Política de privacidad

El responsable del tratamiento de los datos personales recogidos a través de la plataforma Utilia OS, del sitio web y de los canales de comunicación asociados es la entidad identificada a continuación, conforme al artículo 13.1.a) del Reglamento (UE) 2016/679 (RGPD) y al artículo 11 de la Ley Orgánica 3/2018 (LOPDGDD).

Razón social

UTILIA SERVICIOS IA S. COOP. CAN.

Forma jurídica

Sociedad Cooperativa Canaria

NIF

F75452102

Régimen fiscal

Canarias (IGIC 7%)

Representante legal

Manuel López Rivero

Domicilio social

C/ Teniente Coronel Castillo Olivares, 26, piso 16, letra A-2, 35011 Las Palmas de Gran Canaria

Sede operativa

Work in Cholas, Oficina O-B2-A, C/ Antonio María Manrique, 3, 35011 Las Palmas de Gran Canaria

Correo general

info@utilia.ai

Correo de privacidad y compliance

compliance@utilia.ai

Teléfono

+34 626 90 91 98

Sitio web

utilia.ai

Plataforma

os.utilia.ai

Inscripción registral

Inscrita en el Registro de Sociedades Cooperativas de Canarias (Consejería competente en materia de economía social del Gobierno de Canarias). Los datos registrales concretos (tomo, folio y número) están disponibles previa solicitud en compliance@utilia.ai.

UTILIA SERVICIOS IA S. COOP. CAN. actúa como responsable del tratamiento respecto de los datos de sus propios contactos, usuarios del sitio web, personas candidatas y visitantes. Respecto de los datos que las organizaciones clientes introducen en la plataforma Utilia OS (datos de su personal, contactos comerciales, clientes finales, leads, documentos, etc.), UTILIA actúa como encargada del tratamiento en los términos del artículo 28 del RGPD y suscribe con el cliente el correspondiente contrato de encargo.

Recogemos únicamente los datos que son necesarios para prestar el servicio y cumplir con nuestras obligaciones legales, conforme al principio de minimización del artículo 5.1.c) del RGPD. Las categorías de datos varían según cómo interactúes con nosotros.

a) Datos de contacto y cuenta de usuario.

• Datos identificativos: nombre, apellidos, cargo o rol dentro de la organización cliente.
• Datos de contacto: dirección de correo electrónico, teléfono profesional.
• Credenciales de acceso: nombre de usuario y contraseña, almacenada esta última mediante funciones resumen (hash) con sal criptográfica. La contraseña en claro no se conserva en ningún momento.
• Datos de la verificación en dos pasos, cuando la persona usuaria la activa o cuando su organización la exige a quien administra la cuenta: la semilla de la aplicación de autenticación, que se guarda siempre cifrada y nunca en claro; el resumen criptográfico de cada código de recuperación y la fecha en la que se gastó, sin que el código en claro llegue a almacenarse; y, si la persona registra como aparato de confianza el teléfono en el que tiene instalada la aplicación de Utilia OS, el nombre que ella misma le da a ese teléfono, su sistema operativo, el resumen criptográfico de un secreto de dispositivo, el vínculo con el aviso que ese teléfono recibe y las fechas de último uso y de revocación.

b) Datos de uso de la plataforma Utilia OS.

• Registros técnicos (logs): dirección IP, identificador de sesión, fecha y hora de acceso, tipo de navegador y sistema operativo, páginas visitadas dentro del producto.
• Datos de las sesiones abiertas de la propia cuenta: dirección IP, navegador, sistema operativo y tipo de dispositivo desde el que se abrió cada una, fecha de creación y fecha de la última actividad. La persona usuaria puede consultarlos y cerrar cualquiera de sus sesiones desde su propia cuenta, sin intervención de nadie. El testigo con el que se identifica cada sesión no se conserva en claro, sino mediante su resumen criptográfico.
• Ubicación aproximada deducida de la dirección IP, con el detalle de ciudad y país cuando constan. Se muestra junto a cada sesión abierta, en la petición de confirmación que llega al teléfono y en los avisos de seguridad, con la única finalidad de que la persona reconozca de un vistazo si un acceso es suyo. Se calcula en los servidores de UTILIA con una base de datos incorporada al propio software, sin consultar a ningún proveedor externo, y no se almacena: se deduce en el momento de mostrarla a partir de la dirección IP que ya consta en el registro. Es una orientación y no una prueba del lugar en el que se encontraba ninguna persona: una red corporativa, una conexión mediante red privada virtual o los datos móviles pueden desplazarla cientos de kilómetros.
• Huella técnica del aparato, empleada exclusivamente para avisar del primer acceso realizado desde un dispositivo que la cuenta no había utilizado antes. Es un resumen criptográfico del tipo de cliente, del navegador y del sistema operativo; no incluye la versión del navegador ni la dirección IP, y no permite identificar un aparato concreto.
• Datos de la confirmación del acceso desde la aplicación móvil, cuando la persona utiliza este segundo paso: la dirección IP, el navegador y el sistema operativo desde los que se está intentando entrar, junto con la hora del intento. Estos datos viven únicamente en memoria caché durante los cinco minutos que dura la petición y se destruyen al aprobarla, al rechazarla o al caducar.
• Auditoría de acciones: entradas del módulo de auditoría que registran creación, modificación y eliminación de recursos a efectos de seguridad y trazabilidad (artículo 32 RGPD).

c) Datos introducidos en los módulos funcionales.

