Política de privacidad.

Esta Política de privacidad explica cómo Confir (“Confir”, “nosotros”) recopila, utiliza y protege los datos personales cuando usted visita confir.eu, se pone en contacto con nosotros, crea una cuenta o utiliza la plataforma Confir (el “Servicio”).

Tratamos los datos personales de conformidad con el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, “RGPD”), la Ley federal alemana de protección de datos (Bundesdatenschutzgesetz, “BDSG”) y la Ley alemana de protección de datos en telecomunicaciones y servicios digitales (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, “TDDDG”).

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales tratados en relación con confir.eu y el Servicio es:

Confir
Negocio de empresario individual (Einzelunternehmen) — titular: Daniel Stiegler
Kirchweg 3
92256 Hahnbach, Alemania
Correo electrónico: privacy@confir.eu

No estamos obligados a designar un delegado de protección de datos (§ 38 BDSG). Dirija todas las consultas sobre privacidad a privacy@confir.eu.

2. Nuestras dos funciones: responsable y encargado

2.1 Confir como responsable. Para el tratamiento descrito en esta Política —operar el sitio web, atender consultas, gestionar cuentas, facturación, seguridad y comunicaciones— Confir es el responsable del tratamiento.

2.2 Confir como encargado. Cuando una organización cliente utiliza el Servicio, el contenido que introduce (registros de sistemas de IA, evaluaciones, controles, hallazgos, archivos de evidencia y cualquier dato personal contenido en ellos) se trata por cuenta de ese cliente y siguiendo sus instrucciones. Para ese contenido, el cliente es el responsable y Confir es el encargado del tratamiento conforme a nuestro Acuerdo de tratamiento de datos. Si utiliza el Servicio como empleado o contratista de un cliente, consulte también la información de privacidad de su propia organización.

3. Categorías de datos personales que tratamos

3.1 Visita al sitio web y registros del servidor

• Dirección IP, fecha y hora de la solicitud, página solicitada, URL de referencia, tipo y versión del navegador, sistema operativo
• Los almacena automáticamente nuestro proveedor de alojamiento con fines de seguridad y análisis de fallos (véase la Sección 6)

3.2 Consultas y formulario de contacto

• Nombre, correo electrónico profesional, empresa y el contenido de su mensaje
• Los envíos del formulario de contacto nos llegan por correo electrónico a través de nuestro proveedor de correo transaccional (véase la Sección 6)

3.3 Datos de cuenta e identidad

• Nombre completo, correo electrónico profesional, cargo, organización
• Credenciales de autenticación (hash de contraseña, secretos MFA)
• Preferencias de perfil y configuración de idioma
• Cuando se le invita a una cuenta existente, recibimos su nombre y correo electrónico profesional del administrador de su organización

3.4 Datos del Servicio

• Información que usted o su organización introducen en la plataforma (registros de sistemas de IA, evaluaciones, controles, hallazgos, adjuntos)
• Entradas del registro de auditoría (acción, actor, marca de tiempo, IP, agente de usuario)
• Comentarios, archivos de evidencia y cualquier otro contenido que suba

3.5 Datos de facturación

• Nombre de la empresa, NIF-IVA, dirección de facturación, contacto de facturación
• Metadatos de pago tratados por nuestro proveedor de pagos (no almacenamos los datos completos de la tarjeta; véase la Sección 6)

3.6 Datos técnicos y de uso

• Dirección IP, tipo de navegador, sistema operativo, identificadores del dispositivo
• Páginas visitadas, funciones utilizadas, solicitudes realizadas, registros de errores, telemetría de rendimiento
• Información almacenada en su dispositivo (cookies y almacenamiento local); véase la Sección 11 y nuestra Política de cookies

3.7 Comunicaciones

• Solicitudes de soporte y correspondencia con nosotros
• Preferencias de marketing y, cuando haya consentido recibir correos de marketing, datos de interacción con el correo (apertura, clic)

