Lo esencial, en una tabla

Información básica sobre protección de datos. El detalle de cada punto está más abajo.

Responsable

Symbiads, S.L. — NIF B93762789 — Avda. Oeste, 43, planta 1, puerta B2, 46001 València (España)

Finalidades

Atender tus consultas y la reserva de demostraciones, entender cómo se usa la web, enviarte el boletín si lo pides y proteger el servicio frente a abusos

Base legal

Tu consentimiento, la ejecución de medidas precontractuales que tú solicitas, nuestro interés legítimo en la seguridad y en el contacto comercial, y el cumplimiento de obligaciones legales

Destinatarios

Proveedores tecnológicos que actúan por cuenta nuestra (alojamiento, base de datos y modelo de lenguaje). Hay transferencias fuera de la Unión Europea, incluida China

Conservación

Entre 2 días y 6 años según el dato; el detalle está en el apartado 5

Tus derechos

Acceso, rectificación, supresión, limitación, portabilidad y oposición, además de retirar tu consentimiento. Escribiendo a marco.zuco@symbiads.es

1.Quién es el responsable del tratamiento

Symbiads, S.L. no está obligada a designar un delegado de protección de datos conforme al artículo 37 del Reglamento (UE) 2016/679 (RGPD) ni al artículo 34 de la Ley Orgánica 3/2018 (LOPDGDD). Las consultas sobre privacidad se atienden en la dirección de correo indicada arriba.

Esta política se refiere únicamente a los datos que tratamos como responsables a través del sitio hermesia.es. Cuando prestamos servicios a un cliente y tratamos datos de los clientes finales de ese cliente, actuamos como encargados del tratamiento y lo que se aplica es el contrato de encargo firmado con él, no esta política.

Hay una excepción: cuando una empresa conecta su cuenta de Google a los agentes que le preparamos, lo que hacemos con esos datos se explica en el apartado 15, que también forma parte de esta política.

2.Qué hacemos con tus datos y por qué podemos hacerlo

Tratamos tus datos para las finalidades que siguen. Cada una tiene su propia base jurídica: no usamos una base genérica para todo.

3.Qué datos recogemos exactamente

Preferimos enseñarlo que resumirlo. Esto es todo lo que puede llegar a nuestros sistemas.

3.1. Lo que nos das tú

• Al reservar una demostración: correo electrónico, nombre y, si lo escribes, nombre de tu empresa. También la franja horaria de tu dispositivo, para enseñarte las horas correctas.
• Al suscribirte al boletín: correo electrónico, el texto exacto que has aceptado, la fecha y el lugar de la web desde el que te suscribiste.
• Al hablar con Hermes: el texto de tus mensajes. Puede contener lo que tú decidas contar sobre tu negocio: sector, ciudad, horarios, volumen de consultas, tamaño del equipo. Si escribes tu correo o tu teléfono, los guardamos para poder responderte.

3.2. Lo que genera tu navegación

Esto solo se recoge de forma completa si aceptas las cookies analíticas:

• Identificadores: un identificador de visita y, si consientes, un identificador de navegador que nos permite reconocer visitas posteriores. Son números aleatorios: no llevan tu nombre.
• De dónde vienes: la dirección por la que entras, la página que te enlazó, los parámetros de campaña (utm_*) y los identificadores de clic publicitario que traiga la dirección.
• Qué haces en la página: secciones vistas y tiempo en cada una, pulsaciones (con su posición y el elemento pulsado), desplazamiento, apertura de preguntas frecuentes y de ventanas, texto copiado, recorrido del puntero o del dedo, errores que sufra la página en tu navegador y tiempos de carga.
• Tu equipo: navegador y versión, sistema operativo, tipo de dispositivo, idioma, zona horaria, tamaño de pantalla y de ventana, densidad de píxeles, número de núcleos, memoria aproximada, tipo de conexión y preferencias de accesibilidad (tema oscuro, movimiento reducido, contraste).
• Tu dirección IP, con la particularidad que explicamos justo debajo.

3.3. Lo que generan nuestros sistemas

• Registro de tu decisión sobre cookies: qué elegiste, cuándo, con qué botón, qué versión del aviso viste y desde qué navegador. Es la prueba de consentimiento que exige la ley.
• Registro técnico de peticiones: cada llamada a nuestro servidor, con su resultado, su duración y el resumen de IP. Sirve para detectar errores y abusos.
• Perfil de tu negocio: si en la conversación cuentas a qué te dedicas, Hermes compone una ficha (sector, descripción, ciudad, horarios, volumen) para no tener que preguntártelo otra vez y para preparar la demostración.
• Resultados del simulador: los parámetros usados, los supuestos de cálculo y el resultado de cada estimación.

