Borrador no revisado legalmente · Draft not legally reviewed. Este texto es un punto de partida razonable para España (RGPD, LSSI-CE, LOPDGDD) pero no constituye asesoramiento legal. El titular debe revisarlo con un abogado antes de su publicación definitiva.

Política de privacidad

Última actualización: 3 de septiembre de 2026

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de este sitio es:

Denominación: Aymar Innovations, S.L.
NIF: B26770594
Dirección postal: Avda. Inmaculada Concepción 39, Portal 3, 4º B, 29631 Benalmádena (Málaga), España
Correo electrónico: hola@nuntius.chat
Teléfono: +34 603 293 908

Cuando actuamos frente a los clientes finales de nuestros clientes (empresas que contratan la plataforma Nuntius), nuestro papel es distinto: somos encargados del tratamiento, no responsables. Esta distinción se explica en la sección 7.

2. Finalidades del tratamiento

Tratamos los datos personales que nos facilitas con las siguientes finalidades:

Atender las consultas, solicitudes de demo y comunicaciones enviadas a través del formulario de contacto.
Enviar comunicaciones comerciales sobre nuestros productos y servicios, únicamente cuando hayas prestado tu consentimiento expreso para ello.
Cumplir con las obligaciones legales que resulten de aplicación.
Gestionar el alta, el acceso, el uso y la facturación de la plataforma Nuntius por parte de las empresas que la contratan y de sus usuarios autorizados.
Operar, por cuenta de esas empresas, los agentes conversacionales de inteligencia artificial que contratan (en calidad de encargados del tratamiento respecto de los datos de sus clientes finales — ver sección 7).

3. Base legal

La base legal para el tratamiento de tus datos es el consentimiento que prestas al enviar el formulario de contacto y, en su caso, al marcar la casilla específica para recibir comunicaciones comerciales (artículo 6.1.a del Reglamento General de Protección de Datos).

Cuando contratas la plataforma como empresa cliente, la base legal adicional es la ejecución del contrato de prestación de servicios (artículo 6.1.b del Reglamento General de Protección de Datos). Cuando actuamos como encargados del tratamiento (sección 7), la base legal del tratamiento la determina el propio cliente en su relación con sus clientes finales.

4. Categorías de datos tratados

Tratamos las siguientes categorías de datos personales:

Datos identificativos: nombre y apellidos.
Datos de contacto: dirección de correo electrónico y, opcionalmente, teléfono.
Datos profesionales: empresa o sector, tamaño del equipo y CRM utilizado, cuando los facilitas en el formulario.
Contenido de tus mensajes y cualquier otra información que decidas aportar voluntariamente.
Datos de cuenta y de uso de la plataforma (credenciales de acceso, registros de actividad, configuración del servicio) cuando eres cliente o usuario autorizado de Nuntius.
Datos de facturación, gestionados directamente por nuestro proveedor de pagos (ver sección 6).

5. Plazo de conservación

Los plazos de conservación dependen del tipo de dato y de la relación que tengas con nosotros:

Consultas y formulario de contacto: mientras sea necesario para atender tu solicitud y, después, durante los plazos legalmente exigibles para atender posibles responsabilidades derivadas del tratamiento.
Datos de clientes finales de nuestros clientes (por ejemplo, si has escrito al asistente de WhatsApp de una empresa que usa Nuntius): mientras la cuenta de esa empresa esté activa. Puedes solicitar la supresión de tus datos en cualquier momento (sección 8); cuando la ejecutamos, borramos de forma efectiva tus conversaciones, mensajes y archivos adjuntos, y anonimizamos los registros que deban conservarse por motivos estadísticos.
Baja de una empresa cliente: cuando una empresa deja de utilizar la plataforma, conservamos sus datos y los de sus clientes finales durante un periodo de gracia de 30 días (por si la baja fue accidental) y, transcurrido ese plazo, los eliminamos de forma efectiva de nuestras bases de datos y sistemas de almacenamiento.
Registros internos de auditoría de seguridad: 90 días, con eliminación automática.
Archivos adjuntos huérfanos (subidas incompletas o abandonadas): se eliminan automáticamente en un barrido periódico, con una ventana mínima de seguridad de 48 horas.

6. Destinatarios y encargados del tratamiento

No cedemos tus datos a terceros salvo obligación legal. Para prestar nuestros servicios recurrimos a los siguientes proveedores, que actúan como encargados del tratamiento (o, en su caso, como responsables independientes de los datos de pago). Su intervención concreta depende de si nos visitas como usuario del sitio web o contratas la plataforma Nuntius como cliente:

6. Destinatarios y encargados del tratamiento
Proveedor	Servicio	Ubicación / transferencia	Garantía
Formspree (Statamic LLC)	Gestión del formulario de contacto del sitio web	Estados Unidos	Marco de Privacidad de Datos UE-EE. UU. (EU-US DPF) y/o cláusulas contractuales tipo
Stripe Payments Europe, Ltd. (y grupo Stripe)	Pasarela de pago y facturación de las suscripciones	Irlanda (UE); entidades del grupo en Estados Unidos	Entidad UE para el tratamiento europeo; cláusulas contractuales tipo para las transferencias del grupo
Kapso	Proveedor tecnológico (BSP) del canal de WhatsApp de la plataforma	No verificada de forma independiente por nuestra parte	Cláusulas contractuales tipo u otro mecanismo del Capítulo V RGPD, en la medida en que aplique
Meta Platforms Ireland Ltd. (grupo Meta)	Infraestructura de los canales WhatsApp Business Platform, Messenger e Instagram Direct	Irlanda (UE); entidades del grupo en Estados Unidos	Cláusulas contractuales tipo y demás mecanismos del Capítulo V ofrecidos por Meta
Telegram (Telegram FZ-LLC / Telegram Messenger Inc.)	Infraestructura del canal de mensajería Telegram	No publica una ubicación de tratamiento verificable públicamente	No ofrece un mecanismo estándar de transferencia UE documentado; punto señalado para la revisión legal pendiente
OpenAI (OpenAI, L.L.C. / OpenAI Ireland Ltd.)	Proveedor principal de modelos de IA generativa que generan las respuestas de los agentes	Estados Unidos; presencia en la UE	Cláusulas contractuales tipo u otro mecanismo del Capítulo V RGPD
Google (Google Ireland Ltd. / Google LLC)	Modelo de IA generativa de respaldo (Gemini); además Google Calendar, inicio de sesión y reCAPTCHA para el panel	Irlanda (UE); entidades del grupo en Estados Unidos	Cláusulas contractuales tipo u otro mecanismo del Capítulo V RGPD
Anthropic, PBC	Modelo de IA generativa de respaldo (Claude)	Estados Unidos	Cláusulas contractuales tipo u otro mecanismo del Capítulo V RGPD
DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.)	Modelo de IA generativa de respaldo	China — sin decisión de adecuación de la Comisión Europea	Cláusulas contractuales tipo con medidas suplementarias; punto reforzado señalado para la revisión legal
Ollama (motor autoalojado)	Modelo de IA de respaldo ejecutado en nuestra propia infraestructura, sin envío a un tercero	Infraestructura propia de Aymar Innovations, S.L.	No aplica transferencia a terceros mientras se ejecuta de forma autoalojada
Vercel Inc.	Alojamiento y entrega del sitio web público (nuntius.chat)	Estados Unidos; red de entrega distribuida	Marco de Privacidad de Datos UE-EE. UU. (EU-US DPF) y/o cláusulas contractuales tipo
Proveedor de infraestructura en la nube / alojamiento del backend	Alojamiento de la plataforma, bases de datos y almacenamiento de ficheros (adjuntos, documentos generados)	Pendiente de confirmación definitiva para el entorno de producción	Se exigirán las garantías del Capítulo V RGPD que correspondan según la ubicación final
Proveedor de correo electrónico transaccional	Envío de códigos de verificación y notificaciones por email	Pendiente de selección definitiva para producción	Se exigirán las garantías del Capítulo V RGPD que correspondan según el proveedor elegido

Transferencias internacionales: varios de estos proveedores tratan datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos y, en el caso de DeepSeek, en China. Para las transferencias a Estados Unidos nos apoyamos, según el proveedor, en su adhesión al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y/o en cláusulas contractuales tipo aprobadas por la Comisión Europea. China no cuenta con una decisión de adecuación de la Comisión Europea, por lo que la transferencia a DeepSeek exige cláusulas contractuales tipo reforzadas con medidas suplementarias; este punto está señalado para la revisión legal pendiente (ver aviso al inicio de esta página).

7. Doble papel: responsable y encargado del tratamiento

Aymar Innovations, S.L. desempeña dos papeles distintos según el dato de que se trate. Como responsables del tratamiento, decidimos cómo y para qué tratamos los datos de las personas que visitan este sitio web y los datos de las empresas que contratan la plataforma y de sus usuarios autorizados — es el papel descrito en el resto de esta política.

Como encargados del tratamiento, tratamos los datos de los clientes finales de esas empresas (las personas que escriben a sus agentes conversacionales) siguiendo únicamente sus instrucciones, documentadas en un contrato de encargo de tratamiento conforme al artículo 28 del Reglamento General de Protección de Datos. Ese contrato está disponible, en su versión borrador, en nuestra página de Encargo de tratamiento de datos.

Esos mensajes fluyen a través de distintos canales, según el que utilice cada cliente final: WhatsApp Business Platform, Messenger e Instagram Direct (a través de Meta), Telegram, y el widget de chat integrado en la propia web de la empresa.

8. Derechos del interesado

Puedes ejercer en cualquier momento los siguientes derechos reconocidos por el Reglamento General de Protección de Datos (artículos 15 a 22):

Acceso a tus datos personales.
Rectificación de los datos inexactos o incompletos.
Supresión de los datos cuando ya no sean necesarios.
Limitación del tratamiento en los supuestos previstos en la normativa.
Oposición al tratamiento por motivos relacionados con tu situación particular.
Portabilidad de los datos en formato estructurado y de uso común.

Si eres cliente final de una empresa que utiliza Nuntius (por ejemplo, si has hablado con su asistente de WhatsApp, Telegram o el widget de su web), puedes ejercer estos derechos directamente ante esa empresa, que es la responsable de tus datos, o ante nosotros como encargados del tratamiento. En este segundo caso, cuando la plataforma lo permite de forma directa —como ocurre con la supresión de tus datos—, la ejecutamos nosotros mismos; en el resto de casos, trasladamos tu solicitud a la empresa responsable.

9. Ejercicio de derechos y autoridad de control

Para ejercer cualquiera de estos derechos puedes escribirnos a la dirección de correo electrónico indicada al inicio, acreditando tu identidad. Si consideras que el tratamiento de tus datos no se ajusta a la normativa vigente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

…