Política de privacidad
Esta política explica qué datos personales trata naab AI, para qué, con qué base jurídica, cuánto tiempo los conservamos, con quién los compartimos y cómo puedes ejercer tus derechos. Describe cómo funciona el servicio hoy. Si algo cambia, la actualizaremos y cambiaremos la fecha de arriba.
En pocas palabras
- naab AI solo lee las cuentas que conectas (Google Ads, Meta Ads, Google Analytics 4, Google Search Console y las demás fuentes del catálogo). No crea, modifica, pausa ni borra nada en ellas.
- No vendemos datos, no los usamos para publicidad y no los usamos para entrenar modelos de inteligencia artificial.
- Los datos se alojan en Google Cloud, en la Unión Europea: en Bélgica, con copias de seguridad en los Países Bajos y en la multirregión de la Unión Europea de Google Cloud.
- Algunas funciones de documentos envían su texto a proveedores de IA (como OpenAI) para poder buscarlos y resumirlos. Te lo explicamos en el apartado 5.
- Solo usamos cookies técnicas, imprescindibles para iniciar sesión y proteger tu cuenta. Ni analítica ni publicidad.
- Puedes desconectar una fuente cuando quieras desde naab: se detiene la sincronización, naab borra la autorización guardada y le pide a Google o a Meta que retire el acceso. Si no lo pueden confirmar, naab te lo dice y lo retiras tú desde tu cuenta de Google o de Meta (ver apartado 4.6).
- naab tiene además un módulo de análisis de la competencia, que no forma parte de la oferta, con información pública de otras marcas que puede incluir datos personales. Te lo explicamos en el apartado 14.
1. Quién es el responsable
naab AI es un servicio de Calendulab. El responsable del tratamiento es:
- Titular: Calendulab Digital, S.L.U.
- CIF: B56453210
- Domicilio: C/ Jorge Manrique, 6, 28420 La Navata (Galapagar), Madrid
- Contacto para privacidad: hi@naab.ai
En esta política, «naab», «nosotros» y «el servicio» se refieren a naab AI y a su titular.
2. Cuándo somos responsables y cuándo encargados
naab AI es un servicio para empresas y profesionales. Según el dato, actuamos en uno de estos dos papeles:
- Como responsable, para los datos que necesitamos para darte el servicio y relacionarnos contigo: las cuentas de usuario y su acceso, la seguridad, las solicitudes de acceso y el contacto comercial, la información pública que recogemos para el análisis de la competencia (apartado 14) y, cuando exista cobro, la facturación.
- Como encargado del tratamiento, por cuenta de la empresa cliente, para el contenido que esa empresa trae a naab: los datos de las plataformas que conecta, sus documentos, tareas, comentarios, tiempo imputado, procedimientos, anotaciones y contexto de marca. En ese caso la empresa cliente es la responsable y nosotros tratamos los datos siguiendo sus instrucciones, según el encargo del tratamiento que forma parte de los Términos del servicio.
Si tus datos aparecen en el contenido de una empresa cliente de naab (por ejemplo, eres empleado suyo y te asignan tareas), esa empresa es quien decide sobre ellos. Puedes dirigirte a ella o a nosotros; si nos escribes, le trasladaremos tu solicitud.
3. Qué datos tratamos
Cuenta y acceso
- Nombre de usuario y, si se facilitan, nombre, apellidos y correo electrónico.
- La contraseña, que se guarda solo como resumen criptográfico (hash), nunca en claro.
- El segundo factor de autenticación (2FA): el secreto de la aplicación de códigos se guarda cifrado y los códigos de recuperación, como hash.
- Las organizaciones, marcas y espacios de trabajo a los que tienes acceso y tu rol en cada uno (lector, editor, administrador o propietario).
- Las claves API que crees (guardadas como hash) y las conexiones que autorices para tu asistente de IA (conector MCP), con sus permisos y su caducidad.
