Política de Privacidad

Versión: V1.0

Fecha de aprobación: 8 de septiembre de 2026

Fecha de entrada en vigor: 8 de septiembre de 2026

Ruta pública: /legal/privacy

1. Responsable del tratamiento

El responsable de los tratamientos propios descritos en esta Política de Privacidad es:

Titular: Adam El Hlili Divins

Nombre comercial: OLENORA

Domicilio: Carrer Conca 5, 08227 Terrassa, Barcelona, España

NIF: 49936086G

Contacto para privacidad y ejercicio de derechos: legal@olenora.com

Sitio web: olenora.com

OLENORA es el nombre comercial utilizado para el servicio SaaS objeto de esta Política.

2. Ámbito de esta Política

Esta Política explica cómo se tratan datos personales cuando una persona:

• visita la web pública de OLENORA;
• utiliza una demo pública;
• crea o utiliza una cuenta;
• configura o administra un negocio;
• activa o utiliza un Trial;
• utiliza funcionalidades del servicio;
• solicita soporte;
• se comunica con OLENORA por cuestiones legales o de privacidad.

El producto está dirigido principalmente a negocios y profesionales que trabajan con servicios y citas.

3. Roles de protección de datos

OLENORA puede actuar en dos posiciones diferentes dependiendo del tratamiento.

3.1. OLENORA como responsable

OLENORA determina los fines y medios esenciales del tratamiento respecto de datos utilizados para:

• gestión de cuentas y usuarios;
• administración de la relación con el negocio;
• funcionamiento y elegibilidad del Trial;
• prevención de abuso;
• seguridad;
• auditoría;
• operación interna del servicio;
• soporte solicitado;
• cumplimiento de obligaciones legales;
• formulación, ejercicio o defensa de reclamaciones.

3.2. OLENORA como encargado del tratamiento

Cuando un negocio utiliza OLENORA para tratar información de sus propios clientes o usuarios finales —por ejemplo, clientes, citas, disponibilidad, reservas u otra información operativa asociada— el negocio determina normalmente la finalidad de ese tratamiento y actúa como responsable.

En esos casos, OLENORA trata los datos por cuenta del negocio y actúa como encargado, de acuerdo con sus instrucciones y con las condiciones contractuales y de protección de datos aplicables.

Las personas que sean clientes finales de un negocio deberán dirigirse principalmente a dicho negocio para ejercer sus derechos respecto de ese tratamiento. OLENORA asistirá al negocio en el cumplimiento de sus obligaciones cuando corresponda.

4. Categorías de datos tratados

Dependiendo del uso del servicio, podemos tratar las siguientes categorías de datos.

4.1. Datos de cuenta y usuario

• nombre;
• dirección de correo electrónico;
• identificadores de usuario y autenticación;
• pertenencia a negocios o espacios de trabajo;
• rol y permisos;
• información necesaria para gestionar la cuenta.

4.2. Datos del negocio

• nombre del negocio;
• configuración;
• servicios;
• horarios;
• dominio;
• teléfono empresarial;
• dirección o localización cuando se utilice;
• otros datos operativos necesarios para configurar y prestar el servicio.

4.3. Datos del Trial

Pueden incluir:

• negocio o espacio de trabajo al que pertenece el Trial;
• identidad del owner que lo activa;
• fecha de activación y expiración;
• consumo de interacciones;
• estado de elegibilidad;
• historial de decisiones y excepciones;
• señales estrictamente necesarias para prevenir usos repetidos indebidos.

Cuando se utilicen determinadas señales para prevención de abuso, podrán tratarse mediante mecanismos de seudonimización como HMAC. Estos valores continúan sujetos a las normas de protección de datos mientras puedan vincularse razonablemente con una persona o negocio.

4.4. Datos de clientes y citas tratados por cuenta del negocio

Pueden incluir, según la configuración y utilización del servicio:

• nombre del cliente;
• datos de contacto proporcionados;
• servicio solicitado;
• fecha y hora;
• información de la reserva;
• cambios, cancelaciones y estado de la cita;
• otros datos operativos introducidos legítimamente por el negocio o por el usuario final.

4.5. Datos de conversaciones y uso de IA

Cuando una persona utiliza funcionalidades conversacionales pueden tratarse:

• mensajes introducidos;
• historial necesario para mantener el contexto de la interacción;
• información sobre servicios, horarios y disponibilidad;
• datos de cliente o cita cuando sean necesarios para la operación solicitada;
• identificadores técnicos asociados a la interacción.

OLENORA no utiliza conversaciones o datos de clientes para entrenar modelos propios ni autoriza voluntariamente su utilización por el proveedor de IA para entrenamiento o mejora de modelos mediante mecanismos opcionales de data sharing.

