Política de privacidad

El responsable del tratamiento de los datos personales recogidos a través de la plataforma Alethexis es:

• Razón social: ALETHEXIS, S.L.
• NIF: B88758057
• Domicilio: C/ Tirso de Molina 36, 08940 Cornellà de Llobregat (Barcelona)
• CNAE: 6201 (Actividades de programación informática)
• Contacto general: [email protected]
• Contacto en privacidad: [email protected]

Tratamos tus datos personales para las siguientes finalidades, cada una con su base jurídica conforme al Reglamento (UE) 2016/679 (RGPD):

• Gestión de cuentas y usuarios (nombre, email, rol, metadatos de uso): interés legítimo (Art. 6.1.f RGPD), y ejecución del contrato (Art. 6.1.b RGPD) solo cuando la persona usuaria es ella misma la contratante. Ver el párrafo que sigue a esta lista.
• Facturación (razón social, NIF, dirección fiscal, importes): obligación legal mercantil y fiscal (Art. 6.1.c RGPD).
• Gestión de contactos profesionales y prospección B2B (nombre, cargo, email y teléfono profesionales, empresa, sector): interés legítimo (Art. 6.1.f RGPD). Para las personas que prestan servicios en una persona jurídica, con los requisitos del art. 19 de la Ley Orgánica 3/2018 (LOPDGDD). Datos obtenidos del interesado, de la organización a la que pertenece, de fuentes profesionales públicas o de proveedores de datos B2B empleados conforme a la normativa aplicable; la información del Art. 14 RGPD se facilita en el primer contacto.
• Envío de comunicaciones comerciales por medios electrónicos: consentimiento, o la habilitación que prevea la normativa de comunicaciones electrónicas aplicable al destinatario. En España, art. 21 de la Ley 34/2002 (LSSI-CE), incluida la excepción de relación contractual previa cuando concurren sus requisitos. Fuera de España, la transposición nacional de la Directiva 2002/58/CE. Alethexis no trata el interés legítimo del RGPD como habilitación general para enviar correo comercial no solicitado. Toda comunicación incluye un medio sencillo de oposición.
• Logs técnicos, monitorización de errores y protección antiabuso (IP, agente de usuario, ruta, marcas de tiempo, señales de Turnstile, errores con datos sensibles eliminados): interés legítimo (Art. 6.1.f RGPD) en mantener un servicio seguro y fiable. Alethexis no realiza analítica de visitantes del sitio web.
• Cookies y almacenamiento en alethexis.com: las estrictamente necesarias para prestar el servicio solicitado, que están exentas de consentimiento. Alethexis no emplea cookies de analítica ni de marketing. Ver Política de cookies.
• Lista de espera (waitlist) por país (email, organización, país, sector, empleados): consentimiento informado (Art. 6.1.a RGPD), revocable en cualquier momento.
• Suscripción a newsletter (email): consentimiento informado (Art. 6.1.a RGPD y LSSI Art. 21) para el envío de comunicaciones de Alethexis, incluyendo contenido editorial sobre inteligencia artificial y regulación, y novedades de producto. Revocable en cualquier momento mediante el enlace de baja incluido en cada envío.

La organización cliente decide qué personas acceden a la plataforma y con qué rol. Alethexis trata los datos de cuenta de las personas usuarias en calidad de responsable del tratamiento, con base en su interés legítimo en administrar el acceso, autenticar a las personas usuarias y mantener la seguridad, integridad y disponibilidad del servicio (art. 6.1.f RGPD). Estos datos no se utilizan para finalidades distintas de las indicadas. Las personas usuarias pueden oponerse a este tratamiento por motivos relacionados con su situación particular. En tal caso, Alethexis valorará la solicitud conforme a la normativa aplicable y, si procede su estimación, coordinará con la organización cliente la baja de la cuenta, ya que el servicio no puede prestarse sin la identificación de la persona usuaria.

Si eliges registrarte o iniciar sesión mediante tu cuenta de Google, recibimos de Google tu nombre, tu dirección de correo electrónico y, en su caso, tu imagen de perfil, con la única finalidad de crear y autenticar tu cuenta. No recibimos tu contraseña de Google ni accedemos a ningún otro dato de tu cuenta de Google. El uso que Google hace de tus datos se rige por su propia política de privacidad.

Inicio de sesión único (SSO) de tu organización. Si tu organización ha configurado el inicio de sesión único, recibimos tus datos de autenticación de su proveedor de identidad —por ejemplo Microsoft Entra ID o Google Workspace—, que ella contrata y configura, no nosotros. De ese intercambio conservamos únicamente un identificador estable que el proveedor te asigna y tu dirección de correo electrónico: no guardamos las aserciones ni los tokens del proveedor, ni en el registro de auditoría ni en los registros técnicos.

Ese proveedor no es subencargado de Alethexis: lo elige y lo contrata tu organización. Nuestro propio proveedor de autenticación sí figura en el Registro de subencargados y proveedores.

No creamos cuentas automáticamente a partir de esa identidad. Solo puede entrar por esta vía quien ya haya sido invitado a la organización.

Auditores externos autorizados por una organización cliente. Cuando una organización cliente da acceso temporal a un auditor externo, tratamos la dirección de correo de ese auditor por cuenta de la organización, que es la responsable del tratamiento: la introduce ella, y nosotros la usamos para enviarle el código de un solo uso y para dejar constancia de sus accesos y descargas en el historial de auditoría de esa organización.

Si eres el auditor y quieres ejercer tus derechos, la organización que te dio el acceso es tu interlocutor; si nos escribes a nosotros, trasladamos tu solicitud sin demora. El acceso caduca siempre —7, 30 o 90 días— y la organización puede revocarlo antes en cualquier momento.

Publicidad segmentada en LinkedIn

Alethexis puede promocionar sus contenidos y servicios mediante publicidad dirigida a públicos profesionales en LinkedIn. Para ello selecciona determinados criterios disponibles en la plataforma, como ubicación, idioma, cargo profesional y tamaño de empresa.

LinkedIn utiliza datos de sus miembros para determinar a quién mostrar los anuncios y proporcionar información sobre su rendimiento. Alethexis recibe estadísticas agregadas y no incorpora a esta modalidad listas propias de contactos, píxeles de seguimiento de LinkedIn ni retargeting.

La base jurídica propuesta para la participación de Alethexis en esta actividad es el interés legítimo previsto en el artículo 6.1.f del RGPD, sujeto a su correspondiente evaluación. Los interesados pueden gestionar sus preferencias publicitarias en LinkedIn y ejercer sus derechos ante Alethexis en relación con los tratamientos bajo su responsabilidad.

Alethexis conserva los informes estadísticos descargados durante un máximo de 12 meses desde la finalización de la campaña, salvo indicadores históricos efectivamente anónimos.

LinkedIn indica en sus condiciones contractuales que actúa como responsable independiente. Alethexis ha solicitado a LinkedIn que confirme por escrito el reparto de responsabilidades para esta modalidad publicitaria. LinkedIn declara realizar transferencias internacionales de datos con base, según corresponda, en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo.

• Datos de cuenta: vigencia del contrato + 30 días.
• Datos de facturación: 6 años (Art. 30 CCom y normativa fiscal).
• Prospects sin conversión: 24 meses desde el último contacto sin respuesta.
• Logs HTTP: 30 días. Logs de errores: 90 días.
• Waitlist: 24 meses máximo desde la inscripción.
• Suscriptores de newsletter: hasta la baja del interesado o 24 meses de inactividad.
• Prospectos B2B (Apollo.io u otros proveedores de datos B2B): los datos se contrastan y enriquecen mediante proveedores que actúan como encargados de Alethexis; ver Registro de subencargados y proveedores.
• Registro de auditoría de la plataforma (audit.access_log): durante la relación, como parte del Servicio.
• Tras la baja de la cuenta, el identificador de usuario se sustituye por un identificador seudónimo de correlación y el registro queda bloqueado con arreglo al art. 32 de la LOPDGDD: se impide su tratamiento, incluida su visualización, salvo para ponerlo a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes. En términos del Servicio, eso significa que ninguna pantalla, ninguna función de lectura y ninguna interfaz devuelve esas anotaciones.
• Conservamos ese registro bloqueado por si pudieran derivarse responsabilidades de nuestra relación con la organización (art. 33.4 LOPDGDD), en nuestra condición de encargado. La conservación se apoya en el art. 6.1.f del RGPD; el art. 17.3.e es una excepción a la obligación de supresión, no la base jurídica del tratamiento.
• Como criterio general, esa conservación tiene una duración máxima de cinco años desde la finalización del encargo, sin perjuicio de que resulte aplicable un plazo de prescripción diferente o de que se produzca una causa legal de interrupción o extensión del plazo. Transcurrido el plazo de prescripción aplicable, los datos se destruyen.
• Dirección IP y agente de usuario: se anulan a los 12 meses en todas las cuentas, con independencia de lo anterior.
• Instantáneas de aprobación: cuando alguien de tu organización registra la aprobación de un documento —una política, una FRIA, una DPIA—, guardamos una copia exacta de lo aprobado junto a la huella que permite comprobarla. Esa copia hereda el acceso y el plazo del documento que preserva: solo la lee quien puede leer el documento, y al borrarse éste, la copia se anula y quedan únicamente el acto, el rol, la fecha y la huella.
• Copias de seguridad: las copias de seguridad de la base de datos se conservan 7 días más la del día en curso. Durante ese plazo, los datos de una persona dada de baja siguen presentes en las copias; al rotar la última copia anterior a la baja, dejan de estarlo. Las copias no incluyen los ficheros que subes al Servicio, que siguen su propio ciclo.

