Política de Privacidad — {{NOMBRE_PRODUCTO}}

Definiciones

Los términos con mayúscula inicial tienen el significado que les da el documento 01 (Condiciones generales). En resumen:

• Konomic: KONOMIC DIGITAL SL, prestadora del Servicio.
• el Servicio: {{NOMBRE_PRODUCTO}}. Localiza en DEHú, mediante LEMA, los Envíos del Titular. Avisa de ellos, controla los plazos estimados, abre las Comunicaciones si así se configura, abre las Notificaciones solo por instrucción expresa de un Usuario Autorizado y custodia los documentos y las evidencias.
• el Cliente: la sociedad, el autónomo o la Gestoría que contrata el Servicio con Konomic.
• el Titular: la persona física o jurídica a cuyo nombre la Administración pone a disposición el Envío en DEHú. Firma la DR y la Autorización del titular (documento 04). Cuando contrata directamente, el Titular es también el Cliente.
• la Gestoría: la gestoría, asesoría o despacho profesional que contrata el Servicio para gestionar los Envíos de sus propios clientes, que son los Titulares (documento 02).
• el Cabinet o Área de Cliente: el área privada web del Servicio, en https://dehu.konomic.io. Es el único lugar donde se muestran el contenido y los documentos de los Envíos.
• Visitante: la persona física que accede a las páginas públicas del Sitio Web.
• Usuario: la persona física con credenciales personales en el Cabinet que tiene acceso a los Envíos de uno o varios Titulares con el rol «Puede ver» o «Puede ordenar apertura» y, en su caso, el atributo «Gestiona usuarios» (documento 01, cláusula 2).
• Usuario Autorizado: el Usuario que tiene respecto de un Titular el rol «Puede ordenar apertura», atribuido conforme a la cláusula 8.3.b del documento 04 o en su Anexo II firmado.
• Sitio Web: {{DOMINIO}} y sus subdominios, incluido el Cabinet.
• DEHú: la Dirección Electrónica Habilitada única, el sistema de notificaciones electrónicas de la Administración General del Estado (RD 203/2021, art. 44).
• LEMA: el servicio web de DEHú para Grandes Destinatarios, que permite localizar y comparecer Envíos de forma automatizada ("Especificación del servicio web para Grandes Destinatarios (LEMA)", v4.1).
• DR: la Declaración Responsable que el Titular firma en DEHú en modalidad "agrupador de NIF". En ella designa el certificado de Konomic.
• Envío: la Notificación o la Comunicación que un organismo emisor pone a disposición del Titular en DEHú.
• Notificación: el Envío que DEHú clasifica como notificación. Acceder a su contenido produce efectos jurídicos: la notificación se entiende practicada en ese momento (Ley 39/2015, art. 43.2).
• Comunicación: el Envío que DEHú clasifica como comunicación, de carácter informativo.

0. Información básica (primera capa, art. 11 LOPDGDD)

1. Responsable del tratamiento

2. A quién se aplica esta Política

Esta Política informa a las personas cuyos datos trata Konomic como responsable:

1. los Visitantes del Sitio Web;
2. los Usuarios del Cabinet: personal del Cliente, personal de la Gestoría, autónomos y Usuarios Autorizados;
3. los representantes legales, apoderados y personas de contacto del Cliente, de la Gestoría y del Titular, incluidos los firmantes de los documentos 01 a 04;
4. las personas que nos escriben para pedir información, una demostración o soporte;
5. los destinatarios de nuestras comunicaciones comerciales a empresas y profesionales, cuando las haya.

El §3 explica además, con fines de transparencia, cómo se tratan los datos contenidos en los Envíos. En ese tratamiento Konomic actúa por cuenta del Titular.

