Política de privacidad - Qwairy

1. Introducción

Qwairy SAS, sociedad por acciones simplificada de derecho francés (Société par actions simplifiée) inscrita con el número SIREN 944 639 012, con domicilio social en 1 Rue de Stockholm, 75008 Paris, France ("Qwairy," "nosotros," "nuestra empresa"), se compromete a proteger su privacidad.

La presente Política de privacidad explica cómo recogemos, utilizamos, conservamos y protegemos sus datos personales cuando utiliza nuestra plataforma de Generative Engine Optimization (GEO) (el "Servicio"), incluidos los datos obtenidos a través de integraciones de terceros como Google Analytics y Google Search Console (véase la Sección 13, Datos de usuario de Google).

Al utilizar nuestro Servicio, usted acepta la recogida y el uso de la información conforme a la presente Política de privacidad. Esta política cumple el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, la ley francesa de protección de datos (Loi Informatique et Libertés), la Política de datos de usuario de los servicios de la API de Google y las Condiciones del servicio de las API de Google.

2. Responsable del tratamiento

3. Datos que recogemos

3.1 Información de la cuenta

Cuando crea una cuenta, recogemos:

• Dirección de correo electrónico
• Nombre (si se facilita)
• Foto de perfil (en caso de inicio de sesión con OAuth)
• Nombre de la empresa y URL del sitio web (si se facilitan)

3.2 Datos de uso

Recogemos automáticamente información sobre cómo interactúa con nuestro Servicio, en particular:

• Páginas visitadas y funcionalidades utilizadas
• Marcas de tiempo y duración de las sesiones
• Tipo de navegador e información del dispositivo
• Dirección IP

3.3 Datos de marca y de contenido

Para prestar nuestros servicios de optimización GEO, recogemos:

• Los nombres y las descripciones de las marcas que configura
• Las palabras clave y los temas que monitoriza
• La información sobre competidores que añade
• El contenido generado por IA y los resultados de los análisis

3.4 Datos procedentes de integraciones de terceros

Cuando decide conectar cuentas de terceros (Google Analytics, Google Search Console e integraciones similares), recogemos los datos descritos en la Sección 13. Estas conexiones son siempre opcionales y pueden revocarse en cualquier momento.

4. Cómo utilizamos sus datos

Utilizamos sus datos personales para:

• Prestar, mantener y mejorar nuestro Servicio
• Procesar las transacciones y enviar la información relacionada
• Enviar notificaciones y actualizaciones administrativas
• Responder a sus solicitudes y consultas al soporte
• Analizar los patrones de uso para mejorar la experiencia de usuario
• Detectar y prevenir el fraude o los problemas de seguridad

No utilizamos sus datos personales, sus datos de usuario de Google ni los contenidos tratados por su cuenta para entrenar nuestros propios modelos de inteligencia artificial o de aprendizaje automático.

5. Base jurídica del tratamiento (RGPD)

Conforme al RGPD, tratamos sus datos personales sobre las siguientes bases jurídicas:

• Ejecución del contrato (art. 6(1)(b) del RGPD): Tratamiento necesario para prestar el Servicio solicitado y facturarlo.
• Consentimiento (art. 6(1)(a) del RGPD): Para funcionalidades opcionales como las comunicaciones de marketing, las cookies no esenciales y las integraciones de terceros (por ejemplo, Google Analytics y Google Search Console).
• Intereses legítimos (art. 6(1)(f) del RGPD): Para el análisis, la seguridad, la prevención del fraude y la mejora del servicio, cuando sus derechos no prevalezcan sobre dichos intereses.
• Obligaciones legales (art. 6(1)(c) del RGPD): Cuando así lo exija la legislación aplicable (contabilidad, fiscalidad, respuestas a las autoridades).

6. Encargados del tratamiento y comunicación a terceros

Recurrimos a las siguientes categorías de proveedores (subencargados), únicamente para el funcionamiento del Servicio. Cuando un proveedor ofrece un acuerdo de tratamiento de datos (DPA) que responde a los requisitos del artículo 28 del RGPD, nos apoyamos en él. Estamos formalizando progresivamente DPA con todos nuestros subencargados y facilitaremos, previa solicitud razonable, un justificante de cualquier DPA concreto. Las transferencias fuera del Espacio Económico Europeo se tratan en la Sección 7.

