POLÍTICA DE PRIVACIDAD

1.1. La presente Política de Privacidad (la “Política”) describe cómo Golova Europe SL (el “Responsable del tratamiento”, “Golova”, “nosotros”) recopila, utiliza, comunica y protege los datos personales de los usuarios del sitio web golova.ai, las aplicaciones móviles (Android, iOS), la plataforma Golova (SaaS) y las soluciones relacionadas Golova.work, Golova.wiki y Golova.market (conjuntamente, los “Servicios”).

1.2. La presente Política se publica en cumplimiento del Reglamento (UE) 2016/679 (el “RGPD”) y de la Ley Orgánica española 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (“LOPDGDD”), que se aplican al Responsable del tratamiento como sociedad establecida en España. El Responsable del tratamiento actúa como operador de los Servicios en todas las jurisdicciones donde se ofrecen.

1.3. Identificación del Responsable del tratamiento:

• Razón social: Golova Europe SL
• CIF: B70717004
• IVA UE: ESB70717004
• Domicilio social: Calle l’Hospital, 95, Planta 1, Puerta 2, 08001 Barcelona, España
• Registro Mercantil: Registro Mercantil de Barcelona, Tomo 49139, Folio 218, Hoja B-609178, Inscripción 1.ª (15.02.2024); EUID ES08005.000701808
• Empresa Emergente (Startup): certificada por ENISA conforme a la Ley 28/2022, de 21 de diciembre, de fomento del ecosistema de las empresas emergentes (fecha de certificación: 18.02.2026).
• Correo electrónico: privacy@golova.ai
• Teléfono: +34 672 390 777

1.4. Contacto en materia de protección de datos: privacy@golova.ai. El Responsable del tratamiento no ha designado formalmente un Delegado de Protección de Datos (DPO), dado que no se cumplen los supuestos del artículo 37 del RGPD. La persona de contacto en materia de protección de datos es privacy@golova.ai.

1.5. La presente Política se aplica a todos los datos personales tratados por Golova en el contexto de los Servicios. La versión vigente está disponible en https://golova.ai/es/privacy-policy y en los demás idiomas en los que se ofrecen los Servicios.

1.6. La presente Política no se aplica a: (a) sitios web o servicios operados por terceros, aun cuando sean accesibles mediante enlaces desde los Servicios; (b) datos tratados por nuestros clientes empresariales que utilizan los Servicios para gestionar a sus propios clientes y personal — en estos casos, nuestro cliente empresarial es el responsable del tratamiento y Golova actúa como encargado del tratamiento en virtud de un Acuerdo de Tratamiento de Datos separado.

2.1. A los efectos de la presente Política:

• Datos personales — toda información sobre una persona física identificada o identificable (artículo 4.1 RGPD).
• Tratamiento — toda operación realizada sobre datos personales (recogida, registro, conservación, modificación, consulta, utilización, comunicación, supresión, etc.).
• Interesado — la persona física a la que se refieren los datos personales.
• Responsable del tratamiento — la entidad que determina los fines y medios del tratamiento.
• Encargado del tratamiento — la entidad que trata datos personales por cuenta del Responsable.
• Cliente — persona jurídica, profesional autónomo o persona física registrada para utilizar los Servicios.
• Usuario final — persona física cuyos datos son cargados en los Servicios por un Cliente (p. ej., los clientes, personal o contrapartes del Cliente).
• Servicios — la plataforma SaaS Golova, el sitio web, las aplicaciones móviles y las soluciones relacionadas Golova.work, Golova.wiki y Golova.market.

3.1. Tratamos datos personales de las siguientes categorías de interesados:

• Clientes registrados (incluidos los representantes de Clientes personas jurídicas);
• Visitantes del sitio web y de las aplicaciones móviles no registrados;
• Personas que nos contactan a través de formularios de contacto, correo electrónico o teléfono;
• Usuarios finales cuyos datos son cargados en los Servicios por un Cliente (en este caso, Golova actúa como encargado del tratamiento y el Cliente es el responsable — véase la sección 12);
• Candidatos en Golova.work y personas que publican o consultan equipamiento en Golova.market y Golova.wiki.

