POLÍTICA DE PRIVACIDAD

1. Información general

En NURIA LABS SL (en adelante, «NURIA LABS» o «el Responsable»), nos tomamos muy en serio la protección de los datos personales. Esta Política de Privacidad (en adelante, la «Política») describe cómo recogemos, utilizamos, conservamos y protegemos los datos personales de las personas que visitan nuestro sitio web, solicitan información, contratan nuestros servicios o utilizan la plataforma Gescon.

Esta Política se ha elaborado conforme al Reglamento (UE) 2016/679, de 27 de abril, General de Protección de Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).

2. Responsable del tratamiento

NURIA LABS no ha designado un Delegado de Protección de Datos al no concurrir ninguno de los supuestos previstos en el artículo 37.1 del RGPD ni en el artículo 34 de la LOPDGDD. Para cualquier cuestión relacionada con la protección de datos puede dirigirse al correo electrónico gescon@nurialabs.com.

3. Definiciones relevantes

A efectos de esta Política, se entenderá por:

• Usuario: cualquier persona física que visite el Sitio Web o se relacione con NURIA LABS sin haber contratado el servicio.
• Cliente: la persona física o jurídica (normalmente, una empresa) que contrata el servicio Gescon.
• Usuario Final: la persona física que utiliza la plataforma Gescon dentro de la organización del Cliente (empleados, colaboradores, etc.).
• Datos del Cliente: los datos personales que el Cliente sube, conecta o procesa a través de la plataforma Gescon. Respecto a estos datos, NURIA LABS actúa como Encargado del Tratamiento (ver apartado 11).

4. Datos personales que tratamos, finalidades y bases legitimadoras

A continuación se describen las distintas categorías de datos que tratamos en función del tipo de relación con NURIA LABS:

4.1 Visitantes del sitio web y formulario de contacto / solicitud de demo

4.2 Clientes y proceso de contratación

4.3 Usuarios Finales de la plataforma Gescon

4.4 Newsletter y comunicaciones comerciales

4.5 Candidatos a procesos de selección

5. Tratamiento mediante Inteligencia Artificial

Gescon utiliza la API de OpenAI para el chat interno, tanto en modo normal como en modo experto. En Chat libre, el Usuario Final puede seleccionar entre OpenAI, Anthropic, Perplexity, xAI y Google AI Studio. Los siguientes plazos de retención de 30 días se refieren exclusivamente a OpenAI:

• Retención de datos para auditoría y monitorización de uso abusivo: NURIA LABS utiliza la API de OpenAI bajo la modalidad de no compartición de datos con OpenAI. Esto supone que los datos introducidos se procesan y se retienen durante 30 días para poder realizar labores de auditoría y asegurar un uso responsable de la plataforma, conforme a las condiciones contractuales firmadas con dicho proveedor.
• No entrenamiento de modelos: los datos del Cliente y de los Usuarios Finales no se utilizan en ningún caso para entrenar, reentrenar o mejorar los modelos de OpenAI ni de ningún otro proveedor.
• Conservación: los datos enviados a OpenAI se procesan para atender la consulta y no se conservan en sus sistemas una vez transcurridos los 30 días indicados. NURIA LABS conserva las consultas y respuestas en la cuenta del Cliente para la prestación del servicio, la seguridad y la trazabilidad, durante los plazos de los apartados 4.2 y 4.3.
• Limitaciones inherentes: los sistemas de IA pueden producir respuestas inexactas, incompletas o no actualizadas. Las respuestas de Gescon deben ser revisadas por el Usuario Final antes de tomar decisiones relevantes basadas en ellas. NURIA LABS no garantiza la veracidad o exactitud absoluta de las respuestas generadas.

