Esta política describe cómo Obsygest («nosotros») trata datos personales cuando usas la aplicación de gestión (CRM, proyectos, reservas públicas, contenido y automatizaciones). Completa en producción la identidad fiscal y la dirección postal del responsable.
1. Responsable del tratamiento
Responsable: Obsygest. Contacto: hola@juanjoserprofesionaldigital.com.
Si actúas como profesional o empresa y cargas datos de tus clientes, leads, reunidos o invitados de reservas, tú eres el responsable de esos datos. Obsygest actúa como encargado del tratamiento (art. 28 RGPD) para prestar el servicio.
2. Datos que tratamos
- Cuenta: email, nombre, contraseña (hash), rol y avatar.
- CRM y operación: clientes, leads, proyectos, tareas, reuniones, contenido y propuestas que tú introduces.
- Reservas públicas: nombre, email, zona horaria y notas del invitado; la cita, el estado (confirmada, cancelada, reprogramada) y un token de gestión (no se incluye en la exportación). Si el email ya es cliente o lead tuyo se vincula; si no, se crea un lead con origen
booking. - Integraciones: claves de API que configures (se almacenan cifradas), calendarios y transcripciones si las activas.
- Uso de IA: metadatos de cada inferencia (quién, cuándo, proveedor, finalidad), sin guardar el texto del prompt.
- Consentimientos: tipo de documento, versión, fecha, IP y user-agent.
3. Finalidades y bases jurídicas
- Prestación del servicio y cuenta de usuario: ejecución de contrato (art. 6.1.b).
- Agenda de reservas públicas (datos del invitado): tu instrucción como responsable; de forma habitual, medidas precontractuales (art. 6.1.b) o interés legítimo en gestionar la cita (art. 6.1.f). Tú informas al interesado si tu actividad lo exige.
- Seguridad, prevención de abuso y registros de consentimiento: interés legítimo (art. 6.1.f).
- Sistemas de IA que envían datos a proveedores que tú configuras: tu instrucción como responsable y, cuando aplica, consentimiento informado.
- Comunicaciones comerciales: solo si das consentimiento (art. 6.1.a), revocable en Ajustes.
4. Destinatarios y encargados
Hosting, base de datos y correo transaccional según tu despliegue. Si activas Resend, los correos de confirmación de reserva salen por ese proveedor. Si activas Google Calendar, la cita puede copiarse a Google (y Meet, si el tipo lo pide). Cloudflare Turnstile, si está activo, interviene en el login y en el envío público de una reserva.
Los proveedores LLM (OpenAI, Anthropic, Google, Groq, OpenRouter, Mistral, OmniRoute u otros que actives) reciben el contenido que envías al generar validaciones, mensajes, posts o resúmenes. Esos envíos salen de nuestro control una vez llegan a su API; revisa sus políticas. Si configuras llama.cpp, el modelo corre en tu propio servidor y los datos no salen de tu infraestructura. Las reservas públicas no envían datos a un modelo.
5. Transferencias internacionales
Algunos proveedores de IA y nube pueden tratar datos fuera del EEE. Cuando ocurra, debe existir una garantía adecuada (cláusulas tipo, decisión de adecuación u otra del cap. V RGPD). Tú eliges qué proveedores activar; si usas un modelo autoalojado (llama.cpp), no hay transferencia internacional porque el tratamiento ocurre en tu infraestructura.
6. Conservación
Conservamos los datos mientras la cuenta esté activa. Puedes exportarlos o solicitar la supresión en Ajustes → Privacidad e IA. Los registros de consentimiento y de uso de IA se conservan para acreditar cumplimiento.
7. Tus derechos
Acceso, rectificación, supresión, limitación, oposición y portabilidad (arts. 15-21 RGPD). Ejerce desde la aplicación (exportar / eliminar cuenta) o escribiendo a hola@juanjoserprofesionaldigital.com. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
8. Seguridad
Contraseñas con hash, claves de API cifradas, HTTPS en producción y control de acceso por JWT o API key. El enlace «cancelar o reprogramar» de una reserva usa un token opaco; quien lo tenga puede gestionar esa cita. Ninguna medida es infalible.
9. Reservas públicas
La página /book/… es pública. El invitado no crea una cuenta. Si usas esa función, tú eres el responsable de los datos del invitado y de atender sus derechos (acceso, rectificación, supresión, etc.). Desde la aplicación puedes borrar la reunión o el lead, y exportar un paquete (sin el token de gestión).
El invitado puede cancelar o reprogramar con el enlace del correo de confirmación. Eso no equivale a una baja de todos sus datos en tu CRM.
Documentos relacionados: términos, cookies, aviso de IA.