3.2. Categorías de datos personales que tratamos de Clientes y usuarios individuales:

• Datos de identificación: nombre, apellidos, razón social, cargo.
• Datos de contacto: dirección de correo electrónico, teléfono, dirección postal.
• Datos de cuenta: nombre de usuario, contraseña (almacenada como hash), preferencias de cuenta, idioma, tipo de cuenta (empresa / particular).
• Datos de facturación: dirección de facturación, NIF, facturas emitidas. Los datos de la tarjeta de pago son tratados directamente por nuestro proveedor de pagos (Stripe) y no son recibidos por Golova.
• Datos de uso y técnicos: dirección IP, tipo y versión del navegador, sistema operativo, identificadores de dispositivo, idioma, zona horaria, páginas visitadas, funciones utilizadas, registros de actividad, registros de errores, identificadores de sesión.
• Datos de contenido: cualesquiera datos que el Cliente cargue en la plataforma — elementos de inventario, proyectos, presupuestos, documentos, notas internas, mensajes. En la medida en que incluyan datos personales de Usuarios finales, véase la sección 12.
• Datos de marketing: estado del consentimiento de marketing, registros de baja, datos de respuesta a comunicaciones anteriores (aperturas, clics).
• Datos de las funciones de IA: documentos de rider cargados para reconocimiento por IA, resultado del reconocimiento y retroalimentación sobre la calidad del reconocimiento (véase la sección 11).

3.3. No tratamos conscientemente categorías especiales de datos personales (artículo 9 del RGPD — origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, datos relativos a la salud, datos relativos a la vida sexual o la orientación sexual). Cuando los Clientes carguen tales datos (por ejemplo, requisitos dietéticos o de accesibilidad en riders de artistas), Golova los tratará únicamente como encargado del tratamiento siguiendo las instrucciones documentadas del Cliente (sección 12), y el Cliente sigue siendo responsable de garantizar la base jurídica aplicable conforme al artículo 9 del RGPD.

3.4. No recogemos conscientemente datos personales de menores de 14 años (artículo 7 LOPDGDD). Los Servicios están destinados al uso empresarial y no van dirigidos a menores. Cuando se aplique un umbral de edad más estricto en el país de residencia del interesado, prevalecerá dicho umbral para el interesado concernido.

4.1. Tratamos los datos personales únicamente para las finalidades indicadas en esta sección y sobre la base de una o varias de las bases jurídicas del artículo 6.1 del RGPD.

4.2. Ejecución del contrato (art. 6.1.b RGPD)

Creación y gestión de su cuenta, prestación del acceso a la plataforma, tramitación de sus suscripciones, soporte técnico, intercambio de comunicaciones relacionadas con el servicio, emisión de facturas y, en general, ejecución del Acuerdo de Usuario concluido con usted.

4.3. Cumplimiento de obligaciones legales (art. 6.1.c RGPD)

Cumplimiento de la legislación fiscal y contable española (en particular la Ley 58/2003 General Tributaria y el artículo 30 del Código de Comercio español), respuesta a requerimientos legítimos de autoridades públicas, y conservación de los registros exigidos por la legislación aplicable en materia de prevención del blanqueo de capitales y de defensa de los consumidores.

4.4. Interés legítimo del Responsable (art. 6.1.f RGPD)

Con sujeción a una ponderación a su favor, tratamos ciertos datos sobre la base de nuestros intereses legítimos. Tiene derecho a oponerse a este tratamiento en cualquier momento (sección 9).

• Seguridad del servicio y prevención de abusos: monitorización de registros, detección de fraude, abuso y accesos no autorizados, protección de la plataforma frente a ataques.
• Mejora del servicio: análisis de estadísticas de uso agregadas para mejorar funciones y estabilidad.
• Marketing directo a clientes empresariales existentes: comunicaciones limitadas sobre funciones y Servicios similares a clientes existentes (artículo 21.2 LSSI-CE). Cada mensaje incluye una opción sencilla de baja.
• Defensa de reclamaciones: tratamiento de los datos necesarios para formular, ejercer o defender reclamaciones derivadas de los Servicios.