- Qué versión de los Términos del servicio y de esta política aceptaste, en qué idioma se te mostraron y cuándo. Cada versión nueva que aceptas se guarda aparte, sin borrar las anteriores.
Seguridad y registros técnicos
- Un registro de eventos de seguridad: inicios de sesión correctos y fallidos, uso del 2FA, cambios de contraseña, creación y revocación de claves, conexión y desconexión de fuentes y cambios en los miembros de un equipo. No guarda tu dirección IP ni tu navegador en claro, sino una huella cifrada (HMAC) que permite relacionar eventos sin revelar el valor original.
- Los registros técnicos del servidor que genera Google Cloud con cada petición (incluyen la dirección IP, la fecha, la URL pedida y el navegador). Se usan para operar el servicio, resolver incidencias y detectar abusos.
- Contadores de uso por marca y mes (por ejemplo, número de consultas), sin el contenido de esas consultas.
Contenido que la empresa cliente trae a naab
- Datos de las plataformas conectadas: métricas diarias agregadas (gasto, impresiones, clics, conversiones, ingresos, sesiones, etc.), el identificador y la moneda de la cuenta conectada y, en Google Ads y Meta Ads, el identificador, el nombre, el estado y las fechas de actividad de cada campaña, con sus totales de gasto, clics, impresiones y conversiones de cada periodo activo. En Meta Ads, además, la configuración de las campañas, los conjuntos de anuncios y los anuncios (nombre, estado, objetivo, presupuesto, límites de gasto, estrategia de puja, fase de aprendizaje y fechas) cuando se consulta a demanda; esa configuración no se guarda. El detalle está en el apartado 4.
- Tareas, comentarios, tiempo imputado, procedimientos (SOP) y series recurrentes.
- Anotaciones del timeline y calendario de mercado.
- Documentos que subes o pegas, el texto que se extrae de ellos y, cuando corresponde, su resumen y su índice de búsqueda (ver apartado 5).
- Contexto de marca: perfil del negocio, de su publicidad y de su tono de voz.
Este contenido puede incluir datos personales de terceros (por ejemplo, nombres de empleados en tareas o datos dentro de un documento). La empresa cliente decide qué sube y es responsable de poder hacerlo.
Contacto comercial
Los datos que nos facilites al solicitar acceso o al escribirnos (nombre, correo electrónico, empresa y el contenido de tu mensaje).
Facturación
Cuando el servicio tenga cobro, los datos de facturación de la empresa cliente. Hoy no hay cobro dentro de la aplicación: la facturación se gestiona fuera de naab, por correo, según la propuesta o el contrato firmado con cada cliente. Cuando activemos el cobro en la aplicación, actualizaremos esta política con el proveedor de pago y los plazos de conservación de las facturas (en España, 4 años a efectos fiscales y 6 a efectos mercantiles).
4. Datos que recibimos de Google y de Meta
Cuando conectas una fuente, inicias sesión en la pantalla del propio proveedor (Google o Meta) y autorizas a naab AI a acceder a ella. naab nunca ve tu contraseña de Google o de Meta. Lo que recibe es un token de acceso, que se guarda cifrado y asociado a tu marca.
