Política de privacidad

Última actualización: 2026-05-04

1. Responsable del tratamiento

Marubasa Tech S.L., con domicilio social en C/ Zurbano 45, 1º 28010 Madrid, España, CIF B88765094, inscrita en el Registro Mercantil de Madrid, Hoja M-887372, es el responsable del tratamiento de los datos personales recogidos a través del sitio web sermima.es y del producto Sermima.

Para cualquier consulta sobre privacidad, contacta con privacidad@sermima.es.

2. Datos que tratamos

• Datos de los negocios suscritos: nombre del centro, dirección, teléfono, correo electrónico, y datos de facturación (gestionados por Stripe).
• Datos de los visitantes del chat: número de teléfono o correo electrónico facilitado al solicitar una cita, mensajes intercambiados con el bot, y, si procede, datos de la cita.
• Datos técnicos: dirección IP, tipo de dispositivo, navegador y registros de actividad necesarios para la seguridad y diagnóstico del servicio.

3. Finalidad y base legal

• Prestación del servicio (ejecución del contrato, art. 6.1.b RGPD): operación del bot, gestión de citas, recordatorios, facturación.
• Cumplimiento legal (art. 6.1.c RGPD): obligaciones fiscales y contables.
• Interés legítimo (art. 6.1.f RGPD): prevención de fraude, seguridad de la infraestructura.
• Consentimiento (art. 6.1.a RGPD): cookies no esenciales y comunicaciones de marketing, siempre opt-in explícito.

4. Encargados de tratamiento (sub-procesadores)

Para prestar el servicio compartimos datos con los siguientes encargados, todos ellos sujetos a contrato y obligados a tratar los datos conforme al RGPD:

• Anthropic (modelos de IA, EE. UU. - DPA firmado)
• OpenAI (embeddings, transcripción de voz y síntesis de voz, EE. UU. - DPA firmado)
• Deepgram (transcripción de llamadas en tiempo real, EE. UU. - DPA firmado)
• ElevenLabs (síntesis de voz opcional para llamadas, Reino Unido - DPA firmado)
• Stripe (pagos y facturación, Irlanda)
• Resend (envío de correo transaccional, entidad EE. UU. con servidores en Irlanda - UE)
• Meta - WhatsApp Business Platform (Irlanda)
• Railway (alojamiento, entidad EE. UU. con servidores en Países Bajos - UE)

Las transferencias internacionales se realizan al amparo de las cláusulas contractuales tipo aprobadas por la Comisión Europea.

4.1 Mensajes de voz

Cuando un visitante envía un mensaje de voz a través del chat, el audio se transmite a OpenAI Whisper únicamente con fines de transcripción. El blob de audio se conserva en memoria durante el tiempo estrictamente necesario para la transcripción y se descarta inmediatamente después; nunca se persiste en disco ni en base de datos. Sólo el texto resultante se guarda como parte del historial de la conversación.

4.2 Llamadas de voz en directo

Los negocios con un plan que incluya el módulo de llamada pueden ofrecer al visitante un botón "llamar" en la página pública de chat. Si el visitante lo pulsa y concede permiso al micrófono del navegador, el flujo de datos es:

• El audio del visitante se transmite en tiempo real a Deepgram (encargado, EE. UU.) para transcripción. Deepgram procesa el audio en streaming y no lo retiene; sólo el texto transcrito vuelve a Sermima.
• El texto transcrito se persiste en la base de datos de Sermima como un mensaje más de la conversación, igual que cualquier mensaje escrito.
• La respuesta del asistente (texto) se envía a OpenAI TTS o, alternativamente, ElevenLabs (si el negocio tiene la voz personalizada activada) para sintetizar el audio que se reproduce al visitante. El audio sintetizado se envía en streaming y no se persiste en Sermima.

