Informativa sobre la privacidad

1. Objeto de la presente informativa sobre la privacidad

La presente informativa sobre la privacidad describe de forma clara y detallada cómo se recaban, utilizan, almacenan, comunican y protegen los datos personales tratados en el contexto de los servicios, sitios web, aplicaciones, integraciones, canales de soporte y demás entornos digitales asociados a Loxia AI. Su finalidad es informar a los usuarios, clientes, representantes, visitantes y demás interesados sobre el tratamiento de datos que puede producirse cuando interactúan con la plataforma, incluyendo el uso de formularios, cuentas de usuario, APIs, canales de mensajería, herramientas de soporte y funcionalidades de administración.

Esta informativa sobre la privacidad se formula conforme a los principios de licitud, lealtad, transparencia, minimización, limitación de la finalidad, exactitud, integridad y confidencialidad. Asimismo, responde a las exigencias aplicables en materia de protección de datos y privacidad online, en particular al Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y a la normativa complementaria que resulte aplicable según la jurisdicción del interesado o del responsable del tratamiento.

El contenido de esta política de privacidad tiene un carácter general y debe interpretarse junto con los avisos legales, términos de servicio, política de cookies y cualesquiera condiciones contractuales específicas que regulen el uso de los servicios. En caso de discrepancia entre documentos, prevalecerán las disposiciones específicas cuando regulen una materia concreta, sin perjuicio del cumplimiento legal exigible en cada caso.

2. Responsable del tratamiento y categorías de interesados

El responsable del tratamiento es la entidad que determina los fines y medios del tratamiento de datos personales. En el marco de la prestación de los servicios de Loxia AI, dicha entidad actúa como responsable del tratamiento respecto de los datos de contacto, administración de cuentas, facturación, seguridad de la información, comunicaciones operativas y demás tratamientos necesarios para gestionar la relación contractual y precontractual con los clientes. Cuando corresponda, podrán intervenir otras entidades como encargados del tratamiento o corresponsables, siempre sobre la base de un acuerdo válido y de conformidad con la normativa aplicable.

Los interesados pueden incluir, entre otros, representantes de clientes empresariales, usuarios autorizados de la plataforma, personas que contacten mediante formularios o canales de asistencia, visitantes del sitio web, administradores técnicos, interlocutores comerciales y, en ciertos casos, usuarios finales que interactúen con sistemas integrados por los clientes. En entornos B2B es frecuente que la organización cliente proporcione datos de sus empleados o colaboradores para habilitar accesos, gestionar incidencias, configurar flujos operativos o coordinar soporte técnico. En tales supuestos, el tratamiento se limita a las finalidades estrictamente necesarias para la prestación del servicio.

Cuando un cliente incorpore datos de terceros en su uso de la plataforma, dicho cliente será, por regla general, el responsable del tratamiento de esos datos y deberá contar con una base jurídica adecuada, haber informado a los interesados y cumplir con las obligaciones de transparencia, conservación de datos y derechos de los interesados. Loxia AI actuará entonces como encargado del tratamiento en la medida en que procese datos por cuenta del cliente y bajo sus instrucciones documentadas.

3. Datos personales tratados, finalidades y base jurídica

Los datos personales tratados pueden incluir datos identificativos y de contacto, tales como nombre, apellidos, cargo, empresa, dirección de correo electrónico, número de teléfono, dirección profesional, idioma preferido, credenciales de acceso, registros de actividad y datos técnicos asociados al uso de la plataforma. También pueden tratarse metadatos de uso, identificadores de sesión, direcciones IP, información del navegador, marcas temporales, registros de auditoría y datos de interacción necesarios para garantizar el funcionamiento correcto del servicio y la seguridad de la información.

Las finalidades del tratamiento comprenden la creación y administración de cuentas, la autenticación de usuarios, la prestación del servicio, la atención de solicitudes, la gestión contractual, la facturación, el soporte técnico, la prevención del fraude, la mejora de la calidad, la resolución de incidencias, la personalización funcional dentro de parámetros limitados y el cumplimiento de obligaciones legales. En un contexto operativo, por ejemplo, un administrador de un grupo hotelero en Ibiza puede remitir datos de contacto de su equipo para configurar accesos; de forma análoga, un responsable de comercio electrónico en México puede abrir una solicitud de soporte que incluya registros técnicos necesarios para diagnosticar un error.

La base jurídica del tratamiento dependerá de la naturaleza concreta de la actividad. En términos generales, el tratamiento podrá fundamentarse en la ejecución de un contrato, la adopción de medidas precontractuales, el cumplimiento de obligaciones legales, el interés legítimo del responsable en mantener la seguridad, prevenir abusos y mejorar sus servicios, o el consentimiento cuando sea legalmente exigible, por ejemplo en determinados tratamientos de cookies o comunicaciones electrónicas. Cuando el tratamiento se base en interés legítimo, se realizará una ponderación previa para asegurar que no prevalezcan los derechos y libertades de los interesados.

4. Comunicación de datos, encargados y transferencias internacionales

Los datos personales podrán ser comunicados a terceros únicamente cuando resulte necesario para la prestación del servicio, el cumplimiento de obligaciones legales o la defensa de intereses legítimos debidamente justificados. Entre los destinatarios habituales pueden figurar proveedores de infraestructura cloud, herramientas de soporte, servicios de correo electrónico, sistemas de monitorización, pasarelas de pago, asesores jurídicos, auditores o proveedores tecnológicos que intervengan como encargados del tratamiento. Todos ellos estarán sujetos a obligaciones contractuales de confidencialidad, seguridad y tratamiento limitado a instrucciones documentadas.

En determinados casos, especialmente cuando se utilizan servicios tecnológicos alojados fuera del Espacio Económico Europeo, pueden producirse transferencias internacionales de datos. En tales supuestos, se aplicarán las garantías adecuadas exigidas por la normativa, como cláusulas contractuales tipo aprobadas por la Comisión Europea, evaluaciones de impacto de transferencia u otros mecanismos válidos conforme al RGPD. Si existieran transferencias a países con un nivel de protección distinto, se informará de forma coherente y se adoptarán medidas suplementarias cuando sean necesarias.

La comunicación de datos también puede derivarse de requerimientos de autoridades competentes, resoluciones judiciales, investigaciones regulatorias o solicitudes formuladas en el marco del cumplimiento legal. En estos casos, el tratamiento se limitará al alcance estrictamente exigido por la norma o por la orden válida recibida, preservando en la mayor medida posible la privacidad online de los interesados.

5. Conservación de datos, seguridad de la información y medidas aplicadas

La conservación de datos se limitará al tiempo necesario para cumplir las finalidades para las que fueron recabados y, posteriormente, durante los plazos exigidos por la normativa aplicable. Los datos vinculados a relaciones contractuales se conservarán mientras la cuenta permanezca activa o mientras subsistan obligaciones derivadas del servicio. Los datos incluidos en registros de actividad, auditoría o seguridad pueden conservarse por periodos más amplios cuando sea necesario para prevenir incidentes, investigar accesos no autorizados o demostrar el cumplimiento de obligaciones legales.

Transcurridos los plazos de conservación aplicables, los datos se suprimirán, anonimizarán o bloquearán de forma segura, según corresponda. Cuando la eliminación inmediata no sea posible por motivos técnicos o legales, se mantendrán debidamente restringidos y sólo accesibles para fines justificados. En sistemas empresariales de alto volumen, esta gestión suele requerir políticas diferenciadas para datos operativos, datos de facturación, copias de seguridad y registros de seguridad, evitando una conservación indiscriminada.

En materia de seguridad de la información, se aplican medidas técnicas y organizativas orientadas a proteger los datos frente a pérdida, alteración, destrucción, acceso no autorizado o divulgación accidental. Estas medidas pueden incluir control de accesos, autenticación reforzada, cifrado en tránsito y en reposo cuando proceda, segmentación de entornos, trazabilidad de eventos, copias de seguridad, revisión de permisos, principios de mínimo privilegio y procedimientos de gestión de incidentes. No obstante, ningún sistema es absolutamente invulnerable, por lo que la protección se basa en una mejora continua y en revisiones periódicas de riesgo.

6. Derechos de los interesados y ejercicio de derechos

Los interesados tienen derecho a obtener confirmación sobre si se tratan o no datos personales que les conciernan y, en tal caso, a acceder a los mismos. Asimismo, pueden solicitar la rectificación de datos inexactos, la supresión cuando proceda, la limitación del tratamiento, la portabilidad de los datos en los casos legalmente previstos y la oposición al tratamiento basado en interés legítimo o a determinados tratamientos con fines específicos. Cuando el tratamiento se fundamente en el consentimiento, el interesado podrá retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a la retirada.

El ejercicio de los derechos de los interesados deberá realizarse por medios que permitan acreditar la identidad del solicitante y, en su caso, su representación. La respuesta se facilitará dentro de los plazos legales aplicables y de forma comprensible, salvo que concurran límites derivados de otros derechos, obligaciones regulatorias o intereses legítimos prevalentes. En escenarios donde el tratamiento sea efectuado por un cliente en calidad de responsable, la solicitud podrá ser trasladada a dicho cliente cuando sea él quien deba resolverla.

Además de los derechos indicados, el interesado puede presentar una reclamación ante la autoridad de control competente, especialmente si considera que el tratamiento de sus datos infringe la normativa de protección de datos. En la Unión Europea, la autoridad competente suele ser la del Estado miembro de residencia habitual, lugar de trabajo o lugar de la supuesta infracción, sin perjuicio de otras vías administrativas o judiciales que pudieran corresponder.

7. Privacidad online, decisiones automatizadas y cambios en esta informativa

La privacidad online forma parte integral del diseño y funcionamiento de los entornos digitales. Por ello, las medidas de privacidad se aplican desde la concepción del servicio y por defecto, limitando la recogida de datos a lo estrictamente necesario. Cuando el sitio web o la plataforma utilicen identificadores técnicos, cookies u otras tecnologías similares, su tratamiento se regirá por la política específica correspondiente y, cuando sea necesario, por el consentimiento del usuario o por otra base jurídica válida. Este enfoque resulta especialmente relevante en entornos corporativos en los que confluyen datos de múltiples países, equipos y unidades de negocio.

En los casos en que existan procesos automatizados con efectos organizativos o de clasificación interna, se adoptarán salvaguardas para evitar decisiones desproporcionadas y garantizar la supervisión humana cuando la normativa lo exija. Si una funcionalidad concreta implicara una lógica automatizada con efectos jurídicos o significativos para una persona física, se facilitará la información legalmente requerida sobre la lógica aplicada, la importancia y las consecuencias previstas de dicho tratamiento.

La presente informativa sobre la privacidad podrá actualizarse para reflejar cambios normativos, técnicos u operativos. Las modificaciones sustanciales se comunicarán por medios razonables, atendiendo a la naturaleza de la relación y al impacto del cambio. Se recomienda revisar periódicamente esta política de privacidad para conocer la versión vigente y comprender cómo se gestionan los datos personales y la protección de datos en cada momento.