Anexo de tratamiento de datos

Este anexo forma parte de las condiciones de contratación y se aplica automáticamente al contratar Licita.AI. Si necesitas una copia firmada para tu expediente, escríbenos a lalicita@lagrafica.com y te la enviamos.

1. Partes y roles

• Responsable del tratamiento: el cliente (la empresa que contrata Licita.AI), que decide qué datos introduce y con qué finalidad.
• Encargado del tratamiento: LAGRÀFICA CREATIVE EXPERIENCE S.L., NIF B25826603, Manuel Gaià i Tomàs, 11 baixos · 25001 Lleida.

Licita.AI trata datos personales por cuenta del cliente, únicamente para prestar el servicio contratado y siguiendo sus instrucciones.

2. Objeto, duración y naturaleza

Objeto: prestación del servicio SaaS de búsqueda, análisis y gestión de licitaciones públicas.

Duración: mientras esté vigente la suscripción, más el periodo de conservación previsto en el punto 9.

Naturaleza y finalidad: alojamiento, organización, consulta, análisis asistido por IA, comunicación por correo electrónico y copias de seguridad, exclusivamente para que el cliente gestione sus licitaciones.

3. Categorías de datos e interesados

Interesados: personal del cliente que usa la plataforma; personas de contacto de organismos públicos; terceros cuyos datos aparezcan en la documentación o en los correos que el cliente incorpore.

Categorías de datos:

• Datos identificativos y de contacto (nombre, email, teléfono, empresa, NIF).
• Datos de la cuenta y de uso del servicio (registros de acceso, actividad).
• Contenido aportado por el cliente: fichas de licitaciones, notas, documentos, memorias, certificados y correos de su buzón.
• Datos de facturación (gestionados por el proveedor de pagos).

El servicio no está diseñado para tratar categorías especiales de datos (salud, ideología, biometría, etc.). El cliente se compromete a no introducirlos salvo que sea imprescindible y cuente con base legítima.

4. Obligaciones de Licita.AI como encargado

• Tratar los datos solo según las instrucciones documentadas del cliente y para prestar el servicio.
• No usar los datos del cliente para fines propios, ni venderlos, ni cederlos a terceros no autorizados.
• No emplear el contenido del cliente para entrenar modelos de inteligencia artificial.
• Garantizar la confidencialidad de quienes accedan a los datos, con compromiso expreso y permanente.
• Aplicar las medidas de seguridad del punto 6.
• Asistir al cliente en la atención de los derechos de los interesados y en sus evaluaciones de impacto.
• Notificar sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a datos del cliente, con la información necesaria para que este pueda cumplir sus obligaciones.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y sin comprometer la seguridad de otros clientes.
• Suprimir o devolver los datos al finalizar el servicio, según el punto 9.

5. Obligaciones del cliente como responsable

• Disponer de base legítima para los datos que introduce, incluidos los de terceros que aparezcan en documentos o correos.
• Informar a los interesados y atender sus derechos.
• Gestionar correctamente los accesos de su personal y dar de baja a quien deje de necesitarlos.
• No introducir datos innecesarios para la finalidad del servicio.

6. Medidas de seguridad

Licita.AI aplica medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre ellas:

• Cifrado en tránsito (HTTPS/TLS) en todo el servicio.
• Aislamiento entre clientes: cada petición se filtra por empresa a partir del identificador del propio token de sesión, nunca de un parámetro manipulable. Los documentos adjuntos se sirven aislados por empresa.
• Control de acceso: autenticación con contraseña cifrada (bcrypt), sesiones con caducidad y verificación en dos pasos disponible.
• Cifrado de credenciales sensibles del cliente (por ejemplo, la contraseña de su buzón de correo) almacenadas cifradas.
• Copias de seguridad diarias de la base de datos y de los archivos, almacenadas fuera del servidor principal, con procedimiento de restauración probado.
• Registro y monitorización automática del servicio, con avisos ante incidencias.
• Principio de mínimo privilegio en el acceso del personal.

7. Subencargados

El cliente autoriza de forma general el uso de los siguientes subencargados, todos ellos con garantías adecuadas y contrato de tratamiento suscrito:

Licita.AI comunicará con al menos 30 días de antelación cualquier alta o sustitución de subencargado. El cliente podrá oponerse por motivos razonables de protección de datos y, si no se alcanza una solución, resolver la suscripción sin penalización.

8. Transferencias internacionales

El alojamiento y los datos permanecen dentro de la Unión Europea. Las funciones de inteligencia artificial implican una transferencia a un proveedor en EE. UU., amparada en cláusulas contractuales tipo aprobadas por la Comisión Europea y en medidas complementarias. El contenido enviado a la IA no se utiliza para entrenar modelos.

9. Devolución y supresión

Finalizada la suscripción, el cliente dispone de 30 días para exportar sus datos. Transcurrido ese plazo, Licita.AI los suprime de los sistemas activos, y de las copias de seguridad en un plazo máximo de 90 días, salvo los datos que deba conservar por obligación legal (por ejemplo, facturación).

10. Derechos de los interesados

Las solicitudes de acceso, rectificación, supresión, oposición, limitación o portabilidad deben dirigirse al cliente, que es el responsable. Si llegan directamente a Licita.AI, se le trasladarán sin dilación y se le prestará la asistencia necesaria para atenderlas.

11. Responsabilidad

Cada parte responde de sus propios incumplimientos en materia de protección de datos, conforme al RGPD y a la Ley Orgánica 3/2018. Los límites de responsabilidad de las condiciones de contratación se aplican también a este anexo, sin perjuicio de las responsabilidades que la normativa imponga de forma imperativa.

12. Contacto en materia de protección de datos

Para cualquier cuestión relacionada con este anexo: lalicita@lagrafica.com.

El cliente puede presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).