Política de Privacitat

Aquesta Política de Privacitat descriu com Hablari (d'ara endavant, «Hablari», «nosaltres» o «el Responsable») recull, usa, conserva i protegeix les dades personals de qui visita el nostre lloc web, es registra a la plataforma o hi interactua, així com dels usuaris finals les dades dels quals es tracten per compte dels nostres clients empresarials.

Aquest document és conforme amb el Reglament (UE) 2016/679 del Parlament Europeu i del Consell (RGPD), la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD), la Llei 34/2002, d'11 de juliol, de serveis de la societat de la informació i de comerç electrònic (LSSI-CE) i el Reglament (UE) 2024/1689 sobre Intel·ligència Artificial (EU AI Act), en vigor des d'agost de 2026.

1. Identitat del Responsable del tractament

• Denominació: Hablari.
• Correu electrònic de contacte: contacto@hablari.com.
• Lloc web: www.hablari.com.

Hablari no està obligat per llei a designar un Delegat de Protecció de Dades (DPD), tot i que qualsevol consulta en matèria de privacitat es pot adreçar al correu indicat.

2. Dos rols diferents: Responsable i Encarregat del tractament

Hablari és un servei B2B (negoci a negoci). Això determina que tractem dades personals en dues qualitats jurídiques diferenciades que cal distingir:

2.1. Com a Responsable del tractament

Hablari actua com a Responsable respecte a les dades de les persones que creen un compte a la plataforma, dels membres del seu equip (agents) i de qualsevol persona que interactuï amb el nostre lloc web o amb nosaltres directament. En aquesta qualitat decidim les finalitats i els mitjans del tractament.

2.2. Com a Encarregat del tractament

Hablari actua com a Encarregat del tractament (d'acord amb l'article 28 del RGPD) respecte a les dades personals dels clients finals, contactes i altres persones que l'empresa client gestiona dins de la plataforma: converses, telèfons, correus electrònics, historial de comandes, notes, adjunts, etc. El Responsable d'aquestes dades és l'empresa client que utilitza Hablari; nosaltres les tractem exclusivament per prestar el servei pactat i d'acord amb les instruccions d'aquesta empresa. Les condicions de l'encàrrec estan íntegrament recollides a l' Acord d'Encàrrec del Tractament (DPA) integrat als Termes i Condicions.

Si ets un usuari final (client d'una empresa que utilitza Hablari) i vols exercir els teus drets sobre les dades que aquesta empresa guarda sobre tu, adreça-t'hi directament: és la Responsable i qui ha d'atendre la teva sol·licitud.

3. Dades tractades com a Responsable: categories, finalitats i bases jurídiques

3.1. Dades de registre i compte

Dades: nom, cognoms, adreça de correu electrònic, contrasenya (emmagatzemada amb hash; Hablari mai té accés a la contrasenya en text pla), número de telèfon (opcional), foto de perfil o avatar seleccionat, rol dins de l'organització (owner, manager, agent), preferències d'interfície (tema visual) i zona horària.

Finalitat: crear i gestionar el compte, autenticar l'usuari, permetre la col·laboració dins de la mateixa organització i identificar el responsable de cada acció a la plataforma.

Base jurídica: execució del contracte de subscripció (art. 6.1.b RGPD). En el cas del telèfon, quan s'aporta voluntàriament, el consentiment de l'interessat (art. 6.1.a RGPD).

3.2. Dades de l'organització (empresa client)

Dades: nom de l'empresa, descripció, logotip, identificador únic d'organització (slug), pla contractat i configuracions del compte (horari comercial, SLA, respostes automàtiques).

Finalitat: proveir el servei multiempresa, personalitzar la interfície, prestar suport i gestionar la relació contractual.

Base jurídica: execució del contracte (art. 6.1.b RGPD).

