Política de Privacidad

1. Responsable del Tratamiento de Datos

El responsable del tratamiento de sus datos personales es 6Profiles Consulting, S.L., sociedad de responsabilidad limitada constituida conforme a las leyes del Reino de España, que opera comercialmente bajo la marca Booka.

• Denominación social: 6Profiles Consulting, S.L.
• CIF: B09885815
• Jurisdicción de constitución: España
• Domicilio social: Calle de Silvia Munt 6, Madrid, España
• Oficinas operativas: Madrid (España), Bogotá (Colombia), Riad (Arabia Saudí)
• Correo electrónico de privacidad: privacy@usebooka.com
• Correo electrónico legal: legal@usebooka.com
• Sitio web: usebooka.com

6Profiles Consulting, S.L. está sujeta al Reglamento General de Protección de Datos (UE) 2016/679 (“RGPD”), a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) de España, a la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), y al Reglamento (UE) 2024/1689 (EU AI Act). Asimismo, cumplimos con las normativas de protección de datos aplicables en las demás jurisdicciones en las que operamos, incluyendo, sin limitación: UK GDPR (Reino Unido), CCPA/CPRA (California), Ley 1581/2012 (Colombia), LFPDPPP (México), LGPD (Brasil), PDPL (Arabia Saudí, Royal Decree M/19/2021), Federal Decree-Law 45/2021 (Emiratos Árabes Unidos) y Law 13/2016 (Qatar).

2. Delegado de Protección de Datos

A la fecha de esta política, 6Profiles Consulting, S.L. no está obligada a designar un Delegado de Protección de Datos (DPD) conforme al artículo 37 del RGPD, ya que no realiza un seguimiento sistemático de interesados a gran escala ni trata categorías especiales de datos como actividad principal. No obstante, todas las consultas relativas a protección de datos pueden dirigirse a privacy@usebooka.com. Nos comprometemos a responder en un plazo máximo de 30 días naturales. En caso de que en el futuro sea necesario designar un DPD, se actualizará esta política con sus datos de contacto.

3. Categorías de Datos Personales que Recopilamos

Recopilamos y tratamos las siguientes categorías de datos personales en función del servicio que usted utilice:

3.1. Datos de identificación personal

• Nombre completo, fecha de nacimiento, nacionalidad y país de residencia
• Dirección de correo electrónico y número de teléfono
• Fotografía de perfil y copia de documento de identidad (pasaporte, DNI o equivalente)
• Dirección postal (cuando sea necesaria para el envío de documentación)

3.2. Datos profesionales y académicos

• Títulos universitarios, certificados académicos, expedientes y diplomas (incluidos documentos digitalizados)
• Licencias y registros profesionales (colegiación, número de registro, especialización)
• Especialidades profesionales y certificaciones complementarias en cualquier profesión regulada: medicina, enfermería, ingeniería (todas sus ramas), arquitectura, docencia, psicología, veterinaria, abogacía, farmacia, contaduría y otras
• Experiencia laboral, historial de empleo y referencias profesionales
• Currículum vitae (original y generado por IA)
• Información sobre idiomas y certificaciones lingüísticas
• Cartas de buena conducta (Good Standing) y antecedentes profesionales

3.3. Datos financieros y de pago

• Información de pago procesada por Stripe (tokenizada; Booka no almacena datos completos de tarjeta)
• Historial de transacciones y facturas
• Datos de facturación (nombre, dirección fiscal, NIF/CIF cuando aplique)

3.4. Datos de usuarios B2B

• Identidad del responsable de contratación (nombre, cargo, datos profesionales de contacto)
• Identidad de los usuarios autorizados de la organización cliente
• Información de la institución (nombre, dirección, sector, volumen estimado de uso)
• API keys, configuraciones técnicas y datos de integración

3.5. Datos técnicos y de uso

• Dirección IP, tipo de navegador, sistema operativo y dispositivo
• Datos de navegación web y app: páginas visitadas, tiempo de permanencia, flujo de clics
• Datos de geolocalización aproximada (a nivel de país/ciudad, derivados de la IP)
• Identificadores de cookies y tecnologías de seguimiento (ver nuestra Política de Cookies)
• Grabaciones de sesión anonimizadas (Microsoft Clarity) y eventos analíticos (PostHog)
• En la aplicación móvil: identificadores de dispositivo, tokens de notificaciones push, datos de uso de la app

4. Finalidades del Tratamiento

4.1. Prestación de servicios B2C contratados

• Análisis de Credenciales: Recepción de sus documentos académicos y profesionales, análisis mediante inteligencia artificial (Claude, de Anthropic) y generación de un informe personalizado con las opciones de homologación, equivalencia o reconocimiento disponibles por país y profesión.
• Gestión de Validación de Credenciales: Recopilación de documentación, preparación de expedientes, comunicación con organismos reguladores (Ministerio de Universidades, ANECA, SCFHS, SCE, SOCPA, DHA, DOH, GMC, NMC, QCHP y otros) y seguimiento del proceso en nombre del Usuario.
• CV Pro Internacional: Extracción de datos de su currículum mediante IA, generación de versiones optimizadas y adaptadas a los estándares del país y sector de destino.
• App móvil: Gestión de la cuenta, notificaciones push, actualizaciones del estado del expediente, mensajería con el equipo.
• Comparadores y simuladores: Proporcionar información comparativa de requisitos, plazos y condiciones entre países y profesiones.

4.2. Prestación de servicios B2B

• Self-serve: Acceso al panel de control y a los agentes de IA para que la organización cliente gestione sus expedientes de credentialing.
• Managed: Gestión end-to-end de cada expediente por parte de un Case Manager dedicado.
• API & Embedded: Prestación de los servicios mediante integración técnica con sistemas terceros (HRIS, ATS, plataformas universitarias, software de admisión, sistemas de staffing).

4.3. Comunicaciones

• Envío de correos electrónicos transaccionales relacionados con los servicios contratados (confirmaciones, actualizaciones de estado, facturas, alertas de avance del expediente).
• Notificaciones push en la app móvil.
• Envío de comunicaciones comerciales y promocionales, únicamente con su consentimiento previo (puede retirar su consentimiento en cualquier momento).
• Atención al cliente a través de correo electrónico, WhatsApp y formularios web.

4.4. Análisis y mejora del servicio

• Análisis del uso de la plataforma mediante PostHog y Microsoft Clarity para mejorar la experiencia de usuario.
• Pruebas A/B para optimización de la interfaz y los flujos de conversión.
• Lead scoring automatizado para priorizar la atención comercial.

4.5. Cumplimiento legal y seguridad

• Cumplimiento de obligaciones fiscales, contables y legales.
• Prevención de fraude documental, detección de credenciales falsificadas y protección de la seguridad de la plataforma.
• Gestión de reclamaciones y ejercicio de derechos por parte de los Usuarios.

5. Base Legal del Tratamiento (Art. 6 RGPD)

Cuando el tratamiento se base en su consentimiento, usted tiene derecho a retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. Puede retirar su consentimiento contactándonos en privacy@usebooka.com.

6. Uso de Inteligencia Artificial y Decisiones Automatizadas

Booka es una plataforma con IA agéntica en el núcleo del producto. Es esencial que el Usuario comprenda cómo y cuándo se emplea la IA en el tratamiento de sus datos.

6.1. Los tres Agentes de Booka

• Verifier Agent: verifica las credenciales contra la fuente primaria, conectando directamente con universidades, colegios profesionales y bases de datos gubernamentales para confirmar la autenticidad y vigencia del documento.
• Regulator Agent: conoce los protocolos, formatos y requisitos de cada organismo regulador del país de destino (SCFHS en Arabia Saudí, GMC y NMC en Reino Unido, DHA y HAAD en Emiratos, Ministerio de Universidades y ANECA en España, Saudi Council of Engineers, MEFP, MOHESR y otros) y adapta el expediente al estándar requerido.
• Trust Agent: monitoriza deadlines de visado, prepara documentación consular y gestiona renovaciones cuando el Usuario contrata este servicio adicional.

6.2. Tecnología base

Todos los agentes se construyen sobre Claude, un modelo de lenguaje desarrollado por Anthropic, Inc. (San Francisco, EE.UU.), con tecnologías propietarias de orquestación desarrolladas por 6Profiles Consulting, S.L. Sus documentos son procesados mediante la API de Anthropic y no se utilizan para entrenar los modelos de IA.

6.3. Análisis de Credenciales

Los documentos que usted carga (títulos, certificados, expedientes) son analizados mediante el Verifier Agent para extraer información relevante (institución emisora, profesión, especialidad, fecha de expedición) y cruzarla con nuestra base de datos de requisitos regulatorios de cada país y profesión. El informe resultante se entrega como output orientativo y no como dictamen profesional.

6.4. CV Pro Internacional

El servicio CV Pro utiliza IA para (a) extraer la información de su currículum original, (b) reestructurar y optimizar el contenido según los estándares del país y sector de destino, y (c) generar una versión profesional del documento. Los datos de su CV son procesados exclusivamente para la prestación de este servicio.

6.5. Lead scoring automatizado

Utilizamos un sistema de puntuación automatizada (lead scoring) que evalúa el nivel de interés y la probabilidad de conversión de los Usuarios en función de sus interacciones con la plataforma. Esta puntuación se utiliza únicamente para priorizar la atención comercial y no produce efectos jurídicos sobre el Usuario ni le afecta significativamente de forma análoga.

