Política de privacidad

Borrador 0.1 · 28 de octubre de 2026

1. En pocas palabras

• De las personas que usan el panel guardamos lo justo para darles acceso y proteger la cuenta: nombre, correo, rol, sesiones y lo que hacen en el Registro.
• Lo que tu empresa pone a trabajar en skyseat (tareas, correos, documentos, llamadas, contactos) es de tu empresa: lo tratamos por su cuenta y según sus instrucciones, con el contrato de encargado del tratamiento.
• Servidores en la Unión Europea (Hetzner, Alemania y Finlandia). Algunos proveedores, como el modelo de IA o la voz, están en Estados Unidos: los tienes todos en la lista de subencargados.
• La web no usa cookies ni analítica. Solo te pide datos si mandas una solicitud de acceso en Empezar gratis. El panel solo usa la cookie de sesión.
• Puedes descargar tus datos y borrar tu cuenta tú mismo desde el panel, en Cuenta › Datos y privacidad.

2. Quién es el responsable

Responsable	[RAZÓN SOCIAL], con NIF [NIF] y domicilio en [DOMICILIO SOCIAL]. Hasta que se constituya la sociedad, el responsable es el promotor del proyecto skyseat.
Contacto de privacidad	[CORREO DE PRIVACIDAD]
Delegado de protección de datos	[Indicar si se designa DPD (art. 37 RGPD y art. 34 LOPDGDD) o quitar esta fila]

Esta política cubre dos papeles distintos:

• Responsable: los datos de las personas que usan el panel (cuentas, sesiones, Registro, avisos, facturación), de quien pide acceso desde la web y de quien la visita.
• Encargado: los datos que tu empresa trata con sus empleados IA. Ahí la responsable es tu empresa y skyseat solo los trata por su cuenta (ver el apartado 8 y el contrato de encargado).

3. Qué datos tratamos como responsable

Cuenta	Nombre, correo, contraseña (guardada solo como huella con scrypt, nunca en claro), empresas a las que perteneces y tu rol en cada una.
Sesiones	Fecha de entrada, dirección IP y navegador, para que puedas ver y cerrar tus sesiones y para detectar accesos indebidos.
Registro de actividad	Lo que haces en el panel que cambia algo (aprobar, encargar, cambiar normas o permisos, invitar…), con fecha, hora y origen. Es el registro de auditoría que tu empresa usa para saber quién hizo qué.
Avisos en el móvil	Si activas los avisos, la dirección que da tu navegador para entregarlos (endpoint) y sus claves de cifrado.
Facturación	Cuando empecemos a cobrar: datos fiscales de la empresa, plan y facturas. [Completar con la pasarela de pago cuando se elija]
Soporte	Lo que nos escribas cuando nos pidas ayuda.
Solicitud de acceso	Si la mandas desde Empezar gratis: tu nombre, tu empresa, tu correo de trabajo, tu teléfono si lo das, el plan que te interesa y cuántos empleados IA quieres. No guardamos tu IP con ella. Se guarda en el servidor de la plataforma (Hetzner, Helsinki) y solo la ve el equipo de skyseat.
Visitas a la web	Ningún dato tuyo. El alojamiento (Vercel) recibe tu IP y los datos técnicos del navegador para servir las páginas y protegerlas de abusos, y los guarda poco tiempo en sus registros.

4. Para qué y con qué base legal

Darte acceso y prestar el servicio contratado por tu empresa	Ejecución del contrato con tu empresa (art. 6.1.b RGPD) y nuestro interés legítimo en que las personas que ella autoriza puedan usarlo (art. 6.1.f).
Seguridad, prevención de abusos y registro de auditoría	Interés legítimo en proteger la plataforma y en que cada empresa sepa quién hizo qué (art. 6.1.f). También lo exige el deber de seguridad (art. 32).
Revisar tu solicitud de acceso, crear tu cuenta y escribirte sobre ella	Medidas precontractuales a petición tuya (art. 6.1.b). No la usamos para publicidad ni la cedemos a nadie.
Avisos en el móvil	Tu consentimiento, que das al activarlos en el navegador y retiras al desactivarlos (art. 6.1.a).
Facturación y obligaciones fiscales	Obligación legal (art. 6.1.c).
Atender tus consultas	Interés legítimo o ejecución del contrato, según el caso.