• Módulo CRM y gestión comercial: datos de contactos, empresas, oportunidades, presupuestos, firmas electrónicas, historial de interacciones y notas.
• Módulo de facturación y finanzas: datos identificativos y fiscales de clientes y proveedores, facturas, cobros, pagos y cuentas bancarias.
• Módulo de portal del cliente: contenidos compartidos, comentarios, firmas y archivos aportados por el cliente final.
• Módulo de comunicación y videollamadas: identificadores de sala, metadatos de sesión y, si el usuario activa la grabación, las grabaciones audiovisuales y sus transcripciones.
• Módulo de asistentes de IA: prompts introducidos, contexto incluido por el usuario y respuestas generadas. Estos datos se utilizan exclusivamente para responder a la consulta y no se emplean para entrenar modelos de terceros.
• Medición del consumo de IA: registro interno, por organización, de cada operación realizada con funciones de inteligencia artificial (función utilizada, modelo, unidades consumidas y coste asociado). Este registro no almacena el contenido de las conversaciones, de los audios ni de los documentos procesados; únicamente contiene metadatos de consumo y, en su caso, referencias técnicas a la operación de origen.
• Peticiones de ampliación del plan: la identidad de la persona usuaria que pide que se amplíe el plan de su organización, la funcionalidad que pide, el motivo que escriba y la respuesta que le da quien administra la cuenta dentro de esa misma organización.
• Módulo de recursos humanos interno: datos de la relación laboral con los socios trabajadores y personal de UTILIA.

d) Datos de navegación y cookies.

Los descritos en nuestra Política de cookies.

e) Datos de quienes solicitan atención comercial de UTILIA.

• Datos que la persona facilita al reservar una videollamada con el equipo comercial de UTILIA o al pedir que se le devuelva la llamada: nombre y apellidos, dirección de correo electrónico, teléfono cuando lo indique, zona horaria de su dispositivo y el texto libre en el que explica qué quiere conseguir.
• Cuando quien reserva es una persona usuaria de una organización cliente, se copian además, en el momento de la reserva, el nombre de esa organización, el plan que tiene contratado y el estado de su suscripción, para que quien atienda la llamada sepa de qué se le está hablando.
• Datos de la propia cita: fecha, hora y duración, persona del equipo de UTILIA que la atiende, sala de videollamada asociada, si llegó a celebrarse y las notas que el equipo comercial anote sobre su resultado.

Estas videollamadas no se graban: la grabación viene desactivada de fábrica en las salas que crea el canal de atención comercial. Si en algún momento se activara, se aplicaría el aviso de grabación previsto para el resto de reuniones de la plataforma.

Cada tratamiento que realizamos se apoya en una base jurídica de las previstas en el artículo 6.1 del RGPD. A continuación se indican las principales finalidades y su base legal asociada.

Alta y gestión de la cuenta

Ejecución de un contrato o de medidas precontractuales solicitadas por el interesado (art. 6.1.b RGPD).

Prestación del servicio Utilia OS

Ejecución del contrato entre UTILIA y la organización cliente (art. 6.1.b RGPD). Respecto de los usuarios finales dados de alta por la organización, UTILIA actúa como encargada (art. 28 RGPD).

Facturación, contabilidad y cumplimiento fiscal

Cumplimiento de obligaciones legales (art. 6.1.c RGPD), en particular Ley 58/2003 General Tributaria, Código de Comercio (art. 30) y normativa de facturación electrónica aplicable.

Seguridad, prevención del fraude y registros de auditoría

Interés legítimo del responsable en la preservación de la integridad del servicio y de los datos (art. 6.1.f RGPD), con superación del juicio de ponderación y con la obligación de seguridad del art. 32 RGPD. Esta finalidad comprende, además de los registros de auditoría, la verificación en dos pasos y sus vías de recuperación, la lista de sesiones abiertas y su cierre por la propia persona usuaria, la ubicación aproximada que se muestra junto a cada acceso, los avisos de seguridad sobre la propia cuenta (activación o retirada de la verificación en dos pasos, acceso desde un aparato nuevo, intento de acceso rechazado, reinicio de la verificación por un administrador y petición de ayuda a los administradores) y el bloqueo de la pantalla tras un periodo de inactividad. Se trata en todos los casos de medidas dirigidas a proteger la cuenta de la propia persona interesada, que no se emplean para valorar su rendimiento ni para ninguna otra finalidad.

Medición y facturación del consumo de funciones de IA

Ejecución del contrato (art. 6.1.b RGPD), para aplicar el volumen de uso incluido en el plan y facturar el saldo adicional, y cumplimiento de obligaciones legales de facturación (art. 6.1.c RGPD). Incluye la prevención de abuso del servicio como interés legítimo (art. 6.1.f RGPD). El registro de consumo contiene únicamente metadatos (función, modelo, unidades y coste), nunca el contenido de las conversaciones o documentos.