• Alojamiento y computación en la nube: Vercel Inc. (EE. UU.)
• Base de datos: Neon (región UE / EE. UU.)
• Tareas en segundo plano y colas: Trigger.dev (UE / EE. UU.)
• Caché y limitación de solicitudes: Upstash (AWS, UE / EE. UU.)
• Mensajería en tiempo real: Pusher (Reino Unido / EE. UU.)
• Proveedores de IA (ejecución de prompts y generación): OpenAI (EE. UU.), Anthropic (EE. UU.), Google (EE. UU., a través de la Gemini API y Google AI Studio), Perplexity (EE. UU.), xAI (EE. UU.), Mistral AI (Francia), Microsoft (EE. UU., a través de Copilot). Los prompts y la información relativa a las marcas que configura se transmiten a estos proveedores para ejecutar las consultas de monitorización.
• Procesamiento de pagos: Stripe (EE. UU. / Irlanda)
• Correo transaccional y de marketing: Resend (EE. UU.), Loops (EE. UU.)
• Seguimiento de errores: Sentry (EE. UU.)
• Analítica de producto: Google Analytics (EE. UU.), Mouseflow (Dinamarca)
• Soporte al cliente: Crisp (Francia)

No vendemos sus datos personales a terceros. No utilizamos sus datos, sus datos de usuario de Google ni los contenidos tratados por su cuenta para entrenar modelos de inteligencia artificial o de aprendizaje automático.

Puede solicitar una lista actualizada de los subencargados en la dirección team@qwairy.co. Le informaremos con antelación de cualquier cambio previsto relativo a la incorporación o sustitución de un subencargado, para darle la posibilidad de oponerse.

7. Transferencias internacionales de datos

Algunos de nuestros subencargados están situados fuera del Espacio Económico Europeo (EEE). Cuando transferimos datos personales a estos países, nos apoyamos en una de las siguientes garantías, conforme a los artículos 44 a 49 del RGPD:

• Decisiones de adecuación adoptadas por la Comisión Europea (por ejemplo, el Reino Unido, Israel y las transferencias cubiertas por el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado).
• Cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914), completadas cuando es necesario con medidas técnicas y organizativas adicionales siguiendo las recomendaciones del Comité Europeo de Protección de Datos (CEPD).
• Su consentimiento explícito, cuando proceda, para las transferencias no cubiertas por los mecanismos anteriores.

Puede solicitar una copia de las garantías aplicables a las transferencias escribiéndonos a team@qwairy.co.

8. Conservación y seguridad de los datos

8.1 Conservación

Conservamos sus datos personales únicamente durante el tiempo necesario para prestar el Servicio y cumplir las finalidades descritas en esta Política, salvo que la ley exija o permita un periodo de conservación más largo (por ejemplo, por obligaciones contables, fiscales o de defensa jurídica).

Periodos de conservación habituales:

• Datos de cuenta y de espacio de trabajo: durante la vigencia de su suscripción y hasta noventa (90) días después de la eliminación de la cuenta para permitir su recuperación.
• Facturación y facturas: diez (10) años, conforme al derecho mercantil y fiscal francés.
• Registros de servidor y de seguridad: hasta doce (12) meses.
• Datos de integraciones de terceros (por ejemplo, Google Analytics y Google Search Console): mientras la integración siga conectada; se eliminan cuando desconecta la integración.

8.2 Seguridad

Aplicamos medidas técnicas y organizativas apropiadas para proteger sus datos personales frente al acceso, la alteración, la divulgación o la destrucción no autorizados, en particular:

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo cuando nuestra infraestructura lo permite
• Controles de acceso basados en roles y principios de mínimo privilegio para los accesos internos
• Entornos aislados y separación de los datos de los clientes
• Supervisión, registro y alertas continuas mediante Sentry
• Revisión periódica del nivel de seguridad de los subencargados

En caso de violación de datos personales que pueda suponer un riesgo para sus derechos y libertades, lo notificaremos a la CNIL en un plazo de 72 horas y, cuando sea necesario, informaremos a los usuarios afectados sin dilación indebida, conforme a los artículos 33 y 34 del RGPD.

