Política de Privacidad
Cómo Evoriant trata los datos personales del Usuario en evoriant.com y durante una Sesión — qué recogemos, con qué base jurídica, durante cuánto tiempo y con qué encargados.
Responsable del tratamiento
El responsable del tratamiento de los datos personales recogidos en evoriant.com y a través del Servicio Evoriant es EVORIANT TECHNOLOGIES, S.L. Contacto en materia de protección de datos: privacy@evoriant.com.
Ámbito de aplicación
Esta Política se aplica al tratamiento de datos personales realizado por el Responsable en el contexto de: el acceso y uso de evoriant.com y sus subdominios; el uso del Servicio Evoriant (Fase gratuita y Fase de pago); el procesamiento de pagos mediante Stripe; y, en su caso, la búsqueda de fuentes web complementarias durante la Fase de pago; y el formulario voluntario de valoración posterior a la Sesión.
Esta Política no cubre el tratamiento que terceros (OpenAI, Anthropic, Stripe, etc.) realizan bajo su propia condición de responsables independientes y sus propias políticas de privacidad, según se detalla en el apartado 6.
Datos que tratamos y finalidades
El Responsable trata datos personales exclusivamente para las finalidades que se enumeran a continuación. No se tratan categorías especiales del art. 9 RGPD ni datos de menores de 18 años.
Prestación del Servicio. Tratamos el historial, el Input y el Output de la Sesión para ejecutar el contrato y generar el entregable en la Fase de pago (art. 6.1.b, ejecución del contrato). Se conservan durante la vigencia del contrato más 5 años. Encargados: OpenAI Ireland Ltd., Anthropic PBC, Vercel Inc. y Supabase.
Fase gratuita. Tratamos el Input de la Sesión —sin datos de pago ni de cuenta— para ofrecer el diagnóstico previo al pago, sobre la base de nuestro interés legítimo (art. 6.1.f). Se conserva mientras la sesión está activa y hasta 30 días después. Encargados: OpenAI Ireland Ltd. y Vercel Inc.
Pago y facturación. Tratamos el email del Usuario, el importe, el identificador de pago de Stripe, la IP en el momento de compra y el país para gestionar el cobro y emitir factura (art. 6.1.b, contrato; y art. 6.1.c, obligación legal fiscal). Se conservan 5 años por obligaciones tributarias. Encargados: Stripe Payments Europe Ltd. y Supabase.
Búsqueda de fuentes web (Fase de pago). Cuando el problema lo requiere, enviamos una consulta sintetizada a partir del Input del Usuario —no su contenido literal y sin datos identificativos directos— para recuperar fuentes externas (art. 6.1.b). La consulta no se conserva tras la Sesión. Brave Search actúa como proveedor, no como encargado (ver apartado 6).
Analítica de producto. Con el consentimiento del Usuario (art. 6.1.a, vía la plataforma de gestión del consentimiento) tratamos un identificador seudonimizado y eventos de navegación y conversión, sin IP (descartada en el servidor de analítica), para entender el uso del producto. Se conservan 1 año desde la sesión. Encargado: PostHog, Inc. (datos en la UE, Frankfurt).
Valoración voluntaria. Si el Usuario decide rellenar y enviar el formulario de valoración posterior a la Sesión, tratamos las respuestas que aporte —valoración NPS, selección de motivos y, si lo escribe, comentario de texto libre— sobre la base de su consentimiento (art. 6.1.a). El envío es estrictamente voluntario; puede omitirse sin efecto alguno sobre el Servicio. Los datos se conservan hasta 12 meses o hasta la retirada del consentimiento. Encargado: Supabase (datos en la UE, Frankfurt).
El Input que el Usuario introduce en el Servicio (planteamiento de la decisión) puede contener datos personales de terceros. El Responsable procesa dicho Input únicamente para prestar el Servicio en la Sesión correspondiente y no lo utiliza para ninguna otra finalidad. El Usuario es responsable de garantizar que la introducción de datos de terceros cumple la normativa aplicable.
