AFECTAX actúa con dos papeles distintos:

- Como responsable del tratamiento, respecto de los datos de las personas que contratan la plataforma o se interesan por ella: datos de contacto, de la cuenta, de facturación y de seguridad.

- Como encargado del tratamiento, respecto de los datos que cada despacho, empresa o profesional cliente introduce en la plataforma: expedientes, documentos del archivador, mensajes, notas, agenda y cuentas de los usuarios que el cliente da de alta. El responsable de esos datos es el cliente, que decide para qué y cómo se tratan. AFECTAX los trata solo por cuenta del cliente y según el Anexo I de las Condiciones de uso, que puede consultar en https://afectax.es/lgl.php

Si sus datos figuran en un expediente, para ejercer sus derechos diríjase al despacho o profesional que lo gestiona. Si nos escribe a nosotros, trasladaremos su solicitud a ese despacho.

- Identificativos y de contacto: nombre y apellidos o razón social, NIF o DNI, persona de contacto, dirección postal, teléfono y correo electrónico.

- De la cuenta: nombre de usuario, contraseña (guardada solo como huella, nunca en claro), plan contratado, idioma y preferencias de visualización.

- De facturación y pago: plan, importes, fechas de cobro y estado de la suscripción. Los datos de la tarjeta los trata directamente Stripe; AFECTAX no los conoce ni los guarda.

- Técnicos y de seguridad: dirección IP, navegador, fecha y hora de los accesos y registro de toda la actividad en la plataforma (páginas consultadas y operaciones realizadas).

- Comunicaciones: los mensajes y sugerencias que nos envíe.

El DNI se usa además para comprobar que una misma persona no abre varias cuentas; nunca se muestra a otros usuarios.

- Prestar el servicio contratado (alta, acceso, soporte y cobro del plan): ejecución del contrato (art. 6.1.b RGPD).

- Cumplir obligaciones legales contables y fiscales: obligación legal (art. 6.1.c RGPD).

- Garantizar la seguridad de la plataforma y prevenir el fraude y las cuentas duplicadas: interés legítimo (art. 6.1.f RGPD).

- Atender consultas y sugerencias: su consentimiento al enviarlas (art. 6.1.a RGPD) o, si es cliente, la ejecución del contrato.

- Enviar avisos sobre el servicio (cambios, cobros, incidencias): ejecución del contrato.

No enviamos publicidad ni elaboramos perfiles comerciales. No se toman decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted.

- Datos de la cuenta y del servicio: mientras dure el contrato y, tras la baja, 30 días para que el cliente pueda descargar sus datos. Después se suprimen.

- Copias de seguridad: desaparecen por rotación en un plazo máximo de 12 meses; mientras tanto permanecen cifradas y solo se usan para restaurar el servicio.

- Datos de facturación: durante los plazos legales (6 años, art. 30 del Código de Comercio; 4 años a efectos tributarios).

- Registros de seguridad: el tiempo necesario para garantizar la seguridad del servicio.

Cuando la ley lo exige, los datos se mantienen bloqueados durante esos plazos (art. 32 LOPDGDD) y después se suprimen.

No cedemos datos a terceros salvo obligación legal. Para prestar el servicio, algunos proveedores tratan datos por nuestra cuenta, con contrato y con las garantías del RGPD:

- OVH SAS (Francia): alojamiento de la plataforma y correo electrónico, en centros de datos de la Unión Europea. Las copias de seguridad cifradas se guardan además en un centro de datos de OVH en el Reino Unido, país con decisión de adecuación de la Comisión Europea (art. 45 RGPD).

- Anthropic Ireland, Limited (Irlanda), con la intervención de Anthropic, PBC (Estados Unidos): motor de inteligencia artificial (apartado 8).

- Stripe Payments Europe, Ltd. (Irlanda): gestión de pagos y suscripciones.

- Google Ireland Limited: solo si usted reproduce un vídeo de YouTube insertado en la plataforma (apartado 11).

Dentro de cada despacho, los datos solo son visibles para los usuarios a los que el propio despacho da acceso. Los datos de un despacho nunca son visibles para otro.

Anthropic y Stripe pueden tratar datos en los Estados Unidos. Estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU., cuando la entidad receptora está adherida, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD) incluidas en sus condiciones de tratamiento de datos. Puede pedirnos información sobre estas garantías en contacto@afectax.es.

Algunas funciones (consola jurídica, asistente, informes, dictámenes, informes periciales, escritos, resúmenes y extracción de documentos, notas y autocompletado) envían a Anthropic el texto necesario para generar la respuesta. En las consultas de la consola sobre expedientes, la plataforma elimina antes los campos identificativos del expediente y sustituye el nombre del afectado cuando aparece escrito tal cual; esta seudonimización es parcial. En la generación de informes, dictámenes, informes periciales y escritos, y en su revisión automática, la plataforma sustituye antes del envío el nombre, DNI/NIE, correo electrónico, teléfono, dirección, IBAN y número de colegiado del afectado y del profesional que firma por marcadores que recupera en el documento final, y hace lo mismo con cualquier DNI/NIE, correo electrónico, IBAN o teléfono que figure en los documentos. Esta seudonimización también es de mejor esfuerzo: no detecta los nombres de terceros que no constan en la ficha del expediente ni las variantes no literales, de modo que el contenido de los documentos puede seguir incluyendo datos personales. Las demás funciones (documentos que consulta la consola, extracción y resumen de documentos del archivador, foliado, asistente, notas, autocompletado, traducción e interpretación) envían el texto o el documento tal como está, por lo que pueden incluir datos personales.

Anthropic trata esos datos como subencargado, solo para prestar el servicio y conforme a su acuerdo de tratamiento de datos; sus condiciones comerciales le prohíben usarlos para entrenar sus modelos. Las respuestas de la inteligencia artificial son orientativas y deben ser revisadas por un profesional.

- Cifrado de los datos guardados (AES-256-GCM), con la clave fuera del alcance público.

- Cifrado en tránsito (HTTPS/TLS).

- Contraseñas guardadas como huella (bcrypt), nunca en claro.

- Control de acceso por usuario y por despacho; cada despacho solo ve sus propios datos.

- Registro de actividad: por seguridad, se registra toda la actividad de cada usuario en la plataforma (fecha y hora, dirección IP, navegador, páginas consultadas y operaciones realizadas, sin el contenido de los textos introducidos). El registro se guarda cifrado y solo puede consultarlo el administrador de la plataforma.

- Copias de seguridad diarias cifradas y réplica en un segundo alojamiento.

- Sesiones que caducan y se invalidan al cerrar la sesión.

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar en cualquier momento el consentimiento que haya dado, escribiendo a contacto@afectax.es. Si fuera necesario para identificarle, le pediremos un documento acreditativo. Respondemos en el plazo de un mes, prorrogable en los casos del art. 12.3 RGPD.

Si considera que no hemos atendido correctamente su solicitud, puede reclamar ante la Agencia Española de Protección de Datos, calle Jorge Juan 6, 28001 Madrid, https://www.aepd.es

La plataforma solo usa cookies propias y almacenamiento local del navegador técnicos o de preferencias, necesarios para el servicio que usted solicita: mantener la sesión iniciada, recordar el idioma, los ajustes de visualización y el estado de las pantallas, y recordar que ha leído el aviso de cookies. Están exentos de consentimiento (art. 22.2 LSSI). No usamos cookies de análisis, publicidad ni seguimiento.

Los vídeos de YouTube se insertan en modo de privacidad mejorada (youtube-nocookie.com): YouTube no instala cookies mientras usted no reproduzca el vídeo. Si lo reproduce, Google puede tratar datos según su propia política de privacidad: https://policies.google.com/privacy

En su página de pago, Stripe usa sus propias cookies según su política de privacidad: https://stripe.com/es/privacy

Puede borrar o bloquear las cookies desde la configuración de su navegador; si bloquea las técnicas, la plataforma no funcionará correctamente.

La plataforma está dirigida a profesionales y a personas mayores de edad. No tratamos conscientemente datos que nos faciliten directamente menores de 14 años (art. 7 LOPDGDD). Los datos de menores que un despacho incluya en sus expedientes son responsabilidad de ese despacho.

Podemos actualizar esta política para adaptarla a cambios legales o del servicio. La fecha de la versión vigente figura en el encabezado. Si el cambio es relevante, lo comunicaremos a los clientes por correo electrónico o en la propia plataforma antes de que entre en vigor.