Política de Privacidad

1. Responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos de que el responsable del tratamiento de sus datos personales es:

• Responsable: Genki Cáceres Guzman
• NIF: 13312886A
• Domicilio: Av. Jacinto Benavente 25, 46005, Valencia, España
• Correo electrónico: main.genki@gmail.com

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos personales:

2.1. Datos de cuenta

Al registrarse a través de Clerk (nuestro proveedor de autenticación), recopilamos:

• Nombre y apellidos
• Dirección de correo electrónico
• Imagen de perfil (si se registra mediante Google OAuth)
• Identificador único de usuario (Clerk ID)

Finalidad: Prestación del servicio, gestión de la cuenta y comunicación con el usuario.
Base legal: Ejecución de un contrato (art. 6.1.b RGPD).

2.2. Datos de uso del servicio

• Créditos consumidos y saldo disponible
• Herramientas utilizadas y fechas de uso
• Número de archivos y páginas procesados por job
• Formatos de salida seleccionados

Finalidad: Prestación del servicio, facturación, auditoría interna y mejora del servicio.
Base legal: Ejecución de un contrato (art. 6.1.b RGPD) e interés legítimo (art. 6.1.f RGPD).

2.3. Datos técnicos

• Dirección IP
• Tipo de navegador y sistema operativo
• Datos de la solicitud HTTP (método, URL, código de respuesta)

Finalidad: Seguridad del servicio, detección de abusos y limitación de tasa (rate limiting).
Base legal: Interés legítimo (art. 6.1.f RGPD).

2.4. Datos de contacto

Cuando el usuario utiliza el formulario de contacto, recopilamos: nombre, email y contenido del mensaje.

Finalidad: Responder a la consulta del usuario.
Base legal: Interés legítimo (art. 6.1.f RGPD) o consentimiento (art. 6.1.a RGPD).

2.5. Datos de facturación (futuro)

Cuando se implementen los planes de pago, se recopilarán datos de facturación (nombre, dirección, NIF) a través de Stripe. Los datos de tarjeta de crédito/débito son gestionados íntegramente por Stripe y nunca son almacenados en nuestros servidores.

Finalidad: Facturación y cumplimiento de obligaciones fiscales.
Base legal: Obligación legal (art. 6.1.c RGPD) y ejecución de un contrato (art. 6.1.b RGPD).

3. Documentos subidos por el usuario

Esta sección es especialmente importante. idpura es una herramienta de procesamiento de documentos. Los archivos PDF y DOCX que el usuario sube al servicio pueden contener datos personales de terceros (por ejemplo, facturas con nombres, NIFs, direcciones).

3.1. Roles de tratamiento

En relación con los documentos subidos:

• El usuario es el responsable del tratamiento de los datos personales contenidos en sus documentos. Es su obligación garantizar que tiene base legal para tratar dichos datos y que cumple con la normativa de protección de datos aplicable.
• idpura actúa como encargado del tratamiento (art. 28 RGPD), procesando los documentos exclusivamente para prestar el servicio de extracción solicitado por el usuario.

3.2. Tratamiento de documentos

• Los documentos originales se procesan en memoria y se eliminan inmediatamente tras completar la extracción. No se almacenan copias en disco.
• Los resultados de la extracción se almacenan temporalmente en el servidor con eliminación automática tras 24 horas.
• No accedemos al contenido de los documentos del usuario salvo para ejecutar la extracción solicitada.

3.3. No uso para entrenamiento de IA

idpura no utiliza los documentos del usuario ni los datos extraídos para entrenar, mejorar o ajustar modelos de inteligencia artificial o aprendizaje automático. Los documentos se procesan exclusivamente para prestar el servicio de extracción solicitado.

Cuando se implementen herramientas que utilicen IA de terceros (como Google Gemini), los documentos se enviarán temporalmente a la API correspondiente para su procesamiento y no serán almacenados ni utilizados por el proveedor de IA para entrenamiento, conforme a los términos del Data Processing Addendum del proveedor.

4. Destinatarios y sub-procesadores

Los datos personales pueden ser comunicados a los siguientes terceros, exclusivamente para las finalidades indicadas:

No vendemos, alquilamos ni compartimos datos personales con terceros con fines de marketing o publicidad.