4.6. Datos técnicos, de auditoría y seguridad

Pueden tratarse:

• dirección IP;
• cabeceras y metadatos de red;
• navegador y datos técnicos del dispositivo;
• identificadores de request;
• timestamps;
• eventos de seguridad y auditoría;
• resultados de operaciones;
• errores y duración de determinadas solicitudes;
• identificadores técnicos de correlación o sesión.

5. Finalidades y bases jurídicas

5.1. Gestión de cuenta y prestación del servicio

Tratamos los datos necesarios para crear, gestionar y mantener cuentas, configurar el servicio y prestar las funcionalidades solicitadas.

Cuando el interesado sea parte de la relación contractual, la base jurídica será la ejecución de un contrato o la aplicación de medidas precontractuales.

Cuando el usuario actúe en representación de una empresa o negocio y no sea personalmente parte del contrato, el tratamiento podrá basarse en el interés legítimo de OLENORA y del negocio en gestionar de forma ordinaria y segura su relación B2B.

5.2. Operación del Trial

Tratamos datos para:

• determinar elegibilidad;
• activar y operar el Trial;
• medir su duración y cuota;
• aplicar sus condiciones;
• gestionar su expiración y el acceso posterior limitado.

La base jurídica será, según corresponda, la ejecución de la relación de Trial o la adopción de medidas precontractuales asociadas.

5.3. Prevención de abuso del Trial

Podemos conservar un registro mínimo y limitado para prevenir la utilización repetida indebida de un Trial ordinario.

La base jurídica es el interés legítimo de OLENORA en prevenir abusos razonables del servicio y aplicar de forma coherente su política de elegibilidad.

Las señales ambiguas no se utilizan individualmente como prueba suficiente para un bloqueo automático definitivo y pueden dar lugar a revisión manual.

5.4. Seguridad, auditoría y prevención de abuso

Tratamos información técnica y de auditoría para:

• proteger cuentas y datos;
• mantener el aislamiento entre negocios;
• detectar accesos o comportamientos indebidos;
• investigar errores e incidentes;
• acreditar operaciones relevantes;
• proteger la integridad del servicio.

La base jurídica es el interés legítimo de OLENORA en operar un servicio seguro, fiable y auditable y, cuando corresponda, el cumplimiento de obligaciones legales.

5.5. Soporte solicitado

Tratamos la información facilitada para responder a solicitudes de soporte, incidencias o consultas.

La base jurídica será la ejecución de la relación de servicio o el interés legítimo en atender adecuadamente las solicitudes recibidas, según el contexto.

5.6. Obligaciones legales y reclamaciones

Podemos conservar o tratar determinada información cuando sea necesario para:

• cumplir una obligación legal;
• atender requerimientos válidos de autoridades;
• formular, ejercer o defender reclamaciones;
• gestionar litigios o investigaciones concretas.

La base jurídica será el cumplimiento de obligaciones legales y, cuando corresponda, el interés legítimo en la defensa de derechos y reclamaciones.

6. Datos tratados por cuenta de los negocios clientes

Cuando OLENORA procesa clientes, citas u otros datos operativos siguiendo las instrucciones de un negocio cliente, la base jurídica aplicable frente a esas personas debe ser determinada por el propio negocio en su condición de responsable.

OLENORA no reutiliza esos datos para:

• marketing propio basado en datos del servicio;
• perfiles comerciales de clientes finales;
• venta de información;
• entrenamiento de modelos propios;
• mejora voluntaria de modelos mediante reutilización de conversaciones;
• analítica no esencial no autorizada.

7. Proveedores y destinatarios

OLENORA utiliza proveedores técnicos cuando son necesarios para prestar, operar, proteger o recuperar el servicio.

7.1. Supabase

Supabase se utiliza para infraestructura de base de datos y autenticación.

El proyecto actualmente configurado tiene su región primaria en eu-central-1.

Supabase actúa como proveedor de tratamiento conforme al marco contractual y de protección de datos aplicable.

7.2. OpenAI

OpenAI Ireland Ltd. es el proveedor aprobado para las funcionalidades de IA de Production mediante OpenAI API.

El proyecto de OpenAI utilizado por OLENORA tiene configuración de residencia Global.

La residencia europea de datos no está activada y OLENORA no afirma que todo el tratamiento de OpenAI tenga lugar exclusivamente dentro del Espacio Económico Europeo.

La configuración vigente de OLENORA mantiene deshabilitados:

• Model feedback sharing;
• Evaluation and fine-tuning data sharing;
• Inputs and outputs sharing con OpenAI.

