Información de privacidad del asistente

1. Quién trata los datos

Como responsable del tratamiento, el prestador trata los datos de la cuenta de los usuarios, la facturación, los registros de aceptación y la seguridad del servicio.

Como encargado del tratamiento, el prestador trata por cuenta de la organización cliente los documentos y datos del ERP que se procesan con el asistente, siguiendo sus instrucciones y el acuerdo de encargo del contrato principal. Para ese tratamiento la responsable es la organización cliente.

2. Finalidades y bases jurídicas

Gestionar la cuenta y prestar el servicio: ejecución del contrato con la organización.

Registrar las aceptaciones de estas condiciones y garantizar la seguridad y la auditoría: interés legítimo en acreditar el consentimiento contractual y proteger el servicio, y cumplimiento de obligaciones legales.

Procesar documentos con IA para extraer sus datos y preparar operaciones: por cuenta de la organización, con la base jurídica que esta determine como responsable.

3. Categorías de datos

Usuarios: identificador, email, rol en la organización, versiones aceptadas, idioma, navegador saneado y un hash de la dirección IP (no se guarda la IP en claro).

Documentos: el PDF y los datos que contenga, normalmente identificativos y de contacto de proveedores, importes, conceptos y datos fiscales.

No deben subirse categorías especiales de datos salvo necesidad, base jurídica y acuerdo previo.

4. Datos de terceros

Los documentos pueden contener datos de personas ajenas a la organización, como proveedores o sus contactos. La organización debe informar a esos terceros y contar con base jurídica para tratar sus datos.

5. Destinatarios y subencargados

Proveedores de infraestructura en la nube para el alojamiento y la base de datos del Hub.

Proveedor de IA configurado en el servidor del Hub, que recibe el contenido necesario para la extracción.

El ERP de la organización, a través del servidor MCP, para las operaciones aprobadas.

La relación actualizada de subencargados se facilita conforme al contrato principal. No se ceden datos a terceros salvo obligación legal.

6. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En ese caso solo se hará con garantías válidas según el RGPD, como una decisión de adecuación o cláusulas contractuales tipo.

No se garantiza la residencia de los datos en la UE ni la retención cero por parte del proveedor de IA, salvo que se acuerde y configure expresamente.

7. Conservación

Los PDF se guardan en almacenamiento privado y temporal. El enlace de subida caduca a las 2 horas, y el binario en staging se elimina a las 48 horas si no queda vinculado a una operación.

Las extracciones y sus correcciones se conservan 30 días por defecto.

La factura y el PDF adjunto que se registran en el ERP quedan sujetos a la política de conservación del ERP y de la organización.

Los registros de aceptación y auditoría se conservan mientras dure la relación y, después, durante los plazos de prescripción de las responsabilidades legales.

8. Seguridad

Se aplican control de acceso por organización, cifrado de las credenciales en un almacén seguro, tokens guardados solo como hash, comprobación de PDF y análisis antivirus cuando está configurado.

Las operaciones financieras siempre requieren aprobación humana.

9. Derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo al email de protección de datos del prestador indicado en esta página. Para los datos de documentos, dirígete a tu organización, que es la responsable; el prestador la asistirá.

Puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

10. Transparencia sobre inteligencia artificial

Estás usando un sistema de inteligencia artificial. El asistente genera propuestas automáticas a partir de tus documentos; pueden contener errores y siempre deben revisarse por una persona antes de aprobar cualquier operación.

En coherencia con el Reglamento (UE) 2024/1689, el contenido extraído se identifica como generado automáticamente. No se toman decisiones individuales automatizadas con efectos jurídicos sobre las personas: toda operación requiere aprobación humana.