Política de Privacidad

Resumen ejecutivo

• Doble rol: Responsable de datos de cuenta + Encargado de datos del cliente
• 3 categorías de datos: cuenta, uso del producto, datos del cliente (incluidas las grabaciones de voz que se dicten en la aplicación, lo que los agentes leen en equipos y servidores y los contactos importados de otros CRM)
• Bases legales art. 6: consentimiento, contrato, interés legítimo, obligación legal
• No tomamos decisiones automatizadas con efectos jurídicos: las acciones críticas requieren aprobación humana
• No entrenamos modelos con tus datos · el proveedor de inferencia (TensorX Ltd.) no almacena ni registra el contenido de las peticiones ni lo usa para entrenar
• El contenido que procesan los agentes se trata en la UE; salen de ella el correo (Resend), Cloudflare y los pagos (Stripe), con Cláusulas Contractuales Tipo
• Formularios de contacto y de piloto: apartado 5.2
• Analítica de la web (Google Analytics 4): solo en www.sharasaas.com y solo si das tu consentimiento; nunca en la aplicación
• Derechos RGPD arts. 15-22 ejercitables en privacidad@aiginer.com

Esta Política de Privacidad describe cómo AIGiner S.L. (en adelante, "AIGiner", "nosotros") trata los datos personales en relación con el sitio web sharasaas.com y el servicio Shara —en su acceso por navegador, en su aplicación de escritorio y en los agentes que el Cliente instale en sus equipos—, en cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

AIGiner S.L. tiene CIF B93819753 y está inscrita en el Registro Mercantil de Barcelona (hoja B-662372, inscripción 1ª). Los datos registrales completos figuran en el Aviso Legal (/aviso-legal).

1. Doble rol: Responsable y Encargado

En Shara actuamos en dos roles diferenciados respecto del RGPD, separados con precisión técnica y contractual:

• Responsable del tratamiento respecto de los datos de cuenta del cliente y los datos generados por el uso del propio servicio (registros operativos, métricas de consumo, facturación, soporte). Esto se rige por la presente Política.
• Encargado del tratamiento (art. 28 RGPD) respecto de los datos personales que nuestros clientes (Responsables) alojan en Shara y que tratamos por cuenta suya cuando los agentes IA ejecutan sus tareas. Estas actuaciones se rigen por el Acuerdo de Encargado de Tratamiento (DPA) (/dpa) que el Cliente acepta al contratar el servicio.
• En esta política nos centramos en el rol de Responsable. Los datos que tratamos como Encargado se rigen por el DPA y están sujetos a las instrucciones documentadas del Cliente.

2. Responsable del tratamiento

• Responsable: AIGiner S.L. · CIF B93819753
• Domicilio: Gran Via de Carles III, 98, 08028 Barcelona, España
• Email general: soporte@aiginer.com
• Privacidad: privacidad@aiginer.com
• Contacto de protección de datos: dpo@aiginer.com. No hemos designado un Delegado de Protección de Datos conforme al art. 37 RGPD y al art. 34 LOPDGDD, porque el tratamiento no se encuentra en ninguno de los supuestos que lo exigen. Esa dirección es un buzón atendido por el responsable, y se usa para las solicitudes formales; si en algún momento designamos un DPO, lo publicaremos aquí con sus datos.

3. Glosario rápido

• Responsable del tratamiento: Quien decide el "para qué" y el "cómo" del tratamiento. AIGiner es Responsable de los datos de cuenta y operativos.
• Encargado del tratamiento: Quien trata datos por cuenta de un Responsable. AIGiner es Encargado de los datos del cliente que procesa cuando los agentes ejecutan tareas.
• Subencargado: Tercero al que el Encargado delega parte del tratamiento (TensorX, Supabase, Stripe, Resend...). Listado en /es/subprocessors/.
• Datos del cliente: Información que el Cliente conecta o sube a Shara (correos, contactos, facturas, documentos de recursos humanos, grabaciones de voz dictadas en la aplicación, etc.). El Cliente es Responsable y AIGiner Encargado.
• STU ("Shara Token Units"): unidad interna de medida del consumo de cómputo de modelos.
• Ejecución de agente: cada tarea individual que ejecuta un agente. Queda registrada con su identificador, el agente, el alias del modelo, una huella del prompt, los tokens y la latencia.
• Ficha de identidad del agente: fichero de contexto por agente que recoge las preferencias del Cliente. Se actualiza de forma incremental, nunca por sustitución, y cada cambio queda registrado, sin perjuicio de que el Cliente pueda corregir o borrar cualquier entrada.
• Cola de aprobación: cola de acciones críticas (envío de correo externo, pagos, decisiones de personal) que requieren aprobación humana antes de ejecutarse.