4.1. Permisos que pedimos y para qué
| Fuente | Permiso que pide naab | Para qué lo usa naab |
|---|---|---|
| Google Ads | https://www.googleapis.com/auth/adwords |
Listar las cuentas de Google Ads a las que tienes acceso (incluidas las gestionadas desde una cuenta de administrador) y leer su rendimiento: gasto, impresiones, clics, conversiones y su valor, campañas, términos de búsqueda y palabras clave negativas. Es el único permiso que ofrece la API de Google Ads; técnicamente permitiría modificar la cuenta, pero naab solo hace consultas de lectura. |
| Google Analytics 4 | https://www.googleapis.com/auth/analytics.readonly |
Listar tus propiedades y leer sus informes agregados (sesiones, usuarios, conversiones, ingresos, productos, etc.). Es un permiso de solo lectura. |
| Google Search Console (si lo conectas) | https://www.googleapis.com/auth/webmasters.readonly |
Leer el rendimiento de búsqueda agregado del sitio que eliges (consultas, clics, impresiones y posición). Es un permiso de solo lectura. |
| Meta Ads (Facebook e Instagram) | ads_read |
Listar las cuentas publicitarias a las que tienes acceso y leer sus estadísticas (gasto, alcance, impresiones, clics, compras y otras acciones) y la configuración de sus campañas, conjuntos de anuncios y anuncios (nombre, estado, presupuesto y estrategia de puja). Es un permiso de solo lectura: naab no crea, modifica ni pausa campañas, anuncios ni presupuestos. Versiones anteriores de naab pedían además los permisos de gestión de anuncios y de Business Manager, que nunca ha usado; si conectaste Meta con una de ellas, Meta los mantiene concedidos (volver a conectar no los quita) hasta que retires naab en «Integraciones comerciales» de la configuración de Facebook; naab sigue sin usarlos. |
| Google Merchant Center (si lo conectas) | https://www.googleapis.com/auth/content |
Listar las cuentas de Merchant Center a las que tienes acceso y leer, de la que eliges, el rendimiento de sus fichas de producto (clics, impresiones y CTR, de anuncios y gratuitas) y, cuando lo consultas, el rendimiento, el estado y el precio de cada producto, el resumen del estado de los productos y las incidencias de la cuenta. Es el único permiso que ofrece la API de Merchant Center; técnicamente permitiría modificar productos, fuentes de datos y la configuración de la cuenta, pero naab solo hace consultas de lectura. |
naab no pide acceso a tu perfil de Google ni a tu correo: no obtiene tu nombre ni tu dirección de correo de Google o de Meta.
4.2. Para qué usamos estos datos y qué guardamos
Usamos los datos de Google y de Meta únicamente para darte las funciones que ves en naab:
- Mostrar tus métricas en el timeline, junto a tus anotaciones, el calendario de mercado y las campañas, con la moneda que declara cada cuenta.
- Responder a las consultas que tú o tu asistente de IA hacéis a través de naab (por ejemplo, «gasto de la semana pasada» o «términos de búsqueda sin conversiones»).
- Avisarte de errores de conexión y prestarte soporte cuando lo pidas.
naab sincroniza periódicamente y guarda las métricas diarias agregadas de cada cuenta conectada, su identificador y su moneda, y, de cada campaña de Google Ads y Meta Ads, su identificador, nombre, estado y fechas de actividad, con sus totales de gasto, clics, impresiones y conversiones de cada periodo activo. Las consultas que se hacen a demanda (términos de búsqueda, palabras clave negativas, el estado de los productos de Merchant Center o informes a medida) se piden al proveedor en ese momento, se devuelven a quien preguntó y no se guardan en naab.
4.3. Lo que no hacemos con ellos
- No los vendemos ni los cedemos a corredores de datos.
- No los usamos para publicidad, ni para crear perfiles de personas, ni para ofrecerte anuncios.
- No los usamos para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
- No los usamos para evaluar la solvencia de nadie ni para fines de préstamo.
- Solo los transferimos para prestarte el servicio: a ti y a tu asistente de IA cuando lo pedís, a los subencargados de la lista publicada, cuando lo exija la ley o para proteger la seguridad del servicio, o, en caso de fusión, adquisición o venta del negocio, solo con tu consentimiento previo y expreso.
- Ninguna persona de nuestro equipo los lee salvo que nos lo pidas (por ejemplo, para darte soporte o porque has contratado el servicio gestionado), por motivos de seguridad (investigar un abuso o un fallo) o porque lo exija la ley.
4.4. Uso limitado de los datos de Google
El uso que naab AI hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.
naab AI's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.
