Privacy Policy - Workshop Weaver

1. Responsable del tratamiento

El responsable del tratamiento de los datos es:

Kaufmann Elsner GbR

Correo electrónico: privacy@workshopweaver.com

2. Resumen

Esta política de privacidad explica cómo Workshop Weaver («nosotros») recoge, trata y protege sus datos personales cuando visita nuestro sitio web (workshopweaver.com) o utiliza nuestra plataforma de planificación de talleres asistida por IA (app.workshopweaver.com). Tratamos estos datos conforme al Reglamento General de Protección de Datos (RGPD), la Ley Federal alemana de Protección de Datos (BDSG) y la ley alemana TTDSG.

3. Datos que recogemos

3.1 Datos que usted facilita directamente

Datos de la cuenta: Nombre, dirección de correo electrónico y contraseña al registrarse. La contraseña se almacena únicamente como resumen criptográfico.
Contenidos del taller: Objetivos, agendas, descripciones, notas, público destinatario, datos de lugar y fecha, y todos los datos de planificación que usted cree.
Historial de conversación: Sus mensajes al asistente de IA y sus respuestas se conservan de forma permanente junto al taller correspondiente, para que el contexto se mantenga entre sesiones.
Archivos subidos: Archivos PDF, DOCX, TXT y Markdown, así como imágenes (PNG, JPEG, WebP) de hasta 5 MB que suba al chat, incluido el texto extraído de ellos.
Grabaciones de voz: Si utiliza la entrada por voz, la grabación se procesa para convertirla en texto. No conservamos el archivo de audio; solo se guarda el texto resultante.
Solicitudes de contacto: Nombre, correo electrónico y contenido del mensaje cuando utiliza nuestro formulario de contacto.
Información de pago: Datos de facturación tratados por nuestro proveedor de pagos Stripe: los datos completos de la tarjeta nunca llegan a nuestros servidores.
Prueba del consentimiento: El momento en que aceptó las condiciones de uso y esta política, así como su respuesta a la pregunta sobre correos de producto y la fecha de dicha respuesta.

3.2 Datos recogidos automáticamente

Datos de registro del servidor: Dirección IP, tipo de navegador, sistema operativo, URL de procedencia, páginas visitadas, fecha y hora de acceso.
Cookies y almacenamiento local: Véase la sección 5.
Datos de producto y uso: Qué funciones abre, cuándo crea un taller o genera una agenda, y mediciones técnicas de las llamadas a la IA (modelo, número de tokens, coste, duración). El contenido de sus indicaciones no se transmite.
Registros de entrega de correo: Si un correo enviado por nosotros fue entregado, abierto o si se hizo clic en un enlace, con marca de tiempo y dirección del destinatario.
Datos de seguridad: Su dirección IP y señales de detección de robots durante el registro y el inicio de sesión, para repeler ataques automatizados. Los intentos fallidos se cuentan por cuenta; para ello la dirección de correo solo se trata como resumen criptográfico.

4. Bases jurídicas del tratamiento

Tratamos sus datos personales sobre las siguientes bases jurídicas del art. 6.1 RGPD:

Consentimiento (art. 6.1.a RGPD): Para cookies de análisis y marketing en nuestro sitio y para correos de producto y marketing. Puede retirar su consentimiento en cualquier momento con efectos para el futuro.
Ejecución del contrato (art. 6.1.b RGPD): Para la prestación de la plataforma, la gestión de la cuenta, el procesamiento de pagos y todas las funciones de IA: la generación de agendas es la prestación principal.
Obligaciones legales (art. 6.1.c RGPD): Para registros fiscales y contables y para los plazos legales de conservación.
Intereses legítimos (art. 6.1.f RGPD): Para los registros del servidor y el diagnóstico de errores (seguridad informática y disponibilidad), para proteger el registro y el inicio de sesión frente a ataques automatizados, para los registros de entrega de nuestros correos (prueba de entregabilidad) y para el análisis de producto dentro de la aplicación con sesión iniciada. Este último se basa en nuestro interés legítimo en saber qué funciones se utilizan realmente; no forma parte del consentimiento de cookies y usted puede oponerse en cualquier momento conforme al art. 21 RGPD.

