Política de privacidad

1. Responsable del tratamiento

• Titular: POSPON, S.L.
• CIF: B19910991
• Domicilio: Calle Columela 9, 28001 Madrid, España
• Email de contacto: info@genyus.ai

Para cualquier cuestión sobre privacidad puedes escribirnos a info@genyus.ai. No hemos designado un delegado de protección de datos porque no estamos obligados a ello.

2. Qué datos tratamos

• Datos de tu cuenta: nombre, email, contraseña (guardada solo como hash) o, si entras con Google, el identificador, nombre, email y foto de perfil que Google nos facilita, y los ajustes que eliges (tono de las respuestas, firma, reglas de publicación y avisos por email).
• Datos de tu negocio y de facturación: nombre del negocio, sector, razón social, NIF, dirección fiscal, email de facturación, datos de contacto del negocio que decides mostrar, dirección y teléfono de envío del Welcome Pack, suscripción y facturas. Los pagos los procesa Stripe: nosotros no vemos ni guardamos el número completo de tu tarjeta.
• Datos de tu Perfil de Empresa de Google: los que se detallan en el apartado «Datos de usuario de Google».
• Contenido generado en el servicio: respuestas propuestas, versiones, respuestas publicadas, decisiones de aprobación y el historial de acciones de tu cuenta.
• Mensajes que nos envías: nombre, email, negocio y el contenido del mensaje del formulario de contacto.
• Simulador de la web: no guardamos el texto de las reseñas que pegas. Solo registramos cuántas veces se usa, con un identificador seudonimizado de tu navegador y de tu dirección IP, para aplicar el límite de usos diarios.
• Datos técnicos y de uso: dirección IP (guardada de forma seudonimizada), tipo de navegador, páginas visitadas y eventos básicos de uso (por ejemplo, registro o conexión con Google). Las cookies de análisis y publicidad solo se activan si las aceptas; ver la política de cookies.

3. Datos de usuario de Google

Inicio de sesión con Google

Si eliges «Continuar con Google», Google nos facilita tu nombre, tu email y tu foto de perfil (permisos openid, email y profile). Los usamos únicamente para crear tu cuenta, identificarte al entrar y mostrarte con qué cuenta has iniciado sesión.

Conexión con tu Perfil de Empresa

Para prestar el servicio, Genyus solicita el permiso https://www.googleapis.com/auth/business.manage. Con él accedemos a:

• La lista de cuentas y fichas de empresa que gestionas, solo para que elijas qué ficha conectar.
• Los datos básicos de la ficha que eliges: nombre, categoría, dirección, teléfono, web e identificador de Google Maps (place ID), que usamos para mostrarla en tu panel y generar el enlace y el código QR para pedir reseñas.
• Las reseñas de esa ficha (nombre del autor tal como lo muestra Google, puntuación, texto y fechas) y las respuestas del propietario.
• El email de la cuenta de Google conectada, para mostrarte qué cuenta usaste.

Con ese mismo permiso, Genyus realiza únicamente estas acciones en tu nombre:

• Publicar, editar o retirar las respuestas a las reseñas de la ficha conectada, según tus reglas o tu aprobación.
• Configurar las notificaciones de Google para enterarnos de las reseñas nuevas o editadas.

Genyus no modifica los datos de tu ficha (horarios, fotos, dirección, categorías, publicaciones ni cualquier otra información) y no accede a otros servicios de tu cuenta de Google.

Para qué usamos los datos de Google

Exclusivamente para prestarte las funciones de Genyus que tú ves y controlas: detectar reseñas, clasificar las que son delicadas, preparar y publicar respuestas, avisarte por email, mostrarte estadísticas de tu ficha en el panel, enviarte resúmenes y crear imágenes para compartir tus reseñas si tú lo pides.

