Política de privacidad de Auralis

Versión: auralis-privacy-20261022-r6-privacy-redaction.

1. Identidad y funciones

Auralis es un servicio de la marca Noviga. Contacto profesional: info@noviga.ai. Sitio: https://auralis.noviga.ai.

Noviga actúa como responsable de los datos necesarios para sus cuentas, relación comercial, soporte y obligaciones propias. La empresa que utiliza Auralis decide las finalidades de la atención a sus contactos, su base jurídica y sus avisos. Cuando Noviga trata esos datos siguiendo sus instrucciones, actúa como encargado conforme al acuerdo entre ambas partes.

Esta política no sustituye la información que cada empresa debe facilitar a sus contactos ni su encargo de tratamiento.

2. Datos y finalidades

Tratamiento	Datos	Finalidad y base
Cuenta y relación con profesionales que contratan directamente	Nombre y contacto profesional, empresa, usuarios, pertenencias, permisos y autenticación	Gestionar el acceso y prestar el servicio contratado, sobre la base de su ejecución contractual.
Representantes y empleados de clientes empresariales	Identificación y contacto profesionales, función y permisos	Mantener la relación con la entidad representada, por el interés legítimo limitado a esa relación.
Facturación	Datos fiscales, importes, consumo verificado e identificadores de cliente, factura o suscripción	Gestionar la contratación cuando el interesado sea parte y cumplir las obligaciones legales fiscales y contables aplicables. Los datos de representantes se limitan a su relación profesional.
Contacto y soporte	Contacto y contenido necesario facilitado en la solicitud	Atender solicitudes previas o incidencias del contrato; para representantes, gestionar la relación profesional.
Seguridad y auditoría	Eventos técnicos, accesos y acciones autorizadas y sus resultados	Proteger cuentas, investigar incidencias y mantener trazabilidad, por el interés legítimo de seguridad sujeto a necesidad y proporcionalidad.
Atención de los contactos de una empresa	Contactos, reservas, metadatos y contenido mínimo que requiera la función activada	Ejecutar las instrucciones de esa empresa. Ella identifica la base jurídica y facilita la información a sus contactos.

La lectura de esta política no constituye consentimiento para cualquier tratamiento. Los datos necesarios para crear una cuenta o ejecutar una operación se indicarán al solicitarlos; si no se facilitan, esa cuenta u operación no podrá completarse.

Los datos aportados por un administrador o por una empresa se limitan a la relación y funciones indicadas. Cuando proceda, se facilitará también la información exigible por su obtención indirecta. No se incorpora por esta política una finalidad publicitaria ni una autorización general para reutilizar conversaciones para otras finalidades.

3. Canales, contenido y permisos

Las conexiones de voz, WhatsApp, calendario y correo se configuran por empresa. Las credenciales se gestionan en el servidor y no se muestran en campos ordinarios del panel.

Voz y WhatsApp

La conservación de texto de llamadas y mensajes en Auralis es una función separada y opcional, desactivada en el piloto. Antes de habilitarla se definirán su finalidad, información, plazo, personas con acceso y procedimiento de eliminación. Las lecturas y exportaciones de contenido admitido tienen sus comprobaciones y auditoría.

Los proveedores del canal deben procesar audio o mensajes para prestar la atención. Desactivar la captura local no equivale a impedir ese procesamiento o su conservación externa. En el agente de voz del piloto de ElevenLabs, el guardado de audio está desactivado y se utiliza audio en tiempo real para la atención. La conservación de conversaciones está configurada a 30 días, con la eliminación de transcripciones e información personal derivada configurada al vencer ese plazo. El modo de retención cero está desactivado.

El ajuste de guardado de audio no acredita la eliminación de audios históricos: la eliminación de audio figura desactivada. Estos ajustes no describen por sí solos las copias, subproveedores o tratamientos fuera de ese agente. La sección 4 identifica los servicios del núcleo y sus marcos de protección.

