Política de privacidad

Fecha de entrada en vigor: 1 de noviembre de 2026

La versión corta

Nadie lee las políticas de privacidad. Así que aquí va todo en diez líneas, y la versión completa debajo.

• Tus datos son tuyos. En las reservas hechas a través de tu cuenta de Cal.com, tú eres el responsable del tratamiento y nosotros el encargado, según el Acuerdo de tratamiento de datos en cal.com/dpa, que forma parte de nuestras Condiciones del servicio para todas las cuentas, gratuitas o de pago. Los tratamos en tu nombre y no los vendemos a nadie, nunca.
• Recopilamos lo mínimo. Nombres, emails, números de teléfono y lo que pidan tus preguntas de reserva. Además de lo técnico y aburrido que recibe cualquier web: dirección IP, navegador, páginas vistas.
• La base de datos es donde residen los datos personales. No en nuestros registros, no en nuestras analíticas, no en una hoja de cálculo. Nuestras propias reglas de ingeniería prohíben datos personales en registros, informes de errores y eventos de analítica. Enviamos identificadores, no personas.
• Usamos subencargados y los listamos a todos. Alojamiento, email, SMS, vídeo, pagos, IA, analíticas, monitorización, soporte y nuestras propias herramientas internas que pueden ver tus datos. La tabla completa y su finalidad están en nuestro Centro de confianza; antes de que empiece uno nuevo, avisamos previamente por escrito a los propietarios de la cuenta por email, notificación dentro del producto u otro método electrónico documentado, con tiempo suficiente para que puedas revisar el cambio y oponerte.
• Las funciones de IA son opcionales y acotadas. Las notas de reunión con IA envían el texto de la transcripción (sin títulos, sin lista de asistentes, sin enlaces). Los agentes telefónicos de IA envían el número de teléfono y los datos del invitado necesarios para hacer la llamada. Nada se usa para entrenar modelos de nadie.
• Tú eliges tus aplicaciones. Cuando conectas Google Calendar, Zoom, Salesforce o un webhook, los datos fluyen allí porque tú lo has indicado. Son tus integraciones y siguen tus instrucciones.
• No hay cookies de terceros en el producto. Nuestro sitio de marketing sí usa analíticas y medición publicitaria. Consulta la sección de cookies.
• Puedes exportar tus datos o eliminarlos. En cualquier momento, por tu cuenta o por email. Eliminar significa eliminar, también en los sistemas de nuestros subencargados.
• Preguntas: [email protected]. Personas reales, no un formulario.

Quién es quién: responsable vs. encargado

Esto suele generar confusión, así que va primero.

Cal.com y sus propios proveedores de servicios. Para operar nuestro propio negocio usamos proveedores de servicios que ven los datos de contacto de nuestros clientes, por ejemplo Documenso y Fusial para la firma electrónica de contratos y DPA (Estados Unidos). Actúan siguiendo nuestras instrucciones y no son subencargados de tus datos.

Qué significa: si eres un asistente que reservó una reunión y quieres que se eliminen tus datos, la vía más rápida es la persona con la que reservaste. Te ayudaremos igualmente y trasladaremos la solicitud.

Qué recopilamos

Datos que nos dais tú y quienes reservan contigo

• Datos de cuenta: nombre, email, nombre de usuario, hash de contraseña o identidad SSO, zona horaria, foto de perfil y tu disponibilidad. Al registrarte, podemos buscar una foto de perfil asociada a tu dirección de email mediante AvatarAPI; puedes sustituirla o eliminarla.
• Datos de reserva: nombres y emails de los asistentes, números de teléfono cuando se usan recordatorios por SMS o llamadas telefónicas, títulos y ubicaciones de reuniones, respuestas a tus preguntas de reserva, notas, listas de invitados, motivos de cancelación y reprogramación.
• Datos de facturación: nombre de la empresa, dirección de facturación y datos de la tarjeta de pago. La tarjeta va directamente a Stripe, y nosotros nunca la vemos ni la almacenamos.
• Datos de soporte: lo que nos escribas, más el contexto de cuenta asociado a la conversación.