5. Cookies y almacenamiento local

Utilizamos cookies y tecnologías comparables. Conforme al § 25 TTDSG, solo instalamos cookies no esenciales en nuestro sitio web tras su consentimiento expreso a través del banner de cookies.

5.1 Cookies necesarias

Estas cookies son necesarias para el funcionamiento y no pueden desactivarse.

Cookie	Finalidad	Duración
CookieConsent	Guarda sus preferencias de consentimiento de cookies	1 año
NEXT_LOCALE	Guarda el idioma elegido en el sitio web	1 año
preferred_lang	Transfiere su elección de idioma entre el sitio web y la aplicación	1 año
ww_attribution	Recuerda parámetros de campaña (utm_*, gclid, fbclid) para atribuir los registros	30 días

5.2 Cookies de análisis (requieren consentimiento)

Estos servicios nos ayudan a entender cómo interactúan los visitantes con nuestro sitio.

Servicio	Proveedor	Finalidad	Ubicación de los datos
PostHog	PostHog Inc.	Análisis de producto	UE (eu.i.posthog.com)
Google Analytics 4	Google Ireland Ltd.	Medición de audiencia del sitio	UE / EE. UU.*
Google Tag Manager	Google Ireland Ltd.	Gestión de scripts de análisis	UE / EE. UU.*

5.3 Cookies de marketing (requieren consentimiento)

Estos servicios se utilizan para marketing y para la atribución de solicitudes.

Servicio	Proveedor	Finalidad	Ubicación de los datos
HubSpot	HubSpot Inc.	CRM y automatización de marketing	UE (región eu1)

5.4 Almacenamiento local en la aplicación

En la propia aplicación guardamos algunas entradas en el almacenamiento local de su navegador. Estos datos no salen de su dispositivo ni se nos transmiten; se eliminan al cerrar sesión o al vaciar el almacenamiento del navegador.

Entrada	Finalidad	Duración
wasp:sessionId	Le mantiene con la sesión iniciada (identificador de sesión)	hasta cerrar sesión
Preferencias de vista y diseño	Barra lateral, densidad, modo de vista, tema	indefinida, hasta que las borre
ww-collaborator-guest-name / -email	Rellena previamente el formulario de comentarios en enlaces compartidos	indefinida, hasta que las borre

*Google puede transferir datos a EE. UU. Esta transferencia se basa en el Marco de Protección de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea, julio de 2023); Google LLC está certificada en dicho marco.

6. Encargados y destinatarios

Recurrimos a los siguientes proveedores como encargados del tratamiento o destinatarios. En nuestra página encontrará una lista completa y actualizada de forma continua, con direcciones y categorías de datos: Subencargados.

6.1 Alojamiento e infraestructura

La aplicación y su base de datos funcionan en servidores de Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Alemania), en un centro de datos situado en la UE. La entrega de la interfaz web y la protección frente a sobrecargas se realizan a través de Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, EE. UU.). Nuestro sitio de marketing está alojado por Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, EE. UU.). Los tres tratan registros del servidor, incluidas direcciones IP. Base jurídica: art. 6.1.b y 6.1.f RGPD.

6.2 Tratamiento por IA (Anthropic y OpenAI)

Para nuestras funciones de IA utilizamos las interfaces de Anthropic, PBC (548 Market St, PMB 90375, San Francisco, CA 94104, EE. UU.) y OpenAI, L.L.C. (1960 Bryant Street, San Francisco, CA 94110, EE. UU.). Anthropic (Claude) genera agendas, impulsa el asistente de taller y analiza documentos e imágenes subidos. OpenAI convierte grabaciones de voz en texto, responde preguntas en el chat de ayuda y asume las solicitudes de agenda y conversación cuando el proveedor principal no está disponible. Se transmiten los contenidos que usted introduce, el historial de la conversación y los archivos subidos.

Conforme a sus respectivas condiciones, Anthropic y OpenAI no utilizan por defecto las entradas y salidas transmitidas a través de sus interfaces de programación para entrenar sus modelos.
El tratamiento se realiza en servidores situados en EE. UU. La transferencia está amparada por cláusulas contractuales tipo conforme al art. 46.2.c RGPD.
Nosotros no transmitimos por nuestra cuenta datos personales de terceros a los proveedores de IA. Lo que se transmite lo determina únicamente usted, mediante lo que escribe y lo que sube — no introduzca ahí datos personales de otras personas.
Base jurídica: art. 6.1.b RGPD — la generación por IA es la función principal del servicio.

6.3 Almacenamiento de archivos

Los archivos subidos se almacenan en Cloudflare, Inc., en su almacenamiento de objetos R2. Utilizamos un área de almacenamiento expresamente restringida a la UE, de modo que los archivos no salen de la Unión Europea. El acceso se produce exclusivamente mediante enlaces firmados de corta duración, válidos durante 60 segundos. Base jurídica: art. 6.1.b RGPD.

6.4 Envío de correo electrónico (Mailgun)

Enviamos correos transaccionales y de producto a través de Sinch Mailgun (Mailgun Technologies, Inc.) mediante su infraestructura europea; allí se transmiten la dirección del destinatario, el asunto y el contenido del mensaje. Mailgun inserta un píxel de recuento en nuestros correos y reescribe los enlaces que contienen, de modo que podemos saber si un correo fue entregado y abierto y si se hizo clic en un enlace. Para ello conservamos la dirección del destinatario, el asunto, el estado y las marcas de tiempo de esos eventos, pero no el contenido del correo, ni su dirección IP, ni su navegador. Base jurídica: art. 6.1.b RGPD para correos transaccionales, art. 6.1.f para la medición de entrega y art. 6.1.a para correos de producto y marketing.

6.5 Análisis de producto (PostHog)

Utilizamos PostHog Inc. para el análisis de producto; el tratamiento se realiza en la UE (eu.i.posthog.com). En nuestro sitio web, PostHog solo se activa tras su consentimiento mediante el banner de cookies (art. 6.1.a RGPD). En cambio, dentro de la aplicación con sesión iniciada recogemos eventos de producto sobre la base de nuestro interés legítimo (art. 6.1.f RGPD); en ese caso se transmiten su identificador de usuario y su dirección de correo electrónico como atributos. Además transmitimos mediciones técnicas de nuestras llamadas a la IA: modelo, número de tokens, coste, duración y tipo de error. El contenido de sus indicaciones y de las respuestas de la IA no se transmite.

6.6 Diagnóstico de errores (Sentry)

Para detectar y corregir fallos de software utilizamos Sentry (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, EE. UU.). Se transmiten mensajes de error, datos técnicos de estado y, en errores del servidor, su identificador de usuario y su dirección de correo. Una parte de las sesiones se registra como grabación de pantalla para el análisis de fallos; todo el texto se enmascara antes de la transmisión y los contenidos multimedia se bloquean. Base jurídica: art. 6.1.f RGPD.

6.7 Prevención de abusos (Cloudflare Turnstile)

El registro y el inicio de sesión están protegidos por Cloudflare Turnstile, un procedimiento para distinguir a las personas de los scripts automatizados. En el proceso se transmiten a Cloudflare su dirección IP y características técnicas de su navegador. Turnstile no instala cookies publicitarias ni elabora perfiles entre sitios. Base jurídica: art. 6.1.f RGPD (protección frente a ataques automatizados).

6.8 Procesamiento de pagos (Stripe)

Utilizamos Stripe Inc. (510 Townsend Street, San Francisco, CA 94103, EE. UU.) para procesar pagos. Al contratar una suscripción de pago, sus datos de pago se transmiten directamente a Stripe; no almacenamos datos de pago completos. A Stripe le transmitimos su dirección de correo electrónico y su identificador interno de usuario. Stripe está certificada en el Marco de Protección de Datos UE-EE. UU. Base jurídica: art. 6.1.b RGPD.