La llamada se asocia a la misma conversación que el chat, de forma que el historial es continuo entre canales. El permiso del micrófono está limitado a la duración de la llamada activa y el visitante puede colgar en cualquier momento. Sermima registra la duración de la llamada (para facturación y métricas internas), pero no graba ni conserva el audio ni del visitante ni del asistente más allá del streaming en directo.

5. Plazos de conservación

• Datos de clientes activos: durante la vigencia del contrato.
• Conversaciones del bot: 24 meses, salvo solicitud de borrado previa.
• Datos de facturación: 6 años (obligaciones fiscales).

6. Derechos del interesado

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a privacidad@sermima.es. Si consideras que el tratamiento no se ajusta al RGPD, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

7. Cookies

El sitio utiliza cookies esenciales para el funcionamiento del servicio y, previo consentimiento, cookies analíticas. Consulta la política de cookies.

8. Protección anti-spam (reCAPTCHA)

Los formularios públicos (registro, inicio de sesión y contacto) están protegidos con Google reCAPTCHA v3 para distinguir tráfico legítimo del automatizado. Al enviar el formulario se transmite tu dirección IP y señales del navegador a Google, que devuelve una puntuación de riesgo. Google actúa como subprocesador y trata estos datos según su política de privacidad y sus condiciones de servicio. Base legal: interés legítimo (art. 6.1.f RGPD) en proteger el servicio frente a abuso.

9. Datos de categoría especial - minimización (art. 9 RGPD)

Sermima está diseñado para conversaciones de recepción y agenda; no solicitamos datos de salud ni ninguna otra categoría especial del art. 9 RGPD (origen étnico, opiniones políticas, convicciones religiosas, datos biométricos, orientación sexual, etc.). Es posible que un visitante mencione, por iniciativa propia, información relacionada con su salud al describir el motivo de la consulta. En tal caso:

• El asistente de IA está instruido para no repetir, ni persistir más de lo imprescindible, ese dato sensible.
• Si el dato aparece en el historial, el responsable del tratamiento es el negocio (clínica) que utiliza Sermima en su recepción; Sermima actúa como encargado y aplica minimización.
• Esta sección no constituye una base legal para tratar datos del art. 9: es un compromiso de minimización.

10. Borrado (art. 17 RGPD) y comportamiento de los sub-procesadores

Cuando un negocio (responsable) ejerce el derecho de supresión sobre un visitante, Sermima:

• Elimina inmediatamente la fila y su cascada (clientes, conversaciones, mensajes, citas, brechas de conocimiento) en la base de datos en producción.
• No tiene un mecanismo programático para borrar datos en los proveedores de modelos (Anthropic, OpenAI), pero estos proveedores eliminan automáticamente el contenido recibido por API en un plazo de 30 días según sus políticas publicadas.
• Stripe conserva los metadatos de pago durante aproximadamente 7 años por obligaciones fiscales y contables (art. 6.1.c RGPD).
• Resend y Meta WhatsApp aplican sus propias ventanas de retención; cuando recibimos una solicitud de supresión la trasladamos a estos sub-procesadores.

11. Copias de seguridad

Las copias de seguridad cifradas de PostgreSQL se conservan durante aproximadamente 30 días. Las solicitudes de supresión se atienden de forma inmediata sobre la base de datos en producción; los datos pueden persistir en copias de seguridad cifradas durante esa ventana de 30 días hasta que el ciclo regular de copias las sobrescriba. Las copias de seguridad no se utilizan para recuperar registros eliminados salvo en caso de desastre.

12. Menores de 14 años

Sermima está dirigido a personas adultas. Los negocios que utilicen Sermima con pacientes menores de 14 años residentes en España deben obtener el consentimiento de quien ejerza la patria potestad o tutela conforme al art. 7 LOPDGDD.

