Política de privacitat
Com tracta Compliance360 les dades personals
Última actualització: 8 d'octubre de 2026
1. Qui som
Compliance360 és un servei de ALMGESTIÓ SOLUCIONS EMPRESARIALS, S.L., amb NIF [A OMPLIR: NIF] i domicili a [A OMPLIR: domicili social complet]. Pots escriure'ns a [A OMPLIR: adreça de contacte de privacitat, p. ex. privacitat@almgestio.com] per a qualsevol qüestió sobre aquesta política o sobre les teves dades.
[A OMPLIR: si l'empresa ha designat un delegat de protecció de dades, indicar-ne aquí el nom i el contacte. Si no n'ha designat cap, esborrar aquesta frase.]
2. Dos papers diferents, i convé no confondre'ls
Compliance360 és una eina que les empreses contracten per gestionar el seu compliment legal. Això fa que tractem dades personals de dues maneres ben diferents, amb responsabilitats diferents.
| Quines dades | Quin paper hi fem |
|---|---|
| Les dades de qui contracta el servei i de les persones que hi accedeixen: nom, adreça de correu, nom d'usuari, càrrec o àrea de responsabilitat. | En som responsables. Decidim nosaltres per a què es fan servir i aquesta política les cobreix. |
| Les dades que l'empresa client introdueix o puja a la seva àrea: documents acreditatius, noms de responsables d'àrea, dades d'instal·lacions, registres d'actuacions. | En som encarregats del tractament. El responsable és l'empresa client, que decideix què hi posa i per a què. Nosaltres només ho tractem seguint les seves instruccions i el contracte signat amb ella. |
Si ets una persona treballadora d'una empresa client i vols saber per què les teves dades són a Compliance360, qui t'ho ha de respondre és la teva empresa. Nosaltres l'ajudarem a fer-ho.
3. Quines dades tractem i per què
| Dades | Finalitat | Base legal |
|---|---|---|
| Nom, correu electrònic, nom d'usuari i contrasenya (desada xifrada, mai en clar) | Donar accés al servei, identificar qui fa cada acció i permetre recuperar l'accés | Execució del contracte (art. 6.1.b RGPD) |
| Dades de l'empresa: raó social, NIF, sector, instal·lacions, respostes al qüestionari inicial | Determinar quina normativa li aplica i generar-ne el registre legal | Execució del contracte |
| Documents que l'empresa aporta com a evidència de compliment | Acreditar el compliment davant d'una inspecció o auditoria | Execució del contracte (com a encarregats de l'empresa client) |
| Adreces de correu dels responsables de cada àrea | Enviar-los els avisos de venciment de les obligacions que els corresponen | Execució del contracte; les facilita l'empresa client |
| Registre d'accessos, d'enviaments de correu i d'accions sobre el registre legal | Seguretat del servei i traçabilitat: poder demostrar qui va fer què i quan | Interès legítim en la seguretat i en la traçabilitat exigible (art. 6.1.f RGPD) |
| Credencials d'accés al calendari corporatiu, si l'empresa el connecta | Escriure al calendari els venciments de les seves obligacions | Execució del contracte, previ acte exprés de connexió, que es pot revocar en qualsevol moment |
No fem perfilat, no prenem decisions automatitzades amb efectes jurídics sobre cap persona, i no fem servir les dades per a publicitat ni les venem a ningú.
4. Qui més hi intervé
Per prestar el servei ens recolzem en els proveïdors següents. Tots tracten dades per compte nostre, amb contracte d'encarregat del tractament, i només per a allò que calgui:
| Proveïdor | Per a què | On |
|---|---|---|
| Amazon Web Services | Servidor, base de dades i emmagatzematge dels documents | Regió d'Espanya (eu-south-2) |
| Amazon Web Services (SES) | Enviament dels avisos per correu electrònic | Regió de França (eu-west-3), perquè el servei de correu no existeix a la regió d'Espanya |
| Anthropic PBC | Motor d'intel·ligència artificial que analitza la normativa aplicable i redacta el registre legal | Estats Units, amb garanties adequades (vegeu l'apartat 5) |
| Google o Microsoft | Només si l'empresa decideix connectar el seu calendari corporatiu | Segons el proveïdor que triï l'empresa |
| Dinahosting | Domini i redirecció del correu entrant | Espanya |
Sobre la intel·ligència artificial, perquè quedi clar fins on arriba: li enviem les respostes del qüestionari de l'empresa, el seu registre legal i les dades de les obligacions. Dels documents que l'empresa puja com a evidència només li arriben el nom del fitxer, el tipus de document i la data: el contingut dels fitxers no surt mai del nostre emmagatzematge. Les dades no es fan servir per entrenar cap model.