6.9 Análisis web y relación con clientes

En nuestro sitio de marketing utilizamos Google Analytics 4 y Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda), así como HubSpot Inc. (25 First Street, Cambridge, MA 02141, EE. UU.). Estos servicios solo se activan tras su consentimiento mediante el banner de cookies. Base jurídica: art. 6.1.a RGPD.

6.10 Formulario de contacto

Los mensajes de nuestro formulario de contacto y de solicitud se nos entregan por correo electrónico y se tramitan en nuestro buzón. Se transmiten el nombre, la dirección de correo electrónico y el texto de su mensaje. Conservamos la correspondencia el tiempo necesario para atender su solicitud. Base jurídica: art. 6.1.b o 6.1.f RGPD (tramitación de su solicitud).

6.11 Biblioteca de métodos de facilitación

Nuestra biblioteca de métodos contiene descripciones de fuentes propias, de fuentes con licencia abierta (Creative Commons) o reescritas con nuestras propias palabras. Los métodos procedentes de terceros se atribuyen en la página correspondiente. Al consultar la biblioteca no se transmiten datos personales a terceros.

7. Colaboración, enlaces compartidos e invitados

Workshop Weaver está pensado para la colaboración. Las siguientes funciones hacen visibles datos para otras personas; tenga en cuenta qué contenidos comparte a través de ellas:

Equipos: Si asigna un taller a un equipo, todos sus miembros pueden ver el contenido completo, incluidos objetivos, contexto, historial de conversación y archivos subidos. Además, los miembros ven sus nombres y direcciones de correo mutuamente. Los talleres personales sin asignación a un equipo permanecen privados.
Enlaces públicos para participantes: Puede compartir una agenda mediante un enlace accesible sin iniciar sesión. Quien conozca el enlace verá la agenda, incluidos el lugar, los horarios y, en su caso, la dirección de videoconferencia registrada. La página está excluida de los buscadores, pero el enlace en sí no cuenta con más protección. Puede revocar la publicación en cualquier momento desde la aplicación.
Enlaces de colaboración: Para recabar comentarios puede generar un enlace separado, que opcionalmente puede protegerse con contraseña y una fecha de caducidad.
Comentarios de invitados: Quien comente a través de un enlace de colaboración indica un nombre y puede dejar voluntariamente una dirección de correo. Estos datos se conservan y son visibles para la persona que compartió el enlace; los demás invitados solo ven el nombre. Si comparte un enlace de este tipo, informe a los destinatarios de este tratamiento. Los invitados pueden solicitar la supresión de sus datos en cualquier momento en privacy@workshopweaver.com.

8. Transferencias a terceros países

Una parte de nuestros proveedores tiene su sede en EE. UU. Cuando se transfieren datos personales allí, la transferencia está amparada de la siguiente forma:

Marco de Protección de Datos UE-EE. UU.: Para proveedores certificados en dicho marco: Google y Stripe.
Cláusulas contractuales tipo (CCT): Para proveedores no cubiertos por una decisión de adecuación, en particular Anthropic, OpenAI y Sentry.
Tratamiento en la UE: PostHog, Mailgun y HubSpot tratan los datos en sus centros europeos; nuestros servidores, bases de datos y el almacenamiento de archivos se encuentran exclusivamente en la UE.

9. Plazos de conservación

Conservamos sus datos solo durante el tiempo necesario para las finalidades descritas:

Datos de la cuenta: Durante la vigencia de su cuenta. Tras una solicitud de supresión se eliminan en un plazo de 30 días.
Contenidos del taller e historial de conversación: Durante la vigencia de su cuenta; se eliminan junto con ella.
Archivos subidos: 30 días después de archivar el taller correspondiente; después se eliminan automáticamente. Si elimina un taller de forma definitiva, se retiran de inmediato.
Registros no confirmados: 14 días; transcurridos estos, la cuenta se elimina por completo.
Borradores vacíos: 7 días.
Registros de entrega de correo: 180 días.
Registros del servidor: 7 días. Se generan en nuestros proveedores de alojamiento y se eliminan automáticamente después; solo se conservan más tiempo en la medida en que lo exija un incidente de seguridad concreto.
Datos de seguridad y abuso: 2 horas (contadores de intentos de inicio de sesión y de frecuencia de peticiones).
Justificantes de pago y facturación: 10 años tras la finalización del contrato (§ 147 AO, § 257 HGB).
Solicitudes de contacto: 3 años desde la última comunicación, o más si resulta necesario para reclamaciones jurídicas.
Datos de análisis de producto: 12 meses.
Datos de diagnóstico de errores: 90 días.

