Gestoa — Política de Privacidad
1. Quiénes somos
Gestoa.com («Gestoa», «nosotros», «nos», «nuestro») es el responsable del tratamiento de los datos personales descritos en esta Política de Privacidad. Operamos el sitio web de Gestoa y la plataforma de coaching de oratoria con IA de Gestoa (conjuntamente, el «Servicio»).
- Contacto de privacidad: info@gestoa.com
Estamos establecidos en España y tratamos los datos personales conforme al Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, «RGPD»), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»), el RGPD del Reino Unido y la Data Protection Act 2018 para los usuarios del Reino Unido, y las leyes de privacidad estatales de EE. UU. aplicables (incluida la California Consumer Privacy Act, en su redacción dada por la CPRA) para los usuarios de Estados Unidos. Consulta los apartados §12 y §13 para los derechos específicos de cada región.
2. Ámbito de aplicación
Esta Política cubre:
- El sitio web de Gestoa — las páginas de marketing y los formularios de lista de espera y de consulta de piloto/empresa.
- La plataforma de Gestoa — la cuenta, las sesiones de práctica, los informes de coaching y el panel de progreso, una vez que tienes una cuenta.
No cubre los sitios web de terceros a los que enlazamos, que cuentan con sus propias políticas de privacidad.
3. La privacidad de un vistazo
Gestoa está diseñada para medir cómo hablas conservando la menor cantidad de información sobre ti que sea posible. En pocas palabras:
- Nunca almacenamos tu vídeo. La entrada de la cámara se analiza íntegramente en tu navegador (detección de puntos de referencia faciales en el dispositivo). Solo salen de tu dispositivo métricas numéricas — por ejemplo, el porcentaje de contacto visual, la puntuación de desviación de la postura o la frecuencia de gestos. El vídeo en sí nunca se sube a nuestros servidores ni se almacena.
- No conservamos tu audio. Tu voz se transmite a un proveedor de conversión de voz a texto y se convierte en una transcripción de texto en tiempo real. Ni nosotros ni el proveedor de transcripción por cuenta nuestra conservamos la grabación de audio.
- Almacenamos métricas y texto, no archivos multimedia. Nuestra base de datos contiene puntuaciones numéricas, historiales de nivel y feedback en texto — además de la transcripción de la sesión. No contiene audio ni vídeo.
- Sin identificación biométrica. No creamos plantillas faciales ni huellas de voz, y no usamos tus datos para identificarte biométricamente. Dado que el análisis facial permanece en tu dispositivo, no se transmite ni almacena en nuestros sistemas ningún dato biométrico de categoría especial (en consonancia con los artículos 9 y 25 del RGPD).
Este apartado es un resumen; el detalle figura a continuación y prevalece en caso de conflicto.
4. Los datos personales que recopilamos
4.1 Visitantes del sitio web y consultas
| Dato | Origen | Notas |
|---|---|---|
| Dirección de correo electrónico | Tú, a través del formulario de lista de espera | Necesaria para unirte a la lista de espera. |
| Indicador de consentimiento de marketing | Tú | Si has aceptado recibir correos de marketing. |
| Página de origen | Recopilada automáticamente | Desde qué página te registraste, con fines de atribución. |
| Nombre, correo electrónico, nombre de la organización, cargo, tamaño del grupo, segmento y mensaje | Tú, a través del formulario de consulta de piloto / empresa | Facilitados cuando una organización nos contacta sobre el uso Team/Empresa. |
4.2 Datos de cuenta y perfil
Cuando creas una cuenta de Gestoa: tu nombre, dirección de correo electrónico, credenciales de autenticación (hash de la contraseña, o el identificador del proveedor de inicio de sesión de un tercero si utilizas uno) y los ajustes y preferencias de la cuenta.
4.3 Datos de facturación
Los pagos los procesa Stripe. Stripe recopila y trata directamente los datos de tu tarjeta y de pago; nosotros no recibimos ni almacenamos los números completos de tarjeta. Recibimos de Stripe información de facturación limitada — por ejemplo, el pack de sesiones o el Plan que compraste, el país de facturación, los cuatro últimos dígitos y la marca de la tarjeta, y el historial de facturas — para gestionar tus compras.
4.4 Datos de las sesiones de práctica
Este es el núcleo del Servicio. Cuando realizas una sesión:
- Transcripción (texto). Tu voz se transcribe a texto. La transcripción se utiliza para generar tu informe y después se conserva como registro de tu sesión. Las transcripciones pueden contener lo que decidas decir — trátalas como confidenciales y consulta el §4.7 sobre contenido sensible.
- Métricas numéricas y puntuaciones. Métricas de voz (p. ej., palabras por minuto, tasa de muletillas, duración de las pausas, variación de tono), métricas de presencia corporal (porcentaje de contacto visual, puntuación de desviación de la postura, frecuencia de gestos — calculadas en tu dispositivo) y las puntuaciones y niveles de habilidad derivados (L1–L4).
- Feedback en texto e historial de progreso. El feedback en lenguaje natural que generamos, tus historiales de nivel, los resultados de los ejercicios y los datos del gráfico radar a lo largo del tiempo.
- Configuración de la sesión. Tipo de sesión, escenario, y los datos de programación e invitación de calendario que elijas.
Lo que no recopilamos ni almacenamos de una sesión: el vídeo (procesado en el dispositivo, nunca subido) y la grabación de audio (transmitida para su transcripción, no conservada).
4.5 Datos técnicos, de dispositivo y de uso
Recopilados automáticamente cuando usas el Servicio, incluso mediante las herramientas de analítica y de monitorización de errores del §6: dirección IP, tipo de dispositivo y navegador, sistema operativo, idioma, páginas de referencia, páginas y funciones utilizadas, eventos de sesión/interacción, ubicación aproximada (derivada de la IP) y datos de diagnóstico/fallos.
4.6 Comunicaciones y soporte
Si nos escribes o contactas con soporte, conservamos tus mensajes y datos de contacto para responderte y dejar constancia.
4.7 Contenido sensible dentro de las transcripciones
No recopilamos intencionadamente categorías especiales de datos personales (artículo 9 del RGPD). No obstante, como hablas con libertad durante una sesión, una transcripción puede contener de forma incidental material sensible — por ejemplo, argumentos jurídicos, referencias a la salud u opiniones personales. Evita incluir datos personales de otras personas que no estés autorizado a compartir. Tratamos todo el texto de las transcripciones como datos confidenciales del usuario, restringimos el acceso a él y puedes eliminar los registros de tus sesiones en cualquier momento (§11).
5. Por qué usamos tus datos y nuestras bases jurídicas
Con arreglo al RGPD/RGPD del Reino Unido, nos basamos en las siguientes bases jurídicas:
| Finalidad | Datos utilizados | Base jurídica |
|---|---|---|
| Operar el Servicio — realizar sesiones, generar informes, seguir el progreso | Datos de cuenta, de sesión de práctica y técnicos | Ejecución de un contrato (art. 6.1.b)) |
| Crear y gestionar tu cuenta, autenticarte | Datos de cuenta | Ejecución de un contrato (art. 6.1.b)) |
| Procesar pagos y gestionar tus compras | Datos de facturación | Ejecución de un contrato (art. 6.1.b)) |
| Gestionar la lista de espera y responder a consultas | Datos de lista de espera/consulta | Consentimiento para la lista de espera (art. 6.1.a)); interés legítimo para responder a consultas B2B (art. 6.1.f)) |
| Prevenir spam, fraude y abusos; asegurar el Servicio | Datos técnicos | Interés legítimo (art. 6.1.f)) — mantener el Servicio seguro y disponible |
| Analítica de producto y mejora | Datos de uso/técnicos | Consentimiento cuando sea necesario (art. 6.1.a)), recabado mediante nuestro banner de cookies; véase la Política de Cookies |
| Monitorización de errores y diagnóstico | Datos técnicos/de diagnóstico | Interés legítimo (art. 6.1.f)) — mantener el Servicio en funcionamiento |
| Correos de marketing y novedades de producto | Datos de contacto, consentimiento de marketing | Consentimiento (art. 6.1.a)); puedes retirarlo en cualquier momento |
| Cumplir obligaciones legales, fiscales y contables | Datos de facturación y de cuenta | Obligación legal (art. 6.1.c)) |
Cuando nos basamos en el interés legítimo, hemos ponderado dicho interés frente a tus derechos; puedes oponerte en cualquier momento (§11). Cuando nos basamos en el consentimiento, puedes retirarlo en cualquier momento sin que ello afecte al tratamiento anterior.
6. Analítica, monitorización de errores y cookies
Utilizamos las siguientes herramientas de terceros. Las herramientas no esenciales solo se activan cuando has dado tu consentimiento a través de nuestro banner de cookies. Consulta la Política de Cookies aparte para ver la lista completa de cookies y tecnologías similares y cómo controlarlas.
- Google Analytics 4 (Google) — analítica de uso del sitio web y del producto.
- Google Tag Manager (Google) — un contenedor de gestión de etiquetas que utilizamos para cargar y gestionar las etiquetas anteriores (y cualquier etiqueta futura) con arreglo a tus ajustes de consentimiento.
- Amplitude — analítica de producto: cómo se usan las funciones, para poder mejorarlas.
- Sentry — monitorización de errores y rendimiento, para detectar y corregir fallos y caídas.
Configuramos estas herramientas para limitar los datos personales que tratan (por ejemplo, el tratamiento de la dirección IP en Google Analytics) y no las usamos para almacenar el audio, el vídeo ni el contenido de la transcripción de tu sesión.
7. Tratamiento automatizado e IA
Tu informe de sesión se genera por medios automatizados, incluida la puntuación mediante un gran modelo de lenguaje de tu transcripción y tus métricas frente a nuestra rúbrica. Esta puntuación automatizada no produce efectos jurídicos o de manera similar significativos sobre ti — genera feedback de coaching y niveles de habilidad. Puedes solicitar la revisión humana de cualquier feedback automatizado, o expresar tu punto de vista sobre él, contactando con nosotros. No usamos tus datos para decisiones publicitarias automatizadas ni para decisiones de crédito/elegibilidad.
8. Con quién compartimos datos (encargados y subencargados)
No vendemos tus datos personales. Los compartimos con proveedores de servicios («encargados del tratamiento») que los tratan por cuenta nuestra bajo contrato, únicamente en la medida necesaria para operar el Servicio:
| Proveedor | Finalidad | Datos implicados | Ubicación |
|---|---|---|---|
| Supabase | Base de datos, autenticación, backend | Datos de cuenta, de sesión de práctica y de leads | |
| Vercel | Alojamiento y entrega del sitio web/app | Datos técnicos/de solicitud | |
| Railway | Pasarela de sesión en tiempo real | Flujo de la sesión (transcrito, no conservado) | |
| Deepgram | Conversión de voz a texto | Flujo de audio en tránsito → texto | |
| OpenAI y Anthropic | Puntuación y feedback con IA según rúbrica | Transcripción + resumen de métricas | |
| Stripe | Procesamiento de pagos, suscripciones | Datos de facturación/pago | |
| Google (Analytics, Tag Manager) | Analítica y gestión de etiquetas | Datos de uso/técnicos | |
| Amplitude | Analítica de producto | Datos de uso/técnicos | |
| Sentry | Monitorización de errores y rendimiento | Datos técnicos/de diagnóstico | |
| Mailgun | Correos de lista de espera, cuenta y notificaciones | Dirección de correo, contenido del mensaje |
También podemos divulgar datos personales cuando lo exija la ley, para hacer cumplir nuestras condiciones, para proteger nuestros derechos, a nuestros usuarios o al público, o en el marco de una fusión, adquisición o venta de activos (en cuyo caso te lo notificaremos).
Suscribimos un contrato de encargo del tratamiento con cada encargado, conforme al artículo 28 del RGPD. Puedes solicitar una lista actualizada y detallada de subencargados escribiendo a info@gestoa.com.
9. Transferencias internacionales de datos
Tenemos nuestra sede en España (EEE). Algunos de los encargados indicados anteriormente están ubicados en, o transfieren datos a, Estados Unidos u otros países fuera del EEE/Reino Unido. Cuando transferimos datos personales fuera del EEE o del Reino Unido, nos apoyamos en una garantía adecuada, como:
- las Cláusulas Contractuales Tipo de la Comisión Europea (y el Addendum de Transferencia Internacional de Datos del Reino Unido), y/o
- la certificación del encargado en el Marco de Privacidad de Datos UE–EE. UU. (y su extensión para el Reino Unido), cuando proceda.
Puedes solicitar una copia de la garantía correspondiente escribiendo a info@gestoa.com.
10. Durante cuánto tiempo conservamos los datos
Conservamos los datos personales únicamente durante el tiempo necesario para las finalidades anteriores:
| Dato | Conservación |
|---|---|
| Vídeo | Nunca se almacena (procesado solo en el dispositivo). |
| Grabaciones de audio | Nunca se almacenan (transcritas en tránsito). |
| Transcripciones de sesión | Se conservan durante 30 días y después se eliminan o anonimizan de forma irreversible, salvo que las elimines antes. |
| Métricas, puntuaciones, historial de niveles, progreso | Durante la vigencia de tu cuenta, salvo que los elimines o cierres tu cuenta antes. |
| Datos de cuenta | Durante la vigencia de tu cuenta; se eliminan o anonimizan tras el cierre, con sujeción a la conservación legal. |
| Registros de facturación/facturas | Según lo exijan la normativa fiscal y contable española (por lo general, hasta 6 años). |
| Datos de lista de espera / consulta | Hasta que te des de baja o nos pidas eliminarlos, o hasta que dejen de ser necesarios. |
| Hashes de IP con sal (antiabuso) | De corta duración, solo el tiempo necesario para la limitación de frecuencia. |
| Datos de analítica | Según los ajustes de conservación del proveedor (véase la Política de Cookies). |
Cuando dejamos de necesitar los datos personales, los eliminamos o anonimizamos de forma irreversible.
