Política de privacidad de Sincra.cloud

Última actualización: 28 de octubre de 2026

En Sincra.cloud nos comprometemos a proteger la privacidad y los datos personales de nuestros clientes (Tenants) y de sus usuarios finales. Esta Política de Privacidad describe cómo recogemos, usamos, conservamos y compartimos los datos personales conforme al Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley de Privacidad del Consumidor de California (CCPA/CPRA).

1. Responsable del tratamiento

Responsable: Ernesto Alonso Céspedes Cáceres (el Operador)
NIF: Z1362749G
Domicilio: Calle Horno 4 2B, CP 30003, Murcia, España
Correo electrónico: support@sincra.cloud

2. Categorías de datos personales que recogemos

Sincra.cloud recoge y trata distintos datos personales según cómo interactúe usted con la Plataforma:

A. De los Tenants (clientes de Sincra.cloud)

Datos de la cuenta: dirección de correo electrónico, nombre de la empresa y sitio web. La contraseña la gestiona Firebase Authentication, que la guarda como hash (no se puede revertir); Sincra nunca la guarda. Si se registra con Google, también su nombre y su foto de perfil de Google.
Datos de facturación: su plan, el estado de su suscripción y los identificadores que nos da Dodo Payments para ella. Sus datos de pago y de facturación los recoge Dodo Payments, no Sincra. Nota: Sincra no recoge ni guarda datos de tarjetas de débito o crédito.
Datos de configuración: los ajustes que usted elige en el panel, como el correo electrónico para los avisos, su enlace de reservas (por ejemplo, de Cal.com) y el aspecto del widget.

B. De los usuarios finales (visitantes que usan el widget de Sincra en los sitios de los Tenants)

Registro de conversaciones: el historial del chat y los textos escritos. Los datos de cualificación que el visitante decide compartir en la conversación, como qué necesita, sus plazos o su presupuesto.
Datos de contacto: nombre, correo electrónico y números de teléfono que se recogen durante la conversación para registrar los contactos.
Telemetría del sistema: dirección IP, agente de usuario del navegador, identificador de sesión, zona horaria e idioma (se usan para la doble limitación de peticiones y para mostrar las páginas en el idioma y la región del visitante).

3. Finalidades y bases legales del tratamiento

Tratamos sus datos personales con las siguientes bases legales:

| Tratamiento | Finalidad | Base legal (RGPD) | | ------ | ------ | ------ | | Gestión de la cuenta | Prestar el servicio SaaS, dar acceso al panel y gestionar los perfiles de usuario. | Ejecución de un contrato (art. 6.1.b RGPD) | | Correos de puesta en marcha | Unos pocos correos para ayudarle a terminar de configurar su asistente, que puede detener en cualquier momento. | Interés legítimo (art. 6.1.f RGPD) | | Gestión de los cobros | Tramitar las compras y la facturación de las suscripciones a través de nuestro distribuidor, Dodo Payments. | Ejecución de un contrato (art. 6.1.b RGPD) | | Inferencia cognitiva (chat con IA) | Responder a las preguntas de los usuarios finales, hacer búsquedas semánticas (RAG) y cualificar contactos. | Consentimiento / interés legítimo del Tenant (art. 6.1.a y f RGPD) | | Seguridad del sistema | Aplicar la doble limitación de peticiones (IP y huella) y validar los tokens de Cloudflare Turnstile para bloquear bots maliciosos y ataques DDoS. | Interés legítimo (art. 6.1.f RGPD) | | Cumplimiento y registros | Conservar las conversaciones y los registros de funcionamiento para verificar las transacciones y el estado del sistema. | Ejecución de un contrato (art. 6.1.b RGPD) |

4. Subencargados y comunicación de datos

Para prestar el servicio, Sincra.cloud comparte datos personales con los proveedores que figuran a continuación. Cuando tratan datos por nuestra cuenta, actúan como subencargados nuestros conforme al artículo 28 del RGPD:

Google Cloud (Cloud Run, Firebase Hosting): ejecuta la aplicación en la región europe-southwest1 (Madrid). Sus colas de tareas (Cloud Tasks) se ejecutan en us-central1 (Estados Unidos).
Google Cloud (Firestore, Firebase Authentication, Cloud Functions): guarda las cuentas, las fuentes de conocimiento, las conversaciones y los contactos en la región us-central1 (Estados Unidos).
Google Cloud (Vertex AI): genera las respuestas del asistente a través del punto de acceso global de Google, y los embeddings de su contenido en europe-southwest1.
Upstash: aloja el índice de búsqueda de su contenido (Upstash Vector, en la UE y en Estados Unidos) y la capa de limitación de peticiones y caché (Upstash Redis). El contenido de cada cuenta va etiquetado con el identificador de la cuenta y cada búsqueda se filtra por él.
Cloudflare (Turnstile): protege el chat frente a abusos automatizados.
Resend: envía los correos de la cuenta y los correos de aviso de nuevos contactos.
Jina AI (Reader): lee las páginas públicas del sitio web que usted añade como conocimiento. Recibe la dirección de la página, no datos de visitantes.

