Política de Privacidad
Última actualización: 27 de abril de 2026 · Versión 2.0
Esta Política de Privacidad describe cómo Mikel Xavier Urigüen Díaz, profesional autónomo titular de las marcas comerciales Quantum-ion Technology y Quantum-ion Group Telecom (en adelante "Quantum-ion", "nosotros") recopila, utiliza y protege los datos personales de los usuarios de nuestros servicios SaaS (sistem.quantum-group.es, app.quantum-group.es y aplicaciones relacionadas) y del sitio web quantum-group.es.
1. Responsable del tratamiento
Responsable del tratamiento: Mikel Xavier Urigüen Díaz (profesional autónomo; marcas comerciales Quantum-ion Technology y Quantum-ion Group Telecom)
NIF: 55310683F
Domicilio: Masquefa (Barcelona), España
Email de contacto: [email protected]
Teléfono: +34 930 34 87 87
2. Datos que recopilamos
2.1 Datos de cuenta SaaS
- Nombre, apellidos, email, teléfono de contacto del titular de la cuenta.
- Razón social y CIF de la empresa cliente.
- Credenciales de acceso (usuario y contraseña hasheada).
- Token TOTP (autenticación de doble factor).
2.2 Datos de operación del servicio
- Llamadas: número de teléfono entrante/saliente, duración, transcripción IA, grabación (si el cliente la activa).
- WhatsApp: mensajes, números de teléfono, contenido textual, audios transcritos.
- CRM: información de los contactos que el cliente decida importar (nombre, teléfono, email, notas).
- Calendario: eventos sincronizados desde Google Calendar (sólo si el cliente conecta su cuenta).
2.3 Datos técnicos
- Dirección IP, navegador, sistema operativo, geolocalización aproximada.
- Logs de acceso, eventos de auditoría.
3. Uso de Google APIs (Calendar)
Cuando un cliente conecta su cuenta de Google Calendar a nuestro servicio, solicitamos los siguientes scopes OAuth limitados:
https://www.googleapis.com/auth/calendar.events — para crear y gestionar eventos en tu calendario relacionados con citas agendadas por la IA.https://www.googleapis.com/auth/userinfo.email — para identificar la cuenta conectada.
El uso de la información obtenida de las Google APIs cumple la Google API Services User Data Policy, incluyendo los requisitos de uso limitado (Limited Use).
En concreto:
- Sólo accedemos a los eventos del calendario primario del usuario para crear citas.
- NUNCA leemos eventos personales, NUNCA compartimos los datos del calendario con terceros, NUNCA los usamos para entrenar modelos de IA.
- Almacenamos únicamente el token de acceso cifrado para mantener la sesión, NO el contenido de los eventos.
- El usuario puede revocar el acceso en cualquier momento desde Mi Cuenta Google → Apps con acceso.
4. Finalidades del tratamiento
- Prestación del servicio SaaS contratado (atención de llamadas y mensajes vía IA, gestión CRM, agendado de citas).
- Soporte técnico y atención al cliente.
- Facturación y gestión administrativa.
- Mejora del servicio (sin entrenar IA con datos personales del cliente).
- Cumplimiento de obligaciones legales.
5. Base jurídica
El tratamiento se basa en (Art. 6 RGPD): ejecución del contrato de servicio (planes Básico/Profesional/Empresa), consentimiento explícito del usuario al conectar Google Calendar, y obligaciones legales (facturación, fiscalidad).
6. Conservación de los datos
- Datos de cuenta: durante la vigencia del contrato y 5 años más (obligaciones contables).
- Datos de operación (llamadas, WhatsApp, CRM): hasta 12 meses tras finalización del contrato; el cliente puede solicitar borrado anticipado.
- Tokens OAuth Google: se eliminan inmediatamente al desconectar o al cerrar la cuenta.
7. Destinatarios y transferencias
Encargados y subencargados del tratamiento. Cada proveedor opera bajo su acuerdo de tratamiento de datos (DPA) conforme al art. 28 RGPD y, si está fuera de la UE, bajo cláusulas contractuales tipo (SCC):
- Hostinger (servidor virtual) — Alemania (Frankfurt), UE.
- Anthropic PBC (modelos IA Claude) — EE.UU. con cláusulas contractuales tipo (SCC).
- OpenAI (transcripción Whisper) — EE.UU. con SCC.
- ElevenLabs (síntesis de voz) — EE.UU. con SCC.
- Twilio (telefonía) — EE.UU. con SCC.
- Meta Platforms Ireland (WhatsApp Business API) — UE.
- Stripe Payments Europe (facturación) — UE.
- Google Ireland (Calendar API, sólo si el cliente conecta) — UE.
- Cloudflare (protección del dominio y copias de seguridad cifradas en Cloudflare R2) — UE/EE.UU. con SCC.
- Brevo (envío de emails) — Francia, UE.
- Telegram (avisos internos de operación al equipo de Quantum-ion; no incluyen datos de los clientes finales de nuestros clientes) — fuera de la UE.
NO vendemos ni alquilamos datos personales a terceros.
8. Derechos del interesado
Como interesado tienes derecho a: acceso, rectificación, supresión ("derecho al olvido"), oposición, portabilidad y limitación del tratamiento. Para ejercerlos: [email protected] · respuesta en menos de 30 días.
Si consideras que tus derechos no han sido atendidos, puedes presentar reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.
9. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas: cifrado TLS 1.3 en tránsito, cifrado del volumen de datos en reposo (LUKS, AES-256-XTS) para base de datos, grabaciones, imágenes y documentos, copias de seguridad cifradas (GPG AES-256), autenticación de doble factor obligatoria para todos los usuarios, segregación multi-tenant a nivel de aplicación (Row Level Security), backups cifrados diarios, registro de auditoría de accesos.
10. Cookies
El servicio SaaS usa cookies técnicas estrictamente necesarias (sesión de autenticación, preferencias de UI). NO usamos cookies de marketing ni de seguimiento de terceros sin consentimiento explícito.
11. Cambios en la política
Podemos actualizar esta política. Notificaremos cambios materiales por email a los titulares de cuenta con 15 días de antelación.