Política de privacidad

Cómo tratamos tus datos personales.

Borrador de revisión. Esta página contiene verificaciones contractuales o técnicas pendientes marcadas en amarillo y no debe publicarse como versión jurídica definitiva.

Tu privacidad, en breve

Quién trata tus datos

Domora es responsable de sus relaciones comerciales y de determinados datos de la web. Para los datos gestionados por el despacho o la comunidad, normalmente presta el servicio como encargado.

Para qué

Gestionar la cuenta, la contratación, las solicitudes, la seguridad y las funciones de gestión de comunidades contratadas.

Proveedores

Algunos servicios requieren integraciones técnicas. Su papel y localización se explican en el registro de proveedores, sujeto a verificación.

Tus derechos

Puedes consultar, rectificar u oponerte en los casos previstos por la ley. Si tus datos dependen de tu administrador, te ayudaremos a identificar al responsable competente.

En esta página · ver apartados

Esta Política describe cómo Domora Technologies, S.L. trata datos personales cuando actúa como responsable. Cuando Domora procesa datos personales alojados o introducidos por un cliente para prestar el SaaS siguiendo sus instrucciones, Domora actúa, con carácter general, como encargado y el tratamiento se rige por el DPA y las instrucciones documentadas del cliente.

1. Responsable y contacto

ElementoDato
ResponsableDOMORA TECHNOLOGIES, SOCIEDAD LIMITADA
NIFB05744925
DomicilioCalle Ortega y Gasset, 1, piso 5, puerta C, 26007 Logroño (La Rioja), España
Privacidad[email protected] (canal general acreditado). [PENDIENTE: confirmar si se designa para derechos RGPD o un canal específico]
DPD/DPO[PENDIENTE: decisión documentada sobre obligatoriedad y, en su caso, datos de contacto]

2. Regla de roles: cuándo Domora es responsable y cuándo encargado

EscenarioRol esperado de DomoraRegla de gobernanza
Gestión de la cuenta del cliente, contratación, facturación, seguridad propia, prevención de abuso y relación comercialResponsableDomora determina fines propios; documentar base jurídica y retención.
Datos que el administrador/comunidad carga para gestionar propietarios, incidencias, juntas, contabilidad, proveedores o comunicacionesEncargado, salvo que Domora determine un fin propio adicionalSolo instrucciones documentadas; DPA; no reutilizar para fines propios incompatibles.
Domo operando sobre Customer Data para ejecutar una instrucción del clienteEncargado en el tratamiento subyacente, sujeto al análisis concretoAplicar minimización, gobernanza de modelos, subencargados y límites de herramientas.
Telemetría y seguridad necesaria para proteger la plataformaResponsable o actividad técnica vinculada al encargo según la finalidadSeparar logs de seguridad de analítica de producto/marketing; documentar finalidad y acceso.
Marketing de Domora a contactosResponsableAplicar RGPD + LSSI; oposición sencilla y gratuita.

3. Categorías de datos

CategoríaEjemplos potencialesRegla
Identificación y contactonombre, apellidos, email, teléfono, cargo, organizaciónMinimizar a lo necesario para cuenta/servicio.
Cuenta y autenticaciónidentificador, rol, tenant, eventos de login, MFA/passkey, restablecimientosNo almacenar secretos de autenticación en claro; aplicar retención de seguridad.
Comunidad/inmueblerelación con comunidad, unidad, coeficientes/cuotas cuando sean necesariosNormalmente Customer Data bajo responsabilidad del cliente.
Incidencias y tareasdescripción, adjuntos, conversaciones, proveedor, estadoPuede contener datos sensibles de forma incidental; aplicar minimización y controles de acceso.
Juntasasistencia, representación, voto, cuota, comentarios, actaConservar conforme a instrucción/obligaciones del cliente; evitar inferencias innecesarias.
Financieros/contablesmovimientos, referencias, facturas, deudas, saldos, conciliaciónAlta sensibilidad práctica; acceso mínimo y trazabilidad.
Voz y comunicacionesaudio si se graba, transcripción, metadata de llamada, emailInformar de IA y, si hay grabación, del tratamiento; base jurídica depende del caso.
Firma/autenticación de actostraza de aceptación, OTP/passkey, hash, timestamp, evidenciaNo calificar jurídicamente como firma avanzada/cualificada sin cumplir eIDAS.
Técnicos y seguridadIP, dispositivo, logs, errores, auditoría, eventos de seguridadSeparar seguridad de marketing/analítica.
IAprompts/entradas, contexto recuperado, respuesta, tool calls, evaluacionesNo conservar más contexto del necesario; evitar chain-of-thought interno; registrar trazas operativas proporcionadas.

