Política de privacidad

Esta Política de privacidad explica cómo WANDA LABS S.L. («Nod», «nosotros») trata los datos personales cuando visitas https://thenodai.com, cuando contratas o utilizas la plataforma Nod en https://app.thenodai.com, cuando participas en nuestro programa de afiliados y cuando conectas la plataforma con servicios de terceros como Google, Meta, Calendly, Cal.com, Fathom, Commas o Stripe.

La hemos escrito para que se entienda. Si algo no queda claro, escríbenos a hello@thenodai.com.

Índice

• Quién es el responsable
• A quién se aplica esta política y en qué papel tratamos los datos
• Qué datos tratamos
• Para qué los usamos y con qué base jurídica
• Datos obtenidos de servicios de terceros que conectas
• Datos de usuario de Google
• Datos de la Plataforma de Meta
• Con quién compartimos los datos
• Transferencias internacionales
• Cuánto tiempo conservamos los datos
• Cómo protegemos los datos
• Tus derechos
• Decisiones automatizadas y elaboración de perfiles
• Menores de edad
• Comunicaciones comerciales
• Cookies
• Eliminación de datos
• Cambios en esta política
• Contacto

1. Quién es el responsable

• Responsable: WANDA LABS S.L.
• NIF: B70618970
• Domicilio: Plaça Can Portabella 8, 08030, Barcelona
• Correo de contacto para privacidad: hello@thenodai.com
• Correo general: hello@thenodai.com
• Delegado de Protección de Datos: actualmente no hemos designado un DPO. El equipo interno de Nod, bajo la responsabilidad de WANDA LABS S.L., atiende las solicitudes de privacidad en hello@thenodai.com. Este equipo no actúa como DPO.

2. A quién se aplica esta política y en qué papel tratamos los datos

Nod es una plataforma de software para negocios de formación, consultoría y servicios. Cada negocio que contrata Nod (un «Cliente») dispone de un espacio propio, separado del resto, donde gestiona sus leads, sus clientes y alumnos, sus ventas, sus llamadas y sus contenidos.

Tratamos datos personales en dos papeles distintos:

a) Como responsables del tratamiento, para los datos de:

• Las personas que visitan nuestro sitio web.
• Los Clientes y las personas que los representan: quien contrata, el propietario de la cuenta y los miembros de su equipo que utilizan la Plataforma.
• Los afiliados que se inscriben en nuestro programa.
• Las personas que nos escriben o solicitan información.

b) Como encargados del tratamiento, para los datos que cada Cliente introduce, importa o recibe en su espacio de la Plataforma sobre sus propios leads, clientes, alumnos y contactos. En ese caso, el responsable del tratamiento es el Cliente, que decide qué datos guarda y para qué, y Nod los trata únicamente por cuenta del Cliente, siguiendo sus instrucciones, para prestarle el servicio. Esta relación se regula en nuestro Acuerdo de encargo del tratamiento (https://thenodai.com/data-processing-agreement).

Si eres lead, cliente o alumno de un negocio que usa Nod, el responsable de tus datos es ese negocio. Para ejercer tus derechos o resolver cualquier duda, dirígete a él. Si no sabes cómo contactar con él, escríbenos y te ayudaremos a hacerle llegar tu solicitud.

3. Qué datos tratamos

3.1 Visitantes del sitio web

• Datos técnicos de navegación necesarios para servir el sitio web, como la dirección IP, el navegador y las páginas visitadas, en los registros técnicos del proveedor de alojamiento.
• Los datos que facilites si nos escribes: nombre, correo electrónico y contenido del mensaje.
• Las cookies descritas en la Política de cookies.

3.2 Clientes y usuarios de la Plataforma

• Datos de registro: nombre del negocio, dirección de la cuenta, nombre y correo electrónico del propietario, plan contratado.
• Datos de la cuenta: nombre, correo electrónico, imagen de perfil, rol y permisos de cada usuario. Las contraseñas las gestiona nuestro proveedor de autenticación y se almacenan de forma que nadie puede leerlas.
• Datos de facturación: nombre o razón social, datos fiscales que el Cliente introduce y el historial de pagos de la suscripción. El cobro lo realiza Stripe: Nod no recibe ni almacena los datos completos de la tarjeta.
• Datos de uso y técnicos: registros de actividad necesarios para prestar, proteger y mantener el servicio, como los trabajos automáticos ejecutados y sus errores.
• Comunicaciones: los mensajes que intercambias con nuestro soporte.

Al iniciar la prueba, Stripe guarda el método de pago para realizar el cargo al finalizar los 5 días; Nod no ve ni guarda los datos completos de la tarjeta. Nod registra el correo con el que se inicia cada prueba y el identificador numérico de cada cuenta de Instagram conectada, junto al Espacio al que queda vinculada.

3.3 Afiliados

• Nombre y correo electrónico.
• Los negocios que se han dado de alta desde su enlace y las comisiones generadas.
• El identificador de su cuenta de cobro en Stripe. Los datos de identidad y bancarios los recoge y gestiona directamente Stripe durante el alta de la cuenta.

3.4 Datos que los Clientes guardan en la Plataforma (como encargados)

Según lo que cada Cliente decida utilizar, puede incluir:

• Datos identificativos y de contacto de sus leads, clientes y alumnos: nombre, correo electrónico, teléfono y origen.
• Etiquetas, notas, etapas del proceso comercial y respuestas a formularios, con su puntuación.
• Ventas, planes de pago, suscripciones y recibos.
• Llamadas agendadas, con la persona invitada y, si se usa Fathom, el enlace a la grabación, el resumen y las tareas.
• Progreso en programas de formación, tickets de soporte y sus adjuntos.
• En el proceso de bienvenida (onboarding), el nombre, el número de documento de identidad y la fecha de aceptación del contrato, y la copia del contrato aceptado.
• Registros de envío de los correos y de las bajas de comunicaciones comerciales.
• Datos importados de las integraciones que el Cliente conecte (ver apartado 5).

El Cliente es responsable de contar con una base jurídica para tratar esos datos y de informar a los interesados.

4. Para qué usamos los datos y con qué base jurídica

No vendemos datos personales. No utilizamos los datos de ningún Cliente, ni los datos que sus clientes o alumnos generan, ni los datos procedentes de integraciones, para publicidad propia, para crear perfiles comerciales propios ni para entrenar modelos de inteligencia artificial propios o de terceros. Cuando un Cliente activa Conversions API, transmitimos los datos descritos en el apartado 8 por su cuenta para medir y optimizar sus campañas. Esto no autoriza a Nod a utilizarlos para fines publicitarios propios.

El registro del correo de la prueba y del identificador de Instagram vinculado al Espacio se basa en nuestro interés legítimo en prevenir el fraude y el abuso de la prueba gratuita (artículo 6.1.f del RGPD): una prueba por persona y una cuenta de Instagram por Espacio. Estos registros no se utilizan para otras finalidades.

5. Datos obtenidos de servicios de terceros que conectas

Las integraciones solo se activan cuando el propietario o un administrador de un Cliente lo decide expresamente desde la sección correspondiente de la Plataforma. Pedimos únicamente los permisos necesarios para cada función. Las claves y tokens de acceso se almacenan cifrados con AES-256-GCM, se usan exclusivamente para la función descrita y nunca se muestran de nuevo. El Cliente puede desconectar cualquier integración en cualquier momento. Al desconectarla eliminamos al instante sus credenciales de acceso.

Los datos de estos servicios solo son visibles para el Cliente que los ha conectado y para los usuarios de su equipo con permiso. Cada uno de estos servicios trata además tus datos conforme a sus propias políticas de privacidad, que te recomendamos consultar.

5 bis. Clonación de voz

Esta función trata la grabación que aportes, el modelo de voz creado, los textos que quieras convertir en audio y los audios generados, exclusivamente para prestar la clonación y la generación de voz que solicites. La voz puede identificar e imitar a una persona y requiere especial cuidado. La función no tiene como finalidad identificar de manera única a una persona mediante reconocimiento biométrico.

La creación y utilización de la voz requerirá el consentimiento explícito de su titular. Podrá retirarse en cualquier momento, sin afectar a la licitud del tratamiento anterior, y solicitarse la eliminación de la grabación y del modelo de voz. Puedes ejercer estos derechos escribiendo a hello@thenodai.com; en la gestión de voz de la cuenta, también se informará de cómo hacerlo desde sus ajustes.

Si la voz forma parte de los datos que un Cliente aporta para su negocio, ese Cliente será el responsable del tratamiento y Nod actuará como encargado siguiendo sus instrucciones. Cuando Nod determine los fines y medios de un tratamiento propio, actuará como responsable, conforme a esta política. El proveedor previsto para la clonación y generación es ElevenLabs Inc., como encargado o subencargado según corresponda. Su intervención estará sujeta al acuerdo de tratamiento aplicable para prestar la función.

El tratamiento podrá implicar transferencias fuera del Espacio Económico Europeo. El DPA de ElevenLabs contempla cláusulas contractuales tipo y otros mecanismos aplicables; para prestar el servicio se verificarán el contrato, las ubicaciones y las garantías efectivas. No se ofrece residencia exclusiva en la Unión Europea como condición de esta función. Puedes consultar el DPA de ElevenLabs y la lista de subencargados de Nod.

La conservación prevista de la grabación y del modelo está vinculada a la función activa. La retirada del consentimiento, la eliminación de la voz, el fin de la suscripción que la habilite o la eliminación de la cuenta deberán dar lugar al cese de su uso y a su supresión en Nod y en el proveedor. La prestación de la función requiere validarn el procedimiento y los plazos efectivos, incluidas las copias de seguridad y las excepciones legales. No se anuncia un borrado automático inmediato ya disponible. Los textos y audios generados quedarán sujetos a los plazos generales aplicables a los datos del Cliente y a las solicitudes de eliminación.

La grabación y el modelo no se destinarán a entrenar modelos generales de IA ni a finalidades ajenas al servicio solicitado. Solo accederán los proveedores necesarios sujetos a las obligaciones de tratamiento correspondientes, incluidos los subencargados autorizados del proveedor.

5 ter. Asistencia de IA y clasificación de conversaciones

Nod utiliza Anthropic y OpenAI para asistencia conversacional, generación y análisis. ElevenLabs transcribe notas de voz entrantes; el texto resultante puede formar parte del contexto utilizado por las funciones de IA. La transcripción es distinta de la generación y clonación de voz.

El negocio determina la configuración y las acciones que autoriza. El setter utiliza el historial autorizado, la información del contacto, los conocimientos pertinentes del negocio y el contexto de agenda para responder, cualificar leads, gestionar objeciones y ejecutar seguimientos y acciones de agendamiento autorizados. El negocio determina las finalidades e instrucciones del tratamiento de sus contactos; Nod actúa como encargado. La gestión propia de cuentas y facturación de Nod mantiene su tratamiento separado como responsable.

El negocio supervisa los resultados y puede pausar la IA o tomar el control de una conversación. Una petición de envío ya iniciada puede completarse. La IA puede cometer errores. Los cambios propuestos requieren la intervención del negocio y no se aplican automáticamente. Nod mantiene sus compromisos de no utilizar los Datos del Cliente para publicidad propia ni para entrenar modelos generales.

Para prestar Nod AI, AI Autotags, el filtro de spam y los resúmenes de conversaciones utilizamos los servicios de IA de OpenAI, a través de OpenAI Ireland Ltd. y las entidades indicadas en su acuerdo de tratamiento. Se envían los textos de mensajes de Instagram autorizados que sean necesarios, la ficha del contacto y las instrucciones del negocio. Los datos enviados mediante la API de OpenAI no se utilizan para entrenar sus modelos por defecto; Nod no autoriza ese uso.

AI Autotags y el filtro de spam realizan un tratamiento automatizado de los mensajes para clasificar conversaciones según las reglas del negocio. Las etiquetas añadidas o retiradas manualmente quedan protegidas y existe un historial de decisiones con filtros. Los resúmenes organizan la situación, las objeciones y el siguiente paso. Estos tratamientos no adoptan por sí solos decisiones con efectos jurídicos o efectos similares significativos sobre la persona y son revisables por el negocio.

ElevenLabs Inc. presta la generación de notas de voz. Para ello recibe el texto a locutar y la voz configurada por el negocio, además de los datos necesarios para la clonación cuando se utiliza esa función conforme al apartado 5 bis. Nod utiliza esos datos para prestar la función solicitada y no para entrenar modelos propios. Nod no autoriza el uso de esos datos para entrenar modelos de terceros. El alcance del tratamiento y las garantías de cada proveedor se detallan en la lista de subencargados.

5 quater. Datos de origen de campaña

Los formularios y landings de Nod registran los parámetros utm_source, utm_medium, utm_campaign y utm_content y el identificador de clic fbclid presentes en la URL de llegada. Se asocian al contacto para atribuir sus resultados y ventas al anuncio que lo trajo; se conserva el primer origen. La captura también funciona en formularios de Nod incrustados en webs externas.

Nod realiza este tratamiento por cuenta del Cliente, que determina la base jurídica respecto de sus contactos, debe informarles en su propia política de privacidad y obtener los consentimientos cuando sean exigibles. Que los identificadores se transmitan en una URL no elimina esas obligaciones.

5 quinquies. Totales en varias monedas

Los totales se calculan con tipos de referencia públicos del Banco Central Europeo; consultar esos tipos no implica enviar datos personales al BCE ni un tratamiento adicional de datos personales por su parte.

6. Datos de usuario de Google Calendar

Esta sección describe específicamente cómo accedemos, usamos, almacenamos y compartimos los datos de usuario de Google. Tienes más detalle en https://thenodai.com/google-api-disclosure.

Datos de Google Workspace y modelos de IA/ML

El uso y la transferencia de la información recibida de las APIs de Google cumplen la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso Limitado. Los datos de Google Calendar se usan únicamente para las funciones de calendario descritas en esta página y no se transfieren a proveedores de IA. Los datos de YouTube se tratan según el apartado Servicios API de YouTube: solo se envían a Anthropic u OpenAI los títulos y las cifras necesarios cuando el usuario solicita al asistente una respuesta sobre sus métricas. No utilizamos datos de usuario de Google, en bruto, agregados o derivados, para desarrollar, mejorar o entrenar modelos generales de IA o aprendizaje automático.

• Qué datos accedemos: cuando conectas tu cuenta de Google, accedemos a tu dirección de correo de Google, mediante los permisos openid y email, y a la capacidad de crear, modificar y eliminar eventos en tu calendario, mediante el permiso https://www.googleapis.com/auth/calendar.events.
• Cómo los usamos: únicamente para crear en tu Google Calendar el evento de cada llamada que agendas en Nod, con su enlace de Google Meet y la invitación a tu cliente, y para actualizarlo o eliminarlo cuando la cambias o la cancelas en Nod. Tu correo de Google se usa solo para mostrarte qué cuenta está conectada. No leemos, analizamos ni guardamos el resto de eventos de tu calendario.
• Cómo los almacenamos: guardamos el token de acceso de tu cuenta de Google cifrado con AES-256-GCM, y el identificador del evento y el enlace de Meet de cada llamada creada desde Nod, en servidores ubicados en la Unión Europea.
• Con quién los compartimos: no compartimos datos de usuario de Google con terceros, salvo con los proveedores de infraestructura que alojan la Plataforma, en la medida estrictamente necesaria para prestar el servicio, cuando lo exija la ley o con tu consentimiento expreso.
• Uso limitado: el uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Nod cumplen la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. En concreto: (a) solo usamos estos datos para ofrecer o mejorar funciones visibles para el usuario en la Plataforma; (b) no los transferimos a terceros salvo en los casos permitidos por esa política; (c) no los usamos para publicidad, incluida la publicidad personalizada, basada en intereses o de retargeting; (d) no los vendemos; (e) no los usamos para determinar solvencia ni con fines de préstamo; (f) ninguna persona los lee salvo con tu consentimiento expreso, cuando sea necesario por motivos de seguridad, para cumplir la ley o de forma agregada y anonimizada para operaciones internas; y (g) no los usamos para desarrollar, mejorar o entrenar modelos de inteligencia artificial o aprendizaje automático generalizados.
• Conservación y eliminación: conservamos el token mientras la integración esté conectada. Al desconectarla desde Nod eliminamos el token al instante. También puedes retirar el acceso en cualquier momento desde https://myaccount.google.com/permissions. Para eliminar además los datos asociados, sigue las instrucciones de https://thenodai.com/data-deletion.

7. Meta Ads: datos de la Plataforma de Meta

La consulta del rendimiento de campañas descrita a continuación es de solo lectura. La conexión opcional Conversions API envía eventos del negocio a Meta y se describe por separado en el apartado 8; no crea ni modifica anuncios o presupuestos.

• Qué datos obtenemos: cuando un usuario conecta Meta Ads mediante el inicio de sesión con Facebook para empresas, obtenemos acceso de solo lectura a la cuenta publicitaria que elige, con los datos descritos en el apartado 5.
• Para qué los usamos: exclusivamente para mostrar a ese Cliente, dentro de su propio espacio en la Plataforma, el rendimiento de sus campañas y anuncios.
• Qué no hacemos: no creamos, modificamos, pausamos ni eliminamos anuncios, campañas ni presupuestos. No vendemos, licenciamos ni cedemos los datos de la Plataforma de Meta. No los usamos para publicidad, para elaborar perfiles ni para ofrecer servicios a terceros. No los compartimos con otros Clientes. Cumplimos las Condiciones de la Plataforma de Meta y las políticas para desarrolladores de Meta.
• Almacenamiento y seguridad: el token de acceso se guarda cifrado con AES-256-GCM, y los datos importados se guardan en el espacio del Cliente, separados de los del resto.
• Conservación y eliminación: conservamos estos datos mientras la integración esté conectada y la cuenta del Cliente esté activa. Puedes desconectar la integración desde Nod o retirar el acceso desde la configuración de tu portfolio empresarial de Meta. Para solicitar la eliminación de los datos ya importados, sigue las instrucciones de https://thenodai.com/data-deletion. Los eliminamos en un plazo máximo de 30 días y te lo confirmamos.

La vinculación antifraude entre el identificador de Instagram y el Espacio se conserva aunque desconectes la cuenta o solicites eliminar los datos de Instagram. Se eliminan los datos obtenidos de Meta conforme a esta política, pero se mantiene el identificador de vinculación para impedir nuevas pruebas, sujeto a los derechos y garantías descritos en los apartados 10 y 12.

8. Con quién compartimos los datos

Solo compartimos datos personales con:

• Proveedores que nos ayudan a prestar el servicio (subencargados), con los que tenemos contratos que les obligan a tratar los datos solo siguiendo nuestras instrucciones y con medidas de seguridad adecuadas: alojamiento de la aplicación, base de datos y almacenamiento de ficheros, procesamiento de pagos y envío de correos. La lista actualizada está en https://thenodai.com/subprocessors.
• Los servicios de terceros que tú conectas, en la medida en que la integración lo requiere y siguiendo tus instrucciones (apartado 5).
• Autoridades, jueces y tribunales, cuando exista una obligación legal.
• Un posible comprador o sucesor, en caso de fusión, adquisición o venta de activos, con las garantías que exija la normativa y previo aviso.

Meta Platforms Ireland Ltd. · Conversions API (solo si el Cliente la activa)

Cuando un negocio activa esta conexión, Nod envía a Meta desde el servidor eventos de su cuenta: envío de formulario, llamada agendada, compra, inicio de suscripción y alta de cliente. El correo electrónico, el teléfono, el nombre, los apellidos y el identificador interno de la persona se transforman mediante hash SHA-256 antes del envío. También se envía el identificador del clic del anuncio (fbc), si existe, y, en compras, el importe y la moneda. El hash es una medida de seudonimización: estos identificadores siguen siendo datos personales.

Nod actúa como encargado por cuenta del negocio, que decide activar la conexión y puede desactivarla en cualquier momento desde Meta Ads. Meta trata los datos como responsable para sus propios fines conforme a sus Condiciones de las herramientas empresariales. Para las operaciones en que resulte aplicable la corresponsabilidad entre el negocio y Meta, se aplica su Anexo para responsables del tratamiento; para el tratamiento posterior que determine por su cuenta, Meta actúa como responsable independiente. Meta no se presenta como subencargado de Nod en esta conexión.

El negocio debe disponer de una base jurídica válida respecto de sus contactos e informarles del envío antes de activar la conexión. Debe obtener el consentimiento cuando lo exijan la normativa de protección de datos o las reglas sobre cookies y tecnologías similares; el interés legítimo solo podrá utilizarse cuando sea jurídicamente aplicable y no sustituye un consentimiento exigible. El envío desde servidor no elimina estas obligaciones.

El tratamiento puede implicar transferencias internacionales. Las transferencias a Meta Platforms, Inc. en Estados Unidos se amparan en el Marco de Privacidad de Datos UE-EE. UU. para los tratamientos cubiertos por su certificación; cuando corresponda, se aplican las cláusulas contractuales tipo de Meta y las garantías exigidas por el capítulo V del RGPD. Consulta la información de Meta sobre el Marco de Privacidad de Datos y su Anexo de transferencia de datos de la UE.

9. Transferencias internacionales

Priorizamos proveedores y regiones de la Unión Europea: la base de datos y los ficheros de la Plataforma se alojan en la Unión Europea y la aplicación se sirve desde la región de Dublín (Irlanda).

Algunos de nuestros proveedores, o sus empresas matrices, están establecidos en Estados Unidos u otros países fuera del Espacio Económico Europeo, y pueden acceder a datos para prestar sus servicios, por ejemplo para soporte o para el envío de correos. En esos casos, las transferencias se amparan en una decisión de adecuación de la Comisión Europea, como el Marco de Privacidad de Datos UE-EE. UU. para las empresas certificadas, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con medidas complementarias cuando proceda. Puedes solicitar más información en hello@thenodai.com.

10. Cuánto tiempo conservamos los datos

Cuando termine el plazo, los datos se eliminan o se anonimizan. Pueden conservarse bloqueados durante los plazos de prescripción de las posibles responsabilidades legales.

El correo utilizado para la prueba y el identificador de Instagram, junto al Espacio vinculado, se conservan mientras exista el servicio, incluso después de eliminar el Espacio, exclusivamente para impedir una segunda prueba y mantener la vinculación antifraude. Este registro limitado es una excepción al borrado general del Espacio. Su conservación está sujeta a la necesidad y proporcionalidad del tratamiento y a los derechos aplicables; no se utiliza para ninguna otra finalidad.

11. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Aislamiento por Cliente: cada consulta a la base de datos se filtra por el Cliente al que pertenece y, además, la base de datos aplica políticas de seguridad a nivel de fila.
• Cifrado: comunicaciones cifradas mediante HTTPS/TLS; credenciales de integraciones cifradas con AES-256-GCM; contraseñas gestionadas por un proveedor de autenticación especializado, que nunca las almacena en claro.
• Control de acceso: roles y permisos por área dentro de cada Cliente; los usuarios solo acceden a lo que su rol permite, y los alumnos solo a su portal.
• Ficheros privados: los documentos privados solo se sirven mediante enlaces temporales firmados.
• Verificación de avisos: las notificaciones que recibimos de Stripe, Commas y Fathom se verifican mediante su firma antes de procesarse.
• Protección de enlaces: los enlaces de baja de correos van firmados y los vales de descarga se almacenan de forma que no pueden reconstruirse.
• Mínimo privilegio: solo pedimos a los servicios de terceros los permisos necesarios.
• Gestión de incidentes: en caso de brecha de seguridad, actuaremos conforme a los artículos 33 y 34 del RGPD y lo notificaremos a la autoridad de control y, cuando proceda, a los afectados y a los Clientes.

12. Tus derechos

El equipo interno de Nod, bajo la responsabilidad de WANDA LABS S.L., atiende estas solicitudes en hello@thenodai.com. Indica «Privacidad» en el asunto. Este canal no implica la designación de un delegado de protección de datos. El plazo legal de respuesta es distinto del tiempo orientativo del soporte general.

Puedes ejercer en cualquier momento, de forma gratuita, los derechos de:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que eliminemos tus datos.
• Oposición: oponerte a determinados tratamientos.
• Limitación: pedir que suspendamos el tratamiento en ciertos casos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Retirar tu consentimiento cuando el tratamiento se base en él, sin que afecte a la licitud del tratamiento anterior.

Para ejercerlos, escribe a hello@thenodai.com indicando el derecho que quieres ejercer. Si tenemos dudas razonables sobre tu identidad, podremos pedirte información adicional para confirmarla. Responderemos en el plazo de un mes desde la recepción. Cuando la complejidad o el número de solicitudes lo justifique, el plazo podrá ampliarse hasta dos meses adicionales; te informaremos de la ampliación y sus motivos dentro del primer mes.

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (https://www.aepd.es), C/ Jorge Juan, 6, 28001 Madrid.

Si eres lead, cliente o alumno de un negocio que usa Nod, recuerda que el responsable de tus datos es ese negocio (apartado 2).

Puedes solicitar el traslado o la liberación de una cuenta de Instagram escribiendo a equipo@thenodai.com. Puedes oponerte al registro antifraude por motivos relacionados con tu situación particular. La oposición se evaluará individualmente y solo podrá denegarse si acreditamos motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o para formular, ejercer o defender reclamaciones. Te comunicaremos la decisión y las vías de reclamación.

13. Decisiones automatizadas y elaboración de perfiles

Nod no toma decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre las personas o les afecten significativamente de modo similar.

La Plataforma permite a los Clientes configurar funciones como la puntuación de respuestas en sus formularios o reglas de automatización. Esas funciones las define y utiliza cada Cliente, como responsable, para organizar su propia actividad comercial. Es responsabilidad del Cliente informar de ello a los interesados y garantizar su uso conforme a la normativa.

14. Menores de edad

Nod es un servicio profesional dirigido a empresas y profesionales mayores de 18 años. No recogemos conscientemente datos de menores de 14 años como responsables. Los Clientes que utilicen la Plataforma con alumnos o clientes menores de edad son responsables de obtener, cuando corresponda, el consentimiento de sus padres o tutores legales, conforme al artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD).

15. Comunicaciones comerciales

Solo te enviaremos información comercial sobre Nod si nos has dado tu consentimiento o, si ya eres Cliente, sobre productos o servicios similares a los contratados, conforme al artículo 21 de la LSSI-CE. Puedes darte de baja en cualquier momento con el enlace incluido en cada comunicación o escribiendo a hello@thenodai.com.

Las comunicaciones que los Clientes envían a sus propios contactos desde la Plataforma son responsabilidad de cada Cliente. La Plataforma incluye un enlace de baja en las comunicaciones comerciales y respeta las bajas registradas.

16. Cookies

Utilizamos cookies y tecnologías similares como se explica en la Política de cookies (https://thenodai.com/cookie-policy).

17. Eliminación de datos

Puedes consultar cómo desconectar integraciones, retirar el acceso concedido a Nod y solicitar la eliminación de tus datos en https://thenodai.com/data-deletion.

18. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en la Plataforma, en la ley o en nuestras prácticas. Publicaremos la versión actualizada con su fecha. Si los cambios son relevantes, lo comunicaremos a los Clientes por correo electrónico o dentro de la Plataforma con antelación razonable.

19. Contacto

Para cualquier cuestión sobre esta política o sobre tus datos: hello@thenodai.com · WANDA LABS S.L. · Plaça Can Portabella 8, 08030, Barcelona.

Servicios API de YouTube

Nod permite conectar el canal de YouTube propio del negocio desde Contenido → Métricas para consultar su rendimiento y vincular sus vídeos a las piezas de contenido planificadas en Nod. Essential incluye 1 canal y Pro hasta 3 canales.

Nod utiliza los Servicios API de YouTube, concretamente YouTube Data API v3 y YouTube Analytics API. Al conectar tu canal aceptas quedar vinculado por los Términos de servicio de YouTube. Consulta también la Política de privacidad de Google.

Permisos y alcance de solo lectura

Para YouTube solicitamos únicamente los permisos https://www.googleapis.com/auth/youtube.readonly y https://www.googleapis.com/auth/yt-analytics.readonly. No solicitamos el permiso de ingresos yt-analytics-monetary.readonly ni permisos de escritura. Nod nunca sube, edita, borra ni publica vídeos, comentarios ni ningún otro contenido en YouTube.

Datos que obtenemos y guardamos

• Del canal: ID, nombre, identificador (@handle), imagen y lista de subidas.
• De cada vídeo del canal: ID, título, descripción, miniatura, fecha de publicación, duración, visibilidad (público, privado u oculto), si es un directo y contadores públicos de visualizaciones, me gusta y comentarios.
• De YouTube Analytics, por vídeo: visualizaciones con interacción, compartidos, minutos vistos estimados, duración media de visualización, porcentaje medio visto, suscriptores ganados y tipo de contenido (Short, vídeo o directo).
• De YouTube Analytics, por día del canal: visualizaciones, visualizaciones con interacción, minutos vistos, me gusta, comentarios, compartidos, suscriptores ganados y perdidos; también los totales de la semana, los últimos 30 días y los últimos 180 días.

No obtenemos el texto de los comentarios, datos demográficos ni geográficos de la audiencia, ingresos ni datos de monetización, mensajes ni datos de canales que no pertenezcan al usuario que autoriza.

Finalidad, acceso y proveedores

Usamos estos datos solo para mostrar al propio negocio el rendimiento de su canal, vincular los vídeos con su contenido planificado y, si un miembro del negocio lo solicita, permitir que el asistente de IA de Nod resuma esas métricas. No se usan para publicidad, para crear perfiles de usuarios ni para vender o ceder datos a terceros para sus propios fines.

Solo pueden verlos los miembros del negocio a quienes el propietario o un administrador haya concedido el permiso «Métricas de contenido». Ningún otro negocio tiene acceso.

Supabase trata estos datos como proveedor de base de datos en la Unión Europea (Irlanda) y Vercel como proveedor de alojamiento de la aplicación en la Unión Europea (Dublín). Anthropic y OpenAI intervienen únicamente cuando un miembro del negocio pregunta al asistente por sus métricas de contenido: reciben solo los títulos de vídeos y las cifras necesarios para responder. Los datos de YouTube no se utilizan para entrenar modelos de IA. Consulta la lista de subencargados.

Seguridad

Los tokens de acceso de Google se guardan cifrados con AES-256-GCM y solo los utiliza el servidor. Las tablas que contienen los datos de YouTube son de acceso exclusivo del servidor y están aisladas por negocio. Todas las conexiones utilizan HTTPS.

Conservación, desconexión y borrado

Los datos se actualizan periódicamente. Cuando desconectas tu canal de YouTube en Nod, revocamos el acceso en Google y eliminamos de inmediato de nuestros sistemas activos los datos importados de YouTube de ese canal. Si retiras el acceso desde tu cuenta de Google, los eliminamos de nuestros sistemas activos en un máximo de 7 días. Los datos que no hemos podido actualizar durante 30 días también se eliminan. Al eliminar la cuenta o el negocio se eliminan sus registros importados de YouTube de los sistemas activos. Estos plazos específicos se aplican a YouTube; la conservación en copias de seguridad y en los proveedores de IA se explica por separado.

Puedes retirar el acceso mediante «Desconectar» en Nod o desde los permisos de tu cuenta de Google. Para solicitar el borrado o consultar sobre este tratamiento, escribe a equipo@thenodai.com y consulta las instrucciones de eliminación de datos.

Cookies, dispositivo y reproductor

Nod guarda y lee información en tu dispositivo mediante cookies propias necesarias para la sesión y una cookie temporal de 15 minutos para completar la autorización de YouTube. El panel de un vídeo incorpora el reproductor oficial de YouTube desde youtube-nocookie.com, sin reproducción automática. YouTube puede guardar o leer cookies e información del dispositivo conforme a sus propias políticas. En este módulo Nod no muestra anuncios ni permite que terceros sirvan contenido o anuncios, salvo ese reproductor de YouTube. Consulta la Política de cookies.

Si usas el asistente de IA para consultar tus métricas de YouTube, Anthropic y OpenAI pueden conservar esas consultas hasta 30 días según sus condiciones, sin utilizarlas para entrenar modelos. Anthropic procesa esas consultas en Estados Unidos.

Las copias de seguridad automáticas de nuestra base de datos se conservan durante un máximo de 30 días. Hasta su sobrescritura, los datos eliminados pueden permanecer en ellas de forma cifrada, sin uso ni acceso. Nunca se restauran para volver a utilizarlos: si es necesario restaurar una copia, los datos de YouTube de canales desconectados se vuelven a eliminar automáticamente.

Métricas de contenido y sincronización CRM: papel de las partes

El negocio decide qué cuentas conecta, qué usuarios pueden acceder y qué sentidos de sincronización activa. Nod trata esos datos por cuenta del negocio y siguiendo sus instrucciones, como encargado del tratamiento. El negocio debe disponer de una base jurídica adecuada e informar a las personas cuyos datos incorpora, incluidas las que aparecen en imágenes, publicaciones o conversaciones. La autorización técnica de un administrador no sustituye estas obligaciones. WANDA LABS S.L. actúa como responsable respecto de sus propios tratamientos de gestión de cuenta, contratación y facturación descritos en esta política.

Instagram · Métricas de contenido

El negocio puede conectar sus propias cuentas profesionales de Instagram en «Contenido → Métricas» mediante el inicio de sesión de Instagram y los permisos instagram_business_basic e instagram_business_manage_insights. Esta conexión es de solo lectura: no publica ni modifica contenido en Instagram. Es distinta de Meta Ads y de las funciones de mensajería de Nod AI.

Obtenemos publicaciones y sus estadísticas —visualizaciones, alcance, Me gusta, comentarios, compartidos y guardados—; estadísticas de historias, incluidas cifras de respuestas y navegación —avances, retrocesos y salidas—; estadísticas diarias de la cuenta y datos de audiencia agregados facilitados por Instagram, como porcentajes por edad, género, país y ciudad. Estos datos de audiencia no identifican a seguidores individuales. Las estadísticas de historias pueden conservarse después de que la historia deje de estar disponible en Instagram.

Para reconocer el contenido al que corresponde cada estadística cuando caducan las direcciones de imagen de Instagram, guardamos una copia de la portada de cada publicación e historia. Se descarga exclusivamente de los servidores de Instagram, se recodifica en WebP con un ancho máximo de 720 píxeles y se eliminan sus metadatos. Las imágenes y los textos pueden contener información sobre terceras personas.

Las imágenes se almacenan de forma privada en Supabase Storage, en Irlanda, Unión Europea. Solo pueden verlas los usuarios autorizados del propio negocio con acceso al módulo de Contenido, mediante enlaces firmados que caducan en una hora. No se publican ni se ponen a disposición de otros negocios. Las imágenes nunca se envían a sistemas de IA. Vercel presta el alojamiento de la aplicación en Dublín, Unión Europea.

Utilizamos estos datos exclusivamente para mostrar al negocio el rendimiento de su contenido e identificar las publicaciones e historias correspondientes, así como para responder a consultas sobre estadísticas en los términos descritos a continuación. No los vendemos ni los utilizamos para publicidad propia o entrenamiento de modelos de IA.

Consultas al asistente sobre Instagram

Cuando una persona del negocio con acceso a Métricas pregunta por esas estadísticas, Nod puede enviar a OpenAI o Anthropic, mediante sus API, un resumen con el nombre y estado de las cuentas conectadas; las diez publicaciones con más visualizaciones y las diez con más compartidos del periodo —tipo, fecha, cifras y primera línea del texto, limitada a 140 caracteres—; visualizaciones medias por etiqueta de contenido y totales diarios de la cuenta.

No se envían imágenes, el texto completo de las publicaciones, datos de audiencia ni datos de seguidores individuales. Se utiliza el resumen solo para responder al usuario. Los proveedores no utilizan estos datos para entrenar sus modelos y pueden conservar las consultas hasta 30 días según las condiciones del servicio utilizado. Anthropic procesa estos datos en Estados Unidos. Las ubicaciones y garantías aplicables a los proveedores se describen en la lista de subencargados.

Conservación y eliminación de Instagram Métricas

Los datos importados de Instagram Métricas y las copias de portadas se conservan mientras la cuenta permanezca conectada. Al desconectarla, se eliminan sus datos importados e imágenes. Si Meta comunica la retirada de la aplicación o una solicitud de eliminación, se eliminan los datos afectados en todos los negocios en los que estén presentes; las copias de imágenes se eliminan en un máximo de seis horas desde el aviso. La conservación del historial del asistente se describe por separado.

Las estadísticas, textos y metadatos eliminados pueden permanecer en las copias de seguridad de la base de datos hasta 30 días, sin consulta ni utilización y sin restauración para uso normal, hasta su sobrescritura. Los archivos de imagen no forman parte de esas copias de seguridad; sus metadatos sí pueden estar incluidos. El archivo de imagen se elimina definitivamente cuando Nod lo borra y no queda sujeto al plazo de conservación de las copias de la base de datos.

Para retirar la conexión, desconecta la cuenta de Instagram en Nod. Para solicitar la eliminación, consulta las instrucciones de eliminación de datos o escribe a hello@thenodai.com. Si apareces en contenido de un negocio que utiliza Nod, puedes dirigirte al negocio como responsable o escribirnos para que canalicemos tu solicitud. Los derechos y las vías de reclamación se explican en la Política de privacidad.

Historial del asistente y datos de las fuentes conectadas

Las respuestas del asistente se guardan en el historial de conversaciones del usuario dentro del negocio. El plazo de borrado automático del historial asociado a una cuenta de origen es de 30 días después de desconectar esa cuenta. Esta regla describe el historial y se aplica a Instagram, YouTube y las demás fuentes; no debe confundirse con el borrado de los registros importados, las copias de seguridad o la conservación de consultas por los proveedores de IA, que se describen por separado.

Integración con GoHighLevel (CRM)

Los negocios con plan Pro pueden conectar opcionalmente una subcuenta de GoHighLevel —HighLevel, Inc., también denominada LeadConnector— mediante la aplicación de Nod en su marketplace. Un administrador autoriza la conexión y el negocio decide qué sentidos de sincronización activa.

Recibimos el nombre y la zona horaria de la subcuenta; nombres y correos de sus usuarios para asignar cada cita al miembro correcto; contactos —nombre, correo, teléfono, empresa, etiquetas y origen—; oportunidades —pipeline, etapa y estado—; citas —fecha, hora, estado, asistencia y enlace de la reunión—; y facturas pagadas y pedidos —importe, moneda, estado y contacto pagador—.

Según la sincronización activada, enviamos los contactos creados o modificados en Nod —nombre, correo, teléfono, empresa y etiquetas— y los cambios de etapa de los leads. Si el negocio utiliza Nod AI y activa esa sincronización, también enviamos etiquetas del estado de la conversación y una nota por conversación de Instagram con hasta sus últimos 40 mensajes y un máximo de 5.000 caracteres.

Utilizamos estos datos exclusivamente para mantener sincronizados el CRM del negocio y Nod y mostrar sus contactos, etapas, citas y cobros. No los vendemos ni los utilizamos para publicidad o entrenamiento de modelos de IA. Los tokens se guardan cifrados y solo se utilizan desde nuestros servidores. Los datos sincronizados forman parte de los registros del negocio en Nod. Guardamos registros técnicos de los cambios recibidos para evitar duplicados y resolver incidencias; su conservación está vinculada a esas finalidades.

Nod actúa como encargado por cuenta del negocio. GoHighLevel es un proveedor contratado por el propio negocio; Nod transmite datos siguiendo las instrucciones de sincronización que este activa. El negocio mantiene su propia relación con GoHighLevel, cuyas condiciones y política regulan su tratamiento, incluidas las posibles transferencias fuera del Espacio Económico Europeo.

Al desconectar desde Nod o desinstalar la aplicación en GoHighLevel, cesa inmediatamente la sincronización y se eliminan la conexión y sus tokens. La desconexión no elimina automáticamente los registros ya sincronizados en ambos sistemas. El negocio puede retirar desde Nod los contactos que Nod creó en GoHighLevel y borrar sus datos de Nod. Las solicitudes de supresión de datos personales deben atenderse respecto de los datos y destinatarios afectados; desconectar no sustituye ese procedimiento.

Residentes en Estados Unidos

WANDA LABS S.L. es una empresa española. Esta política mantiene las garantías del RGPD y de la normativa española aplicable; los derechos previstos por la legislación estadounidense se aplican adicionalmente cuando concurran sus requisitos. La versión inglesa no implica que los datos se alojen en Estados Unidos. Las finalidades, categorías de datos, destinatarios, conservación y transferencias se describen en los apartados anteriores.

Según el estado de residencia, la naturaleza del tratamiento y la normativa aplicable, puedes tener derecho a acceder a tus datos, corregirlos, solicitar su eliminación u obtener una copia portable; también a oponerte a la venta de datos, a determinados usos publicitarios o a ciertas decisiones basadas en perfiles, y a limitar determinados tratamientos de información sensible. Estos derechos están sujetos a las excepciones legales correspondientes. Su ejercicio no dará lugar a discriminación prohibida por la ley.

Para ejercer un derecho, escribe a hello@thenodai.com indicando tu solicitud y estado de residencia. Verificaremos la identidad y, cuando proceda, la autorización de un representante de forma proporcionada. Aplicaremos los plazos exigidos por la normativa que corresponda. Si rechazamos una solicitud, explicaremos el motivo y las vías de reclamación o recurso que procedan. Cuando la ley reconozca un recurso interno, puedes presentarlo en el mismo correo con el asunto «Recurso de privacidad»; responderemos en el plazo legal e indicaremos la autoridad competente cuando sea exigible.

Si tus datos pertenecen a un negocio que utiliza Nod y actuamos siguiendo sus instrucciones, ese negocio es el responsable de decidir sobre la solicitud. Puedes dirigirte a él o escribirnos para que canalicemos la solicitud conforme a nuestras obligaciones como encargados.