Atención de consultas y soporte técnico

Ejecución del contrato o medidas precontractuales (art. 6.1.b RGPD) o interés legítimo (art. 6.1.f RGPD) cuando el contacto no deriva de una relación contractual.

Atención comercial y gestión de las citas con el equipo de UTILIA

Aplicación de medidas precontractuales solicitadas por el propio interesado (art. 6.1.b RGPD) cuando la persona pide hablar con nosotros y, si su organización ya es cliente, interés legítimo de UTILIA en el mantenimiento y desarrollo de esa relación comercial (art. 6.1.f RGPD). Comprende la organización de la videollamada, el envío de la confirmación con el archivo de calendario y sus recordatorios, la devolución de la llamada telefónica cuando la persona la solicita y el seguimiento comercial posterior.

Memoria comercial de UTILIA

Interés legítimo de UTILIA (art. 6.1.f RGPD) en conservar el historial de las conversaciones comerciales mantenidas con cada organización y con las personas que la representaron, incluso después de que esa organización deje de ser cliente, a efectos de continuidad de la relación comercial y de análisis de las bajas. Los interesados pueden oponerse a este tratamiento conforme al apartado 7.

Gestión de las peticiones internas de ampliación del plan

Ejecución del contrato entre UTILIA y la organización cliente (art. 6.1.b RGPD). UTILIA actúa aquí como encargada: la petición se dirige a las personas de la propia organización que administran la cuenta, que son quienes la atienden o la descartan.

Envío de comunicaciones comerciales electrónicas

Consentimiento previo del interesado (art. 6.1.a RGPD y art. 21 de la Ley 34/2002), salvo cuando exista una relación contractual previa con productos o servicios similares (art. 21.2 LSSI-CE).

Atención a solicitudes de derechos ARSOPOL

Cumplimiento de obligación legal (art. 6.1.c RGPD) en relación con los artículos 12 a 22 del RGPD.

Procesos de selección de personal

Consentimiento del candidato (art. 6.1.a RGPD) o aplicación de medidas precontractuales (art. 6.1.b RGPD).

Firma electrónica de documentos y presupuestos

Ejecución de contrato (art. 6.1.b RGPD) y cumplimiento del Reglamento (UE) 910/2014 (eIDAS) y de la Ley 6/2020 de servicios electrónicos de confianza.

Defensa frente a reclamaciones

Interés legítimo del responsable (art. 6.1.f RGPD) y cumplimiento de obligación legal (art. 6.1.c RGPD) conforme a los plazos de prescripción aplicables.

No utilizamos decisiones individuales automatizadas con efectos jurídicos significativos (art. 22 RGPD). Si en el futuro incorporáramos este tipo de tratamientos, se informará de forma expresa y previa a los interesados.

Conservamos los datos personales durante el tiempo estrictamente necesario para cumplir con la finalidad para la que fueron recabados y, posteriormente, durante los plazos legales de prescripción de responsabilidades. Una vez transcurridos estos plazos, los datos se suprimen o se anonimizan.

Datos de cuenta de usuario

Durante la vigencia de la relación contractual con la organización cliente. Tras la baja definitiva, la cuenta y sus datos se conservan durante 90 días en modo de solo lectura para permitir su exportación o la reactivación del servicio; transcurrido ese plazo, se suprimen, salvo obligación legal de conservación.

Datos contables y fiscales

Seis años desde el último asiento en los libros (art. 30 del Código de Comercio) y cuatro años a efectos de prescripción tributaria (arts. 66 y siguientes de la Ley 58/2003 General Tributaria). Ambos plazos corren en paralelo, por lo que prevalece el mercantil de seis años.

Datos contractuales y comerciales

Cinco años desde la finalización del contrato (art. 1964 del Código Civil, redacción tras la Ley 42/2015) a efectos de defensa frente a reclamaciones.

Registro de actividad de la plataforma (auditoría) y registros de seguridad

Plazos diferenciados por categoría de acontecimiento, entre doce meses y seis años en la capa consultable, con archivo posterior cuando procede. Se detallan al final de este apartado, en el subapartado «Registro de actividad y plazos de conservación».

Datos de la verificación en dos pasos

Mientras la persona usuaria la mantenga activa. Al desactivarlo, o cuando un administrador lo reinicia, la semilla se destruye; los códigos de recuperación gastados y los aparatos de confianza revocados conservan únicamente la fecha en la que dejaron de valer, porque es el rastro que permite auditar una recuperación, y se suprimen con la baja de la organización cliente.

Datos técnicos de vida breve

La huella técnica del aparato empleada para avisar de un acceso nuevo se conserva en memoria caché ciento ochenta días desde su último uso, transcurridos los cuales se borra sola. La petición de confirmación enviada al teléfono se conserva cinco minutos.

Datos de candidaturas de empleo

Un año desde la recepción de la candidatura, salvo que la persona candidata haya consentido expresamente un plazo superior.

Comunicaciones comerciales electrónicas

Hasta que el interesado retire su consentimiento u oposición; posteriormente, conservación bloqueada para acreditar el cumplimiento de la baja.

Grabaciones de videollamadas (si el usuario activa la grabación)

Durante el tiempo indicado por la organización cliente y, como máximo, hasta el fin del contrato. El cliente puede eliminarlas en cualquier momento desde la plataforma.