4. Datos especialmente protegidos y datos biométricos

Domora no debe diseñarse para solicitar categorías especiales de datos salvo que exista una necesidad legítima, base jurídica adecuada y controles reforzados. Una voz o grabación no es automáticamente “dato biométrico” del artículo 9 RGPD; pasa a ser biométrico de categoría especial cuando resulta de un tratamiento técnico específico relativo a características físicas, fisiológicas o conductuales que permita o confirme la identificación única de una persona. Si en el futuro Domora implementa voiceprint o identificación biométrica, se exigirá un análisis específico previo.

5. Finalidades y bases jurídicas cuando Domora actúa como responsable

FinalidadRol de DomoraBase jurídica / instrucciónObservaciones de producción
Alta y administración de cuenta/relación contractualResponsableEjecución del contrato o medidas precontractuales; interés legítimo para contactos B2B cuando procedaSeparar datos del firmante/cliente de usuarios invitados.
Facturación, contabilidad y obligaciones fiscalesResponsableContrato y obligación legalAplicar retención legal y bloqueo.
Seguridad, prevención de abuso, investigación de incidentesResponsableInterés legítimo y, cuando proceda, obligación legalRealizar ponderación; limitar acceso y retención.
Soporte solicitadoResponsable o encargado según el contenidoContrato/interés legítimo o instrucciones del clienteEvitar copiar Customer Data a herramientas de soporte no aprobadas.
Marketing propioResponsableConsentimiento o interés legítimo/relación previa cuando legalmente proceda; además LSSIOpt-out en cada mensaje; listas de supresión.
Analítica de producto no estrictamente necesariaResponsable[PENDIENTE: definir diseño y base]Si usa terminal/cookies no necesarias, consentimiento LSSI/ePrivacy aplicable.

6. Tratamiento por cuenta de clientes

Para Customer Data tratado por cuenta del cliente, Domora no decide libremente finalidades. Domora tratará los datos conforme a instrucciones documentadas, confidencialidad, medidas de seguridad apropiadas, régimen de subencargados, asistencia en derechos/EIPD y devolución o supresión al finalizar, conforme al DPA. Si una instrucción infringe la normativa, se aplicará el mecanismo previsto en el DPA.

7. Domo, IA y decisiones automatizadas

  • Domo debe informar claramente a la persona de que interactúa con un sistema de IA cuando resulte aplicable el artículo 50 del AI Act; el aviso debe producirse en el punto de interacción, no solo en esta política.
  • Las funciones que produzcan recomendaciones, resúmenes, clasificación o borradores deben indicar sus límites materiales cuando puedan afectar una decisión relevante.
  • No se habilitarán decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o similarmente significativos sobre personas sin análisis específico del artículo 22 RGPD, base jurídica, salvaguardas y transparencia.
  • Operaciones de alto impacto —por ejemplo, pagos, modificaciones contables definitivas, firma/cierre de actas o comunicaciones con consecuencias jurídicas— deberán quedar sujetas a permisos y controles humanos definidos en la Política de IA.

8. Voz, audio y transcripciones

La arquitectura prevista para el agente de voz no contempla conservar grabaciones de audio como archivo de las llamadas. El procesamiento de voz en tiempo real, la transcripción y su eventual conservación son operaciones diferentes; la inexistencia de grabación persistente no significa que no se procesen datos personales.

[PENDIENTE: verificar en producción la ausencia de grabación y de persistencia de audio por Domora y por cada proveedor; describir qué transcripciones, metadatos y registros se guardan, para qué y por cuánto tiempo.]

Antes de iniciar una interacción de voz con Domo, la persona debe recibir información inteligible sobre que interactúa con IA y sobre el tratamiento relevante. Si la llamada se graba, se debe informar de la grabación y finalidad. La base jurídica de la grabación o transcripción no es automáticamente el consentimiento: debe definirse según la finalidad, el rol de Domora, la relación del responsable con el interesado y la necesidad del tratamiento. El sistema debe permitir configurar retención y, cuando sea viable, minimizar o pseudonimizar datos antes de enviarlos a proveedores externos.

