Qué recopilamos, y por qué.

klair es un estudio francés de software a medida — una sociedad por acciones simplificada de Derecho francés (société par actions simplifiée, SAS) registrada en Francia. Diseñamos software a medida para nuestros clientes y, a su solicitud, lo operamos para ellos. klair es un servicio entre empresas (B2B): contratamos con empresas y profesionales, no con consumidores. Somos el responsable del tratamiento de nuestro sitio web, marketing, actividad comercial, facturación, datos de cuenta y las conversaciones de definición que mantiene con nosotros; actuamos como encargado del tratamiento del código y del contenido de proyecto que tratamos para construir y alojar su software, siendo su organización la responsable del tratamiento de dicho contenido. Alojamos en la Unión Europea y recurrimos a un conjunto reducido de proveedores, descritos por categoría a continuación. No vendemos datos personales ni los utilizamos con fines de publicidad comportamental. Solo recopilamos y conservamos lo necesario.

El responsable del tratamiento es KLAIR AI, sociedad por acciones simplificada de Derecho francés (SAS) con un capital social de 1 000,00 €, inscrita en el Registro Mercantil y de Sociedades de Montpellier con el número 107 073 769 (número de IVA intracomunitario FR96107073769), con domicilio social en Espace Entreprise Garosud, 48 rue Claude Balbastre, 34070 Montpellier, Francia. La identificación completa de la sociedad y de su proveedor de alojamiento figura en nuestro aviso legal. Para cualquier cuestión relativa a sus datos personales o para ejercer sus derechos: privacy@klair.dev. Nuestra autoridad de control es la autoridad francesa de protección de datos (CNIL). Cuando diseñamos u operamos software para un cliente, actuamos como encargado del tratamiento de los datos personales que pueda contener el código y el contenido de proyecto de dicho cliente, que sigue siendo el responsable del tratamiento; este tratamiento se rige por un contrato de encargo del tratamiento independiente (artículo 28 del RGPD).

Tratamos las siguientes categorías de datos, para los fines y sobre las bases jurídicas indicadas:

• Datos de cuenta — nombre, dirección de correo electrónico profesional, organización, función, preferencias de idioma y zona horaria, identificadores de autenticación (utilizamos enlaces mágicos y OAuth; no almacenamos contraseñas). Finalidad: abrir y administrar su acceso. Base jurídica: ejecución del contrato y medidas precontractuales.
• Contenido de definición — el texto que envía a través de nuestro asistente de admisión en klair.dev y el borrador preparado para elaborar una propuesta. Finalidad: cualificar su necesidad y preparar una oferta. Base jurídica: medidas precontractuales e interés legítimo.
• Contenido de proyecto — propuestas, mensajes, validaciones de hitos y archivos adjuntos intercambiados en el portal; y, cuando construimos su software, el código fuente y el contenido asociados, que tratamos en calidad de encargado. Finalidad: prestar el servicio. Base jurídica: ejecución del contrato.
• Datos de facturación — dirección de facturación, número de IVA u otro identificador fiscal, referencias de pedido y, en su caso, los datos bancarios necesarios para un reembolso. Los números de tarjeta nunca llegan a nuestros servidores: son recopilados y conservados por nuestro proveedor de pagos. Finalidad: facturar y cobrar. Base jurídica: ejecución del contrato y obligaciones contables y fiscales.
• Comunicaciones — el contenido de correos electrónicos, solicitudes de soporte y reuniones. Finalidad: responder y hacer seguimiento. Base jurídica: interés legítimo y ejecución del contrato.
• Datos técnicos y registros — dirección IP (cifrada mediante hash con una sal para la limitación de frecuencia), user-agent, marcas de tiempo, registros de solicitudes y errores, identificadores de sesión. Finalidad: proteger el servicio, garantizar su disponibilidad y depurar. Base jurídica: interés legítimo.
• Contactos y comunicaciones comerciales — envíos poco frecuentes a los contactos de clientes, con un enlace de baja en cada mensaje. Base jurídica: interés legítimo y, cuando la ley lo exija, su consentimiento.

Algunos datos (por ejemplo, los datos de contacto de los interlocutores que designe un cliente) nos son facilitados por su organización. Cuando nos basamos en el interés legítimo, hemos ponderado dicho interés frente a sus derechos, y usted puede oponerse. Facilitar los datos de cuenta y de facturación es necesario para celebrar y ejecutar el contrato; sin ellos, no podemos prestar el servicio.

Solo comunicamos datos personales a las siguientes categorías de destinatarios, cada una regida por un contrato de encargo del tratamiento conforme al artículo 28 del RGPD:

• alojamiento e infraestructura en la nube — base de datos, autenticación y alojamiento de la aplicación (Unión Europea, con posible recurso a proveedores establecidos fuera de la Unión Europea);
• procesamiento de pagos (Unión Europea y fuera de la Unión Europea);
• envío de correos electrónicos transaccionales (Unión Europea y, en su caso, fuera de la Unión Europea);
• pasarela y proveedores de modelos de inteligencia artificial (Unión Europea y fuera de la Unión Europea);
• supervisión, registro y prevención del fraude (Unión Europea y, en su caso, fuera de la Unión Europea);
• medición de audiencia (principalmente Unión Europea).

