Política de privacidad

Cómo mejoramos el producto

1. Telemetría anonimizada. Qué funciones se usan, dónde se producen errores, con qué rapidez responde el Servicio, el tipo de dispositivo y la versión de la aplicación, e identificadores técnicos de solicitud. Nunca incluye audio, vídeo, fragmentos de transcripción, resúmenes, títulos de reuniones, nombres de participantes, direcciones de correo, números de teléfono, nombres de organizaciones ni sus prompts y outputs.
2. Solo cifras agregadas. Recuentos y tiempos que no pueden vincularse a un usuario, workspace o reunión concretos.
3. Nunca entrenamiento de modelos. Sea lo que sea que midamos, nada de ello se usa para entrenar ni ajustar los modelos de IA propios de IronMemo.

Datos que usted proporciona

Datos que recibimos automáticamente

Datos de fuentes de terceros

Podemos recibir datos de socios de seguridad para prevenir el fraude y los abusos, así como de sistemas de pago para procesar transacciones.

Qué procesamientos de IA realiza IronMemo

Más sobre nuestra IA: ironmemo.com/es/our-ai.

Proveedores de IA de terceros

Para el procesamiento recurrimos a proveedores de IA de terceros. La composición de los proveedores depende del idioma de la reunión y del tipo de procesamiento. Con cada uno de ellos rigen modos corporativos (enterprise / API) y condiciones contractuales, que incluyen:

• Prohibición de entrenamiento — el contenido de sus reuniones no se usa para entrenar, ajustar ni mejorar los modelos de proveedores de terceros.
• Retención mínima — Zero Data Retention (ZDR) cuando el proveedor ofrece ese modo; en los demás casos, el plazo de retención limitado propio del proveedor, publicado por proveedor en la página Sub-processors, con prohibición de uso de los datos.
• Transferencia solo vía API — cifrado TLS 1.2 o posterior, sin transferir datos a interfaces de consumo ni canales abiertos.
• Rol de sub-processors — los proveedores procesan los datos estrictamente según nuestras instrucciones.
• Ubicaciones de procesamiento — los datos de los clientes se almacenan en Austria (EEE); el procesamiento de IA se realiza en EE. UU. y, para determinadas operaciones de OpenAI, en Irlanda.

La lista actualizada de sub-processors se publica en la página Sub-processors y en el Annex III del DPA. Al añadir un nuevo sub-processor, notificamos a los titulares de las cuentas y a los administradores enterprise con 30 días de antelación.

Qué no se usa nunca para entrenar modelos de IA

IronMemo no usa el Contenido del Cliente - grabaciones, transcripciones, resúmenes, prompts, salidas, archivos subidos ni metadatos de reuniones - para entrenar, ajustar ni mejorar los propios modelos de IA de IronMemo ni modelos de IA de terceros. Esta restricción se aplica a todos los planes y no exige que el usuario desactive nada. Los proveedores indicados arriba tratan este contenido solo para entregarte tu resultado, en condiciones que prohíben entrenar con él.

Qué ocurre con el feedback que nos envía

Si valora un resultado o escribe a soporte, lo usamos para averiguar qué está fallando. Una valoración no es un canal para el contenido de sus reuniones:

• una valoración por sí sola nos dice que algo salió mal, no qué se dijo — el contenido de la reunión no se adjunta automáticamente;
• si un fragmento de contenido nos ayudara a reproducir el problema, lo pedimos primero y usted lo envía de forma deliberada;
• el feedback nunca se entrega a un proveedor de IA externo para entrenamiento;
• la correspondencia con soporte sigue el plazo de conservación de las solicitudes de soporte de la sección 07.

Cuándo estamos obligados a divulgar datos

Podemos divulgar datos personales:

• por exigencia de la ley, de una orden judicial o de una solicitud de un regulador;
• para proteger los derechos, la propiedad o la seguridad de IronMemo, de nuestros usuarios o de terceros;
• para prevenir el fraude, los abusos o las infracciones de nuestras condiciones;
• en el marco de operaciones corporativas (fusión, adquisición, reorganización), con notificación a los usuarios.

Integraciones que conecta el cliente

Si el cliente conecta Zoom, Google Meet, Teams, Slack, Jira, Salesforce, HubSpot u otros servicios, los datos pueden transferirse a esos servicios según la configuración del administrador del workspace. Dicha transferencia se realiza por instrucción del cliente y se rige por las políticas de privacidad de los servicios correspondientes.

Dónde se almacenan los datos

Plazos de conservación

En Enterprise se pueden fijar periodos distintos para el audio y el vídeo y para los materiales de texto; la configuración la aplica un administrador o propietario y afecta a todo el workspace. Cuando vence el periodo fijado aquí, el trabajo de eliminación automática retira los datos de los sistemas activos en un plazo de 48 horas. La eliminación solicitada por el usuario sigue los plazos de «Cómo solicitar la eliminación» más abajo. La eliminación definitiva sigue siempre el mismo orden: los datos desaparecen de la interfaz de inmediato, salen de los sistemas activos principales en 30 días, los retira el trabajo automático en 48 horas una vez vencido el periodo configurado, expiran de las copias de seguridad al final del ciclo de 30 días y se eliminan en cada sub-procesador dentro del plazo publicado para ese proveedor en nuestra página Sub-processors. La única excepción es un legal hold documentado o una obligación de conservación impuesta por ley.