3.3. Dades de facturació i subscripció

Dades: pla contractat (Starter, Pro o Max), estat de la subscripció, import, dates de facturació, identificadors de subscripció i client de Stripe, historial de factures. Hablari no emmagatzema el número complet de targeta de crèdit ni les dades de seguretat (CVV): el cobrament el processa directament Stripe, que disposa de certificació PCI DSS.

Finalitat: gestionar la subscripció, emetre factures, complir amb obligacions fiscals i comptables, detectar i prevenir el frau en pagaments.

Base jurídica: execució del contracte (art. 6.1.b RGPD) i compliment d'obligacions legals en matèria tributària i mercantil (art. 6.1.c RGPD).

3.4. Dades d'ús i tècniques

Dades: adreça IP, tipus i versió de navegador, sistema operatiu, pàgines visitades i accions realitzades dins de l'aplicació, registres d'accés (logs), errors del sistema i temps de resposta.

Finalitat: garantir la seguretat i integritat de la plataforma, detectar i prevenir accessos no autoritzats, depurar errors tècnics, i millorar el rendiment del servei.

Base jurídica: interès legítim de Hablari a mantenir la seguretat i la qualitat del servei (art. 6.1.f RGPD), ponderat amb els drets dels interessats i proporcional a les finalitats perseguides.

3.5. Dades del procés d'alta i enquesta d'incorporació

Dades: durant el procés de registre i configuració inicial de l'empresa (onboarding), recollim de forma voluntària informació sobre l'origen del coneixement de Hablari (p. ex., boca-orella, xarxes socials, cerca a Internet), els canals d'atenció utilitzats actualment, el volum aproximat de converses, l'estat de la botiga en línia i la mida de l'equip. També recollim, si existeixen, paràmetres UTM presents a l'URL d'accés (font, mitjà, campanya), l'URL de procedència (referrer) i el tipus de dispositiu emprat per al registre.

Finalitat: millorar el producte i el procés d'incorporació, analitzar l'eficàcia de les nostres accions de màrqueting i adaptar el servei a les necessitats dels clients. Les dades s'analitzen de forma agregada.

Base jurídica: interès legítim de Hablari en la millora del servei (art. 6.1.f RGPD), atès que la informació és voluntària i no afecta el funcionament del compte.

3.6. Comunicacions amb el suport

Dades: nom, adreça de correu electrònic i contingut del missatge quan ens contactes per qualsevol via.

Finalitat: atendre la teva consulta o incidència.

Base jurídica: interès legítim d'ambdues parts a resoldre la comunicació (art. 6.1.f RGPD) o, quan la consulta deriva de la relació contractual, execució del contracte (art. 6.1.b RGPD).

4. Dades tractades com a Encarregat del tractament

Quan una empresa client utilitza Hablari, introdueix o rep a través de la plataforma dades dels seus propis clients i contactes. Hablari tracta aquestes dades exclusivament per compte d'aquesta empresa (Responsable) i d'acord amb les seves instruccions. Entre aquestes dades hi pot haver:

• Identitat i dades de contacte de clients finals: nom, cognoms, adreça de correu electrònic, número de telèfon, nom d'usuari a xarxes socials, adreça postal.
• Converses i missatges: el contingut íntegre dels intercanvis per WhatsApp, Instagram Direct, correu electrònic i xat web, incloent-hi el text, imatges, documents, àudios i qualsevol altre fitxer adjunt.
• Notes internes: anotacions privades de l'equip sobre un client o conversa, no visibles per al client final.
• Historial de comandes de Shopify: comandes, productes, imports, estats i dates, quan l'empresa client connecta la seva botiga Shopify.
• Dades d'etiquetatge i classificació: etiquetes, estats VIP, assignacions a agents i botigues, prioritats.
• Missatges de visitants del chatbot web: text enviat al widget de xat incrustat a la web del client (pla Max), associat a una sessió web anònima o identificada.

