Política de privacidad

Esta política explica, con el detalle exigido por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la LSSI-CE, qué datos trata Recomienda IA, para qué, con qué base jurídica, durante cuánto tiempo, con quién, cómo ejercer derechos y cómo oponerse a comunicaciones. El responsable del tratamiento es el titular de Recomienda IA, identificado en el Aviso legal. Contacto de privacidad: info@recomiendaia.com. No hay delegado de protección de datos: el volumen, el tipo de datos y la ausencia de tratamientos que lo exijan (artículo 37 RGPD y normativa española de desarrollo) no hacen preceptivo nombrarlo. El contacto de privacidad es el mismo email del titular.

1. Qué hace Recomienda IA

Recomienda IA mide cómo aparece un negocio en respuestas de asistentes de IA, entrega un diagnóstico y, si se contrata, un plan de acción o ejecución mensual. El servicio está pensado para empresas y profesionales, no para consumidores particulares ni para menores. La categoría del producto es visibilidad en IA. El marketing comercial no modifica las limitaciones de esta política ni las de las Condiciones B2B: no se garantiza una mención, un ranking ni un resultado de negocio.

2. Qué no recogemos

• No pedimos contraseña ni creamos una cuenta de cliente en el chequeo inicial.
• No almacenamos números de tarjeta: el pago lo procesa Stripe, que actúa como prestador independiente para esa operación.
• No vendemos datos personales ni los cedemos para publicidad de terceros.
• No usamos los datos de clientes para entrenar modelos de IA propios.
• No enviamos a los motores de IA el email de la persona que solicita el chequeo, ni datos de pago, ni el contenido de las comunicaciones de soporte.
• No grabamos llamadas, porque no hay canal telefónico de captación ni de contratación.
• No usamos WhatsApp como canal masivo de envío de snapshots o de publicidad.

3. Datos que sí tratamos

Datos que nos envías

• Nombre del negocio, sector, ciudad y, si se facilita, web.
• Email de contacto.
• Marca de si aceptas o no novedades comerciales (casilla independiente, no premarcada).
• En el pago: datos de facturación y NIF/CIF, recabados por Stripe para cobrar, fiscalidad y factura.
• Comunicaciones de soporte que nos escribas, incluida una solicitud de baja o de ejercicio de derechos.

Datos de medición del negocio

Para elaborar el chequeo y los informes observamos señales de carácter público o facilitadas para el análisis: menciones o ausencias en asistentes de IA, fuentes citadas por esos sistemas, contenidos de la web del negocio y de competidores del mismo sector y ciudad, fichas públicas y otras URLs que un asistente o una herramienta de monitorización asocien a esas consultas. Esas señales describen al negocio en el mercado; no se usan para perfilar la vida privada de una persona física identificada más allá del contacto profesional que nos hayas dado.

Datos técnicos y de uso

• Registros del servidor (dirección IP, fecha, recurso solicitado, agente de usuario) para seguridad, diagnóstico y, cuando exista un incidente, evidencia.
• Vercel Analytics: medición agregada de páginas, sin cookies ni identificador persistente.
• PostHog: analítica de producto con cookies propias, solo si aceptas la categoría analítica. No activamos grabación de sesiones ni heatmaps.
• Parámetros UTM de la visita, guardados de forma temporal en el navegador para atribuir una solicitud al canal de llegada, sin combinarlos con el email en la analítica de producto cuando no hay consentimiento. Si llegas desde un mensaje de prospección (apartado 10), el enlace incluye además una referencia interna a la ficha de tu empresa y el canal por el que te escribimos; esa referencia se guarda junto a la solicitud, solo en nuestra base de datos, para saber qué contactos dieron lugar a un chequeo o a una compra. No se envía a la analítica de producto.

Outbound B2B

Podemos tratar datos de contacto profesional de empresas (nombre comercial, email profesional, perfil público de Instagram o Facebook, sector, ciudad, web) obtenidos de fuentes de acceso público o de relaciones previas, para informar del servicio. No tratamos el teléfono como canal de prospección. El detalle está en el apartado 10.

Panel interno

Los operadores autorizados acceden con un enlace mágico enviado al email incluido en la lista de administradores. Se guarda una cookie de sesión técnica (ria_admin) solo en ese contexto, no en la navegación pública.

4. Fuentes de los datos

Los datos proceden, según el caso:

• del propio interesado, cuando rellena el formulario de chequeo, marca o no la casilla comercial, paga o escribe a soporte;
• de Stripe, respecto del estado del pago y de los datos fiscales necesarios para la factura;
• de fuentes de acceso público cuando se mide un negocio (web, menciones en IA, fichas, contenidos indexables);
• de fuentes de acceso público o de una relación previa cuando se hace prospección B2B, con registro interno de la fuente y de la fecha, según el apartado 10;
• de cookies o almacenamiento local, en los términos de la Política de cookies.

