Política de privacidad

Última actualización: 30 de octubre de 2026

1. Quién trata los datos

Luxora es una marca comercial de Funnel Cracks SL, sociedad andorrana, que presta el servicio Luxora: un software para captar y atender clientes con landings, formularios, CRM, email, un asistente de IA que responde a los mensajes de Instagram y de WhatsApp, un agente de voz que atiende llamadas, academia, vídeo y facturación.

Titular: Funnel Cracks SL
NRT (número de registro tributario de Andorra): L-720088-G
Domicilio social: Av. Meritxell 68-70, 7-2, AD500 Andorra la Vella (Andorra)
Contacto, también para privacidad: info@luxoradigital.com

Tratamos los datos conforme a la Llei 29/2021, qualificada de protecció de dades personals, del Principado de Andorra y, cuando resulta aplicable (por ejemplo, porque nuestros clientes o sus contactos están en la Unión Europea), al Reglamento (UE) 2016/679 (RGPD).

En esta política, «cliente» es el negocio o profesional que contrata Luxora y «contacto» es la persona que escribe o llama a ese negocio, comenta sus publicaciones o deja sus datos en sus formularios.

2. Responsable y encargado: dos papeles distintos

Somos responsables del tratamiento de los datos de nuestros clientes y de los usuarios de su equipo: la cuenta, el acceso, el uso de la plataforma y la facturación.

Somos encargados del tratamiento de los datos de los contactos de cada cliente (sus leads, alumnos, conversaciones y llamadas). El responsable de esos datos es el cliente: decide para qué y cómo se usan. Nosotros los tratamos solo para prestarle el servicio y siguiendo sus instrucciones; no los usamos para fines propios, no los vendemos y no los usamos para entrenar modelos de IA.

Si eres contacto de un negocio que usa Luxora, consulta la política de privacidad de ese negocio. Para ejercer tus derechos, dirígete a él; si nos llega tu solicitud, se la trasladaremos y le ayudaremos a responderla. Si no sabes qué negocio tiene tus datos, escríbenos a info@luxoradigital.com y te ayudaremos a identificarlo.

3. Qué datos tratamos

De nuestros clientes y sus equipos (como responsables):

Cuenta: email con el que se entra, miembros del equipo e invitaciones, y la configuración del negocio (información del negocio, asistente, landings, emails).
Facturación: plan, suscripción, recargas de créditos y movimientos. Los datos de la tarjeta los trata Stripe; Luxora no los guarda.
Alta de un número de teléfono: si el cliente compra un número para el agente de voz, los datos del titular y los documentos que exige la normativa de telecomunicaciones (por ejemplo, el certificado de la empresa, el DNI o un justificante de domicilio). Se guardan en un almacenamiento privado al que solo accede el servidor.
Datos de uso: actividad dentro de la app (por ejemplo, eventos de conversaciones, envíos y consumo de créditos).

De los contactos de cada cliente (como encargados):

Mensajes de Instagram y de WhatsApp: los mensajes que recibe y envía la cuenta que el cliente conecta, con el identificador de quien escribe en ese canal (en Instagram, su identificador y nombre de usuario; en WhatsApp, su número de teléfono).
Comentarios con palabra clave: cuando el cliente configura una palabra clave en una publicación de Instagram, guardamos el comentario que la contiene, el identificador de Instagram y el nombre de usuario de quien comenta.
Llamadas: si el cliente activa el agente de voz, de cada llamada guardamos el número de origen y de destino, la duración, la transcripción de lo que se dice y un resumen. Luxora no guarda la grabación del audio.
Contactos y emails: nombre, email y teléfono de los contactos que el cliente tiene en su CRM o que llegan por sus formularios y reservas, y los emails que el cliente les manda desde Luxora, con las bajas de quien no quiere recibir más.
Visitas a landings, formularios y calendarios: para que el negocio sepa cuánta gente visita sus páginas y de dónde llega, contamos cada visita con la página vista, la campaña del enlace (parámetros utm), el dominio de la web que la envía y si es móvil u ordenador. No guardamos la dirección IP ni el navegador, ni usamos cookies o almacenamiento en el dispositivo del visitante: para contar visitantes distintos se calcula un código con una clave que cambia cada día y que no permite reconocer a nadie de un día para otro. Si el navegador pide no ser seguido, la visita se cuenta sin ese código.

Además guardamos los tokens de acceso que Meta entrega cuando el cliente conecta Instagram o WhatsApp, solo para recibir y mandar mensajes de esa cuenta, y el que entrega Google cuando un usuario conecta Google Calendar (ver el apartado 7).

