Política de privacidad

1. Quiénes somos (responsable del tratamiento)

El responsable del tratamiento de sus datos personales en el sentido del artículo 4, apartado 7, del RGPD es:

2. Ámbito de aplicación de esta política

Esta política explica qué datos personales trata NaKlar cuando usted utiliza las aplicaciones móviles y de escritorio de NaKlar (iOS, iPadOS, macOS, Android), incluidas las funciones de IA en la nube, las cuentas, las suscripciones y la analítica opcional, así como este sitio web en naklar.app.

Cuando una función la presta un tercero (por ejemplo, un proveedor de modelos de IA o el App Store), serán de aplicación además las condiciones de privacidad propias de dicho proveedor, cuyos enlaces figuran más abajo.

3. El dispositivo primero: cómo trata NaKlar sus datos

NaKlar está diseñado para que su documentación no tenga que salir de su dispositivo:

• El escaneo, el reconocimiento de texto y la organización documental se realizan localmente en su dispositivo.
• Sus documentos, el texto reconocido y sus conversaciones de chat se almacenan localmente en su dispositivo, no en nuestras bases de datos centrales.
• El tratamiento mediante IA en la nube solo tiene lugar cuando usted lo elige expresamente. Si selecciona un modelo de IA en la nube para una consulta, la consulta y los extractos de documentos necesarios para responderla se transmiten a dicho proveedor (véanse las secciones 5 y 6). Si utiliza un modelo local (en el dispositivo), ningún dato sale de su dispositivo.
• Nada se envía de forma autónoma. Los borradores de respuesta se abren siempre en su propia aplicación de correo para que usted los revise; NaKlar nunca envía correos en su nombre.

4. Datos que tratamos y con qué finalidad

5. IA en la nube a su elección: Mistral AI (UE)

Cuando usted opta por interactuar con el asistente mediante Mistral AI, su consulta y los extractos pertinentes de sus documentos se transmiten a nuestro proveedor tercero, que actúa como encargado del tratamiento:

• Proveedor: Mistral AI SAS, 15 rue des Halles, 75001 París, Francia.
• Finalidad: Tratamiento de consultas de chat en lenguaje natural, explicaciones de documentos y borradores de correspondencia formal en alemán.
• Base jurídica: Artículo 6, apartado 1, letra b) del RGPD (ejecución de un contrato / servicio solicitado por el usuario) y artículo 6, apartado 1, letra a) del RGPD (consentimiento expreso al seleccionar el modelo de IA en la nube).
• Tratamiento y conservación de los datos: Los datos transmitidos a través de la API comercial se tratan en servidores ubicados en la Unión Europea. El proveedor conserva registros operativos temporales únicamente para la seguridad automatizada y la prevención de abusos, de conformidad con su adenda comercial de tratamiento de datos (actualmente un periodo móvil de hasta 30 días), tras lo cual se eliminan.
• Sin entrenamiento de modelos: Nuestro acuerdo comercial de uso de la API prohíbe al proveedor utilizar sus consultas o extractos de documentos para entrenar modelos de IA.
• Más información: La adenda de tratamiento de datos del proveedor es el documento de referencia en cuanto a sus medidas de seguridad vigentes y la información sobre los subencargados del tratamiento: Política de privacidad de Mistral AI y Adenda de tratamiento de datos de Mistral AI.

6. IA en la nube a su elección: Google Gemini (global / EE. UU.)

Cuando usted opta por interactuar con el asistente mediante Google Gemini, su consulta y los extractos pertinentes de sus documentos se transmiten a Google:

• Proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda (para los usuarios del EEE; matriz: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU.).
• Finalidad: Tratamiento de consultas de chat en lenguaje natural, explicaciones de documentos y borradores de correspondencia formal en alemán.
• Base jurídica: Artículo 6, apartado 1, letra b) del RGPD (ejecución de un contrato / servicio solicitado por el usuario) y artículo 6, apartado 1, letra a) del RGPD (consentimiento expreso al seleccionar el modelo de IA en la nube).
• Tratamiento y conservación de los datos: Accedemos a la API de Gemini a través de la modalidad comercial de servicios de pago (Paid Services) de Google. Los prompts (consultas) y las respuestas se registran de forma transitoria durante un periodo limitado únicamente para la integridad del sistema y la prevención de abusos, según lo descrito en las condiciones de servicios de pago de Google.
• Sin entrenamiento de modelos: Nuestro acuerdo comercial prohíbe a Google utilizar sus prompts (consultas) o las respuestas generadas para entrenar los modelos de IA de Google, y ninguna persona revisa manualmente los datos enviados.
• Transferencias internacionales de datos: El tratamiento puede tener lugar en la infraestructura global de Google, incluidos los Estados Unidos. Las transferencias de datos a EE. UU. están amparadas por el Marco de Privacidad de Datos UE-EE. UU. (DPF) y las cláusulas contractuales tipo (CCT) de Google.
• Más información: Las condiciones de Google son el documento de referencia en cuanto a sus medidas de seguridad vigentes y la información sobre los subencargados del tratamiento: Condiciones adicionales del servicio de la API de Gemini, Adenda de tratamiento de datos de Google Cloud y Política de privacidad de Google.

7. Infraestructura central y en la nube (UE)

Nuestra aplicación utiliza una infraestructura en la nube alojada en la Unión Europea para gestionar la autenticación, las cuotas de uso y los derechos de acceso, así como la disponibilidad del servicio:

• Proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda.
• Finalidad: Transmisión de solicitudes a la API, gestión del estado de las suscripciones y de los saldos de créditos, y prevención de abusos del servicio.
• Base jurídica: Artículo 6, apartado 1, letra b) del RGPD (ejecución de un contrato).
• Ausencia de almacenamiento de documentos y prompts: El tratamiento de solicitudes en el servidor está diseñado como un sistema sin estado (stateless). Los documentos escaneados, el texto reconocido y las conversaciones de chat permanecen almacenados localmente en su dispositivo y no se almacenan en nuestras bases de datos centrales. Los registros operativos de diagnóstico registran únicamente telemetría técnica de alto nivel (como recuentos de tokens y métricas de latencia). Los prompts, el contenido de los documentos y el texto de sus mensajes quedan excluidos de los registros operativos del servidor.
• Datos administrativos almacenados: Los registros persistentes se limitan estrictamente a datos administrativos que no incluyen el contenido de sus documentos: saldos de créditos restantes, estado de la suscripción activa, tokens de validación de compra y contadores temporales de limitación del número de solicitudes. Todos los registros se asocian únicamente a identificadores de cuenta seudonimizados.
• Derecho de supresión (artículo 17 del RGPD): Puede solicitar la supresión completa de su cuenta directamente en la aplicación, en cualquier momento. Esto suprime de forma permanente los registros de cuenta asociados y los saldos de créditos y derechos de acceso, sin perjuicio de las obligaciones legales de conservación que resulten aplicables.
• Acuerdo aplicable: Adenda de tratamiento de datos de Google Cloud.

8. Analítica opcional en la aplicación (solo si usted la activa)

Para supervisar la estabilidad de la aplicación y mejorar la experiencia de uso, la aplicación incluye una función opcional de analítica:

• Proveedor: Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda.
• Finalidad: Diagnóstico técnico, informes de fallos y tendencias agregadas de uso de funciones.
• Base jurídica: Artículo 6, apartado 1, letra a) del RGPD y artículo 25 de la TDDDG alemana (consentimiento expreso y previo, sistema opt-in).
• Activación estrictamente voluntaria: La recogida de datos de analítica está completamente desactivada por defecto al instalar la aplicación. No se recoge ni se transmite ninguna telemetría salvo que usted otorgue su consentimiento expreso.
• Garantías de privacidad: Las direcciones IP se enmascaran o se descartan en el momento de la recogida y no se almacenan. Solo se registran acciones genéricas agregadas (como pantallas visitadas o toques en botones). La aplicación está diseñada para no recoger ni transmitir a los servicios de analítica el contenido de los documentos, los nombres de los destinatarios ni los números de expediente (Aktenzeichen).
• Revocación del consentimiento: Puede activar o desactivar la analítica en cualquier momento en los ajustes de la aplicación.

9. Verificación de compras dentro de la aplicación

Para gestionar las suscripciones y las compras de créditos realizadas a través del App Store de Apple:

• Proveedor: RevenueCat, Inc., 680 Green St, San Francisco, CA 94133, EE. UU.
• Finalidad: Verificación de recibos de compra, validación de suscripciones activas y restauración de compras.
• Base jurídica: Artículo 6, apartado 1, letra b) del RGPD (ejecución de un contrato).
• Datos transmitidos: Identificadores seudonimizados de transacciones del App Store, fecha y hora de compra e identificadores de productos de suscripción. El contenido de los documentos, el texto de las cartas y las consultas de chat no se comparten con RevenueCat.
• Condiciones aplicables: El tratamiento se ampara en el acuerdo de tratamiento de datos de RevenueCat, que incorpora cláusulas contractuales tipo (CCT).

10. Datos en este sitio web

Este sitio web es una página informativa estática. No utilizamos analítica, píxeles de seguimiento, publicidad ni cookies de terceros, y no cargamos fuentes ni scripts remotos.

• Solo preferencias locales. Sus opciones de idioma, tema y zoom se almacenan en el almacenamiento local de su navegador, en su propio dispositivo. Nunca se nos transmiten.
• Registros del servidor. Nuestro proveedor de alojamiento debe tratar necesariamente datos técnicos de conexión (como la dirección IP, la fecha y hora, y la URL solicitada) para facilitar las páginas de forma segura. Este tratamiento se basa en el artículo 6, apartado 1, letra f) del RGPD (interés legítimo en un sitio web seguro y funcional).

11. Sus derechos

En virtud del RGPD, usted tiene los siguientes derechos respecto de sus datos personales:

• Acceso (artículo 15): confirmación de si tratamos sus datos y copia de los mismos.
• Rectificación (artículo 16): corrección de los datos inexactos.
• Supresión (artículo 17): eliminación, incluida la supresión completa de la cuenta dentro de la aplicación.
• Limitación del tratamiento (artículo 18): tratamiento limitado en determinadas circunstancias.
• Portabilidad (artículo 20): recepción de sus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición (artículo 21): oposición al tratamiento basado en intereses legítimos.
• Retirada del consentimiento (artículo 7, apartado 3): retirada del consentimiento (por ejemplo, el otorgado para la analítica) en cualquier momento, con efectos para el futuro.

Para ejercer cualquiera de estos derechos, póngase en contacto con nosotros escribiendo a [email protected]. Respondemos en el plazo de un mes conforme al artículo 12, apartado 3, del RGPD.

12. Autoridad de control

Usted tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos (artículo 77 del RGPD), en particular en el Estado miembro de la UE de su residencia, su lugar de trabajo o el lugar de la presunta infracción. El Comité Europeo de Protección de Datos publica la lista de autoridades de control de la UE en edpb.europa.eu.

13. Menores de edad

NaKlar no está dirigido a menores de 16 años y no tratamos a sabiendas datos personales de menores de 16 años. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con nosotros para que podamos eliminarlos.

14. Seguridad y conservación

• Seguridad. Todas las conexiones de red están protegidas mediante cifrado TLS. El acceso al servidor sigue el principio del mínimo privilegio, y el contenido de los documentos queda excluido de los registros del servidor por diseño.
• Conservación. Conservamos los datos personales solo durante el tiempo necesario para las finalidades descritas: los registros de cuenta persisten mientras exista su cuenta y se eliminan cuando usted la elimina; la conservación por parte de los proveedores (por ejemplo, el periodo de conservación para la supervisión de usos indebidos de Mistral) se rige por las condiciones de cada proveedor enlazadas más arriba. Las obligaciones legales de conservación (por ejemplo, la normativa fiscal) quedan intactas.

15. Cambios en esta política

Podemos actualizar esta política cuando cambien nuestras actividades de tratamiento o la legislación aplicable. La versión vigente se publica siempre en esta dirección con su fecha de entrada en vigor. Si un cambio afecta de forma sustancial a sus derechos, se lo notificaremos en la aplicación antes de su entrada en vigor.

16. Contacto

¿Tiene preguntas sobre esta política o sobre sus datos? Escríbanos a [email protected].