Datos que recopilamos automáticamente

• Dirección IP, navegador y dispositivo, URL de referencia, páginas vistas y marcas de tiempo.
• Eventos de uso del producto (qué funciones has usado y con qué frecuencia) vinculados a un ID opaco, no a tu email.
• Diagnósticos de errores y rendimiento cuando algo falla.

Lo que deliberadamente no hacemos

• No recopilamos a propósito categorías especiales de datos. Aunque tus preguntas de reserva podrían hacerlo. Si preguntas sobre salud, eso son datos de salud en tu cuenta de Cal.com, y te corresponde a ti pedirlos de forma lícita. Consulta «Información sanitaria».
• No recopilamos conscientemente datos de nadie menor de 18 años.
• No creamos perfiles publicitarios a partir de datos de reserva, y no vendemos ni alquilamos datos personales.

Qué significa: conservamos lo necesario para poner una reunión en dos calendarios, facturarte y darte soporte. Los datos personales más relevantes, las respuestas de quienes reservan contigo, los conservamos para ti, no para nosotros.

Por qué podemos hacerlo (bases legales, art. 6 del GDPR)

Subencargados: quién más trata datos personales

Usamos otras empresas para operar Cal.com. Todos los subencargados tienen un acuerdo de tratamiento de datos con nosotros, solo reciben lo que necesitan y solo tratan datos siguiendo nuestras instrucciones. Qué hacen y dónde tratan los datos se indica en nuestro Centro de confianza.

Cómo te enteras de los cambios. Antes de que un subencargado nuevo o sustituto empiece a tratar Datos personales del cliente, te avisamos previamente por escrito por correo electrónico al administrador de tu cuenta o al contacto de privacidad/legal, mediante una notificación dentro del producto o por otro método electrónico documentado. Hacemos esfuerzos comercialmente razonables para avisarte con suficiente antelación para que puedas revisar el cambio y oponerte (DPA §6.3-6.4). Actualizar solo la lista de subencargados no es nuestra única forma de avisar.

Si te opones por motivos razonables y fundamentados de protección de datos, puedes hacerlo según se describe en el DPA. Si tienes preguntas sobre un subencargado, escribe a [email protected].

Publicidad e identificación de leads (sitio web de marketing y herramientas de marketing, no el producto)

Los gestiona nuestro equipo de marketing en lugar de estar integrados en el código del producto, y solo ven datos del sitio web de marketing y de listas de marketing, nunca datos de reservas, respuestas de asistentes ni nada de tu cuenta de Cal.com.

Los proveedores de esta categoría (Google Analytics y Tag Manager, X Ads, atribución web de Dub, etiquetas publicitarias de LinkedIn y Meta) se ejecutan solo en el sitio web de marketing con tu consentimiento y aparecen en el banner de cookies; no son subencargados de datos de reservas.

Qué significa: si estás en el EEE o el Reino Unido, los proveedores de coincidencia de audiencias e identificación de visitantes no se ejecutan para ti. En cualquier otro lugar, puedes desactivarlos rechazando las cookies de marketing o usando Global Privacy Control.

Apps e integraciones que conectas

Cuando conectas una aplicación, nos indicas que le enviemos datos. Hacemos exactamente eso y nada más.

• Calendarios: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descripciones, horas, ubicaciones, nombres y correos del organizador y los asistentes, y datos de disponibilidad libre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams y otros: detalles de la reunión necesarios para crear el enlace.
• CRM y automatización: Salesforce, HubSpot, Pipedrive y similares: nombre y correo del asistente, detalles de la reunión y tus respuestas a las preguntas de la reserva.
• Automatización y enlaces: Zapier, Dub, Close e integraciones similares del App Store que conectas se ejecutan bajo tu propia cuenta con ese proveedor.
• Webhooks y tu propio servidor SMTP: tú proporcionas el endpoint o servidor de correo; recibe lo que contengan los eventos a los que te has suscrito.

Qué significa: estos son tus encargados del tratamiento, no los nuestros. Se aplican sus políticas de privacidad, y al desconectar la aplicación se detiene el flujo. No podemos eliminar lo que ya esté en tu CRM.

