Legal
Política de privacidad
Última actualización: 29 de octubre de 2026
Esta traducción se ofrece para su comodidad. La versión en inglés es la vinculante y prevalece en caso de conflicto o diferencia de significado. Leer la versión en inglés.
Cuando esta política dice «New Map» o «nosotros», se refiere al equipo que gestiona New Map. Esta política explica qué datos personales trata New Map cuando usted visita nuestra web, reserva una llamada, utiliza la plataforma o aparece en las fuentes públicas que analizamos; por qué los tratamos; sobre qué base jurídica; quién los recibe; cuánto tiempo los conservamos; y qué derechos le asisten. Se ha redactado conforme a los artículos 13 y 14 del Reglamento General de Protección de Datos (RGPD), a la Ley Federal alemana de Protección de Datos (BDSG) y al § 25 de la Ley alemana de Protección de Datos en Telecomunicaciones y Servicios Digitales (TDDDG).
1. Responsable del tratamiento
El responsable del tratamiento (Verantwortlicher) de esta web y de los tratamientos propios de la actividad de New Map es:
New Map
Contacto: privacy@thenewmap.ai
2. Qué tratamos, para qué y sobre qué base jurídica
| Situación | Datos | Finalidad | Base jurídica |
|---|---|---|---|
| Visita a la web | Dirección IP, fecha y hora, página solicitada, página de procedencia, navegador y sistema operativo (registros del servidor en nuestro proveedor de alojamiento) | Servir la web, seguridad, prevención de abusos, diagnóstico de errores | Art. 6.1.f) RGPD, nuestro interés legítimo en una web segura y operativa |
| Inicio de sesión y formulario de contacto, cuando está activada la verificación contra bots | Dirección IP, señales del navegador y resultado de la verificación, tratados por Cloudflare Turnstile en los formularios de inicio de sesión y de contacto | Distinguir a una persona de un bot para que el formulario pueda enviarse | Art. 6.1.f) RGPD, nuestro interés legítimo en prevenir abusos |
| Reserva de una llamada | Nombre, correo electrónico, empresa, las notas que usted escriba, hora de la reunión (recogidos por Calendly en sus propias páginas) | Concertar y mantener la llamada, dar seguimiento a su solicitud | Art. 6.1.b) RGPD, medidas precontractuales a petición del interesado |
| Formulario de contacto y correo electrónico | Nombre, correo electrónico, empresa, contenido de su mensaje; la respuesta del agente comercial con IA | Responderle | Art. 6.1.b) o f) RGPD |
| Informe gratuito (ofrecido hasta el 20 de octubre de 2026; los informes ya elaborados se conservan durante el plazo indicado más abajo) | Su web, su correo profesional, la empresa, el sector y los competidores detectados a partir de la web, y las respuestas de los motores de IA sobre la marca | Elaborar y enviar el informe que ha solicitado | Art. 6.1.b) RGPD, medidas precontractuales a petición del interesado |
| Creación y uso de una cuenta | Nombre, correo profesional, empresa, cargo, contraseña almacenada como hash, datos de sesión, las acciones que lleva a cabo en la plataforma | Prestar la plataforma contratada, proteger su cuenta | Art. 6.1.b) RGPD, ejecución del contrato |
| Incorporación de la marca | Los documentos, presentaciones, enlaces, repositorios y contratos que usted sube o pega, que pueden contener nombres de su equipo, socios o clientes | Enseñar a los agentes qué es su marca, para que las recomendaciones y los borradores sean exactos | Art. 6.1.b) RGPD; usted confirma que está autorizado a compartir lo que sube |
| Conversaciones con el gestor de cuenta | Los mensajes que intercambia con el gestor de cuenta con IA y los archivos que adjunte | Responderle con continuidad entre sesiones; elaborar el plan y los entregables que solicite | Art. 6.1.b) RGPD |
| Medición de la visibilidad en IA | Las respuestas de los motores de IA a las preguntas que monitorizamos para su marca, las fuentes que citan, las marcas y personas que mencionan, y la valoración del tono de esos fragmentos | Medir y mejorar la presencia de su marca en las respuestas de IA | Art. 6.1.b) RGPD respecto de usted; art. 6.1.f) RGPD respecto de terceros mencionados en respuestas públicas (véase la sección 4) |
| Conexión de Google Analytics | La identidad de su cuenta de Google, para la autorización, y los informes agregados de tráfico de la propiedad que elija; los tokens de actualización se almacenan cifrados | Mostrarle el tráfico que los motores de IA envían a su web | Art. 6.1.b) RGPD; puede desconectarla en cualquier momento, lo que elimina el token |
