Política de privacidad

Privacidad y protección de datos

Última actualización: 1 de enero de 2025 · Resource Control Suite LLC

1. Responsable del tratamiento

Resource Control Suite LLC
Registrada en el Estado de Delaware, EE.UU.
Titular de la plataforma Corporate Advisor

Delegado de Protección de Datos (DPO): privacy@corporateadvisor.ai

Representante en la UE: Pendiente de designación formal. Mientras tanto, todas las comunicaciones RGPD pueden dirigirse al DPO en la dirección indicada.

2. Definiciones

Datos personales: toda información sobre una persona física identificada o identificable (RGPD Art. 4.1)
Tratamiento: cualquier operación realizada sobre datos personales (recogida, registro, organización, almacenamiento, consulta, uso, comunicación, supresión)
Responsable: Resource Control Suite LLC, quien determina los fines y medios del tratamiento
Encargado: tercero que trata datos por cuenta del responsable (Supabase, Anthropic, Stripe, etc.)
Interesado: persona física titular de los datos (tú, usuario de Corporate Advisor)
Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca
Violación de seguridad: toda violación que ocasione destrucción, pérdida, alteración o comunicación no autorizada de datos personales

3. Categorías de datos tratados

A) Datos de identificación

Dirección de correo electrónico (obligatorio para registro)
Nombre y apellidos (opcional, perfil de cliente)
Empresa u organización (opcional)
País de residencia (opcional, mejora las recomendaciones)

B) Datos de uso del servicio

Contenido de consultas al chat de asesoría
Documentos generados (NDAs, informes, diagramas)
Historial de sesiones y conversaciones
Créditos consumidos y acciones realizadas
Funcionalidades utilizadas y frecuencia de uso
Comparativas de jurisdicciones generadas
Timestamps de cada interacción

C) Datos técnicos

Dirección IP
User-Agent (navegador y sistema operativo)
Cookies de sesión (estrictamente necesarias)
Logs de acceso y errores
Tipo de dispositivo y resolución de pantalla

D) Datos financieros

Referencia de transacción Stripe (ID de sesión de pago)
Importe pagado y fecha
Pack de créditos adquirido
NO almacenamos datos de tarjeta de crédito/débito — procesados exclusivamente por Stripe (PCI DSS Level 1)

E) Datos de comunicaciones

Emails transaccionales enviados (confirmaciones, alertas)
Estado de notificaciones (abierto/no abierto)
Alertas legislativas recibidas
Comunicaciones con asesores (si usas la red de asesores)

4. Finalidades y bases jurídicas

Finalidad	Base jurídica	Conservación
Prestación del servicio de asesoría	Ejecución del contrato (Art. 6.1.b RGPD)	Duración cuenta + 3 años
Autenticación y seguridad de la cuenta	Contrato + Interés legítimo (Art. 6.1.f)	90 días (logs de acceso)
Procesamiento de pagos y facturación	Ejecución del contrato	7 años (obligación fiscal)
Comunicaciones del servicio (alertas, cambios)	Ejecución del contrato	Duración de la cuenta
Newsletter y alertas legislativas	Consentimiento (Art. 6.1.a)	Hasta revocación
Mejora del servicio y analytics	Interés legítimo	2 años (datos anonimizados)
Prevención de fraude y abuso	Interés legítimo	5 años
Cumplimiento de obligaciones legales	Obligación legal (Art. 6.1.c)	Según normativa aplicable
Directorio de asesores verificados	Consentimiento + Contrato	Duración del perfil + 5 años

5. Subencargados del tratamiento

Proveedor	Servicio	País	Garantías
Supabase Inc.	Base de datos y autenticación	EE.UU./EU	SCC + DPA
Anthropic PBC	Procesamiento IA (Claude)	EE.UU.	SCC + DPA
Vercel Inc.	Hosting frontend	EE.UU./EU	SCC + DPA
Stripe Inc.	Procesamiento de pagos	EE.UU.	SCC + DPA + PCI DSS
Twilio SendGrid	Emails transaccionales	EE.UU.	SCC + DPA
Hetzner Online GmbH	Infraestructura VPS	Alemania (EU)	DPA + servidores EU
Cloudflare Inc.	CDN y protección DDoS	EE.UU./EU	SCC + DPA

Nota sobre Anthropic (IA): Las consultas enviadas a la IA son procesadas por Anthropic únicamente para generar respuestas en tiempo real. Anthropic no utiliza el contenido de las conversaciones vía API para entrenar sus modelos. Los datos se procesan y se descartan tras generar la respuesta.

6. Transferencias internacionales

Base legal: Cláusulas Contractuales Tipo (CCT/SCC) aprobadas por la Comisión Europea (Decisión 2021/914) para transferencias a EE.UU. y otros países sin decisión de adecuación.

Mecanismos adicionales: Cuando existan decisiones de adecuación (ej: Data Privacy Framework UE-EE.UU.), se aplican como mecanismo complementario.

Derecho a copia: Puedes solicitar copia de las garantías de transferencia internacional a privacy@corporateadvisor.ai.

7. Plazos de conservación detallados

Categoría de datos	Plazo	Justificación
Datos de cuenta (email, perfil)	Duración cuenta + 3 años	Prescripción de reclamaciones
Historial de consultas	2 años desde última sesión	Continuidad del servicio
Documentos generados	Eliminación inmediata tras baja	Solicitud del usuario
Datos de facturación	7 años	Art. 30 Código de Comercio / normativa fiscal
Logs de seguridad	12 meses	Detección de incidentes
Logs técnicos	90 días	Resolución de errores
Comunicaciones de soporte	3 años	Seguimiento de incidencias
Datos de asesores (directorio)	Duración perfil + 5 años	Posibles reclamaciones
Analytics anonimizados	Indefinido	No son datos personales

8. Tus derechos (RGPD)

Si eres residente en la Unión Europea o el Espacio Económico Europeo:

Derecho de acceso (Art. 15 RGPD)

Puedes solicitar una copia completa de todos tus datos personales. Respondemos en un máximo de 30 días en formato legible por máquina (JSON/CSV).

Derecho de rectificación (Art. 16 RGPD)

Puedes corregir datos inexactos o incompletos. Implementamos las correcciones en un máximo de 72 horas.

Derecho de supresión (Art. 17 RGPD)

Puedes solicitar la eliminación de tus datos ("derecho al olvido"). Excepciones: datos necesarios para obligaciones legales (facturación) o defensa de reclamaciones.

Derecho de portabilidad (Art. 20 RGPD)

Puedes recibir todos tus datos en formato estructurado (JSON/CSV): perfil, consultas, documentos, historial de créditos.

Derecho de oposición (Art. 21 RGPD)

Puedes oponerte al tratamiento basado en interés legítimo. Para marketing directo, la oposición tiene efecto inmediato.

Derecho de limitación (Art. 18 RGPD)

Puedes solicitar que marquemos tus datos y limitemos su tratamiento (sin eliminación) mientras se resuelve una disputa.

Derecho a no ser objeto de decisiones automatizadas (Art. 22 RGPD)

El sistema de IA de Corporate Advisor no toma decisiones con efectos jurídicos vinculantes sobre los usuarios. Las respuestas son informativas y orientativas.

Cómo ejercer tus derechos:

Email: privacy@corporateadvisor.ai con asunto "RGPD - [Derecho]"
Identificación: verificación mediante email de tu cuenta registrada
Plazo de respuesta: máximo 30 días naturales

Reclamación ante autoridades: AEPD (aepd.es) para usuarios en España, o la autoridad de control de tu país de residencia en la UE.

9. Seguridad técnica y organizativa

Medidas técnicas

Cifrado en tránsito: TLS 1.3 en todas las comunicaciones
Cifrado en reposo: AES-256 para datos almacenados
Autenticación: JWT con algoritmo RS256, rotación de claves cada 24h
Control de accesos: RBAC (Role-Based Access Control) con principio de mínimo privilegio
Segregación de datos: Row Level Security (RLS) en Supabase — cada usuario solo accede a sus propios datos
Auditoría: logs inmutables de todos los accesos a datos personales
Backups: diarios cifrados, retención 30 días, pruebas de restauración mensuales

Medidas organizativas

Gestión de incidentes: notificación a la AEPD/autoridad de control en menos de 72 horas si aplica (Art. 33 RGPD)
Pruebas de seguridad: revisiones periódicas de la infraestructura
Acceso restringido: solo personal autorizado con necesidad documentada
Evaluación de impacto (EIPD): realizada para el tratamiento mediante IA

10. Cookies y tecnologías similares

Utilizamos únicamente cookies estrictamente necesarias para el funcionamiento del servicio:

Cookie	Finalidad	Duración	Tipo
sb-access-token	Autenticación de sesión (Supabase)	1 hora (renovable)	Necesaria
sb-refresh-token	Renovación de sesión	7 días	Necesaria

No utilizamos cookies de seguimiento, analytics de terceros, publicidad, ni redes sociales. Corporate Advisor es una plataforma 100% libre de publicidad y tracking.

11. Menores

Corporate Advisor no está dirigido a menores de 18 años. No recopilamos conscientemente datos de menores. Si detectamos que un menor ha creado una cuenta, la eliminaremos junto con todos sus datos.

12. Cambios en esta política

Notificaremos cambios materiales por email y/o mediante aviso en la plataforma con al menos 30 días de antelación. Publicaremos la versión actualizada con fecha de modificación. El uso continuado del servicio tras el período de notificación implica la aceptación de la nueva política.

13. Contacto

Para cualquier consulta sobre privacidad y protección de datos:

DPO: privacy@corporateadvisor.ai
Responsable: Resource Control Suite LLC
Autoridad de control (España): Agencia Española de Protección de Datos