Política de Privacidad

La presente Política de Privacidad describe cómo Hablari (en adelante, «Hablari», «nosotros» o «el Responsable») recoge, usa, conserva y protege los datos personales de quienes visitan nuestro sitio web, se registran en la plataforma o interactúan con ella, así como de los usuarios finales cuyos datos son tratados por cuenta de nuestros clientes empresariales.

Este documento es conforme con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE) y el Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (EU AI Act), en vigor desde agosto de 2026.

1. Identidad del Responsable del tratamiento

• Denominación: Hablari.
• Correo electrónico de contacto: contacto@hablari.com.
• Sitio web: www.hablari.com.

Hablari no está obligado por ley a designar un Delegado de Protección de Datos (DPD), si bien cualquier consulta en materia de privacidad puede dirigirse al correo indicado.

2. Dos roles distintos: Responsable y Encargado del tratamiento

Hablari es un servicio B2B (negocio a negocio). Esto determina que tratamos datos personales en dos calidades jurídicas diferenciadas que es imprescindible distinguir:

2.1. Como Responsable del tratamiento

Hablari actúa como Responsable respecto a los datos de las personas que crean una cuenta en la plataforma, de los miembros de su equipo (agentes) y de cualquier persona que interactúe con nuestro sitio web o con nosotros directamente. En esta calidad decidimos los fines y los medios del tratamiento.

2.2. Como Encargado del tratamiento

Hablari actúa como Encargado del tratamiento (conforme al artículo 28 del RGPD) respecto a los datos personales de los clientes finales, contactos y otras personas que la empresa cliente gestiona dentro de la plataforma: conversaciones, teléfonos, correos electrónicos, historial de pedidos, notas, adjuntos, etc. El Responsable de esos datos es la empresa cliente que usa Hablari; nosotros los tratamos exclusivamente para prestar el servicio pactado y conforme a las instrucciones de dicha empresa. Las condiciones del encargo están íntegramente recogidas en el Acuerdo de Encargo del Tratamiento (DPA) integrado en los Términos y Condiciones.

Si eres un usuario final (cliente de una empresa que usa Hablari) y deseas ejercer tus derechos sobre los datos que esa empresa guarda sobre ti, dirígete a ella directamente: es la Responsable y quien debe atender tu solicitud.

3. Datos tratados como Responsable: categorías, finalidades y bases jurídicas

3.1. Datos de registro y cuenta

Datos: nombre, apellidos, dirección de correo electrónico, contraseña (almacenada con hash; Hablari nunca tiene acceso a la contraseña en texto plano), número de teléfono (opcional), foto de perfil o avatar seleccionado, rol dentro de la organización (owner, manager, agente), preferencias de interfaz (tema visual) y zona horaria.

Finalidad: crear y gestionar la cuenta, autenticar al usuario, permitir la colaboración dentro de la misma organización e identificar al responsable de cada acción en la plataforma.

Base jurídica: ejecución del contrato de suscripción (art. 6.1.b RGPD). En el caso del teléfono, cuando es aportado voluntariamente, el consentimiento del interesado (art. 6.1.a RGPD).

3.2. Datos de la organización (empresa cliente)

Datos: nombre de la empresa, descripción, logotipo, identificador único de organización (slug), plan contratado y configuraciones de la cuenta (horario comercial, SLA, auto-respuestas).

Finalidad: proveer el servicio multi-empresa, personalizar la interfaz, prestar soporte y gestionar la relación contractual.

Base jurídica: ejecución del contrato (art. 6.1.b RGPD).

3.3. Datos de facturación y suscripción

Datos: plan contratado (Starter, Pro o Max), estado de la suscripción, importe, fechas de facturación, identificadores de suscripción y cliente de Stripe, historial de facturas. Hablari no almacena el número completo de tarjeta de crédito ni los datos de seguridad (CVV): el cobro lo procesa directamente Stripe, que dispone de certificación PCI DSS.

Finalidad: gestionar la suscripción, emitir facturas, cumplir con obligaciones fiscales y contables, detectar y prevenir el fraude en pagos.

Base jurídica: ejecución del contrato (art. 6.1.b RGPD) y cumplimiento de obligaciones legales en materia tributaria y mercantil (art. 6.1.c RGPD).

3.4. Datos de uso y técnicos

Datos: dirección IP, tipo y versión de navegador, sistema operativo, páginas visitadas y acciones realizadas dentro de la aplicación, registros de acceso (logs), errores del sistema y tiempos de respuesta.

