Política de privacidad

Última actualización:

1. Responsable del tratamiento

Responsable:
NIF:
Domicilio:
Contacto y ejercicio de derechos: info@smartkontrol.ai

No se ha designado Delegado de Protección de Datos por no concurrir ninguno de los supuestos del artículo 37 del Reglamento (UE) 2016/679 (en adelante, «RGPD») ni del artículo 34 de la Ley Orgánica 3/2018 (en adelante, «LOPDGDD»).

2. Dos papeles distintos, y conviene distinguirlos

Esta política cubre dos situaciones que jurídicamente no son lo mismo:

Como responsable. Respecto de los datos de quienes visitan la web, solicitan una demostración o tienen una cuenta de usuario, decidimos nosotros para qué y cómo se tratan. Es lo que regulan los apartados 3 a 9.
Como encargado. Respecto de la información que un cliente introduce en la aplicación para documentar sus procesos, el responsable es el cliente y nosotros actuamos por su cuenta y siguiendo sus instrucciones. Es lo que regula el apartado 10.

3. Qué datos tratamos y de dónde proceden

Quién	Datos	Origen
Visitantes de la web	Dirección IP, tipo de navegador y dispositivo, páginas visitadas, datos técnicos de la conexión.	Recogidos automáticamente al servir la página.
Quien pide una demostración	Nombre, correo electrónico, empresa, cargo y lo que nos cuente en el mensaje.	Facilitados por la propia persona.
Usuarios de la aplicación	Nombre, correo electrónico, contraseña cifrada, organización a la que pertenece, rol, programas asignados, registros de acceso y actividad.	Facilitados por la persona o por el administrador de su organización.
Clientes con suscripción	Datos de facturación y de la suscripción. Los datos de la tarjeta no pasan por nuestros sistemas: los trata directamente la pasarela de pago.	Facilitados al contratar.

4. Para qué los tratamos y con qué base jurídica

Finalidad	Base jurídica	Conservación
Atender solicitudes de demostración y de información	Medidas precontractuales a petición del interesado — art. 6.1.b RGPD	1 año desde el último contacto, salvo que se convierta en relación contractual
Dar de alta y gestionar la cuenta de usuario y prestar el servicio	Ejecución del contrato — art. 6.1.b RGPD	Mientras la cuenta esté activa
Facturación y cumplimiento de obligaciones fiscales y contables	Obligación legal — art. 6.1.c RGPD	6 años (art. 30 Código de Comercio) y 4 años a efectos fiscales (art. 66 Ley General Tributaria)
Seguridad del servicio, prevención del fraude y registros de acceso	Interés legítimo en proteger el servicio y a sus usuarios — art. 6.1.f RGPD	12 meses
Diagnóstico de errores y mejora del funcionamiento	Interés legítimo en mantener el servicio operativo — art. 6.1.f RGPD	90 días
Envío de comunicaciones comerciales sobre nuestros servicios	Consentimiento, o interés legítimo respecto de clientes por servicios similares — art. 21.2 LSSI	Hasta que se retire el consentimiento o se ejerza oposición

Puede oponerse en cualquier momento a los tratamientos basados en interés legítimo, en cuyo caso dejaremos de tratarlos salvo que acreditemos motivos imperiosos que prevalezcan sobre sus derechos.

Transcurridos los plazos indicados, los datos se bloquean y quedan a disposición exclusiva de jueces, tribunales y administraciones competentes durante el plazo de prescripción de las posibles responsabilidades, conforme al artículo 32 de la LOPDGDD. Después se suprimen.

5. Quién más accede a los datos

No vendemos datos personales ni los cedemos a terceros con fines comerciales. Acceden únicamente los proveedores que necesitamos para prestar el servicio, todos ellos vinculados por un contrato de encargo del tratamiento conforme al artículo 28 del RGPD:

Proveedor	Para qué	Dónde se tratan
Supabase (sobre AWS)	Base de datos y autenticación	Irlanda (Unión Europea)
Netlify	Alojamiento y distribución de la web y la aplicación	Estados Unidos y red de distribución global
Anthropic	Motor de inteligencia artificial que genera la documentación	Estados Unidos
Sentry	Detección y diagnóstico de errores	Alemania (Unión Europea)
Stripe	Pasarela de pago y gestión de suscripciones	Irlanda (Unión Europea), con soporte desde Estados Unidos
Holded	Emisión, envío y contabilización de facturas	España (Unión Europea)
Resend	Envío de correos del servicio (avisos de vencimiento y de la suscripción)	Estados Unidos

Además, los datos podrán comunicarse a jueces, tribunales, administraciones públicas y fuerzas de seguridad cuando exista obligación legal de hacerlo.

