Política de privacidad

1. Datos recogidos

Recogemos exclusivamente los datos necesarios para prestar nuestros servicios:

• Datos de registro: nombre, apellidos, email corporativo, razón social
• Datos de la empresa: número de IVA, clasificaciones SOA, certificaciones, volumen de negocios (para la correspondencia con licitaciones)
• Documentos subidos: pliegos de cláusulas, pliegos técnicos y ofertas técnicas
• Datos de uso: registros de acceso, funcionalidades utilizadas, análisis realizados

5. Procesamiento con IA y transferencias internacionales

Para analizar los documentos de licitación utilizamos proveedores de inteligencia artificial que actúan como encargados del tratamiento por nuestra cuenta:

• Encargados del tratamiento: los documentos subidos son procesados por proveedores de IA designados encargados del tratamiento conforme al art. 28 RGPD
• Posible tratamiento fuera de la UE: según el modelo utilizado, el procesamiento puede realizarse fuera de la Unión Europea
• Garantías para las transferencias: en tal caso, la transferencia está cubierta por las Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD)
• Sin entrenamiento: los proveedores no utilizan el contenido de tus documentos para entrenar sus propios modelos
• Transparencia: la lista completa y actualizada de proveedores, con finalidad y ubicación, está en la página de subencargados

6. Tus derechos

• Acceso: solicitar una copia de los datos personales que te conciernen
• Rectificación: corregir datos inexactos o incompletos
• Supresión: solicitar la eliminación de tus datos ("derecho al olvido")
• Portabilidad: recibir tus datos en un formato estructurado y legible
• Oposición: oponerte al tratamiento por motivos legítimos
• Limitación: solicitar la limitación del tratamiento en determinadas circunstancias

7. Conservación de los datos

Con el consentimiento de marketing conservamos durante 90 días la primera procedencia publicitaria: parámetros UTM e identificadores de clic gclid y fbclid. Estos datos acompañan la solicitud de acceso en nuestro archivo y en las notificaciones internas por email. PostHog mide la solicitud completada solo con consentimiento de analítica, sin datos de contacto en los parámetros. Conservamos la referencia del visitante, la fecha, la versión e idioma de la política, la región y el historial de elecciones, incluidas las revocaciones. Puedes modificar o revocar el consentimiento desde Preferencias de cookies.

Google Ads y Meta son destinatarios previstos para la medición y la optimización publicitaria, solo tras su configuración y con consentimiento de marketing. Hoy no está instalada ninguna de sus etiquetas y no les enviamos eventos ni datos de contacto. Los clics y las impresiones de los anuncios los miden las plataformas con independencia de las cookies del sitio.

• Datos de la cuenta: hasta la eliminación de la cuenta + 30 días para copias de seguridad
• Documentos subidos: conservados en tu cuenta hasta que los elimines tú o cierres la cuenta
• Informes de análisis: conservados en tu cuenta hasta que solicites su eliminación
• Registros del sistema y auditoría: conservados durante un máximo de 12 meses con fines de seguridad

8. Contacto

Para ejercer tus derechos o para cualquier pregunta sobre privacidad: privacy@edicta.io.

Responsable del tratamiento: EDICTA TECHNOLOGIES SRL
Domicilio social: Via Conservatorio 17, 20122 Milano (MI), Italia
P.IVA y C.F. 14923450960
PEC edicta.technologies@pec.it
privacy@edicta.io

Nuestro Delegado de Protección de Datos (DPO) puede ser contactado en la dirección indicada arriba. Además, tienes derecho a presentar una reclamación ante el Garante per la Protezione dei Dati Personali, la autoridad italiana de protección de datos (www.garanteprivacy.it).

Seguridad de los datos (art. 32 RGPD)

• Cifrado en reposo: todos los datos se cifran con AES-256 en las bases de datos PostgreSQL y en el almacenamiento de archivos.
• Cifrado en tránsito: todas las comunicaciones se realizan mediante HTTPS/TLS 1.3.
• Hash de contraseñas: bcrypt con salt único por usuario. Nunca se conservan en claro.
• Row-Level Security (RLS): cada usuario solo puede acceder a sus propios datos a nivel de base de datos.
• Autenticación: JWT con rotación automática, compatibilidad con OAuth de Google, control de contraseñas comprometidas (HIBP).
• Copias de seguridad: diarias con retención de 7 días, conservadas en la UE.
• Registro de accesos: cada acceso de los administradores a datos personales queda registrado y es visible para el usuario en su cuenta.
• Retención de datos automática: limpieza semanal de los datos caducados (páginas vistas, registros de notificaciones, registros de auditoría) según políticas documentadas.
• Notificación de brechas: proceso formalizado de notificación al Garante en un plazo de 72 horas conforme al art. 33 RGPD.

Base jurídica

Respecto de los datos cargados en la plataforma por clientes empresariales, edicta actúa como encargado del tratamiento por cuenta del Cliente, que es el responsable del tratamiento, conforme al art. 28 del Reglamento (UE) 2016/679 y a lo previsto en las Condiciones. Para los datos de los visitantes del sitio web y los datos de la cuenta, edicta sigue siendo responsable del tratamiento.

El tratamiento de tus datos se basa en: (a) la ejecución del contrato de servicio, (b) tu consentimiento explícito cuando sea necesario, (c) nuestro interés legítimo en mejorar los servicios, siempre respetando tus derechos fundamentales.