Política de privacidad

• Identidad: Aram Zakzuk [POR COMPLETAR: razón social si SL]
• NIF / CIF: [POR COMPLETAR]
• Dirección: [POR COMPLETAR · Madrid, España]
• Contacto datos personales: aram@copilotoextranjeria.es
• Delegado de Protección de Datos (DPO): no se ha designado por no concurrir las circunstancias del art. 37 RGPD ni del art. 34 LOPDGDD. Cualquier consulta relativa a protección de datos puede dirigirse al correo anterior.

Copiloto Extranjería actúa con dos roles distintos según de qué datos hablemos:

• Responsable del tratamiento respecto de los datos de los profesionales que contratan el Servicio (despachos, abogados, gestores): datos de registro, facturación, soporte, marketing.
• Encargado del tratamiento respecto de los datos del cliente final del despacho (la persona extranjera) que el despacho introduce en el Servicio para gestionar su expediente. En este caso el despacho cliente es el responsable del tratamiento y Copiloto Extranjería actúa siguiendo sus instrucciones, conforme al artículo 28 RGPD. Existe un Acuerdo de Encargo de Tratamiento (DPA) a disposición de cada despacho cliente.

• Prestación del Servicio, incluyendo gestión de expedientes, generación de escritos jurídicos, avisos de vencimiento de plazos y portal cliente. Base legal: ejecución de un contrato del que el interesado es parte (art. 6.1.b RGPD).
• Facturación y obligaciones contables. Base legal: cumplimiento de una obligación legal (art. 6.1.c RGPD).
• Comunicaciones transaccionales y de soporte (cambios en el Servicio, incidentes, respuestas a consultas). Base legal: ejecución del contrato.
• Comunicaciones comerciales sobre novedades del producto a despachos clientes y prospects que hayan dado consentimiento u ostenten una relación comercial previa. Base legal: consentimiento (art. 6.1.a) o interés legítimo (art. 6.1.f), con derecho de oposición en cualquier momento.
• Mejora del Servicio y prevención del fraude: analítica agregada y registros técnicos. Base legal: interés legítimo (art. 6.1.f). No se utilizan datos identificativos del cliente final del despacho para entrenar modelos.

Datos del despacho cliente (responsable: Copiloto)

• Identificativos: nombre, apellidos, email profesional, teléfono.
• Datos de facturación: razón social, CIF, dirección fiscal.
• Datos de uso del Servicio: registros de acceso, identificadores de sesión, dirección IP.

Datos del cliente final (responsable: el despacho; Copiloto actúa como encargado)

• Identificativos: nombre, apellidos, fecha de nacimiento, nacionalidad.
• Documento identificativo: NIE, pasaporte, número de expediente.
• Datos de contacto: dirección, email, teléfono.
• Datos socioeconómicos relevantes para el trámite: situación laboral, ingresos, vivienda, antecedentes penales.
• Documentación adjunta al expediente: certificados, contratos, sentencias, resoluciones administrativas.

• Datos del despacho cliente: mientras dure la relación contractual y, posteriormente, durante los plazos legales aplicables (6 años contables, 4 años fiscales).
• Datos del cliente final: mientras el despacho responsable mantenga la cuenta activa y conserve el expediente. El despacho puede solicitar la eliminación o portabilidad en cualquier momento desde el panel.
• Tokens de portal cliente: caducan a 90 días por defecto. Pueden revocarse por el despacho.
• Registros técnicos (logs): 90 días en caliente, 12 meses en frío para cumplimiento normativo y detección de incidentes.
• Cuenta inactiva: tras 12 meses sin acceso, se notifica al titular y se procede a la supresión o anonimización de los datos en los siguientes 30 días, salvo obligación legal de conservación.

Para prestar el Servicio recurrimos a proveedores tecnológicos que actúan como subencargados de tratamiento. Todos están vinculados por contratos conformes al art. 28 RGPD:

No se ceden datos personales a terceros distintos de los anteriores, salvo obligación legal o requerimiento de autoridad competente.

Algunos subencargados son entidades estadounidenses. En estos casos, la transferencia se realiza con base en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) o, cuando aplique, en la Decisión de adecuación EU-US Data Privacy Framework.

En particular, los documentos identificativos que el despacho carga para la extracción automática de datos (pasaporte, certificado de empadronamiento y documentación equivalente) se transfieren a Anthropic PBC (EE.UU.) bajo estas Cláusulas Contractuales Tipo sin pseudonimizar, ya que el propio servicio requiere extraer identificadores en claro (nombre, apellidos, nacionalidad, número de documento, fecha de nacimiento, domicilio) para construir el expediente. No prometemos una pseudonimización que el flujo de extracción no realiza. Las salvaguardas aplicadas a esta transferencia son: cifrado en tránsito (TLS 1.3), acceso restringido por autenticación y aislamiento multi-tenant, retención acotada a lo necesario para el trámite y ausencia de uso de estos datos para entrenar modelos, conforme a los términos comerciales vigentes con Anthropic.

Para la búsqueda semántica sobre el corpus legal (RAG), el texto enviado a Voyage AI para generar embeddings es la descripción del caso y la normativa relevante, no el documento identificativo del cliente final.

El Servicio utiliza modelos de inteligencia artificial (Claude Sonnet/Haiku, Voyage Embeddings) para:

• Extracción de datos de documentos cargados por el despacho.
• Redacción asistida de escritos, recursos y formularios.
• Búsqueda semántica sobre el corpus legal indexado.

Estas operaciones no constituyen decisiones automatizadas con efectos jurídicos en el sentido del art. 22 RGPD: el output de la IA es siempre revisado y validado por un profesional del despacho antes de su presentación ante la administración o terceros. La responsabilidad final del contenido jurídico corresponde al despacho.

Cualquier persona puede ejercer los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

• Acceso: conocer qué datos personales tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): eliminar los datos cuando ya no sean necesarios.
• Oposición: oponerse al tratamiento por motivos relacionados con la situación particular.
• Portabilidad: recibir los datos en formato estructurado, de uso común y lectura mecánica.
• Limitación: solicitar la suspensión del tratamiento.
• Retirada del consentimiento: cuando el tratamiento se base en él, en cualquier momento.

Para ejercer cualquiera de estos derechos, escriba a aram@copilotoextranjeria.es indicando el derecho que desea ejercer y acompañando copia de un documento identificativo. La respuesta se emitirá en el plazo máximo de un mes (prorrogable a dos en casos complejos).

Cliente final del despacho: si los datos forman parte de un expediente gestionado por un despacho, la solicitud debe dirigirse en primer término al despacho responsable. Copiloto colaborará con el despacho para atender la solicitud en plazo.

Si considera que sus derechos no han sido debidamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, o a través de su sede electrónica en www.aepd.es.

Aplicamos medidas técnicas y organizativas conformes al art. 32 RGPD: cifrado en tránsito (TLS 1.3) y en reposo, aislamiento multi-tenant a nivel de base de datos (Row Level Security), control de accesos por roles, registros de auditoría, formación continua y política de respuesta a incidentes. Detalle técnico en /seguridad.

Esta política puede modificarse para adaptarse a cambios normativos, jurisprudenciales o del Servicio. Las modificaciones surtirán efecto desde su publicación en el Sitio Web. Comunicaremos los cambios sustanciales con antelación razonable a los despachos clientes activos.