EN · NL · UK · PL · DE · FR · ES · TR · AR · RO · IT

Política de privacidad

Vigente desde: 23 de abril de 2026 · Versión 1.4 · Última actualización: 25 de octubre de 2026 (se añaden las secciones 14 y 15 y después se actualizan las secciones 5, 6, 14 y 15) · AstraNL.com

En pocas palabras: recogemos los datos mínimos necesarios para que AstraNL funcione. No vendemos sus datos. Puede borrarlo todo en cualquier momento. Esta página explica exactamente qué ocurre con su información.

1. Quiénes somos

AstraNL (registrado como AstraNL ZZP, KvK 88449335, BTW NL004604224B69). Infraestructura de coordinación que opera desde los Países Bajos. Contacto: hello@astranl.com.

Esta política se aplica a astranl.com y a todos sus subdominios.

2. Qué datos personales recogemos

Categoría	Datos	Cuándo
Cuenta	Correo electrónico, nombre visible, URL del avatar, idioma preferido	Al iniciar sesión
Identidad OAuth	ID del proveedor (Google/GitHub/Telegram), estado de verificación del correo	Al usar OAuth
Contenido	Mensajes del foro, preguntas, respuestas y mensajes de chat que envía	Cuando publica
Técnicos	IP con hash (SHA-256), resumen del user-agent, preferencia de idioma	En cada solicitud
Cookies	`astra_lang` (idioma), `astra_session` (sesión iniciada)	En la primera visita / al iniciar sesión

Nunca se guardan direcciones IP sin procesar. Se les aplica un hash SHA-256 antes de cualquier escritura en la base de datos. Los registros de Nginx anonimizan las IP a redes /24 (p. ej. 93.158.90.70 → 93.158.90.0) según el Dictamen 4/2007 del Grupo de Trabajo del Artículo 29.

3. Por qué tratamos sus datos (bases jurídicas del art. 6 RGPD)

Contrato (art. 6(1)(b)) — para prestar el servicio de coordinación que ha solicitado (cuenta, publicaciones, emparejamiento).
Interés legítimo (art. 6(1)(f)) — prevención del fraude (IP con hash), observación del servicio (brain events).
Obligación legal (art. 6(1)(c)) — contabilidad ZZP neerlandesa (7 años para registros financieros), cumplimiento fiscal.
Consentimiento (art. 6(1)(a)) — actualmente no se usa, porque no empleamos cookies de analítica ni de marketing.

4. Cuánto tiempo conservamos los datos

Registros del servidor (IP anonimizada): 30 días, después se borran automáticamente.
Datos de la cuenta: hasta que elimine su cuenta.
Contenido del foro: hasta que lo elimine (o solicite la supresión).
Mensajes de chat: 30 días en almacenamiento activo, después un archivo comprimido accesible solo para usted.
Registros financieros (facturas, justificantes de pago): 7 años según la ley neerlandesa (BW 2:10).
Brain events (observación): el campo de actor solo contiene ID con hash, se eliminan a los 90 días.

5. Dónde se encuentran sus datos

Todos los datos personales se almacenan en servidores en Ámsterdam, Países Bajos (centro de datos DigitalOcean AMS3). Las copias de seguridad están cifradas en reposo. Algunos encargados de la sección 6 están fuera de la UE; cuando tratan sus datos, estos se transfieren fuera de la UE. Estas transferencias y la garantía de cada una se indican a continuación.

Groq (Estados Unidos): voz a texto para la entrada por voz y los presupuestos por vídeo (sección 15). Garantía: en proceso de implantación (cláusulas contractuales tipo de la UE en un acuerdo de tratamiento de datos).
Anthropic (Estados Unidos): modelo de IA para preguntas, documentos y pasos de presupuesto. Garantía: en proceso de implantación (cláusulas contractuales tipo de la UE en un acuerdo de tratamiento de datos).
OpenAI (Estados Unidos): revisión de presupuestos. Garantía: en proceso de implantación (cláusulas contractuales tipo de la UE en un acuerdo de tratamiento de datos).
xAI (Estados Unidos): segunda revisión de presupuestos. Garantía: en proceso de implantación (cláusulas contractuales tipo de la UE en un acuerdo de tratamiento de datos).
Google (Estados Unidos): inicio de sesión con Google y el modelo de búsqueda Gemini. Garantía: certificado en el EU-U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.).
Stripe (Estados Unidos): pagos, cuando usted paga. Garantía: certificado en el EU-U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.).
GitHub (Estados Unidos): inicio de sesión con GitHub, si lo utiliza. Garantía: certificado en el EU-U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.).
DigitalOcean (Estados Unidos): alojamiento; sus datos siguen almacenados en Ámsterdam. Garantía: certificado en el EU-U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.).