4. Datos personales que tratamos

4.1 Datos de cuenta y contacto

4.2 Datos de uso del producto

4.3 Datos del cliente (tratados como Encargado)

Cuando un agente IA de Shara procesa correos, contactos, facturas, documentos de recursos humanos u otros datos que el Cliente conecta al producto, actuamos como Encargado de tratamiento. El Responsable (Cliente) determina el contenido, la finalidad y la duración de ese tratamiento; nosotros lo realizamos siguiendo sus instrucciones documentadas y las obligaciones del DPA (/dpa). Estos datos no se utilizan para fines propios ni para entrenar modelos.

Voz. La aplicación permite dictar por micrófono. La grabación es un dato personal, y puede contener datos de terceros si se dicta el nombre o los asuntos de un cliente. La transcripción se resuelve en el propio equipo cuando el modelo local está disponible; en caso contrario, el audio se envía al proveedor de inferencia —que opera en la Unión Europea— exclusivamente para transcribirlo, con retención cero y sin uso para entrenamiento. Ni la grabación ni su transcripción se conservan más allá de lo necesario para devolverte el texto y, si tú lo envías, para la conversación en la que lo uses. El micrófono solo se activa cuando el usuario lo pulsa.

Agentes en equipos y servidores. El agente de escritorio actúa por defecto con acceso a todo el perfil del Usuario en su equipo, y los agentes de servidor leen el servidor donde el Cliente los instala (exclusiones: contraseñas, llaveros, cookies, claves privadas, /etc/shadow y secretos de Docker). Lo que leen puede incluir datos personales de empleados, clientes y terceros y, de forma incidental, datos de categorías especiales. Lo tratamos como Encargado, por instrucción del Cliente, que decide dónde instala los agentes, y no se usa para entrenar modelos. Los apartados 3 y 6.11 del DPA (/dpa) y el apartado 2.3 de los Términos lo regulan.

Registro de actividad. Cada acción de un agente en un equipo o servidor (qué se hizo, cuándo, con qué resultado y a petición de quién) se anota en un registro visible para el Cliente. Se conserva durante el plazo de conservación de las ejecuciones que el Cliente elige en Ajustes y se suprime al terminar la relación.

Importación desde otros CRM. Si el Cliente importa contactos y empresas desde HubSpot, Pipedrive, Salesforce o ficheros Excel o CSV, los tratamos como Encargado, para cargarlos en sus fichas de Shara. El Cliente responde de la licitud del origen de esos datos.

Concerto Local. En el plan de despliegue en la infraestructura del Cliente, el modelo se ejecuta en sus propios servidores: ese tratamiento no pasa por nuestros sistemas. Solo lo hacen las tareas que el Cliente decida delegar expresamente a la cuota de orquestación en la nube, y únicamente si mantiene esa opción activada.

5. Tabla matriz de tratamientos

Este cuadro consolida en una vista las categorías de datos que tratamos como Responsable, las finalidades, las bases legales del art. 6 RGPD, los plazos de conservación y la fuente de los datos.

5.1 Analítica de la web

Este tratamiento afecta a quien visita la web pública, no a los Clientes del servicio ni a los datos que estos alojan en Shara.

