Política de Privacidad – CitaVoz

Última actualización: 2026-10-03.

En CitaVoz respetamos la privacidad de nuestros usuarios y clientes. Esta política distingue cuatro perfiles de persona, porque el papel de CitaVoz frente a cada uno es distinto.

A quién se aplica esta política

Si eres un negocio cliente de CitaVoz (tenant):

CitaVoz es responsable del tratamiento de los datos de tu cuenta (registro, facturación, configuración del negocio). Los tratamos para prestarte el servicio contratado.

Si eres cliente final de un negocio que usa CitaVoz (por ejemplo, escribes por WhatsApp o llamas por teléfono a una peluquería o clínica):

El responsable de tus datos es ese negocio, no CitaVoz. CitaVoz actúa como encargado del tratamiento (artículo 28 del RGPD) al gestionar citas y, cuando el negocio lo activa, comunicaciones por WhatsApp o teléfono; tratamos esos datos siguiendo sus instrucciones. Para ejercer tus derechos, dirígete primero al negocio con el que tienes la relación; también puedes escribirnos y ayudaremos a trasladar tu solicitud.

Si trabajas en un negocio que usa CitaVoz (empleado):

El responsable de tus datos laborales es tu empleador, no CitaVoz. Si tu empleador activa el módulo de registro de jornada, CitaVoz actúa como encargado del tratamiento (artículo 28 del RGPD): tratamos tus fichajes únicamente por cuenta de tu empleador, que está obligado por ley a llevar ese registro y que debe informarte antes de que empieces a fichar. Si el dueño pulsa «Generar recomendación» en Informes → Equipo, enviamos a Google Cloud/Vertex AI el periodo y un resumen agregado con ingresos, costes laborales, margen, horas de personal, ocupación y franjas con recuentos de citas; no enviamos nombres, identificadores ni fichajes individuales. La recomendación se muestra al dueño y no cambia turnos, fichajes o pagos: el empleador revisa y decide cualquier medida. Para ejercer tus derechos, dirígete primero a tu empleador; si lo prefieres, también puedes escribirnos y trasladaremos tu solicitud.

Si visitas nuestra web y nos dejas tus datos (prueba de la recepcionista telefónica, lista de espera o demostración del panel):

CitaVoz es responsable de estos tratamientos. Usamos tus datos para atender la solicitud que enviaste; la base depende del formulario: medidas precontractuales para la demo del panel, consentimiento para la demo telefónica y la lista de espera, consentimiento separado para comunicaciones comerciales e interés legítimo para prevenir abusos y medir la audiencia agregada. Puedes retirar el consentimiento cuando quieras; también puedes oponerte al tratamiento basado en interés legítimo.

Datos que recopilamos:

Del negocio cliente:

Nombre y apellidos del titular o del personal con acceso a la cuenta
Datos de contacto (email, teléfono)
Datos de facturación, gestionados por nuestro proveedor de pagos (Stripe)
Configuración del negocio: servicios, horarios, personal

Del cliente final del negocio (por WhatsApp u otros canales habilitados por el negocio):

Nombre y número de teléfono
Información relacionada con citas y servicios solicitados
Mensajes enviados a través de WhatsApp u otros canales de comunicación
Si contactas con un profesional sanitario y comunicas datos sobre tu salud: la respuesta de consentimiento explícito que solicita el negocio antes de continuar por este canal. Los datos sobre la salud de un animal no son por sí mismos datos de salud del cliente
Si el negocio activa la recepcionista telefónica: tu número de teléfono, la grabación de la llamada durante el tiempo que el proveedor la conserva, su transcripción y un resumen automático de lo que se habló. Al descolgar se te informa de que la llamada puede grabarse

Del empleado de un negocio cliente (solo si el negocio activa el registro de jornada):

Nombre y, si el negocio los introduce, datos de contacto de la ficha de empleado
Fichajes: entradas, salidas y pausas, con fecha, hora y el medio utilizado (panel, código QR o quiosco)
Correcciones de fichajes, con quién las hizo y por qué; el dato original nunca se borra
Si el negocio activa los avisos de jornada: desviaciones calculadas con el horario laboral y las ausencias aprobadas, fecha, margen aplicado, estado, revisión y motivo breve de cierre. WhatsApp solo recibe un aviso genérico, sin nombre ni detalle del empleado
Solicitudes de ausencia y vacaciones: tipo, fechas y estado de aprobación
Si el negocio lo introduce: coste por hora, a efectos de informes internos del propio negocio
Si el negocio usa el quiosco compartido: un PIN personal, guardado siempre cifrado de forma irreversible, nunca en claro

Del visitante de la web que nos deja sus datos:

Tu número de teléfono móvil, para poder llamarte en la demostración que solicitas o avisarte del lanzamiento
Si pides la llamada de demostración: tu correo electrónico, para enviarte el resultado de esa llamada; y si marcaste o no la casilla opcional de información comercial
Si te apuntas a la lista de espera: tu nombre, el nombre y el sector de tu negocio y tu correo electrónico, que es por donde te avisaremos
Si entras en la demostración del panel: tu correo electrónico, el nombre y el sector de tu negocio, y si marcaste o no la casilla opcional de seguimiento comercial
La constancia de que aceptaste, con la fecha y la versión de esta política que estaba vigente en ese momento
Un identificador técnico derivado de tu conexión, guardado de forma que no permite reconstruir tu dirección de origen, con el único fin de impedir el uso abusivo de la demostración
Si pides la llamada de demostración, tu número y el contenido de esa llamada son tratados además por nuestro proveedor de voz (ver «Transferencias internacionales de datos»)

Finalidad del tratamiento:

Para el negocio cliente:

Prestar el servicio contratado (panel, IA conversacional, integración con WhatsApp)
Gestionar el alta, la facturación y el soporte
Cumplir obligaciones legales y contractuales

Para el cliente final del negocio:

Gestionar reservas de citas por cuenta del negocio
Atender solicitudes de clientes
Enviar confirmaciones y recordatorios
Responder automáticamente mediante el asistente de IA configurado por el negocio
Atender por teléfono las llamadas al negocio, cuando el negocio active ese módulo

Para el empleado de un negocio cliente:

Cumplir, por cuenta del empleador, su obligación legal de registro diario de la jornada (artículo 34.9 del Estatuto de los Trabajadores)
Si el empleador activa los avisos de jornada, ayudarle a revisar con contexto entradas tardías, entradas que no constan y excesos de horas; ningún aviso decide por sí solo una sanción
Gestionar solicitudes de ausencias y vacaciones y su efecto en la agenda del negocio
Elaborar informes internos de horas trabajadas para el propio negocio

Para el visitante de la web:

Realizar la llamada de demostración que has solicitado y enviarte un único correo con el resultado de esa llamada
Avisarte cuando la recepcionista telefónica esté disponible, si te apuntaste a la lista de espera; y, si te apuntas cuando ya lo está, enviarte tu puesto en la lista y cómo empezar
Enviarte un único correo con el acceso a la demostración del panel que has pedido y cómo crear tu cuenta
Solo si marcaste la casilla opcional: enviarte información comercial sobre CitaVoz. Puedes darte de baja en cualquier correo, y dejamos de enviarla en cuanto creas una cuenta
Impedir el uso abusivo de la demostración, que tiene un coste por cada llamada
Medir el uso de la web mediante vistas y acciones por página y procedencia, sin distinguir personas ni calcular huellas. Los totales se conservan 25 meses; los controles y registros de seguridad de la conexión se tratan por separado

Base legal:

Negocio cliente:

Ejecución del contrato de prestación del servicio suscrito con CitaVoz.

Cliente final del negocio:

La base que haya determinado el propio negocio para cada finalidad. Si trata datos personales de salud, también debe identificar la condición del artículo 9 del RGPD que lo permite; solo cuando su base sea el consentimiento explícito se solicita aquí antes de continuar.

