Borrador pendiente de revisión por un abogado. Este texto todavía no es definitivo. Los huecos marcados como [PENDIENTE] faltan por completar.
Política de privacidad
Última actualización: 5 de noviembre de 2026
Esta política explica qué datos personales trata Phine sobre las personas que usan el servicio (los usuarios de las empresas clientes), para qué y qué derechos tienen. Sigue el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD).
1. Quién es el responsable
| Responsable | Óscar Gesteiro (nombre comercial «phine») |
|---|---|
| NIF | [PENDIENTE: NIF] |
| Dirección | Teixugueiras 40, 36212 Vigo (Pontevedra), España |
| Contacto para privacidad | oscargesteiro@gmail.com |
2. Dos papeles distintos: responsable y encargado
- Datos de los usuarios de Phine (las personas que crean y usan una cuenta): Phine es el responsable. Es lo que explica esta política.
- Datos de los contactos comerciales (leads) de cada cliente: el cliente es el responsable y Phine actúa como encargado del tratamiento, siguiendo sus instrucciones. Esa relación se regula en el contrato de encargado de tratamiento. Si eres un contacto de un cliente de Phine y quieres ejercer tus derechos, dirígete a la empresa que te escribió; si nos escribes a nosotros, le pasaremos tu petición.
3. Qué datos tratamos
- Datos de la cuenta: email, nombre de la empresa y contraseña (se guarda solo como huella cifrada con scrypt; nadie puede leerla).
- Datos de la empresa para el alta: web, dirección, persona que atiende las citas y su email, enlace a su política de privacidad, dominio de envío, datos de conexión de su buzón de correo y la fecha en que aceptó las condiciones de envío.
- Claves de conexión a las herramientas del cliente (Cal.com, contraseña de aplicación de su buzón, HubSpot): se guardan cifradas (AES-256-GCM) y nunca se muestran.
- Datos de uso y seguridad: sesión iniciada, fechas de las comprobaciones, dirección IP en los intentos de acceso (para frenar ataques) y registros técnicos del servidor.
- Datos de facturación: razón social, NIF, dirección y plan contratado.
- Voz del CEO, solo si tu empresa la activa: tu número de teléfono (cifrado), tu PIN (solo como huella), la fecha y duración de las llamadas y la transcripción de lo hablado con el CEO. No se graba el audio. Las llamadas las atiende una inteligencia artificial, y se dice al empezar.
No pedimos datos sensibles (salud, ideología, etc.) y no los necesitamos.
4. Para qué los usamos y con qué base legal
| Finalidad | Base legal (art. 6 RGPD) |
|---|---|
| Crear la cuenta y prestar el servicio contratado | Ejecución del contrato (6.1.b) |
| Facturar y cumplir obligaciones fiscales y contables | Obligación legal (6.1.c) |
| Proteger el servicio: límite de intentos, registros de seguridad | Interés legítimo en la seguridad (6.1.f) |
| Avisos sobre el servicio (cambios, incidencias, facturas) | Ejecución del contrato (6.1.b) |
| Hablar y llamar por teléfono al CEO, y que te llame si lo activas | Ejecución del contrato (6.1.b); las llamadas del CEO son opcionales y las apagas en «Mi cuenta» [PENDIENTE: confirmar la base con el abogado] |
| Novedades comerciales de Phine | Consentimiento (6.1.a), que puedes retirar cuando quieras |
No tomamos decisiones automatizadas con efectos jurídicos sobre los usuarios ni elaboramos perfiles de ellos.
5. Cuánto tiempo los guardamos
- Datos de la cuenta y de conexión: mientras la cuenta esté activa. Puedes borrar tu cuenta y todos sus datos al momento desde «Mi cuenta»; si nos pides la baja, se borran en un máximo de 30 días, salvo lo que la ley obligue a conservar.
- Datos de facturación: el plazo legal (6 años por el Código de Comercio y 4 años por la normativa tributaria).
- Registros de seguridad: hasta 12 meses.
- Sesiones: caducan tras 7 días sin uso (30 como máximo) o al salir.
- Diario de actividad de los agentes: 180 días.
- Datos de cada llamada (fecha y duración): 180 días. Teléfono y PIN: hasta que los borres en «Mi cuenta». Transcripciones: forman parte de la conversación con el CEO, y se borran con la cuenta. [PENDIENTE: fijar un plazo]
6. Con quién los compartimos
No vendemos datos. Para prestar el servicio usamos estos proveedores, que tratan los datos por cuenta de Phine con contrato de encargado:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Railway | Servidor y base de datos | Región UE (Ámsterdam); empresa de EE. UU. |
| Anthropic | Inteligencia artificial que mueve a los agentes | EE. UU. |
| Exa | Búsqueda de empresas en la web | EE. UU. |
| Firecrawl | Lectura de webs públicas de empresas | EE. UU. |
| Twilio | Llamadas de teléfono con el CEO: conecta la llamada y convierte voz en texto y texto en voz, directamente o con sus proveedores [PENDIENTE: confirmar cuáles]. Solo si tu empresa activa la voz | EE. UU. |
Si hablas con el CEO desde la web, el reconocimiento de voz y la voz sintética los hace tu navegador, no Phine. Tu navegador puede enviar el audio a su proveedor (por ejemplo Google, Apple o Microsoft) según sus propias condiciones. Phine solo recibe el texto reconocido.
Cuando el cliente conecta sus propias cuentas (Cal.com, HubSpot, su dominio y su buzón de correo), Phine envía a esas herramientas los datos necesarios en nombre del cliente. Esas cuentas las contrata el propio cliente.
También podemos comunicar datos a autoridades cuando la ley lo exija.
7. Transferencias fuera de la UE
Algunos proveedores son de Estados Unidos. Las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido o, si no, en las cláusulas contractuales tipo de la Comisión Europea. [PENDIENTE: verificar la garantía concreta de cada proveedor]
8. Cómo protegemos los datos
- Conexión cifrada (HTTPS) y cookies de sesión protegidas.
- Contraseñas guardadas como huella scrypt; claves de conexión cifradas con AES-256-GCM.
- Cada empresa solo ve sus propios datos.
- Límite de intentos de acceso y copias de seguridad del servidor.
9. Cookies
Solo usamos una cookie técnica, phine_sesion (__Host-phine_sesion en la web
publicada), que mantiene tu sesión abierta: caduca tras 7 días sin uso y como máximo a los 30 días. Es imprescindible para que el servicio funcione, por lo que no necesita consentimiento (art. 22.2 LSSI).
No usamos cookies de publicidad, de analítica ni de terceros.
10. Tus derechos
Puedes pedir en cualquier momento acceso a tus datos, rectificarlos, suprimirlos, oponerte a su tratamiento, limitarlo o recibirlos en un formato para llevarlos a otro servicio (portabilidad). Si diste tu consentimiento, puedes retirarlo.
Escribe a oscargesteiro@gmail.com indicando qué derecho quieres ejercer. Respondemos en un plazo máximo de un mes. Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
11. Cambios en esta política
Si cambiamos algo importante, lo avisaremos por email o dentro del servicio antes de que entre en vigor.