• Responsable: AIGiner S.L. (apartado 2).
• Encargado: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda, que presta Google Analytics 4. Hemos aceptado los términos de tratamiento de datos de Google.
• Finalidad: estadística de la web (cuántas visitas, qué páginas se ven y de dónde llegan). No se usa para publicidad: Google Signals está desactivado y no hay personalización de anuncios.
• Base jurídica: tu consentimiento (art. 6.1.a RGPD y, para las cookies, art. 22.2 LSSI-CE). Sin consentimiento no se carga Google Analytics ni se descarga nada de Google.
• Dónde: solo en www.sharasaas.com, documentación (/docs) incluida. No en app.sharasaas.com, la aplicación con los datos de los Clientes, ni en las páginas que llevan datos en la dirección (agradecimiento, feedback y pago).
• Datos: un identificador de visitante y de sesión, que se guarda en las cookies _ga y _ga_9NRTJRWCH9 (13 meses; detalle en /cookies), y los datos de la visita que mide Google Analytics para esa estadística. Según Google, Google Analytics 4 no registra ni almacena direcciones IP. No se recogen datos granulares de ubicación ni de dispositivo.
• Conservación en Google Analytics: 2 meses los eventos y 14 meses los datos ligados al identificador de visitante. Las cookies duran hasta 13 meses en tu navegador, o hasta que revoques el consentimiento.
• Transferencias internacionales: pueden producirse a Google LLC, en Estados Unidos. Se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), al que está adherida Google LLC, y en las cláusulas contractuales tipo de la Comisión Europea.
• Retirada del consentimiento: en cualquier momento, desde el Gestor de Cookies (/es/cookie-settings/). Al desactivar «Analíticas» se borran las cookies _ga y se deja de medir tu visita. La retirada no afecta a lo ya tratado (art. 7.3 RGPD).
• Tus derechos (apartado 10) los ejerces en privacidad@aiginer.com.

5.2 Formularios de contacto y de solicitud de piloto

Primera capa (art. 13 RGPD y art. 11 LOPDGDD). Responsable: AIGiner S.L. Finalidad: responder a tu mensaje o a tu solicitud de piloto. Base: medidas precontractuales a petición tuya (art. 6.1.b) e interés legítimo en responder consultas generales (art. 6.1.f). Destinatarios: los proveedores que se indican abajo. Derechos: acceso, supresión y demás, en privacidad@aiginer.com, y reclamación ante la AEPD. Los campos marcados con asterisco son necesarios para poder responderte; los demás son opcionales.

Qué recogemos: nombre, correo, empresa (en la solicitud de piloto es obligatoria), teléfono y plan de interés si los indicas, el motivo y el mensaje que escribas. Con el envío van además, por seguridad, el tiempo que has tardado en rellenar el formulario y el resultado de la verificación anti-bot, y se calcula una huella de tu dirección IP.

Adónde van esos datos:

• Verificación anti-bot: Cloudflare Turnstile comprueba que eres una persona antes de aceptar el envío (Cloudflare, presencia global; apartado 8).
• Recepción: el formulario envía el mensaje a nuestra bandeja (panel.aiginer.com), un servicio nuestro alojado en Cloudflare Pages.
• Almacén: el mensaje se guarda en nuestro CRM, en Supabase, en Irlanda. Si el CRM no responde, el mensaje se guarda de forma provisional en la base de datos de la bandeja (Cloudflare D1, jurisdicción UE) para que no se pierda.
• Clasificación: un modelo de TensorX Ltd. (Irlanda; inferencia en la UE) clasifica el mensaje como consulta comercial, propuesta u otro. Solo recibe el origen, el asunto y los primeros caracteres del mensaje, con los correos, los teléfonos y las direcciones web tapados; no recibe tu nombre, tu correo ni tu teléfono como campos aparte (si los escribes dentro del mensaje, el nombre puede aparecer). Si falla, el mensaje queda sin clasificar y se atiende igual.
• Aviso interno: avisamos al equipo de que ha entrado un mensaje por Telegram (Telegram FZ-LLC), sin datos personales: solo la etiqueta del origen. Telegram no es subencargado.
• Respuesta: te contestamos por correo electrónico a la dirección que nos das. El correo sale por Resend, en Estados Unidos, amparado en las Cláusulas Contractuales Tipo de la Comisión Europea.

