Política de privadesa

1. Responsable del tractament i abast

• Responsable: Antonio Samuel Martín Polo, que opera amb el nom comercial Autonomio i la marca ImmigraFlow (d’ara endavant, el «Prestador»)
• NIF: 50555557Q
• Domicili: Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España
• Correu electrònic: hello@immigraflow.io
• Lloc web: immigraflow.io

ImmigraFlow és una plataforma per a despatxos que porten expedients d’estrangeria. Aquesta política explica com tracta el Prestador les dades de què és responsable: les dels despatxos que contracten ImmigraFlow i els seus usuaris, i les de les persones que visiten el lloc web o contacten amb el Prestador.

Les dades dels clients de cada despatx (expedients, documents, missatges) les decideix i les controla el despatx, que n’és el responsable. El Prestador les tracta només per compte del despatx, com a encarregat del tractament, conforme al Contracte d’encàrrec del tractament. Si ets client d’un despatx que fa servir ImmigraFlow, el despatx és qui t’informa sobre el tractament de les teves dades i davant qui pots exercir els teus drets (secció 8).

2. Dades que tractem

2.1. Despatxos i els seus usuaris

• Identificació i contacte: nom, correu electrònic, telèfon i rol de cada usuari; denominació, NIF i domicili del despatx.
• Accés: credencials d’accés (la contrasenya la desa xifrada el proveïdor d’autenticació) o inici de sessió amb Google.
• Facturació de la subscripció: pla, mòduls, imports i estat dels pagaments. Els pagaments els processa Stripe; el Prestador no emmagatzema dades de targetes.
• Suport i comunicacions: consultes, incidències i converses amb l’assistent de suport.
• Ús de la Plataforma: activitat i registres tècnics i, si l’usuari accepta les galetes d’analítica, dades d’ús segons la Política de galetes.

2.2. Visitants i contactes

• Formularis: les dades que facilitis en demanar informació, registrar-te en un webinar, subscriure’t al butlletí o començar una prova gratuïta (nom, correu, telèfon, despatx i missatge).
• Origen de la visita: la campanya o l’enllaç pel qual arribes al lloc web, que es desa a la sessió del teu navegador i s’associa al teu registre només si et registres.

2.3. Dades recollides automàticament

• Dades de navegació: adreça IP, tipus de navegador, idioma i pàgines visitades.
• Prevenció d’abusos en les proves gratuïtes: per evitar l’ús abusiu de les proves gratuïtes, en crear un compte es desa una empremta irreversible (hash) de l’adreça IP des de la qual es crea, no l’adreça IP en si. Es conserva al registre del compte mentre el compte existeixi i només s’utilitza per comptar quants comptes es creen des d’una mateixa IP en un dia.
• Galetes: segons es descriu a la Política de galetes.

3. Finalitats del tractament

• Prestació del servei: donar d’alta i mantenir el compte del despatx i dels seus usuaris i prestar el servei contractat.
• Facturació: cobrar la subscripció i emetre les factures.
• Suport: atendre consultes i incidències, també amb un assistent d’intel·ligència artificial.
• Comunicacions del servei: avisos sobre el compte, la seguretat, la prova gratuïta i els canvis dels Termes.
• Comunicacions comercials: el butlletí i els webinars, a qui s’hi subscriu, i novetats d’ImmigraFlow als despatxos clients. Totes inclouen la manera de donar-se de baixa.
• Analítica i mesurament de campanyes: entendre com s’utilitzen el lloc web i la Plataforma i mesurar els resultats de la publicitat, només amb el teu consentiment.
• Seguretat: prevenir el frau i els abusos i registrar els errors tècnics per corregir-los.
• Compliment legal: obligacions fiscals, comptables i de qualsevol altre tipus que siguin aplicables.

4. Base legal del tractament

5. Encarregats i destinataris

Els proveïdors que tracten dades per compte del Prestador són els mateixos que figuren com a subencarregats a la clàusula 10 del Contracte d’encàrrec. Cadascun intervé només en el servei que s’indica:

A més, si acceptes les galetes de publicitat, Google Ireland Limited (Google Ads) i Meta Platforms Ireland Limited (píxel de Meta) reben dades de la teva navegació al lloc web per mesurar les campanyes, com a responsables del seu propi tractament. L’Agència Tributària i la resta d’organismes públics reben les dades que la llei obligui a comunicar-los.

5.1. Canal de WhatsApp

Si un despatx activa el canal de WhatsApp, els missatges amb els seus clients passen pel servidor d’integració del Prestador (DigitalOcean, Frankfurt) i pels servidors de WhatsApp, amb el número i el compte de WhatsApp del despatx. Aquest tractament el decideix el despatx i es regeix pel Contracte d’encàrrec i per la secció 9 dels Termes i condicions. El canal és opcional i el despatx el pot desactivar en qualsevol moment; els missatges es queden a la Plataforma encara que el canal deixi d’estar disponible.

6. Transferències internacionals

Alguns dels proveïdors de la secció 5 estan establerts als Estats Units o presten el servei des d’allà; en particular, l’aplicació s’executa en servidors de Vercel als Estats Units i les funcions d’intel·ligència artificial passen per OpenRouter i pel proveïdor de cada model, que pot estar fora de l’Espai Econòmic Europeu. Aquestes transferències s’emparen en les clàusules contractuals tipus aprovades per la Comissió Europea (Decisió d’execució (UE) 2021/914) o, quan el proveïdor hi està adherit, en el Marc de privadesa de dades UE-EUA. La ubicació i la garantia de cada proveïdor figuren a la taula de la secció 5.

7. Conservació de les dades

• Compte del despatx i dels seus usuaris: mentre existeixi el compte. En acabar la subscripció, el compte passa a mode de només lectura durant 12 mesos i després les seves dades se suprimeixen de manera automàtica, amb avís previ per correu electrònic al titular i als administradors del compte amb almenys 30 dies d’antelació. El despatx pot demanar abans la supressió, que s’executa en un termini màxim de 30 dies.
• Dades dels clients de cada despatx: les conserva el Prestador per compte del despatx, segons la clàusula 15 del Contracte d’encàrrec: supressió automàtica als 12 mesos d’acabar la subscripció, amb avís al despatx almenys 30 dies abans, supressió abans si el despatx la demana, en un màxim de 30 dies, i bloqueig durant 6 anys de les factures que el despatx va emetre i dels seus registres VeriFactu, tret que el despatx indiqui una altra cosa. Els documents que el despatx esborra s’eliminen definitivament als 30 dies.
• Facturació de la subscripció: 6 anys, conforme a l’article 30 del Codi de comerç.
• Formularis de contacte, demostració i webinar: el temps necessari per atendre la sol·licitud; se suprimeixen quan ho demanis.
• Butlletí: fins que te’n donis de baixa.
• Analítica: com a màxim 13 mesos. La durada de cada galeta figura a la Política de galetes.
• Còpies de seguretat: les còpies diàries del proveïdor de base de dades es conserven 7 dies, i les de la còpia externa de la base de dades, 30 dies. La còpia externa dels fitxers retira els documents esborrats 30 dies després que surtin de l’emmagatzematge principal.
• Preguntes als assistents d’intel·ligència artificial: les preguntes que fas a l’assistent de dubtes del portal del client, al d’investigació jurídica o al de suport es desen després de retirar de manera automàtica les dades personals (els noms que es detecten, els números de document, correus, telèfons i IBAN) durant un màxim de 180 dies, per millorar les respostes. Cada despatx veu només les seves; el Prestador pot analitzar el conjunt de tots els despatxos, però només sobre aquest text ja depurat i només per millorar el servei. No s’utilitzen per entrenar models de tercers: els proveïdors d’intel·ligència artificial estan configurats sense retenció de dades.

8. Els teus drets

Conforme al RGPD i a la LOPDGDD, pots exercir els drets següents:

• Accés: saber si tractem les teves dades i obtenir-ne una còpia.
• Rectificació: corregir les dades inexactes.
• Supressió: demanar que s’eliminin quan ja no siguin necessàries.
• Limitació del tractament: demanar que es restringeixi en determinats supòsits.
• Portabilitat: rebre les teves dades en un format estructurat i d’ús comú.
• Oposició: oposar-te al tractament basat en l’interès legítim i a les comunicacions comercials.
• Retirada del consentiment: en qualsevol moment, sense que afecti la licitud del tractament anterior.

Per exercir-los, escriu a hello@immigraflow.io indicant el teu nom i el dret que vols exercir. Respondrem en el termini d’un mes. Si ets client d’un despatx que fa servir ImmigraFlow, adreça’t al teu despatx; si ens escrius a nosaltres, li traslladarem la teva sol·licitud.

Si consideres que no s’han atès degudament els teus drets, pots presentar una reclamació davant l’Agencia Española de Protección de Datos (AEPD): www.aepd.es.

9. Seguretat

El Prestador aplica mesures tècniques i organitzatives adequades al risc, entre les quals:

• Xifratge de les comunicacions (TLS/HTTPS).
• Xifratge en repòs de la base de dades i dels fitxers, i xifratge addicional de certificats electrònics i credencials.
• Aïllament entre despatxos mitjançant polítiques de seguretat per files (RLS) a totes les taules, i control d’accés per rols dins de cada despatx.
• Base de dades i fitxers allotjats a la Unió Europea, i còpies de seguretat diàries.
• Registre d’errors tècnics sense dades identificatives.

El detall és a la clàusula 9 del Contracte d’encàrrec.

