Política de privacitat

01 Responsable del tractament

Luis Coronado (Ads&Nexus), NIF 79273745-J, amb domicili a Castellar del Vallès (Barcelona), Espanya.

Contacte en matèria de protecció de dades: info@adsandnexus.com.

Delegat de Protecció de Dades: no s’ha designat, perquè no concorre cap dels supòsits de l’article 37.1 del RGPD: no som una autoritat pública, la nostra activitat principal no consisteix en l’observació habitual i sistemàtica de persones a gran escala, ni en el tractament a gran escala de categories especials de dades. Per a qualsevol qüestió sobre protecció de dades pots escriure a info@adsandnexus.com, que és un canal atès.

Si el volum o la naturalesa dels tractaments canviessin i passés a concórrer algun d’aquests supòsits, es designarà un delegat i es publicaran aquí el seu nom i el seu contacte.

02 Dos tractaments diferents, no els barregis

Kommyt és RESPONSABLE de les dades dels seus propis clients: la persona o el negoci que sol·licita l’alta, factura i utilitza el tauler com a client de Kommyt.

Kommyt és ENCARREGAT DEL TRACTAMENT de les dades que cada negoci introdueix al CRM sobre les persones que gestiona (els seus clients, socis, pacients, alumnes… segons la seva activitat). Aquí el responsable és el negoci: decideix quines dades recull i per a què, i és qui ha d’atendre els drets d’aquestes persones.

Aquesta relació es formalitza en un contracte d’encarregat del tractament d’acord amb l’article 28 del RGPD, que se signa amb l’alta del negoci.

03 Dades que tractem i finalitat

Dades de contacte i de facturació del negoci i de la persona responsable, per donar d’alta el compte, prestar el servei i emetre factures.

Dades tècniques d’ús (registres d’accés, adreça IP, activitat a l’aplicació) per garantir la seguretat, depurar incidències i mantenir la traçabilitat exigible.

Dades que ens facilites en escriure’ns, per atendre la teva consulta.

Com vas arribar fins aquí: en enviar el formulari de contacte o d’alta hi viatja el canal pel qual vas entrar (per exemple «google», «adsandnexus» o «directe»), el domini o l’etiqueta de l’enllaç que vas prémer, i la pàgina de sector per la qual vas entrar, si n’hi va haver una. Serveix per saber quins canals ens porten clients. Per obtenir-ho NO es guarda res al teu navegador: es deduceix en entrar, viu només a la memòria de la pàgina mentre dura la visita, i només s’envia si envies el formulari.

04 Base legal

Execució del contracte, per prestar el servei i facturar-lo.

Compliment d’obligacions legals, en matèria fiscal i comptable.

Interès legítim, per a la seguretat del servei i la prevenció del frau.

Consentiment, quan se sol·liciti de forma expressa i separada.

05 Conservació

Les dades de client es conserven mentre duri la relació i, després, bloquejades durant els terminis de prescripció legal.

Les dades allotjades per compte d’un negoci es retornen o se suprimeixen en acabar, segons decideixi ell, en un termini màxim de 30 dies naturals; si no diu res, es RETORNEN i no es destrueixen. Ho regula la clàusula 17 del contracte d’encarregat.

Terminis concrets, per categoria:

· Consultes i sol·licituds de pressupost que no acaben en contracte: fins a un any des del darrer contacte.

· Dades de la relació contractual i documentació mercantil: durant la relació i, després, sis anys, d’acord amb l’article 30 del Codi de comerç.

· Facturació i justificants amb efectes fiscals: quatre anys des de la fi del termini de declaració, d’acord amb la Llei general tributària.

· Registre d’auditoria i traces d’accés AL SISTEMA (qui entra al programa, des d’on i què fa): dotze mesos, excepte que hagin de conservar-se més temps per acreditar una incidència de seguretat.

· Control d’entrades i sortides de les persones que un negoci gestiona (qui accedeix al local i quan, s’identifiqui a mà o amb la seva targeta): NO són traces del sistema, sinó dades del negoci. Les conserva el negoci i és ell qui decideix el seu termini, d’acord amb el punt següent. Kommyt no les suprimeix pel seu compte.

· Dades allotjades per compte d’un negoci: les que aquest negoci decideixi, segons el punt anterior; Kommyt no les conserva pel seu compte més enllà d’aquests 30 dies.

Transcorreguts els terminis, les dades se suprimeixen o s’anonimitzen de manera que no es pugui tornar a identificar ningú.

06 Destinataris i encarregats

No es venen ni es cedeixen dades a tercers amb finalitats comercials.

Els proveïdors que intervenen estan relacionats un a un, amb la seva finalitat i la seva ubicació, a l’Annex II del contracte d’encarregat del tractament, que pots consultar en aquest mateix apartat legal.

En resum: l’allotjament de la base de dades, sempre actiu; el dipòsit d’arxius, el correu electrònic i els proveïdors d’intel·ligència artificial, DESACTIVATS per defecte i només en funcionament si el negoci els configura.

