Política de privacidad
Última actualización: 24 de octubre de 2026
1. Responsables del tratamiento
- Responsables: Madalina Sanda y Sara Pérez
- NIF: [NIF de Madalina Sanda y NIF de Sara Pérez]
- Domicilio: [Domicilio completo]
- Contacto: info@heraxia.com
2. Qué datos tratamos
Formulario: nombre, empresa, email profesional, preferencia de contacto, teléfono si eliges llamada, disponibilidad opcional, objetivo y mensaje. Los campos obligatorios permiten atender la solicitud; sin ellos no puede enviarse. No incluyas contraseñas, documentación privada, datos sensibles ni datos personales de terceros.
Con cada solicitud válida conservamos las dos declaraciones del formulario, la identidad que indiques —sin verificarla automáticamente—, la fecha UTC de recepción, el modo de aceptación y las versiones y copias de los textos presentados. El registro no duplica el mensaje ni acredita por sí solo la entrega del correo. Si nos escribes por email, tratamos los datos que incluyas.
En el chat tratamos la consulta y el contexto reciente. Registramos por separado la aceptación y, en su caso, su retirada con una referencia aleatoria, fecha y versión del aviso, sin guardar en ese registro el texto de la conversación ni tu IP. Para limitar abusos, el servidor utiliza temporalmente la dirección IP y contadores de solicitudes; no se utilizan para publicidad ni perfiles.
3. Para qué y con qué base jurídica
- Responder al formulario: tu consentimiento, otorgado en la casilla específica de privacidad (art. 6.1.a RGPD). Aceptar las condiciones de uso es una declaración distinta y no autoriza publicidad.
- Responder por email o preparar una propuesta que solicites: medidas precontractuales a tu petición cuando seas la persona interesada en contratar (art. 6.1.b). Cuando contactes en representación de una empresa, interés legítimo en atender esa relación profesional, limitado a los datos necesarios de contacto (art. 6.1.f).
- Responder con IA en el chat: tu consentimiento, mediante «Acepto y empezar» (art. 6.1.a). Es opcional: puedes utilizar el formulario sin usar el chat.
- Acreditar las declaraciones y proteger el servicio: cumplimiento de las obligaciones de acreditación y seguridad de la normativa de protección de datos (art. 6.1.c, en relación con los arts. 7.1 y 32 RGPD). La conservación para atender responsabilidades se limita a lo necesario y a los plazos que correspondan.
No elaboramos perfiles ni adoptamos decisiones automatizadas con efectos jurídicos o similares sobre ti. No utilizamos las solicitudes para enviar publicidad sin una autorización separada.
4. Conservación
Las consultas que no se conviertan en proyecto se conservan como máximo doce meses desde el último contacto. Si se inicia un proyecto, se informará del tratamiento y los plazos aplicables a esa relación. Puedes solicitar antes la supresión o retirar tu consentimiento.
Cuando proceda suprimir datos, solo se mantendrán bloqueados los necesarios para atender las responsabilidades legalmente exigibles, durante su plazo de prescripción; después se destruirán. Los justificantes de aceptación y retirada tienen esa finalidad de acreditación, no comercial. [Concretar los plazos de prescripción y el procedimiento de bloqueo y eliminación con revisión jurídica]
El contexto del chat caduca tras quince minutos de inactividad, con limpieza periódica cada minuto. También puede borrarse desde el propio chat. El contador diario del agente solo conserva el día y el número de intentos, sin consultas. Los límites por IP caducan al minuto; las entradas vencidas se limpian con nuevas peticiones y periódicamente en el agente.
5. Proveedores y transferencias
Los datos se comunican a los proveedores necesarios para responder y mantener el servicio, y a autoridades cuando exista una obligación legal. No se venden ni se comunican con fines publicitarios.
- Alojamiento: Render, con la aplicación y su disco persistente configurados en Frankfurt (Alemania). Esta ubicación no implica que todos los tratamientos auxiliares del proveedor se limiten al Espacio Económico Europeo. [Confirmar entidad contractual, acuerdo de tratamiento y garantías aplicables al servicio de Render]
- Correo: el formulario utiliza un servidor SMTP de IONOS para enviar la solicitud a info@heraxia.com. [Confirmar entidad contractual, ubicación y acuerdo de tratamiento del servicio de correo]
- Chat: API de OpenAI para generar respuestas. [Confirmar entidad contractual de OpenAI, acuerdo de tratamiento y ubicaciones aplicables a esta cuenta]
El envío a OpenAI puede implicar tratamiento fuera del Espacio Económico Europeo. No se ha verificado todavía la configuración regional de esta cuenta ni el mecanismo contractual aplicable. [Antes de publicar: verificar las transferencias, su base y garantías y cómo obtener una copia; actualizar este apartado con los datos comprobados] Aceptar el chat no sustituye esta comprobación ni constituye un consentimiento a transferencias sin garantías.
6. Tus derechos y retirada del consentimiento
Puedes pedir acceso, rectificación, supresión, oposición, limitación o portabilidad, y retirar el consentimiento, escribiendo a info@heraxia.com. Indica qué solicitas y los datos necesarios para localizar tu solicitud; no envíes una copia del DNI por defecto. Solo se pedirá información adicional proporcionada si existe una duda razonable sobre tu identidad.
La retirada no afecta a la licitud del tratamiento anterior. En el chat tienes el botón «Retirar consentimiento y borrar conversación». Para las solicitudes enviadas por formulario, utiliza el email anterior. Se responderá sin dilación indebida y, como regla general, en un mes; si fuera necesario ampliar el plazo en los casos previstos por el RGPD, se te informará dentro del primer mes. Puedes reclamar ante la Agencia Española de Protección de Datos.
7. Organización de los responsables
El contacto para las cuestiones de privacidad de HERAXIA es info@heraxia.com. Si los titulares determinan conjuntamente los fines y medios del tratamiento, deben concretar sus responsabilidades en un acuerdo de corresponsabilidad y facilitar sus aspectos esenciales. [Confirmar la organización y completar los aspectos esenciales del acuerdo entre los titulares; no está formalizado en esta plantilla]
8. Asistente de inteligencia artificial
Hablas con una IA de OpenAI, no con una persona. El asistente ofrece orientación general sobre HERAXIA, puede equivocarse y no sustituye la revisión de tu caso por el equipo. No ejecuta acciones, no reserva citas, no toma decisiones sobre personas y no solicita documentos privados. Los casos de uso publicados son ejemplos ilustrativos.
Antes de empezar se solicita tu consentimiento. El servidor comprueba la revisión del aviso y conserva una prueba seudónima de esa acción. Para responder se envían a OpenAI tu consulta, los últimos tres turnos de la conversación y la información pública de HERAXIA. La aplicación no guarda las conversaciones en archivos. La ventana mantiene el historial en memoria hasta recargar o borrarlo; el contexto del servidor tiene la caducidad indicada en el apartado 4.
Al retirar el consentimiento se detiene el chat, se solicita la cancelación de cualquier respuesta pendiente y se borra el contexto de HERAXIA. Esto no borra automáticamente los datos que ya hayan llegado a OpenAI. Los justificantes mínimos de aceptación y retirada se conservan separados del contenido; puedes ejercer tus derechos a través del contacto indicado.
Las peticiones se realizan con el almacenamiento de Responses desactivado (store: false). Esto no equivale a retención cero: OpenAI puede conservar registros de seguridad hasta treinta días por defecto, con las excepciones de su política. Los datos de la API no se utilizan para entrenar sus modelos por defecto. Consulta los controles de datos de OpenAI.
9. Seguridad
El código separa las credenciales del contenido público, valida los formularios en el servidor y limita los envíos. Los registros de aceptación no tienen una ruta pública. Las conexiones del servidor con OpenAI y con el correo utilizan cifrado. La web publicada utiliza HTTPS con redirección desde HTTP. Los registros de aceptación se conservan en un disco persistente privado del servicio de Render. El proveedor documenta instantáneas automáticas diarias, disponibles durante siete días. [Verificar los accesos administrativos, la disponibilidad efectiva de las copias, su restauración y el procedimiento de conservación y eliminación]