Aunque no se conserve texto en Auralis, pueden existir metadatos de actividad. La conexión de WhatsApp no importa por sí sola conversaciones anteriores o contactos del móvil ni acredita compatibilidad con su aplicación móvil. El piloto tiene una integración WhatsApp configurada. Su alcance depende de los activos y autorizaciones de cada empresa.

El agente del piloto utiliza Qwen3.5-397B-A17B como modelo principal, con respaldo «Default» y guardado del resumen de razonamiento desactivado. La documentación de ElevenLabs identifica ese modelo como alojado por el propio proveedor. Sitúa este alojamiento en Estados Unidos y contempla regiones Enterprise específicamente acordadas. Según esa documentación, las entradas y salidas se procesan en infraestructura gestionada por ElevenLabs y no se entregan al desarrollador original del modelo.

ElevenLabs administra la secuencia de respaldo y puede utilizar servicios de Google, OpenAI o Anthropic para continuar la atención si falla el modelo principal.

En el workspace del piloto está guardada la exclusión de datos nuevos para la mejora de modelos mediante el control «Mejora los modelos para todos» desactivado. La elección se aplica a datos nuevos de ese workspace; no elimina datos anteriores ni revierte un eventual uso previo. Los servicios externos de modelo se rigen además por las condiciones de protección correspondientes. Es una elección separada de la retención de conversaciones y del guardado de audio.

Google Calendar y Gmail

Google Calendar solicita permiso para consultar la lista de calendarios de la cuenta (calendar.calendarlist.readonly) y para ver y editar eventos en todos sus calendarios (calendar.events). Auralis trabaja con el calendario seleccionado para la función contratada. El modo «solo disponibilidad» limita el tratamiento y los detalles externos mostrados por Auralis; no convierte el permiso OAuth concedido en un permiso exclusivo de libre/ocupado. El alcance se muestra en Google antes de autorizar.

Gmail solicita openid y email para identificar la cuenta autorizada, y gmail.send para enviar correos en su nombre. Este conjunto no concede lectura del buzón. La empresa determina las funciones, destinatarios y contenido de envío; los mensajes enviados quedan sujetos también a su cuenta externa.

Se solicita acceso offline para mantener la conexión mediante renovación de permisos. Los tokens se guardan cifrados en el servidor. La autorización puede revocarse desde la cuenta del proveedor y la conexión puede desconectarse en Auralis. Esto puede impedir nuevas operaciones y requerir otra autorización; no elimina los eventos o correos ya existentes en Google.

Las funciones autorizadas y el tratamiento de los datos de Google se someten también a las condiciones y restricciones de su Política de datos de usuario de los servicios API. Una autorización de calendario o correo no habilita un uso general de esos datos para otras finalidades. Otros proveedores de correo o calendario requieren sus autorizaciones y documentación propias.

Para seleccionar y mantener Calendar, Auralis obtiene la identificación y el nombre del calendario, zona horaria y permisos de la cuenta. Los nombres e identificadores pueden contener información personal. La sincronización de ocupación emplea referencias, estado, inicio y fin de eventos, junto con los datos técnicos para actualizar cambios. Esa ocupación se vincula al calendario y no se considera automáticamente anónima.

A partir de ella, Auralis calcula y comunica al asistente opciones de horario y los recursos o profesionales disponibles para la gestión solicitada. Es información derivada del calendario. La respuesta de disponibilidad no incluye las filas de ocupación, sus identificadores de evento Google ni los tokens de acceso Google. La consulta de reservas del propio canal utiliza el servicio y las fechas de la reserva de Auralis, en lugar de copiar el contenido de un evento importado de Google.

La selección de calendarios y algunas operaciones de sincronización, compatibilidad o recuperación pueden recibir otros campos, incluidos nombres de calendario o títulos de eventos. Por ello, «solo disponibilidad» no significa que toda operación reciba exclusivamente franjas horarias.

