Política de Privacidad

Última actualización: [FECHA DE ÚLTIMA ACTUALIZACIÓN]

En OcarinaCore nos tomamos en serio la protección de los datos personales. Esta Política de Privacidad explica, de forma clara y conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), quién trata tus datos, para qué, con qué base jurídica, durante cuánto tiempo, con quién se comparten y qué derechos tienes.

Esta política se aplica al sitio web de OcarinaCore, a la plataforma SaaS, a la extensión de Chrome y a las comunicaciones relacionadas.

1. ¿En qué papel tratamos tus datos?

OcarinaCore trata datos personales en dos papeles distintos, y es importante diferenciarlos:

2. Responsable del tratamiento

Puedes dirigirte a nuestro Delegado de Protección de Datos para cualquier cuestión relativa al tratamiento de tus datos personales o al ejercicio de tus derechos.

3. ¿Qué datos tratamos?

3.1. Datos que nos facilitas directamente

• Datos de identificación y contacto profesional: nombre y apellidos, correo electrónico profesional, teléfono, empresa, cargo, país.
• Datos de la solicitud de demo o alta: tamaño de la empresa, sector, caso de uso, mensaje libre.
• Datos de la cuenta: email de acceso, contraseña (que nunca almacenamos en claro: guardamos un hash generado con Argon2id), secreto de doble factor TOTP (cifrado), rol y permisos, preferencias.
• Datos de facturación: razón social, NIF, dirección fiscal, datos de pago (procesados por la entidad de pago; no almacenamos números completos de tarjeta), historial de facturas.
• Comunicaciones de soporte: contenido de tus consultas, incidencias y adjuntos.
• Foto de perfil (opcional) y, si lo solicitas, el avatar animado generado a partir de ella.
• Contenidos que introduces en las funciones de IA (por ejemplo, preguntas al asistente "Snake").

3.2. Datos que obtenemos al usar el servicio

• Datos técnicos y de seguridad: dirección IP, identificadores de sesión, tipo de navegador y sistema operativo, fecha y hora de acceso, eventos de inicio de sesión (incluidos intentos fallidos).
• Registro de auditoría: acciones relevantes realizadas en la Plataforma (cambios de configuración, exportaciones, gestión de usuarios, acciones administrativas).
• Datos de uso: funcionalidades utilizadas y consumo de créditos, para gestionar los límites del Plan y la facturación.

3.3. Datos que obtenemos de terceros

• Microsoft Entra ID: si inicias sesión con Microsoft, recibimos tu identificador, nombre, correo electrónico y, en su caso, organización (tenant), conforme a los permisos que autorices.
• Tu empresa: el administrador de la cuenta de tu empresa puede darte de alta como Usuario facilitándonos tu nombre, email y rol.

No solicitamos ni tratamos categorías especiales de datos (art. 9 RGPD) en nuestra relación contigo.

4. Finalidades y bases jurídicas

Cuando la base jurídica sea el interés legítimo, hemos realizado una prueba de ponderación y puedes solicitar información sobre ella en [EMAIL DPO]. Siempre puedes oponerte a estos tratamientos.

La foto de perfil se utiliza para generar el avatar animado únicamente si lo solicitas; la fotografía no se trata con fines de identificación biométrica.

Facilitar los datos marcados como obligatorios en los formularios es necesario para atender tu solicitud o prestar el Servicio; si no se facilitan, no podremos hacerlo.

5. Plazos de conservación

Transcurridos estos plazos, los datos se suprimen o se anonimizan. Durante el periodo de bloqueo (art. 32 LOPDGDD) los datos solo estarán a disposición de jueces, tribunales, Ministerio Fiscal o administraciones públicas competentes.

6. Destinatarios y subencargados

No vendemos tus datos personales. Solo los comunicamos a terceros cuando es necesario para prestar el Servicio, por obligación legal o con tu consentimiento. Utilizamos los siguientes proveedores, que actúan como encargados (o subencargados) del tratamiento con contrato conforme al art. 28 RGPD:

Proveedores opcionales activados por el Cliente. Si la empresa cliente activa integraciones, sus datos se comunicarán al proveedor correspondiente según la configuración de la propia empresa:

La lista actualizada de subencargados está disponible en el documento de Tratamiento de datos.

Otros destinatarios: administraciones públicas, juzgados y tribunales, Agencia Tributaria y Fuerzas y Cuerpos de Seguridad cuando exista obligación legal; asesores profesionales sujetos a deber de confidencialidad; y, en su caso, posibles adquirentes en una operación societaria, con las debidas garantías.

7. Transferencias internacionales

Nuestros datos se alojan en la Unión Europea. Algunos proveedores (en particular Anthropic y, en su caso, Microsoft y ciertas integraciones opcionales) pueden tratar datos en Estados Unidos u otros países fuera del Espacio Económico Europeo. En esos casos, las transferencias se amparan en:

• Una decisión de adecuación de la Comisión Europea, como el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cuando el destinatario esté certificado; y/o
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), junto con medidas complementarias cuando sean necesarias.

Puedes solicitar información sobre las garantías aplicadas escribiendo a [EMAIL DPO].

8. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

Cómo ejercerlos. Envía un correo a [EMAIL DPO] o [EMAIL DE CONTACTO], o escribe a [DOMICILIO SOCIAL], indicando el derecho que ejerces. Si tenemos dudas razonables sobre tu identidad, podremos pedirte información adicional para verificarla. Los Usuarios pueden además rectificar muchos de sus datos y descargar información directamente desde la configuración de su cuenta.