OLENORA no autoriza voluntariamente el uso de los datos del servicio para entrenamiento o mejora de modelos mediante esos mecanismos.

La configuración actual utiliza el régimen estándar del proveedor.

Zero Data Retention (ZDR) no está activo.

Modified Abuse Monitoring (MAM) no está activo.

7.3. Vercel

Vercel proporciona actualmente infraestructura de hosting y ejecución.

La configuración factual actual utiliza un plan Hobby y forma parte del entorno pre-Production.

Esta configuración no debe interpretarse como una declaración de readiness contractual para Production comercial.

Antes del uso comercial del servicio deberá existir una modalidad contractual adecuada y verificarse la cobertura de protección de datos y DPA aplicable.

7.4. Microsoft / OneDrive

Microsoft OneDrive se utiliza actualmente como destino privado de determinadas copias cifradas destinadas exclusivamente a recuperación.

Las copias se almacenan en una ubicación privada bajo control del titular y se protegen mediante cifrado AES-256 y cifrado de nombres de archivo.

Este mecanismo forma parte del recovery pre-Production.

Su utilización actual no implica que la modalidad concreta de OneDrive esté aprobada para almacenar backups con datos reales de clientes en Production comercial.

Antes de utilizarlo con esos datos deberá existir una modalidad Microsoft con cobertura contractual adecuada de encargado del tratamiento o utilizarse un proveedor alternativo que proporcione dicha cobertura.

7.5. Correo electrónico

El proveedor técnico que aloje legal@olenora.com podrá tratar la información incluida voluntariamente en comunicaciones de privacidad, ejercicio de derechos, soporte o cuestiones legales.

El canal oficial de privacidad, derechos y cuestiones legales es:

legal@olenora.com

8. Transferencias internacionales

Algunos proveedores o sus subencargados pueden tratar datos fuera del Espacio Económico Europeo.

En particular, el proyecto de OpenAI utilizado por OLENORA tiene residencia Global y pueden existir transferencias internacionales.

Cuando una transferencia internacional esté sujeta al RGPD, se utilizarán los mecanismos reconocidos por la normativa aplicable, como:

• decisiones de adecuación de la Comisión Europea;
• cláusulas contractuales tipo;
• u otras garantías válidas previstas por la normativa.

OLENORA no afirma que todos los datos permanezcan exclusivamente dentro del EEE.

9. Conservación

Aplicamos el principio de limitación del plazo de conservación.

9.1. Cuenta y autenticación

Los datos se mantienen durante la relación activa.

Cuando proceda el cierre definitivo, la política ordinaria es eliminar o anonimizar los datos de cuenta en un plazo máximo objetivo de 30 días, salvo que exista una razón jurídica válida que exija conservarlos o bloquearlos durante más tiempo.

9.2. Trial

Cuando un Trial finaliza sin conversión, los datos operativos asociados se conservan ordinariamente durante un máximo de 30 días bajo el régimen de acceso limitado definido para el Trial.

9.3. Prevención de abuso del Trial

El registro mínimo de elegibilidad o anti-abuso podrá conservarse durante un máximo de 12 meses desde la expiración del Trial, salvo que exista una causa jurídica específica de conservación adicional.

9.4. Datos tratados por cuenta del negocio

Los datos de clientes, citas y demás información operativa tratada como encargado se conservarán durante la prestación del servicio y se devolverán o eliminarán al finalizar de acuerdo con las instrucciones del negocio y el contrato o DPA aplicable, salvo obligación legal de conservación.

9.5. Auditoría y seguridad

Los registros propios de auditoría y seguridad tienen como objetivo ordinario una conservación máxima de hasta 6 meses, salvo que una investigación, obligación legal o reclamación concreta justifique un periodo superior.

9.6. Logs de aplicación

El objetivo ordinario de conservación de logs de runtime o aplicación es no superar 30 días.

Los plazos técnicos concretos pueden ser inferiores dependiendo del proveedor y de la configuración efectiva.

9.7. OpenAI API

La configuración vigente utiliza el régimen estándar del proveedor, correspondiente a una clase de conservación técnica de hasta 30 días para las categorías aplicables.

No están activos Zero Data Retention ni Modified Abuse Monitoring.

9.8. Backups de recuperación

Cuando una copia externa contenga datos cuya eliminación primaria ya sea exigible, la política V1 establece que esa copia no deberá mantenerse más de 30 días después de dicha eliminación primaria.

Cuando corresponda, se eliminará también de papeleras o mecanismos de recuperación del proveedor en la medida técnicamente posible.

9.9. Bloqueos jurídicos

Los datos sujetos a una obligación legal, reclamación, investigación o legal hold válido quedarán separados del uso operativo ordinario y se conservarán únicamente durante el periodo necesario.