4.5. Otras fuentes del catálogo
Además de las anteriores, el catálogo de naab incluye conectores con otras plataformas (Shopify, Klaviyo, Stripe, Microsoft Advertising y Windsor.ai). Si conectas alguna, naab sigue el mismo criterio: solo lee y guarda métricas diarias agregadas; de las conectadas vía Windsor.ai guarda también las campañas, como en Google Ads y Meta Ads. Por ejemplo, de Shopify solo pide los importes y las líneas de los pedidos, sin datos de tus clientes; de Stripe cuenta los clientes nuevos de cada día sin guardar quiénes son. Las claves de API que nos des para estas fuentes se guardan cifradas. En el servicio gestionado, nuestro equipo puede conectar fuentes vía Windsor.ai con la cuenta de Windsor de Calendulab; en ese caso Windsor trata esos datos como subencargado nuestro (ver Subencargados).
4.6. Cómo desconectar una fuente y retirar el acceso
- Desde naab: en Ajustes › Integraciones de tu espacio de trabajo, desconecta la fuente. La sincronización se detiene en ese momento. Cuando quitas la última fuente de la marca que usa tu cuenta de Google o de Meta, naab borra la autorización guardada y le pide a Google o a Meta que retire el permiso de naab en tu cuenta; lo mismo ocurre al borrar el espacio de trabajo, la marca o la organización. Mientras otra fuente de la marca use esa misma cuenta (GA4, Search Console, Google Ads y Merchant Center comparten la de Google), la autorización se mantiene para ella. Si Google o Meta no confirman la retirada, o si esa misma cuenta sigue conectada en otra marca de naab (retirar el permiso la desconectaría también allí), naab te lo dice al desconectar y puedes retirarlo tú con los pasos siguientes. Las métricas que ya se importaron se quedan en tu espacio de trabajo hasta que borres ese espacio de trabajo o la marca, o nos pidas que las suprimamos.
- Desde Google: en myaccount.google.com/permissions, elige naab AI y quítale el acceso.
- Desde Meta: en la configuración de tu cuenta de Facebook, apartado «Integraciones empresariales» (facebook.com/settings?tab=business_tools), elimina naab AI.
Una vez retirado el acceso en Google o en Meta, naab ya no puede leer nuevos datos de esa cuenta. Para que suprimamos también los datos ya importados y la autorización guardada, escríbenos a hi@naab.ai.
La conexión de tu asistente de IA con naab (conector MCP) se revoca en Ajustes › API keys.
5. Inteligencia artificial
5.1. Tu asistente de IA
naab está pensado para usarse desde tu propio asistente de IA (por ejemplo, Claude o ChatGPT) mediante el protocolo MCP. Cuando lo conectas, una pantalla de naab te muestra los permisos que pide (consultar; crear, modificar y borrar trabajo; ejecutar procesos) y tú decides si lo autorizas. Tu asistente solo ve las marcas a las que tú tienes acceso y nunca puede hacer más de lo que permite tu rol.
Los datos que tu asistente pide a naab viajan a ese asistente y quedan sujetos a tus condiciones con su proveedor. Si lo eliges y lo contratas tú, ese proveedor no es un subencargado de naab. Te recomendamos revisar cómo trata tus datos antes de conectarlo.
En el servicio gestionado es el equipo de Calendulab quien trabaja tus cuentas con naab, también desde los asistentes de IA que contrata Calendulab. Esos asistentes reciben los datos que el equipo consulta (por ejemplo, métricas, campañas o términos de búsqueda de Google Ads) y su proveedor los trata como subencargado nuestro: figura en la lista de subencargados. El equipo solo usa esos asistentes con planes de empresa o de API cuyas condiciones excluyen usar tus datos para entrenar modelos. Hoy son Claude (Anthropic) y ChatGPT (OpenAI), con planes de empresa o de API; sus condiciones figuran en la lista de subencargados.