13. Decisiones automatizadas (art. 22 RGPD)

La IA de Sermima no toma decisiones con efectos jurídicos ni que afecten significativamente al visitante. Las reservas se confirman por personal del negocio o por el propio visitante; la IA no concede ni deniega tratamientos, ni evalúa elegibilidad, ni puntúa al visitante. Puedes en todo momento solicitar atención humana escribiendo al negocio o a privacidad@sermima.es; la opción de escalar a una persona está disponible durante toda la conversación.

14. Prevención de abuso del periodo de prueba

Cuando un negocio inicia una prueba gratuita, Stripe nos facilita un card_fingerprint (un hash no reversible de los datos de la tarjeta; nunca vemos el número real). Conservamos este identificador durante 24 meses para evitar el abuso del sistema de pruebas (creación de cuentas duplicadas para disfrutar del periodo gratuito de forma recurrente). Base legal: interés legítimo (art. 6.1.f RGPD) en proteger Sermima frente al fraude.

15. Registro de auditoría

Las entradas del registro de acciones administrativas se conservan durante 2 años para soportar investigaciones de seguridad y posibles requerimientos de la AEPD; transcurrido ese plazo se purgan.

Privacy policy (English)

Last updated: 2026-05-04

Courtesy translation. The Spanish version above is the legally binding text.

1. Data controller

Marubasa Tech S.L., registered office at C/ Zurbano 45, 1º 28010 Madrid, Spain, CIF B88765094, registered with the Mercantile Registry of Madrid, Sheet M-887372, is the controller for personal data collected through the sermima.es website and the Sermima product.

For any privacy-related queries, contact privacidad@sermima.es.

2. Data we process

• Subscribed business data: business name, address, phone, email, and billing details (handled by Stripe).
• Chat visitor data: phone number or email address provided when requesting an appointment, messages exchanged with the bot, and, where applicable, appointment details.
• Technical data: IP address, device type, browser, and activity logs needed for service security and diagnostics.

3. Purpose and lawful basis

• Service provision (contract performance, GDPR art. 6.1.b): bot operation, appointment management, reminders, billing.
• Legal compliance (GDPR art. 6.1.c): tax and accounting obligations.
• Legitimate interest (GDPR art. 6.1.f): fraud prevention, infrastructure security.
• Consent (GDPR art. 6.1.a): non-essential cookies and marketing communications, always explicit opt-in.

4. Processors (sub-processors)

To deliver the service we share data with the following processors, each bound by contract and required to handle data in compliance with GDPR:

• Anthropic (AI models, USA - DPA signed)
• OpenAI (embeddings, voice transcription and voice synthesis, USA - DPA signed)
• Deepgram (real-time call transcription, USA - DPA signed)
• ElevenLabs (optional voice synthesis for calls, United Kingdom - DPA signed)
• Stripe (payments and billing, Ireland)
• Resend (transactional email delivery, US entity with servers in Ireland - EU)
• Meta - WhatsApp Business Platform (Ireland)
• Railway (hosting, US entity with servers in the Netherlands - EU)

International transfers rely on the Standard Contractual Clauses approved by the European Commission.

4.1 Voice messages

When a visitor sends a voice message through the chat, the audio is transmitted to OpenAI Whisper for transcription purposes only. The audio blob is held in memory only for the time strictly required for transcription and is discarded immediately afterwards; it is never persisted to disk or to a database. Only the resulting text is stored as part of the conversation history.

4.2 Live voice calls

Businesses on a plan that includes the call module can offer visitors a "call" button on the public chat page. If the visitor presses it and grants microphone permission in their browser, the data flow is:

• Visitor audio is streamed in real time to Deepgram (processor, USA) for transcription. Deepgram processes the audio in streaming and does not retain it; only the transcribed text returns to Sermima.
• The transcribed text is persisted to Sermima's database as a regular conversation message, the same way any typed message would be.
• The assistant's reply (text) is sent to OpenAI TTS or, alternatively, ElevenLabs (when the business has the branded custom voice enabled), which synthesise the audio played back to the visitor. The synthesised audio is streamed and not persisted by Sermima.

