Política de privacidad
Última actualización: 17 de septiembre de 2026
CoreConversa es la plataforma de asistentes conversacionales de CoreBrain. Esta política se aplica a CoreConversa, incluida su integración con Google Calendar, que aparece con el nombre «CoreConversa» en la pantalla de permisos de Google.
Esta política explica cómo tratamos los datos personales en CoreBrain, conforme al Reglamento (UE) 2016/679 (RGPD), a la Lei n.º 58/2019, que lo ejecuta en Portugal, donde el responsable está registrado como profesional ante la Autoridade Tributária, y al Decreto-Lei n.º 7/2004, de comercio electrónico. El RGPD es una norma europea y se aplica por igual en todos los Estados miembros, con independencia del país desde el que se preste el servicio.
1. Quién es el responsable
No tenemos designado un delegado de protección de datos. Para cualquier cuestión sobre esta política o para ejercer tus derechos, escribe a info@corebrain.es.
2. Dos papeles distintos, y conviene no confundirlos
CoreBrain trata datos personales en dos situaciones que la ley separa, y de las que se derivan responsabilidades distintas:
- Como responsable del tratamiento, respecto de los datos de nuestros propios clientes y contactos comerciales: quien nos escribe, quien solicita una demostración y las personas que acceden al portal de gestión.
- Como encargado del tratamiento, respecto de los datos de las personas que interactúan con los asistentes que construimos para nuestros clientes. Ahí el responsable es la empresa que contrata el servicio —la tienda, la clínica, el comercio—, que decide para qué se usa el asistente y qué información se le da. Nosotros tratamos esos datos siguiendo sus instrucciones y con un contrato de encargo conforme al artículo 28 del RGPD.
Si has hablado con un asistente en una tienda, en un tótem o en la web de un negocio, el responsable de esos datos es ese negocio, no CoreBrain. Puedes dirigirte a él, o escribirnos a nosotros y trasladaremos tu solicitud a quien corresponda.
3. Qué datos tratamos
De quien nos contacta o usa el portal: nombre, dirección de correo electrónico, empresa y el contenido de la comunicación; y, en el caso de las personas con acceso al portal, los datos de su cuenta y el registro de su actividad en la plataforma.
De quien conversa con un asistente: el contenido de la conversación; los datos de contacto que la propia persona facilite (nombre, teléfono, correo); el identificador que proporciona el canal por el que escribe —número de teléfono en mensajería, identificador de la red social, dirección de correo—; y un identificador de sesión temporal que permite mantener el hilo de la conversación.
No recogemos datos que no necesitamos. No almacenamos direcciones IP en nuestras bases de datos: se usan únicamente, y en memoria, para limitar la frecuencia de peticiones y evitar abusos. No utilizamos cookies de analítica, de publicidad ni de seguimiento. No elaboramos perfiles ni tomamos decisiones automatizadas con efectos jurídicos sobre las personas.
4. Para qué los tratamos y con qué base jurídica
| Finalidad | Base jurídica |
|---|---|
| Atender solicitudes de información y de demostración | Medidas precontractuales a petición del interesado (art. 6.1.b RGPD) |
| Prestar el servicio contratado y dar acceso al portal | Ejecución del contrato (art. 6.1.b RGPD) |
| Mantener y asegurar la plataforma, prevenir abusos y detectar errores | Interés legítimo en la seguridad y continuidad del servicio (art. 6.1.f RGPD) |
| Cumplir obligaciones contables, fiscales y legales | Obligación legal (art. 6.1.c RGPD) |
| Tratar los datos de quien conversa con un asistente | La determina el cliente responsable; nosotros actuamos por su cuenta (art. 28 RGPD) |
5. Uso de los datos de Google
Cuando un cliente decide conectar su cuenta de Google para que el asistente pueda gestionar su agenda, la conexión se realiza mediante el procedimiento de autorización de Google (OAuth). En ese momento Google muestra exactamente a qué se concede acceso, y la autorización puede revocarse en cualquier momento desde la cuenta de Google o solicitándonos la desconexión.
