Política de privacidad

1. Introducción

1.1. La presente Política de Privacidad (la «Política») describe cómo Golova Europe SL («Golova», «nosotros») recoge, utiliza, comunica y protege los datos personales en relación con el sitio web puntavia.com y con Puntavia, el servicio en la nube que mide el tiempo efectivo de trabajo en los ordenadores de una empresa (conjuntamente, el «Servicio»).

1.2. La Política se publica en cumplimiento del Reglamento (UE) 2016/679 (el «RGPD») y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (la «LOPDGDD»), aplicables a Golova como sociedad establecida en España.

1.3. En el Servicio concurren dos papeles distintos, y de ellos depende quién responde de los datos y a quién debe dirigirse cada persona:

Golova Europe SL es RESPONSABLE del tratamiento respecto de los visitantes de puntavia.com y de las personas que registran una cuenta: el titular de la cuenta de la empresa cliente, los administradores y los usuarios con permiso de solo lectura.
Golova Europe SL es únicamente ENCARGADO del tratamiento respecto de los empleados cuyo tiempo de trabajo se mide. En ese caso el responsable es la propia empresa cliente, que decide qué se mide y cuánto tiempo se conserva; Golova actúa siguiendo sus instrucciones documentadas en el Acuerdo de Tratamiento de Datos disponible en https://puntavia.com/dpa.

1.4. Identificación del responsable del tratamiento:

Razón social: Golova Europe SL
CIF: B70717004
Domicilio social: Calle l'Hospital 95, Planta 1, Puerta 2, 08001 Barcelona, España
Correo electrónico: privacy@puntavia.com
Teléfono: +34 672 390 777
Autoridad de control: Agencia Española de Protección de Datos (AEPD), www.aepd.es

1.5. Golova no ha designado un Delegado de Protección de Datos, dado que no concurren los supuestos que lo exigen conforme al artículo 37 del RGPD. Todas las cuestiones de protección de datos se atienden en privacy@puntavia.com.

1.6. Esta Política no se aplica a los sitios web ni a los servicios operados por terceros, aunque sean accesibles mediante enlaces desde el Servicio.

2. Definiciones

2.1. A los efectos de la presente Política:

Datos personales: toda información sobre una persona física identificada o identificable (artículo 4.1 del RGPD).
Tratamiento: toda operación realizada sobre datos personales (recogida, registro, conservación, consulta, utilización, comunicación, supresión, etc.).
Interesado: la persona física a la que se refieren los datos personales.
Responsable del tratamiento: la entidad que determina los fines y los medios del tratamiento.
Encargado del tratamiento: la entidad que trata datos personales por cuenta del responsable y siguiendo sus instrucciones.
Cliente: la empresa u organización que contrata el Servicio y registra una cuenta en Puntavia.
Empleado: la persona física cuyo tiempo de trabajo se mide con el Servicio por decisión de su empleador, es decir, del Cliente.
Agente: el programa que el Cliente instala en los ordenadores de trabajo y que registra los intervalos de actividad descritos en la sección 3.
Panel: la interfaz web de Puntavia en la que el Cliente consulta las horas, los informes y la configuración de su empresa.
Servicio: el sitio web puntavia.com, el Panel y el Agente, considerados conjuntamente.

3. Categorías de interesados y datos personales

3.1. Tratamos datos personales de las siguientes categorías de interesados:

Visitantes del sitio web puntavia.com (Golova es responsable).
Personas registradas en una cuenta: el titular, los administradores y los usuarios de solo lectura (Golova es responsable).
Empleados de una empresa cliente cuyo tiempo de trabajo se mide con el Servicio: aquí la empresa cliente es la responsable y Golova solo es encargado, según se detalla en la sección 12.

3.2. Datos de cuenta que tratamos como responsable:

Datos de identificación y contacto: nombre y dirección de correo electrónico.
Datos de acceso: contraseña, almacenada únicamente como hash, e idioma de la interfaz elegido.
Datos de la organización: nombre de la empresa y papel de la persona dentro de la cuenta (titular, administrador o solo lectura).
Registro de inicios de sesión: fecha y hora, dirección IP y agente de usuario del navegador.
Datos de facturación: son tratados por Stripe como proveedor de pagos; Golova no almacena los datos de la tarjeta.