6.6. Garantías conforme al Art. 22 RGPD y EU AI Act

Conforme al artículo 22 del RGPD y al Reglamento (UE) 2024/1689 (EU AI Act):

• Ningún proceso de toma de decisiones totalmente automatizado produce efectos jurídicos significativos sobre usted. La decisión final sobre la homologación, equivalencia o reconocimiento de credenciales corresponde siempre al organismo regulador competente.
• Los outputs generados por los Agentes de Booka son revisados por nuestro equipo humano (en planes Managed y B2B) o están sujetos a confirmación posterior por el organismo regulador.
• Usted tiene derecho a solicitar intervención humana, expresar su punto de vista e impugnar cualquier resultado generado por la IA.
• Cuando Booka actúa como proveedor de un sistema de IA utilizado por un organismo público (uso de alto riesgo conforme al Anexo III del EU AI Act), cumplimos con todos los requisitos aplicables: gestión de riesgos, calidad de los datos, documentación técnica, supervisión humana, robustez técnica, ciberseguridad y registro en la base de datos de la UE.

7. Plazos de Conservación de los Datos

Transcurridos los plazos indicados, sus datos serán suprimidos o anonimizados de forma irreversible, salvo que exista una obligación legal que exija su conservación durante un periodo adicional.

8. Transferencias Internacionales de Datos

Además, en el marco de los servicios de validación, sus documentos pueden ser compartidos con organismos reguladores de los países de destino (Ministerio de Universidades en España, ANECA, SCFHS en Arabia Saudí, GMC en Reino Unido, DHA en Emiratos Árabes, Saudi Council of Engineers, SOCPA, QCHP en Qatar, DREETS en Francia, entre otros). Estas transferencias se realizan únicamente cuando usted ha contratado el servicio correspondiente y son necesarias para la ejecución del contrato.

9. Compartición de Datos con Terceros

No vendemos sus datos personales. Compartimos sus datos únicamente en las siguientes circunstancias:

• Organismos reguladores: En su nombre y como parte del servicio de validación contratado (ministerios, colegios profesionales, consejos de salud, consejos de ingeniería, autoridades educativas).
• Instituciones empleadoras y universidades: Exclusivamente con su consentimiento explícito previo, en el marco de los servicios contratados.
• Procesadores de pago: Stripe procesa sus pagos de forma segura bajo estándares PCI-DSS Nivel 1.
• Proveedores de servicios tecnológicos: Los proveedores listados en la sección 8 actúan como encargados del tratamiento bajo contratos que garantizan la protección de sus datos.
• DataFlow Group: Partner verificador para credenciales sanitarias y de ingeniería en el Golfo, cuando aplique.
• Bookahospi (8Hospi Inc.): Si usted contrata servicios sanitarios complementarios (placement, visado, turnos) que requieren gestión por Bookahospi, se aplica una cesión específica con su consentimiento explícito.
• Obligación legal: Cuando sea requerido por ley, orden judicial o autoridad administrativa competente.
• Protección de derechos: Para proteger nuestros derechos legítimos, incluida la prevención de fraude.

10. Sus Derechos como Interesado

Conforme al RGPD y la legislación aplicable, usted tiene los siguientes derechos:

• Derecho de acceso (Art. 15 RGPD): Obtener confirmación de si tratamos sus datos y acceder a una copia de los mismos.
• Derecho de rectificación (Art. 16 RGPD): Solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión (Art. 17 RGPD): Solicitar la eliminación de sus datos cuando ya no sean necesarios, retire su consentimiento o se opongan al tratamiento (“derecho al olvido”).
• Derecho a la portabilidad (Art. 20 RGPD): Recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Derecho de limitación (Art. 18 RGPD): Solicitar que se restrinja el tratamiento de sus datos en determinadas circunstancias.
• Derecho de oposición (Art. 21 RGPD): Oponerse al tratamiento de sus datos basado en interés legítimo o con fines de marketing directo.
• Derecho a retirar el consentimiento: Retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• Derecho a no ser objeto de decisiones automatizadas (Art. 22 RGPD): No ser sometido a decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre usted.
• Derecho a presentar una reclamación: Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de protección de datos de su país de residencia (ICO en UK, INAI en México, SIC en Colombia, ANPD en Brasil, SDAIA en Arabia Saudí, entre otras).

Para ejercer cualquiera de estos derechos, envíe un correo electrónico a privacy@usebooka.com indicando el derecho que desea ejercer y acompañando una copia de su documento de identidad. Responderemos en un plazo máximo de 30 días naturales, prorrogable por dos meses más en casos de especial complejidad, previa notificación.

