Política de privacidad

Introducción

Esta Política de Privacidad explica cómo bKlug trata la información personal para prestar los Servicios accesibles en nuestro Sitio web, ubicado en bklug.ai ("Servicios"). Se proporciona a título informativo, en virtud de los artículos 13 y 14 del RGPD.

No es un contrato, y no se pide a los Usuarios que la acepten. Cuando una finalidad depende del consentimiento, ese consentimiento se solicita por separado y puede retirarse en cualquier momento, sin que ello afecte al tratamiento ya realizado.

Responsable del Tratamiento

MENSAGENS ELÍPTICAS - LDA, entidad portuguesa con domicilio social en Rua Sousa Martins 15, 5, 1050-217, con Número de Identificación Fiscal PT517467739 (en adelante, "bKlug"), actúa como Responsable del Tratamiento encargado de recopilar y gestionar los datos a través de nuestro Sitio web.

Finalidades del tratamiento y base legal

bKlug trata los datos personales de los Usuarios para diversas finalidades, entre ellas:

• Facilitar la operación de los Servicios. Esto comprende el mantenimiento, el desarrollo y la gestión de nuestros Servicios, incluida la gestión de clientes, el cumplimiento de contratos y la resolución de controversias. La base legal de este tratamiento es la ejecución de obligaciones contractuales.
• Responder a las consultas de los Usuarios. Tratamos datos para atender con prontitud las consultas o solicitudes de información de los Usuarios. Esto se basa en el interés legítimo de bKlug en ofrecer un soporte integral.
• Comunicación. Podemos usar datos personales para informar a los Usuarios sobre productos, servicios y novedades de bKlug por medios electrónicos. El consentimiento del Usuario constituye la base legal de este tratamiento.
• Medición del uso del Sitio web. Realizamos análisis en el Sitio web para contar las visitas, ver qué páginas y campañas atraen a las personas hasta aquí y detectar lo que no funciona. La base legal es el consentimiento, otorgado a través del banner de cookies y que puede retirarse en cualquier momento mediante el enlace Configuración de cookies del pie de página.
• Publicidad. Utilizamos etiquetas publicitarias en el Sitio web para medir las campañas que realizamos y crear audiencias para ellas. La base legal es el consentimiento, otorgado y retirado de la misma manera.

Categorías de datos

Los Usuarios están obligados a proporcionar información veraz, completa y actualizada, salvo cuando determinados datos estén marcados como opcionales. El incumplimiento puede dar lugar a que bKlug se niegue a prestar los Servicios. Los Usuarios son responsables de mantener la exactitud de su información. Los datos de la tarjeta bancaria se almacenan de forma segura con fines transaccionales, con disposiciones adicionales para las suscripciones recurrentes gestionadas por Stripe, nuestro proveedor de servicios de pago. Los datos relativos al criptograma visual o CVV2 que figura en el reverso de tu tarjeta bancaria no se almacenan. No obstante, en caso de pago con tarjeta bancaria, los datos relativos a la tarjeta podrán conservarse como archivos intermedios con fines probatorios en relación con las obligaciones legales vigentes.

Navegar por el Sitio web no requiere cuenta ni datos personales más allá de lo que describe la Política de cookies. Cuando la información es realmente necesaria para ejecutar el contrato, como los datos de facturación, los Servicios no pueden prestarse sin ella. Esto se deriva del contrato, no de esta Política.

Plazo de conservación de los datos

Conservamos los datos personales durante el tiempo que exija la finalidad para la que se recopilaron y, después, solo mientras siga siendo posible una reclamación legal derivada de ellos.

• Datos de clientes y contratos: durante la vigencia del contrato y, después, durante el plazo de prescripción aplicable a las reclamaciones derivadas de él.
• Facturas y registros contables: diez años, el plazo durante el cual la legislación fiscal portuguesa exige a bKlug conservar los registros contables.
• Correspondencia de soporte y de ventas: mientras la relación esté activa y, después, archivada mientras siga siendo posible una reclamación.
• Datos de análisis y de publicidad del Sitio web: durante el plazo de conservación configurado en la herramienta que los recopiló. Las propias cookies caducan según el calendario establecido en la Política de cookies.
• Tu elección sobre cookies: se conserva en tu propio navegador hasta que la cambies o borres los datos de este sitio.

Decisiones automatizadas

Nuestros Servicios se basan en un asistente de IA que lee los mensajes de los clientes, busca en la tienda conectada y redacta respuestas y sugerencias de productos de forma automática, sin que una persona revise cada una. La lógica es un modelo de lenguaje que trabaja a partir del propio catálogo, las políticas y la base de conocimiento del comerciante, y su efecto sobre la persona se limita al contenido de una conversación de compra.

Estas respuestas automatizadas no producen efectos jurídicos y no son decisiones de importancia similar en el sentido del artículo 22 del RGPD. Nada se concede, se tarifica, se deniega ni se da por terminado de forma automática. Una conversación puede transferirse a una persona en cualquier momento, y se puede pedir al comerciante que opera el asistente que lo haga.

No elaboramos perfiles de los visitantes del Sitio web para tomar decisiones automatizadas sobre ellos. Las etiquetas publicitarias descritas en la Política de cookies se utilizan únicamente para la medición de campañas y la creación de audiencias, y solo con consentimiento.

Destinatarios y transferencias de datos

Los datos de los Usuarios pueden compartirse con administraciones públicas y entidades bancarias para cumplir obligaciones legales y gestionar pagos, y con los proveedores de servicios enumerados en el Anexo 1, que los tratan siguiendo nuestras instrucciones.

Algunos de esos proveedores están establecidos fuera del Espacio Económico Europeo, incluso en los Estados Unidos, donde está alojado este Sitio web. Esas transferencias se basan en la certificación del proveedor en el marco del Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) o en las cláusulas contractuales tipo de la Comisión Europea en virtud del artículo 46(2)(c) del RGPD, junto con las medidas adicionales que documenta el proveedor. Puede solicitarse una copia de las garantías vigentes para un proveedor determinado en contact@bklug.ai.

Derechos de los Usuarios

En cualquier momento, los Usuarios tienen derecho a acceder a sus datos personales, a obtener su rectificación o supresión, a limitar su tratamiento u oponerse a él, a recibirlos en un formato portable y a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o significativos similares.

Para ejercer cualquiera de estos derechos, escribe a contact@bklug.ai o a MENSAGENS ELÍPTICAS - LDA, Rua Sousa Martins 15, 5, 1050-217 Lisbon, Portugal. Respondemos en el plazo de un mes desde la recepción de la solicitud, y lo indicaremos si una solicitud es lo bastante compleja como para necesitar la prórroga que permite el RGPD.

Cuando el tratamiento se basa en el consentimiento, ese consentimiento puede retirarse en cualquier momento, sin que ello afecte a la licitud de lo tratado con anterioridad. En el caso de las cookies, el enlace Configuración de cookies del pie de página del Sitio web hace exactamente eso.

Los Usuarios que consideren que sus datos se han tratado de forma indebida pueden presentar una reclamación ante una autoridad de control. La autoridad de control principal de bKlug es la Comissão Nacional de Proteção de Dados (CNPD) de Portugal, www.cnpd.pt. También puede presentarse una reclamación ante la autoridad del Estado miembro en el que el Usuario resida o trabaje.

bKlug como Encargado del Tratamiento

En caso de que el Usuario adquiera una licencia de uso de los Servicios, bKlug deberá tratar determinados datos personales por cuenta del licenciatario (ya sea el licenciatario el propio Usuario o una persona jurídica representada por el Usuario). A estos efectos, el Usuario será considerado Responsable del Tratamiento y bKlug será considerada Encargado del Tratamiento.

Las siguientes cláusulas constituyen la regulación de la relación entre el Responsable y el Encargado a efectos de cumplir lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, "RGPD"), y en la Ley portuguesa n.º 58/2019, de 8 de agosto, que asegura la ejecución del RGPD en el ordenamiento jurídico portugués (en adelante, "Ley 58/2019").

1. Tratamiento de datos que realizará el Encargado del Tratamiento

El Encargado del Tratamiento tratará los datos personales necesarios para prestar los Servicios por cuenta del Responsable. Dicho tratamiento tendrá una duración igual a la de la prestación de los Servicios, de modo que, una vez finalizada la prestación de los Servicios, el tratamiento se considerará finalizado.

2. Identificación de la información afectada

Para la ejecución de los Servicios, el Responsable pondrá a disposición del Encargado la información que se describe a continuación.

No se instruye al Encargado para tratar ninguna de las categorías especiales de datos enumeradas en el artículo 9 del RGPD, y el Responsable se compromete a no poner dichos datos a disposición de los Servicios. Cuando, no obstante, aparezcan datos de categorías especiales en el contenido de un mensaje enviado por un cliente final, se tratarán únicamente para poder responder al mensaje, y para ninguna otra finalidad.

• Datos identificativos y de contacto, como nombre, número de teléfono y dirección de correo electrónico
• El contenido de los mensajes intercambiados con el asistente en los canales de mensajería conectados
• Datos de pedidos y transacciones, como productos vistos o comprados, estado del pedido y datos de entrega
• Datos de cuenta y de configuración de la tienda conectada
• Datos técnicos, como información del dispositivo, del navegador y de la conexión

3. Obligaciones del Encargado

El Encargado del Tratamiento se compromete a:

• (a) Utilizar los datos personales objeto de tratamiento, o los que recopile para su inclusión, únicamente para la estricta prestación de los Servicios. En ningún caso podrá utilizar los datos para fines propios.
• (b) Tratar los datos de acuerdo con las instrucciones del Responsable. Si el Encargado considera que alguna instrucción infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el Encargado informará inmediatamente de ello al Responsable.
• (c) Cuando proceda, llevar por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, de conformidad con el artículo 30(2) del RGPD.
• (d) No comunicar los datos a terceros, salvo con la autorización expresa del Responsable del Tratamiento, en los supuestos legalmente admisibles. El Encargado del Tratamiento podrá comunicar los datos a otros encargados del tratamiento del mismo Responsable del Tratamiento, de acuerdo con las instrucciones de este. En tal caso, el Responsable del Tratamiento identificará, de forma previa y por escrito, la entidad a la que deben comunicarse los datos, los datos que se comunicarán y las medidas de seguridad que deben aplicarse para proceder a la comunicación. Si el Encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al Responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
• (e) No subcontratar ninguno de los servicios que forman parte de los Servicios y que impliquen el tratamiento de datos personales. Si fuera necesario subcontratar algún tratamiento, deberá comunicarse este hecho al Responsable por escrito y de forma previa, con una antelación mínima de 20 días naturales, indicando el tratamiento que se pretende subcontratar e identificando de forma clara e inequívoca a la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el Responsable no manifiesta su oposición, por escrito, en el plazo establecido. El subcontratista, que también tendrá la condición de encargado del tratamiento, está igualmente obligado a cumplir las obligaciones establecidas en el presente documento para el Encargado del Tratamiento y las instrucciones que dicte el Responsable del Tratamiento. Corresponde al encargado inicial regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que el encargado inicial, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de los interesados. En caso de incumplimiento por parte del subcontratista, el Encargado inicial seguirá siendo plenamente responsable ante el Responsable en lo referente al cumplimiento de las obligaciones. El Responsable autoriza al Encargado a realizar las siguientes subcontrataciones necesarias para prestar los Servicios: consultar la lista de subencargados (Anexo 1).
• (f) Mantener el deber de secreto respecto de los datos personales a los que tenga acceso en virtud de la prestación de los Servicios, incluso después de que haya finalizado la prestación de los Servicios.
• (g) Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que deberán ser debidamente informadas.
• (h) Mantener a disposición del Responsable del Tratamiento la documentación que acredite el cumplimiento de la obligación establecida en el apartado anterior.
• (i) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
• (j) Asistir al Responsable en la respuesta al ejercicio de los derechos de: (1) Acceso, rectificación, supresión y oposición; (2) Limitación del tratamiento; (3) Portabilidad de los datos; (4) No ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles). Cuando los interesados ejerzan sus derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de los datos y a no ser objeto de decisiones individualizadas automatizadas ante el Encargado del Tratamiento, este deberá comunicarlo por correo electrónico al Responsable del Tratamiento. La comunicación deberá realizarse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, junto, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.
• (k) Notificar al Responsable, sin dilación indebida y, en cualquier caso, en un plazo máximo de 48 horas, por correo electrónico, cualquier violación de la seguridad de los datos personales a su cargo de la que tenga conocimiento, junto con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y libertades de las personas físicas. Si se dispone de ella, se facilitará como mínimo la siguiente información: (1) Una descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidas, cuando sea posible, las categorías y el número aproximado de interesados afectados, así como las categorías y el número aproximado de registros de datos personales afectados. (2) El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información. (3) Una descripción de las posibles consecuencias de la violación de la seguridad de los datos personales. (4) Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar los posibles efectos negativos. Si no fuera posible facilitar la información de manera simultánea, la información se facilitará de manera gradual sin dilación indebida.
• (l) Apoyar al Responsable en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
• (m) Apoyar al Responsable en la realización de las consultas previas a la autoridad de control, cuando proceda.
• (n) Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o inspecciones que realice el Responsable u otro auditor autorizado por él.
• (o) Aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, deberá implantar mecanismos para: (1) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. (2) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. (3) Verificar, evaluar y valorar de forma regular la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. (4) Seudonimizar y cifrar los datos personales, en su caso.
• (p) Designar un Delegado de Protección de Datos y comunicar su identidad y datos de contacto al Responsable, cuando proceda.
• (q) Una vez prestados los Servicios, el Responsable del Tratamiento dispondrá de un plazo máximo de 30 días naturales para acceder a la Plataforma bKlug y descargar toda su información almacenada en ella. Transcurrido dicho plazo, el Encargado del Tratamiento suprimirá la información almacenada en la Plataforma bKlug. En todo caso, el Encargado del Tratamiento podrá conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución del servicio.
• (r) Cumplir las demás obligaciones que el RGPD, la Ley 58/2019 y su normativa de desarrollo establecen para el Encargado del Tratamiento.

4. Obligaciones del Responsable del Tratamiento

El Responsable del Tratamiento tiene las siguientes obligaciones:

• (a) Entregar al Encargado del Tratamiento los datos especificados anteriormente, o permitirle el acceso a ellos.
• (b) Realizar una evaluación del impacto en la protección de los datos personales de las operaciones de tratamiento que realizará el Encargado del Tratamiento, cuando proceda.
• (c) Realizar las consultas previas que correspondan.
• (d) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD, la Ley 58/2019 y su normativa de desarrollo por parte del Encargado del Tratamiento.
• (e) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.
• (f) Facilitar el derecho de información en el momento de la recogida de los datos.
• (g) Cumplir las demás obligaciones que el RGPD, la Ley 58/2019 y su normativa de desarrollo establecen para el Responsable del Tratamiento.

Seguridad y protección de los datos

bKlug ha adoptado las medidas de seguridad en materia de protección de datos legalmente exigidas, y procura adoptar medidas y medios técnicos adicionales a su alcance para evitar la pérdida, el uso indebido, la alteración, el acceso no autorizado y el robo de los datos personales facilitados. bKlug se compromete a utilizar todos los datos enviados por los Usuarios registrados con la máxima confidencialidad y resiliencia.

El uso y la transferencia por parte de bKlug a cualquier otra aplicación de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use). Las API de Google Workspace no se utilizan para desarrollar, mejorar ni entrenar modelos generalizados de IA y/o ML.

Cambios en esta Política de Privacidad

bKlug se reserva el derecho de modificar esta política para adaptarla a nuevas normativas, jurisprudencia y prácticas industriales y/o comerciales.

Si bKlug decide modificar su Política de Privacidad, publicará esos cambios en esta página.

Anexo 1: Lista de proveedores de servicios (subencargados)