Política de privacidad

En una plataforma de comunicación interna la misma empresa trata datos personales en dos posiciones que el Reglamento (UE) 2016/679 (RGPD) distingue con claridad, y con obligaciones distintas. Separarlas es lo primero que hay que entender de este documento.

Blastack como responsable del tratamiento

De los datos de quien visita blastack.com, escribe al correo de contacto, crea una cuenta de prueba o contrata el servicio. Aquí decidimos nosotros para qué y cómo se tratan esos datos, y respondemos de ello. Es lo que se detalla en los apartados 3, 8 y 9.

Blastack como encargado del tratamiento

De los datos que la empresa cliente introduce en la plataforma sobre su propia plantilla. Aquí la responsable es la empresa cliente: decide qué datos incorpora, para qué, quién accede y cuánto tiempo se conservan. Nosotros solo los tratamos siguiendo sus instrucciones, al amparo del contrato de encargo del artículo 28 del RGPD. Es lo que se detalla en los apartados 4 y 5.

La consecuencia práctica es sencilla: si eres una persona empleada de una empresa que usa Blastack, la responsable de tus datos es tu empresa, no nosotros. En el apartado de derechos se explica a quién dirigirte y qué hacemos si nos escribes a nosotros.

Responsable

APRENDIZAJES DEL FUTURO, S.L.

NIF

B23853310

Domicilio

Passatge Domènech 3, 08470 Sant Celoni (Barcelona)

Correo electrónico

info@blastack.com

Delegado de protección de datos

No se ha designado delegado de protección de datos por no concurrir ninguno de los supuestos del artículo 37 del RGPD.

Cualquier cuestión sobre protección de datos, incluido el ejercicio de derechos, puede plantearse en info@blastack.com o por escrito al domicilio indicado.

Estos son los tratamientos en los que decidimos nosotros, con su finalidad, su base jurídica y su plazo de conservación.

No elaboramos perfiles ni tomamos decisiones automatizadas que produzcan efectos jurídicos sobre las personas o las afecten de modo similarmente significativo.

Cuando una empresa contrata Blastack, incorpora a la plataforma datos de su propia plantilla. Esos datos siguen siendo de la empresa cliente, que es la responsable del tratamiento. Nosotros los alojamos y los procesamos por cuenta suya. Según las funciones que la empresa decida usar, pueden incluir:

• Identificación y contacto: nombre y apellidos, correo electrónico y teléfono.
• Datos de organización: puesto, departamento, centro de trabajo y rol dentro de la plataforma.
• Fotografía de perfil, si la persona la sube.
• Fecha de cumpleaños y fecha de incorporación, si la empresa activa las funciones de felicitaciones y aniversarios.
• Contenido generado: publicaciones, comentarios, reacciones, mensajes internos, documentos subidos y reconocimientos entre compañeros.
• Registros de actividad necesarios para el servicio: lecturas de publicaciones, acuses de recibo de documentos, confirmaciones de asistencia a eventos y respuestas a encuestas.
• Datos técnicos de acceso: dirección IP, navegador y fechas de conexión, y el registro de auditoría de las acciones administrativas relevantes.

No usamos ninguno de estos datos para finalidades propias: ni para publicidad, ni para elaborar perfiles, ni para entrenar sistemas automáticos, ni los cedemos a nadie. Solo se acceden cuando es imprescindible para prestar soporte o resolver una incidencia, y esos accesos quedan registrados.

Cuando la empresa cliente marca una encuesta como anónima, la respuesta se guarda sin vínculo con la persona que la envió. No es una promesa de la pantalla: el dato de quién respondió qué no llega a existir en la base de datos, de modo que no puede reconstruirlo ni un administrador de la empresa ni nosotros.

Corresponde a la empresa cliente decidir qué datos incorpora, contar con una base jurídica para tratarlos, informar a su plantilla en los términos de los artículos 13 y 14 del RGPD y cumplir con la normativa laboral que resulte aplicable, incluida la consulta a la representación legal de las personas trabajadoras cuando proceda.

La relación entre la empresa cliente, como responsable, y Blastack, como encargado, se documenta en un contrato de encargo del tratamiento conforme al artículo 28 del RGPD, que forma parte de las Condiciones del servicio y se acepta al contratar. Puede facilitarse firmado por separado a petición del cliente. En virtud de ese contrato nos obligamos a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, y avisarle si entendemos que una instrucción infringe la normativa de protección de datos.
• Mantener la confidencialidad, también después de terminar la relación, y exigir el mismo compromiso a cualquier persona que pueda acceder a los datos.
• Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD que se resumen en el apartado de seguridad.
• No recurrir a otro encargado sin autorización del responsable. Los subencargados actuales figuran en el apartado de destinatarios, y cualquier cambio se comunica con antelación suficiente para que el cliente pueda oponerse.
• Asistir al responsable para que pueda atender las solicitudes de ejercicio de derechos que reciba de su plantilla.
• Ayudarle a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto cuando procedan.
• Notificarle sin dilación indebida cualquier violación de la seguridad que afecte a sus datos, con la información necesaria para que pueda cumplir sus propias obligaciones de notificación.
• Devolver o suprimir los datos al terminar la prestación, a elección del responsable, en los términos del apartado de conservación.
• Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, con preaviso razonable.

El servicio se presta desde servidores propios situados en la Unión Europea, en un centro de datos de Francia operado por Hostinger International Limited. Las copias de seguridad permanecen en la misma jurisdicción.

No se realizan transferencias internacionales de datos fuera del Espacio Económico Europeo. Ni el alojamiento, ni las copias de seguridad, ni el soporte, ni las tareas de administración se prestan desde fuera del EEE, de modo que no es necesario recurrir a cláusulas contractuales tipo ni a otras garantías del capítulo V del RGPD.

Los archivos que se suben a la plataforma se guardan en el disco del propio servidor, en una carpeta por empresa, y no son accesibles por dirección directa: cada descarga vuelve a comprobar la sesión y la pertenencia a la empresa. La base de datos solo es accesible desde el propio servidor y no está expuesta a internet.

Las tipografías y los demás recursos del sitio se sirven desde nuestro servidor. Al cargar una página de blastack.com el navegador no hace ninguna petición a terceros, así que ningún tercero recibe tu dirección IP por el hecho de visitarnos.

No cedemos datos personales a terceros. Solo se comunican cuando existe una obligación legal —a la Administración tributaria, a las fuerzas y cuerpos de seguridad o a juzgados y tribunales— o cuando resulta necesario para formular o defender reclamaciones.

• Hostinger International Limited, como proveedor de la infraestructura donde se alojan los servidores. Actúa como encargado, tiene firmado el contrato correspondiente y no accede al contenido.
• Los asesores externos que prestan servicios de contabilidad, fiscalidad o asesoramiento jurídico, limitados a los datos de facturación y sujetos a secreto profesional.

No utilizamos servicios de analítica web, de publicidad, de gestión de campañas ni complementos de redes sociales, de modo que ninguna de esas empresas recibe datos de quienes visitan el sitio o usan la plataforma.

El sitio comercial, blastack.com, no utiliza cookies. No hay analítica, ni medición de campañas, ni publicidad, ni botones de redes sociales. Esa es la razón por la que no verás un aviso pidiéndote consentimiento: no hay nada que consentir.

La plataforma, app.blastack.com, utiliza una única cookie propia y estrictamente necesaria para mantener la sesión iniciada:

Es una cookie exenta del deber de consentimiento conforme al artículo 22.2 de la LSSI-CE, por ser imprescindible para prestar un servicio expresamente solicitado. Se puede bloquear desde el navegador, pero entonces no es posible iniciar sesión en la plataforma.