| Correos del servicio | Dirección de correo electrónico, contenido de los informes | Informes semanales, avisos de entregables, avisos de seguridad | Art. 6.1.b) RGPD |
| Avisos operativos internos | Nombre de la empresa y tipo de evento (por ejemplo, una nueva cuenta o una tarea), enviados al personal de New Map por Telegram; sin contenido de mensajes ni datos de usuarios finales | Gestionar el servicio y reaccionar a tiempo ante los eventos | Art. 6.1.f) RGPD, nuestro interés legítimo en gestionar el servicio |
| Mejora del servicio | Estadísticas agregadas y desidentificadas de uso y de medición | Mejorar los procedimientos de trabajo de los agentes y publicar estudios comparativos; nunca se utilizan para identificarle ni para entrenar un modelo de terceros | Art. 6.1.f) RGPD, nuestro interés legítimo en mejorar el servicio |
| Comunicaciones comerciales a clientes actuales | Dirección de correo electrónico | Información sobre servicios nuestros similares; puede oponerse en cualquier momento desde cada correo o escribiéndonos | Art. 6.1.f) RGPD y § 7(3) UWG |
| Prospección comercial | Datos de contacto profesionales de personas de empresas que, a nuestro juicio, pueden beneficiarse del servicio, obtenidos de fuentes públicas y bases de datos empresariales | Prospección B2B de alcance proporcionado | Art. 6.1.f) RGPD, ponderado con sus intereses; atendemos las oposiciones de inmediato (sección 4) |
No tratamos deliberadamente categorías especiales de datos personales (artículo 9 del RGPD) y le pedimos que no nos las facilite. No utilizamos sus datos para decisiones automatizadas que produzcan efectos jurídicos o le afecten significativamente de modo similar (artículo 22 del RGPD).
3. Sistemas de IA y contenido generado
El gestor de cuenta de la plataforma, el agente comercial de la página de contacto y los agentes que redactan los entregables son sistemas de IA basados en grandes modelos de lenguaje. Así se le indica en la interfaz, conforme al artículo 50 del Reglamento de IA de la UE. Lo que producen es contenido generado y puede contener errores; la plataforma marca los borradores como generados por IA y contrastados con sus datos, y usted decide qué se publica. Las instrucciones y los contenidos que enviamos a los proveedores de IA se tratan conforme a sus condiciones de API para empresas. Anthropic, OpenAI, Perplexity y xAI no utilizan las entradas ni las salidas de la API para entrenar sus modelos, y Google aplica a la API de Gemini sus condiciones de datos del nivel de pago para los desarrolladores establecidos en el EEE, según las cuales las instrucciones y las respuestas no se utilizan para mejorar los productos de Google. No permitimos que ningún proveedor entrene un modelo público con sus datos. Los datos identificables de cada cliente sirven únicamente a ese cliente. Podemos obtener estadísticas agregadas y desidentificadas del uso del servicio y de los datos de medición para mejorar los procedimientos de trabajo de los agentes y publicar estudios comparativos; estas estadísticas nunca le identifican a usted, a sus usuarios ni a sus clientes, nunca se venden y nunca se utilizan para entrenar un modelo de IA de terceros.
4. Datos de personas que no se han obtenido de ellas (artículo 14 del RGPD)
Dos tipos de tratamiento afectan a personas que no son usuarios nuestros. En primer lugar, los motores de IA mencionan a personas en respuestas públicas sobre una categoría o una marca, por ejemplo fundadores o analistas, y se valora el tono de esos fragmentos; conservamos esta información como parte de la medición de un cliente, obtenida de las respuestas públicas de los motores y de páginas web, registros y repositorios públicos. En segundo lugar, para la prospección comercial conservamos datos de contacto profesional procedentes de fuentes públicas y de bases de datos de contactos empresariales. En ambos casos, la base jurídica es nuestro interés legítimo o el de nuestro cliente (artículo 6.1.f) del RGPD), los datos se limitan a lo que es público o profesional y no se utilizan para elaborar perfiles con efectos jurídicos. Si usted es una de estas personas, puede oponerse en cualquier momento escribiendo a privacy@thenewmap.ai y dejaremos de tratarlos, salvo que existan motivos legítimos imperiosos que exijan lo contrario.
5. Destinatarios y encargados del tratamiento
Utilizamos los siguientes proveedores para prestar el servicio. Cada uno está vinculado por un contrato de encargo del tratamiento conforme al artículo 28 del RGPD o, cuando así se indica, recibe los datos como responsable independiente. Esta misma lista constituye el anexo 3 de nuestro Contrato de encargo del tratamiento (DPA). Supabase aloja la base de datos de clientes y la autenticación en AWS, en Irlanda (UE), por lo que los datos de los clientes se almacenan en la UE. Las funciones de Vercel y los proveedores de IA operan fuera de la UE, así que el tratamiento no se limita a la UE. «DPF» es el Marco de Privacidad de Datos UE-EE. UU.; «sin verificar» significa que aún no hemos comprobado la certificación vigente del proveedor y nos basamos en las cláusulas contractuales tipo hasta hacerlo.
| Proveedor | Servicio | Función | Ubicación | Garantía para la transferencia |
|---|---|---|---|---|
| Vercel Inc. | Alojamiento, funciones sin servidor, registros | Encargado del tratamiento | EE. UU. | DPF (inscrita como Vercel Inc., activa para datos de la UE, Suiza y el Reino Unido, de RR. HH. y no de RR. HH.); cláusulas contractuales tipo como respaldo |
| Supabase Pte. Ltd (entidad contratante) y Supabase Inc. | Base de datos, autenticación (incluida la verificación en dos pasos), almacenamiento de archivos, copias de seguridad | Encargado del tratamiento | Sociedad de Singapur con una sociedad vinculada en EE. UU.; base de datos y autenticación alojadas en AWS en Irlanda (UE) | Datos almacenados en la UE; sin certificación DPF (no figura en la lista); cláusulas contractuales tipo de la UE (Decisión 2021/914) con los anexos para el Reino Unido y Suiza en el DPA de Supabase para cualquier acceso desde fuera de la UE |
| Anthropic, PBC (entidad contratante en el EEE: Anthropic Ireland, Limited) | Modelos de lenguaje para el gestor de cuenta, los agentes, el verificador, el análisis de PDF y la extracción de datos contables | Encargado del tratamiento | EE. UU. (contrato con la entidad irlandesa para clientes del EEE) | Sin certificación DPF (no figura en la lista); cláusulas contractuales tipo, módulo dos o tres, en el DPA de Anthropic; condiciones comerciales: Anthropic no puede entrenar modelos con el Contenido del Cliente |
| LLM Pulse SL | Obtención semanal de las respuestas y las citas de los motores de IA | Encargado del tratamiento | España (UE) | No es necesaria |
| OpenAI OpCo, LLC (entidad contratante en el EEE: OpenAI Ireland Ltd) | Respuestas de ChatGPT para las auditorías y la medición propia (Responses API con búsqueda web) | Encargado del tratamiento | EE. UU. (contrato con la entidad irlandesa para clientes del EEE) | Sin certificación DPF (no figura en la lista); cláusulas contractuales tipo o una decisión de adecuación de la UE para las transferencias fuera del EEE conforme al DPA de OpenAI; Contrato de servicios (Services Agreement): OpenAI no utilizará el Contenido del Cliente para desarrollar o mejorar los Servicios salvo que el cliente lo acepte |
| Perplexity AI, Inc. | Respuestas de Perplexity para las auditorías y la medición propia | Encargado del tratamiento | EE. UU. | DPF (inscrita como Perplexity AI para datos de la UE y el Reino Unido, de RR. HH. y no de RR. HH., en la lista oficial a 13 de octubre de 2026); cláusulas contractuales tipo de la UE, módulo dos, en el DPA de Perplexity; condiciones de la API: el Contenido del Cliente no se utiliza para entrenar, reentrenar ni ajustar modelos |
| Google LLC (Google Ireland Ltd. para Google Analytics; Google Cloud EMEA Ltd. para los contratos de pago de la API de Gemini en EMEA) | Respuestas de la API de Gemini para las auditorías; autorización e informes de Google Analytics cuando el cliente los conecta | Encargado del tratamiento | EE. UU. / Irlanda | DPF (inscrita como Google LLC, activa para datos de la UE, Suiza y el Reino Unido, de RR. HH. y no de RR. HH.; cubre a Google LLC y a sus filiales estadounidenses íntegramente participadas); cláusulas contractuales tipo; condiciones de la API de Gemini: en los Servicios de pago, Google no utiliza las instrucciones ni las respuestas para mejorar sus productos y, para los desarrolladores del EEE, Suiza o el Reino Unido, esas condiciones de datos del nivel de pago se aplican a todo el uso, incluida la cuota gratuita |
