1. Quién es responsable
El responsable del tratamiento de los datos personales descritos aquí es Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Escriba a privacy@gelex.eu sobre cualquier aspecto de esta política.
Delegado de protección de datos. Nuestro corpus incluye resoluciones judiciales, algunas relativas a infracciones penales (art. 10 del RGPD). Publicarlas a gran escala es una actividad principal, así que tratamos el art. 37(1)(c) como una exigencia de designar un delegado de protección de datos. Estamos en proceso de designar uno; su nombre y contacto se publicarán aquí. Mientras tanto, privacy@gelex.eu llega a la persona responsable de la protección de datos.
Cuando su organización usa Gelex, las preguntas, documentos, expedientes, borradores y transcripciones que sus miembros introducen en el servicio se tratan por cuenta de la organización. Para ellos, la organización es el responsable y nosotros somos su encargado, conforme al acuerdo de tratamiento de datos.
Personas nombradas en las resoluciones judiciales que publicamos: véase el aviso sobre datos personales en resoluciones judiciales.
2. Qué tratamos, por qué y con qué base jurídica
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Cuenta: nombre, correo electrónico, idioma, organización y función, y sus métodos de acceso (clave de acceso, hash de la contraseña, aplicación de autenticación) | Para darle una cuenta y acceder de forma segura | Contrato, art. 6(1)(b) |
| Acceso con Google o Microsoft, si lo elige: su nombre, correo electrónico e identificador de cuenta de ese proveedor | Para acceder. Se usa solo para eso. | Contrato, art. 6(1)(b) |
| Metadatos de uso por petición: quién, cuándo, qué tipo de herramienta, qué documentos del corpus se leyeron, jurisdicciones, duración, número de tokens, resultado | Para contar el uso contra su plan, prestar el servicio y mostrar a su organización su uso | Contrato, art. 6(1)(b) |
| Registro de auditoría: eventos relevantes para la seguridad (pertenencia, cambios de función y de claves, «se hizo una pregunta» sin su texto, acceso de soporte del personal), con una dirección IP con hash | Para mantener seguros y responsables el servicio y la cuenta de su organización | Interés legítimo en la seguridad, art. 6(1)(f) |
| Facturación: nombre de la organización, dirección de facturación, número de IVA y su comprobación en el registro VIES de la UE, facturas, y exceso adeudado por un periodo de uso que se cerró antes de fijar un país de facturación | Para cobrar los planes de pago, aplicar correctamente el IVA y llevar la contabilidad | Contrato y obligación legal, art. 6(1)(b) y (c) |
| Referidos: qué organización refirió a cuál y si se convirtió en cliente de pago | Para conceder el crédito por referido | Contrato, art. 6(1)(b) |
| Solicitudes de presupuesto: nombre, correo electrónico, organización y su mensaje | Para responder y preparar una oferta | Pasos previos a un contrato, art. 6(1)(b) |
| Solicitudes de cancelación y desistimiento (consumidores) | Para ejecutarlas y poder demostrar que lo hicimos | Obligación legal, art. 6(1)(c) |
| Avisos sobre contenido (solicitudes de retirada o corrección, oposiciones): nombre, correo electrónico y declaración de quien notifica | Para tramitar el aviso y responderlo, como exige la Ley de Servicios Digitales | Obligación legal, art. 6(1)(c) |
| Correos que nos envía | Para responderle | Interés legítimo, art. 6(1)(f) |
| Contenido del cliente: transcripciones (solo si su organización las activa), expedientes, borradores, documentos subidos, firmas electrónicas en borradores, documentos enviados para firma con el nombre, correo electrónico, respuesta y la dirección de red desde la que firmó cada firmante, las plantillas propias de la organización y quién las redactó y aprobó, qué cambios legislativos se enviaron por correo a qué miembro sobre un expediente, y las claves que vinculan los marcadores de nombres de personas en un expediente con esos nombres, guardadas aparte de la IA | Para prestar las funciones que usa su organización | Tratado por cuenta de su organización conforme al acuerdo de tratamiento de datos |
Lo que no guardamos. Salvo que su organización active las transcripciones, nunca guardamos el texto de una pregunta o de una respuesta. El modelo de IA conectado recibe la pregunta y los textos de las fuentes que necesita para responder; nosotros conservamos solo los metadatos anteriores.
No entrenamos modelos de IA con sus datos. No tenemos ningún modelo de IA propio. Las respuestas proceden del modelo que conecta su organización.
Datos de usuario de Google y Microsoft. Cuando accede con Google o Microsoft, solo recibimos los datos de la fila de la tabla anterior. Los usamos únicamente para crear su cuenta y acceder a ella. No los compartimos, no los usamos para publicidad ni para entrenar modelos. Google y Microsoft actúan como responsables independientes de su propio acceso.
3. La IA que usted conecta
Usted elige el modelo de IA que responde. Si conecta uno con una clave de API, sus preguntas y los textos de las fuentes se envían a ese proveedor en virtud de su propio acuerdo con él. El proveedor es su encargado, no el nuestro, y se aplican sus propias condiciones de privacidad. Si usa nuestro conector MCP dentro de su propio asistente, el proveedor de ese asistente recibe lo que escriba allí, según sus condiciones. Véase Transparencia de la IA.
4. Quién recibe los datos
Un pequeño número de encargados nos ayudan a prestar el servicio. Están enumerados, con sus ubicaciones, en la página de subencargados. No vendemos datos personales y no los compartimos con fines publicitarios. Solo comunicamos datos a las autoridades cuando la ley lo exige.
Nuestro personal. El personal solo puede abrir la cuenta de una organización en la consola de personal tras un acceso con un segundo factor. Para ayudar en un caso de soporte, un miembro del personal puede ver el servicio como uno de sus miembros. Esa vista es de solo lectura, dura 15 minutos por defecto y 30 como máximo, requiere un motivo indicado y queda registrada en el propio registro de auditoría de su organización.
5. Dónde se almacenan los datos
El servicio y sus copias de seguridad en servidor están alojados por Hetzner en su centro de datos de Núremberg, Alemania; la ubicación de una copia de seguridad externa se indicará aquí cuando esté configurada. El correo transaccional se envía a través de Migadu, una empresa suiza. Suiza está reconocida por la Comisión Europea como un país con un nivel adecuado de protección. No usamos ningún proveedor de nube de propiedad estadounidense, y no transferimos datos personales fuera del EEE salvo a un país con una decisión de ese tipo.
6. Cuánto tiempo los conservamos
- Pregunta, respuesta y texto de fuente: nunca se guardan, ni en la base de datos ni en los registros, salvo que su organización active las transcripciones.
- Transcripciones: solo se conservan mientras su organización las tenga activadas. Se guardan durante el plazo que ella fije y después se eliminan; si no fija ningún plazo, se mantienen hasta que ella o usted las eliminen. Desactivar las transcripciones impide guardar nuevas; las anteriores permanecen hasta que venza su plazo o se eliminen.
- Datos de la cuenta: mientras la cuenta exista. Al eliminar su cuenta se borran sus datos de acceso y se seudonimiza lo que queda en los registros de uso y de auditoría.
- Claves de proveedores de IA: se eliminan cuando se quita la conexión o la organización; una clave sustituida se elimina de inmediato.
- Exportaciones de datos: se generan cuando las pide y nunca se guardan.
- Metadatos de uso: 24 meses.
- Organizaciones cerradas: su contenido (expedientes, borradores, documentos, transcripciones, invitaciones, sesiones y vínculos de miembros) se elimina 30 días después de cerrar la organización. También la cuenta de cada miembro que no pertenezca a ninguna otra organización: su nombre, correo electrónico y acceso. Sus facturas y su registro de auditoría se conservan como se indica aquí.
- Registro de auditoría: 5 años después del cierre de la organización. Se conserva para demostrar lo ocurrido en la cuenta y no se elimina junto con el resto de datos de la organización.
- Intentos de acceso no completados: 24 horas. No contienen datos personales salvo una dirección de retorno en la aplicación.
- Sesiones e invitaciones caducadas: 90 días.
- Solicitudes de presupuesto: 2 años. Avisos de contenido: 3 años después de la decisión. Solicitudes de cancelación y desistimiento de consumidores: 5 años.
- Registros del servidor: 30 días. Nunca contienen el texto de las preguntas, y el servidor web no guarda un registro de accesos.
- Facturas: 5 años después del final del ejercicio fiscal, como exige la ley danesa de contabilidad.
- Correo saliente enviado en nombre de la empresa: la dirección a la que se envió, su asunto y texto, y por qué se envió, se conservan en nuestra bandeja de salida durante 2 años después de enviarse, rechazarse o fallar; nuestro proveedor de correo conserva los registros de entrega según su propia política.
- Copias de seguridad: las diarias se conservan 30 días y las de fin de mes 12 meses. Los datos eliminados del servicio desaparecen, por tanto, de las copias de seguridad en 12 meses como máximo. Las copias se guardan en nuestro servidor en Alemania y solo se restauran para recuperar el servicio; la copia externa, una vez hecha, está cifrada.
7. Sus derechos
Tiene derecho a acceder a sus datos, a que se corrijan o supriman, a limitar u oponerse a su tratamiento, y a recibirlos en un formato portable. Dos de estos derechos puede ejercerlos usted mismo en la aplicación, en Ajustes → Sus datos: descargar sus datos y eliminar su cuenta. Para todo lo demás, escriba a privacy@gelex.eu. Respondemos en el plazo de un mes.
Cuando nos basemos en el interés legítimo, puede oponerse en cualquier momento. Puede presentar una reclamación ante la Agencia Danesa de Protección de Datos (Datatilsynet, datatilsynet.dk) o ante la autoridad del lugar donde vive.
8. ¿Tiene que facilitarnos datos?
Una cuenta necesita un nombre y una dirección de correo electrónico; sin ellos no podemos prestar el servicio. Los datos de facturación son obligatorios por ley para los planes de pago. No tomamos decisiones sobre usted basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o le afecten de manera significativa similar.
9. Seguridad
El acceso admite claves de acceso y aplicaciones de autenticación. Las conexiones están cifradas. Las claves de los proveedores de IA que guarda su organización están cifradas y nunca se vuelven a mostrar. Las transcripciones están cifradas con una clave específica de su organización. El registro de auditoría es de solo adición, y su exportación está firmada para poder verificarla. Comunique una vulnerabilidad a security@gelex.eu (véase nuestra política de divulgación).
10. Cambios
Actualizamos esta política cuando cambia lo que hacemos, y avisamos a los titulares de cuentas por correo electrónico antes de que un cambio sustancial surta efecto.
Historial de cambios
- , versión 1: Primera versión.