Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de la plataforma Alethexis es:

• Razón social: ALETHEXIS, S.L.
• NIF: B88758057
• Domicilio: C/ Tirso de Molina 36, 08940 Cornellà de Llobregat (Barcelona)
• CNAE: 6201 (Actividades de programación informática)
• Contacto general: hello@alethexis.com
• Contacto en privacidad: privacidad@alethexis.com

2. Datos que tratamos, finalidades y base jurídica

Tratamos tus datos personales para las siguientes finalidades, cada una con su base jurídica conforme al Reglamento (UE) 2016/679 (RGPD):

• Gestión de cuentas y usuarios (nombre, email, rol, metadatos de uso): interés legítimo (Art. 6.1.f RGPD), y ejecución del contrato (Art. 6.1.b RGPD) solo cuando la persona usuaria es ella misma la contratante. Ver el párrafo que sigue a esta lista.
• Facturación (razón social, NIF, dirección fiscal, importes): obligación legal mercantil y fiscal (Art. 6.1.c RGPD).
• Gestión de contactos profesionales y prospección B2B (nombre, cargo, email y teléfono profesionales, empresa, sector): interés legítimo (Art. 6.1.f RGPD). Para las personas que prestan servicios en una persona jurídica, con los requisitos del art. 19 de la Ley Orgánica 3/2018 (LOPDGDD). Datos obtenidos del interesado, de la organización a la que pertenece, de fuentes profesionales públicas o de proveedores de datos B2B empleados conforme a la normativa aplicable; la información del Art. 14 RGPD se facilita en el primer contacto.
• Envío de comunicaciones comerciales por medios electrónicos : consentimiento, o la habilitación que prevea la normativa de comunicaciones electrónicas aplicable al destinatario. En España, art. 21 de la Ley 34/2002 (LSSI-CE), incluida la excepción de relación contractual previa cuando concurren sus requisitos. Fuera de España, la transposición nacional de la Directiva 2002/58/CE. Alethexis no trata el interés legítimo del RGPD como habilitación general para enviar correo comercial no solicitado. Toda comunicación incluye un medio sencillo de oposición.
• Logs técnicos, monitorización de errores y protección antiabuso (IP, agente de usuario, ruta, marcas de tiempo, señales de Turnstile, errores con datos sensibles eliminados): interés legítimo (Art. 6.1.f RGPD) en mantener un servicio seguro y fiable. Alethexis no realiza analítica de visitantes del sitio web.
• Cookies y almacenamiento en alethexis.com: las estrictamente necesarias para prestar el servicio solicitado, que están exentas de consentimiento. Alethexis no emplea cookies de analítica ni de marketing. Ver Política de cookies.
• Lista de espera (waitlist) por país (email, organización, país, sector, empleados): consentimiento informado (Art. 6.1.a RGPD), revocable en cualquier momento.
• Suscripción a newsletter (email): consentimiento informado (Art. 6.1.a RGPD y LSSI Art. 21) para el envío de comunicaciones de Alethexis, incluyendo contenido editorial sobre inteligencia artificial y regulación, y novedades de producto. Revocable en cualquier momento mediante el enlace de baja incluido en cada envío.

Recursos descargables. Cuando solicitas gratuitamente un recurso de Alethexis, utilizamos los datos facilitados para atender tu solicitud, entregarte el recurso y gestionar las incidencias relacionadas. Este tratamiento se basa en nuestro interés legítimo en responder a las solicitudes recibidas (artículo 6.1.f RGPD), previa ponderación de dicho interés y de los derechos afectados. Puedes ejercer tu derecho de oposición en privacidad@alethexis.com. Estos datos no se utilizarán para comunicaciones comerciales sin una habilitación jurídica independiente. Si no se inicia una relación comercial, el registro de solicitud se conservará durante doce meses, salvo que proceda antes su supresión.

Métricas de uso. Alethexis trata determinados indicadores de uso y activación del Servicio para conocer el funcionamiento del producto, detectar dificultades de incorporación y mejorar sus funcionalidades. Cuando estos indicadores pueden vincularse a personas físicas identificadas o identificables, el tratamiento se basa en el interés legítimo de Alethexis (artículo 6.1.f RGPD), previa ponderación. El acceso a estos datos se limita al personal autorizado. Los indicadores identificables se conservarán como máximo doce meses desde su generación, tras lo cual se eliminarán o anonimizarán. Podrán mantenerse estadísticas históricas cuando sean efectivamente anónimas.

