Legal y confianza
Aviso de privacidad
En vigor desde 2026-10-19 · versión 2.0
Esta es una traducción del texto original en inglés. En caso de discrepancia entre las versiones lingüísticas, prevalece la versión en inglés.
1. Quién es el responsable
Thalius AI AB (número de organización 559528-5635, NIF-IVA SE559528563501), Slipgatan 5, 117 39 Estocolmo, Suecia, es el responsable del tratamiento de los datos personales descritos en este aviso.
Contacto de privacidad: [email protected]. Respondemos a las solicitudes de privacidad en el plazo de un mes.
Este aviso se aplica a:
- los visitantes de este sitio;
- las personas que se registran en el servicio Hippocampus o lo utilizan, como propietarios o miembros de un espacio de trabajo;
- las personas invitadas a un espacio de trabajo;
- los visitantes de un chat público que publica un espacio de trabajo;
- las personas que hacen preguntas a la Hippo Guide;
- las personas que se inscriben en la lista de aviso de la beta o envían el formulario Corporate;
- los socios de nuestro programa de recomendación.
No se aplica a los documentos que los clientes suben o importan al Servicio. Respecto a ellos, el cliente es el responsable del tratamiento y nosotros somos su encargado del tratamiento conforme al contrato de encargo del tratamiento.
2. Qué recogemos y por qué
| Quién | Datos | Finalidad | Base jurídica (art. 6 RGPD) |
|---|---|---|---|
| Todos los visitantes del sitio | Página, día, etiquetas de campaña (fuente y campaña UTM), enlace de recomendación y un hash unidireccional con sal de la dirección IP | Contar visitas y registros por página y campaña, y frenar abusos, sin identificar a nadie | Interés legítimo |
| Visitantes del sitio y de la aplicación que permiten analítica o marketing | Eventos e identificadores de analítica establecidos por las herramientas de la sección 3; la cookie de primer contacto | Entender qué páginas y campañas conducen a registros, y cómo se utiliza la aplicación | Consentimiento |
| Personas que se inscriben en la lista de aviso de la beta | Correo electrónico; nombre y empresa si el formulario los pide; el texto que aceptó y cuándo; de dónde llegó por primera vez (etiquetas de campaña, enlace de recomendación, sitio de procedencia, página de entrada) | Enviarle un correo cuando se abra la beta | Consentimiento |
| Personas que envían el formulario Corporate | Correo electrónico de trabajo, organización, tamaño de la empresa, mensaje, de dónde llegó por primera vez | Responder y hacer seguimiento | Interés legítimo; medidas precontractuales |
| Personas que se registran | Correo electrónico, nombre, el método de inicio de sesión que elija, las versiones de las Condiciones y del Aviso de privacidad que aceptó y cuándo, la etiqueta de campaña del registro | Crear la cuenta, acreditar la aceptación, contar registros por fuente | Contrato; obligación legal; interés legítimo |
| Titulares de cuenta y miembros | Nombre, correo electrónico, organización, pertenencia a espacios de trabajo y funciones, eventos de inicio de sesión, plan, consumo de créditos | Prestar y facturar el Servicio, prevenir abusos | Contrato |
| Personas invitadas a un espacio de trabajo | Correo electrónico, espacio de trabajo que invita, estado de la invitación | Entregar la invitación y hacer su seguimiento | Interés legítimo de quien invita |
| Usuarios del Servicio | Preguntas formuladas y respuestas dadas, asociadas al usuario que ha iniciado sesión; las preguntas a la Hippo Guide se registran en su propio espacio de trabajo como cualquier conversación | Historial de conversaciones, soporte, auditoría de seguridad | Contrato; interés legítimo (seguridad) |