9. Destinatarios, encargados y subencargados

Domora podrá utilizar proveedores técnicos únicamente cuando exista una función real y un marco jurídico adecuado. La lista de subencargados debe identificar los proveedores que efectivamente tratan Customer Data por cuenta de Domora; no todo proveedor comercial es necesariamente un subencargado. El listado público/contractual deberá mantenerse separado de un registro interno de due diligence más detallado.

10. Transferencias internacionales

Cuando un tratamiento implique transferencia internacional fuera del EEE o acceso desde un tercer país, Domora aplicará el mecanismo exigido por el capítulo V RGPD: decisión de adecuación cuando exista, cláusulas contractuales tipo u otra garantía válida, junto con las evaluaciones y medidas complementarias que correspondan. La mera elección de una región europea no elimina por sí sola el análisis de accesos remotos, soporte, subprocesadores o transferencias ulteriores.

11. Conservación, bloqueo y supresión

Al finalizar la relación, se prevé un plazo de 30 días naturales para la exportación a través del acceso habilitado al cliente. Transcurrido ese periodo cesará el acceso ordinario. No equivale a una autorización para conservar todos los documentos indefinidamente: los datos se devolverán o suprimirán a elección del responsable, salvo obligación legal concreta de conservación.

DatosCriterio de conservación
Contactos comerciales y solicitudes de demo[PENDIENTE: definir plazo, finalidad y base jurídica por caso.]
Documentos, actas y contabilidad de comunidadesConforme al DPA, instrucciones del responsable y obligaciones legales aplicables. [PENDIENTE: matriz de retención por categoría y caso.]
Transcripciones, consultas a Domo y logsSolo el tiempo necesario y autorizado para cada finalidad. [PENDIENTE: plazo real por sistema y proveedor.]
Copias de seguridadEliminación según ciclo técnico documentado. [PENDIENTE: verificar expiración, restauración y ubicación.]

Los datos se conservarán únicamente durante los periodos definidos en la Política de Retención. Cuando Domora sea responsable y proceda la supresión o rectificación, se aplicará el bloqueo exigido por la LOPDGDD cuando corresponda. En Customer Data, la conservación se regirá por las instrucciones del cliente, obligaciones aplicables y el DPA. Las copias de seguridad deben tener una política de expiración y no utilizarse como archivo indefinido.

12. Derechos

Para ejercer tus derechos, dirige una solicitud a [email protected] [PENDIENTE: confirmar el canal designado para protección de datos.]. No es necesario adjuntar una copia del DNI de forma automática; únicamente podrá pedirse información adicional proporcionada si existen dudas razonables de identidad. Cuando Domora sea responsable, responderá conforme a los plazos del RGPD. También puedes reclamar ante la Agencia Española de Protección de Datos.

Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y, cuando proceda, los relativos a decisiones automatizadas. Cuando Domora reciba una solicitud relativa a Customer Data en el que actúe como encargado, la remitirá o asistirá al responsable conforme al DPA sin responder como si fuese el responsable del tratamiento.

13. Menores y personas vulnerables

Domora no está diseñado como servicio dirigido a menores. No obstante, una comunidad podría contener datos de menores o personas vulnerables en documentos o incidencias. El diseño debe evitar solicitar esos datos salvo necesidad real y aplicar controles reforzados. Si se incorpora una funcionalidad dirigida directamente a menores, deberá realizarse un análisis jurídico y de diseño independiente antes del lanzamiento.

14. Seguridad

Domora aplicará medidas técnicas y organizativas adecuadas al riesgo. Los detalles sensibles no deben publicarse en esta política. Los compromisos contractuales de seguridad se documentarán en las TOMs/DPA y deberán corresponder con controles verificados, pruebas y evidencia técnica.

15. Cambios y contacto

Las modificaciones materiales se versionarán. Cuando un cambio afecte de forma relevante a un tratamiento en curso o a la base jurídica, Domora evaluará si procede una nueva información, renovación de consentimiento o actualización contractual, en lugar de limitarse a sustituir el texto de la web.

Marco normativo y fuentes de referencia

Las referencias se incluyen para trazabilidad jurídica. Deben revisarse de nuevo cuando se modifique el producto, el flujo de datos o la normativa aplicable.