Política de Privacidad
Contenido
1 Responsable del tratamiento
El responsable del tratamiento de los datos personales recogidos a través de Onna Business es:
- Razón social: UXSSELENCE S.C.
- CIF: J22964662
- Actividad: Desarrollo y explotación de plataforma SaaS de soporte e inteligencia artificial
- Contacto de privacidad:info@arkogroup.es
Para cualquier cuestión relacionada con el tratamiento de tus datos, puedes dirigirte a la dirección de correo anterior indicando en el asunto "Privacidad – Onna Business".
2 Datos que recogemos
Recogemos los datos estrictamente necesarios para prestar el servicio. En función de cómo uses Onna Business, tratamos las siguientes categorías:
Datos de identificación y cuenta
- Nombre y apellidos
- Dirección de correo electrónico
- Identificador de proveedor de autenticación (Google ID o Apple ID, si usas inicio de sesión social)
- Contraseña (almacenada con hash seguro, nunca en texto plano)
Datos de empresa
- Nombre de la empresa
- Email de contacto de la empresa
- Rol del usuario dentro de la organización
Contenido subido por el usuario
- Documentos: archivos PDF, Word, texto y similares
- Vídeos y archivos de audio con fines formativos
- Texto introducido en los chats con el asistente
Aviso importante: Los documentos y vídeos que subas pueden contener datos personales de terceros (empleados, clientes, etc.). Eres responsable de tener legitimación suficiente para tratar y subir ese contenido a la plataforma.
Datos técnicos
- Dirección IP
- Registros de acceso (logs): fecha, hora, acción realizada
- Identificadores de sesión
- Metadatos de archivos (nombre, tamaño, tipo, fecha de subida)
3 Finalidades y base legal
Prestación del servicio
Gestionamos tu cuenta, permitimos el acceso a la plataforma y procesamos el contenido que subes para ofrecerte las funcionalidades contratadas.
Base legal: Ejecución del contrato (art. 6.1.b RGPD).
Indexación y búsqueda semántica mediante IA
Los documentos y vídeos que subes son procesados para extraer su contenido, fragmentarlo y generar representaciones vectoriales (embeddings) que permiten al asistente responder preguntas basadas en tu documentación.
Este procesamiento implica el envío del contenido textual a un proveedor externo de inteligencia artificial (OpenAI, Inc.). Ver sección 6 para información sobre transferencias internacionales.
Base legal: Ejecución del contrato (art. 6.1.b RGPD).
Soporte técnico
Utilizamos los datos necesarios para atender incidencias y solicitudes de soporte.
Base legal: Interés legítimo (art. 6.1.f RGPD).
Diagnóstico de errores
Registramos errores técnicos, la operación afectada, un identificador de petición y la cuenta asociada para diagnosticar incidencias y mantener la estabilidad del servicio. No registramos el cuerpo de las peticiones.
Base legal: Interés legítimo (art. 6.1.f RGPD).
Analítica de uso opcional
Con tu consentimiento utilizamos eventos, mapas de calor y grabaciones de sesión enmascaradas para entender el uso y mejorar la experiencia. Los textos e inputs se ocultan antes de enviarse.
Base legal: Consentimiento (art. 6.1.a RGPD).
Seguridad y prevención del fraude
Los registros de acceso (logs) se utilizan para detectar accesos no autorizados, prevenir el abuso de la plataforma y garantizar la integridad del servicio.
Base legal: Interés legítimo (art. 6.1.f RGPD) y obligación legal en materia de seguridad de la información.
4 Conservación de los datos
| Tipo de dato | Periodo de conservación |
|---|---|
| Datos de cuenta | Mientras la cuenta esté activa + 30 días tras solicitud de baja |
| Documentos y vídeos subidos | Mientras el usuario no los elimine. Se borran definitivamente 30 días después de eliminar la cuenta |
| Embeddings e índices vectoriales | Mismo ciclo que el documento al que corresponden |
| Logs de acceso | 90 días |
| Errores técnicos y analítica | Según la retención configurada en Sentry y PostHog |
| Copias de seguridad | Rotación de 30 días |
Borrado completo: Cuando eliminas un documento o solicitas la baja, el borrado se propaga a: archivo original, fragmentos procesados (chunks), índice vectorial (embeddings) y copias de seguridad según la política de rotación indicada.
5 Encargados y destinatarios
Para prestar el servicio contamos con los siguientes encargados del tratamiento, con quienes mantenemos contratos de encargo conforme al art. 28 RGPD:
| Proveedor | Función | Ubicación |
|---|---|---|
| Hetzner Online GmbH | Infraestructura cloud: servidores, almacenamiento de archivos y base de datos | UE — Alemania |
| OpenAI, Inc. | Procesamiento de lenguaje natural: extracción de contenido, generación de embeddings y respuestas del asistente | EE.UU. |
| Functional Software, Inc. (Sentry) | Monitorización y diagnóstico de errores técnicos | Región UE seleccionada |
| PostHog, Inc. | Analítica, mapas de calor y grabación de sesiones enmascaradas | UE — Alemania |
No cedemos tus datos personales a terceros salvo obligación legal.
6 Transferencias internacionales
El uso de OpenAI como proveedor de IA implica la transferencia del contenido textual de los documentos a servidores ubicados en Estados Unidos.
Esta transferencia se realiza al amparo de las Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea, que constituyen una garantía adecuada conforme al art. 46 RGPD. OpenAI dispone de un Acuerdo de Tratamiento de Datos (DPA) que regula el tratamiento bajo los principios del RGPD.
Importante: OpenAI no utiliza el contenido enviado a través de su API para entrenar sus modelos. El contenido es procesado y descartado, sin almacenamiento permanente por parte del proveedor.
7 Tratamiento mediante Inteligencia Artificial
Onna Business utiliza sistemas de inteligencia artificial para:
- Analizar y comprender el contenido de los documentos y vídeos que subes
- Generar respuestas automáticas basadas en ese contenido
- Proporcionar búsqueda semántica sobre tu base de conocimiento
Limitaciones del sistema: Las respuestas generadas por el asistente son automáticas y pueden contener errores o imprecisiones. El sistema no sustituye el criterio humano ni el asesoramiento profesional en ningún ámbito (legal, médico, financiero, etc.). El usuario es responsable de verificar la información antes de actuar sobre ella.
Este tratamiento se enmarca en el Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (AI Act). Onna Business opera como sistema de IA de propósito general aplicado a la gestión documental empresarial.
8 Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos reconocidos por el RGPD:
- Acceso: obtener confirmación de si tratamos tus datos y una copia de los mismos.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión ("derecho al olvido"): solicitar la eliminación de tus datos cuando ya no sean necesarios, incluidos los embeddings generados de tu contenido.
- Portabilidad: recibir tus datos en un formato estructurado y de uso común.
- Limitación: solicitar que suspendamos el tratamiento en determinadas circunstancias.
- Oposición: oponerte al tratamiento basado en interés legítimo.
Para ejercer cualquiera de estos derechos, escríbenos a info@arkogroup.es indicando el derecho que deseas ejercer y una copia de tu documento de identidad. Responderemos en el plazo máximo de 30 días.
Si consideras que el tratamiento de tus datos no es conforme al RGPD, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
9 Seguridad
Aplicamos medidas técnicas y organizativas para proteger tus datos:
- Cifrado de datos en reposo y en tránsito (TLS)
- Control de acceso basado en roles (RBAC): cada usuario solo accede a los datos de su organización
- Aislamiento estricto entre organizaciones (multi-tenant)
- Contraseñas almacenadas con algoritmos de hash seguros (bcrypt)
- Registros de auditoría de accesos
- Copias de seguridad con rotación de 30 días
En caso de brecha de seguridad que afecte a tus datos, te notificaremos sin dilación indebida y, en cualquier caso, en el plazo máximo de 72 horas informaremos a la AEPD, conforme al art. 33 RGPD.
10 Cambios en esta política
Podemos actualizar esta política de privacidad para reflejar cambios en el servicio o en la normativa aplicable. Cuando lo hagamos, actualizaremos la fecha indicada al inicio del documento.
Si los cambios son sustanciales y afectan a tus derechos, te informaremos por correo electrónico con al menos 15 días de antelación antes de que entren en vigor.
El uso continuado del servicio tras la publicación de los cambios implica la aceptación de la nueva política.