Política de privacidad de Kroov

EVA AI TECHNOLOGIES (5 rue Ellenhard, 67000 Strasbourg, France), editora de Kroov, es la responsable de los tratamientos descritos en esta política: los que afectan a los usuarios de Kroov y a los visitantes del sitio.

De los datos que nos confía sobre sus propios clientes y contactos (mensajes recibidos por el asistente de soporte, personas a las que llama el asistente telefónico, contenido de sus bases de conocimiento), usted, cliente de Kroov, es el responsable; Kroov los trata por su cuenta, como encargado, según el acuerdo de tratamiento anexo a las condiciones de venta.

Contacto para cualquier pregunta sobre sus datos: support@kroov.ai.

Según cómo use el servicio:

• Su cuenta: nombre, correo, contraseña (guardada con hash) o inicio de sesión con Google, idioma, zona horaria y su aceptación de nuestras condiciones (versión, fecha, dirección IP, navegador).
• Su espacio: organización, miembros, roles, invitaciones, ajustes.
• El sitio de su empresa que nos pide analizar: páginas públicas leídas, capturas, logo, fuentes e imágenes encontradas, guardados en su ficha de marca.
• Su contenido: mensajes intercambiados con los asistentes, instrucciones, archivos subidos, bases de conocimiento, publicaciones, imágenes y vídeos producidos.
• La memoria de los asistentes: lo que les pide recordar y lo que recuerdan por su cuenta si lo ha permitido, incluidas las preferencias deducidas de sus elecciones; visible, editable y eliminable desde «Memoria».
• Las cuentas sociales y de aplicaciones que conecta (LinkedIn, X, Facebook, Instagram, TikTok, YouTube, WhatsApp, Gmail u Outlook a través de Pipedream…): credenciales de conexión cifradas, nombre e imagen de la cuenta, publicaciones hechas desde Kroov.
• Los intercambios de sus clientes con el asistente de soporte: nombre, correo o número, mensajes, adjuntos, respuestas enviadas.
• Las llamadas del asistente telefónico: número llamado, misión, duración, transcripción y resumen. El audio no se graba.
• Facturación: plan, pagos, facturas, dirección de facturación y NIF-IVA (los recoge y conserva Stripe; nunca vemos el número de su tarjeta).
• Datos técnicos: dirección IP, navegador, registro de las acciones hechas en el espacio (registro de auditoría), registros de funcionamiento.
• Prevención del fraude en el alta: la dirección IP y un identificador de dispositivo (cookie kroov_device) de la primera sesión de una cuenta, y la comprobación de bots de Google reCAPTCHA en las páginas de alta y de invitación.

• Prestar el servicio: cuenta, espacio, análisis de marca, producción y publicación de contenido, asistentes, integraciones. Base: ejecución del contrato.
• Cobrar, facturar y llevar la contabilidad. Base: ejecución del contrato y nuestras obligaciones legales (conservación de los documentos contables).
• Proteger el servicio, prevenir el fraude y los abusos, y llevar el registro de auditoría. Base: nuestro interés legítimo en proteger el servicio y a sus usuarios.
• Impedir altas automatizadas y el abuso de los créditos gratuitos (una concesión por dispositivo, tres por dirección IP en 30 días): comprobación de Google reCAPTCHA en el alta y en la invitación, identificador de dispositivo y dirección IP. Base: nuestro interés legítimo en proteger el servicio contra el fraude.
• Escribirle sobre el servicio: códigos de verificación, invitaciones, alertas de seguridad, notificaciones, facturas. Base: ejecución del contrato. No enviamos boletines comerciales.
• Medir la audiencia de las páginas públicas del sitio (Google Analytics, dirección IP anonimizada), solo si lo acepta en el banner de cookies. Base: su consentimiento.
• Responder a las autoridades y cumplir la ley. Base: obligación legal.

Kroov se apoya en modelos de inteligencia artificial de terceros (véase más abajo): sus instrucciones y el contenido necesario para una producción se les envían durante el tiempo que tarda el tratamiento. Kroov no entrena ningún modelo con sus datos, y las condiciones de API de nuestros proveedores excluyen usar esos datos para entrenar sus modelos.

Las imágenes y los vídeos producidos por Kroov llevan un marcado legible por máquina que indica que los generó una IA. Ninguna decisión con efectos jurídicos para usted se toma solo con un tratamiento automatizado. Si configura el asistente de soporte en envío automático, sus respuestas salen sin revisión humana: es su elección, reversible en cualquier momento.

