1. Responsable del tratamiento
1.1. El responsable del tratamiento de sus datos personales es PromptEye Sp. z o.o., con domicilio social en Polonia («PromptEye», «nosotros», «nos»).
1.2. Si tiene preguntas relacionadas con la protección de datos personales, puede contactarnos en: office@prompteye.com.
1.3. En la fecha de elaboración de esta Política, no hemos designado un Delegado de Protección de Datos (DPD). En caso de que se designe uno, este documento se actualizará en consecuencia.
2. Qué datos tratamos
2.1. Datos de cuenta (Account Data)
- dirección de correo electrónico (habitualmente corporativo),
- contraseña (almacenada en forma de hash, no en texto plano),
- nombre y datos de la empresa,
- rol/tipo de usuario (p. ej., administrador, miembro del equipo),
- otros datos facilitados voluntariamente durante la configuración de la cuenta.
2.2. Datos técnicos (Technical Data)
- dirección IP,
- información sobre el navegador, el sistema operativo y el dispositivo,
- identificadores de sesión, tokens técnicos,
- registros del sistema (p. ej., hora de inicio de sesión, cambios de configuración, actividad en el panel).
2.3. Datos empresariales (Business Data)
- prompts y contenidos introducidos en el Servicio,
- nombres de marcas, productos y competidores,
- otros datos utilizados como entrada para análisis y generación de Informes.
El Servicio no está destinado, como norma general, al tratamiento de datos personales de terceros (p. ej., consumidores, pacientes o empleados de los clientes de nuestros Clientes), salvo que ello haya sido expresamente acordado y regulado en el Contrato y en el correspondiente Acuerdo de Tratamiento de Datos (ATD).
2.4. Datos de facturación y comunicación
- datos de facturación (nombre de la empresa, dirección, NIF/CIF),
- información de pago (facilitada habitualmente por el proveedor de servicios de pago — no almacenamos datos completos de tarjetas de pago),
- contenido de la correspondencia por correo electrónico, solicitudes de soporte y respuestas a encuestas.
3. Finalidades y bases jurídicas del tratamiento
3.1. Prestación del Servicio y gestión de la cuenta
Finalidad: creación y mantenimiento de la cuenta, prestación del servicio SaaS de PromptEye, generación de Informes, comunicación operativa (p. ej., notificaciones sobre cambios relevantes o cuestiones de seguridad).
Base jurídica: necesidad para la ejecución de un contrato (art. 6, apartado 1, letra b del RGPD) del que es parte la entidad representada por el Usuario.
3.2. Facturación y obligaciones legales
Finalidad: emisión de facturas, mantenimiento de registros contables, cumplimiento de obligaciones fiscales, conservación de documentación contable.
Base jurídica: obligación legal (art. 6, apartado 1, letra c del RGPD) derivada de la normativa fiscal y contable.
3.3. Seguridad y prevención del fraude
Finalidad: garantizar la seguridad de la Plataforma, detectar y prevenir abusos, supervisar accesos, actividades sospechosas e incidentes.
Base jurídica: interés legítimo de PromptEye (art. 6, apartado 1, letra f del RGPD) en garantizar la seguridad de sus sistemas y servicios.
3.4. Análisis y mejora del Servicio
Finalidad: análisis del uso de la Plataforma, mejora de la UX, desarrollo de funcionalidades, estadísticas de uso.
Base jurídica: interés legítimo (art. 6, apartado 1, letra f del RGPD) en el desarrollo y la mejora del Servicio. Para este fin, utilizamos principalmente datos agregados y anonimizados.
3.5. Marketing y comunicación empresarial
Finalidad: información sobre nuevas funciones, ofertas y eventos, envío de boletines, contacto comercial.