Finalidad: garantizar la seguridad e integridad de la plataforma, detectar y prevenir accesos no autorizados, depurar errores técnicos, y mejorar el rendimiento del servicio.

Base jurídica: interés legítimo de Hablari en mantener la seguridad y la calidad del servicio (art. 6.1.f RGPD), ponderado con los derechos de los interesados y proporcional a los fines perseguidos.

3.5. Datos del proceso de alta y encuesta de incorporación

Datos: durante el proceso de registro y configuración inicial de la empresa (onboarding), recopilamos de forma voluntaria información sobre el origen del conocimiento de Hablari (p. ej., boca a boca, redes sociales, búsqueda en Internet), los canales de atención actualmente usados, el volumen aproximado de conversaciones, el estado de la tienda online y el tamaño del equipo. También recogemos, si existen, parámetros UTM presentes en la URL de acceso (fuente, medio, campaña), la URL de procedencia (referrer) y el tipo de dispositivo empleado para el registro.

Finalidad: mejorar el producto y el proceso de incorporación, analizar la eficacia de nuestras acciones de marketing y adaptar el servicio a las necesidades de los clientes. Los datos se analizan de forma agregada.

Base jurídica: interés legítimo de Hablari en la mejora del servicio (art. 6.1.f RGPD), dado que la información es voluntaria y no afecta al funcionamiento de la cuenta.

3.6. Comunicaciones con el soporte

Datos: nombre, dirección de correo electrónico y contenido del mensaje cuando contactas con nosotros por cualquier vía.

Finalidad: atender tu consulta o incidencia.

Base jurídica: interés legítimo de ambas partes en resolver la comunicación (art. 6.1.f RGPD) o, cuando la consulta deriva de la relación contractual, ejecución del contrato (art. 6.1.b RGPD).

4. Datos tratados como Encargado del tratamiento

Cuando una empresa cliente usa Hablari, introduce o recibe a través de la plataforma datos de sus propios clientes y contactos. Hablari procesa dichos datos exclusivamente por cuenta de esa empresa (Responsable) y de acuerdo con sus instrucciones. Entre estos datos pueden encontrarse:

• Identidad y datos de contacto de clientes finales: nombre, apellidos, dirección de correo electrónico, número de teléfono, nombre de usuario en redes sociales, dirección postal.
• Conversaciones y mensajes: el contenido íntegro de los intercambios por WhatsApp, Instagram Direct, correo electrónico y chat web, incluyendo el texto, imágenes, documentos, audios y cualquier otro fichero adjunto.
• Notas internas: anotaciones privadas del equipo sobre un cliente o conversación, no visibles para el cliente final.
• Historial de pedidos de Shopify: pedidos, productos, importes, estados y fechas, cuando la empresa cliente conecta su tienda Shopify.
• Datos de etiquetado y clasificación: etiquetas, estados VIP, asignaciones a agentes y tiendas, prioridades.
• Mensajes de visitantes del chatbot web: texto enviado al widget de chat embebido en la web del cliente (plan Max), asociado a una sesión web anónima o identificada.

Hablari no accede a estos datos salvo para prestar el servicio, asistir técnicamente o cumplir obligaciones legales. El personal del staff de Hablari que pudiera acceder a los datos con propósitos de soporte o moderación lo hace bajo estricta confidencialidad y solo de forma justificada.

5. Inteligencia Artificial: el Chatbot IA (plan Max)

El plan Max incluye un chatbot con inteligencia artificial que las empresas clientes pueden incrustar en sus propias páginas web. A continuación describimos el tratamiento de datos asociado a esta funcionalidad:

5.1. Cómo funciona y qué datos se envían a OpenAI

Cuando un visitante interactúa con el chatbot de un cliente de Hablari, el mensaje del visitante y la descripción pública de la empresa cliente se envían a la API de OpenAI (modelo GPT-4o-mini) para generar una respuesta. No se envía ningún dato de identificación personal del visitante más allá del texto que él mismo escribe en el chat, ni datos de facturación, ni credenciales de ningún tipo.

5.2. Tratamiento por OpenAI

Hablari utiliza la API de OpenAI en modo no-entrenamiento: según los términos de uso de la API de OpenAI vigentes, los datos enviados vía API no se utilizan para entrenar los modelos de OpenAI. OpenAI actúa como subencargado del tratamiento en relación con los datos de usuarios finales de los clientes de Hablari.

