POLÍTICA DE PRIVACITAT

1.1. Aquesta Política de Privacitat (la “Política”) descriu com Golova Europe SL (el “Responsable del tractament”, “Golova”, “nosaltres”) recull, utilitza, comunica i protegeix les dades personals dels usuaris del lloc web golova.ai, les aplicacions mòbils (Android, iOS), la plataforma Golova (SaaS) i les solucions relacionades Golova.work, Golova.wiki i Golova.market (conjuntament, els “Serveis”).

1.2. Aquesta Política es publica en compliment del Reglament (UE) 2016/679 (el “RGPD”) i de la Llei Orgànica espanyola 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (“LOPDGDD”), que s'apliquen al Responsable del tractament com a societat establerta a Espanya. El Responsable del tractament actua com a operador dels Serveis en totes les jurisdiccions on s'ofereixen.

1.3. Identificació del Responsable del tractament:

• Raó social: Golova Europe SL
• CIF: B70717004
• IVA UE: ESB70717004
• Domicili social: Calle l’Hospital, 95, Planta 1, Puerta 2, 08001 Barcelona, Espanya
• Registre Mercantil: Registre Mercantil de Barcelona, Tom 49139, Foli 218, Full B-609178, Inscripció 1a (15.02.2024); EUID ES08005.000701808
• Empresa Emergent (Startup): certificada per ENISA d'acord amb la Llei 28/2022, de 21 de desembre (data de certificació: 18.02.2026).
• Correu electrònic: privacy@golova.ai
• Telèfon: +34 672 390 777

1.4. Contacte en matèria de protecció de dades: privacy@golova.ai. El Responsable del tractament no ha designat formalment un Delegat de Protecció de Dades (DPO), atès que no es compleixen els supòsits de l'article 37 RGPD. La persona de contacte en matèria de protecció de dades és privacy@golova.ai.

1.5. Aquesta Política s'aplica a totes les dades personals tractades per Golova en el context dels Serveis. La versió vigent està disponible a https://golova.ai/ca/privacy-policy.

1.6. Aquesta Política no s'aplica a: (a) llocs web o serveis operats per tercers, encara que siguin accessibles mitjançant enllaços des dels Serveis; (b) dades tractades pels nostres clients empresarials que utilitzen els Serveis per gestionar els seus propis clients i personal — en aquests casos, el nostre client empresarial és el responsable del tractament i Golova actua com a encarregat del tractament en virtut d'un Acord de Tractament de Dades separat.

2.1. A efectes d'aquesta Política:

• Dades personals — tota informació sobre una persona física identificada o identificable (article 4.1 RGPD).
• Tractament — tota operació realitzada sobre dades personals (recollida, registre, conservació, modificació, consulta, utilització, comunicació, supressió, etc.).
• Interessat — la persona física a qui es refereixen les dades personals.
• Responsable del tractament — l'entitat que determina les finalitats i mitjans del tractament.
• Encarregat del tractament — l'entitat que tracta dades personals per compte del Responsable.
• Client — persona jurídica, professional autònom o persona física registrada per utilitzar els Serveis.
• Usuari final — persona física les dades de la qual són carregades als Serveis per un Client.
• Serveis — la plataforma SaaS Golova, el lloc web, les aplicacions mòbils i les solucions relacionades Golova.work, Golova.wiki i Golova.market.

3.1. Tractem dades personals de les següents categories d'interessats:

• Clients registrats (inclosos els representants de Clients persones jurídiques);
• Visitants del lloc web i de les aplicacions mòbils no registrats;
• Persones que ens contacten a través de formularis de contacte, correu electrònic o telèfon;
• Usuaris finals les dades dels quals són carregades als Serveis per un Client (en aquest cas, Golova actua com a encarregat del tractament i el Client és el responsable — vegeu la secció 12);
• Candidats a Golova.work i persones que publiquen o consulten equipament a Golova.market i Golova.wiki.

