Política de privacidad

klair es una sociedad francesa (KLAIR AI, SAS) que ejerce dos actividades para empresas: diseña y desarrolla software a medida, que puede alojar y operar, y edita una plataforma de aplicaciones —Agora, el asistente de agentes de su organización, y aplicaciones de gestión— a la que puede conectar sus herramientas (Gmail, Google Drive, Outlook, OneDrive, SharePoint…). klair es un servicio entre empresas (B2B).

Somos responsable del tratamiento de nuestro sitio, del asistente de admisión Hermès, de las cuentas, de la facturación y de la relación comercial. Somos encargado del tratamiento de su organización para todo lo que usted y sus compañeros confían a la plataforma —contenidos de Agora y de las aplicaciones, datos recibidos a través de los conectores, software que alojamos para usted—, siendo su organización la responsable del tratamiento.

Nuestras bases de datos y nuestros servidores están en Francia. Recurrimos a un conjunto reducido de proveedores, identificados en la sección 08. No vendemos datos personales, no hacemos publicidad dirigida, y ni nosotros ni nuestros proveedores de IA entrenamos modelos con sus contenidos.

El responsable del tratamiento es KLAIR AI, sociedad por acciones simplificada de Derecho francés (SAS) con un capital social de 1 000,00 €, inscrita en el Registro Mercantil y de Sociedades de Montpellier con el número 107 073 769 (número de IVA intracomunitario FR96107073769), con domicilio social en Espace Entreprise Garosud, 48 rue Claude Balbastre, 34070 Montpellier, Francia. La identificación completa de la sociedad y de sus proveedores de alojamiento figura en nuestro aviso legal.

Para cualquier cuestión relativa a sus datos personales o para ejercer sus derechos: privacy@klair.dev. klair no está obligada a designar un delegado de protección de datos; esta dirección la atiende la persona responsable de la protección de datos. Nuestra autoridad de control es la Commission nationale de l'informatique et des libertés (CNIL), la autoridad francesa de protección de datos.

• Datos de cuenta — nombre, dirección de correo electrónico profesional, foto de perfil en su caso, organización, rol, preferencias de idioma y de tema, e identificadores técnicos de inicio de sesión. Usted inicia sesión con una cuenta de Google, una cuenta de Microsoft (que en ese caso solo nos transmiten su nombre, su dirección de correo electrónico y su foto de perfil) o un código de un solo uso enviado por correo electrónico; no almacenamos ninguna contraseña. Finalidad: abrir y administrar su acceso a klair.dev, a Agora y a las aplicaciones. Base jurídica: ejecución del contrato.
• Hermès, el asistente de admisión — los mensajes que intercambia con Hermès en klair-ai.fr y klair.dev, los documentos que deposita en él, la especificación preparada, un identificador de visitante (cookie) y su dirección IP en forma cifrada mediante hash. Hermès es un sistema de inteligencia artificial, y así se lo indica. Finalidad: comprender su necesidad y preparar una propuesta. Base jurídica: medidas precontractuales e interés legítimo.
• Proyectos e intercambios — presupuestos, mensajes, validaciones de hitos y archivos adjuntos intercambiados en el portal. Finalidad: prestar el servicio. Base jurídica: ejecución del contrato.
• Facturación — denominación social, dirección de facturación, número de IVA o SIREN, historial de suscripciones, puestos, créditos y pagos. Los números de tarjeta y los datos bancarios completos nunca llegan a nuestros servidores: los recopila nuestro proveedor de pagos. Finalidad: facturar y cobrar. Base jurídica: ejecución del contrato y obligaciones contables y fiscales.
• Uso de la plataforma — consumo de créditos por aplicación y por persona, número de puestos, almacenamiento utilizado, registro de actividad de la organización. Finalidad: aplicar las ofertas y los límites, facturar y garantizar la transparencia frente a los propietarios de la organización. Base jurídica: ejecución del contrato.
• Comunicaciones — correos electrónicos, solicitudes de soporte, reuniones y correos de servicio (fin de la prueba, fallo de pago, seguridad). Base jurídica: ejecución del contrato e interés legítimo.
• Datos técnicos y registros — dirección IP (cifrada mediante hash para la limitación de frecuencia), navegador, marcas de tiempo, registros de solicitudes y de errores. Finalidad: proteger el servicio, garantizar su disponibilidad y prevenir el fraude y los abusos (en particular, las pruebas múltiples). Base jurídica: interés legítimo.
• Medición de audiencia — estadísticas de visitas a los sitios klair-ai.fr y klair.dev mediante Google Analytics, únicamente si usted lo acepta en el banner de cookies, y mediciones de rendimiento anónimas. Base jurídica: consentimiento para Google Analytics; interés legítimo para la medición de rendimiento anónima.
• Prospección comercial — envíos poco frecuentes a contactos profesionales, con un enlace de baja en cada mensaje. Base jurídica: interés legítimo o, cuando la ley lo exija, su consentimiento.