9. Sus derechos

En virtud del RGPD y de la legislación aplicable en materia de protección de datos, usted tiene derecho a:

• Acceso: Solicitar una copia de sus datos personales.
• Rectificación: Corregir datos inexactos o incompletos.
• Supresión: Solicitar la eliminación de sus datos personales.
• Limitación: Solicitar la limitación del tratamiento.
• Portabilidad: Recibir sus datos en un formato estructurado, de uso común y de lectura mecánica.
• Oposición: Oponerse a un tratamiento basado en intereses legítimos.
• Retirada del consentimiento: Retirar su consentimiento en cualquier momento para los tratamientos basados en él, sin que ello afecte a la licitud de los tratamientos anteriores.
• Directrices post mortem: Definir directrices sobre el destino de sus datos personales tras su fallecimiento (artículo 85 de la ley francesa de protección de datos).

Para ejercer estos derechos, escríbanos a team@qwairy.co. Le responderemos en el plazo de un (1) mes, prorrogable dos (2) meses adicionales para las solicitudes complejas, conforme al artículo 12(3) del RGPD.

También tiene derecho a presentar una reclamación ante la autoridad francesa de protección de datos (CNIL) o ante la autoridad de control de su lugar de residencia habitual.

10. Cookies y tecnologías similares

Las cookies son pequeños archivos de texto que se depositan en su dispositivo cuando visita un sitio web. Las cookies no esenciales solo se instalan después de que usted dé su consentimiento a través de nuestro banner de cookies; puede cambiar sus preferencias en cualquier momento desde ese banner o desde la configuración de su navegador.

10.1 Categorías de cookies que utilizamos

10.2 Gestión de sus preferencias

Puede retirar su consentimiento a las cookies no esenciales en cualquier momento desde nuestro banner de cookies o borrando las cookies en la configuración de su navegador. Bloquear las cookies estrictamente necesarias puede afectar a funcionalidades esenciales (inicio de sesión, pago, etc.).

11. Privacidad de los menores

Nuestro Servicio está destinado a un uso profesional y no se dirige a personas menores de 18 años. No recogemos conscientemente datos personales de menores de esa edad sin un consentimiento parental verificable. Si tenemos conocimiento de haber recogido los datos personales de un menor infringiendo esta norma, adoptaremos medidas rápidas para eliminarlos.

12. Modificaciones de esta Política de privacidad

Podemos actualizar esta Política de privacidad de vez en cuando. Le informaremos de cualquier cambio sustancial publicando la Política actualizada en esta página y modificando la fecha de «Última actualización». En caso de cambios significativos, también se lo notificaremos por correo electrónico antes de su entrada en vigor.

13. Anexo: datos de usuario de Google (Google Analytics y Google Search Console)

Esta sección describe específicamente cómo trata Qwairy los datos obtenidos a través de las API de Google, a saber Google Analytics y Google Search Console, conforme a la Política de datos de usuario de los servicios de la API de Google, incluidos los requisitos de uso limitado (Limited Use).

13.1 Datos consultados

Google Analytics. Cuando conecta su cuenta de Google Analytics a Qwairy, solicitamos un acceso de solo lectura (permiso analytics.readonly ) a los siguientes tipos de datos:

• Propiedades de Analytics: Lista de propiedades y cuentas de Google Analytics 4 a las que tiene acceso
• Métricas de tráfico: Sesiones, duración media de las sesiones, tasa de rebote, páginas por sesión y nuevos usuarios
• Fuentes de tráfico: Datos de origen y medio de las sesiones, filtrados específicamente para identificar el tráfico de referencia relacionado con la IA procedente de plataformas como ChatGPT, Claude, Perplexity, Gemini y otras
• Páginas de destino: URL de las páginas que reciben tráfico de plataformas de IA, junto con sus métricas de interacción

