Política de privacidad

1. Quién es el responsable del tratamiento

Responsable

[PENDIENTE: nombre y apellidos o razón social del titular] (en adelante, «Faenko»)

NIF/CIF

[PENDIENTE: NIF/CIF]

Domicilio

[PENDIENTE: domicilio completo]

Correo electrónico general

[email protected]

Correo para asuntos de protección de datos

[PENDIENTE: email para ejercicio de derechos, p. ej. [email protected]]

Delegado de Protección de Datos

[PENDIENTE: confirmar si se designa Delegado de Protección de Datos y, en su caso, su contacto]

2. A quién se aplica esta política

Esta política se aplica a los datos personales de los que Faenko es responsable, es decir, los de:

• las personas que visitan el sitio web www.faenko.com;
• las personas que registran una organización en Faenko y los usuarios de la aplicación (app.faenko.com y las aplicaciones para iOS y Android), en lo relativo a la gestión de su cuenta, de la relación contractual y de la seguridad del servicio;
• las personas que se ponen en contacto con nosotros.

Faenko es un servicio dirigido exclusivamente a profesionales y empresas. Los datos que nuestros clientes introducen en Faenko sobre sus propios clientes y su personal se rigen por otras reglas: en ese caso el responsable es cada cliente y Faenko actúa como encargado del tratamiento. Lo explicamos en la sección 10.

3. Qué datos tratamos y de dónde proceden

Si visitas el sitio web

El sitio web no tiene formularios, no usa cookies ni herramientas de analítica y no recoge datos personales. Solo trataremos tus datos si decides escribirnos por correo electrónico: en ese caso, tu dirección de correo, tu nombre y lo que nos cuentes.

Como ocurre con cualquier web, para mostrarte las páginas tu navegador envía datos técnicos, como tu dirección IP, al servidor. Nuestro proveedor de alojamiento (Cloudflare) los trata para servir el sitio y protegerlo frente a ataques. Faenko no los utiliza para identificarte ni para elaborar estadísticas.

Si usas la aplicación

• Datos de la cuenta: nombre, correo electrónico, teléfono (si lo facilitas), rol dentro de la organización y contraseña. De la contraseña solo guardamos un resumen cifrado (hash bcrypt), nunca la contraseña en sí.
• Datos de la organización y de facturación: nombre o razón social, NIF/CIF, dirección, teléfono, correo electrónico y logotipo. Si eres profesional autónomo, algunos de estos datos son datos personales tuyos.
• Datos de seguridad y de sesión: la dirección IP y el agente de usuario (el tipo de navegador o dispositivo) de cada inicio de sesión, con sus fechas; las solicitudes de restablecimiento de contraseña (correo electrónico, dirección IP y fecha).
• Registro de auditoría: qué acciones relevantes se realizan dentro de la cuenta, quién las hace y cuándo.
• Datos de uso de la IA: de cada petición a las funciones de inteligencia artificial registramos solo metadatos (tipo de petición, modelo utilizado, número de tokens, si se completó correctamente y la fecha), no su contenido.
• Aceptación del contrato: la versión de las condiciones generales y del contrato de encargo que aceptas, la fecha, y la versión de esta política que se te mostró (esta política es información, no algo que aceptes).
• Comunicaciones: los mensajes que intercambiamos contigo, por ejemplo, al pedir soporte.

De dónde proceden

La mayoría de los datos nos los facilitas tú al registrarte, al configurar tu organización o al escribirnos. Los datos de seguridad, de auditoría y de uso de la IA se generan al utilizar el servicio. Si tu cuenta la ha creado el administrador de tu organización, él nos ha facilitado tus datos básicos (nombre, correo electrónico y rol).

Los datos que se marcan como obligatorios al registrarte son necesarios para crear la cuenta y prestarte el servicio; sin ellos no podemos hacerlo.

4. Para qué usamos los datos y con qué base jurídica

Cuando nos basamos en el interés legítimo, hemos comprobado que el tratamiento es necesario, se limita a lo imprescindible y es el que cabe esperar razonablemente de un servicio profesional en línea. Puedes oponerte en cualquier momento (sección 11).

No vendemos tus datos ni los usamos para enviarte publicidad. No elaboramos perfiles ni tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti o te afecten de forma significativa. Si en el futuro quisiéramos enviarte comunicaciones comerciales, lo haríamos conforme al artículo 21 de la LSSI-CE, con la posibilidad de oponerte de forma sencilla en cada comunicación.

5. Funciones de inteligencia artificial

Las funciones de inteligencia artificial de Faenko son una ayuda administrativa para ahorrarte tiempo. Esto es lo que hacen y lo que no:

• Sí: transcriben a texto las notas de voz que grabas, ordenan y estructuran el texto que dictas o escribes, y redactan borradores de mensajes.
• No: no deciden precios ni importes, no guardan nada en tu cuenta por su cuenta y no envían nada a nadie. Todo lo que propone la IA se te muestra para que lo revises, lo corrijas y decidas si lo guardas.

Para prestar estas funciones, el audio de la nota de voz o el texto se envía al proveedor de IA (ver sección 7). Faenko no almacena el audio: solo se guarda el texto resultante si tú decides guardarlo. Del uso de la IA solo registramos los metadatos descritos en la sección 3, no el contenido de las peticiones.

Te recomendamos no dictar ni escribir más datos personales de los necesarios y, en particular, no incluir datos de salud u otras categorías especiales de datos.

6. Cuánto tiempo conservamos los datos

• Cuenta y organización: mientras estén activas. Si se elimina la organización, todos sus datos y archivos se borran de inmediato del sistema en producción, salvo las facturas emitidas y sus cobros, que conservamos bloqueados por cuenta de la organización (su responsable) durante un plazo de 6 años contados desde el cierre del ejercicio de su último movimiento (la factura o su último cobro), o el plazo mayor que proceda, para que pueda cumplir su obligación legal de conservarlas; después se eliminan automáticamente (ver el contrato de encargo). Si eliminas solo tu cuenta, tus datos de cuenta (nombre, email, teléfono, contraseña, sesiones) se borran o anonimizan de inmediato y tu nombre se sustituye por «Usuario eliminado» en el registro de actividad; los registros de negocio de la organización en los que aparezcas (por ejemplo, el técnico asignado a un trabajo) pertenecen a la organización, que es su responsable, y se conservan mientras ella los mantenga.
• Copias de seguridad: los datos eliminados pueden permanecer durante un tiempo limitado dentro de las copias de seguridad cifradas, que se borran automáticamente: las diarias a los 7 días, las semanales a las 4 semanas y las mensuales a los 3 meses. Por tanto, en un máximo de 3 meses no queda ninguna copia. Si alguna vez hubiera que restaurar una copia, se volverían a aplicar las eliminaciones realizadas desde que se hizo.
• Sesiones (IP y agente de usuario): se eliminan automáticamente cuando caduca la sesión, lo que ocurre tras 30 días sin actividad y, en todo caso, a los 90 días de haber iniciado sesión.
• Restablecimiento de contraseña: el enlace caduca en poco tiempo (actualmente, 30 minutos) y la solicitud se elimina automáticamente al caducar.
• Registro de auditoría y metadatos de uso de la IA: mientras exista la organización; se eliminan al eliminarla.
• Comunicaciones: el tiempo necesario para atender la consulta y hacer su seguimiento.
• Datos de facturación de Faenko a sus clientes: durante los plazos que exige la normativa mercantil y tributaria (con carácter general, seis años para la documentación contable y cuatro años para la tributaria).

Cuando una ley nos obligue a conservar algún dato una vez finalizada su finalidad, lo mantendremos bloqueado, es decir, apartado y sin utilizarlo salvo para atender esa obligación, conforme al artículo 32 de la LOPDGDD.

7. Con quién compartimos los datos

No cedemos tus datos a terceros, salvo cuando una ley nos obligue a ello (por ejemplo, a jueces y tribunales, a la Agencia Tributaria o a otras autoridades). Cuando sea necesario, también podrán acceder a ellos asesores externos de Faenko (legales, contables o fiscales), sujetos a deber de confidencialidad.

Para prestar el servicio nos apoyamos en proveedores tecnológicos que tratan los datos por cuenta de Faenko (encargados o subencargados del tratamiento), con los que tenemos contratos que les obligan a tratarlos solo siguiendo nuestras instrucciones y con medidas de seguridad adecuadas:

• Render Services, Inc. · Sede: EE. UU.

  Servicio

  Alojamiento y ejecución del servidor de la aplicación (API).

  Datos

  Los datos que se envían a la aplicación o se obtienen de ella mientras se procesan las peticiones.

  Ubicación

  [PENDIENTE: confirmar la región de alojamiento del servicio en Render]

• MongoDB, Inc. (MongoDB Atlas) · Sede: EE. UU.

  Servicio

  Base de datos gestionada donde se guardan los datos de la cuenta y de la organización.

  Datos

  Todos los datos almacenados en la aplicación, salvo los archivos.

  Ubicación

  Unión Europea: Amazon Web Services, región eu-west-3 (París, Francia).

• Cloudflare, Inc. · Sede: EE. UU.

  Servicio

  Alojamiento de la web y de la aplicación web (Cloudflare Pages), almacenamiento de archivos como fotos y logotipos (Cloudflare R2) y almacenamiento de las copias de seguridad cifradas.

  Datos

  Archivos subidos a la aplicación, copias de seguridad cifradas y datos técnicos de conexión (como la dirección IP) necesarios para servir las páginas.

  Ubicación

  Red global de Cloudflare para servir la web y la aplicación web. [PENDIENTE: confirmar la ubicación (jurisdicción) de los buckets de Cloudflare R2]

• Resend · Sede: EE. UU.

  Servicio

  Envío de correos electrónicos transaccionales (por ejemplo, el enlace para restablecer la contraseña).

  Datos

  Dirección de correo electrónico del destinatario y contenido del mensaje.

  Ubicación

  EE. UU.

• OpenAI, L.L.C. · Sede: EE. UU.

  Servicio

  Funciones de inteligencia artificial: transcripción de notas de voz y procesamiento de texto, a través de su API.

  Datos

  El audio de las notas de voz y los textos que el usuario envía a las funciones de IA, que pueden contener datos de sus clientes.

  Ubicación

  EE. UU.

• NVIDIA Corporation · Sede: EE. UU.

  Servicio

  Proveedor alternativo de IA para el procesamiento de texto, solo si se configura como proveedor activo.

  Datos

  Los textos que el usuario envía a las funciones de IA de procesamiento de texto.

  Ubicación

  EE. UU. [PENDIENTE: confirmar si se utiliza]

• GitHub, Inc. · Sede: EE. UU.

  Servicio

  Ejecución automatizada de las tareas que generan, cifran y verifican las copias de seguridad.

  Datos

  Los datos de la base de datos, de forma transitoria durante la generación y verificación de cada copia; no se conservan en GitHub.

  Ubicación

  EE. UU.

Esta misma lista forma parte del Contrato de encargo del tratamiento.

8. Transferencias internacionales

La base de datos principal está alojada en la Unión Europea, pero varios de nuestros proveedores tienen su sede en Estados Unidos o tratan allí parte de los datos (por ejemplo, las funciones de IA, el envío de correos o la ejecución de las copias de seguridad). Estas transferencias internacionales solo se realizan con las garantías que exige el RGPD: la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), cuando está certificado, o las cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas adicionales que resulten necesarias.

Puedes pedirnos información sobre las garantías aplicables a cada proveedor escribiendo a [PENDIENTE: email para ejercicio de derechos, p. ej. [email protected]].

9. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• comunicaciones cifradas en tránsito (HTTPS/TLS) entre tu navegador o tu dispositivo y nuestros servidores;
• contraseñas guardadas únicamente como resumen cifrado con bcrypt;
• sesiones de corta duración: el token de acceso caduca a los pocos minutos y se renueva de forma segura; las sesiones caducan tras 30 días sin actividad y como máximo a los 90 días, y se revocan al cerrar sesión o al desactivar a un usuario;
• límite de intentos de inicio de sesión y de registro para dificultar los ataques automatizados;
• aislamiento de los datos por organización: cada organización solo puede acceder a sus propios datos, y dentro de ella los permisos dependen del rol (administrador o técnico);
• registro de auditoría de las acciones relevantes;
• copias de seguridad automáticas y cifradas, guardadas separadas de la base de datos principal.

Ningún sistema es infalible. Si se produjera una brecha de seguridad que afecte a tus datos, la notificaremos a la autoridad de control y, cuando lo exija la ley, también a ti.

10. Datos de tus clientes y de tu equipo: Faenko como encargado

Cuando usas Faenko para gestionar tu negocio, introduces datos de otras personas: de tus clientes (nombre, teléfono, correo electrónico, dirección y notas), de los trabajos (descripciones, fotos y transcripciones de notas de voz), de presupuestos, facturas, cobros y citas, y de tu personal (por ejemplo, las cuentas de los técnicos que da de alta tu administrador).

Sobre esos datos, el responsable del tratamiento es tu empresa, que decide para qué y cómo se usan. Faenko actúa como encargado del tratamiento: los trata solo para prestarte el servicio, siguiendo tus instrucciones y en los términos del Contrato de encargo del tratamiento, que aceptas al registrarte.

Como responsable, te corresponde contar con una base jurídica para tratar esos datos, informar a tus clientes y a tu personal, y atender sus solicitudes de derechos. Si alguno de ellos se dirige a Faenko, le trasladaremos su solicitud a tu empresa y te ayudaremos a responderla.

Si eres cliente de un profesional que utiliza Faenko y quieres ejercer tus derechos, dirígete a ese profesional, que es quien decide sobre tus datos.

11. Tus derechos y cómo ejercerlos

Puedes ejercer en cualquier momento, de forma gratuita, los siguientes derechos:

• Acceso: saber si tratamos tus datos y obtener una copia.
• Rectificación: corregir los datos inexactos o incompletos.
• Supresión: pedir que borremos tus datos cuando ya no sean necesarios, entre otros casos.
• Oposición: oponerte a los tratamientos basados en nuestro interés legítimo.
• Limitación: pedir que suspendamos temporalmente el tratamiento en determinados casos.
• Portabilidad: recibir los datos que nos has facilitado en un formato estructurado y de uso común.

Desde la propia aplicación

• Puedes consultar tus datos en Ajustes. El administrador puede corregir los datos de la organización (Ajustes) y los de los miembros del equipo (Equipo); para cualquier otra corrección, escríbenos.
• El administrador de la organización puede exportar todos los datos de la organización en formato JSON desde Ajustes.
• Puedes eliminar tu cuenta desde la aplicación. Si eres el único administrador, antes tendrás que nombrar a otro administrador o eliminar la organización.
• El administrador puede eliminar la organización desde Ajustes. Se borra todo salvo las facturas emitidas y sus cobros, que se conservan bloqueados durante el plazo legal (ver «Cuánto tiempo conservamos los datos»). Antes de hacerlo, te recomendamos exportar tus datos para disponer de tu propia copia.

Por correo electrónico

Escríbenos a [PENDIENTE: email para ejercicio de derechos, p. ej. [email protected]] (también puedes usar [email protected]) indicando qué derecho quieres ejercer. Si escribes desde el correo asociado a tu cuenta, normalmente no necesitaremos más datos; si tenemos dudas razonables sobre tu identidad, podremos pedirte información adicional para confirmarla.

Te responderemos en el plazo máximo de un mes, que podría ampliarse otros dos meses en casos complejos o si recibimos muchas solicitudes; en ese caso, te avisaremos dentro del primer mes.

12. Reclamación ante la autoridad de control

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Te agradeceremos que antes nos escribas, para intentar resolverlo directamente.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio, en los proveedores o en la normativa. Cada versión indica su fecha y su número de versión. Si el cambio es relevante, te lo comunicaremos por correo electrónico o en la aplicación antes de que se aplique y, cuando sea necesario, te pediremos que aceptes la nueva versión.