Política de Privacidad
Cómo tratamos tus datos en heify.com, la plataforma SaaS y la extensión de Chrome.
1. Identificación del Responsable del Tratamiento
La presente Política de Privacidad regula el tratamiento de los datos personales recopilados por Heify a través de su sitio web, plataforma SaaS y extensión de Chrome.
Razón social: ARREBOLA DE DIEGO, SOCIEDAD LIMITADA
CIF: B26840629
Dirección: Paseo Martiricos 15, 29009 Málaga, España
Email de contacto: hola@heify.com
2. Qué datos recogemos
2.1. De usuarios de la plataforma SaaS (sandbox.heify.com)
- Email (autenticación passwordless por OTP vía AWS Cognito).
- Tokens de sesión (idToken, refreshToken de Cognito).
- API keys generadas para el usuario.
- Configuraciones de IA, participantes y evaluadores creados por el usuario.
- Archivos de audio subidos.
- Transcripciones, resúmenes, campos extraídos y evaluaciones generadas por IA.
- Direcciones email de destinatarios de reportes.
2.2. De usuarios de la extensión Chrome ("Heify — AI meeting reports")
- Audio grabado de la pestaña activa del navegador (vía
chrome.tabCapture). - Audio del micrófono del usuario (vía
getUserMedia). - Capturas de pantalla iniciadas por el usuario (vía
chrome.tabs.captureVisibleTab). - Nombre de la reunión (extraído del título de pestaña, editable por el usuario).
- API key y tokens de Cognito (leídos del localStorage de sandbox.heify.com por un content script para emparejar la extensión con la cuenta).
- Preferencias locales (idioma, tema, última selección de configuración).
2.3. De visitantes de heify.com y sandbox.heify.com
- Vercel Web Analytics: estadísticas anónimas de páginas vistas, países, referrers y dispositivos. Sin cookies y sin identificación personal.
- Microsoft Clarity: grabaciones de sesión anónimas y heatmaps en sandbox.heify.com. Anonimizado, sin PII.
3. Almacenamiento local en la extensión Chrome
La extensión utiliza los siguientes almacenamientos del navegador del usuario:
chrome.storage.local: API key, tokens, preferencias y lista de reportes pendientes (TTL 7 días).chrome.storage.session: estado efímero de grabación.- IndexedDB (
heify-recordings): chunks de audio durante la grabación activa para recuperación ante crashes. Se borran automáticamente tras subida exitosa o como máximo en 24h si quedan huérfanos.
Estos datos nunca salen del dispositivo del usuario salvo cuando el propio usuario decide subirlos al backend de Heify.
4. Finalidades y bases legales
| Dato | Finalidad | Base legal |
|---|---|---|
| Audio + metadatos | Transcripción IA, generación de reporte | Ejecución del contrato |
| Email del usuario | Autenticación, envío de reportes | Ejecución del contrato |
| Emails de destinatarios | Envío del reporte al destinatario | Interés legítimo |
| Analytics web anónimos | Mejorar la experiencia de usuario | Interés legítimo |
| Datos de pago | Facturación | Obligación legal |
5. Garantías importantes
Heify garantiza que:
- NO usamos los datos del Cliente para entrenar modelos de IA.
- NO vendemos los datos a terceros.
- NO compartimos datos con terceros excepto subprocesadores autorizados.
- NO usamos los datos para publicidad ni marketing.
- Cumplimos con las políticas Chrome Web Store User Data Privacy y Limited Use de Google.
6. Subprocesadores
Para prestar el Servicio nos apoyamos en proveedores tecnológicos terceros (subprocesadores) que tratan datos por cuenta de Heify bajo nuestras instrucciones y siempre amparados por contratos de tratamiento de datos.
Estos subprocesadores cubren las siguientes funciones:
- Infraestructura cloud: hosting, almacenamiento de archivos, autenticación, base de datos y procesamiento, principalmente en centros de datos ubicados en la Unión Europea (París).
- Transcripción automática de audio: servicio de speech-to-text basado en inteligencia artificial.
