Política de privacidad
Versión 1.7 — 26 de octubre de 2026
1. Responsable del tratamiento
- Titular: Renan Estevan Sevillano Darin
- NIF: 55209415P
- Domicilio: Avenida Donostiarra, 23, 28027 Madrid
- Correo electrónico: hola@despiertoo.es
- Sitio web: despiertoo.es
No se ha designado Delegado de Protección de Datos por no concurrir los supuestos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD. Cualquier consulta sobre protección de datos puede dirigirse al correo indicado.
2. Datos que tratamos
2.1. Formulario de discovery, paso 1: nombre, cargo, correo electrónico, teléfono, nombre de la clínica y, si se facilita, la dirección de su web.
2.1 bis. Formulario de discovery, paso 2: datos de la clínica como empresa: provincia, servicios que ofrece, rangos de facturación mensual, de ticket medio y de inversión en publicidad, canales de captación, quién atiende las solicitudes, si usa un CRM y cuál, capacidad para atender más pacientes y los comentarios que se quieran añadir. Son datos de la empresa, no de pacientes.
2.2. Datos de origen de la visita: parámetros de campaña (UTM), identificadores de clic de anuncios presentes en la dirección de acceso y la página desde la que se llega. Se leen únicamente en el momento de enviar el formulario, sin cookies. Las cookies y el almacenamiento del navegador se explican en la política de cookies.
2.3. Datos técnicos del envío: dirección IP y navegador desde los que se envía el formulario, que se usan únicamente para impedir envíos masivos automatizados y se borran a los 90 días.
2.4. Información pública revisada para la auditoría: para preparar la reunión se revisa la web facilitada y la presencia pública de la clínica.
2.5. Contacto y reunión de discovery: para fijar la reunión se contacta por teléfono, correo electrónico o WhatsApp con los datos del formulario. La reunión se hace por videollamada en Google Meet. Si lo aceptas al empezar, se graba y se transcribe: imagen, voz y lo que se diga en ella. Te pedimos que no menciones datos de pacientes.
No se solicitan categorías especiales de datos (artículo 9 del RGPD). Quien envía el formulario garantiza la veracidad de los datos y, si aporta datos de terceros, haberles informado de esta política.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Atender la solicitud: contactar para fijar la reunión, preparar y realizar la auditoría y, si procede, enviar una propuesta. | Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b del RGPD). |
| Grabar y transcribir la reunión de discovery para preparar la auditoría y la propuesta (§2.5). | Consentimiento (art. 6.1.a del RGPD), que se pide al empezar la reunión y puede retirarse en cualquier momento. Sin él, la reunión no se graba. |
| Gestionar la relación con quien pase a ser cliente: prestación del servicio y facturación. | Ejecución del contrato (art. 6.1.b) y obligaciones legales (art. 6.1.c del RGPD). |
| Enviar comunicaciones comerciales a quien marque la casilla correspondiente. | Consentimiento (art. 6.1.a del RGPD), que puede retirarse en cualquier momento. |
| Conocer la campaña o la página de origen de la solicitud (§2.2). | Interés legítimo en analizar el rendimiento de la inversión publicitaria (art. 6.1.f del RGPD). |
| Impedir envíos masivos automatizados (§2.3). | Interés legítimo en la seguridad de la web (art. 6.1.f del RGPD). |
La casilla de comunicaciones comerciales es voluntaria y nunca está marcada de antemano. No marcarla no impide atender la solicitud.
4. Plazos de conservación
- Solicitudes que no terminan en contratación: hasta 3 años desde el último contacto, salvo que se pida antes su supresión.
- Clientes: durante la relación y, después, los plazos legales: 6 años (artículo 30 del Código de Comercio) y 4 años a efectos fiscales (artículo 66 de la Ley General Tributaria).
- Comunicaciones comerciales: hasta que se retire el consentimiento.
- Dirección IP y navegador del envío (§2.3): 90 días desde el envío.
- Grabación y transcripción de la reunión (§2.5): los mismos plazos que la solicitud o, si se contrata, que la relación con el cliente. Si retiras el consentimiento, se borran.
Pasados esos plazos, los datos se suprimen o se bloquean a disposición de jueces, tribunales y administraciones competentes (artículo 32 de la LOPDGDD).
5. Destinatarios
No se ceden datos a terceros salvo obligación legal. Estos proveedores actúan como encargados del tratamiento (artículo 28 del RGPD):
- Supabase, Inc. (Estados Unidos): base de datos de las solicitudes, con servidores en la Unión Europea (Irlanda).
- Cloudflare, Inc. (Estados Unidos): alojamiento y entrega de la web.
- HighLevel, Inc. (GoHighLevel, Estados Unidos): gestión de las solicitudes (CRM) y de los mensajes con las clínicas.
- Google Cloud EMEA Limited (Google Workspace, Irlanda): correo electrónico de contacto y videollamadas de Google Meet, con sus grabaciones y transcripciones.
- WhatsApp Ireland Limited (WhatsApp, Irlanda): mensajes para fijar la reunión, desde el CRM o desde la aplicación WhatsApp Business.
- Anthropic, PBC (Claude, Estados Unidos): herramienta de inteligencia artificial con la que se analiza la transcripción de la reunión para preparar la auditoría y la propuesta.
Cuando llega una solicitud, el responsable recibe un aviso interno que no contiene datos personales: los datos se consultan en el CRM.
6. Transferencias internacionales
Algunos de estos proveedores tienen su sede en Estados Unidos o pueden acceder a los datos desde allí, por ejemplo para dar soporte técnico. Esas transferencias se amparan en el Capítulo V del RGPD:
- Cloudflare, HighLevel y Google: decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023), por estar certificadas en él. Sus contratos de encargo incluyen además las cláusulas contractuales tipo de la Comisión Europea.
- WhatsApp: WhatsApp Ireland Limited transfiere los datos a WhatsApp LLC y Meta Platforms, Inc., en Estados Unidos, al amparo del mismo Marco de Privacidad de Datos UE-EE. UU.
- Supabase y Anthropic: cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incluidas en sus contratos de encargo (artículo 46.2.c del RGPD).
Puedes pedir información sobre estas garantías escribiendo a hola@despiertoo.es.
7. Derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar los consentimientos prestados, escribiendo a hola@despiertoo.es. Solo si hay dudas razonables sobre tu identidad se te pedirá que la acredites. La respuesta llegará en un plazo máximo de un mes, prorrogable dos más según la complejidad (artículo 12.3 del RGPD).
También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Decisiones automatizadas
No se toman decisiones automatizadas con efectos jurídicos o significativos. El rango de facturación indicado se usa para saber si se ofrece la reunión: por debajo de 10.000 € al mes no se ofrece, pero la solicitud se guarda y puede retomarse escribiendo al correo indicado. La auditoría se prepara con ayuda de herramientas de inteligencia artificial y siempre la revisa una persona.
9. Seguridad
Se aplican las medidas del artículo 32 del RGPD: cifrado HTTPS/TLS, acceso restringido a la base de datos y almacenamiento cifrado por parte del proveedor.
10. Cambios en esta política
Esta política puede actualizarse por cambios legales u operativos. La versión publicada indica siempre su número y fecha.