No s’utilitzen eines d’analítica, publicitat ni telemetria de tercers.

07 Transferències internacionals

El correu electrònic i els proveïdors d’intel·ligència artificial tenen la seu als Estats Units. Tots dos estan desactivats per defecte: mentre el negoci no els activi, cap dada no surt de l’Espai Econòmic Europeu per aquesta via.

Cap transferència es realitza sense amparar-la en un mecanisme vàlid del capítol V del RGPD: decisió d’adequació o clàusules contractuals tipus. Aquesta obligació és nostra i no es trasllada al negoci.

L’assistent d’intel·ligència artificial NO té accés a la base de dades: només pot demanar quatre coses concretes, i aquestes són les quatre.

· D’una persona: el seu nom, el seu número i el saldo del seu moneder.

· D’un producte: el seu nom i el seu preu.

· Un quadre de xifres del negoci: el consum del mes i la seva tendència, quantes persones hi ha en actiu, el saldo total dels moneders, els productes que més i que menys es venen, els propers esdeveniments amb les seves places i inscrits, i fins a cinc persones amb el que tenen pendent de pagament i quants dies fa.

· I preparar un cobrament, que NO es guarda: el deixa pendent i una persona el confirma a la pantalla.

Fora d’això no arriba al document d’identitat, a la seva imatge, a l’adreça, a la data de naixement ni a les notes. Aquesta és la garantia principal, i és de disseny.

A més, abans d’enviar res s’eliminen del text els números de document, els IBAN i targetes, els telèfons, els correus, les adreces postals i les dates de naixement que hagi escrit el personal.

Amb la mateixa franquesa que en la resta d’aquest document: NO podem garantir que una dada de salut escrita en prosa lliure per una persona es detecti de manera automàtica, perquè no existeix cap manera fiable de fer-ho. Per això l’assistent avisa a la pantalla que no s’ha d’escriure, i per això les seves eines no llegeixen els camps de notes.

Les dades del servei s’allotgen íntegrament a l’Espai Econòmic Europeu: la base de dades a Neon, Inc. (regió de Frankfurt, Alemanya) i els servidors d’aplicació a Hetzner Online GmbH (Nuremberg, Alemanya). Per a cap dels dos no es produeix transferència internacional.

Hi intervenen, a més, dos proveïdors nord-americans en funcions accessòries: Cloudflare, Inc. (distribució i protecció del trànsit) i Resend (enviament de correu transaccional). En el cas de Resend, les dades del correu —destinatari, assumpte, contingut, registres d’enviament i metadades— s’emmagatzemen als Estats Units. Amb tots dos són aplicables les Clàusules Contractuals Tipus aprovades per la Comissió Europea, incorporades a les seves condicions de tractament de dades.

08 Els teus drets

Pots exercir els drets d’accés, rectificació, supressió, oposició, limitació i portabilitat, així com retirar el consentiment prestat.

Escrivint a info@adsandnexus.com, acreditant la teva identitat.

Si les teves dades són al CRM d’un negoci que utilitza Kommyt (com a client, soci, pacient… seu), dirigeix-te primer a aquest negoci: és ell qui decideix sobre aquestes dades; Kommyt només les tracta pel seu compte.

També pots reclamar davant l’Agència Espanyola de Protecció de Dades (www.aepd.es).

09 Seguretat

S’apliquen mesures tècniques i organitzatives adequades al risc: xifratge EN TRÀNSIT (HTTPS), control d’accés per rols i permisos, aïllament de les dades de cada negoci a nivell de base de dades, límit d’intents d’accés i registre d’auditoria. L’Annex III del contracte d’encarregat les detalla una per una.

Hi ha còpies de seguretat automàtiques diàries. Es xifren abans de sortir del servidor i es guarden fora d’aquest; es conserven les dels darrers 30 dies i les anteriors s’esborren soles. Una vegada al mes es restaura una còpia real en un sistema aïllat per comprovar que de veritat es pot fer: una còpia que no es restaura mai no és una còpia, és una suposició.

Amb la mateixa franquesa: NO s’aplica xifratge en repòs a nivell d’aplicació. Aquesta carència està declarada a la clàusula 10 d’aquest contracte, amb el compromís de corregir-la. Preferim dir-ho aquí abans que algú ho doni per suposat.

Convé saber una conseqüència de l’anterior: quan se suprimeixen dades, desapareixen del sistema de seguida, però poden seguir dins d’alguna còpia de seguretat fins que a aquesta còpia li toqui caducar, com a màxim 30 dies després. Durant aquest temps no s’utilitzen per a res: només existeixen per si calgués recuperar el servei.

Si es produeix una violació de la seguretat que afecti dades d’un negoci, se li notifica dins de les 24 hores següents a conèixer-la, perquè li quedi marge dins de les 72 hores que el RGPD li concedeix davant l’Agència Espanyola de Protecció de Dades.