Política de Privacidad

CODECONTRACT SL

Pérez Galdós Kalea 22, 48010 Bilbao, Vizcaya, España

Contacto en materia de privacidad y protección de datos: legal@codecontract.io

Datos de cuenta: nombre, email, contraseña hasheada (argon2id), idioma preferido.

Datos de organización: nombre empresa, sector, país, logo, branding.

Datos de uso: logs de acceso, IP, user-agent, geolocalización aproximada (para detección de anomalías), eventos de auditoría.

Contenido del cliente: documentos, contactos, mensajes, datos extraídos por IA. Estos datos pertenecen al cliente y los tratamos como Encargado del Tratamiento (ver DPA).

Cookies y rastreadores: ver Política de Cookies.

• Prestación del servicio — base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Facturación y obligaciones fiscales — base jurídica: obligación legal (art. 6.1.c).
• Seguridad y prevención de fraude — base jurídica: interés legítimo (art. 6.1.f).
• Marketing y newsletters — base jurídica: consentimiento explícito, revocable en cualquier momento.
• Mejora del producto — datos agregados y anonimizados.

Compartimos datos únicamente con sub-encargados necesarios para la prestación del servicio. Lista actualizada en /subprocessors.

Los sub-encargados incluyen proveedores de alojamiento, base de datos, modelos de IA, email, mensajería y observabilidad. La relación completa y actualizada, con su ubicación de procesamiento y su DPA, está en /subprocessors.

Ninguna transferencia fuera del Espacio Económico Europeo se realiza sin garantías adecuadas (Cláusulas Contractuales Tipo, Decisiones de Adecuación).

• Datos de cuenta: durante la vigencia + 6 años (obligaciones fiscales).
• Contenido del cliente: política configurable por el cliente; mínimo 5 años para documentos firmados (eIDAS).
• Logs de auditoría: 1 año desde su creación, prorrogables si se ha ejercido un derecho.
• Cookies: ver Política de Cookies.

Conforme al RGPD tienes derecho a:

• Acceso — saber qué datos tenemos.
• Rectificación — corregir datos inexactos.
• Supresión — eliminar tus datos ("derecho al olvido").
• Portabilidad — recibir tus datos en formato estructurado y reusable.
• Oposición al tratamiento basado en interés legítimo.
• Limitación del tratamiento.
• Retirar el consentimiento sin que afecte la licitud del tratamiento previo.
• Reclamar ante la AEPD (aepd.es) o tu autoridad de control nacional.

Para ejercerlos, escribe a legal@codecontract.io o desde /settings/danger (export y supresión automatizadas).

Aplicamos las medidas técnicas y organizativas del artículo 32 RGPD: cifrado AES-256 at rest, TLS 1.3 in transit, multi-tenancy con aislamiento por org, 2FA disponible (TOTP + WebAuthn), registro de auditoría append-only con retención de 1 año, y historial continuo de la base de datos, cifrado en reposo por el proveedor (Neon), con restauración a cualquier instante dentro de una ventana de 30 días (ampliada el 28 de septiembre de 2026: hasta el 28 de octubre de 2026 alcanza desde esa fecha).

Documentos completos en nuestro Centro de Confianza: DPIA, DPA, plan de respuesta a incidentes.

Usamos modelos de IA de los proveedores listados en /subprocessors para extraer datos de documentos, resumirlos, analizarlos, para el asistente Marta y, al entregar datos por la API, para leer el valor de un campo cuyo formato ningún lector automático reconoce (solo ese valor, nunca el documento). La IA NO toma decisiones legales o económicas vinculantes: las acciones con efecto externo requieren la aprobación explícita de una persona, que queda registrada.

NO entrenamos modelos de IA con tu Contenido, y contratamos con cada proveedor el nivel de servicio empresarial que excluye el uso de los datos para entrenamiento. Con Anthropic, el almacenamiento temporal de prompts (prompt-caching) dura 5 minutos; aparte de esa caché, Anthropic conserva las entradas y salidas de la API hasta 30 días según sus términos comerciales y no las usa para entrenar. No tenemos firmado con Anthropic un acuerdo de retención cero.

Conforme al artículo 50 del Reglamento (UE) 2024/1689 (Reglamento Europeo de IA), tienes derecho a saber cuándo estás interactuando con un sistema de IA y a que el contenido generado artificialmente esté identificado como tal. Puedes consultar la clasificación de nuestro sistema, nuestros roles y la lista de modelos utilizados en el Centro de Confianza.

El servicio NO está dirigido a menores de 18 años. Si detectamos una cuenta de un menor sin consentimiento parental, será suspendida y los datos eliminados.

Esta política puede actualizarse. Cambios sustanciales se comunican por email con 30 días de antelación. La última fecha de actualización aparece arriba.

Privacidad y protección de datos: legal@codecontract.io

Alias alternativo: privacy@codecontract.io