Hablari no accedeix a aquestes dades excepte per prestar el servei, assistir tècnicament o complir obligacions legals. El personal de l'staff de Hablari que pogués accedir a les dades amb propòsits de suport o moderació ho fa sota estricta confidencialitat i només de forma justificada.

5. Intel·ligència Artificial: el Chatbot IA (pla Max)

El pla Max inclou un chatbot amb intel·ligència artificial que les empreses clients poden incrustar a les seves pròpies pàgines web. A continuació descrivim el tractament de dades associat a aquesta funcionalitat:

5.1. Com funciona i quines dades s'envien a OpenAI

Quan un visitant interactua amb el chatbot d'un client de Hablari, el missatge del visitant i la descripció pública de l'empresa client s'envien a l'API de OpenAI (model GPT-4o-mini) per generar una resposta. No s'envia cap dada d'identificació personal del visitant més enllà del text que ell mateix escriu al xat, ni dades de facturació, ni credencials de cap tipus.

5.2. Tractament per OpenAI

Hablari utilitza l'API d'OpenAI en mode no-entrenament: segons els termes d'ús de l'API d'OpenAI vigents, les dades enviades via API no s'utilitzen per entrenar els models d'OpenAI. OpenAI actua com a subencarregat del tractament en relació amb les dades d'usuaris finals dels clients de Hablari.

5.3. Compliment de l'EU AI Act

En compliment de l' Reglament (UE) 2024/1689 sobre Intel·ligència Artificial (EU AI Act), aplicable des d'agost de 2026, el chatbot s'identifica davant del visitant com un sistema d'intel·ligència artificial des del primer missatge de benvinguda, amb una formulació equivalent a: «Sóc l'assistent IA de [empresa].» Aquesta identificació és automàtica, permanent i no pot ser desactivada per l'empresa client. La classificació d'aquest sistema d'IA és de risc limitat (assistent conversacional) d'acord amb l'article 50 de l'EU AI Act, que exigeix precisament la transparència davant l'usuari.

5.4. Responsabilitat del client sobre el chatbot

L'empresa client que activa el chatbot és responsable del contingut que configura com a instrucció de sistema, del context d'ús i d'assegurar-se que el seu desplegament compleix amb la normativa aplicable al seu sector. Hablari proporciona la infraestructura tècnica; l'ús conforme a dret és responsabilitat del client.

5.5. Rate limiting i protecció d'abusos

L'endpoint del chatbot aplica un límit de 10 peticions per minut per adreça IP per protegir el servei davant d'abusos automatitzats. L'adreça IP del visitant es tracta amb finalitat exclusiva de seguretat i no s'emmagatzema de forma persistent vinculada al contingut del xat.

6. Encarregats i subencarregats del tractament

Per prestar el servei, Hablari es recolza en els proveïdors següents, que actuen com a encarregats o subencarregats del tractament sota contracte i amb garanties adequades:

