Política de Tratamiento de Datos Personales

1. Responsable del tratamiento

Bravo Solutions OÜ, sociedad constituida en Estonia, titular de la marca Innovatrix, actúa en calidad de Responsable del Tratamiento conforme al Reglamento (UE) 2016/679 (RGPD). Para usuarios residentes en España resulta de aplicación adicional la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

Bravo Solutions OÜ tiene sede social en Estonia y mantiene presencia comercial en Madrid (España).

Contacto para asuntos relacionados con datos personales: soporte@innovatrix.es.

2. Datos personales que recolectamos

Al crear una cuenta y usar Innovatrix recolectamos las siguientes categorías de datos:

• Datos de identificación: nombre, apellidos, correo electrónico, país.
• Datos de contacto profesional: empresa, cargo, teléfono.
• Datos de uso comercial: sector económico, tamaño de empresa, propósito declarado de uso.
• Contenido generado por el usuario: ideas, sesiones de matriz, anotaciones, exportaciones — privado por defecto.
• Datos técnicos: dirección IP, agente de usuario, timestamps de inicio/cierre de sesión, eventos de autenticación (registrados en auth_events para auditoría).

3. Finalidades del tratamiento

Tratamos tus datos para las siguientes finalidades:

• Operar el servicio: crear y mantener tu cuenta, ejecutar la matriz de innovación con IA, generar reportes, facturar.
• Soporte: responder a tus consultas, diagnosticar problemas técnicos.
• Seguridad: detectar abuso, fraude, reutilización de tokens de sesión, ataques de fuerza bruta.
• Comunicaciones del producto: notificaciones transaccionales (verificación de email, reset de contraseña, alertas de cuenta) — opt-out no aplica para estas.
• Marketing — sólo con tu autorización expresa: newsletters, lanzamiento de funcionalidades, campañas. Puedes revocar este consentimiento en cualquier momento desde /account/privacy.

4. Derechos del interesado

Como interesado en el tratamiento de tus datos personales tienes derecho a (Arts. 15–22 RGPD y Arts. 13–18 LOPDGDD):

• Acceso a tus datos personales y a la información sobre cómo los tratamos (Art. 15 RGPD).
• Rectificación de datos inexactos o incompletos (Art. 16 RGPD).
• Supresión ("derecho al olvido") cuando los datos ya no sean necesarios o retires el consentimiento (Art. 17 RGPD).
• Limitación del tratamiento en los supuestos del Art. 18 RGPD.
• Portabilidad: recibir tus datos en formato estructurado y de uso común, o que los transmitamos a otro responsable (Art. 20 RGPD).
• Oposición al tratamiento, incluyendo el basado en intereses legítimos y la creación de perfiles (Art. 21 RGPD).
• Retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo (Art. 7.3 RGPD).
• Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

5. Procedimiento para ejercer derechos

1. Envía una solicitud a soporte@innovatrix.es indicando tu nombre completo, correo registrado y la solicitud específica (acceso, rectificación, supresión, etc.).
2. Responderemos en el plazo máximo de un mes desde la recepción, prorrogable dos meses más en casos de especial complejidad (Art. 12.3 RGPD), informándote de la prórroga dentro del primer mes.
3. Para eliminación directa de tu cuenta puedes ir a /account/profile y usar la opción "Eliminar mi cuenta" — el proceso es inmediato; los datos quedan en estado deleted 30 días para soporte y luego se borran físicamente.

6. Transferencias internacionales

Para operar el servicio podemos transferir tus datos a los siguientes encargados del tratamiento ubicados fuera del Espacio Económico Europeo (EEE):

• Proveedores de infraestructura cloud (Vercel, Inc. – Estados Unidos; Neon Inc. – Estados Unidos) para hospedar la aplicación y la base de datos.
• Proveedor de IA (z.ai / Zhipu AI – China) para ejecutar los prompts de generación de matriz. Las ideas que generes se envían al proveedor de IA bajo política de "zero data retention": ni el contenido ni los embeddings se usan para entrenamiento del modelo.
• Proveedor de correo transaccional (Resend, Inc. – Estados Unidos) para enviarte emails de verificación y notificaciones.

Estas transferencias se realizan bajo las garantías previstas en el Capítulo V del RGPD. Para destinos sin decisión de adecuación de la Comisión Europea (EE. UU., China) aplicamos las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Decisión de Ejecución (UE) 2021/914, junto con medidas suplementarias técnicas y organizativas.

7. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: cifrado en tránsito (TLS 1.2+), contraseñas almacenadas con bcrypt cost 12, tokens de sesión httpOnly + Secure + SameSite, rotación de refresh tokens con detección de reuso, auditoría append-only de eventos de autenticación, y separación lógica entre datos de usuarios distintos a nivel de aplicación y base de datos.

8. Cookies

Usamos cookies estrictamente necesarias para mantener tu sesión (gi_session, gi_refresh, gi_csrf) que están exentas de consentimiento conforme al Art. 22.2 de la LSSI-CE. No usamos cookies de terceros con fines publicitarios. Las cookies analíticas (si las hubiera) requieren tu consentimiento explícito conforme a la LSSI-CE y la Guía sobre el uso de cookies de la AEPD.

9. Cambios en la política

Esta política puede modificarse. Notificaremos cualquier cambio material por correo electrónico con al menos 15 días de anticipación. El uso continuado del servicio tras la entrada en vigor implica aceptación de los términos actualizados.

10. Autoridad de control

La autoridad principal de control de Bravo Solutions OÜ es la Andmekaitse Inspektsioon (AKI) de Estonia. Conforme al Art. 77 RGPD, como interesado puedes presentar tu reclamación ante esa autoridad o, alternativamente, ante la autoridad de control de tu lugar de residencia habitual.

Para usuarios residentes en España, esa autoridad es la Agencia Española de Protección de Datos (AEPD) —C/ Jorge Juan, 6, 28001 Madrid—. Todo ello sin perjuicio de tu derecho a acudir a los tribunales competentes.

Este texto es la versión vigente. Versiones anteriores quedan archivadas; puedes solicitarlas escribiéndonos.