Como responsables, conservamos cada categoría de datos durante el plazo indicado en su ficha del apartado 3. Terminado ese plazo, los datos se bloquean mientras subsistan responsabilidades legales y después se suprimen.

Como encargados, conservamos los datos de la plataforma mientras esté vigente el contrato con la empresa cliente. Al terminar, la empresa dispone de 30 días naturales para exportar su información. Transcurrido ese plazo, los datos y los archivos se suprimen de forma definitiva en un máximo de 30 días adicionales, incluidas las copias de seguridad, salvo lo que debamos conservar por obligación legal, que se limita a los datos de facturación.

Las cuentas de prueba que no derivan en contratación se cierran al terminar los 15 días y sus datos se borran conforme al mismo criterio.

Aplicamos las medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD. Entre otras:

• Las contraseñas no se almacenan: se guarda un derivado obtenido con scrypt y una sal distinta por usuario.
• El identificador de sesión se guarda cifrado, de modo que un volcado de la tabla no permite suplantar a nadie.
• El aislamiento entre empresas se comprueba en cada consulta a la base de datos, no solo en la interfaz.
• La base de datos no está expuesta a internet y solo es accesible desde el propio servidor.
• Las comunicaciones viajan cifradas y los archivos se sirven comprobando sesión y pertenencia en cada descarga.
• Bloqueo temporal del acceso tras varios intentos fallidos, y cierre de las sesiones abiertas al cambiar la contraseña.
• Registro de auditoría de altas, bajas, cambios de rol y aprobaciones de contenido.
• Copias de seguridad periódicas dentro de la misma jurisdicción.

El detalle de cómo está construido esto, incluido lo que todavía no ofrecemos, está en la página de seguridad.

El RGPD reconoce a las personas los siguientes derechos sobre sus datos:

Acceso

Saber si tratamos tus datos y obtener una copia de ellos.

Rectificación

Corregir los datos inexactos o completar los incompletos.

Supresión

Pedir que se borren cuando ya no sean necesarios o el tratamiento no esté justificado.

Oposición

Oponerte al tratamiento basado en interés legítimo por motivos relacionados con tu situación particular.

Limitación

Pedir que se conserven pero no se usen mientras se resuelve una impugnación.

Portabilidad

Recibir en formato estructurado y de uso común los datos que nos hayas facilitado.

Retirada del consentimiento

Cuando el tratamiento se base en tu consentimiento, retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior.

Para ejercerlos basta con escribir a info@blastack.com o al domicilio indicado en el apartado 2, señalando qué derecho ejercitas y acompañando copia de un documento que acredite tu identidad. Responderemos en el plazo de un mes, prorrogable por dos meses más si la solicitud es especialmente compleja, en cuyo caso te lo comunicaremos. El ejercicio de estos derechos es gratuito.

Si eres una persona empleada de una empresa que usa Blastack y tu solicitud se refiere a los datos que hay en la plataforma, quien debe atenderte es tu empresa, porque es la responsable del tratamiento. Si nos escribes a nosotros te lo indicaremos y trasladaremos la solicitud a tu empresa sin dilación, para que no se pierda por el camino.

Si consideras que no hemos atendido tu solicitud correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es). No es necesario reclamarnos antes a nosotros, aunque agradecemos la oportunidad de resolverlo primero.

El servicio va dirigido a empresas y a las personas que trabajan en ellas. No está pensado para menores de 16 años y no recogemos deliberadamente sus datos. Si una empresa cliente incorpora datos de personas menores de esa edad, es ella quien debe contar con la base jurídica que corresponda.

Esta política puede actualizarse por cambios normativos, por recomendaciones de las autoridades de control o por la evolución del servicio. La versión vigente es siempre la publicada en esta página, con la fecha de actualización que figura al principio.

Cuando el cambio sea sustancial, se avisará a los clientes por correo electrónico o dentro de la plataforma con antelación razonable a su entrada en vigor.