No vendemos sus datos ni los usamos para publicidad. Pueden acceder a ellos los miembros de su espacio según sus derechos y la visibilidad elegida (personal, compartida, organización), el equipo de Kroov cuando hace falta para el soporte o la seguridad, y nuestros encargados, cada uno en su función:

• Alojamiento: Google Cloud, en la Unión Europea.
• Proveedores de modelos de inteligencia artificial (texto, imágenes, vídeo, voz): producción de los contenidos, las respuestas y las llamadas que usted pide.
• Google reCAPTCHA y Google Analytics: comprobación de bots en el alta, medición de audiencia si la acepta (según la política de privacidad y las condiciones de Google: https://policies.google.com/privacy, https://policies.google.com/terms).
• Stripe: pagos, facturación, cálculo del IVA.
• Proveedores técnicos: telefonía, envío y recepción de correos, búsqueda web, recogida de datos públicos de redes sociales, conexión de aplicaciones de terceros (Gmail, Outlook…).
• Meta, LinkedIn, X, TikTok, YouTube (Google), Telegram: publicaciones y mensajes en sus cuentas, a petición suya.

La lista nominativa de nuestros encargados, con su país y la garantía que enmarca cada transferencia, está disponible para nuestros clientes en la aplicación (Ajustes › Seguridad y datos) y se envía a cualquier persona que la pida en support@kroov.ai.

También podemos comunicar datos cuando la ley lo exige.

Si conecta un canal de YouTube, Kroov pide a Google un solo permiso («youtube.force-ssl»: gestionar sus vídeos y comentarios de YouTube). Con él, Kroov solo accede a:

• su canal: su ID, nombre, URL personalizada e imagen;
• los vídeos que publica desde Kroov: su subida, el estado de su tratamiento y su eliminación, a petición suya;
• solo para esos vídeos, durante los 31 días posteriores a su publicación: sus cifras (visualizaciones, me gusta, número de comentarios) y sus comentarios (texto, fecha, nombre e ID del canal de su autor).

Kroov no lee ningún otro vídeo, ni sus suscripciones, historial, listas de reproducción ni ningún otro dato de su cuenta de Google. Si inicia sesión en Kroov con Google, también recibimos su nombre, su correo y su foto de perfil, usados solo para crear su cuenta e iniciar sesión.

Estos datos se usan solo para las funciones que usted usa en Kroov: publicar sus vídeos, mostrar sus resultados y proponer respuestas a los comentarios. Cada comentario nuevo se envía a nuestros proveedores de modelos de IA, junto con el vídeo al que pertenece y su ficha de marca, para redactar una respuesta propuesta; ninguna respuesta se publica en YouTube sin su aprobación. Ni Kroov ni estos proveedores usan estos datos para entrenar modelos de IA.

No vendemos los datos recibidos de Google, no los usamos para publicidad ni para determinar la solvencia, y solo los transferimos a los encargados necesarios para estas funciones (alojamiento y modelos de IA, véase «Quién recibe sus datos»). El equipo de Kroov no los lee, salvo con su consentimiento explícito (por ejemplo para responder a una solicitud de soporte), por la seguridad del servicio (investigación de un abuso) o para cumplir la ley.

El uso por Kroov de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustará a la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), incluidas las exigencias de Limited Use.

Al conectar YouTube, también acepta las condiciones de servicio de YouTube (https://www.youtube.com/t/terms); Google trata sus datos según su propia política de privacidad (https://policies.google.com/privacy).

Conservación: un comentario se elimina 30 días después de su última actualización; las cifras se conservan mientras su autorización siga siendo válida (la comprobamos cada hora).

Retirar el acceso: retirar el canal desde la página «Cuentas» de Kroov borra de inmediato nuestros tokens de acceso, sus comentarios, cifras, nombre e imagen, y revoca la autorización de Kroov en Google; solo queda el registro de sus publicaciones (su enlace). Eliminar su cuenta de Kroov hace lo mismo con los canales que conectó a título personal, y con todos los canales del espacio si se elimina el espacio entero. También puede retirar el acceso en cualquier momento desde la página de seguridad de su cuenta de Google (https://security.google.com/settings/security/permissions): los datos del canal se eliminan entonces en un plazo de 30 días.

Kroov se aloja en la Unión Europea. Algunos de nuestros encargados están establecidos fuera de la Unión Europea, en particular en Estados Unidos y en el Sudeste Asiático, o tratan allí parte de los datos. Estas transferencias se apoyan en la decisión de adecuación de la Comisión Europea para las empresas certificadas en el Marco de Privacidad de Datos UE–EE. UU. o, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea, de las que puede obtener una copia en support@kroov.ai.