Algunos datos nos los comunica su organización (por ejemplo, cuando un compañero le invita). Cuando nos basamos en el interés legítimo, hemos ponderado dicho interés frente a sus derechos, y usted puede oponerse.

Cuando utiliza Agora, una aplicación de klair o un software que alojamos, su organización es la responsable del tratamiento y klair actúa como encargado del tratamiento, conforme a sus instrucciones y a la sección 14 de nuestras condiciones generales, que constituye el acuerdo de tratamiento de datos (artículo 28 del RGPD). Se trata de:

• los contenidos de Agora: mensajes, salas, misiones, instrucciones, archivos, resultados producidos por los agentes, memoria de la organización y representaciones vectoriales («embeddings») calculadas para la búsqueda;
• los datos recibidos a través de los conectores (sección 05);
• los datos de las aplicaciones y del software alojado, y el código y el contenido de los proyectos a medida.

Cada organización dispone de su propia base de datos. Las personas cuyos datos figuran en estos contenidos —por ejemplo, los corresponsales de un buzón de correo conectado— ejercen sus derechos ante la organización cliente; nosotros le ayudamos a atenderlos.

Acceso del soporte. Un miembro habilitado de klair solo entra en una organización para asistirla o por la seguridad del servicio, durante un tiempo limitado y por un motivo escrito; cada entrada y cada modificación quedan registradas en el registro de actividad de la organización. El personal de klair no lee los datos recibidos de los servicios de Google o Microsoft, salvo en los casos previstos en la sección 05.

Un conector solo existe si usted mismo lo autoriza, en la pantalla de consentimiento de Google o de Microsoft, y puede retirarlo en cualquier momento.

Los permisos que solicitamos.

Todos estos permisos son delegados: Agora actúa en nombre del usuario que ha conectado su cuenta, nunca con un acceso al conjunto de un dominio o de un inquilino (tenant). Solicitamos los permisos más restringidos que permiten la función.

Uso. Los datos recibidos solo sirven para prestar las funciones de Agora y de las aplicaciones que usted utiliza y que ve en la interfaz. Nunca se utilizan con fines publicitarios, nunca se venden y nunca se utilizan para desarrollar, mejorar o entrenar modelos generalistas de inteligencia artificial o de aprendizaje automático.

Almacenamiento. Los tokens de acceso se almacenan cifrados en Francia y nunca se exponen a los agentes. Por defecto, Agora lee los datos bajo demanda sin copiarlos; los extractos utilizados por un agente permanecen en el historial de la tarea. Cuando usted solicita la sincronización de una carpeta o el guardado de un documento, se conserva una copia en la base de datos de su organización, en Francia, hasta que su organización la suprima o finalice su suscripción (sección 10).