Cuando existan obligaciones legales de conservación que impidan la supresión, se limitará el tratamiento en su lugar y los datos se eliminarán una vez transcurrido el plazo.

10. Sus derechos según el RGPD

Usted tiene los siguientes derechos sobre sus datos personales:

Derecho de acceso (art. 15 RGPD): Obtener confirmación de si tratamos sus datos y solicitar una copia.
Derecho de rectificación (art. 16 RGPD): Solicitar la corrección de datos inexactos.
Derecho de supresión (art. 17 RGPD): Solicitar la eliminación de sus datos personales («derecho al olvido»).
Derecho de limitación (art. 18 RGPD): Solicitar la limitación del tratamiento en determinadas circunstancias.
Derecho a la portabilidad (art. 20 RGPD): Recibir sus datos en un formato estructurado, de uso común y lectura mecánica. Se los facilitamos a petición.
Derecho de oposición (art. 21 RGPD): Oponerse en cualquier momento al tratamiento basado en intereses legítimos, lo que incluye expresamente el análisis de producto en el área con sesión iniciada.
Derecho a retirar el consentimiento (art. 7.3 RGPD): Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Para ejercer estos derechos, contáctenos en privacy@workshopweaver.com.

11. Derecho de reclamación

Tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos (art. 77 RGPD). La autoridad competente para nosotros es:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)

Holstenstraße 98, 24103 Kiel, Alemania

Teléfono: +49 431 988-1200

Sitio web: www.datenschutzzentrum.de

12. Tratamiento por IA y decisiones automatizadas

Workshop Weaver utiliza inteligencia artificial para generar agendas de taller, proponer métodos, analizar documentos subidos y convertir voz en texto. Este tratamiento por IA:

se basa en la información que usted facilita: objetivos, contexto, condiciones, archivos subidos y mensajes de conversación;
no adopta decisiones jurídicas ni de efecto similarmente significativo sobre usted; no se produce una decisión automatizada en el sentido del art. 22 RGPD;
no utiliza sus contenidos para entrenar modelos de IA: las interfaces de Anthropic y OpenAI no los emplean por defecto con ese fin;
es prestado por Anthropic y OpenAI (véase la sección 6.2); sus entradas se transfieren a EE. UU. a tal efecto;
abarca también los contenidos que usted sube: las imágenes y los documentos escaneados se transmiten íntegramente al proveedor de IA para el reconocimiento de texto.

Recomendación: No introduzca datos personales sensibles de terceros (por ejemplo, de empleados o participantes) en los campos de entrada de la IA, ni suba documentos que los contengan. Describa los objetivos y el contexto en términos generales siempre que sea posible. Usted sigue siendo responsable de los contenidos que introduce en la aplicación.

13. Seguridad de los datos

Adoptamos medidas técnicas y organizativas adecuadas para proteger sus datos personales: cifrado TLS de todas las transmisiones, cifrado de los datos almacenados, contraseñas guardadas únicamente como resumen criptográfico, almacenamiento cifrado de las claves que usted deposite, protección del registro y del inicio de sesión frente a ataques automatizados, controles de acceso limitados al personal autorizado y actualización periódica de los componentes utilizados.

14. Cambios en esta política

Podemos actualizar esta política de privacidad para reflejar cambios en nuestro tratamiento o en el marco jurídico. Informaremos por correo electrónico a los usuarios registrados de las modificaciones sustanciales. La versión vigente está siempre disponible en: workshopweaver.com/privacy

15. Contacto

Si tiene preguntas sobre esta política o sobre sus datos personales, puede escribirnos a: