Volver al inicio

Política de Privacidad

Última actualización: 21 de octubre de 2026

En VAUCAI 2025, S.L.U. (en adelante, «Vaucai») consideramos la protección de los datos personales un pilar esencial de nuestro servicio. Esta Política de Privacidad informa, con claridad y transparencia, sobre cómo tratamos los datos personales de quienes utilizan nuestro sitio web vaucai.com y los servicios ofrecidos a través del mismo, conforme al Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, «RGPD»), a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), y al Reglamento (UE) 2024/1689 sobre inteligencia artificial (en adelante, «Reglamento de IA»).

1. Responsable del tratamiento

Identidad: VAUCAI 2025, S.L.U.
NIF: B-24846222
Domicilio: Calle Juan de Mata Carriazo, 4, 41018 Sevilla, España
Datos registrales: Inscrita en el Registro Mercantil de Sevilla, hoja SE-151921, inscripción 1ª (IRUS 1000462130552).
Correo electrónico: administracion@vaucai.com

2. Delegado de Protección de Datos

Vaucai ha valorado, conforme al artículo 37 del RGPD, la necesidad de designar un Delegado de Protección de Datos y, atendiendo al volumen actual de tratamiento, la naturaleza de los datos procesados y la dimensión de la organización, no se encuentra obligada a su nombramiento. No obstante, Vaucai ha designado un punto único de contacto en materia de protección de datos al que el interesado puede dirigir cualquier consulta o ejercicio de derechos: administracion@vaucai.com.

Vaucai revisará periódicamente esta valoración y procederá al nombramiento de un Delegado de Protección de Datos en el momento en que las circunstancias del tratamiento así lo exijan.

3. Cómo se presta el servicio: WhatsApp, Telegram y la web

El servicio de Vaucai se presta por tres canales: WhatsApp, con el número oficial de Vaucai; Telegram, con el bot oficial @vaucaibot; y la propia web de Vaucai, en la que el Usuario entra con un código de un solo uso que recibe en su canal de mensajería o, si lo pide, en su propio correo conectado. Los tres acceden a la misma cuenta, memoria, configuración y conversación: no crean dos perfiles ni dos inteligencias separadas. El Usuario elige su canal de mensajería al darse de alta y puede conectar el otro más tarde.

Telegram. Cuando el Usuario habla con su Vaucai por Telegram, los mensajes y archivos que le envía, así como las respuestas generadas por este, transitan necesariamente por la infraestructura de Telegram FZ-LLC, prestador del servicio de mensajería con sede en Emiratos Árabes Unidos. El uso de Telegram se rige por los términos y la política de privacidad propios de dicho prestador, que el Usuario acepta directamente con Telegram al disponer de cuenta en su plataforma. Vaucai no controla la infraestructura de Telegram ni puede garantizar el nivel de protección que dicho prestador aplica a las comunicaciones que circulan por sus sistemas con anterioridad a su recepción por Vaucai.

Una vez que los mensajes son recibidos por la infraestructura de Vaucai a través de la API oficial de Telegram, su tratamiento se rige por la presente Política de Privacidad.

El uso del servicio por Telegram implica el consentimiento expreso del Usuario para que sus comunicaciones transiten por la infraestructura de Telegram, conforme a lo previsto en el artículo 49.1.a) del RGPD para transferencias internacionales de datos.

Riesgos posibles asociados a la transferencia a Emiratos Árabes Unidos (recital 111 RGPD). El Usuario debe ser consciente, antes de prestar el consentimiento, de los siguientes hechos: (i) Emiratos Árabes Unidos no dispone de Decisión de adecuación de la Comisión Europea conforme al artículo 45 del RGPD; (ii) Emiratos Árabes Unidos no ha ratificado el Convenio 108+ del Consejo de Europa; (iii) el marco legal local (en particular, el Federal Decree-Law nº 45/2021 sobre la protección de datos personales y el Federal Decree-Law nº 5/2012 sobre delitos informáticos) confiere a las autoridades públicas determinadas competencias de acceso a comunicaciones que no son directamente comparables al régimen del RGPD; (iv) Telegram opera con cifrado en tránsito y políticas propias de retención de mensajes según sus condiciones públicas, pero la relación contractual entre Vaucai y Telegram no incluye Cláusulas Contractuales Tipo (la API pública de bots de Telegram está disponible para cualquier desarrollador y no admite firma bilateral de SCC). El Usuario que no desee asumir estos riesgos puede usar su Vaucai por WhatsApp y por la web, que no transitan por esa infraestructura.

WhatsApp. El Usuario puede hablar con su Vaucai por WhatsApp, además de o en lugar de Telegram. Es el mismo Vaucai: la misma cuenta, memoria, configuración y conversación. En ese caso, los mensajes y archivos que el Usuario intercambia con su Vaucai por WhatsApp transitan por la WhatsApp Business Platform de Meta Platforms Ireland Limited (Merrion Road, Dublín 4, Irlanda), que presta ese transporte como encargado del tratamiento de Vaucai. Meta recibe el identificador de WhatsApp del Usuario en la cuenta de Vaucai (y su número de teléfono cuando la plataforma lo comparte), el contenido de los mensajes y adjuntos, y los identificadores técnicos de entrega y de precio. Vaucai no utiliza los datos de WhatsApp para entrenar modelos de inteligencia artificial, y las contraseñas y claves guardadas no se envían ni se reciben nunca por WhatsApp: se gestionan en Telegram o en la web. El Usuario puede desconectar WhatsApp pidiéndoselo a su Vaucai, sin perder su cuenta, siempre que conserve otro canal de mensajería, porque es por su canal de mensajería por donde confirma las acciones delicadas y recibe el código para entrar en la web; y puede silenciar en cualquier momento los avisos que su Vaucai le manda por WhatsApp escribiendo «BAJA». Los accesos del grupo Meta desde los Estados Unidos (Meta Platforms, Inc. y WhatsApp LLC, como subencargados) se amparan en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación (UE) 2023/1795), en el que Meta participa, y en las cláusulas contractuales tipo de la Decisión 2021/914 que incorpora el anexo de transferencias de WhatsApp Business (cláusula 10).

4. Datos que tratamos

Dependiendo de la interacción del Usuario con el servicio, Vaucai trata las siguientes categorías de datos personales:

5. Finalidades del tratamiento

Vaucai trata los datos personales del Usuario para las siguientes finalidades:

6. Base legal del tratamiento

Las bases jurídicas que legitiman cada tratamiento son:

El Usuario podrá retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a su retirada. La retirada del consentimiento de Telegram desconecta ese canal; la cuenta y el acceso por la web de Vaucai no se eliminan por esa sola retirada.

7. Tratamiento mediante inteligencia artificial: información específica

Conforme al artículo 13.2.f del RGPD y al artículo 50 del Reglamento de IA, se informa expresamente al Usuario de lo siguiente:

Naturaleza automatizada del servicio. El Vaucai del Usuario genera sus respuestas mediante sistemas de inteligencia artificial generativa proporcionados por proveedores tecnológicos especializados. El Usuario interactúa, por tanto, con un sistema automatizado y no con una persona física.

Lógica del tratamiento. Su Vaucai procesa el contenido de los mensajes del Usuario y, en su caso, la memoria persistente asociada a su cuenta, para generar respuestas contextualmente relevantes. La generación de respuestas tiene naturaleza probabilística y no determinista; respuestas idénticas no están garantizadas para entradas idénticas.

Perfil inferido para personalización. Más allá de los datos que el Usuario declara de forma explícita, su Vaucai elabora automáticamente, a partir del contenido de las conversaciones, un perfil interno inferido del Usuario: rasgos y preferencias de trato, un estado de ánimo agregado a lo largo del tiempo y los temas o asuntos que el Usuario tiene abiertos. Su única finalidad es personalizar las respuestas y dar continuidad a la relación; es de uso interno, no se comunica a terceros y no fundamenta decisiones automatizadas con efectos jurídicos o significativos en el sentido del artículo 22 del RGPD. El Usuario puede acceder a esta información (se incluye en la exportación de datos del artículo 20) y solicitar su supresión, total o parcial, en cualquier momento.

Datos enviados al proveedor del modelo. Para generar cada respuesta, Vaucai transmite el contenido necesario de la conversación a uno de dos encargados que sirven el mismo modelo de OpenAI. El primero es Amazon Web Services EMEA SARL (Amazon Bedrock), con la cuenta de AWS de Vaucai, cuando esa vía está disponible y ha superado las comprobaciones que Vaucai le hace: en Amazon Bedrock el modelo se ejecuta en cuentas que opera AWS, de modo que OpenAI no tiene acceso a las peticiones ni a las respuestas; la petición se emite desde Fráncfort y puede servirse en cualquier región comercial de AWS, incluidos los Estados Unidos, al amparo del contrato de encargo de AWS, que incorpora las Cláusulas Contractuales Tipo, y de la certificación EU–US Data Privacy Framework de Amazon. Si esa vía no está disponible, la misma petición la atiende OpenRouter, Inc., que actúa como gateway de inferencia y enruta cada petición al modelo seleccionado según la política de proveedor que Vaucai fija en cada petición: modelos de OpenAI, servidos por el propio fabricante o, si éste falla o está saturado, por los endpoints en nube de Microsoft Azure o Amazon Web Services (Bedrock) en el orden que Vaucai admite. Si el modelo principal no responde, atiende la petición un modelo de reserva de Google (Gemini) en Google Cloud (Vertex AI), a través de OpenRouter o directamente con la cuenta de Google Cloud de Vaucai. Se transmite el mensaje del Usuario, el historial reciente, el perfil y las memorias que su Vaucai incorpora, el resultado de las herramientas y los archivos compartidos en ese turno. Cuando el Usuario encarga una gestión en una página web (Agente Web, cláusula 4), el modelo recibe además el contenido de las páginas recorridas y capturas de pantalla de esa sesión, que pueden mostrar información del área privada del Usuario. El valor de una contraseña no se transmite en ningún caso. OpenRouter y el proveedor upstream que corresponda procesan esos datos conforme a sus condiciones aplicables; la cadena contractual y las garantías de transferencia se mantienen identificadas en el registro de subprocesadores. A la fecha de esta política el instrumento de transferencia específico de la cadena de OpenRouter está pendiente de verificación documental, y el tratamiento productivo está activo desde el 28 de agosto de 2026: mientras esa verificación no se cierre, la transferencia se realiza sin una garantía del capítulo V del RGPD plenamente formalizada, y se apoya en medidas técnicas que Vaucai impone en cada petición (lista cerrada de proveedores admitidos sin encaminamiento fuera de ella, instrucción data_collection: deny, exclusión de los endpoints que declaran retención prolongada y petición expresa de no conservar la conversación). Esta información se actualizará en cuanto la verificación quede cerrada.

Las webs de Vaucai Sites. Para crear y editar las webs que el Usuario encarga con Vaucai Sites, Vaucai utiliza el modelo Claude Opus 5.5 de Anthropic, servido únicamente por Amazon Web Services EMEA SARL (Amazon Bedrock) con la cuenta de AWS de Vaucai y su perfil europeo: la petición se procesa en regiones de AWS de la Unión Europea, el modelo se ejecuta en cuentas que opera AWS y Anthropic no tiene acceso a las peticiones ni a las respuestas, al amparo del mismo contrato de encargo de AWS. Se transmite la descripción del negocio que da el Usuario, los datos de contacto que la web va a publicar, el contenido de la web cuando se edita y, si el Usuario indica una web de referencia, el texto de esa página. Si el Usuario pide una web con el diseño de otra que le gusta, o que se rehaga mejor la suya, una máquina propia de Vaucai, alojada en Amazon Web Services en Fráncfort, abre esa web como un navegador, y el modelo recibe sus capturas en el ordenador y en el móvil, su estructura (sus textos, sus colores y sus medidas), el catálogo del Usuario y, para revisar el resultado, las capturas de la web nueva. De una web ajena no se publica nada: su contenido sólo sirve para medir cuánto se le parece la copia, y cada trabajo de esa máquina se borra al terminar. Si el Usuario trae su web entera de otra plataforma, el servidor de Vaucai lee sus páginas, sin el modelo, y guarda sus fotos en la web nueva; el modelo recibe el texto de su portada y un extracto de cada página para escribir la portada nueva, y las páginas pasan tal cual. Las apps de su negocio las compone el mismo modelo por la misma vía: recibe lo que el Usuario cuenta de la app que quiere, el nombre y la actividad de su negocio y, si indica la web del programa que usaba, el texto de esa página, que abre la misma máquina propia. Nunca recibe lo que la app guarda después. Esta tarea no tiene modelo de reserva: si no puede atenderse, Vaucai lo comunica.

Otros servicios de inteligencia artificial utilizados. Vaucai utiliza OpenRouter, Inc. también para (i) generar representaciones vectoriales que sustentan la memoria semántica; (ii) transcribir mensajes de audio; y (iii) determinadas tareas internas de clasificación y composición. La generación y edición de imágenes, vídeo y voces se mantiene separada en Higgsfield Inc. y, de reserva, en fal.ai (Features & Labels, Inc.); las imágenes no se envían a OpenRouter. La cadena de proveedores upstream de OpenRouter la forman OpenAI y, para la reserva, Google, y está declarada en el registro interno.

Generación de imágenes, vídeo y música, y mejora de sus fotos y vídeos. Cuando el Usuario pide crear o editar una imagen, crear un vídeo, un avatar que habla o música para su negocio, o mejorar, comprimir o editar con una instrucción una fotografía o un vídeo propios, Vaucai utiliza el proveedor Higgsfield Inc. y, como reserva cuando Higgsfield no responde y para lo que Higgsfield no ofrece (el fondo transparente, el trazo vectorial, quitar el fondo, la mejora de fotos y vídeos, el avatar que habla, la música y la voz), el proveedor fal.ai (Features & Labels, Inc.). Cada uno atiende la petición con el modelo del motor elegido y, detrás de cada modelo, está su fabricante, que recibe la petición: Kuaishou, ByteDance, Alibaba, xAI, OpenAI, Recraft, Ideogram, la propia Higgsfield, Google, Topaz Labs o MiniMax (su país, en la cláusula 10). Se transmite la descripción textual de lo que se desea generar (y, en un jingle, su letra) y, cuando el Usuario pide editar, animar o mejorar una imagen o un vídeo, el propio archivo, que puede contener su imagen o la de otras personas. Si esa imagen contiene a una persona, su Vaucai solicita previamente al Usuario la confirmación de que cuenta con la autorización necesaria para tratar su imagen. El resultado se descarga y se almacena en la infraestructura de Vaucai (Amazon Web Services, UE). Vaucai no cede estos datos para entrenar modelos, y el uso para entrenamiento de lo enviado a Higgsfield está desactivado en la cuenta de Vaucai. Las piezas en 3D del mundo de cada negocio en el ordenador (un sillón, una estantería, un mostrador) las crea Vaucai con fal a partir de la descripción de un objeto, sin ningún dato personal, y las comparten todos los negocios.

Su negocio vivo en el ordenador. Con los planes Vaucai Max y Vaucai Ultra, el ordenador del Usuario muestra su negocio como una foto viva hecha para él, que se construye con su primer pago y se rehace cuando pide un cambio. Para hacerla, Vaucai envía a su director de arte (el modelo GPT-6.1 de OpenAI, servido por Amazon Web Services EMEA SARL (Amazon Bedrock) o por OpenRouter, Inc.) y al proveedor de la imagen y el vídeo (Higgsfield Inc. y, de reserva, fal.ai, con los modelos de OpenAI y de Kuaishou) sólo lo de su negocio: su nombre comercial, a qué se dedica, el nombre de su ciudad, su color, los nombres de lo que vende y de los sitios de su equipo. Nunca un dato de sus clientes, sus cifras ni sus documentos, y ningún nombre de persona se pinta en la foto. La foto y sus vídeos se guardan en la infraestructura de Vaucai en la Unión Europea, llevan la marca de que están hechos con inteligencia artificial y se borran con su cuenta. Si lo prefiere, el Usuario puede ver un panel en su lugar.

Personajes del Estudio. El Usuario puede guardar en su Estudio la cara de un personaje (la suya, o la de alguien que le ha dado permiso para ello) para usarla en sus creaciones. Es un dato biométrico (artículo 9 del RGPD) y se trata con su consentimiento explícito, que su Vaucai le pide antes de guardarla diciéndole a quién llegará la foto. La foto se conserva cifrada en la infraestructura de Vaucai y, cada vez que el Usuario usa el personaje, llega al proveedor y al fabricante del motor que genera esa creación, y sólo a los que su consentimiento nombra: Higgsfield y su fabricante (xAI en la imagen por defecto, Kuaishou en el vídeo por defecto, o el del modo que elija) y, si la creación pasa a la reserva, fal.ai con el mismo fabricante; si pide que el personaje hable, fal.ai y Kuaishou. Si el Usuario lo pide, su cara puede servir para entrenar en Higgsfield una referencia del personaje que mejora su parecido; esa referencia vive en la cuenta de Vaucai y se elimina en Higgsfield cuando el Usuario borra el personaje o su cuenta. El Usuario puede borrar el personaje en cualquier momento, y con ello retira su consentimiento.

Clonación de la voz del Usuario. Si el Usuario lo solicita expresamente, Vaucai puede crear una voz sintética a partir de la suya para que su Vaucai locute textos con ella. La grabación de la voz constituye un dato biométrico (artículo 9 del RGPD) y su tratamiento se basa en el consentimiento explícito del titular, que debe grabar una declaración de consentimiento leyendo un texto concreto: el sistema comprueba que dicha declaración se ha pronunciado realmente y, si no consta, la voz no se crea. Esta verificación existe para impedir la clonación de la voz de un tercero. La grabación se transmite al proveedor fal.ai (Features & Labels, Inc.) y a MiniMax, el fabricante del modelo de voz, para prestar el servicio, y se conserva cifrada en la infraestructura de Vaucai (Amazon Web Services, Alemania, UE). El identificador de la voz queda protegido y se elimina también en el proveedor cuando el Usuario borra la voz o su cuenta. Vaucai no cede estos datos para entrenar modelos.

Contenido sintético generado por IA (art. 50 del Reglamento de IA). Las imágenes y los vídeos que su Vaucai crea a petición del Usuario son contenido generado artificialmente. Cuando dicho contenido sea fotorrealista, recree hechos, lugares o personas reales, o pueda inducir a confusión sobre su autenticidad, su Vaucai lo indica de forma contextual en el momento de la entrega. El contenido claramente artístico, ilustrativo o abstracto no lleva indicación por resultar evidente su naturaleza. Vaucai no genera contenido que vulnere derechos de terceros y rechaza las solicitudes manifiestamente ilícitas.

Vaucai no entrena modelos propios con los datos personales, mensajes, archivos ni memoria de los Usuarios. Tampoco cede dichos datos a terceros para el entrenamiento de sus modelos.

Decisiones automatizadas con efectos jurídicos significativos. El servicio de Vaucai no adopta decisiones individuales automatizadas, en el sentido del artículo 22 del RGPD, que produzcan efectos jurídicos en el Usuario o le afecten significativamente de modo similar. Las respuestas de su Vaucai tienen carácter informativo y de apoyo, y la decisión final sobre cualquier acción derivada de las mismas corresponde siempre al Usuario.

Limitaciones inherentes. El Usuario reconoce que las respuestas generadas pueden contener inexactitudes, omisiones o resultados imprevistos. Vaucai recomienda verificar la información obtenida antes de adoptar decisiones basadas en ella, especialmente en contextos sensibles (jurídicos, médicos, financieros o de seguridad).

8. Datos de servicios conectados (Google Workspace y Microsoft 365) y compromiso de uso limitado

Cuando el Usuario conecta voluntariamente sus servicios de Google Workspace (Gmail y Google Calendar) a su Vaucai, son de aplicación, además de las cláusulas generales de esta Política de Privacidad, las garantías específicas previstas por la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado (Limited Use). Las cláusulas 8.5 a 8.8 extienden el mismo compromiso de uso limitado a los datos de Microsoft 365 (Outlook y Microsoft Calendar) cuando el Usuario conecta esa cuenta.

8.1. Cláusula de Uso Limitado (Limited Use)

El uso por parte de Vaucai de la información recibida desde las APIs de Google Workspace se ajustará a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de uso limitado. En particular, Vaucai declara expresamente que:

8.2. Permisos (scopes) solicitados a Google y finalidad de uso

Vaucai solicita al Usuario, mediante el flujo OAuth oficial de Google y bajo consentimiento expreso, granular y revocable, los siguientes permisos:

Permiso (scope) Finalidad de uso
openid · userinfo.email · userinfo.profile Identificar la cuenta de Google que el Usuario ha conectado y mostrarle en el chat la dirección de correo asociada, de modo que sepa con qué cuenta opera su Vaucai.
https://www.googleapis.com/auth/gmail.modify Leer los correos del Usuario, así como archivar, etiquetar, marcar como leído o no leído, mover a la papelera y crear borradores, en cada caso a petición conversacional explícita del Usuario en el chat.
https://www.googleapis.com/auth/gmail.send Enviar correos electrónicos en nombre del Usuario cuando éste lo solicite expresamente.
https://www.googleapis.com/auth/calendar.events Consultar, crear, modificar y eliminar eventos del calendario del Usuario, así como avisarle de próximos eventos y preparar briefings antes de las reuniones.

Vaucai aplica el principio de mínimo privilegio: solicita exclusivamente los permisos necesarios para las funcionalidades activas en el producto, evitando deliberadamente permisos más amplios. En particular, Vaucai no solicita acceso a Google Drive, Google Contacts, Google Tasks, Google Docs, Google Sheets ni Google Slides. El Usuario puede revocar en cualquier momento estos permisos, ya sea desde su panel de cuenta de Google o pidiéndole a su Vaucai que la desconecte.

8.3. No utilización de datos de Google Workspace para entrenamiento de IA

Conforme a los requisitos de la Política de Uso Limitado de Google y a las propias garantías técnicas y contractuales de Vaucai:

8.4. Conservación, eliminación y revocación de los datos de Google Workspace

Vaucai únicamente conserva los datos de Google Workspace estrictamente necesarios para prestar las funcionalidades activas de su Vaucai (por ejemplo, identificadores de mensaje y de evento, metadatos mínimos de hilos de seguimiento, identificadores de cuenta y tokens cifrados de refresco). Estos datos:

El cumplimiento por parte de Vaucai de los requisitos descritos en esta cláusula es susceptible de evaluación periódica por terceros independientes (assessors aprobados por Google) en el marco del programa Cloud Application Security Assessment (CASA), conforme a los plazos y condiciones establecidos por Google para las aplicaciones que utilizan permisos restringidos de Google Workspace.

8.5. Datos de Microsoft 365 (Outlook y Microsoft Calendar) y compromiso de uso limitado

Cuando el Usuario conecta voluntariamente su cuenta de Microsoft 365 (correo de Outlook y calendario de Microsoft) a su Vaucai mediante el flujo OAuth oficial de Microsoft, el tratamiento de los datos obtenidos a través de la API de Microsoft Graph se rige por las cláusulas generales de esta Política de Privacidad y por los compromisos específicos de uso limitado que se describen a continuación, en paridad con los aplicados a los datos de Google Workspace. En particular, Vaucai declara expresamente que:

8.6. Permisos (scopes) solicitados a Microsoft y finalidad de uso

Vaucai solicita al Usuario, mediante el flujo OAuth oficial de Microsoft y bajo consentimiento expreso, granular y revocable, los siguientes permisos delegados de Microsoft Graph. Los permisos de identidad se solicitan siempre; el resto, únicamente cuando el Usuario activa la funcionalidad correspondiente:

Permiso (scope) Finalidad de uso
openid · email · profile · User.Read · offline_access Identificar la cuenta de Microsoft que el Usuario ha conectado, mostrarle en el chat la dirección asociada y mantener la sesión activa mediante el token de refresco, de modo que sepa con qué cuenta opera su Vaucai.
Mail.ReadWrite · Mail.Send Leer los correos del Usuario, así como archivar, mover, marcar y crear borradores, y enviar correos en su nombre, en cada caso a petición conversacional explícita del Usuario en el chat.
Calendars.ReadWrite Consultar, crear, modificar y eliminar eventos del calendario del Usuario, avisarle de próximos eventos y preparar briefings antes de las reuniones.

Vaucai aplica el principio de mínimo privilegio: solicita exclusivamente los permisos necesarios para las funcionalidades que el Usuario activa, evitando deliberadamente permisos más amplios. El Usuario puede revocar en cualquier momento estos permisos, ya sea desde el panel de aplicaciones y servicios de su cuenta de Microsoft o pidiéndole a su Vaucai que la desconecte.