3. Dos papeles distintos: responsable y encargado

3.1 Konomic como responsable

Konomic decide los fines y los medios, y es por tanto responsable (art. 4.7 RGPD), de los tratamientos que realiza para su propia actividad: cuentas del Cabinet, contratación, evidencias de aceptación y de firma, facturación, seguridad, soporte y comunicaciones comerciales. Los describen los §4 a §9.

3.2 Konomic como encargado o subencargado: el contenido de los Envíos

El contenido de los Envíos, es decir, los metadatos, los documentos, los anexos, los acuses de DEHú y los datos de las personas que aparecen en ellos, lo trata Konomic por cuenta del Titular y siguiendo sus instrucciones documentadas (art. 28 RGPD). Las regulan el documento 03 (Encargo del tratamiento) y, cuando se contrata a través de una Gestoría, el documento 02.

[PENDIENTE: validar la calificación de roles. Hay dos casos por confirmar: (i) que la Gestoría actúe como encargada respecto de cada Titular, lo que cada Gestoría debe confirmar en el documento 02; y (ii) el caso del autónomo que contrata para su propio NIF (_research/marco_legal.md §3.1).]

Base del acceso a DEHú. Konomic accede a los Envíos del Titular porque este ha firmado en DEHú una DR en modalidad "agrupador de NIF" que designa el certificado de Konomic, y porque ha otorgado a Konomic la Autorización del titular (documento 04). Por LEMA, Konomic solo puede operar sobre los Envíos en los que el Titular figura como titular (Especificación LEMA v4.1, apdo. 2.4 y Anexo II, caso 2). Cada consulta a LEMA incluye el NIF del Titular y va firmada con el certificado de Konomic. DEHú puede registrar las consultas realizadas.

Qué hace Konomic con esos datos, siempre por instrucción del Titular:

• consulta periódicamente DEHú mediante LEMA, solo para los NIF con DR y Autorización del titular vigentes;
• registra los metadatos públicos de cada Envío (emisor, concepto, fecha de puesta a disposición, tipo de Envío);
• envía avisos de contenido mínimo. El correo solo indica que hay novedades en el Cabinet y no incluye el concepto, el emisor ni los documentos del Envío [PENDIENTE: decidir si el aviso puede incluir el nombre o un alias del Titular];
• abre automáticamente las Comunicaciones, solo si el Titular lo ha elegido de forma expresa;
• abre las Notificaciones solo por instrucción expresa de un Usuario Autorizado. Nunca lo hace por iniciativa propia;
• custodia en el Cabinet los documentos, los acuses y las evidencias de DEHú;
• al terminar el contrato, devuelve o suprime los datos, a elección del responsable, en los términos del documento 03 (art. 28.3.g RGPD; art. 33 LOPDGDD).

Qué no hace Konomic con esos datos:

• no los usa para fines propios;
• no hace marketing, perfiles ni estadísticas con su contenido;
• no los usa para entrenar modelos de inteligencia artificial;
• no los vende;
• no los comunica a terceros, salvo a los subencargados autorizados en el documento 03.

El personal de Konomic solo accede al contenido de un Envío (i) a petición del Cliente o del Titular, para prestar soporte, o (ii) cuando sea imprescindible para resolver una incidencia del Servicio o de seguridad. Cada acceso se hace con una herramienta de administración y queda registrado (documento 03, cláusula 7.2) [PENDIENTE técnico: Requisito de lanzamiento, documento 03, Anexo 2, §2.10]. Konomic no presta asesoramiento sobre el contenido de los Envíos.

Datos que pueden aparecer en los Envíos. Konomic no elige estos datos: vienen en los actos que dictan las Administraciones. Pueden incluir:

• datos identificativos;
• datos económicos y tributarios;
• datos de Seguridad Social;
• datos de infracciones y sanciones administrativas (art. 27 LOPDGDD);
• excepcionalmente, categorías especiales de datos (art. 9 RGPD) o datos relativos a infracciones penales (art. 10 RGPD).

Pueden referirse al Titular, a sus administradores y trabajadores, a terceros mencionados en el acto y a los empleados públicos que lo firman.

DEHú y los organismos emisores no son encargados de Konomic. Tratan los datos en ejercicio de sus competencias y conforme a su propia información de protección de datos. La DR, por ejemplo, incluye su propia cláusula informativa de la Secretaría General de Administración Digital.

Ejercicio de derechos sobre los datos de los Envíos. Diríjase al Titular o, en su caso, a la Gestoría. Si la solicitud llega a Konomic, la trasladará al Titular o a la Gestoría en un plazo máximo de {{PLAZO_TRASLADO_SOLICITUDES_DIAS}} y se lo comunicará a usted (art. 28.3.e RGPD; art. 12.3 LOPDGDD). El contenido de un acto administrativo solo puede rectificarlo el organismo que lo dictó.

3.3 Registro de actividad del Servicio (auditoría)

El Servicio lleva un registro de auditoría encadenado por huellas (hash) de los actos relevantes. En particular, de cada Instrucción de Apertura de una Notificación registra: el Usuario que la dio, su rol, el Titular, el Envío, la fecha y hora (UTC), la IP, el agente de usuario, la versión y la huella del Texto de Advertencia mostrado (documento 04, Anexo III), el resultado y el acuse de DEHú. También registra las altas y bajas de NIF, los cambios de configuración, los accesos al Cabinet y las descargas [PENDIENTE: varios de estos campos son hoy PREVISTO según _research/producto.md §1.9; publicar solo los implementados].

Este registro sirve a dos finalidades:

1. Por cuenta del Titular, como parte del Servicio (documento 03). El Titular y, en su caso, la Gestoría pueden consultarlo.
2. Por interés legítimo de Konomic (art. 6.1.f RGPD): acreditar que actuó dentro de las instrucciones recibidas y defenderse frente a posibles reclamaciones. Al terminar el contrato, Konomic puede conservar una copia bloqueada mientras puedan derivarse responsabilidades de su relación con el responsable (art. 33.4 LOPDGDD).

Si usted es Usuario Autorizado, su identidad quedará vinculada a cada apertura que ordene. Ese dato podrá facilitarse al Titular, a la Gestoría y, cuando lo exija la ley, a juzgados y autoridades.

[PENDIENTE: validar la doble finalidad y el plazo de bloqueo.]

4. Datos que tratamos como responsable

4.1 Categorías de datos

Konomic no trata, como responsable, categorías especiales de datos (art. 9 RGPD) ni datos penales (art. 10 RGPD). Si aparecen en un Envío, se tratan como se explica en el §3.2.

4.2 Origen de los datos (art. 14 RGPD)

• Del propio interesado, por ejemplo al registrarse, aceptar, firmar o escribirnos.
• Del Cliente o de la Gestoría, en estos casos:
• cuando su administrador da de alta Usuarios o designa Usuarios Autorizados;
• cuando la Gestoría nos facilita el nombre y el correo del representante de un Titular para invitarle a firmar la Autorización del titular (documento 04);
• cuando el Cliente indica personas de contacto para la facturación o para coordinar la DR.

Datos que recibimos por esta vía: los de las categorías A y B. - Del prestador de servicios de confianza que emitió su certificado: el estado de validez del certificado en el momento de la firma, obtenido por OCSP o CRL (categoría C). - Del propio Servicio, que genera los registros técnicos y las evidencias (categorías D y F). - [PENDIENTE: si se consultan fuentes públicas para verificar el NIF o la razón social (por ejemplo, VIES o el Registro Mercantil), indicarlo aquí.]

Quien nos facilite datos de otra persona (el Cliente o la Gestoría) debe haberla informado y tener base jurídica para hacerlo (documentos 01 y 02). Konomic informa por su parte a esa persona en la primera comunicación que le dirige (art. 14.3.b RGPD; Anexo B).