No vendemos datos, no hacemos publicidad con ellos y no los usamos para entrenar modelos de IA.

5. Cuánto tiempo

• Sesiones: caducan a los 30 días sin uso y se borran.
• Direcciones IP de sesiones y del Registro: se borran a los 6 meses.
• Cuenta: mientras la tengas. Si la borras, se borran tu cuenta, sesiones y avisos, y en el Registro tu nombre pasa a «Persona borrada».
• Registro de actividad: mientras exista la empresa. Si la empresa se da de baja, se borra con todo lo demás a los 30 días. [Fijar retención por plan si se decide]
• Solicitudes de acceso: una vez resuelta, se borra a los 90 días; si nadie la resuelve, a los 180. Si te damos de alta, pasa a ser tu cuenta.
• Copias de seguridad: diarias, se conservan 14 días.
• Facturación: los plazos que marca la ley (6 años, art. 30 del Código de Comercio).

6. Quién más los trata

Proveedores que nos ayudan a prestar el servicio (alojamiento, modelo de IA, voz, teléfono, registros técnicos), con contrato de encargado y solo para eso. La lista completa, con país y garantías, está en subencargados. No cedemos datos a terceros salvo obligación legal.

7. Transferencias fuera de la UE

Algunos de esos proveedores están en Estados Unidos. Solo les enviamos datos con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE‑EE. UU. cuando el proveedor está adherido y, si no, las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914). El detalle de cada uno está en la lista de subencargados.

8. Los datos que tu empresa trata con sus empleados IA

Los empleados IA trabajan para tu empresa con las cuentas, permisos y normas que ella les da: leen y escriben correos, rellenan programas, atienden llamadas o crean cuentas en servicios. Para todo eso tu empresa es la responsable y skyseat es su encargado: solo tratamos esos datos para prestarle el servicio, según sus instrucciones y con el contrato de encargado del tratamiento.

Si eres una persona que ha tratado con un empleado IA (por correo, en una web o por teléfono), dirígete a la empresa para la que trabaja. En las llamadas, el empleado IA dice al empezar que es una IA y que la llamada se graba; el resto está en la página de llamadas con un asistente de IA.

9. Decisiones automatizadas

skyseat no toma decisiones con efectos jurídicos sobre ti basadas solo en un tratamiento automatizado (art. 22 RGPD). Las reglas automáticas de la plataforma (topes de gasto, encendido y apagado de ordenadores, reparto de llamadas) afectan al servicio, no a las personas. Lo que haga un empleado IA lo decide y supervisa la empresa para la que trabaja.

10. Tus derechos

Puedes pedir el acceso, la rectificación, la supresión, la limitación, la portabilidad y oponerte al tratamiento de tus datos, y retirar tu consentimiento cuando sea la base.

• Desde el panel, en Cuenta › Datos y privacidad: descargar tus datos (JSON), descargar los de la empresa si la administras (ZIP), darla de baja o borrar tu cuenta.
• Si mandaste una solicitud de acceso, contestando al correo que te enviemos.
• Por escrito a [CORREO DE PRIVACIDAD], indicando qué pides. Contestamos en un mes como máximo.
• Si crees que no te hemos atendido bien, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid).

11. Seguridad

Conexiones cifradas (HTTPS), contraseñas con huella scrypt, claves de las cuentas conectadas cifradas (AES‑256‑GCM) con la clave fuera de la base de datos, cada empresa separada de las demás, roles, registro que no se puede modificar y copias diarias. El detalle está en el anexo II del contrato de encargado.

12. Menores

skyseat es un servicio para empresas y profesionales. No está dirigido a menores de 18 años.

13. Cambios

Si cambiamos esta política, publicaremos la versión nueva aquí con su fecha y, si el cambio es importante, avisaremos en el panel antes de que se aplique.

Otros textos: Términos del servicio · Contrato de encargado del tratamiento · Subencargados · Aviso legal · Política de cookies · Todos