Política de privacidad de DIRI AI

1. Quién es el responsable de sus datos personales

DIRI AI es operada por František Mráz, IČO 07961731, que actúa bajo el nombre comercial DIRI AI. El domicilio social y los canales de contacto verificados figuran en el Aviso legal. Las solicitudes de privacidad deben enviarse a privacy@diriai.com.

DIRI AI es normalmente el responsable del tratamiento de las visitas al sitio web, las cuentas individuales, los periodos de prueba, la facturación, la asistencia, la seguridad, la administración del producto, las operaciones propias de la aplicación, la analítica del sitio público consentida y el marketing directo. Cuando una organización aporta datos personales a su espacio de trabajo y determina por qué y cómo se utilizan esos datos, esa organización es la responsable del tratamiento y DIRI AI actúa como su encargado del tratamiento conforme al Contrato de encargo del tratamiento (DPA). Los usuarios deben dirigirse primero a su organización para las solicitudes relativas a los datos del espacio de trabajo controlados por la organización.

2. Ámbito

Esta Política se aplica a diriai.com, a las aplicaciones de DIRI AI, a las suscripciones, a los periodos de prueba, a la asistencia y a las comunicaciones relacionadas. La medición opcional de Google Analytics se limita a las páginas públicas de marketing compatibles en inglés y checo de diriai.com y www.diriai.com; no se ejecuta en las rutas de la aplicación, de la cuenta, de autenticación, de facturación, legales, de superadministración ni de vista previa. Por separado, las rutas autenticadas de la aplicación utilizan una analítica operativa propia, del lado del servidor y con minimización de la privacidad, descrita en esta Política. Ese tratamiento no es GA4 y no está vinculado a GA4. Esta Política no rige el sitio web independiente de un tercero ni el uso que haga un cliente de los datos exportados. El proceso de pago vigente debe identificar cualquier tratamiento sustancialmente distinto antes de que comience.

3. Datos que tratamos

Según cómo utilice DIRI AI, podemos tratar:

• datos de cuenta e identidad: nombre, dirección de correo electrónico, identificador de cuenta, eventos de autenticación, idioma seleccionado y confirmación de edad/elegibilidad;
• datos de la organización: nombre del empleador o del cliente, cargo, pertenencia al espacio de trabajo, invitaciones, acciones de los administradores y asignaciones de puestos;
• datos de facturación: plan, país de facturación, identificadores fiscales o mercantiles aportados por el cliente, referencias de facturas y transacciones, estado del pago y metadatos limitados de la tarjeta suministrados por el proveedor de pagos; DIRI AI no necesita recibir el número completo de la tarjeta;
• contenido de entrenamiento: escenarios, instrucciones, entrada de voz, grabaciones opcionales, transcripciones, anotaciones, puntuaciones, informes, comentarios de coaching y respuestas de los usuarios;
• datos de uso: duración de las sesiones, idioma y voz seleccionados, uso de funciones, consumo de la asignación, ajustes, exportaciones y eventos de cancelación;
• analítica operativa propia de la aplicación: seudónimos HMAC con clave independiente para el inquilino y el usuario, una ventana de actividad UTC de 15 minutos, la última hora de actividad aceptada dentro de esa ventana, idioma, clase de dispositivo y origen de la aplicación incluidos en la lista de permitidos, versión de la política de privacidad, hora de creación y hora de caducidad; las consultas de analítica autorizadas crean además un registro de auditoría independiente que contiene seudónimos HMAC del administrador y de la consulta, el intervalo de fechas y la granularidad solicitados, las fuentes propias incluidas, el estado de la caché, el estado del resultado, la versión de la política de privacidad, la hora de la solicitud y la hora de caducidad;
• datos del dispositivo, de la red y de seguridad: dirección IP, información del navegador y del dispositivo, marcas de tiempo, identificadores de sesión y de solicitud, trazas de errores, registros de auditoría, indicadores de abuso y ubicación aproximada derivada de pruebas de red o de facturación;
• datos de asistencia y comunicaciones: mensajes, archivos adjuntos, detalles de reclamaciones, respuestas a encuestas y registros necesarios para resolver la solicitud;
• datos de analítica de marketing del sitio público tras el consentimiento: un identificador propio del navegador, host/ruta normalizados incluidos en la lista de permitidos, ruta de referencia del mismo sitio incluida en la lista de permitidos cuando exista, una visita de página o uno de tres eventos de interacción acotados, idioma EN/CS y valores de CTA/plan/campaña incluidos en la lista de permitidos, además de los metadatos técnicos del navegador y de la red que necesariamente quedan expuestos a Google, como la dirección IP, el agente de usuario, la marca de tiempo y las cabeceras del protocolo;
• traspaso volátil de campaña previo al consentimiento: la primera fuente, medio y nombre de campaña incluidos en la lista de permitidos, la hora de captura, el estado y un vínculo aleatorio por documento, conservados únicamente en la memoria de JavaScript del documento de página actual durante un máximo de 30 minutos, sin solicitud al proveedor, cookie, almacenamiento local, almacenamiento de sesión, consulta sin procesar, referencia ni clave arbitraria; todos los parámetros utm_* se eliminan de inmediato de la dirección visible, y una recarga, una pestaña nueva o una pestaña duplicada descartan el traspaso; y
• datos de preferencias y de marketing: elecciones sobre cookies, prueba de la suscripción voluntaria al boletín, estado de baja o de supresión, datos consentidos de interacción con campañas e idioma de las comunicaciones.