5.2. Funciones de IA que naab ejecuta en sus servidores
Algunas funciones de naab usan modelos de lenguaje de terceros, que actúan como subencargados nuestros:
- Búsqueda de documentos: cuando subes o pegas un documento, un proceso diario envía su texto a la API de OpenAI para calcular una representación numérica (embedding) que permite buscarlo por significado. Cada búsqueda de documentos envía también el texto buscado a OpenAI para el mismo fin.
- Resumen de documentos: ese mismo proceso envía el texto del documento a un modelo de lenguaje para generar un resumen corto que ayuda a localizarlo.
- Propuesta de perfil de marca: si pides a naab que proponga el perfil de tu marca a partir de tus documentos, envía extractos de los documentos marcados como contexto a un modelo de lenguaje. La propuesta no se guarda hasta que tú la aplicas.
Las representaciones para la búsqueda se calculan siempre con OpenAI. El modelo de lenguaje que resume los documentos y propone el perfil de marca se elige en la configuración interna de naab entre modelos de OpenAI, Anthropic y Google. Los tres figuran en la lista de subencargados con su ubicación y sus garantías, porque la configuración puede cambiar entre ellos. Estos proveedores reciben el texto necesario para cada tarea, no los usamos para entrenar modelos y sus condiciones de API excluyen el entrenamiento con esos datos y limitan su conservación a un periodo corto (30 días como máximo en OpenAI y Anthropic) para detectar abusos.
Estas funciones no envían datos de Google Ads, Meta Ads ni Google Analytics a ningún modelo de IA. naab tiene además un asistente interno («Nerd») que sí puede enviar datos de las fuentes conectadas a modelos de lenguaje (según su configuración, de OpenAI y de Anthropic) para responder preguntas; no está disponible para clientes y solo lo usa nuestro equipo. Hoy no está activado en producción: en el servicio gestionado el equipo trabaja con los asistentes del apartado 5.1.
6. Para qué tratamos los datos y con qué base jurídica
| Finalidad | Base jurídica |
|---|---|
| Crear y gestionar las cuentas de usuario, dar acceso al servicio y prestar el servicio contratado (timeline, tareas, documentos, contexto, conector MCP) y su soporte. | Ejecución del contrato con la empresa cliente (art. 6.1.b RGPD). Para las personas usuarias que trabajan para el cliente, interés legítimo en mantener esa relación profesional (art. 6.1.f RGPD y art. 19 LOPDGDD). |
| Conectar las fuentes que elija la empresa cliente (Google, Meta y otras) y leer sus datos. | Lo decide la empresa cliente como responsable; nosotros lo hacemos como encargados, según el encargo del tratamiento de los Términos (art. 28 RGPD) y en ejecución del contrato con ella (art. 6.1.b RGPD). La autorización que se da en la pantalla de Google o de Meta es el permiso técnico para leer la cuenta, no la base jurídica del tratamiento. |
| Proteger el servicio y las cuentas: 2FA obligatorio, registro de eventos de seguridad, límites de uso y detección de abusos. | Interés legítimo en la seguridad del servicio y de sus usuarios (art. 6.1.f RGPD) y el deber de seguridad (art. 32 RGPD). |
| Atender solicitudes de acceso y consultas comerciales. | Aplicación de medidas precontractuales a petición tuya (art. 6.1.b RGPD) o interés legítimo en responderte (art. 6.1.f RGPD). |
| Medir el uso del servicio de forma agregada (por marca y mes) para operarlo y dimensionarlo. | Interés legítimo (art. 6.1.f RGPD). |
| Analizar la competencia con información pública de otras marcas (apartado 14). | Interés legítimo (art. 6.1.f RGPD). |
| Facturar y cumplir obligaciones contables y fiscales, cuando exista cobro. | Obligación legal (art. 6.1.c RGPD). |
| Tratar el resto del contenido de la empresa cliente (apartado 2). | Lo decide la empresa cliente como responsable; nosotros actuamos según sus instrucciones (art. 28 RGPD). |
No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma similar.