Hasta que las garantías en proceso de implantación estén listas, estos proveedores reciben solo los datos mínimos que necesitan. AstraNL no envía el texto que usted da a Astra a ningún proveedor de IA en China.

6. Terceros que utilizamos

Encargado	Finalidad	Datos compartidos
DigitalOcean	Alojamiento de servidores (Ámsterdam)	Todos los datos, cifrados en reposo
Stripe	Procesamiento de pagos	Correo electrónico, datos de pago (cuando paga)
Brevo (antes Sendinblue)	Correo transaccional (enlaces mágicos)	Solo la dirección de correo
Google	Inicio de sesión OAuth (si lo usa)	Nombre, correo, avatar (conjunto mínimo)
GitHub	Inicio de sesión OAuth (si lo usa)	Nombre, correo, avatar (conjunto mínimo)
Telegram	Solo notificaciones de administración	Ninguno de sus datos
Groq	Voz a texto (sección 15)	Audio de la entrada por voz y de los presupuestos por vídeo
Mistral AI	Modelo de lenguaje de IA (Francia)	Texto que usted escribe o dice al asistente, calculadoras y pasos de presupuesto
Anthropic	Modelo de IA	Preguntas al Vraagbaak, documentos que usted sube para su lectura (por ejemplo, facturas), pasos de presupuesto
OpenAI	Revisión de presupuestos	Expedientes de presupuesto
xAI	Segunda revisión de presupuestos	Expedientes de presupuesto
Google (Gemini)	Búsqueda en el sitio	Las palabras que usted escribe en la búsqueda

Se están formalizando acuerdos de tratamiento de datos (DPA) con los encargados indicados aquí. Los encargados son: DigitalOcean (alojamiento), Stripe (pagos), Brevo (correo electrónico), Google (inicio de sesión y el modelo de búsqueda Gemini), GitHub (inicio de sesión), Groq (voz a texto), Mistral AI (modelo de lenguaje de IA) y Anthropic, OpenAI y xAI (modelos de IA para preguntas, documentos y revisión de presupuestos). Hasta que esos acuerdos estén vigentes, enviamos a cada encargado solo los datos mínimos que necesita para su tarea.

7. Sus derechos (RGPD, capítulo III)

En cualquier momento puede:

Acceso — solicitar una copia de todos sus datos (art. 15)
Rectificación — corregir información incorrecta (art. 16)
Supresión — eliminar su cuenta y su contenido (art. 17, «derecho al olvido»)
Limitación — suspender el tratamiento mientras se resuelve una disputa (art. 18)
Portabilidad — recibir sus datos en formato JSON (art. 20)
Oposición — rechazar el tratamiento basado en el interés legítimo (art. 21)
Reclamación — ante la Autoriteit Persoonsgegevens (autoridad neerlandesa de protección de datos)

Cómo ejercer estos derechos: escriba a hello@astranl.com con su solicitud. Respondemos en un plazo de 30 días (art. 12(3) RGPD). O use los puntos de acceso de autoservicio:

GET /api/user/export — exportación inmediata de datos (requiere iniciar sesión)
POST /api/user/delete — eliminar la cuenta y anonimizar el contenido

8. Cookies

Solo usamos cookies estrictamente necesarias, que no requieren consentimiento según la Directiva ePrivacy:

astra_lang (1 año) — recuerda el idioma de la interfaz
astra_session (30 días, solo usuarios con sesión iniciada) — mantiene la sesión abierta

NO usamos: Google Analytics, Facebook Pixel, rastreadores publicitarios, grabación de sesiones, mapas de calor ni ninguna analítica de terceros. Si eso cambia, añadiremos antes un banner de consentimiento adecuado.

9. Menores

AstraNL no está dirigido a menores de 16 años. No recogemos datos de menores a sabiendas. Si cree que hemos recogido sin querer datos de un menor, contáctenos de inmediato y los eliminaremos.

10. Seguridad

TLS 1.3 en todas las conexiones (certificados Let's Encrypt, renovados automáticamente)
Hash equivalente a Bcrypt/Argon2 para los tokens de sesión
Hash SHA-256 de las IP antes de almacenarlas
Base de datos cifrada en reposo (cifrado de volúmenes de DigitalOcean)
Secretos guardados en archivos con modo 600, propiedad de root
Actualizaciones de seguridad automáticas (unattended-upgrades) en Ubuntu
Todas las claves de API se renuevan cada 90 días

11. Notificación de brechas

En el improbable caso de una brecha de datos personales que suponga un riesgo para sus derechos, la notificaremos a la Autoriteit Persoonsgegevens en un plazo de 72 horas y avisaremos directamente a los usuarios afectados, conforme a los artículos 33 y 34 del RGPD.

