Versión de 28 de octubre de 2026
La protección de los datos personales es importante para nosotros. A continuación le informamos sobre qué datos personales tratamos, con qué finalidades y sobre qué base jurídica, a quién los comunicamos y qué derechos le asisten.
Esta política de privacidad abarca dos servicios diferenciados. La parte A se refiere a nuestro sitio web surv-ai.com, incluido el formulario de reserva de demostración. La parte B se refiere a la plataforma SurvAI, disponible en app.surv-ai.com, que ofrecemos como software como servicio (SaaS) para investigación de mercados y análisis de encuestas. La parte C contiene la información aplicable a ambos servicios.
SurvAI by A+R UG (haftungsbeschränkt) Nerostraße 18 65183 Wiesbaden Alemania Correo electrónico: info@surv-ai.com
Nuestro sitio web está alojado en Hetzner Online GmbH; los servidores se encuentran en Alemania. Al acceder al sitio web se tratan automáticamente datos técnicos de acceso en los archivos de registro del servidor, en particular la dirección IP, la fecha y hora del acceso, la página solicitada, el volumen de datos transferido, la página de procedencia y la identificación del navegador y del sistema operativo. La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo consiste en el funcionamiento seguro, estable y sin interrupciones del sitio web y en la defensa frente a ataques. Con Hetzner existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD.
En el sitio web solo recopilamos datos personales cuando usted nos los facilita voluntariamente a través de nuestro formulario de reserva de demostración. Se tratan los siguientes datos:
Utilizamos estos datos exclusivamente para concertar y celebrar la cita de demostración y para responder a su consulta. La base jurídica es el art. 6.1.b) del RGPD (medidas precontractuales adoptadas a petición suya).
Para la programación de citas utilizamos la API de Google Calendar de Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. Los datos de su cita (nombre, empresa, horario deseado) se transmiten a Google con el fin de crear el evento en nuestro calendario. La base jurídica es el art. 6.1.b) del RGPD. No cabe descartar un tratamiento por parte de Google LLC en Estados Unidos; véase el apartado «Transferencias internacionales de datos». La política de privacidad de Google está disponible en policies.google.com/privacy.
Tras una reserva de demostración le enviamos un correo de confirmación con una entrada de calendario e informamos a nuestro equipo. Para el envío utilizamos el servicio Brevo. A Brevo se transmiten su nombre, su dirección de correo electrónico y el contenido del mensaje. La base jurídica es el art. 6.1.b) del RGPD. Según indica Brevo, los datos se tratan en centros de datos situados en la UE. Por esta vía no enviamos boletines ni otros correos publicitarios.
Si solicita el libro blanco, le enviamos la versión completa en PDF por correo electrónico e informamos a nuestro equipo. Para ello tratamos su nombre, su dirección de correo electrónico y, si la indica, su empresa. El envío se realiza a través de Brevo (centros de datos en la UE). La base jurídica es el art. 6.1.b) del RGPD. Si además marcó la casilla para recibir novedades, guardamos este consentimiento con fecha y hora (art. 6.1.a) del RGPD). Antes de enviarle novedades le pedimos que lo confirme por correo electrónico. Puede retirar su consentimiento en cualquier momento, por ejemplo escribiendo a info@surv-ai.com.
Nuestro sitio web no utiliza cookies con fines analíticos, de elaboración de perfiles ni publicitarios. No empleamos herramientas de analítica web, píxeles de seguimiento, redes publicitarias ni complementos de redes sociales. Únicamente se guardan dos entradas técnicamente necesarias en el almacenamiento local (localStorage) de su navegador: su preferencia de modo oscuro y la confirmación de nuestro aviso. Estos datos no salen de su dispositivo ni se nos transmiten. La base jurídica es el § 25.2, n.º 2 de la ley alemana TDDDG (almacenamiento estrictamente necesario) en relación con el art. 6.1.f) del RGPD.
La plataforma SurvAI es un servicio de pago dirigido a empresas, institutos de investigación de mercados y particulares. Nuestros clientes cargan en ella respuestas abiertas de encuestas y los metadatos asociados, y las categorizan, analizan y exportan con ayuda de la IA.
Respecto de los datos de nuestros propios clientes —datos de cuenta, de uso y de facturación— somos responsables del tratamiento en el sentido del art. 4.7 del RGPD. En cambio, respecto de los datos de encuestas, respuestas y personas encuestadas que nuestros clientes cargan en la plataforma actuamos exclusivamente como encargados del tratamiento conforme al art. 28 del RGPD; el responsable es el cliente correspondiente. Tratamos estos datos únicamente para prestar el servicio acordado contractualmente y siguiendo las instrucciones del cliente.