3.3. Datos que el Servicio trata por cuenta de la empresa cliente, recogidos por el Agente en cada intervalo de medición:

El nombre de la aplicación activa.
El título de la ventana activa.
Si hubo pulsaciones de teclado o movimiento del ratón durante el intervalo, registrado como un sí o un no, sin guardar qué se pulsó.
La zona horaria y la hora local del ordenador.
El nombre del ordenador y la persona a la que está asignado.

3.4. Las capturas de pantalla están desactivadas por defecto y solo se toman si la empresa cliente las activa. Existe además un modo en el que la captura se lee en el propio ordenador del empleado y únicamente se envía el texto extraído: la imagen se elimina inmediatamente y no llega a nuestros servidores.

3.5. El Servicio mantiene una lista de palabras bloqueadas. Si una de ellas aparece en el nombre de la aplicación o en el título de la ventana, el título se sustituye por «[oculto]» y no se toma ninguna captura de pantalla. La banca personal y los gestores de contraseñas figuran en esa lista desde el primer día.

3.6. El Servicio no trata en ningún caso los siguientes datos, ni siquiera cuando el Cliente activa todas las funciones disponibles:

Pulsaciones de teclas (el Servicio no registra qué se escribe).
Contenido de mensajes o documentos.
Datos de ubicación.
Cámara.
Micrófono.
Archivos personales del ordenador.

4. Finalidades y bases jurídicas del tratamiento

4.1. Tratamos datos personales únicamente para las finalidades indicadas en esta sección y sobre la base de una o varias de las bases jurídicas del artículo 6.1 del RGPD.

4.2. Ejecución del contrato (artículo 6.1.b del RGPD). Creación y gestión de su cuenta, prestación del acceso al Panel, funcionamiento del Agente, cálculo de las horas, soporte técnico y comunicaciones relacionadas con el Servicio.

4.3. Interés legítimo (artículo 6.1.f del RGPD). Seguridad del Servicio, prevención del fraude y del abuso, y mantenimiento del Servicio en funcionamiento, incluidos el registro de inicios de sesión y el diagnóstico de errores. Puede oponerse a este tratamiento en cualquier momento conforme a la sección 9.

4.4. Obligación legal (artículo 6.1.c del RGPD). Emisión y conservación de facturas y cumplimiento de las obligaciones contables y fiscales españolas.

4.5. Datos de los empleados. La base jurídica del tratamiento de los datos medidos por el Agente la determina la empresa cliente como responsable, y habitualmente es su propia obligación legal de llevar un registro diario de la jornada de trabajo, junto con su interés legítimo en organizar y verificar el trabajo. Corresponde a la empresa cliente informar a sus empleados y asegurarse de que esa base jurídica es válida; Golova no la elige ni la sustituye.

4.6. Resumen de finalidades:

Cuenta y autenticación: base jurídica, ejecución del contrato; datos, identificación, acceso y organización; conservación, mientras exista la cuenta.
Medición del tiempo de trabajo e informes: base jurídica, la determinada por la empresa cliente; datos, los de la sección 3.3; conservación, la fijada por la empresa cliente dentro de los plazos de la sección 8.
Seguridad y registros de acceso: base jurídica, interés legítimo; datos, dirección IP, agente de usuario y fecha del inicio de sesión.
Pagos y facturación: base jurídica, ejecución del contrato y obligación legal; datos, de facturación; conservación, seis años.

5. Cómo recopilamos los datos personales

5.1. Directamente de usted, cuando registra una cuenta, configura su empresa, nos escribe o realiza un pago.

5.2. Automáticamente, mediante el Agente instalado por la empresa cliente en sus ordenadores de trabajo, que recoge los datos enumerados en la sección 3.3, y mediante los registros del servidor, que anotan los inicios de sesión con la dirección IP y el agente de usuario.

5.3. De terceros, en un único supuesto: de Stripe recibimos el resultado de una transacción y los datos necesarios para emitir la factura.

6. Destinatarios de los datos y encargados del tratamiento

6.1. No vendemos, alquilamos ni intercambiamos datos personales, y no los cedemos con fines publicitarios en ningún caso.

