Annex de tractament de dades

Aquest annex forma part de les condicions de contractació i s'aplica automàticament en contractar laLicita.ai. Si necessites una còpia signada per al teu expedient, escriu-nos a lalicita@lagrafica.com i te l'enviem.

1. Parts i rols

• Responsable del tractament: el client (l'empresa que contracta laLicita.ai), que decideix quines dades introdueix i amb quina finalitat.
• Encarregat del tractament: LAGRÀFICA CREATIVE EXPERIENCE S.L., NIF B25826603, Manuel Gaià i Tomàs, 11 baixos · 25001 Lleida.

laLicita.ai tracta dades personals per compte del client, únicament per prestar el servei contractat i seguint-ne les instruccions.

2. Objecte, durada i naturalesa

Objecte: prestació del servei SaaS de cerca, anàlisi i gestió de licitacions públiques.

Durada: mentre la subscripció sigui vigent, més el període de conservació previst al punt 9.

Naturalesa i finalitat: allotjament, organització, consulta, anàlisi assistida per IA, comunicació per correu electrònic i còpies de seguretat, exclusivament perquè el client gestioni les seves licitacions.

3. Categories de dades i persones interessades

Persones interessades: personal del client que utilitza la plataforma; persones de contacte d'organismes públics; tercers les dades dels quals apareguin en la documentació o en els correus que el client incorpori.

Categories de dades:

• Dades identificatives i de contacte (nom, correu electrònic, telèfon, empresa, NIF).
• Dades del compte i d'ús del servei (registres d'accés, activitat).
• Contingut aportat pel client: fitxes de licitacions, notes, documents, memòries, certificats i correus de la seva bústia.
• Dades de facturació (gestionades pel proveïdor de pagaments).

El servei no està dissenyat per tractar categories especials de dades (salut, ideologia, biometria, etc.). El client es compromet a no introduir-les llevat que sigui imprescindible i compti amb base legítima.

4. Obligacions de laLicita.ai com a encarregat

• Tractar les dades només segons les instruccions documentades del client i per prestar el servei.
• No utilitzar les dades del client per a finalitats pròpies, ni vendre-les, ni cedir-les a tercers no autoritzats.
• No fer servir el contingut del client per entrenar models d'intel·ligència artificial.
• Garantir la confidencialitat de les persones que accedeixin a les dades, amb compromís exprés i permanent.
• Aplicar les mesures de seguretat del punt 6.
• Assistir el client en l'atenció dels drets de les persones interessades i en les seves avaluacions d'impacte.
• Notificar sense dilació indeguda, i en tot cas en un termini màxim de 48 hores des que en tingui coneixement, qualsevol violació de seguretat que afecti dades del client, amb la informació necessària perquè aquest pugui complir les seves obligacions.
• Posar a disposició del client la informació necessària per demostrar el compliment i permetre auditories raonables, amb avís previ i sense comprometre la seguretat d'altres clients.
• Suprimir o retornar les dades en finalitzar el servei, segons el punt 9.

5. Obligacions del client com a responsable

• Disposar de base legítima per a les dades que introdueix, incloses les de tercers que apareguin en documents o correus.
• Informar les persones interessades i atendre'n els drets.
• Gestionar correctament els accessos del seu personal i donar de baixa qui deixi de necessitar-los.
• No introduir dades innecessàries per a la finalitat del servei.

6. Mesures de seguretat

laLicita.ai aplica mesures tècniques i organitzatives apropiades al risc (art. 32 RGPD), entre les quals:

• Xifratge en trànsit (HTTPS/TLS) en tot el servei.
• Aïllament entre clients: cada petició es filtra per empresa a partir de l'identificador del mateix token de sessió, mai d'un paràmetre manipulable. Els documents adjunts se serveixen aïllats per empresa.
• Control d'accés: autenticació amb contrasenya xifrada (bcrypt), sessions amb caducitat i verificació en dos passos disponible.
• Xifratge de credencials sensibles del client (per exemple, la contrasenya de la seva bústia de correu) emmagatzemades xifrades.
• Còpies de seguretat diàries de la base de dades i dels arxius, emmagatzemades fora del servidor principal, amb procediment de restauració provat.
• Registre i monitoratge automàtic del servei, amb avisos davant d'incidències.
• Principi de mínim privilegi en l'accés del personal.

7. Subencarregats

El client autoritza de manera general l'ús dels subencarregats següents, tots ells amb garanties adequades i contracte de tractament subscrit:

laLicita.ai comunicarà amb almenys 30 dies d'antelació qualsevol alta o substitució de subencarregat. El client s'hi podrà oposar per motius raonables de protecció de dades i, si no s'arriba a una solució, resoldre la subscripció sense penalització.

8. Transferències internacionals

L'allotjament i les dades romanen dins de la Unió Europea. Les funcions d'intel·ligència artificial impliquen una transferència a un proveïdor dels EUA, emparada en clàusules contractuals tipus aprovades per la Comissió Europea i en mesures complementàries. El contingut enviat a la IA no s'utilitza per entrenar models.

9. Devolució i supressió

Un cop finalitzada la subscripció, el client disposa de 30 dies per exportar les seves dades. Transcorregut aquest termini, laLicita.ai les suprimeix dels sistemes actius, i de les còpies de seguretat en un termini màxim de 90 dies, llevat de les dades que hagi de conservar per obligació legal (per exemple, facturació).

10. Drets de les persones interessades

Les sol·licituds d'accés, rectificació, supressió, oposició, limitació o portabilitat s'han d'adreçar al client, que n'és el responsable. Si arriben directament a laLicita.ai, se li traslladaran sense dilació i se li prestarà l'assistència necessària per atendre-les.

11. Responsabilitat

Cada part respon dels seus propis incompliments en matèria de protecció de dades, d'acord amb el RGPD i amb la Llei orgànica 3/2018. Els límits de responsabilitat de les condicions de contractació s'apliquen també a aquest annex, sens perjudici de les responsabilitats que la normativa imposi de manera imperativa.

12. Contacte en matèria de protecció de dades

Per a qualsevol qüestió relacionada amb aquest annex: lalicita@lagrafica.com.

El client pot presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (aepd.es).