Autorizaciones de cobro automático con tarjeta

Durante la vigencia de la autorización y, una vez revocada o agotada, durante el plazo de prescripción de las acciones de cobro derivadas de las facturas cobradas a su amparo (cinco años, art. 1964 del Código Civil), por constituir la prueba de que el cobro estaba autorizado. El texto aceptado, su versión, la fecha, la dirección IP y el navegador desde el que se aceptó quedan registrados de forma inmutable: no pueden modificarse ni reescribirse una vez firmada la autorización.

Eventos técnicos de la pasarela de pago

Siete días desde su recepción. Son los avisos que el proveedor de pago envía a la plataforma para comunicar el resultado de cada operación; se conservan únicamente para poder reprocesar o auditar una incidencia reciente y se eliminan automáticamente transcurrido ese plazo. El resultado del cobro, que sí es un dato contable, se conserva en la factura conforme al plazo indicado más arriba.

Registros de consumo de funciones de IA

Los mismos plazos que los datos contables y fiscales (seis años desde el cierre del ejercicio, art. 30 del Código de Comercio, y cuatro años a efectos tributarios), por tratarse de los justificantes del consumo facturado. El registro solo contiene metadatos de consumo, nunca el contenido de las conversaciones o documentos.

Citas y peticiones de devolución de llamada con el equipo comercial de UTILIA

Se conservan mientras subsista el interés legítimo descrito en el apartado 3 y, como máximo, durante los cinco años siguientes al último contacto; transcurrido ese plazo se suprimen el teléfono y todos los textos libres de la cita (el que escribe la persona al reservar, el motivo de la cancelación y las notas que el equipo comercial anote sobre su resultado), y su nombre y su dirección de correo electrónico se sustituyen por una referencia anonimizada, de modo que solo se conserva constancia de que la conversación existió, con la organización, el plan contratado y las fechas. Por tratarse de memoria comercial de UTILIA, estos datos no se suprimen cuando la organización cliente causa baja en la plataforma, sin perjuicio del derecho de supresión y de oposición del apartado 7.

Peticiones de ampliación del plan dentro de una organización cliente

Durante la vigencia de la relación contractual con esa organización. Se suprimen junto con el resto de sus datos cuando causa baja, conforme al plazo indicado para los datos de cuenta de usuario.

Registro de actividad y plazos de conservación.

Utilia OS mantiene un registro de auditoría de la actividad realizada en la plataforma. Ese registro anota quién hizo cada acción, cuándo, sobre qué elemento, desde qué dirección IP y con qué dispositivo. Su finalidad es garantizar la seguridad y la trazabilidad del servicio, detectar y responder a incidentes de seguridad, atender las obligaciones legales de conservación y defender los derechos de UTILIA y de sus clientes frente a reclamaciones.

La base que legitima este tratamiento es el cumplimiento de las obligaciones de seguridad del artículo 32 del RGPD y el interés legítimo de UTILIA en la seguridad de la plataforma, conforme al artículo 6.1.f) del RGPD.

El registro se conserva en dos capas. La capa consultable es la que se ve, se filtra y se exporta desde el propio producto. La capa de archivo vive fuera de la base de datos operativa, protegida contra alteración y borrado mediante bloqueo de objetos (WORM) y versionado, con acceso restringido, y solo se abre para atender requerimientos de autoridades competentes, auditorías y reclamaciones. Los plazos son estos:

Registro de accesos a datos

El que se consulta en la pantalla de accesos y descargas (descargas de archivos, lecturas de datos especialmente protegidos e inicios de sesión): doce meses por defecto, plazo que la organización cliente puede ampliar o reducir entre seis y veinticuatro meses.

Accesos a datos personales anotados en el registro de actividad

Exportaciones, descargas, lecturas de datos especialmente protegidos, accesos de soporte a una ficha y ejercicio de derechos: doce meses consultables o, si fuera mayor, el plazo que la organización cliente haya fijado para su registro de accesos, hasta un máximo de veinticuatro meses. Nunca se conservan menos de doce meses, de modo que reducir aquel ajuste no acorta este plazo. Después, hasta tres años en archivo seudonimizado.

Acontecimientos de seguridad, inicios de sesión, cambios de permisos y sesiones de soporte

Veinticuatro meses consultables y hasta tres años en archivo.

Actividad relacionada con facturación y configuración fiscal

Seis años desde cada acontecimiento registrado, conforme al artículo 30 del Código de Comercio, que absorbe los cuatro años de prescripción tributaria de los artículos 66 y siguientes de la Ley 58/2003 General Tributaria.

Registro de jornada y sus correcciones

Cuatro años, conforme al artículo 34.9 del Estatuto de los Trabajadores, a disposición de las personas trabajadoras, de sus representantes y de la Inspección de Trabajo.

Configuración de la empresa e integraciones

Cambios de plan y de capacidades contratadas y conexiones con servicios de terceros: veinticuatro meses consultables y cinco años en archivo. Ese plazo de archivo se cuenta desde cada acontecimiento registrado y, en todo caso, el archivo no se destruye hasta que hayan transcurrido cinco años desde la baja de la organización cliente, por sustentar la relación contractual.