4.5. Consentimiento (art. 6.1.a RGPD)

Cuando la ley lo exija y no sea aplicable otra base jurídica, tratamos los datos personales sobre la base de su consentimiento previo, libre, específico, informado e inequívoco. Esto se aplica en particular a:

• Cookies no esenciales y tecnologías de seguimiento similares (artículo 22.2 LSSI-CE, que transpone el artículo 5.3 de la Directiva 2002/58/CE) — véase nuestra Política de Cookies;
• Comunicaciones de marketing dirigidas a particulares y todas las comunicaciones por SMS o notificación push;
• Tratamiento de datos cargados en la función de reconocimiento de rider por IA cuando puedan estar implicadas categorías especiales de datos (artículo 9.2.a del RGPD).

Puede retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado anteriormente. El procedimiento para retirar el consentimiento se establece en la sección 9.

4.6. Tabla resumen de finalidades

• Creación de cuenta y autenticación — base jurídica: contrato; datos: identificación, contacto, cuenta; conservación: vida útil de la cuenta + 6 años.
• Gestión de suscripciones y pagos — base jurídica: contrato + obligación legal; datos: identificación, contacto, facturación; conservación: 6 años desde el cierre del ejercicio (artículo 30 del Código de Comercio español).
• Atención al cliente — base jurídica: contrato; datos: contacto, contenido de la solicitud; conservación: 3 años desde el cierre del caso.
• Seguridad del servicio y registros — base jurídica: interés legítimo; datos: técnicos y de uso, dirección IP; conservación: 12 meses.
• Marketing directo a clientes existentes — base jurídica: interés legítimo (artículo 21.2 LSSI-CE); conservación: hasta oposición o 3 años de inactividad.
• Comunicaciones de marketing a otros destinatarios — base jurídica: consentimiento; conservación: hasta la retirada del consentimiento.
• Analítica y mejora del producto — base jurídica: consentimiento (para cookies analíticas no esenciales); conservación: según lo indicado en la Política de Cookies.
• Cumplimiento fiscal y contable — base jurídica: obligación legal; conservación: 6 años (Código de Comercio español).
• Reconocimiento de rider por IA — base jurídica: ejecución del contrato (entrada del Cliente) + consentimiento si hay categorías especiales de datos; conservación: vida útil del proyecto + 12 meses.

5.1. Directamente de usted: al registrarse, rellenar un formulario, contactarnos, suscribirse a comunicaciones, realizar un pago, cargar datos en la plataforma o interactuar de otra forma con los Servicios.

5.2. Automáticamente: mediante cookies, registros de servidor, herramientas analíticas y sistemas de diagnóstico de las aplicaciones móviles — según se establece en nuestra Política de Cookies.

5.3. De terceros: de nuestros Clientes, que pueden cargar sus datos en los Servicios como responsables del tratamiento (véase la sección 12); de proveedores de pago, en relación con el resultado de una transacción; de registros públicos, en casos limitados, para verificar los datos societarios o fiscales de un Cliente.

6.1. No vendemos, alquilamos ni intercambiamos datos personales. Comunicamos los datos personales únicamente a las categorías de destinatarios que se indican a continuación, en la medida necesaria para las finalidades de la presente Política y con las garantías adecuadas.

6.2. Proveedores de servicios que actúan como nuestros encargados del tratamiento en virtud de contratos escritos conformes con el artículo 28 del RGPD. La lista actualizada de encargados se publica en https://golova.ai/es/subprocessors e incluye las siguientes categorías:

• Hosting e infraestructura en la nube: Hetzner Online GmbH, centros de datos en Helsinki, Finlandia (UE); Cloudflare Inc. (CDN, protección DDoS, enrutamiento de tráfico).
• Procesamiento de pagos: Stripe Payments Europe Ltd (Irlanda) y sus filiales estadounidenses cuando lo exijan las redes de tarjetas.
• Correo electrónico y mensajería transaccional: Brevo (Sendinblue, Francia — UE).
• Herramientas de atención al cliente: Crisp (Francia — UE).
• Analítica: Plausible (Francia — UE, sin cookies).
• Monitorización de errores: Functional Software Inc. (Sentry) — región UE (Fráncfort).
• Notificaciones push: Apple Push Notification Service (Apple Inc., EE. UU.) para iOS; Firebase Cloud Messaging (Google LLC, EE. UU.) para Android.