Nota sobre comunicaciones: el Servicio no envía comunicaciones de servicio ni comerciales propias. El recibo del pago lo emite Stripe directamente bajo su propia responsabilidad (ver apartado 6). El entregable se obtiene mediante descarga directa, no por correo electrónico.
Legitimación del tratamiento
- Ejecución del contrato (art. 6.1.b): tratamiento necesario para prestar el Servicio y procesar el pago. Sin estos datos no es posible prestar el Servicio.
- Obligación legal (art. 6.1.c): conservación de datos fiscales conforme a la normativa española (Ley 58/2003 General Tributaria, Código de Comercio).
- Interés legítimo (art. 6.1.f): tratamiento mínimo de datos en la Fase gratuita para permitir el diagnóstico previo al pago. Ponderado: no prevalecen los derechos del Usuario sobre el interés del Responsable en ofrecer una muestra del Servicio antes del pago.
- Consentimiento (art. 6.1.a): analítica de producto (T5) y formulario de valoración voluntaria (T8). Libre, específico, informado e inequívoco, prestado vía CMP. Puede retirarse en cualquier momento sin afectar a la licitud del tratamiento anterior.
Plazos de conservación
Según el apartado 3, conforme a estos criterios: datos de ejecución del contrato, durante la relación y el plazo de ejercicio o defensa de reclamaciones (5 años, art. 1964 CC); datos fiscales, 5 años desde el cierre del ejercicio (art. 66 bis LGT); datos de analítica, 1 año desde la sesión; datos del formulario de valoración voluntaria, hasta 12 meses o retirada del consentimiento; datos basados en consentimiento, hasta su retirada. Cumplidos los plazos, los datos se suprimen o seudonimizan de forma irreversible.
Encargados, terceros responsables y transferencias internacionales
El Responsable recurre a los proveedores indicados a continuación. Con los que actúan como encargados ha suscrito (o suscribirá antes del inicio del tratamiento real) el correspondiente Acuerdo de Encargo del Tratamiento (DPA), y ha verificado las garantías de transferencia internacional conforme al Capítulo V del RGPD.
- OpenAI
- Modelos de IA · Encargado · OpenAI Ireland Ltd. (EEE) · SCC para procesamiento en EE.UU.
- Anthropic
- Modelos de IA · Encargado · Anthropic PBC (EE.UU.) · SCC (ley irlandesa)
- Vercel
- Hosting y despliegue · Encargado + responsable independiente · Vercel Inc. (EE.UU.) · SCC + DPF
- Supabase
- Base de datos y autenticación · Encargado · Datos en la UE (Frankfurt); entidad contratante fuera del EEE · SCC (subencargados en el DPA de Supabase)
- Stripe
- Procesamiento de pagos · Encargado + responsable independiente · Stripe Payments Europe Ltd. (EEE) + Stripe Inc. (EE.UU.) · DPF + SCC
- PostHog
- Analítica de producto · Encargado · PostHog, Inc.; datos en la UE (Frankfurt) · DPA EU; SCC para subencargados US
- Brave Search
- Búsqueda web, solo en Fase de pago · No encargado · Brave Software (EE.UU.) · Consulta server-side, sin datos identificativos directos
Vercel y Stripe, además de actuar como encargados, tratan ciertos datos como responsables independientes bajo su propia política (Vercel: datos de servicio y de cuenta; Stripe: prevención del fraude, AML/KYC y el envío del recibo al Usuario). Los datos del Usuario en Supabase se alojan en la UE (Frankfurt) y, durante la Fase de pago, las consultas a Brave se realizan desde el servidor sin exponer datos identificativos directos.
Los encargados tienen prohibido usar los datos del Responsable para fines propios distintos de la prestación del servicio contratado. El Responsable actualiza esta lista cuando incorpora o modifica proveedores; los cambios materiales se notifican conforme al apartado 12. El Usuario puede solicitar una copia de las garantías aplicables a las transferencias internacionales (Cláusulas Contractuales Tipo) escribiendo a privacy@evoriant.com.