4.Hermes, el asistente de inteligencia artificial

4.1. Qué pasa cuando le escribes

1. Tu mensaje llega a nuestro servidor en Irlanda (Unión Europea) y se guarda ahí tal y como lo escribiste.
2. Antes de salir, el sistema enmascara automáticamente los datos que sabe reconocer: direcciones de correo, números de teléfono, DNI, NIE, IBAN y números de tarjeta. Se sustituyen por marcadores del tipo [EMAIL_1] o [TELEFONO_1].
3. El mensaje ya enmascarado, junto con el historial reciente de la conversación, se envía al proveedor del modelo de lenguaje, Hangzhou DeepSeek Artificial Intelligence Co., Ltd., que procesa en la República Popular China. Lee el apartado 7.
4. La respuesta vuelve, se guarda y te la mostramos.

4.2. Qué guardamos de la conversación

Guardamos en la Unión Europea el texto original de tus mensajes, el texto enmascarado que se envió al proveedor, la respuesta, el número de palabras consumidas y su coste, y el motivo por el que el sistema haya podido frenar un mensaje (por ejemplo, por salirse del tema o por intentar manipular al asistente). Esto nos permite explicar después cualquier respuesta y afinar el servicio.

4.3. Lo que Hermes no hace

• No toma decisiones con efectos jurídicos sobre ti ni que te afecten significativamente de modo similar. No decide precios, no concede ni deniega nada.
• No accede a tu correo, a tus contactos, a tu micrófono ni a tu cámara. (Los agentes que preparamos para una empresa solo acceden a su cuenta de Google si ella la conecta: lo explica el apartado 15.)
• No consulta bases de datos externas sobre ti ni enriquece tu perfil con fuentes de terceros.

5.Cuánto tiempo conservamos cada cosa

Conservamos cada dato el tiempo necesario para su finalidad y, después, durante los plazos de prescripción que puedan aplicarse. Estos son los plazos que nos hemos fijado:

Si retiras tu consentimiento o ejerces tu derecho de supresión, borramos los datos antes de esos plazos, salvo los que debamos conservar por obligación legal o para defendernos frente a reclamaciones, que quedan bloqueados y solo a disposición de jueces, tribunales y administraciones.

6.Quién más ve tus datos

No vendemos ni cedemos tus datos a nadie con fines comerciales. No hay publicidad de terceros en esta web, ni redes publicitarias, ni píxeles de seguimiento, ni herramientas de analítica de terceros como Google Analytics.

Sí trabajamos con proveedores tecnológicos que actúan por cuenta nuestra y siguiendo nuestras instrucciones, con los que existe el contrato de encargo que exige el artículo 28 del RGPD:

6.1. Conexiones a terceros al cargar la web

Al abrir la página de inicio, tu navegador pide por su cuenta algunos recursos a servidores de terceros. Esos terceros reciben tu dirección IP y los datos técnicos habituales de cualquier petición, aunque tú no hagas nada:

Estas páginas legales que estás leyendo no cargan nada de terceros: la tipografía es la de tu propio sistema.

6.2. Otros destinatarios

Además, podemos comunicar datos a jueces, tribunales, fuerzas y cuerpos de seguridad y administraciones públicas cuando exista una obligación legal, y a nuestros asesores legales, contables y fiscales cuando resulte necesario, siempre sujetos a deber de confidencialidad.

7.Salidas de datos fuera de la Unión Europea

Hay tres transferencias internacionales. Te las contamos una a una, porque no todas tienen el mismo nivel de garantía.

7.1. China — el proveedor del modelo de lenguaje

Qué hacemos para reducir el riesgo:

• Minimizamos. Solo sale el texto de la conversación y el historial reciente. No sale tu identificador de visitante, ni tu IP, ni los datos de tu dispositivo, ni nada de lo que hayas escrito en los formularios de reserva o de boletín.
• Enmascaramos. Correos, teléfonos, DNI, NIE, IBAN y tarjetas se sustituyen por marcadores antes de salir.
• Te lo advertimos y te damos una alternativa que no implica ninguna transferencia: el correo y el teléfono.
• El proveedor tiene representante en la Unión Europea a efectos del artículo 27 del RGPD (Prighter Group), al que es posible dirigir solicitudes.

Al escribir y enviar un mensaje a Hermes después de haber leído esta advertencia, estás prestando tu consentimiento explícito a esa transferencia en el sentido del artículo 49.1.a del RGPD. La transferencia es además necesaria para ejecutar la medida precontractual que tú has solicitado al abrir la conversación (art. 49.1.b del RGPD). Puedes evitarla sin perder nada: no uses el chat y contáctanos por correo o teléfono.

7.2. Estados Unidos — alojamiento

Vercel Inc. aloja el sitio en Estados Unidos. La transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, incorporadas al contrato de tratamiento de datos del proveedor. Estados Unidos cuenta además con una decisión de adecuación de la Comisión Europea de 10 de julio de 2023 para las entidades adheridas al EU-U.S. Data Privacy Framework.

Lo mismo se aplica a Google Ireland Limited / Google LLC por la carga de las tipografías de la página de inicio.

7.3. Singapur — el proveedor de la base de datos

Los datos se almacenan físicamente en la Unión Europea (Irlanda), pero la sociedad que presta el servicio, Supabase Pte. Ltd., tiene su sede en Singapur y su personal de soporte puede acceder desde fuera del Espacio Económico Europeo. Esa transferencia se ampara igualmente en las cláusulas contractuales tipo de la Decisión (UE) 2021/914.

Puedes solicitarnos una copia de las garantías aplicadas escribiendo a marco.zuco@symbiads.es.

8.Perfiles y decisiones automatizadas

Si aceptas las cookies analíticas, acumulamos tu actividad bajo un identificador de navegador y, si en algún momento nos dejas tu correo, ese historial queda asociado a tu ficha de contacto. Eso nos permite saber qué secciones te interesaron antes de una reunión. Es, en términos del RGPD, una elaboración de perfiles con finalidad comercial, y la hacemos solo con tu consentimiento.

Hermes también compone una ficha del negocio de quien le escribe a partir de lo que esa persona le cuenta.

No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD. Los cálculos del simulador los realiza nuestro código con los parámetros que tú das, y su resultado es una estimación orientativa, no una decisión sobre ti.

Puedes oponerte a la elaboración de perfiles en cualquier momento: basta con rechazar las cookies analíticas o escribirnos.

9.Qué datos son obligatorios

No existe ninguna obligación legal ni contractual de facilitarnos datos personales. Ahora bien:

• Para reservar una demostración necesitamos tu correo y tu nombre. Sin ellos no podemos confirmarte la cita ni enviarte el enlace de la videollamada.
• Para suscribirte al boletín necesitamos tu correo. Es evidente, pero conviene decirlo.
• Para el resto de la web, incluido el chat, no necesitas darnos ningún dato identificativo.

Los campos ocultos que incluyen algunos formularios no recogen datos tuyos: son trampas antirrobot y solo las rellenan los programas automáticos.

10.Tus derechos y cómo ejercerlos

Puedes ejercer en cualquier momento los siguientes derechos:

Cómo ejercerlos: escribe a marco.zuco@symbiads.es indicando qué derecho quieres ejercer. También puedes hacerlo por correo postal a Symbiads, S.L., Avda. Oeste, 43, planta 1, puerta B2, 46001 València.

• Es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
• Respondemos en el plazo de un mes, ampliable en dos meses más si la solicitud es compleja, avisándote del motivo.
• Podemos pedirte que acredites tu identidad si tenemos dudas razonables sobre quién nos escribe. No te pediremos copia de tu DNI si hay una forma menos invasiva de comprobarlo.
• Si tus datos son solo los de navegación y no nos has dado nunca tu correo, puede que no podamos identificarte: en ese caso te pediremos el identificador de visitante guardado en tu navegador, que puedes ver en el apartado correspondiente de la política de cookies.

Para dejar de recibir el boletín no hace falta nada de esto: usa el enlace de baja de cualquier envío.

11.Cómo reclamar si no estás conforme

Si consideras que no hemos atendido correctamente tu solicitud o que tratamos tus datos de forma indebida, puedes presentar una reclamación ante la autoridad de control:

Te agradeceríamos que antes nos escribieras a nosotros: casi todo se resuelve en un correo.

12.Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD. Entre otras:

• Todo el tráfico viaja cifrado (HTTPS/TLS), tanto entre tu navegador y nosotros como entre nuestros servidores y la base de datos.
• La base de datos está en la Unión Europea (Irlanda), con copias de seguridad gestionadas por el proveedor.
• La dirección IP nunca se guarda en claro: solo su resumen criptográfico con clave secreta y su prefijo de red.
• Los datos personales que sabemos reconocer se enmascaran antes de salir hacia el proveedor del modelo de lenguaje.
• El acceso a los sistemas está limitado al personal que lo necesita, con credenciales individuales, y las claves de servicio se guardan en un almacén cifrado, nunca en el código de la web.
• Hay límites de uso, listas de bloqueo y registro de peticiones para detener abusos, y registro de cambios sobre la configuración y los datos de negocio.
• Solo se aceptan peticiones procedentes de nuestros propios dominios.

Ningún sistema es invulnerable. Si se produjera una violación de seguridad que suponga un riesgo para tus derechos, lo notificaremos a la Agencia Española de Protección de Datos en el plazo de 72 horas y, cuando el riesgo sea alto, también a ti.

13.Menores de edad

Este sitio se dirige a empresas y profesionales. No está pensado para menores y no recogemos datos de menores de forma consciente. Conforme al artículo 7 de la LOPDGDD, el tratamiento de datos de menores de 14 años basado en el consentimiento requiere el de sus padres o tutores.

