Pribatutasun-politika

Arduraduna

María Cantó Martínez

IFZ

47947433T

Helbidea

Calle de Pastora Martos 23, 3.º C, 08174 Sant Cugat del Vallès (Barcelona)

Pribatutasunerako helbide elektronikoa

hola@ganasubvenciones.com

Datuak Babesteko Ordezkaria

Ez da izendatu: kasu honetan ez da derrigorrezkoa (DBEOren 37. art. eta LOPDGDDren 34. art.). Dena pribatutasunerako helbide elektronikoan artatzen da.

Tratamendu hau 2016/679 (EB) Erregelamenduak —Datuen Babeserako Erregelamendu Orokorra (DBEO)— eta datu pertsonalak babesteari eta eskubide digitalak bermatzeari buruzko 3/2018 Lege Organikoak (LOPDGDD) arautzen dute.

Zerbitzuak funtziona dezan behar dena bakarrik. Ez da zerrendarik erosten, ez dira profilak kanpoko datuekin aberasten eta ez da nabigazioaren jarraipenik egiten.

• Kontuarenak: izena, helbide elektronikoa, pasahitza —hartatik berreskuratzeko biderik ematen ez duen laburpen bat baino ez da gordetzen, inoiz ez pasahitza bera testu lauan—, helbide elektronikoa egiaztatuta dagoen, kontratatutako plana, abisuen hobespenak eta lege-oharra eta politika hau onartu ziren data.
• Erakundearenak: izena, mota, CIF, eratze-data, erregistroko inskripzio-datuak, helbidea, telefonoa eta harremanetarako helbide elektronikoa, webgunea, jarduera-esparruak, lurraldeak, artatzen dituen kolektiboak, aurrekontua, langile, boluntario eta pertsona onuradunen kopurua, esperientzia-urteak, misioa, aitorpenak, ziurtagiriak eta logotipoa. Halaber, haren ordezkaritzan sinatzen duenaren izena, kargua eta NIF zenbakia, eta zuzendaritza-batzordearen edo patronatuaren osaera.
• Irekitako saio bakoitzarenak: IP helbidea eta sartzeko erabilitako nabigatzailea, datarekin. Saioak paneletik ikusi eta ixteko balio dute, eta sarbide arraroak antzemateko.
• Zerbitzuaren erabilerarenak: jarraitzen diren deialdiak, prestatzen diren eskaerak, zereginak, igotzen diren dokumentuak eta eskatzen diren analisiak.
• Fakturazioarenak, ordainpeko planik badago: Stripeko bezero-, harpidetza- eta faktura-identifikatzaileak, eta kobrantzen historikoa. Txartelaren datuak ez dira inoiz gure zerbitzarietatik igarotzen: Stripek zuzenean jasotzen ditu.
• Idazketa-enkarguenak, bat eskatzen bada: proiektuaren izenburua eta deskribapena, eskatzen den zenbatekoa, behar den data, oharrak, eransten diren dokumentuak eta entregatzen den memoria. Idazten duen taldeak irakurtzen ditu, pertsonak baitira, eta atxikipena eta kobrantza Stripek egiten ditu.
• Buletinarenak, norbait harpidetzen bada: helbide elektronikoa besterik ez, zein orritatik harpidetu zen eta data.
• Erregistro teknikoak: web-zerbitzariak eta APIak eskaera bakoitzaren IP helbidea, data eta nabigatzailea idazten dituzte. Matxurak diagnostikatzeko eta gehiegikeriak geldiarazteko erabiltzen dira, eta automatikoki txandakatzen dira. Cookieak eta kredentzialak erregistrotik ezabatzen dira, idatzi aurretik.

• Zerbitzua ematea: kontua sortzea, erakundearen profila gordetzea, deialdiekiko egokitasuna kalkulatzea, epeez abisatzea eta eskaeren kudeaketa eramatea. Oinarria: kontratua betetzea (DBEO erregelamenduaren 6.1.b artikulua).
• Ordainpeko planak kobratzea eta kontabilitatea eramatea. Oinarria: kontratua betetzea eta zerga- eta merkataritza-arloko legezko betebeharrak betetzea (6.1.b eta 6.1.c artikuluak).
• Zerbitzua seguru mantentzea: saioak, eskaera-mugak, bidegabeko sarbideen detekzioa eta segurtasun-kopiak. Oinarria: kontuak eta informazioa babesteko interes legitimoa (6.1.f artikulua).
• Testu hauek onartu ziren data gordetzea, noiz eta zer bertsio onartu zen frogatu ahal izateko. Oinarria: legezko betebehar bat betetzea eta erantzukizun proaktiboaren betebeharra (6.1.c eta 5.2 artikuluak).
• Buletina eta merkataritza-komunikazioak bidaltzea. Oinarria: baimena (DBEO erregelamenduaren 6.1.a artikulua eta LSSI-CE legearen 21. artikulua). Itzalita jaiotzen da: eskuz lauki bat markatu behar da, eta nahi denean kentzen da, posta elektronikotik bertatik edo paneletik.