En Chat libre, los datos de cada consulta se envían al proveedor seleccionado, sin incorporar automáticamente el contexto empresarial del chat interno. Los plazos de retención, lugares de procesamiento y garantías del resto de proveedores dependen del servicio y de la configuración contratados; el plazo de 30 días de OpenAI no se extiende a ellos. La relación detallada puede solicitarse en gescon@nurialabs.com. También se aplica la Política de Uso Aceptable de IA.

6. Destinatarios y comunicaciones de datos

Sus datos personales podrán ser comunicados a las siguientes categorías de destinatarios, exclusivamente para las finalidades descritas:

• Administraciones Públicas y autoridades competentes: cuando exista una obligación legal.
• Encargados del Tratamiento: proveedores de servicios que asisten a NURIA LABS en la prestación del servicio (alojamiento, pasarela de pago, herramientas de soporte y comunicación, modelo de IA, etc.). Estos terceros han firmado los correspondientes contratos de encargo de tratamiento conforme al art. 28 RGPD.
• Entidades bancarias y financieras: para la gestión de cobros y pagos.

Los principales encargados de tratamiento utilizados por NURIA LABS son:

En Chat libre intervienen también Anthropic, Perplexity, xAI y Google AI Studio cuando el Usuario Final selecciona esos proveedores. La relación detallada y actualizada de proveedores, finalidades, plazos de retención, localizaciones y garantías aplicables puede solicitarse en gescon@nurialabs.com.

7. Transferencias internacionales de datos

Algunos de los proveedores indicados en el apartado anterior pueden estar ubicados o realizar tratamientos de datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. En estos casos, NURIA LABS garantiza que las transferencias internacionales se realizan con las garantías adecuadas previstas en el RGPD, mediante alguno de los siguientes mecanismos:

• Decisión de adecuación de la Comisión Europea (por ejemplo, EU-U.S. Data Privacy Framework para los proveedores certificados).
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914).
• Medidas técnicas y organizativas complementarias cuando resulte necesario tras el correspondiente análisis de impacto.

El Cliente puede solicitar información adicional sobre las garantías aplicadas a las transferencias internacionales en la dirección gescon@nurialabs.com.

8. Plazos de conservación

Los datos personales se conservan durante el tiempo necesario para cumplir con las finalidades para las que fueron recabados, así como para atender las posibles responsabilidades derivadas de su tratamiento. Los plazos específicos figuran en el apartado 4 de esta Política.

Una vez transcurridos los plazos indicados, los datos serán eliminados o, en su caso, debidamente bloqueados conforme a lo previsto en la normativa de protección de datos durante los plazos de prescripción de las acciones legales aplicables. Transcurridos dichos plazos, los datos serán suprimidos definitivamente.

9. Derechos de las personas interesadas

Cualquier persona tiene derecho a obtener confirmación sobre si NURIA LABS está tratando datos personales que le conciernen, o no. En particular, puede ejercer los siguientes derechos:

• Acceso: conocer qué datos se están tratando y obtener una copia de los mismos.
• Rectificación: solicitar la modificación de datos inexactos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación de los datos cuando ya no sean necesarios para los fines para los que fueron recabados.
• Oposición: oponerse al tratamiento de los datos por motivos relacionados con su situación particular.
• Limitación del tratamiento: solicitar la suspensión del tratamiento en determinadas circunstancias.
• Portabilidad: recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• No ser objeto de decisiones automatizadas: incluida la elaboración de perfiles, salvo en los supuestos legalmente previstos.
• Revocar el consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a su retirada.

Los Usuarios Finales que utilicen la plataforma Gescon dentro de la organización del Cliente deben dirigir el ejercicio de sus derechos al Cliente, en su condición de Responsable del Tratamiento. NURIA LABS, como Encargado, asistirá al Cliente para atender estas solicitudes conforme al art. 28.3.e) RGPD.