Sus datos se conservan mientras exista su cuenta, salvo los datos técnicos siguientes, eliminados automáticamente cada noche:

• registro de auditoría (quién hizo qué en el espacio): 13 meses;
• contenido intercambiado con los modelos de IA para producir sus publicaciones (instrucciones, texto intermedio, respuestas en bruto): 6 meses; su coste y su volumen se conservan para la facturación;
• registro de correos enviados: 1 año;
• notificaciones recibidas de los servicios conectados: 30 días;
• sesiones de inicio de sesión y códigos de verificación caducados: 7 días después de que terminen;
• dirección IP e identificador de dispositivo registrados en el alta: 12 meses, también después de eliminar la cuenta (si no, eliminar una cuenta permitiría recibir de nuevo los créditos gratuitos);
• transcripciones y resúmenes de llamadas: según su ajuste, 30 días por defecto (0 para no conservar ninguno);
• archivos de la biblioteca: según su ajuste, 30 días por defecto, salvo los archivos fijados;
• comentarios recibidos en YouTube: 30 días después de su última actualización; datos de un canal de YouTube (comentarios, cifras, nombre e imagen): eliminados en cuanto se retira, o en 30 días si retira el acceso desde Google.

Las facturas y los documentos contables se conservan diez años, como exige el derecho mercantil francés. Las copias de seguridad de la base se eliminan por rotación, en un plazo de 14 días.

Puede eliminar su cuenta desde sus ajustes. Su dirección se libera de inmediato y se cierran todas sus sesiones; después sus datos se borran, no solo se desactivan:

• si estaba solo en su espacio: todo el espacio (ficha de marca, publicaciones, archivos, llamadas, solicitudes de soporte, memoria);
• si quedan otros miembros: sus datos personales (conversaciones, memoria personal, archivos, cuentas conectadas a título personal, ajustes). Lo que pertenece al espacio (publicaciones, ficha de marca, llamadas, solicitudes de soporte, memorias de la organización) sigue disponible para los demás miembros.

La eliminación se rechaza mientras haya una suscripción de pago en curso o mientras usted sea el único propietario de un espacio en el que trabajan otras personas. El registro de su aceptación de nuestras condiciones se conserva, sin dirección IP ni navegador, como prueba; las señales del alta (dirección IP, identificador de dispositivo) permanecen hasta que terminen sus 12 meses.

Tiene derecho a acceder, rectificar, suprimir, limitar, oponerse y portar sus datos, a retirar su consentimiento en cualquier momento y a dar instrucciones sobre el destino de sus datos después de su fallecimiento.

Desde la aplicación ya puede consultar y exportar sus datos («Mis datos»), exportar su memoria (Markdown o JSON), corregir su ficha de marca y sus recuerdos, y eliminar su cuenta. Para cualquier otra solicitud, escriba a support@kroov.ai; respondemos en el plazo de un mes.

Si considera que no se respetan sus derechos, puede presentar una reclamación ante la CNIL, la autoridad francesa de protección de datos (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia).

Protegemos sus datos, y en particular los datos sensibles (tokens de acceso de sus cuentas conectadas, datos recibidos de Google y de las redes sociales, intercambios con sus clientes), con las medidas siguientes:

• Cifrado en tránsito: toda conexión al servicio está cifrada (HTTPS); la base de datos solo acepta conexiones cifradas.
• Cifrado en reposo: la base de datos, sus copias de seguridad y los archivos están cifrados en los servidores de Google Cloud, en la Unión Europea.
• Cifrado de los secretos por la aplicación: los tokens de acceso y de actualización de sus cuentas conectadas (YouTube incluido) y las credenciales de sus integraciones se cifran una segunda vez por la aplicación (AES-256-GCM) antes de guardarse; la clave se conserva aparte, en Google Secret Manager. Los tokens del inicio de sesión con Google también se cifran. Ningún token se devuelve nunca a su navegador.
• Acceso restringido: la base de datos solo es accesible con una autorización de Google Cloud (IAM); los archivos se guardan en un almacenamiento privado, cerrado a cualquier acceso público, y se sirven mediante enlaces temporales válidos como máximo 30 minutos; en la aplicación, cada acceso se comprueba según su pertenencia al espacio, su rol y la visibilidad de los datos (personal, compartida, organización).
• Minimización: solo pedimos a cada servicio los permisos que necesitamos (uno solo para YouTube); retirar una cuenta borra nuestros tokens y, en YouTube, revoca el acceso en Google; los plazos de conservación indicados arriba se aplican con purgas automáticas.
• Trazabilidad: las acciones sensibles (conectar, retirar o compartir una cuenta, acceso denegado) se escriben en el registro de auditoría, conservado 13 meses.
• Protección contra abusos: limitación de tasa y verificación de la firma de las notificaciones recibidas de los servicios conectados.
• Incidentes: si se produce una violación de sus datos, lo notificamos a la CNIL en 72 horas cuando la ley lo exige, y le informamos sin dilación indebida si supone un riesgo alto para usted.

Podemos modificar esta política. La fecha de su versión aparece al principio de la página; en cada versión importante se le invita a leerla en su próximo inicio de sesión.