Política de privacidad del área de cliente

1. Responsable del tratamiento

El responsable del tratamiento de sus datos es TWAVE, S.L., con NIF B74377821 y domicilio social en Parque Empresarial de Asipo, Calle Secundino Roces Riera 1, 2.º Puerta 8, 33428 Llanera, Asturias, España.

Para cualquier cuestión sobre sus datos puede escribir a info@twave.io, llamar al +34 984 508 934 o dirigirse por correo postal a la dirección anterior.

2. De dónde salen sus datos

El Área no tiene registro abierto: a ella solo se accede por invitación. Por eso parte de sus datos no nos los da usted, sino quien le invita:

• Si le invita una persona de su organización (su administración), ella nos facilita su nombre y apellidos, su dirección de correo electrónico y el papel que tendrá en el Área.
• Si le invita TWAVE, esos mismos datos proceden de la relación comercial entre TWAVE y su organización.
• Usted nos da directamente su contraseña al crear su acceso y lo que escriba o envíe desde el Área.
• Otros datos se generan al usar el Área: sus sesiones, sus intentos de acceso y el registro de lo que hace.

Cuando pide una reparación para un equipo que debe volver directamente a un cliente de su organización, es usted quien nos facilita los datos de contacto de ese cliente: la empresa, la persona de contacto, su teléfono, su correo y la dirección. Le pedimos que solo nos los dé si puede hacerlo y que informe a esa persona de que los usaremos para devolverle el equipo, en los términos de esta política.

El correo de invitación le dice quién le invita y le remite a esta política. Si no reconoce la invitación, basta con no usarla: caduca a los siete días y sus datos se eliminan en los plazos indicados más abajo.

3. Qué datos tratamos

• Datos de identificación y de la cuenta: nombre y apellidos, dirección de correo electrónico, las organizaciones a las que tiene acceso y el papel que tiene en cada una, y si su acceso está activo o bloqueado.
• La contraseña, guardada de forma que nadie, tampoco TWAVE, puede conocerla: solo se puede comprobar si la que usted escribe es la correcta.
• Datos de la invitación: quién le invitó, cuándo, con qué papel y si el correo salió.
• Datos de acceso y de seguridad: cuándo inicia y cierra sesión, sus intentos de acceso, si acertaron, y su origen. El origen (la dirección de red desde la que se conecta) no se guarda tal cual, sino resumido mediante una función criptográfica, lo que permite comparar si dos intentos vienen del mismo sitio; sigue siendo un dato personal y se trata como tal.
• Registro de actividad: qué acciones realizó en el Área y cuándo, con identificadores y sin el contenido de lo que vio o escribió.
• Lo que usted envía desde el Área cuando la función está disponible para su organización: solicitudes de presupuesto con sus comentarios, oportunidades comerciales y peticiones de funciones o licencias.
• Las solicitudes de reparación: qué equipos se envían, qué les pasa, qué se ha probado y qué accesorios van; la dirección a la que se devuelven y la persona y el teléfono de contacto del envío; su nombre y su correo, para enviarle la respuesta; y, si el equipo debe volver directamente a un cliente de su organización, la empresa, la persona de contacto, el teléfono, el correo y la dirección de ese cliente. Para limitar cuántos se pueden consultar, también los números de serie que escribe a mano y que el Área comprueba.
• El registro de las condiciones que acepta: qué versión, en qué idioma, cuándo, con qué nombre, correo, papel y organización, y, si acepta en nombre de su organización, el texto de la declaración que marcó.
• Los registros técnicos de funcionamiento de los servidores, que anotan cada petición con su dirección de red y la página pedida, y sirven para detectar y corregir fallos y ataques.

No tratamos datos de su tarjeta de pago, que introduce directamente en la página del proveedor de pagos, ni ninguna categoría especial de datos.