5. Transferencias internacionales de datos

Algunos de nuestros sub-procesadores están ubicados fuera del Espacio Económico Europeo (EEE), en particular en Estados Unidos. Estas transferencias se realizan con las siguientes garantías conforme a los artículos 44 a 49 del RGPD:

• Clerk Inc. (EE.UU.): Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea, incluidas en el Data Processing Agreement (DPA) de Clerk.
• Google LLC (EE.UU., futuro): Cláusulas Contractuales Tipo (SCCs) y Data Processing Addendum de Google Cloud.
• Stripe Inc. (EE.UU., futuro): Cláusulas Contractuales Tipo (SCCs) y certificación PCI DSS Level 1 para datos de pago.

El servidor principal de idpura está ubicado en Alemania (Hetzner Online GmbH), dentro del EEE, por lo que el procesamiento principal de datos no implica transferencia internacional.

6. Plazos de conservación

7. Derechos del usuario

De conformidad con los artículos 15 a 22 del RGPD y los artículos 12 a 18 de la LOPDGDD, el usuario tiene derecho a:

• Acceso (art. 15 RGPD): Conocer qué datos personales tratamos y obtener una copia.
• Rectificación (art. 16 RGPD): Corregir datos inexactos o completar datos incompletos.
• Supresión (art. 17 RGPD): Solicitar la eliminación de sus datos personales ("derecho al olvido").
• Limitación del tratamiento (art. 18 RGPD): Solicitar la restricción del tratamiento en determinadas circunstancias.
• Portabilidad (art. 20 RGPD): Recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición (art. 21 RGPD): Oponerse al tratamiento de sus datos por motivos relacionados con su situación particular.
• No ser objeto de decisiones automatizadas (art. 22 RGPD): No ser sometido a decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente.

Para ejercer estos derechos, envíe un correo electrónico a main.genki@gmail.com indicando el derecho que desea ejercer y adjuntando una copia de su documento de identidad.

Plazo de respuesta: 30 días desde la recepción de la solicitud. Este plazo puede prorrogarse hasta 60 días adicionales si la complejidad o el número de solicitudes lo justifica, previa comunicación al interesado (art. 12.3 RGPD).

Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es, C/ Jorge Juan 6, 28001 Madrid.

8. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales, conforme al artículo 32 del RGPD:

• Comunicación cifrada mediante HTTPS/TLS en todas las conexiones.
• Autenticación segura mediante JWT firmados con claves asimétricas (Clerk).
• Servidor dedicado en Alemania (Hetzner), sin compartir infraestructura con terceros.
• Bases de datos protegidas con contraseña y acceso restringido.
• Eliminación automática de documentos originales tras el procesamiento.
• Eliminación automática tras 24 horas para resultados temporales.
• Locks distribuidos para operaciones críticas (créditos).
• Rate limiting para prevenir abusos (60 peticiones/minuto).

9. Menores de edad

El servicio está dirigido a mayores de 18 años. idpura no recopila intencionadamente datos personales de menores de 18 años.

Si tiene conocimiento de que un menor de 18 años ha utilizado el servicio, le rogamos que nos contacte en main.genki@gmail.com para proceder a la eliminación de sus datos.

10. Uso de inteligencia artificial

Actualmente, idpura utiliza procesamiento determinista (sin IA) para la extracción de datos de documentos nativos.

En el futuro, se implementarán herramientas que utilizan IA de terceros (Google Gemini API) para el procesamiento de documentos escaneados y la extracción de campos estructurados. Cuando esto ocurra:

• Los documentos se enviarán temporalmente a la API de Google para su procesamiento.
• Google no almacenará los documentos ni los utilizará para entrenar sus modelos, conforme al Data Processing Addendum de Google Cloud.
• Los resultados se almacenarán temporalmente en nuestros servidores (24 horas) y luego se eliminarán automáticamente.
• El usuario será informado antes de utilizar herramientas con IA y del coste en créditos asociado.

idpura no realiza decisiones automatizadas con efectos jurídicos sobre los usuarios en el sentido del artículo 22 del RGPD. La extracción de datos es una herramienta que el usuario utiliza bajo su propia responsabilidad y criterio.

11. Modificaciones de esta política

Nos reservamos el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de práctica empresarial. Cualquier modificación será publicada en esta página con la fecha de actualización correspondiente.

Para cambios sustanciales que afecten al tratamiento de datos personales, notificaremos a los usuarios registrados por correo electrónico con un mínimo de 30 días de antelación.