4.3 Datos obligatorios

Los formularios marcan qué datos son obligatorios. Sin ellos no es posible crear la cuenta, contratar, firmar ni facturar. Es un requisito contractual (art. 13.2.e RGPD).

5. Finalidades y bases jurídicas

Los avisos del Servicio (F5) no son comunicaciones comerciales. Mientras sea Usuario no puede renunciar a los avisos esenciales, como los de Envío nuevo, plazo, indisponibilidad o falta de acceso, porque forman parte de lo contratado. Sí puede configurar su canal y su frecuencia en el Cabinet [PENDIENTE: confirmar opciones de configuración].

5.1 Interés legítimo

Cuando el tratamiento se basa en el interés legítimo (F1, F2, F3, F6, F8, F9, F10), Konomic ha ponderado que su interés no prevalece sobre los derechos del interesado. Se trata de datos profesionales, el uso es el esperable en una relación entre empresas y se aplican medidas de minimización. Puede oponerse en cualquier momento (art. 21 RGPD; §9) y pedir información sobre la ponderación en nik.l@konomic.com. [PENDIENTE: documentar por escrito las pruebas de ponderación.]

5.2 Decisiones automatizadas y perfiles

Konomic no adopta, respecto de los Usuarios, decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente (art. 22 RGPD), y no elabora perfiles.

Algunas operaciones del Servicio son automáticas y se hacen por cuenta del Titular y según su configuración: la consulta periódica, la estimación de plazos y la apertura automática de Comunicaciones, si está activada. La apertura de una Notificación siempre requiere la instrucción expresa de una persona: un Usuario Autorizado.

6. Plazos de conservación

Los datos se conservan solo el tiempo necesario para cada finalidad (art. 5.1.e RGPD). Cumplido ese plazo, se bloquean mientras puedan exigirse responsabilidades. Durante el bloqueo solo pueden ponerse a disposición de jueces y tribunales, del Ministerio Fiscal y de las Administraciones competentes. Pasado ese periodo, se destruyen (art. 32 LOPDGDD).

7. Destinatarios

7.1 Proveedores de Konomic para los tratamientos de esta Política (encargados del tratamiento)

Para los tratamientos de los que Konomic es responsable (§4 a §6), Konomic se apoya en proveedores que tratan datos por su cuenta, con contrato de encargo (art. 28 RGPD) y ubicados en la Unión Europea:

Prestador de sellos de tiempo cualificados ({{PROVEEDOR_SELLO_TIEMPO}}, {{UBICACION_SELLO_TIEMPO}}): solo recibe la huella de la evidencia, no datos identificativos. Igual que en el documento 03 (cláusula 9.7), no se considera encargado del tratamiento. [PENDIENTE: confirmar con el abogado.]

Subencargados para los datos de los Envíos. La lista de subencargados para los datos de los Envíos, que Konomic trata como encargado o subencargado (§3.2), es la del documento 03, Anexo 3. Se publica, versionada, en {{URL_LISTA_SUBENCARGADOS}}. Algunos proveedores (alojamiento, correo, copias) figuran en ambas listas. [PENDIENTE: completar con los proveedores reales antes de publicar.]

7.2 Otros destinatarios

• Administración tributaria (AEAT o Agencia Tributaria Canaria, según corresponda), para cumplir las obligaciones fiscales.
• Juzgados y tribunales, Ministerio Fiscal, Fuerzas y Cuerpos de Seguridad y AEPD, cuando lo exija la ley.
• Entidades bancarias, para el cobro.
• El Cliente, la Gestoría y el Titular con los que está vinculado el Usuario. Ven la identidad del Usuario y su actividad en el Cabinet respecto de sus Titulares, por ejemplo quién ordenó abrir una Notificación. Es inherente al Servicio (§3.3).
• El prestador que emitió su certificado electrónico, que recibe la consulta de validez (número de serie) al validar una firma.
• En caso de operación societaria (fusión, escisión, transmisión del negocio), la entidad adquirente, en los términos del art. 21 LOPDGDD.