Responderemos en el plazo de un mes, prorrogable dos meses más en caso de complejidad, informándote de la prórroga. El ejercicio de los derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

Si eres un lead o prospecto de un cliente de OcarinaCore, consulta la sección 12.

9. Reclamación ante la autoridad de control

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, a través de su sede electrónica en www.aepd.es, o ante la autoridad de control de tu Estado miembro de residencia. Te recomendamos contactar antes con nuestro DPO para intentar resolverlo.

10. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), tomando como marco de referencia la norma ISO/IEC 27001 y el Esquema Nacional de Seguridad cuando resulte pertinente. Entre ellas:

• Cifrado de las comunicaciones en tránsito (TLS 1.2 o superior) y de los datos en reposo, incluidas las copias de seguridad.
• Contraseñas almacenadas con Argon2id, algoritmo de derivación resistente a ataques de fuerza bruta, y políticas de contraseñas robustas.
• Doble factor de autenticación (2FA) TOTP opcional e inicio de sesión único con Microsoft Entra ID.
• Cookies de sesión httpOnly y seguras, con caducidad limitada.
• Aislamiento lógico multi-tenant de los datos de cada cliente y control de acceso basado en roles.
• Registro de auditoría de acciones relevantes y monitorización de eventos de seguridad.
• Separación de entornos de preproducción (PRE) y producción (PROD).
• Limitación de intentos de inicio de sesión y protección frente a abusos.
• Copias de seguridad periódicas y procedimientos de recuperación.
• Gestión de vulnerabilidades y actualizaciones de seguridad.
• Principio de mínimo privilegio y deber de confidencialidad del personal.
• Procedimiento de gestión de brechas de seguridad, con notificación a la AEPD en 72 horas y, cuando proceda, a los afectados.

Ningún sistema es completamente infalible; si detectas una vulnerabilidad, te agradecemos que nos lo comuniques a [EMAIL DE CONTACTO].

11. Menores

OcarinaCore es un servicio exclusivamente profesional dirigido a empresas. No está destinado a menores de 18 años y no tratamos conscientemente datos de menores. Si detectamos que se han facilitado datos de un menor, los suprimiremos.

12. Si eres un lead o prospecto (información del art. 14 RGPD)

Si has recibido una invitación, mensaje o correo de una empresa que utiliza OcarinaCore, ten en cuenta lo siguiente:

• Responsable del tratamiento: la empresa que te ha contactado (cliente de OcarinaCore) es la responsable de tus datos. Es ella quien decide obtenerlos, con qué finalidad (habitualmente, prospección comercial B2B o reclutamiento) y con qué base jurídica (habitualmente, su interés legítimo).
• Papel de OcarinaCore: actuamos como encargado del tratamiento, alojando y procesando los datos siguiendo exclusivamente las instrucciones de esa empresa, conforme al art. 28 RGPD.
• Datos tratados: normalmente datos profesionales de carácter público: nombre, cargo, empresa, ubicación, URL e información del perfil profesional público de LinkedIn, email profesional (que puede haber sido deducido a partir de patrones y verificado técnicamente), historial de interacciones con la empresa.
• Fuente: perfiles profesionales de acceso público (como LinkedIn o Sales Navigator), webs corporativas y, en su caso, proveedores de verificación de emails.
• Tus derechos: puedes ejercerlos directamente ante la empresa que te ha contactado. En particular, puedes oponerte en cualquier momento a recibir más comunicaciones, utilizando el enlace de baja incluido en los emails o respondiendo al mensaje. Al hacerlo, tus datos se incorporarán a la lista de exclusión ("no contactar") de esa empresa para no volver a contactarte.
• Si nos contactas a nosotros: si escribes a [EMAIL DPO], trasladaremos tu solicitud sin dilación a la empresa responsable y la asistiremos para que pueda atenderla.

Cada empresa cliente está obligada contractualmente a informarte en su primer contacto contigo y a respetar tus derechos.

13. Inteligencia artificial

OcarinaCore integra funciones de IA generativa proporcionadas por Anthropic (modelos Claude):

• Qué datos se envían: únicamente los necesarios para la función que el Usuario utiliza en cada momento (por ejemplo, datos del perfil profesional de un lead para personalizar un mensaje, el texto de una respuesta para clasificarla, la pregunta realizada al asistente "Snake", o la foto de perfil si el Usuario solicita el avatar animado).
• Cuándo: solo cuando el Usuario activa o utiliza la función. La foto de perfil solo se envía a la IA si el Usuario lo solicita expresamente.
• Entrenamiento: conforme a las condiciones comerciales de la API de Anthropic, los datos no se utilizan para entrenar sus modelos. OcarinaCore tampoco entrena modelos con tus datos.
• Decisiones: los resultados de IA (como el scoring de leads o la clasificación de respuestas) son orientativos y están sujetos a revisión humana. No se adoptan decisiones automatizadas con efectos jurídicos o significativos sobre las personas.
• Transparencia: cuando interactúas con el asistente "Snake", estás interactuando con un sistema de IA, conforme al art. 50 del Reglamento (UE) 2024/1689 (AI Act).

14. Cookies

Utilizamos únicamente cookies y almacenamiento local técnicos y de preferencias. Consulta la Política de Cookies para más información.

15. Cambios en esta política

Podemos actualizar esta Política para reflejar cambios legales, técnicos o del Servicio. Publicaremos la versión actualizada indicando la fecha de última actualización y, si los cambios son relevantes, te lo comunicaremos por email o mediante un aviso en la Plataforma.

Contacto: [RAZÓN SOCIAL] · [DOMICILIO SOCIAL] · [EMAIL DE CONTACTO] · DPO: [EMAIL DPO]