3.2. Categories de dades personals que tractem de Clients i usuaris individuals:

• Dades d'identificació: nom, cognoms, raó social, càrrec.
• Dades de contacte: adreça de correu electrònic, telèfon, adreça postal.
• Dades de compte: nom d'usuari, contrasenya (emmagatzemada com a hash), preferències de compte, idioma, tipus de compte.
• Dades de facturació: adreça de facturació, NIF, factures emeses. Les dades de la targeta de pagament són tractades directament pel nostre proveïdor de pagaments (Stripe) i no són rebudes per Golova.
• Dades d'ús i tècniques: adreça IP, tipus i versió del navegador, sistema operatiu, identificadors de dispositiu, pàgines visitades, registres d'activitat i d'errors.
• Dades de contingut: qualsevol dada que el Client carregui a la plataforma — inventari, projectes, pressupostos, documents, notes. En la mesura que incloguin dades personals d'Usuaris finals, vegeu la secció 12.
• Dades de màrqueting: estat del consentiment, registres de baixa, dades de resposta.
• Dades de les funcions d'IA: documents de rider carregats per a reconeixement per IA, resultat del reconeixement (vegeu la secció 11).

3.3. No tractem conscientment categories especials de dades personals (article 9 RGPD). Quan els Clients carreguin dades d'aquest tipus (per exemple, requisits dietètics en riders), Golova les tractarà únicament com a encarregat del tractament seguint les instruccions documentades del Client (secció 12).

3.4. No recollim conscientment dades personals de menors de 14 anys (article 7 LOPDGDD). Quan s'apliqui un llindar d'edat més estricte al país de residència de l'interessat, prevaldrà aquest llindar.

4.1. Tractem les dades personals únicament per a les finalitats indicades en aquesta secció sobre la base de l'article 6.1 del RGPD.

4.2. Execució del contracte (art. 6.1.b RGPD)

Creació i gestió del seu compte, prestació de l'accés a la plataforma, tramitació de les seves subscripcions, suport tècnic, comunicacions relacionades amb el servei, emissió de factures i, en general, execució de l'Acord d'Usuari conclòs amb vostè.

4.3. Compliment d'obligacions legals (art. 6.1.c RGPD)

Compliment de la legislació fiscal i comptable espanyola (en particular la Llei 58/2003 General Tributària i l'article 30 del Codi de Comerç espanyol), resposta a requeriments legítims d'autoritats públiques, i conservació dels registres exigits per la legislació aplicable.

4.4. Interès legítim del Responsable (art. 6.1.f RGPD)

Amb subjecció a una ponderació al seu favor, tractem certes dades sobre la base dels nostres interessos legítims: seguretat del servei i prevenció d'abusos; millora del servei (estadístiques d'ús agregades); màrqueting directe a clients empresarials existents (article 21.2 LSSI-CE); defensa de reclamacions. Té dret a oposar-se a aquest tractament en qualsevol moment (secció 9).

4.5. Consentiment (art. 6.1.a RGPD)

Quan la llei ho exigeixi i no sigui aplicable cap altra base jurídica, tractem les dades sobre la base del seu consentiment previ. Això s'aplica en particular a: galetes no essencials (article 22.2 LSSI-CE) — vegeu la nostra Política de Galetes; comunicacions de màrqueting a particulars i per SMS o notificació push; tractament de dades que impliquin categories especials en la funció de reconeixement de rider per IA (article 9.2.a RGPD). Pot retirar el seu consentiment en qualsevol moment sense que això afecti la licitud del tractament anterior.

4.6. Taula resum de finalitats

• Creació de compte i autenticació — base: contracte; conservació: vida útil del compte + 6 anys.
• Gestió de subscripcions i pagaments — base: contracte + obligació legal; conservació: 6 anys des del tancament de l'exercici.
• Atenció al client — base: contracte; conservació: 3 anys des del tancament del cas.
• Seguretat del servei i registres — base: interès legítim; conservació: 12 mesos.
• Màrqueting directe a clients existents — base: interès legítim (art. 21.2 LSSI-CE); conservació: fins a oposició o 3 anys d'inactivitat.
• Comunicacions de màrqueting a altres destinataris — base: consentiment; conservació: fins a la retirada del consentiment.
• Analítica i millora del producte — base: consentiment (galetes analítiques); conservació: segons la Política de Galetes.
• Compliment fiscal i comptable — base: obligació legal; conservació: 6 anys.
• Reconeixement de rider per IA — base: contracte + consentiment si hi ha categories especials; conservació: vida útil del projecte + 12 mesos.