8.7. No utilización de datos de Microsoft 365 para entrenamiento de IA

En paridad con el tratamiento de los datos de Google Workspace:

8.8. Conservación, eliminación y revocación de los datos de Microsoft 365

Vaucai únicamente conserva los datos de Microsoft 365 estrictamente necesarios para prestar las funcionalidades activas de su Vaucai (por ejemplo, identificadores de mensaje y de evento, metadatos mínimos de hilos de seguimiento, identificadores de cuenta y tokens cifrados de refresco). Estos datos:

8.9. Correo de su web o de su hosting (Webmail)

Si el Usuario usa un correo que no es de Google ni de Microsoft (por ejemplo, el de su dominio en su empresa de hosting), puede pedir a su Vaucai que lo conecte. En ese caso:

9. Plazos de conservación

Categoría de datos Plazo
Datos de cuenta y servicio Durante la vigencia de la relación contractual y, tras su finalización, durante el plazo de prescripción de las acciones legales (con carácter general, 5 años conforme al artículo 1964 del Código Civil)
Conversaciones y memoria de su Vaucai Durante la vigencia de la cuenta. Eliminación inmediata e irreversible de los sistemas en uso al darse de baja (cascade FK Postgres). Sin período de gracia. Las copias de seguridad los conservan hasta que caducan (ver «Copias de seguridad», abajo)
Copias de seguridad Las copias cifradas de la base de datos, guardadas en Alemania y en Suecia (UE), caducan a los 90 días las horarias y diarias y a los 5 años las mensuales. Mientras no caducan contienen también los datos de las cuentas dadas de baja: esos datos quedan bloqueados (artículo 32 de la LOPDGDD), no se consultan y sólo se usan para recuperar el servicio tras un desastre. Si alguna vez hubiera que restaurar una de ellas, las cuentas dadas de baja después de hacerse esa copia se vuelven a borrar antes de que el servicio vuelva a funcionar: Vaucai guarda para eso una lista con el identificador interno de cada cuenta suprimida y la fecha, sin ningún otro dato
Ficheros del Escritorio (lo que su Vaucai crea y lo que el Usuario guarda) y documentos de facturas, presupuestos y gastos Durante la vigencia de la cuenta. Nunca se eliminan por el paso del tiempo: se eliminan cuando el Usuario los borra y vacía su papelera, o al darse de baja. La copia de seguridad geográfica refleja esos borrados en un plazo máximo de siete días. La copia mensual de los documentos fiscales se conserva sesenta meses
La mudanza: la copia de trabajo de lo leído antes de traerlo y las claves del programa anterior del Usuario La copia de trabajo se elimina a los 30 días de traerlo o de deshacerlo, y en el momento en que el Usuario deja la mudanza; lo que quedó por revisar de una mudanza traída pasa antes a su Escritorio. Las claves y las conexiones con su programa anterior se eliminan con su primera factura en Vaucai o a los 30 días de traerlo, al deshacer o dejar la mudanza, y cuando su programa las rechaza. Lo traído queda en su sitio (facturas, gastos, clientes, documentos) con el plazo de cada uno, y el resumen de cada mudanza (de dónde vino y su recibo), mientras la cuenta esté activa
El cambio de gestoría: lo que se envía a la gestoría anterior del Usuario y lo que ella contesta Lo que llega al buzón fiscal@vaucai.com y su copia en el expediente del cambio se eliminan a los 30 días de terminar o cancelar el cambio, salvo la carta firmada que salió, que es la prueba de lo que el Usuario pidió. Lo que llega sin que se sepa de quién es y nadie asigna, a los 30 días. El cambio y la relación de sus correos, mientras la cuenta esté activa. Lo traído queda en su sitio con el plazo de cada uno
Ficha de datos personales (DNI/NIE/IBAN y campos asimilables) Durante la vigencia de la cuenta o hasta que el Usuario elimine el campo concreto. Eliminación inmediata al darse de baja
Gestiones en páginas web por encargo del Usuario (Agente Web) 90 días desde la finalización de la gestión, para la instrucción, el sitio visitado y la etiqueta de la credencial empleada; transcurrido ese plazo se suprimen automáticamente. Las gestiones pendientes de una actuación del Usuario permanecen disponibles mientras no las resuelva o cancele. Las capturas de pantalla y el contenido de las páginas no se conservan en ningún momento. Supresión inmediata al darse de baja
Vault de contraseñas Durante la vigencia de la cuenta o hasta que el Usuario elimine la credencial concreta. Eliminación inmediata al darse de baja
Datos de facturación 6 años (art. 30 del Código de Comercio y normativa fiscal aplicable), contados desde el cierre del año de cada factura. Desde el 3 de octubre de 2026, la factura de cada cuota la expide Vaucai con su propio sistema de facturación, con los datos de facturación que el Usuario dio al pagar o los de su perfil fiscal, y le llega por su chat. Las facturas anteriores se emitieron en Stripe, que no permite borrar una factura ya emitida: al cumplirse el plazo, Vaucai solicita a Stripe su supresión
Pedidos de su tienda online (Shopify o WooCommerce) Mientras la tienda esté conectada. Si el Usuario desinstala la app de Vaucai en Shopify, se eliminan cuando Shopify lo comunica, a las 48 horas; si un comprador pide a la tienda que se borren sus datos, su nombre se elimina de sus pedidos; y con la cuenta, todo
Datos de negocio de terceros (identificación de clientes y proveedores del profesional en facturas, gastos y libros) Vaucai los trata como encargado del tratamiento (cláusula 10.2) mientras la cuenta y el servicio permanezcan activos; se eliminan de forma inmediata al darse de baja. La conservación de los originales durante los plazos legales (con carácter general, 4 años en el ámbito fiscal y 6 años conforme al art. 30 del Código de Comercio) corresponde al profesional responsable, no a Vaucai
Datos de comunicaciones comerciales Hasta la revocación del consentimiento o la oposición del Usuario
Datos técnicos (logs ordinarios) 90 días desde su generación
Datos técnicos críticos (excepciones de su Vaucai, timeouts, eventos de presupuesto excedido) 12 meses, para auditoría de incidentes y análisis post-mortem
Analítica web cookieless y canal de llegada del visitante (web_events) 90 días desde la generación del registro agregado

10. Destinatarios y encargados del tratamiento

Para la prestación del servicio, Vaucai comunica datos personales a los siguientes proveedores tecnológicos, que actúan como encargados del tratamiento conforme al artículo 28 del RGPD. Vaucai mantiene o suscribirá con cada uno de ellos los correspondientes acuerdos de encargo del tratamiento:

Proveedor Finalidad Ubicación Garantía aplicable
Amazon Web Services EMEA SARL Alojamiento de la infraestructura de Vaucai (servidores, base de datos Postgres y caché) y almacenamiento de los ficheros del Usuario (su Escritorio y los documentos de sus facturas, presupuestos y gastos), que se guardan cifrados antes de salir del servidor Alemania / Suecia (UE) Tratamiento dentro del EEE. Por su matriz estadounidense, Cláusulas Contractuales Tipo del acuerdo de encargo de AWS y certificación EU–US Data Privacy Framework
Cloudflare, Inc. DNS autorizado (nameservers moura.ns.cloudflare.com y lilyana.ns.cloudflare.com). Para todos los dominios de Vaucai (vaucai.com y las webs publicadas con Vaucai Sites en *.vaucai.pro) y para el dominio que el Usuario compra con Vaucai para su web, Cloudflare actúa solo como DNS: resuelven directamente a la infraestructura de Vaucai en Amazon Web Services (UE), el certificado lo emite Vaucai en su propio servidor y el tráfico HTTP no atraviesa Cloudflare. El dominio que el Usuario ya tenía y conecta a su web sigue con el DNS de su proveedor: Vaucai sólo le pide los dos registros de la web. Ni los datos del Usuario ni los de los visitantes de su web pasan por Cloudflare Estados Unidos / global Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework. Alcance: queries DNS
OpenRouter, Inc. Gateway de inferencia para respuestas, embeddings y transcripción; para los modelos de OpenAI, segunda vía detrás de Amazon Bedrock, con el mismo modelo. Enruta cada petición al modelo elegido según la política de proveedor de Vaucai; los modelos upstream son de OpenAI, servidos por el propio fabricante o por los endpoints en nube de Microsoft Azure o Amazon Web Services (Bedrock), y los de reserva, de Google, servidos por Google Cloud (Vertex AI). No recibe las imágenes artísticas, que se gestionan por fal.ai Estados Unidos / según la ruta del modelo Garantía en curso de verificación. A la fecha de esta política el instrumento de transferencia específico de OpenRouter y de su cadena upstream está pendiente de verificación documental, y el tratamiento productivo ya está activo. Mientras tanto la transferencia se apoya en la política de proveedor que Vaucai impone en cada petición (lista cerrada de proveedores admitidos, sin encaminamiento fuera de ella, e instrucción data_collection: deny) y en la exclusión de los endpoints que declaran retención prolongada. Esta fila se actualizará en cuanto la verificación quede cerrada
OpenAI, L.L.C. Proveedor upstream al que OpenRouter enruta una petición cuando se selecciona un modelo OpenAI y la política de proveedor de Vaucai lo admite (orden: OpenAI, después Azure y Amazon Bedrock). Vaucai no mantiene una credencial directa ni llama su API. Cuando el modelo se sirve por Amazon Bedrock, OpenAI no recibe los datos (ver la fila de Amazon Bedrock). Las imágenes no pasan por esta cadena; cuando el Usuario elige el modo de imagen de OpenAI, OpenAI las recibe a través de fal.ai (ver su fila) Estados Unidos Garantía de la cadena OpenRouter/upstream pendiente de verificación documental específica
Microsoft Corporation (Azure) Endpoint alternativo dentro de la cadena de OpenRouter para los modelos de OpenAI: sirve la petición cuando el fabricante falla o está saturado, según el orden que fija la política de proveedor de Vaucai. Recibe en ese caso el mismo contenido del turno que recibiría el fabricante Estados Unidos Garantía de la cadena OpenRouter/upstream pendiente de verificación documental específica. Según la política de datos que publica OpenRouter, este endpoint no retiene los prompts ni entrena con ellos
Amazon Web Services EMEA SARL (Amazon Bedrock) Primera vía para generar las respuestas con los modelos de OpenAI, contratada directamente por Vaucai con su cuenta de AWS: recibe el contenido del turno (mensaje, historial reciente, perfil, memorias, resultados de herramientas y archivos del turno) y el de las tareas internas de memoria y clasificación, con la instrucción de no conservarlo. El modelo se ejecuta en cuentas que opera AWS: OpenAI no tiene acceso a las peticiones ni a las respuestas. OpenRouter puede enrutar también a este servicio dentro de su cadena. Además, crea y edita las webs de Vaucai Sites con el modelo Claude Opus 5.5 de Anthropic, por su perfil europeo: recibe la descripción del negocio, los datos de contacto que la web publica y el contenido de la web y, si el Usuario pide una web con el diseño de otra o que se rehaga mejor la suya, las capturas y la estructura de esa web y su catálogo. Compone también las apps de su negocio: recibe lo que el Usuario cuenta de la app que quiere y, si la indica, el texto de la web del programa que usaba. Anthropic no tiene acceso a las peticiones ni a las respuestas UE (contraparte en Luxemburgo); la petición puede servirse en cualquier región comercial de AWS, incluidos los Estados Unidos, salvo las webs de Vaucai Sites y las apps de su negocio, que se procesan sólo en regiones de la UE Contrato de encargo de AWS (AWS GDPR Data Processing Addendum) con Cláusulas Contractuales Tipo; certificación EU–US Data Privacy Framework
Google LLC (Cloud Vertex AI) Sirve los modelos de reserva (Gemini) sólo cuando el modelo principal falla, por dos vías: dentro de la cadena de OpenRouter, donde es el único endpoint admitido para esos modelos (Google AI Studio queda excluido a propósito, porque retiene los prompts según la política publicada por OpenRouter), y directamente, con la cuenta de Google Cloud de Vaucai, cuando la que falla es la propia OpenRouter. Recibe en ese caso el turno que atiende: el mensaje, el historial reciente y el perfil Estados Unidos Por la vía de OpenRouter: garantía de su cadena pendiente de verificación documental específica; según la política de datos que publica OpenRouter, este endpoint no retiene los prompts ni entrena con ellos. Por la vía directa: Google LLC está certificada en el EU–US Data Privacy Framework, y la verificación documental de los términos de la cuenta de Google Cloud de Vaucai está pendiente
PostHog Inc. Analítica de producto del sitio web (páginas vistas, recorridos y embudos de conversión) para medir el uso y mejorar la web. Solo con el consentimiento del Usuario a la categoría «Analíticas»; sin consentimiento, no se carga. Vaucai utiliza la región europea de PostHog Unión Europea (Fráncfort, Alemania); proveedor con sede en EE.UU. Datos almacenados en la UE (PostHog Cloud EU). Cláusulas Contractuales Tipo (Decisión UE 2021/914) para cualquier acceso eventual desde fuera del EEE
Stripe Payments Europe, Ltd. Procesamiento de pagos Irlanda (UE) No aplicable: tratamiento dentro del EEE
Telegram FZ-LLC Infraestructura de mensajería del canal de Telegram (bot @vaucaibot), sólo para el Usuario que usa su Vaucai por Telegram Emiratos Árabes Unidos Consentimiento expreso del Usuario informado de los riesgos (art. 49.1.a RGPD + recital 111). Ver detalle en cláusula 3
Meta Platforms Ireland Limited (WhatsApp) Infraestructura de mensajería del canal de WhatsApp, sólo para el Usuario que elige usar su Vaucai por WhatsApp Irlanda (UE); grupo con operaciones fuera del EEE Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación (UE) 2023/1795) para los accesos de Meta Platforms, Inc. y WhatsApp LLC, con cláusulas contractuales tipo (Decisión 2021/914, módulo 3) según el anexo de transferencias de WhatsApp Business. Ver cláusula 3
Google LLC / Google Ireland Ltd. Integraciones opcionales con Gmail y Google Calendar (solo previa autorización del Usuario). Sometido a la cláusula 8 (Limited Use) UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Microsoft Corporation / Microsoft Ireland Operations Ltd. Integraciones opcionales con Outlook y su calendario (solo previa autorización del Usuario). Los datos accedidos vía Microsoft Graph se utilizan únicamente para proveer las funcionalidades solicitadas por el Usuario; no se utilizan para entrenamiento de modelos de IA ni se transfieren a terceros distintos de los listados en esta tabla UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
SideGuide Technologies Inc. (Firecrawl) Extracción y búsqueda de contenido web público bajo demanda del Usuario (lectura de URLs, búsquedas, extracción estructurada), búsqueda de vuelos y alojamiento con su precio del momento, que Firecrawl consulta en Google Flights, Skyscanner y Booking, transcripción de un vídeo de YouTube cuando el proveedor habitual no la trae, la ficha y las reseñas públicas de Google Maps de un negocio (el del Usuario o el de un competidor que el Usuario decide vigilar), los anuncios públicos de Google de un competidor, las tendencias de búsqueda de Google, la base pública de marcas de la OMPI, el catálogo público de una tienda online, los precios publicados por los salones en Fresha y la localización de lugares y rutas cuando Google Maps no está disponible. Los datos transferidos son la URL o consulta solicitada y el contenido público devuelto; en los viajes, sólo la ruta, las fechas, el número de viajeros y la edad de los menores, sin ningún nombre, contacto ni dato de pago; de las reseñas se conservan su puntuación, su fecha y su texto, nunca los datos de quien las escribe Estados Unidos Cláusulas Contractuales Tipo (Decisión UE 2021/914)
Gamma Tech, Inc. Generación de presentaciones bajo demanda explícita del Usuario y del documento de sus presupuestos, y lectura de cuántas veces se ha abierto una presentación que el Usuario comparte por su enlace. Los datos transferidos son el contenido de la presentación que el Usuario solicite, con el logo y los colores de su negocio, y, en un presupuesto, su contenido: los datos del cliente al que se dirige (nombre, NIF y dirección), los conceptos, los importes y el logo del negocio. De las aperturas sólo se leen recuentos, fechas y el tiempo dedicado a cada diapositiva, nunca la identidad de quien la abre Estados Unidos Cláusulas Contractuales Tipo (Decisión UE 2021/914)
Functional Software, Inc. (Sentry) Captura de errores técnicos de la infraestructura para su mantenimiento (stack traces redactados, identificadores de trazabilidad). Ingesta de datos en la región de la UE (Frankfurt, Alemania). Configuración con send_default_pii=False, sin envío por defecto de datos personales identificables Estados Unidos (entidad legal) / Alemania (ingesta) Cláusulas Contractuales Tipo (Decisión UE 2021/914). Ingesta dentro del EEE
Higgsfield Inc. El proveedor principal de la generación y edición de imágenes y vídeos (el Estudio, la publicidad, el catálogo y las webs), siempre bajo demanda explícita del Usuario. Higgsfield atiende cada petición con el modelo del motor elegido, propio (SOUL, Cinema Studio, Genjutsu) o de su fabricante, que la recibe: Kuaishou (Kling), ByteDance (Seedance), Alibaba (Wan y Qwen), xAI (Grok), OpenAI (GPT Image), Recraft o Ideogram. Se transmite la descripción textual solicitada y, cuando el Usuario pide editar, animar o poner en escena un archivo, el propio archivo, que puede contener su imagen o la de otras personas, o la cara de un personaje de su Estudio (dato biométrico del artículo 9) si su consentimiento lo nombra; con ella puede entrenarse, si el Usuario lo pide, una referencia del personaje que se elimina en Higgsfield cuando borra el personaje o su cuenta. El uso para entrenamiento de lo enviado está desactivado en la cuenta de Vaucai. Detalle en la cláusula 7 Estados Unidos (Higgsfield). Sus fabricantes: Estados Unidos y China (Kuaishou, ByteDance y Alibaba) Acuerdo de tratamiento de datos incorporado a sus condiciones de la API; las garantías del capítulo V del RGPD y la cadena hasta cada fabricante, en curso de verificación
Features & Labels, Inc. (fal.ai) Generación y edición de imágenes, generación de vídeo y del avatar que habla, mejora o compresión de las fotografías y los vídeos propios del Usuario y clonación de su voz, siempre bajo demanda explícita del Usuario. Es la reserva de Higgsfield (la misma pieza, con el mismo modelo, si Higgsfield no responde) y la vía de lo que Higgsfield no ofrece. fal atiende cada petición con el modelo del motor elegido, y el fabricante de ese modelo la recibe como subencargado de fal: Google (Nano Banana, Lyria), OpenAI (GPT Image), Recraft, Topaz Labs (mejora de vídeo), Kuaishou (Kling), ByteDance (Seedance), Alibaba (Wan), xAI (Grok), Ideogram o MiniMax (voz y música). Se transmite la descripción textual solicitada y, cuando el Usuario pide editar, animar o mejorar un archivo, el propio archivo, que puede contener su imagen o la de otras personas, o la cara de un personaje de su Estudio (dato biométrico del artículo 9). Cuando el Usuario pide crear una voz sintética a partir de la suya, se transmite la grabación de su voz, dato biométrico del artículo 9, aportada con su consentimiento grabado y verificado, y el texto de cada locución; el modelo de voz resultante se elimina también en el proveedor cuando el Usuario borra la voz o su cuenta. Detalle en la cláusula 7 Estados Unidos (fal). Sus fabricantes: Estados Unidos y China (Kuaishou, ByteDance, Alibaba y MiniMax) Cláusulas Contractuales Tipo (Decisión UE 2021/914) con fal; la garantía de la cadena hasta cada fabricante, en curso de verificación
Google LLC (Cloud Text-to-Speech) Síntesis de voz de las respuestas de su Vaucai, únicamente cuando el Usuario activa la respuesta hablada. Se transmite el texto de la respuesta que su Vaucai va a leer. No se emplea para entrenar modelos UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
TranscriptAPI (proveedor gestionado) Búsqueda y obtención de subtítulos de vídeos de YouTube bajo demanda explícita del Usuario (resumen y búsqueda de vídeos). Se transmite únicamente la dirección pública o el identificador del vídeo de YouTube; no se transmiten datos personales del Usuario Estados Unidos Cláusulas Contractuales Tipo (Decisión UE 2021/914)
TikHub, LLC. Consulta de datos públicos de plataformas sociales bajo petición explícita del Usuario: resolver un vídeo a partir del enlace que aporta, la ficha de una cuenta pública, el escaparate público de anuncios de TikTok y las fichas de TikTok Shop. Se transmite únicamente el enlace o el nombre de cuenta público que el Usuario teclea; no se transmite su identidad, su dirección IP (la consulta la realiza el servidor de Vaucai) ni el contenido de su conversación. No se emplea para entrenar modelos No publicada por el proveedor. El servicio se presta desde api.tikhub.io. Vaucai ha revisado sus condiciones y su documentación pública: no declaran país de constitución, ley aplicable ni fuero, y se describen a sí mismos como una entidad radicada fuera. El titular del dominio está oculto tras un servicio de privacidad y el servicio se sirve tras Cloudflare, por lo que el país de alojamiento no es verificable externamente. Debe asumirse una transferencia fuera del EEE a un país sin decisión de adecuación conocida Garantía en curso de formalización. A la fecha de esta política Vaucai no tiene todavía firmado con este proveedor un acuerdo de encargo del tratamiento con Cláusulas Contractuales Tipo, y, al no estar confirmado el país de destino, no consta que le resulte aplicable una decisión de adecuación de la Comisión Europea. Vaucai está tramitando dicho acuerdo. Mientras tanto, informamos con transparencia de que esta transferencia se realiza sin las garantías del capítulo V del RGPD plenamente formalizadas, lo que puede suponer un menor nivel de protección que en el EEE. La transferencia se produce únicamente cuando el Usuario pide de forma expresa analizar un contenido o una cuenta concretos, se limita a ese enlace o nombre de cuenta y no se repite si no lo solicita. El Usuario que no utilice estas funciones no realiza ninguna transferencia a este proveedor. Esta fila se actualizará en cuanto el acuerdo quede suscrito y la jurisdicción confirmada
Google LLC (reCAPTCHA Enterprise) Protección antifraude y antibot del formulario de alta en vaucai.com/crear. Se transmiten señales del navegador del visitante (interacción, identificadores técnicos) para obtener una puntuación de riesgo. No se utiliza para personalización publicitaria por parte de Vaucai UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Google LLC (Cloud Document AI) Lectura automática (OCR) de la fotografía de un recibo o una factura que el Usuario envía para que su Vaucai apunte el gasto, y de los documentos escaneados que trae su mudanza. Se transmite la imagen o el PDF del documento, que contiene datos del proveedor o del cliente del Usuario (denominación, dirección, NIF e importe). El procesamiento se solicita en la región europea. No se emplea para entrenar modelos UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Google Maps (Google LLC: Places, Geocoding y Street View) Búsqueda de sitios, resolución de direcciones y la foto a pie de calle de un sitio cuando el Usuario se lo pide a su Vaucai. Se transmite el término que el Usuario indica y, cuando el Usuario la aporta, su ubicación o la dirección que quiere localizar o ver. La consulta la realiza el servidor de Vaucai, de modo que no se expone la dirección IP del Usuario al proveedor UE / Estados Unidos Cláusulas Contractuales Tipo y certificación EU–US Data Privacy Framework
Soluciones Corporativas IP, S.L. (DonDominio): Agente Registrador y alojamiento del correo de Vaucai Registro del dominio que el Usuario compra para su web, a nombre del propio Usuario. Se transmiten los datos que el registro de dominios exige del titular: nombre, DNI o CIF, correo electrónico, teléfono y domicilio. Parte de esos datos se publican en la base de datos WHOIS, de consulta pública, por exigencia del sistema de nombres de dominio. La cadena de destinatarios depende del dominio elegido: un .es se gestiona ante Red.es (España); un .com o un .net implican además a Verisign (Estados Unidos) y al depósito de datos (escrow) de la ICANN. Además, aloja los buzones de correo de Vaucai (soporte@vaucai.com, hola@vaucai.com y los demás de vaucai.com): si nos escribe por correo, su mensaje se guarda allí, en España. Entre ellos, fiscal@vaucai.com, desde el que Vaucai escribe a la gestoría anterior del Usuario cuando la deja (su carta, con su nombre, su NIF y su domicilio fiscal) y en el que recibe lo que esta contesta, hasta treinta días después de terminar el cambio España (UE) el Agente Registrador; Estados Unidos el registro del dominio en los TLD .com y .net Garantía en curso de formalización. Vaucai está verificando con este proveedor el instrumento aplicable: el contrato de distribuidor suscrito no constituye por sí solo un acuerdo de encargo del artículo 28, y la publicación en WHOIS y el depósito ante la ICANN responden a obligaciones del propio sistema de nombres de dominio, no a una instrucción de Vaucai. Informamos con transparencia de que, en los dominios .com y .net, parte de estos datos salen del EEE sin las garantías del capítulo V del RGPD plenamente formalizadas. El Usuario que no compre un dominio no realiza ninguna transferencia a este proveedor
Shopify Inc. Edición de la tienda que el Usuario ya tiene, únicamente si la conecta él, y lectura de sus pedidos. Vaucai actúa sobre su cuenta con los permisos que él concede y se transmite el contenido y el diseño de su tienda (productos, páginas y tema). De sus pedidos lee el número, la fecha, el importe, el estado, los productos y el nombre de quien compra, como encargado del Usuario (cláusula 10.2); nunca el correo, el teléfono ni la dirección de sus compradores Canadá Decisión de adecuación de la Comisión Europea para Canadá (artículo 45 del RGPD): la transferencia no requiere garantías adicionales
Asesorías fiscales y asesores fiscales autónomos de Vaucai (plan Vaucai Ultra) Preparar y presentar ante la Administración tributaria los impuestos del Usuario de Vaucai Ultra, con su representación y su aprobación previa de cada declaración. Acceden sólo a los datos fiscales de los clientes que tienen asignados España No hay transferencia internacional. Encargo de tratamiento (art. 28 RGPD) firmado con cada asesoría o asesor autónomo antes de asignarle clientes
Anthropic, PBC Herramienta de desarrollo y operación con la que Vaucai programa, mantiene y revisa su propio servicio. No participa en las respuestas de su Vaucai. Recibe sólo, y de forma incidental, los datos que aparezcan durante una sesión de trabajo sobre el servicio (por ejemplo, al investigar una incidencia); nunca contraseñas ni credenciales, que siguen cifradas Estados Unidos Garantía en curso de verificación. A la fecha de esta política el instrumento de transferencia de esta relación está pendiente de verificación documental; informamos con transparencia de que, mientras tanto, esa transferencia se realiza sin las garantías del capítulo V del RGPD plenamente formalizadas. Vaucai minimiza lo que puede llegarle: los datos de los usuarios se purgan de sus sesiones de trabajo

Vaucai podrá incorporar nuevos encargados del tratamiento cuando resulte necesario para la prestación del servicio. La relación actualizada estará disponible en esta Política de Privacidad. Los Usuarios con la condición de profesionales o empresas (clientes B2B) podrán solicitar a través de administracion@vaucai.com información detallada sobre los acuerdos suscritos con los encargados.

10.1. Vaucai como encargado del tratamiento (webs creadas con Vaucai Sites)

Cuando un Usuario crea y publica una web con Vaucai Sites y dicha web recaba datos personales de sus visitantes (por ejemplo, nombre, correo o mensaje a través de un formulario de contacto), el Usuario titular de la web es el responsable del tratamiento de esos datos y Vaucai actúa como encargado del tratamiento por cuenta de aquél, conforme al artículo 28 del RGPD. Vaucai tratará dichos datos únicamente para entregarlos al Usuario titular (por su canal de mensajería) y conservarlos a su disposición, siguiendo sus instrucciones, sin utilizarlos para finalidades propias. Los visitantes que deseen ejercer sus derechos sobre estos datos deberán dirigirse al Usuario titular de la web, en su condición de responsable; Vaucai le prestará la asistencia razonable que precise. Estos datos se conservan mientras la web permanezca activa o hasta que el Usuario titular los suprima, y se eliminan al borrar la web o la cuenta.

Las visitas de la web. Como encargado del Usuario titular, Vaucai cuenta las visitas de su web para que sepa cómo le va, sin cookies y sin guardar nada en el navegador del visitante. En cada visita lee la dirección IP y el navegador solo en el momento, para frenar abusos, descartar a los robots y saber si se mira desde un móvil o desde un ordenador, y guarda únicamente totales por día: las páginas vistas, de dónde se llega (un buscador, una red social o la dirección escrita), qué partes de cada página se ven, cuánto se recorren y qué se pulsa (llamar, escribir por WhatsApp o el formulario). No guarda la dirección IP, el navegador ni ningún identificador del visitante, y no cuenta la visita si su navegador pide no ser seguido. Esos totales se conservan 400 días y se eliminan con la web o con la cuenta. Con ellos, Vaucai le dice al Usuario titular cómo va su web y, una vez al mes, le propone mejoras que solo se aplican si él las acepta.

10.2. Vaucai como encargado del tratamiento (datos de negocio)

Cuando un Usuario profesional o empresa introduce en el servicio datos personales de terceros —por ejemplo, la identificación de sus propios clientes y proveedores (nombre o razón social, NIF, domicilio, correo o teléfono) en facturas, presupuestos, gastos y en el libro de clientes—, dicho Usuario es el responsable del tratamiento de esos datos y Vaucai actúa como encargado del tratamiento por cuenta de aquél, conforme al artículo 28 del RGPD. Los términos del encargo, con el contenido mínimo del artículo 28.3 del RGPD, se integran por la presente cláusula, la relación de encargados y subencargados de la cláusula 10 y el acuerdo de encargo del tratamiento que Vaucai pone a disposición del Usuario responsable a solicitud (administracion@vaucai.com).

En su condición de encargado, Vaucai: (i) tratará esos datos únicamente para prestar el servicio contratado (emisión de facturas y de presupuestos, registro de gastos, libro de clientes, libro registro de IVA/IRPF y cuadro de mando), siguiendo las instrucciones del Usuario responsable y sin utilizarlos para finalidades propias; (ii) garantiza la confidencialidad y aplica las medidas de seguridad del artículo 32 (aislamiento por fila con seguridad a nivel de fila fail-closed en Postgres, cifrado de credenciales y de canales, y minimización de datos); (iii) recurre a subencargados (art. 28.4) sujetos a las mismas obligaciones de protección de datos —en particular OpenRouter y el proveedor del modelo de lenguaje al que enruta (procesamiento del turno de su Vaucai) y Amazon Web Services (alojamiento en la Unión Europea)—, informando de cualquier alta o sustitución de un subencargado antes de que surta efecto, por las vías y con la antelación de la cláusula 17, para que el Usuario responsable pueda oponerse; (iv) asiste al Usuario responsable en la atención de los derechos de los interesados y en la notificación de violaciones de seguridad (artículos 33 y 34); y (v) a la terminación del servicio, suprime los datos mediante borrado en cascada al darse de baja la cuenta, salvo obligación legal de conservación.

Los terceros (clientes, proveedores u otras personas cuyos datos introduzca el Usuario) que deseen ejercer sus derechos deberán dirigirse al Usuario responsable; Vaucai le prestará la asistencia razonable que precise. Vaucai no constituye el archivo documental legal del negocio: la obligación de conservar las facturas y la documentación contable, fiscal y mercantil durante los plazos legales (con carácter general, cuatro años en el ámbito fiscal y seis años conforme al artículo 30 del Código de Comercio) corresponde al Usuario responsable, que debe conservar sus propios originales. Al darse de baja la cuenta, la copia que Vaucai mantiene se elimina de forma inmediata e irreversible. Las nóminas no forman parte del tratamiento: las que lleguen con La mudanza o con el cambio de gestoría se guardan como un documento más en su Escritorio, sin interpretarlas. De sus empleados y colaboradores, Vaucai solo trata además lo que el Usuario guarda en las apps de su negocio, en los términos que siguen.

Citas. Cuando el Usuario activa Citas, Vaucai trata además, por su cuenta, las citas que da a sus clientes: el nombre completo del cliente, el día y la hora, el servicio, la asistencia, el cobro y una nota administrativa breve que se guarda cifrada. Si el Usuario ejerce una profesión sanitaria, una cita con él es un dato relativo a la salud (artículo 4.15 del RGPD): el Usuario lo trata con la base del artículo 9.2.h y Vaucai, como encargado, queda sujeto al deber de secreto (artículo 9.3 del RGPD y artículo 5 de la LOPDGDD), aplica las mismas medidas y no lo utiliza para ninguna finalidad propia. La historia clínica no forma parte del servicio. La cita se refleja, con el nombre del cliente y el servicio, en el calendario de Google o Microsoft que el Usuario elige entre los que tiene conectados, que es suyo y lo trata su proveedor bajo el contrato del Usuario. Si el Usuario enciende el aviso de cita por correo, el aviso sale desde la cuenta de correo del propio Usuario, en su nombre y con el texto que él decide, sin contenido publicitario y con una línea para que su cliente pida no recibirlo más; la página en la que su cliente confirma la cita o pide cambiarla (vaucai.com/cita) no usa cookies y solo registra esa respuesta. Al borrarse la ficha de un cliente, sus citas no cobradas pierden su nombre y su nota; las cobradas se conservan como justificante de la factura o del asiento mientras la cuenta esté activa. Si los usa, trata también sus bonos (las sesiones que compró cada cliente y las que lleva), su lista de espera (quién espera un hueco, cuándo le vale y, si el Usuario lo apunta, cómo avisarle) y el equipo de su agenda (el nombre de las personas con las que da las citas, y sus salas, sillones o mesas). El Usuario acepta la versión vigente del encargo al activar Citas.

La mudanza. Cuando el Usuario pide a su Vaucai que traiga lo que llevaba en otro sitio (el programa que usaba, sus ficheros, su correo, su gestoría o el Agente Web), Vaucai lee por su cuenta los datos de sus clientes y proveedores que contienen sus facturas, presupuestos, gastos, citas y documentos, solo para colocarlos en esos mismos registros. Lo leído espera en una copia de trabajo hasta que el Usuario lo trae, y esa copia se suprime a los treinta días de traerlo o de deshacerlo, o en el momento en que deja la mudanza. Las claves de su programa anterior se guardan cifradas, no las ve el modelo de lenguaje y se suprimen al terminar. Vaucai no modifica nada en el programa de origen, que es un proveedor del propio Usuario y no un subencargado de Vaucai. Para leer los documentos intervienen los subencargados de la cláusula 10: el modelo de lenguaje y el servicio de lectura automática de documentos (OCR) de Google.

El cambio de gestoría. Cuando el Usuario deja su gestoría con Vaucai, Vaucai recibe por su cuenta, en el buzón fiscal@vaucai.com, lo que la gestoría le devuelve: sus declaraciones, sus libros y sus documentos, con los datos de sus clientes y proveedores y, si también le llevaba lo laboral, los de sus trabajadores que contengan. Solo los trata para colocarlos con La mudanza en sus registros y, en Vaucai Ultra, para que los vea su asesor fiscal de Vaucai, y los suprime del buzón y del expediente del cambio a los treinta días de terminarlo o cancelarlo. Además de los subencargados de La mudanza, interviene el proveedor del buzón, Soluciones Corporativas IP, S.L. (DonDominio), en España.

Las apps de su negocio. Cuando el Usuario crea con su Vaucai una app para su negocio (por ejemplo, el registro de jornada de sus empleados o las reservas de sus clientes), Vaucai trata por su cuenta los datos de las personas a las que da acceso (nombre, correo, el papel que les asigna y, si fichan en una tablet, un PIN que eligen ellas y que se guarda transformado de forma irreversible), lo que esas personas y el propio Usuario guardan en la app (por ejemplo, las horas de entrada y salida, o la reserva con el nombre, el correo y el teléfono de quien reserva) y el registro de quién hizo cada cambio, que se conserva para que lo guardado sea fiable. Cada persona ve solo lo que las reglas de la app, que fija el Usuario, le permiten. El código para entrar sale desde la cuenta de correo del propio Usuario, y los avisos del navegador viajan cifrados para el aparato de cada persona, sin su nombre ni ningún dato. Vaucai no utiliza estos datos para ninguna finalidad propia y los suprime cuando el Usuario borra la app o su cuenta. Llevar el registro de jornada y conservarlo cuatro años (artículo 34.9 del Estatuto de los Trabajadores) son obligaciones del Usuario como empleador: la app es la herramienta con la que lo lleva, y puede exportarlo en cualquier momento.

La factura que ve su cliente. Cuando el Usuario envía una factura por correo, el correo lleva el enlace a su página en vaucai.com/f, donde su cliente la ve y la descarga sin cookies ni píxeles de seguimiento. Vaucai apunta sólo cuándo la descarga por primera vez, para que el Usuario lo sepa.

Los pedidos de su tienda online. Cuando el Usuario conecta su tienda de Shopify o la de su WordPress con WooCommerce, Vaucai lee por su cuenta los pedidos que recibe: el número, la fecha, el importe, el estado, los productos y el nombre de quien compra (nunca su correo, su teléfono ni su dirección), sólo para llevarlos a su negocio y avisarle de los nuevos. Se conservan mientras la tienda esté conectada. Si un comprador pide a la tienda sus datos, Vaucai entrega al Usuario lo que guarda de sus pedidos para que le conteste; si pide que se borren, su nombre se suprime de esos pedidos; y si el Usuario desinstala la app de Vaucai en Shopify, sus pedidos se suprimen cuando Shopify lo comunica, a las 48 horas. Vaucai no escribe nada en su tienda por esta vía.

Versión del encargo. Esta es la versión 1.9 del encargo, de 19 de octubre de 2026. La 1.1 añadió las citas; la 1.2 y la 1.3, el envío de las facturas a Hacienda en nombre del Usuario; la 1.4 sustituyó a Hetzner por Amazon Web Services como subencargado del alojamiento, que sigue en la Unión Europea; la 1.5 retira el envío de las facturas a Hacienda; la 1.6 añade la mudanza; la 1.7, las apps de su negocio; la 1.8, el cambio de gestoría; la 1.9, los bonos, la lista de espera y el equipo de su agenda, la factura que ve su cliente y los pedidos de su tienda online. El Usuario acepta la versión vigente al aceptar el encargo, al activar Citas, al crear su primera app, al empezar un cambio de gestoría, al conectar su tienda online o al estrenar sus bonos, su lista de espera o el equipo de su agenda.

11. Transferencias internacionales

Las transferencias de datos personales a destinatarios ubicados fuera del Espacio Económico Europeo se realizan con base en alguna de las siguientes garantías previstas en el Capítulo V del RGPD:

Transferencias sin garantía plenamente formalizada. Vaucai informa con transparencia de que, a la fecha de esta política, no todas las transferencias fuera del EEE cuentan con una de las garantías anteriores plenamente formalizada y verificada. Los casos concretos están identificados uno a uno en la tabla de la cláusula 10, que indica para cada destinatario el estado real de su garantía. En esos supuestos la transferencia puede suponer un menor nivel de protección que en el EEE (por ejemplo, acceso de autoridades del país de destino sin vías de recurso equivalentes a las del Derecho de la Unión), y Vaucai aplica mientras tanto las medidas técnicas y organizativas descritas en las cláusulas 7 y 13. Cada fila se actualiza en cuanto el instrumento correspondiente queda suscrito o verificado.

El Usuario podrá solicitar copia o referencia de las garantías aplicadas escribiendo a administracion@vaucai.com.

12. Derechos del interesado

Conforme al RGPD y la LOPDGDD, el Usuario tiene reconocidos los siguientes derechos:

Para ejercer cualquiera de estos derechos, el Usuario puede escribir a administracion@vaucai.com indicando el derecho que desea ejercer y aportando la información necesaria para identificarle. Vaucai únicamente solicitará documentos acreditativos de identidad cuando existan dudas razonables sobre la identidad del solicitante, conforme al artículo 12.6 del RGPD.

Adicionalmente, el Usuario puede ejercer estos derechos de forma directa pidiéndoselo a su Vaucai, por cualquiera de sus canales. El derecho de supresión (por ejemplo, «quiero borrar mi cuenta») elimina la cuenta y los datos asociados, y cancela la suscripción, previa doble confirmación. Para el derecho de acceso y portabilidad, pedir «dame una copia de mis datos» genera y entrega en el propio chat un documento con todos sus datos personales. Si además desea recibir una copia en un formato estructurado de lectura mecánica, para llevársela a otro servicio, basta con pedírsela así a su Vaucai («dame mis datos en JSON» o «en un formato que pueda importar») y se la entrega también en el chat, en ese formato. No es necesario escribir a ninguna dirección: el derecho se ejerce y se completa en la propia conversación.

Vaucai responderá a las solicitudes en el plazo máximo de un mes desde su recepción, ampliable a dos meses adicionales en supuestos de especial complejidad, previa notificación al Usuario.

Si el Usuario considera que el tratamiento de sus datos personales no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, calle Jorge Juan, 6, 28001 Madrid).

13. Medidas de seguridad

Vaucai ha adoptado las medidas técnicas y organizativas apropiadas, conforme al artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo, incluyendo, entre otras:

Vaucai revisa y actualiza periódicamente estas medidas en función de la evolución del estado de la técnica y de los riesgos identificados.

14. Notificación de violaciones de seguridad

En caso de producirse una violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades del Usuario, Vaucai la notificará a la Agencia Española de Protección de Datos sin dilación indebida y, a más tardar, en el plazo de 72 horas desde su conocimiento, conforme al artículo 33 del RGPD. Cuando la violación entrañe un alto riesgo, Vaucai informará igualmente al Usuario afectado, de conformidad con el artículo 34 del RGPD.

15. Cookies y tecnologías similares

El sitio web vaucai.com utiliza cookies y tecnologías similares, cuyo uso se rige por la Política de Cookies, donde se detalla la tipología, finalidad, duración y mecanismo de gestión del consentimiento.

16. Menores de edad y datos de categorías especiales

El servicio de Vaucai está dirigido exclusivamente a personas mayores de 18 años. Vaucai no recaba ni trata conscientemente datos personales de menores de edad. Si Vaucai tuviera conocimiento de que un menor ha facilitado datos a través del servicio, procederá a su eliminación inmediata.

Si el Usuario, padre, madre, tutor o tutora detecta que un menor ha facilitado datos personales sin el consentimiento correspondiente, puede comunicarlo a administracion@vaucai.com para su eliminación.

Advertencia sobre datos de categorías especiales (art. 9 RGPD). Cuando el Usuario autoriza voluntariamente la conexión con servicios externos (en particular, Gmail y Google Calendar, o equivalentes de Microsoft 365), las cuentas conectadas pueden contener datos de categorías especiales en el sentido del artículo 9 del RGPD: datos sobre salud, religión, opiniones políticas, orientación o vida sexual, datos genéticos o biométricos, afiliación sindical, u origen racial o étnico. Vaucai no procesa estos datos como objeto de tratamiento específico ni los analiza con finalidad determinada; pueden aparecer incidentalmente en el contexto operativo de su Vaucai al leer correos o eventos a petición del Usuario. El Usuario debe ser consciente de este tratamiento incidental al autorizar los scopes correspondientes y, si desea evitarlo, puede revocar el acceso en cualquier momento desde el panel de su cuenta del proveedor o pidiéndoselo a su Vaucai (por ejemplo, «desconecta mi Gmail»).

17. Modificaciones

Vaucai podrá modificar esta Política de Privacidad para adaptarla a cambios normativos, jurisprudenciales, técnicos o en la prestación del servicio. Las modificaciones serán comunicadas a los Usuarios registrados mediante mensaje por su canal de mensajería, por correo electrónico si lo ha facilitado o con un aviso destacado en el sitio web, con antelación razonable a su entrada en vigor.

Se recomienda al Usuario revisar periódicamente esta página y atender la fecha de «Última actualización» indicada al inicio.