Zuen deialdien epeei eta aldaketei buruzko abisuak ez dira publizitatea: kontratatu den zerbitzua dira, eta horregatik datoz piztuta. Hala ere, guztiz itzal daitezke, edo familia batzuk bakarrik, kontuaren hobespenetatik.

Ez da inorentzat ondorio juridikoak dituen erabaki automatizaturik hartzen. Egokitasun-analisia erakundeari berari buruz zuzendutako orientabidea da: ez du ezer erabakitzen, irakurtzen duenak erabakitzen du.

Erakunde batek igotzen dituen memoriak, proiektuak eta dokumentuak bereak dira. Eduki horren arduraduna bera da, eta guk eragile gisa jarduten dugu: gorde egiten da, eskatu denerako prozesatzen da eta ez da beste ezertarako erabiltzen.

Irakurtzea komeni den ohar bat: dokumentu horiek batzuetan erakundeak artatzen dituen pertsonen datuak dituzte, eta aztertzeko adimen artifizialaren hornitzaileari bidali behar zaizkio. Ezer igo aurretik, kendu analisirako behar ez diren izenak eta datu identifikagarriak. Proiektu anonimizatu batekin emaitza berbera da.

• Kontua eta erakundearen profila, kontua irekita dagoen bitartean. Baja ematean ezabatu egiten dira, eta haiekin batera saioak, dokumentuak eta kontutik zintzilik zegoen guztia.
• Saioak, beren IP helbidearekin eta nabigatzailearekin, gehienez hogeita hamar egunez. Lehenago ezabatzen dira saioa ixtean edo pasahitza aldatzean, horrek guztiak ixten baititu.
• Helbide elektronikoa egiaztatzeko eta pasahitza berrezartzeko estekak berez iraungitzen dira, eta erabili bezain laster erabilitzat markatzen dira.
• Fakturak eta kontabilitate-idazpenak, sei urtez azken idazpenetik, Merkataritza Kodeak eskatzen duen bezala, eta lau urtez zerga-ondorioetarako. Epe hori ezin da laburtu, nahiz eta kontuari baja eman.
• Erakunde baten barruan nork zer egiten duen erregistroa —nork igo zuen dokumentu bat, nork pasatu zuen diru-laguntza bat bidalitakora, nork itxi zuen zeregin bat—, erakundea existitzen den bitartean. Pertsonaren izena bertan geratzen da gero taldea uzten badu ere: horri esker jakin dezake erakundeak nork ukitu zituen bere espedienteak, eta hori ezabatzeak bere historiala zentzugabe utziko luke. Osorik joaten da erakundeari baja ematean.
• Testu hauen onarpen-data, kontua existitzen den bitartean eta hura egiaztatzeko beharrezkoa izan daitekeen denboran.
• Buletinera harpidetzen denaren helbide elektronikoa, baja eman arte. Baja ematean data markatzen da, errenkada ezabatu beharrean, prestatuta dagoen bidalketa bat hala ere irits ez dakion; helbide elektronikoa erabat ezabatzen da hala eskatuz gero.
• Adimen artifizialaren hornitzaileari aztertzeko bidaltzen zaizkion fitxategiak, gehienez laurogeita hamar egunez haren sistemetan; ondoren, berez iraungitzen dira.

Ez dira saltzen, ezta inori lagatzen ere. Zerbitzuak funtziona dezan behar diren hornitzaileek soilik tratatzen dituzte, gure kontura, eta bakoitzak behar duen zatia baino ez du ikusten:

• Resend (Resend, Inc., Estatu Batuak): zerbitzuaren mezu elektronikoak bidaltzen ditu. Hartzailearen izena eta helbide elektronikoa ikusten ditu, eta mezuak dioena.
• Stripe (Stripe Payments Europe, Ltd., Irlanda, eta Stripe, Inc., Estatu Batuak): planak kobratzen ditu. Ordainketa-datuak bere inprimakian zuzenean jasotzen ditu eta fakturen historikoa gordetzen du.
• Anthropic (Anthropic Ireland, Limited, Irlanda, datuak Estatu Batuetan tratatzen dituena Anthropic PBCrekin): deialdien oinarri arautzaileak irakurtzen dituen, egokitasuna kalkulatzen duen, laguntzailean erantzuten duen eta zirriborroak prestatzen laguntzen duen adimen artifizialeko eredua jartzen du. Erakundearen profila eta aztertzeko bidaltzen zaizkion dokumentuak jasotzen ditu.
• Moyas Development: plataforma garatzen, mantentzen eta ostatatzen du. Mantentze-lanetarako sarbide teknikoa du zerbitzarietara eta datu-basera, eta horretarako soilik erabil dezake.
• OVHcloud (OVH Groupe SAS, Frantzia): zerbitzariak eta fitxategien biltegia ostatatzen ditu, hor baitaude datu-basea eta igotzen diren dokumentuak.

Horietako bakoitzarekin tratamenduaren eragiletza-kontratu bat dago, DBEOren 28. artikuluak eskatzen duen bezala. Resend, Stripe, Anthropic eta OVHcloud enpresekin, haien zerbitzu-baldintzen parte den eta kontratatzean onartzen den datu-tratamenduko akordioa da. Moyas Development-ekin, alderdien artean sinatutako kontratu bat. [PENDIENTE: Moyas Development-ekin eragiletza-kontratua sinatzea]

Horrez gain, datuak administrazioei eta epaitegiei jakinarazten zaizkie lege batek hala aginduta. Ez dago beste hartzailerik.

Datu-basea eta fitxategiak OVHcloud-en zerbitzarietan geratzen dira, Europar Batasunean. Hiru hornitzailek tratatzen dituzte datuak Estatu Batuetan, eta bidalketa bakoitza honela babesten da:

• Stripe, Inc. eta Resend, Inc. EB-AEBetako Datuen Pribatutasun Esparruari atxikita daude, eta Europako Batzordeak egokitzat jo zuen esparru hori 2023ko uztailaren 10ean. Haien tratamendu-akordioek, gainera, Batzordearen kontratu-klausula tipoak jasotzen dituzte.
• Anthropic bere Irlandako filialarekin kontratatzen da, eta filial horrek Estatu Batuetako Anthropic PBCri bidaltzen diona Europako Batzordearen kontratu-klausula tipoetan oinarritzen da (DBEOren 46. art.), haren tratamendu-akordioan jasota daudenak.

Adimen artifizialaren hornitzaileak ez ditu bere ereduak entrenatzen programazio-interfazetik bidaltzen zaionarekin. Zuen proiektuak eta zuen memoriak ez dira eredu baten barruan amaitzen, ezta hura hobetzeko erabiltzen ere.

Paneleko laguntzailea adimen artifiziala da, ez pertsona bat, eta idazten duenak akatsak izan ditzake. Egokitasun-analisiak eta oinarrien irakurketak ere berak sortzen ditu. Idazketa-enkarguetako memoriak, aldiz, pertsonek prestatzen eta berrikusten dituzte, eta adimen artifiziala tresna gisa erabil dezakete.

Aztertzeko igotzen zaizkion fitxategiak berez iraungitzen dira, gehienez laurogeita hamar egunera. Testu gisa bidaltzen dena —erakundearen profila, proiektuaren deskribapena— eskaeran bertan prozesatzen da, eta ez da han modu iraunkorrean gordetzen.

Ez dago analitikarik ez jarraipen-tresnarik. Ez Google Analytics, ez antzeko tresnarik, ez sare sozialetako pixelik, ez bero-maparik. Inork ez du zuen nabigazioa jasotzen. Horregatik ez dago onartu beharreko cookie-kartelik ere: erabiltzen direnak webguneak funtziona dezan erabat beharrezkoak direnak dira, eta horiek baimenetik salbuetsita daude, LSSI-CE legearen 22.2 artikuluaren arabera.

Lau hauek dira, eta ez besterik:

• «gs_session»: saioa irekita mantentzen du. Hogeita hamar egunez irauten du eta nabigatzaileak ezin du irakurri. Datu-basean haren aztarna baino ez da gordetzen, ez haren balioa.
• «gs_auth»: «1» balioa du eta saio bat dagoela besterik ez du esaten, goiburuak "Nire kontua" erakuts dezan zerbitzaria kontsultatu beharrik gabe. Ez du inon sartzeko balio. Aurrekoak adina irauten du.
• «gs_locale»: webgunea zer hizkuntzatan nahiago den gogoratzen du. Urtebete irauten du.
• «sidebar_state»: panelaren alboko barra tolestuta dagoen gogoratzen du. Astebete irauten du.

Ordainketa-pantailetan Stripeko inprimakia kargatzen da, eta hark bere cookieak jartzen ditu iruzurra saihesteko. Han bakarrik agertzen dira, eta haiek gabe ezin da kobratu.

Tipografiak gure zerbitzaritik bertatik zerbitzatzen dira; beraz, webgunea irekitzeak ez dakar inolako konexiorik Googlerekin.

Nabigatzaileak, gainera, gauza batzuk gordetzen ditu bere biltegiratze lokalean; horiek ez dira gailutik ateratzen, ezta gure zerbitzarietara iristen ere: idazten ari denaren zirriborroak, fitxa ixten bada ez galtzeko, eta ikuspegi-hobespenak. Nabigatzailetik webgunearen datuak ezabatzean desagertzen dira.

Pasahitzetatik ez da pasahitza gordetzen: horretarako pentsatutako funtzio batekin kalkulatutako laburpen bat gordetzen da, atzera-bueltarik ez duena. Guk geuk ere ezin ditugu irakurri. Saio-lekukoaz haren aztarna baino ez da gordetzen; beraz, datu-basearen kopia bat eramango lukeenak ezin izango luke inoren nortasuna hartu. Trafiko guztia zifratuta doa. Dokumentu pribatuak ez dira helbide publiko baten bidez eskuragarri: iraungitzen diren esteka sinatuen bidez zerbitzatzen dira.

Inoiz arriskua ekar dezakeen segurtasun-urraketarik gertatuko balitz, Datuak Babesteko Espainiako Agentziari jakinaraziko zaio hirurogeita hamabi orduko epean eta, arriskua handia denean, kaltetutako pertsonei ere bai. Segurtasun-akats baten berri emateko: hola@ganasubvenciones.com.

DBEO erregelamenduak eskubide hauek aitortzen ditu datu pertsonalen gainean, eta doakoa da haiek baliatzea:

• Sarbidea: zer datu dauden jakitea eta kopia bat lortzea.
• Zuzenketa: gaizki edo osatu gabe dagoena zuzentzea. Ia dena paneletik zuzendu daiteke, inori idatzi beharrik gabe.
• Ezabaketa: ezaba daitezela eskatzea. Ezabatu egiten dira, legezko betebeharrez gorde behar dena izan ezik, fakturak esaterako.
• Mugaketa: erabiltzeari uztea eskatzea, haiei buruzko eztabaida bat ebazten den bitartean.
• Aurka egitea: interes legitimoan oinarritzen diren tratamenduen aurka egitea.
• Eramangarritasuna: datuak beste leku batean ireki daitekeen formatu batean eramatea.
• Baimena edonoiz kentzea, eta horrek ez dio eragingo kendu aurretik egindakoari.

Helbide honetara idatziz baliatzen dira, zer eskubide baliatu nahi den adieraziz: hola@ganasubvenciones.com. Hilabeteko epean erantzuten da; gaia korapilatsua bada, epe hori beste bi hilabetez luza daiteke, aldez aurretik abisatuta. Nortasun-agiri baten kopia eska daiteke, baina soilik nork idazten duen zalantza arrazoizkorik badago.

Erantzunak ez badu asetzen, edo ez bada iristen, Datuak Babesteko Espainiako Agentziaren aurrean erreklama daiteke (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es); hori da kontrol-agintaritza. Ez da beharrezkoa lehenago guri idatzi izana, nahiz eta normalean azkarragoa izan.

Zerbitzua erakundeentzat eta haietan lan egiten edo laguntzen duten pertsonentzat pentsatuta dago. Ez zaie hamalau urtetik beherakoei zuzentzen, ezta haien datuak jakinaren gainean biltzen ere. Halako kontu bat sortu dela jakinez gero, ezabatu egiten da.

Politika hau eguneratu egiten da zerbitzua aldatzen denean, hornitzaile bat aldatzen denean edo araudia aldatzen denean. Goiburuko datak esaten du noiz berrikusi zen azken aldiz. Aldaketak zerbait garrantzitsuari eragiten badio —helburu berri bat, hornitzaile berri bat— posta elektronikoz abisatzen da indarrean sartu aurretik.