12. Cambios en esta política

Le avisaremos de los cambios importantes por correo electrónico (si tiene cuenta) o mediante un aviso en el sitio al menos 30 días antes de que entren en vigor. El historial completo de versiones se mantiene en nuestro repositorio público.

13. Contacto con el delegado de protección de datos

Para cualquier cuestión de privacidad:
Correo: hello@astranl.com
Correo postal: AstraNL ZZP, Países Bajos — dirección a petición
Autoridad de control: Autoriteit Persoonsgegevens

14. Presupuestos de entrega medidos para proyectos

En pocas palabras: en un proyecto real, una vez que el administrador del proyecto ha introducido la dirección de la obra y el destinatario de la entrega, AstraNL puede preguntar a un proveedor de materiales de construcción cuánto costará la entrega y cuándo puede llegar. Para obtener esa respuesta enviamos al proveedor la calle, la ciudad y el apellido del destinatario. Abrimos un proceso de compra en línea solo para leer las opciones de entrega. Nunca lo completamos: no se pide ni se paga nada.

Tema	Detalles
Qué datos	Calle y número, ciudad, código postal y país (NL) de la obra, y el apellido del destinatario, tal como los introdujo para la entrega el administrador del proyecto; además, los artículos y cantidades previstos. Nunca se envían: nombre de pila, línea adicional de dirección, correo electrónico, teléfono ni datos de pago.
Cuándo	Solo en un proyecto real, no en una estimación rápida ni en una prueba. Solo si el propietario o un administrador designado del proyecto (nunca un agente de IA) introdujo la dirección de la obra y el destinatario en una lista de compras, con el mismo código postal que la obra, en los Países Bajos. En todos los demás casos solo se envían el código postal y el país.
Cómo	AstraNL crea un proceso de compra en la tienda en línea del proveedor solo para leer las opciones, costes y fechas de entrega. El proceso nunca se completa, modifica ni paga. Como máximo 3 procesos de este tipo por proveedor y día, y uno por envío previsto.
Finalidad	Preparación del pedido: un precio y una fecha de entrega correctos para el pedido que prepara el proyecto. Son los mismos datos que llevará el propio pedido.
Base jurídica	Art. 6(1)(b) RGPD: medidas para preparar el pedido (contrato) del proyecto.
Destinatarios	Categoría: proveedores de materiales de construcción cuya tienda en línea lo permite. Destinatarios posibles hoy: Bouwmaat, Hubo, Houtdirect e Isolatie Online. Sus tiendas en línea funcionan con Shopify. El proveedor trata los datos según su propia política de privacidad. Por nuestra parte: DigitalOcean (alojamiento, Ámsterdam).
Conservación	AstraNL no guarda la calle, la ciudad ni el apellido para la medición: se leen de la lista de compras del proyecto en el momento del envío y se envían una sola vez. Solo guardamos una indicación de qué caso se aplicó (dirección completa de la obra o solo código postal). El registro de medición (referencia del proyecto, código postal de la obra, artículos, resultado, opciones de entrega leídas y una referencia abreviada del pedido) se borra automáticamente 30 días después de crearse. La dirección permanece en la lista de compras del proyecto, donde se introdujo para el pedido. El pedido no completado permanece en el sistema del proveedor según su política de privacidad.
Sus derechos	Se aplican los derechos de la sección 7. Para los datos que tiene el proveedor también puede dirigirse al proveedor. Si no se introducen dirección de obra ni destinatario, solo se envía el código postal.

15. Entrada por voz y la asistente Astra

En pocas palabras: Astra, el botón de asistente de nuestras páginas, es una asistente de IA: sus respuestas las produce automáticamente un software, en parte mediante modelos de IA de otras empresas. Siempre puede escribir en lugar de hablar, y siempre puede contactar con una persona (véase 15.3).

15.1 Cómo la voz se convierte en texto

Primero el reconocimiento de voz de su navegador. Cuando mantiene pulsado el botón del micrófono, Astra usa primero el reconocimiento de voz integrado en su navegador. AstraNL no recibe ese audio, solo el texto resultante. En Google Chrome este reconocimiento normalmente envía su audio a Google; otros navegadores pueden enviarlo a su propio proveedor. El proveedor del navegador lo hace según sus propias condiciones de privacidad.
Si no, transcripción por AstraNL. Si su navegador no tiene reconocimiento de voz o falla, el navegador graba el audio y lo envía a nuestro servidor. Lo enviamos a Groq (modelo Whisper) para convertirlo en texto. Si Groq no está disponible, la transcripción se hace en nuestro propio servidor en Ámsterdam.
Vídeos para una estimación. Si envía un vídeo para una estimación, su sonido también lo transcribe Groq.
Las notas de voz de proyecto del panel del proyecto se transcriben solo en nuestro propio servidor y nunca se envían a un servicio externo.

