| Responsable | [pendiente: Razón social] |
| NIF / CIF | [pendiente: NIF / CIF] |
| Domicilio | [pendiente: Domicilio] |
| Contacto de protección de datos | [pendiente: Email de contacto] |
De los datos que trata para gestionar las cuentas, la seguridad de la plataforma, la relación contractual y sus propias obligaciones, el titular es el responsable del tratamiento; esos tratamientos se rigen por esta política.
De los datos personales contenidos en los documentos, formularios y evidencias que cada organización cliente incorpora a sus auditorías (por ejemplo, de sus empleados, responsables o proveedores), esa organización es la responsable y el titular actúa como encargado del tratamiento por cuenta de ella. Ese tratamiento se regula en el contrato de encargo del artículo 28 del RGPD que se formaliza con cada organización cliente (objeto y duración, instrucciones, confidencialidad, subencargados, seguridad, asistencia, auditorías y devolución o supresión al final del servicio). Corresponde a la organización cliente informar a las personas cuyos datos incorpora (artículos 13 y 14 del RGPD).
Los implementadores, auditores y certificadores que intervienen en una auditoría actúan según su propio encargo; su condición jurídica se recoge en los acuerdos correspondientes.
El servicio no está concebido para tratar categorías especiales de datos (artículo 9 del RGPD) ni datos penales. Si una organización necesita incorporarlos, debe comprobar antes su base jurídica, necesidad y las medidas adecuadas.
Los datos los facilita usted mismo, la organización que solicita su cuenta o le invita, y los profesionales que intervienen en cada auditoría. Los datos identificativos y de contacto son necesarios para darle acceso; los avisos por Telegram y el asistente de IA son opcionales.
| Gestionar su cuenta y prestar los servicios de adecuación y auditoría ENS | Ejecución del contrato cuando usted es parte de él (art. 6.1.b RGPD); si accede como empleado o colaborador de una organización, interés legítimo en gestionar los accesos corporativos y prestar el servicio contratado por ella (art. 6.1.f) |
| Seguridad, control de accesos, registro de actividad, prevención del uso indebido y gestión de incidentes | Interés legítimo en proteger la plataforma, a sus usuarios y a las organizaciones cliente (art. 6.1.f) y deber de seguridad (art. 32 RGPD) |
| Facturación y obligaciones fiscales y contables | Obligación legal (art. 6.1.c) |
| Avisos por email o Telegram sobre su trabajo en la plataforma | La misma base que la gestión de su cuenta; usted elige en su perfil los avisos y los canales opcionales |
| Uso del asistente de inteligencia artificial con su propia clave (opcional) | Su consentimiento (art. 6.1.a), que se pide antes de usar su clave y puede retirar eliminándola |
Su consentimiento para usar el asistente de IA no sustituye la autorización de su organización ni legitima por sí solo el envío de datos de terceros: esa decisión corresponde a la organización responsable.
El acceso a la documentación de cada auditoría se limita a las personas asignadas a ella según su función. El titular no utiliza esa documentación para fines comerciales propios, ni para entrenar modelos de inteligencia artificial.
No se ceden datos a terceros salvo obligación legal. Acceden a ellos el personal autorizado del titular, los profesionales y organizaciones a los que el cliente da acceso a cada auditoría y, cuando lo exige la ley, las autoridades. Tratan datos por cuenta del titular, como encargados del tratamiento:
el proveedor de alojamiento del servidor y el proveedor del servicio de correo electrónico.
Si usted los activa, se usan además el servicio de mensajería Telegram (avisos y verificación en dos pasos) y el proveedor de inteligencia artificial que usted elija con su propia clave: Claude (Anthropic), Gemini (Google), ChatGPT (OpenAI) y Grok (xAI).
Cuando actúa como encargado, el titular no incorpora ni sustituye subencargados sin la autorización del cliente prevista en el contrato de encargo (artículo 28.2 del RGPD).
Telegram y los proveedores de inteligencia artificial pueden tratar datos fuera del Espacio Económico Europeo. Solo intervienen si usted activa esas funciones. La garantía aplicable (decisión de adecuación de la Comisión Europea —incluido el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas— o cláusulas contractuales tipo) depende de cada proveedor y consta en sus condiciones; puede solicitar información en [pendiente: Email de contacto].
Antes de cada consulta, la plataforma elimina del contexto los campos con datos personales y sustituye por marcadores los nombres de personas, el nombre de la organización, direcciones, NIF, emails, teléfonos y códigos de auditoría que reconoce. Estos filtros reducen la información identificativa, pero ninguna técnica automática garantiza una anonimización completa, sobre todo en textos libres. Lo que usted escriba directamente en el chat de IA se envía tal cual.
No incluya en las consultas contraseñas, credenciales, vulnerabilidades explotables, datos de terceros ni documentación confidencial que su organización no haya autorizado a compartir. Las respuestas del asistente son propuestas: requieren revisión humana.
Los avisos de la plataforma se envían por correo electrónico y, si usted lo activa, por Telegram. Estos canales permiten al operador del servicio conocer la cuenta destinataria y el contenido del aviso; por eso los avisos contienen solo la información necesaria y no adjuntan documentos ni evidencias. Los avisos imprescindibles para la seguridad de su cuenta se mantienen aunque desactive los opcionales.
Si usted utiliza el bot de Telegram para responder a la Encuesta de cumplimiento, sus respuestas y los archivos que aporte o solicite (evidencias, declaración de aplicabilidad) pasan por los servidores de Telegram.
Al finalizar el servicio, el contrato de encargo establece la exportación, devolución o supresión de la documentación de cada organización y las excepciones legales de conservación.
El titular aplica medidas técnicas y organizativas adecuadas al riesgo: contraseñas guardadas solo como huella irreversible, verificación en dos pasos disponible para todas las cuentas, comunicaciones cifradas, separación de los datos de cada organización y auditoría, registro de actividad y copias de seguridad. Las medidas activas en este servidor y su configuración actual se describen en Seguridad de la plataforma. Esta descripción no equivale a una certificación de conformidad con el ENS.
Ante una violación de la seguridad de los datos personales se cumplirán los artículos 33 y 34 del RGPD. Cuando el titular actúa como encargado, informa a la organización responsable sin dilación indebida (artículo 33.2 del RGPD).
Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar su consentimiento en cualquier momento sin efecto retroactivo, escribiendo a [pendiente: Email de contacto] e indicando el derecho que ejerce; se le podrá pedir que acredite su identidad.
Si sus datos figuran en la documentación de una organización cliente, diríjase preferentemente a esa organización; si la solicitud llega al titular, la tramitará según sus instrucciones. Puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
La plataforma no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted o le afecten significativamente. El asistente de IA solo propone textos y sugerencias que revisa una persona.
La plataforma no usa cookies de analítica ni de publicidad. Solo guarda en su navegador lo necesario para funcionar: la sesión de la pestaña abierta y sus preferencias de pantalla (tema claro u oscuro, menú plegado, filtros y vistas elegidos). Estos datos están exentos de consentimiento (art. 22.2 LSSI-CE). Las fuentes tipográficas y los gráficos se sirven desde el propio servidor, sin conexiones a terceros.
Si esta política o el aviso legal cambian, se le mostrará la nueva versión la próxima vez que inicie sesión. La confirmación «He leído la información» acredita que se le ha informado; no es un consentimiento para ningún tratamiento ni sustituye el contrato de encargo del tratamiento.