1. Responsable del tratamiento
- Identidad: Colomina IT Solutions (empresario individual: Pedro Colomina Medina)
- Domicilio: Gervinusstraße 24, 60322 Frankfurt am Main, Alemania
- Correo electrónico: info@miaassistant.es
- Teléfono: +34 679 548 920
En adelante, «el Responsable». Mia Assistant trata los datos personales que el usuario facilita conforme al Reglamento (UE) 2016/679 (RGPD/DSGVO) y a la Ley Federal alemana de Protección de Datos (BDSG). El Responsable es una empresa con domicilio en Alemania que presta servicio a usuarios en España y en el resto de la Unión Europea.
2. Datos que tratamos
Tratamos los datos personales que el usuario nos facilita activamente y los datos generados durante la utilización del Servicio:
- Datos de identificación y contacto: nombre, apellidos, NIF/CIF, dirección, correo electrónico, teléfono.
- Datos profesionales: denominación de la actividad, datos fiscales, datos de clientes y proveedores que el usuario introduce en el Servicio.
- Datos de facturación y pago: los necesarios para gestionar el abono del Servicio. Los datos de tarjeta o cuenta bancaria se procesan a través de pasarelas de pago certificadas y no se almacenan en nuestros servidores.
- Datos de uso del Servicio: documentos generados (presupuestos, facturas, gastos), mensajes de chat con el asistente, audios y fotografías que el usuario sube voluntariamente.
- Datos técnicos: dirección IP, identificadores de dispositivo, tipo de navegador, fecha y hora de acceso, registros de actividad.
Las Notas Privadas del plan Premium están cifradas extremo a extremo con AES-256 mediante una frase de seguridad que solo el usuario conoce. El Responsable no puede acceder al contenido de estas notas en ningún caso.
3. Finalidad del tratamiento
- Prestar el Servicio: gestión de presupuestos, facturas, gastos, clientes y proveedores.
- Gestionar la cuenta de usuario y la relación contractual.
- Atender consultas, solicitudes de demostración y soporte (incluyendo la comunicación a través de WhatsApp al número facilitado).
- Facturación, cobro y gestión administrativa.
- Cumplimiento de obligaciones legales (fiscales, contables y mercantiles).
- Mejora del Servicio mediante análisis estadístico de uso, siempre de forma agregada y sin identificación personal.
- Comunicaciones comerciales sobre el propio Servicio, únicamente con consentimiento expreso del usuario y con posibilidad de oposición en cualquier momento.
4. Base jurídica
- Ejecución de un contrato (art. 6.1.b RGPD): para prestar el Servicio contratado.
- Cumplimiento de una obligación legal (art. 6.1.c RGPD): para conservar facturación y atender requerimientos de las autoridades.
- Interés legítimo (art. 6.1.f RGPD): para garantizar la seguridad del Servicio y prevenir el fraude.
- Consentimiento (art. 6.1.a RGPD): para el envío de comunicaciones comerciales si el usuario lo solicita expresamente.
5. Plazo de conservación
Los datos se conservarán mientras el usuario mantenga la relación con el Responsable. Una vez finalizada, se conservarán bloqueados durante los plazos legales aplicables. Por tratarse de una empresa alemana, las obligaciones fiscales y mercantiles exigen conservar la documentación contable y las facturas durante los plazos del Código de Comercio alemán (§ 257 HGB) y la Ordenanza Tributaria alemana (§ 147 AO), que con carácter general son de hasta diez años.
6. Destinatarios y encargados del tratamiento
Para prestar el Servicio recurrimos a proveedores tecnológicos que actúan como encargados del tratamiento. Mantenemos contratos de encargo de tratamiento con todos ellos conforme al artículo 28 del RGPD:
- Proveedor de infraestructura cloud: Google Cloud Platform — servidores localizados en la región europe-west1 (Bélgica), dentro del Espacio Económico Europeo. Bases de datos gestionadas por Cloud SQL y almacenamiento de archivos compatibles con S3 (MinIO autoalojado o Google Cloud Storage).
- Proveedor de correo electrónico transaccional: Twilio SendGrid (envío de notificaciones, recuperación de contraseñas, envío de facturas y presupuestos al cliente).
- Proveedor de IA conversacional: los mensajes que el usuario dirige al asistente se procesan a través de modelos de OpenAI conforme a sus condiciones empresariales, que prohíben el uso de los datos del cliente para entrenamiento.
- Pasarela de pago: el cobro de la suscripción se gestiona a través de Stripe (Stripe Payments Europe, Ltd., con sede en Irlanda). En ningún caso almacenamos datos completos de tarjetas en nuestros servidores: los introduce el usuario directamente en el formulario seguro de Stripe.
Los datos no se ceden a terceros salvo obligación legal o consentimiento expreso del usuario.
Transferencias internacionales
Algunos de nuestros proveedores (en particular SendGrid y OpenAI) son entidades estadounidenses. Cuando un tratamiento implique transferencia fuera del Espacio Económico Europeo, se garantizan las medidas adecuadas conforme al RGPD: cláusulas contractuales tipo aprobadas por la Comisión Europea, marcos como el EU-U.S. Data Privacy Framework cuando aplique, o decisiones de adecuación. El usuario puede solicitar copia de las garantías aplicadas escribiendo a lisa@miaassistant.es.
7. Derechos del usuario
El usuario puede ejercer en cualquier momento los siguientes derechos:
- Acceso: obtener confirmación de qué datos personales tratamos.
- Rectificación: modificar datos inexactos o incompletos.
- Supresión («derecho al olvido»): solicitar la eliminación de los datos cuando ya no sean necesarios.
- Oposición: oponerse al tratamiento de sus datos en determinadas circunstancias.
- Limitación del tratamiento: solicitar la limitación del tratamiento en los supuestos legalmente previstos.
- Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
- Retirar el consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo.
Para ejercer estos derechos, el usuario puede dirigirse por escrito a info@miaassistant.es indicando «Protección de datos» en el asunto. Podemos solicitar una verificación de identidad razonable antes de atender la solicitud.
Si considera que el tratamiento de sus datos no se ajusta a la normativa, tiene derecho a presentar una reclamación ante una autoridad de control. La autoridad competente del Responsable es la de Hesse (Alemania): Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (datenschutz.hessen.de). Como usuario en la UE, también puede reclamar ante la autoridad de control de su país de residencia (en España, la AEPD).
8. Medidas de seguridad
El Responsable aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo:
- Cifrado en tránsito (TLS 1.2+) y en reposo en las bases de datos.
- Cifrado extremo a extremo (AES-256) para las Notas Privadas del plan Premium.
- Control de acceso basado en roles y autenticación reforzada para el equipo.
- Copias de seguridad periódicas y procedimientos de recuperación.
- Registro de auditoría de las operaciones críticas.
- Evaluaciones de seguridad y revisiones periódicas.
9. Menores de edad
El Servicio se dirige exclusivamente a personas mayores de 18 años. No recogemos conscientemente datos de menores. Si detectamos que un menor ha facilitado datos sin el consentimiento de sus titulares de la patria potestad, los suprimiremos a la mayor brevedad.
10. Modificaciones
El Responsable se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas o a las prácticas del Servicio. La versión vigente es la publicada en este sitio web, con la fecha de última actualización indicada al final.