Política de privacidad

Fecha de entrada en vigor: 1 de noviembre de 2026

La versión corta

Nadie lee las políticas de privacidad. Así que aquí tienes todo en diez líneas, y la versión completa debajo.

• Tus datos son tuyos. En las reservas realizadas a través de tu cuenta de Cal.com, tú eres el responsable del tratamiento y nosotros somos el encargado, según el Acuerdo de Tratamiento de Datos disponible en cal.com/dpa, que forma parte de nuestras Condiciones del servicio para todas las cuentas, gratuitas o de pago. Los tratamos en tu nombre y no los vendemos a nadie, nunca.
• Recopilamos lo mínimo. Nombres, correos electrónicos, números de teléfono y lo que pidan tus preguntas de reserva. Además de lo técnico y aburrido que recibe cualquier web: dirección IP, navegador, páginas vistas.
• La base de datos es donde viven los datos personales. No en nuestros logs, no en nuestras analíticas, no en una hoja de cálculo. Nuestras propias normas de ingeniería prohíben los datos personales en logs, informes de errores y eventos de analítica. Enviamos IDs, no personas.
• Usamos subencargados del tratamiento, y los nombramos a todos. Alojamiento, correo electrónico, SMS, vídeo, pagos, IA, analítica, monitorización, soporte y nuestras propias herramientas internas que pueden ver tus datos. La tabla completa y su finalidad están en nuestro Centro de confianza; antes de que empiece uno nuevo, avisamos previamente por escrito a los propietarios de la cuenta por email, notificación en el producto u otro método electrónico documentado, con suficiente antelación para que puedas revisar el cambio y oponerte.
• Las funciones de IA son opt-in y específicas. Las notas de reunión con IA envían el texto de la transcripción (sin títulos, sin lista de asistentes, sin enlaces). Los agentes telefónicos de IA envían el número de teléfono y los datos del invitado necesarios para hacer la llamada. Nada se usa para entrenar modelos de nadie.
• Tus aplicaciones son tu elección. Cuando conectas Google Calendar, Zoom, Salesforce o un webhook, los datos van allí porque tú lo has indicado. Son tus integraciones, bajo tus instrucciones.
• Sin cookies de terceros en el producto. Nuestro sitio de marketing sí usa analítica y medición publicitaria. Consulta la sección de cookies.
• Puedes exportar tus datos o eliminarlos. En cualquier momento, por tu cuenta o por email. Eliminar significa eliminar de verdad, incluso en nuestros subencargados.
• Preguntas: [email protected]. Personas reales, no un formulario.

Quién es quién: responsable vs. encargado del tratamiento

Esto suele confundir, así que va primero.

Cal.com: sus propios proveedores de servicios. Para gestionar nuestro propio negocio usamos proveedores de servicios que ven los datos de contacto de nuestros clientes, por ejemplo Documenso y Fusial para la firma electrónica de contratos y DPA (Estados Unidos). Actúan según nuestras instrucciones y no son subencargados de tus datos.

Qué significa: si eres un asistente que reservó una reunión y quieres que se eliminen tus datos, la vía más rápida es la persona con la que reservaste. Te ayudaremos igualmente y trasladaremos la solicitud.

Qué recopilamos

Datos que tú y quienes reservan contigo nos dais

• Datos de cuenta: nombre, email, nombre de usuario, hash de contraseña o identidad SSO, zona horaria, foto de perfil y tu disponibilidad. Al registrarte, podemos buscar una foto de perfil para tu dirección de email mediante AvatarAPI; puedes sustituirla o quitarla.
• Datos de reserva: nombres y emails de asistentes, números de teléfono cuando se usan recordatorios por SMS o llamadas, títulos y ubicaciones de reuniones, respuestas a tus preguntas de reserva, notas, listas de invitados, motivos de cancelación y reprogramación.
• Datos de facturación: nombre de la empresa, dirección de facturación y datos de la tarjeta de pago. La tarjeta va directamente a Stripe, y nunca la vemos ni la almacenamos.
• Datos de soporte: lo que nos escribas, más el contexto de la cuenta asociado a la conversación.

Datos que recopilamos automáticamente

• Dirección IP, navegador y dispositivo, URL de referencia, páginas vistas y marcas de tiempo.
• Eventos de uso del producto (qué funciones has usado y con qué frecuencia) asociados a un ID opaco, no a tu email.
• Diagnósticos de errores y rendimiento cuando algo falla.

Lo que decididamente no hacemos

• No recopilamos a propósito datos de categorías especiales. Pero tus preguntas de reserva podrían hacerlo. Si preguntas sobre salud, esos son datos de salud en tu cuenta de Cal.com, y te corresponde a ti pedirlos de forma lícita. Consulta “Información de salud”.
• No recopilamos conscientemente datos de menores de 18 años.
• No creamos perfiles publicitarios a partir de datos de reserva, y no vendemos ni alquilamos datos personales.

Qué significa: guardamos lo necesario para poner una reunión en dos calendarios, facturarte y darte soporte. Los datos personales interesantes, las respuestas de quienes reservan contigo, los guardamos para ti, no para nosotros.

Por qué podemos hacerlo (bases legales, art. 6 del GDPR)

Subencargados: quién más toca datos personales

Usamos otras empresas para operar Cal.com. Cada subencargado tiene un acuerdo de tratamiento de datos con nosotros, solo recibe lo que necesita y solo trata datos siguiendo nuestras instrucciones. Lo que hacen y dónde tratan los datos se detalla en nuestro Centro de confianza.

Cómo te enteras de los cambios. Antes de que un subencargado nuevo o de sustitución empiece a tratar Datos Personales del Cliente, te avisamos previamente por escrito por correo electrónico al administrador de tu cuenta o al contacto de privacidad/legal, mediante una notificación dentro del producto o por otro método electrónico documentado. Hacemos esfuerzos comercialmente razonables para avisarte con suficiente antelación para que puedas revisar el cambio y oponerte (DPA §6.3-6.4). Actualizar la lista de subencargados no es nuestra única forma de notificarlo.

Si te opones por motivos de protección de datos razonables y fundamentados, puedes hacerlo como se describe en el DPA. Si tienes preguntas sobre un subencargado, escribe a [email protected].

Publicidad e identificación de leads (sitio de marketing y herramientas de marketing, no el producto)

Los gestiona nuestro equipo de marketing en lugar de estar integrados en el código del producto, y solo ven datos del sitio de marketing y de listas de marketing, nunca datos de reservas, respuestas de asistentes ni nada de tu cuenta de Cal.com.

Los proveedores de esta categoría (Google Analytics y Tag Manager, X Ads, atribución web de Dub, etiquetas publicitarias de LinkedIn y Meta) solo se ejecutan en el sitio web de marketing con tu consentimiento y figuran en el banner de cookies; no son subencargados de datos de reservas.

Qué significa: si estás en el EEE o Reino Unido, los proveedores de segmentación de audiencias e identificación de visitantes no se ejecutan para ti. En cualquier otro lugar, puedes desactivarlos rechazando las cookies de marketing o usando Global Privacy Control.

Aplicaciones e integraciones que conectas

Cuando conectas una aplicación, nos estás indicando que le enviemos datos. Hacemos exactamente eso y nada más.

• Calendarios: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos de eventos, descripciones, horas, ubicaciones, nombres y correos electrónicos del organizador y de los asistentes, y datos de disponibilidad libre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams y otros: los detalles de la reunión necesarios para crear el enlace.
• CRM y automatización: Salesforce, HubSpot, Pipedrive y similares: nombre y correo electrónico del asistente, detalles de la reunión y tus respuestas a las preguntas de reserva.
• Automatización y enlaces: Zapier, Dub, Close e integraciones similares de la Tienda de aplicaciones que conectes se ejecutan bajo tu propia cuenta con ese proveedor.
• Webhooks y tu propio servidor SMTP: tú proporcionas el endpoint o servidor de correo; recibe lo que contengan los eventos a los que te hayas suscrito.

Qué significa: estos son tus encargados del tratamiento, no los nuestros. Se aplican sus políticas de privacidad, y desconectar la aplicación detiene el flujo. No podemos eliminar lo que ya está en tu CRM.

Información sanitaria (PHI)

Cal.com no es un producto sanitario, pero las reservas pueden contener información sanitaria: una pregunta de admisión, un título de reunión, notas. Si usas Cal.com para cualquier cosa regulada por HIPAA, esos datos solo estarán tan protegidos como el acuerdo que los respalde: pídenos un Acuerdo de asociado comercial (disponible en planes Teams y superiores; escribe a [email protected] o pregunta a soporte o ventas) y haz que se firme antes de recopilarlos, salvo que tu Formulario de pedido u otro acuerdo firmado con nosotros lo permita expresamente, y mantenlos fuera de los campos de reserva que se copian en aplicaciones de terceros.

Cuánto tiempo los conservamos

Adónde van tus datos

Somos una empresa estadounidense y los datos se tratan en Estados Unidos; algunos subencargados los tratan en otros lugares (consulta la tabla). Para transferencias desde el EEE y el Reino Unido, Cal.com, Inc. participa en el Marco de Privacidad de Datos UE-EE. UU. y su Extensión del Reino Unido, y ha certificado su cumplimiento. Cuando el Marco de Privacidad de Datos no cubre una transferencia, y para Suiza, nos basamos en las Cláusulas Contractuales Tipo de la UE de 2021, el Addendum del Reino Unido y las modificaciones suizas, todas completadas en nuestro Anexo de SCC en cal.com/dpa-scc, que forma parte del DPA, como se describe en la sección sobre el Marco de Privacidad de Datos más abajo. Puedes verificar nuestra certificación en la Lista del DPF en https://www.dataprivacyframework.gov/list. El Marco de Privacidad de Datos Suiza-EE. UU. no se aplica actualmente. Si necesitas residencia de datos en la UE, contáctanos en [email protected].

Marco de Privacidad de Datos UE-EE. UU. y Extensión del Reino Unido

Cal.com, Inc. cumple con el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. DPF) y la Extensión del Reino Unido al EU-U.S. DPF, tal como establece el Departamento de Comercio de EE. UU. Cal.com, Inc. ha certificado ante el Departamento que se adhiere a los Principios del EU-U.S. DPF para datos personales no relacionados con RR. HH. recibidos de la Unión Europea y del Espacio Económico Europeo al amparo del EU-U.S. DPF, y del Reino Unido y Gibraltar al amparo de la Extensión del Reino Unido. Este compromiso no cubre los datos de RR. HH. de empleados transferidos para su uso en una relación laboral. Si esta política entra en conflicto con los Principios del DPF, prevalecen los Principios. Infórmate sobre el programa y consulta Cal.com en la lista del Data Privacy Framework en https://www.dataprivacyframework.gov/list.

Los datos cubiertos pueden incluir nombres, direcciones de correo electrónico, números de teléfono, datos de cuenta y perfil, Disponibilidad, detalles de Reserva y reuniones, respuestas a preguntas de Reserva, información de facturación y soporte, e información del sitio web, del dispositivo, de uso y de seguridad. Los clientes pueden configurar preguntas de Reserva que recopilen datos sensibles. Usamos los datos cubiertos para prestar servicios de programación y servicios relacionados, gestionar cuentas, Reservas y Pagos, comunicarnos con usuarios y asistentes, ofrecer soporte, proteger y mejorar el servicio, y realizar acciones de marketing cuando esté permitido. Otras secciones de esta política describen estos datos y finalidades con más detalle.

Comunicamos los datos cubiertos pertinentes a proveedores de servicios y subencargados para alojamiento, almacenamiento, correo electrónico y SMS, vídeo, Pagos, soporte, analítica, seguridad y funciones opcionales, así como a las integraciones seleccionadas por los clientes. Nuestro Trust Center enumera los subencargados y sus finalidades. También podemos comunicar datos personales cuando la ley lo exija. Conforme al Principio de responsabilidad por transferencias ulteriores del DPF, Cal.com seguirá siendo responsable si un agente trata datos cubiertos de forma incompatible con los Principios, salvo que Cal.com demuestre que no fue responsable del hecho que dio lugar al daño.

Las personas pueden solicitar acceso a los datos cubiertos y pedirnos que corrijamos, modifiquemos o eliminemos datos inexactos o tratados en infracción de los Principios. Cuando el Principio de elección del DPF lo exija, las personas pueden oponerse antes de que los datos cubiertos se comuniquen a un tercero o se usen para una finalidad sustancialmente distinta. Cuando ese Principio exija consentimiento afirmativo para información sensible, lo obtendremos antes del uso o la comunicación correspondientes. Envía las solicitudes a [email protected]. En el caso de los datos de Reserva que tratamos siguiendo las instrucciones de un cliente, nos coordinaremos con ese cliente para atender la solicitud.

Las personas de la UE y el Reino Unido deben enviar primero las consultas o reclamaciones relacionadas con el DPF a Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. También puedes contactar con Felix Kolodziej, responsable de cumplimiento, en [email protected]. Responderemos a las reclamaciones relacionadas con el DPF en un plazo de 45 días. Para reclamaciones no resueltas sobre datos cubiertos, nos comprometemos a cooperar con el panel establecido por las autoridades de protección de datos de la UE para datos de la UE y a cumplir sus recomendaciones, así como con la Information Commissioner’s Office del Reino Unido y la Gibraltar Regulatory Authority para datos del Reino Unido y Gibraltar. Estos mecanismos independientes de recurso están disponibles para las personas de forma gratuita.

Cal.com, Inc. está sujeta a las facultades de investigación y ejecución de la U.S. Federal Trade Commission en relación con su cumplimiento del EU-U.S. DPF y la UK Extension. En determinadas condiciones, las personas pueden recurrir al arbitraje vinculante para reclamaciones residuales sobre el cumplimiento del DPF. Es posible que debamos comunicar datos cubiertos en respuesta a solicitudes lícitas de autoridades públicas, incluso para cumplir requisitos de seguridad nacional o aplicación de la ley.

Cookies

• En la app: cookies para iniciar sesión, recordar preferencias y seguridad. Sin cookies publicitarias de terceros.
• En el sitio de marketing: las cookies de analítica y medición de anuncios indicadas arriba. Puedes rechazarlas.
• Respetamos las señales de Global Privacy Control y Do Not Track.

Tus derechos

Vivas donde vivas, puedes pedirnos: acceder a tus datos, corregirlos eliminarlos exportarlos restringir u oponerte al tratamiento, o retirar tu consentimiento. Si estás en California, añade: saber qué recopilamos, eliminarlo, corregirlo y oponerte a la venta o el uso compartido. No los vendemos ni compartimos, así que no hay nada a lo que oponerse. Si estás en el EEE o el Reino Unido, también puedes reclamar ante tu autoridad de protección de datos.

Puedes gestionar la mayor parte de esto directamente en tus ajustes. Si no, escribe a [email protected] y responderemos dentro de los plazos exigidos por la ley aplicable. Primero te pediremos que verifiques quién eres, y no te trataremos peor por solicitarlo.

Seguridad

Cifrado en tránsito y en reposo, acceso con privilegios mínimos, SSO y 2FA, infraestructura auditada y un programa de recompensas por errores. Detalles e informes actuales: cal.com/security. Ningún sistema es perfectamente seguro; si algo sale mal, informaremos a los clientes afectados sin demoras indebidas después de tener conocimiento de una brecha de datos personales, tal como exige nuestro DPA.

Cambios en esta política

Publicaremos la nueva versión aquí y actualizaremos la fecha de entrada en vigor. Para cualquier cambio material, como una nueva categoría de subencargado o un nuevo uso de los datos, te avisaremos antes de que surta efecto por correo electrónico, notificación en el producto u otro método electrónico documentado.

Contacto

Contacto de privacidad: [email protected]

Representante en la UE (art. 27 del GDPR): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Germany, [email protected]

Notificaciones formales: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, con copia a [email protected]

Todo lo demás: [email protected]

Archivo de la política de privacidad