La conexión Gmail obtiene la identidad verificada y el remitente autorizado, y conserva cifradas las credenciales necesarias para renovar el acceso y enviar. No importa el buzón. El envío utiliza la información de la operación y las plantillas autorizadas, con destinatario, asunto y cuerpo del mensaje correspondiente. Los correos enviados también quedan sujetos a la conservación de la cuenta externa.

4. Proveedores, ubicaciones y garantías de transferencia

La web, las cuentas y el piloto utilizan los servicios del cuadro siguiente. La función de encargado o subencargado depende de si los datos se tratan por cuenta de Noviga o de la empresa cliente. Los proveedores pueden tener funciones propias para sus cuentas, seguridad, facturación u obligaciones, conforme a sus condiciones.

Servicio	Proveedor y datos	Ubicación y límites conocidos
Google Cloud, Cloud Run y registros	Google: infraestructura para atender peticiones y registros técnicos. La entidad del proveedor depende del acuerdo, servicio y dirección de facturación conforme a su tabla de entidades.	Servidor Cloud Run en Madrid; buckets de logs examinados `global`. Madrid no describe la ubicación de todos los servicios, copias o subencargados.
Firebase Hosting	Google: entrega de la web y datos técnicos necesarios para esa entrega.	Su configuración no acredita residencia exclusivamente europea. Sus términos de datos se distinguen de los de Cloud Run.
Neon PostgreSQL	Neon, bajo el Schedule de Databricks, Inc., matriz de Neon, LLC: datos de cuentas, empresas, contactos, reservas, permisos e integraciones almacenados en Auralis.	Proyecto en Ohio, Estados Unidos, `aws-us-east-2`. Historial de restauración de seis horas y una rama histórica archivada, con los límites de la sección 5.
ElevenAgents	Eleven Labs Inc., identificada en sus términos EEA: audio y contexto necesarios para atender la conversación, y contenido/metadatos que conserve el agente.	Modelo principal y respaldo descritos en la sección 3, con alojamiento y posibles tratamientos en Estados Unidos y otros destinos de sus subencargados o soporte conforme a su marco de protección. Conversaciones configuradas a 30 días; audio y opt-out con el alcance indicado.
WhatsApp Business Platform del piloto	WhatsApp y Meta, para la conexión empresarial, los activos autorizados y el tratamiento de mensajes y metadatos que exija el canal. Los términos de la plataforma identifican a WhatsApp Ireland Limited para la región europea y a WhatsApp LLC fuera de ella.	El canal puede implicar transferencias a Estados Unidos y otros países conforme a sus condiciones. Los tratamientos propios del operador y los realizados por cuenta de la empresa tienen alcances distintos.

Los servicios utilizados tienen marcos electrónicos de protección y transferencia. Los enlaces siguientes permiten consultar sus condiciones y los mecanismos, incluidas las cláusulas contractuales tipo de la Comisión Europea (SCC), en los supuestos que describen.

Relación	Marco y acceso a las garantías
Google Cloud	Las condiciones Cloud, §5.2 y definición de URL Terms, incorporan el Cloud Data Processing Addendum. Su apéndice europeo contiene el régimen de transferencias restringidas y las SCC correspondientes a las funciones de las partes. Los datos pueden tratarse en instalaciones de Google o sus subencargados con los límites acordados.
Firebase Hosting	La tabla Firebase remite Hosting a Google APIs Terms, Firebase Data Processing and Security Terms y Paid Services Agreement cuando corresponda. Las condiciones de datos se incorporan a ese acuerdo y contienen su régimen de transferencias y SCC por referencia. Una variante offline expresamente acordada puede sustituir el marco estándar.
Neon	El Schedule vincula el uso del servicio al Databricks MCSA, cuyo §1.4 incorpora el DPA por referencia. El DPA contempla SCC para transferencias restringidas; la página oficial y su texto de consulta permiten acceder a las garantías.
ElevenLabs	Los términos EEA incluyen el DPA para el tratamiento empresarial correspondiente. Su sección 11 prevé SCC y otros mecanismos admisibles según el caso; las SCC se consideran ejecutadas al hacerse efectivo ese DPA. Su información enlazada de subencargados cubre la cadena correspondiente. Una residencia acordada no excluye todo procesamiento exterior para soporte o proveedores.
WhatsApp/Meta	Los términos de WhatsApp Business Platform incorporan los Meta Terms de la plataforma. Los WhatsApp Data Processing Terms delimitan su aplicación al tratamiento como encargado. Para datos europeos que WhatsApp Ireland trate como encargado, su Data Transfer Addendum describe transferencias a WhatsApp LLC y Meta Platforms, Inc. y sus mecanismos, incluido el marco EU-US Data Privacy Framework en el alcance que establece y SCC alternativas. Esto no convierte todo tratamiento propio de WhatsApp/Meta en un encargo.

Puedes consultar las garantías a través de esos enlaces o solicitar copia en info@noviga.ai, protegiendo sólo la información que legítimamente deba permanecer reservada.

Según la función efectivamente utilizada pueden intervenir Telnyx, Resend, Microsoft Outlook o Stripe. Stripe continúa en entorno TEST y la facturación de la instalación descrita está desactivada; un catálogo de pruebas no equivale a cobros activos. Cada canal elegido requiere su información, autorizaciones y encargo pertinentes antes de tratar por cuenta del cliente. Las cuentas Google Gmail/Calendar autorizadas mantienen además sus propias condiciones externas; el scope OAuth no demuestra su región o contrato Workspace.

Las comunicaciones a autoridades se limitarán a los supuestos y alcance que permita o exija la normativa aplicable.

5. Conservación y eliminación

Categoría	Plazo o criterio
Datos operativos de negocio	Se mantienen durante la actividad de la empresa. Su baja efectiva fija el vencimiento de la eliminación operativa a 30 días. La cuenta identifica el alcance, bloqueos y el historial que requiera gestión adicional.
Cuenta y permisos de usuario	Su conservación depende de la vigencia de la cuenta y de las pertenencias autorizadas que requieran acceso. Al terminar esa relación se tramita la retirada de acceso, separando sólo la evidencia mínima que deba conservarse por una obligación o reclamación concreta. La baja de una empresa no elimina por sí sola una cuenta con otras pertenencias.
Contacto previo y soporte	Se conservan mientras se resuelve la solicitud y se comprueba su solución. Después, el contenido que deje de ser necesario se retira; si existe una reclamación u obligación pendiente, se conserva de forma separada la prueba relacionada hasta su cierre y el vencimiento de las responsabilidades aplicables.
Contratos, facturas y justificantes propios	Se conserva el documento mínimo durante la relación y, después, durante el plazo fiscal, contable o de reclamación efectivamente aplicable. La prescripción tributaria general de cuatro años puede interrumpirse y existen supuestos especiales. La conservación mercantil de seis años desde el último asiento se aplica sólo a la actividad y documentación a las que corresponda. Esos periodos no se asignan a conversaciones completas.
Registros técnicos y auditoría	Tienen fines y políticas distintos del contenido de conversaciones. Los buckets de logs del proyecto Google Cloud tienen 30 días para el general y 400 días para el obligatorio, ambos globales. Esto no determina la conservación de la auditoría de aplicación ni cubre por sí solo enrutado heredado o copias independientes. Un incidente puede requerir conservar aparte la evidencia mínima hasta su resolución y el vencimiento de las responsabilidades concretas.
Contenido de voz o WhatsApp	La captura de texto en Auralis está desactivada en el piloto. El agente de voz de ElevenLabs tiene la configuración descrita en la sección 3. Una futura captura local exige un plazo concreto en su política autorizada; no existe un plazo global de captura fijado por esta política.
Historial de restauración y copias	Neon tiene una ventana de historial de restauración de seis horas. Existe además una rama histórica archivada con su propio alcance. La ventana no acredita la eliminación de ramas, exportaciones o copias externas. El procedimiento de salida identificará las actuaciones necesarias en esos ámbitos.

Las obligaciones legales y las actuaciones externas pendientes se comunicarán como límites concretos de la eliminación. Una fecha programada, una purga parcial o una eliminación en Auralis no acreditan que todos los proveedores y respaldos hayan eliminado sus copias.

La información que deba mantenerse por una obligación o reclamación tendrá finalidad, acceso restringido y plazo propios. Cuando proceda el bloqueo legal tras rectificación o supresión, no se utilizará para la operación ordinaria; al terminar el plazo aplicable se destruirá.

Las solicitudes individuales pueden tramitarse mientras la empresa esté activa y son independientes de su baja. El texto que no se haya guardado o que ya se haya eliminado no puede reconstruirse desde Auralis.

6. Derechos y solicitudes

Puedes solicitar acceso, rectificación, supresión, oposición, limitación, portabilidad y los derechos relativos a decisiones individuales automatizadas cuando procedan en info@noviga.ai, o consultar las instrucciones de eliminación.

Identifica la relación o cuenta afectada y el derecho que deseas ejercer. No envíes contraseñas, códigos o documentos de identidad en el primer mensaje; sólo se solicitará información adicional necesaria para verificar y tramitar la solicitud.

El plazo general de respuesta es de un mes. Si la complejidad o el número de solicitudes exige una ampliación, se informará dentro del primer mes de sus motivos y del plazo adicional, de hasta dos meses. Puedes reclamar ante la Agencia Española de Protección de Datos. El email es un medio disponible y no excluye otros medios válidos.

Cuando los datos se traten por cuenta de una empresa, Noviga canalizará la solicitud y prestará asistencia conforme al encargo. La persona interesada también puede dirigirse a esa empresa como responsable.

7. Cookies y tecnologías de acceso

Tecnología	Finalidad y duración
Cookie propia `__session`	Mantiene el acceso autenticado al panel. Duración máxima de siete días, HttpOnly, Secure en producción y SameSite=Lax. Se elimina al cerrar sesión; cerrar la pestaña o el navegador no equivale necesariamente a cerrar sesión.
Cookie antigua `session`	Compatibilidad de lectura cuando no existe la cookie canónica. El acceso actual no la emite y cerrar sesión elimina ambas.
`sessionStorage`, clave `auralis.company-invitation`	Mantiene temporalmente una invitación durante el registro o acceso en esa sesión del navegador. Se elimina al aceptarla o cuando el flujo detecta que ya no está disponible.
Service worker de la PWA	Ofrece un mensaje público de falta de conexión; no persiste páginas autenticadas ni conserva una copia offline del historial.

La cookie de acceso y el almacenamiento de invitación tienen las funciones indicadas, sin finalidad analítica o publicitaria propia. Al utilizar servicios de Google de autorización, calendario o correo desde Auralis, Google puede emplear tecnologías propias conforme a su información y a la configuración de la cuenta y del navegador. Otros proveedores de pago o de los canales utilizados pueden emplear sus tecnologías conforme a sus condiciones. La tabla describe las tecnologías propias de Auralis y no constituye un inventario del almacenamiento de todos esos servicios.

Puedes gestionar estas tecnologías desde tu navegador; bloquear la cookie de acceso impide mantener la autenticación. Esta política no incorpora un consentimiento para tecnologías futuras ni equivale a su activación. Si se incorporan otras tecnologías, se facilitará su información y se obtendrá la elección que corresponda antes de utilizarlas.

8. Cambios

La versión vigente se identificará en esta página. Los cambios relevantes se informarán por los medios del servicio. Una modificación de finalidad o de una función de conservación exigirá su información y los requisitos aplicables antes de utilizarla.