• Supabase, Inc. — Base de dades PostgreSQL, autenticació, emmagatzematge de fitxers (adjunts, logotips) i comunicacions en temps real. Les dades s'allotgen a la regió EU-Central (Frankfurt, Alemanya), dins de l'Espai Econòmic Europeu. Supabase disposa d'Acord d'Encàrrec del Tractament (DPA). Més informació: supabase.com/privacy.
• Vercel, Inc. — Allotjament de l'aplicació web (plataforma serverless). Els servidors es poden trobar dins o fora de l'EEE segons la configuració d'edge. Vercel disposa de DPA i garanties de transferència mitjançant Clàusules Contractuals Tipus (CCT). Més informació: vercel.com/legal/privacy-policy.
• Stripe, Inc. — Processament de pagaments i gestió de subscripcions. Stripe està certificat PCI DSS i disposa de DPA. Les dades de pagament (número de targeta, CVV) són tractades directament per Stripe; Hablari només emmagatzema identificadors de subscripció i client. Més informació: stripe.com/es/privacy.
• OpenAI, LLC — Motor d'intel·ligència artificial del chatbot (pla Max). Actua com a subencarregat respecte als missatges de visitants enviats al chatbot. Els servidors d'OpenAI es troben principalment als Estats Units. Les transferències s'emparen en Clàusules Contractuals Tipus. Les dades de l'API no s'utilitzen per entrenar models. Més informació: openai.com/policies/privacy-policy.
• Meta Platforms, Inc. (WhatsApp Business API / Instagram Graph API) — Canals de missatgeria opcionals que l'empresa client pot connectar. Meta actua com a proveïdor del canal de comunicació; Hablari rep els missatges entrants mitjançant webhooks verificats amb signatura HMAC i envia missatges sortints a través de l'API de Meta. El tractament de dades per part de Meta a les seves pròpies plataformes es regeix per les seves pròpies polítiques de privacitat.
• Shopify International Limited — Plataforma de comerç electrònic. Quan l'empresa client connecta la seva botiga Shopify, Hablari accedeix a dades de comandes i clients mitjançant l'API de Shopify Admin. El tractament per part de Shopify es regeix per les seves pròpies polítiques.
• Resend, Inc. — Servei d'enviament i recepció de correu electrònic. Hablari utilitza un compte únic de Resend per gestionar el canal d'email de tots els seus clients: cada empresa client aporta el seu propi domini, que es verifica dins del compte de Resend de Hablari. Els correus entrants es reben via webhook amb verificació de signatura. Resend disposa de DPA.
• Klaviyo, Inc. — Plataforma d'email marketing. Connector opcional que l'empresa client pot activar per sincronitzar contactes o automatitzacions. Klaviyo actua com a encarregat del tractament respecte a les dades que l'empresa client li faciliti. Més informació: klaviyo.com/legal/privacy-notice.

7. Transferències internacionals de dades

La base de dades principal (Supabase) es troba a la Unió Europea. No obstant això, alguns proveïdors indicats a la secció anterior —en particular Vercel (EUA), Stripe (EUA), OpenAI (EUA), Resend (EUA) i Klaviyo (EUA)— poden tractar dades fora de l'Espai Econòmic Europeu.

Aquestes transferències s'emparen en un o diversos dels mecanismes següents:

• Clàusules Contractuals Tipus (CCT) aprovades per la Comissió Europea (Decisió d'Execució 2021/914), que obliguen el proveïdor a oferir un nivell de protecció equivalent al del RGPD.
• Decisió d'adequació de la Comissió Europea, quan n'existeixi una per al país de destinació.

Pots sol·licitar una còpia de les garanties aplicables a cada transferència escrivint a contacto@hablari.com.

8. Terminis de conservació

• Dades de compte i organització: durant la vigència del contracte de subscripció i, després de la seva extinció, un màxim de 3 anys per atendre reclamacions legals, llevat que l'interessat exerceixi abans el seu dret de supressió.
• Dades de facturació: durant 7 anys des de la data de cada transacció, en compliment de les obligacions fiscals i comptables establertes a la Llei General Tributària i al Codi de Comerç.
• Registres tècnics i de seguretat: màxim 12 mesos des de la seva generació, llevat que siguin necessaris per investigar un incident de seguretat, cas en què es conservaran fins a la seva resolució.
• Dades tractades com a encarregat (dades de clients finals): durant la vigència del contracte amb l'empresa clienta. Després de la cancel·lació del compte, les dades es conserven en un estat inaccessible durant un període màxim de 90 dies per permetre la recuperació davant cancel·lacions accidentals o sol·licituds d'exportació. Transcorregut aquest termini, s'eliminen de forma permanent llevat d'instrucció contrària del Responsable. Si l'empresa clienta sol·licita la supressió immediata, Hablari l'executarà sense dilació injustificada.
• Missatges de visitants del chatbot: es conserven durant la vigència del compte del client. En la mateixa operació de purga que la resta de dades de l'empresa.
• Comunicacions amb suport: 2 anys des de la resolució del cas.