15.2 Qué tratamos, por qué y durante cuánto tiempo

Datos	Qué ocurre y durante cuánto tiempo
Audio para Astra	No se guarda. Solo está en memoria mientras se transcribe; el archivo temporal de la alternativa local se borra justo después. El registro de transcripción solo contiene la hora, la duración, el idioma detectado y el número de caracteres, no sus palabras.
Texto de su pregunta (escrita o hablada)	Lo trata el asistente en nuestro servidor. Para entenderlo, puede enviarse a un modelo de IA de Mistral AI (Francia). Si Mistral no está disponible, Astra le dice que ahora no puede responder y le ofrece la vía de contacto con una persona (15.3); su texto no se envía entonces a ningún otro proveedor de IA. Algunas preguntas las responde nuestro propio servidor sin un modelo externo.
Conversación sobre un trabajo que quiere encargar	Se guarda en la base de datos del asistente hasta 7 días y después se borra automáticamente. Cuando ha dado todos los datos, la petición se guarda como solicitud de trabajo con los datos de contacto que indicó, para poder tramitarla. Una solicitud de trabajo se borra automáticamente a los 30 días, salvo que un proyecto o un pedido surgido de ella aún la necesite.
Copia de aprendizaje	Ninguna. Desde el 25 de octubre de 2026, AstraNL no guarda copias de sus preguntas ni de las respuestas para entrenar o mejorar sus propios sistemas. Las copias anteriores a esa fecha se borraron el 25 de octubre de 2026; la única copia de seguridad protegida hecha por seguridad durante ese borrado también se borrará.
Vídeo para una estimación	Se guarda con su solicitud de presupuesto en una carpeta privada de nuestro servidor. El vídeo, su sonido y las imágenes fijas extraídas se borran automáticamente a los 30 días. La transcripción se borra automáticamente a los 90 días, salvo que su caso de presupuesto siga activo (por ejemplo, aún en curso o vinculado a un proyecto).
Nota de voz de proyecto	La grabación y su transcripción se guardan en nuestro servidor como prueba del proyecto.
Cookie `as2_ik`	Identificador aleatorio, 2 horas, enviado solo a la asistente, para que una conversación abierta se mantenga unida.

Finalidad: entender y responder su pregunta y atender su solicitud; la transcripción convierte su petición hablada en texto.
Base jurídica: art. 6(1)(b) RGPD: transcribir y atender su solicitud son medidas que usted pide, antes o en el marco de un contrato. El reconocimiento de voz de su navegador lo realiza el proveedor del navegador según sus propias condiciones.
Destinatarios: proveedor de voz a texto: Groq, Inc. (Estados Unidos); proveedor del modelo de lenguaje de IA: Mistral AI (Francia); alojamiento: DigitalOcean (Ámsterdam). No a través de AstraNL sino de su navegador: el fabricante del navegador, por ejemplo Google en Chrome. Groq es una empresa de fuera de la UE, por lo que el audio que se le envía puede tratarse fuera de la UE. AstraNL no envía sus preguntas a proveedores de IA en China.

15.3 IA y una vía humana

Astra es una asistente de IA. Sus respuestas se generan automáticamente y pueden ser erróneas; compruebe precios y datos antes de confiar en ellos.
Astra no toma decisiones sobre usted. Responde, muestra enlaces y puede registrar una solicitud de trabajo. No aprueba, no pide y no paga nada.
Una vía humana: escriba a hello@astranl.com. Las preguntas enviadas allí se trasladan a una persona.
Si el modelo de IA no puede responder, Astra se lo dice con cortesía en su idioma y le remite a hello@astranl.com.

15.4 Cómo evitar la voz

Escriba su pregunta en el campo de texto de la ventana de Astra en lugar de pulsar el micrófono. El texto escrito se trata como se describe en 15.2; no se trata ningún audio.
Para una estimación, describa el trabajo por escrito en lugar de enviar un vídeo.
Puede bloquear el acceso al micrófono para astranl.com en la configuración de su navegador; todo sigue funcionando escribiendo.
Astra lee una respuesta en voz alta con la voz integrada de su navegador solo después de una pregunta hablada. Según el navegador, esa voz puede usar un servicio en línea del proveedor del navegador.

15.5 Sus derechos

Se aplican los derechos de la sección 7: acceso, rectificación, supresión, limitación, oposición, portabilidad y reclamación ante la Autoriteit Persoonsgegevens. Como AstraNL no guarda el audio de Astra, no existe ninguna grabación que podamos entregarle. Para el audio que trata el reconocimiento de voz de su navegador, diríjase al proveedor del navegador (por ejemplo Google).