Política de privacidad

1. Responsable del tratamiento

La presente política aplica al servicio «Cartas Laborales» (en adelante, el «Servicio»), prestado por:

• Titular: Javier Docavo Muñiz
• NIF: 76660628H
• Domicilio: Calle Jardín de Medina, bloque H, 3-3, 04006 Almería
• Contacto: hola@cartaslaborales.app

2. Datos que tratamos

Distinguimos dos tipos de datos personales según el rol de quien los aporta:

2.1. Datos del usuario que accede al Servicio

• Email profesional, nombre y rol dentro de la asesoría.
• Datos técnicos derivados del uso (IP, dispositivo, fecha de acceso) recogidos por nuestros proveedores de hosting y observabilidad.
• Comentarios y feedback que el propio usuario envía desde el producto.

2.2. Datos que la asesoría introduce sobre terceros (trabajadores y empresas cliente)

• De la empresa cliente: denominación, CIF, dirección, convenio(s) aplicable(s) y, cuando se sube, régimen disciplinario del convenio.
• Del trabajador afectado: nombre, DNI/NIE, dirección, antecedentes disciplinarios y los hechos del caso que la asesoría considere imputables (relato, fechas, prueba, alegaciones, etc.).

Sobre estos últimos datos, la asesoría es responsable del tratamiento y nosotros actuamos como encargado del tratamiento en los términos del art. 28 RGPD. La relación se rige por el Acuerdo de Encargo del Tratamiento que se firma con cada asesoría.

3. Finalidades y base jurídica

• Generar las cartas laborales solicitadas y mantener su histórico. Base jurídica: ejecución del contrato con la asesoría usuaria (art. 6.1.b RGPD) e interés legítimo del empresario en gestionar la relación laboral con sus trabajadores (art. 6.1.f RGPD), en los términos del art. 18.1 LPRL y arts. 54 y 55 ET.
• Mantener su cuenta y los datos de contacto. Base jurídica: ejecución del contrato.
• Cumplir obligaciones legales en materia contable, fiscal y de prevención del blanqueo cuando proceda. Base: art. 6.1.c RGPD.
• Mejorar la calidad del Servicio (telemetría agregada, métricas internas de aprobación de cartas). Base: interés legítimo. No utilizamos datos personales para entrenar modelos de inteligencia artificial.

4. Encargados y proveedores tecnológicos

Para prestar el Servicio nos apoyamos en los siguientes proveedores, todos con contrato de encargo del tratamiento (DPA) suscrito:

• Supabase — base de datos y almacenamiento de los documentos generados. Servidores en la Unión Europea (Frankfurt).
• Vercel — alojamiento del frontend y serverless functions. Región principal en la Unión Europea.
• Anthropic — modelo de lenguaje (Claude) usado para redactar el contenido jurídico. Procesa los datos en EEUU bajo cláusulas contractuales tipo (SCC) de la Comisión Europea. Las solicitudes se envían con el flag contractual de «no entrenamiento»: los datos no se incorporan a sus modelos.
• Resend — envío de correos transaccionales (magic link, notificaciones). Servidores con tratamiento conforme a RGPD.
• Sentry — registro de errores técnicos. Se aplica scrubbing para evitar la captura de datos personales en los logs.

5. Plazo de conservación

Conservamos los datos mientras la asesoría usuaria mantenga cuenta activa. Tras la baja:

• Las cartas y los datos del expediente se conservan cinco años adicionales para atender posibles reclamaciones laborales y cumplir obligaciones documentales del empleador (arts. 21 ET y 45 LISOS), salvo que la asesoría solicite su supresión antes.
• Los datos de facturación y contables, durante los plazos de prescripción tributaria y mercantil aplicables.
• Los datos de cuenta del usuario se eliminan tras la baja, salvo los necesarios para la trazabilidad mínima requerida.

6. Sus derechos

Puede ejercer en cualquier momento los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad escribiendo a hola@cartaslaborales.app con prueba de su identidad. Responderemos en el plazo de un mes.

Si los datos son de un trabajador y los introdujo una asesoría, el ejercicio de derechos debe dirigirse en primer término a la asesoría que actúa como responsable del tratamiento. Le ayudaremos a localizar el contacto adecuado.

Si considera que el tratamiento no se ajusta a la normativa, puede presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas razonables para el volumen y la sensibilidad de los datos: cifrado en tránsito (TLS), autenticación sin contraseña vía enlaces de un solo uso, aislamiento entre asesorías a nivel de base de datos, principio de mínimo privilegio en accesos internos y registro auditable de acciones críticas.

8. Modificaciones de esta política

Podemos actualizar este documento para reflejar cambios en el Servicio o en la normativa. La fecha de última actualización aparece al principio. Si el cambio es sustancial, lo comunicaremos por correo electrónico a las asesorías usuarias con antelación razonable.