6. Datos especiales y datos de menores

6.1 Datos especiales (art. 9 RGPD)

Shara no está diseñado para tratar categorías especiales de datos (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud, vida sexual u orientación sexual). Recomendamos expresamente al Cliente no conectar fuentes que contengan datos especiales sin haber realizado una evaluación de impacto y haber pactado por escrito con AIGiner las salvaguardas adicionales (cifrado reforzado, restricción de subencargados, compromiso explícito del Cliente de cumplir el art. 9.2). El uso por defecto del Servicio supone la garantía del Cliente de que no aporta este tipo de datos.

Sobre la voz: la grabación de la voz de una persona no es, por sí sola, un dato biométrico en el sentido del art. 4.14 RGPD, porque no la tratamos con la finalidad de identificar a nadie. Solo se transcribe. No hacemos reconocimiento de locutor ni ninguna otra forma de identificación por voz, y el Cliente no debe usar Shara para ello.

6.2 Menores (art. 8 RGPD y art. 7 LOPDGDD)

Shara es un servicio dirigido exclusivamente a empresas (personas jurídicas), no a personas físicas. No tratamos datos de menores de 14 años de manera consciente —la edad que fija el artículo 7 de la LOPDGDD para España, por debajo del umbral supletorio de 16 del artículo 8 del RGPD—, ni hacemos targeting publicitario o de cualquier tipo a menores. El Sitio Web y el producto no son accesibles a este colectivo como destinatarios. Si detectamos que un menor ha facilitado datos sin la base legal adecuada (autorización de los titulares de la patria potestad o tutela), los eliminaremos sin demora. Los Usuarios que el Cliente invite siguen el umbral de 14 años de este apartado. Cualquier sospecha puede comunicarse a privacidad@aiginer.com.

7. Destinatarios y subencargados

Para prestar el Servicio recurrimos a proveedores terceros que actúan como subencargados de tratamiento. La lista completa y actualizada está publicada en /es/subprocessors/: hoy son el proveedor de inferencia (TensorX Ltd., Irlanda, n.º 796387; centros de datos en Irlanda y Finlandia), la autenticación (Supabase, Irlanda), el hosting de aplicación y de la base de datos (Contabo, Francia), la red de distribución y protección (Cloudflare), los pagos y la facturación (Stripe) y el correo transaccional (Resend). Telegram (Telegram FZ-LLC) se usa para avisos operativos internos al equipo de AIGiner, sin datos personales del Responsable ni de los Usuarios; no es subencargado. Notificamos cualquier nueva incorporación con un preaviso de 30 días para permitir su revisión y, en su caso, oposición motivada del Responsable.

Aparte de la plataforma, y solo si aceptas las cookies analíticas, Google Ireland Limited recibe los datos de la analítica de la web como encargado del tratamiento (apartado 5.1). No es subencargado del servicio Shara y no recibe datos de los workspaces de los Clientes; figura en /es/subprocessors/ en un apartado propio, el de la web pública.

Adicionalmente, podremos comunicar datos cuando exista una obligación legal (autoridades fiscales, judiciales, AEPD) o sea estrictamente necesario para defender derechos en sede judicial.

8. Dónde se trata cada cosa

El contenido que procesan los agentes —lo que el Cliente conecta, lo que se escribe en el chat y las grabaciones de voz que se envían a transcribir— se trata dentro de la Unión Europea. El proveedor de inferencia, TensorX Ltd., tiene sus centros de datos en la UE (Irlanda y Finlandia), por lo que no existe transferencia internacional de los prompts, de las respuestas del modelo ni del audio. Su relación se rige por un contrato de encargo (art. 28 RGPD): no almacena ni registra el contenido de las peticiones ni lo usa para entrenar.