Transferencias. Los datos solo se transmiten a los encargados necesarios para la función solicitada —nuestro proveedor de alojamiento y nuestros proveedores de modelos de IA (sección 08), en condiciones que les prohíben utilizarlos para entrenar sus modelos— o cuando la ley lo exige.

Acceso humano. Ningún miembro del personal de klair lee estos datos, salvo (i) con su consentimiento expreso para elementos concretos, por ejemplo para un soporte; (ii) cuando sea necesario para la seguridad, en particular para investigar un abuso; (iii) para cumplir la ley; o (iv) de forma agregada y anonimizada para la operación interna del servicio.

Retirada. Puede desconectar un conector desde Agora, o retirar el acceso desde myaccount.google.com/permissions o myapps.microsoft.com. El acceso cesa de inmediato y los tokens se suprimen. Para que se supriman las copias ya importadas, utilice las funciones de supresión de Agora o escriba a privacy@klair.dev.

Compromiso con Google. El uso y la transferencia a cualquier otra aplicación, por parte de klair, de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos los requisitos de uso limitado («Limited Use»).

Los demás conectores (HubSpot, Slack, Notion, Confluence, Airtable…) siguen las mismas normas de autorización, uso, almacenamiento y retirada.

Agora, Hermès y las funciones de IA de las aplicaciones envían a modelos de inteligencia artificial las instrucciones y los extractos de contenido necesarios para la tarea solicitada. Los utilizamos conforme a las condiciones profesionales de API y empresariales de nuestros proveedores, que les prohíben entrenar sus modelos con estos datos y limitan su conservación a la prevención de abusos.

• Modelos de los agentes de Agora — Azure OpenAI Service de Microsoft, tratado en la Unión Europea («EU Data Zone»). A petición de un cliente, puede sustituirse por un modelo de Mistral AI (Francia) o un modelo alojado por klair.
• Funciones especializadas (memoria, búsqueda por embeddings, lectura de documentos y de textos manuscritos, redacción) — según la función, OpenAI, Anthropic, Google (Gemini) o Mistral AI, a través de nuestra pasarela de IA, que no conserva el contenido de los intercambios.

Su contenido no se utiliza para entrenar ningún modelo de inteligencia artificial, ni por klair ni por sus proveedores. Los resultados de la IA se presentan como tales y quedan bajo el control de una persona; no adoptamos ninguna decisión que produzca efectos jurídicos o que le afecte de manera significativa basándonos únicamente en un tratamiento automatizado.

Utilizamos cookies estrictamente necesarias (inicio de sesión, seguridad, preferencias, conversación con Hermès) y, si usted lo acepta, cookies de medición de audiencia de Google Analytics. El detalle —nombre, finalidad y duración de cada rastreador— y la forma de modificar su elección figuran en nuestra política de cookies.

Solo comunicamos datos personales a los siguientes encargados, cada uno vinculado por un contrato conforme al artículo 28 del RGPD, y únicamente en la medida necesaria para su función:

Los servicios de terceros que usted conecta (Google, Microsoft, HubSpot, Slack…) no son encargados nuestros: los prestan sus editores a su organización, conforme a sus propias condiciones. Toda modificación de esta lista se publica en esta página y se notifica a los propietarios de las organizaciones cliente con al menos treinta días de antelación.

También comunicamos datos, cuando sea estrictamente necesario, a nuestros asesores profesionales (abogados, expertos contables, auditores) sujetos a secreto profesional, a las autoridades competentes cuando la ley nos obligue, y a un eventual sucesor en caso de operación societaria. No vendemos datos personales, no alquilamos ficheros de contactos y no realizamos publicidad comportamental.

Cuando un destinatario se encuentra fuera de la Unión Europea, la transferencia se ampara en una decisión de adecuación de la Comisión Europea, en el marco EU–US Data Privacy Framework cuando el proveedor esté certificado en él, o en las cláusulas contractuales tipo de la Comisión (Decisión 2021/914) complementadas con las medidas adicionales necesarias; una copia de estas garantías está disponible a solicitud.

