RGPD: roles, bases y cómo ejercer tus derechos

WitUp Ltd, Company No. 16572774, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom, es el responsable del tratamiento de los datos de cuenta, plan y facturación.

Respecto del contenido que proteges (las contrapartes a las que invitas, los documentos que registras y lo que se dice en una reunión que proteges), tú eres el responsable del tratamiento y WitUp Ltd actúa como tu encargado del tratamiento, siguiendo tus instrucciones. Nuestros subencargados del tratamiento se indican en la Política de Privacidad, junto con la región en la que opera cada uno.

Prestación del servicio a un titular de cuenta: ejecución de un contrato (Art. 6(1)(b)).

Vincular a un firmante a un acuerdo y registrar la evidencia de ese acto, incluidos la marca temporal, la dirección IP y el agente de usuario: ejecución de un contrato celebrado a petición del propio firmante (Art. 6(1)(b)), y nuestro interés legítimo, y el tuyo, en una evidencia que realmente pueda invocarse (Art. 6(1)(f)).

Grabar una reunión protegida: el consentimiento explícito y separado de cada participante, recogido antes de capturar nada (Art. 6(1)(a)). Sin él, el testigo no registra nada.

Preparar una reunión a partir de una invitación enviada a nuestro propio buzón, que incluye la dirección del organizador, el título de la reunión y la lista de invitados: interés legítimo (Art. 6(1)(f)), mantenido proporcionado al tratar solo lo necesario para reconocer y preparar esa reunión.

Entender qué canales nos traen usuarios: interés legítimo (Art. 6(1)(f)). Correo electrónico comercial: consentimiento (Art. 6(1)(a)), solicitado solo al registrarte y retirable en cualquier momento.

Conservar registros contables y responder a solicitudes legales: obligación legal (Art. 6(1)(c)).

La base de datos, la autenticación y los documentos están alojados en Supabase en la UE (Fráncfort). Las grabaciones y capturas de pantalla se almacenan en Cloudflare R2 en un bucket creado con jurisdicción de la UE. El testigo de grabación se ejecuta en Ámsterdam. Los informes de errores se entregan a la región de la UE de nuestro proveedor de monitorización.

La transcripción no sale de ese perímetro: se ejecuta en nuestra propia infraestructura en la Unión Europea y el audio de la reunión no se envía a ningún tercero. Hay dos transferencias que sí salen de él y las nombramos con claridad. Stripe procesa los pagos. Google (Gemini) recibe la transcripción completa, nunca el audio, para redactar el resumen automático en los planes donde se ofrece esa función; DeepSeek, fuera de la Unión Europea, se usa solo como respaldo de emergencia para ese mismo borrador cuando Google no responde, y un resumen producido así lo indica. Estas transferencias están cubiertas por los mecanismos que esos proveedores ponen a disposición de sus clientes europeos; los acuerdos por escrito que las formalizan están en curso, y esta página los nombrará una vez firmados.

Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad y derecho a oponerte al tratamiento basado en interés legítimo. Cuando el tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento sin afectar a lo que fuera lícito antes.

El acceso y la portabilidad son de autoservicio: Ajustes → Privacidad crea un archivo ZIP con los datos de tu cuenta y te envía por correo un enlace de descarga, que es válido durante 7 días. Puedes solicitar una exportación cada 24 horas. La eliminación de tu cuenta también es de autoservicio, desde la misma página.

Para cualquier otra cosa, incluida una solicitud de alguien que firmó un acuerdo pero no tiene cuenta con nosotros, escribe a hub@witup.ai. Respondemos en el plazo de un mes e indicamos qué hicimos y por qué, en cualquier caso.

Un paquete de evidencia sellado no puede editarse después de que su hash se haya anclado, porque editarlo destruiría la prueba que existe para aportar. El nombre, la dirección de correo electrónico, la dirección IP y el agente de usuario de cada firmante, así como la transcripción y el registro de eventos de una reunión protegida, están dentro de ese paquete. No pueden rectificarse ni suprimirse de él. Una corrección produce un nuevo certificado en una cadena de revisión documentada; nunca reescribe el anterior.

Por tanto, los certificados ya emitidos, y los registros de firmantes que los sustentan, sobreviven a la eliminación de la cuenta que los creó. Esto es deliberado: un certificado es evidencia que pertenece a cada parte vinculada, y las contrapartes conservan su acceso a él.

Lo que siempre puede hacerse, previa solicitud y de forma irreversible, es la destrucción de la grabación almacenada de una reunión protegida. El certificado sigue siendo válido y su hash permanece como evidencia de que la grabación existió tal como se certificó. Las capturas de pantalla periódicas y la transcripción siguen formando parte del paquete sellado.

Si crees que hemos tratado mal tus datos, dínoslo primero en hub@witup.ai: preferimos corregirlo a que nos lo diga un regulador. También tienes derecho a presentar una reclamación ante la autoridad de control de protección de datos del país donde vives o trabajas, o ante la autoridad de control competente para WitUp Ltd.