5.1. Directament de vostè: en registrar-se, omplir un formulari, contactar-nos, subscriure's a comunicacions, realitzar un pagament, carregar dades a la plataforma o interactuar de qualsevol altra forma amb els Serveis.

5.2. Automàticament: mitjançant galetes, registres de servidor, eines analítiques i sistemes de diagnòstic de les aplicacions mòbils — segons s'estableix a la nostra Política de Galetes.

5.3. De tercers: dels nostres Clients, que poden carregar les seves dades als Serveis com a responsables del tractament (vegeu la secció 12); de proveïdors de pagament, en relació amb el resultat d'una transacció; de registres públics, en casos limitats, per verificar les dades societàries o fiscals d'un Client.

6.1. No venem, lloguem ni intercanviem dades personals. Comuniquem les dades personals únicament a les categories de destinataris indicades a continuació, en la mesura necessària per a les finalitats d'aquesta Política i amb les garanties adequades.

6.2. Proveïdors de serveis que actuen com a encarregats del tractament en virtut de contractes escrits conformes amb l'article 28 del RGPD. La llista actualitzada d'encarregats es publica a https://golova.ai/ca/subprocessors i inclou les següents categories:

• Allotjament i infraestructura al núvol: Hetzner Online GmbH, centres de dades a Hèlsinki, Finlàndia (UE); Cloudflare Inc. (CDN, protecció DDoS).
• Processament de pagaments: Stripe Payments Europe Ltd (Irlanda) i les seves filials estatunidenques quan ho exigeixin les xarxes de targetes.
• Correu electrònic i missatgeria transaccional: Brevo (Sendinblue SAS, França — UE).
• Eines d'atenció al client: Crisp (Crisp IM SAS, França — UE).
• Analítica: Plausible Analytics (Plausible Insights OÜ, Estònia — UE).
• Monitorització d'errors: Functional Software Inc. (Sentry) — regió UE.
• Notificacions push: Apple Push Notification Service (Apple Inc., EUA) per a iOS; Firebase Cloud Messaging (Google LLC, EUA) per a Android.

6.3. Notificarem als Clients qualsevol canvi a la llista d'encarregats amb almenys 30 dies d'antelació a la seva entrada en vigor.

6.4. Responsables independents — podem compartir dades personals, en la seva pròpia condició de responsables, amb: els nostres assessors professionals subjectes a deures de confidencialitat; autoritats públiques, quan ho exigeixi la llei; adquirents o inversors en el context d'una operació societària, amb garanties adequades de confidencialitat.

6.5. No compartim dades personals amb socis comercials no essencials sense el seu consentiment previ.

7.1. Allotgem els Serveis en centres de dades situats dins de l'Espai Econòmic Europeu (EEE), principalment a la República de Finlàndia i a la República Federal d'Alemanya. Les dades personals d'usuaris de la UE/EEE s'emmagatzemen dins de l'EEE per defecte.

7.2. Alguns dels nostres encarregats estan establerts o operen servidors fora de l'EEE, en particular als Estats Units. Poden produir-se transferències internacionals per a: processament de pagaments (Stripe — Irlanda amb filials als EUA); serveis de notificacions push (Apple, Google — Estats Units); xarxa global de Cloudflare; monitorització d'errors quan el proveïdor opera des de fora de l'EEE.

7.3. Per a cadascuna d'aquestes transferències, ens basem en: decisió d'adequació de la Comissió Europea (article 45 RGPD), quan estigui disponible — en particular l'EU-US Data Privacy Framework i la decisió d'adequació per al Regne Unit; Clàusules Contractuals Tipus (CCT) adoptades per la Comissió Europea en virtut de la Decisió 2021/914 (article 46.2.c RGPD), complementades per una Avaluació d'Impacte de la Transferència (TIA) i mesures tècniques i organitzatives addicionals; excepcions de l'article 49 RGPD en casos limitats.