Empleado de un negocio cliente:

Para el registro de jornada, el cumplimiento de una obligación legal del empleador (artículo 6.1.c del RGPD, en relación con el artículo 34.9 del Estatuto de los Trabajadores); por eso no se solicita consentimiento, solo se informa. Los avisos de jornada son una finalidad adicional de control laboral: el empleador debe determinar y comunicar su base jurídica y necesidad, que no derivan automáticamente de la obligación de registrar la jornada. La recomendación opcional de Informes → Equipo es una finalidad distinta de los avisos: si el dueño la solicita, se envían a Google Cloud/Vertex AI métricas agregadas, sin identidad ni fichajes individuales. El empleador debe determinar su base jurídica y necesidad, revisar la respuesta y decidir cualquier cambio; el sistema no toma decisiones laborales automáticamente. CitaVoz trata esos datos por cuenta del empleador como encargado.

Visitante de la web:

La base depende de cada finalidad: medidas precontractuales solicitadas por ti para la demo del panel (artículo 6.1.b del RGPD); consentimiento para la llamada de demostración, la lista de espera y, por separado, los correos comerciales (artículo 6.1.a); e interés legítimo en prevenir abusos y obtener estadísticas propias de audiencia agregada (artículo 6.1.f). La medición propia cuenta vistas y acciones sin distinguir personas ni calcular huellas; conserva totales durante 25 meses. Puedes retirar el consentimiento sin afectar al tratamiento previo y oponerte al tratamiento basado en interés legítimo.

Compartición de datos:

Los datos pueden ser procesados por proveedores tecnológicos —alojamiento y base de datos, mensajería de WhatsApp, pasarela de pagos, inteligencia artificial conversacional y, cuando el negocio active la recepcionista telefónica, telefonía y voz— únicamente con fines operativos. Nunca se venden a terceros ni se ceden para entrenar modelos de inteligencia artificial.

Transferencias internacionales de datos:

Para prestar el Servicio, CitaVoz utiliza proveedores tecnológicos que pueden implicar el tratamiento o acceso a datos personales desde fuera del Espacio Económico Europeo (EEE):

Google Cloud / Vertex AI (IA conversacional y recomendación operativa opcional): cuando el dueño solicita «Generar recomendación» en Informes → Equipo, el periodo y el resumen agregado se envían a Gemini para elaborar una sugerencia. La solicitud se enruta a la región o multirregión configurada para el modelo; la ubicación efectiva aplicable al negocio se concreta en su anexo. Google Ireland Limited y su matriz Google LLC, con sede en Estados Unidos, pueden realizar tareas de soporte técnico, mantenimiento o procesamiento de metadatos desde fuera del EEE. Según las condiciones aplicables, Google puede registrar prompts señalados para investigar un posible uso indebido durante un máximo de 90 días; esos registros no se usan para entrenar modelos. Las transferencias se amparan en las Cláusulas Contractuales Tipo incorporadas al Google Cloud Data Processing Addendum y, cuando corresponda, en el EU-U.S. Data Privacy Framework.
Stripe (procesamiento de pagos y facturación): la entidad contratante para clientes de la Unión Europea es Stripe Payments Europe, Limited (Irlanda). Para la prestación del servicio, los datos pueden transferirse a Stripe, LLC (Estados Unidos) y a otras filiales y subencargados de Stripe en distintas jurisdicciones. Estas transferencias se realizan al amparo de las Cláusulas Contractuales Tipo de la Unión Europea y, cuando resulte aplicable, del Data Privacy Framework.
WhatsApp / Evolution API (mensajería): la infraestructura de mensajería de CitaVoz se ejecuta en servidores propios ubicados en la Unión Europea. Cuando el canal de comunicación empleado sea WhatsApp, los mensajes son adicionalmente tratados por Meta Platforms, Inc./WhatsApp Ireland Limited conforme a sus propias políticas de privacidad y mecanismos de transferencia internacional.
Recepcionista telefónica (Retell AI, Inc., Estados Unidos): únicamente cuando el negocio activa ese módulo, y para las llamadas de demostración solicitadas desde nuestra web. La llamada, su grabación y su transcripción se tratan en servidores situados en Estados Unidos; este proveedor no dispone hoy de centros de datos en la Unión Europea. Para generar la conversación se apoya a su vez en sus propios subencargados, entre ellos el proveedor del modelo de lenguaje y el operador telefónico que cursa la llamada. La transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea suscritas con el proveedor. Las grabaciones y transcripciones no se utilizan para entrenar modelos.

