Política de Privacidad

Última actualización: 12 de octubre de 2026

En VAUCAI 2025, S.L.U. (en adelante, «Vaucai») consideramos la protección de los datos personales un pilar esencial de nuestro servicio. Esta Política de Privacidad informa, con claridad y transparencia, sobre cómo tratamos los datos personales de quienes utilizan nuestro sitio web vaucai.com y los servicios ofrecidos a través del mismo, conforme al Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, «RGPD»), a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), y al Reglamento (UE) 2024/1689 sobre inteligencia artificial (en adelante, «Reglamento de IA»).

1. Responsable del tratamiento

Identidad: VAUCAI 2025, S.L.U.
NIF: B-24846222
Domicilio: Calle Juan de Mata Carriazo, 4, 41018 Sevilla, España
Datos registrales: Inscrita en el Registro Mercantil de Sevilla, hoja SE-151921, inscripción 1ª (IRUS 1000462130552).
Correo electrónico: administracion@vaucai.com

2. Delegado de Protección de Datos

Vaucai ha valorado, conforme al artículo 37 del RGPD, la necesidad de designar un Delegado de Protección de Datos y, atendiendo al volumen actual de tratamiento, la naturaleza de los datos procesados y la dimensión de la organización, no se encuentra obligada a su nombramiento. No obstante, Vaucai ha designado un punto único de contacto en materia de protección de datos al que el interesado puede dirigir cualquier consulta o ejercicio de derechos: administracion@vaucai.com.

Vaucai revisará periódicamente esta valoración y procederá al nombramiento de un Delegado de Protección de Datos en el momento en que las circunstancias del tratamiento así lo exijan.

3. Cómo se presta el servicio: WhatsApp, Telegram y la web

El servicio de Vaucai se presta por tres canales: WhatsApp, con el número oficial de Vaucai; Telegram, con el bot oficial @vaucaibot; y la propia web de Vaucai, en la que el Usuario entra con un código de un solo uso que recibe en su canal de mensajería o, si lo pide, en su propio correo conectado. Los tres acceden a la misma cuenta, memoria, configuración y conversación: no crean dos perfiles ni dos inteligencias separadas. El Usuario elige su canal de mensajería al darse de alta y puede conectar el otro más tarde.

Telegram. Cuando el Usuario habla con su Vaucai por Telegram, los mensajes y archivos que le envía, así como las respuestas generadas por este, transitan necesariamente por la infraestructura de Telegram FZ-LLC, prestador del servicio de mensajería con sede en Emiratos Árabes Unidos. El uso de Telegram se rige por los términos y la política de privacidad propios de dicho prestador, que el Usuario acepta directamente con Telegram al disponer de cuenta en su plataforma. Vaucai no controla la infraestructura de Telegram ni puede garantizar el nivel de protección que dicho prestador aplica a las comunicaciones que circulan por sus sistemas con anterioridad a su recepción por Vaucai.

Una vez que los mensajes son recibidos por la infraestructura de Vaucai a través de la API oficial de Telegram, su tratamiento se rige por la presente Política de Privacidad.

El uso del servicio por Telegram implica el consentimiento expreso del Usuario para que sus comunicaciones transiten por la infraestructura de Telegram, conforme a lo previsto en el artículo 49.1.a) del RGPD para transferencias internacionales de datos.

Riesgos posibles asociados a la transferencia a Emiratos Árabes Unidos (recital 111 RGPD). El Usuario debe ser consciente, antes de prestar el consentimiento, de los siguientes hechos: (i) Emiratos Árabes Unidos no dispone de Decisión de adecuación de la Comisión Europea conforme al artículo 45 del RGPD; (ii) Emiratos Árabes Unidos no ha ratificado el Convenio 108+ del Consejo de Europa; (iii) el marco legal local (en particular, el Federal Decree-Law nº 45/2021 sobre la protección de datos personales y el Federal Decree-Law nº 5/2012 sobre delitos informáticos) confiere a las autoridades públicas determinadas competencias de acceso a comunicaciones que no son directamente comparables al régimen del RGPD; (iv) Telegram opera con cifrado en tránsito y políticas propias de retención de mensajes según sus condiciones públicas, pero la relación contractual entre Vaucai y Telegram no incluye Cláusulas Contractuales Tipo (la API pública de bots de Telegram está disponible para cualquier desarrollador y no admite firma bilateral de SCC). El Usuario que no desee asumir estos riesgos puede usar su Vaucai por WhatsApp y por la web, que no transitan por esa infraestructura.

WhatsApp. El Usuario puede hablar con su Vaucai por WhatsApp, además de o en lugar de Telegram. Es el mismo Vaucai: la misma cuenta, memoria, configuración y conversación. En ese caso, los mensajes y archivos que el Usuario intercambia con su Vaucai por WhatsApp transitan por la WhatsApp Business Platform de Meta Platforms Ireland Limited (Merrion Road, Dublín 4, Irlanda), que presta ese transporte como encargado del tratamiento de Vaucai. Meta recibe el identificador de WhatsApp del Usuario en la cuenta de Vaucai (y su número de teléfono cuando la plataforma lo comparte), el contenido de los mensajes y adjuntos, y los identificadores técnicos de entrega y de precio. Vaucai no utiliza los datos de WhatsApp para entrenar modelos de inteligencia artificial, y las contraseñas y claves guardadas no se envían ni se reciben nunca por WhatsApp: se gestionan en Telegram o en la web. El Usuario puede desconectar WhatsApp pidiéndoselo a su Vaucai, sin perder su cuenta, siempre que conserve otro canal de mensajería, porque es por su canal de mensajería por donde confirma las acciones delicadas y recibe el código para entrar en la web; y puede silenciar en cualquier momento los avisos que su Vaucai le manda por WhatsApp escribiendo «BAJA». Los accesos del grupo Meta desde los Estados Unidos (Meta Platforms, Inc. y WhatsApp LLC, como subencargados) se amparan en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación (UE) 2023/1795), en el que Meta participa, y en las cláusulas contractuales tipo de la Decisión 2021/914 que incorpora el anexo de transferencias de WhatsApp Business (cláusula 10).

4. Datos que tratamos

Dependiendo de la interacción del Usuario con el servicio, Vaucai trata las siguientes categorías de datos personales:

Datos identificativos de los canales: si el Usuario usa Telegram, su identificador único de usuario de Telegram y su nombre de usuario (@username), si lo hubiere; si usa WhatsApp, su identificador de WhatsApp en la cuenta de Vaucai y su número de teléfono y nombre de perfil cuando los facilite la plataforma; y, en ambos casos, el idioma configurado, los identificadores de mensaje y los estados técnicos de entrega.
Datos del alta: el número de teléfono móvil que el Usuario indica al darse de alta, que enlaza su cuenta con su canal de mensajería y con el que entra en la web, y el canal que elige.
Perfil fiscal del negocio: su actividad, su nombre y apellidos o su razón social, su NIF o CIF y su domicilio fiscal y, si es una sociedad, quien la representa. Los pide su Vaucai al darse de alta, porque sin ellos no puede emitir sus facturas ni sus libros, ni preparar sus impuestos. Base legal: ejecución del contrato (art. 6.1.b RGPD).
Datos de cuenta y suscripción: el correo electrónico, si el Usuario lo facilita, el plan contratado y los datos necesarios para la facturación y el cobro de la suscripción.
Datos de pago: procesados directamente por Stripe Payments Europe, Ltd. en sus propios sistemas, sin que Vaucai almacene datos bancarios ni de tarjeta. Cuando el Usuario cobra a sus clientes por Vaucai, el cobro se hace en la cuenta de Stripe del propio Usuario, verificada por Stripe; Vaucai solo guarda el estado de cada cobro (la factura, el importe y si está pagado, caducado, devuelto o reclamado).
Contenido de las conversaciones: mensajes, archivos, imágenes, audios y cualquier otro contenido que el Usuario remita a su Vaucai, así como las respuestas generadas por este.
Memoria persistente de su Vaucai: información que su Vaucai almacena para personalizar futuras interacciones (preferencias, hechos relevantes sobre el Usuario, configuración de su Vaucai), así como un perfil inferido de uso interno (rasgos de trato, estado de ánimo agregado y temas abiertos) elaborado a partir de las conversaciones y descrito en la cláusula 7. El Usuario puede consultar y borrar esta memoria en cualquier momento.
Datos técnicos: dirección IP de origen de las peticiones, marcas temporales, identificadores de sesión, registros (logs) de uso del servicio.
Datos derivados de integraciones opcionales: cuando el Usuario decide conectar servicios externos de terceros (Gmail, Google Calendar, Microsoft Outlook y demás servicios de Microsoft 365, el correo de su web o de su hosting y otros que se incorporen progresivamente), Vaucai trata los datos necesarios para prestar la integración solicitada, exclusivamente bajo el consentimiento expreso, granular y revocable del Usuario.
Ficha de datos personales (cuando el Usuario los provea voluntariamente): identificadores administrativos (DNI/NIE/pasaporte y número de la Seguridad Social), fecha de nacimiento, dirección, datos fiscales (CIF), datos bancarios (IBAN) y tarjetas de fidelización que el Usuario decida declarar para que su Vaucai los recuerde y los emplee al autocompletar formularios o en operaciones asistidas. Son datos personales, no secretos: se almacenan en claro y su Vaucai los conoce, de modo que puede recitárselos al propio Usuario cuando éste se los pide. Base legal: consentimiento del interesado (art. 6.1.a RGPD), prestado al declarar cada campo. El Usuario puede suprimir cada campo en cualquier momento pidiéndoselo a su Vaucai o mediante la baja de cuenta. Las credenciales verdaderamente secretas (contraseñas y claves) reciben un trato distinto: se cifran y nunca se transmiten al modelo de inteligencia artificial (véase el apartado siguiente, Vault de contraseñas).
Vault de contraseñas (cuando el Usuario lo utilice): contraseñas y credenciales de acceso a servicios de terceros que el Usuario decida guardar para su custodia. Se almacenan cifradas mediante una clave maestra (KEK) gestionada de forma independiente y mantenida fuera de las copias de seguridad ordinarias. Base legal: consentimiento explícito del interesado (art. 6.1.a RGPD), prestado al guardar cada credencial. El valor en claro de una contraseña no se transmite en ningún caso al modelo de inteligencia artificial; su revelación al Usuario, cuando éste la solicita, se realiza fuera de banda y con autoborrado del mensaje. El Usuario puede eliminar cada credencial o la totalidad del vault en cualquier momento.
Gestiones en páginas web realizadas por encargo del Usuario (Agente Web): el Usuario puede pedir a su Vaucai que entre en una página web y realice allí una gestión concreta (cumplimentar un formulario, consultar un pedido, tramitar una baja, acceder a su área privada o completar una compra). Para ello, un navegador alojado en la propia infraestructura de Vaucai abre esa página y la recorre siguiendo la instrucción recibida. Durante la gestión, el modelo de inteligencia artificial que dirige el navegador recibe el contenido de las páginas y capturas de pantalla de la sesión, que pueden mostrar la información que esa web muestre al Usuario, incluida la de su área privada. Cuando la gestión requiere identificarse, su Vaucai puede emplear una contraseña que el Usuario haya guardado previamente en el vault: su valor no se transmite al modelo, se introduce por un canal separado y únicamente en el dominio para el que se guardó. Ni las capturas de pantalla ni el contenido de las páginas se conservan: se emplean durante la gestión y se descartan. Sí queda registrada la instrucción del Usuario, la dirección del sitio visitado y la etiqueta, nunca el valor, de la credencial utilizada, durante un plazo de 90 días desde la finalización de la gestión. Toda acción irreversible (pagar, contratar, enviar) se detiene y requiere la confirmación expresa del Usuario, que además puede cancelar la gestión en cualquier momento o tomar el control del navegador. El titular de la página web visitada es responsable del tratamiento que realice por su parte, y no actúa por cuenta de Vaucai. Base legal: ejecución del contrato (art. 6.1.b RGPD), al formar parte del servicio contratado, y consentimiento del interesado (art. 6.1.a RGPD) en cuanto al empleo de cada credencial, prestado con la instrucción concreta. Sin encargo expreso del Usuario no se realiza gestión alguna.
Datos de terceros aportados por el Usuario: al guardar clientes u otra información referida a personas distintas de sí mismo, el Usuario facilita datos de terceros. El Usuario es responsable de disponer de una base legítima para aportarlos y de haber informado a dichas personas cuando resulte exigible; Vaucai trata esos datos por cuenta del Usuario y exclusivamente para prestar las funcionalidades solicitadas.
Conexiones avanzadas que el Usuario activa: el Usuario puede conectar a su Vaucai servidores externos compatibles con el protocolo MCP (Model Context Protocol), conectar la API REST de un servicio de terceros (Holded, Factorial u otro, mediante su descripción OpenAPI y sus credenciales). Cuando conecta un servidor MCP o una API REST, Vaucai transmite a ese servicio de terceros, elegido y controlado por el Usuario, los datos del mensaje necesarios para ejecutar la operación solicitada, con las credenciales cifradas y las peticiones limitadas al dominio del servicio. Ambas conexiones se activan de forma expresa y revocable; el servicio de terceros conectado queda bajo la elección y responsabilidad del Usuario. Base legal: consentimiento del interesado (art. 6.1.a RGPD), prestado al activar cada conexión.
Datos de analítica web sin cookies (cookieless): cuando el Usuario navega por vaucai.com, Vaucai genera un identificador efímero diario aplicando una función hash SHA-256 a la combinación de (sal_secreta_rotada_diariamente + fecha_UTC + dirección_IP + cadena_de_agente_de_usuario). Este identificador no es estable a lo largo del tiempo (cambia cada día al rotarse la sal), no permite reidentificar al visitante individual, y se utiliza únicamente para cómputos agregados (visitas diarias, fuentes de tráfico, páginas más vistas). La IP y el agente de usuario en bruto no se conservan. Retención del registro agregado: 90 días, transcurridos los cuales se eliminan automáticamente. Detalles en la Política de Cookies, cláusula 3.2.
Canal por el que el Usuario llegó a Vaucai: cuando un visitante llega a vaucai.com desde otra página (un buscador, una red social, una web que enlaza a Vaucai), su navegador puede indicar la dirección de procedencia (referrer) o llevar parámetros de origen en la URL (utm). Vaucai lee ese dato en el momento de la visita y lo asocia al identificador efímero diario descrito en el punto anterior, sin instalar cookies ni guardar nada en el navegador del Usuario; el registro se elimina a los 90 días. Vaucai no publica enlaces de seguimiento propios: la única dirección que difunde es vaucai.com. Si el visitante llega a darse de alta, el canal (por ejemplo «búsqueda de Google», «Instagram» o «directo») queda asociado a su cuenta con la única finalidad de saber qué vías de difusión funcionan; se elimina junto con la cuenta si el Usuario ejerce su derecho de supresión. Base legal: interés legítimo (art. 6.1.f RGPD) en conocer la eficacia de la propia difusión.
Publicación en las redes sociales del Usuario («Publica en tus redes»): el Usuario puede conectar sus propias cuentas de TikTok, Instagram, Threads, Facebook, YouTube, LinkedIn o X para que su Vaucai publique en ellas. La conexión se realiza en una pantalla de TONVI TECH SL (upload-post), empresa española con sede en Málaga que actúa como encargada del tratamiento: es ella quien custodia las credenciales de acceso a esas redes, que en ningún momento pasan por Vaucai. Vaucai conserva únicamente un identificador derivado del Usuario en ese proveedor, la lista de redes conectadas con su nombre público, y el registro de cada publicación (texto, foto o vídeo aprobado, si se generó con inteligencia artificial, estado y enlace resultante). Ninguna publicación se realiza sin la confirmación expresa del Usuario mediante un botón, que muestra antes el contenido exacto y la red de destino; en TikTok, además, las confirmaciones que esa plataforma exige, incluida la privacidad elegida por el Usuario. El contenido generado con inteligencia artificial se declara como tal ante la plataforma. El Usuario puede desconectar sus redes en cualquier momento; al hacerlo, o al borrar su cuenta, Vaucai borra su perfil en el proveedor. La red social de destino trata el contenido publicado conforme a sus propias condiciones. El coste del perfil en el proveedor se imputa al tope mensual del plan del Usuario. Base legal: ejecución del contrato (art. 6.1.b RGPD), al tratarse de una función que el Usuario activa y ordena expresamente.
Asesor fiscal de Vaucai (plan Vaucai Ultra): en Vaucai Ultra, una persona prepara y presenta los impuestos del Usuario ante la Administración tributaria: un asesor de una asesoría fiscal contratada por Vaucai o un asesor fiscal autónomo contratado por Vaucai. Para ello quien le representa (la asesoría o el asesor autónomo) accede, sólo para los clientes que tiene asignados y a través de un panel de Vaucai, a la identificación fiscal del Usuario (nombre, NIF, domicilio y actividad y, si es una sociedad, el nombre, el NIF y el cargo de quien la representa), a sus facturas, gastos, cobros y libros registro, a los expedientes de sus modelos, al documento de representación que el Usuario firma y su representante acepta, y a los mensajes y documentos que se envían, incluidos los que su asesor le pide. Cada acceso a los datos de un Usuario queda registrado. Ninguna declaración se presenta sin que el Usuario la apruebe con un botón sobre las cifras exactas, y el justificante de cada presentación se guarda en sus Documentos. La asesoría o el asesor autónomo actúa como encargado del tratamiento de Vaucai, con un encargo firmado antes de asignarle ningún cliente; para las obligaciones que la ley le impone por sí mismo como profesional (por ejemplo, la identificación del cliente de la Ley 10/2010 de prevención del blanqueo de capitales) es responsable de ese tratamiento. La Administración tributaria recibe lo presentado en cumplimiento de una obligación legal. La representación puede revocarse en cualquier momento y se extingue al dejar Vaucai Ultra; los mensajes y expedientes se conservan mientras exista la cuenta, y los justificantes, como el resto de sus Documentos. Base legal: ejecución del contrato (art. 6.1.b RGPD) y, para la presentación, el cumplimiento de las obligaciones tributarias del Usuario (art. 6.1.c RGPD).

5. Finalidades del tratamiento

Vaucai trata los datos personales del Usuario para las siguientes finalidades:

Permitir el alta, autenticación y mantenimiento de la cuenta del Usuario.
Prestar el servicio contratado: configuración de su Vaucai personalizado, procesamiento de las conversaciones, generación de respuestas, mantenimiento de la memoria persistente y entrega por Telegram, por WhatsApp o en la web.
Gestionar la vinculación y la desconexión de Telegram y de WhatsApp con la cuenta del Usuario, incluida la comprobación de que controla esa cuenta de Telegram o de WhatsApp.
Ejecutar las integraciones con servicios de terceros que el Usuario haya autorizado expresamente.
Gestionar el cobro de las suscripciones y emitir la facturación correspondiente.
Comunicar al Usuario incidencias técnicas, cambios sustanciales del servicio, avisos de seguridad y actualizaciones de los presentes textos legales.
Atender consultas, solicitudes, reclamaciones y ejercicio de derechos.
Cumplir las obligaciones legales aplicables (fiscales, contables, mercantiles, de prevención del fraude).
Prevenir usos abusivos, fraudulentos o contrarios a los Términos del servicio, y proteger la seguridad técnica de la plataforma.
Enviar comunicaciones comerciales sobre servicios propios análogos a los contratados, conforme al artículo 21.2 de la LSSI-CE, salvo oposición expresa del Usuario, que puede ejercer en cualquier momento pidiéndoselo a su Vaucai.
Mejorar el servicio mediante análisis estadísticos basados en datos agregados y, siempre que sea posible, anonimizados.

6. Base legal del tratamiento

Las bases jurídicas que legitiman cada tratamiento son:

Ejecución del contrato (art. 6.1.b RGPD): prestación del servicio, gestión de la cuenta y de su perfil fiscal, cobro de suscripciones y comunicaciones operativas asociadas al servicio contratado.
Cumplimiento de obligaciones legales (art. 6.1.c RGPD): conservación de información fiscal, contable y mercantil, así como atención de requerimientos de autoridades competentes.
Consentimiento expreso (art. 6.1.a RGPD): uso de su Vaucai por Telegram (bot @vaucaibot), a través de la infraestructura de Telegram con tránsito de datos a Emiratos Árabes Unidos (art. 49.1.a RGPD); conexión con servicios externos opcionales (Gmail, Google Calendar, Microsoft Outlook y demás servicios de Microsoft 365 y otras integraciones); envío de comunicaciones comerciales no derivadas de relación contractual previa; y uso de cookies no esenciales en el sitio web vaucai.com. Cada consentimiento se presta en el momento en que hace falta (al conectar un servicio, al aceptar las cookies, al guardar un dato) y se retira de la misma forma o pidiéndoselo a su Vaucai. Vaucai no envía hoy comunicaciones comerciales que requieran consentimiento: los avisos de novedades del servicio a sus clientes se apoyan en el contrato, y el Usuario puede pedir a su Vaucai que no le lleguen.
Consentimiento explícito para categorías especiales (art. 9.2.a RGPD): la voz que el Usuario decida clonar y la cara de un personaje que guarde en su Estudio (datos biométricos). Este consentimiento es independiente del consentimiento general y se presta de forma específica al guardar el dato; su retirada conlleva el cese del tratamiento y la eliminación del dato correspondiente.
Interés legítimo (art. 6.1.f RGPD): prevención del fraude y los usos abusivos, garantía de la seguridad técnica del servicio y mejora del mismo mediante análisis estadísticos agregados, previa ponderación con los derechos y libertades del Usuario.