6.2. Recurrimos a los siguientes encargados del tratamiento, vinculados por contratos conformes con el artículo 28 del RGPD:

Anthropic PBC (Estados Unidos): análisis por inteligencia artificial de los nombres de aplicaciones, los títulos de ventana y, si la empresa cliente las ha activado, las capturas de pantalla. Los datos de los clientes no se utilizan para entrenar modelos.
Hetzner Online GmbH (Alemania, con centro de datos en Finlandia, UE): alojamiento del Servicio.
Stripe Payments Europe, Limited (Irlanda): tramitación de pagos y emisión de facturas.
Resend: envío de correo electrónico, con región de envío en la UE sobre Amazon SES.

6.3. Ningún otro tercero recibe los datos tratados en el Servicio.

6.4. Respecto de los datos de los empleados, estos proveedores son subencargados: Golova los contrata en su condición de encargado de la empresa cliente y en los términos del Acuerdo de Tratamiento de Datos publicado en https://puntavia.com/dpa.

7. Transferencias internacionales

7.1. El alojamiento, las bases de datos, las copias de seguridad y el envío de correo del Servicio permanecen dentro de la Unión Europea.

7.2. La única transferencia de datos personales fuera del Espacio Económico Europeo es la realizada a Anthropic PBC, en Estados Unidos, para el análisis por inteligencia artificial descrito en la sección 6.

7.3. Esa transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea y en las medidas complementarias previstas en el anexo de tratamiento de datos de Anthropic.

7.4. Puede solicitar información sobre las garantías aplicadas a esta transferencia escribiendo a privacy@puntavia.com.

8. Plazos de conservación

8.1. Cada empresa cliente tiene su propio archivo de base de datos, separado del de las demás, y los plazos siguientes se aplican dentro de ese archivo.

8.2. Plazos aplicables:

Capturas de pantalla: se eliminan a los 60 días.
Registros de actividad y de intervalos medidos: se eliminan al cabo de un año, salvo que la empresa cliente fije otro plazo en la configuración de su cuenta.
Eliminación de una empresa desde el Panel: se borra la carpeta completa de esa empresa, con su base de datos y sus archivos; no se marca como eliminada ni se conserva de forma oculta.
Datos de cuenta: se conservan mientras exista la cuenta y se eliminan cuando esta desaparece.
Facturas y registros contables: se conservan durante el plazo exigido por la normativa fiscal española, seis años.

8.3. La empresa cliente puede acortar los plazos de la sección 8.2 relativos a los datos de sus empleados y puede eliminar antes cualquier registro desde su Panel.

9. Sus derechos como interesado

9.1. Conforme a los artículos 15 a 22 del RGPD, usted tiene derecho a:

Acceso: saber si tratamos sus datos y obtener una copia.
Rectificación: corregir datos inexactos o incompletos.
Supresión: solicitar la eliminación de sus datos.
Limitación del tratamiento.
Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
Oposición al tratamiento basado en nuestro interés legítimo.
Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de control de su residencia habitual.

9.2. Para ejercer cualquiera de estos derechos, escriba a privacy@puntavia.com indicando el derecho que desea ejercer y la información necesaria para identificarle. Si existe una duda razonable sobre su identidad, podremos pedirle datos adicionales.

9.3. Responderemos en el plazo de un mes desde la recepción de la solicitud.

9.4. Si usted es un empleado cuya jornada se mide con Puntavia, su empleador es el responsable del tratamiento: las solicitudes de acceso, de supresión o de explicación deben dirigirse a él. Si nos llega directamente una solicitud de este tipo, la remitiremos a la empresa cliente correspondiente sin dilación indebida y la asistiremos en su respuesta según el Acuerdo de Tratamiento de Datos.

10. Seguridad de los datos personales

10.1. Aplicamos medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD), en particular:

Una base de datos separada para cada empresa cliente, en su propio archivo.
Cifrado de las comunicaciones en tránsito entre el Agente, el navegador y el servidor.
Contraseñas almacenadas mediante PBKDF2, nunca en claro.
Acceso a los datos de una empresa reservado exclusivamente a sus propios miembros y limitado por el papel que cada uno tiene en la cuenta.
Copias de seguridad periódicas de los datos del Servicio.
Ejecución del servidor con un usuario sin privilegios y con el sistema de archivos en modo de solo lectura.

10.2. En caso de violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de las personas, lo notificaremos a la AEPD sin dilación indebida y, cuando sea posible, en un plazo de 72 horas, e informaremos a los afectados cuando el riesgo sea alto (artículos 33 y 34 del RGPD).

11. Decisiones automatizadas y funciones de inteligencia artificial

11.1. El Servicio utiliza inteligencia artificial para redactar un resumen legible de la actividad registrada a partir de los nombres de aplicaciones, los títulos de ventana y, si la empresa cliente las ha activado, las capturas de pantalla.

11.2. Las horas no las decide la inteligencia artificial: las calcula el servidor a partir de los intervalos medidos, y el resultado está siempre a la vista en el Panel y puede exportarse.

11.3. No adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a los interesados en el sentido del artículo 22 del RGPD. Cualquier consecuencia laboral derivada de los datos es una decisión de la empresa cliente, adoptada por personas.

11.4. Los datos de los clientes no se utilizan para entrenar modelos de inteligencia artificial.

12. Tratamiento de datos de empleados por cuenta de los Clientes

12.1. Cuando una empresa cliente instala el Agente y mide el tiempo de trabajo de sus empleados, esa empresa es el responsable del tratamiento en el sentido del artículo 4.7 del RGPD y Golova actúa exclusivamente como encargado, siguiendo sus instrucciones documentadas.

12.2. Las condiciones de este tratamiento se rigen por el Acuerdo de Tratamiento de Datos que forma parte del contrato del Cliente y está disponible en https://puntavia.com/dpa.

12.3. La empresa cliente decide, dentro de las posibilidades del Servicio, si se activan las capturas de pantalla, si se usa el modo en el que solo se envía el texto extraído, qué palabras se añaden a la lista de bloqueo, durante cuánto tiempo se conservan los registros y quién de su organización puede consultarlos.

12.4. El empleado que desee acceder a sus datos, solicitar su supresión o pedir una explicación debe dirigirse a su propio empleador. Si recibimos directamente una solicitud de este tipo, la remitimos a la empresa cliente sin dilación indebida.

12.5. Corresponde a la empresa cliente informar a sus empleados de que se mide su tiempo de trabajo, de qué datos se recogen y de la base jurídica en la que se apoya, antes de comenzar la medición.

13. Privacidad de los menores

13.1. El Servicio está destinado al uso profesional y no va dirigido a personas menores de 16 años. No tratamos conscientemente sus datos personales.

13.2. Si tiene conocimiento de que un menor nos ha facilitado datos personales, escríbanos a privacy@puntavia.com y los eliminaremos.

14. Actualizaciones de esta Política

14.1. Podemos actualizar esta Política para reflejar cambios en el Servicio, en los proveedores utilizados o en los requisitos legales aplicables.

14.2. Cuando el cambio sea sustancial (por ejemplo, si afecta a las categorías de datos tratados, a las finalidades, a las bases jurídicas, a los encargados, a los plazos de conservación o a las transferencias internacionales), lo notificaremos a los Clientes registrados por correo electrónico o mediante un aviso visible en el Panel antes de que surta efecto.

14.3. Los cambios menores, como aclaraciones o correcciones de redacción, surten efecto con su publicación. La versión vigente lleva siempre la fecha de la última actualización y está disponible en puntavia.com.

15. Disposiciones finales

15.1. Esta Política se publica en español e inglés. En caso de discrepancia entre ambas versiones prevalecerá la española, salvo que el Cliente haya celebrado el contrato en inglés, en cuyo caso prevalecerá la versión inglesa.

15.2. Si alguna disposición de esta Política resultara inválida o inaplicable, las demás seguirán surtiendo plenos efectos.

15.3. Las consultas, solicitudes y reclamaciones relativas a esta Política pueden dirigirse a privacy@puntavia.com o a Golova Europe SL, Calle l'Hospital 95, Planta 1, Puerta 2, 08001 Barcelona, España.