6.3. Notificaremos a los Clientes cualquier cambio en la lista de encargados con al menos 30 días de antelación a su entrada en vigor, publicando la lista actualizada en la URL anterior y, cuando el cambio sea sustancial, por correo electrónico.

6.4. Responsables independientes — podemos compartir datos personales, en su propia condición de responsables del tratamiento, con: (i) nuestros asesores profesionales (abogados, contables, auditores) sujetos a deberes de confidencialidad; (ii) autoridades públicas, cuando lo exija la ley (autoridades fiscales, judiciales, fuerzas de seguridad); (iii) adquirentes o inversores en el contexto de una operación societaria (fusión, adquisición, financiación), con garantías adecuadas de confidencialidad.

6.5. No compartimos datos personales con socios comerciales no esenciales sin su consentimiento previo.

7.1. Alojamos los Servicios en centros de datos ubicados dentro del Espacio Económico Europeo (EEE), principalmente en la República de Finlandia y la República Federal de Alemania. Los datos personales de usuarios de la UE/EEE se almacenan dentro del EEE por defecto.

7.2. Algunos de nuestros encargados están establecidos u operan servidores fuera del EEE, en particular en Estados Unidos. Pueden producirse transferencias internacionales de datos personales en el contexto de los Servicios para:

• Procesamiento de pagos (Stripe — Irlanda con filiales en EE. UU.);
• Servicios de notificaciones push (Apple, Google — Estados Unidos);
• Red global de Cloudflare (los datos pueden transitar por puntos de presencia en EE. UU.);
• Monitorización de errores cuando el proveedor opera desde fuera del EEE.

7.3. Para cada una de estas transferencias, nos basamos en una o varias de las siguientes garantías del Capítulo V del RGPD:

• Decisión de adecuación de la Comisión Europea (artículo 45 RGPD), cuando esté disponible — en particular el EU-US Data Privacy Framework para destinatarios estadounidenses certificados y la decisión de adecuación para el Reino Unido.
• Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea en virtud de la Decisión 2021/914 (artículo 46.2.c RGPD), complementadas por una Evaluación de Impacto de la Transferencia (TIA) y, cuando proceda, medidas técnicas y organizativas adicionales (cifrado en tránsito y en reposo, seudonimización).
• Excepciones del artículo 49 RGPD en casos limitados (su consentimiento explícito, ejecución del contrato), únicamente cuando no sea aplicable ninguna otra garantía.

7.4. Puede solicitar una copia de las garantías aplicadas a una transferencia específica escribiendo a privacy@golova.ai. Podemos redactar la información comercialmente sensible de los documentos facilitados.

7.5. No transferimos datos personales a la Federación de Rusia ni a ningún otro tercer país para el que no exista una decisión de adecuación aplicable y para el que no hayamos implementado garantías adecuadas. La versión en ruso de la plataforma operada en golova.io es un servicio separado, operado por una entidad jurídica distinta, sin infraestructura de datos compartida con golova.ai.

8.1. Conservamos los datos personales únicamente durante el tiempo necesario para los fines para los que fueron recogidos, teniendo en cuenta las obligaciones legales de conservación, los plazos de prescripción de las reclamaciones y las expectativas legítimas de los interesados.

8.2. Plazos específicos de conservación por categoría de datos:

• Datos de cuenta (cuentas activas): conservados durante la vida útil de la cuenta.
• Datos de cuenta tras la supresión: eliminados de los sistemas activos en un plazo de 30 días desde el cierre de la cuenta. Las copias de seguridad se purgan según el ciclo estándar de rotación, en un máximo de 90 días.
• Registros de facturación y contables: 6 años desde el cierre del ejercicio (artículo 30 del Código de Comercio español).
• Contratos y correspondencia con el Cliente: 5 años desde la finalización de la relación contractual.
• Registros de atención al cliente: 3 años desde el cierre del caso.
• Registros de acceso y de seguridad: 12 meses desde su generación.
• Datos de marketing: hasta oposición, retirada del consentimiento o 3 años de inactividad (lo que ocurra primero).
• Datos de cookies y analítica: según lo indicado en la Política de Cookies.
• Registros de consentimiento y de retirada de consentimiento: durante la vigencia del tratamiento basado en dicho consentimiento y 3 años después, para demostrar el cumplimiento del artículo 7.1 del RGPD.
• Entradas y salidas del reconocimiento de rider por IA: durante la vida útil del proyecto y 12 meses después, salvo eliminación anterior por el Cliente.