5.3. Cumplimiento del EU AI Act

En cumplimiento del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (EU AI Act), aplicable desde agosto de 2026, el chatbot se identifica ante el visitante como un sistema de inteligencia artificial desde el primer mensaje de bienvenida, con una formulación equivalente a: «Soy el asistente IA de [empresa].» Esta identificación es automática, permanente y no puede ser desactivada por la empresa cliente. La clasificación de este sistema de IA es de riesgo limitado (asistente conversacional) conforme al artículo 50 del EU AI Act, que exige precisamente la transparencia ante el usuario.

5.4. Responsabilidad del cliente sobre el chatbot

La empresa cliente que activa el chatbot es responsable del contenido que configura como instrucción de sistema, del contexto de uso y de asegurarse de que su despliegue cumple con la normativa aplicable en su sector. Hablari proporciona la infraestructura técnica; el uso conforme a derecho es responsabilidad del cliente.

5.5. Rate limiting y protección de abusos

El endpoint del chatbot aplica un límite de 10 peticiones por minuto por dirección IP para proteger el servicio frente a abusos automatizados. La dirección IP del visitante es tratada con finalidad exclusiva de seguridad y no se almacena de forma persistente vinculada al contenido del chat.

6. Encargados y subencargados del tratamiento

Para prestar el servicio, Hablari se apoya en los siguientes proveedores, que actúan como encargados o subencargados del tratamiento bajo contrato y con garantías adecuadas:

• Supabase, Inc. — Base de datos PostgreSQL, autenticación, almacenamiento de ficheros (adjuntos, logos) y comunicaciones en tiempo real. Los datos se alojan en la región EU-Central (Frankfurt, Alemania), dentro del Espacio Económico Europeo. Supabase dispone de Acuerdo de Encargo del Tratamiento (DPA). Más información: supabase.com/privacy.
• Vercel, Inc. — Alojamiento de la aplicación web (plataforma serverless). Los servidores pueden encontrarse dentro o fuera del EEE según la configuración de edge. Vercel dispone de DPA y garantías de transferencia mediante Cláusulas Contractuales Tipo (CCT). Más información: vercel.com/legal/privacy-policy.
• Stripe, Inc. — Procesamiento de pagos y gestión de suscripciones. Stripe está certificado PCI DSS y dispone de DPA. Los datos de pago (número de tarjeta, CVV) son tratados directamente por Stripe; Hablari solo almacena identificadores de suscripción y cliente. Más información: stripe.com/es/privacy.
• OpenAI, LLC — Motor de inteligencia artificial del chatbot (plan Max). Actúa como subencargado respecto a los mensajes de visitantes enviados al chatbot. Los servidores de OpenAI se ubican principalmente en Estados Unidos. Las transferencias se amparan en Cláusulas Contractuales Tipo. Los datos de la API no se utilizan para entrenar modelos. Más información: openai.com/policies/privacy-policy.
• Meta Platforms, Inc. (WhatsApp Business API / Instagram Graph API) — Canales de mensajería opcionales que la empresa cliente puede conectar. Meta actúa como proveedor del canal de comunicación; Hablari recibe los mensajes entrantes mediante webhooks verificados con firma HMAC y envía mensajes salientes a través de la API de Meta. El tratamiento de datos por parte de Meta en sus propias plataformas se rige por sus propias políticas de privacidad.
• Shopify International Limited — Plataforma de comercio electrónico. Cuando la empresa cliente conecta su tienda Shopify, Hablari accede a datos de pedidos y clientes mediante la API de Shopify Admin. El tratamiento por parte de Shopify se rige por sus propias políticas.
• Resend, Inc. — Servicio de envío y recepción de correo electrónico. Hablari usa una cuenta única de Resend para gestionar el canal de email de todos sus clientes: cada empresa cliente aporta su propio dominio, que se verifica dentro de la cuenta de Resend de Hablari. Los correos entrantes se reciben vía webhook con verificación de firma. Resend dispone de DPA.
• Klaviyo, Inc. — Plataforma de email marketing. Conector opcional que la empresa cliente puede activar para sincronizar contactos o automatizaciones. Klaviyo actúa como encargado del tratamiento respecto a los datos que la empresa cliente le facilite. Más información: klaviyo.com/legal/privacy-notice.

7. Transferencias internacionales de datos

La base de datos principal (Supabase) se encuentra en la Unión Europea. No obstante, algunos proveedores indicados en la sección anterior —en particular Vercel (EE. UU.), Stripe (EE. UU.), OpenAI (EE. UU.), Resend (EE. UU.) y Klaviyo (EE. UU.)— pueden tratar datos fuera del Espacio Económico Europeo.