Cookies y tecnologías de rastreo
7.1 — Gestión del consentimiento (CMP)
evoriant.com utiliza una plataforma de gestión del consentimiento (CMP) desplegada de forma local, sin servidor intermediario ni encargado externo. La cookie de consentimiento se almacena exclusivamente en el navegador del Usuario y no se transmite a terceros.
El modal aparece en la primera visita; el Usuario puede aceptar, rechazar o personalizar. La configuración se modifica en cualquier momento desde «Preferencias de cookies» en el pie de página.
7.2 — Cookies utilizadas
| Tipo | Finalidad | Duración | Proveedor |
|---|---|---|---|
| Necesaria | Almacena las preferencias de consentimiento | 365 días | Propia |
| Analítica (consentimiento) | Identificador seudonimizado para analítica de producto | 1 año | PostHog (UE) |
No se utilizan cookies de publicidad ni de seguimiento entre sitios. Las cookies de analítica solo se escriben con consentimiento explícito previo. La dirección IP no se conserva —se descarta en el servidor de analítica antes de almacenar el evento— y el tratamiento no permite la identificación personal directa del Usuario. El detalle completo figura en la Política de Cookies.
Derechos del interesado
El Usuario puede ejercer gratuitamente los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento, en los términos del RGPD. Las solicitudes se dirigen a privacy@evoriant.com, identificando al solicitante. El Responsable responde en el plazo máximo de un mes (prorrogable a dos en casos complejos, con notificación previa).
Si el Usuario considera que el tratamiento no cumple la normativa, puede reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de control de su residencia habitual.
Menores de edad
El Servicio se dirige exclusivamente a mayores de 18 años. El Responsable no recaba conscientemente datos de menores; de tener conocimiento de ello, los eliminará de inmediato. Avisos a privacy@evoriant.com.
Seguridad del tratamiento
El Responsable aplica medidas técnicas y organizativas adecuadas al estado de la técnica: cifrado en tránsito (TLS/HTTPS) y en reposo para datos sensibles; control de acceso por roles; supervisión de errores; registro de actividad. Los proveedores se seleccionan exigiendo garantías equivalentes.
Ningún sistema es infalible. Ante una violación de seguridad que pueda afectar a los derechos de los interesados, el Responsable notificará a la AEPD en un máximo de 72 horas (art. 33 RGPD) y, cuando proceda, al Usuario afectado (art. 34 RGPD).
Transparencia en inteligencia artificial (AI Act)
El Servicio integra sistemas de IA de terceros (OpenAI, Anthropic). Conforme al Reglamento (UE) 2024/1689 (AI Act), el Responsable informa de forma clara y visible de que el Usuario interactúa con un sistema de inteligencia artificial. Los entregables se identifican como contenido generado con asistencia de IA.
El Servicio no adopta decisiones automatizadas con efectos jurídicos o significativos sobre el Usuario en el sentido del art. 22 RGPD: el Usuario conserva en todo momento el control y la responsabilidad de su decisión. El Responsable no utiliza el Input del Usuario para entrenar modelos propios ni autoriza a sus encargados a hacerlo.
Modificaciones de la Política
El Responsable podrá modificar esta Política para adaptarla a cambios normativos, técnicos o de negocio. Los cambios materiales se notificarán con al menos 30 días naturales de antelación mediante aviso in-product o, cuando exista, correo a la dirección asociada. La versión vigente está siempre accesible en evoriant.com/privacidad.
Ley aplicable y jurisdicción
Esta Política se rige por la normativa española y europea de protección de datos (RGPD, LOPDGDD). Para cualquier controversia se estará a lo dispuesto en los Términos de Servicio, sin perjuicio del derecho del Usuario consumidor a reclamar ante la AEPD o la autoridad de control de su residencia.