La organización cliente decide qué personas acceden a la plataforma y con qué rol. Alethexis trata los datos de cuenta de las personas usuarias en calidad de responsable del tratamiento, con base en su interés legítimo en administrar el acceso, autenticar a las personas usuarias y mantener la seguridad, integridad y disponibilidad del servicio (art. 6.1.f RGPD). Estos datos no se utilizan para finalidades distintas de las indicadas. Las personas usuarias pueden oponerse a este tratamiento por motivos relacionados con su situación particular. En tal caso, Alethexis valorará la solicitud conforme a la normativa aplicable y, si procede su estimación, coordinará con la organización cliente la baja de la cuenta, ya que el servicio no puede prestarse sin la identificación de la persona usuaria.

Invitaciones de alta. Cuando un usuario autorizado invita a una persona a crear una organización en Alethexis, tratamos la dirección de correo facilitada y los datos necesarios para enviar la invitación, controlar su seguridad y gestionar su aceptación o rechazo. La base jurídica es nuestro interés legítimo en facilitar el alta solicitada y prevenir usos indebidos (artículo 6.1.f RGPD). Las invitaciones tienen una vigencia de catorce días y las no utilizadas se eliminan treinta días después de su caducidad. Cuando se utilizan, se conserva la evidencia mínima de quién invitó, a quién, cuándo y de la decisión del Owner sobre la incorporación y su rol, durante el tiempo justificado por la relación y las responsabilidades correspondientes. El invitado recibe la información de privacidad en el primer contacto y puede ejercer sus derechos por los canales indicados en esta Política. El rol DPO dentro de Alethexis no constituye, por sí mismo, una designación formal de delegado de protección de datos.

Si eliges registrarte o iniciar sesión mediante tu cuenta de Google, recibimos de Google tu nombre, tu dirección de correo electrónico y, en su caso, tu imagen de perfil, con la única finalidad de crear y autenticar tu cuenta. No recibimos tu contraseña de Google ni accedemos a ningún otro dato de tu cuenta de Google. El uso que Google hace de tus datos se rige por su propia política de privacidad.

Inicio de sesión único (SSO) de tu organización. Si tu organización ha configurado el inicio de sesión único, recibimos tus datos de autenticación de su proveedor de identidad —por ejemplo Microsoft Entra ID o Google Workspace—, que ella contrata y configura, no nosotros. De ese intercambio conservamos únicamente un identificador estable que el proveedor te asigna y tu dirección de correo electrónico : no guardamos las aserciones ni los tokens del proveedor, ni en el registro de auditoría ni en los registros técnicos.

Ese proveedor no es subencargado de Alethexis: lo elige y lo contrata tu organización. Nuestro propio proveedor de autenticación sí figura en el Registro de subencargados y proveedores .

No creamos cuentas automáticamente a partir de esa identidad. Solo puede entrar por esta vía quien ya haya sido invitado a la organización.

Auditores externos autorizados por una organización cliente. Cuando una organización cliente da acceso temporal a un auditor externo, tratamos la dirección de correo de ese auditor por cuenta de la organización , que es la responsable del tratamiento: la introduce ella, y nosotros la usamos para enviarle el código de un solo uso y para dejar constancia de sus accesos y descargas en el historial de auditoría de esa organización.

Si eres el auditor y quieres ejercer tus derechos, la organización que te dio el acceso es tu interlocutor ; si nos escribes a nosotros, trasladamos tu solicitud sin demora. El acceso caduca siempre —7, 30 o 90 días— y la organización puede revocarlo antes en cualquier momento.

Publicidad segmentada en LinkedIn

Alethexis puede promocionar sus contenidos y servicios mediante publicidad dirigida a públicos profesionales en LinkedIn. Para ello selecciona determinados criterios disponibles en la plataforma, como ubicación, idioma, cargo profesional y tamaño de empresa.