Dichas transferencias se amparan en uno o varios de los siguientes mecanismos:

• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914), que obligan al proveedor a ofrecer un nivel de protección equivalente al del RGPD.
• Decisión de adecuación de la Comisión Europea, cuando exista para el país de destino.

Puedes solicitar copia de las garantías aplicables a cada transferencia escribiendo a contacto@hablari.com.

8. Plazos de conservación

• Datos de cuenta y organización: durante la vigencia del contrato de suscripción y, tras su extinción, un máximo de 3 años para atender reclamaciones legales, salvo que el interesado ejercite antes su derecho de supresión.
• Datos de facturación: durante 7 años desde la fecha de cada transacción, en cumplimiento de las obligaciones fiscales y contables establecidas en la Ley General Tributaria y el Código de Comercio.
• Logs técnicos y de seguridad: máximo 12 meses desde su generación, salvo que sean necesarios para la investigación de un incidente de seguridad, en cuyo caso se conservarán hasta la resolución del mismo.
• Datos tratados como encargado (datos de clientes finales): durante la vigencia del contrato con la empresa cliente. Tras la cancelación de la cuenta, los datos se conservan en un estado inaccesible durante un periodo máximo de 90 días para permitir la recuperación ante cancelaciones accidentales o solicitudes de exportación. Transcurrido ese plazo, se eliminan de forma permanente salvo instrucción contraria del Responsable. Si la empresa cliente solicita la supresión inmediata, Hablari la ejecutará sin demora injustificada.
• Mensajes de visitantes del chatbot: conservados durante la vigencia de la cuenta del cliente. En la misma operación de purga que el resto de datos de la empresa.
• Comunicaciones con soporte: 2 años desde la resolución del caso.

9. Derechos de los interesados

De acuerdo con el RGPD y la LOPDGDD, tienes derecho a:

• Acceso (art. 15 RGPD): obtener confirmación de si tratamos tus datos personales y, en caso afirmativo, recibir una copia de los mismos.
• Rectificación (art. 16 RGPD): solicitar la corrección de datos inexactos o incompletos. Muchos datos puedes corregirlos directamente desde Ajustes → Perfil en la propia plataforma.
• Supresión o «derecho al olvido» (art. 17 RGPD): solicitar la eliminación de tus datos cuando, entre otros motivos, ya no sean necesarios para los fines para los que fueron recogidos.
• Limitación del tratamiento (art. 18 RGPD): solicitar que se restrinja el tratamiento de tus datos en determinadas circunstancias, por ejemplo mientras se verifica una solicitud de rectificación.
• Portabilidad (art. 20 RGPD): recibir tus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable cuando el tratamiento se base en el consentimiento o en la ejecución de un contrato y se realice por medios automatizados.
• Oposición (art. 21 RGPD): oponerte al tratamiento de tus datos cuando esté basado en el interés legítimo, salvo que acreditemos motivos imperiosos que prevalezcan sobre tus intereses.
• Retirada del consentimiento: cuando el tratamiento se base en tu consentimiento, puedes retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior.
• No ser objeto de decisiones automatizadas (art. 22 RGPD): no ser sometido a una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos significativos.

9.1. Cómo ejercer tus derechos

Para ejercer cualquiera de estos derechos, envía un correo a contacto@hablari.com indicando: (i) el derecho que deseas ejercer, (ii) tu nombre y apellidos, (iii) tu dirección de correo electrónico asociada a la cuenta, y (iv) una copia de un documento que acredite tu identidad. Atenderemos tu solicitud en el plazo máximo de un mes (prorrogable dos meses adicionales en casos de especial complejidad).

Si los datos cuyo ejercicio solicitas son datos de clientes finales de una empresa que usa Hablari, debes dirigirte a esa empresa (Responsable del tratamiento), no a Hablari.

9.2. Reclamación ante la AEPD

Si consideras que hemos vulnerado tus derechos o no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es), autoridad de control competente en España.

10. Cookies y tecnologías similares

Hablari utiliza cookies técnicas o estrictamente necesarias para el funcionamiento de la plataforma y, solo con tu consentimiento, cookies de analítica (Google Analytics) para medir de forma agregada el uso del sitio y mejorarlo. No utilizamos cookies de publicidad comportamental ni retargeting. El detalle completo está en nuestra Política de Cookies.

