Política de privacidad

1. Responsable y roles en el tratamiento

El servicio Frage es operado por Ideapunkt Systems ([Completar domicilio social], España / UE). Contacto de privacidad: privacy@ideapunkt.example. Si se nombra un DPO, sus datos se publicarán en esta política.

• Datos de cuenta y uso de la plataforma (registro, autenticación, facturación de consumo, bitácoras técnicas): Ideapunkt Systems actúa como responsable del tratamiento.
• Contenido de las entrevistas(respuestas, audio, transcripciones, material visual de apoyo en preguntas, artefactos y resultados): la organización cliente (“organización invitante”) actúa como responsable; Ideapunkt Systems actúa como encargado del tratamiento conforme al art. 28 RGPD. Ver Acuerdo de encargo (DPA).

2. Categorías de datos personales

• Identificación y contacto de usuarios internos: nombre, correo, organización, rol, preferencia de idioma.
• Credenciales y seguridad: hash de contraseña (gestionado por PocketBase), MFA, eventos de acceso y auditoría sin contenido de entrevista.
• Datos de participantes: respuestas en texto o voz, transcripción, análisis derivado, idioma, marcas de tiempo, versión y hash del consentimiento (versión 2026-07-26.3).
• Datos técnicos: dirección IP truncada o identificadores de red para limitación de abuso, cookies descritas en la Política de cookies, registros de errores sin contenido sensible.
• Datos de consumo: tokens, minutos de audio y costes estimados por organización.

Frage no está diseñado para tratar categorías especiales del art. 9 RGPD (salud, ideología, biometría con fines identificativos, etc.). El cliente se obliga a no solicitarlas salvo base legal reforzada y evaluación de impacto propias.

3. Finalidades y bases jurídicas (art. 6 RGPD)

• Prestación del servicio SaaS (cuenta, panel, publicación de entrevistas, soporte técnico): ejecución de contrato (art. 6.1.b).
• Entrevista con participantes: el cliente aporta la base jurídica frente al interesado (habitualmente consentimiento art. 6.1.a y/o interés legítimo art. 6.1.f debidamente ponderado). Frage trata esos datos solo bajo instrucciones documentadas del cliente.
• Grabación y transcripción de voz: consentimiento explícito del participante en la pantalla de consentimiento antes de iniciar.
• Seguridad, prevención de abuso y cumplimiento: interés legítimo (art. 6.1.f) y, cuando proceda, obligación legal (art. 6.1.c).
• Cookies no esenciales: consentimiento (art. 6.1.a RGPD y normativa ePrivacy). Ver /cookies.

4. Destinatarios y subencargados

Podemos comunicar datos a proveedores que prestan infraestructura y funciones del servicio, vinculados por contrato de encargo:

• Alojamiento de aplicación y base de datos (p. ej. Coolify / VPS y PocketBase).
• Proveedores de IA y transcripción (p. ej. OpenAI u otros configurados por el cliente mediante BYOK).
• Correo transaccional opcional (p. ej. Resend), si está configurado.

La lista actualizada de subencargados puede solicitarse a privacy@ideapunkt.example. El cliente será informado de cambios relevantes en subencargados del contenido de entrevistas conforme al DPA.

5. Transferencias internacionales

Si un proveedor trata datos fuera del EEE, se aplicarán garantías adecuadas del capítulo V RGPD (típicamente Cláusulas Contractuales Tipo de la Comisión Europea y medidas suplementarias). El cliente que active BYOK con un proveedor fuera del EEE es responsable de evaluar esa transferencia respecto del contenido que envía.

6. Plazos de conservación

• Datos de cuenta: mientras la organización mantenga el contrato y, tras la baja, el tiempo necesario para reclamaciones y obligaciones legales.
• Contenido de entrevistas: según la política de retención configurada por la organización invitante; después se elimina mediante purga automatizada.
• Registros de auditoría y seguridad: plazos limitados orientados a investigación de incidentes y cumplimiento.
• Preferencia de cookies: hasta 12 meses o hasta que la retires.

7. Derechos de las personas interesadas

Puedes ejercer, cuando proceda:

• Acceso, rectificación, supresión (art. 15–17).
• Limitación y oposición (art. 18 y 21).
• Portabilidad (art. 20).
• Retirada del consentimiento en cualquier momento (art. 7.3), sin afectar la licitud del tratamiento previo.
• Reclamación ante la autoridad de control competente (en España, la Agencia Española de Protección de Datos — AEPD).

Si tus datos forman parte de una entrevista, ejerce primero tus derechos ante la organización que te invitó (responsable). Si eres usuario de cuenta, contacta a privacy@ideapunkt.example. Los propietarios/administradores pueden exportar o borrar datos de su organización desde las herramientas de privacidad del producto.

8. Decisiones automatizadas e IA

Frage genera preguntas de seguimiento y análisis con modelos de IA. Estas salidas asisten a la organización y no constituyen decisiones automatizadas que produzcan efectos jurídicos o similares significativos en el sentido del art. 22 RGPD. La organización debe revisar los resultados antes de actuar. El sistema no afirma ser humano.

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito (HTTPS), aislamiento lógico multi-tenant, secretos fuera del navegador, tokens de invitación hasheados, control de origen en mutaciones, límites de consumo, cifrado de credenciales BYOK y MFA para cuentas administrativas. Ninguna medida es infalible; reporta incidentes a privacy@ideapunkt.example.

10. Menores

El servicio no está dirigido a menores de 16 años (o la edad digital aplicable en tu Estado miembro). No recopilamos deliberadamente datos de menores.

11. Actualizaciones

Podemos actualizar esta política. Los cambios materiales se reflejarán en la versión documental y, cuando afecten al aviso de consentimiento de entrevista, en 2026-07-26.3 y su hash. Consulta también Términos, Cookies, Aviso legal y DPA.