6. Transferencias internacionales

Algunos de los proveedores anteriores están establecidos en Estados Unidos. Estas transferencias se amparan, de forma acumulativa y no alternativa, en:

La decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE.UU. (Decisión de Ejecución (UE) 2023/1795), respecto de aquellos proveedores que estén certificados en dicho marco; y
Las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, complementadas con las medidas suplementarias que resulten necesarias tras la correspondiente evaluación de impacto de la transferencia.

Nos apoyamos deliberadamente en las cláusulas contractuales tipo además de en la decisión de adecuación, y no solo en esta última, dado que dicha decisión se encuentra recurrida ante el Tribunal de Justicia de la Unión Europea (asunto C-703/25 P). De este modo, una eventual anulación de la decisión de adecuación no dejaría las transferencias sin cobertura jurídica.

Puede solicitar copia de las garantías aplicadas escribiendo a info@smartkontrol.ai.

7. Inteligencia artificial: qué ocurre exactamente

La documentación se genera enviando al proveedor del modelo la descripción del proceso que el usuario ha introducido. Sobre ese tratamiento:

No se utiliza para entrenar modelos. Los términos comerciales del proveedor lo prohíben expresamente respecto del contenido de cliente.
La retención es limitada. Conforme a la política de conservación del proveedor vigente a 1 de julio de 2026, las entradas y salidas de la interfaz de programación se eliminan automáticamente en el plazo de 30 días desde su recepción o generación. Ese plazo solo se amplía si el contenido resulta marcado por sus sistemas automáticos de detección de usos indebidos, o cuando lo exija la ley.
No hay decisiones automatizadas con efectos jurídicos. La herramienta produce documentos que la persona usuaria revisa y valida. No adopta decisiones sobre personas ni elabora perfiles en el sentido del artículo 22 del RGPD.
Se recomienda no introducir datos personales innecesarios. Para documentar un proceso basta con identificar puestos y funciones («el responsable de tesorería aprueba»), sin necesidad de nombres propios ni de datos de clientes finales.

8. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas:

Cifrado del tráfico en tránsito y de los datos almacenados.
Contraseñas almacenadas mediante funciones de derivación irreversibles: nadie, tampoco nosotros, puede leerlas.
Separación entre organizaciones y entre entidades impuesta en la propia base de datos mediante seguridad a nivel de fila, y no únicamente en la interfaz.
Control de acceso basado en roles y en asignación explícita a cada programa.
Vigilancia automática de errores y de disponibilidad del servicio.

En caso de violación de la seguridad que entrañe un riesgo para los derechos y libertades de las personas, lo notificaremos a la Agencia Española de Protección de Datos en el plazo de 72 horas y, cuando el riesgo sea alto, también a las personas afectadas, conforme a los artículos 33 y 34 del RGPD.

9. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, escribiendo a info@smartkontrol.ai. Responderemos en el plazo de un mes, prorrogable por dos meses más en casos complejos.

Si considera que sus datos no se están tratando correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Le agradeceríamos que, antes de hacerlo, nos diera la oportunidad de resolverlo.

10. Datos que los clientes introducen en la aplicación

Cuando un cliente documenta sus procesos en la herramienta, el responsable del tratamiento es el propio cliente y nosotros actuamos como encargado, tratando esa información únicamente conforme a sus instrucciones y para prestarle el servicio.

Esta relación se formaliza en un contrato de encargo del tratamiento conforme al artículo 28.3 del RGPD, que se pone a disposición de todo cliente y que regula, entre otros extremos, el objeto y la duración, las categorías de datos, el deber de confidencialidad, las medidas de seguridad, el régimen de subencargados, la asistencia al responsable, y la devolución o supresión de los datos al finalizar la prestación. Puede solicitarlo en info@smartkontrol.ai.