Resto de la actividad

Clientes, presupuestos, proyectos, tareas, calendario, reuniones, marketing, informes, archivos, soporte y desarrollo: doce meses, transcurridos los cuales se destruye sin pasar por el archivo.

Al pasar de la capa consultable a la de archivo se aplica una medida adicional de minimización, conforme al artículo 5.1.c) del RGPD: la dirección IP se reduce a su prefijo de red y el nombre de la persona se sustituye por su identificador interno. Esa seudonimización no se aplica a las categorías de seguridad, de facturación y de registro de jornada, en las que la identificación nominal es precisamente el objeto de la prueba.

Superados esos plazos, los registros se destruyen de forma irreversible, salvo que deban conservarse por una obligación legal o por el bloqueo previsto en el artículo 32 de la LOPDGDD.

A ello se suma el bloqueo legal: a solicitud de la organización cliente o por requerimiento de una autoridad competente, UTILIA puede aplicar un bloqueo legal sobre los archivos afectados, que impide su destrucción mientras no se levante.

El registro de auditoría no se puede desactivar ni borrar a petición del usuario mientras esté vigente su plazo, porque constituye una medida de seguridad obligatoria y la prueba del propio cumplimiento. La solicitud de supresión se atiende conforme a los artículos 17.3.b) y 17.3.e) del RGPD, que exceptúan la supresión cuando el tratamiento es necesario para cumplir una obligación legal aplicable al responsable o para formular, ejercer o defender reclamaciones. En ese caso informamos del plazo aplicable en lugar de suprimir.

Con carácter general no comunicamos datos personales a terceros salvo por obligación legal o cuando sea estrictamente necesario para la prestación del servicio. En este último caso, los proveedores que acceden a los datos en nuestro nombre lo hacen en calidad de encargados del tratamiento tras haber suscrito con UTILIA el correspondiente contrato conforme al artículo 28 del RGPD.

a) Categorías de destinatarios.

• Administraciones públicas y autoridades competentes cuando exista una obligación legal (p. ej., Agencia Tributaria, Tesorería General de la Seguridad Social, fuerzas y cuerpos de seguridad, Jueces y Tribunales).
• Entidades bancarias y pasarelas de pago para la gestión de cobros y pagos.
• Asesores jurídicos, fiscales y auditores externos para el cumplimiento de obligaciones contables, fiscales y legales.

b) Categorías de encargados del tratamiento.

• Proveedor de infraestructura en la nube y alojamiento dentro del Espacio Económico Europeo para la operación de los servidores que ejecutan la plataforma.
• Proveedor de almacenamiento de objetos compatible con S3, operado por UTILIA o por un proveedor en territorio del EEE, para los archivos subidos por los clientes.
• Proveedor de servicios de videollamadas (plataforma de WebRTC desplegada por UTILIA) para las comunicaciones en tiempo real de los módulos de chat y reuniones.
• Proveedores de modelos de lenguaje e inteligencia artificial utilizados por los asistentes internos y módulos de generación de contenido. Las peticiones se envían bajo acuerdo de encargo con obligación contractual de no utilizar los datos para entrenamiento.
• Proveedores de envío de correo transaccional y de correo comercial utilizados para la remisión de notificaciones, documentos electrónicos y, en su caso, comunicaciones comerciales previamente consentidas.
• Stripe Payments Europe, Ltd., proveedor de servicios de pago, para el cobro de la suscripción a la plataforma, de los complementos y del Saldo adicional de IA. Los datos completos de la tarjeta los trata exclusivamente el proveedor de pago (certificado PCI DSS de nivel 1); UTILIA solo conserva referencias tokenizadas, la marca, los últimos cuatro dígitos y la fecha de caducidad. El detalle de este tratamiento, y del distinto papel que Stripe desempeña cuando es la organización cliente quien cobra con tarjeta a sus propios clientes, se explica en el apartado d) de esta sección.
• Proveedores de los servicios de notificaciones push de las plataformas móviles (Apple y Google) para la entrega de avisos en los dispositivos donde el usuario instala la aplicación. Reciben únicamente el identificador del dispositivo y el contenido del aviso mostrado.
• Proveedores de servicios de síntesis y transcripción de voz utilizados en las videollamadas y en el procesamiento de audios (cuando el usuario active estas funciones).
• Integraciones con servicios de correo empresarial (Microsoft Graph u otros) cuando el usuario las active voluntariamente para sincronizar su buzón en la plataforma.

Puedes consultar el listado nominativo y vigente de subencargados del tratamiento en la página dedicada, con indicación del país, la categoría del servicio, las categorías de datos tratados y el marco legal que ampara cada transferencia internacional. Cualquier alta, baja o modificación material se anuncia a las organizaciones clientes responsables del tratamiento con treinta (30) días naturales de antelación, para que puedan ejercer su derecho de oposición conforme a la cláusula contractual correspondiente.

c) Tratamiento específico de datos bancarios (módulo Tesorería, PSD2).

