Política de privacidad

Última actualización: 11 de noviembre de 2026 — Versión 1.1

Responsable: DAVINCHI, DISEÑO Y NUEVAS TECNOLOGÍAS, S.L. · NIF B84250299

Esta política cubre los tratamientos en los que DAVINCHI actúa como responsable: navegación, formulario de demostración y contacto, alta con verificación por correo, asistente conversacional (público o autenticado), gestión de la cuenta, facturación mediante Stripe, soporte y seguridad. Los datos que la empresa cliente introduce en la Plataforma sobre terceros (clientes, personal, tratamientos, certificados) se tratan por cuenta del cliente como responsable, conforme al Anexo I de las Condiciones Generales.

1. Responsable del tratamiento

2. Dos planos de tratamiento

3. Tratamientos como responsable

3.1. Formulario de demo y contacto

Datos: nombre, empresa, correo, teléfono, mensaje. Finalidad: atender la solicitud y mantener la comunicación precontractual. Legitimación: art. 6.1.b RGPD; comunicaciones comerciales solo con consentimiento (art. 6.1.a). Conservación: un (1) año sin contratación.

3.2. Alta en línea y verificación por correo

Datos: razón social, NIF, contacto, correo, contraseña (hash), consentimientos. Finalidad: verificar el correo mediante código de seis dígitos, crear la cuenta, gestionar el periodo de prueba (tres meses sin tarjeta) y el servicio. Legitimación: art. 6.1.b RGPD (ejecución del contrato); art. 6.1.c RGPD (obligaciones legales de facturación y conservación documental). Conservación: durante la relación contractual y, tras su fin, durante los plazos de prescripción de las acciones derivadas del contrato; las solicitudes de alta no verificadas dejan de ser operativas al caducar el código de verificación.

3.3. Cuenta de empresa y usuarios

Datos: nombre, correo corporativo, rol y credenciales (la contraseña se almacena con hash y no es accesible por DAVINCHI) de los usuarios de la empresa Cliente. Finalidad: permitir la autenticación, gestionar usuarios y permisos y prestar el servicio. Legitimación: art. 6.1.b RGPD respecto del Cliente; para los usuarios de una empresa Cliente, interés legítimo de DAVINCHI y de su empleador en permitir el acceso a una herramienta profesional (art. 6.1.f RGPD). Conservación: mientras el usuario esté activo y, después, durante los plazos de prescripción.

3.4. Facturación y suscripción

Datos: identificación fiscal, contacto, plan contratado. Los pagos con tarjeta se procesan en Stripe Payments Europe, Ltd.; DAVINCHI no almacena datos completos de tarjeta. Legitimación: art. 6.1.b RGPD (ejecución del contrato) y art. 6.1.c RGPD (obligaciones contables, mercantiles y tributarias). Conservación: seis (6) años desde el último asiento (art. 30 del Código de Comercio) y cuatro (4) años a efectos tributarios (art. 66 LGT), con el plazo más largo como referencia.

3.5. Asistente conversacional

Datos: correo electrónico (y, si los facilita, nombre y empresa), código de verificación, contenido de las preguntas y respuestas, identificadores técnicos de sesión y huella cifrada (hash) de la dirección IP. Finalidad: verificar el correo, prestar el servicio de asistente solicitado, controlar el consumo y el abuso, y atender y mejorar el soporte. Legitimación: art. 6.1.b RGPD (prestación del servicio solicitado o del contrato, en el asistente de la aplicación) y art. 6.1.f RGPD (interés legítimo en la seguridad y en la mejora del servicio, frente al que puede oponerse). Las comunicaciones comerciales solo con consentimiento (art. 6.1.a). Conservación: doce (12) meses desde la conversación; el contenido se guarda con enmascaramiento de datos personales. La supresión periódica puede ejecutarse mediante el proceso técnico de retención configurado en la Plataforma cuando se superen los plazos aplicables. Proveedor de IA: las respuestas del asistente pueden generarse mediante OpenAI Ireland Ltd. (modelo de lenguaje contratado por DAVINCHI) a partir de la base de conocimiento propia y del texto de la pregunta; finalidad: atender consultas sobre el producto y el RD 952/2026; legitimación: art. 6.1.b RGPD (servicio solicitado) y art. 6.1.f RGPD (seguridad y mejora). Si no hay proveedor configurado, se utiliza solo la base de conocimiento interna. OpenAI puede tratar datos en Estados Unidos con garantías del marco UE-EE. UU. o cláusulas tipo, según sus condiciones públicas. El asistente no adopta decisiones automatizadas con efectos jurídicos ni sustituye el asesoramiento profesional.

3.6. Comunicaciones comerciales

Legitimación: art. 6.1.a RGPD y art. 21 LSSICE, consentimiento expreso mediante casilla separada, no premarcada y no condicionada al servicio, en los formularios de demostración, alta o asistente; y art. 21.2 LSSICE, relación contractual previa, para información sobre servicios similares a los contratados, con posibilidad de oponerse en cada comunicación. Conservación: hasta la baja o la retirada del consentimiento. Baja gratuita en cada comunicación o escribiendo a biocidata@davinchi.es.

3.7. Seguridad y registros de acceso

Dirección IP, identificadores de sesión, logs técnicos y evidencias de aceptación de Condiciones. Finalidad: seguridad, prevención del fraude y prueba contractual. Legitimación: art. 6.1.f RGPD (interés legítimo en la seguridad de los sistemas y en la defensa frente a reclamaciones) y art. 6.1.c RGPD (art. 32 RGPD). Las evidencias de aceptación de las Condiciones se conservan mientras dure la relación y durante los plazos de prescripción posteriores. Conservación de logs: doce (12) meses.

3.8. Cookies y medición web

Véase la Política de cookies. Las cookies estrictamente necesarias no requieren consentimiento.

Si configura la medición Google Analytics 4 (Google Ireland Ltd.), con su consentimiento en el banner se instalan cookies _ga y _ga_* para conocer el uso del sitio (páginas visitadas, eventos como alta o solicitud de contacto). Finalidad: estadísticas agregadas y mejora del servicio. Legitimación: art. 6.1.a RGPD (consentimiento). Conservación: según tabla de cookies (habitualmente hasta 2 años). Puede revocar el consentimiento en cualquier momento desde el aviso de cookies. Sin GA_ID o NEXT_PUBLIC_GA_ID no se activa Google Analytics.

4. Datos de terceros que facilita el cliente

Cuando el cliente facilite datos de terceros —por ejemplo, de sus aplicadores, técnicos responsables, clientes finales o contactos de proveedores—, garantiza que cuenta con base jurídica suficiente para comunicárnoslos y que les ha informado previamente, conforme a los artículos 13 y 14 del RGPD. DAVINCHI no responde de la falta de información o de base jurídica imputable al cliente.

La Plataforma no está prevista para el tratamiento de categorías especiales de datos del artículo 9 del RGPD ni de datos relativos a condenas o infracciones penales, que no deben introducirse en campos de texto libre ni en observaciones de certificados o tratamientos.

5. ¿Es obligatorio facilitar tus datos?

Los datos señalados como obligatorios en el formulario de demo y en el registro son los mínimos imprescindibles para atender la solicitud o crear la cuenta; si no se facilitan, no podremos gestionarla. El resto es voluntario. Al enviarnos datos, el Usuario garantiza que son veraces y que actúa en el marco de su actividad empresarial o profesional y, cuando se registra en nombre de una empresa, que dispone de facultades suficientes para ello.

6. ¿A quién comunicamos tus datos?

Con carácter general, los datos no se ceden a terceros. No obstante, pueden acceder a ellos proveedores que actúan como encargados del tratamiento de DAVINCHI —alojamiento, correo electrónico, cobro de suscripciones, monitorización y soporte—, administraciones públicas, jueces y tribunales cuando exista obligación legal, y las entidades necesarias para el cobro mediante Stripe. En ningún caso se venden datos con fines publicitarios.

