Política de privacidad

Borrador 0.1 · 28 de octubre de 2026

1. En pocas palabras

• De las personas que usan el panel guardamos lo justo para darles acceso y proteger la cuenta: nombre, correo, rol, sesiones y lo que hacen en el Registro.
• Lo que tu empresa pone a trabajar en skyseat (tareas, correos, documentos, llamadas, contactos) es de tu empresa: lo tratamos por su cuenta y según sus instrucciones, con el contrato de encargado del tratamiento.
• Servidores en la Unión Europea (Hetzner, Alemania y Finlandia). Algunos proveedores, como el modelo de IA o la voz, están en Estados Unidos: los tienes todos en la lista de subencargados.
• La web no usa cookies; su analítica tampoco. Solo te pide datos si mandas una solicitud de acceso en Pide acceso anticipado. El panel solo usa la cookie de sesión.
• Puedes descargar tus datos y borrar tu cuenta tú mismo desde el panel, en Cuenta › Datos y privacidad.

2. Quién es el responsable

Responsable	skyseat (sociedad en preparación), con NIF en preparación y domicilio en preparación. Hasta que se constituya la sociedad, el responsable es el promotor del proyecto skyseat.
Contacto de privacidad	formulario de contacto de la web

Esta política cubre dos papeles distintos:

• Responsable: los datos de las personas que usan el panel (cuentas, sesiones, Registro, avisos, facturación), de quien pide acceso desde la web y de quien la visita.
• Encargado: los datos que tu empresa trata con sus empleados IA. Ahí la responsable es tu empresa y skyseat solo los trata por su cuenta (ver el apartado 8 y el contrato de encargado).

3. Qué datos tratamos como responsable

Cuenta	Nombre, correo, contraseña (guardada solo como huella con scrypt, nunca en claro), empresas a las que perteneces y tu rol en cada una.
Sesiones	Fecha de entrada, dirección IP y navegador, para que puedas ver y cerrar tus sesiones y para detectar accesos indebidos.
Registro de actividad	Lo que haces en el panel que cambia algo (aprobar, encargar, cambiar normas o permisos, invitar…), con fecha, hora y origen. Es el registro de auditoría que tu empresa usa para saber quién hizo qué.
Avisos en el móvil	Si activas los avisos, la dirección que da tu navegador para entregarlos (endpoint) y sus claves de cifrado.
Facturación	Cuando empecemos a cobrar: datos fiscales de la empresa, plan y facturas.
Soporte	Lo que nos escribas cuando nos pidas ayuda.
Solicitud de acceso	Si la mandas desde Pide acceso anticipado: tu nombre, tu empresa, tu correo de trabajo, tu teléfono si lo das, el plan que te interesa y cuántos empleados IA quieres. No guardamos tu IP con ella. Se guarda en el servidor de la plataforma (Hetzner, Helsinki) y solo la ve el equipo de skyseat.
Visitas a la web	Analítica anónima propia (Umami, en nuestro servidor de la UE, sin cookies): páginas vistas, país aproximado y web de origen, siempre agregados y sin identificarte. El alojamiento (Vercel) recibe tu IP y los datos técnicos del navegador para servir las páginas y protegerlas de abusos, y los guarda poco tiempo en sus registros.

4. Para qué y con qué base legal

Darte acceso y prestar el servicio contratado por tu empresa	Ejecución del contrato con tu empresa (art. 6.1.b RGPD) y nuestro interés legítimo en que las personas que ella autoriza puedan usarlo (art. 6.1.f).
Seguridad, prevención de abusos y registro de auditoría	Interés legítimo en proteger la plataforma y en que cada empresa sepa quién hizo qué (art. 6.1.f). También lo exige el deber de seguridad (art. 32).
Revisar tu solicitud de acceso, crear tu cuenta y escribirte sobre ella	Medidas precontractuales a petición tuya (art. 6.1.b). No la usamos para publicidad ni la cedemos a nadie.
Avisos en el móvil	Tu consentimiento, que das al activarlos en el navegador y retiras al desactivarlos (art. 6.1.a).
Facturación y obligaciones fiscales	Obligación legal (art. 6.1.c).
Atender tus consultas	Interés legítimo o ejecución del contrato, según el caso.

No vendemos datos, no hacemos publicidad con ellos y no los usamos para entrenar modelos de IA.

5. Cuánto tiempo

• Sesiones: caducan a los 30 días sin uso y se borran.
• Direcciones IP de sesiones y del Registro: se borran a los 6 meses.
• Cuenta: mientras la tengas. Si la borras, se borran tu cuenta, sesiones y avisos, y en el Registro tu nombre pasa a «Persona borrada».
• Registro de actividad: mientras exista la empresa. Si la empresa se da de baja, se borra con todo lo demás a los 30 días.
• Solicitudes de acceso: una vez resuelta, se borra a los 90 días; si nadie la resuelve, a los 180. Si te damos de alta, pasa a ser tu cuenta.
• Copias de seguridad: diarias y cifradas; lo borrado desaparece de ellas al rotar, como mucho a los 63 días (14 diarias y 8 semanales, más 7 días de instantáneas).
• Facturación: los plazos que marca la ley (6 años, art. 30 del Código de Comercio).

6. Quién más los trata

Proveedores que nos ayudan a prestar el servicio (alojamiento, modelo de IA, voz, teléfono, registros técnicos), con contrato de encargado y solo para eso. La lista completa, con país y garantías, está en subencargados. No cedemos datos a terceros salvo obligación legal.

7. Transferencias fuera de la UE

Algunos de esos proveedores están en Estados Unidos. Solo les enviamos datos con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE‑EE. UU. cuando el proveedor está adherido y, si no, las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914). El detalle de cada uno está en la lista de subencargados.

8. Los datos que tu empresa trata con sus empleados IA

Los empleados IA trabajan para tu empresa con las cuentas, permisos y normas que ella les da: leen y escriben correos, rellenan programas, atienden llamadas o crean cuentas en servicios. Para todo eso tu empresa es la responsable y skyseat es su encargado: solo tratamos esos datos para prestarle el servicio, según sus instrucciones y con el contrato de encargado del tratamiento.

Si eres una persona que ha tratado con un empleado IA (por correo, en una web o por teléfono), dirígete a la empresa para la que trabaja. En las llamadas, el empleado IA dice al empezar que es una IA y que la llamada se graba; el resto está en la página de llamadas con un asistente de IA.

9. Decisiones automatizadas

skyseat no toma decisiones con efectos jurídicos sobre ti basadas solo en un tratamiento automatizado (art. 22 RGPD). Las reglas automáticas de la plataforma (topes de gasto, encendido y apagado de ordenadores, reparto de llamadas) afectan al servicio, no a las personas. Lo que haga un empleado IA lo decide y supervisa la empresa para la que trabaja.

10. Tus derechos

Puedes pedir el acceso, la rectificación, la supresión, la limitación, la portabilidad y oponerte al tratamiento de tus datos, y retirar tu consentimiento cuando sea la base.

• Desde el panel, en Cuenta › Datos y privacidad: descargar tus datos (JSON), descargar los de la empresa si la administras (ZIP), darla de baja o borrar tu cuenta.
• Si mandaste una solicitud de acceso, contestando al correo que te enviemos.
• Por escrito a través del formulario de contacto de la web, indicando qué pides. Contestamos en un mes como máximo.
• Si crees que no te hemos atendido bien, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid).

11. Seguridad

Conexiones cifradas (HTTPS), contraseñas con huella scrypt, claves de las cuentas conectadas cifradas (AES‑256‑GCM) con la clave fuera de la base de datos, cada empresa separada de las demás, roles, registro que no se puede modificar y copias diarias. Si una brecha afecta a tus datos, avisamos a la empresa cliente en un máximo de 48 horas desde que la detectamos, para que pueda cumplir sus plazos ante la autoridad y las personas afectadas. El detalle está en el anexo II del contrato de encargado.

12. Menores

skyseat es un servicio para empresas y profesionales. No está dirigido a menores de 18 años.

13. Cambios

Si cambiamos esta política, publicaremos la versión nueva aquí con su fecha y, si el cambio es importante, avisaremos en el panel antes de que se aplique.

Otros textos: Términos del servicio · Contrato de encargado del tratamiento · Subencargados · Aviso legal · Política de cookies · Todos