Política de Privacidad

Vavus AI y Vavus Keyboard están operados por DCI Brands LLC, una sociedad de responsabilidad limitada de Wyoming con domicilio en 312 W 2nd Street, Casper, WY 82601, Estados Unidos. Somos el responsable del tratamiento de los datos personales que aquí se describen, salvo cuando un contrato empresarial o sanitario firmado nos convierta en encargado del tratamiento o en socio comercial («business associate») que actúa siguiendo las instrucciones de su organización.

Contacto de privacidad: constantine@vavusai.com.

Nuestro representante en la Unión Europea conforme al artículo 27 del RGPD es Dragoș Ignat, Str. General Șova nr. 21, Letea Veche, jud. Bacău, 607270, Rumanía. Puede dirigirse al representante para cualquier cuestión relacionada con el tratamiento de sus datos personales, además de o en lugar de dirigirse a nosotros. No hemos designado representante en el Reino Unido ni delegado de protección de datos. Las consultas de privacidad y las solicitudes de derechos se dirigen a constantine@vavusai.com y las gestiona directamente DCI Brands LLC.

Recopilamos lo necesario para crear y proteger su cuenta, prestar las funciones que utiliza, cobrar el pago, responder a las solicitudes de soporte y mantener el servicio en funcionamiento.

• Identificadores y datos de cuenta: dirección de correo electrónico, nombre, método de inicio de sesión, pertenencia a una organización, configuración de seguridad e identificadores de dispositivo y de sesión.
• Contenido que usted envía: traducciones, transcripciones, grabaciones de audio, mensajes, documentos, archivos e imágenes que decide procesar o guardar.
• Datos de audio y voz: el habla que dicta o traduce. Cuando se utilizan para identificarle o caracterizarle, pueden constituir información personal sensible con arreglo a la legislación estatal de Estados Unidos.
• Contenido relacionado con la salud: únicamente en cuentas aprobadas para uso sanitario al amparo de un Acuerdo de Socio Comercial (BAA).
• Datos comerciales: plan, suscripción, saldo de tokens, historial de compras y de reembolsos. Los números de tarjeta los gestionan Stripe, Apple o Google; nosotros nunca los recibimos ni los almacenamos.
• Datos técnicos y de seguridad: tipo de dispositivo, versión de la aplicación, diagnósticos de fallos, señales de seguridad derivadas de la IP, registros de abuso y de límite de velocidad.
• Datos del sitio web: cookies y almacenamiento local, su registro de consentimiento y, solo después de que usted lo consienta, analítica y atribución de campañas.

Cuando resulta aplicable el RGPD o el RGPD del Reino Unido, la base jurídica de cada finalidad se expone a continuación.

• Para prestar el servicio: traducción, voz a texto, texto a voz, dictado por teclado, funciones de IA, mensajería, llamadas, documentos y gestión de la cuenta. Ejecución de un contrato (art. 6(1)(b)).
• Para facturarle y llevar los registros fiscales y contables. Ejecución de un contrato y obligación legal (art. 6(1)(b) y 6(1)(c)).
• Para mantener seguras las cuentas y el servicio: autenticación, prevención de abusos, limitación de velocidad, detección de fraude y registros de auditoría. Interés legítimo en proteger a los usuarios y al servicio (art. 6(1)(f)).
• Para responder a las solicitudes de soporte. Ejecución de un contrato e interés legítimo.
• Para enviar avisos de servicio, de facturación y de seguridad. Ejecución de un contrato y obligación legal.
• Analítica del sitio web, medición de marketing y todas las cookies no esenciales. Consentimiento (art. 6(1)(a)), que puede retirar en cualquier momento.
• Para cumplir requisitos legales y para formular o defender reclamaciones jurídicas. Obligación legal e interés legítimo.
• Información de salud en cuentas sanitarias. La tratamos como socio comercial siguiendo las instrucciones documentadas del cliente; el cliente determina la base lícita y, cuando resulta aplicable el RGPD, esta suele ser el art. 9(2)(h) o la base de consentimiento explícito del cliente.

No utilizamos su contenido para entrenar nuestros modelos y contratamos con nuestros proveedores de voz, traducción e IA la exclusión de su contenido del entrenamiento de los suyos.

No vendemos su información personal ni la compartimos con fines de publicidad conductual entre contextos, en el sentido en que dichos términos se definen en la Ley de Privacidad del Consumidor de California, en su versión modificada, y en leyes estatales de privacidad de Estados Unidos comparables.

No adoptamos decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos sobre usted (art. 22 del RGPD).

Facilitar los datos de cuenta y de pago es necesario para abrir y mantener una cuenta; sin ellos no podemos prestar el servicio. Todo lo demás —cookies opcionales, preferencias de marketing— es realmente opcional.

