Política de privacidad

1. En pocas palabras

• Tramitia es un programa de Cyber Vault, S.L., una empresa de Lugo.
• Todo lo que un despacho trata en Tramitia (sus clientes y vehículos, sus expedientes y documentos, su buzón de encargos, el trabajo de su equipo y las cuentas de su personal y de sus clientes) es responsabilidad del despacho. Si sus datos están ahí, el despacho es quien le informa y ante quien ejerce sus derechos (apartado 4).
• No vendemos datos, no hacemos publicidad, no cedemos los datos de los despachos y no los usamos para entrenar modelos de inteligencia artificial.
• La inteligencia artificial trabaja en regiones de la Unión Europea y propone; una persona del despacho revisa los datos antes de generar el paquete del expediente.
• Algunos de nuestros proveedores son empresas de Estados Unidos; usamos las garantías que permite el RGPD (apartado 8).

Para cualquier cuestión sobre sus datos, o para ejercer sus derechos ante nosotros, escríbanos a contacto@cybervaultlabs.com. Le contestamos en un mes como máximo.

2. Quiénes somos y cómo contactar

Razón social

Cyber Vault, S.L.

Nombre del servicio

Tramitia

NIF

B27592377

Domicilio social

Conde Pallarés 3, bajo derecha, 27001 Lugo, Galicia, España

Registro Mercantil

Inscrita en el Registro Mercantil de Lugo, hoja LU-23060, inscripción 1.ª

Correo de contacto

contacto@cybervaultlabs.com

Dominio

tramitia.net

No hemos designado un delegado de protección de datos: nuestra actividad no está entre las que lo exigen (artículo 37 del RGPD y artículo 34 de la LOPDGDD). Atiende las consultas el propio Cyber Vault, S.L., en contacto@cybervaultlabs.com o por correo postal en la dirección de arriba.

3. Lo que tratamos como responsables

Solo estos cuatro tratamientos son nuestros, y decidimos sobre ellos:

a) Las solicitudes que nos envía desde la web (demostración, propuesta o información)

• Datos: su dirección de correo, qué pide (demostración, propuesta o información), la fecha de la solicitud y la de la confirmación, y un resumen criptográfico del enlace de confirmación. No guardamos su dirección IP con la solicitud. Si después nos escribe, lo que nos cuente.
• Para qué: comprobar que la dirección es suya, atender su solicitud y escribirle para ella (buscar hora para la demostración o enviarle la propuesta). No le enviaremos publicidad.
• Base jurídica: su propia petición, antes de un posible contrato (artículo 6.1.b del RGPD). Si escribe en nombre de un despacho que es una sociedad, nuestro interés legítimo en atender a ese despacho, con los datos de contacto profesionales imprescindibles (artículo 6.1.f del RGPD y artículo 19 de la LOPDGDD).
• Cuánto tiempo: si no confirma la dirección, se borra a los 30 días; cualquier solicitud se borra, como mucho, un año después de enviarla. Los correos que intercambiemos para atenderla, el mismo plazo, salvo que llegue a contratar (entonces pasan al apartado b).
• Origen: usted mismo, con el formulario y la confirmación por correo.

b) La relación comercial con los despachos que contratan Tramitia

• Datos: del despacho, su razón social, NIF, domicilio y cuenta bancaria para el cobro (si es un profesional autónomo, son datos personales); de las personas de contacto y de quienes firman, su nombre, cargo, correo y teléfono profesionales; la propuesta, el contrato, las facturas, los pagos y las comunicaciones de soporte; y las cifras agregadas de uso con las que se le factura (usuarios, expedientes, almacenamiento y consumo de inteligencia artificial), sin el contenido de sus datos.
• Para qué: preparar la propuesta, celebrar y cumplir el contrato (implantación, soporte y avisos del servicio, como un cambio de condiciones o de subencargados), facturar y cobrar.
• Base jurídica: el contrato o los pasos previos a él (artículo 6.1.b del RGPD); para las personas de contacto de un despacho que es una sociedad, nuestro interés legítimo en mantener la relación con él (artículo 6.1.f del RGPD y artículo 19 de la LOPDGDD); y las obligaciones fiscales y mercantiles de facturar y llevar la contabilidad (artículo 6.1.c del RGPD).
• Cuánto tiempo: mientras dure el contrato y, después, bloqueados, los plazos que fija la ley para responder de él: las facturas y la contabilidad, seis años (artículo 30 del Código de Comercio), y el resto, mientras puedan reclamarse las obligaciones del contrato.

c) Los registros técnicos de los servidores y del sitio público

• Datos: los datos técnicos de cada petición que registran nuestros proveedores de alojamiento (como la dirección IP, la fecha y la página pedida). Para frenar abusos, contamos en memoria los intentos fallidos de entrada por conexión durante unos minutos, sin guardarlos.
• Para qué y con qué base: prestar el servicio y protegerlo frente a ataques, por nuestro interés legítimo en la seguridad (artículo 6.1.f del RGPD). No hay analítica ni seguimiento: la política de cookies lo explica.
• Cuánto tiempo: según la rotación de registros que aplica el proveedor de alojamiento; no hacemos copias aparte.

d) Las solicitudes de derechos y las reclamaciones que nos llegan como responsables

• Datos y para qué: lo necesario para contestarle y para poder demostrar que lo hicimos (artículos 12 y 5.2 del RGPD).
• Base jurídica: la obligación legal de atender los derechos (artículo 6.1.c del RGPD).
• Cuánto tiempo: la constancia de la solicitud y de nuestra respuesta, mientras puedan exigirse responsabilidades por ella.

4. Lo que tratamos por encargo de los despachos

Cada despacho decide qué datos trata en Tramitia y para qué: es el responsable de esos datos. Cyber Vault, S.L. los trata como encargado del tratamiento, solo para prestarle el servicio y siguiendo sus instrucciones documentadas, conforme al contrato de encargo del artículo 28 del RGPD que firma con cada despacho. Son:

• los correos y los adjuntos que llegan al buzón que el despacho conecta, que Tramitia lee con un permiso de solo lectura, y los documentos que importa;
• la extracción y la clasificación de esos documentos con inteligencia artificial (apartado 5);
• los datos de los clientes del despacho y de las demás partes de cada trámite (nombre o razón social, DNI, NIE o NIF, domicilio, contacto y representación), los datos de sus vehículos y los documentos de los expedientes (documentos de identidad, permisos de circulación, fichas técnicas, contratos, facturas, mandatos);
• los impresos y el paquete para Thempus que el despacho genera, los cálculos de impuestos y tasas;
• el trabajo de su equipo dentro de Tramitia: el historial de cada expediente (quién hizo qué y cuándo), las notas, el reparto, los avisos, las métricas de trabajo que ve la administración del despacho, el registro de actividad del despacho (quién hizo cada acción, cuándo, sobre qué, el motivo y, en los cambios de datos, el valor anterior y el nuevo) y, si el despacho lo activa, el registro de jornada;
• y las cuentas de su personal y, si el despacho da acceso a uno de sus clientes al portal de clientes, la de ese cliente (las explicamos abajo).

Sobre estos datos no decidimos nada por nuestra cuenta. No los vendemos, no los cedemos, no los usamos para publicidad y no los usamos para entrenar modelos de inteligencia artificial. Solo si el despacho nos lo encarga por escrito usamos documentos suyos, seudonimizados, para comprobar la calidad de la lectura de su servicio, y los suprimimos al terminar la prueba. Para facturarle según el contrato contamos, con cifras agregadas y sin mirar su contenido, sus usuarios, sus expedientes, el almacenamiento y el consumo de inteligencia artificial. Solo ve los datos el personal de Cyber Vault que lo necesita para prestar el servicio o atender una incidencia, con deber de confidencialidad.

Las cuentas de usuario. De cada persona que entra en la plataforma o en el portal guardamos, por cuenta de su despacho: su nombre y su correo; su contraseña, solo como resumen criptográfico y nunca en claro; el despacho al que pertenece y su papel (Administrador o Empleado); de cada sesión, la fecha, la dirección IP y el navegador; y los enlaces de un solo uso que se le envían. Sirven para darle acceso, mantener su cuenta segura (detectar accesos indebidos y frenar intentos de adivinar contraseñas) y enviarle los correos imprescindibles (confirmación del correo, invitaciones y recuperación de la contraseña).

• La sesión caduca a los 7 días sin uso, y su registro —fecha, IP y navegador— se borra a los 30 días de caducar.
• El enlace para confirmar el correo caduca a las 24 horas, el de una invitación a las 72 horas, el de cambiar la contraseña a la hora y el de entrar en el portal de clientes a los 5 minutos (a las 72 horas, si es la invitación del despacho). Los que se guardan en la base de datos solo para comprobarlos se borran cada hora una vez caducados; la invitación, en cambio, queda en el registro del equipo del despacho.
• Si el despacho da de baja a una persona, pierde el acceso al momento y se cierran sus sesiones. Su nombre y su correo se conservan mientras el despacho siga siendo cliente, porque identifican lo que hizo en sus expedientes, y se suprimen con el resto de los datos del despacho al terminar el contrato, o antes si el despacho lo decide. Su nombre queda además en el registro de actividad del despacho como autor de lo que hizo, durante el plazo de ese registro.
• Si entra con «Continuar con Google», Google actúa como un tercero independiente, con sus propias condiciones: nos facilita el identificador de su cuenta de Google, su nombre, su correo y, si lo tiene, la dirección de su foto de perfil.

Si usted es cliente o empleado de un despacho, su responsable es ese despacho: diríjase a él para conocer cómo trata sus datos y para ejercer sus derechos. Si nos escribe a nosotros, trasladaremos su petición al despacho en un máximo de 5 días hábiles, como fija el contrato de encargo, y le ayudaremos a responder. Al terminar el contrato, el despacho recibe una copia completa de sus datos y documentos en 30 días y, después, se suprimen en los plazos del contrato de encargo (si cambia de proveedor, nunca antes de que termine el periodo para extraerlos), salvo lo que una ley obligue a conservar.

5. La inteligencia artificial (TramitIA)

TramitIA es la parte de Tramitia que lee el cuerpo de los correos y sus adjuntos para proponer los datos de cada expediente, reconocer el tipo de encargo y avisar de lo que no cuadra. Lo hace por encargo del despacho, con estas garantías:

• Funciona con los modelos Gemini de Google Cloud (Vertex AI), solo en regiones de Estados miembros de la Unión Europea; hoy, la multirregión eu y las regiones europe-west3 (Fráncfort, Alemania) y europe-west4 (Países Bajos). Si alguien la configura fuera de la Unión Europea, la plataforma no arranca.
• Según sus condiciones de servicio, Google no usa estos datos para entrenar sus modelos; nosotros tampoco. Según su documentación, Google puede guardar los datos de cada petición en una caché temporal, dentro de la misma región, hasta 24 horas, salvo que esa caché se desactive, y conservar algunos registros para detectar usos abusivos.
• Para no repetir lecturas, guardamos el resultado de cada lectura, separado por despacho, un máximo de 30 días; después se borra solo.
• Lo que propone la IA es una propuesta. Está configurada para dejar en blanco lo que no encuentra en los documentos y avisar; aun así puede equivocarse, y por eso una persona del despacho revisa los datos. Cada dato leído queda marcado con su origen.
• Tramitia no presenta nada ante la Administración: el paquete lo presenta una persona del despacho, y la aplicación pide confirmar los datos antes de generarlo.

La evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD) de este tratamiento es un borrador en revisión jurídica, pendiente de validación externa.

6. Decisiones automatizadas

Tramitia no toma ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos sobre nadie o le afecte de forma significativa (artículo 22 del RGPD). La IA propone y una persona decide. El reparto automático del trabajo aplica las reglas que configura cada despacho, que puede cambiar cualquier asignación.

7. Quién más trata los datos

No cedemos datos a terceros, salvo a quien una ley nos obligue (por ejemplo, la Agencia Tributaria o un juzgado) y al banco que cobra nuestros recibos. Para prestar el servicio recurrimos a estos proveedores, con su contrato de encargo (artículo 28 del RGPD); respecto de los datos de los despachos, son subencargados, y el despacho los autoriza en su contrato de encargo:

El buzón de encargos no es un proveedor nuestro: lo contrata el despacho con su proveedor de correo (Google), al que accedemos con su autorización, mediante la API de Gmail y con un permiso de solo lectura. Y si alguien entra con «Continuar con Google», Google actúa como un tercero independiente (apartado 4).

Antes de incorporar o sustituir un proveedor que trate datos de los despachos, actualizamos esta lista y se lo comunicamos a los despachos con al menos 30 días de antelación, para que puedan oponerse. Si en el futuro activamos el cobro en línea o la firma electrónica, su proveedor entrará en esta lista antes de usarlo.

8. Transferencias internacionales

Los datos de la plataforma se alojan y se tratan en la Unión Europea: la base de datos en la región europea de Railway (Países Bajos), los documentos en el almacenamiento de Cloudflare con jurisdicción de la Unión Europea, la inteligencia artificial en regiones de la Unión Europea de Google Cloud y el envío de correo desde Irlanda.

Varios de estos proveedores son empresas de Estados Unidos y pueden acceder a datos desde allí o conservar allí información técnica (registros, metadatos de los correos o datos de soporte).

Estas transferencias se amparan en la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (artículo 45 del RGPD), en el que están certificados Railway Corporation, Cloudflare, Inc., Plus Five Five, Inc. (Resend) y Google LLC, y, de forma complementaria, en las cláusulas contractuales tipo aprobadas por la Comisión (Decisión de Ejecución (UE) 2021/914, artículo 46.2.c del RGPD), incluidas en sus contratos de encargo. Puede pedirnos una copia de estas garantías en contacto@cybervaultlabs.com.

Frente al acceso de autoridades de fuera de la Unión Europea a los datos (artículos 28 y 32 del Reglamento (UE) 2023/2854, de Datos): todo viaja cifrado y los documentos se guardan cifrados; los contratos de nuestros proveedores les obligan, en sus términos, a avisarnos y a impugnar las solicitudes sin base legal suficiente; y nosotros solo atenderíamos una solicitud así con base en un acuerdo internacional o en el Derecho de la Unión o de España, avisando antes al despacho salvo que la ley lo prohíba.

9. Cuánto tiempo se conservan los datos

Las copias de seguridad de la base de datos las hace nuestro proveedor de alojamiento y las conserva según su propia rotación: un dato suprimido puede seguir dentro de una copia hasta que esa copia caduca, y mientras tanto no se usa para nada que no sea restaurar el servicio tras una avería.

10. Sus derechos

Si sus datos están en Tramitia porque es cliente o empleado de un despacho, ejerza sus derechos ante ese despacho, que es su responsable (apartado 4); si nos llega su petición, se la trasladamos. Ante nosotros, por los tratamientos del apartado 3, puede pedirnos acceder a sus datos, rectificarlos, suprimirlos, oponerse a su tratamiento, limitarlo y recibirlos en un formato estructurado para llevarlos a otro (portabilidad), y no ser objeto de decisiones basadas solo en un tratamiento automatizado. Cuando tratamos sus datos por interés legítimo, puede oponerse por motivos relacionados con su situación particular.

Escríbanos a contacto@cybervaultlabs.com o por correo postal, diciendo qué derecho quiere ejercer. Es gratuito. Le contestaremos en un mes como máximo; si la solicitud es compleja o hay muchas, el plazo puede ampliarse otros 2 meses y se lo diremos dentro del primer mes (artículo 12.3 del RGPD). Solo si tenemos dudas razonables sobre su identidad le pediremos lo imprescindible para confirmarla.

Si cree que no hemos atendido bien sus derechos, puede reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es).

11. Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo. Entre ellas:

• los datos de cada despacho están aislados en la propia base de datos: un despacho nunca ve los de otro, y una prueba automática lo comprueba;
• toda la comunicación va cifrada (HTTPS, también obligatorio en los subdominios);
• las contraseñas se guardan solo como resumen criptográfico, con una política de contraseñas robustas, la confirmación del correo antes de entrar y límites a los intentos fallidos;
• las credenciales de acceso al buzón que conecta un despacho se guardan cifradas con una clave que no está en la base de datos;
• cada persona ve lo que su papel le permite, y cada expediente guarda el historial de quién hizo qué;
• los secretos de la plataforma no están en el código, y hacemos copias de seguridad de la base de datos.

Si sufrimos una violación de seguridad que afecte a datos personales, la notificaremos a la Agencia Española de Protección de Datos en un máximo de 72 horas cuando seamos responsables, y avisaremos a los interesados si hay un riesgo alto. Cuando afecte a datos de un despacho, se lo comunicaremos sin dilación indebida y en un máximo de 48 horas desde que lo sepamos, para que pueda cumplir sus propias obligaciones.

12. Menores

Tramitia es una herramienta profesional para mayores de edad: no está pensada para menores ni recogemos a sabiendas sus datos. Si un despacho trata en Tramitia datos de un cliente menor de edad (por ejemplo, el titular de un vehículo), lo hace como responsable y con sus propias garantías.

13. Cookies

Solo usamos cookies y almacenamiento del navegador técnicos, de seguridad o de una preferencia que usted elige; ninguno de analítica, publicidad ni seguimiento. La sesión de la plataforma se mantiene con la cookie better-auth.session_token (y la del portal de clientes, con tramitia-portal.session_token). El inventario completo, con la duración de cada una, está en la política de cookies.

14. Cambios en esta política

Cuando cambie la forma en que tratamos los datos, actualizaremos esta política y su fecha de versión antes de aplicar el cambio. Si el cambio afecta a los despachos (por ejemplo, un proveedor nuevo o una finalidad distinta), se lo comunicaremos por correo con al menos 30 días de antelación.