8.3. Al vencimiento del plazo de conservación aplicable, eliminamos o anonimizamos los datos de forma que no puedan ser asociados con usted.

9.1. Con sujeción a las condiciones y límites establecidos en los artículos 15 a 22 del RGPD, tiene derecho a:

• Acceso (artículo 15) — confirmar si tratamos sus datos, obtener una copia e información sobre el tratamiento.
• Rectificación (artículo 16) — corregir datos inexactos o incompletos.
• Supresión (artículo 17) — “derecho al olvido”, con sujeción a las excepciones del artículo 17.3.
• Limitación del tratamiento (artículo 18).
• Portabilidad de los datos (artículo 20) — recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Oposición (artículo 21) — incluido el derecho incondicional a oponerse al marketing directo.
• No ser objeto de una decisión basada únicamente en el tratamiento automatizado (artículo 22) cuando produzca efectos jurídicos o le afecte significativamente. Actualmente, Golova no toma decisiones de este tipo respecto a los interesados.
• Retirar su consentimiento en cualquier momento (artículo 7.3 RGPD), sin que ello afecte a la licitud del tratamiento realizado anteriormente.
• Presentar una reclamación ante una autoridad de control. Dado que Golova está establecida en España, la autoridad de control principal es la Agencia Española de Protección de Datos (AEPD, www.aepd.es). En virtud del mecanismo de ventanilla única (artículo 56 RGPD), también puede presentar una reclamación ante la autoridad de control de su residencia habitual en la UE/EEE, que cooperará con la AEPD.

9.2. Cómo ejercer sus derechos:

• Envíe su solicitud a privacy@golova.ai, indicando en el asunto “Solicitud de derechos RGPD”;
• Especifique el derecho que desea ejercer y proporcione información suficiente para identificarse (podemos solicitar información adicional en caso de duda razonable sobre su identidad);
• Cuando actúe en representación de otro interesado (menor, persona bajo tutela), aporte prueba de la representación.

9.3. Tramitaremos su solicitud lo antes posible y, en cualquier caso, en el plazo de un mes desde su recepción (artículo 12.3 RGPD). Cuando la solicitud sea compleja o numerosa, podremos prorrogar este plazo en dos meses adicionales, informándole de la prórroga y sus motivos. El ejercicio de sus derechos es gratuito, salvo cuando la solicitud sea manifiestamente infundada o excesiva (artículo 12.5 RGPD).

9.4. Muchos derechos pueden ejercerse directamente desde su cuenta Golova (descargar sus datos, eliminar su cuenta, gestionar preferencias de marketing, gestionar cookies). Recomendamos utilizar estas opciones de autoservicio cuando estén disponibles.

10.1. Implementamos medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo (artículo 32 RGPD), incluyendo:

• Cifrado de los datos en tránsito (TLS 1.2 o superior) y en reposo;
• Control de acceso basado en roles siguiendo el principio del mínimo privilegio;
• Política de contraseñas robustas y autenticación multifactor disponible para las cuentas;
• Copias de seguridad periódicas almacenadas separadamente del entorno de producción;
• Segmentación de red, cortafuegos y detección de intrusiones;
• Registro de los accesos a los sistemas que contienen datos personales;
• Gestión de proveedores y revisión de seguridad de los encargados del tratamiento;
• Evaluaciones de seguridad periódicas y gestión de vulnerabilidades;
• Compromisos de confidencialidad para todo el personal;
• Procedimientos de respuesta a incidentes y registro de brechas de datos personales.

10.2. En caso de violación de la seguridad de los datos personales que pueda comportar un riesgo para los derechos y libertades de las personas físicas, notificaremos la violación a la AEPD sin dilación indebida y, cuando sea posible, en un plazo de 72 horas tras tener conocimiento de ella (artículo 33 RGPD). Cuando la violación entrañe un alto riesgo, notificaremos a los interesados afectados sin dilación indebida (artículo 34 RGPD).

