Política de privacidad

1. Responsable del tratamiento

La entidad responsable del tratamiento descrito en esta política es:

Calitem SL
Calle de Elvira 27, 1B, 28028 Madrid, España
CIF: Y6341476
Contacto: info@calitem.com

Si en el futuro abrimos establecimiento en Italia o nombramos un representante en virtud del Art. 27 del RGPD, los datos se añadirán a la adenda Italia más abajo.

2. Delegado de Protección de Datos

Calitem no ha nombrado un Delegado de Protección de Datos. Conforme al Art. 37 del RGPD y al Art. 34 de la LOPDGDD, no estamos obligados a designarlo dada la naturaleza, alcance y finalidad de nuestros tratamientos. Para cualquier asunto de protección de datos, escríbenos a info@calitem.com.

Revisamos esta designación periódicamente conforme a los criterios del Art. 37 RGPD y Art. 34 LOPDGDD, y actualizaremos esta página si cambia.

3. Categorías de datos personales que tratamos

Datos de cuenta y facturación

• Identificadores: nombre, email profesional, cargo, nombre de empresa.
• Autenticación: contraseña con hash o identificador de identidad federada.
• Facturación: NIF/CIF de la empresa, dirección de facturación, referencia del método de pago (token de Stripe, no almacenamos números de tarjeta).

Contenido del cliente, facturas y documentos contables

Cuando subes facturas, recibos, albaranes o documentos similares, estos archivos suelen contener datos personales de terceros: tus proveedores, sus empleados, autónomos y, en ocasiones, tu propio personal. Los campos típicos incluyen:

• Nombres, identificadores fiscales (NIF, CIF, número de IVA), direcciones, emails, teléfonos.
• Identificadores de cuentas bancarias (IBAN) cuando aparezcan en el documento.
• Datos de transacción: importes, líneas, fechas, condiciones de pago.

Tratamos estos datos como encargado del tratamiento en tu nombre, según la Adenda de Tratamiento de Datos incorporada a nuestros Términos.

Datos técnicos y de telemetría

• Dirección IP, navegador, sistema operativo, huella del dispositivo.
• Logs de aplicación, trazas de error, métricas de rendimiento.
• Eventos de autenticación y registros de auditoría.

Comunicaciones

• Solicitudes de soporte, correspondencia por email, mensajes en la aplicación.
• Respuestas a encuestas y comentarios.

4. Finalidad y base jurídica

Para cada finalidad de tratamiento identificamos la base jurídica del Art. 6 RGPD:

• Prestación del servicio (recepción, OCR, categorización, exportación a tu ERP), Art. 6(1)(b), ejecución de un contrato.
• Facturación, contabilidad y obligaciones fiscales: Art. 6(1)(c), obligación legal (Código de Comercio, Ley General Tributaria).
• Mejora del servicio, seguridad, prevención del fraude, depuración: Art. 6(1)(f), interés legítimo. Realizamos un test de ponderación; puedes solicitar un resumen.
• Marketing a clientes existentes sobre productos similares, Art. 6(1)(f) más el opt-in implícito del Art. 21 LSSI-CE, con opción de baja en cada mensaje.
• Marketing a no clientes / prospectos: Art. 6(1)(a), consentimiento.
• Cookies y rastreadores no esenciales: Art. 6(1)(a) RGPD y Art. 22.2 LSSI-CE, consentimiento. Consulta nuestra Política de cookies.

Para el contenido de las facturas que subes, la base jurídica entre tú y las personas cuyos datos aparecen en esas facturas es responsabilidad tuya como responsable del tratamiento (normalmente obligación legal o interés legítimo en la contabilidad).

5. Roles de responsable y encargado

Calitem actúa como:

• Responsable del tratamiento respecto a los datos de cuenta, facturación, analítica web y comunicaciones de soporte, es decir, decidimos los fines y medios de ese tratamiento.
• Encargado del tratamiento respecto al contenido de los documentos que subes. Tú sigues siendo el responsable; nosotros actuamos según tus instrucciones documentadas en una Adenda de Tratamiento de Datos. Si la necesitas, escríbenos a info@calitem.com.

6. Destinatarios y subencargados

Solo compartimos datos personales con proveedores con los que tenemos contrato vinculante conforme al Art. 28 RGPD. Subencargados actuales:

• Supabase (región UE), base de datos, autenticación, almacenamiento de objetos.
• Microsoft Azure, Document Intelligence: OCR y análisis del layout del documento.
• OpenAI / Anthropic (vía API), inferencia con modelos de lenguaje para extracción y categorización. Aplican acuerdos enterprise; ver §7.
• Stripe: procesamiento de pagos.
• Postmark: email transaccional.
• Google Analytics 4, HubSpot: analítica web y marketing (solo cuando hayas dado consentimiento).
• Intercom: soporte al cliente.

La lista oficial y actualizada de subencargados está disponible solicitándola por email a info@calitem.com. Notificamos a los clientes cualquier cambio sustancial con al menos 30 días de antelación, con derecho de oposición según se establece en la DPA.

7. Tratamiento con IA y modelos de lenguaje

El núcleo de Calitem es una pipeline de IA. Queremos ser explícitos sobre cómo gestiona tus datos:

• Cuando subes un documento, enviamos la imagen y el texto extraído a proveedores de IA documental y de modelos de lenguaje solo para inferencia, con el fin de extraer campos estructurados y sugerir una categoría.
• Bajo nuestros acuerdos enterprise con esos proveedores, tu contenido no se utiliza para entrenar sus modelos fundacionales. Tampoco usamos tu contenido para entrenar ningún modelo propio de Calitem.
• Algunos proveedores retienen prompts y respuestas hasta 30 días para fines de monitorización de abusos, salvo cuando se ha pactado retención cero. Cuando esto aplica a tus datos, se indica en nuestro registro de subencargados.
• Las salidas de la pipeline de IA las puedes revisar antes de publicarlas en tu sistema contable. Ninguna decisión con efectos jurídicos o similarmente significativos sobre una persona física se toma por medios exclusivamente automatizados, ver §11.

8. Transferencias internacionales

Buscamos mantener los datos personales dentro del Espacio Económico Europeo. Cuando un subencargado opera fuera del EEE, o cuando un servicio (por ejemplo, despliegues de Azure Global) puede enrutar el tratamiento fuera del EEE aun almacenando los datos dentro, nos apoyamos en alguna de estas garantías:

• Cláusulas Contractuales Tipo (Decisión de Ejecución 2021/914 de la Comisión), con evaluaciones de impacto de la transferencia y medidas técnicas complementarias como cifrado en reposo y en tránsito.
• Marco de Privacidad UE-EE. UU., cuando sea aplicable a proveedores de los EE. UU.

Puedes solicitar una copia de las garantías aplicables a una transferencia concreta escribiendo a info@calitem.com.

9. Plazos de conservación

• Cuenta y contenido del cliente: durante la vigencia del contrato. Tras la rescisión, dispones de 30 días para exportar; después, el contenido se elimina de los sistemas activos en otros 30 días y de las copias de seguridad en un máximo de 90 días.
• Registros contables y de facturación: seis años, conforme al Art. 30 del Código de Comercio. Los registros fiscales siguen el plazo de prescripción de cuatro años del Art. 66 LGT cuando no se exija mayor conservación.
• Logs y telemetría: 12 meses.
• Datos de marketing: hasta que retires el consentimiento o te des de baja.
• Tickets de soporte: 24 meses tras la resolución.

10. Tus derechos

Conforme al RGPD y la LOPDGDD tienes derecho a:

• Acceder a los datos que tenemos sobre ti (Art. 15).
• Rectificar datos inexactos o incompletos (Art. 16).
• Suprimir datos / "derecho al olvido" (Art. 17), sujeto a obligaciones legales de conservación.
• Limitar el tratamiento (Art. 18).
• Portar los datos que nos has facilitado, en formato estructurado y legible por máquina (Art. 20).
• Oponerte al tratamiento basado en interés legítimo, incluida la elaboración de perfiles (Art. 21).
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo (Art. 7).
• No ser objeto de decisiones basadas únicamente en tratamientos automatizados con efectos jurídicos o similarmente significativos (Art. 22), ver §11.

Puedes ejercer cualquiera de estos derechos escribiendo a info@calitem.com. Es posible que te pidamos verificar tu identidad. Respondemos en el plazo de un mes, ampliable en otros dos meses en solicitudes complejas.

También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Los usuarios italianos pueden dirigirse al Garante per la protezione dei dati personali: www.garanteprivacy.it.

11. Decisiones automatizadas y elaboración de perfiles

Calitem utiliza procesos automatizados para extraer campos de tus documentos y sugerir una categoría. Estas salidas son orientativas: aparecen en tu espacio de trabajo para que las revise una persona antes de publicarse en tu sistema contable. No tomamos decisiones que produzcan efectos jurídicos o similarmente significativos sobre una persona física por medios exclusivamente automatizados en el sentido del Art. 22(1) RGPD.

Si esto cambia, por ejemplo, si introducimos una puntuación automática de fraude con efectos vinculantes, actualizaremos esta política e informaremos sobre la lógica aplicada, su importancia y las consecuencias previstas.

12. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas conforme al Art. 32 RGPD, entre otras:

• Cifrado en tránsito (TLS 1.2+) y en reposo.
• Control de accesos por rol, principios de mínimo privilegio, registros de auditoría.
• Análisis periódico de vulnerabilidades y revisión de dependencias.
• Separación de entornos productivos y no productivos; pseudonimización para analítica cuando es factible.
• Procedimientos definidos de respuesta a incidentes, con rutas de escalado probadas.

13. Notificación de brechas de seguridad

Si detectamos una brecha de datos personales, notificamos a la AEPD sin dilación indebida y, cuando sea posible, en el plazo de 72 horas desde que tengamos conocimiento (Art. 33 RGPD). Si la brecha entraña un alto riesgo para los afectados, también se lo comunicamos directamente sin dilación indebida (Art. 34).

14. Menores

Calitem es un producto B2B no dirigido a menores. No recopilamos a sabiendas datos personales de menores de 14 años (umbral de consentimiento digital del Art. 7 LOPDGDD en España y D.Lgs. 101/2018 en Italia). Si crees que un menor nos ha facilitado datos personales, contáctanos para que los eliminemos.

15. Adenda Italia

Cuando Calitem esté disponible para usuarios italianos, junto al resto de esta política se aplicarán:

• Una versión en italiano de esta informativa para los usuarios italianos.
• La autoridad de control italiana es el Garante per la protezione dei dati personali (garanteprivacy.it). Normativa nacional: D.Lgs. 196/2003 modificado por el D.Lgs. 101/2018.
• Calitem aún no ha designado un representante conforme al Art. 27 RGPD. Si lo designamos antes del lanzamiento en Italia, los datos se publicarán aquí.

16. Cambios en esta política

Mantenemos un historial de versiones de esta página. La fecha "Última actualización" arriba refleja el último cambio sustantivo. Para cambios materiales, por ejemplo, la incorporación de un nuevo subencargado que recibe contenido del cliente, o un cambio de base jurídica, te avisaremos por email o desde el producto con al menos 30 días de antelación cuando sea posible.