Cuando el cliente nos envía datos de empleados, socios o de un negocio de un tercero, el cliente garantiza que puede hacerlo y que esas personas están informadas. Recomienda IA trata esos datos como prestador del servicio solicitado por el cliente.

5. Finalidades y bases jurídicas

El interés legítimo del outbound se limita a contactos profesionales, mensajes sobre visibilidad en IA para empresas, identificación clara del remitente y baja sencilla. No usamos ese canal para particulares ajenos a una actividad económica. Puedes oponerte en cualquier momento, sin explicar motivos más allá de identificarte.

6. Base jurídica del email transaccional

Cuando pides un chequeo, pagas un informe o contratas Growth o Web + Growth, te enviamos emails necesarios para esa relación: acuse de recibo, aviso de que el análisis está listo, enlace privado, confirmación de pago, entrega del informe, avisos de incidencias, recordatorios de datos incompletos y mensajes equivalentes de prestación. La base es el artículo 6.1.b del RGPD (medidas precontractuales o ejecución del contrato) y, en lo que respecta a facturación, el artículo 6.1.c.

Esos mensajes no son comunicaciones comerciales a efectos del artículo 21 de la LSSI. No exigen la casilla de novedades. No se interrumpen por una baja de marketing mientras el servicio solicitado siga pendiente o en curso. Si no quieres recibir ni siquiera el resultado, no envíes la solicitud o pide la supresión del tratamiento cuando el servicio ya se haya podido completar o cancelar.

El pie de esos emails recuerda que el mensaje es transaccional, indica cómo ejercer derechos y, si además diste consentimiento comercial, cómo darte de baja de novedades.

7. Consentimiento comercial separado

Las novedades, ofertas o contenidos promocionales de Recomienda IA (distintos de la prestación del chequeo o del servicio pagado) solo se envían si marcas de forma afirmativa una casilla específica, no premarcada, con un texto del tipo: querer recibir novedades comerciales y poder darte de baja. Esa casilla es independiente del envío del análisis. Puedes pedir el chequeo sin marcarla. El no marcarla no empeora el servicio.

La base es el consentimiento del artículo 6.1.a del RGPD y el artículo 21 de la LSSI. Puedes retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior. La retirada se ejerce por el mecanismo del apartado 9.

8. Registro de consentimiento

Cuando envías el email en el flujo de chequeo, registramos, asociado a esa solicitud:

• el email facilitado;
• si la casilla comercial estaba marcada o no (marketing_consent);
• la fecha y hora de la solicitud (y la de actualizaciones posteriores del registro);
• el identificador interno de la solicitud;
• datos técnicos de seguridad del envío (por ejemplo, en logs del servidor, con la retención del apartado 14).

No se interpreta el silencio, una casilla premarcada ni el mero hecho de pedir el chequeo como consentimiento comercial. Un consentimiento posterior (por ejemplo, un email tuyo pidiendo novedades) se anota en el mismo registro o en la comunicación de soporte. La retirada también se anota.

9. Mecanismo de baja y oposición

Para dejar de recibir novedades comerciales, escribe a info@recomiendaia.com desde el email afectado, con el asunto «Baja», o pulsa el enlace de baja cuando un mensaje comercial lo incluya. Atenderemos la baja sin dilaciones indebidas y, en cualquier caso, en los plazos del RGPD. Mientras se procesa, puedes marcar el mensaje como no deseado en tu cliente de correo.

Para oponerte al outbound B2B (incluso si nunca diste consentimiento, porque la base es interés legítimo), usa el mismo email con el asunto «No contactar» o «Oposición». Incorporaremos la dirección o el perfil a la lista de no contactar del apartado 10.

La baja comercial no borra por sí sola facturas, el historial de un servicio pagado ni los emails transaccionales aún necesarios. Si además quieres supresión, indícalo y aplicaremos el apartado 15, con los bloqueos legales que correspondan.

10. Outbound B2B, fuentes y lista de no contactar

Este apartado documenta las reglas de prospección. No autoriza llamadas. La táctica «priorizar la llamada al teléfono profesional publicado» queda expresamente descartada como práctica viva: figura, si acaso, como ítem cerrado de documentación interna, no como canal. El contacto comercial no solicitado a empresas se limita a email profesional o a Instagram/Facebook de la empresa, cuando esos datos son públicos o proceden de una relación previa.

