Política de privacidad del Cerebro Digital

Esta política informa (artículos 13 y 14 del Reglamento General de Protección de Datos, RGPD) de los datos personales que PymaticLabs trata al vender el Cerebro Digital y dar soporte, y de los que no trata. Lo que pasa al visitar la web se explica en la política de privacidad de la web.

1. En corto

«Tu información es tuya. Tu cerebro vive en tus equipos y los procedimientos se ejecutan en ellos. Cuando el asistente necesita algo, consulta solo lo que le hace falta, te responde y ya: no se usa para entrenar ningún modelo y no se queda en la memoria de Claude. Lo único que queda es tu conversación, en tu cuenta de Claude, y la borras cuando quieras. Para que sea así, en el montaje te enseñamos a apagar el entrenamiento y la memoria de Claude; con Claude Team, el entrenamiento está apagado por contrato y la memoria viene apagada de serie.»

Anthropic fija dos excepciones, en la sección 3: las valoraciones de respuestas y lo que marquen sus filtros de seguridad.

2. Responsable

PYMATICLABS, SOCIEDAD LIMITADA («PymaticLabs»), NIF B88781745, Calle Alfred Giner Sorolla 3, 2º 5ª, 12006 Castellón de la Plana. Correo de privacidad: info@pymaticlabs.com. No está obligada a designar delegado de protección de datos (artículo 37 del RGPD: no observa a personas a gran escala ni trata categorías especiales como actividad principal) y no lo ha designado.

3. Lo que PymaticLabs no trata

• El contenido del cerebro. Documentos, procedimientos, datos e historial de cambios viven en los equipos del Cliente (su ordenador o su NAS). El Cerebro Digital no envía a PymaticLabs ese contenido ni datos de uso.
• Las contraseñas. Están en la caja fuerte de contraseñas del cerebro, en los equipos del Cliente. PymaticLabs nunca las pide.
• Lo que el asistente lee. Viaja a su proveedor (Anthropic, con Claude) según el contrato del Cliente con él, y queda en el historial de Claude hasta que se borra; después se aplican los plazos de Anthropic. Con Claude Team o Enterprise, Anthropic trata esos datos como encargado del Cliente, con contrato de encargado, y no entrena con ellos; la memoria de Claude viene apagada para cada miembro. Con Pro o Max los trata como responsable, con sus condiciones de consumidor: la memoria viene encendida y el entrenamiento se decide en sus ajustes de privacidad. Con el entrenamiento apagado, guarda las conversaciones borradas 30 días; con el encendido, hasta cinco años. En todos los planes, una valoración enviada sobre una respuesta deja a Anthropic guardar esa conversación hasta cinco años y usarla para entrenar, y lo que marquen sus filtros de seguridad lo puede guardar hasta dos años para sus sistemas de seguridad. Borrar una conversación no borra lo que ya esté en la memoria: se borra aparte.
• Cowork en la nube. En las sesiones en la nube, Claude se lleva una copia de cada fichero que lee, los ficheros que se le dan directamente se copian a la sesión y la memoria de Claude cruza entre Cowork y el chat. Las herramientas del cerebro solo responden con Claude Desktop abierto en un equipo del Cliente.

4. Datos que trata PymaticLabs, para qué y con qué base

• Compra y facturación. Nombre, correo, empresa, NIF o número de IVA, país y dirección de facturación, producto, importe y fechas, que recoge Stripe en la página de pago. Para cumplir el contrato, facturar y llevar la contabilidad. Base: ejecución del contrato y obligación legal (artículo 6.1.b y c del RGPD). Sin estos datos no se puede contratar. Los datos de la tarjeta los trata Stripe; PymaticLabs no los recibe.
• Sesiones de montaje. Nombre, correo, empresa, fecha y lo que se hable o se vea, sin grabar. Para preparar y dar las sesiones. Base: contrato o medidas precontractuales (artículo 6.1.b).
• Soporte. Correos y notas de cada incidencia, para resolverla. Base: contrato. Lo que se ve en las sesiones con pantalla compartida se trata por cuenta del Cliente, como encargado, según el contrato de encargado del soporte, anexo a las condiciones de uso y venta.
• Contacto profesional. Nombre, cargo y datos de contacto de las personas de la empresa cliente, que facilita el Cliente. Base: interés legítimo en mantener la relación (artículo 19 de la Ley Orgánica 3/2018, LOPDGDD).
• Comunicaciones comerciales. A clientes, novedades sobre productos parecidos a los comprados, con un enlace para darse de baja en cada envío (artículo 21.2 de la Ley 34/2002, LSSI-CE); a quien no es cliente, solo con su consentimiento. Base: interés legítimo o consentimiento.

No hay decisiones automatizadas con efectos jurídicos ni perfiles (artículo 22 del RGPD).

Pendiente: el papel de Stripe según su acuerdo de tratamiento de datos, y qué datos del comprador recibe PymaticLabs.

5. Quién recibe los datos

• Stripe, que cobra y trata los datos del pago con su propia política de privacidad.
• Proveedores que los tratan por cuenta de PymaticLabs, con contrato de encargado: Google (Workspace: correo, documentos y videollamada), Holded (facturación y contabilidad), Vercel (alojamiento de la web), Resend (correo transaccional), Notion (agenda) y la herramienta de reservas de las sesiones.
• La Agencia Tributaria, otras administraciones y los juzgados, cuando la ley obliga.

PymaticLabs no vende datos ni los cede a nadie más.

Pendiente: confirmar las herramientas de videollamada y de reservas, y el contrato de encargado de cada proveedor.

6. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo, sobre todo en Estados Unidos. Solo con las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas, o cláusulas contractuales tipo de la Comisión Europea.

Pendiente: la garantía de cada proveedor de Estados Unidos.

7. Cuánto tiempo se guardan

• Compra, facturación y correspondencia del negocio: seis años (artículo 30 del Código de Comercio).
• Soporte: mientras dure la relación, y después como la correspondencia.
• Comunicaciones comerciales: hasta la baja o la retirada del consentimiento.
• Sesiones de montaje sin compra: pendiente de fijar.

Cuando ya no hacen falta para su fin, los datos se bloquean mientras puedan exigirse responsabilidades (artículo 32 de la LOPDGDD) y después se borran.

8. Derechos

Cualquier persona puede pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad (artículos 15 a 22 del RGPD), y retirar el consentimiento que dio, escribiendo a info@pymaticlabs.com. PymaticLabs responde en un mes (artículo 12.3). Si los datos son de alguien que el Cliente enseña en el soporte, el responsable es el Cliente y PymaticLabs le pasa la petición. Quien no quede satisfecho puede reclamar ante la Agencia Española de Protección de Datos (AEPD), en www.aepd.es, o ante la autoridad de su país de la Unión Europea (artículo 77 del RGPD).

9. Seguridad

PymaticLabs aplica medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD): acceso solo de quien lo necesita, verificación en dos pasos en sus cuentas, equipos con el disco cifrado y ninguna copia del contenido de los cerebros de sus clientes.

Pendiente: confirmar la verificación en dos pasos y el cifrado de discos en todas las cuentas y equipos.

10. Cambios

Cada versión de esta política se publica con su fecha. Los cambios importantes se avisan por correo a los clientes.