1. Responsable del tratamiento
taskavi actúa como responsable del tratamiento para los datos de los usuarios que se registran en la plataforma. Para los datos que los clientes de cada gestoría introducen en la plataforma (datos de sus propios clientes y expedientes), taskavi actúa como encargado del tratamiento y la gestoría como responsable, conforme al Acuerdo de Encargo de Tratamiento incluido en los Términos del servicio.
2. Qué datos tratamos
2.1 Datos de cuenta y registro
- Nombre y apellidos del administrador o usuario dado de alta.
- Dirección de correo electrónico profesional.
- Nombre de la organización (gestoría / asesoría).
- Contraseña (almacenada con hash bcrypt; nunca en texto plano).
- Rol asignado dentro de la plataforma.
2.2 Datos de uso de la plataforma
- Expedientes, tareas y plazos creados por los usuarios.
- Documentos y archivos subidos al sistema.
- Comentarios y anotaciones en tareas.
- Historial de cambios de estado (auditoría inmutable).
- Configuración de notificaciones y preferencias.
2.3 Datos técnicos y de acceso
- Dirección IP y datos de geolocalización aproximada.
- Tipo de navegador, sistema operativo y dispositivo.
- Fecha, hora y duración de las sesiones.
- Páginas visitadas y acciones realizadas dentro de la aplicación.
- Tokens JWT de sesión (sin almacenamiento de contraseña en servidor).
2.4 Claves de API de inteligencia artificial (BYOK)
Si configuras tu propia clave de proveedor de IA (OpenAI, Anthropic, Google, Azure…), dicha clave se almacena cifrada con AES-256 asociada a tu organización y nunca se comparte con otros tenants ni con el personal de taskavi salvo requerimiento legal.
2.5 Lista de espera (waitlist)
- Nombre (opcional) y dirección de correo electrónico para el acceso anticipado.
3. Finalidades y base jurídica
| Finalidad | Datos | Base jurídica (RGPD) |
|---|---|---|
| Prestación del servicio SaaS contratado | Cuenta, uso, BYOK keys | Art. 6.1.b — ejecución del contrato |
| Gestión de facturación y pagos | Cuenta, datos fiscales | Art. 6.1.b — ejecución del contrato |
| Seguridad, auditoría y prevención de fraude | Técnicos, logs de acceso | Art. 6.1.f — interés legítimo |
| Comunicaciones sobre el servicio (avisos, incidencias) | Correo electrónico | Art. 6.1.b — ejecución del contrato |
| Mejora del producto y análisis de uso agregado | Datos de uso anonimizados | Art. 6.1.f — interés legítimo |
| Envío de comunicaciones comerciales (novedades) | Correo electrónico | Art. 6.1.a — consentimiento |
| Gestión de la lista de espera | Nombre, email | Art. 6.1.a — consentimiento |
| Cumplimiento de obligaciones legales | Los necesarios en cada caso | Art. 6.1.c — obligación legal |
4. Destinatarios y transferencias
Los datos personales no se ceden a terceros salvo en los siguientes casos:
- Proveedores de servicios tecnológicos (encargados de tratamiento): infraestructura cloud en Google Cloud Platform (UE), proveedor de correo transaccional, sistema de copias de seguridad. Todos con DPA firmado.
- Administraciones públicas: cuando así lo exija la normativa aplicable (requerimiento judicial, AEAT, etc.).
- Proveedores de IA (opcionales): si el usuario configura una clave BYOK y utiliza las funciones de IA, la consulta se envía al proveedor de IA correspondiente exclusivamente con los datos necesarios para la respuesta. taskavi no controla la política de privacidad del proveedor de IA elegido por el usuario.
Transferencias internacionales
La infraestructura principal de taskavi está alojada en la región europe-west1 de Google Cloud Platform (Bélgica), dentro del Espacio Económico Europeo. En caso de utilizar proveedores de IA con servidores fuera del EEE, la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en el mecanismo de adecuación correspondiente.
5. Plazos de conservación
| Categoría | Plazo de conservación |
|---|---|
| Datos de cuenta activa | Durante la vigencia del contrato + 5 años (prescripción civil) |
| Datos de facturación | 10 años (obligación fiscal — Art. 30 C. Com.) |
| Logs de seguridad y auditoría | 2 años |
| Datos de lista de espera | 12 meses desde el alta o hasta solicitud de baja |
| Comunicaciones comerciales | Hasta revocación del consentimiento |
| Copias de seguridad cifradas | 30 días (rotación automática) |
Transcurridos los plazos indicados, los datos se eliminarán de forma segura o se anonimizarán irreversiblemente para fines estadísticos.
6. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos reconocidos por el RGPD y la LOPD-GDD, enviando un escrito a info@arteco-consulting.com junto con copia de tu DNI u otro documento identificativo:
| Derecho | En qué consiste |
|---|---|
| Acceso (Art. 15 RGPD) | Conocer qué datos tuyos tratamos y obtener una copia. |
| Rectificación (Art. 16 RGPD) | Corregir datos inexactos o incompletos. |
| Supresión (Art. 17 RGPD) | Solicitar el borrado de tus datos cuando ya no sean necesarios. |
| Limitación (Art. 18 RGPD) | Pedir que suspendamos el tratamiento en ciertos supuestos. |
| Portabilidad (Art. 20 RGPD) | Recibir tus datos en formato estructurado y legible por máquina. |
| Oposición (Art. 21 RGPD) | Oponerte al tratamiento basado en interés legítimo. |
| Retirada del consentimiento | Retirar en cualquier momento el consentimiento dado, sin que ello afecte a la licitud del tratamiento previo. |
Tienes también derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es, especialmente si consideras que el tratamiento no es conforme al RGPD.
Atenderemos tu solicitud en un plazo máximo de un mes desde su recepción, prorrogable dos meses más cuando la complejidad o el número de solicitudes lo requieran, notificándote dicha prórroga en el primer mes.
7. Medidas de seguridad
Aplicamos medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde al riesgo, incluyendo:
- Cifrado en tránsito mediante TLS 1.2/1.3.
- Cifrado en reposo de datos sensibles (claves API, contraseñas).
- Autenticación basada en JWT RS256 con rotación de tokens.
- Aislamiento total de datos por tenant en base de datos PostgreSQL.
- Acceso por roles con principio de mínimo privilegio.
- Auditoría inmutable de cambios de estado.
- Copias de seguridad cifradas con rotación de 30 días.
- Control de acceso a la infraestructura restringido al equipo técnico.
8. Menores de edad
taskavi es un servicio dirigido exclusivamente a profesionales (gestorías, asesorías y corredurías). No recopilamos conscientemente datos de menores de 14 años. Si detectamos que hemos recopilado datos de un menor, procederemos a su eliminación inmediata.
9. Cambios en esta política
Nos reservamos el derecho de actualizar esta Política de Privacidad para adaptarla a novedades legislativas o cambios en el servicio. Te notificaremos los cambios materiales por correo electrónico o mediante un aviso destacado en la plataforma con al menos 15 días de antelación. La versión vigente siempre estará disponible en esta página.
10. Contacto
Para cualquier consulta sobre esta Política de Privacidad o sobre el tratamiento de tus datos:
- Email: info@arteco-consulting.com
- Dirección postal: Calle Tord 1, 07141 Marratxí, Illes Balears, España