El Usuario podrá retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a su retirada. La retirada del consentimiento de Telegram desconecta ese canal; la cuenta y el acceso por la web de Vaucai no se eliminan por esa sola retirada.

7. Tratamiento mediante inteligencia artificial: información específica

Conforme al artículo 13.2.f del RGPD y al artículo 50 del Reglamento de IA, se informa expresamente al Usuario de lo siguiente:

Naturaleza automatizada del servicio. El Vaucai del Usuario genera sus respuestas mediante sistemas de inteligencia artificial generativa proporcionados por proveedores tecnológicos especializados. El Usuario interactúa, por tanto, con un sistema automatizado y no con una persona física.

Lógica del tratamiento. Su Vaucai procesa el contenido de los mensajes del Usuario y, en su caso, la memoria persistente asociada a su cuenta, para generar respuestas contextualmente relevantes. La generación de respuestas tiene naturaleza probabilística y no determinista; respuestas idénticas no están garantizadas para entradas idénticas.

Perfil inferido para personalización. Más allá de los datos que el Usuario declara de forma explícita, su Vaucai elabora automáticamente, a partir del contenido de las conversaciones, un perfil interno inferido del Usuario: rasgos y preferencias de trato, un estado de ánimo agregado a lo largo del tiempo y los temas o asuntos que el Usuario tiene abiertos. Su única finalidad es personalizar las respuestas y dar continuidad a la relación; es de uso interno, no se comunica a terceros y no fundamenta decisiones automatizadas con efectos jurídicos o significativos en el sentido del artículo 22 del RGPD. El Usuario puede acceder a esta información (se incluye en la exportación de datos del artículo 20) y solicitar su supresión, total o parcial, en cualquier momento.

Datos enviados al proveedor del modelo. Para generar cada respuesta, Vaucai transmite el contenido necesario de la conversación a uno de dos encargados que sirven el mismo modelo de OpenAI. El primero es Amazon Web Services EMEA SARL (Amazon Bedrock), con la cuenta de AWS de Vaucai, cuando esa vía está disponible y ha superado las comprobaciones que Vaucai le hace: en Amazon Bedrock el modelo se ejecuta en cuentas que opera AWS, de modo que OpenAI no tiene acceso a las peticiones ni a las respuestas; la petición se emite desde Fráncfort y puede servirse en cualquier región comercial de AWS, incluidos los Estados Unidos, al amparo del contrato de encargo de AWS, que incorpora las Cláusulas Contractuales Tipo, y de la certificación EU–US Data Privacy Framework de Amazon. Si esa vía no está disponible, la misma petición la atiende OpenRouter, Inc., que actúa como gateway de inferencia y enruta cada petición al modelo seleccionado según la política de proveedor que Vaucai fija en cada petición: modelos de OpenAI, servidos por el propio fabricante o, si éste falla o está saturado, por los endpoints en nube de Microsoft Azure o Amazon Web Services (Bedrock) en el orden que Vaucai admite. Si el modelo principal no responde, atiende la petición un modelo de reserva de Google (Gemini) en Google Cloud (Vertex AI), a través de OpenRouter o directamente con la cuenta de Google Cloud de Vaucai. Se transmite el mensaje del Usuario, el historial reciente, el perfil y las memorias que su Vaucai incorpora, el resultado de las herramientas y los archivos compartidos en ese turno. Cuando el Usuario encarga una gestión en una página web (Agente Web, cláusula 4), el modelo recibe además el contenido de las páginas recorridas y capturas de pantalla de esa sesión, que pueden mostrar información del área privada del Usuario. El valor de una contraseña no se transmite en ningún caso. OpenRouter y el proveedor upstream que corresponda procesan esos datos conforme a sus condiciones aplicables; la cadena contractual y las garantías de transferencia se mantienen identificadas en el registro de subprocesadores. A la fecha de esta política el instrumento de transferencia específico de la cadena de OpenRouter está pendiente de verificación documental, y el tratamiento productivo está activo desde el 28 de agosto de 2026: mientras esa verificación no se cierre, la transferencia se realiza sin una garantía del capítulo V del RGPD plenamente formalizada, y se apoya en medidas técnicas que Vaucai impone en cada petición (lista cerrada de proveedores admitidos sin encaminamiento fuera de ella, instrucción data_collection: deny, exclusión de los endpoints que declaran retención prolongada y petición expresa de no conservar la conversación). Esta información se actualizará en cuanto la verificación quede cerrada.

Las webs de Vaucai Sites. Para crear y editar las webs que el Usuario encarga con Vaucai Sites, Vaucai utiliza el modelo Claude Opus 5.5 de Anthropic, servido únicamente por Amazon Web Services EMEA SARL (Amazon Bedrock) con la cuenta de AWS de Vaucai y su perfil europeo: la petición se procesa en regiones de AWS de la Unión Europea, el modelo se ejecuta en cuentas que opera AWS y Anthropic no tiene acceso a las peticiones ni a las respuestas, al amparo del mismo contrato de encargo de AWS. Se transmite la descripción del negocio que da el Usuario, los datos de contacto que la web va a publicar, el contenido de la web cuando se edita y, si el Usuario indica una web de referencia, el texto de esa página. Esta tarea no tiene modelo de reserva: si no puede atenderse, Vaucai lo comunica.

Otros servicios de inteligencia artificial utilizados. Vaucai utiliza OpenRouter, Inc. también para (i) generar representaciones vectoriales que sustentan la memoria semántica; (ii) transcribir mensajes de audio; y (iii) determinadas tareas internas de clasificación y composición. La generación y edición de imágenes, vídeo y voces se mantiene separada en fal.ai (Features & Labels, Inc.); las imágenes no se envían a OpenRouter. La cadena de proveedores upstream de OpenRouter la forman OpenAI y, para la reserva, Google, y está declarada en el registro interno.

Generación de imágenes, vídeo y música, y mejora de sus fotos y vídeos. Cuando el Usuario pide crear o editar una imagen, crear un vídeo, un avatar que habla o música para su negocio, o mejorar, comprimir o editar con una instrucción una fotografía o un vídeo propios, Vaucai utiliza el proveedor fal.ai (Features & Labels, Inc.). fal atiende cada petición con el modelo del motor elegido y, detrás de cada modelo, está su fabricante, que recibe la petición: Google, OpenAI, Black Forest Labs, Recraft, Topaz Labs, Kuaishou o MiniMax (su país, en la cláusula 10). Se transmite la descripción textual de lo que se desea generar (y, en un jingle, su letra) y, cuando el Usuario pide editar, animar o mejorar una imagen o un vídeo, el propio archivo, que puede contener su imagen o la de otras personas. Si esa imagen contiene a una persona, su Vaucai solicita previamente al Usuario la confirmación de que cuenta con la autorización necesaria para tratar su imagen. El resultado se descarga y se almacena en la infraestructura de Vaucai (Amazon Web Services, UE). Vaucai no cede estos datos para entrenar modelos.

Personajes del Estudio. El Usuario puede guardar en su Estudio la cara de un personaje (la suya, o la de alguien que le ha dado permiso para ello) para usarla en sus creaciones. Es un dato biométrico (artículo 9 del RGPD) y se trata con su consentimiento explícito, que su Vaucai le pide antes de guardarla diciéndole a quién llegará la foto. La foto se conserva cifrada en la infraestructura de Vaucai y, cada vez que el Usuario usa el personaje, llega a fal.ai y al fabricante del motor que genera esa creación: Google en los modos por defecto; OpenAI o Black Forest Labs si elige otro modo de imagen; y Kuaishou o MiniMax si elige un modo de vídeo de esos motores, o Kuaishou si el motor de vídeo por defecto rechaza la foto y la creación pasa al de reserva o si pide que el personaje hable. El Usuario puede borrar el personaje en cualquier momento, y con ello retira su consentimiento.

Clonación de la voz del Usuario. Si el Usuario lo solicita expresamente, Vaucai puede crear una voz sintética a partir de la suya para que su Vaucai locute textos con ella. La grabación de la voz constituye un dato biométrico (artículo 9 del RGPD) y su tratamiento se basa en el consentimiento explícito del titular, que debe grabar una declaración de consentimiento leyendo un texto concreto: el sistema comprueba que dicha declaración se ha pronunciado realmente y, si no consta, la voz no se crea. Esta verificación existe para impedir la clonación de la voz de un tercero. La grabación se transmite al proveedor fal.ai (Features & Labels, Inc.) y a MiniMax, el fabricante del modelo de voz, para prestar el servicio, y se conserva cifrada en la infraestructura de Vaucai (Amazon Web Services, Alemania, UE). El identificador de la voz queda protegido y se elimina también en el proveedor cuando el Usuario borra la voz o su cuenta. Vaucai no cede estos datos para entrenar modelos.

Contenido sintético generado por IA (art. 50 del Reglamento de IA). Las imágenes y los vídeos que su Vaucai crea a petición del Usuario son contenido generado artificialmente. Cuando dicho contenido sea fotorrealista, recree hechos, lugares o personas reales, o pueda inducir a confusión sobre su autenticidad, su Vaucai lo indica de forma contextual en el momento de la entrega. El contenido claramente artístico, ilustrativo o abstracto no lleva indicación por resultar evidente su naturaleza. Vaucai no genera contenido que vulnere derechos de terceros y rechaza las solicitudes manifiestamente ilícitas.

Vaucai no entrena modelos propios con los datos personales, mensajes, archivos ni memoria de los Usuarios. Tampoco cede dichos datos a terceros para el entrenamiento de sus modelos.