• La inferencia y la transcripción de voz, la autenticación (Supabase, Irlanda · eu-west-1) y el hosting de aplicación y de la base de datos (Contabo, Lauterbourg, Francia) están en territorio de la Unión Europea.
• Medidas técnicas: minimización de lo que se envía al modelo, ausencia de almacenamiento del contenido por el proveedor, no uso para entrenamiento y trazabilidad por petición.
• Lo que sí sale de la UE, y conviene decirlo sin rodeos: el correo transaccional del servicio (invitaciones, avisos de facturación, notificaciones) se envía a través de Resend, en Estados Unidos, y ese correo contiene el nombre y la dirección del destinatario y el contenido del propio aviso. La red de distribución y protección (Cloudflare) trata metadatos de tráfico con presencia global. Ambos tratamientos se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914, art. 46.2.c RGPD) y en el DPA de cada proveedor. Stripe trata los datos de pago en Irlanda y Estados Unidos con la misma garantía.
• Analítica de la web: si aceptas las cookies analíticas, los datos de tu visita a www.sharasaas.com los trata Google Ireland Limited, en la UE, y pueden transferirse a Google LLC en Estados Unidos, amparados en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo de la Comisión. Esto no afecta a los datos de los workspaces de los Clientes, que no pasan por Google Analytics.
• En Concerto Local la superficie se reduce todavía más: el modelo corre en la infraestructura del Cliente y solo salen de ella las tareas que decida delegar a la cuota en la nube, si la mantiene activada.

9. Decisiones automatizadas y derecho de oposición

Shara usa modelos de lenguaje para asistir al Cliente en la ejecución de tareas administrativas. No tomamos decisiones exclusivamente automatizadas que produzcan efectos jurídicos sobre el interesado (art. 22 RGPD): toda acción crítica (envío de correos externos, ejecución de pagos, contratación o despido, comunicación pública en nombre del Cliente, etc.) se encola y requiere aprobación humana antes de ejecutarse. El Cliente configura qué acciones requieren aprobación según su política interna.

Derecho de oposición (art. 21 RGPD): cuando el tratamiento se basa en interés legítimo (por ejemplo, métricas agregadas anonimizadas para mejora del producto o comunicaciones comerciales sobre productos similares), el interesado tiene derecho a oponerse en cualquier momento por motivos relacionados con su situación particular. Si la oposición es fundada, cesaremos el tratamiento salvo que acreditemos motivos imperiosos legítimos que prevalezcan o sean necesarios para el ejercicio de derechos en procedimientos judiciales. La oposición a comunicaciones comerciales es siempre incondicional y se atiende inmediatamente.

Más detalle sobre nuestra política de IA, mitigación de sesgos y EU AI Act en Política de Uso de IA (/es/ai-policy/).

10. Derechos del interesado

Conforme a los artículos 15 a 22 del RGPD, puedes ejercer en cualquier momento los siguientes derechos:

• Acceso (art. 15) a los datos personales que tratamos sobre ti.
• Rectificación (art. 16) de los datos inexactos o incompletos.
• Supresión (art. 17) ("derecho al olvido") cuando los datos ya no sean necesarios.
• Oposición (art. 21) al tratamiento basado en interés legítimo o marketing.
• Limitación (art. 18) del tratamiento en los supuestos del precepto.
• Portabilidad (art. 20): recibir los datos en formato estructurado, de uso común y lectura mecánica (NDJSON por tabla con un manifest.json; CSV bajo petición).
• Retirada del consentimiento (art. 7.3) en cualquier momento, sin efectos retroactivos. Para la analítica de la web, desde el Gestor de Cookies (/es/cookie-settings/).
• No ser objeto de decisiones automatizadas (art. 22) con efectos jurídicos significativos.

11. Procedimiento de ejercicio de derechos

Si los datos los aporta el Cliente como Responsable y el ejercicio se refiere a un interesado del Cliente, redirigiremos la solicitud al Responsable correspondiente y le asistiremos según el DPA sin dilación indebida, para que el Responsable pueda contestar en plazo.

• Envío de la solicitud a privacidad@aiginer.com o a dpo@aiginer.com, indicando claramente el derecho ejercido.
• Identificación: adjunta documento que permita verificar tu identidad (DNI/NIE redactado parcialmente o equivalente). Si la solicitud llega desde la cuenta verificada del servicio, podemos prescindir del documento.
• Plazo de respuesta: resolveremos en el plazo máximo de un mes desde la recepción (art. 12.3 RGPD).
• Ampliación motivada: en supuestos complejos o de alto volumen podemos ampliar el plazo por dos meses adicionales, notificándote la ampliación en el primer mes con las razones.
• Reclamación ante la AEPD: si no estás conforme con la respuesta, puedes presentar reclamación ante la Agencia Española de Protección de Datos en www.aepd.es. La reclamación es gratuita.