7. Cuánto tiempo conservamos los datos
| Dato | Plazo |
|---|---|
| Cuenta de usuario | Mientras la cuenta esté activa. Tras su baja, la desactivamos al momento y suprimimos sus datos en un plazo de 30 días, salvo los que debamos conservar por obligación legal. |
| Contenido de la empresa cliente (métricas importadas, tareas, documentos, anotaciones, contexto) | Mientras dure el contrato o hasta que el cliente lo borre (las métricas importadas se borran al borrar el espacio de trabajo o la marca, o si el cliente nos lo pide). Al terminar el contrato, el cliente dispone de 30 días para exportarlo y lo suprimimos en los 30 días siguientes. Desconectar una fuente no borra las métricas ya importadas. |
| Autorizaciones de acceso a Google, Meta y otras fuentes (tokens cifrados) | Hasta que desconectes en naab la última fuente que las usa, se borre la marca a la que pertenecen o nos pidas suprimirlas. Al borrarlas, naab pide también a Google o a Meta que retiren el permiso (ver apartado 4.6). Si retiras el acceso desde Google o Meta, la autorización guardada deja de servir. |
| Sesión en naab | El acceso caduca a los 15 minutos y se renueva solo mientras usas la aplicación; si pasan 7 días sin usarla, tendrás que volver a iniciar sesión. Las conexiones de tu asistente de IA usan accesos de 1 hora renovables durante 30 días desde la última renovación, hasta que las revoques. |
| Registros técnicos del servidor | 30 días. |
| Registro de eventos de seguridad | 2 años. Hoy el registro no caduca solo: lo purgamos manualmente al cumplirse ese plazo. |
| Copias de seguridad de la base de datos | Copias automáticas diarias, que se conservan 30 días, y recuperación a un momento concreto de los últimos 7 días. Además, hacemos copias manuales antes de cada despliegue que modifica la base de datos y de otras operaciones delicadas: esas no caducan solas y se conservan 90 días. Un dato borrado puede seguir en estas copias hasta que se borran. |
| Ficheros de documentos | Cuando borras un documento desaparece de naab al momento. Para eliminar también el fichero original del almacenamiento y sus versiones anteriores, pídenoslo; lo haremos en un plazo de 30 días desde tu petición (el almacenamiento conserva una copia de seguridad del fichero borrado durante 7 días más). |
| Datos de contacto comercial | Si la solicitud no acaba en contrato, 12 meses desde el último contacto. Si acaba en contrato, mientras dure la relación. |
| Información pública del análisis de la competencia (apartado 14) | Hoy no se borra de forma automática. Nos comprometemos a no conservarlos más de 24 meses desde su captura: hasta que el borrado sea automático, los suprimimos de forma manual al cumplirse ese plazo. |
Además, podemos conservar los datos bloqueados durante los plazos de prescripción de las responsabilidades legales que pudieran derivarse del tratamiento, solo a disposición de jueces, tribunales y autoridades.
8. Con quién compartimos los datos
Para prestar el servicio usamos proveedores que tratan datos por nuestra cuenta (subencargados): el alojamiento en Google Cloud, los proveedores de IA del apartado 5 y, en el servicio gestionado, los asistentes de IA y la cuenta de Windsor.ai que usa nuestro equipo. Para el análisis de la competencia, los proveedores del apartado 14. La lista completa, con su ubicación y sus garantías, está en Subencargados.
No cedemos datos a terceros salvo obligación legal (por ejemplo, a autoridades o tribunales que lo requieran) o en caso de fusión, adquisición o venta del negocio, con aviso previo (y, para los datos recibidos de Google y de Meta, solo con tu consentimiento previo y expreso, como dice el apartado 4.3).
Google, Meta y las demás plataformas que conectas no son destinatarios: son el origen de los datos. Si lo contratas tú, tu asistente de IA tampoco es un destinatario nuestro: recibe lo que tú le pides (ver apartado 5.1).