• Cookie de sesión: almacena el token de autenticación del usuario para mantener la sesión iniciada entre solicitudes. Se elimina al cerrar sesión o al expirar el token. Es imprescindible para el funcionamiento de la aplicación.
• Cookie de preferencias: almacena el tema visual (claro/oscuro) elegido por el usuario para evitar un «parpadeo» al cargar la página. No contiene datos personales identificativos.

Las cookies técnicas no requieren consentimiento previo conforme al artículo 22.2 de la LSSI-CE, al ser necesarias para la prestación del servicio. Las cookies de analítica sí requieren tu consentimiento: por defecto están desactivadas mediante el modo de consentimiento (Google Consent Mode) y solo se activan si las aceptas en el banner de cookies que aparece en tu primera visita, donde puedes elegir «Solo esenciales» o «Aceptar».

11. Medidas de seguridad técnicas y organizativas

Hablari aplica medidas de seguridad apropiadas conforme al estado de la técnica y al riesgo de cada tratamiento, entre las que se encuentran:

• Cifrado en tránsito: todas las comunicaciones entre el navegador del usuario y la aplicación se realizan mediante HTTPS/TLS. Los webhooks de Meta y Resend se validan con firma HMAC antes de procesarse.
• Aislamiento multi-tenant: los datos de cada empresa están separados lógicamente mediante Row-Level Security (RLS) en la base de datos PostgreSQL. Todas las tablas incluyen una columna org_id y las políticas de acceso impiden que una empresa vea datos de otra.
• Autenticación segura: contraseñas almacenadas con hash seguro (gestionado por Supabase Auth); autenticación con Google OAuth disponible; sin magic links por correo (riesgo de límites de envío y phishing).
• Principio de mínimos privilegios: los distintos roles (agente, manager, owner) tienen permisos diferenciados. El acceso al super-panel de administración está restringido a una lista de correos autorizados del staff de Hablari mediante variable de entorno de servidor.
• Rate limiting: los endpoints públicos (en particular el chatbot) tienen limitación de tasa por dirección IP para prevenir abusos.
• Logs de auditoría: las acciones del staff de Hablari sobre cuentas de clientes quedan registradas en una tabla de auditoría con información de quién, qué, cuándo y por qué.
• Credenciales de integración: las credenciales de los conectores (tokens de API de Meta, Shopify, Klaviyo, Resend) se almacenan cifradas en la base de datos y nunca se exponen al cliente.

Ningún sistema es infalible. En caso de producirse una brecha de seguridad que afecte a tus datos personales con riesgo para tus derechos y libertades, te notificaremos sin dilación indebida y en el plazo máximo que exige el RGPD, así como a la AEPD cuando corresponda.

12. Datos de menores

El servicio de Hablari está destinado exclusivamente a empresas y profesionales. No tratamos conscientemente datos personales de menores de 14 años. Al registrarse, el usuario declara ser mayor de edad y actuar en nombre de una empresa o actividad profesional. Si tuviéramos conocimiento de que hemos recogido datos de un menor sin el consentimiento adecuado, los eliminaríamos de inmediato.

13. Comunicaciones comerciales

Hablari puede enviar comunicaciones sobre novedades del servicio, actualizaciones importantes o cambios en las condiciones a la dirección de correo asociada a la cuenta. Estas comunicaciones son de carácter informativo y están vinculadas a la relación contractual. En la medida en que constituyan comunicaciones comerciales propiamente dichas, te ofreceremos la posibilidad de darte de baja en cualquier momento mediante el enlace habilitado en el propio correo o escribiendo a contacto@hablari.com.

14. Actualizaciones de esta política

Hablari puede actualizar esta Política de Privacidad para reflejar cambios normativos, nuevas funcionalidades del servicio o nuevos subencargados. Publicaremos la versión vigente en esta misma página con la fecha de última actualización. Cuando los cambios sean sustanciales, te informaremos de forma activa (mediante aviso en la plataforma o correo electrónico) con la antelación razonable. El uso continuado de la plataforma tras la entrada en vigor de la nueva versión implica su aceptación.

15. Contacto en materia de privacidad

Para cualquier consulta, solicitud de derechos o incidencia relacionada con el tratamiento de datos personales, puedes contactar con nosotros en:

• Correo electrónico: contacto@hablari.com
• Asunto recomendado: «Protección de datos — [motivo de la consulta]»

Si tu solicitud no obtiene respuesta en el plazo de un mes o no estás satisfecho con la respuesta recibida, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, España.