7.4. Pot sol·licitar una còpia de les garanties aplicades a una transferència específica escrivint a privacy@golova.ai.

7.5. No transferim dades personals a la Federació de Rússia ni a cap altre tercer país per al qual no existeixi una decisió d'adequació o garanties adequades. La versió en rus de la plataforma operada a golova.io és un servei separat, operat per una entitat jurídica diferent, sense infraestructura de dades compartida amb golova.ai.

8.1. Conservem les dades personals únicament durant el temps necessari per a les finalitats per a les quals van ser recollides, tenint en compte les obligacions legals de conservació, els terminis de prescripció de les reclamacions i les expectatives legítimes dels interessats.

8.2. Terminis específics per categoria de dades:

• Dades de compte (comptes actius): durant la vida útil del compte.
• Dades de compte després de la supressió: eliminades dels sistemes actius en un termini de 30 dies. Les còpies de seguretat es purguen en un màxim de 90 dies.
• Registres de facturació i comptables: 6 anys des del tancament de l'exercici (article 30 del Codi de Comerç espanyol).
• Contractes i correspondència amb el Client: 5 anys des de la finalització de la relació contractual.
• Registres d'atenció al client: 3 anys des del tancament del cas.
• Registres d'accés i de seguretat: 12 mesos des de la seva generació.
• Dades de màrqueting: fins a oposició, retirada del consentiment o 3 anys d'inactivitat.
• Dades de galetes i analítica: segons la Política de Galetes.
• Registres de consentiment: durant la vigència del tractament i 3 anys després.
• Entrades i sortides del reconeixement de rider per IA: durant la vida útil del projecte i 12 mesos després, llevat d'eliminació anterior pel Client.

8.3. Al venciment del termini de conservació aplicable, eliminem o anonimitzem les dades de manera que no puguin ser associades amb vostè.

9.1. Amb subjecció a les condicions i límits dels articles 15 a 22 del RGPD, té dret a:

• Accés (article 15) — confirmar si tractem les seves dades, obtenir-ne una còpia i informació sobre el tractament.
• Rectificació (article 16) — corregir dades inexactes o incompletes.
• Supressió (article 17) — “dret a l'oblit”, amb subjecció a les excepcions de l'article 17.3.
• Limitació del tractament (article 18).
• Portabilitat de les dades (article 20) — rebre les seves dades en un format estructurat i llegible per màquina.
• Oposició (article 21) — inclòs el dret incondicional a oposar-se al màrqueting directe.
• No ser objecte d'una decisió automatitzada (article 22) quan produeixi efectes jurídics. Actualment, Golova no pren decisions d'aquest tipus.
• Retirar el seu consentiment en qualsevol moment (article 7.3 RGPD).
• Presentar una reclamació davant de l'AEPD (www.aepd.es) o, en virtut del mecanisme de finestreta única (article 56 RGPD), davant de l'autoritat de control de la seva residència habitual a la UE/EEE.

9.2. Com exercir els seus drets: envieu la seva sol·licitud a privacy@golova.ai amb l'assumpte “Sol·licitud de drets RGPD”, indicant el dret que desitja exercir i facilitant informació suficient per identificar-se.

9.3. Tramitarem la seva sol·licitud en el termini d'un mes (article 12.3 RGPD). L'exercici dels seus drets és gratuït, llevat que la sol·licitud sigui manifestament infundada o excessiva (article 12.5 RGPD).

9.4. Molts drets es poden exercir directament des del seu compte Golova (descarregar dades, eliminar el compte, gestionar preferències de màrqueting i galetes).

10.1. Implementem mesures tècniques i organitzatives adequades per garantir un nivell de seguretat apropiat al risc (article 32 RGPD), incloent: xifratge de les dades en trànsit (TLS 1.2 o superior) i en repòs; control d'accés basat en rols seguint el principi del mínim privilegi; política de contrasenyes robustes i autenticació multifactor; còpies de seguretat periòdiques; segmentació de xarxa, tallafocs i detecció d'intrusions; registre dels accessos; gestió de proveïdors; avaluacions de seguretat periòdiques; compromisos de confidencialitat; procediments de resposta a incidents i registre de violacions de dades personals.

10.2. En cas de violació de la seguretat de les dades personals que pugui comportar un risc per als drets i llibertats de les persones físiques, notificarem la violació a l'AEPD sense dilació indeguda i, quan sigui possible, en un termini de 72 hores (article 33 RGPD). Quan la violació comporti un alt risc, notificarem els interessats afectats (article 34 RGPD).

11.1. Golova utilitza funcions d'intel·ligència artificial (“IA”) per ajudar els Clients a operar els Serveis de forma més eficient. En particular, la plataforma ofereix una funció de reconeixement de rider per IA que processa els documents de rider carregats i suggereix l'equipament corresponent de l'inventari del Client.

11.2. Aquestes funcions d'IA no produeixen decisions que tinguin efecte jurídic o afectin significativament els interessats en el sentit de l'article 22 RGPD. El resultat és una proposta per al Client, que la revisa i confirma manualment.

11.3. D'acord amb el Reglament (UE) 2024/1689 (Reglament d'IA), classifiquem les nostres funcions d'IA com a sistemes de “risc limitat”. Informem els usuaris que estan interactuant amb un sistema d'IA.

11.4. No utilitzem dades personals d'interessats de la UE per entrenar models d'IA de propòsit general de tercers sense una base jurídica adequada. Quan Golova entrena models per millorar funcions específiques del Servei, ho fa sobre dades anonimitzades o agregades.

12.1. Quan un Client carrega dades personals dels seus propis clients, personal, proveïdors o altres tercers (els “Usuaris finals”) als Serveis, Golova actua com a encarregat del tractament i el Client és el responsable del tractament d'aquestes dades (article 4.7 RGPD).

12.2. Les condicions d'aquest tractament es regeixen per un Acord de Tractament de Dades (DPA) que forma part del contracte del Client amb Golova i està disponible a https://golova.ai/ca/dpa.

12.3. Els Usuaris finals que desitgin exercir els seus drets o plantejar dubtes sobre les dades carregades per un Client han d'adreçar les seves sol·licituds al Client en primera instància. Quan Golova rebi directament una sol·licitud d'aquest tipus, la remetrà al Client corresponent sense dilació indeguda.

13.1. Els Serveis no van dirigits a menors. No recollim conscientment dades personals de menors de 14 anys sense consentiment parental (article 7 LOPDGDD). Si té coneixement que un menor ens ha proporcionat dades personals sense consentiment, contacti'ns a privacy@golova.ai i prendrem les mesures necessàries. Quan s'apliqui un llindar d'edat més estricte al país de residència de l'interessat (per exemple, 15 a França, 16 a Alemanya), prevaldrà aquest llindar.

14.1. Podem actualitzar aquesta Política periòdicament per reflectir canvis en els nostres Serveis, requisits legals o pràctiques del sector.

14.2. Quan els canvis siguin substancials — és a dir, quan afectin les categories de dades tractades, les finalitats, les bases jurídiques, els destinataris, els terminis de conservació, les transferències internacionals o els drets dels interessats — notificarem els Clients registrats per correu electrònic o mitjançant un avís destacat dins dels Serveis, amb almenys 30 dies d'antelació.

14.3. Els canvis no substancials (aclariments, correccions tipogràfiques, actualitzacions de les dades de contacte dels encarregats) sorgeixen efecte des de la seva publicació. La versió vigent està sempre disponible a https://golova.ai/ca/privacy-policy.

15.1. Aquesta Política es publica en anglès com a versió mestra. Les traduccions a l'espanyol, català, alemany, francès i portuguès brasiler es proporcionen per a la comoditat dels usuaris d'aquests idiomes. Per a Clients empresarials, en cas de discrepància entre versions lingüístiques, prevaldrà la versió anglesa. Per a Consumidors, la versió lingüística en la qual el Client va concloure el contracte és vinculant.

15.2. Si alguna disposició d'aquesta Política es considera invàlida o inaplicable, les altres disposicions seguiran sorgint plens efectes.

15.3. Les consultes, sol·licituds i reclamacions sobre aquesta Política poden adreçar-se a privacy@golova.ai.