10. Menors d’edat

ImmigraFlow s’adreça a professionals i no a menors d’edat. Les dades de menors que un despatx inclou en els seus expedients (per exemple, els fills en un reagrupament familiar) les tracta el despatx com a responsable, i el Prestador només per compte seu, conforme al Contracte d’encàrrec.

11. Extensió de Chrome Mercurio

L’extensió de Chrome d’ImmigraFlow emplena els formularis de les seus electròniques amb les dades dels clients del despatx. Les tracta per compte del despatx, conforme al Contracte d’encàrrec, i a més tracta les dades següents:

11.1. Dades tractades per l’extensió

• Sessió: el testimoni d’autenticació es desa a l’emmagatzematge local de l’extensió al navegador (chrome.storage.local) fins que l’usuari tanca la sessió.
• Dades de clients: nom, NIE/NIF, adreça i dades de la sol·licitud del client, que l’extensió demana a la Plataforma només per emplenar i no desa al navegador.
• Descripció del formulari: una descripció compacta dels camps del formulari de la seu (etiquetes, tipus de camp, text proper), sense les dades personals que contingui la pàgina. S’envia al servidor per aparellar els camps i es descarta després.
• Certificats electrònics: només el nom del titular i el NIF del certificat, per emplenar les dades del presentador. Els fitxers de certificat xifrats (.p12) no surten mai del servidor.
• Actes d’incidència: quan l’usuari ho demana, una captura de la pàgina de la seu que ha fallat, que es desa a l’expedient.
• Registre d’operacions: cada emplenament (tipus de formulari, nombre de camps emplenats, durada) es registra per a auditoria interna.

11.2. Processament per intel·ligència artificial

Per aparellar els camps del formulari amb les dades del client, el servidor d’ImmigraFlow envia la descripció dels camps i les dades del client a un model d’IA (Gemini, de Google, amb Claude, d’Anthropic, com a alternativa) a través d’OpenRouter. La IA retorna les correspondències i les dades no es desen més enllà de l’operació.

11.3. Permisos de l’extensió

12. Programa de partners

El programa de partners permet a professionals i empreses recomanar ImmigraFlow a despatxos a canvi d’una comissió. El responsable de les dades dels partners (12.1) és ImmigraFlow OÜ, societat estoniana amb codi de registre 17612718 i domicili a Sepapaja tn 6, Lasnamäe, 15551 Tallinn, Estonia, que és qui signa el contracte amb el partner i li paga. El de les dades dels despatxos (12.2) és el Prestador indicat a la secció 1.

12.1. Partners

• Dades: identificació i contacte, dades fiscals i bancàries (l’IBAN es desa xifrat), dades d’accés al portal, comissions i liquidacions, i un registre de l’acceptació de les condicions (versió, empremta del text, data, usuari i una empremta xifrada de la IP i del navegador).
• Finalitats i bases legals: estudiar la sol·licitud, gestionar el programa i pagar les comissions (execució del contracte i mesures precontractuals, art. 6.1.b); portar la comptabilitat i complir les obligacions fiscals (obligació legal, art. 6.1.c); prevenir el frau i defensar-se davant de reclamacions (interès legítim, art. 6.1.f).
• Conservació: mentre duri la relació i, després, durant els terminis que exigeixen les lleis comptables i fiscals i els de prescripció de les accions que puguin derivar-se del contracte.

12.2. Despatxos que arriben per un partner

• Codi de referit: si et dones d’alta amb el codi d’un partner (pel seu enllaç, per la galeta imf_ref, que només es desa si acceptes les galetes i dura 90 dies, o escrivint-lo tu), desem aquest codi i la data de l’alta per atribuir el despatx al partner i calcular la seva comissió. Per detectar altes falses o fetes pel mateix partner comparem el correu i el NIF del despatx amb els del partner i desem una empremta xifrada de la IP.
• El que veu el partner: el partner que va presentar el despatx en veu el nom, el pla, l’estat (en prova, de pagament, impagat o cancel·lat), les dates i les comissions que genera. No rep dades dels clients del despatx ni de l’ús que fa d’ImmigraFlow.
• Base legal: interès legítim del Prestador a pagar la comissió al partner que va presentar el despatx i a prevenir el frau (art. 6.1.f); per a la galeta imf_ref, consentiment (art. 6.1.a i art. 22.2 de la LSSI). Pots oposar-te a aquest tractament escrivint al correu de la secció 14.

Els proveïdors que hi intervenen són els de la secció 5, i els drets de la secció 8 s’exerceixen igual per a aquestes dades.

13. Modificacions

El Prestador pot actualitzar aquesta política. Qualsevol canvi es publicarà en aquesta pàgina amb la seva data, i els canvis importants es comunicaran als despatxos per correu electrònic.

14. Contacte

Per a qualsevol consulta sobre protecció de dades:

• Correu electrònic: hello@immigraflow.io
• Correu postal: Antonio Samuel Martín Polo, Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España