Política de privacidad
Responsable y encargado del tratamiento
El responsable del tratamiento de los datos que envías es la empresa que gestiona el buzón de propuestas en el que participas (tu empleador o la organización que te ha facilitado el enlace). Aportalia, operado por Qualiax, actúa como encargado del tratamiento: presta el servicio técnico por cuenta de esa empresa y siguiendo sus instrucciones.
Qué datos tratamos y con qué finalidad
Tratamos el contenido de tu propuesta para gestionarla y darte una respuesta razonada. Si la envías con tu nombre, tratamos también el nombre y, si lo facilitas voluntariamente, el email, con la única finalidad de hacerte llegar la respuesta.
Si eliges enviarla de forma anónima, no asociamos la propuesta a ninguna identidad: reescribimos el texto en tono neutro antes de que nadie de la empresa lo lea y, una vez anonimizado, eliminamos el texto original.
Si envías la propuesta por voz, el audio se guarda de forma temporal y aislada solo el tiempo imprescindible para transcribirlo (normalmente unos minutos); nadie de tu empresa puede acceder a él. En cuanto se transcribe, el audio se elimina automáticamente y solo se conserva el texto, con el mismo tratamiento que cualquier otra propuesta.
Conservación
Las propuestas se conservan durante el plazo de retención que fije cada empresa (por defecto, 24 meses desde el cierre del ciclo). Superado ese plazo, se eliminan el nombre y el email asociados y el texto se sustituye por un dato agregado.
Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad dirigiéndote a la empresa responsable del buzón. Para las propuestas anónimas, la ausencia deliberada de identidad puede impedir atender estos derechos sobre una propuesta concreta.
Encargado del tratamiento
El encargado del tratamiento es Pablo Pedrajas Arias, empresario individual (autónomo), que opera bajo la marca Qualiax.
- NIF: 74375349L
- Domicilio: Calle Utiel 18, 03203 Elche (Alicante), España
- Contacto de privacidad: privacy@aportalia.com
Cookies
El buzón no usa cookies de analítica, publicidad ni seguimiento. La única que puede aparecer es técnica y necesaria: si tu empresa ha puesto un código de acceso a su buzón, al introducirlo se guarda una cookie para no pedírtelo en cada visita.
Esa cookie no te identifica. Contiene una huella del código de tu empresa, que es el mismo para todas las personas de tu centro: quien la mire no puede saber quién eres, ni enlazarla con ninguna propuesta. Dura solo hasta que cierras el navegador y desaparece cuando tu empresa cambia el código.
Con quién se comparten los datos
Para prestar el servicio, el encargado se apoya en los proveedores de abajo, que son subencargados del tratamiento: acceden a datos solo para lo que se indica y bajo contrato. Es la misma lista que el Anexo II del contrato de encargo firmado con tu empresa, y el inventario se verificó sobre los sistemas reales el 29 de agosto de 2026; la pasarela de pago se añadió, verificada igual, el 9 de septiembre de 2026.
| Proveedor | Para qué | A qué accede | Dónde |
|---|---|---|---|
| Supabase | Base de datos y almacenamiento | Todos los datos del servicio | eu-west-1 (Irlanda) |
| Brevo | Envío de correo electrónico | Correo y nombre de las personas destinatarias de avisos y respuestas | Unión Europea |
| Vercel Inc. | Alojamiento de la aplicación web | Datos en tránsito y registros técnicos | Fuera del EEE (Cláusulas contractuales tipo) |
| Anthropic PBC | Modelo de lenguaje que elabora el informe periódico | Solo texto ya anonimizado. Nunca el texto original de una propuesta anónima | Fuera del EEE (Cláusulas contractuales tipo) |
| Stripe Payments Europe, Ltd. | Pasarela de pago y emisión de facturas | Solo datos de facturación de la persona que gestiona el buzón: nombre, correo, NIF, dirección fiscal y medio de pago. Nunca datos de personas empleadas ni el contenido de ninguna propuesta | Irlanda |
Las transferencias fuera del Espacio Económico Europeo se amparan en cláusulas contractuales tipo de la Comisión Europea.
Conviene decir también de quién no se sirve el servicio, porque una lista de terceros solo se puede comprobar si dice también lo que no hay:
- OpenAI: No interviene. La transcripción de los audios se hace con un modelo que corre en la máquina del encargado: no sale audio ni texto hacia OpenAI. La clave de API existe en el código como posibilidad y está vacía.
- Resend: Retirado. Fue emisor de correo y ya no lo es. Su clave está vacía.