• Cuentas — durante la vigencia de la relación y, a continuación, doce meses después de la última actividad.
• Conversaciones con Hermès — se borran noventa días después de la última actividad si no dan lugar a un encargo; en caso contrario, se conservan junto con este.
• Contenidos de Agora y datos de los conectores — durante la suscripción de la organización; al final de una prueba sin suscripción, tras una resolución o una pausa, noventa días, y después se suprimen. Los tokens de acceso de un conector se suprimen en cuanto se desconecta.
• Datos de las aplicaciones — mientras exista la organización, y después se suprimen en el mismo plazo de noventa días.
• Software alojado — durante el alojamiento; a su término, treinta días (sin entorno de producción) o noventa días (con él), y después se purgan, previa restitución de los datos (sección 16 de las condiciones generales).
• Proyectos, facturas y documentos contables — durante la relación y, a continuación, diez años (artículo L123-22 del Código de Comercio francés).
• Registro de actividad de una organización — mientras exista la organización.
• Registros técnicos y de seguridad — noventa días como máximo.
• Medición de audiencia — catorce meses como máximo.
• Prospección comercial — hasta que se dé de baja, conservándose después el registro de la baja para respetarla.

Las copias de seguridad cifradas expiran, a más tardar, cuarenta y cinco días después de su creación; por tanto, un dato suprimido desaparece de las copias de seguridad en ese plazo, y no de forma instantánea. Puede solicitar una supresión anticipada en cualquier momento; la atenderemos salvo que exista una obligación legal de conservación.

Aplicamos medidas técnicas y organizativas apropiadas: una base de datos independiente por organización; cifrado en tránsito (TLS) y en reposo; tokens de los conectores cifrados y secretos conservados en un almacén dedicado; inicio de sesión sin contraseña; acceso del personal con mínimo privilegio, motivado y registrado; copias de seguridad cifradas. Dado que ningún sistema es perfectamente seguro, revisamos estas medidas con regularidad. En caso de violación de datos que pueda entrañar un riesgo para sus derechos, lo notificamos a la CNIL en un plazo de setenta y dos horas y, cuando el riesgo sea elevado, a las personas afectadas sin dilación indebida; cuando actuamos como encargado del tratamiento, avisamos a la organización cliente en un plazo de cuarenta y ocho horas. Las cuestiones de seguridad y las divulgaciones responsables se dirigen a security@klair.dev.

Conforme al RGPD, dispone de los derechos de acceso, rectificación, supresión, limitación y oposición, del derecho a la portabilidad de sus datos y del derecho a retirar su consentimiento en cualquier momento cuando el tratamiento se base en él. También puede establecer directrices sobre el destino de sus datos tras su fallecimiento. Dirija su solicitud a privacy@klair.dev; respondemos en el plazo de un mes, prorrogable dos meses para solicitudes complejas o numerosas, de lo que le informaríamos. Para los datos que tratamos por cuenta de una organización (sección 04), diríjase preferentemente a esta; le transmitimos toda solicitud recibida. Puede en cualquier momento presentar una reclamación ante la CNIL (cnil.fr), sin perjuicio de un recurso judicial.

Podemos actualizar esta política. Toda modificación sustancial se le comunica por un medio apropiado antes de su entrada en vigor; las modificaciones menores se publican en esta página con una nueva fecha de entrada en vigor.

Cuestiones relativas a sus datos personales y ejercicio de sus derechos — privacy@klair.dev. Seguridad y divulgación responsable — security@klair.dev. Notificaciones legales — legal@klair.dev. Autoridad de control — Commission nationale de l'informatique et des libertés (CNIL), cnil.fr.

La versión francesa de esta política es la que da fe. Las traducciones al inglés y al español se facilitan a título de cortesía; en caso de discrepancia de interpretación, prevalecerá la versión francesa.