| Usuarios que conectan un servicio de terceros (por ejemplo, Google Drive o Centuri, y cualquier conector que se añada más adelante) | Los archivos, carpetas, identificadores y metadatos que usted elija importar, mediante el acceso que otorgue a ese servicio; el token de conexión hasta que se desconecte | Importar a su espacio de trabajo | Contrato |
| Usuarios que conectan una aplicación a través del servidor MCP o de claves de API | Nombre y host de la aplicación, alcance, momento de la autorización, uso | Permitir que la aplicación actúe por usted; seguridad | Contrato; interés legítimo (seguridad) |
| Usuarios que preguntan a través de una aplicación de IA conectada (por ejemplo, Claude o ChatGPT) | Lo que la aplicación consultó por usted (una búsqueda o un documento que abrió), cuándo y qué aplicación | Mostrarle esta actividad en el Historial | Contrato |
| Visitantes de un chat público | Pregunta, respuesta, una dirección de red en hash para limitar la frecuencia de solicitudes, valoración con pulgar y una suscripción push si permite las notificaciones | Responder, prevenir abusos, notificar | Interés legítimo del espacio de trabajo que lo publica; consentimiento para las notificaciones push |
| Clientes de pago | Dirección de facturación, NIF-IVA y el resultado de su comprobación en VIES, facturas, estado de los pagos; los datos de la tarjeta los conserva únicamente Stripe | Facturación, contabilidad, IVA | Contrato; obligación legal |
| Socios de recomendación | Nombre, correo electrónico, enlace de recomendación, registros atribuidos al enlace, cuenta del portal de socios | Gestionar el programa de recomendación | Contrato |
Los datos de Google recibidos a través del conector de Google Drive se utilizan únicamente para realizar la importación, de conformidad con la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.
Nuestro personal puede leer preguntas y respuestas con fines de soporte, prevención de abusos y seguridad; cada acceso queda registrado.
No recogemos de forma intencionada categorías especiales de datos personales y no vendemos datos personales.
¿Está obligado a facilitarnos datos? No. Sin una dirección de correo electrónico no podemos crear una cuenta, añadirle a la lista de la beta ni responder al formulario Corporate. Rechazar las cookies no limita el sitio ni la aplicación.
De dónde proceden los datos. La mayoría de los datos proceden de usted. El proveedor de inicio de sesión que elija nos envía su correo electrónico y su nombre. La etiqueta de campaña de un registro se transmite desde este sitio a la aplicación, y el origen de una recomendación procede del enlace que ha seguido.
3. Cookies y tecnologías similares
En este sitio, sin su consentimiento, la única cookie que se instala es consent-v2, que recuerda la elección que hace en el banner (estrictamente necesaria). La comparten este sitio y la aplicación en las direcciones de thalius.ai, de modo que una elección hecha en uno no se le vuelve a pedir en el otro. Si Cloudflare Web Analytics está activado, mide las cargas de página sin cookies y sin identificarle (interés legítimo). El sitio guarda además dos cosas en el almacenamiento propio de su navegador: su tema claro u oscuro y de dónde procede esta visita (almacenamiento de sesión, borrado al cerrar la pestaña).
En la aplicación, una cookie de sesión mantiene su sesión iniciada (estrictamente necesaria), y el almacenamiento de su navegador guarda su estado de inicio de sesión, su tema, su progreso en la visita guiada y su historial de chat. Sin consentimiento, la aplicación no carga ninguna herramienta de analítica y no mide nada. Con su consentimiento, otorgado en el banner de cookies de la aplicación y modificable en Ajustes, las herramientas siguientes funcionan con cookies.
Con su consentimiento, otorgado en el banner y modificable en cualquier momento desde «Ajustes de cookies», podemos utilizar las herramientas siguientes. El banner aparece solo mientras al menos una de ellas esté activada.
| Herramienta | Categoría | Qué hace |
|---|---|---|
Cookie propia th_ft |
Analítica o marketing | Recuerda durante 90 días la campaña o el enlace de recomendación que le trajo aquí por primera vez, para que un registro posterior pueda atribuirse a ellos. No contiene nombre ni correo electrónico y se elimina cuando retira el consentimiento. |
| PostHog (nube de la UE) | Analítica | Páginas vistas, eventos, el recorrido desde la visita hasta el registro y mapas de calor donde estén activados. En este sitio, antes del consentimiento funciona solo en memoria, sin cookie; en la aplicación se carga solo tras el consentimiento. |
| Google Analytics 4 | Analítica | Medición de visitas y campañas con anonimización de IP y Google Consent Mode. En la aplicación, cuando crea una cuenta, también el nombre y el plan de su nuevo espacio de trabajo. Cookies solo tras el consentimiento. |
| Google Tag Manager | Analítica o marketing | Carga etiquetas de medición o publicidad solo para las categorías que usted haya permitido, con Google Consent Mode. |
| Medición de conversiones de Google Ads (a través de Google Tag Manager) | Marketing | Registra que una visita procedente de uno de nuestros anuncios de Google dio lugar a una cuenta, para que podamos ver qué anuncios funcionan. Cuando crea una cuenta en la aplicación, también envía su dirección de correo electrónico, cifrada con hash en su navegador (conversiones mejoradas). Instala _gcl_au y _gcl_aw solo después de que usted permita el marketing. |
Google Ads. Si permite el marketing, medimos si una visita procedente de uno de nuestros anuncios de Google da lugar a una cuenta, en este sitio y en la aplicación. Google recibe la visita, el clic en el anuncio y el hecho de que se produjo un registro. Cuando crea una cuenta en la aplicación, Google recibe también su dirección de correo electrónico, cifrada con hash (SHA-256) en su navegador antes de enviarse, para poder vincular el registro con el clic en el anuncio (conversiones mejoradas). Solo la enviamos si ha permitido el marketing. Permitir el marketing concede las señales ad_storage, ad_user_data y ad_personalization de Google. No las utilizamos para crear audiencias publicitarias. Para esta medición, Google actúa como responsable del tratamiento independiente conforme a las Google Ads Controller-Controller Data Protection Terms. Google tiene su sede en Estados Unidos; véase la sección 5.
4. Quién recibe los datos
- Proveedores de servicios que tratan datos por cuenta nuestra en virtud de contratos de encargo del tratamiento: Stripe (pagos y facturas); Google (inicio de sesión con Identity Platform y la API de Drive cuando usted la conecta); el proveedor de inicio de sesión que elija, que es Google, Microsoft, Apple o GitHub (su identidad en ese proveedor); Google Workspace (correo del servicio desde [email protected]); Cloudflare (este sitio y el perímetro de la aplicación; allí no se almacenan registros de chat); Google Cloud en la UE (el Servicio, incluidos los registros de conversaciones, los registros de chats públicos y las suscripciones push); los servicios push de los navegadores de Apple, Google y Mozilla (una carga cifrada y un token del dispositivo, solo cuando usted permite las notificaciones); las herramientas de analítica de la sección 3; y los proveedores de la página de subencargados para el propio Servicio.
- Autoridades, cuando la ley lo exija.
- Un comprador o sucesor, si se transmite el negocio, con las mismas garantías.
Los socios de recomendación ven solo el número de registros atribuidos a su enlace, nunca quién se ha registrado.
5. Transferencias fuera de la UE/EEE
Los documentos y la estructura de conocimiento del Servicio se almacenan en la UE (Finlandia). Algunos proveedores, entre ellos Google, Microsoft, Apple, GitHub, Stripe, Cloudflare y los proveedores de modelos de IA utilizados por defecto, tienen su sede en Estados Unidos. Las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en caso contrario, en las Cláusulas Contractuales Tipo con una evaluación del riesgo de la transferencia. Los clientes Corporate pueden elegir inferencia alojada en la UE o alojada por el propio cliente. Puede solicitarnos una copia de las garantías.
6. Cuánto tiempo conservamos los datos
| Datos | Conservación |
|---|---|
| Recuentos de visitas con IP en hash | 26 meses |
| Datos de las herramientas de analítica | 26 meses, o el plazo más corto configurado en la herramienta |
Cookie consent-v2 (su elección de cookies) |
13 meses en su navegador |
Cookie th_ft |
90 días en su navegador |
Cookies de Google Ads _gcl_au, _gcl_aw |
90 días en su navegador |
| Lista de aviso de la beta | Hasta que se abra la beta y se lo hayamos comunicado, o hasta que retire el consentimiento, lo que ocurra primero |
| Consultas Corporate | 2 años desde el último contacto |
| Registros de invitaciones | Hasta su aceptación, o 90 días |
| Datos de cuenta, registros de aceptación y registros de conversaciones | Mientras exista la cuenta; se eliminan en los 30 días siguientes a la eliminación de la cuenta, y de las copias de seguridad en 90 días |
| Un espacio de trabajo Free sin uso durante 3 meses | Se elimina previo aviso de 30 días por correo electrónico |
| Autorizaciones de aplicaciones conectadas | Hasta que usted las revoque |
| Tokens de conectores | Hasta que usted desconecte el servicio |
| Registros de chats públicos y suscripciones push | 30 días |
| Actividad de los conectores de IA (lo que una aplicación de IA conectada consultó por usted) | 90 días; solo usted puede leerla y puede eliminarla en el Historial |
| Facturas, registros de IVA y registros de pago | 7 años (Ley sueca de contabilidad) |
| Datos de socios de recomendación | Mientras dure la colaboración, más 3 años |
Transcurridos esos plazos, los datos se eliminan o se anonimizan. Un acuerdo Corporate puede establecer otros plazos.
7. Seguridad
Los datos se cifran en tránsito y en reposo. Los documentos del Servicio se cifran con claves por documento vinculadas al espacio de trabajo. El acceso a los datos personales se limita a las personas que lo necesitan, y las operaciones relevantes para la seguridad quedan registradas. Los detalles están en la página de seguridad.
Si es probable que una violación de la seguridad de los datos personales ponga en riesgo sus derechos, lo notificamos a la Autoridad Sueca de Protección de Datos (IMY) en un plazo de 72 horas y se lo comunicamos a usted sin dilación indebida.
8. Sus derechos
Usted tiene derecho a:
- acceder a sus datos personales y obtener una copia;
- que se rectifiquen;
- que se supriman;
- limitar su tratamiento;
- recibirlos en un formato portable;
- oponerse al tratamiento basado en el interés legítimo, y a la mercadotecnia directa en cualquier momento;
- retirar el consentimiento en cualquier momento, sin que ello afecte al tratamiento anterior a la retirada.
En la aplicación puede eliminar su cuenta, descargar una exportación completa de un espacio de trabajo del que sea propietario, eliminar un espacio de trabajo del que sea propietario en los ajustes de facturación, y desconectar aplicaciones y servicios conectados. Si no puede hacerlo, escriba a [email protected]; actuamos en un plazo de 30 días. Para otras solicitudes, escriba a [email protected]. No cobramos nada salvo que una solicitud sea manifiestamente infundada o excesiva. Si sus datos se encuentran en el espacio de trabajo de un cliente, remitimos su solicitud a ese cliente.
También puede presentar una reclamación ante la Autoridad Sueca de Protección de Datos (IMY), Box 8114, 104 20 Estocolmo, [email protected], www.imy.se, o ante la autoridad del lugar donde vive o trabaja.
9. Correos electrónicos y notificaciones
Enviamos notificaciones del servicio sin pedir permiso, porque el Servicio las necesita: enlaces de activación y de inicio de sesión, invitaciones, avisos de pago y de plan, avisos de inactividad y cambios en estos textos. Como cliente, también puede recibir novedades del producto sobre Hippocampus; puede dejar de recibirlas en cualquier momento mediante el enlace incluido en cada uno de esos correos o, cuando esté disponible, en los ajustes de notificaciones.
10. Decisiones automatizadas
No tomamos decisiones con efectos jurídicos o similarmente significativos sobre usted basadas únicamente en el tratamiento automatizado. Las funciones de IA del Servicio se describen en la información sobre el Reglamento de IA.
11. Edad
El sitio y el Servicio están destinados a personas de 18 años o más.
12. Cambios
Cuando modifiquemos este aviso, actualizaremos la versión y la fecha de entrada en vigor indicadas arriba. Los cambios sustanciales se anuncian en este sitio al menos 30 días antes de su aplicación y, para los titulares de cuenta, por correo electrónico.