| SpaceXAI LLC, que opera como SpaceXSI (la API de xAI, antes xAI Corp.) | Respuestas de Grok para la medición propia | Encargado del tratamiento | EE. UU. | Sin certificación DPF (no figura en la lista); cláusulas contractuales tipo de la UE, módulo dos o tres, con el Anexo para el Reino Unido en el DPA de SpaceXSI; condiciones para empresas: no se utiliza ningún Contenido del Usuario para entrenar modelos y el Contenido del Usuario se elimina en un plazo de 30 días; el DPA exige que los datos personales se envíen únicamente a través de la API Zero Data Retention |
| Serper (serper.dev) | Resultados de búsqueda de Google para la investigación y la fundamentación de los agentes | Encargado del tratamiento | Véase la política de privacidad del proveedor | Cláusulas contractuales tipo (la política de privacidad de Serper indica que las transferencias desde el EEE se basan en una decisión de adecuación o en las cláusulas contractuales tipo) |
| Resend (Plus Five Five, Inc.) | Correo electrónico transaccional y de informes | Encargado del tratamiento | EE. UU. (tratamiento principal en Estados Unidos) | DPF (inscrita como Resend, denominación legal Plus Five Five; activa para datos de la UE y el Reino Unido, solo datos que no son de RR. HH.; renovación de la certificación en revisión); cláusulas contractuales tipo de la UE en el DPA de Resend |
| Upstash, Inc. | Limitación de solicitudes, caché | Encargado del tratamiento | EE. UU.; región de Redis elegida para cada base de datos | DPF (inscrita como Upstash, Inc., activa para datos de la UE, Suiza y el Reino Unido, de RR. HH. y no de RR. HH.); DPA con cláusulas contractuales tipo disponible |
| Cloudflare, Inc. | Verificación antibots Turnstile en los formularios de inicio de sesión, registro y contacto (cuando está activada) | Encargado del tratamiento | EE. UU. (centros de datos en EE. UU. y Europa) | DPF (inscrita como Cloudflare, Inc., activa para datos de la UE, Suiza y el Reino Unido, de RR. HH. y no de RR. HH.; renovación de la certificación en revisión); cláusulas contractuales tipo como respaldo en el DPA de Cloudflare |
| Telegram Messenger Inc. (responsable del tratamiento) y Telegram FZ-LLC | Notificaciones internas al personal de New Map (nombre de la empresa, eventos de cuentas y de tareas, sin contenido de usuarios finales) | Encargado del tratamiento | Islas Vírgenes Británicas y Dubái (EAU); los datos de los usuarios que se registraron desde el EEE se almacenan en los Países Bajos | Sin certificación DPF (no figura en la lista); la política de privacidad de Telegram se basa en cláusulas contractuales tipo entre las sociedades de su grupo; datos limitados a nombres de empresa y tipos de evento |
| Calendly LLC | Reserva de llamadas en las páginas de Calendly | Responsable del tratamiento independiente | EE. UU. | DPF (inscrita como Calendly LLC, activa para datos de la UE, Suiza y el Reino Unido, solo datos que no son de RR. HH.; renovación de la certificación en revisión); cláusulas contractuales tipo y Anexo para el Reino Unido en el aviso de Calendly |
| Animoca Brands, plataforma Minds | Redacción de las respuestas del gestor de cuenta, cuando está activada | Encargado del tratamiento | Hong Kong | Cláusulas contractuales tipo |
| Hunter.io | Búsqueda de contactos profesionales para la prospección propia de New Map; no se utiliza con datos de clientes | Encargado del tratamiento solo para los datos propios de New Map | Francia (UE) | No es necesaria |
También consultamos fuentes públicas sin enviarles sus datos: las interfaces para consumidores de los motores de IA a través de nuestro proveedor de medición, su web pública, repositorios públicos de GitHub, verificadores de contratos como Sourcify y registros como Wikidata, CoinGecko y DefiLlama. Solo comunicamos datos personales a las autoridades cuando la ley lo exige. No vendemos datos personales.
6. Transferencias internacionales
Los datos de su cuenta, su marca, la medición y las conversaciones se almacenan en la UE (sección 5). Varios proveedores que los tratan se encuentran en Estados Unidos o en otros lugares fuera del Espacio Económico Europeo. Las transferencias a Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado (comprobado en la lista oficial el 13 de octubre de 2026: Vercel, Google, Perplexity, Resend, Cloudflare, Upstash y Calendly; la tabla de la sección 5 indica la garantía aplicable a cada proveedor) y, para los proveedores no certificados (Anthropic, OpenAI, xAI, Supabase), en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), con una evaluación de impacto de la transferencia y medidas complementarias como el cifrado en tránsito y en reposo. Las transferencias a otros terceros países se basan en las cláusulas contractuales tipo. Puede solicitar una copia de las garantías correspondientes en privacy@thenewmap.ai.
7. Plazos de conservación
- Registros del servidor: 30 días, salvo que sean necesarios durante más tiempo para investigar un incidente de seguridad.
- Reservas de llamadas, mensajes de contacto e informes gratuitos: 12 meses desde nuestra última comunicación, salvo que se formalice un contrato.
- Datos de la cuenta, la marca, la medición y las conversaciones: mientras dure la suscripción y 30 días tras su finalización; después se eliminan o se anonimizan. Puede solicitar su eliminación antes.
- Conexión con Google Analytics: hasta que la desconecte o finalice su cuenta; el token se elimina de inmediato.
- Facturas y registros contables: 10 años conforme al § 147 AO y al § 257 HGB; correspondencia comercial, 6 años.
- Contactos de prospección: 12 meses sin respuesta, o hasta que se oponga.
- Copias de seguridad: las copias cifradas de la base de datos se renuevan en un plazo de 30 días.
8. Sus derechos
Tiene derecho de acceso a sus datos personales (artículo 15 del RGPD), de rectificación (artículo 16), de supresión (artículo 17), de limitación del tratamiento (artículo 18), a la portabilidad de los datos (artículo 20) y a oponerse en cualquier momento al tratamiento basado en intereses legítimos, incluida la mercadotecnia directa (artículo 21). Cuando el tratamiento se base en el consentimiento, puede retirarlo con efectos para el futuro. Escriba a privacy@thenewmap.ai; respondemos en el plazo de un mes. También tiene derecho a presentar una reclamación ante una autoridad de control, en particular ante la autoridad competente respecto de nosotros, Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Germany (datenschutz-berlin.de), o ante la autoridad de su lugar de residencia. El Comisionado Federal publica una lista de las autoridades alemanas en bfdi.bund.de.
9. Cookies y almacenamiento local
Almacenamos lo estrictamente necesario para prestar el servicio (una cookie de sesión segura, las cookies del proveedor de autenticación y, cuando está activada la verificación contra bots, la cookie de corta duración de Cloudflare Turnstile en los formularios de inicio de sesión y de contacto) y dos preferencias funcionales en el almacenamiento local de su navegador (el tema y su elección sobre las cookies). Si elige un idioma con el selector de idioma, instalamos además una cookie propia esencial, nm_lang, que guarda ese idioma durante un año para que el sitio web se abra en él. Conforme al § 25(2) TDDDG, estas no requieren consentimiento. Solo si usted lo acepta, instalamos además una cookie propia, nm_src, durante 90 días: registra qué enlace o campaña le trajo al sitio web (los parámetros utm, el nombre del sitio de procedencia y la primera página que abrió) y, si después reserva una llamada o se hace cliente, esa procedencia se guarda con su cuenta para que sepamos qué canales funcionan (art. 6.1.a) RGPD, su consentimiento, que puede retirar en cualquier momento en la página de la Política de cookies). No utilizamos cookies analíticas, publicitarias ni de seguimiento entre sitios. Encontrará más información en la Política de cookies.
10. Seguridad
Cifrado en tránsito (TLS) en todas las comunicaciones; contraseñas almacenadas únicamente como hashes con sal por nuestro proveedor de autenticación; verificación en dos pasos obligatoria para todos los accesos del personal de New Map y disponible para todos los clientes; tokens de integración cifrados en reposo con AES-256-GCM; seguridad por filas en la base de datos para aislar los datos de cada cliente; acceso de nuestro personal basado en roles y limitado a lo estrictamente necesario; limitación de peticiones y monitorización; copias de seguridad cifradas. Notificaremos a la autoridad de control competente en un plazo de 72 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales cuando lo exija el artículo 33 del RGPD, y a los interesados afectados cuando lo exija el artículo 34. Las medidas que tenemos hoy en marcha se describen en la página de seguridad.
11. Uso profesional y menores
El servicio está destinado a empresas y a su personal. No se dirige a consumidores ni a menores de 18 años, y no recogemos a sabiendas datos de menores.
12. Modificaciones
Actualizamos esta política cuando cambian nuestros tratamientos o la normativa. Las modificaciones sustanciales se comunican por correo electrónico a los titulares de cuentas o en la plataforma antes de que entren en vigor. La fecha que figura al principio corresponde a la versión vigente.