1. Responsable del tratamiento
taskavi actúa como responsable del tratamiento para los datos de los usuarios que se registran en la plataforma. Para los datos que los clientes de cada gestoría introducen en la plataforma (datos de sus propios clientes y expedientes), taskavi actúa como encargado del tratamiento y la gestoría como responsable, conforme al Acuerdo de Encargo de Tratamiento incluido en los Términos del servicio.
2. Qué datos tratamos
2.1 Datos de cuenta y registro
- Nombre y apellidos del administrador o usuario dado de alta.
- Dirección de correo electrónico profesional.
- Nombre de la organización (gestoría / asesoría).
- Contraseña (almacenada con hash bcrypt; nunca en texto plano).
- Rol asignado dentro de la plataforma.
2.2 Datos de uso de la plataforma
- Expedientes, tareas y plazos creados por los usuarios.
- Documentos y archivos subidos al sistema.
- Comentarios y anotaciones en tareas.
- Historial de cambios de estado (auditoría inmutable).
- Configuración de notificaciones y preferencias.
2.3 Datos técnicos y de acceso
- Dirección IP y datos de geolocalización aproximada.
- Tipo de navegador, sistema operativo y dispositivo.
- Fecha, hora y duración de las sesiones.
- Páginas visitadas y acciones realizadas dentro de la aplicación.
- Tokens JWT de sesión (sin almacenamiento de contraseña en servidor).
2.4 Claves de API de inteligencia artificial (BYOK)
Si configuras tu propia clave de proveedor de IA (OpenAI, Anthropic, Google, Azure…), dicha clave se almacena cifrada con AES-256 asociada a tu organización y nunca se comparte con otros tenants ni con el personal de taskavi salvo requerimiento legal.
Qué se envía con esa clave. Para que la documentación sea buscable por significado, taskavi divide el texto de cada documento en fragmentos y los transmite al proveedor de embeddings que configures. Esto ocurre en cada documento que entra y forma parte del servicio, con independencia de las funciones opcionales descritas más abajo. Si no configuras clave de embeddings, esa transmisión no se produce y la documentación se conserva igual, sin búsqueda por significado.
2.5 Lista de espera (waitlist)
- Nombre (opcional) y dirección de correo electrónico para el acceso anticipado.
3. Finalidades y base jurídica
| Finalidad | Datos | Base jurídica (RGPD) |
|---|---|---|
| Prestación del servicio SaaS contratado | Cuenta, uso, BYOK keys | Art. 6.1.b — ejecución del contrato |
| Indexación semántica de la documentación para búsqueda y asistente | Fragmentos del texto de los documentos | Art. 6.1.b — ejecución del contrato (por cuenta de la gestoría) |
| Gestión de facturación y pagos | Cuenta, datos fiscales | Art. 6.1.b — ejecución del contrato |
| Seguridad, auditoría y prevención de fraude | Técnicos, logs de acceso | Art. 6.1.f — interés legítimo |
| Comunicaciones sobre el servicio (avisos, incidencias) | Correo electrónico | Art. 6.1.b — ejecución del contrato |
| Mejora del producto y análisis de uso agregado | Datos de uso anonimizados | Art. 6.1.f — interés legítimo |
| Envío de comunicaciones comerciales (novedades) | Correo electrónico | Art. 6.1.a — consentimiento |
| Gestión de la lista de espera | Nombre, email | Art. 6.1.a — consentimiento |
| Cumplimiento de obligaciones legales | Los necesarios en cada caso | Art. 6.1.c — obligación legal |
4. Destinatarios y transferencias
Los datos personales no se ceden a terceros salvo en los siguientes casos:
- Proveedores de servicios tecnológicos (encargados de tratamiento): infraestructura y almacenamiento en Google Cloud Platform, región europe-west1 (Bélgica), y envío de correo transaccional a través de Twilio SendGrid. Las copias de seguridad se alojan igualmente en la Unión Europea.
- Administraciones públicas: cuando así lo exija la normativa aplicable (requerimiento judicial, AEAT, etc.).
- Proveedor de embeddings: el que configure cada gestoría con su propia clave. Recibe fragmentos del texto de los documentos en cada documento que entra, como parte de la indexación semántica descrita en el punto 2.4. No es una función opcional.
- Proveedor de IA para funciones opcionales: la clasificación asistida de documentos y el asistente de consulta, que cada gestoría activa o mantiene apagados. Cuando se usan, se transmite al proveedor elegido el fragmento de texto necesario. La gestoría elige el proveedor y contrata con él directamente; taskavi no controla su política de privacidad.
Transferencias internacionales
La infraestructura de taskavi, incluidos los documentos, la base de datos y las copias de seguridad, está alojada en la región europe-west1 de Google Cloud Platform (Bélgica), dentro del Espacio Económico Europeo.
Las transferencias a Estados Unidos derivadas del correo transaccional se amparan prioritariamente en la Decisión de Adecuación del EU-U.S. Data Privacy Framework, en la que figuran certificadas tanto Google LLC como Twilio Inc.; las Cláusulas Contractuales Tipo operan como mecanismo subsidiario.
Cuando la gestoría configure proveedores de IA o de embeddings con servidores fuera del Espacio Económico Europeo, corresponde a ella garantizar la licitud de esa transferencia, ya que es quien elige y contrata al proveedor.
5. Plazos de conservación
| Categoría | Plazo de conservación |
|---|---|
| Datos de cuenta activa | Durante la vigencia del contrato + 5 años (prescripción civil) |
| Datos de facturación | 10 años (obligación fiscal — Art. 30 C. Com.) |
| Logs de seguridad y auditoría | 2 años |
| Datos de lista de espera | 12 meses desde el alta o hasta solicitud de baja |
| Comunicaciones comerciales | Hasta revocación del consentimiento |
| Copias de seguridad cifradas | 30 días (rotación automática) |
Transcurridos los plazos indicados, los datos se eliminarán de forma segura o se anonimizarán irreversiblemente para fines estadísticos.
6. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos reconocidos por el RGPD y la LOPD-GDD, enviando un escrito a info@arteco-consulting.com junto con copia de tu DNI u otro documento identificativo:
| Derecho | En qué consiste |
|---|---|
| Acceso (Art. 15 RGPD) | Conocer qué datos tuyos tratamos y obtener una copia. |
| Rectificación (Art. 16 RGPD) | Corregir datos inexactos o incompletos. |
| Supresión (Art. 17 RGPD) | Solicitar el borrado de tus datos cuando ya no sean necesarios. |
| Limitación (Art. 18 RGPD) | Pedir que suspendamos el tratamiento en ciertos supuestos. |
| Portabilidad (Art. 20 RGPD) | Recibir tus datos en formato estructurado y legible por máquina. |
| Oposición (Art. 21 RGPD) | Oponerte al tratamiento basado en interés legítimo. |
| Retirada del consentimiento | Retirar en cualquier momento el consentimiento dado, sin que ello afecte a la licitud del tratamiento previo. |
Tienes también derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es, especialmente si consideras que el tratamiento no es conforme al RGPD.
Atenderemos tu solicitud en un plazo máximo de un mes desde su recepción, prorrogable dos meses más cuando la complejidad o el número de solicitudes lo requieran, notificándote dicha prórroga en el primer mes.
7. Medidas de seguridad
Aplicamos medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde al riesgo, incluyendo:
- Cifrado en tránsito mediante TLS 1.2/1.3.
- Cifrado en reposo de datos sensibles (claves API, contraseñas).
- Autenticación basada en JWT RS256 con rotación de tokens.
- Aislamiento total de datos por tenant en base de datos PostgreSQL.
- Acceso por roles con principio de mínimo privilegio.
- Auditoría inmutable de cambios de estado.
- Copias de seguridad diarias de la base de datos y de los documentos, alojadas en la Unión Europea y conservadas 30 días.
- Recuperación comprobada restaurando una copia completa, y no solo verificando que la copia se realiza.
- Supervisión automática del servicio y de la ejecución de las copias, con alerta al equipo técnico si alguna falla.
- Control de acceso a la infraestructura restringido al equipo técnico.
8. Menores de edad
taskavi es un servicio dirigido exclusivamente a profesionales (gestorías, asesorías y corredurías). No recopilamos conscientemente datos de menores de 14 años. Si detectamos que hemos recopilado datos de un menor, procederemos a su eliminación inmediata.
9. Cambios en esta política
Nos reservamos el derecho de actualizar esta Política de Privacidad para adaptarla a novedades legislativas o cambios en el servicio. Te notificaremos los cambios materiales por correo electrónico o mediante un aviso destacado en la plataforma con al menos 30 días de antelación. La versión vigente siempre estará disponible en esta página.
10. Contacto
Para cualquier consulta sobre esta Política de Privacidad o sobre el tratamiento de tus datos:
- Email: info@arteco-consulting.com
- Dirección postal: Calle Tord 1, 07141 Marratxí, Illes Balears, España