4. Para qué los usamos y con qué base legal

• Invitarle y darle acceso: enviarle la invitación, crear su cuenta, permitirle entrar, enseñarle la información de su organización que corresponde a su papel y atender lo que pida desde el Área. Base legal: la ejecución de las condiciones de uso que usted acepta (artículo 6.1.b del RGPD) y, antes de que las acepte, el interés legítimo de TWAVE y de su organización en mantener su relación comercial a través de las personas que la organización designa (artículo 6.1.f del RGPD y artículo 19 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales).
• Ayudarle a recuperar el acceso: enviarle, cuando lo pida, un enlace para cambiar una contraseña olvidada. Base legal: la ejecución de las condiciones de uso.
• Mantener la seguridad del Área y de la información de las organizaciones: limitar los intentos de acceso, cerrar sesiones, registrar la actividad y poder reconstruir un incidente. Base legal: el interés legítimo de TWAVE y de las organizaciones clientes en la seguridad de la información (artículo 6.1.f y considerando 49 del RGPD).
• Dar soporte: el personal de TWAVE puede ver el Área de su organización tal y como la ve su administración, solo para consultar y sin poder hacer cambios, para resolver una consulta o una incidencia. Cada acceso queda registrado. Base legal: el interés legítimo en atender a la organización cliente.
• Conservar la prueba de las condiciones aceptadas, para poder acreditar qué se aceptó, quién y cuándo. Base legal: el interés legítimo de TWAVE en la formulación, el ejercicio o la defensa de reclamaciones.
• Gestionar los pedidos y pagos de su organización y cumplir las obligaciones mercantiles y fiscales de TWAVE. Base legal: la ejecución del contrato con su organización y el cumplimiento de obligaciones legales (artículo 6.1.c del RGPD).
• Atender las solicitudes de reparación: decidir si el equipo se envía a TWAVE, abrir su orden de reparación, avisarle por correo de la decisión y devolver el equipo a la dirección indicada o al cliente de su organización. Base legal: la ejecución del contrato con su organización y el interés legítimo de TWAVE y de su organización en el servicio técnico de sus equipos (artículo 6.1.f del RGPD y artículo 19 de la Ley Orgánica 3/2018).

El Área no le envía comunicaciones comerciales. Los avisos operativos (invitaciones, cambios de contraseña, caducidad de licencias, estado de reparaciones, actualizaciones de software y firmware, avisos de seguridad y cambios en las condiciones) forman parte del servicio. Las campañas y avisos que se muestran dentro del Área se eligen según la organización y el tipo de cliente, no según datos de usted. Si en el futuro TWAVE quiere enviarle comunicaciones comerciales, le pedirá antes su consentimiento, de forma separada y revocable.

No se toman decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted ni le afecten de forma similar, y no se elaboran perfiles.

5. Si no nos da sus datos

Su nombre, su correo electrónico y una contraseña son imprescindibles para tener una cuenta: sin ellos no puede acceder al Área. Los datos de acceso, de actividad y de seguridad se generan al usarla y son necesarios para prestar el servicio de forma segura.

6. Quién ve sus datos

• Su organización. Quien administra el acceso de su organización ve su nombre, su correo, su papel y si su acceso está activo o bloqueado, y lo que usted hace en el Área en nombre de la organización. No ve las demás organizaciones a las que usted pueda tener acceso.
• El personal de TWAVE que lo necesita para su trabajo: para gestionar los accesos, atender las solicitudes de su organización y darle soporte, como se describe en el apartado anterior.
• Los proveedores que prestan servicios a TWAVE y tratan los datos por su cuenta, como encargados del tratamiento, con un contrato que les obliga a protegerlos y a no usarlos para nada más: el proveedor de alojamiento de los servidores del Área, con centros de datos en la Unión Europea; Amazon Web Services, que envía los correos del Área desde su región de Irlanda; y el proveedor de almacenamiento de ficheros y de copias de seguridad, con servidores en la Unión Europea.
• El proveedor de servicios de pago (Stripe), cuando usted inicia un pago desde el Área. Los datos que introduce en su página de pago los recoge Stripe directamente; para algunas finalidades propias, como la prevención del fraude o sus obligaciones legales como entidad de pago, Stripe actúa como responsable independiente, conforme a su propia política de privacidad.
• Las administraciones, juzgados y tribunales, cuando una ley obligue a comunicárselos.

Si una solicitud de presupuesto que usted envía se convierte en un presupuesto, su nombre y su correo quedan anotados en ese presupuesto, dentro del sistema de gestión de TWAVE, como parte del registro de la relación comercial. Ese sistema es de TWAVE, está en sus instalaciones y lo que contiene no se comunica a terceros salvo en los casos de este apartado.

Si TWAVE autoriza el envío de un equipo, la orden de reparación que se abre en ese mismo sistema de gestión recoge lo que usted escribió sobre el equipo, su nombre como persona que lo solicitó, la dirección a la que debe volver y la persona y el teléfono de contacto del envío o, si el equipo vuelve a un cliente de su organización, los datos de ese cliente. La decisión y los datos de la solicitud se envían también al buzón de atención al cliente de TWAVE, que la sigue desde allí.

Si la dirección a la que debe volver el equipo no figura todavía entre las de su organización en ese sistema de gestión, el personal de TWAVE puede darla de alta como una dirección de entrega de su organización, con el teléfono de contacto del envío. Queda entonces como un dato más de la ficha de su organización. Nunca se da de alta así la dirección de un cliente de su organización al que se devuelva el equipo directamente.

TWAVE no vende sus datos ni los cede a terceros para sus propios fines.

7. Transferencias fuera de la Unión Europea

Sus datos se guardan en la Unión Europea. Amazon Web Services y Stripe pertenecen a grupos con sede en Estados Unidos, por lo que no puede descartarse que personal o sistemas de esos grupos accedan a datos desde allí. Esas transferencias se amparan en el Marco de Privacidad de Datos entre la Unión Europea y los Estados Unidos, al que están adheridos, y, en su defecto, en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Puede pedir más información sobre estas garantías escribiendo a info@twave.io.

8. Cuánto tiempo los conservamos

• Su cuenta, mientras tenga acceso a alguna organización. Cuando pierde el acceso a la última —porque su organización o TWAVE se lo retiran, o porque usted sale de ella—, la cuenta se elimina en ese mismo momento junto con su nombre, su correo, su contraseña, sus sesiones, sus invitaciones y sus intentos de acceso, y su nombre desaparece del historial de las oportunidades. Lo que hizo en nombre de su organización, como una solicitud de presupuesto, se conserva para la organización sin que nada le identifique; de sus solicitudes de reparación se borran en ese momento su nombre y su correo y, si figuraba usted como persona de contacto del envío, también ese nombre y su teléfono. Lo que ya se trasladó al sistema de gestión de TWAVE —la orden de reparación con lo que se anotó en ella y, en su caso, la dirección de entrega dada de alta— no se borra con la cuenta: forma parte de los registros de TWAVE sobre el servicio técnico de los equipos de su organización y sigue los plazos de ese sistema.
• Una invitación que no se llega a usar caduca a los siete días y se elimina treinta días después de caducar o de revocarse.
• Las sesiones, en cuanto caducan: como mucho a las ocho horas, o tras dos horas sin usarlas.
• Los enlaces para cambiar la contraseña valen dos horas y se eliminan al caducar.
• Los intentos de acceso, treinta días.
• El registro de actividad, doce meses.
• Los avisos internos que el personal de TWAVE recibe sobre lo que pasa en el Área de su organización, ciento ochenta días desde su última actividad.
• Los datos de cada correo que el Área envía, treinta días desde que sale.
• El registro de las condiciones aceptadas no se elimina con la cuenta ni con las limpiezas periódicas: se conserva mientras dure la relación de TWAVE con su organización y, después, durante el plazo de prescripción de las acciones que puedan derivarse de ella (hasta seis años). Es lo único de usted que sobrevive a la cuenta, y lo hace con lo mínimo para probar qué se aceptó, quién y cuándo: su nombre, su correo, su papel y su organización en ese momento, la versión, el idioma y la fecha; el origen de la aceptación se borra con la cuenta. Desde ese momento queda bloqueado, en los términos del artículo 32 de la Ley Orgánica 3/2018: no se usa para nada más y solo se pone a disposición de los juzgados y tribunales, del Ministerio Fiscal o de las autoridades competentes, o se utiliza para atender una reclamación, hasta que vence ese plazo y se elimina. La aceptación de las Condiciones Generales de Venta que una persona haga en nombre de su organización es además un documento de la organización, y esta puede seguir viendo quién la hizo y cuándo.
• Lo que su organización envía desde el Área (solicitudes de presupuesto, oportunidades y peticiones de funciones o licencias) forma parte de su relación comercial con TWAVE y se conserva mientras esta dure y, después, durante los plazos legales. Los presupuestos, pedidos y facturas se conservan durante los plazos que exige la normativa mercantil y fiscal (seis años con carácter general).
• Las solicitudes de reparación, mientras esperan respuesta y un año desde que TWAVE las resuelve o se retiran; después se eliminan con todos sus datos, también los del cliente final. Lo que pasa a la orden de reparación, y la dirección de entrega que se haya dado de alta, sigue los plazos del sistema de gestión de TWAVE, como los presupuestos.
• Los números de serie escritos a mano que se consultan, un día: solo sirven para limitar cuántos se pueden consultar.
• Los registros técnicos de los servidores se sustituyen automáticamente por los nuevos a medida que se generan, y no se archivan.
• Las copias de seguridad no se modifican para borrar datos concretos: lo que se elimina del Área desaparece de las copias cuando estas caducan, como máximo doce meses después. Si hubiera que restaurar una copia, antes de volver a abrir el Área se vuelven a aplicar todas las eliminaciones y plazos de esta política.