Antes de un primer envío de snapshot o de material equivalente por esos canales, se pide permiso para enviarlo. No se envía el snapshot por teléfono. No se usa WhatsApp como vía de escalado masivo. No se contacta a particulares ajenos a una actividad económica.

Por cada contacto de outbound se registra, en la medida de lo razonable y con minimización:

• qué dato se usó (email o identificador de perfil, no teléfono de captación);
• cuándo se obtuvo;
• de qué fuente (web corporativa, directorio público, perfil público, referido, relación previa u otra fuente lícita);
• por qué se consideró un contacto profesional pertinente (sector, ciudad, actividad);
• qué mensaje se preparó y envió (queda registrado al enviarlo desde nuestro cliente de correo o de mensajería), por qué canal y en qué fecha, y la respuesta recibida, si la hubo;
• si ese contacto dio lugar a una solicitud de chequeo o a una compra, mediante la referencia del enlace descrita en el apartado 3;
• si hubo oposición, baja o inclusión en la lista de no contactar.

Se mantiene una lista de no contactar. Quien figure en ella no recibe nuevos mensajes de prospección por los canales anteriores. La lista se conserva el tiempo necesario para respetar esa oposición, más un margen operativo breve para evitar reimportaciones accidentales.

Antes de escalar campañas de cold email o de usar otros canales (incluido WhatsApp), el titular debe revisar el flujo conforme a LSSI y RGPD. Esta política no autoriza ese escalado. El presente texto no es un dictamen jurídico externo; la implementación en código refleja estas reglas operativas.

11. Inteligencia artificial, APIs y datos de clientes

Para medir visibilidad consultamos asistentes de IA a través de Bright Data. Las consultas versan sobre el sector y el municipio del mercado (sin el nombre, dominio, email ni otros datos de la persona de contacto). No equivalen a una sesión personal de ChatGPT ni a una cuenta del cliente en esos motores. Vercel Workflows orquesta el análisis; Vercel AI Gateway llama al modelo configurado para generar prompts, extraer marcas y redactar acciones.

Las respuestas de esos sistemas son probabilísticas: pueden variar, omitir empresas, inventar atribuciones o citar fuentes incompletas. El informe refleja la medición realizada en las consultas ejecutadas, no una verdad fija del mercado. Esa variabilidad se explica también en el chequeo, en el informe y en las Condiciones B2B. No hay garantía de menciones ni de rankings.

No utilizamos vuestros datos para entrenar modelos propios. Los proveedores de IA se rigen por sus propias condiciones. En APIs de uso profesional suele estar excluido el entrenamiento con esos envíos, pero Recomienda IA no controla las políticas de cada motor público consultado ni puede impedir que un sistema de terceros conserve logs según su propia base jurídica.

Revisión de proveedores respecto a datos de clientes: no se envían a APIs de IA identificadores de la persona de contacto, emails, NIF de la persona física pagadora, ni datos de tarjeta. Bright Data recibe las consultas de mercado ya redactadas, sin PII de contacto. Stripe recibe lo necesario para cobrar. Resend recibe el email para entregar mensajes. Neon almacena la solicitud, las observaciones normalizadas y los informes estructurados. PostHog, solo con consentimiento, recibe eventos de producto seudonimizados, sin email. Vercel hospeda el sitio, ejecuta Workflows y AI Gateway, y puede tratar IPs en logs de infraestructura. Se usan hashes HMAC para límites antiabuso, no la IP ni el email en claro en esa tabla.

12. Encargados, destinatarios y acuerdos de encargo (DPA)

No cedemos datos salvo obligación legal, requerimiento de autoridad competente, o prestadores necesarios para el servicio, que tratan como encargados o, cuando la normativa lo configure así (por ejemplo Stripe en el cobro), como responsables independientes de su propio tratamiento:

Cuando un prestador actúa como encargado del tratamiento, el responsable suscribe o adherirá el acuerdo de encargo (DPA) del artículo 28 del RGPD, incluidas cláusulas contractuales tipo u otras garantías del capítulo V si hay transferencia. La firma de esos DPA corresponde al titular y no se realiza de forma automatizada por el sitio. Esta política no sustituye esos contratos. Si en el futuro hay más encargados, se actualizará esta lista. Quien pague aparece también, cuando proceda, en la factura emitida a través de Stripe.

13. Transferencias internacionales

Algunos prestadores están en Estados Unidos u otras regiones fuera del Espacio Económico Europeo (Vercel, Stripe, Resend, Cloudflare, PostHog, proveedores de IA). En esos casos se usan las cláusulas contractuales tipo de la Comisión Europea, el marco de privacidad de datos UE-EE. UU. cuando el prestador esté autocertificado y resulte aplicable, u otras garantías del capítulo V del RGPD. Neon se provisiona en la Unión Europea. Los informes se guardan como datos estructurados y se muestran mediante enlaces privados.