Uso limitado

El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google se ajustará a la Política de datos de usuario de los servicios de las API de Google, incluidos los requisitos de Uso limitado. En concreto:

• Solo usamos los datos de Google para ofrecer y mejorar las funciones visibles de Genyus para ti.
• Solo transferimos esos datos a terceros cuando es necesario para prestar esas funciones (los proveedores del apartado «Con quién compartimos los datos»), para cumplir la ley o como parte de una fusión o adquisición con tu consentimiento o aviso previo.
• No usamos ni transferimos los datos de Google para mostrar publicidad, incluida la publicidad personalizada o basada en intereses.
• No vendemos los datos de Google ni los usamos para crear perfiles de usuario, para análisis de mercado ni para evaluar solvencia.
• Ninguna persona de Genyus lee los datos de Google, salvo que tú nos des permiso expreso (por ejemplo, al pedirnos ayuda con una reseña concreta), cuando sea necesario por motivos de seguridad (investigar un abuso o un fallo), para cumplir la ley, o cuando los datos se hayan agregado y anonimizado para operar el servicio.
• No usamos los datos de Google para entrenar ni mejorar modelos de inteligencia artificial generales, ni permitimos que lo hagan nuestros proveedores.

Cómo revocar el acceso

Puedes desconectar Google en cualquier momento desde Ajustes → Desconectar Google en tu panel, o desde la página de seguridad de tu cuenta de Google (myaccount.google.com/permissions). Al desconectar, revocamos los tokens y dejamos de acceder a tu ficha.

4. Inteligencia artificial

Para redactar las respuestas y clasificar las reseñas, enviamos a nuestro proveedor de inteligencia artificial (Anthropic) el texto y la puntuación de la reseña, el nombre de pila del autor cuando no es anónimo, el nombre y sector de tu negocio, el tono y la firma que has elegido y, para evitar repeticiones, tus últimas respuestas publicadas. No enviamos tu email, tus datos fiscales ni tus datos de pago.

La inteligencia artificial propone la respuesta y el nivel de riesgo, pero las reglas de publicación las decides tú: las reseñas de 1 y 2 estrellas y las que tienen contenido delicado nunca se publican sin tu aprobación, y puedes editar o cambiar cualquier respuesta.

Para las imágenes de «Compartir en redes» usamos el servicio de generación de imágenes de Google (Gemini) con una descripción genérica del tipo de negocio (por ejemplo, «interior de un restaurante»). No enviamos a ese servicio el texto de las reseñas ni datos personales: el texto se añade después en nuestros servidores.

5. Finalidades y base jurídica

• Prestarte el servicio contratado (cuenta, conexión con Google, respuestas, avisos, panel, soporte): ejecución del contrato o de las medidas precontractuales que solicitas, como la prueba gratuita (art. 6.1.b RGPD).
• Cobrar la suscripción, emitir facturas y cumplir obligaciones fiscales y contables, incluido el sistema VERI*FACTU: cumplimiento de obligaciones legales (art. 6.1.c RGPD).
• Enviarte emails del servicio (reseñas pendientes, avisos de la cuenta, facturas) y los resúmenes semanales y mensuales, que puedes desactivar en Ajustes o desde el enlace de baja de cada email: ejecución del contrato.
• Seguridad, prevención del fraude y del abuso (límites de uso, registro de auditoría): interés legítimo en proteger el servicio y a sus usuarios (art. 6.1.f RGPD).
• Medir y mejorar la web y nuestras campañas con cookies de análisis o publicidad: tu consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde «Configurar cookies».
• Atender tus mensajes de contacto: tu consentimiento al enviarnos el formulario y nuestro interés legítimo en responderte.

6. Con quién compartimos los datos

No vendemos datos personales. Solo los comunicamos a los proveedores que necesitamos para prestar el servicio, que actúan como encargados del tratamiento con contrato y bajo nuestras instrucciones:

• Hetzner Online GmbH (Alemania): servidores donde se alojan la aplicación, la base de datos y los archivos, ubicados en la Unión Europea.
• Anthropic, PBC (Estados Unidos): generación de las respuestas con inteligencia artificial.
• Google: inicio de sesión con Google, APIs de Perfil de Empresa y generación de imágenes (Gemini).
• Resend (Estados Unidos): envío de los emails del servicio.
• Stripe Payments Europe, Ltd. (Irlanda): cobro de las suscripciones.
• Proveedor de facturación verificable VERI*FACTU: remisión de los registros de facturación a la Agencia Tributaria cuando sea obligatorio.
• Cloudflare: gestión de los registros DNS del dominio.
• Google Analytics y Meta: solo si aceptas las cookies correspondientes.