Qué ocurre al cancelar la suscripción

1. El acceso al workspace pasa al modo «solo lectura y exportación» durante 30 días.
2. El administrador puede exportar todos los datos (transcripciones, resúmenes, tareas) en JSON/CSV.
3. Pasados 30 días, los datos del workspace se eliminan, salvo que la ley exija conservarlos.

Cómo solicitar la eliminación

Confirmamos la recepción de la solicitud en un plazo de 3 días hábiles y realizamos la eliminación en un plazo de 30 días, salvo que la ley exija otra cosa. Podemos solicitar una verificación de identidad antes de la eliminación.

Notificación de violaciones de seguridad

En caso de una violación de seguridad confirmada que afecte a datos personales:

• notificamos a los clientes afectados por email en un plazo de 72 horas desde su detección (de conformidad con el Art. 33 del GDPR);
• notificamos a la autoridad de control correspondiente en los plazos establecidos por la ley;
• proporcionamos una descripción del incidente, de los datos afectados, de las medidas adoptadas y de las recomendaciones.

Plazos de respuesta

GDPR: sin demora indebida, en el plazo de un mes. Puede ampliarse dos meses si la solicitud es compleja, con notificación.

CCPA / CPRA: en un plazo de 45 días naturales. Puede ampliarse 45 días adicionales, con notificación.

Verificación

Para proteger sus datos, podemos solicitar una verificación de identidad antes de atender la solicitud. Si no podemos verificar su identidad, no podremos atender la solicitud.

Representantes autorizados

Puede presentar una solicitud a través de un representante autorizado. El representante debe presentar una autorización por escrito, y además podemos solicitar la verificación de su identidad. Envíe las solicitudes de representantes a dsar@ironmemo.com.

Apelación

Si no está de acuerdo con nuestra decisión sobre su solicitud, envíe una apelación a dsar@ironmemo.com. Si el GDPR le es aplicable, también puede dirigirse a la autoridad de control de protección de datos de su país de residencia.

Cómo gestionar las cookies

• Banner de cookies en la primera visita al sitio: elija qué categorías de cookies permitir.
• Configuración del navegador — limitar o bloquear las cookies. Algunas funciones pueden no funcionar correctamente sin las cookies estrictamente necesarias.

Responsabilidad del consentimiento

El administrador del workspace y la organización cliente son responsables de obtener el consentimiento de los participantes de la reunión de conformidad con las leyes aplicables, las políticas internas y las obligaciones contractuales. Esto incluye notificar a los participantes sobre la grabación, la transcripción, el procesamiento con IA y el almacenamiento.

Aviso de grabación

De forma predeterminada, IronMemo activa un aviso visual de grabación (nombre del bot, banner en la interfaz de la plataforma de la reunión) cuando la plataforma lo admite. El administrador puede configurar los avisos en la configuración del workspace.

Jurisdicciones con requisitos reforzados

En varias jurisdicciones (California, Alemania, Austria, varios estados de EE. UU. y otras), la grabación de una llamada requiere el consentimiento de todos los participantes. El cliente debe tener en cuenta los requisitos legales de los países, regiones y sectores donde se encuentren los participantes de la reunión.

Cambios que exigirían su consentimiento, no solo un aviso

Un aviso no bastaría si alguna vez decidiéramos:

• usar el contenido de las reuniones para entrenar modelos de IA, cosa que hoy no hacemos;
• usar sus datos con fines publicitarios;
• entregar sus datos a un nuevo responsable independiente;
• usar huellas de voz o identificación biométrica;
• cambiar los fines del tratamiento por otros incompatibles con aquel para el que se recogieron los datos.

Cada uno de esos supuestos exigiría un consentimiento aparte. Hoy no existe ninguno de ellos, ni está previsto.

Mecanismos de transferencia (EEA/UK → US)

• Standard Contractual Clauses (SCC) — suscritas con cada sub-processor que procesa datos de residentes de la UE/Reino Unido.
• Data Processing Addendum (DPA) — disponible para los clientes enterprise bajo solicitud en dpa@ironmemo.com.

Quién responde dentro de la empresa

La privacidad es responsabilidad de una función interna de Privacy Officer dentro de Legal y Compliance. Publicamos la función, no el nombre de una persona. Le corresponden las solicitudes de derechos del interesado, las reclamaciones de privacidad, las revisiones de privacidad de los sub-processors, el registro de actividades de tratamiento, la actualización de esta Política, la coordinación con Security y las evaluaciones de transferencias internacionales. IronMemo no ha designado un Delegado de Protección de Datos conforme al artículo 37 del RGPD ni un representante en la UE conforme al artículo 27; cada designación requeriría una evaluación documentada antes de cualquier lanzamiento comercial en el Espacio Económico Europeo. Escribir a la función: privacy@ironmemo.com.

Derecho a dirigirse a una autoridad de control

Si el GDPR le es aplicable, puede dirigirse a la autoridad de control de protección de datos (Data Protection Authority) de su país de residencia, de trabajo o del lugar de la presunta infracción.