Política de privacidad

1. Responsable y ámbito

Esta política corresponde a Biokan ERP, herramienta de gestión interna de la actividad empresarial. Estas páginas informativas no habilitan un registro público de clientes. La información identificativa del responsable procede de la ficha de Empresite facilitada por la empresa; su vigencia debe ratificarse en la revisión empresarial.

2. Datos, procedencia y finalidades

• Usuarios autorizados: identificadores de acceso, nombre, perfil, permisos y registros técnicos de actividad necesarios para administrar accesos y proteger el sistema.
• Gestión empresarial: datos de empresas, locales, personas de contacto, equipos, movimientos, tarifas, partes de visita, intervenciones y pendientes que el personal autorizado registra para prestar y documentar el servicio.
• Documentos del trabajo: observaciones, fotografías, nombre del firmante, firma manuscrita capturada y documentos PDF. La firma documenta la aceptación de una visita; no se presenta como identificación biométrica ni como firma electrónica cualificada.
• Conexión Google: identidad de la cuenta autorizada para comprobar la conexión, identificadores y metadatos de carpetas y archivos, fotografías, firmas y PDF que se almacenan o recuperan mediante Drive, y credenciales técnicas de autorización custodiadas de forma privada.

Los datos proceden de la empresa, de sus usuarios autorizados, de contactos empresariales y de los documentos del servicio. Se utilizan para organizar y acreditar el trabajo, atender incidencias, controlar accesos y mantener la integración documental. No deben incorporarse datos especialmente protegidos o información ajena a estas finalidades.

3. Bases jurídicas

• RGPD, artículo 6.1.b: ejecución de contratos y medidas precontractuales cuando la persona interesada sea parte, para gestionar y documentar la prestación del servicio.
• Artículo 6.1.f: interés legítimo en gestionar contactos profesionales y relaciones con organizaciones clientes, organizar el trabajo interno, mantener trazabilidad y seguridad, previa valoración de proporcionalidad y de los derechos de las personas afectadas. Puede ejercerse oposición.
• Artículo 6.1.c: cumplimiento de obligaciones legales aplicables a los documentos o solicitudes concretos; no se invoca una obligación genérica para conservar cualquier dato indefinidamente.

El permiso OAuth de Google autoriza técnicamente la conexión a Drive: no sustituye la base jurídica del tratamiento de datos personales de terceros. Si un tratamiento concreto requiriera consentimiento, deberá solicitarse separadamente, de forma informada y revocable.

4. Google Drive, permisos y Uso Limitado

La integración sirve para guardar y recuperar documentos, fotos y firmas del trabajo en la estructura de carpetas de Biokan. La autorización la gestiona la persona administradora; no convierte Google en el método de acceso de todos los usuarios del ERP. Esta integración no necesita leer Gmail, Calendar ni Contacts.

El permiso técnico solicitado se muestra en la pantalla de consentimiento. Un alcance amplio de Drive puede permitir acceso a más archivos de la cuenta que la carpeta configurada: seleccionar una carpeta en Biokan es una restricción de la aplicación, no un aislamiento de Google a esa carpeta. El alcance drive.file limita los archivos accesibles, pero no concede automáticamente acceso a una carpeta o a documentos creados por otro cliente OAuth. La migración a un cliente exclusivo está sujeta a comprobar el alcance y el acceso a los archivos existentes antes de sustituir la conexión.

El uso y la transferencia de información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado cuando correspondan. Los datos Google se usarán únicamente para las funciones de gestión documental descritas, no para publicidad, venta de datos, perfiles comerciales ajenos al servicio ni entrenamiento de modelos generales de inteligencia artificial.

El acceso humano a la información se limita al personal y soporte autorizados para la prestación del servicio y a los supuestos permitidos por la política de Google: autorización específica cuando proceda, seguridad, cumplimiento legal u operaciones internas permitidas con las garantías exigibles. No se habilita acceso público a Drive por publicar esta política.