Si eres padre, madre o tutor y crees que un menor nos ha facilitado datos, escríbenos a marco.zuco@symbiads.es y los eliminaremos.

14.Cambios en esta política

Podemos actualizar esta política cuando cambien nuestros tratamientos, nuestros proveedores o la normativa. En la cabecera figuran siempre la versión y la fecha de entrada en vigor.

Si el cambio afecta de forma sustancial a tratamientos basados en tu consentimiento, te lo comunicaremos y, cuando proceda, te pediremos uno nuevo. Para el resto de cambios, basta con la publicación en esta página.

Esta política se complementa con el aviso legal y con la política de cookies.

15.Cuentas de Google conectadas a los agentes

Para las empresas que nos contratan preparamos agentes de inteligencia artificial que trabajan con sus herramientas de Google. Esta sección explica qué datos de Google usan esos agentes, para qué, quién más los procesa, cuánto tiempo se guardan y cómo se retira el acceso. Solo se aplica si una empresa conecta su cuenta de Google pulsando «Permitir» en la pantalla de Google: quien visita hermesia.es o habla con Hermes no nos da acceso a nada de Google.

Con estos datos, Symbiads, S.L. actúa como encargada del tratamiento de la empresa que conecta la cuenta (art. 28 RGPD): la empresa decide para qué se usa su agente y nosotros solo seguimos sus instrucciones, según el contrato de encargo firmado con ella.

15.1. A qué accedemos y para qué

Pedimos permiso solo para las aplicaciones que la empresa decide conectar y, dentro de cada una, el permiso más reducido que permite hacer la tarea. Esto es todo lo que un agente puede llegar a hacer:

Si en el futuro un agente necesita otra aplicación de Google, se aplicarán estas mismas reglas, la añadiremos a esta tabla y la empresa tendrá que dar un permiso nuevo antes de que el agente la use.

15.2. Lo que no hacemos nunca con datos de Google

• No los usamos para crear, entrenar ni mejorar modelos de inteligencia artificial generales, ni nuestros ni de nadie, ni guardamos copias para ese fin.
• No los vendemos ni los pasamos a plataformas de publicidad, intermediarios de datos ni revendedores de información.
• No los usamos para mostrar publicidad, tampoco personalizada ni de retargeting.
• No los usamos para valorar la solvencia de nadie ni con fines de préstamo.
• No los usamos para nada distinto de las tareas que la empresa ha configurado en su agente.

Solo los transferimos a otros cuando hace falta para que el agente haga esas tareas (lo explica el apartado 15.4), por seguridad, para cumplir la ley o, si un día hubiera una fusión, adquisición o venta de la empresa, con el consentimiento previo y expreso de la empresa afectada.

15.3. Quién de nuestro equipo puede verlos

Por defecto, nadie. Una persona de nuestro equipo solo puede ver datos de Google concretos en estos casos:

• cuando la empresa nos lo pide expresamente, por ejemplo para revisar una respuesta del agente o resolver una incidencia;
• cuando es imprescindible por seguridad, como investigar un fallo o un abuso;
• cuando lo exige la ley.

15.4. Quién más los procesa

Para que el agente entienda un correo, un documento o una cita y decida qué hacer, el contenido necesario para esa tarea pasa por estos proveedores, que actúan por cuenta nuestra y no pueden usarlo para nada más:

Antes de enviar nada al modelo de lenguaje, el sistema sustituye por marcadores los datos que sabe reconocer: correos, teléfonos, documentos de identidad, cuentas bancarias y tarjetas. Igual que en el chat de Hermes (apartado 4), no reconoce nombres propios ni datos escritos en prosa. No compartimos datos de Google con nadie más.

15.5. Cómo los protegemos

• Viajan siempre cifrados (TLS) entre Google, nuestros servidores y los proveedores, y se guardan en discos cifrados (AES-256).
• Los datos de cada empresa están separados: un agente solo puede leer los de su propia empresa.
• El acceso a la cuenta que nos da Google solo lo usa el propio agente; no se muestra en el panel ni se envía al modelo de lenguaje.
• Si sufrimos un incidente de seguridad que afecte a datos de Google, avisamos sin demora a la empresa afectada, como exige el artículo 33.2 del RGPD, y a Google.

15.6. Cuánto tiempo los guardamos

15.7. Cómo retirar el acceso y pedir el borrado

La empresa puede retirar el permiso en cualquier momento desde myaccount.google.com/permissions, o pedirnos que desconectemos la cuenta. Desde ese momento el agente deja de acceder a sus datos de Google. Si además quiere que borremos el acceso guardado y todo lo obtenido de Google, basta con escribir a marco.zuco@symbiads.es: lo borramos en el plazo máximo de un mes que marca el RGPD.