11. Tus derechos
Con arreglo al RGPD/RGPD del Reino Unido, tienes derecho a: acceder a tus datos; rectificar los datos inexactos; suprimir datos («derecho al olvido»); limitar el tratamiento; la portabilidad de los datos; oponerte al tratamiento basado en el interés legítimo o a la mercadotecnia directa; y retirar el consentimiento en cualquier momento. También tienes derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o de manera similar significativos (véase el §7).
Para ejercer cualquier derecho, escribe a info@gestoa.com. Responderemos en el plazo de un mes (prorrogable dos meses más para solicitudes complejas). Es posible que primero tengamos que verificar tu identidad. El ejercicio de tus derechos es gratuito, salvo que una solicitud sea manifiestamente infundada o excesiva.
Tienes derecho a presentar una reclamación ante una autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD) — www.aepd.es. En el Reino Unido es la Information Commissioner’s Office (ICO) — ico.org.uk. También puedes reclamar ante la autoridad de tu país de residencia en la UE.
12. Usuarios del Reino Unido
Si te encuentras en el Reino Unido, se aplican el RGPD del Reino Unido y la Data Protection Act 2018. Tus derechos del §11 se aplican por igual y tu autoridad de control es la ICO. Las transferencias internacionales se apoyan en el Addendum del Reino Unido a las CCT o en la extensión para el Reino Unido del Marco de Privacidad de Datos UE–EE. UU. (§9).
13. Usuarios de EE. UU. (California y otros estados)
Si resides en California u otro estado de EE. UU. con una ley de privacidad integral, pueden asistirte derechos adicionales, entre ellos el derecho a conocer/acceder a las categorías y los datos concretos de información personal que recopilamos, el derecho a suprimir, el derecho a corregir y el derecho a excluirte de la «venta» o el «intercambio» de información personal y de la publicidad dirigida.
No vendemos tu información personal a cambio de dinero. Sí utilizamos tecnologías de analítica y publicidad que, según tus ajustes, pueden constituir «intercambio» o «publicidad dirigida» con arreglo a algunas leyes estatales; puedes excluirte a través de nuestro banner de cookies y activando el Global Privacy Control (GPC) en tu navegador. Tratamos GPC como una exclusión válida de la «venta»/«intercambio» y de la publicidad dirigida, y la respetamos automáticamente para todos los visitantes: consulta el §3 de nuestra Política de Cookies y nuestra declaración en /.well-known/gpc.json. No tratamos conscientemente la información personal sensible ni te discriminamos por ejercer tus derechos. Para presentar una solicitud, escribe a info@gestoa.com; puedes recurrir a un agente autorizado.
Las categorías de información personal que recopilamos se corresponden con los apartados anteriores: identificadores (§4.1–4.2), información comercial (§4.3), texto derivado del audio/la transcripción e inferencias (§4.4) y actividad de internet/uso (§4.5).
14. Menores
Gestoa no está dirigida a menores. Debes tener al menos 18 años (o más, cuando así se exija en tu país) para usar el Servicio. No recopilamos conscientemente datos de menores de 18 años. Si crees que un menor nos ha facilitado datos, escribe a info@gestoa.com y los eliminaremos.
15. Seguridad
Protegemos tus datos con medidas adecuadas al riesgo, incluidas el cifrado en tránsito, los controles de acceso, la seguridad a nivel de fila en nuestra base de datos, el aislamiento mediante rol de servicio de las operaciones sensibles y la arquitectura de privacidad desde el diseño descrita en el §3 (sin almacenamiento de archivos multimedia). Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y te notificaremos, a ti y a la autoridad pertinente, cualquier brecha cuando la ley así lo exija.
16. Cambios en esta Política
Podemos actualizar esta Política de vez en cuando. Publicaremos aquí la nueva versión con una fecha de «Última actualización» actualizada y, en el caso de cambios sustanciales, te lo notificaremos por correo electrónico o dentro del producto. El uso continuado después de la fecha de entrada en vigor implica que aceptas la Política actualizada.
17. Contacto
Preguntas o solicitudes: info@gestoa.com