Para obtener información sobre las garantías aplicadas a una transferencia concreta o una copia de las salvaguardas disponibles, puedes escribirnos a contacto@citavozapp.com. No compartimos datos con terceros ajenos a la prestación del Servicio.

Conservación:

Los datos se conservan únicamente durante el tiempo necesario para prestar el servicio, con estos plazos concretos:

Los registros diarios de jornada y sus correcciones: 4 años, conforme al artículo 34.9 del Estatuto de los Trabajadores. El sistema aplica actualmente el mismo plazo de purga a las ausencias y a los avisos de jornada vinculados; ese plazo adicional es una configuración del servicio, no una obligación de conservación que el artículo 34.9 establezca por sí sola para esos datos. Los sellos criptográficos y el registro mínimo de purgas se conservan como prueba técnica de integridad mientras existan fichajes que dependan de ellos
Los datos técnicos de entrega de avisos de jornada por WhatsApp: se purgan con el aviso asociado conforme a la configuración de cuatro años descrita arriba, salvo que exista una reclamación, inspección o litigio que exija conservar el caso
Las grabaciones y transcripciones de las llamadas telefónicas: el agente de demostración está configurado para conservarlas 30 días en el proveedor de voz. No afirmamos un plazo adicional para copias de seguridad, que depende de las condiciones del proveedor
El registro identificable de cada llamada telefónica en CitaVoz (teléfonos, fecha, duración, resultado y resumen): 90 días desde la llamada. El libro separado de consumo y los justificantes de facturación tienen finalidades y plazos propios
El historial de citas y los mensajes: hasta 5 años
Los datos de quien pide la llamada de demostración en nuestra web: 6 meses. Los de quien se apunta a la lista de espera: 12 meses, o mientras exista la cuenta si luego creas tu negocio en CitaVoz. Los de quien entra en la demostración del panel: 12 meses desde la última vez que entró

Para solicitar acceso, corrección o supresión cuando proceda de tus datos laborales, dirígete a tu empleador; también puedes escribirnos y trasladaremos la solicitud.

Derechos del usuario:

Negocio cliente:

Puedes solicitar acceso, rectificación, supresión o limitación del tratamiento; oponerte cuando proceda; ejercer la portabilidad o retirar el consentimiento cuando esa sea la base jurídica; y reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), escribiendo a: contacto@citavozapp.com

Cliente final del negocio:

Puedes ejercer los derechos que correspondan ante el negocio responsable —incluidos acceso, rectificación, supresión, limitación, oposición y portabilidad—. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es). Dirige tu solicitud primero a ese negocio; también puedes escribirnos y la trasladaremos: contacto@citavozapp.com

Empleado de un negocio cliente:

Dirige a tu empleador las solicitudes de acceso, rectificación, supresión, limitación, oposición o portabilidad; el deber legal de conservar los registros puede limitar la supresión durante ese plazo. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es). Si lo prefieres, puedes escribirnos y trasladaremos tu solicitud: contacto@citavozapp.com

Visitante de la web:

Puedes solicitar acceso, rectificación, supresión o limitación; oponerte al tratamiento basado en interés legítimo; y retirar el consentimiento cuando esa sea la base, sin afectar al tratamiento previo. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es). Escribe a: contacto@citavozapp.com

Responsable del tratamiento:

Responsable: Santiago Ulloa Ois. NIF: 39495152N.
Domicilio: calle Placer 3, 1.º E, 36202 Vigo, Pontevedra, España.
Email: contacto@citavozapp.com