9. Transferencias internacionales
La aplicación, la base de datos y los ficheros están en la Unión Europea: región de Google Cloud de Bélgica (europe-west1). Las copias de seguridad automáticas de la base de datos están en los Países Bajos (europe-west4) y las manuales, en la multirregión de la Unión Europea de Google Cloud (eu), que guarda los datos en centros de datos de países de la Unión.
Estos son los casos en los que los datos pueden salir del Espacio Económico Europeo:
- Registros técnicos de Google Cloud: se guardan en una ubicación global de Google, que puede estar fuera de la Unión Europea. La transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea incorporadas en el anexo de tratamiento de datos de Google Cloud.
- Proveedores de IA: OpenAI y, según la configuración, Anthropic o Google (ver apartado 5) pueden procesar los datos en Estados Unidos. Con cada uno tenemos aceptado su anexo de tratamiento de datos, que incorpora las cláusulas contractuales tipo de la Comisión Europea para esas transferencias.
- Servicio gestionado: el proveedor de los asistentes de IA de nuestro equipo y Windsor.ai. Anthropic y OpenAI procesan en Estados Unidos, con las cláusulas contractuales tipo de sus anexos de tratamiento de datos; Windsor.ai (Windsor Group AG) procesa en Suiza, país con decisión de adecuación de la Comisión Europea.
- Análisis de la competencia: Bright Data y Apify (apartado 14). Bright Data (Bright Data Ltd) está en Israel, país con decisión de adecuación de la Comisión Europea; Apify (Apify Technologies s.r.o.) está en la República Checa, dentro de la Unión Europea.
El detalle por proveedor está en Subencargados.
10. Cómo protegemos los datos
- Todas las conexiones van cifradas (HTTPS con HSTS).
- El segundo factor de autenticación (2FA) es obligatorio para todas las cuentas.
- Las contraseñas, los códigos de recuperación y las claves API se guardan como hash. Los tokens de acceso a Google, Meta y otras fuentes, y las claves de API de terceros, se guardan cifrados; la clave de cifrado vive en un gestor de secretos, separada de la base de datos.
- La base de datos solo admite conexiones cifradas y autenticadas a través del conector de Cloud SQL, con certificado de cliente; no tiene redes autorizadas abiertas.
- Cada empresa cliente solo ve sus propios datos, y dentro de ella cada persona ve lo que le permite su rol. Un lector no puede modificar nada.
- Las operaciones sensibles quedan en un registro de seguridad que no se puede modificar desde la aplicación.
- El personal con privilegios de administración puede ver técnicamente los datos de todos los clientes. Por eso ese acceso está restringido al personal autorizado y solo se usa para soporte, seguridad, cumplimiento legal o para prestar el servicio gestionado contratado. Lo tienen únicamente las personas designadas de Calendulab que operan el servicio, siempre con 2FA, y una norma interna escrita fija cuándo puede usarse.
Si detectamos una violación de seguridad que afecte a datos personales, la notificaremos a la autoridad de control y, cuando corresponda, a las personas afectadas, en los plazos que marca la ley. Si actuamos como encargado, avisaremos a la empresa cliente sin dilación indebida.
11. Tus derechos
Puedes ejercer en cualquier momento tus derechos de:
- Acceso: saber qué datos tuyos tratamos.
- Rectificación: corregir los que sean inexactos.
- Supresión: pedir que los borremos.
- Oposición: oponerte a un tratamiento basado en el interés legítimo.
- Limitación: pedir que dejemos de usarlos mientras se resuelve una reclamación.
- Portabilidad: recibirlos en un formato estructurado. naab permite descargar en JSON las tareas, comentarios, procedimientos, anotaciones y el índice de documentos de una marca u organización, y consultar las métricas desde tu asistente de IA.
- Retirar tu consentimiento en los tratamientos que se basen en él, sin que afecte a lo tratado antes. Hoy ninguno de los tratamientos de esta política se basa en el consentimiento. Para dejar de dar acceso a una fuente, sigue el apartado 4.6.