9. Drets dels interessats

D'acord amb el RGPD i la LOPDGDD, tens dret a:

• Accés (art. 15 RGPD): obtenir confirmació de si tractem les teves dades personals i, en cas afirmatiu, rebre'n una còpia.
• Rectificació (art. 16 RGPD): sol·licitar la correcció de dades inexactes o incompletes. Moltes dades les pots corregir directament des d'Ajustos → Perfil a la mateixa plataforma.
• Supressió o «dret a l'oblit» (art. 17 RGPD): sol·licitar l'eliminació de les teves dades quan, entre altres motius, ja no siguin necessàries per a les finalitats per a les quals van ser recollides.
• Limitació del tractament (art. 18 RGPD): sol·licitar que es restringeixi el tractament de les teves dades en determinades circumstàncies, per exemple mentre es verifica una sol·licitud de rectificació.
• Portabilitat (art. 20 RGPD): rebre les teves dades en un format estructurat, d'ús comú i lectura mecànica, i transmetre-les a un altre responsable quan el tractament es basi en el consentiment o en l'execució d'un contracte i es dugui a terme per mitjans automatitzats.
• Oposició (art. 21 RGPD): oposar-te al tractament de les teves dades quan es basi en l'interès legítim, llevat que acreditem motius imperiosos que prevalguin sobre els teus interessos.
• Retirada del consentiment: quan el tractament es basi en el teu consentiment, el pots retirar en qualsevol moment sense que això afecti la licitud del tractament anterior.
• No ser objecte de decisions automatitzades (art. 22 RGPD): no ser sotmès a una decisió basada únicament en el tractament automatitzat que produeixi efectes jurídics significatius.

9.1. Com exercir els teus drets

Per exercir qualsevol d'aquests drets, envia un correu a contacto@hablari.com indicant: (i) el dret que vols exercir, (ii) el teu nom i cognoms, (iii) la teva adreça de correu electrònic associada al compte, i (iv) una còpia d'un document que acrediti la teva identitat. Atendrem la teva sol·licitud en el termini màxim d'un mes (prorrogable dos mesos addicionals en casos d'especial complexitat).

Si les dades sobre les quals sol·licites l'exercici són dades de clients finals d'una empresa que utilitza Hablari, has d'adreçar-te a aquesta empresa (Responsable del tractament), no a Hablari.

9.2. Reclamació davant l'AEPD

Si consideres que hem vulnerat els teus drets o no hem atès correctament la teva sol·licitud, pots presentar una reclamació davant l' Agència Espanyola de Protecció de Dades (AEPD) (www.aepd.es), autoritat de control competent a Espanya.

10. Cookies i tecnologies similars

Hablari utilitza cookies tècniques o estrictament necessàries per al funcionament de la plataforma i, només amb el teu consentiment, cookies de analítica (Google Analytics) per mesurar de forma agregada l'ús del lloc i millorar-lo. No utilitzem cookies de publicitat comportamental ni retargeting. El detall complet és a la nostra Política de Cookies.

• Cookie de sessió: emmagatzema el testimoni d'autenticació de l'usuari per mantenir la sessió iniciada entre sol·licituds. S'elimina en tancar la sessió o en caducar el testimoni. És imprescindible per al funcionament de l'aplicació.
• Cookie de preferències: emmagatzema el tema visual (clar/fosc) triat per l'usuari per evitar un «parpelleig» en carregar la pàgina. No conté dades personals identificatives.

Les cookies tècniques no requereixen consentiment previ d'acord amb l'article 22.2 de la LSSI-CE, en ser necessàries per a la prestació del servei. Les cookies de analítica sí que requereixen el teu consentiment: per defecte estan desactivades mitjançant el mode de consentiment (Google Consent Mode) i només s'activen si les acceptes al bàner de cookies que apareix en la teva primera visita, on pots triar «Només essencials» o «Acceptar».