Revocar el permiso

La persona titular puede revocar el acceso en las conexiones de su cuenta Google. La revocación interrumpe futuras operaciones con ese permiso, pero no elimina automáticamente documentos ya guardados ni datos del ERP. Para solicitar su eliminación debe utilizarse el contacto del responsable. Durante la migración no debe revocarse el cliente anterior hasta comprobar la sustitución.

5. Acceso, destinatarios y transferencias

Accede el personal autorizado según sus funciones y permisos. Los documentos destinados al cliente no deben incluir notas internas. Podrán intervenir proveedores de alojamiento, operación técnica y seguridad bajo las condiciones aplicables; Google presta el almacenamiento Drive y el acceso mediante sus API. El acceso público a estas páginas utiliza un proxy de Cloudflare, que puede tratar datos técnicos de conexión con fines de entrega y seguridad.

Google y Cloudflare pueden tratar datos fuera del Espacio Económico Europeo según el servicio, contrato y configuración. Deben evaluarse las transferencias y documentarse una decisión de adecuación u otras garantías válidas del capítulo V del RGPD cuando proceda. No se afirma que todo el tratamiento se produzca en España ni que exista una garantía contractual específica sin comprobarla.

La identificación contractual del proveedor de alojamiento, la región, los encargos de tratamiento y las garantías concretas están pendientes de ratificación empresarial. No se declaran como proveedores contratados entidades no verificadas. Pueden consultarse las políticas de Google y Cloudflare; estas no sustituyen las obligaciones del responsable.

6. Conservación, eliminación y copias

Los datos operativos se conservan mientras sean necesarios para la relación y el servicio; los documentos sujetos a obligaciones legales o a la defensa de reclamaciones, durante el plazo aplicable al caso y con acceso limitado. Las versiones de los partes y sus firmas se preservan para acreditar su historial: una corrección no debe sobrescribir silenciosamente una versión firmada.

Las credenciales OAuth se conservan mientras la conexión esté autorizada y sea necesaria. La baja de una persona usuaria requiere retirar sus accesos sin destruir documentación empresarial que deba conservarse. La empresa debe aprobar un calendario de conservación por categorías; esta edición no inventa un plazo único ni una eliminación automática no implementada.

Las copias de seguridad pueden mantener datos residuales hasta su sustitución conforme al ciclo aprobado, con acceso restringido y sin usarse para finalidades nuevas. Los ciclos y el procedimiento de supresión en copias deben ratificarse en la revisión empresarial. Las solicitudes de supresión se tramitan valorando las obligaciones de conservación y las limitaciones que correspondan.

7. Seguridad y almacenamiento local

La aplicación utiliza HTTPS, autenticación, perfiles de acceso y almacenamiento privado de credenciales y documentos. No existe seguridad absoluta. El parte puede conservarse localmente en el navegador para permitir trabajar sin conexión; la sincronización automática se aplica a los partes finalizados por el usuario, no firma ni cierra borradores por sí sola. En dispositivos compartidos deben protegerse la sesión y los datos locales; la separación por usuario no equivale a cifrado frente a alguien con control del navegador.

Estas páginas no incorporan analítica publicitaria ni formularios. El ERP utiliza mecanismos de sesión y seguridad; el proxy puede aplicar sus propias medidas técnicas. No se atribuye a la firma capturada una función de reconocimiento biométrico.

8. Derechos, reclamación y cambios

Puede solicitar acceso, rectificación, supresión, oposición, limitación y, cuando sea aplicable, portabilidad; también retirar un consentimiento si esa fuera la base del tratamiento. Dirija la solicitud a iapersonalasm@gmail.com o al domicilio indicado, identificando la petición. Solo se solicitará información adicional de identidad si resulta necesaria y proporcionada.

Puede reclamar ante la Agencia Española de Protección de Datos y solicitar información sobre los intereses legítimos, destinatarios y garantías de transferencias aplicables. Las solicitudes se atenderán dentro de los plazos legales. La política se actualizará cuando cambien las finalidades o la integración; un cambio relevante no se autoriza únicamente por actualizar el texto.