Dodo Payments (dodopayments.com) no es subencargado nuestro. Es nuestro distribuidor en línea y Merchant of Record: trata los datos de la tarjeta de pago, calcula los impuestos y gestiona la detección de fraude de las transacciones como vendedor de su suscripción. Cuando usted inicia una compra, enviamos a Dodo Payments su dirección de correo electrónico, su país y el identificador de su cuenta, para que pueda calcular los impuestos aplicables y activar su suscripción.

Cal.com solo interviene si usted conecta una cuenta propia de Cal.com, bajo su propio acuerdo con ese proveedor.

Cuando los datos personales se tratan fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado) o en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en las condiciones de tratamiento de datos del proveedor.

5. Medidas de seguridad y aislamiento entre cuentas

Sincra.cloud está diseñado bajo una arquitectura de seguridad Zero-Trust:

Dominios autorizados: en sitios web de terceros, el widget solo se muestra y responde en los dominios que el Tenant autoriza en el panel.
Aislamiento entre cuentas: cada entrada del índice de búsqueda va etiquetada con el identificador del Tenant y cada búsqueda se filtra por él. El acceso a los datos de la cuenta se valida contra ese identificador en cada operación de lectura y escritura.
Validación de entradas: todas las peticiones entrantes se validan a la entrada contra esquemas Zod, y los tokens de Cloudflare Turnstile se recogen y verifican en el tráfico del widget.
Cifrado: los datos se cifran en tránsito mediante TLS y en reposo con el cifrado por defecto de Google Cloud y Firestore.

6. Conservación y supresión de datos

Conservación de datos. Conservamos los datos de su cuenta, sus fuentes de conocimiento, sus conversaciones y sus contactos mientras su cuenta esté activa. Puede borrar contactos y conversaciones concretos desde su panel en cualquier momento. Cuando borra su cuenta, eliminamos sus datos de nuestros sistemas en un plazo máximo de 30 días. Los datos que borre pueden permanecer en nuestras copias de seguridad de la base de datos, que solo se usan para recuperación ante desastres y caducan automáticamente en un plazo máximo de 30 días.

Datos de los visitantes. En las conversaciones y los datos de contacto que los visitantes comparten a través de su widget, usted es el responsable del tratamiento y Sincra los trata por encargo suyo. Si un visitante le pide que borre sus datos, puede borrar su contacto y su conversación desde su panel. Cuando un visitante comparte sus datos de contacto, el contacto guarda también la dirección de la página donde empezó la conversación, sin parámetros de consulta.

Almacenamiento en el navegador. El widget no guarda ningún identificador en el navegador del visitante hasta que este envía un mensaje. Desde entonces conserva un único identificador de conversación en el almacenamiento local del navegador (o, si está bloqueado, en el almacenamiento de sesión, que se borra al cerrar la pestaña), para que la conversación continúe entre páginas y pestañas, y caduca 24 horas después del último mensaje. Aparte, cuando el widget muestra su mensaje de bienvenida junto al botón del chat, guarda en el almacenamiento de sesión una sola marca sin identificador para que ese mensaje aparezca una única vez por sesión de navegación; la marca se borra al cerrar la pestaña. El código del widget de Sincra no instala cookies. Para proteger el chat frente a abusos automatizados, el widget carga Cloudflare Turnstile cuando el visitante abre el chat; Cloudflare puede tratar datos técnicos del navegador para esa comprobación.

Analítica del sitio web. En nuestro propio sitio web, sincra.cloud, usamos Cloudflare Web Analytics para contar visitas y medir la velocidad de las páginas. Según Cloudflare, no usa cookies ni almacenamiento del navegador y no identifica a los visitantes mediante huella digital. Recibe la dirección de la página, la página de procedencia y datos técnicos del navegador y de la conexión. No se ejecuta dentro del widget de chat en los sitios web de nuestros clientes.

Cookies de nuestro sitio web. En sincra.cloud usamos dos cookies, ambas estrictamente necesarias. Una recuerda el idioma de las páginas que visita (NEXT_LOCALE) y se borra al cerrar el navegador. La otra (__session) se crea al iniciar sesión, mantiene abierta su sesión en el panel durante un máximo de 14 días y se elimina al cerrar sesión. No usamos cookies publicitarias ni de seguimiento.

7. Derechos de los usuarios (RGPD / CCPA)

De acuerdo con la normativa de privacidad, usted tiene derecho a acceder a sus datos personales, rectificarlos, limitar su tratamiento, oponerse a él, recibirlos en un formato portable o suprimirlos.

Para ejercer cualquiera de estos derechos, escriba a nuestro equipo de protección de datos: support@sincra.cloud. Si tenemos dudas razonables sobre su identidad, podremos pedirle la información necesaria para confirmarla. Si considera que sus datos se han tratado de forma ilícita, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) o ante su autoridad de control local.

8. Cambios en esta política de privacidad

Podemos actualizar esta Política de Privacidad para adaptarla a cambios legales o técnicos. Publicaremos la nueva versión en esta dirección y actualizaremos la fecha que figura al principio de la página.