También comunicamos datos, cuando sea estrictamente necesario, a nuestros asesores profesionales (abogados, expertos contables, auditores) sujetos a confidencialidad, a las autoridades competentes cuando la ley nos obligue, y a un eventual sucesor en caso de operación societaria. La lista nominativa y actualizada de nuestros encargados se facilita a los clientes que lo soliciten; el detalle figura asimismo en el contrato de encargo del tratamiento (artículo 28). No vendemos datos personales, no alquilamos ficheros de contactos y no realizamos publicidad comportamental cruzada (cross-context behavioural advertising).

Cuando un destinatario se encuentra fuera de la Unión Europea, la transferencia se ampara en una decisión de adecuación de la Comisión Europea, en el marco EU–US Data Privacy Framework cuando el proveedor esté certificado en él, o en las cláusulas contractuales tipo de la Comisión (Decisión 2021/914) complementadas con las medidas adicionales necesarias; una copia de estas garantías está disponible a solicitud.

Conservamos los datos personales únicamente durante el tiempo necesario para los fines perseguidos:

• datos de cuenta — durante la vigencia de la relación y, a continuación, doce meses;
• contenido de proyecto y documentos contables — durante la vigencia del encargo y, a continuación, diez años, en virtud de las obligaciones contables y fiscales (artículo L123-22 del Código de Comercio francés);
• contenido de definición — hasta doce meses después de su última actividad o, si da lugar a un encargo, durante el plazo aplicable a este;
• registros técnicos y de seguridad — noventa días;
• contactos comerciales — hasta que se dé de baja, conservándose después el registro de la supresión para garantizar el respeto de su elección.

Las copias de seguridad cifradas salen del sistema en un plazo de treinta y cinco días. Puede solicitar una supresión anticipada en cualquier momento; la atenderemos salvo que exista una obligación legal de conservación.

Recurrimos a sistemas y proveedores de modelos de inteligencia artificial para preparar con usted contenido de definición y de propuesta y para asistir nuestros trabajos de desarrollo. El personal habilitado de klair, así como estos sistemas y proveedores, pueden acceder al contenido que nos confía únicamente en la medida estrictamente necesaria para el fin perseguido y bajo obligación de confidencialidad. Su contenido no se utiliza para entrenar modelos de inteligencia artificial de terceros. Los resultados de estos sistemas son borradores sujetos a revisión humana; no adoptamos ninguna decisión que produzca efectos jurídicos o que le afecte de manera significativa basándonos únicamente en un tratamiento automatizado.

Utilizamos un conjunto reducido de cookies estrictamente necesarias para el funcionamiento del servicio (sesión, seguridad, estado de consentimiento) y, en su caso, una medición de audiencia exenta de consentimiento. El detalle — nombre, finalidad y duración de cada rastreador — figura en nuestra política de cookies.

Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito y en reposo, autenticación mediante enlace mágico y OAuth (no se almacena ninguna contraseña) y controles de acceso de mínimo privilegio. Dado que ningún sistema es perfectamente seguro, revisamos estas medidas con regularidad. En caso de violación de datos que pueda entrañar un riesgo para sus derechos, lo notificamos a la CNIL en un plazo de setenta y dos horas y, cuando el riesgo sea elevado, a las personas afectadas sin dilación indebida. Las cuestiones de seguridad y las divulgaciones responsables se dirigen a security@klair.dev.

Conforme al RGPD, dispone de los derechos de acceso, rectificación, supresión, limitación y oposición, del derecho a la portabilidad de sus datos y del derecho a retirar su consentimiento en cualquier momento cuando el tratamiento se base en él. También puede establecer directrices sobre el destino de sus datos tras su fallecimiento. Dirija su solicitud a privacy@klair.dev; respondemos en el plazo de un mes, prorrogable dos meses para solicitudes complejas o numerosas, de lo que le informaríamos. Puede en cualquier momento presentar una reclamación ante la CNIL (cnil.fr), sin perjuicio de un recurso judicial.

Podemos actualizar esta política. Toda modificación sustancial se le comunica por un medio apropiado antes de su entrada en vigor; las modificaciones menores se publican en esta página con una nueva fecha de efecto.

Cuestiones relativas a sus datos personales y ejercicio de sus derechos — privacy@klair.dev. Seguridad y divulgación responsable — security@klair.dev. Notificaciones legales — legal@klair.dev. Autoridad de control — la autoridad francesa de protección de datos (CNIL), cnil.fr.

La versión francesa de esta política es la que da fe. Las traducciones al inglés y al español se facilitan únicamente a título de cortesía; en caso de discrepancia de interpretación, prevalecerá la versión francesa.