Google Search Console. Cuando conecta su cuenta de Google Search Console a Qwairy, solicitamos un acceso de solo lectura (permiso webmasters.readonly ) a los siguientes tipos de datos:

• Sitios verificados: Lista de sitios (dominios o prefijos de URL) cuya propiedad ha verificado y a los que puede acceder en Search Console
• Rendimiento en búsqueda: Consultas de búsqueda, clics, impresiones, porcentaje de clics (CTR) y posición media en las búsquedas Web, Imágenes, Vídeos y Noticias
• Páginas y dispositivos: URL que reciben impresiones y clics, con desgloses por país, dispositivo y apariencia en los resultados de búsqueda
• Sitemaps (solo lectura): Sitemaps enviados y estado de su procesamiento, utilizados para relacionar la indexación con la visibilidad en la IA

13.2 Uso de los datos

Qwairy utiliza sus datos de Google Analytics y Google Search Console exclusivamente para:

• Mostrar sus métricas de tráfico, indexación y rendimiento en búsqueda en el panel de Qwairy
• Identificar y seguir las fuentes de tráfico, las consultas y las tendencias relacionadas con la IA
• Relacionar el tráfico y el rendimiento en búsqueda de su sitio con las métricas de visibilidad en la IA
• Generar análisis y recomendaciones para mejorar su estrategia GEO
• Medir el impacto de la optimización para la IA en el tráfico de su sitio y en su rendimiento en búsqueda orgánica

Cumplimiento del uso limitado. El uso y la transferencia por parte de Qwairy de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de la API de Google, incluidos los requisitos de uso limitado (Limited Use).

NO utilizamos sus datos de usuario de Google para:

• Fines publicitarios o de marketing
• La venta o el alquiler a terceros
• El entrenamiento de modelos de inteligencia artificial o de aprendizaje automático, ya sean propios o de terceros
• Cualquier finalidad ajena a la prestación de nuestro Servicio de optimización GEO

13.3 Comunicación de los datos

Qwairy trata sus datos de usuario de Google a través de los subencargados de infraestructura necesarios para el funcionamiento del Servicio. Si se solicitan datos de Google Analytics o Google Search Console a través de su conexión MCP, los datos solicitados se devuelven al cliente conectado dentro de los límites de sus accesos autorizados. Véase la sección 14. Sus datos de Google Analytics y Google Search Console:

• Son accesibles para usted, para los miembros del equipo a los que invita explícitamente a su espacio de trabajo de Qwairy y para los clientes MCP conectados, dentro de los límites de sus accesos autorizados
• Nunca se venden, alquilan ni transfieren a anunciantes o intermediarios de datos
• Nunca se comparten con otros clientes de Qwairy ni se utilizan para análisis cruzados entre clientes
• Son tratados por los subencargados de nuestra infraestructura (véase la Sección 6) en la medida necesaria para el funcionamiento del Servicio

13.4 Almacenamiento y protección de los datos

Sus datos de usuario de Google están protegidos mediante las medidas técnicas y organizativas descritas en la Sección 8.2, en particular el cifrado en tránsito (TLS) y los controles de acceso que limitan la consulta de los datos únicamente al personal autorizado.

13.5 Conservación y eliminación de los datos

Conservación: Los datos obtenidos a través de Google Analytics y Google Search Console solo se conservan mientras la integración correspondiente siga conectada a su cuenta.

Eliminación: Puede eliminar sus datos de usuario de Google en cualquier momento:

• Desconectando la integración de Google Analytics o de Google Search Console en la configuración de su espacio de trabajo de Qwairy
• Solicitando la eliminación de su cuenta por correo electrónico a team@qwairy.co
• Revocando el acceso de Qwairy en los permisos de su cuenta de Google

14. Conectores de asistentes de IA (MCP)

Qwairy ofrece un servidor Model Context Protocol (MCP) que le permite conectar asistentes de IA compatibles (como Claude, de Anthropic) a su cuenta de Qwairy. Esta sección explica los flujos de datos cuando utiliza un conector de asistente de IA.

