Política de privacidad

1. Responsable del tratamiento y delegado de protección de datos

• Responsable: GENLICIT
• Domicilio: Santa Cruz de Tenerife
• Correo electrónico de contacto en materia de privacidad: dpo@genlicit.com
• Delegado de Protección de Datos (DPO) / punto de contacto: dpo@genlicit.com

2. Ámbito de aplicación

Esta política se aplica a los datos personales tratados a través del Sitio (formularios de contacto, suscripción o solicitud de información) y a los tratados con ocasión de la relación contractual con el Cliente y del uso de la plataforma por los usuarios autorizados. No cubre el tratamiento de los Datos del Cliente que este incorpora a la plataforma en el ejercicio de su propia actividad, salvo en lo relativo al rol de Genlicit como encargado del tratamiento, descrito en el apartado 7.

3. Categorías de datos tratados

• Datos identificativos y de contacto: nombre, apellidos, correo electrónico, teléfono, empresa y cargo, facilitados a través de formularios del Sitio, del proceso de alta o de la relación contractual.
• Datos de acceso y actividad: credenciales de acceso (cifradas), dirección IP, identificadores de sesión, fecha y hora de acceso, y registros de auditoría de la actividad realizada en la plataforma.
• Datos contractuales y de facturación: identificación fiscal, domicilio de facturación e información necesaria para la gestión administrativa y económica del contrato.
• Comunicaciones: contenido de las consultas, solicitudes de soporte o comunicaciones remitidas a través de los canales de contacto.

4. Finalidades y base jurídica

Cada finalidad de tratamiento se sustenta en la base jurídica que se indica a continuación, conforme al artículo 6 del RGPD:

• Gestión de la relación contractual, prestación del servicio, administración de cuentas y usuarios, y facturación: ejecución de un contrato o de medidas precontractuales a solicitud del interesado (art. 6.1.b RGPD).
• Atención de consultas y soporte técnico: ejecución del contrato cuando el solicitante sea Cliente, o interés legítimo en responder a solicitudes de información cuando se trate de un contacto comercial (art. 6.1.f RGPD).
• Cumplimiento de obligaciones fiscales, contables, mercantiles o de conservación de registros exigidas por la normativa aplicable: cumplimiento de una obligación legal (art. 6.1.c RGPD).
• Seguridad de la plataforma, prevención del fraude, registro de auditoría y detección de usos indebidos: interés legítimo de Genlicit y de sus clientes en garantizar la seguridad e integridad del servicio, ponderado frente a los derechos de los interesados y limitado a lo estrictamente necesario para dicha finalidad (art. 6.1.f RGPD).
• Mejora del servicio mediante el análisis agregado o estadístico de su uso operativo: interés legítimo en el mantenimiento y mejora de la plataforma, sin que ello implique perfilado individual con efectos jurídicos (art. 6.1.f RGPD).
• Envío de comunicaciones comerciales o informativas no estrictamente necesarias para la prestación del servicio, cuando se soliciten expresamente: consentimiento del interesado (art. 6.1.a RGPD), revocable en cualquier momento.

5. Plazos de conservación

Los datos se conservarán durante la vigencia de la relación contractual o mientras el interesado no solicite su supresión, y posteriormente, debidamente bloqueados, durante los plazos de prescripción de las acciones legales que pudieran derivarse del tratamiento y durante los plazos exigidos por la normativa fiscal y mercantil (con carácter general, hasta seis años conforme al Código de Comercio, sin perjuicio de plazos superiores exigidos por normativa tributaria).

Los registros de auditoría y de seguridad se conservarán durante el plazo necesario para cumplir su finalidad de trazabilidad y para la investigación de eventuales incidentes de seguridad, conforme a los criterios establecidos en el correspondiente contrato o, en su defecto, a un plazo proporcionado a dicha finalidad.

6. Destinatarios, encargados y subencargados del tratamiento

Los datos podrán ser accesibles a proveedores tecnológicos y de infraestructura que prestan servicios a Genlicit (alojamiento, correo electrónico, soporte, analítica operativa) en su condición de encargados del tratamiento, en virtud de los correspondientes contratos suscritos conforme al artículo 28 del RGPD, que incluyen las garantías e instrucciones exigidas por dicha norma.

Cuando el propio Cliente incorpore datos personales de terceros a la documentación tratada en la plataforma, dichos datos podrán ser transmitidos a los proveedores de inteligencia artificial que el Cliente haya seleccionado para la ejecución de las funciones correspondientes, en los términos descritos en el apartado 7.

Los datos podrán comunicarse, asimismo, a las Administraciones Públicas u órganos jurisdiccionales cuando exista una obligación legal de hacerlo.

Genlicit mantiene una relación actualizada de los subencargados del tratamiento que intervienen en la prestación del servicio, disponible a solicitud del Cliente a través de los canales de contacto indicados en esta política.

7. Genlicit como encargado del tratamiento de los datos operativos del Cliente

Respecto de los datos personales que el Cliente incorpora a la plataforma como parte de su operativa habitual (por ejemplo, datos de contacto de licitadores, técnicos o representantes contenidos en la documentación de licitaciones), Genlicit actúa como encargado del tratamiento por cuenta del Cliente, que ostenta la condición de responsable del tratamiento respecto de dichos datos.

Dicho tratamiento se sujeta a las instrucciones documentadas del Cliente y a las obligaciones establecidas en el artículo 28 del RGPD, formalizadas mediante el correspondiente contrato o cláusulas de encargo del tratamiento, que regulan, entre otros extremos, el objeto y la duración del tratamiento, las medidas de seguridad aplicables, el régimen de subencargo, el deber de confidencialidad y la restitución o supresión de los datos a la finalización de la prestación.

En su condición de encargado, Genlicit no utilizará dichos datos para fines propios distintos de la prestación del servicio, ni los comunicará a terceros salvo instrucción del Cliente o exigencia legal.

8. Transferencias internacionales de datos

Con carácter general, los proveedores de infraestructura utilizados por Genlicit para la prestación del servicio operan dentro del Espacio Económico Europeo (EEE) o cuentan con las garantías exigidas por el capítulo V del RGPD.

Cuando el Cliente seleccione proveedores de inteligencia artificial (por ejemplo, OpenAI, Anthropic, Google o Microsoft) cuyo tratamiento pueda implicar una transferencia de datos personales fuera del EEE, dicha transferencia se ampara en los mecanismos previstos en los artículos 44 y siguientes del RGPD, en particular en las cláusulas contractuales tipo aprobadas por la Comisión Europea suscritas por dichos proveedores, o en decisiones de adecuación cuando existan, siendo el Cliente responsable de la selección del proveedor y de valorar las garantías aplicables a su caso concreto.

9. Decisiones automatizadas y elaboración de perfiles

Genlicit no adopta decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre los interesados o les afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD. Las funciones basadas en inteligencia artificial generan análisis y borradores de apoyo que están sujetos a revisión y decisión humana, conforme al Descargo de responsabilidad sobre inteligencia artificial.

10. Derechos de los interesados

Cualquier interesado puede ejercer, en los términos previstos en el RGPD, los siguientes derechos:

• Acceso: obtener confirmación de si se están tratando datos personales que le conciernen y, en su caso, acceder a ellos.
• Rectificación: solicitar la corrección de datos inexactos o su completitud.
• Supresión: solicitar la eliminación de sus datos cuando, entre otros motivos, ya no sean necesarios para los fines para los que fueron recogidos.
• Oposición: oponerse al tratamiento de sus datos cuando este se base en el interés legítimo, por motivos relacionados con su situación particular.
• Limitación del tratamiento: solicitar la limitación del tratamiento de sus datos en los supuestos previstos legalmente.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados.
• Retirada del consentimiento: retirar en cualquier momento el consentimiento prestado para tratamientos que se basen en él, sin que ello afecte a la licitud del tratamiento previo a su retirada.

11. Cómo ejercer los derechos y reclamación ante la AEPD

Los derechos indicados en el apartado anterior pueden ejercerse dirigiendo una solicitud a dpo@genlicit.com o a dpo@genlicit.com, acompañada de la documentación necesaria para acreditar la identidad del solicitante.

Si el interesado considera que el tratamiento de sus datos personales no se ajusta a la normativa aplicable, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), a través de su sede electrónica (www.aepd.es), sin perjuicio de cualquier otra vía administrativa o judicial que le corresponda.

12. Medidas de seguridad

Conforme al artículo 32 del RGPD, Genlicit aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre otras: control de accesos basado en roles, autenticación multifactor (MFA) cuando está disponible, cifrado de credenciales y de claves de proveedores de IA cuando así se configura, registro y trazabilidad de la actividad y de las llamadas a modelos de IA, segmentación por tenant, y límites de consumo y presupuesto por usuario y organización.

Ninguna medida de seguridad, por sí sola, garantiza una protección absoluta frente a todo riesgo. En caso de producirse una violación de la seguridad de los datos personales que suponga un riesgo para los derechos y libertades de los interesados, se seguirán los procedimientos de notificación previstos en los artículos 33 y 34 del RGPD.

13. Cambios en esta política

Esta política de privacidad puede actualizarse para adaptarse a novedades legislativas, jurisprudenciales o a cambios en las finalidades o medios del tratamiento. La versión vigente será siempre la publicada en el Sitio, indicando la fecha de la última actualización.