Política de privacidad del producto Nuva360
1. Quién trata tus datos
Nuva360 es una marca comercial explotada por Lucas Ignacio Sarabia Bannatyne, persona física con NIF 72071078A y domicilio en Calle Castelar 19, 3.º Derecha, 39004 Santander (Cantabria), España. No existe sociedad interpuesta.
Contacto para cualquier cuestión de protección de datos: admin@nuvaclin.es.
Esta política cubre el producto Nuva360: la aplicación web y la aplicación móvil que usan la oficina y los técnicos de una empresa instaladora. Es distinta de la política de la web nuva360.es, que cubre solo el formulario y los contenidos de esa web.
El reparto de papeles, que determina a quién reclamar
| Tu empresa es la responsable | Decide qué datos trata, para qué y durante cuánto tiempo: los de sus clientes, los de sus obras y los de su plantilla. Si eres cliente de una empresa que usa Nuva360, o trabajas en ella, tus derechos sobre esos datos se ejercen ante ella. |
|---|---|
| Nuva360 es el encargado | Trata esos datos únicamente siguiendo las instrucciones de la empresa, como exige el art. 28 RGPD. |
| Excepción | De los datos de tu cuenta de usuario (correo, contraseña, segundo factor, dispositivos recordados y registro de acciones de administración) y del registro de tu móvil para recibir avisos, Nuva360 es responsable, no encargado. También lo es de la relación comercial con la empresa. |
2. Qué datos se tratan
Si usas la aplicación (oficina o técnico): tu correo electrónico, tu contraseña (guardada como hash, nunca en claro), tu rol y tus permisos, el segundo factor de autenticación si lo tienes configurado, los dispositivos que has marcado como recordados, y el registro de las acciones de administración que hagas. Si la empresa usa el módulo de jornada, además tus fichajes (entrada, pausas, salida, la obra a la que se imputan y una nota opcional). Si instalas la aplicación móvil, el identificador que tu teléfono recibe del servicio de avisos y tus preferencias de qué avisos quieres.
Si eres técnico, además: tu nombre y tu horario como recurso de agenda, tus visitas asignadas, tus ausencias —incluido el motivo, que puede ser una baja médica— y lo que escribas en el chat interno, en las tareas y en los partes de trabajo.
Si eres cliente de la empresa, introducidos por ella:
- Identificación y contacto: nombre, documento fiscal, teléfono, email.
- Dirección de cada emplazamiento donde se trabaja, que puede ser tu domicilio, junto con sus coordenadas en el mapa (ver el apartado 4).
- Obras, visitas, incidencias y equipos instalados, con su número de serie y su garantía.
- Partes de trabajo y albaranes firmados, incluida la imagen de tu firma y el nombre de quien firma.
- Presupuestos, pedidos, facturas, cobros y saldos.
- Fotografías de la obra tomadas con la cámara del móvil del técnico.
- Documentos que la empresa te envíe o guarde sobre tu obra.
No se tratan datos de salud de clientes. La única categoría especial que puede aparecer en el producto es el motivo «baja» de una ausencia de un trabajador, que registra su propia empresa.
No hay geolocalización de los técnicos. El fichaje no registra ubicación, ni el móvil envía su posición: lo que se geolocaliza son las direcciones de los emplazamientos, no las personas.
3. Para qué
Gestionar clientes, emplazamientos, obras y visitas; planificar la agenda de campo y estimar desplazamientos; documentar el trabajo con partes, albaranes, fotos y firmas; facturar y cobrar; comprar y controlar el almacén; registrar la jornada laboral cuando la empresa usa ese módulo; coordinar al equipo; asistencia mediante inteligencia artificial (consultas en lenguaje natural sobre los datos de la empresa y lectura automática de facturas de proveedor); y la seguridad y la trazabilidad de los accesos de administración.
Las bases jurídicas de cada tratamiento las determina la empresa como responsable. Las de los tratamientos de los que Nuva360 es responsable son la ejecución del contrato de servicio y su interés legítimo en la seguridad del sistema; en el caso del registro de jornada, es la obligación legal que recae sobre la empresa (art. 34.9 del Estatuto de los Trabajadores).
4. Dónde están los datos y quién interviene
La aplicación y la base de datos se ejecutan en Railway,
en la Unión Europea: el almacenamiento de la base de datos está en la
región europe-west4 (Países Bajos), las copias continuas con restauración a un
punto en el tiempo también están en la UE, y la aplicación se sirve desde el nodo de
Ámsterdam del proveedor.
Los ficheros (fotos de obra, PDF de presupuestos, facturas y partes firmados, documentos de la biblioteca) se guardan en un servicio de almacenamiento de Cloudflare cuya ubicación no está fijada a la Unión Europea: la elige el proveedor. Mientras sea así, lo tratamos como una posible transferencia internacional.
Intervienen los siguientes encargados y subencargados. Varios son estadounidenses, de modo que existe o puede existir transferencia internacional, que debe ampararse en los mecanismos previstos en el capítulo V del RGPD:
| Quién | Para qué | Qué puede ver |
|---|---|---|
| Railway (Unión Europea: almacenamiento de la base de datos en los Países Bajos) | Servidores, base de datos, copias de seguridad | Todos los datos |
| Cloudflare R2 (EE. UU.; ubicación del almacenamiento sin fijar) | Almacenamiento de ficheros | Las fotos de obra, los PDF de ventas y de partes firmados y los documentos de la biblioteca |
| OpenAI (EE. UU.) | El asistente y la lectura automática de facturas de proveedor | Lo que se le envía en cada consulta: los datos de clientes, emplazamientos, obras o trabajadores que el asistente necesite para responder, y la factura de proveedor completa cuando se usa la lectura automática |
| Resend (EE. UU.; el dominio de envío está dado de alta en su región de Irlanda) | Envío de correo: documentos y facturas al cliente, pedidos al proveedor, informes internos | El destinatario, el asunto y el documento adjunto |
| Google (EE. UU.), a través de Firebase Cloud Messaging | Entrega de los avisos a la aplicación móvil | El identificador del dispositivo, su dirección IP y los datos de entrega. No el contenido de tu trabajo: el aviso lleva solo una fecha y hora o una frase fija, y nunca nombres, direcciones, importes ni notas |
| Sentry (Unión Europea: su organización y el almacenamiento de los informes están en Alemania) | Avisarnos de los errores del programa, para poder arreglarlos | Por diseño, ningún dato tuyo. Un informe lleva el tipo de error, el punto del programa donde ocurrió, la dirección de la pantalla o de la petición —sin lo que fuera escrito en ella y sin el código de los enlaces públicos— y el identificador de tu empresa. No lleva lo que se estaba guardando, ni el contenido de los formularios, ni los valores que el programa tenía en memoria. Salvo una excepción, que preferimos decir: el texto con el que un error se describe a sí mismo puede, en un fallo de la base de datos, citar el valor que lo provocó |
| Instituto Geográfico Nacional (España), a través de su servicio CartoCiudad | Situar en el mapa la dirección de un emplazamiento, para poder estimar los desplazamientos de la agenda | La dirección que se consulta. Nada más: ni quién es el cliente, ni de qué obra se trata |
No intervienen, y se dice porque a veces se da por supuesto: no hay servicio de analítica ni cookies de terceros en la aplicación, no hay telefonía ni SMS, no hay pasarela de pago dentro del producto y no se envía nada por WhatsApp (el producto lo soporta en el código, pero está desactivado y activarlo exigiría un cambio de programa).
Sobre OpenAI. Nuva360 usa su API. Según la documentación de OpenAI, el contenido enviado por esa vía no se usa para entrenar sus modelos salvo que el cliente decida compartirlo, y puede conservarse hasta 30 días en sus registros de control de abusos.
5. Qué medidas de seguridad hay
- Aislamiento entre empresas. Las consultas de cada usuario se filtran por su empresa en el servidor, no solo en la pantalla, y no existe ningún usuario con acceso a varias empresas.
- Permisos por módulo y por fila. Un técnico solo alcanza las obras, los partes y los documentos que le corresponden; lo que no le corresponde no aparece como «prohibido», sino como inexistente.
- Transporte cifrado (HTTPS) en toda la aplicación, web y móvil, con cabeceras de seguridad y sin scripts en línea.
- Contraseñas con bcrypt y segundo factor de autenticación disponible (TOTP), con el secreto cifrado en la base de datos y los códigos de recuperación guardados solo como hash.
- El registro de jornada es a prueba de manipulación: cada fichaje se encadena con el anterior mediante una huella criptográfica, la hora es siempre la del servidor (nunca la del móvil) y existe una comprobación de integridad bajo demanda. Un fichaje no se puede borrar desde la aplicación.
- Minimización deliberada: los fichajes no guardan dirección IP ni datos del navegador, y los dispositivos recordados tampoco.
- Los registros del sistema no llevan nombres, correos ni direcciones, solo identificadores internos y recuentos. El identificador de tu dispositivo y las credenciales de los proveedores nunca se escriben en ningún registro.
- El contenido del chat interno nunca se copia a los registros, a la auditoría ni a los avisos.
- La inteligencia artificial no escribe nada sin confirmación humana: toda acción que el asistente propone queda pendiente hasta que una persona la confirma.
- Copias de seguridad continuas de la base de datos, con restauración a un punto en el tiempo.
- Registro de auditoría de las acciones de administración (gestión de usuarios y permisos, reglas automáticas, informes y ejecución de listados con datos personales), con usuario, fecha, dirección de origen y navegador, conservado 365 días y borrado automáticamente después. No hay registro de las consultas ordinarias: hoy la aplicación no guarda quién ha abierto una ficha.
- Los datos de la aplicación no van cifrados campo a campo en la base de datos: su protección es el cifrado en reposo del proveedor de alojamiento y el control de acceso. Solo se cifran los secretos (el segundo factor y las credenciales de integración).
6. Cuánto tiempo se conservan
Como encargado, Nuva360 conserva los datos mientras dure el contrato con la empresa y conforme a las instrucciones de ésta. Los plazos legales —los fiscales de las facturas, los cuatro años del registro de jornada— los fija la empresa como responsable.
Plazos que fija Nuva360, por ser propios del servicio:
| Dato | Plazo |
|---|---|
| Registro de auditoría de administración | 365 días, borrado automático |
| Registro técnico de los envíos en cola de la aplicación móvil | 7 días |
| Copias de seguridad | La ventana de retención del proveedor de alojamiento |
Lo que hoy no se borra solo. Fuera de esa tabla, la aplicación no aplica plazos de conservación automáticos: los datos de clientes, obras, visitas, partes, documentos, fichajes y mensajes internos se conservan mientras la empresa sea cliente. Dar de baja a un cliente en la aplicación lo archiva, no lo borra: su historial sigue ahí, porque de él cuelgan facturas y partes firmados. Definir y aplicar plazos automáticos es trabajo pendiente, y esta política se actualizará cuando existan.
7. Derechos
Si eres cliente de una empresa que usa Nuva360, o trabajas en ella, ejerce tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante tu empresa, que es la responsable. Nuva360 la asiste para poder atenderlos; hoy esa asistencia es un trabajo manual, no una función de la aplicación.
Si eres usuario de la aplicación y quieres ejercer tus derechos sobre los datos de tu cuenta o sobre el registro de tu dispositivo, escribe a admin@nuvaclin.es. Puedes además dejar de recibir avisos en cualquier momento desde «Mi cuenta» de la aplicación, por categoría, y descargar tu propio registro de jornada desde la pantalla de fichajes.
En todos los casos puedes reclamar ante la Agencia Española de Protección de Datos.
8. Brechas de seguridad
Si se produce una violación de seguridad que afecte a datos personales, Nuva360 lo notifica a la empresa sin dilación indebida desde que tiene conocimiento, por correo electrónico y por teléfono a su persona de contacto, para que pueda cumplir su propio plazo de 72 horas ante la autoridad.
9. Cambios
Cualquier cambio en esta política, y en particular la incorporación o sustitución de un subencargado, se comunica a las empresas cliente antes de aplicarlo, para que puedan oponerse (art. 28.2 RGPD).
Ver también la política de privacidad de esta web, el aviso legal y la política de cookies.