Política de privacidad de Servus KI

1. Responsable, ámbito y estado

1.1 Responsable

HerzensApp GmbH, Raiffeisenstraße 54, 8010 Graz, Austria. Correo electrónico: [email protected].

1.2 Ámbito

Esta política de privacidad se aplica al asistente telefónico con IA «Servus KI», a las interfaces web y de aplicación asociadas, al número de pruebas y a las funciones ofrecidas a través de interfaces, como las conexiones con agendas y CRM. Describe qué datos personales se tratan, con qué finalidades, sobre qué base jurídica, a quién se comunican y durante cuánto tiempo se conservan.

1.3 Estado

09/07/2025.

1.4 Delegado de protección de datos

No se ha designado un delegado de protección de datos porque no existe obligación legal. Para cualquier cuestión de protección de datos está disponible la dirección indicada en el apartado 1.1.

2. Roles y responsabilidades

2.1 Principio

Por regla general Servus KI actúa como responsable propio en el sentido del art. 4.7 del RGPD para la prestación y el funcionamiento del servicio. Los clientes, como las consultas médicas, son responsables por derecho propio frente a quienes les llaman. No existe corresponsabilidad.

2.2 Línea de pruebas y demostración

Para escenarios de prueba o demostración por cuenta de un cliente, Servus KI puede actuar como encargado del tratamiento según el art. 28 del RGPD. En ese caso se aplica un contrato de encargo.

2.3 Consentimientos y deberes de información de los clientes

La licitud de la grabación de llamadas, la obtención y documentación de los consentimientos necesarios y los deberes de información frente a quienes llaman son responsabilidad propia del cliente.

2.4 Número de demostración

Al llamar al número de pruebas se presuponen el tratamiento y la grabación, que se realizan exclusivamente con fines de demostración. La base jurídica es el consentimiento, que se presupone al marcar activamente el número.

3. Finalidades del tratamiento y bases jurídicas

3.1 Funcionamiento del asistente y gestión de las llamadas

Servus KI trata datos para estar localizable, atender las llamadas con eficiencia, reconocer el motivo, transferir cuando corresponda y elaborar resúmenes de las llamadas si están activados. La base jurídica es el art. 6.1.f o el art. 6.1.b del RGPD.

3.2 Transcripción y tratamiento con IA

Servus KI utiliza reconocimiento de voz y modelos de lenguaje para transcribir las llamadas, entender el contenido y generar respuestas. La base jurídica es el art. 6.1.f o el art. 6.1.b del RGPD.

3.3 Grabación de llamadas

La grabación solo se produce si el cliente activa esta función. La base jurídica es el art. 6.1.a del RGPD.

3.4 SMS transaccionales

Cuando es necesario, Servus KI envía SMS transaccionales, por ejemplo confirmaciones de cita. La base jurídica es el art. 6.1.b o el art. 6.1.f del RGPD.

3.5 Facturación y pago

Para la ejecución del contrato y el pago se tratan datos del cliente. La base jurídica es el art. 6.1.b del RGPD. Para las obligaciones fiscales y mercantiles se aplica el art. 6.1.c del RGPD.

4. Categorías de datos personales

4.1 Datos telefónicos y metadatos

Se tratan números de teléfono, momentos y duración de las conexiones, datos de señalización, identificadores técnicos, entradas DTMF y registros de errores y accesos.

4.2 Datos de contenido

Según la configuración, el contenido de audio solo se trata si la grabación está activada. Con independencia de ello pueden generarse transcripciones, datos facilitados voluntariamente y resúmenes de las llamadas.

4.3 Categorías especiales del art. 9 del RGPD

No se recogen deliberadamente categorías especiales de datos personales. Si esa información surge por lo dicho en la llamada, se utiliza únicamente para gestionarla. No se elaboran perfiles.

4.4 Datos maestros y comunicación

Para la ejecución del contrato se tratan nombre, correo electrónico y, en su caso, datos de facturación y entrega.

4.5 Integraciones

Servus KI puede conectarse opcionalmente con sistemas del cliente como agendas, CRM o helpdesk.

5. Origen de los datos

5.1 Directamente de quien llama

Los datos proceden de la propia persona que llama, por ejemplo de la conversación, de entradas DTMF o de una respuesta por correo o SMS.

5.2 Del cliente

Los datos pueden ser facilitados por el cliente, por ejemplo huecos de agenda, identificadores de CRM o bases de conocimiento.

5.3 Registros técnicos

Además se generan registros técnicos de conexión y de errores derivados del funcionamiento de la infraestructura.

6. Destinatarios y proveedores

6.1 Alojamiento y computación

Servus KI utiliza alojamiento en la Unión Europea con Hetzner Online GmbH en Alemania.

6.2 Medios en tiempo real y streaming

Servus KI utiliza LiveKit en Alemania y limita el funcionamiento a la Unión Europea mediante anclaje de región.

6.3 Telefonía

Servus KI utiliza Twilio para la conexión telefónica (SIP trunking).

6.4 SMS

Los SMS transaccionales se envían a través de Infobip con enrutado en la UE.

6.5 Reconocimiento y síntesis de voz

Para el reconocimiento de voz se utiliza Deepgram con endpoint en la UE. Para la síntesis de voz puede utilizarse opcionalmente ElevenLabs.

6.6 Modelos de lenguaje

Servus KI utiliza Microsoft Azure OpenAI dentro del EU Data Boundary y con residencia de datos en la UE.

6.7 Pago

Los pagos se gestionan por factura o a través de Stripe.

7. Transferencias a terceros países y opción solo UE

7.1 Funcionamiento solo en la UE

Por defecto Servus KI utiliza regiones de la UE para todos los componentes principales.

7.2 Excepción: ElevenLabs

Si se utiliza opcionalmente ElevenLabs para la síntesis de voz, el tratamiento puede producirse fuera del EEE. Los clientes pueden elegir la opción solo UE desactivando ElevenLabs.

7.3 Instrumentos jurídicos

Cuando en casos concretos son necesarias transferencias a terceros países, se utilizan cláusulas contractuales tipo y, en su caso, el Data Privacy Framework.

8. Conservación y borrado

• Datos de facturación y pago: siete años
• Datos de conexión (CDR, Twilio, registros): doce meses
• Transcripciones y resúmenes de llamadas: noventa días
• Grabaciones de audio en producción: treinta días, solo con la grabación activada
• Grabaciones de demostración: catorce días
• Registros de SMS: noventa días
• Registros de servidor, errores y accesos: ciento ochenta días

9. Seguridad técnica y organizativa

9.1 Medidas técnicas

Servus KI utiliza cifrado en el transporte de extremo a extremo (TLS, SRTP). Los datos en reposo se guardan cifrados. Los accesos son por rol y con autenticación multifactor.

9.2 Medidas organizativas

Servus KI trabaja con un concepto de roles y permisos según el principio de mínimo conocimiento, con procesos definidos de alta, baja y respuesta a incidentes.

9.3 Separación de clientes

Los datos se aíslan lógicamente por cliente mediante bases de datos o esquemas separados.

10. Derechos de las personas interesadas

10.1 Derechos

Las personas interesadas tienen derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y a retirar el consentimiento.

10.2 Ejercicio

Las solicitudes pueden dirigirse a [email protected].

10.3 Plazos

Servus KI atiende las solicitudes, por regla general, en el plazo de un mes.

11. Sitio web y cookies

11.1 Alojamiento

Los contenidos web se alojan dentro de la UE.

11.2 Analítica y seguimiento

Google Analytics con Consent Mode v2 y el píxel de Meta solo se activan tras el consentimiento dado en el banner de cookies.

11.3 Análisis de uso con Microsoft Clarity

Tras el consentimiento a las cookies de analítica se utiliza Microsoft Clarity, un servicio de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda. Sin ese consentimiento Clarity no se carga.

Clarity registra la visita a este sitio para entender cómo se usan las páginas y mejorarlas. Se recogen interacciones como movimientos del ratón, clics y desplazamiento, las páginas vistas, la fuente de referencia, una ubicación aproximada a partir de la dirección IP abreviada y datos de dispositivo, sistema operativo y navegador. Con esos datos se elaboran grabaciones de sesión y mapas de calor.

Las entradas en los campos de formulario se enmascaran por defecto y no se transmiten en claro. El número de teléfono introducido en este sitio para una llamada de vuelta no queda registrado por Clarity; se trata únicamente para esa llamada (véase el apartado 12).

La base jurídica es el consentimiento del art. 6.1.a del RGPD. El consentimiento puede retirarse en cualquier momento en la configuración de cookies; la retirada surte efecto a partir de la siguiente visita y no afecta a la licitud del tratamiento anterior. Microsoft también puede tratar datos en Estados Unidos; Microsoft está certificada conforme al EU-US Data Privacy Framework. Encontrará más información en la política de privacidad de Microsoft en https://privacy.microsoft.com/es-es/privacystatement.

11.4 Formularios de contacto

Los formularios de contacto recogen nombre, correo electrónico, teléfono y mensaje para atender las consultas.

12. Número de pruebas (demostración)

12.1 Finalidad

El número de pruebas sirve para demostrar cómo funciona Servus KI.

12.2 Base jurídica

Al llamar activamente al número de demostración se presupone el consentimiento al tratamiento.

12.3 Borrado

Las grabaciones del número de demostración se borran a los catorce días.

13. Sin decisiones automatizadas individuales ni elaboración de perfiles

Servus KI no adopta decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos. No se elaboran perfiles.

14. Contacto y autoridad de control

14.1 Contacto

[email protected].

14.2 Autoridad de control

Autoridad austriaca de protección de datos, Barichgasse 40–42, 1030 Viena. Sitio web: https://www.dsb.gv.at.