10.1. Eliminación de la cuenta y datos asociados

Si desea eliminar su cuenta y los datos asociados de Booka, siga estos pasos:

1. Abra la aplicación de Booka.
2. Vaya a Perfil → Información personal → Eliminar cuenta.
3. Seleccione Eliminar cuenta, o contáctenos en privacy@usebooka.com.
4. Incluya la dirección de correo electrónico o el número de teléfono asociado a su cuenta.

Tras recibir su solicitud, eliminaremos su cuenta y los datos personales asociados, incluida la información de su perfil y los datos de cuenta relacionados con la app.

Algunos datos podrán conservarse cuando así lo exijan obligaciones legales, de seguridad, de prevención del fraude, de facturación o de cumplimiento normativo. Los datos conservados se mantendrán únicamente durante el periodo de conservación requerido y, transcurrido este, serán eliminados.

Para solicitudes de eliminación de cuenta, contacte con: privacy@usebooka.com y sebastian@bookahospi.com.

11. Datos de Menores de Edad

Los servicios de Booka están dirigidos exclusivamente a profesionales mayores de 18 años. No recopilamos deliberadamente datos personales de menores de edad. Si tenemos conocimiento de que hemos recopilado datos de un menor sin el consentimiento parental adecuado, procederemos a eliminar dichos datos sin dilación. Si usted cree que hemos recopilado datos de un menor, le rogamos que nos lo comunique a privacy@usebooka.com.

12. Medidas de Seguridad

Implementamos medidas técnicas y organizativas adecuadas para proteger sus datos personales:

• Cifrado en tránsito: Todas las comunicaciones se realizan mediante TLS 1.2+ (HTTPS).
• Cifrado en reposo: Los datos almacenados en nuestra base de datos están cifrados (Neon PostgreSQL con cifrado AES-256).
• Control de acceso: Acceso basado en roles con principio de mínimo privilegio. Autenticación multifactor para el equipo interno y obligatoria para cuentas B2B.
• Proveedores certificados: Nuestros proveedores principales (Stripe, Vercel, Neon, Anthropic, Google Cloud) mantienen certificaciones SOC 2 Tipo II y/o ISO 27001.
• Pagos seguros: Stripe mantiene certificación PCI-DSS Nivel 1. Booka nunca almacena datos completos de tarjetas de pago.
• Soberanía de datos: Datos europeos en infraestructura europea (Neon AWS Frankfurt). Datos saudíes en infraestructura conforme con PDPL cuando aplique.
• Booka: ISO 27001 y SOC 2 Type II en proceso de certificación, con previsión de cierre en Q3 2026.
• Monitorización: Monitorización continua de la infraestructura y registros de acceso.
• App móvil: Tokens de autenticación almacenados en Keychain (iOS) y Keystore (Android), nunca en almacenamiento no seguro.
• Formación: El personal con acceso a datos personales recibe formación periódica en protección de datos.

13. Cookies y Tecnologías de Seguimiento

Utilizamos cookies y tecnologías similares para el funcionamiento de nuestra plataforma, análisis de uso y personalización. Para información detallada sobre las cookies que utilizamos, sus finalidades, duración y cómo gestionarlas, consulte nuestra Política de Cookies.

14. Notificación de Brechas de Seguridad

En caso de producirse una brecha de seguridad que afecte a sus datos personales, cumpliremos con las obligaciones de notificación establecidas en los artículos 33 y 34 del RGPD:

• Notificaremos a la autoridad de control competente (AEPD) en un plazo máximo de 72 horas desde que tengamos conocimiento de la brecha, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas físicas.
• Cuando la brecha entrañe un alto riesgo para sus derechos y libertades, le comunicaremos la brecha sin dilación indebida, indicando la naturaleza de la brecha, las posibles consecuencias y las medidas adoptadas.

15. Cambios en esta Política

Nos reservamos el derecho de actualizar esta Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de nuestras prácticas de tratamiento de datos. En caso de cambios sustanciales:

• Publicaremos la versión actualizada en esta misma página con la nueva fecha de última actualización.
• Le notificaremos por correo electrónico (si disponemos de su dirección) con al menos 30 días de antelación a la entrada en vigor de los cambios.
• Si los cambios afectan a tratamientos basados en su consentimiento, le solicitaremos un nuevo consentimiento cuando sea necesario.

16. Contacto

Para cualquier consulta relacionada con esta Política de Privacidad o con el tratamiento de sus datos personales:

• Responsable: 6Profiles Consulting, S.L. (Booka)
• CIF: B09885815
• Domicilio social: Calle de Silvia Munt 6, Madrid, España
• Correo electrónico: privacy@usebooka.com
• Sitio web: usebooka.com

Política de Privacidad de Booka · 6Profiles Consulting, S.L. · 9 de junio de 2026