12. Cookies y medidas de seguridad

El uso de cookies en el sitio web informativo se rige por la Política de Cookies (/cookies), donde encontrarás el detalle por cookie (origen, finalidad, duración, tipo). Puedes modificar tus preferencias en cualquier momento desde el Gestor de Cookies. Las cookies estrictamente técnicas no se desactivan porque son necesarias para el funcionamiento del sitio; las analíticas (Google Analytics) solo se instalan si las aceptas, y puedes retirar ese consentimiento cuando quieras.

Aplicamos las medidas técnicas y organizativas apropiadas exigidas por el art. 32 RGPD para garantizar un nivel de seguridad adecuado al riesgo. Entre otras: cifrado en tránsito (TLS 1.2 como mínimo, con preferencia por TLS 1.3), cifrado con AES-256-GCM de los secretos y credenciales que guardamos por cuenta del Cliente, con claves envueltas por una clave maestra, separación entre clientes mediante filtrado por empresa en cada consulta, comprobado contra la base de datos, y, en trece áreas (consumo de modelos, facturación, aprobaciones, memoria —lectura—, ejecuciones, flujos, integraciones, recursos humanos, proyectos, soporte, facturación fiscal, plantillas de documentos y clientes, el CRM), políticas de fila de Postgres como segunda barrera, segundo factor TOTP disponible para todas las cuentas, exigido en toda la aplicación a quien lo activa y exigible a toda la empresa desde la configuración, registro de auditoría en el que la base de datos solo permite añadir líneas (modificar, borrar o vaciar se rechaza, también para la propia aplicación), encadenado con SHA-256 y verificable desde la aplicación, rotación de la clave maestra sin descifrar los datos ni parar el servicio, fijación de las autoridades raíz de certificado en el agente de servidor, batería de pruebas adversariales contra la manipulación de instrucciones con cobertura del OWASP LLM Top 10 (el 95 % neutralizado es condición para publicar una versión), cortes automáticos de gasto (1 M de STU por tarea, 10 M por hora, 80 M por día), cuatro copias diarias de la base de datos, cifradas y fuera del servidor, que se conservan 35 días, con una restauración real de prueba cada semana. Detalle en el Anexo III del DPA (/dpa).

Acceso del equipo de AIGiner: dos personas de AIGiner administran la plataforma y tienen acceso técnico a la base de datos, incluida la memoria de los Usuarios; solo acceden para soporte, incidencias u obligación legal, sujetas a confidencialidad. Quienes acceden a producción están obligados a confidencialidad por contrato o, como administradores, por el art. 228.b de la Ley de Sociedades de Capital.

Lo que no tenemos, dicho aquí para que nadie lo deduzca al revés: AIGiner no dispone de certificación ISO/IEC 27001 ni de informes SOC 2, ni está en proceso de certificación. Las medidas anteriores son las que aplicamos y se pueden verificar por las vías del apartado 7 del DPA.

13. Brechas de seguridad

Notificación en plazo art. 33-34 RGPD: En caso de brecha de seguridad que afecte a datos personales aplicamos un protocolo escalado conforme a los arts. 33 y 34 del RGPD.

• Notificación a la AEPD (art. 33): en un plazo máximo de 72 horas desde la detección, salvo que la brecha no entrañe riesgo para los derechos y libertades de los interesados.
• Notificación al interesado (art. 34): sin dilación indebida cuando la brecha entrañe alto riesgo para sus derechos y libertades, con un lenguaje claro y sencillo y la información mínima exigida (naturaleza de la brecha, contacto, consecuencias probables y medidas adoptadas).
• Asistencia al Responsable Cliente: si la brecha afecta a datos tratados como Encargado, notificaremos al Cliente sin demora indebida y le proporcionaremos toda la información razonablemente disponible para que cumpla con sus obligaciones art. 33-34, conforme al DPA (/dpa).

14. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales, técnicos u operativos. Los cambios materiales se notificarán por email a la cuenta del Cliente con un preaviso mínimo de 30 días. La fecha de la última revisión y el historial de versiones figuran al pie del documento.