Política de privacidad

Responsable del tratamiento

Finalidad del tratamiento

Los datos personales serán tratados para la gestión contractual de los servicios contratados.

Los datos personales proporcionados por el titular a través de esta página web podrán ser utilizados para la remisión de información sobre actualidad (newsletters), así como sobre la organización de eventos y los servicios organizados y prestados.

Base legal para el tratamiento

Para la prestación de los servicios contratados: el cumplimiento de las obligaciones derivadas del contrato de prestación de servicios.

Para el envío de información sobre actualidad, eventos o servicios: el consentimiento del titular de los datos. Este consentimiento puede ser revocado por el titular en cualquier momento.

Destinatarios

No se cederán los datos a terceros con fines comerciales. En caso de contratar los servicios, los datos personales podrán ser cedidos a las Administraciones Públicas (por ejemplo, la Administración Tributaria) para el cumplimiento de las obligaciones legales y tributarias en la gestión contractual.

Tratamiento de datos a través de WhatsApp

Algunas de las soluciones del ecosistema Bumpho —en particular Hazlo Fácil— atienden a los usuarios a través de WhatsApp mediante la WhatsApp Business Platform (API oficial de Meta). Cuando contactas con uno de nuestros números, o con el de una empresa cliente que utiliza nuestra plataforma, se tratan los siguientes datos:

• Tu número de teléfono y el nombre de perfil que muestres en WhatsApp.
• El contenido de los mensajes que envías (texto, audios, imágenes o documentos) y las respuestas del agente.
• Metadatos de la conversación (fecha, hora y estados de entrega y lectura).

Finalidad: atender tus consultas, agendar citas, tramitar pedidos y, cuando proceda, remitirte comunicaciones comerciales relacionadas.

Base legal: la ejecución de la solicitud que tú inicias y/o el interés legítimo en atender la conversación; y tu consentimiento previo (opt-in) para el envío de campañas o comunicaciones comerciales, que puedes revocar en cualquier momento respondiendo BAJA o STOP, o escribiendo a hola@bumpho.es.

Encargados y proveedores: para prestar este servicio intervienen Meta Platforms Ireland Ltd. (WhatsApp) y Twilio Inc. (proveedor tecnológico de la API), que tratan los datos conforme a sus propias condiciones y políticas. Estos proveedores pueden implicar transferencias internacionales de datos fuera del Espacio Económico Europeo (por ejemplo, a Estados Unidos), amparadas en las garantías adecuadas previstas en el RGPD (cláusulas contractuales tipo y, en su caso, el Marco de Privacidad de Datos UE-EE. UU.).

Cuando Bumpho actúa por cuenta de una empresa cliente (por ejemplo, un distribuidor que usa Hazlo Fácil para atender a sus propios clientes), dicha empresa es la responsable del tratamiento y Bumpho Proyect S.L. actúa como encargado del tratamiento, tratando los datos únicamente conforme a sus instrucciones y al correspondiente contrato de encargo (art. 28 del RGPD).

Conservación: las conversaciones se conservan durante el tiempo necesario para atender la relación y, posteriormente, quedan bloqueadas durante el plazo legal aplicable para atender posibles responsabilidades.

Datos obtenidos de servicios de Google

Algunas funciones de Hazlo Fácil permiten que el usuario conecte voluntariamente su cuenta de Google. En cada caso se accede únicamente a los datos necesarios para prestar la funcionalidad solicitada:

• Google Calendar: los eventos del calendario del propio usuario que autoriza la conexión, para sincronizar sus citas en ambos sentidos y consultar su disponibilidad, de modo que no se ofrezcan horas ya ocupadas.
• Search Console y Google Analytics: las métricas de las propiedades que el cliente conecta, para elaborar sus informes de posicionamiento.

Datos que se conservan: de Google Calendar se conservan el identificador, el título y las horas de inicio y fin de los eventos del usuario, con la única finalidad de sincronizar sus citas y calcular su disponibilidad; no se conservan invitados, descripciones, ubicaciones ni archivos adjuntos. De Search Console y Google Analytics se conservan las métricas de las propiedades conectadas necesarias para elaborar los informes contratados. Estos datos se conservan mientras la conexión permanezca activa: al desconectarla se eliminan de inmediato, y las métricas históricas de los informes se suprimen cuando se desactiva el servicio o la cuenta causa baja.