14.1 Datos accesibles para el asistente de IA

Cuando autoriza a un asistente de IA a través del conector MCP, el asistente puede leer (y solo leer) las siguientes categorías de datos de los espacios de trabajo de Qwairy a los que usted tiene acceso, dentro de los límites de los permisos de la conexión y de sus autorizaciones vigentes:

• Las marcas que monitoriza (nombres y dominios principales)
• Las respuestas de IA recogidas por Qwairy para los prompts que monitoriza (texto de la respuesta, proveedor de IA, identificador del modelo, marcas de tiempo)
• Los competidores detectados por Qwairy, con el número de menciones, las posiciones y el sentimiento
• Las fuentes de citas de terceros (dominios y URL) referenciadas por los proveedores de IA en sus respuestas
• Las definiciones de temas y prompts, los desgloses de rendimiento, las instantáneas de percepción y el estado de preparación técnica de su sitio web para la IA
• Las métricas agregadas: tasa de visibilidad, sentimiento, cuota de voz y puntuaciones GEO
• Las métricas de Google Analytics y Google Search Console procedentes de las integraciones conectadas, cuando se solicitan a través de una conexión MCP con los permisos correspondientes

El conector MCP es estrictamente de solo lectura. No puede crear, modificar ni eliminar datos de su cuenta de Qwairy, ni activar acciones de pago (como generaciones con IA), ni cambiar la configuración de facturación, ni invitar a usuarios.

14.2 Papel del proveedor del asistente de IA

El asistente de IA que conecta (por ejemplo Claude, operado por Anthropic, PBC) actúa como intermediario técnico. Cuando formula una pregunta al asistente, este envía solicitudes MCP desde su propia infraestructura hacia https://mcp.qwairy.co utilizando su token de acceso, y Qwairy devuelve los datos pertinentes. Por tanto, el proveedor del asistente de IA:

• Conserva por cuenta de usted su token de acceso MCP dentro de su servicio
• Envía solicitudes HTTPS autenticadas desde su infraestructura hacia Qwairy
• Recibe las respuestas de Qwairy y las utiliza para componer la respuesta del asistente dirigida a usted

Qwairy no controla la forma en que el proveedor del asistente de IA almacena, conserva o trata posteriormente los datos una vez transmitidos en una respuesta. Consulte la política de privacidad de ese proveedor para conocer sus prácticas de tratamiento y conservación, sus normas sobre datos de entrenamiento y sus derechos. En el caso de Anthropic, consulte https://www.anthropic.com/legal/privacy.

14.3 Autenticación y autorización

Qwairy admite OAuth 2.1 con PKCE (S256) y tokens de acceso personales para los clientes MCP compatibles. Para las conexiones OAuth:

• Se le pide que inicie sesión en su cuenta de Qwairy
• Se le muestra una pantalla de consentimiento con los permisos solicitados por el asistente de IA (por ejemplo: leer las marcas, leer las respuestas de IA, leer los competidores)
• Tras su aprobación, Qwairy emite un token de acceso vinculado a su cuenta de usuario y a los permisos aprobados
• Cada solicitud MCP está limitada por los permisos de la credencial y por su acceso vigente al espacio de trabajo y a la marca solicitados. Los usuarios con el rol Viewer solo exponen las marcas que se les han asignado explícitamente

Los tokens de acceso y de renovación se almacenan como huellas SHA-256 en nuestra base de datos. Su valor en claro solo lo conocen usted y el cliente del asistente de IA.

14.4 Revocación del acceso

Puede revocar el acceso de un asistente de IA en cualquier momento:

• Desde Qwairy: acceda a www.qwairy.co/dashboard/team/mcp y revoque la conexión
• Desde el cliente del asistente de IA: la mayoría de los clientes (incluido Claude) ofrecen una opción «Desconectar» o «Gestionar conexiones» en su configuración

La revocación surte efecto de inmediato. Toda solicitud MCP posterior que utilice un token revocado será rechazada.

14.5 Documentación

La documentación técnica completa del conector MCP, que incluye la lista de herramientas expuestas, el flujo OAuth y los clientes compatibles, está publicada en docs.qwairy.co/mcp/introduction.

15. Contacto