11.1. Golova utiliza funciones de inteligencia artificial (“IA”) para ayudar a los Clientes a operar los Servicios de forma más eficiente. En particular, la plataforma ofrece una función de reconocimiento de rider por IA que procesa los documentos de rider cargados y sugiere el equipamiento correspondiente del inventario del Cliente.

11.2. Estas funciones de IA no producen decisiones que tengan efecto jurídico o afecten significativamente a los interesados en el sentido del artículo 22 RGPD. El resultado es una propuesta para el Cliente, quien la revisa y confirma manualmente.

11.3. Conforme al Reglamento (UE) 2024/1689 (Reglamento de IA), clasificamos nuestras funciones de IA como sistemas de IA de “riesgo limitado”. Informamos a los usuarios de que están interactuando con un sistema de IA; cuando la IA genere o modifique sustancialmente contenido, esta circunstancia se indica.

11.4. No utilizamos datos personales de interesados de la UE para entrenar modelos de IA de propósito general de terceros sin una base jurídica adecuada. Cuando Golova entrena modelos de IA para mejorar funciones específicas del Servicio, esto se hace sobre datos anonimizados o agregados, o conforme a las instrucciones del Cliente como responsable del tratamiento.

12.1. Cuando un Cliente carga datos personales de sus propios clientes, personal, proveedores u otros terceros (los “Usuarios finales”) en los Servicios, Golova actúa como encargado del tratamiento y el Cliente es el responsable del tratamiento de esos datos en el sentido del artículo 4.7 del RGPD.

12.2. Las condiciones de este tratamiento se rigen por un Acuerdo de Tratamiento de Datos (DPA) que forma parte del contrato del Cliente con Golova y está disponible en https://golova.ai/es/dpa.

12.3. Los Usuarios finales que deseen ejercer sus derechos o plantear dudas sobre los datos cargados por un Cliente deben dirigir sus solicitudes al Cliente en primera instancia. Cuando Golova reciba directamente una solicitud de este tipo, la remitirá al Cliente correspondiente sin dilación indebida y asistirá al Cliente en la respuesta según lo exija el DPA.

13.1. Los Servicios no van dirigidos a menores. No recogemos conscientemente datos personales de menores de 14 años sin consentimiento parental (artículo 7 LOPDGDD). Si tiene conocimiento de que un menor nos ha proporcionado datos personales sin consentimiento, contáctenos en privacy@golova.ai y tomaremos las medidas necesarias para eliminar los datos y cerrar la cuenta. Cuando se aplique un umbral de edad más estricto en el país de residencia del interesado (por ejemplo, 15 en Francia, 16 en Alemania), prevalecerá dicho umbral para el interesado concernido.

14.1. Podemos actualizar esta Política periódicamente para reflejar cambios en nuestros Servicios, requisitos legales o prácticas del sector.

14.2. Cuando los cambios sean sustanciales — es decir, cuando afecten a las categorías de datos tratados, los fines del tratamiento, las bases jurídicas, los destinatarios de los datos, los plazos de conservación, las transferencias internacionales o los derechos de los interesados — notificaremos a los Clientes registrados por correo electrónico o mediante un aviso destacado dentro de los Servicios, con al menos 30 días de antelación a su entrada en vigor.

14.3. Los cambios no sustanciales (aclaraciones, correcciones tipográficas, actualizaciones de los datos de contacto de los encargados) surten efecto desde su publicación. La versión vigente, con la fecha de la última actualización, está siempre disponible en https://golova.ai/es/privacy-policy.

15.1. Esta Política se publica en inglés como versión maestra. Las traducciones al español, catalán, alemán, francés y portugués brasileño se proporcionan para la conveniencia de los usuarios de esos idiomas. Para Clientes empresariales, en caso de discrepancia entre versiones lingüísticas, prevalecerá la versión inglesa. Para Consumidores, la versión lingüística en la que el Cliente concluyó el contrato es vinculante.

15.2. Si alguna disposición de esta Política se considera inválida o inaplicable, las demás disposiciones seguirán surtiendo plenos efectos.

15.3. Las consultas, solicitudes y reclamaciones sobre esta Política pueden dirigirse a privacy@golova.ai.