A més dels proveïdors, podem comunicar dades a jutjats, administracions o cossos de seguretat quan una norma ens hi obligui.
5. Transferències fora de la Unió Europea
Totes les dades es desen i es processen dins la Unió Europea, llevat del motor d'intel·ligència artificial, que s'executa als Estats Units. Aquella transferència es fa a l'empara de les clàusules contractuals tipus aprovades per la Comissió Europea, amb les mesures complementàries corresponents.
Si l'empresa connecta un calendari de Google o de Microsoft, les dades dels esdeveniments que hi escrivim queden també sotmeses a les condicions del proveïdor que hagi triat.
6. Dades que ens dona Google
Quan una empresa connecta el seu Google Calendar, Compliance360 obté permís per crear, modificar i esborrar esdeveniments al calendari que ella indiqui. Ho fem servir per a una sola cosa: posar-hi els venciments de les seves obligacions legals i mantenir-los al dia.
- No llegim, ni copiem, ni desem cap altre esdeveniment del calendari: només els que hem creat nosaltres.
- No fem servir aquestes dades per a publicitat ni les cedim a tercers amb cap finalitat comercial.
- No les enviem al motor d'intel·ligència artificial ni a cap altre proveïdor.
- No les emprem per entrenar models ni per a cap finalitat diferent de mostrar i actualitzar els venciments.
- L'empresa pot revocar la connexió quan vulgui, des de la mateixa aplicació o des del seu compte de Google; en fer-ho, esborrem les credencials desades.
7. Quant de temps les conservem
- Les dades del compte i del registre legal, mentre duri el contracte amb l'empresa client.
- En acabar el contracte, les esborrem o les retornem segons el que s'hagi pactat, i en tot cas en un termini màxim de [A OMPLIR: termini acordat, p. ex. 30 dies] des de la finalització.
- Les còpies de seguretat es renoven soles i les més antigues es destrueixen als 35 dies.
- El registre d'accessos i d'enviaments es conserva [A OMPLIR: termini, p. ex. 12 mesos], que és el que permet investigar un incident de seguretat.
- Hi ha dades que caldrà conservar més temps si una norma ho exigeix, bloquejades i només a disposició de l'administració o dels tribunals.
8. Com les protegim
- Les contrasenyes no es desen mai en clar: es guarda només una derivació criptogràfica que no permet recuperar-les.
- La base de dades no és accessible des d'internet: només hi arriba el servidor de l'aplicació.
- Els documents es desen xifrats, en un espai separat per a cada empresa i sense accés públic.
- Les credencials dels calendaris connectats es desen xifrades amb AES-256.
- Cada empresa només pot veure les seves dades, i aquesta separació es comprova automàticament a cada actualització del servei.
- Les comunicacions amb l'aplicació van sempre xifrades (HTTPS).
9. Els teus drets
Pots demanar-nos accedir a les teves dades, rectificar-les, suprimir-les, limitar-ne o oposar-te al tractament, i demanar-ne la portabilitat. Si el tractament es basa en el teu consentiment, el pots retirar quan vulguis, sense que això afecti el que s'hagi fet abans.
Escriu a [A OMPLIR: adreça de contacte de privacitat] indicant quin dret vols exercir. Et respondrem en el termini d'un mes. Si creus que no t'hem atès bé, pots reclamar davant l'Agència Espanyola de Protecció de Dades (www.aepd.es).
Si les teves dades són a Compliance360 perquè les hi ha posat la teva empresa, adreça't primer a ella: és qui n'és responsable.
10. Galetes
Compliance360 fa servir una sola galeta, tècnica i imprescindible: la que manté la sessió oberta mentre fas servir l'aplicació. Caduca al cap de set dies i no permet seguir-te per cap altre lloc web.
No fem servir cap eina d'analítica, de publicitat ni de seguiment de tercers. Per això no et demanem que acceptis res: no hi ha res a acceptar.
11. Canvis en aquesta política
Si la modifiquem, publicarem la versió nova en aquesta mateixa adreça amb la data d'actualització. Si el canvi és rellevant, avisarem les empreses clients per correu abans que entri en vigor.