Política de privacidad de Argos

Esta Política de privacidad describe el tratamiento de datos personales en relación con Argos por parte de Naktor Solutions, S.L. («Naktor», «nosotros»), con domicilio social en Calle de Ríos Rosas 42, Piso 1 Puerta 1, 28003 Madrid, España.

Naktor actúa como responsable del tratamiento para las finalidades de administración de cuentas, asistencia y seguridad descritas a continuación. Cuando los datos personales forman parte del contenido aportado por una organización cliente, Naktor actúa como encargado del tratamiento siguiendo las instrucciones de ese cliente y de conformidad con el Contrato de cliente aplicable. El cliente determina las finalidades y la base jurídica del tratamiento de dicho contenido.

Esta política se aplica a los usuarios, a los destinatarios de invitaciones y a otras personas cuyos datos personales se tratan a través de Argos. Las referencias al RGPD corresponden al Reglamento (UE) 2016/679.

Se puede contactar con nuestro delegado de protección de datos en dpo@naktor.com o por correo postal dirigido a nuestro domicilio social, a la atención del delegado de protección de datos.

Los datos personales pueden obtenerse indirectamente cuando un administrador del cliente envía una invitación o un usuario autorizado incluye información sobre otra persona en el contenido de un proyecto. Los clientes son responsables de facilitar la información exigida por la normativa de protección de datos a las personas cuyos datos aporten.

Los datos de identidad y de pertenencia a una organización son necesarios para establecer y administrar el acceso de los usuarios. Si no se facilita esa información, no será posible acceder al servicio. Los datos personales incluidos en el contenido de los proyectos deben limitarse a los necesarios para el proyecto correspondiente.

Naktor trata datos personales como responsable del tratamiento para las siguientes finalidades:

El contenido de los proyectos se trata para prestar los servicios de análisis de requisitos y especificación solicitados por el cliente, conforme a las disposiciones sobre tratamiento de datos de su Contrato de cliente.

Naktor no utiliza el contenido de los clientes para publicidad, entrenamiento de modelos, evaluaciones internas ni mejoras del producto ajenas a la prestación del servicio.

Los clientes no deben aportar a través de Argos información sanitaria identificable, datos biométricos ni otras categorías especiales de datos personales. Los ejemplos de los proyectos deben anonimizarse siempre que sea posible.

Argos transmite el contenido pertinente de los proyectos y las conversaciones a través de una pasarela de IA gestionada por Naktor para realizar las tareas de análisis de requisitos y especificación solicitadas por el cliente.

En una configuración de uso de claves propias del cliente (BYOK, por sus siglas en inglés), la organización cliente selecciona sus proveedores de IA y aporta las credenciales de sus cuentas con dichos proveedores. Las solicitudes realizadas bajo esa configuración están sujetas a los acuerdos del cliente con esos proveedores. Cuando Naktor contrata un proveedor de IA por cuenta del cliente, ese proveedor actúa como subencargado del tratamiento conforme a las condiciones de tratamiento aplicables.

El cliente es responsable de la licitud de los datos personales que aporta para su tratamiento. Los proveedores utilizados, los lugares de tratamiento y los plazos de conservación se determinan según la configuración y los acuerdos aplicables al servicio del cliente.

Naktor mantiene la responsabilidad que le corresponde por el funcionamiento de Argos, la pasarela de IA y el tratamiento de diagnóstico descrito en esta política.

Argos no lleva a cabo decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos o efectos de importancia similar sobre las personas.

Naktor registra trazas de diagnóstico de IA en su propia infraestructura de alojamiento para investigar problemas técnicos que afecten al servicio. Estos registros contienen las entradas y salidas de la IA, que pueden incluir contenido de conversaciones, fragmentos de documentos y respuestas de los modelos. Naktor conserva y utiliza estos registros exclusivamente para investigar dichos problemas. No se utilizan para publicidad, entrenamiento de modelos, evaluaciones internas ni desarrollo de productos.

El acceso a los datos de los proyectos dentro de Argos está restringido según la organización, el rol y los permisos del proyecto. El personal autorizado de Naktor accede a los datos de asistencia para prestar la ayuda solicitada por el cliente. El acceso a los registros de diagnóstico de IA se limita a investigar problemas técnicos que afecten al servicio. Los proveedores externos tratan los datos para las finalidades indicadas a continuación.

Los datos personales también se comunican a las autoridades competentes cuando lo exige la ley. Naktor no vende datos personales ni los comunica para publicidad de terceros.

Alojamiento y almacenamiento: Hetzner

Naktor utiliza infraestructura de Hetzner en Europa para alojar Argos y almacenar los datos del servicio, incluidos el contenido de los proyectos, las copias de seguridad de las bases de datos y los registros de diagnóstico. Naktor administra la aplicación y sus datos en dicha infraestructura.

Envío de correos de autenticación: Resend

Plus Five Five, Inc., que opera bajo el nombre comercial Resend, trata las direcciones de correo electrónico de los destinatarios y el contenido de los correos de autenticación e invitación para enviar comunicaciones relacionadas con el acceso. Su tratamiento incluye el almacenamiento en Estados Unidos, según se describe en el apartado sobre transferencias internacionales.

Proveedores de modelos de IA

Los proveedores de modelos de IA reciben el contenido de los proyectos y las conversaciones necesario para realizar las tareas de IA solicitadas. En una configuración BYOK, se aplican las cuentas y los acuerdos del cliente con sus proveedores. Cuando Naktor contrata proveedores como subencargados del tratamiento, su tratamiento se rige por el Contrato de cliente aplicable y las condiciones de tratamiento del proveedor.

El alojamiento y almacenamiento principales se prestan en Europa. El envío de correos de autenticación implica un tratamiento por parte de Resend en Estados Unidos. El acuerdo de tratamiento de datos de Resend incorpora las cláusulas contractuales tipo de la Comisión Europea para las transferencias de responsable a encargado y de encargado a subencargado del tratamiento. Resend también participa en el Marco de Privacidad de Datos UE-EE. UU.

Los proveedores de IA pueden tratar datos personales fuera del Espacio Económico Europeo (EEE). Los destinos y las condiciones de transferencia aplicables dependen de los proveedores y las cuentas configurados para el servicio del cliente. El uso de una clave de API aportada por el cliente no modifica las obligaciones de Naktor respecto de los tratamientos y las transferencias que realiza.

Las garantías contractuales de Resend están disponibles en su acuerdo de tratamiento de datos. Puede solicitarse a nuestro delegado de protección de datos más información sobre las garantías aplicables al tratamiento realizado por Naktor. La información sobre los proveedores de IA seleccionados por el cliente está disponible a través de la organización cliente correspondiente.

El acceso a Argos requiere autenticación y está sujeto a controles de acceso por organización y proyecto. El personal de Naktor solo puede acceder a los registros de diagnóstico de IA para investigar problemas técnicos que afecten al servicio. Los demás accesos de asistencia se limitan a la ayuda solicitada por el cliente. Los administradores del cliente son responsables de asignar y mantener los permisos de los usuarios.

Argos utiliza cookies para mantener las sesiones autenticadas y recordar las preferencias de idioma. El almacenamiento del navegador también conserva las preferencias del espacio de trabajo y de la interfaz. Estas tecnologías permiten acceder al servicio y conservar la configuración del usuario. Argos no utiliza rastreadores publicitarios ni de marketing.

Las cookies y el almacenamiento del navegador pueden gestionarse mediante la configuración del navegador. El bloqueo de las cookies de autenticación puede impedir el acceso a Argos. La eliminación de las preferencias almacenadas restablece la configuración correspondiente.

Los proyectos, grupos y documentos marcados para su eliminación se conservan durante un plazo de recuperación de 30 días antes de tramitar su supresión definitiva de la aplicación en uso. Este proceso abarca los archivos originales y las conversaciones asociados que se conservan en la aplicación. Las copias de seguridad y los registros técnicos están sujetos a las reglas de conservación específicas que se indican a continuación. Al finalizar el servicio, el cliente puede solicitar la supresión inmediata sin aplicar el plazo de recuperación.

El plazo de recuperación se aplica al contenido de los proyectos. Los demás registros se conservan por separado:

La retirada del acceso de un usuario no elimina por sí misma los datos personales conservados en los registros de los proyectos. Las solicitudes de supresión, incluidas las de supresión inmediata al finalizar el servicio, deben dirigirse a la organización cliente o a nuestro delegado de protección de datos para su gestión individual. Las copias exportadas por el cliente permanecen bajo su control.

Con sujeción a los requisitos aplicables del RGPD, las personas tienen los siguientes derechos:

• Acceso: obtener confirmación del tratamiento y una copia de sus datos personales.
• Rectificación: solicitar la corrección de datos inexactos o que se completen los datos incompletos.
• Supresión: solicitar la eliminación cuando se cumplan las condiciones para ello.
• Limitación: solicitar que se limite el tratamiento en los supuestos previstos por la ley.

Los tratamientos para los que Naktor actúa como responsable en esta política se basan en el interés legítimo o en obligaciones legales, y no en el consentimiento. Cuando el derecho a la portabilidad resulte aplicable a datos de proyectos bajo el control del cliente, la organización cliente será responsable de responder, con la asistencia de Naktor.

Derecho de oposición

Las personas pueden oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en los intereses legítimos de Naktor. Naktor dejará de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades de la persona, o que el tratamiento sea necesario para formular, ejercer o defender reclamaciones.

Ejercicio de los derechos

Los derechos pueden ejercerse a través de dpo@naktor.com o por correo postal dirigido a nuestro domicilio social. Las solicitudes deben identificar el derecho que se desea ejercer y aportar información suficiente para localizar los datos correspondientes. Podrá solicitarse información adicional cuando sea necesario para verificar la identidad del solicitante. Las solicitudes se tramitan normalmente de forma gratuita.

Para los datos personales que trate como responsable, Naktor responderá en el plazo de un mes desde la recepción de la solicitud. Este plazo podrá ampliarse hasta dos meses adicionales cuando sea necesario por la complejidad o el número de solicitudes. Cualquier ampliación y sus motivos se comunicarán dentro del primer mes. Si una solicitud no puede atenderse, Naktor explicará los motivos y las vías de reclamación disponibles.

Cuando una solicitud se refiera a datos personales bajo el control de una organización cliente, Naktor la remitirá al cliente sin dilación indebida y le ayudará a responder. La comunicación de datos en respuesta a solicitudes de acceso está sujeta a los derechos y libertades de otras personas.

Las personas pueden presentar una reclamación ante la Agencia Española de Protección de Datos u otra autoridad de control competente, en particular en el país de su residencia habitual, su lugar de trabajo o donde se haya producido la presunta infracción.

Esta política se actualizará para reflejar los cambios en el tratamiento de datos personales. La fecha de entrada en vigor identificará la versión aplicable. Los cambios sustanciales se comunicarán a los usuarios afectados a través del servicio o mediante una comunicación directa. La información sobre cualquier nueva finalidad del tratamiento se facilitará antes de que comience dicho tratamiento.