Cuando el usuario decide conectar voluntariamente una cuenta bancaria en el módulo de Tesorería, UTILIA accede en modo sólo lectura a la información de la cuenta a través de la Directiva (UE) 2015/2366 (PSD2) y de las normas técnicas de regulación RTS UE 2018/389, en su redacción dada por el Reglamento Delegado (UE) 2022/2360. UTILIA actúa como prestador de servicios de información sobre cuentas (AIS) en nombre del usuario, apoyándose técnicamente en Enable Banking Oy, entidad finlandesa autorizada como AISP por la Autoridad Finlandesa de Supervisión Financiera (FIN-FSA), que actúa como encargada del tratamiento dentro del Espacio Económico Europeo y sin transferencia internacional fuera del EEE.

Datos accedidos:

• IBAN, código BIC y nombre del titular de las cuentas conectadas.
• Saldos contables y disponibles en cada momento de consulta.
• Movimientos bancarios (fecha contable y de valor, importe, divisa, concepto, contraparte e identificador de transacción) durante el plazo soportado por cada entidad (normalmente entre 90 días y 24 meses).
• Identificador de consentimiento PSD2 y token de sesión cifrado necesarios para mantener activo el permiso del usuario.

Base jurídica y consentimiento:

La conexión bancaria se realiza en ejecución del contrato con la organización cliente (art. 6.1.b RGPD) y previo consentimiento expreso del usuario tanto en UTILIA como en su propio banco mediante autenticación reforzada (SCA). UTILIA nunca conoce ni almacena las credenciales del banco del usuario: la autenticación se realiza íntegramente en la web o aplicación de la entidad financiera. UTILIA tampoco puede iniciar pagos ni modificar la cuenta; el acceso es estrictamente de lectura.

Duración del consentimiento:

El consentimiento PSD2 tiene una vigencia máxima de 180 días conforme al Reglamento Delegado (UE) 2022/2360. Transcurrido ese plazo, UTILIA solicita al usuario una nueva autenticación reforzada en su banco para renovar el permiso. El usuario puede revocar el consentimiento en cualquier momento tanto desde el módulo de Tesorería (sección Conexiones bancarias) como desde su propia banca electrónica, en cuyo caso UTILIA dejará de recibir movimientos nuevos y los datos ya descargados se mantendrán únicamente para las finalidades de conciliación contable ya iniciadas.

Conservación:

Los movimientos y saldos descargados se conservan durante la vigencia del servicio y, en su caso, durante seis (6) años adicionales mientras existan obligaciones contables aplicables a la organización cliente (art. 30 del Código de Comercio), bloqueados a efectos legales tras ese plazo.

Decisiones automatizadas:

UTILIA no toma decisiones individuales automatizadas con efectos jurídicos o significativos basadas en la información bancaria conforme al artículo 22 RGPD. El uso de la información se limita a la conciliación de facturas, cobros y pagos y a la representación visual de la tesorería de la organización cliente.

d) Tratamiento específico de los pagos con tarjeta (Stripe).

Los pagos con tarjeta se procesan a través de Stripe Payments Europe, Ltd. (Irlanda), entidad certificada como proveedor de servicios PCI DSS de nivel 1. UTILIA nunca recibe ni almacena el número completo de la tarjeta: los datos de la tarjeta viajan directamente del navegador del usuario a Stripe, que devuelve una referencia tokenizada. De cada tarjeta guardada, UTILIA conserva únicamente esa referencia, la marca, los últimos cuatro dígitos y la fecha de caducidad, con la única finalidad de que el usuario pueda reconocerla y de comprobar su vigencia.

d.1) Cobro de la suscripción a UTILIA.

Cuando la organización cliente paga su suscripción, sus complementos o el Saldo adicional de IA, UTILIA es el responsable del tratamiento y Stripe actúa como encargado por cuenta de UTILIA. Los datos tratados son la identidad y los datos de facturación del titular, su correo electrónico, la referencia tokenizada de la tarjeta junto con su marca, últimos cuatro dígitos y caducidad, los importes, la divisa y los metadatos de cada cobro, y, cuando el cliente autoriza el cobro automático de las renovaciones, el texto de esa autorización con su versión, fecha, dirección IP y navegador. Si el banco emisor exige autenticación reforzada (3D Secure), esta se realiza directamente entre el titular y su banco.

d.2) Cobros que la organización cliente hace a sus propios clientes.

La plataforma permite que una organización cliente conecte su propia cuenta de Stripe para cobrar con tarjeta a sus clientes. Esa cuenta es titularidad de la organización cliente, que confirma sus datos y acepta directamente las condiciones de Stripe durante el alta, sin intermediación de UTILIA. Por tanto:

• Los datos del cliente final (identidad, correo, tarjeta tokenizada, importes y metadatos del cobro) los trata Stripe al amparo de la relación contractual directa entre la organización cliente y Stripe, y no como subencargado de UTILIA.
• El responsable del tratamiento de esos datos frente al cliente final es la organización cliente, a la que corresponde informarle, recabar los consentimientos necesarios y atender sus derechos.
• UTILIA actúa como intermediario técnico: transmite la orden de cobro a Stripe y muestra su resultado en la plataforma, siempre como encargado del tratamiento de la organización cliente y siguiendo sus instrucciones. UTILIA no trata en ningún caso el número de la tarjeta del cliente final.

Puedes consultar cómo trata Stripe los datos personales, y la distinción que la propia Stripe establece entre el usuario empresarial y sus clientes finales, en su política de privacidad.

d.3) Conservación.