11. Mesures de seguretat tècniques i organitzatives

Hablari aplica mesures de seguretat adequades d'acord amb l'estat de la tècnica i el risc de cada tractament, entre les quals hi ha:

• Xifratge en trànsit: totes les comunicacions entre el navegador de l'usuari i l'aplicació es fan mitjançant HTTPS/TLS. Els webhooks de Meta i Resend es validen amb signatura HMAC abans de processar-se.
• Aïllament multi-tenant: les dades de cada empresa estan separades lògicament mitjançant Row-Level Security (RLS) a la base de dades PostgreSQL. Totes les taules inclouen una columna org_id i les polítiques d'accés impedeixen que una empresa vegi dades d'una altra.
• Autenticació segura: contrasenyes emmagatzemades amb hash segur (gestionat per Supabase Auth); autenticació amb Google OAuth disponible; sense magic links per correu (risc de límits d'enviament i phishing).
• Principi de mínims privilegis: els diferents rols (agent, manager, owner) tenen permisos diferenciats. L'accés al superpanell d'administració està restringit a una llista de correus autoritzats del personal de Hablari mitjançant una variable d'entorn de servidor.
• Rate limiting: els punts finals públics (en particular el chatbot) tenen limitació de taxa per adreça IP per prevenir abusos.
• Registres d'auditoria: les accions del personal de Hablari sobre comptes de clients queden registrades en una taula d'auditoria amb informació de qui, què, quan i per què.
• Credencials d'integració: les credencials dels connectors (testimonis d'API de Meta, Shopify, Klaviyo, Resend) s'emmagatzemen xifrades a la base de dades i mai s'exposen al client.

Cap sistema és infal·lible. En cas que es produeixi una violació de seguretat que afecti les teves dades personals amb risc per als teus drets i llibertats, t'ho notificarem sense dilació indeguda i en el termini màxim que exigeix el RGPD, així com a l'AEPD quan correspongui.

12. Dades de menors

El servei de Hablari està destinat exclusivament a empreses i professionals. No tractem conscientment dades personals de menors de 14 anys. En registrar-se, l'usuari declara ser major d'edat i actuar en nom d'una empresa o activitat professional. Si tinguéssim coneixement que hem recollit dades d'un menor sense el consentiment adequat, les eliminaríem de manera immediata.

13. Comunicacions comercials

Hablari pot enviar comunicacions sobre novetats del servei, actualitzacions importants o canvis en les condicions a l'adreça de correu associada al compte. Aquestes comunicacions tenen caràcter informatiu i estan vinculades a la relació contractual. En la mesura que constitueixin comunicacions comercials pròpiament dites, t'oferirem la possibilitat de donar-te de baixa en qualsevol moment mitjançant l'enllaç habilitat al mateix correu o escrivint a contacto@hablari.com.

14. Actualitzacions d'aquesta política

Hablari pot actualitzar aquesta Política de Privacitat per reflectir canvis normatius, noves funcionalitats del servei o nous subencarregats. Publicarem la versió vigent en aquesta mateixa pàgina amb la data de l'última actualització. Quan els canvis siguin substancials, t'informarem de manera activa (mitjançant un avís a la plataforma o correu electrònic) amb l'antelació raonable. L'ús continuat de la plataforma després de l'entrada en vigor de la nova versió implica la seva acceptació.

15. Contacte en matèria de privacitat

Per a qualsevol consulta, sol·licitud de drets o incidència relacionada amb el tractament de dades personals, pots contactar amb nosaltres a:

• Correu electrònic: contacto@hablari.com
• Assumpte recomanat: «Protecció de dades — [motiu de la consulta]»

Si la teva sol·licitud no obté resposta en el termini d'un mes o no estàs satisfet amb la resposta rebuda, pots presentar una reclamació davant l' Agència Espanyola de Protecció de Dades (AEPD), C/ Jorge Juan, 6, 28001 Madrid, Espanya.