También comunicamos datos a la Agencia Tributaria, a juzgados y a otras autoridades cuando una ley nos obliga, y a empresas de transporte los datos de envío del Welcome Pack del plan anual.

7. Transferencias internacionales

Algunos proveedores (Anthropic, Resend, Google y, en su caso, Stripe y Meta) pueden tratar datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Lo hacen con las garantías previstas en el RGPD: empresas adheridas al Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo aprobadas por la Comisión Europea, con medidas adicionales cuando son necesarias.

8. Cuánto tiempo conservamos los datos

• Datos de la cuenta, del negocio y de Google: mientras tengas la cuenta activa.
• Al eliminar la cuenta: revocamos el acceso a Google y borramos de inmediato las reseñas, respuestas, versiones, ajustes, fichas y tokens, y anonimizamos tu perfil.
• Cuentas canceladas sin eliminar: borramos los textos de las reseñas y respuestas a los 90 días de la cancelación.
• Facturas y datos fiscales: el plazo que exige la ley (6 años según el Código de Comercio y el plazo de prescripción de las obligaciones tributarias), aunque elimines la cuenta.
• Eventos de uso y registros técnicos: hasta 13 meses.
• Registros de consentimiento de cookies y de auditoría: el tiempo necesario para acreditar el cumplimiento.
• Mensajes de contacto: hasta resolver tu consulta y, después, durante el plazo de posibles reclamaciones.

9. Cómo protegemos los datos

• Toda la comunicación con Genyus va cifrada con HTTPS.
• Los tokens de acceso de Google se guardan cifrados con AES-256-GCM y nunca se muestran ni se registran en los logs.
• La base de datos aplica aislamiento por cuenta a nivel de filas (Row Level Security): cada negocio solo puede acceder a sus propios datos.
• Las contraseñas se guardan solo como hash. Las direcciones IP se guardan seudonimizadas.
• Los enlaces de aprobación por email son de un solo uso, caducan a los 7 días y nunca publican nada al abrirse.
• Los accesos del equipo de administración quedan registrados en un historial de auditoría.
• Realizamos copias de seguridad diarias que se guardan en la Unión Europea.

10. Datos de las personas que escriben reseñas

Las reseñas de tu ficha contienen datos de terceros (nombre visible en Google y opinión). Respecto a esos datos, el negocio es el responsable del tratamiento y Genyus actúa como encargado, tratándolos solo para gestionar las respuestas en su nombre. Las respuestas que prepara Genyus no repiten datos personales ni de salud que aparezcan en la reseña y usan como mucho el nombre de pila del autor. Si has escrito una reseña y quieres ejercer tus derechos, puedes dirigirte al negocio o escribirnos y se lo trasladaremos.

11. Tus derechos

Puedes ejercer en cualquier momento tus derechos de:

• Acceso a tus datos y portabilidad: desde Ajustes → «Exportar mis datos» o escribiéndonos.
• Rectificación de datos inexactos: desde Ajustes o escribiéndonos.
• Supresión: desde Ajustes → «Eliminar cuenta» o escribiéndonos.
• Oposición y limitación del tratamiento.
• Retirar tu consentimiento (cookies, emails de resumen) sin que afecte a lo tratado antes.

Escríbenos a info@genyus.ai indicando qué derecho quieres ejercer. Te responderemos en el plazo máximo de un mes. Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

12. Menores

Genyus es un servicio para negocios y no está dirigido a menores de 18 años. No tratamos conscientemente datos de menores.

13. Cambios en esta política

Si cambiamos esta política de forma relevante (por ejemplo, un nuevo uso de los datos de Google o un nuevo proveedor), lo publicaremos en esta página con su fecha de actualización y te avisaremos por email con antelación. Nunca usaremos los datos de Google para una finalidad distinta de la descrita sin pedirte antes tu consentimiento.