LinkedIn utiliza datos de sus miembros para determinar a quién mostrar los anuncios y proporcionar información sobre su rendimiento. Alethexis recibe estadísticas agregadas y no incorpora a esta modalidad listas propias de contactos, píxeles de seguimiento de LinkedIn ni retargeting.

La base jurídica propuesta para la participación de Alethexis en esta actividad es el interés legítimo previsto en el artículo 6.1.f del RGPD, sujeto a su correspondiente evaluación. Los interesados pueden gestionar sus preferencias publicitarias en LinkedIn y ejercer sus derechos ante Alethexis en relación con los tratamientos bajo su responsabilidad.

Alethexis conserva los informes estadísticos descargados durante un máximo de 12 meses desde la finalización de la campaña, salvo indicadores históricos efectivamente anónimos.

LinkedIn indica en sus condiciones contractuales que actúa como responsable independiente. Alethexis ha solicitado a LinkedIn que confirme por escrito el reparto de responsabilidades para esta modalidad publicitaria. LinkedIn declara realizar transferencias internacionales de datos con base, según corresponda, en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo.

Curso por correo La Ruta y boletín informativo

Alethexis permite solicitar voluntariamente el curso gratuito La Ruta, compuesto por siete correos electrónicos sobre gobernanza de inteligencia artificial para pymes, y, de forma independiente, suscribirse a su boletín de contenidos sobre inteligencia artificial, regulación y novedades de productos y servicios.

La base jurídica de ambos tratamientos es el consentimiento del interesado (artículo 6.1.a RGPD), solicitado por separado y confirmado mediante un procedimiento de doble verificación de la dirección de correo electrónico.

Para gestionar estas suscripciones tratamos la dirección de correo electrónico y los datos mínimos necesarios para acreditar las preferencias, la fecha de consentimiento, el idioma, el origen y la versión de la información aceptada.

El interesado puede cancelar el curso, darse de baja del boletín o solicitar el cese general de comunicaciones comerciales en cualquier momento, mediante los mecanismos disponibles en los mensajes o contactando con Alethexis.

La cancelación de una suscripción no implica la cancelación de la otra, salvo solicitud expresa de baja general. La inscripción al curso, por sí sola, no autoriza el envío de otras comunicaciones comerciales.

Las solicitudes no confirmadas se eliminan a los 14 días. Las inscripciones confirmadas se conservan durante el periodo necesario para gestionar el curso o la suscripción correspondiente. Una vez finalizada o retirada la suscripción, podrán conservarse evidencias mínimas durante los plazos indicados en esta política, cuando exista una justificación jurídica suficiente. Los registros mínimos de exclusión podrán mantenerse mientras sean necesarios para impedir comunicaciones no autorizadas.

La gestión técnica y el envío se realizan mediante los proveedores identificados en esta política, de acuerdo con las condiciones y garantías aplicables a sus tratamientos y transferencias internacionales.

3. Plazos de conservación

Los plazos de esta sección son criterios de conservación fijados por Alethexis, no plazos establecidos por el RGPD, salvo los de facturación, que resultan de la ley. La matriz completa, con su fundamento y el papel de Alethexis en cada caso, es el Anexo IV del Acuerdo de Encargo del Tratamiento.

Mientras el registro de auditoría está bloqueado, ninguna pantalla, ninguna función de lectura y ninguna interfaz devuelve esas anotaciones, salvo para ponerlas a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes.

4. Destinatarios y encargados del tratamiento

Alethexis utiliza proveedores y encargados para determinadas operaciones del servicio. La relación actualizada y su función puede consultarse en proveedores y encargados.

5. Transferencias internacionales

Los datos de producto se almacenan en la Unión Europea (Supabase, Fráncfort). Cuando un proveedor trate datos fuera del Espacio Económico Europeo, Alethexis se apoya en las Cláusulas Contractuales Tipo del Art. 46.2.c RGPD, con la evaluación y las medidas suplementarias que resulten necesarias. El mecanismo de cada proveedor consta en el Registro de subencargados y proveedores .

6. Tus derechos

Puedes ejercer los derechos reconocidos por el RGPD: acceso (Art. 15), rectificación (Art. 16), supresión (Art. 17), limitación (Art. 18), portabilidad (Art. 20) y oposición (Art. 21). También tienes el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar (Art. 22 RGPD). Alethexis no adopta sobre los usuarios de la plataforma decisiones basadas únicamente en tratamiento automatizado con tales efectos.