Para ejercerlos, escríbenos a hi@naab.ai indicando el derecho que quieres ejercer y un dato que nos permita identificarte (por ejemplo, tu nombre de usuario en naab). Te responderemos en el plazo de un mes, prorrogable en los casos que prevé la ley. Si la solicitud se refiere a contenido de una empresa cliente, se la trasladaremos.
Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
13. Menores
naab AI es un servicio para empresas y profesionales. No está dirigido a menores de edad y no creamos cuentas para ellos.
14. Información pública sobre otras marcas (análisis de la competencia)
naab tiene un módulo de análisis de la competencia que no forma parte de la oferta descrita en los Términos del servicio, pero que hoy está activo. Para ese módulo recogemos de forma automatizada información que otras marcas y terceros han hecho pública en internet. En este tratamiento somos responsables.
Qué datos personales puede incluir
- Reseñas públicas de clientes de esas marcas (por ejemplo, en Trustpilot): el nombre con el que firma el autor, la puntuación, la fecha, el título y el texto.
- Publicaciones públicas de las cuentas de esas marcas en redes sociales (como Instagram, TikTok o Facebook): el texto, los hashtags, las cuentas mencionadas o etiquetadas, las métricas públicas (me gusta, comentarios y reproducciones) y, en algunos casos, una copia de la imagen.
- Perfiles públicos de las cuentas con las que colaboran esas marcas (por ejemplo, creadores de contenido): el nombre de usuario, la dirección y la foto del perfil, la biografía, la categoría, si la cuenta está verificada y el número de seguidores, de cuentas seguidas y de publicaciones.
De cada publicación y de cada perfil guardamos también la respuesta completa del proveedor que la obtiene, que puede incluir otros datos públicos.
Para qué y con qué base jurídica
Para analizar la actividad comercial y de comunicación de esas marcas: sus productos y precios, sus promociones, su reputación y con quién colaboran. No usamos estos datos para contactar con esas personas, ni para enviarles publicidad, ni para tomar decisiones sobre ellas. La base jurídica es el interés legítimo, nuestro y de nuestros clientes, en conocer el mercado a partir de información publicada (art. 6.1.f RGPD). Hemos ponderado ese interés frente a los derechos de las personas afectadas: la información ya es pública y la publican cuentas de empresa o perfiles abiertos, se trata de forma agregada y con fines de análisis de mercado, no se usa para contactar con nadie ni para tomar decisiones sobre nadie, y puedes oponerte en cualquier momento.
Quién la trata y quién la ve
- La obtienen por nuestra cuenta Bright Data (acceso a páginas web públicas, incluidas las de reseñas, a través de su red de proxies y navegadores) y Apify (lectura de publicaciones y perfiles públicos de redes sociales).
- El texto de las publicaciones, con sus hashtags y cuentas etiquetadas, se envía a la API de OpenAI para clasificarlo (tipo de contenido, categoría de producto, si anuncia una promoción).
- Se guarda en Google Cloud, en la Unión Europea, y pueden consultarla los usuarios de naab que tienen acceso al módulo.
Las ubicaciones y garantías de estos proveedores están en Subencargados.
Cuánto tiempo y cómo oponerte
Hoy estos datos no se borran de forma automática. Nos comprometemos a no conservarlos más de 24 meses desde su captura: hasta que el borrado sea automático, los suprimimos de forma manual al cumplirse ese plazo. Si eres el autor de una reseña o el titular de una cuenta y no quieres que tratemos tus datos, o quieres ejercer cualquier otro derecho del apartado 11, escríbenos a hi@naab.ai.
15. Cambios en esta política
Si cambiamos cómo tratamos los datos (por ejemplo, al añadir una fuente, un permiso o un proveedor), actualizaremos esta política y su fecha de versión antes de aplicar el cambio. Si el cambio es relevante, lo comunicaremos a los administradores de cada cuenta por los medios de contacto que tengamos.