Privacidad

Esta web

• Sin cookies, y sin nada guardado en su equipo. Ninguna cookie, ni nuestra ni de terceros, y tampoco localStorage, sessionStorage ni huella digital del navegador. Por eso no hay banner: no almacenamos ni recuperamos información de su equipo terminal, que es lo que regula el artículo 22.2 de la LSSI. Si algún día el alojamiento llegara a colocar una cookie técnica necesaria, lo diríamos aquí en vez de dejar la frase como está.
• Sin analítica de ningún tipo, ni siquiera la de nuestro proveedor de alojamiento. Cloudflare la ofrece gratis y sin cookies, y dijimos que no: encenderla mete un script de otro servidor, que es justo lo que esta página promete que no hacemos.
• Sin peticiones a terceros. Las tipografías y los estilos se sirven desde este mismo dominio; no hay Google Analytics, ni píxeles, ni contenido incrustado de nadie. Puede comprobarlo con el inspector de red del navegador en cualquier página.
• La demo se ejecuta entera en su navegador. La portada, que es donde vive la demo, carga lo que carga cualquier página web, y todos esos ficheros salen de este mismo dominio: el documento, una hoja de estilos, el icono, dos tipografías y un script pequeño. La demo añade exactamente una petición más, el propio motor (nonimo_core.wasm), que se descarga una vez al llegar a ella. Nada de lo que usted escriba añade ninguna otra, y en esa lista no hay un solo fichero pedido a un tercero. El texto que pega se procesa dentro de su pestaña y no se transmite, ni se guarda, ni se registra. Abra el inspector de red y compruebe las dos mitades.
• Alojamiento. La web la sirve Cloudflare Pages, que actúa como encargado del tratamiento y registra los datos estándar de cada petición (dirección IP, agente de usuario y página pedida) con la única finalidad de entregar las páginas y protegerlas de abuso. No exportamos esos registros, no los cruzamos con nada, no construimos perfiles y no montamos analítica encima.

El producto

Hoy existe el motor, y es lo que se ejecuta en la demo de esta web. La aplicación de tecla rápida, la extensión de navegador, el agente de Windows y el panel de cumplimiento están en desarrollo, así que aquí van en futuro. Lo marcamos porque una política de privacidad describe lo que un programa hace, y tres de estos todavía no hacen nada.

• El motor no tiene código de red. No es que prometa no conectarse: es que dentro no hay una sola línea capaz de abrir una conexión, y en el navegador se instancia con una lista de importaciones vacía. Es determinista y no lleva ningún modelo de IA dentro. El detalle técnico, con la forma de comprobarlo, está en seguridad.
• La aplicación gratuita procesará el texto en su ordenador. Sin cuenta, sin telemetría y sin envíos, con una sola excepción que tendrá que encender usted: el informe de cobertura del punto siguiente.
• El informe de cobertura opcional manda formas, nunca valores. Sirve para arreglar lo que el motor no supo leer: dice que algo con forma AAA-9999-99999 apareció 37 veces detrás de la palabra «pedido», nunca el valor y nunca sus palabras. Tres candados: no viaja el valor, no viaja ninguna palabra que no esté en nuestra propia lista, y hay un umbral de repetición por debajo del cual no se apunta nada. El motor no lo envía porque no puede: lo prepara y ahí acaba su parte. Lo enviará la aplicación de fuera, con permiso, y vendrá desactivado de fábrica.
• La versión para organizaciones mandará recuentos y categorías a un panel de cumplimiento instalado en la infraestructura de su organización: nunca el texto y nunca los valores. Los datos que reciba ese panel serán de su organización, que será la responsable del tratamiento. El panel vivirá dentro de su perímetro, no necesitará ninguna conexión de entrada desde nuestro lado y no tendremos credenciales suyas. Lo que no vamos a escribir es «nunca podremos verlo», porque el primer caso de soporte serio pone a prueba esa frase: si algún día hace falta que miremos algo, el acceso lo abre usted, delante de su gente, el tiempo que decida, y no nos quedamos con copia. Eso irá en el contrato, no solo aquí.
• Nuestra posición sobre el encargo del tratamiento, por escrito. Al no tratar datos personales por cuenta de su organización, nuestra lectura es que no seríamos encargado del tratamiento. Se la damos escrita para que su delegado la valore, no para zanjarla nosotros: si su asesoría concluye otra cosa, o si el pliego lo exige igualmente, firmamos el contrato de encargo del artículo 28.3 del RGPD y entregamos la lista de subencargados, que hoy, para el producto, está vacía.
• Antes de desplegarlo, lo que le toca a usted. Un panel que registra recuentos por categoría en los equipos de la plantilla es una medida de control de la actividad laboral: los artículos 87 a 89 de la LOPDGDD y el artículo 20.3 del Estatuto de los Trabajadores piden fijar los criterios de uso de los dispositivos digitales con la representación de los trabajadores e informar a la plantilla antes. Que el panel reciba recuentos y no texto es justo lo que hace proporcionada la medida, y la proporcionalidad es lo que hay que argumentar delante del comité o de la junta de personal. Se lo decimos antes de venderle nada porque descubrirlo tarde hunde el proyecto entero. No es asesoramiento jurídico: la última palabra la tiene su asesoría o su delegado.
• Correo. Si nos escribe, guardamos la correspondencia para contestarle y para retomar la conversación más adelante. El buzón está en Google Workspace, así que sus datos se tratan también fuera del Espacio Económico Europeo. No le damos de alta en ninguna lista que no haya pedido, no cedemos su dirección a nadie, y borramos a los 3 años los hilos que no llevaron a ninguna parte. Si quiere que lo borremos antes, lo dice y se borra.

Información detallada sobre protección de datos

La segunda capa, para su delegado de protección de datos y para el expediente. Es la misma información de arriba, dicha con los nombres que pide el artículo 13 del RGPD.

Responsable del tratamiento

Llevant Group Pty Ltd, sociedad australiana con ABN 17 691 906 751 y domicilio en 1 Bruce Street, Kensington VIC 3031, Australia. Opera también la marca Aivy. Nonimo es un producto suyo, y Llevant Group Pty Ltd es el responsable del tratamiento de todo lo que se describe en esta página. Contacto para cualquier cuestión de privacidad: [email protected].

No tenemos establecimiento en la Unión Europea: esa dirección australiana es la única que tenemos y no hay ninguna en España. Aun así nos dirigimos a personas y organizaciones que están en España, así que el RGPD nos aplica por su artículo 3.2, y esta página está escrita bajo esa premisa.

Qué datos tratamos y de dónde salen

Dos cosas, y no hay una tercera:

• La correspondencia por correo electrónico que usted nos manda: su dirección, el nombre con el que firme, la organización si la menciona y lo que escriba en el mensaje. Sale de usted y de nadie más.
• Los registros estándar de servidor de esta web (dirección IP, agente de usuario, página pedida, fecha y hora), que genera y guarda Cloudflare al servir las páginas.

Esta web no tiene formularios, ni cuentas, ni boletín, ni rastreo, así que evaluar Nonimo no nos deja nada suyo. El producto tampoco nos manda nada por su cuenta: el motor no tiene código capaz de abrir una conexión, y el único envío previsto en todo el diseño es el informe de cobertura descrito arriba, que va en formas y no en valores, que viene desactivado y que lo enciende usted.

No tratamos categorías especiales de datos, no nos dirigimos a menores de edad ni recogemos datos suyos a sabiendas, y no hay ningún dato que esté obligado a darnos: si no nos escribe, no tenemos nada suyo. Escribirnos es voluntario, y la única consecuencia de no hacerlo es que no podemos contestarle.

Para qué tratamos cada cosa y con qué base jurídica

No le pedimos consentimiento para nada porque no hay nada para lo que haga falta: no hay cookies, ni analítica, ni lista de correo. Puede oponerse en cualquier momento a los tratamientos basados en nuestro interés legítimo, y en el caso del correo eso significa sencillamente que borramos el hilo.

Destinatarios

Dos encargados del tratamiento y ninguno más:

• Cloudflare, Inc. (Estados Unidos), que aloja y sirve esta web mediante Cloudflare Pages.
• Google LLC (Google Workspace), que aloja nuestro correo. La región de datos está fijada en Australia, y Google LLC es una sociedad estadounidense: su expediente tiene que contar los dos países, no solo uno.

No vendemos, ni cedemos, ni compartimos sus datos con nadie más. No hay publicidad detrás, ni redes sociales, ni herramientas de marketing, ni intermediarios de datos. Si alguna vez una autoridad competente nos obligase por vía legal a entregar información, la entregaríamos y se lo diríamos a usted, salvo que la propia orden nos prohíba contarlo.

Transferencias internacionales

Sus datos se tratan fuera del Espacio Económico Europeo, y conviene decirlo con precisión porque los dos casos no son iguales:

• Australia, donde estamos nosotros y donde está la región de datos de nuestro correo. Australia no cuenta con decisión de adecuación de la Comisión Europea. La transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión, que Google incorpora a sus condiciones de tratamiento de datos.
• Estados Unidos, donde está Cloudflare, Inc. y donde tiene su sede Google LLC, que nos presta el correo aunque los datos residan en Australia. Aquí hay un matiz que preferimos escribir bien: sí existe una decisión de adecuación para Estados Unidos, pero solo alcanza a las organizaciones certificadas en el Marco de Privacidad de Datos UE-EE. UU., de modo que no nos apoyamos en ella para contestarle. La transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión, que los dos proveedores incorporan a sus acuerdos de tratamiento de datos. Si su expediente necesita además la comprobación de la certificación, se la damos con el enlace a la lista oficial.

Puede pedirnos copia de esas garantías escribiendo a [email protected]. Y una observación que vale para el análisis de riesgos: el producto no añade ninguna transferencia, porque no nos manda datos. Lo único que cruza fronteras es el correo que usted nos escriba.

Cuánto tiempo lo conservamos

• Correspondencia por correo: 3 años desde el último intercambio, y después se borra. Si nos pide que la borremos antes, se borra.
• Hilos que acaban en contrato: mientras dure la relación, y después el tiempo que exija la normativa contable y fiscal aplicable a la factura.
• Registros de servidor: los genera y los conserva Cloudflare conforme a su propia política de retención. Nosotros no los exportamos, no los guardamos aparte y no construimos nada encima de ellos.
• Datos del producto: ninguno, porque no nos llega ninguno.

Sus derechos

Escribiendo a [email protected] puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y también oponerse en cualquier momento a los tratamientos que se apoyan en nuestro interés legítimo.

Contestamos en el plazo de un mes desde que recibimos la solicitud. Si el caso fuera complejo, el RGPD permite ampliarlo en dos meses más; si tuviéramos que usar esa prórroga se lo diríamos dentro del primer mes y con el motivo. El ejercicio es gratuito. Solo le pediremos que acredite su identidad si de verdad tenemos dudas sobre quién nos escribe, y no como trámite para ganar tiempo.

En la práctica, lo que tenemos suyo casi siempre es un hilo de correo: darle copia de todo y borrarlo son dos minutos, y esa es una de las ventajas de no recoger nada.

Reclamación ante la autoridad de control

Si cree que no hemos hecho bien nuestro trabajo, díganoslo primero si quiere, pero no tiene ninguna obligación de pasar por nosotros. Puede reclamar directamente ante la Agencia Española de Protección de Datos, que es la autoridad de control en España: www.aepd.es, calle de Jorge Juan 6, 28001 Madrid.

Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre usted ni le afecten de modo similarmente significativo, y no elaboramos perfiles. El motor decide qué tapa dentro del ordenador de quien lo usa, y esa decisión no la vemos, no la recibimos y no la usamos para nada.

Representante en la Unión y delegado de protección de datos

A día de hoy no hemos designado representante en la Unión Europea conforme al artículo 27 del RGPD. Lo escribimos en vez de dejar el hueco en blanco: el único tratamiento que hacemos hoy de datos de residentes en la Unión es la correspondencia por correo. Si eso cambia, y cambiará en cuanto haya clientes españoles con relación continuada, designaremos representante en España y lo publicaremos en esta misma página con su nombre y su dirección.

Tampoco tenemos delegado de protección de datos designado. Las cuestiones de privacidad las atiende directamente la dirección de la empresa en [email protected]: contesta una persona, no un formulario.

Incidentes de seguridad

Nuestro compromiso, escrito aquí para que su pliego no tenga que preguntarlo:

• Si el incidente afecta a datos de los que somos responsables, lo notificamos a la Agencia Española de Protección de Datos en menos de 72 horas desde que tengamos conocimiento, y se lo comunicamos a usted sin dilación indebida cuando el riesgo para sus derechos sea alto, conforme a los artículos 33 y 34 del RGPD.
• Si el incidente afecta al software que le entregamos, se lo contamos en menos de 24 horas desde que lo conozcamos, con lo que sepamos en ese momento y con lo que estemos haciendo. Menos de 24 y no 72 a propósito: usted tiene 72 horas para notificar a la Agencia y necesita margen dentro de ellas.
• No somos un almacén de sus datos, porque el producto no nos manda ninguno. En la práctica, el incidente del que tendría que enterarse por nosotros es un compromiso de la cadena de suministro del software, y para eso está este compromiso.

Cambios en esta página

Cuando cambiemos esta página cambiamos también la versión y la fecha del pie, y guardamos las versiones anteriores: pídalas y se las mandamos. El sello de borrador de arriba se refiere a la revisión del texto por un abogado, que está en curso; los hechos que describe están medidos y son los que aplicamos hoy.