7. Encargados del tratamiento

• OVHcloud — alojamiento de la aplicación, bases de datos, ficheros y copias de seguridad. La aplicación y sus bases de datos se alojan en servidores de OVHcloud situados en Londres (Reino Unido), país fuera del Espacio Económico Europeo. Esta transferencia internacional está amparada por la decisión de adecuación de la Comisión Europea para el Reino Unido (Decisión de Ejecución (UE) 2021/1772, renovada por la Decisión de Ejecución (UE) 2025/2574 hasta el 27 de diciembre de 2031), conforme al artículo 45 del RGPD.
• Nominalia (servicio de correo electrónico del dominio davinchi.es) — envío de códigos de verificación, notificaciones transaccionales y comunicaciones del servicio.
• Stripe Payments Europe, Ltd. — cobro de suscripciones cuando el cliente contrate plan de pago.
• OpenAI Ireland Ltd. — procesamiento de preguntas del asistente conversacional (público y de la aplicación) mediante modelos de lenguaje; solo el contenido necesario para la respuesta. Ubicación: Irlanda (UE); el proveedor puede utilizar infraestructura en EE. UU. con garantías del capítulo V RGPD.
• Proveedores de monitorización o soporte que actúen con contrato art. 28 RGPD, si resultan necesarios.

No se venden datos a terceros con fines publicitarios.

8. Transferencias internacionales

Además del alojamiento en el Reino Unido descrito en el apartado 7, Stripe puede tratar datos fuera del EEE, principalmente en Estados Unidos. En tales casos, la transferencia se ampara en una decisión de adecuación —como el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor esté adherido— o, en su defecto, en cláusulas contractuales tipo de la Comisión Europea con las medidas complementarias necesarias (arts. 44 y siguientes RGPD). Puede solicitarse información en biocidata@davinchi.es.

9. Conservación

Finalizados dichos plazos, los datos se suprimirán o se mantendrán bloqueados en los términos del art. 32 LOPDGDD.

10. Seguridad

Medidas técnicas y organizativas conforme al art. 32 RGPD: HTTPS, control de acceso, contraseñas con hash, copias de seguridad y contratos de encargo. Notificación de brechas conforme a los arts. 33 y 34 RGPD.

11. Derechos

Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento. Solicitud a biocidata@davinchi.es o al domicilio del apartado 1, con identificación. Responderemos en el plazo de un (1) mes, prorrogable por dos meses más en casos de especial complejidad (art. 12.3 RGPD). Podremos solicitar un medio de identificación cuando sea necesario. Si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es). Si el tratamiento es por cuenta de un Cliente (por ejemplo, datos en un certificado de tratamiento), dirija primero la solicitud a su empresa; si nos llega, la trasladaremos al cliente responsable.

12. Menores

Servicios dirigidos a empresarios y profesionales. No se recaban conscientemente datos de menores de catorce (14) años.

13. Decisiones automatizadas

DAVINCHI no adopta decisiones automatizadas con efectos jurídicos sobre el Usuario ni elabora perfiles comerciales a partir del formulario de contacto. La Plataforma genera certificados y registros a partir de la información introducida por el cliente sin que ello constituya una decisión automatizada en el sentido del artículo 22 del RGPD respecto de visitantes o usuarios de cuenta.

14. Enlaces a terceros

La Web puede incluir enlaces a páginas de terceros o a la web corporativa davinchi.es. DAVINCHI no controla el tratamiento de datos que dichos terceros realicen en sus propias plataformas.

15. Modificaciones

DAVINCHI puede actualizar esta política publicando la nueva versión en esta página, con fecha de actualización. Si el cambio afecta a tratamientos basados en consentimiento, se recabará de nuevo cuando proceda.

Anexo I — Información básica en formularios

La tabla resumen («Información básica sobre protección de datos») se muestra junto al formulario de demo y al de alta de cuenta, con enlace a esta política como segunda capa.

Anexo II — Modelo de cláusula informativa para el personal del cliente

Modelo descargable o copiable para que su empresa informe a sus clientes, aplicadores y demás personal del tratamiento de sus datos. Sustituya los huecos entre paréntesis por los datos reales de su organización.