Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales conforme al RGPD es:

Octon Holding GmbH
representado por: Mio McQueen (director gerente)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
Correo electrónico: team@octonholding.de

Cuando la plataforma trata datos personales de terceros (como los clientes, leads o contactos del usuario) por cuenta del usuario, el usuario es el responsable del tratamiento conforme al RGPD y la plataforma es el encargado del tratamiento. Los términos aplicables se recogen en el Acuerdo de Tratamiento de Datos (DPA).

2. Recogida y almacenamiento de datos personales

2.1 Al visitar el sitio web

Cuando visitas nuestro sitio web, tu navegador envía automáticamente información a nuestro servidor, que se almacena temporalmente en un archivo de registro:

• Dirección IP del dispositivo solicitante
• Fecha y hora de acceso
• Nombre y URL del archivo solicitado
• Sitio web desde el que se originó el acceso (URL de referencia)
• Navegador utilizado y, en su caso, sistema operativo

Periodo de conservación del archivo de registro: 30 días.

2.2 Registro y uso

Cuando te registras, recopilamos:

• Nombre
• Dirección de correo electrónico
• Hora de aceptación y versión de las Condiciones, Política de Privacidad y DPA aceptadas

El inicio de sesión utiliza un enlace mágico de un solo uso o un código enviado por correo electrónico, sin contraseña. Las cookies de sesión son HttpOnly y necesarias para iniciar sesión.

Cuando utilizas la plataforma, almacenamos información empresarial (datos de la empresa, ofertas, páginas, contactos, facturas y datos de pago) para prestar el servicio.

2.3 Sugerencias de idioma y país

Guardamos durante un máximo de doce meses un idioma que selecciones explícitamente en la cookie bestride_locale y, cuando inicias sesión, en tu cuenta para proporcionarte el idioma solicitado (artículo 6(1)(b) del RGPD; artículo 25(2)(2) del TDDDG). Puedes cambiar el idioma o eliminar la cookie a través de tu navegador. Cuando la detección de país está activada, la IP de tu conexión se compara con una base de datos local de países. Esta función no crea historial adicional de IP ni hace ninguna solicitud a un servicio externo de IP. El resultado es una sugerencia que puedes corregir; tú mismo confirmas tu ubicación empresarial. La consulta admite la selección de país (artículo 6(1)(f) del RGPD).

3. Finalidades del tratamiento

Tratamos tus datos personales para las siguientes finalidades:

• Proporcionar el sitio web y sus funciones
• Crear y gestionar tu cuenta de usuario
• Prestar nuestros servicios SaaS
• Procesar pagos
• Comunicarnos contigo (soporte, actualizaciones y notificaciones de tareas)
• Mejorar el servicio
• Cumplir las obligaciones legales de conservación

4. Bases jurídicas

El tratamiento se basa en los siguientes fundamentos jurídicos:

• Artículo 6, apartado 1, letra a) del RGPD – consentimiento (cookies analíticas y de marketing opcionales)
• Artículo 6, apartado 1, letra b) del RGPD – ejecución de un contrato (prestación del servicio)
• Artículo 6, apartado 1, letra c) del RGPD – obligación legal (conservación de registros fiscales)
• Artículo 6, apartado 1, letra f) del RGPD – intereses legítimos (seguridad, prevención del uso indebido y análisis anonimizado)

5. Cookies

Usamos cookies en nuestro sitio web. Las cookies son pequeños archivos de texto que tu navegador almacena en tu dispositivo.

Tipos de cookies:

• Cookies esenciales: Necesarias para las funciones básicas (sesión de inicio de sesión y un ajuste de idioma solicitado explícitamente por ti)
• Cookies analíticas: Nos ayudan a entender el uso (solo con consentimiento)
• Cookies de marketing: Para la medición de publicidad (solo con consentimiento)
• Otras cookies de preferencias: Guardan ajustes opcionales (solo con consentimiento)

Puedes cambiar la configuración de las cookies en cualquier momento en tu navegador o a través de nuestro banner de cookies.

Los sitios web de usuarios de los fundadores (sitios de subdominio) cuentan las visitas en el servidor sin cookies; este contador no requiere consentimiento para cookies.

5a. Analítica web y seguimiento de marketing

Utilizamos los siguientes servicios de analítica y marketing. Solo se cargan después de tu consentimiento expreso a través de nuestro banner de cookies (base jurídica: artículo 6, apartado 1, letra a) del RGPD y sección 25, apartado 1, del TDDDG). No se envían datos a estos proveedores antes del consentimiento. Puedes retirar tu consentimiento en cualquier momento con efecto para el futuro.

• Google Analytics 4 (Google Ireland Ltd.): Análisis de audiencia y uso. Se ha habilitado la anonimización de IP. Las transferencias a EE. UU. están protegidas mediante las Cláusulas Contractuales Tipo (SCC) de la UE y el Marco de Privacidad de Datos UE-EE. UU. (DPF).
• Meta Platforms Ireland Ltd. (Meta Pixel): Medición y optimización de campañas publicitarias. Transferencias a EE. UU. (SCC/DPF).
• LinkedIn Ireland Unlimited Company (Insight Tag): Seguimiento de conversiones para publicidad en LinkedIn. Transferencias a EE. UU. (SCC/DPF).
• PostHog (PostHog EU B.V./Ltd.): Analítica de producto para mejorar la aplicación. Alojado en la UE (eu.posthog.com).

6. Funciones de IA

La plataforma incluye funciones de IA que analizan la información empresarial para crear ofertas, páginas, textos y recomendaciones.

• El procesamiento de IA tiene lugar cuando se utiliza la función correspondiente
• Los datos no se utilizan para entrenar nuestros propios modelos de IA ni los de terceros. Un acuerdo de tratamiento de datos con Anthropic incluye una disposición de no entrenamiento
• El tratamiento se realiza en parte en servidores de Frankfurt (UE) y en parte a través de Anthropic PBC (EE. UU.), protegido por SCC
• El contenido generado por IA se identifica como tal en la plataforma (artículo 50 de la Ley de IA de la UE)

6a. Imágenes cargadas y generadas

Las imágenes cargadas y generadas se almacenan en tu sistema de gestión de documentos empresariales. Cuando pides al agente que revise o coloque una imagen, la imagen y sus instrucciones pueden enviarse al servicio de IA utilizado para el análisis visual. Para la generación de imágenes, enviamos la descripción de la imagen y los parámetros de salida a la API de OpenAI; después, el agente de IA puede revisar visualmente el resultado. El tratamiento proporciona la función que solicitas (artículo 6(1)(b) del RGPD).

OpenAI documenta que los datos de la API no se utilizan para el entrenamiento de forma predeterminada, salvo que se compartan explícitamente. Los registros de supervisión de abusos pueden conservarse, por lo general, hasta 30 días, o más en casos excepcionales justificados. Aquí no se asume ningún compromiso de Zero Data Retention. OpenAI: controles de datos de la API

7. Seguridad de los datos

Utilizamos medidas técnicas y organizativas para proteger los datos frente a la manipulación, la pérdida, la destrucción y el acceso no autorizado:

• Cifrado TLS para las transferencias de datos
• Cifrado AES-256-GCM de credenciales y tokens sensibles
• Servidores en centros de datos alemanes (AWS Frankfurt, UE)
• Copias de seguridad diarias cifradas, conservadas en S3 durante 30 días
• Separación estricta de los datos de los inquilinos en el acceso a la base de datos
• Controles de acceso y registro de operaciones sensibles
• No se almacenan contraseñas (autenticación sin contraseña mediante enlace mágico)

Los detalles de las medidas técnicas y organizativas se facilitan en el DPA (sección 7).

8. Comunicación de datos y proveedores de servicios

Los datos personales solo se comunican a terceros con consentimiento expreso, para la ejecución del contrato, cuando lo exija la ley o a subencargados de tratamiento incluidos en el DPA como parte del tratamiento por nuestra cuenta.

