Política de Privacidad

1. Responsable del tratamiento

Identidad: Expasi S.L. (CIF B-12345678), Calle de la Innovación 12, 28045 Madrid, España. Email del Delegado de Protección de Datos (DPO): dpo@expasi.com. Teléfono: +34 911 234 567.

2. ¿Qué datos personales tratamos?

• Datos identificativos: nombre, apellidos, email, teléfono, cargo, empresa
• Datos de uso: dirección IP, navegador, dispositivo, páginas visitadas, marcas temporales
• Datos del Servicio: escenarios de roleplay, grabaciones de voz (opcional), feedback, métricas de progreso
• Datos de facturación: dirección fiscal, NIF/CIF, datos de pago (gestionados por Stripe)
• Datos de comunicaciones: emails de soporte, respuestas a encuestas NPS

3. ¿Con qué finalidad tratamos tus datos?

• Gestión de cuenta y prestación del Servicio. Base legal: ejecución del contrato (art. 6.1.b RGPD).
• Facturación y gestión de cobros. Base legal: ejecución del contrato y obligación legal fiscal.
• Atención al cliente y soporte. Base legal: ejecución del contrato.
• Comunicaciones comerciales y marketing. Base legal: consentimiento (art. 6.1.a RGPD), revocable en cualquier momento.
• Mejora del Servicio y análisis agregados de uso. Base legal: interés legítimo (art. 6.1.f RGPD), con análisis agregado y anonimizado.
• Entrenamiento y mejora de los modelos de IA. Base legal: consentimiento específico y separado. Puedes retirarlo en cualquier momento.
• Cumplimiento de obligaciones legales. Base legal: cumplimiento de una obligación legal (art. 6.1.c RGPD).

4. ¿Durante cuánto tiempo conservamos tus datos?

• Datos de cuenta: mientras mantengas tu cuenta activa y, tras la cancelación, 30 días para posibles restauraciones.
• Datos de facturación: 4 años conforme a la normativa fiscal española (Ley 58/2003 General Tributaria).
• Logs de uso: 12 meses.
• Grabaciones de voz (si las activas): 90 días, salvo que decidas conservarlas más tiempo.
• Datos de marketing: hasta que retires tu consentimiento.

5. ¿A quién comunicamos tus datos?

Proveedores con DPA firmado conforme al RGPD (art. 28):

• Amazon Web Services (AWS) — Hosting y base de datos. Servidores en EU (eu-west-1, Frankfurt).
• Stripe Payments Europe Ltd. — Procesamiento de pagos. Certificación PCI DSS Level 1.
• Postmark (ActiveCampaign) — Emails transaccionales.
• Plausible Analytics — Analítica web que NO utiliza cookies y cumple con el RGPD sin consentimiento.

No vendemos ni alquilamos tus datos personales a terceros con fines comerciales.

6. Transferencias internacionales

Algunos proveedores de IA (OpenAI, Anthropic) pueden procesar datos fuera del EEE. En estos casos:

• Utilizamos las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914)
• Realizamos evaluaciones de impacto de transferencias (TIA)
• Aplicamos garantías suplementarias (cifrado E2E, minimización de datos)

Conforme a la decisión "Schrems II" (C-311/18) del TJUE, hemos implementado estas medidas para todas las transferencias a EE.UU.

7. ¿Cuáles son tus derechos?

Tienes los siguientes derechos conforme al RGPD:

• Acceso (art. 15): obtener confirmación de si tratamos tus datos y acceder a ellos
• Rectificación (art. 16): corregir datos inexactos o incompletos
• Supresión / "Derecho al olvido" (art. 17): solicitar la eliminación de tus datos
• Limitación (art. 18): solicitar que limitemos el tratamiento en determinadas circunstancias
• Portabilidad (art. 20): recibir tus datos en formato estructurado y de uso común
• Oposición (art. 21): oponerte al tratamiento basado en interés legítimo o con fines de marketing directo
• Revocación del consentimiento (art. 7.3): en cualquier momento, sin efectos retroactivos
• Reclamación ante la autoridad de control (art. 77)

Para ejercer estos derechos, escribe a dpo@expasi.com adjuntando copia de tu documento de identidad. Responderemos en el plazo máximo de 30 días.

8. Autoridad de control

Si consideras que hemos vulnerado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid (www.aepd.es).

9. Decisiones automatizadas

Expasi NO toma decisiones automatizadas con efectos jurídicos sobre personas físicas en el sentido del artículo 22 del RGPD. Los clientes sintéticos con los que practicas son simulaciones generadas por IA, no personas reales, y el feedback de la plataforma es orientativo. Las decisiones comerciales reales siempre las toma una persona.

10. Seguridad de los datos

Implementamos medidas técnicas y organizativas conforme al art. 32 RGPD:

• Cifrado TLS 1.3 en tránsito y AES-256 en reposo
• Autenticación de dos factores (2FA) para cuentas de administrador
• Auditorías de seguridad periódicas (al menos anuales)
• Plan de respuesta ante incidentes con notificación a la AEPD en 72 horas
• Backups cifrados con retención de 30 días
• Segregación de datos por cliente (multi-tenant aislado)

11. Cambios en esta política

Notificaremos cualquier cambio sustancial por email con al menos 30 días de antelación. La fecha de la última actualización aparece al inicio de este documento.