9.1 Cómo ejercer los derechos

El interesado puede ejercer sus derechos de forma gratuita mediante comunicación dirigida a NURIA LABS, a través de cualquiera de los siguientes medios:

• Correo electrónico: gescon@nurialabs.com
• Correo postal: NURIA LABS SL, Carrer Sant Miquel, 36, 1.º A, 07002 Palma, Illes Balears, España

Para garantizar el correcto ejercicio del derecho, podrá ser necesario verificar la identidad del solicitante mediante copia del DNI o documento equivalente. NURIA LABS responderá a la solicitud en el plazo máximo de un mes, prorrogable por otros dos en caso de especial complejidad.

9.2 Reclamación ante la Autoridad de Control

Si el interesado considera que el tratamiento de sus datos personales no se ajusta a la normativa, así como en el supuesto de no ver satisfecho el ejercicio de sus derechos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan, 6, 28001 Madrid, o a través de su sede electrónica: https://www.aepd.es.

10. Medidas de seguridad

NURIA LABS aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al art. 32 RGPD. Entre otras medidas, NURIA LABS:

• Almacena los datos en infraestructuras de Microsoft Azure en la región España, con cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256).
• Aplica controles de acceso basados en roles (RBAC) y autenticación robusta para el acceso a los sistemas internos.
• Mantiene registros de actividad (logs) que permiten la trazabilidad de los accesos y operaciones realizadas sobre los datos.
• Realiza copias de seguridad periódicas y dispone de procedimientos de recuperación ante incidentes.
• Aplica políticas de gestión de incidentes y notificación de brechas de seguridad conforme a los plazos previstos en el RGPD.
• Forma a su personal en materia de protección de datos y seguridad de la información.
• Suscribe acuerdos de confidencialidad con todo el personal y los proveedores con acceso a los datos.

11. Datos del Cliente y rol como Encargado del Tratamiento

Para los datos personales que el Cliente sube, conecta o procesa a través de la plataforma Gescon («Datos del Cliente»), NURIA LABS actúa como Encargado del Tratamiento, siendo el Cliente el Responsable del Tratamiento. Las condiciones del encargo se regulan en el correspondiente Contrato de Encargo de Tratamiento (DPA), que forma parte de los Términos y Condiciones del servicio y se considera firmado al aceptar dichos Términos o al activar la cuenta.

En su condición de Encargado, NURIA LABS:

• Tratará los Datos del Cliente únicamente conforme a las instrucciones documentadas del Cliente y para la prestación del servicio.
• No utilizará los Datos del Cliente para finalidades propias ni los cederá a terceros, salvo a los subencargados autorizados.
• Garantizará la confidencialidad de las personas autorizadas para tratar los datos.
• Aplicará las medidas técnicas y organizativas adecuadas.
• Asistirá al Cliente para atender los derechos de los interesados y las consultas de la autoridad de control.
• Notificará sin dilación indebida cualquier brecha de seguridad que afecte a los Datos del Cliente.
• Devolverá o suprimirá los Datos del Cliente al finalizar la prestación del servicio, conforme a los plazos pactados.

12. Menores de edad

Los servicios y comunicaciones de NURIA LABS están dirigidos exclusivamente a personas mayores de 18 años. NURIA LABS no recoge intencionadamente datos de menores. Si tiene conocimiento de que se han recogido datos de un menor sin el consentimiento adecuado, puede comunicarlo al correo gescon@nurialabs.com para proceder a su eliminación.

13. Modificaciones de la Política de Privacidad

NURIA LABS se reserva el derecho a modificar la presente Política para adaptarla a novedades legislativas, jurisprudenciales o a las prácticas y servicios prestados. Las modificaciones serán publicadas en el Sitio Web y, si afectan sustancialmente al tratamiento, se comunicarán expresamente al interesado.

Se recomienda revisar periódicamente esta Política. La fecha de la última actualización figura al inicio del documento.

14. Contacto

Para cualquier consulta sobre esta Política de Privacidad o sobre el tratamiento de sus datos personales por parte de NURIA LABS, puede contactar con nosotros en: