Política de Privacidad

Aviso sobre esta versión lingüística

La versión jurídicamente vinculante de la presente política de privacidad es la versión alemana, disponible en https://paless.eu/de/privacy. La presente versión española se facilita únicamente como ayuda a la comprensión y a efectos informativos. En caso de discrepancia o contradicción entre la versión española y la versión alemana, prevalecerá la versión alemana.

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del art. 4, punto 7, del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante «RGPD») y de las demás leyes nacionales de protección de datos es la mencionada Entalys GmbH.

Inscrita en el registro mercantil del tribunal de primera instancia (Amtsgericht) de Neuss, HRB 25084. Número de identificación a efectos del IVA: DE460863235. Correo electrónico general: info@paless.eu. Para consultas sobre protección de datos, utilice preferentemente la dirección de correo electrónico datenschutz@paless.eu.

2. Delegado de protección de datos

Actualmente no se ha designado un delegado de protección de datos. Según el examen realizado hasta la fecha, el responsable del tratamiento no está sujeto a ninguna obligación legal de designación conforme al art. 37 del RGPD en relación con el § 38 de la Ley Federal alemana de Protección de Datos (BDSG). La necesidad de una designación se revisa de forma continua, en particular con vistas al inicio de la explotación efectiva del servicio; si se produjera una designación, los datos de contacto del delegado de protección de datos se publicarían en este lugar.

Para cualquier cuestión relativa a la protección de datos, tiene a su disposición la dirección de contacto datenschutz@paless.eu indicada en el apartado 1.

3. Aspectos generales del tratamiento de datos

Este apartado describe a qué tratamientos se aplica la presente política de privacidad y en qué sentido deben entenderse los términos utilizados.

3.1 Ámbito de aplicación

La presente política de privacidad se aplica al tratamiento de datos personales (a) al acceder al sitio web paless.eu, incluidas todas sus subpáginas, y al utilizarlo, (b) en la preparación, celebración y ejecución de contratos sobre el uso del servicio «paless», (c) al ponerse en contacto con el responsable del tratamiento a través de las vías de comunicación indicadas en el aviso legal o en la presente política, así como (d) al apoyar al responsable del tratamiento a través de la plataforma de financiación colectiva Kickstarter (apartado 7).

En la medida en que el responsable del tratamiento trate datos personales por cuenta de un cliente en el sentido del art. 4, punto 7, del RGPD (tratamiento por encargo), ello se señala por separado en los apartados correspondientes (en particular, los apartados 6.2 y 6.3). Para dicho tratamiento por encargo resulta determinante el contrato de encargo del tratamiento celebrado entre las partes (anexo 2 de las CGC del responsable del tratamiento).

3.2 Definiciones

La presente política de privacidad utiliza los términos en el sentido que les atribuye el art. 4 del RGPD. En particular, designan:

• «datos personales» toda información sobre una persona física identificada o identificable (art. 4, punto 1, del RGPD)
• «tratamiento» cualquier operación realizada con datos personales (art. 4, punto 2, del RGPD)
• «responsable del tratamiento» la entidad que decide sobre los fines y medios del tratamiento (art. 4, punto 7, del RGPD)
• «encargado del tratamiento» la entidad que trata datos personales por cuenta del responsable del tratamiento (art. 4, punto 8, del RGPD)

4. Bases jurídicas del tratamiento

En la medida en que recabemos el consentimiento del interesado para operaciones de tratamiento de datos personales, la base jurídica es el art. 6, apartado 1, letra a), del RGPD.

Para el tratamiento de datos personales necesario para la ejecución de un contrato en el que el interesado es parte, la base jurídica es el art. 6, apartado 1, letra b), del RGPD. Esto también se aplica a las operaciones de tratamiento necesarias para la aplicación de medidas precontractuales.

En la medida en que el tratamiento de datos personales sea necesario para el cumplimiento de una obligación legal a la que esté sujeto el responsable del tratamiento (por ejemplo, obligaciones de conservación en materia mercantil o fiscal), la base jurídica es el art. 6, apartado 1, letra c), del RGPD.

Si el tratamiento es necesario para la satisfacción de un interés legítimo del responsable del tratamiento o de un tercero y los intereses, derechos fundamentales y libertades fundamentales del interesado no prevalecen sobre el interés mencionado en primer lugar, la base jurídica es el art. 6, apartado 1, letra f), del RGPD. El interés legítimo correspondiente se indica en cada uno de los tratamientos.

5. Tratamiento al visitar el sitio web paless.eu

Este apartado informa sobre qué datos personales se tratan al visitar el sitio web paless.eu, con qué fines y sobre qué base jurídica.

5.1 Archivos de registro del servidor

Cada vez que se accede al sitio web, el navegador de su dispositivo transmite automáticamente información al servidor del sitio; la entrega del sitio web se realiza a través de nuestro encargado del tratamiento Bunny.net (apartado 8). La siguiente información se recoge sin intervención por su parte y se almacena temporalmente en un denominado archivo de registro del servidor:

• dirección IP del dispositivo solicitante
• fecha y hora del acceso
• nombre y URL del archivo consultado
• sitio web desde el que se produce el acceso (URL de referencia)
• navegador utilizado y, en su caso, el sistema operativo de su dispositivo y el nombre de su proveedor de acceso

Fines: garantizar el establecimiento fluido de la conexión y un uso cómodo del sitio web, analizar la seguridad y la estabilidad del sistema y esclarecer actos de abuso o fraude; en ello reside también nuestro interés legítimo. Base jurídica: art. 6, apartado 1, letra f), del RGPD. Plazo de conservación: un máximo de 30 días, seguido de la supresión o anonimización automatizada; es posible una conservación más prolongada en casos concretos cuando sea necesaria para esclarecer un incidente de seguridad específico.

5.2 Cookies y tecnologías similares; gestión del consentimiento

En el sitio web se utilizan cookies y tecnologías similares (conjuntamente: «cookies»). Las cookies son pequeños archivos de texto que se almacenan en el navegador de su dispositivo.

Las cookies técnicamente imprescindibles, cuyo uso es estrictamente necesario para el funcionamiento del sitio web (por ejemplo, para guardar sus preferencias de cookies, para la selección de idioma o para mantener una sesión), se instalan sin consentimiento. La base jurídica es el § 25, apartado 2, número 2, de la ley alemana de protección de datos en las telecomunicaciones y los servicios digitales (TDDDG) en relación con el art. 6, apartado 1, letra f), del RGPD; nuestro interés legítimo reside en el funcionamiento técnicamente correcto y seguro del sitio web.

Las demás cookies, que van más allá de lo técnicamente imprescindible, solo se instalan con su consentimiento expreso. La base jurídica es el § 25, apartado 1, de la TDDDG en relación con el art. 6, apartado 1, letra a), del RGPD. Puede revocar en cualquier momento un consentimiento otorgado, con efectos para el futuro.

La gestión del consentimiento se realiza a través del gestor de consentimiento de cookies de código abierto Klaro!. A través del banner mostrado puede otorgar consentimientos, seleccionarlos individualmente y revocarlos o ajustarlos en cualquier momento. Los archivos de script y de configuración de Klaro! se entregan a través de la red de distribución de contenidos de nuestro encargado del tratamiento Bunny.net (apartado 8); por motivos técnicos, en ese proceso se trata su dirección IP. No se produce ninguna transmisión al editor de Klaro! ni a otros terceros.

5.3 Fuentes tipográficas integradas localmente

En el sitio web se utilizan las fuentes tipográficas «Inter» y «Schibsted Grotesk», procedentes originalmente de la oferta Google Fonts. Para proteger su privacidad, los archivos de fuentes se entregan exclusivamente junto con el sitio web desde nuestro propio dominio (apartado 5.1). No se establece ninguna conexión con servidores de Google LLC ni de Google Ireland Limited; no se transmite a Google su dirección IP ni otros datos personales.

Base jurídica: art. 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo reside en una presentación tipográfica uniforme y atractiva del sitio web sin la integración de servicios de fuentes externos.

5.4 Contacto por correo electrónico

Si se pone en contacto con nosotros por correo electrónico (por ejemplo, en las direcciones info@paless.eu o datenschutz@paless.eu), los datos que nos comunique (como mínimo su dirección de correo electrónico, el contenido de su mensaje y, en su caso, otra información que facilite voluntariamente, como nombre, empresa o número de teléfono) se tratarán con el fin de gestionar su consulta y para posibles preguntas de seguimiento. Actualmente el sitio web no ofrece un formulario de contacto propio.

Base jurídica: art. 6, apartado 1, letra b), del RGPD, en la medida en que su consulta esté dirigida a la celebración o ejecución de un contrato; en los demás casos, art. 6, apartado 1, letra f), del RGPD; nuestro interés legítimo reside en responder a su consulta.

Plazo de conservación: suprimimos los datos personales generados en este contexto en cuanto su almacenamiento deja de ser necesario, por regla general a más tardar transcurridos tres años desde el final del año natural de la última correspondencia sobre el fondo, o limitamos su tratamiento cuando existan obligaciones legales de conservación.

5.5 Boletín (newsletter)

En el sitio web puede suscribirse a nuestro boletín por correo electrónico, mediante el cual le informamos sobre el desarrollo, el lanzamiento (en particular, la campaña de Kickstarter) y las nuevas funciones del servicio «paless».

La suscripción se realiza mediante el procedimiento de doble confirmación (double opt-in): tras su registro recibirá un correo electrónico con un enlace de confirmación; solo después de su confirmación le incluiremos en la lista de distribución. Se tratan su dirección de correo electrónico, opcionalmente su nombre, así como el momento del registro y de la confirmación junto con la dirección IP utilizada, como prueba del consentimiento. El formulario de suscripción solo se carga después de que usted haya consentido, a través del gestor de consentimiento de cookies Klaro!, la integración del servicio Sender necesaria a tal efecto.

Base jurídica: su consentimiento conforme al art. 6, apartado 1, letra a), del RGPD. Puede revocar el consentimiento en cualquier momento con efectos para el futuro, por ejemplo a través del enlace de baja incluido al final de cada correo del boletín o mediante mensaje a marketing@paless.eu; la licitud del tratamiento realizado hasta la revocación no se verá afectada.

Para el envío del boletín y la puesta a disposición del formulario de suscripción utilizamos el servicio Sender (Sender.net) de UAB Sender.lt, Lvivo g. 25, 09320 Vilna, Lituania (UE), como encargado del tratamiento conforme al art. 28 del RGPD. Para evaluar y mejorar el boletín, el servicio puede medir si se abren los correos del boletín y cuándo, y si se hace clic en los enlaces que contienen; esta medición de alcance está cubierta por su consentimiento.

Plazo de conservación: hasta la revocación del consentimiento o hasta la baja del boletín.

5.6 Vídeos integrados (YouTube)

En el sitio web integramos vídeos alojados en el servicio YouTube. El proveedor es Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. Al abrir la página se muestra primero únicamente una vista previa entregada localmente desde nuestro propio sitio web; en ese momento no se establece ninguna conexión con YouTube ni con Google.

Solo cuando usted inicia activamente un vídeo se carga el contenido desde YouTube en el modo de privacidad mejorada a través del dominio youtube-nocookie.com. En ese proceso se transmite su dirección IP a YouTube o Google y pueden instalarse cookies o tecnologías similares; ello puede implicar una transferencia a los EE. UU. (apartado 9). La base jurídica de esta carga es el consentimiento que usted otorga al hacer clic (art. 6, apartado 1, letra a), del RGPD).

No tenemos influencia alguna sobre el tratamiento posterior por parte de Google; puede consultar los detalles en la política de privacidad de Google en https://policies.google.com/privacy.

6. Tratamiento en el marco del servicio «paless»

El servicio «paless» es una solución de gestión documental basada en software con componentes integrados de inteligencia artificial. Entre ellos se cuentan el reconocimiento de texto (OCR) de los documentos incorporados, el etiquetado semántico y la clasificación asistida por IA, así como el asistente conversacional «Pal», que localiza y resume documentos y, a instancia del cliente, elabora borradores, por ejemplo para correos electrónicos o para cumplimentar formularios. El servicio se encuentra actualmente en fase previa a su comercialización; la información que sigue se aplica al uso del servicio a partir de su puesta a disposición. En este contexto, los datos personales se tratan en diferentes roles (apartados 6.1 a 6.4).

6.1 Datos de cuenta y de contrato (responsabilidad propia)

En el marco de la preparación y ejecución del contrato sobre el uso del servicio, el responsable del tratamiento trata bajo su propia responsabilidad, en particular, las siguientes categorías de datos personales:

• datos maestros: nombre, empresa, dirección, forma jurídica y, en su caso, número de registro mercantil y número de identificación a efectos del IVA de las partes contratantes, así como de las personas de contacto designadas por el cliente
• datos de contacto y de acceso: direcciones de correo electrónico, números de teléfono, identificadores de inicio de sesión de las cuentas de usuario
• datos contractuales y de facturación: prestaciones acordadas contractualmente, información sobre reservas y tarifas, datos de pago y facturación
• metadatos de uso y de soporte: fecha y tipo de utilización de los servicios de soporte, tickets, correspondencia en el marco de la ejecución del contrato

Fines: preparación, celebración y ejecución del contrato, prestación y facturación de los servicios acordados, cumplimiento de obligaciones legales y comunicación con el cliente. Bases jurídicas: art. 6, apartado 1, letra b), del RGPD (ejecución del contrato), art. 6, apartado 1, letra c), del RGPD (cumplimiento de obligaciones legales, en particular del derecho mercantil y fiscal) y art. 6, apartado 1, letra f), del RGPD (interés legítimo en garantizar la explotación segura y el desarrollo del servicio). Plazo de conservación: los datos maestros, contractuales y de facturación se conservan durante la vigencia de la relación contractual y durante los plazos legales de conservación aplicables (en particular, 6 o 10 años conforme al § 257 del Código de Comercio alemán (HGB) y al § 147 del Código Tributario alemán (AO)); los metadatos de soporte se suprimen por regla general a más tardar tres años después del cierre del asunto correspondiente.

6.2 Contenidos del cliente (tratamiento por encargo)

En la medida en que el responsable del tratamiento trate, en el marco de la prestación del servicio, datos personales de los que el cliente sea responsable en el sentido del art. 4, punto 7, del RGPD (en particular, datos personales contenidos en los documentos incorporados al servicio por el cliente y en los metadatos asociados), el responsable del tratamiento actúa como encargado del tratamiento en el sentido del art. 4, punto 8, del RGPD. El tratamiento se realiza exclusivamente conforme a instrucciones documentadas del cliente.

La incorporación de contenidos al servicio se realiza a instancia del cliente a través de las vías elegidas por él, en particular mediante carga directa, mediante incorporación desde un buzón de correo electrónico del cliente (mail ingest), desde un almacenamiento en la nube conectado por el cliente o desde un recurso de red compartido puesto a disposición por el cliente. Los documentos incorporados se someten a un reconocimiento de texto (OCR) que extrae contenidos como texto y tablas para hacer que los documentos sean localizables mediante búsqueda.

Resulta determinante el contrato de encargo del tratamiento (AVV), que se celebra con cada cliente como anexo 2 de las CGC del responsable del tratamiento. El AVV regula, en particular, el objeto, la duración, la naturaleza y la finalidad del tratamiento, las categorías de interesados y de datos, las obligaciones del encargado del tratamiento, el recurso a subencargados, las medidas técnicas y organizativas conforme al art. 32 del RGPD y el procedimiento al finalizar el contrato.

En esta configuración, el cliente sigue siendo el responsable del tratamiento a efectos del RGPD. La obligación de informar a los interesados sobre el tratamiento (arts. 13 y 14 del RGPD) y de atender los derechos de los interesados corresponde al cliente; el responsable del tratamiento le presta apoyo a tal efecto conforme al AVV.

6.3 Tratamiento asistido por IA en el servicio

El servicio contiene sistemas de IA en el sentido del art. 3, punto 1, del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial). Se trata, en particular, del asistente conversacional «Pal», basado en el procedimiento de generación aumentada por recuperación («retrieval-augmented generation», RAG), que responde a preguntas sobre los documentos del cliente, elabora resúmenes y, a instancia del cliente, genera borradores (por ejemplo, para correos electrónicos o para cumplimentar formularios), así como de modelos de embeddings para la búsqueda semántica y de modelos de clasificación y etiquetado.

Con respecto a este tratamiento, el responsable del tratamiento garantiza, en consonancia con la cláusula 10, apartado 3, y la cláusula 12, apartado 4, de las CGC: los contenidos del cliente no se utilizan ni para el entrenamiento ni para el ajuste fino de modelos de IA propios o de terceros. En la configuración estándar del servicio, la inferencia de los modelos de IA utilizados se realiza íntegramente en infraestructura propia del responsable del tratamiento dentro de la Unión Europea; en la configuración estándar no se transmiten contenidos del cliente a proveedores externos de IA. Si en el futuro se ofrecieran funciones opcionales que integren servicios externos, se informaría de ello a los clientes por separado antes de su activación; sin dicha activación, el tratamiento permanece íntegramente dentro de la Unión Europea. Los contenidos del cliente no se comunican a terceros con fines de análisis de su contenido; únicamente se recogen métricas operativas anonimizadas o seudonimizadas.

Aviso de transparencia conforme al art. 50 del Reglamento de Inteligencia Artificial: el asistente «Pal» es un sistema de IA que interactúa con la persona que lo utiliza. Se le informará de ello en la interfaz de usuario antes de la primera interacción.

6.4 Autenticación

El inicio de sesión en el servicio se realiza a través de un proveedor de identidad operado por nosotros mismos sobre la base del estándar OpenID Connect (OIDC). A tal efecto, el responsable del tratamiento utiliza el software de código abierto Authentik en infraestructura propia dentro de la Unión Europea. No se integra ningún proveedor externo de servicios de identidad; no existe un subencargado independiente para la gestión de identidades.

En el marco de la autenticación se tratan los identificadores necesarios para el inicio de sesión, en particular el nombre de usuario o la dirección de correo electrónico, los factores de autenticación (por ejemplo, passkeys o llaves de seguridad de hardware), los tokens de sesión y de acceso, así como los claims OIDC asociados. Bases jurídicas: art. 6, apartado 1, letra b), del RGPD y art. 6, apartado 1, letra f), del RGPD (interés legítimo en un acceso seguro al servicio).

7. Apoyo a través de Kickstarter

Tenemos previsto financiar el desarrollo del servicio mediante una campaña de financiación colectiva en la plataforma Kickstarter. Si nos apoya a través de Kickstarter, celebrará el contrato de apoyo a través de la plataforma; del tratamiento de datos en la plataforma es responsable, como responsable independiente, Kickstarter, PBC, 58 Kent Street, Brooklyn, NY 11222, EE. UU. Puede consultar los detalles en la política de privacidad de Kickstarter en https://www.kickstarter.com/privacy.

En el marco de la gestión de la campaña recibimos de Kickstarter los datos de las personas patrocinadoras necesarios a tal efecto, en particular el nombre o nombre de usuario, la dirección de correo electrónico, el nivel de apoyo elegido y sus respuestas a las encuestas de cierre (por ejemplo, la tarifa elegida). Tratamos estos datos para llevar a cabo la campaña, conceder las condiciones de fundador prometidas y mantener la comunicación relacionada. Base jurídica: art. 6, apartado 1, letra b), del RGPD; en los demás casos, art. 6, apartado 1, letra f), del RGPD (interés legítimo en la gestión ordenada de la campaña).

El tratamiento por nuestra parte se realiza en infraestructura dentro de la Unión Europea. Plazo de conservación: durante la gestión de la campaña y la concesión de las condiciones de fundador, como máximo hasta la expiración de los plazos legales de conservación (apartado 10).

8. Destinatarios y encargados del tratamiento

Para prestar el servicio y explotar el sitio web transmitimos datos personales a los siguientes destinatarios, que hemos seleccionado cuidadosamente y que están obligados contractualmente al nivel de protección de datos del RGPD:

• OVHcloud SAS (oferta de nube soberana), con domicilio en Francia (UE): alojamiento, computación, almacenamiento de objetos y copias de seguridad para el servicio «paless»; contrato de encargo del tratamiento conforme al art. 28 del RGPD.
• Bunny.net (BunnyWay d.o.o.), con domicilio en Eslovenia (UE): entrega del sitio web de marketing paless.eu a través de una red de distribución de contenidos, servicios DNS y emisión y renovación de certificados TLS; contrato de encargo del tratamiento conforme al art. 28 del RGPD.
• Sender (UAB Sender.lt), con domicilio en Vilna, Lituania (UE): envío del boletín por correo electrónico y puesta a disposición del formulario de suscripción al boletín (apartado 5.5); contrato de encargo del tratamiento conforme al art. 28 del RGPD.

Los correos electrónicos transaccionales del servicio (por ejemplo, confirmaciones de cuenta, restablecimientos de contraseña y notificaciones del sistema) los envía el responsable del tratamiento de forma predeterminada a través de infraestructura propia; actualmente no se utiliza ningún proveedor externo a tal efecto. Si en el futuro se recurriera a un proveedor con domicilio en la UE, se celebraría previamente un contrato de encargo del tratamiento y se actualizarían la presente política y el anexo 3 de las CGC. Asimismo, los datos personales pueden comunicarse a los asesores del responsable del tratamiento (en particular, abogados, asesores fiscales y auditores) en la medida necesaria para la satisfacción de intereses legítimos o el cumplimiento de obligaciones legales; estos destinatarios están sujetos a obligaciones legales especiales de confidencialidad. Nota sobre Hugging Face: el responsable del tratamiento obtiene artefactos de modelos de IA de forma puntual, en el momento de la compilación o instalación, de Hugging Face Inc. o Hugging Face S.A.S.; en ese proceso no se transmiten datos personales del cliente ni datos de uso, por lo que Hugging Face no es un subencargado en el sentido del art. 28 del RGPD con respecto a la explotación efectiva del servicio. La lista actualizada de los subencargados utilizados figura en el anexo 3 de las CGC («Lista de subencargados del tratamiento»). Los clientes serán informados de los cambios en forma de texto, conforme a la cláusula 4 del contrato de encargo del tratamiento (anexo 2 de las CGC), al menos cuatro semanas antes del cambio previsto; les asiste un derecho de oposición conforme al AVV.

9. Transferencias a terceros países

El servicio «paless» se explota íntegramente en infraestructura dentro de la Unión Europea (oferta de nube soberana de OVHcloud SAS); también para la explotación del sitio web recurrimos exclusivamente a proveedores con domicilio en la Unión Europea. Solo se produce una transferencia de datos personales a países fuera del Espacio Económico Europeo (terceros países) en los siguientes casos excepcionales:

• vídeos de YouTube (apartado 5.6): si inicia activamente un vídeo integrado, puede producirse una transmisión a Google en los EE. UU. Google LLC está certificada bajo el EU-US Data Privacy Framework; a este respecto existe una decisión de adecuación de la Comisión Europea conforme al art. 45 del RGPD. Además, la carga solo se produce sobre la base de su consentimiento.
• apoyo a través de Kickstarter (apartado 7): la campaña se gestiona a través de la plataforma de Kickstarter, PBC, con domicilio en los EE. UU.; del tratamiento en la plataforma es responsable Kickstarter como responsable independiente.

Si en un caso concreto fuera necesaria además una transferencia a un tercer país, esta se realizaría exclusivamente sobre una base jurídica del capítulo V del RGPD, en particular sobre la base de una decisión de adecuación de la Comisión Europea (art. 45 del RGPD), sobre la base de garantías adecuadas como las cláusulas contractuales tipo de la Comisión Europea (art. 46, apartado 2, letra c), del RGPD), complementadas en su caso con medidas adicionales, o sobre la base de su consentimiento expreso conforme al art. 49, apartado 1, letra a), del RGPD, previa información sobre los riesgos asociados. Los interesados serían informados de dicha transferencia de manera adecuada.

10. Plazos de conservación

Los datos personales solo se conservan durante el tiempo necesario para alcanzar los fines de tratamiento correspondientes o mientras lo exijan obligaciones legales de conservación. Una vez desaparecida la finalidad o expirado el plazo de conservación, los datos se suprimen de forma rutinaria o se limita su tratamiento. En concreto, se aplican en particular los siguientes plazos habituales:

• archivos de registro del servidor (apartado 5.1): un máximo de 30 días; en caso de incidentes de seguridad, hasta su esclarecimiento definitivo.
• correspondencia por correo electrónico (apartado 5.4): hasta la resolución de la consulta, por regla general a más tardar 3 años después del final del año natural de la última correspondencia sobre el fondo.
• datos del boletín (apartado 5.5): hasta la revocación del consentimiento o hasta la baja del boletín.
• datos de cuenta y de contrato (apartado 6.1): durante la vigencia de la relación contractual; posteriormente, conservación en el marco de las obligaciones legales (en particular, 6 o 10 años conforme al § 257 HGB y al § 147 AO).
• contenidos del cliente en el servicio (apartado 6.2): conforme al contrato de encargo del tratamiento y a la cláusula 11 de las CGC (exportación de datos y cambio de proveedor conforme al Reglamento de Datos (Data Act)); los contenidos suprimidos se eliminan de las copias de seguridad al expirar los ciclos de rotación documentados (copias incrementales 30 días, copias completas 90 días, véase el anexo 3 de las CGC).
• datos de autenticación y de sesión (apartado 6.4): durante la sesión activa y la vida útil configurada de los tokens; registros de autenticación relevantes para auditoría conforme a las medidas técnicas y organizativas (apéndice A del anexo 2 de las CGC).
• datos de patrocinadores de Kickstarter (apartado 7): durante la gestión de la campaña y la concesión de las condiciones de fundador, como máximo hasta la expiración de los plazos legales de conservación.

11. Derechos del interesado

Frente a nosotros, usted tiene los siguientes derechos con respecto a los datos personales que le conciernen:

• derecho de acceso (art. 15 del RGPD): puede solicitar información sobre si tratamos datos personales que le conciernen y cuáles, así como sobre la demás información mencionada en el art. 15, apartado 1, del RGPD.
• derecho de rectificación (art. 16 del RGPD): puede solicitar la rectificación de datos personales inexactos que le conciernan o que se completen los datos incompletos.
• derecho de supresión (art. 17 del RGPD): puede solicitar la supresión de los datos personales que le conciernan cuando concurra alguno de los motivos mencionados en el art. 17, apartado 1, del RGPD y no se aplique ninguna excepción conforme al art. 17, apartado 3, del RGPD.
• derecho a la limitación del tratamiento (art. 18 del RGPD): puede solicitar la limitación del tratamiento de los datos personales que le conciernan en las condiciones allí establecidas.
• derecho a la portabilidad de los datos (art. 20 del RGPD): tiene derecho a recibir los datos personales que le conciernan y que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, y a transmitir esos datos a otro responsable o a que se transmitan directamente, en la medida en que sea técnicamente posible.
• derecho a revocar un consentimiento otorgado (art. 7, apartado 3, del RGPD): en la medida en que el tratamiento se base en un consentimiento otorgado por usted, puede revocarlo en cualquier momento con efectos para el futuro. La licitud del tratamiento realizado hasta la revocación no se verá afectada.
• derecho a presentar una reclamación ante una autoridad de control (art. 77 del RGPD): sin perjuicio de cualquier otro recurso administrativo o judicial, tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción, si considera que el tratamiento de los datos personales que le conciernen infringe el RGPD.

Para ejercer los derechos anteriores basta con una comunicación informal a los datos de contacto indicados en el apartado 1, preferentemente por correo electrónico a datenschutz@paless.eu. Para verificar su identidad podemos solicitar justificantes adecuados. Su derecho de oposición conforme al art. 21 del RGPD se expone por separado en el apartado 12.

12. Derecho de oposición (art. 21 del RGPD)

En la medida en que tratemos datos personales sobre la base del art. 6, apartado 1, letra f), del RGPD (interés legítimo), usted tiene derecho a oponerse en cualquier momento al tratamiento por motivos derivados de su situación particular. Si se opone, dejaremos de tratar los datos afectados, a menos que podamos acreditar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones jurídicas.

No se realiza ningún tratamiento con fines de mercadotecnia directa sobre la base del art. 6, apartado 1, letra f), del RGPD; nuestro boletín se envía exclusivamente sobre la base de su consentimiento (apartado 5.5).

La oposición puede declararse sin sujeción a forma alguna, preferentemente por correo electrónico a datenschutz@paless.eu.

13. Autoridad de control competente

La entidad mencionada anteriormente es la autoridad de control en materia de protección de datos competente para el responsable del tratamiento.

El derecho de reclamación existe sin perjuicio de cualquier otro recurso administrativo o judicial y puede ejercerse, en particular, también ante la autoridad de control de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción (art. 77, apartado 1, del RGPD).

14. Seguridad de los datos

Adoptamos medidas técnicas y organizativas adecuadas en el sentido del art. 32 del RGPD para garantizar un nivel de protección adecuado al riesgo para los datos personales que tratamos. Entre ellas se cuentan, en particular:

• cifrado de la comunicación entre el dispositivo y el servicio conforme al estado de la técnica (TLS 1.3 o superior)
• cifrado de los datos en reposo en los soportes de almacenamiento subyacentes (AES-256)
• gestión de accesos basada en roles y permisos según el principio de mínimo privilegio
• obligación de autenticación multifactor para las cuentas administrativas
• separación por cliente (multi-tenant) de los datos de los distintos clientes
• copias de seguridad periódicas con ciclos documentados de rotación y conservación
• registro de eventos administrativos y relevantes para la seguridad
• planes de recuperación documentados y práctica periódica de los procedimientos de restauración
• compromiso de confidencialidad de todas las personas que participan en el tratamiento

Una descripción detallada de las medidas técnicas y organizativas aplicadas figura en el apéndice A del anexo 2 de las CGC (contrato de encargo del tratamiento).

15. Decisiones automatizadas y elaboración de perfiles

En el marco del servicio no se producen decisiones individuales automatizadas, incluida la elaboración de perfiles, en el sentido del art. 22, apartado 1, del RGPD, que produzcan efectos jurídicos en el interesado o le afecten significativamente de modo similar.

Las funciones asistidas por IA descritas en el apartado 6.3 (reconocimiento de texto, etiquetado semántico, clasificación asistida por IA, asistente conversacional «Pal») ayudan al cliente a gestionar, localizar y trabajar con sus propios documentos, incluida la elaboración de borradores. No adoptan decisiones con efectos jurídicos frente a los interesados ni les afectan de modo significativamente similar en el sentido del art. 22 del RGPD. La decisión sobre el uso de las sugerencias de la IA corresponde siempre al cliente; acciones como el envío de correos electrónicos o la aprobación de contenidos solo se ejecutan tras la confirmación expresa del cliente.

16. Modificaciones de la presente política de privacidad

Nos reservamos el derecho a actualizar la presente política de privacidad cuando cambien la situación jurídica, el servicio o el tratamiento de datos. La versión vigente en cada momento está disponible en nuestro sitio web; incluye una indicación de versión y una fecha de entrada en vigor, y las versiones anteriores permanecen allí consultables.

En caso de modificaciones sustanciales, en particular de modificaciones que requieran un nuevo consentimiento del interesado, informaremos a los interesados por separado de manera adecuada.