The call is associated with the same conversation as the chat, so the history stays continuous across channels. The microphone permission is scoped to the active call only, and the visitor can hang up at any time. Sermima records the call duration (for billing and internal metrics) but does not record or retain the audio of either party beyond live streaming.

5. Retention periods

• Active customer data: for the duration of the contract.
• Bot conversations: 24 months, unless an earlier deletion request is received.
• Billing data: 6 years (tax obligations).

6. Data subject rights

You may exercise your rights of access, rectification, erasure, objection, restriction and portability by writing to privacidad@sermima.es. If you believe the processing does not comply with GDPR, you may file a complaint with the Spanish Data Protection Authority (Agencia Española de Protección de Datos - www.aepd.es).

7. Cookies

The site uses essential cookies needed for the service to work and, with your consent, analytics cookies. See the cookies policy.

8. Anti-spam protection (reCAPTCHA)

Public forms (registration, sign-in, and contact) are protected with Google reCAPTCHA v3 to distinguish legitimate traffic from automated bots. When you submit a form your IP address and browser signals are transmitted to Google, which returns a risk score. Google acts as a subprocessor and processes this data under its privacy policy and terms of service. Legal basis: legitimate interest (GDPR art. 6.1.f) in protecting the service from abuse.

9. Special-category data - minimisation (GDPR art. 9)

Sermima is designed for reception and scheduling conversations; we do not solicit health data or any other special category under GDPR art. 9 (racial or ethnic origin, political opinions, religious beliefs, biometric data, sexual orientation, etc.). A visitor may, on their own initiative, mention health-related information when describing the reason for their enquiry. In that case:

• The AI assistant is instructed not to repeat, nor to persist beyond what is strictly necessary, that sensitive data.
• If such data appears in the conversation history, the data controller is the business (clinic) that uses Sermima at its reception desk; Sermima acts as processor and applies minimisation.
• This section is not a lawful basis for processing art. 9 data - it is a minimisation commitment.

10. Erasure (GDPR art. 17) and sub-processor behaviour

When a business (controller) exercises the right to erasure on a visitor, Sermima:

• Immediately deletes the row and its cascade (clients, conversations, messages, appointments, knowledge gaps) from the live production database.
• Has no programmatic delete on the upstream model providers (Anthropic, OpenAI), but those providers auto-delete API content within 30 days under their published policies.
• Stripe retains payment metadata for tax and accounting purposes for approximately 7 years (GDPR art. 6.1.c - required by law).
• Resend and Meta WhatsApp follow their own retention windows; we forward erasure requests to them on receipt.

11. Backups

Encrypted PostgreSQL backups are kept for approximately 30 days. Erasure requests are honoured immediately on the live database; the data may persist in encrypted backups for that rolling 30-day window before being overwritten by the next regular backup cycle. Backups are not used to recover deleted records absent a disaster.

12. Children under 14

Sermima is intended for adults. Businesses that use Sermima with patients under 14 resident in Spain must obtain parental consent under LOPDGDD art. 7.

13. Automated decisions (GDPR art. 22)

The Sermima AI does not take decisions with legal or similarly significant effects on the visitor. Bookings are confirmed by the business's staff or by the visitor themselves; the AI does not grant or deny treatment, assess eligibility, or score the visitor. You can request human review at any time by writing to the business or to privacidad@sermima.es; the option to escalate to a person is available throughout the conversation.

14. Trial-abuse prevention

When a business starts a free trial, Stripe provides us with a card_fingerprint (a non-reversible hash of the card data; we never see the actual card number). We store this identifier for 24 months to prevent abuse of the trial system (creating duplicate accounts to repeatedly enjoy the free period). Legal basis: legitimate interest (GDPR art. 6.1.f) in protecting Sermima from fraud.

15. Audit log

Admin-action audit log entries are retained for 2 years to support security investigations and AEPD requests, then purged.