Política de privacidad

1. Responsable del tratamiento

• Responsable: Jose Esteban Febrero
• NIF: 48522779R
• Dirección: Avda. Francisco Jiménez Ruiz 28, 30007 Murcia, España
• Correo de contacto: privacidad@aeco360.es (o info@aeco360.es)

2. Doble papel: responsable y encargado

AECO360° actúa con dos papeles distintos en función de los datos:

• Como responsable tratamos los datos de las personas que se registran y contratan el servicio (datos de cuenta, de contratación y de facturación) y los de quienes navegan por la web. Esta política regula ese tratamiento.
• Como encargado del tratamiento tratamos, por cuenta de cada cliente (estudio técnico suscriptor), los datos personales que él introduce en la plataforma sobre sus propios clientes, proyectos y contactos. De esos datos el responsable es el estudio suscriptor, no AECO360°. Ese tratamiento se rige por el acuerdo de encargo del tratamiento del apartado 8, no por esta política.

3. Datos que tratamos y finalidades

Como responsable tratamos:

• Datos de cuenta: nombre, correo electrónico, contraseña (cifrada) y especialidad profesional. Finalidad: crear y mantener tu cuenta, autenticarte y darte soporte.
• Datos de contratación y facturación: datos fiscales (nombre o razón social, NIF/CIF, dirección), plan contratado e historial de pagos. Finalidad: gestionar la suscripción, emitir las facturas y cumplir nuestras obligaciones contables y fiscales.
• Datos de uso del servicio: registros de acceso y actividad dentro de la plataforma. Finalidad: seguridad, prevención del fraude, soporte y mejora del servicio.
• Comunicaciones: avisos del servicio (transaccionales) y, si lo consientes, novedades del producto. Puedes oponerte a estas últimas en cualquier momento.

Además, si aceptas las cookies de analítica, registramos datos de tu navegación por la web pública con una herramienta propia (sin terceros): dirección IP -de la que derivamos una ubicación aproximada (país, provincia y ciudad) mediante una base de datos local, sin enviar tu IP fuera-, páginas visitadas, origen de la visita y tipo de dispositivo y navegador. La finalidad es medir el uso del sitio y mejorarlo. Si rechazas las cookies, no se registra nada. El detalle, en la política de cookies.

4. Bases jurídicas

• Ejecución del contrato (art. 6.1.b RGPD): para prestar el servicio contratado, gestionar tu cuenta y procesar los pagos.
• Obligación legal (art. 6.1.c RGPD): para la facturación y la conservación contable y fiscal exigida por la normativa.
• Interés legítimo (art. 6.1.f RGPD): para la seguridad de la plataforma, la prevención del fraude y la mejora del servicio.
• Consentimiento (art. 6.1.a RGPD): para las cookies de analítica y para el envío de comunicaciones comerciales sobre el producto. Puedes retirarlo en cualquier momento.

5. Plazo de conservación

Conservamos los datos de tu cuenta mientras la suscripción esté activa. Tras la baja, los datos de contratación y facturación se conservan bloqueados durante los plazos legales de prescripción contable, mercantil y fiscal (con carácter general, hasta seis años desde la última operación). Los registros de visitas a la web pública (con fines de analítica propia) se conservan un máximo de 12 meses y se suprimen automáticamente pasado ese plazo. El resto de datos se suprime cuando dejan de ser necesarios para las finalidades indicadas.

6. Destinatarios y encargados del tratamiento

No vendemos ni cedemos tus datos a terceros para fines comerciales ajenos. Para prestar el servicio nos apoyamos en los siguientes proveedores, que actúan como encargados del tratamiento por nuestra cuenta y bajo contrato conforme al art. 28 RGPD:

• Hetzner Online GmbH (Alemania, Unión Europea) - hosting de la aplicación y de la base de datos.
• Stripe Payments Europe, Ltd. - pasarela de pago y gestión de la suscripción. El procesamiento del pago puede implicar tratamiento por su matriz en Estados Unidos (ver apartado 7).
• Resend (Plata Labs, Inc.) - envío de los correos del servicio (verificación, facturas y avisos), con tratamiento en Estados Unidos (ver apartado 7).
• Groq - servicios de asistencia por inteligencia artificial (borradores, resúmenes y respuestas solicitadas por el usuario). La entidad contractual identificada para el EEE es Groq UK Limited (sujeto a comprobación final con la cuenta contratada); determinados tratamientos pueden implicar acceso o procesamiento desde Estados Unidos (ver apartados 7 y 9). Groq actúa como subencargado para estas funciones.
• Almacenamiento en nube opcional (Google Drive / Dropbox): solo si tú lo activas, sobre una cuenta que tú eliges y controlas. Es distinto del almacenamiento de la plataforma, que gestionamos nosotros en la Unión Europea.