3.8 Analítica web (solo con su consentimiento)

• Páginas vistas en confir.eu, el sitio o la campaña de marketing que le trajo aquí, ubicación aproximada derivada de su dirección IP, tipo de dispositivo y navegador, y qué llamadas a la acción siguió, incluido el texto del botón o enlace que pulsó
• Que se envió el formulario de contacto y en qué página. El motivo de su consulta —demostración, ventas o soporte— y todo lo que escriba en el formulario quedan por completo fuera de la analítica; solo se tratan como se describe en el apartado 3.2
• Recogidos por Google Analytics 4 y únicamente después de que acepte la analítica en nuestro banner de cookies. Google Analytics 4 no registra ni almacena direcciones IP, y lo ejecutamos con Google Signals y la personalización de anuncios desactivadas. Consulte nuestra Política de cookies para ver las cookies instaladas y cómo rechazarlas

4. Finalidades y bases jurídicas

Cuando nos basamos en el interés legítimo (Art. 6(1)(f) RGPD), hemos ponderado nuestro interés en mantener el sitio web y el Servicio seguros, detectar abusos y mejorar el producto frente a la naturaleza limitada y previsible del tratamiento, las salvaguardas descritas en la Sección 10 y su derecho a oponerse en cualquier momento conforme a la Sección 9. Puede solicitar un resumen de esta ponderación en privacy@confir.eu.

5. Cómo utilizamos los datos personales

Utilizamos los datos personales para:

• Responder a sus consultas y, cuando proceda, preparar una oferta
• Autenticarle y proteger su cuenta
• Operar el Servicio y almacenar los datos que envía (sistemas de IA, evaluaciones, controles, evidencias)
• Generar registros de auditoría, paquetes de conformidad e informes de cumplimiento para su organización
• Facturarle correctamente y cumplir nuestras obligaciones contables y fiscales
• Detectar, investigar y responder a abusos, fraudes e incidentes de seguridad
• Mejorar el Servicio y desarrollar nuevas funciones
• Enviarle correos transaccionales (alertas de inicio de sesión, facturas, avisos del producto) y, solo con su consentimiento, correos de marketing

No utilizamos decisiones individuales automatizadas, incluida la elaboración de perfiles, en el sentido del Art. 22 RGPD.

6. Destinatarios de los datos personales

Comunicamos datos personales a las siguientes categorías de destinatarios, en cada caso solo en la medida necesaria:

• Proveedores de servicios (encargados del tratamiento) que alojan y operan el sitio web y el Servicio por nuestra cuenta en virtud de contratos conforme al Art. 28 RGPD: Supabase (base de datos, autenticación y almacenamiento de archivos, alojados en Amazon Web Services en Fráncfort, Alemania), Vercel (alojamiento del sitio web y de la aplicación), Stripe (facturación de suscripciones y procesamiento de pagos; Stripe recibe directamente sus datos de pago, nunca vemos los números completos de tarjeta), Cloudflare (protección antibots Turnstile en los formularios de acceso de la aplicación) y Google (analítica web en confir.eu, cuando usted lo haya consentido, y entrega de la tipografía web utilizada en la interfaz de la aplicación). El correo transaccional de autenticación lo envía el remitente integrado de Supabase. La lista completa y actualizada se publica en confir.eu/legal/subprocessors.
• Asesores profesionales, como asesores fiscales, contables y abogados, sujetos a confidencialidad
• Autoridades cuando lo exija la ley (orden judicial, requerimiento de un regulador o de la autoridad tributaria)
• Sucesores. Si el negocio Confir se transfiere a una sociedad (por ejemplo, una GmbH o UG) o se vende, los datos personales podrán transferirse al sucesor, que quedará vinculado por esta Política. Le informaremos de cualquier transferencia de este tipo.

No vendemos datos personales y no compartimos datos personales con anunciantes terceros.

7. Transferencias internacionales

Los datos de los clientes y los datos de cuenta se alojan en la Unión Europea (Fráncfort, Alemania; región de AWS eu-central-1). Algunos de nuestros proveedores de servicios (Supabase, Vercel, Cloudflare, Google) están constituidos en Estados Unidos u operan redes globales, aunque se utilicen sus centros de datos en la UE, y ciertos datos limitados (por ejemplo, metadatos de conexión) pueden ser accesibles desde fuera del EEE. Para cualquier transferencia de este tipo nos basamos en:

• una decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté certificado, o
• las cláusulas contractuales tipo de la UE conforme a la Decisión de Ejecución (UE) 2021/914, con medidas complementarias cuando sea necesario.

Puede solicitar una copia de las garantías correspondientes en privacy@confir.eu.

8. Conservación

Conservamos los datos personales solo durante el tiempo necesario para las finalidades indicadas y para cumplir nuestras obligaciones legales:

• Registros del servidor — hasta 14 días, salvo que sean necesarios durante más tiempo para investigar un incidente de seguridad
• Consultas y mensajes del formulario de contacto — hasta 12 meses después de nuestro último intercambio, salvo que se celebre un contrato
• Datos de cuenta — durante la suscripción y 30 días después de la eliminación de su cuenta
• Datos del Servicio y registros de auditoría — durante la suscripción y la ventana de exportación prevista en el DPA; después, según las instrucciones de la organización cliente, que es responsable de cumplir sus propios deberes de conservación conforme a la Ley de IA de la UE (normalmente 10 años para la documentación del Anexo IV)
• Facturas y registros contables — de 8 a 10 años conforme a la legislación fiscal y mercantil alemana (§ 147 AO, § 14b UStG)
• Solicitudes de soporte — 2 años después de su cierre
• Datos de marketing — hasta que retire su consentimiento

Cuando los datos se conservan más allá de estos plazos, es únicamente porque se aplica un deber legal de conservación o porque son necesarios para formular, ejercer o defender reclamaciones.

9. Sus derechos en virtud del RGPD

Tiene derecho a:

• Acceder a los datos personales que tenemos sobre usted (Art. 15)
• Rectificar datos inexactos o incompletos (Art. 16)
• Supresión (“derecho al olvido”) (Art. 17)
• Limitar el tratamiento (Art. 18)
• Portabilidad — recibir sus datos en un formato estructurado y de lectura mecánica (Art. 20)
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior a la retirada (Art. 7(3))

Para ejercer cualquiera de estos derechos, escriba a privacy@confir.eu. Responderemos sin dilación indebida y, a más tardar, en el plazo de un mes. Cuando los datos afectados sean contenido de un cliente que tratamos como encargado (Sección 2.2), remitiremos su solicitud a la organización cliente que los controla.

También tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos, en particular en el Estado miembro de la UE de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción (Art. 77 RGPD). La autoridad de control competente para Confir es la Oficina Estatal de Baviera para la Supervisión de la Protección de Datos (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, Alemania, lda.bayern.de. Puede consultar la lista de todas las autoridades de control alemanas en la web del Comisionado Federal de Protección de Datos: bfdi.bund.de.

10. Seguridad

Protegemos los datos personales mediante medidas técnicas y organizativas apropiadas (Art. 32 RGPD). Encontrará más detalles en nuestro Centro de confianza. Las salvaguardas principales incluyen: cifrado en tránsito (TLS 1.2+) y en reposo (AES-256), seguridad a nivel de fila en todas las tablas de la base de datos, registro de auditoría inmutable, MFA, acceso con privilegios mínimos y pruebas de seguridad periódicas.

11. Cookies e información almacenada en su dispositivo

El sitio web y el Servicio almacenan información en su dispositivo solo cuando es estrictamente necesario para prestar el servicio que ha solicitado (§ 25 (2) TDDDG), por ejemplo, su sesión de inicio y su elección de cookies. Cualquier almacenamiento no esencial, como la analítica, se utiliza únicamente con su consentimiento previo (§ 25 (1) TDDDG), que puede retirar en cualquier momento. Qué elementos se almacenan, durante cuánto tiempo y cómo controlarlos se detalla en nuestra Política de cookies.

12. Menores

El Servicio está destinado a empresas. No recopilamos a sabiendas datos personales de menores de 16 años. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con nosotros y los eliminaremos.

13. Obligación de facilitar datos

No está legalmente obligado a facilitarnos datos personales. Sin embargo, sin los datos marcados como obligatorios en el registro o en el pago no podremos crear una cuenta, celebrar un contrato ni prestar el Servicio.

14. Cambios en esta Política

Podemos actualizar esta Política periódicamente. Publicaremos la versión actualizada en esta página con una nueva fecha de entrada en vigor. En caso de cambios sustanciales, lo notificaremos a los titulares de cuentas por correo electrónico o a través del Servicio antes de que el cambio surta efecto.

15. Contacto

Para cualquier cuestión relativa a la privacidad, escriba a privacy@confir.eu o a nuestra dirección postal (véase la Sección 1).