Alethexis utiliza proveedores y encargados para determinadas operaciones del servicio. La relación actualizada y su función puede consultarse en proveedores y encargados.

Los datos de producto se almacenan en la Unión Europea (Supabase, Fráncfort). Cuando un proveedor trate datos fuera del Espacio Económico Europeo, Alethexis se apoya en las Cláusulas Contractuales Tipo del Art. 46.2.c RGPD, con la evaluación y las medidas suplementarias que resulten necesarias. El mecanismo de cada proveedor consta en el Registro de subencargados y proveedores.

Puedes ejercer los derechos reconocidos por el RGPD: acceso (Art. 15), rectificación (Art. 16), supresión (Art. 17), limitación (Art. 18), portabilidad (Art. 20) y oposición (Art. 21). También tienes el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar (Art. 22 RGPD). Alethexis no adopta sobre los usuarios de la plataforma decisiones basadas únicamente en tratamiento automatizado con tales efectos.

Para ejercerlos, escribe a [email protected]. Responderemos sin dilación indebida y, en cualquier caso, en el plazo de un mes, prorrogable conforme al art. 12.3 RGPD. Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD — www.aepd.es) o ante la autoridad de control del Estado miembro de tu residencia habitual, lugar de trabajo o lugar de la supuesta infracción (Art. 77 RGPD).

Respecto a los datos sustantivos que el cliente introduce en la plataforma (inventarios de sistemas IA, evaluaciones, evidencias, decisiones, nombres en matrices RACI, etc.), ALETHEXIS, S.L. actúa como encargado del tratamiento, no como responsable. Tratamos esos datos únicamente conforme a las instrucciones documentadas del cliente y según el Acuerdo de Encargo del Tratamiento (DPA) que forma parte del contrato. No accedemos a ellos para fines propios, salvo soporte solicitado, mantenimiento supervisado u obligación legal.

Contenido de soporte. Cuando utilizas nuestro canal de soporte, puedes adjuntar ficheros a tus tickets. Alethexis actúa como encargado del tratamiento de ese contenido, que puede incluir datos personales —incluso de categorías especiales— si decides adjuntarlos. Solo accedemos a esos ficheros para resolver tu solicitud de soporte, mediante enlaces de vigencia limitada, y los conservamos únicamente durante la vida del ticket: al eliminar el ticket o tu cuenta, los ficheros se borran. El alojamiento se realiza en Supabase (UE, Fráncfort), con cifrado en reposo.

Los datos de identificación de los usuarios que un Cliente autoriza en la plataforma (nombre, email, rol) son Datos de Cuenta: Alethexis los trata como responsable para la gestión de la cuenta y la seguridad del acceso, y quedan fuera del Acuerdo de Encargo del Tratamiento.

Aplicamos medidas técnicas y organizativas proporcionales al riesgo, entre ellas cifrado en tránsito, cifrado en reposo en base de datos y almacenamiento, aislamiento entre organizaciones mediante Row Level Security, registro de auditoría de solo adición y copias de seguridad diarias con retención de siete días. El registro de auditoría lleva además controles criptográficos de integridad, verificación periódica y una copia diaria de su huella en un almacén de otro proveedor, de modo que está diseñado para evidenciar alteraciones no autorizadas. Las medidas vigentes se describen en el Anexo III del Acuerdo de Encargo del Tratamiento.

Alethexis es un servicio profesional B2B dirigido a empresas. No está destinado a menores de edad y no recogemos conscientemente datos de menores.

El uso de cookies en alethexis.com se describe en la Política de Cookies.

Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta misma página e informaremos de los cambios materiales por los canales habituales.

Alethexis SL no está obligada a designar un delegado de protección de datos (art. 37.1 del Reglamento (UE) 2016/679 y art. 34.1 de la Ley Orgánica 3/2018) y no lo ha designado con carácter voluntario. La función de privacidad la ejerce la persona responsable de la organización con asesoramiento jurídico externo. Para cualquier consulta o ejercicio de derechos: [email protected].

Este documento está disponible en español e inglés. Ambas versiones expresan el mismo contenido. En caso de discrepancia de interpretación prevalecerá la versión española, sin perjuicio de las normas imperativas aplicables.