Base jurídica: art. 6, apartado 1, letra f del RGPD (interés legítimo en el marketing de nuestros propios servicios B2B), en combinación con la normativa nacional sobre el consentimiento para las comunicaciones electrónicas, o art. 6, apartado 1, letra a del RGPD (consentimiento), cuando lo exija la ley (p. ej., boletines, comunicaciones por correo electrónico a determinadas categorías de destinatarios).
Tiene derecho a oponerse en cualquier momento al tratamiento de sus datos con fines de marketing directo (véase el apartado 9).
4. IA, datos y proveedores externos
4.1. Los datos (incluidos los prompts) pueden transmitirse a proveedores externos de servicios de IA e infraestructura, en particular a proveedores de grandes modelos de lenguaje (LLM) y capas de agregación de respuestas, como OpenAI (modelos GPT), Perplexity, DeepSeek, proveedores de funciones de tipo AI Overview, así como proveedores de infraestructura en la nube y herramientas (p. ej., sistemas de alojamiento, bases de datos, comunicación y automatización de marketing). La lista de proveedores puede cambiar e incluye también otros proveedores de modelos de IA e infraestructura utilizados en el Servicio.
4.2. No vendemos datos ni utilizamos sus datos para entrenar modelos de IA más allá de lo necesario para la prestación del Servicio.
4.3. En algunos casos, estos proveedores pueden actuar como responsables independientes del tratamiento (p. ej., en el contexto de registros técnicos o supervisión de abusos por su parte). Le recomendamos que consulte sus políticas de privacidad.
5. Plazo de conservación de los datos
5.1. Conservamos los datos durante el tiempo estrictamente necesario para los fines para los que fueron recogidos, en particular:
- datos asociados a una cuenta activa – durante la vigencia del Contrato,
- tras la resolución del Contrato – con carácter general, 30 días (para permitir la exportación de datos y el cierre de la cuenta),
- datos en sistemas de copia de seguridad – hasta 60 días desde su eliminación de los sistemas de producción,
- registros técnicos – hasta 12 meses, salvo que un período más largo esté justificado por razones de seguridad o reclamaciones,
- datos de facturación (facturas, libros contables) – con carácter general, 5 años (de conformidad con la normativa fiscal y contable).
5.2. Una vez transcurridos los plazos de conservación aplicables, los datos se eliminan o anonimizan.
6. Destinatarios de los datos y transferencias fuera del EEE
6.1. Destinatarios de los datos
Podemos comunicar sus datos a las siguientes categorías de destinatarios:
- proveedores de alojamiento e infraestructura en la nube (p. ej., AWS y otros proveedores de nube),
- proveedores de servicios de IA, incluidos proveedores de LLM y capas de agregación de respuestas (p. ej., proveedores de modelos GPT, Perplexity, DeepSeek, sistemas de tipo AI Overview),
- sistemas CRM, herramientas de comunicación y proveedores de email marketing (p. ej., Mailchimp, Bitrix u otros proveedores equivalentes),
- proveedores de herramientas de análisis y marketing (p. ej., Google Analytics, Google Tag Manager, Meta Pixel, Cookiebot),
- asesores jurídicos, fiscales y contables, así como autoridades públicas – en la medida exigida por la ley.
6.2. Transferencias fuera del EEE
6.2.1. Los datos pueden transferirse a terceros países (p. ej., EE. UU.) en relación con el uso de los servicios de los proveedores mencionados anteriormente.
6.2.2. Aplicamos las garantías jurídicas adecuadas, en particular:
- Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea,
- cuando proceda, utilizamos proveedores adheridos al Marco de Privacidad de Datos UE–EE. UU. (DPF).
6.2.3. En el caso de transferencias a países para los que no se haya adoptado una decisión de adecuación, nos basamos en medidas técnicas y organizativas adicionales (p. ej., cifrado, seudonimización), limitando en la medida de lo posible el alcance de los datos transferidos.
7. Seguridad de los datos
7.1. Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre las que se incluyen:
- cifrado de datos en tránsito y en reposo,
- control de acceso basado en roles (RBAC),
- posibilidad de autenticación multifactor (MFA),
- copias de seguridad periódicas y procedimientos de recuperación ante desastres,
- supervisión y registro de eventos,
- pruebas de seguridad y actualizaciones de software.
7.2. A pesar de estas medidas, ningún sistema está completamente libre de riesgos. En caso de incidente de seguridad, adoptaremos medidas para minimizar su impacto y, cuando así lo exija la ley, le notificaremos la violación.
8. Cookies y tecnologías de seguimiento
8.1. En nuestro sitio web y en la Plataforma podemos utilizar cookies y tecnologías similares con los siguientes fines:
- funcionamiento esencial del servicio (cookies técnicas),
- análisis (p. ej., Google Analytics, Google Tag Manager),
- marketing (p. ej., Meta Pixel),
- gestión del consentimiento (p. ej., Cookiebot).
8.2. La base jurídica para las cookies esenciales es nuestro interés legítimo (garantizar el funcionamiento del servicio). Para las cookies analíticas y de marketing, la base jurídica es su consentimiento, prestado a través de la herramienta de gestión del consentimiento (Cookiebot), de conformidad con la legislación sobre telecomunicaciones.
8.3. Puede modificar sus preferencias de cookies en cualquier momento a través de la herramienta Cookiebot o la configuración de su navegador. No obstante, la restricción de determinadas cookies puede afectar al funcionamiento del sitio web y del Servicio.
9. Sus derechos
En relación con el tratamiento de datos personales por parte de PromptEye, le asisten los siguientes derechos (dentro de los límites establecidos por el RGPD):
- Derecho de acceso a sus datos (art. 15 RGPD),
- Derecho de rectificación de datos inexactos o incompletos (art. 16 RGPD),
- Derecho de supresión de los datos (art. 17 RGPD), cuando concurran los requisitos legales,
- Derecho a la limitación del tratamiento (art. 18 RGPD),
- Derecho a la portabilidad de los datos (art. 20 RGPD), cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados,
- Derecho de oposición al tratamiento basado en nuestro interés legítimo (art. 21 RGPD) – en particular, el derecho a oponerse al marketing directo,
- Derecho a retirar el consentimiento en cualquier momento, cuando el tratamiento se base en el consentimiento; la retirada no afecta a la licitud del tratamiento anterior a dicha retirada,
- Derecho a presentar una reclamación ante una autoridad de control.
En Polonia, la autoridad de control es el Presidente de la Oficina de Protección de Datos Personales (UODO), ul. Stawki 2, 00‑193 Varsovia, www.uodo.gov.pl.
10. Decisiones automatizadas y elaboración de perfiles
10.1. Con carácter general, no tomamos decisiones que produzcan efectos jurídicos o le afecten de manera significativa similar, basadas exclusivamente en el tratamiento automatizado de datos (incluida la elaboración de perfiles).
10.2. Utilizamos datos de forma automatizada para:
- análisis técnico del tráfico,
- detección de fraudes,
- generación de Informes analíticos para el Cliente,
lo cual no constituye, no obstante, una elaboración de perfiles en el sentido del art. 22 del RGPD que produzca efectos jurídicos sobre los Usuarios.
11. Contacto y ejercicio de sus derechos
11.1. Para ejercer sus derechos u obtener más información sobre el tratamiento de datos, puede contactarnos en: office@prompteye.com.
11.2. Responderemos a su solicitud sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción. En casos justificados, dicho plazo podrá prorrogarse dos meses más, de lo cual le informaremos indicando los motivos.
12. Modificaciones de la Política de privacidad
12.1. Podemos actualizar esta Política de privacidad como consecuencia de cambios legales, tecnológicos u organizativos.
12.2. Le informaremos de los cambios significativos mediante un aviso apropiado dentro del Servicio o por correo electrónico. La versión actualizada de la Política estará siempre disponible en nuestro sitio web.