Ponemos a disposición un contrato de encargo del tratamiento (DPA) previa solicitud en info@surv-ai.com. Nuestros clientes son responsables de estar facultados para recopilar los datos cargados y transmitírnoslos, de que las personas afectadas hayan sido informadas debidamente y de que los datos de las personas encuestadas se anonimicen en la medida de lo posible —o, al menos, se seudonimicen— antes de su carga.
El uso de la plataforma requiere una cuenta de usuario. A tal efecto tratamos la dirección de correo electrónico, el nombre visible, los roles y permisos, una versión normalizada de la dirección de correo electrónico para evitar cuentas duplicadas, así como marcas de tiempo de registro, inicio de sesión y verificación del correo electrónico. La gestión de usuarios y la autenticación se realizan mediante Zitadel, una solución de identidad de código abierto que operamos nosotros mismos en servidores propios alojados en Hetzner en Alemania (auth.surv-ai.com). Si inicia sesión mediante «Continuar con Google», recibimos de Google Ireland Limited, a través de Zitadel, su nombre, su dirección de correo electrónico, el estado de verificación de esta y un identificador de Google; por lo demás, no se transmiten datos a ningún proveedor de identidad externo. Su contraseña se almacena únicamente allí y exclusivamente como valor hash criptográfico. Su sesión se guarda en el lado del servidor en nuestra base de datos; además almacenamos la dirección IP y el identificador de navegador de la sesión para protegerla frente a usos indebidos, así como los tokens de acceso en forma cifrada. Para ello se establece en su navegador una cookie de sesión técnicamente necesaria (con una duración de 7 días), junto con una cookie que guarda el idioma elegido y otra que guarda el esquema de colores elegido, así como, en caso de inicio de sesión mediante Google, dos cookies técnicamente necesarias para proteger el proceso de inicio de sesión (con una duración de 10 minutos). La base jurídica es el art. 6.1.b) del RGPD y, para la protección de la sesión, el art. 6.1.f) del RGPD.
Con fines de facturación, control de costes y aseguramiento de la calidad registramos, por cuenta, qué análisis de IA se han ejecutado. Se registran el modelo utilizado, los tokens consumidos, los costes generados, el saldo de créditos correspondiente y los identificadores técnicos de la encuesta, la pregunta o la evaluación afectadas. Asimismo registramos eventos agregados para mejorar el producto, por ejemplo si las propuestas de la IA se corrigieron manualmente y con qué frecuencia. En este contexto no se almacena el contenido de las respuestas. La base jurídica es el art. 6.1.b) del RGPD para la facturación y el art. 6.1.f) del RGPD para el aseguramiento de la calidad y el desarrollo del servicio.
En la plataforma tratamos los datos de encuestas cargados por nuestros clientes: textos de las preguntas, respuestas abiertas y cerradas, un identificador de persona encuestada asignado por el cliente, metadatos de las personas encuestadas importados desde archivos (por ejemplo, atributos como edad, región o segmento) y los marcos de codificación, categorizaciones y análisis derivados de ellos. Que estos datos permitan identificar a personas depende de lo que el cliente cargue. El almacenamiento se realiza en una base de datos PostgreSQL en nuestros servidores alojados en Hetzner en Núremberg (Alemania); los archivos cargados se guardan además en un almacenamiento de objetos de Hetzner en Falkenstein (Alemania). Los datos están estrictamente separados por cuenta a nivel de base de datos. Frente a nuestros clientes, la base jurídica es el art. 6.1.b) del RGPD; frente a las personas encuestadas, el responsable es el cliente correspondiente.
La función principal de la plataforma es la categorización y el análisis automáticos de respuestas abiertas mediante grandes modelos de lenguaje. Para ello transmitimos los textos de las respuestas que deben analizarse, junto con los datos de la pregunta, del marco de codificación y de las instrucciones, a través de nuestro propio servicio de pasarela (operado en servidores propios alojados en Hetzner en Alemania) al servicio Azure OpenAI de Microsoft. Contratamos este servicio en una región de la UE; conforme al tipo de despliegue elegido, el tratamiento se realiza dentro de la zona de datos de la UE de Microsoft. No transmitimos datos de cuenta ni de facturación. Para la búsqueda en grandes volúmenes de respuestas y para el asistente de chat, los textos de las respuestas también se almacenan temporalmente en el proveedor; eliminamos esos registros en cuanto se borra la encuesta o la evaluación correspondiente. Además, los datos de los trabajos de nuestro servicio de pasarela (solicitud y respuesta) permanecen en una cola en nuestros propios servidores durante un máximo de una hora, o un máximo de 24 horas en caso de error. La base jurídica es el art. 6.1.b) del RGPD.