Decisiones automatizadas con efectos jurídicos significativos. El servicio de Vaucai no adopta decisiones individuales automatizadas, en el sentido del artículo 22 del RGPD, que produzcan efectos jurídicos en el Usuario o le afecten significativamente de modo similar. Las respuestas de su Vaucai tienen carácter informativo y de apoyo, y la decisión final sobre cualquier acción derivada de las mismas corresponde siempre al Usuario.

Limitaciones inherentes. El Usuario reconoce que las respuestas generadas pueden contener inexactitudes, omisiones o resultados imprevistos. Vaucai recomienda verificar la información obtenida antes de adoptar decisiones basadas en ella, especialmente en contextos sensibles (jurídicos, médicos, financieros o de seguridad).

8. Datos de servicios conectados (Google Workspace y Microsoft 365) y compromiso de uso limitado

Cuando el Usuario conecta voluntariamente sus servicios de Google Workspace (Gmail y Google Calendar) a su Vaucai, son de aplicación, además de las cláusulas generales de esta Política de Privacidad, las garantías específicas previstas por la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado (Limited Use). Las cláusulas 8.5 a 8.8 extienden el mismo compromiso de uso limitado a los datos de Microsoft 365 (Outlook y Microsoft Calendar) cuando el Usuario conecta esa cuenta.

8.1. Cláusula de Uso Limitado (Limited Use)

El uso por parte de Vaucai de la información recibida desde las APIs de Google Workspace se ajustará a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de uso limitado. En particular, Vaucai declara expresamente que:

Los datos de Gmail y Google Calendar a los que el Usuario ha autorizado acceso se utilizan únicamente para proveer o mejorar las funcionalidades visibles para el Usuario dentro de su Vaucai (lectura, gestión y envío de correo, gestión del calendario, briefings de reuniones, recordatorios y automatizaciones que el propio Usuario configure). Esto incluye analizar los correos que llegan para detectar reservas de viaje, facturas y recibos de gastos, avisos de cobro de facturas emitidas por el Usuario y respuestas de sus clientes, y proponérselos en su chat: ningún gasto se apunta sin su decisión, y el Usuario puede desactivar este análisis en cualquier momento pidiéndoselo a su Vaucai, sin desconectar la cuenta. Del correo no se guarda más que los datos de cada factura o cobro detectado y lo que el Usuario decide sobre ellos.
Vaucai no transfiere dichos datos a terceros, salvo (i) cuando sea necesario para proveer o mejorar dichas funcionalidades visibles para el Usuario, (ii) por consentimiento explícito y específico del Usuario, o (iii) por imperativo legal o judicial.
Vaucai no utiliza los datos de Google Workspace para servir, dirigir, segmentar o adaptar publicidad, propia ni de terceros.
Los datos de Google Workspace no son leídos por personas físicas, salvo (i) consentimiento explícito y específico del Usuario para casos concretos, (ii) cuando sea estrictamente necesario para prestar soporte a una incidencia notificada por el Usuario, (iii) por motivos de seguridad (investigación de abusos, vulnerabilidades o ataques), o (iv) por obligación legal.

8.2. Permisos (scopes) solicitados a Google y finalidad de uso

Vaucai solicita al Usuario, mediante el flujo OAuth oficial de Google y bajo consentimiento expreso, granular y revocable, los siguientes permisos:

Permiso (scope)	Finalidad de uso
`openid` · `userinfo.email` · `userinfo.profile`	Identificar la cuenta de Google que el Usuario ha conectado y mostrarle en el chat la dirección de correo asociada, de modo que sepa con qué cuenta opera su Vaucai.
`https://www.googleapis.com/auth/gmail.modify`	Leer los correos del Usuario, así como archivar, etiquetar, marcar como leído o no leído, mover a la papelera y crear borradores, en cada caso a petición conversacional explícita del Usuario en el chat.
`https://www.googleapis.com/auth/gmail.send`	Enviar correos electrónicos en nombre del Usuario cuando éste lo solicite expresamente.
`https://www.googleapis.com/auth/calendar.events`	Consultar, crear, modificar y eliminar eventos del calendario del Usuario, así como avisarle de próximos eventos y preparar briefings antes de las reuniones.

Vaucai aplica el principio de mínimo privilegio: solicita exclusivamente los permisos necesarios para las funcionalidades activas en el producto, evitando deliberadamente permisos más amplios. En particular, Vaucai no solicita acceso a Google Drive, Google Contacts, Google Tasks, Google Docs, Google Sheets ni Google Slides. El Usuario puede revocar en cualquier momento estos permisos, ya sea desde su panel de cuenta de Google o pidiéndole a su Vaucai que la desconecte.

8.3. No utilización de datos de Google Workspace para entrenamiento de IA

Conforme a los requisitos de la Política de Uso Limitado de Google y a las propias garantías técnicas y contractuales de Vaucai:

Los datos personales obtenidos a través de las APIs de Google Workspace (Gmail, Google Calendar) no se utilizan para desarrollar, mejorar ni entrenar modelos de inteligencia artificial generalistas, ni propios de Vaucai ni de terceros.
Cuando estos datos son procesados por OpenRouter y por el proveedor del modelo (OpenAI o, si el principal falla, Google en la reserva), dicho procesamiento se realiza para atender la solicitud del Usuario. Las condiciones de tratamiento, retención y transferencia aplicables a la cadena están documentadas en el registro de subprocesadores y su verificación documental específica sigue pendiente (cláusula 7); no se presume que una garantía de un proveedor se extienda automáticamente al otro.
Vaucai no utiliza los datos de Google Workspace para construir perfiles de marketing, segmentación publicitaria, análisis de comportamiento ajeno al servicio, ni ningún otro tratamiento ajeno a las funcionalidades visibles para el Usuario.

8.4. Conservación, eliminación y revocación de los datos de Google Workspace

Vaucai únicamente conserva los datos de Google Workspace estrictamente necesarios para prestar las funcionalidades activas de su Vaucai (por ejemplo, identificadores de mensaje y de evento, metadatos mínimos de hilos de seguimiento, identificadores de cuenta y tokens cifrados de refresco). Estos datos:

Se almacenan en la infraestructura de Vaucai dentro de la Unión Europea, aislados por usuario. Los tokens de acceso se guardan cifrados; el resto (identificadores y metadatos mínimos) se guarda sin cifrado propio. Todo viaja cifrado en tránsito.
Se eliminan inmediatamente (sin ventana de gracia de 30 días) cuando el Usuario revoca el consentimiento OAuth desde su cuenta de Google, desconecta la integración pidiéndoselo a su Vaucai, o solicita la baja de la cuenta. La eliminación se ejecuta mediante borrado en cascada de claves foráneas en Postgres (cascade FK), salvo obligación legal de conservación específica.
Cuando el Usuario solicita la eliminación de su cuenta, Vaucai revoca automáticamente los tokens OAuth concedidos por Google ANTES de borrar los datos locales. La revocación se ejecuta llamando al endpoint oficial de Google https://oauth2.googleapis.com/revoke por cada cuenta de Google conectada del Usuario, de modo que Google invalida la concesión OAuth en su propio lado además del borrado en Vaucai. Adicionalmente, el Usuario puede revocar el acceso en cualquier momento desde su panel de cuenta de Google.
Pueden eliminarse de forma directa por el propio Usuario pidiéndoselo a su Vaucai (por ejemplo, «quiero borrar mi cuenta»), lo que ejecuta secuencialmente: (1) cierre limpio de los watch channels de Gmail Pub/Sub, (2) revocación OAuth en Google, (3) cancelación inmediata de la suscripción en Stripe (cesa cualquier cobro futuro) y borrado de su ficha de cliente en Stripe, con sus medios de pago guardados (las facturas ya emitidas se conservan, porque la ley obliga a ello), (4) borrado en cascada de tokens, mensajes, embeddings y demás datos personales en Postgres, y (5) limpieza de claves Redis asociadas al Usuario. Si el Usuario abrió una cuenta de cobros con Stripe para cobrar a sus clientes, esa cuenta es suya, con su propio contrato con Stripe y el registro de lo que cobró, que la ley le obliga a conservar: Vaucai borra su vínculo con ella, y la cuenta la cierra el Usuario desde su panel de Stripe.

El cumplimiento por parte de Vaucai de los requisitos descritos en esta cláusula es susceptible de evaluación periódica por terceros independientes (assessors aprobados por Google) en el marco del programa Cloud Application Security Assessment (CASA), conforme a los plazos y condiciones establecidos por Google para las aplicaciones que utilizan permisos restringidos de Google Workspace.

8.5. Datos de Microsoft 365 (Outlook y Microsoft Calendar) y compromiso de uso limitado

Cuando el Usuario conecta voluntariamente su cuenta de Microsoft 365 (correo de Outlook y calendario de Microsoft) a su Vaucai mediante el flujo OAuth oficial de Microsoft, el tratamiento de los datos obtenidos a través de la API de Microsoft Graph se rige por las cláusulas generales de esta Política de Privacidad y por los compromisos específicos de uso limitado que se describen a continuación, en paridad con los aplicados a los datos de Google Workspace. En particular, Vaucai declara expresamente que:

Los datos de Outlook y del calendario de Microsoft a los que el Usuario ha autorizado acceso se utilizan únicamente para proveer o mejorar las funcionalidades visibles para el Usuario dentro de su Vaucai (lectura, gestión y envío de correo, gestión del calendario, briefings de reuniones, recordatorios y automatizaciones que el propio Usuario configure). Esto incluye analizar los correos que llegan para detectar reservas de viaje, facturas y recibos de gastos, avisos de cobro de facturas emitidas por el Usuario y respuestas de sus clientes, y proponérselos en su chat: ningún gasto se apunta sin su decisión, y el Usuario puede desactivar este análisis en cualquier momento pidiéndoselo a su Vaucai, sin desconectar la cuenta. Del correo no se guarda más que los datos de cada factura o cobro detectado y lo que el Usuario decide sobre ellos.
Vaucai no transfiere dichos datos a terceros, salvo (i) cuando sea necesario para proveer o mejorar dichas funcionalidades visibles para el Usuario, (ii) por consentimiento explícito y específico del Usuario, o (iii) por imperativo legal o judicial.
Vaucai no utiliza los datos de Microsoft 365 para servir, dirigir, segmentar o adaptar publicidad, propia ni de terceros.
Los datos de Microsoft 365 no son leídos por personas físicas, salvo (i) consentimiento explícito y específico del Usuario para casos concretos, (ii) cuando sea estrictamente necesario para prestar soporte a una incidencia notificada por el Usuario, (iii) por motivos de seguridad (investigación de abusos, vulnerabilidades o ataques), o (iv) por obligación legal.

