POLÍTICA DE PRIVACIDAD

Llamalo AI — Versión 1.0 — Febrero 2025

Entrada en vigor: 19 de febrero de 2025

Contacto privacidad: privacy@llamalo.ai

Contacto legal: legal@llamalo.ai

URL: llamalo.ai/privacy

1. QUIÉNES SOMOS

Llamalo AI es una empresa constituida en España que opera una plataforma de agentes telefónicos basados en inteligencia artificial (en adelante, "la Plataforma"). Proporcionamos infraestructura tecnológica a empresas para que puedan crear y desplegar agentes de voz automatizados.

Contacto: privacy@llamalo.ai — llamalo.ai

Llamalo AI actúa en dos capacidades distintas:

• Como Responsable del Tratamiento (Data Controller): respecto a los datos de sus clientes B2B (empresas que contratan el Servicio).

• Como Encargado del Tratamiento (Data Processor): respecto a los datos de los usuarios finales que interactúan con los agentes de voz configurados por los clientes B2B.

  
  

2. QUÉ DATOS RECOPILAMOS Y POR QUÉ

2.1 Datos de clientes B2B

Datos de registro y perfil

• Nombre y apellidos del representante

• Correo electrónico corporativo

• Nombre de la empresa

• Credenciales de acceso (contraseñas cifradas, nunca en texto plano)

Base legal: Ejecución del contrato — Art. 6.1.b GDPR.

Datos de configuración de la plataforma

• Configuración de agentes de voz (nombre, instrucciones, tono, flujos conversacionales)

• Base de conocimiento del cliente (documentos, FAQs subidos a la plataforma)

• Credenciales de integraciones externas (Twilio, Shopify)

Base legal: Ejecución del contrato — Art. 6.1.b GDPR.

Datos de uso y métricas

• Número de llamadas realizadas y recibidas

• Métricas de rendimiento del sistema (datos agregados, sin información personal identificable)

Base legal: Interés legítimo — Art. 6.1.f GDPR.

Datos de facturación

• Plan contratado e historial de pagos

• Los pagos se procesan a través de proveedores externos seguros. Llamalo AI no almacena datos completos de tarjetas bancarias.

Base legal: Ejecución del contrato y obligación legal — Art. 6.1.b y 6.1.c GDPR.

2.2 Datos de usuarios finales

Los usuarios finales son las personas que llaman o reciben llamadas de los agentes de voz configurados por nuestros clientes. Respecto a sus datos, Llamalo AI actúa exclusivamente como Encargado del Tratamiento.

Datos procesados durante la llamada

• Número de teléfono: recibido vía Twilio como metadato de la llamada.

• Audio de voz: procesado en tiempo real por Deepgram (transcripción voz→texto) y ElevenLabs (síntesis texto→voz). No se almacena en los servidores de Llamalo AI.

• Contenido conversacional: procesado en memoria durante la sesión para generar respuestas mediante OpenAI. No se persiste en la base de datos al terminar la llamada.

• Datos mencionados en la llamada (nombre, email, número de pedido): procesados en memoria durante la sesión, salvo que el cliente configure expresamente su almacenamiento.

Lo que NO hacemos

• No grabamos ni almacenamos audio de las llamadas en nuestros servidores.

• No persistimos transcripciones completas de conversaciones.

• No realizamos análisis de sentimiento ni procesamiento emocional.

• No construimos perfiles de usuarios finales.

• No utilizamos conversaciones para entrenar modelos de IA, ni propios ni de terceros.

  
  

3. BASE LEGAL DEL TRATAMIENTO

Los datos personales se tratarán para el registro y gestión de cuentas de clientes B2B, así como para la prestación de los servicios contratados de agentes de voz, en base a la ejecución del contrato (Art. 6.1.b GDPR). También se tratarán para cumplir con obligaciones legales en materia de facturación y contabilidad (Art. 6.1.c GDPR), y para mejorar el servicio y garantizar la seguridad, en base al interés legítimo (Art. 6.1.f GDPR). El procesamiento de voz de los usuarios finales se realizará siguiendo las instrucciones del cliente, actuando como encargado del tratamiento conforme al Art. 28 GDPR.

4. SUBPROCESADORES

Llamalo AI utiliza proveedores externos para prestar el servicio, todos bajo acuerdos de procesamiento de datos conforme al Art. 28 GDPR. Entre ellos se encuentran Google Firebase, cuya base de datos se aloja en la UE sin transferencias internacionales, y Twilio Inc., que proporciona la infraestructura de llamadas con transferencias basadas en Cláusulas Contractuales Tipo y el Data Privacy Framework. Asimismo, OpenAI, L.L.C. se utiliza para el modelo de lenguaje con medidas contractuales y sin retención de datos, mientras que Deepgram Inc. y ElevenLabs Inc. permiten la transcripción y síntesis de voz bajo garantías contractuales equivalentes.

Además, el backend se aloja en Render Services Inc. y, opcionalmente, se integra con Shopify Inc. para funcionalidades de comercio electrónico, aplicando igualmente las salvaguardas exigidas por el GDPR. Se notificará cualquier cambio en la lista de subencargados con al menos 30 días de antelación.

Integración con Shopify — Acceso a datos

Estos permisos se solicitan únicamente cuando el comerciante instala voluntariamente la aplicación en su tienda Shopify y pueden revocarse en cualquier momento mediante la desinstalación.

Cuando un cliente activa la integración con Shopify, la aplicación Llamalo AI instalada en la tienda requiere acceso limitado a determinados datos para funcionar correctamente como asistente de soporte por voz. Los permisos solicitados y su finalidad exclusiva son:

• read_orders: Para proporcionar información en tiempo real sobre el estado de pedidos de clientes que llaman al soporte.

• read_customers: Para autenticar al cliente que llama mediante su número de teléfono.

• read_products: Para responder consultas sobre productos disponibles y detalles de stock.

Principio de minimización de datos: Solo se accede a los datos bajo demanda, durante la llamada activa. No se almacenan ni sincronizan bases de datos históricas. Todos los datos de Shopify se procesan en memoria y se destruyen automáticamente al finalizar la sesión de llamada. Llamalo AI no realiza sincronizaciones masivas (bulk downloads), replicación de bases de datos ni almacenamiento persistente de datos de Shopify en sus propios sistemas. El acceso a la API de Shopify se limita estrictamente a consultas necesarias para responder a una solicitud activa del usuario durante una llamada en curso.

Desinstalación de la aplicación Shopify

Cuando el comerciante desinstala Llamalo AI desde el panel de Shopify, se ejecuta automáticamente el siguiente proceso mediante el webhook oficial app/uninstalled de Shopify:

• El access token de Shopify se elimina inmediatamente de nuestros sistemas.

• El estado de la integración se marca como revocado en la base de datos.

• No se realizan más solicitudes a la API de Shopify desde ese momento.

• No se conserva ninguna copia de datos de clientes o pedidos de la tienda.

Este proceso es automático, inmediato y no requiere ninguna acción adicional por parte del comerciante.

5. TRANSFERENCIAS INTERNACIONALES

Para los subprocesadores ubicados en EE.UU., aplicamos:

• Cláusulas Contractuales Tipo (CCT) — Decisión CE 2021/914.

• EU-US Data Privacy Framework para proveedores certificados (Twilio, Google).

• Google Firebase en europe-west: datos en UE, sin transferencia internacional.

• OpenAI se utiliza con configuración de retención de datos deshabilitada (Zero Data Retention) cuando está disponible contractualmente, y bajo acuerdo de procesamiento de datos (DPA) conforme al Art. 28 GDPR.

  
  

6. TIEMPO DE CONSERVACIÓN

Clientes B2B

• Cuenta activa: durante la vigencia del contrato + 30 días tras cancelación.

• Datos de facturación: 7 años (obligación legal española).

• Logs técnicos: máximo 90 días.

Usuarios finales

• Contenido conversacional: eliminado automáticamente al finalizar la sesión de llamada.

• Metadatos de llamada en Twilio: sujetos a la política de retención de Twilio.

  
  

7. ELIMINACIÓN Y PORTABILIDAD DE DATOS

Llamalo AI proporciona a sus clientes B2B los siguientes mecanismos para la gestión, exportación y eliminación de sus datos:

7.1 Eliminación de datos

• Datos de cuenta activa: el cliente puede solicitar la eliminación de datos concretos en cualquier momento escribiendo a privacy@llamalo.ai.

• Eliminación por cancelación de cuenta: al cancelar la cuenta, los datos del cliente permanecen disponibles durante 30 días y son eliminados de los sistemas activos transcurrido ese plazo.

• Datos de facturación: conservados durante 7 años por obligación legal (Código de Comercio y Ley General Tributaria). No pueden eliminarse antes.

• Datos de usuarios finales (conversaciones): eliminados automáticamente al terminar cada sesión de llamada. No se almacenan en los servidores de Llamalo AI.

• Metadatos en Twilio: gestionados directamente por el cliente en su cuenta Twilio conforme a la política de retención de Twilio.

  
  

7.2 Portabilidad de datos

Los clientes B2B tienen derecho a recibir sus datos en formato estructurado y legible por máquina (Art. 20 GDPR). Para solicitar la exportación de tus datos, escribe a privacy@llamalo.ai con el asunto "Solicitud de Portabilidad de Datos". Gestionaremos tu solicitud en un plazo máximo de 30 días naturales.

7.3 Derecho de supresión (derecho al olvido)

Puedes solicitar la eliminación de todos tus datos personales en cualquier momento, salvo los que Llamalo AI está obligada a conservar por ley. Para ejercer este derecho, escribe a privacy@llamalo.ai con el asunto "Derecho de Supresión". Responderemos en un plazo máximo de 30 días naturales e informaremos de qué datos pueden eliminarse y cuáles deben conservarse por obligación legal.

8. SEGURIDAD

• Cifrado en tránsito: HTTPS/TLS en todas las comunicaciones.

• Cifrado en reposo: AES-256 en Firebase/Firestore (Google Cloud Platform).

• Control de accesos basado en roles con autenticación JWT.

• Aislamiento de datos: cada cliente accede únicamente a sus propios datos.

• Audio procesado en memoria y descartado al terminar la sesión.

  
  

9. IA Y DECISIONES AUTOMATIZADAS

• Llamalo AI NO utiliza datos de conversaciones de clientes para entrenar modelos de IA.

• Los agentes de voz no toman decisiones automatizadas con efectos jurídicos significativos sobre los usuarios finales.

• El cliente B2B es responsable de configurar su agente conforme al Art. 22 GDPR.

  
  

10. MENORES DE EDAD

Los servicios de Llamalo AI están dirigidos exclusivamente a empresas (B2B). No recopilamos datos de menores de 18 años intencionadamente. Los clientes son responsables de garantizar que sus agentes no contactan con menores sin las autorizaciones legalmente exigidas.

11. COOKIES

Llamalo AI utiliza únicamente cookies técnicas necesarias para el funcionamiento del servicio (autenticación, gestión de sesión). No utilizamos cookies de publicidad ni rastreo de terceros en el panel de administración.

12. ACTUALIZACIONES

Notificaremos cambios materiales con al menos 30 días de antelación por correo o aviso en la plataforma. La versión actualizada estará disponible en llamalo.ai/privacy.