A qué accedemos. Únicamente al calendario de la cuenta que se conecta, con el alcance mínimo necesario para las funciones contratadas: consultar la disponibilidad y crear, modificar o cancelar las citas que gestiona el asistente.
La aplicación: CoreConversa. La aplicación que solicita y utiliza este acceso es CoreConversa, y con ese nombre aparece en la pantalla de permisos de Google. Solicita el alcance (scope) https://www.googleapis.com/auth/calendar.events y lo utiliza únicamente para:
- leer los eventos del calendario principal de la cuenta conectada, y recibir los avisos de Google cuando cambian, para saber qué horarios están ocupados y no reservar una cita encima de otro compromiso;
- crear en ese calendario las citas que se reservan;
- mover una cita a otra fecha u hora cuando se cambia;
- cancelar una cita, eliminando su evento del calendario.
CoreConversa no crea, borra ni modifica calendarios, ni accede a otros calendarios de la cuenta.
Además, solicita los alcances openid y https://www.googleapis.com/auth/userinfo.email únicamente para leer la dirección de correo de la cuenta de Google conectada y mostrar «Conectado como …» en el panel; no los utiliza para nada más.
Para qué lo usamos. Exclusivamente para prestar esas funciones de agenda al propio cliente que ha concedido el acceso. Para poder responder sobre disponibilidad o concertar una cita, la información estrictamente necesaria —horarios libres y ocupados, y los datos de la cita que se está gestionando— se procesa a través del proveedor del modelo de lenguaje que genera la respuesta, que actúa como encargado nuestro y no la utiliza para entrenar sus modelos.
El uso que CoreBrain hace de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de uso limitado.
En particular, y sin excepciones:
- no vendemos los datos obtenidos de Google, ni los cedemos a terceros con fines publicitarios, de marketing o de elaboración de perfiles;
- no los utilizamos para publicidad de ningún tipo, ni propia ni ajena;
- no los empleamos para entrenar ni ajustar modelos de inteligencia artificial generalizados;
- no permitimos que ninguna persona los lea, salvo que sea imprescindible por motivos de seguridad, para cumplir la ley, o cuando lo solicite expresamente el titular de la cuenta para resolver una incidencia;
- solo se transfieren a los proveedores estrictamente necesarios para prestar la funcionalidad descrita, que actúan como encargados nuestros y bajo contrato.
Al revocar el acceso, dejamos de sincronizar y suprimimos las credenciales de conexión. Las credenciales se guardan cifradas.
6. Quién más accede a los datos
No vendemos datos personales ni los cedemos a terceros para sus propios fines. Para prestar el servicio nos apoyamos en los siguientes proveedores, que actúan como encargados por cuenta nuestra y con contrato:
| Proveedor | Para qué | Qué recibe | Dónde se procesa |
|---|---|---|---|
| Supabase | Base de datos y autenticación | Todos los datos del servicio: cuentas, contactos, conversaciones | Unión Europea (Irlanda) |
| Hetzner | Alojamiento de la aplicación | Tráfico y datos en tránsito por el servidor | Unión Europea (Alemania) |
| Cloudflare | Red de entrega y protección del dominio | Metadatos de conexión y direcciones IP | Red global, con entidad en la UE |
| Anthropic | Modelo de lenguaje que genera las respuestas | Texto de la conversación y contexto de la sesión | Estados Unidos |
| Deepgram | Transcripción de voz a texto | Audio del turno de conversación | Estados Unidos |
| ElevenLabs | Síntesis de la voz de respuesta | Texto de la respuesta del asistente | Estados Unidos |
| Voyage AI | Cálculo de representaciones para la búsqueda | Texto de la base de conocimiento y de las consultas | Estados Unidos |
| Resend | Envío de los correos que genera el servicio · Solo si se contrata el envío de correo | Dirección de correo y contenido del mensaje enviado | Unión Europea (Irlanda) |
| Sincronización de la agenda del Cliente · Solo si el Cliente conecta su cuenta de Google | Eventos del calendario de la cuenta que el Cliente conecta | Estados Unidos |
Además, cuando así lo ha configurado el cliente responsable, el asistente puede enviar los datos de contacto que una persona facilite a los sistemas de ese mismo cliente —su CRM, su gestor de avisos o su plataforma de automatización—. En ese caso los datos vuelven a quien ya es su responsable, y su tratamiento posterior se rige por la política de privacidad de ese negocio.
También podremos comunicar datos a administraciones públicas, jueces y tribunales cuando exista una obligación legal.
7. Transferencias internacionales
La base de datos y el alojamiento del servicio están en la Unión Europea. Algunos de los proveedores de la tabla anterior —en particular los de modelos de lenguaje, transcripción y síntesis de voz— procesan la información fuera del Espacio Económico Europeo, principalmente en Estados Unidos.
Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea o, cuando resulta aplicable, en decisiones de adecuación, junto con las medidas complementarias correspondientes. Puedes solicitarnos información sobre las garantías aplicadas escribiendo a info@corebrain.es.
8. Cuánto tiempo los conservamos
- Solicitudes de información: mientras dure la relación y, después, durante los plazos de prescripción de las posibles responsabilidades.
- Datos de clientes y facturación: durante la vigencia del contrato y los plazos legales de conservación fiscal y mercantil.
- Conversaciones con los asistentes: el plazo lo fija el cliente responsable. La plataforma permite configurar un periodo de conservación por cliente: cumplido, se eliminan los mensajes y se suprimen los datos de contacto y los identificadores de canal asociados a la conversación.
- Registros de uso de los kioscos: la consulta realizada y su categoría se conservan asociadas al dispositivo, no a una persona identificada, mientras el servicio esté activo, para elaborar estadísticas de uso.
- Registros de errores: se conservan durante un periodo limitado, sin datos de contacto ni contenido de conversaciones.
9. Kioscos: voz y detección de presencia
Voz. Cuando alguien habla con un tótem, el audio de ese turno se envía al proveedor de transcripción para convertirlo en texto y se descarta a continuación: no se almacena ninguna grabación. Lo que se conserva es texto, en los términos del apartado anterior.
Detección de presencia. Algunos tótems disponen de una función, desactivada por defecto y que cada negocio decide encender, que detecta que hay una persona delante para iniciar el saludo. Esa detección ocurre íntegramente dentro del propio dispositivo: no graba, no guarda imágenes, no las transmite a ningún servidor y no identifica ni reconoce a nadie. El sistema únicamente determina si hay o no alguien frente a la pantalla; no genera datos biométricos ni permite distinguir a una persona de otra. Los negocios que activan esta función deben informar de ello mediante la cartelería correspondiente.
10. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a info@corebrain.es. Podemos pedirte que acredites tu identidad.
Si tu solicitud se refiere a una conversación mantenida con el asistente de un negocio concreto, el responsable es ese negocio: te indicaremos a quién dirigirte o le trasladaremos tu petición.
Si consideras que no hemos atendido correctamente tus derechos, puedes reclamar ante la autoridad de control. La de Portugal, país en el que el responsable está registrado, es la Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt). El RGPD te permite además reclamar ante la autoridad de tu país de residencia: si resides en España, ante la Agencia Española de Protección de Datos (www.aepd.es).
11. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito, aislamiento de los datos de cada cliente mediante controles de acceso en la propia base de datos, cifrado de las credenciales de sistemas de terceros, acceso restringido al personal necesario y registro de la actividad relevante. Ningún sistema es infalible; si se produjera una violación de seguridad que suponga un riesgo para tus derechos, actuaremos conforme a los artículos 33 y 34 del RGPD.
13. Menores
El servicio se dirige a empresas y profesionales; no está destinado a menores de edad ni recogemos datos de menores de forma deliberada. Si detectamos que hemos recibido datos de un menor sin la autorización correspondiente, los suprimiremos.
14. Cambios en esta política
Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa. La versión vigente es siempre la publicada en esta página, con su fecha de actualización. Si un cambio afecta de forma sustancial al tratamiento, lo comunicaremos por un medio adecuado.