14. Conservación (retención de datos)

Se aplican, como criterio general, los plazos de la tabla del apartado 5. En concreto:

• Borradores sin email: se eliminan en un plazo breve de operativa, como máximo 30 días.
• Solicitudes con email (chequeo y relación de servicio): mientras preste el servicio y 3 años desde la última interacción, salvo que pidas supresión antes y no exista una obligación de bloqueo.
• Facturación y contabilidad: 6 años, o el mínimo legal vigente.
• Consentimiento y bajas comerciales: el consentimiento, mientras sea válido; la evidencia de la baja o de la oposición, el tiempo necesario para demostrarla y para no volver a contactar.
• Lista de no contactar: mientras sea precisa para respetar la oposición.
• Registro de prospección B2B (fichas de empresa, mensajes enviados y respuestas): hasta 2 años sin interacción o hasta la oposición, conforme a la tabla del apartado 5; la referencia de prospección guardada en una solicitud sigue el plazo de esa solicitud.
• Logs de seguridad: 30 días, salvo incidente.
• Analítica PostHog: hasta 13 meses o retirada del consentimiento.

Puedes pedir la supresión. Si hay una obligación fiscal, un litigio o una oposición que deba conservarse como evidencia, esos datos se bloquean (artículo 32 LOPDGDD) y no se usan para otra cosa.

15. Procedimiento de derechos RGPD

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad, oposición (incluido el outbound) y retirada del consentimiento. También puedes no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos; Recomienda IA no adopta ese tipo de decisiones sobre personas: las mediciones describen visibilidad de un negocio en IA y no aprueban o deniegan un contrato de forma exclusivamente automatizada sin intervención humana en la prestación de pago.

Cómo ejercerlo:

1. Escribe a info@recomiendaia.com desde el email afectado, o indicando datos suficientes para identificarte (nombre del negocio, ciudad, y un medio de contacto). Asunto recomendado: «Ejercicio de derechos RGPD».
2. Especifica qué derecho ejerces y, si es posible, el alcance (por ejemplo, solo comerciales, o también el historial del chequeo).
3. Si la solicitud la presenta un representante, adjunta acreditación.
4. Si existen dudas razonables sobre tu identidad, podremos pedir información adicional, la mínima necesaria.
5. Responderemos en el plazo de un mes desde la recepción. En casos complejos o de gran número de solicitudes, el plazo puede prorrogarse otros dos meses; te lo comunicaremos dentro del primer mes, con los motivos.
6. El ejercicio es gratuito, salvo solicitudes manifiestamente infundadas o excesivas, en particular repetitivas, en cuyo caso podremos cobrar un canon razonable o negarnos, motivándolo.
7. Si no atendemos la solicitud, te informaremos de las razones y de tu derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

La portabilidad, cuando proceda, se facilitará en un formato estructurado de uso común (por ejemplo, un export de los campos de la solicitud que te conciernan). El acceso podrá incluir una copia de esos campos, no necesariamente capturas de herramientas internas de operadores.

16. Seguridad

El sitio usa HTTPS. Los enlaces de resultado e informe son tokens opacos. Los archivos se sirven con URLs firmadas de corta duración. El panel interno no está abierto al público. El acceso de operadores se limita a emails autorizados. Ninguna medida es infalible: si hay una brecha que deba notificarse, se hará conforme a los artículos 33 y 34 del RGPD y a la guía de la AEPD, incluyendo, cuando corresponda, la comunicación a las personas afectadas.

17. Menores y consumidores

El servicio no está dirigido a menores de 18 años ni a consumidores particulares. Si detectamos un dato de un menor, lo borramos. Si un consumidor particular envía una solicitud por error, podremos anularla y borrar el email, sin perjuicio de obligaciones legales puntuales.

18. Cookies

El detalle, el inventario y el consentimiento de PostHog están en la Política de cookies. La analítica con cookies no se carga hasta que aceptas. El rechazo no impide el chequeo ni el pago.

19. Cambios

Si cambia el tratamiento de forma relevante, actualizaremos esta página y la fecha. El uso continuado del sitio tras un cambio material implica que has podido leer la nueva versión. Para suscriptores de Growth, un cambio sustancial se comunicará por email cuando afecte a cómo tratamos sus datos. La versión aplicable a un consentimiento ya prestado se interpreta de forma restrictiva a favor de no ampliar finalidades sin una nueva base jurídica.

Última actualización: 10 de septiembre de 2026.