Los subencargados a los que recurrimos son los enumerados en el apartado 5. Cualquier incorporación o sustitución se comunicará con antelación, de modo que el cliente pueda oponerse.

11. Almacenamiento local y cookies

Este sitio no utiliza cookies de analítica, de publicidad ni de seguimiento, ni propias ni de terceros.

Se emplea el almacenamiento local del navegador para dos finalidades estrictamente necesarias: recordar el idioma que usted elige y mantener su sesión iniciada en la aplicación. Ambas están exceptuadas del deber de obtener consentimiento previo, por tratarse de almacenamiento estrictamente necesario para prestar un servicio expresamente solicitado por la persona usuaria, conforme al artículo 22.2 de la LSSI-CE. Puede borrarlo en cualquier momento desde la configuración de su navegador, con la única consecuencia de que se cerrará su sesión.

Las tipografías y las bibliotecas de programación se sirven desde nuestro propio dominio, y no desde redes de distribución ajenas. Por tanto, navegar por este sitio y usar la aplicación no genera peticiones a servidores de terceros, más allá de las estrictamente necesarias para prestar el servicio que se enumeran en el apartado 5.

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales, técnicos o en el servicio. La fecha de la última actualización figura al principio. Si el cambio afecta de forma sustancial al tratamiento de sus datos, se lo comunicaremos por correo electrónico antes de que sea efectivo.

Privacy policy

Last updated:

This is a courtesy translation. In the event of any discrepancy, the Spanish version prevails, as it is the version that complies with the applicable Spanish legislation.

1. Data controller

Controller:
Tax ID (NIF):
Registered address:
Contact and exercise of rights: info@smartkontrol.ai

No Data Protection Officer has been appointed, as none of the circumstances in article 37 of Regulation (EU) 2016/679 ("GDPR") or article 34 of Spanish Organic Act 3/2018 ("LOPDGDD") applies.

2. Two distinct roles

This policy covers two situations that are legally different:

As controller. For data relating to website visitors, people requesting a demo, and account holders, we decide the purposes and means. Sections 3 to 9 apply.
As processor. For information a client enters into the application to document their processes, the client is the controller and we act on their behalf and on their instructions. Section 10 applies.

3. What data we process and where it comes from

Who	Data	Source
Website visitors	IP address, browser and device type, pages visited, technical connection data.	Collected automatically when serving the page.
Demo requesters	Name, email, company, role and whatever the message contains.	Provided by the individual.
Application users	Name, email, hashed password, organisation, role, assigned programmes, access and activity logs.	Provided by the individual or by their organisation's administrator.
Subscribing clients	Billing and subscription data. Card details never reach our systems: they are handled directly by the payment gateway.	Provided on purchase.

4. Purposes, legal bases and retention

Purpose	Legal basis	Retention
Handling demo and information requests	Pre-contractual steps at the data subject's request — art. 6(1)(b) GDPR	1 year from last contact, unless a contract follows
Creating and managing the user account and delivering the service	Performance of a contract — art. 6(1)(b) GDPR	While the account is active
Invoicing and tax and accounting obligations	Legal obligation — art. 6(1)(c) GDPR	6 years (art. 30 Spanish Commercial Code) and 4 years for tax purposes (art. 66 General Tax Act)
Service security, fraud prevention and access logs	Legitimate interest in protecting the service and its users — art. 6(1)(f) GDPR	12 months
Error diagnosis and service improvement	Legitimate interest in keeping the service operational — art. 6(1)(f) GDPR	90 days
Marketing communications about our services	Consent, or legitimate interest for existing clients regarding similar services — art. 21(2) LSSI	Until consent is withdrawn or objection is exercised

You may object at any time to processing based on legitimate interest, in which case we will stop unless we demonstrate compelling grounds overriding your rights.

Once these periods elapse, data is blocked and made available solely to courts, tribunals and competent authorities for the limitation period of any liabilities, under article 32 LOPDGDD. It is then erased.

5. Who else accesses the data

We do not sell personal data or share it with third parties for commercial purposes. Only the providers we need in order to deliver the service have access, all of them bound by a processing agreement under article 28 GDPR:

Provider	Purpose	Location
Supabase (on AWS)	Database and authentication	Ireland (European Union)
Netlify	Hosting and delivery of the website and application	United States and global delivery network
Anthropic	AI engine generating the documentation	United States
Sentry	Error detection and diagnosis	Germany (European Union)
Stripe	Payment gateway and subscription management	Ireland (European Union), with support from the United States
Holded	Issuing, sending and recording invoices	Spain (European Union)
Resend	Service emails (expiry and subscription notices)	United States

Data may also be disclosed to courts, public authorities and law enforcement where legally required.

6. International transfers

Some of the above providers are established in the United States. These transfers rely, cumulatively and not alternatively, on:

The European Commission's adequacy decision of 10 July 2023 on the EU-US Data Privacy Framework (Implementing Decision (EU) 2023/1795), for providers certified under it; and
The standard contractual clauses approved by Implementing Decision (EU) 2021/914, together with any supplementary measures identified as necessary following a transfer impact assessment.

We deliberately rely on standard contractual clauses in addition to the adequacy decision, rather than on the latter alone, given that the decision is under appeal before the Court of Justice of the European Union (Case C-703/25 P). Accordingly, any annulment of the adequacy decision would not leave these transfers without a legal basis.

You may request a copy of the safeguards applied at info@smartkontrol.ai.

7. Artificial intelligence: what actually happens

Documentation is generated by sending the process description entered by the user to the model provider. Regarding that processing:

It is not used to train models. The provider's commercial terms expressly prohibit this for customer content.
Retention is limited. Under the provider's retention policy in force as of 1 July 2026, API inputs and outputs are automatically deleted within 30 days of receipt or generation. That period is extended only where content is flagged by its automated misuse-detection systems, or where the law requires it.
No automated decisions with legal effects. The tool produces documents that the user reviews and validates. It makes no decisions about individuals and performs no profiling within the meaning of article 22 GDPR.
Unnecessary personal data should not be entered. Documenting a process only requires identifying positions and duties ("the treasury manager approves"), with no need for names or end-client data.

8. Security

We apply appropriate technical and organisational measures under article 32 GDPR, including:

Encryption of traffic in transit and of data at rest.
Passwords stored using irreversible derivation functions: nobody, ourselves included, can read them.
Isolation between organisations and between entities enforced in the database itself through row-level security, not merely in the interface.
Access control based on roles and on explicit assignment to each programme.
Automated monitoring of errors and service availability.

In the event of a security breach posing a risk to individuals' rights and freedoms, we will notify the Spanish Data Protection Agency within 72 hours and, where the risk is high, the affected individuals as well, under articles 33 and 34 GDPR.

9. Your rights

You may exercise your rights of access, rectification, erasure, objection, restriction of processing and portability, and withdraw any consent given, by writing to info@smartkontrol.ai. We will respond within one month, extendable by two further months in complex cases.

If you believe your data is not being handled properly, you may lodge a complaint with the Spanish Data Protection Agency (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). We would appreciate the chance to resolve it first.

10. Data clients enter into the application

When a client documents their processes in the tool, the client is the data controller and we act as processor, handling that information solely on their instructions and in order to provide the service.

This relationship is formalised in a data processing agreement under article 28(3) GDPR, made available to every client, covering among other matters the subject matter and duration, categories of data, confidentiality, security measures, the sub-processor regime, assistance to the controller, and return or deletion of data on termination. Request it at info@smartkontrol.ai.

The sub-processors we use are those listed in section 5. Any addition or replacement will be notified in advance so that the client may object.

11. Local storage and cookies

This site uses no analytics, advertising or tracking cookies, whether first- or third-party.

Browser local storage is used for two strictly necessary purposes: remembering your chosen language and keeping you signed in to the application. Both are exempt from prior consent, being storage strictly necessary to provide a service expressly requested by the user, under article 22(2) LSSI-CE. You may clear it at any time from your browser settings, the only consequence being that your session will end.

Fonts and code libraries are served from our own domain, not from third-party delivery networks. Browsing this site and using the application therefore generate no requests to third-party servers, beyond those strictly necessary to deliver the service, listed in section 5.

12. Changes to this policy

We may update this policy to reflect legal, technical or service changes. The date of the last update appears at the top. Where a change materially affects the processing of your data, we will notify you by email before it takes effect.