9. Sus derechos

Puede ejercer en cualquier momento sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a info@twave.io o por correo postal a la dirección de TWAVE indicada al principio. Para proteger sus datos, le pediremos que acredite su identidad; si escribe desde la dirección de correo de su cuenta, normalmente bastará con eso. Le responderemos en el plazo de un mes, que puede ampliarse dos meses más en casos complejos, avisándole.

• Rectificación: si su nombre o su correo no son correctos, puede pedir que se corrijan a TWAVE o a quien administra el acceso de su organización.
• Supresión: puede salir usted misma o usted mismo de cualquier organización desde el Área, salvo la administración principal, que tiene que pedir antes a TWAVE que nombre a otra persona; quien administra su organización también puede retirarle el acceso, y TWAVE puede retirárselo de todas a petición suya. Al perder el acceso a la última organización, su cuenta se elimina como se explica en el apartado anterior. La supresión tiene límites que la ley reconoce y que le indicaremos al responder: se conservará, bloqueado, el registro de las condiciones aceptadas, que es necesario para formular, ejercer o defender reclamaciones (artículo 17.3.e del RGPD), y lo que la ley obligue a conservar, como los presupuestos y facturas. Tampoco se suprime con la cuenta lo que forma parte de los registros del sistema de gestión de TWAVE sobre el servicio técnico de los equipos de su organización, como las órdenes de reparación; si quiere que se corrija o se suprima algo de ellos, puede pedirlo por las mismas vías y le responderemos en los mismos plazos.
• Oposición: cuando un tratamiento se basa en el interés legítimo, puede oponerse a él por motivos relacionados con su situación particular. TWAVE dejará de tratar sus datos salvo que acredite motivos legítimos imperiosos que prevalezcan o los necesite para formular, ejercer o defender reclamaciones.
• Retirada del consentimiento: si en algún momento le pedimos su consentimiento para algo, podrá retirarlo cuando quiera, sin que ello afecte a lo hecho antes.

Si considera que el tratamiento de sus datos no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Le agradeceremos que antes nos lo comunique para intentar resolverlo.

10. Cómo protegemos sus datos

Entre otras medidas: las conexiones con el Área van siempre cifradas; las contraseñas se guardan de forma que no se pueden recuperar; las sesiones caducan y se cierran al cambiar la contraseña o al retirar un acceso; cada organización solo puede ver su propia información, y eso se comprueba en el servidor en cada petición; las páginas del Área no cargan contenido ni programas de terceros; y el sistema de gestión de TWAVE no es accesible desde internet. El uso de cookies se explica en la política de cookies del Área.

11. Cambios en esta política

Esta política tiene versiones. Cada versión indica su identificador y la fecha desde la que rige, y las versiones anteriores siguen disponibles en el Área para su consulta. Ninguna versión publicada se modifica: cualquier cambio da lugar a una versión nueva, que se publica antes de que el cambio se aplique.

12. Idioma

Esta política se publica en español y en inglés. En caso de discrepancia entre las dos versiones, prevalece la española.