Información de salud (PHI)

Cal.com no es un producto de salud, pero las reservas pueden contener información de salud: una pregunta de admisión, el título de una reunión, notas. Si usas Cal.com para cualquier actividad regulada por HIPAA, esos datos solo están tan protegidos como el acuerdo que los respalda: pídenos un Business Associate Agreement (disponible en planes Teams y superiores; escribe a [email protected] o pregunta a soporte o ventas) y haz que se firme antes de recopilarlos, salvo que tu Order Form u otro acuerdo firmado con nosotros lo permita expresamente, y mantenlos fuera de los campos de reserva que se copian en aplicaciones de terceros.

Durante cuánto tiempo los conservamos

Dónde van tus datos

Somos una empresa estadounidense y los datos se tratan en Estados Unidos; algunos subencargados los tratan en otros lugares (consulta la tabla). Para transferencias desde el EEE y el Reino Unido, Cal.com, Inc. participa en el Marco de Privacidad de Datos UE-EE. UU. y su Extensión del Reino Unido, y ha certificado su cumplimiento. Cuando el Marco de Privacidad de Datos no cubre una transferencia, y para Suiza, nos basamos en las Cláusulas Contractuales Tipo de la UE de 2021, el Anexo del Reino Unido y las modificaciones suizas, todas completadas en nuestro calendario de SCC en cal.com/dpa-scc, que forma parte del DPA, según se describe en la sección del Marco de Privacidad de Datos más abajo. Puedes verificar nuestra certificación en la lista del DPF en https://www.dataprivacyframework.gov/list. El Marco de Privacidad de Datos Suiza-EE. UU. no se aplica actualmente. Si necesitas residencia de datos en la UE, contáctanos en [email protected].

Marco de Privacidad de Datos UE-EE. UU. y Extensión del Reino Unido

Cal.com, Inc. cumple con el Marco de Privacidad de Datos UE-EE. UU. (DPF UE-EE. UU.) y la Extensión del Reino Unido al DPF UE-EE. UU., según lo establecido por el Departamento de Comercio de EE. UU. Cal.com, Inc. ha certificado ante el Departamento que se adhiere a los Principios del DPF UE-EE. UU. para datos personales no relacionados con RR. HH. recibidos de la Unión Europea y el Espacio Económico Europeo en virtud del DPF UE-EE. UU., y del Reino Unido y Gibraltar en virtud de la Extensión del Reino Unido. Este compromiso no cubre los datos de RR. HH. de empleados transferidos para su uso en una relación laboral. Si esta política entra en conflicto con los Principios del DPF, prevalecen los Principios. Conoce el programa y consulta Cal.com en la lista del Data Privacy Framework en https://www.dataprivacyframework.gov/list.

Los datos cubiertos pueden incluir nombres, direcciones de correo electrónico, números de teléfono, datos de la cuenta y del perfil, disponibilidad, detalles de reservas y reuniones, respuestas a preguntas de reserva, información de facturación y soporte, e información del sitio web, del dispositivo, de uso y de seguridad. Los clientes pueden configurar preguntas de reserva que recopilen datos sensibles. Usamos los datos cubiertos para prestar servicios de programación y servicios relacionados, gestionar cuentas, reservas y pagos, comunicarnos con usuarios y asistentes, ofrecer soporte, proteger y mejorar el servicio, y realizar marketing cuando esté permitido. Otras secciones de esta política describen estos datos y fines con más detalle.

Comunicamos los datos cubiertos pertinentes a proveedores de servicios y subencargados para alojamiento, almacenamiento, correo electrónico y SMS, vídeo, pagos, soporte, analítica, seguridad y funciones opcionales, así como a las integraciones seleccionadas por los clientes. Nuestro Centro de confianza enumera los subencargados y sus fines. También podemos comunicar datos personales cuando la ley lo exija. Conforme al Principio de responsabilidad por transferencias ulteriores del DPF, Cal.com sigue siendo responsable si un agente trata datos cubiertos de forma incompatible con los Principios, salvo que Cal.com demuestre que no fue responsable del hecho que dio lugar al daño.