8.6. Permisos (scopes) solicitados a Microsoft y finalidad de uso

Vaucai solicita al Usuario, mediante el flujo OAuth oficial de Microsoft y bajo consentimiento expreso, granular y revocable, los siguientes permisos delegados de Microsoft Graph. Los permisos de identidad se solicitan siempre; el resto, únicamente cuando el Usuario activa la funcionalidad correspondiente:

Permiso (scope)	Finalidad de uso
`openid` · `email` · `profile` · `User.Read` · `offline_access`	Identificar la cuenta de Microsoft que el Usuario ha conectado, mostrarle en el chat la dirección asociada y mantener la sesión activa mediante el token de refresco, de modo que sepa con qué cuenta opera su Vaucai.
`Mail.ReadWrite` · `Mail.Send`	Leer los correos del Usuario, así como archivar, mover, marcar y crear borradores, y enviar correos en su nombre, en cada caso a petición conversacional explícita del Usuario en el chat.
`Calendars.ReadWrite`	Consultar, crear, modificar y eliminar eventos del calendario del Usuario, avisarle de próximos eventos y preparar briefings antes de las reuniones.

Vaucai aplica el principio de mínimo privilegio: solicita exclusivamente los permisos necesarios para las funcionalidades que el Usuario activa, evitando deliberadamente permisos más amplios. El Usuario puede revocar en cualquier momento estos permisos, ya sea desde el panel de aplicaciones y servicios de su cuenta de Microsoft o pidiéndole a su Vaucai que la desconecte.

8.7. No utilización de datos de Microsoft 365 para entrenamiento de IA

En paridad con el tratamiento de los datos de Google Workspace:

Los datos personales obtenidos a través de Microsoft Graph (Outlook, calendario de Microsoft) no se utilizan para desarrollar, mejorar ni entrenar modelos de inteligencia artificial generalistas, ni propios de Vaucai ni de terceros.
Cuando estos datos son procesados por OpenRouter y por el proveedor upstream que corresponda para generar la respuesta de su Vaucai, dicho procesamiento se realiza para atender la solicitud del Usuario, bajo las condiciones comerciales y garantías de la cadena identificadas en el registro de subprocesadores.
Vaucai no utiliza los datos de Microsoft 365 para construir perfiles de marketing, segmentación publicitaria, análisis de comportamiento ajeno al servicio, ni ningún otro tratamiento ajeno a las funcionalidades visibles para el Usuario.

8.8. Conservación, eliminación y revocación de los datos de Microsoft 365

Vaucai únicamente conserva los datos de Microsoft 365 estrictamente necesarios para prestar las funcionalidades activas de su Vaucai (por ejemplo, identificadores de mensaje y de evento, metadatos mínimos de hilos de seguimiento, identificadores de cuenta y tokens cifrados de refresco). Estos datos:

Se almacenan en la infraestructura de Vaucai dentro de la Unión Europea, aislados por usuario. Los tokens de acceso se guardan cifrados; el resto (identificadores y metadatos mínimos) se guarda sin cifrado propio. Todo viaja cifrado en tránsito.
Se eliminan inmediatamente (sin ventana de gracia de 30 días) cuando el Usuario desconecta la integración pidiéndoselo a su Vaucai o solicita la baja de la cuenta, mediante borrado en cascada de claves foráneas en Postgres (cascade FK), salvo obligación legal de conservación específica.
El Usuario puede revocar el acceso en cualquier momento desde el panel de aplicaciones y servicios de su cuenta de Microsoft, además de pedírselo a su Vaucai.
Pueden eliminarse de forma directa por el propio Usuario pidiéndoselo a su Vaucai (por ejemplo, «quiero borrar mi cuenta»), lo que ejecuta el borrado en cascada de tokens, mensajes, embeddings y demás datos personales en Postgres, junto con la cancelación de la suscripción en Stripe, el borrado de su ficha de cliente en Stripe y la limpieza de claves Redis asociadas al Usuario.

8.9. Correo de su web o de su hosting (Webmail)

Si el Usuario usa un correo que no es de Google ni de Microsoft (por ejemplo, el de su dominio en su empresa de hosting), puede pedir a su Vaucai que lo conecte. En ese caso:

Vaucai se conecta al servidor de correo que el Usuario contrató con su proveedor, por los protocolos estándar IMAP y SMTP, siempre con la conexión cifrada y comprobando el certificado del servidor. Ese proveedor es el del Usuario: Vaucai no le confía datos de nadie, lee y envía donde el Usuario le pide, como lo haría su programa de correo.
La contraseña la escribe el propio Usuario en su chat de Telegram, donde Vaucai borra ese mensaje al momento, o en la web, donde se recoge antes de que nada la lea y no se guarda en la conversación; Vaucai la prueba contra su servidor y, sólo si entra, la guarda cifrada en sus Contraseñas, con una clave propia que no se guarda en la base de datos ni en las copias de seguridad. El modelo de inteligencia artificial no la ve nunca. Sólo se usa para entrar en su buzón cuando su Vaucai lee o envía su correo.
Los datos de ese correo se tratan con las mismas garantías y el mismo compromiso de uso limitado de las cláusulas 8.1 a 8.8: únicamente para las funcionalidades visibles para el Usuario, sin entrenar modelos de inteligencia artificial ni construir perfiles publicitarios.
El Usuario puede desconectarlo cuando quiera pidiéndoselo a su Vaucai. La contraseña sigue en sus Contraseñas hasta que la borre, y si la borra el correo deja de conectarse. Borrar la cuenta de Vaucai elimina ambas de inmediato.

9. Plazos de conservación

Categoría de datos	Plazo
Datos de cuenta y servicio	Durante la vigencia de la relación contractual y, tras su finalización, durante el plazo de prescripción de las acciones legales (con carácter general, 5 años conforme al artículo 1964 del Código Civil)
Conversaciones y memoria de su Vaucai	Durante la vigencia de la cuenta. Eliminación inmediata e irreversible de los sistemas en uso al darse de baja (cascade FK Postgres). Sin período de gracia. Las copias de seguridad los conservan hasta que caducan (ver «Copias de seguridad», abajo)
Copias de seguridad	Las copias cifradas de la base de datos, guardadas en Alemania y en Suecia (UE), caducan a los 90 días las horarias y diarias y a los 5 años las mensuales. Mientras no caducan contienen también los datos de las cuentas dadas de baja: esos datos quedan bloqueados (artículo 32 de la LOPDGDD), no se consultan y sólo se usan para recuperar el servicio tras un desastre. Si alguna vez hubiera que restaurar una de ellas, las cuentas dadas de baja después de hacerse esa copia se vuelven a borrar antes de que el servicio vuelva a funcionar: Vaucai guarda para eso una lista con el identificador interno de cada cuenta suprimida y la fecha, sin ningún otro dato
Ficheros del Escritorio (lo que su Vaucai crea y lo que el Usuario guarda) y documentos de facturas, presupuestos y gastos	Durante la vigencia de la cuenta. Nunca se eliminan por el paso del tiempo: se eliminan cuando el Usuario los borra y vacía su papelera, o al darse de baja. La copia de seguridad geográfica refleja esos borrados en un plazo máximo de siete días. La copia mensual de los documentos fiscales se conserva sesenta meses
Ficha de datos personales (DNI/NIE/IBAN y campos asimilables)	Durante la vigencia de la cuenta o hasta que el Usuario elimine el campo concreto. Eliminación inmediata al darse de baja
Gestiones en páginas web por encargo del Usuario (Agente Web)	90 días desde la finalización de la gestión, para la instrucción, el sitio visitado y la etiqueta de la credencial empleada; transcurrido ese plazo se suprimen automáticamente. Las gestiones pendientes de una actuación del Usuario permanecen disponibles mientras no las resuelva o cancele. Las capturas de pantalla y el contenido de las páginas no se conservan en ningún momento. Supresión inmediata al darse de baja
Vault de contraseñas	Durante la vigencia de la cuenta o hasta que el Usuario elimine la credencial concreta. Eliminación inmediata al darse de baja
Datos de facturación	6 años (art. 30 del Código de Comercio y normativa fiscal aplicable), contados desde el cierre del año de cada factura. Desde el 3 de octubre de 2026, la factura de cada cuota la expide Vaucai con su propio sistema de facturación, con los datos de facturación que el Usuario dio al pagar o los de su perfil fiscal, y le llega por su chat. Las facturas anteriores se emitieron en Stripe, que no permite borrar una factura ya emitida: al cumplirse el plazo, Vaucai solicita a Stripe su supresión
Datos de negocio de terceros (identificación de clientes y proveedores del profesional en facturas, gastos y libros)	Vaucai los trata como encargado del tratamiento (cláusula 10.2) mientras la cuenta y el servicio permanezcan activos; se eliminan de forma inmediata al darse de baja. La conservación de los originales durante los plazos legales (con carácter general, 4 años en el ámbito fiscal y 6 años conforme al art. 30 del Código de Comercio) corresponde al profesional responsable, no a Vaucai
Datos de comunicaciones comerciales	Hasta la revocación del consentimiento o la oposición del Usuario
Datos técnicos (logs ordinarios)	90 días desde su generación
Datos técnicos críticos (excepciones de su Vaucai, timeouts, eventos de presupuesto excedido)	12 meses, para auditoría de incidentes y análisis post-mortem
Analítica web cookieless y canal de llegada del visitante (`web_events`)	90 días desde la generación del registro agregado

10. Destinatarios y encargados del tratamiento

Para la prestación del servicio, Vaucai comunica datos personales a los siguientes proveedores tecnológicos, que actúan como encargados del tratamiento conforme al artículo 28 del RGPD. Vaucai mantiene o suscribirá con cada uno de ellos los correspondientes acuerdos de encargo del tratamiento:

Proveedor	Finalidad	Ubicación	Garantía aplicable
Amazon Web Services EMEA SARL	Alojamiento de la infraestructura de Vaucai (servidores, base de datos Postgres y caché) y almacenamiento de los ficheros del Usuario (su Escritorio y los documentos de sus facturas, presupuestos y gastos), que se guardan cifrados antes de salir del servidor	Alemania / Suecia (UE)	Tratamiento dentro del EEE. Por su matriz estadounidense, Cláusulas Contractuales Tipo del acuerdo de encargo de AWS y certificación EU–US Data Privacy Framework
Cloudflare, Inc.	DNS autorizado (nameservers `moura.ns.cloudflare.com` y `lilyana.ns.cloudflare.com`). Para todos los dominios de Vaucai (`vaucai.com` y las webs publicadas con Vaucai Sites en `.vaucai.pro`) y para el dominio propio* con el que el Usuario publique su web, Cloudflare actúa solo como DNS: resuelven directamente a la infraestructura de Vaucai en Amazon Web Services (UE), el certificado lo emite Vaucai en su propio servidor y el tráfico HTTP no atraviesa Cloudflare. Ni los datos del Usuario ni los de los visitantes de su web pasan por Cloudflare	Estados Unidos / global	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework. Alcance: queries DNS
OpenRouter, Inc.	Gateway de inferencia para respuestas, embeddings y transcripción; para los modelos de OpenAI, segunda vía detrás de Amazon Bedrock, con el mismo modelo. Enruta cada petición al modelo elegido según la política de proveedor de Vaucai; los modelos upstream son de OpenAI, servidos por el propio fabricante o por los endpoints en nube de Microsoft Azure o Amazon Web Services (Bedrock), y los de reserva, de Google, servidos por Google Cloud (Vertex AI). No recibe las imágenes artísticas, que se gestionan por fal.ai	Estados Unidos / según la ruta del modelo	Garantía en curso de verificación. A la fecha de esta política el instrumento de transferencia específico de OpenRouter y de su cadena upstream está pendiente de verificación documental, y el tratamiento productivo ya está activo. Mientras tanto la transferencia se apoya en la política de proveedor que Vaucai impone en cada petición (lista cerrada de proveedores admitidos, sin encaminamiento fuera de ella, e instrucción `data_collection: deny`) y en la exclusión de los endpoints que declaran retención prolongada. Esta fila se actualizará en cuanto la verificación quede cerrada
OpenAI, L.L.C.	Proveedor upstream al que OpenRouter enruta una petición cuando se selecciona un modelo OpenAI y la política de proveedor de Vaucai lo admite (orden: OpenAI, después Azure y Amazon Bedrock). Vaucai no mantiene una credencial directa ni llama su API. Cuando el modelo se sirve por Amazon Bedrock, OpenAI no recibe los datos (ver la fila de Amazon Bedrock). Las imágenes no pasan por esta cadena; cuando el Usuario elige el modo de imagen de OpenAI, OpenAI las recibe a través de fal.ai (ver su fila)	Estados Unidos	Garantía de la cadena OpenRouter/upstream pendiente de verificación documental específica
Microsoft Corporation (Azure)	Endpoint alternativo dentro de la cadena de OpenRouter para los modelos de OpenAI: sirve la petición cuando el fabricante falla o está saturado, según el orden que fija la política de proveedor de Vaucai. Recibe en ese caso el mismo contenido del turno que recibiría el fabricante	Estados Unidos	Garantía de la cadena OpenRouter/upstream pendiente de verificación documental específica. Según la política de datos que publica OpenRouter, este endpoint no retiene los prompts ni entrena con ellos
Amazon Web Services EMEA SARL (Amazon Bedrock)	Primera vía para generar las respuestas con los modelos de OpenAI, contratada directamente por Vaucai con su cuenta de AWS: recibe el contenido del turno (mensaje, historial reciente, perfil, memorias, resultados de herramientas y archivos del turno) y el de las tareas internas de memoria y clasificación, con la instrucción de no conservarlo. El modelo se ejecuta en cuentas que opera AWS: OpenAI no tiene acceso a las peticiones ni a las respuestas. OpenRouter puede enrutar también a este servicio dentro de su cadena. Además, crea y edita las webs de Vaucai Sites con el modelo Claude Opus 5.5 de Anthropic, por su perfil europeo: recibe la descripción del negocio, los datos de contacto que la web publica y el contenido de la web, y Anthropic no tiene acceso a las peticiones ni a las respuestas	UE (contraparte en Luxemburgo); la petición puede servirse en cualquier región comercial de AWS, incluidos los Estados Unidos, salvo las webs de Vaucai Sites, que se procesan sólo en regiones de la UE	Contrato de encargo de AWS (AWS GDPR Data Processing Addendum) con Cláusulas Contractuales Tipo; certificación EU–US Data Privacy Framework
Google LLC (Cloud Vertex AI)	Sirve los modelos de reserva (Gemini) sólo cuando el modelo principal falla, por dos vías: dentro de la cadena de OpenRouter, donde es el único endpoint admitido para esos modelos (Google AI Studio queda excluido a propósito, porque retiene los prompts según la política publicada por OpenRouter), y directamente, con la cuenta de Google Cloud de Vaucai, cuando la que falla es la propia OpenRouter. Recibe en ese caso el turno que atiende: el mensaje, el historial reciente y el perfil	Estados Unidos	Por la vía de OpenRouter: garantía de su cadena pendiente de verificación documental específica; según la política de datos que publica OpenRouter, este endpoint no retiene los prompts ni entrena con ellos. Por la vía directa: Google LLC está certificada en el EU–US Data Privacy Framework, y la verificación documental de los términos de la cuenta de Google Cloud de Vaucai está pendiente
PostHog Inc.	Analítica de producto del sitio web (páginas vistas, recorridos y embudos de conversión) para medir el uso y mejorar la web. Solo con el consentimiento del Usuario a la categoría «Analíticas»; sin consentimiento, no se carga. Vaucai utiliza la región europea de PostHog	Unión Europea (Fráncfort, Alemania); proveedor con sede en EE.UU.	Datos almacenados en la UE (PostHog Cloud EU). Cláusulas Contractuales Tipo (Decisión UE 2021/914) para cualquier acceso eventual desde fuera del EEE
Stripe Payments Europe, Ltd.	Procesamiento de pagos	Irlanda (UE)	No aplicable: tratamiento dentro del EEE
Telegram FZ-LLC	Infraestructura de mensajería del canal de Telegram (bot @vaucaibot), sólo para el Usuario que usa su Vaucai por Telegram	Emiratos Árabes Unidos	Consentimiento expreso del Usuario informado de los riesgos (art. 49.1.a RGPD + recital 111). Ver detalle en cláusula 3
Meta Platforms Ireland Limited (WhatsApp)	Infraestructura de mensajería del canal de WhatsApp, sólo para el Usuario que elige usar su Vaucai por WhatsApp	Irlanda (UE); grupo con operaciones fuera del EEE	Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación (UE) 2023/1795) para los accesos de Meta Platforms, Inc. y WhatsApp LLC, con cláusulas contractuales tipo (Decisión 2021/914, módulo 3) según el anexo de transferencias de WhatsApp Business. Ver cláusula 3
Google LLC / Google Ireland Ltd.	Integraciones opcionales con Gmail y Google Calendar (solo previa autorización del Usuario). Sometido a la cláusula 8 (Limited Use)	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Microsoft Corporation / Microsoft Ireland Operations Ltd.	Integraciones opcionales con Outlook y su calendario (solo previa autorización del Usuario). Los datos accedidos vía Microsoft Graph se utilizan únicamente para proveer las funcionalidades solicitadas por el Usuario; no se utilizan para entrenamiento de modelos de IA ni se transfieren a terceros distintos de los listados en esta tabla	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
SideGuide Technologies Inc. (Firecrawl)	Extracción y búsqueda de contenido web público bajo demanda del Usuario (lectura de URLs, búsquedas, extracción estructurada), búsqueda de vuelos y alojamiento con su precio del momento, que Firecrawl consulta en Google Flights, Skyscanner y Booking, y transcripción de un vídeo de YouTube cuando el proveedor habitual no la trae. Los datos transferidos son la URL o consulta solicitada y el contenido público devuelto; en los viajes, sólo la ruta, las fechas, el número de viajeros y la edad de los menores, sin ningún nombre, contacto ni dato de pago	Estados Unidos	Cláusulas Contractuales Tipo (Decisión UE 2021/914)
Jina AI GmbH (grupo Elastic N.V.)	Lectura de la página web que el Usuario pide leer, convertida a texto. Los datos transferidos son la URL solicitada y el texto de la página	Alemania (entidad legal); el lugar de tratamiento, pendiente de verificación	Pendiente de verificación
Gamma Tech, Inc.	Generación de presentaciones bajo demanda explícita del Usuario y del documento de sus presupuestos. Los datos transferidos son el prompt de generación que el Usuario solicite y, en un presupuesto, su contenido: los datos del cliente al que se dirige (nombre, NIF y dirección), los conceptos, los importes y el logo del negocio	Estados Unidos	Cláusulas Contractuales Tipo (Decisión UE 2021/914)
Functional Software, Inc. (Sentry)	Captura de errores técnicos de la infraestructura para su mantenimiento (stack traces redactados, identificadores de trazabilidad). Ingesta de datos en la región de la UE (Frankfurt, Alemania). Configuración con `send_default_pii=False`, sin envío por defecto de datos personales identificables	Estados Unidos (entidad legal) / Alemania (ingesta)	Cláusulas Contractuales Tipo (Decisión UE 2021/914). Ingesta dentro del EEE
Features & Labels, Inc. (fal.ai)	Generación y edición de imágenes, generación de vídeo y del avatar que habla, mejora o compresión de las fotografías y los vídeos propios del Usuario y clonación de su voz, siempre bajo demanda explícita del Usuario. fal atiende cada petición con el modelo del motor elegido, y el fabricante de ese modelo la recibe como subencargado de fal: Google (Veo, Nano Banana), OpenAI (GPT Image), Black Forest Labs (FLUX), Recraft, Topaz Labs (mejora de vídeo), Kuaishou (Kling) o MiniMax (vídeo y voz). Se transmite la descripción textual solicitada y, cuando el Usuario pide editar, animar o mejorar un archivo, el propio archivo, que puede contener su imagen o la de otras personas, o la cara de un personaje de su Estudio (dato biométrico del artículo 9). Cuando el Usuario pide crear una voz sintética a partir de la suya, se transmite la grabación de su voz, dato biométrico del artículo 9, aportada con su consentimiento grabado y verificado, y el texto de cada locución; el modelo de voz resultante se elimina también en el proveedor cuando el Usuario borra la voz o su cuenta. Detalle en la cláusula 7	Estados Unidos (fal). Sus fabricantes: Estados Unidos, Alemania (Black Forest Labs) y China (Kuaishou y MiniMax)	Cláusulas Contractuales Tipo (Decisión UE 2021/914) con fal; la garantía de la cadena hasta cada fabricante, en curso de verificación
Google LLC (Cloud Text-to-Speech)	Síntesis de voz de las respuestas de su Vaucai, únicamente cuando el Usuario activa la respuesta hablada. Se transmite el texto de la respuesta que su Vaucai va a leer. No se emplea para entrenar modelos	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
TranscriptAPI (proveedor gestionado)	Búsqueda y obtención de subtítulos de vídeos de YouTube bajo demanda explícita del Usuario (resumen y búsqueda de vídeos). Se transmite únicamente la dirección pública o el identificador del vídeo de YouTube; no se transmiten datos personales del Usuario	Estados Unidos	Cláusulas Contractuales Tipo (Decisión UE 2021/914)
TikHub, LLC.	Consulta de datos públicos de plataformas sociales bajo petición explícita del Usuario: resolver un vídeo a partir del enlace que aporta, la ficha de una cuenta pública, el escaparate público de anuncios de TikTok y las fichas de TikTok Shop. Se transmite únicamente el enlace o el nombre de cuenta público que el Usuario teclea; no se transmite su identidad, su dirección IP (la consulta la realiza el servidor de Vaucai) ni el contenido de su conversación. No se emplea para entrenar modelos	No publicada por el proveedor. El servicio se presta desde `api.tikhub.io`. Vaucai ha revisado sus condiciones y su documentación pública: no declaran país de constitución, ley aplicable ni fuero, y se describen a sí mismos como una entidad radicada fuera. El titular del dominio está oculto tras un servicio de privacidad y el servicio se sirve tras Cloudflare, por lo que el país de alojamiento no es verificable externamente. Debe asumirse una transferencia fuera del EEE a un país sin decisión de adecuación conocida	Garantía en curso de formalización. A la fecha de esta política Vaucai no tiene todavía firmado con este proveedor un acuerdo de encargo del tratamiento con Cláusulas Contractuales Tipo, y, al no estar confirmado el país de destino, no consta que le resulte aplicable una decisión de adecuación de la Comisión Europea. Vaucai está tramitando dicho acuerdo. Mientras tanto, informamos con transparencia de que esta transferencia se realiza sin las garantías del capítulo V del RGPD plenamente formalizadas, lo que puede suponer un menor nivel de protección que en el EEE. La transferencia se produce únicamente cuando el Usuario pide de forma expresa analizar un contenido o una cuenta concretos, se limita a ese enlace o nombre de cuenta y no se repite si no lo solicita. El Usuario que no utilice estas funciones no realiza ninguna transferencia a este proveedor. Esta fila se actualizará en cuanto el acuerdo quede suscrito y la jurisdicción confirmada
Google LLC (reCAPTCHA Enterprise)	Protección antifraude y antibot del formulario de alta en `vaucai.com/crear`. Se transmiten señales del navegador del visitante (interacción, identificadores técnicos) para obtener una puntuación de riesgo. No se utiliza para personalización publicitaria por parte de Vaucai	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Google LLC (Cloud Document AI)	Lectura automática (OCR) de la fotografía de un recibo o una factura que el Usuario envía para que su Vaucai apunte el gasto. Se transmite la imagen del documento, que contiene datos del proveedor del Usuario (denominación, dirección, NIF e importe). El procesamiento se solicita en la región europea. No se emplea para entrenar modelos	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Google Maps (Google LLC: Places y Geocoding)	Búsqueda de sitios y resolución de direcciones cuando el Usuario se lo pide a su Vaucai. Se transmite el término que el Usuario indica y, cuando el Usuario la aporta, su ubicación o la dirección que quiere localizar. La consulta la realiza el servidor de Vaucai, de modo que no se expone la dirección IP del Usuario al proveedor	UE / Estados Unidos	Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Soluciones Corporativas IP, S.L. (DonDominio): Agente Registrador y alojamiento del correo de Vaucai	Registro del dominio que el Usuario compra para su web, a nombre del propio Usuario. Se transmiten los datos que el registro de dominios exige del titular: nombre, DNI o CIF, correo electrónico, teléfono y domicilio. Parte de esos datos se publican en la base de datos WHOIS, de consulta pública, por exigencia del sistema de nombres de dominio. La cadena de destinatarios depende del dominio elegido: un `.es` se gestiona ante Red.es (España); un `.com` o un `.net` implican además a Verisign (Estados Unidos) y al depósito de datos (escrow) de la ICANN. Además, aloja los buzones de correo de Vaucai (soporte@vaucai.com, hola@vaucai.com y los demás de vaucai.com): si nos escribe por correo, su mensaje se guarda allí, en España	España (UE) el Agente Registrador; Estados Unidos el registro del dominio en los TLD `.com` y `.net`	Garantía en curso de formalización. Vaucai está verificando con este proveedor el instrumento aplicable: el contrato de distribuidor suscrito no constituye por sí solo un acuerdo de encargo del artículo 28, y la publicación en WHOIS y el depósito ante la ICANN responden a obligaciones del propio sistema de nombres de dominio, no a una instrucción de Vaucai. Informamos con transparencia de que, en los dominios `.com` y `.net`, parte de estos datos salen del EEE sin las garantías del capítulo V del RGPD plenamente formalizadas. El Usuario que no compre un dominio no realiza ninguna transferencia a este proveedor
Shopify Inc.	Edición de la tienda que el Usuario ya tiene, únicamente si la conecta él. Vaucai actúa sobre su cuenta con los permisos que él concede y se transmite el contenido y el diseño de su tienda (productos, páginas y tema). Los permisos concedidos no incluyen pedidos ni clientes: Vaucai no accede a los datos de los compradores del Usuario	Canadá	Decisión de adecuación de la Comisión Europea para Canadá (artículo 45 del RGPD): la transferencia no requiere garantías adicionales
Webflow, Inc.	Edición de la web que el Usuario ya tiene, únicamente si la conecta él. Se transmite el contenido y el diseño de su web. El permiso concedido no incluye los formularios: Vaucai no accede a los datos de los visitantes del Usuario	Estados Unidos	Garantía en curso de formalización. Vaucai está verificando el acuerdo aplicable con este proveedor. Mientras tanto, informamos con transparencia de que esta transferencia se realiza sin las garantías del capítulo V del RGPD plenamente formalizadas. El Usuario que no conecte una web de Webflow no realiza ninguna transferencia a este proveedor
Asesorías fiscales y asesores fiscales autónomos de Vaucai (plan Vaucai Ultra)	Preparar y presentar ante la Administración tributaria los impuestos del Usuario de Vaucai Ultra, con su representación y su aprobación previa de cada declaración. Acceden sólo a los datos fiscales de los clientes que tienen asignados	España	No hay transferencia internacional. Encargo de tratamiento (art. 28 RGPD) firmado con cada asesoría o asesor autónomo antes de asignarle clientes
Anthropic, PBC	Herramienta de desarrollo y operación con la que Vaucai programa, mantiene y revisa su propio servicio. No participa en las respuestas de su Vaucai. Recibe sólo, y de forma incidental, los datos que aparezcan durante una sesión de trabajo sobre el servicio (por ejemplo, al investigar una incidencia); nunca contraseñas ni credenciales, que siguen cifradas	Estados Unidos	Garantía en curso de verificación. A la fecha de esta política el instrumento de transferencia de esta relación está pendiente de verificación documental; informamos con transparencia de que, mientras tanto, esa transferencia se realiza sin las garantías del capítulo V del RGPD plenamente formalizadas. Vaucai minimiza lo que puede llegarle: los datos de los usuarios se purgan de sus sesiones de trabajo

Vaucai podrá incorporar nuevos encargados del tratamiento cuando resulte necesario para la prestación del servicio. La relación actualizada estará disponible en esta Política de Privacidad. Los Usuarios con la condición de profesionales o empresas (clientes B2B) podrán solicitar a través de administracion@vaucai.com información detallada sobre los acuerdos suscritos con los encargados.

10.1. Vaucai como encargado del tratamiento (webs creadas con Vaucai Sites)

Cuando un Usuario crea y publica una web con Vaucai Sites y dicha web recaba datos personales de sus visitantes (por ejemplo, nombre, correo o mensaje a través de un formulario de contacto), el Usuario titular de la web es el responsable del tratamiento de esos datos y Vaucai actúa como encargado del tratamiento por cuenta de aquél, conforme al artículo 28 del RGPD. Vaucai tratará dichos datos únicamente para entregarlos al Usuario titular (por su canal de mensajería) y conservarlos a su disposición, siguiendo sus instrucciones, sin utilizarlos para finalidades propias. Los visitantes que deseen ejercer sus derechos sobre estos datos deberán dirigirse al Usuario titular de la web, en su condición de responsable; Vaucai le prestará la asistencia razonable que precise. Estos datos se conservan mientras la web permanezca activa o hasta que el Usuario titular los suprima, y se eliminan al borrar la web o la cuenta.

10.2. Vaucai como encargado del tratamiento (datos de negocio)

Cuando un Usuario profesional o empresa introduce en el servicio datos personales de terceros —por ejemplo, la identificación de sus propios clientes y proveedores (nombre o razón social, NIF, domicilio, correo o teléfono) en facturas, presupuestos, gastos y en el libro de clientes—, dicho Usuario es el responsable del tratamiento de esos datos y Vaucai actúa como encargado del tratamiento por cuenta de aquél, conforme al artículo 28 del RGPD. Los términos del encargo, con el contenido mínimo del artículo 28.3 del RGPD, se integran por la presente cláusula, la relación de encargados y subencargados de la cláusula 10 y el acuerdo de encargo del tratamiento que Vaucai pone a disposición del Usuario responsable a solicitud (administracion@vaucai.com).

En su condición de encargado, Vaucai: (i) tratará esos datos únicamente para prestar el servicio contratado (emisión de facturas y de presupuestos, registro de gastos, libro de clientes, libro registro de IVA/IRPF y cuadro de mando), siguiendo las instrucciones del Usuario responsable y sin utilizarlos para finalidades propias; (ii) garantiza la confidencialidad y aplica las medidas de seguridad del artículo 32 (aislamiento por fila con seguridad a nivel de fila fail-closed en Postgres, cifrado de credenciales y de canales, y minimización de datos); (iii) recurre a subencargados (art. 28.4) sujetos a las mismas obligaciones de protección de datos —en particular OpenRouter y el proveedor del modelo de lenguaje al que enruta (procesamiento del turno de su Vaucai) y Amazon Web Services (alojamiento en la Unión Europea)—, informando de cualquier alta o sustitución de un subencargado antes de que surta efecto, por las vías y con la antelación de la cláusula 17, para que el Usuario responsable pueda oponerse; (iv) asiste al Usuario responsable en la atención de los derechos de los interesados y en la notificación de violaciones de seguridad (artículos 33 y 34); y (v) a la terminación del servicio, suprime los datos mediante borrado en cascada al darse de baja la cuenta, salvo obligación legal de conservación.

Los terceros (clientes, proveedores u otras personas cuyos datos introduzca el Usuario) que deseen ejercer sus derechos deberán dirigirse al Usuario responsable; Vaucai le prestará la asistencia razonable que precise. Vaucai no constituye el archivo documental legal del negocio: la obligación de conservar las facturas y la documentación contable, fiscal y mercantil durante los plazos legales (con carácter general, cuatro años en el ámbito fiscal y seis años conforme al artículo 30 del Código de Comercio) corresponde al Usuario responsable, que debe conservar sus propios originales. Al darse de baja la cuenta, la copia que Vaucai mantiene se elimina de forma inmediata e irreversible. Los datos de empleados y las nóminas no forman parte del tratamiento en el estado actual del servicio.

Citas. Cuando el Usuario activa Citas, Vaucai trata además, por su cuenta, las citas que da a sus clientes: el nombre completo del cliente, el día y la hora, el servicio, la asistencia, el cobro y una nota administrativa breve que se guarda cifrada. Si el Usuario ejerce una profesión sanitaria, una cita con él es un dato relativo a la salud (artículo 4.15 del RGPD): el Usuario lo trata con la base del artículo 9.2.h y Vaucai, como encargado, queda sujeto al deber de secreto (artículo 9.3 del RGPD y artículo 5 de la LOPDGDD), aplica las mismas medidas y no lo utiliza para ninguna finalidad propia. La historia clínica no forma parte del servicio. La cita se refleja, con el nombre del cliente y el servicio, en el calendario de Google o Microsoft que el Usuario elige entre los que tiene conectados, que es suyo y lo trata su proveedor bajo el contrato del Usuario. Si el Usuario enciende el aviso de cita por correo, el aviso sale desde la cuenta de correo del propio Usuario, en su nombre y con el texto que él decide, sin contenido publicitario y con una línea para que su cliente pida no recibirlo más; la página en la que su cliente confirma la cita o pide cambiarla (vaucai.com/cita) no usa cookies y solo registra esa respuesta. Al borrarse la ficha de un cliente, sus citas no cobradas pierden su nombre y su nota; las cobradas se conservan como justificante de la factura o del asiento mientras la cuenta esté activa. El Usuario acepta la versión vigente del encargo al activar Citas.

Versión del encargo. Esta es la versión 1.5 del encargo, de 7 de octubre de 2026. La 1.1 añadió las citas; la 1.2 y la 1.3, el envío de las facturas a Hacienda en nombre del Usuario; la 1.4 sustituyó a Hetzner por Amazon Web Services como subencargado del alojamiento, que sigue en la Unión Europea; la 1.5 retira el envío de las facturas a Hacienda. El Usuario acepta la versión vigente al aceptar el encargo o al activar Citas.

11. Transferencias internacionales

Las transferencias de datos personales a destinatarios ubicados fuera del Espacio Económico Europeo se realizan con base en alguna de las siguientes garantías previstas en el Capítulo V del RGPD:

Decisión de adecuación de la Comisión Europea, cuando exista respecto del país de destino.
Certificación del destinatario en el marco EU–US Data Privacy Framework, en el caso de proveedores estadounidenses adheridos al mismo.
Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914).
Consentimiento expreso del Usuario tras información de los riesgos, en el supuesto específico previsto en la cláusula 3 (uso de Telegram), conforme al artículo 49.1.a del RGPD.

Transferencias sin garantía plenamente formalizada. Vaucai informa con transparencia de que, a la fecha de esta política, no todas las transferencias fuera del EEE cuentan con una de las garantías anteriores plenamente formalizada y verificada. Los casos concretos están identificados uno a uno en la tabla de la cláusula 10, que indica para cada destinatario el estado real de su garantía. En esos supuestos la transferencia puede suponer un menor nivel de protección que en el EEE (por ejemplo, acceso de autoridades del país de destino sin vías de recurso equivalentes a las del Derecho de la Unión), y Vaucai aplica mientras tanto las medidas técnicas y organizativas descritas en las cláusulas 7 y 13. Cada fila se actualiza en cuanto el instrumento correspondiente queda suscrito o verificado.

El Usuario podrá solicitar copia o referencia de las garantías aplicadas escribiendo a administracion@vaucai.com.

12. Derechos del interesado

Conforme al RGPD y la LOPDGDD, el Usuario tiene reconocidos los siguientes derechos:

Acceso: conocer qué datos personales trata Vaucai y obtener una copia.
Rectificación: corregir datos inexactos o incompletos.
Supresión («derecho al olvido»): solicitar la eliminación de los datos cuando ya no sean necesarios, se haya retirado el consentimiento o concurra cualquier otro supuesto del artículo 17 del RGPD.
Oposición: oponerse al tratamiento por motivos relacionados con su situación particular, en particular respecto del tratamiento basado en interés legítimo y de las comunicaciones comerciales.
Limitación del tratamiento: solicitar la suspensión del tratamiento en los supuestos previstos en el artículo 18 del RGPD.
Portabilidad: recibir los datos en formato estructurado, de uso común y lectura mecánica, o solicitar su transmisión directa a otro responsable, cuando técnicamente sea posible.
No ser objeto de decisiones automatizadas con efectos significativos (art. 22 RGPD), conforme a lo indicado en la cláusula 7.
Retirada del consentimiento en cualquier momento, sin efecto retroactivo.

Para ejercer cualquiera de estos derechos, el Usuario puede escribir a administracion@vaucai.com indicando el derecho que desea ejercer y aportando la información necesaria para identificarle. Vaucai únicamente solicitará documentos acreditativos de identidad cuando existan dudas razonables sobre la identidad del solicitante, conforme al artículo 12.6 del RGPD.

Adicionalmente, el Usuario puede ejercer estos derechos de forma directa pidiéndoselo a su Vaucai, por cualquiera de sus canales. El derecho de supresión (por ejemplo, «quiero borrar mi cuenta») elimina la cuenta y los datos asociados, y cancela la suscripción, previa doble confirmación. Para el derecho de acceso y portabilidad, pedir «dame una copia de mis datos» genera y entrega en el propio chat un documento con todos sus datos personales. Si además desea recibir una copia en un formato estructurado de lectura mecánica, para llevársela a otro servicio, basta con pedírsela así a su Vaucai («dame mis datos en JSON» o «en un formato que pueda importar») y se la entrega también en el chat, en ese formato. No es necesario escribir a ninguna dirección: el derecho se ejerce y se completa en la propia conversación.

Vaucai responderá a las solicitudes en el plazo máximo de un mes desde su recepción, ampliable a dos meses adicionales en supuestos de especial complejidad, previa notificación al Usuario.

Si el Usuario considera que el tratamiento de sus datos personales no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, calle Jorge Juan, 6, 28001 Madrid).

13. Medidas de seguridad

Vaucai ha adoptado las medidas técnicas y organizativas apropiadas, conforme al artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo, incluyendo, entre otras:

Cifrado de los datos en tránsito mediante TLS.
Cifrado en reposo de las credenciales de acceso a servicios de terceros, de las contraseñas del vault y de los ficheros del Usuario, y copias de seguridad cifradas.
Aislamiento lógico de los datos por cuenta de Usuario.
Control de accesos basado en roles y principio de mínimo privilegio.
Autenticación reforzada para el acceso administrativo.
Copias de seguridad periódicas y versionadas, con restauración probada.
Monitorización continua de la infraestructura y registro de eventos de seguridad.
Formación del personal con acceso a datos personales en materia de protección de datos y seguridad.

Vaucai revisa y actualiza periódicamente estas medidas en función de la evolución del estado de la técnica y de los riesgos identificados.

14. Notificación de violaciones de seguridad

En caso de producirse una violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades del Usuario, Vaucai la notificará a la Agencia Española de Protección de Datos sin dilación indebida y, a más tardar, en el plazo de 72 horas desde su conocimiento, conforme al artículo 33 del RGPD. Cuando la violación entrañe un alto riesgo, Vaucai informará igualmente al Usuario afectado, de conformidad con el artículo 34 del RGPD.

15. Cookies y tecnologías similares

El sitio web vaucai.com utiliza cookies y tecnologías similares, cuyo uso se rige por la Política de Cookies, donde se detalla la tipología, finalidad, duración y mecanismo de gestión del consentimiento.

16. Menores de edad y datos de categorías especiales

El servicio de Vaucai está dirigido exclusivamente a personas mayores de 18 años. Vaucai no recaba ni trata conscientemente datos personales de menores de edad. Si Vaucai tuviera conocimiento de que un menor ha facilitado datos a través del servicio, procederá a su eliminación inmediata.

Si el Usuario, padre, madre, tutor o tutora detecta que un menor ha facilitado datos personales sin el consentimiento correspondiente, puede comunicarlo a administracion@vaucai.com para su eliminación.

Advertencia sobre datos de categorías especiales (art. 9 RGPD). Cuando el Usuario autoriza voluntariamente la conexión con servicios externos (en particular, Gmail y Google Calendar, o equivalentes de Microsoft 365), las cuentas conectadas pueden contener datos de categorías especiales en el sentido del artículo 9 del RGPD: datos sobre salud, religión, opiniones políticas, orientación o vida sexual, datos genéticos o biométricos, afiliación sindical, u origen racial o étnico. Vaucai no procesa estos datos como objeto de tratamiento específico ni los analiza con finalidad determinada; pueden aparecer incidentalmente en el contexto operativo de su Vaucai al leer correos o eventos a petición del Usuario. El Usuario debe ser consciente de este tratamiento incidental al autorizar los scopes correspondientes y, si desea evitarlo, puede revocar el acceso en cualquier momento desde el panel de su cuenta del proveedor o pidiéndoselo a su Vaucai (por ejemplo, «desconecta mi Gmail»).

17. Modificaciones

Vaucai podrá modificar esta Política de Privacidad para adaptarla a cambios normativos, jurisprudenciales, técnicos o en la prestación del servicio. Las modificaciones serán comunicadas a los Usuarios registrados mediante mensaje por su canal de mensajería, por correo electrónico si lo ha facilitado o con un aviso destacado en el sitio web, con antelación razonable a su entrada en vigor.

Se recomienda al Usuario revisar periódicamente esta página y atender la fecha de «Última actualización» indicada al inicio.