Uso de los datos: el uso de los datos obtenidos de las APIs de Google se limita a prestar las funcionalidades que el usuario ha solicitado. Conforme a los requisitos de Uso Limitado de Google, estos datos no se transfieren ni se venden a terceros como plataformas publicitarias, intermediarios de datos (data brokers) o revendedores de información; no se utilizan para mostrar anuncios, incluidos el retargeting y la publicidad personalizada o basada en intereses; no se utilizan para determinar la solvencia crediticia ni con fines de concesión de préstamos; y no se utilizan para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o de aprendizaje automático. Los únicos terceros que pueden tratarlos son los subencargados estrictamente necesarios para prestar el servicio, como el proveedor de alojamiento, sujetos al correspondiente contrato de encargo.

Acceso humano: el personal de Hazlo Fácil no lee los datos obtenidos de las APIs de Google. Solo se accede a ellos de forma excepcional cuando el propio usuario lo solicita para resolver una incidencia de soporte, cuando resulta imprescindible por motivos de seguridad, o cuando lo exige una obligación legal.

Conservación y revocación: las credenciales de acceso se almacenan cifradas y se eliminan al desconectar la cuenta desde el perfil del usuario, momento en el que además se revoca el acceso concedido. La conexión también puede revocarse en cualquier momento desde la configuración de seguridad de la propia cuenta de Google.

El uso y la transferencia de la información recibida de las APIs de Google por parte de Hazlo Fácil se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).

Inteligencia artificial: los datos obtenidos de las APIs de Google Workspace, incluido Google Calendar, no se utilizan para desarrollar, entrenar ni mejorar modelos de inteligencia artificial o de aprendizaje automático generalizados, ni propios ni de terceros, ni se transmiten a proveedores de dichos modelos. Cuando un informe incluye un resumen redactado con asistencia de inteligencia artificial, lo que se envía al proveedor del modelo son indicadores agregados del propio proyecto —puntuaciones de 0 a 100, número de alertas abiertas, nombres de los competidores rastreados y títulos de las acciones propuestas—, nunca los eventos del calendario del usuario ni las métricas por consulta de Search Console o Analytics.

Inteligencia artificial y proveedores de modelos

Algunas funciones de Hazlo Fácil utilizan modelos de inteligencia artificial de terceros: el asistente conversacional por WhatsApp (atención, citas, pedidos y subastas), la puntuación de leads, los resúmenes de conversación, la transcripción de audios, la descripción de imágenes y la elaboración de informes y recomendaciones de posicionamiento.

Proveedores: OpenAI (API), Anthropic (API de Claude), Google (API de Gemini), Perplexity (API) y DeepSeek (API); y, para el seguimiento de menciones de marca en buscadores con IA, DataForSEO como intermediario que reenvía consultas fijas a esos mismos modelos. En los módulos conversacionales el proveedor lo elige cada cliente y se conecta con su propia cuenta. El cliente puede también apuntar el asistente a un modelo autoalojado en su propia infraestructura: en ese caso los datos se procesan localmente y no se transmiten a ningún proveedor externo.

Qué se envía: únicamente la información necesaria para cada función (por ejemplo, los mensajes de la conversación que se atiende, el contenido de la web del cliente o los datos del proyecto de posicionamiento). Los datos obtenidos de servicios de Google no se envían a los modelos de IA: el contenido del calendario (títulos, asistentes, intervalos ocupados) nunca sale de la Plataforma —el asistente de citas solo recibe la lista de horas disponibles calculada por Hazlo Fácil—, los datos de Google Analytics no se utilizan en ninguna función de IA, y de Search Console únicamente se incorpora a los informes una puntuación agregada.

Uso para entrenamiento: Hazlo Fácil no utiliza los datos de sus usuarios para crear, entrenar ni mejorar modelos de IA. OpenAI, Anthropic, Google (Gemini) y Perplexity se utilizan bajo condiciones de API que excluyen el uso de los datos enviados para entrenar sus modelos. Las condiciones de DeepSeek permiten a dicho proveedor utilizar las entradas para mejorar sus servicios, por lo que solo está disponible a elección expresa del cliente y la Plataforma impide combinarlo con la conexión de Google Calendar. En ningún caso se transfiere a proveedores de IA dato alguno procedente de servicios de Google con fines de entrenamiento.

Transferencias internacionales: estos proveedores pueden tratar los datos fuera del Espacio Económico Europeo, con las garantías previstas en el RGPD (cláusulas contractuales tipo y, en su caso, el Marco de Privacidad de Datos UE-EE. UU.).

Medidas de seguridad y protección de los datos

Hazlo Fácil aplica medidas técnicas y organizativas dirigidas a proteger los datos personales que trata y, de forma reforzada, los datos de categoría sensible y las credenciales de acceso a servicios de terceros:

• Cifrado en tránsito: toda la comunicación con la plataforma y con las APIs de terceros, incluidas las de Google, se realiza exclusivamente sobre canales cifrados HTTPS/TLS. Las direcciones de destino de esas llamadas están fijadas en el propio código de la aplicación y no son modificables por el usuario.
• Cifrado en reposo: los tokens de acceso y de renovación de las cuentas de Google conectadas, el secreto que autentica las notificaciones de Google y los identificadores de sincronización se almacenan cifrados mediante algoritmo simétrico AES-256. Estos valores no se muestran en ninguna pantalla, no se incluyen en las exportaciones de datos que el usuario puede solicitar y no se escriben en los ficheros de registro del sistema.
• Permisos mínimos: se solicita en cada caso el permiso más restringido que permite prestar la funcionalidad: acceso limitado a los eventos del calendario —no al calendario completo ni a su configuración— y acceso de solo lectura a Search Console y Google Analytics.
• Minimización: de cada servicio conectado solo se conservan los datos imprescindibles para prestar la funcionalidad, detallados en el apartado anterior.
• Control de acceso y aislamiento: cada conexión con Google es personal del usuario que la autoriza y solo se emplea para prestarle servicio a él y a la cuenta a la que pertenece; los datos de cada cliente están aislados de los del resto. El acceso del personal de Hazlo Fácil a los sistemas de producción está limitado a las personas autorizadas que lo necesitan para operar el servicio, sujetas a deber de confidencialidad.
• Protección del proceso de autorización: la conexión con Google se realiza mediante un flujo de autorización protegido con un identificador firmado, de un solo uso y vinculado al usuario que ha iniciado sesión; cualquier intento que no cumpla estas condiciones se rechaza.
• Autenticación de las notificaciones entrantes: los avisos de cambio que Google envía a la plataforma se autentican mediante un secreto único por conexión, comparado con una función de tiempo constante. Los avisos que no superan esa comprobación se descartan sin ser procesados.
• Supresión: al desconectar la cuenta desde el perfil del usuario se revoca el permiso ante Google y se eliminan de forma inmediata tanto las credenciales como los datos derivados de su calendario. La misma supresión se aplica cuando la cuenta de usuario causa baja.
• Copias de seguridad: las copias de seguridad se transfieren y custodian a través de canales cifrados, en un almacenamiento de acceso restringido; las credenciales contenidas en ellas permanecen cifradas.
• Actualizaciones y revisión: la plataforma y sus dependencias se mantienen actualizadas y se revisan periódicamente sus vulnerabilidades conocidas.

Ninguna medida de seguridad garantiza una protección absoluta; Hazlo Fácil se compromete a mantener medidas adecuadas al riesgo y a notificar cualquier brecha de seguridad conforme a la normativa aplicable.

Derechos

El Reglamento General de Protección de Datos otorga a las personas una serie de derechos relacionados con sus datos personales:

• Derecho de acceso: ser informado y solicitar acceso a los datos personales que tratamos sobre usted.
• Derecho de rectificación: solicitar que corrijamos o actualicemos sus datos personales cuando sean inexactos o estén incompletos.
• Derecho de cancelación (supresión): solicitar la supresión de sus datos personales.
• Derecho de oposición y a la limitación del tratamiento: oponerse al tratamiento de sus datos personales o solicitar que no se utilicen para fines específicos.
• Derecho a la portabilidad: solicitar sus datos personales en un formato electrónico de uso común y que se transmitan a un tercero de su elección.

Los titulares podrán ejercitar sus derechos de acceso, rectificación, cancelación, portabilidad y de limitación u oposición al tratamiento dirigiéndose a: Bumpho Proyect S.L., CIF B85453850, Calle Aviación Española 98, 28805 Alcalá de Henares (Madrid), España, o al email hola@bumpho.es.

Conservación de los datos

Los datos personales facilitados para la prestación de servicios se conservarán mientras se mantenga la relación contractual. Posteriormente, los datos se mantendrán bloqueados durante un período que no excederá de 5 años, para poder hacer frente a posibles responsabilidades o requerimientos.