No utilizamos datos de encuestas, respuestas ni personas encuestadas para entrenar o mejorar modelos de IA, ni los cedemos con esa finalidad. Según las condiciones de uso de Microsoft para el servicio Azure OpenAI, los contenidos de los clientes no se utilizan ni para entrenar los modelos subyacentes ni para mejorar productos de terceros. Según indica Microsoft, las entradas y salidas pueden conservarse durante un periodo limitado de hasta 30 días para detectar usos indebidos, salvo que se haya acordado una excepción para el recurso utilizado.
Para análisis avanzados, los clientes pueden utilizar en el chat un entorno aislado de análisis: un contenedor aislado y de corta duración en el que se ejecuta código Python sobre los datos de la encuesta correspondiente. A dicho entorno se transfieren los archivos cargados por el cliente, así como extractos generados automáticamente de los datos de la encuesta, en particular los textos de las respuestas con sus categorizaciones y los metadatos asociados de las personas encuestadas. El entorno se ejecuta en nuestra propia infraestructura alojada en Hetzner en Alemania; los contenedores se eliminan junto con sus datos al finalizar la sesión. La salida del análisis (salida de texto y de errores, truncada) se devuelve al modelo de lenguaje para que pueda explicar los resultados, por lo que puede contener contenidos analizados. La base jurídica es el art. 6.1.b) del RGPD.
Para las recargas de créditos de pago utilizamos el proveedor de servicios de pago Mollie B.V., Keizersgracht 126, 1015 CW Ámsterdam, Países Bajos. A Mollie transmitimos el importe del pago, una descripción del pago y un identificador interno de usuario. Sus datos de pago, como los datos de tarjeta o de cuenta, los introduce directamente en Mollie; nosotros no los recibimos ni los almacenamos. De Mollie recibimos el identificador del pago, su estado, el importe, el país de pago determinado por Mollie y, en los pagos con tarjeta, el país de emisión de la tarjeta, que conservamos junto con el crédito abonado. La base jurídica es el art. 6.1.b) del RGPD y, para la conservación de los justificantes de pago y contables, el art. 6.1.c) del RGPD en relación con las obligaciones legales mercantiles y fiscales de conservación. En el caso de los consumidores, conservamos además la solicitud, formulada durante el proceso de pedido, de que comencemos la prestación antes de que expire el plazo de desistimiento, junto con el reconocimiento, así como las eventuales declaraciones de desistimiento, en cada caso con fecha y hora. La base jurídica es el art. 6.1.b) del RGPD y, para su conservación como prueba, el art. 6.1.f) del RGPD; nuestro interés legítimo consiste en poder acreditar la existencia, la extinción y las consecuencias del derecho de desistimiento.
Para las recargas recabamos datos de facturación: nombre, país, si compra como consumidor o como empresa, en el caso de empresas además la razón social y la dirección (obligatorias) y, en su caso, el número de identificación a efectos del IVA, y en el caso de consumidores una dirección opcional. Utilizamos estos datos para determinar el tratamiento a efectos del IVA y para emitir facturas o recibos. Verificamos el número de identificación a efectos del IVA facilitado ante la Oficina Central Federal de Impuestos de Alemania (Bundeszentralamt für Steuern, BZSt); para ello transmitimos al BZSt el número, la razón social y la localidad, y conservamos el resultado recibido. La base jurídica es el art. 6.1.b) del RGPD y, en la medida en que la normativa tributaria nos obligue a recabar, verificar y conservar estos datos, el art. 6.1.c) del RGPD.
En los servicios prestados por vía electrónica debemos conservar pruebas del lugar en el que están establecidos nuestros clientes (artículo 24 ter del Reglamento de Ejecución (UE) n.º 282/2011). Para ello conservamos, por cada pago, su dirección IP, el país deducido de ella, el país de facturación que usted declaró y el país de pago o de la tarjeta comunicado por Mollie. Deducimos el país a partir de la dirección IP en nuestros propios servidores mediante una base de datos de IP2Location almacenada localmente; la dirección IP no se transmite a IP2Location. La base jurídica es el art. 6.1.c) del RGPD. Conservamos estos datos durante diez años, plazo exigido para los registros de la ventanilla única (OSS).