La lista completa y actualizada está en la página de subencargados, que también recoge la fecha de alta y el mecanismo de transferencia de cada proveedor.

Podemos comunicar datos a las Administraciones públicas (Agencia Tributaria, juzgados) cuando exista una obligación legal.

7. Transferencias internacionales

Algunos de nuestros proveedores (Stripe, el proveedor de envío de correo y el proveedor de inteligencia artificial) pueden tratar datos en Estados Unidos. Para el proveedor de inteligencia artificial (Groq), la transferencia se ampara en las cláusulas contractuales tipo (SCC) incorporadas a su acuerdo de tratamiento de datos; no invocamos el EU-U.S. Data Privacy Framework para este proveedor. Para el resto de proveedores, la transferencia se ampara en cláusulas contractuales tipo y, cuando el proveedor esté acreditado y así conste para el servicio concreto, en la decisión de adecuación o el EU-U.S. Data Privacy Framework. Puedes solicitarnos información sobre estas garantías escribiendo a privacidad@aeco360.es.

8. AECO360° como encargado del tratamiento

Respecto de los datos personales que introduces en la plataforma sobre tus clientes, proyectos y contactos, el responsable eres tú (el estudio suscriptor) y AECO360° es encargado del tratamiento. Tratamos esos datos únicamente siguiendo tus instrucciones y para prestarte el servicio, aplicando las medidas de seguridad del apartado 10, sin usarlos para fines propios ni cederlos a terceros. Al contratar el servicio aceptas el acuerdo de encargo del tratamiento incluido en las condiciones de contratación. A la finalización del contrato podrás exportar esos datos y, transcurrido el plazo de recuperación, se suprimen.

Para las funciones de inteligencia artificial que solicites (apartado 9), el proveedor Groq actúa como subencargado por tu cuenta, con transferencia a Estados Unidos amparada en cláusulas contractuales tipo (apartado 7). Te informamos con antelación de los cambios de subencargados; la lista actualizada está en la página de subencargados.

9. Funciones de inteligencia artificial

AECO360° incorpora funciones de inteligencia artificial para asistirte (conversación con el asistente, redacción de borradores, resúmenes y respuestas que solicites). Su uso es opcional y se activan cuando tú decides usarlas o solicitas una operación que las requiere.

AECO360° utiliza servicios de Groq para determinadas funciones de asistencia mediante inteligencia artificial, como la preparación de borradores, resúmenes o respuestas solicitadas por el usuario. Para clientes del EEE, la entidad contractual identificada en la documentación revisada es Groq UK Limited, sujeto a comprobación final con la cuenta contratada. Determinados tratamientos pueden implicar acceso o procesamiento desde Estados Unidos, amparado mediante las cláusulas contractuales tipo incorporadas al acuerdo de tratamiento de datos.

Qué se envía y minimización: solo la información necesaria para atender tu solicitud (tu consulta o instrucción, el contexto acotado y los documentos que adjuntes). El contexto del estudio se envía como un resumen acotado, no como un volcado de tus bases de datos, y filtrado por los permisos de cada usuario.

Procesamiento local: el reconocimiento de documentos (OCR, con Tesseract) y la transcripción de audio (con whisper.cpp) se realizan en local, en nuestra infraestructura; esos archivos no se envían a un proveedor externo para esas operaciones. El texto resultante solo se envía al proveedor de IA cuando solicitas expresamente una función de IA (por ejemplo, generar el resumen de una reunión).

Revisión humana: los resultados son borradores sujetos a revisión profesional, pueden contener errores y deben validarse antes de usarse. Ninguna acción con efectos se ejecuta sin tu confirmación; AECO360° no firma ni tramita nada y la IA no sustituye la revisión del profesional. Te recomendamos no introducir contraseñas, claves ni datos especialmente sensibles que no sean necesarios para la tarea.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos: cifrado en tránsito (HTTPS/TLS), aislamiento de los datos de cada cliente, control de accesos por roles, registro de actividad y copias de seguridad periódicas.

11. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

• Acceso a los datos que tenemos sobre ti.
• Rectificación de datos inexactos.
• Supresión ("derecho al olvido") cuando ya no sean necesarios.
• Limitación del tratamiento.
• Portabilidad de los datos.
• Oposición al tratamiento.
• Retirada del consentimiento en cualquier momento.

Para ejercerlos, escríbenos a privacidad@aeco360.es indicando "Ejercicio de derechos RGPD" en el asunto. Te responderemos en el plazo máximo de un mes desde la recepción.

Si consideras que el tratamiento no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o de producto. Las versiones anteriores quedarán archivadas y la fecha de actualización se mostrará al inicio del documento.