La carga útil de eventos de Analytics no admite cadenas de consulta, fragmentos de URL, URL de referencia externas, títulos de documento, texto libre, nombres, direcciones de correo electrónico, números de teléfono, identificadores de cuenta, cliente o empresa, contenido de llamadas, grabaciones, transcripciones, datos de pago, tokens de pago o de estado, User-ID ni identificadores publicitarios facilitados por DIRI AI. Estas restricciones de la carga útil no eliminan los metadatos de transporte ordinarios descritos anteriormente ni hacen que todos los datos de Analytics sean anónimos conforme a la normativa de protección de datos.

La analítica operativa propia de la aplicación no contiene identificadores sin procesar de inquilino o de usuario, nombres, direcciones de correo electrónico, números de teléfono, direcciones IP, cadenas de agente de usuario, ubicación precisa, valores de referencia o de URL completa, cadenas de consulta, parámetros de campaña, Contenido del Cliente, contenido de llamadas, grabaciones, transcripciones, instrucciones, mensajes de asistencia, datos de pago, texto libre ni metadatos arbitrarios. Sus seudónimos HMAC siguen siendo datos personales mientras DIRI AI pueda recalcularlos y se protegen como tales.

Obtenemos datos de usted, del administrador de su espacio de trabajo, de su dispositivo y del uso del servicio, de los proveedores de pagos y de infraestructura, de Google Analytics únicamente tras la elección exigida y de señales lícitas contra el fraude o de seguridad. No compramos perfiles de consumidores ni vendemos datos personales.

4. Por qué tratamos los datos y nuestras bases jurídicas

Cuando nos basamos en intereses legítimos, evaluamos la necesidad, el impacto y las garantías. Usted puede solicitar información sobre la evaluación correspondiente y oponerse al tratamiento como se describe más adelante. No trasladaremos una finalidad basada en el consentimiento a los intereses legítimos por el simple hecho de que el consentimiento se haya rechazado o retirado. La medición opcional de GA4 permanece desactivada tras el rechazo y con el Global Privacy Control.

5. Audio de entrenamiento, transcripciones y resultados de la IA

DIRI AI envía a un proveedor de voz o de IA identificado en la Lista de subencargados del tratamiento y habilitado para esa función únicamente los datos necesarios para una interacción de entrenamiento solicitada. Los datos de voz se utilizan para prestar una conversación simulada; DIRI AI no tiene la intención de utilizarlos para la identificación biométrica, la comparación de huellas de voz ni el reconocimiento de emociones.