Konomic no vende datos personales ni los cede con fines comerciales.

8. Transferencias internacionales

No están previstas. Konomic y sus proveedores tratan los datos en la Unión Europea. Konomic está establecida en Canarias, que es territorio de la Unión Europea (TFUE, arts. 349 y 355.1), así que su ubicación no supone transferencia alguna.

Si en el futuro algún proveedor tratara datos fuera del EEE, solo se hará con una decisión de adecuación, por ejemplo el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas (Decisión de Ejecución (UE) 2023/1795), o con cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) acompañadas de una evaluación. En ese caso se actualizarán antes esta Política y la lista de proveedores (RGPD, arts. 44 a 46).

[PENDIENTE: verificar que ningún proveedor, ni su matriz, trate datos fuera del EEE, incluido el acceso remoto de soporte.]

9. Sus derechos

Cómo ejercerlos:

• escribiendo a nik.l@konomic.com;
• por correo postal a Calle Santo Domingo 1, 38003 Santa Cruz de Tenerife, España;
• o desde el Cabinet [PENDIENTE: confirmar si habrá formulario].

Puede ejercerlos directamente o mediante representante (art. 12.1 LOPDGDD). Si hay dudas razonables sobre su identidad, podremos pedirle la información adicional necesaria para confirmarla (art. 12.6 RGPD). Responderemos en un mes, prorrogable dos meses más si la solicitud es compleja, en cuyo caso se lo avisaremos (art. 12.3 RGPD). El ejercicio es gratuito (art. 12.5 RGPD; art. 12.7 LOPDGDD).

Límites. La supresión no alcanza a los datos que debamos conservar por obligación legal o para formular, ejercer o defender reclamaciones, como las facturas o las evidencias de contratación. Esos datos se bloquean (art. 17.3.b y 17.3.e RGPD; art. 32 LOPDGDD).

Datos de los Envíos. Ejerza sus derechos ante el Titular (§3.2).

Reclamación. Si considera que no hemos atendido bien su solicitud, puede reclamar ante la Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid, https://www.aepd.es, sede electrónica https://sedeagpd.gob.es (art. 77 RGPD). Si Konomic designa un DPD, podrá dirigirse antes a él, que le responderá en un máximo de dos meses (art. 37.1 LOPDGDD).

10. Seguridad

Konomic aplica medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD). Las describe el anexo de medidas del documento 03 y entre ellas figuran:

• alojamiento en la Unión Europea;
• cifrado en tránsito y en reposo;
• segundo factor de autenticación en el Cabinet;
• separación de datos por organización;
• registro de auditoría encadenado por huellas;
• custodia restringida del certificado de Konomic;
• avisos de contenido mínimo.

[PENDIENTE: confirmar que cada medida está implementada antes de publicar. Varias figuran como PREVISTO en _research/producto.md §3.2–3.3.]

Aviso de seguridad. Konomic nunca le pedirá, por correo, por teléfono ni en el Cabinet:

• su contraseña;
• sus códigos del segundo factor;
• el PIN, la contraseña o el archivo de su certificado electrónico.

Los documentos se firman en su propio equipo, y Konomic nunca recibe la clave privada de su certificado. Si recibe una petición así, no la atienda y avísenos en {{EMAIL_SEGURIDAD}}.

Si se produce una violación de la seguridad de los datos que trata como responsable, Konomic la notificará a la AEPD y, cuando proceda, a los afectados (arts. 33 y 34 RGPD). Las violaciones que afecten a los datos de los Envíos se comunican al Titular o a la Gestoría conforme al documento 03.

11. Cookies y tecnologías similares

11.1 Qué usamos. El Sitio Web y el Cabinet solo usan cookies técnicas estrictamente necesarias para prestar el servicio que usted solicita, u otros dispositivos de almacenamiento del mismo tipo. Estas cookies no requieren consentimiento (LSSI, art. 22.2, último párrafo; AEPD, Guía sobre el uso de las cookies, https://www.aepd.es/guias/guia-cookies.pdf).

[PENDIENTE: sustituir la tabla por la lista real al implementar el Cabinet.]

11.2 Qué no usamos.

• No usamos cookies analíticas, publicitarias, de redes sociales ni de terceros.
• No cargamos recursos de terceros que reciban su IP, como tipografías, scripts o redes de distribución de contenidos [PENDIENTE: confirmar en la implementación].

Si en el futuro se añadieran cookies no exentas, por ejemplo de analítica, se pedirá su consentimiento previo mediante un aviso con opción de rechazar, se publicará una política de cookies específica y podrá retirar el consentimiento con la misma facilidad con que lo dio [PENDIENTE].

11.3 Cómo bloquearlas. Puede eliminar o bloquear las cookies desde la configuración de su navegador. Si bloquea las cookies técnicas, el Cabinet no funcionará.

12. Menores y consumidores

El Servicio se dirige solo a empresarios y profesionales que actúan en el ámbito de su actividad (documento 01). No está destinado a menores de edad ni a consumidores. Si Konomic detecta que se han facilitado datos de un menor, los suprimirá.

13. Cambios de esta Política

Konomic puede actualizar esta Política. Cada versión indica su número y su fecha de entrada en vigor. Las versiones anteriores pueden consultarse en {{URL_DOCUMENTOS_LEGALES}}. Si un cambio es sustancial, como una nueva finalidad, nuevos destinatarios o transferencias, se avisará a los Usuarios por correo o en el Cabinet antes de aplicarlo.

Anexo A. Texto de primera capa para formularios

Protección de datos. Responsable: KONOMIC DIGITAL SL (B22884688). Finalidad: {{FINALIDAD_FORMULARIO}}. Base jurídica: {{BASE_JURIDICA_FORMULARIO}}. Destinatarios: proveedores de Konomic en la Unión Europea; no se ceden datos salvo obligación legal. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad en nik.l@konomic.com. Más información en la Política de privacidad: {{URL_DOCUMENTOS_LEGALES}}.

Anexo B. Texto para la primera comunicación a personas cuyos datos nos facilita un tercero (art. 14 RGPD)

B.1 Usuario dado de alta por su organización

{{NOMBRE_ORGANIZACION}} le ha dado de alta como Usuario de {{NOMBRE_PRODUCTO}}, un servicio de KONOMIC DIGITAL SL. Hemos recibido de ella su nombre, su correo profesional y su rol. Los tratamos para gestionar su cuenta y prestar el servicio contratado por su organización, sobre la base del interés legítimo (art. 6.1.f RGPD; art. 19 LOPDGDD). Puede ejercer sus derechos en nik.l@konomic.com. Más información: {{URL_DOCUMENTOS_LEGALES}}.

B.2 Invitación de una Gestoría al Titular

{{GESTORIA_RAZON_SOCIAL}} nos ha facilitado su nombre y su correo para invitarle a autorizar el servicio {{NOMBRE_PRODUCTO}} de KONOMIC DIGITAL SL respecto de {{NOMBRE_TITULAR}}. Tratamos estos datos para gestionar la invitación, sobre la base del interés legítimo (art. 6.1.f RGPD; art. 19 LOPDGDD). Si acepta, los trataremos también para formalizar y gestionar la Autorización del titular (art. 6.1.b RGPD). El enlace caduca en {{PLAZO_CADUCIDAD_INVITACION}}. Si no acepta, suprimiremos sus datos en {{PLAZO_INVITACIONES}}. Derechos: nik.l@konomic.com. Más información: {{URL_DOCUMENTOS_LEGALES}}.

La invitación no incluye datos del Titular en la URL (_research/firma_online.md §7.2).