- Generación de resúmenes y evaluaciones: modelos de lenguaje (LLM) para análisis de transcripciones.
- Envío de correos transaccionales: entrega de los reportes generados.
- Analítica web anónima: medición agregada de uso del sitio web y producto, sin identificación personal del visitante.
Garantías comunes a todos los subprocesadores:
- Sujetos a acuerdos de tratamiento de datos (DPA) y cláusulas de confidencialidad.
- Cumplen con estándares de seguridad reconocidos internacionalmente.
- Los archivos de audio del Cliente no se almacenan en sistemas de proveedores de IA: se procesan en tránsito y se descartan.
- En caso de transferencia fuera del Espacio Económico Europeo, se aplican Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea y, cuando proceda, salvaguardas adicionales.
El listado actualizado de subprocesadores específicos está disponible bajo solicitud escribiendo a hola@heify.com.
7. Permisos solicitados por la extensión Chrome
La extensión solicita los siguientes permisos, cada uno justificado por una funcionalidad concreta del producto:
tabCapture— capturar audio de la pestaña activa cuando el usuario inicia la grabación. Sin este permiso la función principal del producto no es posible.offscreen— mantener MediaRecorder activo en background (requisito MV3). Sin él la grabación se interrumpiría cada 30 s.activeTab— acceso a la pestaña activa solo cuando el usuario invoca la extensión.storage— persistir API key, preferencias y cola de reportes pendientes localmente.tabs— detectar el título de la pestaña (para el nombre por defecto de la reunión) y reaccionar al cierre de la pestaña que se está grabando.alarms— mantener el service worker vivo durante grabaciones largas (keep-alive).notifications— avisar si un reporte queda pendiente de registrarse tras varios días.downloads— permitir al usuario descargar el .webm como respaldo si falla la subida.scripting— inyectar el indicador flotante de grabación (timer, pause/screenshot/stop) en la pestaña que se está grabando.host_permissionssobreapi.heify.com,*.s3.amazonaws.com,*.s3.eu-west-3.amazonaws.com,sandbox.heify.comycognito-idp.eu-west-3.amazonaws.com— comunicación con el backend de Heify y AWS.
8. Retención
- Audio del cliente y reportes: almacenamiento indefinido salvo solicitud de eliminación.
- Chunks locales en IndexedDB de la extensión: borrados tras subida exitosa, máximo 24 h si quedan huérfanos.
- Cola de reportes pendientes (chrome.storage): máximo 7 días.
- Datos de facturación: el plazo legal correspondiente (mínimo 5 años por normativa fiscal española).
9. Seguridad
- Cifrado en tránsito (TLS 1.2+).
- Cifrado en reposo (AES-256 vía AWS).
- Controles de acceso por rol.
- Auditorías y monitorización continua.
- Subprocesadores con certificaciones SOC 2 Type II, HIPAA y GDPR.
10. Derechos del usuario (RGPD / LOPDGDD)
El usuario tiene derecho a:
- Acceso, rectificación, supresión, portabilidad, oposición y limitación del tratamiento.
- Retirar el consentimiento en cualquier momento.
- Reclamar ante la Agencia Española de Protección de Datos (AEPD): https://www.aepd.es.
Para ejercer cualquier derecho, contacte con hola@heify.com.
11. Transferencias internacionales
Algunos subprocesadores pueden tratar datos en EE.UU. Estas transferencias se realizan bajo:
- Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea.
- Mecanismos adicionales según el caso (DPA específico del proveedor).
13. Menores
El servicio no está destinado a menores de 14 años (consistente con los Términos de Uso). No recogemos conscientemente datos de menores de esa edad.
14. Cambios en esta política
Cualquier cambio en esta Política de Privacidad será notificado con al menos 30 días de antelación a través de email o aviso en la plataforma.
15. Contacto
Para cualquier consulta sobre privacidad o el ejercicio de los derechos descritos:
- Email: hola@heify.com
- Dirección postal: Paseo Martiricos 15, 29009 Málaga, España
Si tienes alguna duda sobre esta Política de Privacidad, contáctanos en hola@heify.com