El almacenamiento de grabaciones está desactivado por defecto. Si se habilita una función opcional de grabación, la interfaz debe informar de ese hecho, de su finalidad y de su conservación antes de que comience la grabación. Una transcripción, una puntuación o una sugerencia de coaching pueden ser erróneas y no deben utilizarse como único fundamento de una decisión laboral o de otra decisión con efectos jurídicos significativos.

No envíe secretos reales de clientes, datos de tarjetas de pago, credenciales, datos de salud, datos biométricos ni otros datos de categoría especial, salvo que una función aprobada por separado lo requiera expresamente y existan todas las bases jurídicas, avisos y garantías necesarios. DIRI AI no utiliza el Contenido del Cliente para entrenar modelos de propósito general sin una elección distinta, voluntaria y específica y una base jurídica lícita.

Los datos de entrenamiento, el Contenido del Cliente y la analítica operativa propia de la aplicación quedan fuera del ámbito de recopilación de GA4. GA4 no se ejecuta en las rutas de la aplicación ni de la cuenta y no recibe el Contenido del Cliente ni los seudónimos de la analítica propia de la aplicación. DIRI AI no vincula estos registros operativos propios con los identificadores o informes de GA4.

6. Tratamiento automatizado

El servicio genera automáticamente simulaciones, transcripciones, puntuaciones, sugerencias, límites de uso e informes. Las reglas de seguridad y contra el fraude pueden señalar o limitar temporalmente una cuenta o un periodo de prueba repetido. Estos procesos no pretenden adoptar una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente de modo similar. Cuando una restricción automatizada le afecte de forma sustancial, póngase en contacto con support@diriai.com para solicitar una revisión humana, salvo que la divulgación comprometa la seguridad o una investigación legal.

Los informes de tráfico de GA4 no se utilizan para puntuar a los usuarios, decidir el acceso, elaborar perfiles de empleados ni adoptar decisiones con efectos jurídicos o significativos de modo similar.

7. Cuándo se requiere la información

La información de cuenta, de elegibilidad, de seguridad y de facturación marcada como obligatoria es necesaria para celebrar o ejecutar el contrato. Si no se facilita, es posible que no podamos crear una cuenta, iniciar un periodo de prueba con tarjeta, procesar un pago ni proteger el servicio. El consentimiento de marketing y el consentimiento para cookies o analítica no esenciales son opcionales. El rechazo o la retirada no impiden el acceso a las páginas públicas ni al servicio de pago básico.

8. Quién recibe los datos

El acceso se limita al personal autorizado de DIRI AI y a los proveedores de servicios que necesiten los datos para el alojamiento, las bases de datos, la caché, el correo electrónico, los pagos, la supervisión de errores, la seguridad y el tratamiento de voz o de IA. Los proveedores utilizados para estas funciones y sus finalidades figuran en la Lista de subencargados del tratamiento. Los mensajes comerciales enviados a las direcciones de rol de DIRI AI se alojan, se encaminan y se almacenan a través de Google Workspace con una cuenta empresarial; no se reenvían a un buzón de consumidor. Los proveedores que actúan como encargados del tratamiento deben estar vinculados por condiciones de protección de datos. Los proveedores de pagos también pueden actuar como responsables independientes del tratamiento para fines regulados de pagos, de fraude y de cumplimiento.

Tras el consentimiento afirmativo a la analítica, Google Analytics 4 recibe los datos restringidos del sitio público descritos en la sección 3. Google Ireland Limited es la entidad contratante conforme al contrato de cuenta de Google Analytics aplicable y a las Condiciones de tratamiento de datos (Data Processing Terms). DIRI AI utiliza una propiedad de Analytics y un flujo web para diriai.com y www.diriai.com. La explicación de Google sobre el tratamiento de datos de los sitios asociados está disponible en https://policies.google.com/technologies/partner-sites.

Umami, Vercel Web Analytics, Vercel Speed Insights, Cloudflare Web Analytics, los píxeles, la reproducción de sesiones, los mapas de calor, las audiencias publicitarias y los vínculos con Google Ads no son destinatarios de analítica conforme a esta Política. Vercel y Cloudflare pueden seguir tratando datos de infraestructura distintos para el alojamiento, el DNS, el encaminamiento, el almacenamiento o la seguridad, tal como se indica en la Lista de subencargados del tratamiento.

La analítica operativa propia de la aplicación permanece dentro del entorno de alojamiento y de base de datos de la aplicación de DIRI AI y no se envía a Google Analytics ni a otro proveedor de analítica de marketing. El acceso a sus informes agregados y a la auditoría de consultas se limita a los administradores autorizados.

Podemos comunicar datos a asesores profesionales, autoridades, tribunales o contrapartes de una operación cuando sea lícitamente necesario, proporcionado y esté protegido. No comunicamos el Contenido del Cliente para publicidad de terceros.

9. Transferencias internacionales

Cuando el servicio y el contrato aplicables lo permitan, DIRI AI selecciona regiones de tratamiento europeas, pero las redes globales, la asistencia y los proveedores pueden tratar datos fuera del EEE, del Reino Unido o de Suiza. Antes de una transferencia restringida, debemos utilizar una decisión de adecuación aplicable, las Cláusulas Contractuales Tipo de la Comisión Europea con una evaluación de la transferencia y medidas complementarias, u otra garantía lícita. La declaración comercial de un proveedor por sí sola no constituye una prueba suficiente. DIRI AI registra las garantías aplicables en su Registro de proveedores y transferencias.

Google indica que el tráfico de Analytics procedente de dispositivos de la UE, de Suiza y del Reino Unido se recopila a través de dominios y servidores regionales antes de reenviarse a los servidores de Analytics para su tratamiento. Las condiciones de tratamiento de Google permiten el tratamiento allí donde Google o sus subencargados dispongan de instalaciones y contienen disposiciones europeas sobre transferencias. DIRI AI registra el mecanismo de transferencia aplicable en su Registro de proveedores y transferencias.

Usted puede solicitar información sobre la garantía correspondiente en privacy@diriai.com; las condiciones confidenciales o sensibles desde el punto de vista de la seguridad pueden estar censuradas.

10. Conservación

Conservamos los datos personales únicamente durante el menor plazo necesario para la finalidad, el contrato, la seguridad y las obligaciones legales. El calendario por defecto es el siguiente:

Google indica que los datos de usuario y de evento caducados se eliminan mediante un proceso mensual y que su ajuste de conservación no afecta a los informes agregados estándar. Por ello, DIRI AI no promete que todos los informes agregados se eliminen a los dos meses. La Política de conservación de datos detallada explica la supresión por el proveedor, el registro de elección solo del navegador, las excepciones y las retenciones legales.

La supresión de los sistemas activos no garantiza la eliminación inmediata de las copias de seguridad cifradas y aisladas; las copias de seguridad deben caducar conforme a un ciclo verificado del proveedor y no deben restaurarse para un uso ordinario. Las condiciones de tratamiento aplicables de Google y los controles de eliminación de la cuenta rigen sus copias como encargado del tratamiento, además de la conservación configurada de Analytics.

11. Sus derechos

Con sujeción a las condiciones y excepciones de la legislación aplicable, usted puede solicitar:

• el acceso a sus datos personales y una copia de estos;
• la rectificación de los datos inexactos;
• la supresión o la limitación del tratamiento;
• la portabilidad de los datos que haya facilitado cuando el tratamiento sea automatizado y se base en el consentimiento o en un contrato;
• la oposición al tratamiento basado en intereses legítimos o al marketing directo;
• la retirada del consentimiento en cualquier momento, sin afectar a la licitud del tratamiento anterior; y
• la revisión humana y la información cuando surjan los derechos aplicables en materia de decisiones automatizadas.

Utilice privacy@diriai.com. Podemos solicitar una verificación proporcionada de su identidad y normalmente respondemos en el plazo de un mes conforme al RGPD, sujeto a una prórroga lícita para solicitudes complejas o numerosas. Normalmente no se cobra ninguna tarifa, pero la ley permite cobrar una tarifa razonable o rechazar las solicitudes manifiestamente infundadas o excesivas. Si un cliente del espacio de trabajo controla los datos, remitiremos la solicitud o colaboraremos en ella conforme al DPA.

Analytics no utiliza ningún identificador de cuenta de DIRI AI ni User-ID, por lo que el correo electrónico de una cuenta no identifica por sí solo a un navegador en GA4. Usted puede detener la recopilación futura mediante la Configuración de cookies y borrar las cookies locales. DIRI AI utilizará los controles de eliminación de Google disponibles cuando una solicitud pueda asociarse sin recopilar identificadores adicionales innecesarios.

Para la analítica operativa propia de la aplicación, DIRI AI conserva las versiones de clave HMAC de actividad durante la vida útil aplicable de 35 días de los registros de actividad y las versiones de clave HMAC del administrador y de la consulta durante la vida útil completa de 90 días de la auditoría de consultas. Para una solicitud autenticada de acceso, exportación o supresión aprobada, DIRI AI utiliza todas las versiones de clave conservadas durante la vida útil correspondiente para localizar, exportar o eliminar los registros de actividad y de auditoría de consultas coincidentes. La búsqueda se realiza únicamente para la solicitud, no crea ningún vínculo con GA4 y sigue sujeta a las excepciones lícitas de seguridad, de reclamaciones y de conservación de registros.

Usted puede presentar una reclamación ante la Oficina de Protección de Datos Personales de la República Checa o ante otra autoridad de control competente, y puede ejercer una acción judicial. Los datos de contacto de las autoridades figuran en el Aviso legal.

12. Opciones de marketing y de analítica

La suscripción al boletín debe utilizar una opción clara y separada y una prueba de lo acordado. Todo correo de marketing debe identificar al remitente y contener un método de baja que funcione. La retirada es gratuita y detendrá el marketing futuro una vez finalizado el proceso operativo de supresión. Los mensajes de servicio, de facturación, de seguridad y los exigidos legalmente pueden continuar mientras sean pertinentes para la cuenta.

La medición de tráfico de GA4 utiliza una opción opcional independiente. El modo de consentimiento básico (Basic Consent Mode) mantiene la etiqueta de Google totalmente bloqueada antes del consentimiento afirmativo y tras el rechazo. Un visitante puede retirar posteriormente su consentimiento mediante la Configuración de cookies; la página elimina la etiqueta, intenta borrar las cookies propias de Analytics y se recarga sin Analytics. El Global Privacy Control mantiene desactivada la analítica opcional. El consentimiento está vinculado a la versión del aviso EN/CS y a la versión de configuración del proveedor GA4, de modo que un cambio sustancial hace que la elección almacenada quede obsoleta.

La configuración de analítica opcional no incluye audiencias publicitarias, seguimiento entre sitios, píxeles publicitarios o de conversión, retargeting, reproducción de sesiones, mapas de calor, vínculos con Google Ads, personalización publicitaria ni funciones publicitarias de Google Analytics. No consideraremos que el alta de una cuenta, un banner cerrado, el desplazamiento por la página, el silencio o una casilla premarcada constituyan consentimiento para la analítica o el marketing.

El rechazo o la retirada de la medición opcional de GA4 no desactiva la analítica operativa propia de la aplicación, con minimización de la privacidad, que se utiliza para prestar, proteger y mantener el servicio. Esos registros utilizan las bases jurídicas, las garantías, los plazos de conservación y los derechos de oposición descritos anteriormente y nunca se vinculan con GA4.

13. Menores

DIRI AI no está dirigida a menores de 13 años y no les ofrece a sabiendas una cuenta ni trata su voz. Un usuario de entre 13 y 17 años no puede completar el pago directo de autoservicio. Un progenitor, un tutor legal o una organización cliente autorizada deben crear o aceptar la cuenta o la suscripción, asumir la obligación de pago y cumplir cualquier requisito local adicional. Una vía organizativa no sustituye al permiso de los progenitores cuando la legislación aplicable lo exija. El tratamiento opcional basado en el consentimiento no se habilita para ese usuario salvo que el propio usuario o el titular de la responsabilidad parental puedan prestarlo válidamente conforme a la legislación aplicable.

Para un usuario checo, cuando el consentimiento conforme al artículo 8 del RGPD sea la base jurídica de una actividad opcional de un servicio de la sociedad de la información, un usuario menor de 15 años requiere la autorización del titular de la responsabilidad parental. La capacidad contractual se evalúa por separado y puede requerir la aceptación de un adulto o de un tutor incluso cuando se alcance el umbral de edad del consentimiento en materia de protección de datos.

El alta debe utilizar un control de edad neutro y minimizar las pruebas de edad conservadas. Si tenemos conocimiento de que un usuario menor de 13 años ha facilitado datos personales, suspenderemos el tratamiento afectado, solicitaremos una verificación proporcionada cuando sea lícito y eliminaremos los datos, salvo que la conservación sea legalmente exigible. Póngase en contacto con privacy@diriai.com sin enviar documentos de identidad, salvo que se soliciten a través de un canal seguro.

14. Seguridad

Utilizamos medidas organizativas y técnicas basadas en el riesgo descritas en la Descripción general de seguridad y, para los datos del encargado del tratamiento, en el DPA. Ningún sistema es perfectamente seguro. Envíe las vulnerabilidades o incidentes sospechosos a security@diriai.com y no incluya datos personales innecesarios en el informe inicial.

DIRI AI limita Analytics a hosts, rutas, eventos y propiedades consentidos e incluidos en la lista de permitidos, mantiene desactivados los ajustes publicitarios y admite la retirada del consentimiento. Estas restricciones reducen los datos, pero no eliminan todos los riesgos para la privacidad ni los riesgos del proveedor.

15. Derechos regionales fuera del EEE

Si una ley de su ubicación admitida le confiere derechos de privacidad adicionales, los respetaremos cuando sea aplicable. Esto puede incluir los derechos a conocer, acceder, rectificar, suprimir, obtener una copia portable, oponerse a la venta o a la publicidad dirigida, limitar determinados usos de datos sensibles, retirar el consentimiento o recurrir una decisión. DIRI AI no vende datos personales y no debe habilitar la comunicación de datos para publicidad dirigida sin un aviso adecuado a la región y una opción de oposición o de consentimiento.

Esta sección no significa que DIRI AI se ofrezca en todos los países o estados de EE. UU. La disponibilidad de pago se limita a las ubicaciones y categorías de clientes aceptadas por el proceso de pago tras la evaluación fiscal, regulatoria y del proveedor aplicable.

16. Cambios y contacto

Publicaremos una versión fechada y daremos un preaviso adecuado de los cambios sustanciales. Una nueva finalidad o un nuevo proveedor que requiera consentimiento no comenzará por el mero hecho de que esta Política haya cambiado. Las versiones archivadas deben seguir estando disponibles. Un cambio sustancial en el proveedor GA4, en el aviso o en el ámbito de recopilación invalida la elección almacenada del navegador y requiere una nueva decisión.

La identidad y la dirección del responsable del tratamiento figuran en el Aviso legal. Contacto de privacidad: privacy@diriai.com.

Versión: 1.2.0. Fecha de entrada en vigor: 30 de agosto de 2026.