Los eventos técnicos que Stripe envía a la plataforma para comunicar el resultado de cada operación se conservan siete días y se eliminan de forma automática. Las autorizaciones de cobro automático se conservan durante su vigencia y, después, durante el plazo de prescripción de las acciones de cobro derivadas de las facturas cobradas a su amparo, por constituir la prueba de que el cobro estaba autorizado; son inmutables por diseño, de modo que ni UTILIA ni la organización cliente pueden alterar el texto, la fecha ni las circunstancias de una autorización ya firmada. El resto de plazos figura en el apartado 4 de esta política.

d.4) Transferencias internacionales.

La entidad contratante es europea (Irlanda). Las transferencias a Stripe, Inc. (Estados Unidos) se amparan en el marco indicado, para este proveedor, en el listado nominativo de subencargados, junto con las categorías de datos y el país de establecimiento.

Con carácter general procuramos tratar los datos personales dentro del Espacio Económico Europeo (EEE). No obstante, algunos de los servicios tecnológicos que utilizamos pueden implicar transferencias internacionales a terceros países, singularmente Estados Unidos o Reino Unido.

a) Garantías aplicables.

• EE. UU.: cuando el proveedor está certificado al amparo del EU-U.S. Data Privacy Framework, las transferencias se amparan en la Decisión de Ejecución (UE) 2023/1795 de la Comisión, que reconoce un nivel adecuado de protección. El Tribunal General de la UE confirmó la validez de esta decisión en su sentencia de 3 de septiembre de 2025.
• Reino Unido: las transferencias se amparan en la decisión de adecuación adoptada por la Comisión Europea para el Reino Unido y en sus posteriores prórrogas.
• Terceros países sin decisión de adecuación: aplicamos las cláusulas contractuales tipo aprobadas por la Comisión Europea mediante el Reglamento de Ejecución (UE) 2021/914, complementadas con medidas adicionales (cifrado, pseudonimización, contractuales y organizativas) cuando resulte necesario tras la correspondiente evaluación del impacto de la transferencia (Transfer Impact Assessment).

b) Evaluación del impacto de la transferencia.

Antes de iniciar una nueva transferencia internacional analizamos el marco legal del país de destino, las garantías del proveedor, el tipo de datos transferidos y los riesgos para los interesados, de acuerdo con las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos sobre medidas complementarias. Puedes solicitar información adicional sobre las transferencias aplicables a tu caso escribiéndonos a compliance@utilia.ai.

La normativa de protección de datos te reconoce los siguientes derechos, que puedes ejercer en cualquier momento y de forma gratuita conforme al artículo 12.5 del RGPD.

• Derecho de acceso (art. 15 RGPD): obtener confirmación de si estamos tratando tus datos y, en su caso, acceder a ellos y a la información sobre el tratamiento.
• Derecho de rectificación (art. 16 RGPD): solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión u olvido (art. 17 RGPD): solicitar la eliminación de tus datos cuando, entre otros motivos, ya no sean necesarios para la finalidad para la que fueron recabados.
• Derecho de oposición (art. 21 RGPD): oponerte al tratamiento de tus datos, incluida la oposición al tratamiento con fines de marketing directo, que es incondicional.
• Derecho a la portabilidad (art. 20 RGPD): recibir los datos que nos hayas facilitado en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable cuando el tratamiento se base en el consentimiento o en la ejecución de un contrato.
• Derecho a la limitación del tratamiento (art. 18 RGPD): solicitar que se limite el tratamiento en los supuestos previstos por la norma.
• Derecho a no ser objeto de decisiones automatizadas individuales, incluida la elaboración de perfiles (art. 22 RGPD).
• Derecho a retirar el consentimiento en cualquier momento, sin efectos retroactivos, cuando el tratamiento se base en dicho consentimiento (art. 7.3 RGPD).

Si tus datos están siendo tratados en el marco de la plataforma Utilia OS por una organización cliente (por ejemplo, porque eres contacto, cliente o empleado de dicha organización), te informamos de que la organización cliente es el responsable del tratamiento y UTILIA actúa como encargada. En ese caso dirigirás tu solicitud a la organización cliente; no obstante, si nos contactas a nosotros trasladaremos tu solicitud sin dilación y te indicaremos la identidad del responsable.

UTILIA SERVICIOS IA S. COOP. CAN. ha habilitado un canal específico de compliance y privacidad que concentra las funciones del Delegado de Protección de Datos (DPO) previstas en el artículo 39 del RGPD: información y asesoramiento, supervisión del cumplimiento, cooperación con la autoridad de control y punto de contacto con los interesados. Dado que la plataforma Utilia OS implica el tratamiento a gran escala de datos de organizaciones cliente y de sus contactos, UTILIA valora de forma periódica si procede la designación formal de un DPO al amparo del artículo 37.1.b) del RGPD.

Canal de privacidad y compliance

compliance@utilia.ai

Dirección postal

C/ Teniente Coronel Castillo Olivares, 26, piso 16, letra A-2, 35011 Las Palmas de Gran Canaria

Ámbito

Consultas, ejercicio de derechos, reclamaciones internas en materia de protección de datos y comunicación de brechas de seguridad.