4. Para qué los usamos y con qué base legal

Prestar el servicio, gestionar la cuenta y dar soporte al cliente. Base legal: ejecución del contrato (art. 6.1.b RGPD).
Cobrar el servicio, emitir facturas y cumplir las obligaciones fiscales y contables. Base legal: ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c RGPD).
Dar de alta números de teléfono con los requisitos de identificación de los operadores. Base legal: ejecución del contrato y obligación legal.
Mantener el servicio funcionando y seguro, y prevenir el fraude y los abusos. Base legal: interés legítimo (art. 6.1.f RGPD).
Por cuenta de cada cliente: responder a los mensajes de Instagram y WhatsApp y a las llamadas con el asistente que el cliente configura; mandar un mensaje directo a quien comenta una palabra clave (ese primer mensaje es un texto fijo que escribe el cliente, no lo genera la IA); y el seguimiento comercial con sus contactos (CRM, recordatorios, emails y difusiones). La base legal la determina el cliente, como responsable de esos datos.

5. Uso de inteligencia artificial

Las respuestas del asistente, por escrito y por teléfono, se generan con un modelo de IA de un proveedor externo, Anthropic, a partir del historial de la conversación y de la información del negocio que el cliente ha configurado en Luxora. El cliente puede revisar las conversaciones y pausar el asistente cuando quiera. Lo que la IA propone en el panel (landings, emails, textos) no se publica solo: lo revisa y lo aplica el cliente.

6. Datos que vienen de Meta (Instagram y WhatsApp)

Los mensajes, comentarios e identificadores de Instagram y de WhatsApp llegan a Luxora a través de las API de Meta, solo después de que el cliente conecte su cuenta y autorice el acceso. Esos datos se usan únicamente para prestar el servicio descrito en esta política: no se venden, no se ceden a terceros para publicidad y no se usan para entrenar modelos de IA.

Cómo quitar el acceso y pedir el borrado: Eliminar datos.

7. Datos de Google (Google Calendar)

Si un usuario del equipo del cliente conecta su cuenta de Google desde la pantalla de un calendario de Luxora, Luxora accede a Google Calendar a través de las API de Google, solo después de que esa persona lo autorice en la pantalla de consentimiento de Google. Cada usuario conecta su propia cuenta. Pedimos solo estos permisos y accedemos solo a estos datos:

Ocupado o libre (permiso calendar.events.freebusy): las horas en las que está ocupado en los calendarios de Google que elige, sin el título, la descripción, el lugar ni los invitados de sus eventos.
Lista de sus calendarios (permiso calendar.calendarlist.readonly): el nombre y el identificador de sus calendarios, para que elija en pantalla cuáles se leen y en cuál se escriben las reservas. Los nombres no se guardan: se guarda solo el identificador de los que elige.
Eventos de las reservas (permiso calendar.events.owned): crear, mover y borrar los eventos de las reservas hechas en Luxora, solo en un calendario del que esa persona es dueña. Luxora no lee ni modifica ningún otro evento.
Email de la cuenta conectada (permisos openid y email): para mostrar en Luxora con qué cuenta de Google está conectado.

Para qué se usan, y nada más:

Quitar los huecos ocupados de los calendarios de reserva de Luxora (la página de reserva, el agente de voz y la vista previa), para que nadie reserve a una hora en la que ya tiene algo en Google. Quien reserva solo ve qué huecos quedan libres, nunca lo que hay en Google. Las horas ocupadas se guardan solo como caché temporal.
Crear, mover y borrar el evento de cada reserva de Luxora en el calendario que elige. El evento lleva lo que tiene la reserva en Luxora: nombre, email y teléfono del contacto, sus notas, el enlace de la reunión y un enlace a su ficha. El contacto no se añade como invitado y Google no le manda correos.

Los datos que recibimos de Google no se venden, no se usan para publicidad, no se usan para entrenar modelos de IA y no se ceden a terceros, salvo lo necesario para prestar esta función (los proveedores de alojamiento y base de datos del apartado 8) o cuando una ley nos obliga. Nadie del equipo de Luxora los lee, salvo que el usuario nos lo pida para darle soporte, por seguridad o por obligación legal.

El token que entrega Google (refresh token) se guarda cifrado, en una tabla a la que solo accede el servidor; también guardamos el email de la cuenta y los permisos concedidos.

El uso y la transferencia que hace Luxora de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de uso limitado (Limited Use).

Cómo desconectar y borrar. En Luxora, en la pantalla de cualquier calendario, «Desconectar mi Google Calendar» retira el permiso en Google y borra al momento la conexión, el token, la caché de horas ocupadas y los calendarios elegidos. También puedes retirar el acceso desde tu cuenta de Google, en myaccount.google.com/permissions: en cuanto Google deja de aceptarlo, Luxora marca la conexión como revocada y borra el token. Los eventos de reservas ya creados se quedan en tu Google Calendar, porque pueden ser citas de verdad; puedes borrarlos desde Google. Para pedir el borrado del resto de datos: Eliminar datos.

8. Proveedores

No vendemos datos personales. Para prestar el servicio usamos estos proveedores, que tratan datos por cuenta nuestra como encargados (subencargados, en el caso de los datos de los contactos de nuestros clientes):

Supabase: base de datos, almacenamiento de archivos y acceso de usuarios.
Netlify: alojamiento de la aplicación y de las landings.
Anthropic: modelo de IA que genera las respuestas y los textos.
Meta Platforms: API de Instagram y de WhatsApp.
Google: API de Google Calendar, solo si un usuario conecta su cuenta (ver el apartado 7).
Twilio: números de teléfono y conexión de las llamadas del agente de voz.
ElevenLabs: voz del agente y transcripción de las llamadas.
Brevo o el servidor de correo SMTP configurado: envío de emails.
Bunny: alojamiento y reproducción de los vídeos.
Stripe: pagos y suscripciones.

Stripe y Meta también tratan algunos datos como responsables para sus propios fines (por ejemplo, Stripe para prevenir el fraude); en esos casos se aplica su propia política de privacidad. Solo comunicamos datos a autoridades cuando una ley nos obliga.

9. Transferencias internacionales

Luxora está establecida en Andorra, país con decisión de adecuación de la Comisión Europea. Algunos de los proveedores anteriores tratan datos en Estados Unidos. En esos casos, las transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea y, si el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework). Puedes pedirnos más información sobre estas garantías en info@luxoradigital.com.

10. Cuánto tiempo los conservamos

Cuenta, configuración, conversaciones, comentarios y contactos: mientras la cuenta del cliente siga activa. Luxora no los borra automáticamente al cancelar la suscripción; se borran cuando el cliente lo pide (o el contacto, a través del cliente), como se explica en Eliminar datos, en un plazo máximo de un mes desde la petición.
Transcripciones de llamadas: se borran automáticamente a los 90 días, o en el plazo que fije el cliente para su agente (entre 1 y 365 días). El resumen de la llamada se conserva mientras exista la conversación.
Documentos para dar de alta un número: se borran automáticamente 30 días después de que el pedido se cierre (aprobado, rechazado o abandonado).
Tokens de acceso de Instagram y WhatsApp: mientras el canal esté conectado. Dejan de funcionar en cuanto se quita el acceso desde Meta.
Token y datos de Google Calendar: el token, mientras la cuenta de Google esté conectada; se borra al desconectarla o cuando Google deja de aceptarlo. Las horas ocupadas, solo como caché temporal; se borran también al desconectar.
Facturación: los datos de facturas y pagos se conservan bloqueados durante los plazos que exige la ley a efectos fiscales y contables, y después se suprimen.

11. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento y no ser objeto de decisiones basadas únicamente en un tratamiento automatizado. Escríbenos a info@luxoradigital.com indicando qué derecho quieres ejercer; te responderemos en un plazo máximo de un mes.

Si consideras que no hemos tratado bien tus datos, puedes reclamar ante la Agència Andorrana de Protecció de Dades (www.apda.ad) o, si resides en la Unión Europea, ante la autoridad de protección de datos de tu país (en España, la Agencia Española de Protección de Datos, www.aepd.es).

Cómo pedir el borrado: Eliminar datos.

12. Seguridad

Cada cliente solo ve los datos de su propio espacio de trabajo: el aislamiento se aplica en la propia base de datos. Las conexiones van cifradas, los documentos de identificación se guardan en un almacenamiento privado y el acceso interno se limita a quien lo necesita.

13. Cookies

El panel de Luxora usa solo cookies técnicas, necesarias para mantener la sesión iniciada. Las landings y formularios que Luxora sirve no ponen cookies propias para medir visitas (ver el apartado 3).

14. Menores

Luxora es un servicio para negocios y profesionales; no está dirigido a menores de edad.

15. Cambios

Si cambia esta política, publicaremos la nueva versión en esta misma página con su fecha. Si los cambios son importantes, avisaremos a los clientes a través de la plataforma o por email.