La traducción, la transcripción y los resultados de la IA pueden ser erróneos. No constituyen asesoramiento médico, jurídico ni financiero, y no están destinados a usos de emergencia. Revise los resultados antes de confiar en ellos y no los utilice nunca como única base de una decisión clínica, jurídica, financiera o crítica para la seguridad. Una persona debe revisar todo lo que importe.

Las nuevas entradas del historial, los documentos guardados y el audio guardado se cifran en su dispositivo antes de subirse, de modo que nuestros servidores solo conservan texto cifrado que no podemos descifrar. La mensajería utiliza el Signal Protocol y está cifrada de extremo a extremo entre los participantes.

Hay exactamente dos excepciones, y ambas requieren que usted utilice la función:

• Encuestas de grupo. El servidor tiene que leer una encuesta para contabilizar los votos y mostrar los resultados, por lo que las encuestas no están cifradas de extremo a extremo. Están desactivadas en las conversaciones sanitarias.
• Traducción de mensajes de voz. Traducir un mensaje de voz exige descifrar ese único mensaje en nuestros servidores. Le pedimos su consentimiento previo, registramos ese consentimiento y auditamos el acceso. Nunca ocurre salvo que usted lo elija.

El contenido que no guarda no se conserva como historial una vez producido su resultado. El habla en directo existe brevemente en memoria durante el procesamiento y no se escribe en almacenamiento.

• Historial, documentos y archivos guardados: hasta que los elimine o cierre su cuenta.
• Registros de cuenta y de perfil: durante la vida de la cuenta y hasta 30 días después de su cierre.
• Registros de facturación, fiscales y de transacciones: 7 años, conforme exige la legislación fiscal y contable.
• Registros de seguridad, de fraude y de abuso: 12 meses.
• Conversaciones de soporte: 24 meses.
• Registros de auditoría sanitarios: 6 años, conforme exige la HIPAA. Contienen únicamente metadatos: quién hizo qué, cuándo y desde qué dispositivo. Nunca PHI, nunca contenido.
• Registros de cookies y de consentimiento: sus decisiones de consentimiento se guardan en el almacenamiento local de su navegador y perduran hasta que borre los datos de su navegador o publiquemos una nueva versión del consentimiento, momento en el que volveremos a preguntarle.

Utilizamos proveedores de servicios por función: alojamiento y almacenamiento en la nube; reconocimiento y síntesis de voz; traducción automática y modelos de IA; procesamiento de pagos; envío de correo electrónico; envío de notificaciones push; y operaciones de soporte. Cada uno recibe únicamente lo que su función exige, al amparo de condiciones escritas de tratamiento de datos.

Los proveedores que tratan su contenido para voz, traducción o IA están configurados para excluirlo del entrenamiento de sus modelos y para minimizar la conservación siempre que el servicio lo permita, y reciben únicamente el contenido, no su nombre, su cuenta ni su identidad. Los proveedores de pago y las tiendas de aplicaciones sí reciben necesariamente datos identificativos y de transacción, porque un pago no puede procesarse sin ellos.

Nuestro chat de soporte está autoalojado en nuestra propia infraestructura, por lo que las transcripciones de soporte no se entregan a un proveedor externo.

A los clientes empresariales y sanitarios se les facilita una lista nominativa de subencargados al amparo de un acuerdo de tratamiento de datos. También podemos comunicar datos para cumplir la ley o una solicitud lícita, para hacer valer nuestros Términos, para proteger derechos y la seguridad, y en el marco de una fusión o adquisición, en cuyo caso esta política seguirá aplicándose.

Operamos desde Estados Unidos, con infraestructura perimetral en la Unión Europea y en Asia. Sus datos pueden transferirse y tratarse en Estados Unidos y en otros países cuya legislación difiere de la del suyo.

Para las transferencias fuera del EEE, del Reino Unido o de Suiza nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), con el Addendum del Reino Unido y el anexo suizo cuando resulten aplicables, junto con las medidas técnicas descritas en la Sección 6 —principalmente el cifrado del lado del cliente y de extremo a extremo—, lo que significa que, para la mayor parte del contenido almacenado, la infraestructura receptora solo conserva texto cifrado. Se facilita copia de las condiciones de transferencia pertinentes previa solicitud.

Si se encuentra en el EEE, el Reino Unido o Suiza, puede solicitar el acceso, la rectificación, la supresión, la limitación y la portabilidad, oponerse al tratamiento basado en el interés legítimo y retirar su consentimiento en cualquier momento sin que ello afecte al tratamiento ya realizado.

También puede presentar una reclamación ante una autoridad de control: en la UE, la autoridad de su país de residencia, de su lugar de trabajo o del lugar de la presunta infracción; en el Reino Unido, la Information Commissioner's Office.

Si reside en California, Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana u otro estado con una ley integral de privacidad, puede solicitar conocer la información personal que conservamos y acceder a ella, corregirla, eliminarla y recibir una copia portable, y puede oponerse a la venta, a la comunicación, a la publicidad dirigida y a la elaboración de perfiles con efectos jurídicos o similarmente significativos.

No hacemos nada de eso. Aun así, respetamos el Global Privacy Control y otras señales reconocidas de preferencia de exclusión: cuando su navegador envía una, la tratamos como una exclusión de las categorías de analítica y marketing para ese navegador, sin que usted tenga que hacer nada más.

Los residentes en California también pueden pedirnos que limitemos el uso de información personal sensible. Ya la utilizamos únicamente para prestar el servicio que usted ha solicitado y para mantenerlo seguro, que son finalidades permitidas. No le discriminaremos por ejercer ningún derecho de privacidad.

Recursos. Si denegamos una solicitud, puede recurrir respondiendo a nuestra decisión o escribiendo a constantine@vavusai.com con el asunto «Privacy appeal». Respondemos en un plazo de 45 días —60 en Colorado— con nuestra decisión y sus motivos. Si denegamos el recurso, puede presentar una queja ante el fiscal general de su estado. Utah no reconoce el derecho de recurso, pero aun así revisaremos el suyo.

Concedemos tokens de bonificación por verificar su dirección de correo electrónico y por recomendaciones. Se trata de programas de incentivo económico con arreglo al artículo 1798.125(b) del Código Civil de California (Cal. Civ. Code). Las condiciones esenciales figuran en nuestras páginas de precios y de recomendaciones: los tokens son promocionales, carecen de valor en efectivo y solo pueden utilizarse en funciones de Vavus.

Estimamos el valor de la información personal implicada como aproximadamente el precio de venta al público de los tokens concedidos, según nuestro precio publicado de los tokens. Lo calculamos así porque los datos implicados —una dirección de correo electrónico y una relación de recomendación— no nos generan ingresos separados, ya que no vendemos información personal. La participación es voluntaria y puede retirarse en cualquier momento escribiéndonos; la retirada no recupera los tokens que ya haya gastado.

Utilice los controles disponibles en el producto o escriba a constantine@vavusai.com. Verificamos las solicitudes contrastando lo que nos facilita con los registros de cuenta, de facturación, de soporte o de seguridad, y podemos pedir más información cuando una solicitud sea sensible. Un agente autorizado puede actuar en su nombre con autorización escrita. Respondemos en un plazo de 45 días y podemos prorrogarlo una vez por otros 45 días, indicándole el motivo.

Las protecciones de la HIPAA se aplican únicamente a las cuentas que hemos aprobado para uso sanitario al amparo de un Acuerdo de Socio Comercial (BAA) suscrito. Si no ha firmado un BAA con nosotros, su cuenta no es un flujo de trabajo HIPAA y no debe subir a ella información sanitaria protegida (PHI).

Las cuentas sanitarias aprobadas utilizan tokens de sesión de 8 horas, un tiempo máximo de inactividad de 15 minutos, controles de tratamiento de PHI, eliminación segura de los activos con PHI y una conservación de auditoría de 6 años, y los registros de la aplicación están diseñados para excluir la PHI. En esas cuentas actuamos como socio comercial, de modo que es su organización —y no nosotros— quien decide qué ocurre con los datos, y nosotros actuamos siguiendo sus instrucciones.

Utilizamos TLS en tránsito, el cifrado del lado del cliente y de extremo a extremo descrito anteriormente, autenticación con tokens rotatorios, tokens de flujo separados para las sesiones en tiempo real, SSO para las cuentas empresariales, protección contra ataques de fuerza bruta, revocación de tokens al cerrar sesión y al cambiar la contraseña, limitación de velocidad, controles de acceso y registros de auditoría.

Ningún sistema es perfectamente seguro. Si una brecha afecta a sus datos personales, se lo notificaremos a usted y a las autoridades competentes sin dilación indebida y dentro de las 72 horas siguientes a la confirmación de una brecha que afecte a sus datos personales, conforme exige la ley.

Vavus is not directed to anyone under 18, and an account requires you to be 18 or older. We do not knowingly collect personal information from anyone under 18.

A parent or guardian who believes a child has created an account can email constantine@vavusai.com. We will verify the report and delete the account and its data promptly. We also close any account we discover belongs to someone under 18.

Podemos actualizar esta política. La línea «Última actualización» indica la versión vigente. Cuando un cambio afecte materialmente al modo en que tratamos los datos personales, lo notificaremos en el producto o por correo electrónico antes de que surta efecto.