Si consideras que el tratamiento de tus datos personales infringe la normativa vigente, o que tus solicitudes no han sido atendidas de manera adecuada, tienes derecho a presentar una reclamación ante una autoridad de control, conforme al artículo 77 del RGPD. La autoridad competente en España es la Agencia Española de Protección de Datos (AEPD).

Antes de acudir a la AEPD puedes dirigirte al canal de privacidad de UTILIA en compliance@utilia.ai. Si en el plazo de dos meses no has recibido respuesta o la respuesta no es satisfactoria, podrás dirigirte a la AEPD de acuerdo con el procedimiento previsto en los artículos 64 y siguientes de la LOPDGDD.

Aplicamos las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD, considerando el estado de la técnica, el coste de aplicación, la naturaleza y alcance del tratamiento y los riesgos para los derechos y libertades de las personas.

• Cifrado de las comunicaciones mediante TLS 1.2 o superior y cifrado en reposo de los datos almacenados y de las copias de seguridad.
• Seudonimización y separación lógica de los datos de cada organización cliente (segregación multi-tenant).
• Control de accesos basado en roles (RBAC), con principio de mínimo privilegio y ámbitos de visibilidad por organización, departamento, asignación o persona.
• Verificación en dos pasos a disposición de todas las personas usuarias, con aplicación de autenticación de un solo uso, códigos de recuperación de un solo uso y confirmación desde la aplicación móvil mediante la elección de un número entre tres, para impedir que una aprobación se conceda por inercia. La organización cliente puede exigirlo a quienes administran su cuenta; para quien administra la plataforma es obligatorio.
• Protección de los testigos de sesión: en el navegador y en la aplicación de escritorio, el testigo de renovación se entrega en una cookie que el código de la página no puede leer, restringida a la ruta de autenticación y a nuestro propio sitio, y no se guarda en el almacenamiento del navegador; en las aplicaciones móviles vive en el llavero cifrado del sistema operativo. En el servidor, los testigos se conservan mediante su resumen criptográfico, nunca en claro.
• Bloqueo de la pantalla tras un periodo de inactividad, cuya duración fija la organización cliente, y purga de los datos guardados en el aparato al cerrar sesión.
• Control de la propia cuenta por la persona usuaria: consulta de las sesiones abiertas con su dispositivo, dirección IP y ubicación aproximada, cierre inmediato de cualquiera de ellas y avisos sobre los acontecimientos de seguridad de su cuenta, con la posibilidad de elegir por qué canal los recibe.
• Medidas de contención frente a la extracción masiva de información a disposición de la organización cliente: límite de exportaciones y descargas masivas por hora, modo restringido que las congela sin interrumpir la consulta ordinaria y lista de dominios autorizados para las salidas de información hacia sistemas externos. Su activación queda registrada en el registro de auditoría con la identidad de quien la decidió.
• Registros de auditoría que permiten trazar quién accede a qué información, cuándo y desde dónde, encadenados mediante resúmenes criptográficos que hacen detectable cualquier alteración.
• Copias de seguridad periódicas, con pruebas de restauración y almacenamiento en ubicaciones diferenciadas.
• Revisiones de seguridad, análisis de vulnerabilidades y gestión de parches de los sistemas y dependencias de terceros.
• Formación continua en protección de datos y seguridad de la información para el personal con acceso a los sistemas.
• Procedimiento documentado de respuesta a brechas de seguridad con notificación a la AEPD en el plazo de 72 horas cuando sea procedente (art. 33 RGPD) y a los interesados cuando el riesgo sea alto (art. 34 RGPD).

Utilia OS es una plataforma dirigida a organizaciones profesionales y a sus empleados, colaboradores y clientes. No está dirigida específicamente a menores de edad y no recoge datos personales de manera consciente de menores de catorce años, salvo en el contexto de las excepciones del artículo 7 de la LOPDGDD.

Conforme al artículo 7 de la LOPDGDD, el tratamiento de datos personales de un menor de edad podrá fundarse en su consentimiento cuando sea mayor de catorce años. El tratamiento de los datos de menores de catorce años, fundado en el consentimiento, solo será lícito si consta el de quienes ostenten la patria potestad o tutela.

Nuestro sitio web y la plataforma utilizan cookies y tecnologías similares estrictamente necesarias para el funcionamiento del servicio, así como cookies adicionales sujetas a consentimiento previo en los términos del artículo 22.2 de la Ley 34/2002 (LSSI-CE) y de la Directiva 2002/58/CE (ePrivacy).

Puedes consultar la información detallada sobre las cookies que utilizamos, su finalidad, duración y cómo gestionar tu consentimiento en nuestra Política de cookies.

UTILIA podrá modificar esta Política de privacidad para adaptarla a cambios normativos, jurisprudenciales, operativos o a la incorporación de nuevas funcionalidades de la plataforma. Cuando la modificación sea sustancial te la comunicaremos, con una antelación razonable (al menos treinta días naturales cuando sea posible), a través del propio producto, mediante correo electrónico a la dirección que conste como principal de tu cuenta o mediante aviso destacado en el sitio web.

Si no estás de acuerdo con los cambios podrás ejercer, cuando proceda, el derecho a retirar el consentimiento, cancelar tu cuenta o solicitar la supresión de tus datos conforme al apartado 7 de esta Política.