Política de Privacidad
Última actualización: 5 de octubre de 2026
1. Responsable del tratamiento
- Identidad: Hugo Calvo García
- NIF/CIF: 02304970W
- Domicilio: Calle Molino Viejo 14, 28032, Madrid
- Correo de contacto: legal@geopilot.es
No he designado un Delegado de Protección de Datos porque no es obligatorio en mi caso. Para cualquier cuestión sobre tus datos, escríbeme a hugo@geopilot.es.
2. Datos personales que tratamos y finalidades
A continuación se detallan las categorías de datos que GEOPilot trata, la finalidad de cada tratamiento y la base jurídica que lo legitima según el artículo 6 del RGPD:
| Categoría de datos | Finalidad | Base jurídica (Art. 6 RGPD) |
|---|---|---|
| Nombre y dirección de email | Creación y gestión de la cuenta de usuario; autenticación; comunicaciones sobre el servicio | Ejecución de contrato (Art. 6.1.b) |
| Company DNA (perfil estratégico de empresa: sector, servicios, líneas editoriales, restricciones) | Personalización de los modelos de IA para generar contenido adaptado a la empresa del Usuario | Ejecución de contrato (Art. 6.1.b) |
| Historial de generaciones (contenido generado, keywords, configuración de generación) | Prestación del servicio; acceso del Usuario a su historial; auditoría interna | Ejecución de contrato (Art. 6.1.b) |
| Métricas de uso (créditos consumidos, número de orquestaciones, plan activo) | Control de límites del plan; facturación; detección de abusos | Interés legítimo (Art. 6.1.f) / Ejecución de contrato (Art. 6.1.b) |
| Datos de pago (gestionados directamente por Stripe — GEOPilot no almacena datos de tarjeta) | Procesamiento de pagos de suscripción; emisión de facturas | Ejecución de contrato (Art. 6.1.b) |
| Cookie de sesión (__session) — token de autenticación Firebase | Mantenimiento de la sesión autenticada; seguridad | Interés legítimo (Art. 6.1.f) — cookie estrictamente necesaria |
| Email de lista de espera (waitlist) | Notificar al interesado sobre la disponibilidad de planes de pago | Consentimiento (Art. 6.1.a) |
| Comunicaciones comerciales (newsletter, novedades del producto) | Marketing directo sobre productos y servicios propios | Consentimiento (Art. 6.1.a), que solo se pide con la casilla aparte, opcional y desmarcada, del formulario del informe completo. El comprobador de la web no da consentimiento comercial |
| Dirección web comprobada y email de quien pide el informe de visibilidad en IA desde el comprobador de la web | Confirmar el email con un enlace de un solo uso y enviar el informe pedido | Consentimiento (Art. 6.1.a), que se da al pedir el informe y confirmar el email |
| Email y respuestas de quien marca la casilla «Quiero que Hugo me escriba después para comentar el informe» | Hasta dos correos para comentar el informe | Consentimiento (Art. 6.1.a), dado con una casilla aparte, opcional y desmarcada. Se retira respondiendo «baja» a cualquier correo |
| Dirección IP de la petición, guardada solo como código cifrado irreversible (hash), y texto y fecha de la casilla | Evitar el abuso del formulario (límite de peticiones por conexión) y poder demostrar el consentimiento | Interés legítimo (Art. 6.1.f) para la IP; obligación legal (Art. 6.1.c y 7.1) para el registro del consentimiento |
| Datos de contacto profesional de los negocios a los que escribo para presentar GEOPilot sin que lo hayan pedido: la dirección de correo que publican, el nombre de la persona de contacto si aparece, y los correos y las respuestas (apartado 10) | Prospección comercial: presentar el servicio a negocios a los que les puede servir y atender sus respuestas | Interés legítimo (Art. 6.1.f), con el art. 19 de la LOPDGDD para los datos de contacto de profesionales |
3. Subencargados del tratamiento (subprocesadores)
GEOPilot utiliza los siguientes proveedores de servicios de terceros que actúan como subencargados del tratamiento y que pueden tener acceso a datos personales en el marco de la prestación de sus servicios:
| Proveedor | Finalidad | País |
|---|---|---|
| Google LLC (Firebase Authentication, Cloud Firestore) | Autenticación de usuarios; almacenamiento de datos de cuenta, empresa y generaciones | EE.UU. (SCCs vigentes) |
| Google LLC (Google AI — Gemini API) | Generación de contenido mediante modelos de IA; clasificación de consultas; auditoría de contenido | EE.UU. (SCCs vigentes) |
| Stripe, Inc. | Procesamiento de pagos y gestión de suscripciones; almacenamiento de datos de facturación | EE.UU. (SCCs vigentes) |
| DataForSEO | Datos de investigación de palabras clave y métricas SEO | UE (Polonia) / EE.UU. |
| Vercel Inc. | Alojamiento de la aplicación que recibe la petición del informe, envía la confirmación y prepara el informe, y del sistema de prospección por correo (apartado 10) | EE.UU. (SCCs vigentes) |
| Supabase Inc. | Base de datos de las peticiones de informe y de la prospección por correo (apartado 10) | Reino Unido (Londres), con decisión de adecuación de la Comisión Europea |
| Hostinger International Ltd. | Buzón de correo desde el que salen la confirmación, el informe, los seguimientos y los correos de prospección (apartado 10) | UE |
| Anthropic PBC (Claude) | Lectura del contenido público de la web comprobada y redacción del informe con IA; no recibe el email de quien lo pide. En la prospección (apartado 10), redacción de los borradores de los correos y clasificación de las respuestas | EE.UU. (SCCs vigentes) |
| OpenAI Ireland Ltd. (ChatGPT, API) | Preguntas a ChatGPT con búsqueda web: la consulta y el dominio del comprobador de visibilidad en ChatGPT, Perplexity y Google del área registrada, y el sector y la ciudad del negocio en el informe pedido desde la web. No recibe el email ni otros datos de la cuenta | UE (Irlanda). OpenAI Ireland transfiere a EE.UU. con Cláusulas Contractuales Tipo |
| Perplexity AI, Inc. (API) | Las mismas preguntas a Perplexity. No recibe el email ni otros datos de la cuenta | EE.UU. (Marco de Privacidad de Datos UE-EE.UU.) |
| Bouncer (usebouncer.com) | Comprobar que existe la dirección de correo de un negocio antes de escribirle por primera vez (apartado 10). Solo recibe la dirección | UE (Alemania). Sin transferencia internacional |
Con cada subencargado que accede a datos personales se suscribe o se acepta el correspondiente Acuerdo de Encargado del Tratamiento (DPA) exigido por el artículo 28 del RGPD.
4. Transferencias internacionales de datos
Algunos de los subprocesadores listados en el apartado anterior (Google LLC, Stripe, Vercel, Anthropic) están establecidos en Estados Unidos. Estas transferencias se realizan con las garantías adecuadas establecidas en las Cláusulas Contractuales Tipo (CCT / Standard Contractual Clauses) adoptadas por la Comisión Europea, conforme al artículo 46 del RGPD.
La base de datos de las peticiones de informe está alojada en Londres (Reino Unido), país con decisión de adecuación de la Comisión Europea (art. 45 RGPD).
Las preguntas a ChatGPT se contratan con OpenAI Ireland Ltd., establecida en la UE. Cuando OpenAI Ireland transfiere esos datos a otras empresas de su grupo o a terceros fuera del Espacio Económico Europeo, lo hace con Cláusulas Contractuales Tipo o al amparo de una decisión de adecuación, según su Acuerdo de Encargado del Tratamiento. Perplexity AI, Inc. está adherida al Marco de Privacidad de Datos UE-EE.UU. (EU-U.S. Data Privacy Framework), con decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (art. 45 RGPD), y es la base de esa transferencia.
Puedes consultar las garantías específicas en la documentación de cada proveedor:
- Google: cloud.google.com/terms/data-processing-addendum
- Stripe: stripe.com/legal/dpa
- Vercel: vercel.com/legal/dpa
- Supabase: supabase.com/legal/customer-resources/data-processing-addendum
- Anthropic: anthropic.com/legal/data-processing-addendum
- OpenAI: openai.com/policies/data-processing-addendum
- Perplexity: perplexity.ai/hub/legal/dpa y su inscripción en dataprivacyframework.gov/list
5. Plazos de conservación de los datos
| Categoría de datos | Plazo de conservación |
|---|---|
| Datos de cuenta (email, nombre) | Mientras la cuenta esté activa + 3 años tras la cancelación (prescripción contractual) |
| Company DNA y generaciones | Mientras la cuenta esté activa; se eliminan 30 días después de la cancelación |
| Informes del comprobador de visibilidad en ChatGPT, Perplexity y Google (consulta, dominio y resultado) | Mientras la cuenta esté activa, para que el Usuario pueda volver a leerlos; se eliminan con la cuenta |
| Datos de facturación | 5 años desde la última transacción (obligación fiscal — Art. 30 Código de Comercio) |
| Métricas de uso | 12 meses desde su registro; posteriormente se anonomizan |
| Consentimientos (timestamps de aceptación) | 3 años desde el otorgamiento del consentimiento (para poder demostrar su existencia) |
| Lista de espera (waitlist) | Hasta la activación del plan correspondiente o hasta que el interesado retire su consentimiento |
| Peticiones de informe sin respuesta, o solo con una baja o una respuesta automática (web, email, IP cifrada), confirmadas o no | 12 meses desde la petición; después se anonimizan. El enlace de confirmación caduca a las 72 horas |
| Peticiones de informe con conversación posterior | Mientras dure la conversación o la relación comercial; si se contrata, los plazos de facturación de esta tabla |
| Registro del consentimiento (texto de la casilla y fecha) | Se conserva sin el email tras la anonimización, para poder demostrar qué se aceptó |
| Prospección por correo (apartado 10) | Sin respuesta, o solo con una baja o una respuesta automática, 12 meses desde que se da el contacto por terminado; después se anonimizan los datos de contacto, la página de la que salió la dirección y el texto de los correos. La comprobación de la dirección, 12 meses. Con una conversación, mientras dure la conversación o la relación comercial |
| Email de quien pide no recibir más correos, o cuya dirección rebotó | Indefinidamente y solo para ese fin: es lo que garantiza que no se le vuelva a escribir |
6. Uso de la inteligencia artificial
GEOPilot utiliza el modelo Google Gemini (a través de la API de Google AI) para la generación y auditoría de contenido. Cuando el Usuario solicita la generación de contenido, se envían a Google AI los siguientes datos:
- La keyword o tema de la generación.
- Datos del perfil de empresa (Company DNA) que el Usuario haya configurado.
- Parámetros de configuración de la generación (modo, tono, longitud).
Google AI procesa estos datos únicamente para generar la respuesta. Conforme a los términos del programa Google Cloud, los datos enviados a través de API no se utilizan para entrenar los modelos globales de Google sin consentimiento adicional explícito.
GEOPilot no vende, cede ni comparte los datos estratégicos de la empresa del Usuario a terceros para ninguna finalidad de entrenamiento de modelos ni para ningún otro uso ajeno a la prestación del servicio.
Cuando un usuario registrado usa el comprobador de visibilidad en ChatGPT, Perplexity y Google, la consulta que escribe y el dominio que indica se envían a OpenAI (ChatGPT, con búsqueda web), a Perplexity y a Google (Gemini) para obtener sus respuestas. No se les envía el nombre, el email ni ningún otro dato de la cuenta. El informe resultante se guarda en la cuenta del Usuario para que pueda volver a leerlo.
Para preparar el informe de visibilidad que se pide desde el comprobador de la web, GEOPilot hace preguntas sobre el sector y la ciudad del negocio a ChatGPT (OpenAI), Perplexity y la IA de Google, y usa Claude (Anthropic) para leer el contenido público de la web comprobada y redactar el informe. A estos servicios no se les envía el email de quien pide el informe.
7. Seguridad de los datos
GEOPilot aplica las siguientes medidas técnicas y organizativas para proteger los datos personales:
- Almacenamiento en Google Cloud (Firebase/Firestore) con cifrado en reposo (AES-256) y en tránsito (TLS 1.2+).
- Autenticación mediante Firebase Authentication con soporte para 2FA.
- Cookies de sesión con flags HttpOnly, Secure y SameSite=Lax.
- Acceso a los datos de empresa y generaciones restringido al propio Usuario y, en planes Pro/Agency, a los miembros del equipo autorizados.
- Separación entre entorno de desarrollo y producción.
8. Cookies
GEOPilot utiliza cookies propias estrictamente necesarias para el funcionamiento del servicio. No utilizamos cookies de terceros con fines publicitarios ni de seguimiento sin tu consentimiento previo. Para información detallada sobre las cookies utilizadas, consulta nuestra Política de Cookies.
9. Tus derechos (ARCOPOL)
De conformidad con el RGPD y la Ley Orgánica 3/2018 (LOPDGDD), puedes ejercer los siguientes derechos sobre tus datos personales:
- Acceso: Conocer qué datos personales tuyos tratamos.
- Rectificación: Corregir datos inexactos o incompletos.
- Cancelación/Supresión: Solicitar la eliminación de tus datos cuando ya no sean necesarios para la finalidad para la que fueron recogidos.
- Oposición: Oponerte al tratamiento de tus datos basado en interés legítimo.
- Portabilidad: Recibir tus datos en formato estructurado y de uso común.
- Limitación: Solicitar la restricción del tratamiento en determinadas circunstancias.
Puedes ejercer cualquiera de estos derechos enviando un email a legal@geopilot.es con el asunto «Ejercicio de derechos RGPD», adjuntando una copia de tu documento de identidad para verificar tu identidad.
Asimismo, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que el tratamiento de tus datos no es conforme al RGPD: www.aepd.es.
10. Prospección comercial por correo
Si te he escrito un correo para presentarte GEOPilot sin que me lo hayas pedido, aquí te explico qué hago con tus datos. Añadí esta sección el 5 de octubre de 2026.
- Responsable: yo, con los datos del apartado 1.
- Finalidad: encontrar negocios a los que GEOPilot les puede servir, comprobar cómo aparecen en las respuestas de ChatGPT, Perplexity y la IA de Google, escribirles un primer correo con lo que he visto y, como mucho, dos correos más de seguimiento, y atender sus respuestas y las llamadas que acordemos.
- Base jurídica: el interés legítimo en dar a conocer un servicio a empresas y profesionales (art. 6.1.f del RGPD y considerando 47), con el art. 19 de la LOPDGDD para los datos de contacto de profesionales. Solo escribo a negocios, nunca a particulares, y no uso listas de direcciones compradas.
- De dónde saqué tu dirección: normalmente, de la web de tu negocio: es la dirección de contacto que publica, y guardo la página en la que aparece. Si la conseguí de otra forma, el propio correo te dice de dónde. El nombre, la web, la ciudad y la valoración del negocio salen de Google Maps y de búsquedas en internet.
- Qué datos guardo: los del negocio (nombre, web, ciudad, sector y valoración en Google); la dirección de correo de contacto y la página de la que salió; el nombre de la persona de contacto, si aparece; la medición de cómo aparece el negocio en esas respuestas; los correos que te envío y tus respuestas; mis notas, también las de las llamadas; y la comprobación de que la dirección existe, que hago antes del primer correo.
- Quién más interviene: los proveedores con los que funciona el sistema, como encargados del tratamiento (apartado 3): Hostinger (el buzón desde el que te escribo), Supabase (la base de datos), Vercel (el alojamiento), Anthropic (redacta los borradores de los correos y clasifica las respuestas) y Bouncer (comprueba que la dirección existe). Las transferencias fuera de la UE y sus garantías están en el apartado 4. Para medir la visibilidad pregunto a ChatGPT, Perplexity y la IA de Google por el sector y la ciudad del negocio, sin datos de ninguna persona.
- Cuánto tiempo los guardo: si no contestas, o si solo me pides la baja o me llega una respuesta automática, 12 meses desde que doy el contacto por terminado; después anonimizo tus datos de contacto, la página de la que saqué tu dirección y el texto de los correos, también las copias que guarda el sistema. La comprobación de la dirección también se borra a los 12 meses. Si hablamos, guardo la conversación mientras dure el contacto o la relación comercial. Si pides la baja, o si tu dirección rebota, la guardo en la lista de exclusión, sin plazo y solo para eso, porque es lo que garantiza que no vuelva a escribirte.
- Cómo oponerte y darte de baja: responde «baja» a cualquiera de mis correos y no vuelvo a escribirte: la dirección pasa a la lista de exclusión y se cancelan los seguimientos pendientes. Cualquier respuesta tuya detiene también los seguimientos. Para oponerte o ejercer el resto de tus derechos (apartado 9), escríbeme a legal@geopilot.es.
- Reclamar: si crees que no he tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
11. Modificaciones de esta política
GEOPilot se reserva el derecho de modificar esta Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales o en las prácticas del sector. Los cambios sustanciales se comunicarán a los Usuarios registrados mediante email con un preaviso de al menos 30 días antes de su entrada en vigor. La versión vigente será siempre la publicada en esta página.