Para ejercerlos, escribe a privacidad@alethexis.com . Responderemos sin dilación indebida y, en cualquier caso, en el plazo de un mes, prorrogable conforme al art. 12.3 RGPD. Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD — www.aepd.es ) o ante la autoridad de control del Estado miembro de tu residencia habitual, lugar de trabajo o lugar de la supuesta infracción (Art. 77 RGPD).

7. Alethexis como encargado del tratamiento

Datos del producto. Son «Datos del producto» los datos, documentos y ficheros que el Cliente y sus Usuarios introducen, importan o generan en el Servicio, incluidos inventarios, clasificaciones, evaluaciones, políticas, evidencias y documentos generados, contengan o no datos personales. El Acuerdo de Encargo del Tratamiento regula exclusivamente el tratamiento de los datos personales comprendidos en esos Datos del producto que Alethexis realiza por cuenta del Cliente. Los datos tratados por Alethexis como responsable independiente se rigen por esta Política. Es la misma definición de las Condiciones, del Acuerdo de Encargo del Tratamiento y del Registro de subencargados y proveedores.

Respecto a los datos personales comprendidos en los Datos del producto que el cliente introduce en la plataforma (inventarios de sistemas IA, evaluaciones, evidencias, decisiones, nombres en matrices RACI, etc.), ALETHEXIS, S.L. actúa como encargado del tratamiento, no como responsable. Tratamos esos datos únicamente conforme a las instrucciones documentadas del cliente y según el Acuerdo de Encargo del Tratamiento (DPA) que forma parte del contrato. No accedemos a ellos para fines propios, salvo soporte solicitado, mantenimiento supervisado u obligación legal.

Contenido de soporte. Cuando utilizas nuestro canal de soporte, puedes adjuntar ficheros a tus tickets. Alethexis actúa como encargado del tratamiento de ese contenido, que puede incluir datos personales —incluso de categorías especiales— si decides adjuntarlos. Solo accedemos a esos ficheros para resolver tu solicitud de soporte, mediante enlaces de vigencia limitada, y los conservamos únicamente durante la vida del ticket: al eliminar el ticket o tu cuenta, los ficheros se borran. El alojamiento se realiza en Supabase (UE, Fráncfort), con cifrado en reposo.

Los datos de identificación de los usuarios que un Cliente autoriza en la plataforma (nombre, email, rol) son Datos de Cuenta: Alethexis los trata como responsable para la gestión de la cuenta y la seguridad del acceso, y quedan fuera del Acuerdo de Encargo del Tratamiento.

8. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo, entre ellas cifrado en tránsito, cifrado en reposo en base de datos y almacenamiento, aislamiento entre organizaciones mediante Row Level Security, registro de auditoría de solo adición y copias de seguridad diarias con retención de siete días. El registro de auditoría lleva además controles criptográficos de integridad, verificación periódica y una copia diaria de su huella en un almacén de otro proveedor , de modo que está diseñado para evidenciar alteraciones no autorizadas. Las medidas vigentes se describen en el Anexo III del Acuerdo de Encargo del Tratamiento .

9. Menores

Alethexis es un servicio profesional B2B dirigido a empresas. No está destinado a menores de edad y no recogemos conscientemente datos de menores.

10. Cookies

El uso de cookies en alethexis.com se describe en la Política de Cookies.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta misma página e informaremos de los cambios materiales por los canales habituales.

12. Contacto

Alethexis SL no está obligada a designar un delegado de protección de datos (art. 37.1 del Reglamento (UE) 2016/679 y art. 34.1 de la Ley Orgánica 3/2018) y no lo ha designado con carácter voluntario. La función de privacidad la ejerce la persona responsable de la organización con asesoramiento jurídico externo. Para cualquier consulta o ejercicio de derechos: privacidad@alethexis.com .

13. Idiomas y prelación

Este documento está disponible en español e inglés. Ambas versiones expresan el mismo contenido. En caso de discrepancia de interpretación prevalecerá la versión española, sin perjuicio de las normas imperativas aplicables.