Proveedores de servicios:

• Amazon Web Services EMEA SARL (alojamiento, almacenamiento de datos y envío de correos a través de SES) — ubicación del servidor: Frankfurt am Main, UE
• Stripe Payments Europe Ltd. (procesamiento de pagos) — con sede en Irlanda (región de datos de la UE)
• Anthropic PBC (procesamiento de IA) — con sede en EE. UU.; DPA con cláusula de no entrenamiento y SCC en vigor
• OpenAI (generación de imágenes mediante API; descripciones de imágenes y parámetros de salida). Es posible el tratamiento fuera de la UE; deben observarse las condiciones de tratamiento e internacional transferencia aplicables.
• Lexware GmbH / lexoffice (integración contable, solo cuando esté conectada) — con sede en Alemania
• Openprovider B.V. (registrador de dominios, solo cuando se compra un dominio a través de la plataforma) — con sede en los Países Bajos (UE). Si compras un dominio a través de BeStride AI, usamos la dirección de facturación facilitada durante el pago como datos del titular del dominio y se la pasamos a Openprovider y al registro correspondiente (como DENIC eG para dominios .de). La misma información también puede usarse para rellenar previamente tu aviso legal.
• Google Analytics 4 / Meta Platforms / LinkedIn / PostHog (solo con consentimiento; consulta la sección 5a)

Para transferencias a terceros países (EE. UU.), la protección se proporciona mediante las Cláusulas Contractuales Tipo de la UE (SCC) y, cuando proceda, el Marco de Privacidad de Datos UE-EE. UU. (DPF).

9. Tus derechos

Tienes los siguientes derechos en relación con tus datos personales:

• Acceso (artículo 15 del RGPD): Información sobre los datos que almacenamos sobre ti
• Rectificación (artículo 16 del RGPD): Corrección de datos inexactos
• Supresión (artículo 17 del RGPD): Eliminación de tus datos
• Limitación (artículo 18 del RGPD): Limitación del tratamiento
• Portabilidad de los datos (artículo 20 del RGPD): Exportación de tus datos (JSON / CSV / PDF)
• Oposición (artículo 21 del RGPD): Oposición al tratamiento
• Retirada del consentimiento: En cualquier momento con efecto para el futuro

Contacto: team@octonholding.de. El acceso, la rectificación, la supresión y la exportación también están disponibles directamente en la configuración de la cuenta de la plataforma.

9a. Decisiones automatizadas (artículo 22 del RGPD)

La plataforma incluye funciones que realizan clasificaciones automatizadas, en particular:

• Escaneo de recibos: Los recibos entrantes se categorizan automáticamente (tipo impositivo y centro de costes). Puedes corregir la clasificación manualmente en cualquier momento.
• Puntuación de contactos: Los envíos de formularios se evalúan según criterios de calidad. La evaluación es visible y puede anularse manualmente.

Estas clasificaciones no son decisiones automatizadas vinculantes desde el punto de vista jurídico en el sentido del artículo 22 del RGPD; una persona confirma la decisión. Puedes revisar y corregir cada decisión en cualquier momento.

Si tienes preguntas sobre decisiones automatizadas, contacta con team@octonholding.de.

10. Plazos de conservación

• Datos de la cuenta: Hasta que se elimine la cuenta
• Datos empresariales: Hasta que los elimine el usuario o al eliminar la cuenta
• Facturas y registros contables: Durante el plazo legal de conservación aplicable; los justificantes contables se conservan por lo general durante ocho años conforme al artículo 147(3) de la AO. Otros tipos de registros y circunstancias legales especiales pueden requerir plazos distintos.
• Archivos de registro: 30 días
• Plazo de gracia tras la finalización del contrato: 30 días para exportar los datos, seguidos de su eliminación permanente
• Rotación de copias de seguridad: Eliminación completa de las copias de seguridad en un plazo máximo de 90 días

11. Derecho a presentar una reclamación

Tienes derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos.

Para usuarios con sede en Alemania:

Comisario Estatal de Protección de Datos y Libertad de Información de Baden-Württemberg
Königstraße 10a, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Para usuarios con sede en Austria:

Autoridad Austriaca de Protección de Datos
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

Para usuarios con sede en Suiza:

Comisionado Federal de Protección de Datos e Información (FDPIC)
Feldeggweg 1, 3003 Bern
www.edoeb.admin.ch

12. Cambios

Podemos actualizar esta Política de Privacidad para reflejar cambios en la ley o en nuestro servicio. La versión vigente está disponible en esta página. Te notificaremos los cambios importantes con suficiente antelación por correo electrónico o a través del software.