surtan efecto.
Las secciones 15 a 21 se aplican si usted es residente de un estado de EE. UU. con una ley integral de privacidad: California, Colorado, Connecticut, Virginia, Utah, Texas, Oregón, Montana y otros a medida que entren en vigor. Se suman al resto de esta política en lugar de sustituirlo.
El derecho estadounidense de privacidad funciona al contrario que el de la UE. En lugar de exigir un permiso antes de recoger los datos, exige que se le informe en el momento de la recogida y que después pueda oponerse (opt out). Esta sección es esa información.
| Categoría (CCPA §1798.140) | ¿La recogemos? | Por qué | Plazo de conservación |
|---|---|---|---|
| Identificadores: nombre, correo electrónico, identificador de cuenta, dirección IP | Sí | Para gestionar su cuenta y proteger el servicio | Véase la sección 8 |
| Registros de clientes: datos de contacto profesionales y de facturación | Sí | Para prestar el servicio y cobrar | Véase la sección 8 |
| Información comercial: su plan, su uso, sus facturas | Sí | Facturación y soporte | Seis años para los registros contables |
| Actividad en internet: páginas solicitadas, registros técnicos | Sí, de forma mínima | Seguridad y prevención del abuso. Sin rastreadores de analítica ni de publicidad. | Véase la sección 8 |
| Geolocalización | Solo el país, deducido de la IP | Para aplicarle el régimen de privacidad que le corresponde, y por seguridad | No se almacena más allá de la solicitud |
| Información sonora, electrónica o visual | Solo lo que sus clientes envíen a su asistente | Para responderles, siguiendo su instrucción como responsable del tratamiento | Usted decide: véase la sección 8 |
| Información personal sensible (sensitive personal information) | No deliberadamente | Véase la sección 17 | — |
| Datos biométricos, geolocalización precisa, documentos de identidad oficiales | No | — | — |
| Inferencias utilizadas para elaborar un perfil sobre usted | No | — | — |
No vendemos información personal y no la cedemos para publicidad conductual entre contextos, en el sentido en que la CCPA define esos términos («sale» y «sharing»). No lo hemos hecho en los doce meses anteriores.
Es una afirmación llana y no una reserva, porque es sencillamente cierta por la forma en que está construido el producto: no hay rastreadores de publicidad en nuestro sitio web, no hay relaciones con intermediarios de datos y no existe ningún acuerdo por el que alguien reciba datos personales nuestros para sus propios fines.
Aun así, encontrará en el pie de página un enlace «Tus opciones de privacidad». Abre los mismos controles que puede utilizar cualquiera, para que el derecho a oponerse se pueda ejercer incluso donde, por ahora, no hay nada a lo que oponerse.
No solicitamos información personal sensible y el producto no tiene ningún campo para ella.
Aun así, somos claros sobre una posibilidad real: entre nuestros clientes hay clínicas dentales y médicas, y una persona que escribe a una clínica puede contar algo sobre su salud al pedir una cita. Ese contenido llega porque su cliente lo escribió, siguiendo su instrucción como responsable del tratamiento, y nosotros lo tratamos únicamente para prestar el servicio.
No utilizamos ni comunicamos información personal sensible para ninguna finalidad más allá de prestar el servicio que usted nos ha pedido, por lo que al derecho de la CCPA a limitar su uso no le queda nada más que restringir. Si su negocio maneja información de salud sujeta a normas sectoriales como la HIPAA, tenga en cuenta que nuestro contrato estándar no es un Business Associate Agreement: háblelo con nosotros antes de hacer pasar ese tráfico por la plataforma.
Dos vías para pedirlo, como se exige: escriba a privacy@opusdone.com o utilice el enlace «Tus opciones de privacidad» del pie de cualquier página. Respondemos en 45 días y podemos prorrogar una sola vez por otros 45 días cuando la solicitud sea compleja, en cuyo caso se lo comunicaremos.
Un agente autorizado puede actuar en su nombre si usted le da permiso por escrito y nosotros podemos verificarlo. California Shine the Light (§1798.83): no comunicamos información personal a terceros para su propio marketing directo.
Si su navegador o una extensión envía una señal de Global Privacy Control, la tratamos como una oposición válida y la aplicamos automáticamente. No se le mostrará un aviso preguntándole algo que ya ha respondido: se le dirá que la señal se ha respetado.
El Global Privacy Control es jurídicamente vinculante en California, Colorado y Connecticut. Nosotros lo respetamos en todas partes, porque una preferencia expresada en la configuración del navegador no se vuelve menos real al cruzar la frontera de un estado.
No actuamos sobre la antigua cabecera Do Not Track. Nunca se le dio un significado acordado, y fingir lo contrario sería prometer algo que no podríamos cumplir. Utilice el Global Privacy Control.
Cuando una ley estatal reconozca un derecho que esta política no mencione, usted tiene ese derecho y lo respetaremos. La lista anterior es un resumen, no un límite.
Cuestiones de privacidad, solicitudes de ejercicio de derechos o cualquier cosa de esta página que considere errónea: privacy@opusdone.com. Correo postal: Softpact, Carrer de Pujós, 5, 08904 Barcelona, España.
Si cree que nos hemos equivocado en algo, díganoslo antes de reclamar ante un regulador. No porque tenga que hacerlo, sino porque preferimos arreglarlo.