This site or product includes IP2Location LITE data available from https://lite.ip2location.com.
Enviamos correos electrónicos a través del servicio Brevo para confirmar el registro, para invitaciones a cuentas, para restablecer contraseñas, para tramitar comentarios, para confirmaciones de contrato con las recargas, para acuses de recibo de desistimientos, para el envío de recibos tras el cierre de una cuenta y para notificaciones operativas. Se transmiten la dirección del destinatario, en su caso el nombre visible y el contenido del mensaje correspondiente. La base jurídica es el art. 6.1.b) del RGPD, para las confirmaciones de contrato además el art. 6.1.c) del RGPD en relación con el § 312f BGB, para los acuses de recibo de desistimientos en relación con el § 356a BGB y, para las notificaciones operativas, el art. 6.1.f) del RGPD. No enviamos boletines publicitarios a través de la plataforma.
En la página de registro utilizamos Cloudflare Turnstile para impedir registros masivos automatizados. Para ello se carga un script de Cloudflare (challenges.cloudflare.com); Cloudflare trata a tal efecto su dirección IP y características técnicas de su navegador y dispositivo. Al verificar posteriormente el resultado en el servidor, transmitimos además su dirección IP a Cloudflare. Según Cloudflare, Turnstile no utiliza cookies con fines de seguimiento y no se emplea para la elaboración de perfiles ni con fines publicitarios. La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo consiste en proteger el registro frente a ataques automatizados, la creación masiva de cuentas y la obtención abusiva de créditos iniciales. Turnstile se utiliza únicamente en la página de registro. Sobre las transferencias a Cloudflare, Inc. en Estados Unidos, véase el apartado «Transferencias internacionales de datos».
Para impedir registros masivos y múltiples, registramos por separado cada intento de registro con la dirección IP, una versión normalizada de la dirección de correo electrónico, el resultado del intento y la fecha y hora. Sobre esta base limitamos el número de registros por dirección IP y por dirección de correo electrónico y detectamos incrementos anómalos. Estos registros se eliminan automáticamente transcurridos 30 días. La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo consiste en prevenir abusos y garantizar el funcionamiento correcto del servicio. Ello no implica una decisión automatizada con efectos jurídicos en el sentido del art. 22 del RGPD; los registros rechazados pueden aclararse en cualquier momento en info@surv-ai.com.
El funcionamiento de la plataforma genera datos técnicos de registro, como la dirección IP, la marca de tiempo, el punto de acceso invocado, el código de estado, los tiempos de ejecución y los mensajes de error. Sirven para localizar errores, garantizar la disponibilidad y detectar ataques. Los registros se sobrescriben de forma rotativa y, por regla general, no se conservan más de 30 días. La base jurídica es el art. 6.1.f) del RGPD. En la plataforma no empleamos servicios de analítica, seguimiento ni publicidad; el único script de terceros integrado es la protección frente a bots descrita anteriormente, en la página de registro.
Para acceder a nuestra API REST, los clientes pueden generar claves de API. Guardamos estas claves únicamente como valor hash criptográfico, junto con un nombre, un prefijo visible, la fecha de creación y la fecha del último uso. Las exportaciones, por ejemplo a Excel o en formato CSV, se generan a petición y se entregan directamente a la persona que las solicita; contienen los datos de encuesta y de análisis de la cuenta correspondiente. Los clientes pueden configurar webhooks de forma opcional. En ese caso transmitimos información de estado y de resultado de un trabajo —esencialmente identificadores, recuentos y la estructura de categorías generada— a la dirección indicada por el cliente, y registramos la entrega. El cliente es responsable de la licitud de dicha transmisión y del sistema de destino.
Utilizamos los siguientes proveedores de servicios. Con todos los proveedores que tratan datos personales por cuenta nuestra existen contratos de encargo del tratamiento conforme al art. 28 del RGPD.
| Proveedor | Finalidad | Lugar del tratamiento | Política de privacidad |
|---|---|---|---|
| Hetzner Online GmbH | Alojamiento de la aplicación, la base de datos, el almacenamiento de objetos y las copias de seguridad (sitio web y plataforma) | Alemania (Núremberg, Falkenstein) | Ver |
| Microsoft (Azure OpenAI Service) | Análisis de respuestas abiertas asistido por IA, asistente de chat, transcripción | Región de la UE (zona de datos de la UE de Microsoft) | Ver |
| Brevo (Sendinblue GmbH) | Envío de correos transaccionales (sitio web y plataforma) | UE (Francia, Alemania) | Ver |
| Mollie B.V. | Procesamiento de pagos para recargas de créditos | Países Bajos (UE) | Ver |
| Cloudflare, Inc. (Turnstile) | Protección frente a bots en la página de registro (Turnstile) | UE y EE. UU. | Ver |
| Google Ireland Limited (Calendar API) | Entrada de calendario para reservas de demostración (sitio web); inicio de sesión mediante «Continuar con Google» (plataforma, opcional) | UE (Irlanda) y EE. UU. | Ver |
Nuestra gestión de identidades (Zitadel), nuestra base de datos, nuestro servicio de pasarela de IA y el entorno aislado de análisis los operamos nosotros mismos en servidores arrendados a Hetzner Online GmbH en Alemania. No se trata de proveedores externos adicionales. Antes de recurrir a un nuevo subencargado informamos con la debida antelación a los clientes afectados conforme al contrato de encargo del tratamiento aplicable.
El tratamiento se realiza, por regla general, dentro de la Unión Europea. En dos servicios no cabe descartar una transferencia a Estados Unidos: Cloudflare (protección frente a bots en la página de registro de la plataforma) y Google (entradas de calendario para las reservas de demostración en el sitio web y, si lo utiliza, inicio de sesión mediante «Continuar con Google» en la plataforma). Ambos proveedores están certificados en el marco del EU-US Data Privacy Framework; en esa medida, la transferencia se basa en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 conforme al art. 45 del RGPD. De forma complementaria, y para destinatarios ajenos a dicho marco, hemos acordado con los proveedores las cláusulas contractuales tipo de la Comisión Europea previstas en el art. 46.2.c) del RGPD. Pese a estas garantías, no puede descartarse por completo el acceso de autoridades estadounidenses a los datos transmitidos ni garantizarse en todos los casos una protección jurídica equivalente a los estándares europeos.
Conservamos los datos personales únicamente durante el tiempo necesario para las finalidades indicadas o mientras existan obligaciones legales de conservación:
Adoptamos medidas técnicas y organizativas para proteger sus datos. Entre ellas se incluyen el cifrado del transporte (TLS/HTTPS) en todas las conexiones, una separación estricta entre clientes a nivel de base de datos mediante seguridad a nivel de fila, de modo que los accesos de la aplicación solo puedan alcanzar los datos de la cuenta que ha iniciado sesión, un usuario de base de datos independiente y con permisos restringidos para la aplicación, control de acceso basado en roles dentro de la aplicación, gestión de sesiones en el lado del servidor con almacenamiento cifrado de los tokens de acceso, ejecución del código de análisis exclusivamente en contenedores aislados y de corta duración sin acceso libre a la red, así como copias de seguridad periódicas en almacenamiento situado en la UE. El acceso a los sistemas productivos está limitado a un número reducido de personas y se realiza exclusivamente mediante conexiones cifradas basadas en claves.
Conforme al RGPD, le asisten los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20), así como el derecho a oponerse a un tratamiento basado en un interés legítimo (art. 21). Puede revocar en cualquier momento, con efectos para el futuro, el consentimiento que haya otorgado. Para ejercer estos derechos, contáctenos en:
Aviso para personas encuestadas: si ha participado en una encuesta que se analiza mediante SurvAI, a ese respecto actuamos únicamente como encargados del tratamiento. Le rogamos que dirija su solicitud a la empresa o al instituto que realizó la encuesta, que es el responsable del tratamiento frente a usted. Si aun así su solicitud nos llega, la remitiremos sin demora al responsable, siempre que nos sea conocido.
Con independencia de lo anterior, tiene derecho a presentar una reclamación sobre el tratamiento de sus datos personales ante una autoridad de control de protección de datos. La autoridad competente respecto de nosotros es:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1 65189 Wiesbaden, Alemania https://datenschutz.hessen.de
Nos reservamos el derecho de adaptar esta política de privacidad para ajustarla a cambios en el marco jurídico o en nuestros servicios. La versión vigente está siempre disponible en esta página.
Esta política de privacidad se redactó en alemán. Las traducciones se facilitan únicamente a título informativo; en caso de discrepancia, prevalece la versión alemana.
Adicionalmente se aplican nuestras condiciones generales de uso.