Política de privacidad

En Hexio nos importan tus datos. Esta política explica, en términos claros, quién los trata, por qué, durante cuánto tiempo y qué derechos tienes. Si tienes alguna pregunta tras leerla, escríbenos a privacy@hexio.work.

1. Responsable del tratamiento

Núvol Digital S.L., como entidad operadora de la plataforma Hexio.

• NIF: B-XXXXXXXX (placeholder)
• Dirección: Cataluña, España (placeholder pendiente de registro definitivo)
• Contacto de privacidad: privacy@hexio.work
• Delegado de Protección de Datos: consúltanos si necesitas el contacto directo

Damos en el Blanco colabora como co-creador del producto pero no actúa como responsable del tratamiento en esta web.

2. Qué datos recogemos

Recogemos solo los datos estrictamente necesarios para las finalidades descritas a continuación:

• Datos del formulario de contacto: nombre, email, empresa, teléfono (opcional), tema y mensaje.
• Cookies técnicas de autenticación: las estrictamente necesarias para mantenerte identificado en el panel. No utilizamos cookies analíticas de terceros.
• Logs técnicos: dirección IP, user-agent, timestamps y errores. Se utilizan exclusivamente para seguridad y diagnóstico, no para perfilado.
• Datos del panel (clientes): los datos que cargas en la plataforma (clientes, facturas, proyectos, etc.) se tratan bajo un contrato de encargado del tratamiento separado — esta política de privacidad aplica solo al sitio web público.

3. Finalidades

• Responder tus consultas y organizar reuniones o demos.
• Enviarte información concreta que nos pidas (oferta, ficha técnica).
• Mantener el sitio web operativo, seguro y sin errores.
• Cumplir obligaciones legales (fiscales, mercantiles) si llegamos a tener relación contractual.

No utilizamos tus datos para hacer remarketing, ni los vendemos ni cedemos a terceros no operativos.

4. Base legal

• Consentimiento (art. 6.1.a RGPD) para el formulario de contacto y las comunicaciones iniciadas por ti.
• Ejecución de un contrato (art. 6.1.b RGPD) una vez hay relación comercial activa entre tú y Núvol Digital S.L.
• Interés legítimo (art. 6.1.f RGPD) para logs técnicos y seguridad del sitio web.
• Obligación legal (art. 6.1.c RGPD) para conservación fiscal de facturas.

5. Derechos ARCO y cómo ejercerlos

Tienes derecho a:

• Acceder a los datos que tenemos sobre ti.
• Rectificarlos si son incorrectos.
• Suprimirlos ("derecho al olvido").
• Oponerte al tratamiento o limitarlo.
• Portabilidad: recibir tus datos en CSV/JSON para llevarlos a otro proveedor.
• No ser objeto de decisiones automatizadas con efectos jurídicos.

Para ejercerlos, escríbenos a privacy@hexio.work indicando en el asunto el derecho que quieres ejercer. Te responderemos en menos de 30 días. Si crees que no te hemos atendido correctamente, puedes presentar reclamación ante la Agencia Española de Protección de Datos (aepd.es) o la Autoridad Catalana de Protección de Datos (apdcat.gencat.cat).

6. Conservación

• Formulario de contacto sin relación comercial posterior: 12 meses.
• Relación contractual activa: mientras dure la relación + 6 años por obligaciones fiscales/mercantiles.
• Logs técnicos: 90 días, después se anonimizan o eliminan.

7. Encargados del tratamiento

Para operar el servicio utilizamos proveedores europeos que actúan como encargados bajo contrato:

• OVH SAS (Francia) y Hetzner Online GmbH (Alemania) — hosting y bases de datos.
• Google LLC — autenticación OAuth si activas "Inicia sesión con Google" (tus datos se quedan en la UE; solo pasa por Google la verificación de identidad).
• Stripe Payments Europe Ltd. (Irlanda) — pagos futuros, cuando se activen.

Todos tienen contratos de encargado firmados según el art. 28 RGPD.

8. Transferencias internacionales

Por defecto, tus datos no salen de la Unión Europea. En los casos en que algún proveedor pueda procesar datos fuera de la UE (por ejemplo, Google para OAuth), se hace bajo Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y con las garantías adicionales que esta exige.

9. Medidas de seguridad

• Cifrado en tránsito: todo el tráfico vía HTTPS con TLS 1.2 o superior.
• Cifrado en reposo: bases de datos y copias cifradas AES-256.
• Copias de seguridad: diarias, retenidas 30 días, en localizaciones geográficas separadas dentro de la UE.
• Control de acceso: autenticación en dos pasos obligatoria para personal interno. Mínimo privilegio.
• Auditoría: registros de acceso y cambios sobre datos sensibles, conservados según la normativa.

10. Cambios en la política

Si actualizamos esta política, actualizaremos la fecha de "última actualización" al inicio del documento y, si los cambios son relevantes, te avisaremos por email (si eres cliente) o con un aviso visible en la web.

Este documento intenta ser un compromiso de práctica real, no un texto hecho para cubrirnos las espaldas. Si encuentras algo poco claro, háznoslo saber.