Las personas pueden solicitar acceso a los datos cubiertos y pedirnos que corrijamos, modifiquemos o eliminemos datos que sean inexactos o se traten en incumplimiento de los Principios. Cuando el Principio de elección del DPF lo exija, las personas pueden oponerse antes de que los datos cubiertos se comuniquen a un tercero o se utilicen para una finalidad sustancialmente distinta. Cuando ese Principio exija consentimiento afirmativo para información sensible, lo obtendremos antes del uso o la comunicación pertinentes. Envía las solicitudes a [email protected]. En el caso de datos de reservas que tratamos siguiendo las instrucciones de un cliente, nos coordinaremos con ese cliente para atender la solicitud.

Las personas de la UE y del Reino Unido deben enviar primero las consultas o reclamaciones relacionadas con el DPF a Cal.com, Inc., Privacidad y cumplimiento normativo, 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos; [email protected]; +1 415 212 6667. También puedes contactar con Felix Kolodziej, responsable de cumplimiento normativo, en [email protected]. Responderemos a las reclamaciones relacionadas con el DPF en un plazo de 45 días. Para las reclamaciones no resueltas sobre datos cubiertos, nos comprometemos a cooperar con el panel establecido por las autoridades de protección de datos de la UE y a cumplir sus recomendaciones para los datos de la UE, y con la Information Commissioner’s Office del Reino Unido y la Gibraltar Regulatory Authority para los datos del Reino Unido y Gibraltar. Estos mecanismos independientes de recurso están disponibles para las personas de forma gratuita.

Cal.com, Inc. está sujeta a las facultades de investigación y ejecución de la Comisión Federal de Comercio de EE. UU. en relación con su cumplimiento del DPF UE-EE. UU. y la extensión del Reino Unido. En determinadas condiciones, las personas pueden recurrir a arbitraje vinculante para reclamaciones residuales sobre el cumplimiento del DPF. Es posible que debamos comunicar datos cubiertos en respuesta a solicitudes legítimas de autoridades públicas, incluso para cumplir requisitos de seguridad nacional o de aplicación de la ley.

Cookies

• En la aplicación: cookies para iniciar sesión, recordar preferencias y seguridad. Sin cookies publicitarias de terceros.
• En el sitio web de marketing: las cookies de analítica y medición publicitaria indicadas arriba. Puedes rechazarlas.
• Respetamos las señales de Global Privacy Control y Do Not Track.

Tus derechos

Vivas donde vivas, puedes pedirnos: acceder a tus datos, corregirlos, eliminarlos, exportarlos, restringir o oponerte a su tratamiento, o retirar el consentimiento. Si estás en California, añade: saber qué recopilamos, eliminarlo, corregirlo y oponerte a su venta o intercambio. No lo vendemos ni compartimos, así que no hay nada a lo que oponerse. Si estás en el EEE o el Reino Unido, también puedes reclamar ante tu autoridad de protección de datos.

La mayor parte de esto puedes gestionarla tú mismo en la configuración. Si no, escribe a [email protected] y responderemos dentro de los plazos exigidos por la ley aplicable. Primero te pediremos que verifiques quién eres, y no te trataremos peor por solicitarlo.

Seguridad

Cifrado en tránsito y en reposo, acceso con mínimos privilegios, SSO y 2FA, infraestructura auditada y un programa de recompensas por errores. Detalles e informes actuales: cal.com/security. Ningún sistema es perfectamente seguro; si algo sale mal, avisaremos a los clientes afectados sin demora indebida tras tener conocimiento de una brecha de datos personales, como exige nuestro DPA.

Cambios en esta política

Publicaremos la nueva versión aquí y actualizaremos la fecha de entrada en vigor. Para cualquier cambio sustancial, como una nueva categoría de subencargado o un nuevo uso de datos, te avisaremos antes de que entre en vigor por correo electrónico, notificación dentro del producto u otro método electrónico documentado.

Contacto

Contacto de privacidad: [email protected]

Representante en la UE (art. 27 del GDPR): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Alemania, [email protected]

Avisos formales: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos, con copia a [email protected]

Todo lo demás: [email protected]

Archivo de la política de privacidad