Política de Privacidad del Producto

Válido desde: 11. Marzo 2026

1. Introducción

Esta Política de Privacidad del Producto ("Política") describe cómo Kolsetu GmbH ("Kolsetu", "nosotros", "nuestro") procesa los datos personales de las personas que acceden y utilizan la plataforma de automatización de voz Elba AI como administradores, operadores o agentes ("Usuarios de la Plataforma") en nombre de un cliente empresarial. Los Usuarios de la Plataforma son las personas que inician sesión, configuran y operan la plataforma, ya sea bajo una suscripción Enterprise aceptada a través de una Orden de Compra, o una suscripción Self-Serve aceptada a través del registro de una cuenta en línea. Cuando una disposición se aplica a una sola vía, se indica explícitamente.

Esta Política rige el procesamiento de datos de Usuarios de la Plataforma por parte de Kolsetu en su calidad de responsable del tratamiento de datos. No rige el procesamiento de datos por parte de Kolsetu en nombre de clientes empresariales en su calidad de encargado del tratamiento de datos; esa relación se rige por el Acuerdo de Procesamiento de Datos (DPA), disponible en www.kolsetu.com. En particular, los datos personales pertenecientes a los clientes finales de nuestros clientes empresariales (es decir, las personas que interactúan con los agentes de voz impulsados por Elba) se procesan exclusivamente bajo el DPA y quedan completamente fuera del alcance de esta Política.

El procesamiento de datos personales en relación con las visitas al sitio web de Kolsetu se rige por separado por la Política de Privacidad del Sitio Web, disponible en www.kolsetu.com.

Flujos de pago y telefonía. El procesamiento de pagos, incluidas las tarifas de suscripción y las compras de créditos, lo completan los Usuarios de la Plataforma directamente en la interfaz propia del proveedor de pagos. Kolsetu solo recibe un evento de confirmación de transacción (por ejemplo, "pago exitoso"); Kolsetu ni la plataforma Elba transmiten ni almacenan datos de tarjetas de pago, credenciales de cuentas bancarias u otros datos de instrumentos financieros. De manera similar, cuando los clientes Self-Serve aprovisionan números de teléfono a través de la interfaz de Twilio integrada en la plataforma, esa interacción tiene lugar directamente entre el cliente y Twilio. Kolsetu solo recibe una confirmación de aprovisionamiento. En ambos casos, el proveedor correspondiente actúa como controlador independiente de los datos financieros o de telefonía subyacentes.

2. Responsable del Tratamiento

El responsable del tratamiento de los datos personales de los Usuarios de la Plataforma en virtud de esta Política es:

3. Datos Personales que Procesamos

Kolsetu recopila y procesa únicamente los datos personales que son necesarios para los fines descritos en esta Política (art. 5, apdo. 1, letra c) del RGPD - minimización de datos). Las categorías de datos procesados sobre los Usuarios de la Plataforma se detallan a continuación. Los datos relativos a los clientes finales de nuestros clientes empresariales no se abordan aquí; se abordan en el DPA.

3.1 Datos de Cuenta e Identidad

Estos son los datos principales necesarios para crear y mantener una cuenta de Usuario de la Plataforma: nombre, dirección de correo electrónico de trabajo y número de teléfono, si se proporcionan. También incluyen el nombre de la empresa, el cargo y el rol organizativo, que se utilizan para la gestión de la cuenta y la configuración de acceso. Las credenciales de inicio de sesión se limitan a la dirección de correo electrónico; las contraseñas se almacenan en formato hash y salado y no son legibles por Kolsetu. Las preferencias de cuenta y la configuración de notificaciones también se incluyen en esta categoría.

3.2 Datos de Uso y Actividad

Cuando un Usuario de la Plataforma interactúa con la plataforma Elba, recopilamos datos sobre cómo y cuándo se utiliza la plataforma. Esto incluye marcas de tiempo de inicio de sesión, duración de la sesión y registros de actividad; acciones de configuración como creación de flujos de trabajo, configuración de integraciones y configuración de agentes; datos de uso de funciones y entradas de registro de auditoría; y metadatos técnicos que incluyen la dirección IP, el tipo de navegador, el sistema operativo y los identificadores del dispositivo. Estos datos se utilizan para la seguridad de la plataforma, la estabilidad del sistema y fines de responsabilidad de auditoría.

3.3 Datos de Soporte y Comunicación

Cuando un Usuario de la Plataforma se pone en contacto con Kolsetu para solicitar soporte, procesamos el contenido de las solicitudes de soporte, los informes de errores y la correspondencia relacionada, junto con el estado del ticket, el historial de resolución y los registros de comunicación. Estos datos se conservan para permitir un soporte eficaz y mantener un registro de los problemas y las resoluciones.

3.4 Datos de Confirmación de Suscripción y Facturación

Tanto para los clientes Enterprise como para los Self-Serve, conservamos información sobre el nivel de suscripción, el ciclo de facturación y el estado de la cuenta. También recibimos y almacenamos eventos de confirmación de transacciones de los proveedores de pagos, por ejemplo, una notificación de que un pago se realizó correctamente o que se compraron créditos. No recibimos, conservamos ni procesamos los datos subyacentes de las tarjetas de pago, las credenciales de las cuentas bancarias ni ningún otro dato de instrumento financiero. Para los clientes Enterprise, además, conservamos los detalles de la Orden de Compra y los registros contractuales. Todas las transacciones financieras se completan en la infraestructura propia del proveedor de pagos; la exposición de datos de Kolsetu se limita al evento de confirmación.

4. Fines y Bases Jurídicas

Procesamos los datos de los Usuarios de la Plataforma únicamente para fines especificados, explícitos y legítimos (art. 5, apdo. 1, letra b) del RGPD). La siguiente tabla expone cada fin y su base jurídica aplicable según el art. 6 del RGPD.

Equilibrio de intereses legítimos. Cuando nos basamos en el Art. 6(1)(f), hemos evaluado que nuestros intereses legítimos no prevalecen sobre los intereses o derechos fundamentales de los Usuarios de la Plataforma. Esta evaluación tiene en cuenta el contexto de relación entre empresas (business-to-business), las categorías limitadas de datos involucradas y las medidas técnicas y organizativas implementadas. Las evaluaciones de intereses legítimos están disponibles previa solicitud a privacy@kolsetu.com.

No hay toma de decisiones automatizada. Kolsetu no toma decisiones sobre los Usuarios de la Plataforma que produzcan efectos jurídicos o similares significativos basándose únicamente en el tratamiento automatizado (Art. 22 RGPD). Las decisiones de control de acceso dentro de la plataforma se ejecutan siguiendo las instrucciones documentadas de los administradores del cliente empresarial.

No utilizamos datos de Usuarios de la Plataforma para publicidad, elaboración de perfiles conductuales o entrenamiento de modelos de IA.

5. Subprocesadores

En la operación de la plataforma Elba, Kolsetu contrata subprocesadores que pueden procesar datos de Usuarios de la Plataforma en nombre de Kolsetu. Estos se limitan a proveedores de infraestructura principal, herramientas de comunicación interna y sistemas operativos. Los proveedores de pagos y de telefonía no son subprocesadores en el contexto de esta Política; como se describe en la Sección 1, operan fuera del flujo de datos de Elba y actúan como controladores independientes de los datos que manejan.

La lista autorizada y actualizada de subprocesadores, que cubre tanto los datos de Usuarios de la Plataforma como los datos de clientes finales procesados bajo el DPA, se mantiene en el Anexo I-C del Acuerdo de Procesamiento de Datos, disponible en www.kolsetu.com. Todos los subprocesadores están obligados por obligaciones de protección de datos no menos protectoras que las aplicadas por Kolsetu, y Kolsetu sigue siendo plenamente responsable de su desempeño en materia de protección de datos. Los clientes empresariales son notificados de los cambios en los subprocesadores con un mínimo de 30 días hábiles de antelación por escrito, de conformidad con el DPA.

6. Transferencias Internacionales de Datos

Kolsetu GmbH está establecida en Alemania y todo el procesamiento principal se lleva a cabo dentro del EEE. Cuando los datos de Usuarios de la Plataforma son procesados por subprocesadores ubicados fuera del EEE, las transferencias se realizan exclusivamente sobre la base de uno de los siguientes mecanismos, aplicados en orden de preferencia: una decisión de adecuación de la Comisión Europea (Art. 45 RGPD); Cláusulas Contractuales Tipo de la UE (Decisión de la Comisión 2021/914); o el Marco de Privacidad de Datos UE-EE. UU. cuando sea aplicable. Se realizan evaluaciones de impacto de la transferencia para todos los subprocesadores en terceros países, y la documentación está disponible previa solicitud a privacy@kolsetu.com.

7. Conservación

Los datos de Usuarios de la Plataforma se conservan solo durante el tiempo necesario para los fines establecidos en esta Política, o según lo exija la ley aplicable. Tras la terminación de la relación contractual, los datos de la cuenta se eliminan o anonimizan en un plazo de 90 días, a menos que una obligación legal de conservación disponga lo contrario. Se aplican los siguientes períodos específicos:

8. Sus Derechos

Como Usuario de la Plataforma, usted tiene los siguientes derechos bajo el RGPD con respecto a sus datos personales procesados bajo esta Política. Para ejercer cualquiera de estos derechos, póngase en contacto con privacy@kolsetu.com. Responderemos en el plazo de un mes a partir de la recepción, ampliable por dos meses más para solicitudes complejas o numerosas, con previo aviso.

• Derecho de acceso (Art. 15 RGPD): a obtener confirmación de si procesamos sus datos personales y, en caso afirmativo, a recibir una copia junto con la información complementaria requerida por el Art. 15.

• Derecho de rectificación (Art. 16 RGPD): a que se corrijan los datos personales inexactos y se completen los datos incompletos sin dilación indebida.

• Derecho de supresión (Art. 17 RGPD): a solicitar la eliminación de sus datos personales cuando el tratamiento ya no sea necesario, se haya retirado el consentimiento o el tratamiento sea ilícito, sujeto a las obligaciones legales de conservación.

• Derecho a la limitación del tratamiento (Art. 18 RGPD): a solicitar que limitemos el tratamiento en circunstancias específicas, por ejemplo, mientras se impugna la exactitud de los datos.

• Derecho a la portabilidad de los datos (Art. 20 RGPD): a recibir los datos personales que nos haya proporcionado en un formato estructurado, de uso común y legible por máquina, cuando el tratamiento se base en un contrato o consentimiento.

• Derecho de oposición (Art. 21 RGPD): a oponerse en cualquier momento al tratamiento basado en intereses legítimos. Dejaremos de tratar los datos a menos que podamos demostrar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o cuando el tratamiento sea necesario para el establecimiento, ejercicio o defensa de reclamaciones legales.

• Derecho a retirar el consentimiento (Art. 7(3) RGPD): cuando cualquier tratamiento se base en el consentimiento, a retirarlo en cualquier momento sin afectar a la licitud del tratamiento realizado antes de la retirada.

Algunos derechos están sujetos a limitaciones legales en virtud de la legislación aplicable; por ejemplo, los registros de confirmación de facturación sujetos a obligaciones comerciales de conservación según la legislación alemana no pueden ser eliminados antes de que expire el período de retención obligatorio. Le informaremos de dichas limitaciones al responder a su solicitud.

Derecho a presentar una reclamación. Si considera que nuestro tratamiento de sus datos personales infringe el RGPD, tiene derecho a presentar una reclamación ante la autoridad supervisora competente en cualquier momento, sin perjuicio de cualquier otro recurso administrativo o judicial. La autoridad supervisora principal de Kolsetu GmbH es la Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Klosterwall 6 (Block C), 20095 Hamburgo, mailbox@datenschutz.hamburg.de. También puede presentar una reclamación ante la autoridad supervisora de su lugar de residencia habitual o de su lugar de trabajo dentro de la UE.

9. Seguridad

Kolsetu implementa y mantiene medidas técnicas y organizativas apropiadas (TOMs) de acuerdo con el Art. 32 RGPD para proteger los datos de Usuarios de la Plataforma contra la destrucción, pérdida, alteración, divulgación o acceso accidental o ilícito. Estas medidas incluyen el cifrado de datos en tránsito y en reposo, controles de acceso basados en roles y autenticación multifactor para acceso privilegiado, aislamiento lógico de inquilinos en todos los entornos de clientes, pruebas de penetración regulares y gestión de vulnerabilidades, y procedimientos documentados de detección, respuesta y escalada de incidentes.

Los detalles completos de las medidas técnicas y organizativas de Kolsetu se exponen en el Anexo 2 del Acuerdo de Procesamiento de Datos, disponible en www.kolsetu.com.

10. Cambios en esta Política

Podemos actualizar esta Política de vez en cuando. La Política revisada se publicará en www.kolsetu.com con una fecha de entrada en vigor/validez actualizada. Distinguimos entre cambios materiales y no materiales. Los cambios materiales son aquellos que afectan a los fines del tratamiento, las categorías de datos recopilados, las bases jurídicas en las que nos basamos o los derechos disponibles para los Usuarios de la Plataforma; notificaremos a los Usuarios de la Plataforma los cambios materiales con al menos 30 días de antelación a través de la interfaz de la plataforma o por correo electrónico a la dirección de la cuenta registrada. Los cambios no materiales, como correcciones editoriales o aclaraciones que no afecten a la sustancia de la Política, entran en vigor tras su publicación sin previo aviso.

11. Contacto

Para consultas sobre privacidad, para ejercer sus derechos según la Sección 8, o para solicitar una copia de una evaluación de interés legítimo, por favor contacte: