Política de privacidad

1. Quién trata tus datos

• Responsable: [Denominación social]
• NIF: [NIF]
• Domicilio: [Domicilio social completo]
• Correo de contacto en materia de datos: hola@cairos.es
• Delegado de Protección de Datos: [Nombre y contacto del DPO, o indicación de que no se ha designado por no ser obligatorio]

Esta política se aplica al sitio web https://cairos.es y al programa de gestión alojado en https://erp.cairos.es.

2. Dos papeles distintos: responsable y encargado

Es la distinción más importante de todo el documento, y la que determina a quién hay que reclamar cada cosa.

Cairos es responsable del tratamiento de los datos de sus propios usuarios y clientes: quien crea una cuenta, quien contrata un plan, quien escribe pidiendo información. De esos datos decide Cairos las finalidades y los medios.

Cairos es encargado del tratamiento de los datos que tú, como cliente, introduces en el programa: tus clientes, tus proveedores, tus socios, tus donantes y tus empleados. Esos datos los recoges tú, decides tú para qué se usan y respondes tú ante las personas afectadas. Cairos los trata únicamente por cuenta tuya, siguiendo tus instrucciones y sólo para prestarte el servicio, con las obligaciones del artículo 28 del Reglamento General de Protección de Datos. El contrato de encargo forma parte de las condiciones del servicio.

En la práctica: si un cliente tuyo quiere que borres sus datos, te lo pide a ti y lo haces tú desde el programa. Cairos no borra ni cede datos de tu cuenta por petición de un tercero.

3. Qué datos tratamos y de dónde salen

• De tu visita a la web: la dirección IP y los datos técnicos que registra el servidor al servir una página. Esta web no lleva analítica, ni publicidad, ni botones de redes sociales que espíen: lo que se guarda es el registro del propio servidor.
• De tu cuenta: nombre, correo electrónico, contraseña cifrada y datos de la empresa que das de alta.
• De tu suscripción: los datos de facturación y el histórico de pagos. Los datos de la tarjeta no los guarda Cairos: los trata directamente la pasarela de pago [Proveedor de pago].
• De tu uso del programa: el registro de actividad —quién hizo qué y cuándo— y los registros técnicos necesarios para dar soporte y detectar incidencias.
• De tus comunicaciones con nosotros: el contenido de los correos que nos envías y lo necesario para contestarlos.

Todos los datos los facilitas tú. No se compran ficheros, no se enriquecen perfiles con fuentes externas y no se elabora perfilado ni se toman decisiones automatizadas con efectos jurídicos sobre nadie.

4. Para qué los tratamos y con qué base jurídica

Esta política se rige por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. Cada finalidad se apoya en una base del artículo 6 del Reglamento:

• Darte el servicio contratado —crear la cuenta, guardar tus datos, emitir tus facturas, calcular tus modelos—. Base: la ejecución del contrato, artículo 6.1.b.
• Cobrarte y facturarte la suscripción. Base: ejecución del contrato y, para la conservación de las facturas, obligación legal, artículo 6.1.c.
• Atender tus consultas y darte soporte. Base: ejecución del contrato o, si todavía no eres cliente, la aplicación de medidas precontractuales a petición tuya, artículo 6.1.b.
• Avisarte de cambios importantes del servicio, de incidencias de seguridad o de modificaciones de estas políticas. Base: obligación legal, artículo 6.1.c, e interés legítimo, artículo 6.1.f. El interés legítimo concreto es mantener informado de las condiciones del servicio a quien lo tiene contratado, algo que razonablemente esperas de nosotros.
• Mantener la seguridad, prevenir el abuso y conservar el registro de actividad. Base: interés legítimo, artículo 6.1.f. El interés legítimo concreto es proteger la integridad del servicio y los datos de todos los usuarios frente a accesos indebidos y usos fraudulentos.
• Enviarte comunicaciones comerciales, si te suscribes. Base: tu consentimiento, artículo 6.1.a, que puedes retirar en cualquier momento y sin dar explicaciones. Si ya eres cliente, también el artículo 21.2 de la Ley 34/2002 para productos similares a los que ya has contratado, con la misma posibilidad de oponerte en cada envío.
• Cumplir requerimientos de juzgados o administraciones. Base: obligación legal, artículo 6.1.c.

Cuando la base sea el interés legítimo puedes oponerte al tratamiento explicando tu situación particular, y lo valoramos. Hemos hecho la ponderación entre ese interés y tus derechos, y podemos enseñártela si la pides.

¿Estás obligado a darnos estos datos? Los datos marcados como obligatorios al crear la cuenta o al contratar son necesarios para poder prestarte el servicio: sin ellos no podemos darte de alta ni facturarte, y no habría contrato. Los demás son voluntarios y no facilitarlos no tiene ninguna consecuencia. Suscribirte a comunicaciones comerciales es siempre opcional y no condiciona nada.

5. Cuánto tiempo los guardamos

• Datos de la cuenta: mientras la cuenta esté activa. Si la cierras, se suprimen o se anonimizan salvo lo que haya que conservar por obligación legal.
• Facturación y contabilidad: los plazos que marca la ley. Como referencia, cuatro años de prescripción tributaria (artículo 66 de la Ley General Tributaria) y seis años de conservación de libros y documentación mercantil (artículo 30 del Código de Comercio).
• Correos de soporte: el tiempo necesario para resolver la consulta y para acreditar cómo se resolvió.
• Registro de actividad y registros técnicos: [Plazo de conservación de logs].
• Datos que tú introduces en el programa: los conservamos mientras dure el contrato contigo. Al terminar, se devuelven o se suprimen según lo que indiques, en los términos del encargo del tratamiento.

6. A quién se los comunicamos

No se venden ni se ceden datos a nadie. Los únicos terceros que acceden a ellos son los proveedores necesarios para que el servicio funcione, cada uno con su contrato de encargo firmado:

• Alojamiento e infraestructura: [Proveedor de alojamiento y país]
• Envío de correo: [Proveedor de correo, cuando se contrate]
• Pasarela de pago: [Proveedor de pago]
• Otros subencargados: [Lista actualizada de subencargados]

También se comunicarán datos a juzgados, tribunales o administraciones públicas cuando exista una obligación legal de hacerlo.

Transferencias internacionales: los servidores y las copias de seguridad están dentro de la Unión Europea, según se explica en la página de seguridad. Hay una excepción que conviene decir en lugar de esconder: las tipografías de esta web se cargan desde Google Fonts, y para servir el fichero Google recibe tu dirección IP y los datos de la petición, con posible tratamiento en Estados Unidos. Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU., amparado por una decisión de adecuación de la Comisión Europea, y esa transferencia se apoya en nuestro interés legítimo en servir la web con una tipografía legible. Si prefieres evitarla, un bloqueador de contenidos la impide y la web se sigue leyendo. Lo contamos también en la política de cookies.

Si en algún otro momento fuese necesario recurrir a un proveedor fuera del Espacio Económico Europeo, se hará con una decisión de adecuación o con cláusulas contractuales tipo, y se hará constar aquí: [Otras transferencias internacionales, si llegara a haberlas].

7. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento que hubieras dado, sin que la retirada afecte a la licitud del tratamiento anterior.

La vía es escribir a hola@cairos.es indicando el derecho que ejerces. Se responde en el plazo máximo de un mes, ampliable a dos si la solicitud es compleja, y podemos pedirte que acredites tu identidad si hay dudas razonables sobre quién solicita.

Algunos derechos los puedes ejercer tú directamente desde el programa: la portabilidad está resuelta con la exportación a CSV y Excel de todos tus datos, disponible en tu cuenta y sin pedir permiso.

Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos, que es la autoridad de control competente: C/ Jorge Juan 6, 28001 Madrid, y sede electrónica en www.aepd.es. Agradeceríamos que antes nos lo dijeras a nosotros, pero no es un requisito y no condiciona tu derecho a reclamar.

8. Seguridad de los datos

Las medidas técnicas y organizativas están descritas con detalle, y con sus carencias, en la página de seguridad: servidores y copias dentro de la Unión Europea, copia diaria, cifrado en tránsito, control de acceso por usuario y rol, y registro de actividad.

En caso de una violación de seguridad que suponga un riesgo para los derechos de las personas afectadas, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas y, cuando el riesgo sea alto, también a las personas afectadas.

9. Cambios en esta política

Esta política puede cambiar si cambia la normativa, los proveedores o el propio servicio. Los cambios relevantes se avisan por correo a los usuarios registrados con antelación suficiente. La versión vigente es siempre la publicada aquí.

Última actualización: [Fecha de la versión definitiva].

Para ejercer cualquier derecho o preguntar cualquier cosa de este documento: hola@cairos.es.