10. Derechos de los interesados

Cuando OLENORA actúe como responsable, las personas pueden solicitar, cuando corresponda:

• acceso a sus datos;
• rectificación;
• supresión;
• limitación del tratamiento;
• oposición;
• portabilidad cuando se cumplan sus requisitos legales;
• retirada del consentimiento cuando algún tratamiento futuro se base en él, sin afectar a la licitud del tratamiento previo.

Las solicitudes deberán dirigirse a:

legal@olenora.com

OLENORA podrá solicitar información razonablemente necesaria para verificar la identidad de quien ejerce el derecho.

Cuando los datos sean tratados por OLENORA únicamente como encargado de un negocio cliente, la solicitud deberá dirigirse normalmente a ese negocio. OLENORA colaborará con él conforme al contrato aplicable.

11. Derecho de oposición

Las personas pueden oponerse a tratamientos basados en interés legítimo por motivos relacionados con su situación particular.

Cuando la oposición afecte al registro anti-abuso del Trial, OLENORA evaluará la solicitud conforme al RGPD y dejará de tratar los datos salvo que existan motivos legítimos imperiosos que prevalezcan o que el tratamiento resulte necesario para la formulación, ejercicio o defensa de reclamaciones.

12. Reclamaciones ante la autoridad de control

Las personas tienen derecho a presentar una reclamación ante una autoridad de protección de datos.

Para un responsable establecido en España, la autoridad de referencia es la:

Agencia Española de Protección de Datos (AEPD)

sin perjuicio del derecho del interesado a acudir a otra autoridad competente cuando resulte aplicable.

13. Decisiones automatizadas y profiling

OLENORA no utiliza actualmente tratamientos exclusivamente automatizados destinados a adoptar decisiones que produzcan efectos jurídicos sobre una persona o que la afecten de manera similar significativamente en los términos del artículo 22 del RGPD.

La elegibilidad del Trial puede incluir comprobaciones automáticas.

Las coincidencias ambiguas de identidad empresarial se utilizan como señales para revisión y no constituyen por sí solas prueba suficiente para un bloqueo automático definitivo.

OLENORA no utiliza los datos del servicio para profiling comercial de clientes finales.

14. Cookies y almacenamiento técnico

En las superficies públicas actualmente auditadas:

• no se han detectado cookies no esenciales;
• no se utiliza analítica web;
• no se utilizan píxeles publicitarios;
• no se realiza tracking comercial;
• no se han detectado terceros client-side de seguimiento.

La demo utiliza sessionStorage para mantener un identificador técnico de conversación denominado:

recepia-demo-session-id

Este identificador se utiliza exclusivamente para continuidad, correlación y contexto técnico de la demo y no para publicidad, profiling, fingerprinting o seguimiento entre sesiones.

Por ello, en la configuración actual no se requiere consentimiento para tecnologías no esenciales ni una plataforma de gestión de consentimiento.

Si en el futuro se incorporan analytics, publicidad, tracking u otras tecnologías sujetas a consentimiento, esta Política y, cuando corresponda, los mecanismos de consentimiento se actualizarán antes de su activación.

15. Seguridad

OLENORA aplica medidas técnicas y organizativas orientadas a proteger los datos frente a acceso no autorizado, alteración, pérdida o uso indebido.

Entre las medidas existentes o previstas según el tratamiento se incluyen:

• aislamiento entre negocios;
• autorización server-side;
• control de permisos;
• registros de auditoría;
• protección de secretos;
• cifrado de determinadas credenciales y copias de recuperación;
• controles de seguridad y validaciones técnicas.

Ningún sistema puede garantizar riesgo cero y esta sección no constituye una garantía absoluta de ausencia de incidentes.

16. Categorías especiales de datos

OLENORA no está diseñado para solicitar de forma general categorías especiales de datos personales.

Los usuarios no deben introducir información especialmente sensible que no sea necesaria para la finalidad del servicio o para la que no tengan legitimación suficiente.

17. Cambios en esta Política

Esta Política puede actualizarse cuando cambien:

• las funcionalidades;
• los proveedores;
• las finalidades;
• las bases jurídicas;
• los periodos de conservación;
• las tecnologías de seguimiento;
• o las obligaciones legales aplicables.

Cuando el cambio sea material se publicará una nueva versión y su correspondiente fecha de entrada en vigor.

18. Contacto

Para cualquier cuestión relacionada con esta Política o para ejercer derechos:

Adam El Hlili Divins — OLENORA

Carrer Conca 5, 08227 Terrassa, Barcelona, España

legal@olenora.com