Política de Privacidad

1. Responsable del Tratamiento

2. Datos Personales que Recogemos

Recogemos y tratamos las siguientes categorías de datos personales:

2.1 Datos de Registro y Cuenta

• Datos de identificación: Nombre completo, email, empresa (opcional)
• Datos de acceso: Contraseña (hasheada con bcrypt), fecha de registro
• Preferencias de cuenta: Idioma, zona horaria, notificaciones activadas

2.2 Datos de Uso de la Plataforma

• Datos de navegación: Páginas visitadas, tiempo de sesión, acciones realizadas
• Datos técnicos: Dirección IP, tipo de navegador, sistema operativo, resolución de pantalla
• Logs de actividad: Consultas realizadas, dashboards configurados, alertas creadas

2.3 Datos de Facturación (Solo Planes de Pago)

• Datos de pago: Procesados por Stripe (PCI-DSS Level 1). NO almacenamos tarjetas completas
• Datos de facturación: Nombre fiscal, dirección, NIF/CIF (si aplica), país
• Historial de transacciones: Fechas, importes, método de pago usado

2.4 Datos de Comunicaciones

• Emails de soporte: Contenido de tickets, adjuntos enviados
• Alertas personalizadas: Umbrales de precio configurados, regiones monitorizadas

3. Finalidad y Base Legal del Tratamiento

Tratamos sus datos personales con las siguientes finalidades y bases legales:

4. Conservación de Datos

Conservamos sus datos personales durante los siguientes plazos:

• Cuenta activa: Mientras mantenga su cuenta activa y/o suscripción vigente
• Cuenta cancelada: 30 días tras cancelación (backup), luego eliminación definitiva
• Datos de facturación: 10 años (obligación legal fiscal española, Art. 30 Código de Comercio)
• Logs de seguridad: 2 años máximo (Art. 12.3 LSSI)
• Datos de marketing (con consentimiento): Hasta revocación del consentimiento

Transcurridos estos plazos, los datos serán eliminados o anonimizados irreversiblemente.

5. Destinatarios de los Datos

Sus datos personales pueden ser comunicados a los siguientes destinatarios:

5.1 Prestadores de Servicios (Encargados del Tratamiento)

• Stripe: Procesamiento de pagos (USA, cláusulas contractuales tipo UE-USA)
• AWS/Google Cloud: Hosting y almacenamiento (servidores UE: Frankfurt, Irlanda)
• SendGrid/Mailgun: Envío de emails transaccionales (servidores UE)
• Sentry/LogRocket: Monitorización de errores (servidores UE cuando aplique)

Todos los encargados firman Acuerdos de Tratamiento de Datos (DPA) conforme Art. 28 RGPD.

5.2 Transferencias Internacionales

Algunos proveedores están ubicados en USA (Stripe). Garantizamos protección adecuada mediante:

• Cláusulas Contractuales Tipo (SCC): Aprobadas por Comisión Europea (Decisión 2021/914)
• Medidas técnicas suplementarias: Encriptación end-to-end, minimización de datos

5.3 Autoridades Públicas

Podemos comunicar datos a autoridades cuando exista obligación legal:

• Agencia Tributaria (facturas, IVA)
• Juzgados y Tribunales (orden judicial)
• Fuerzas y Cuerpos de Seguridad (prevención delitos)

6. Derechos del Interesado (RGPD)

Conforme a los Arts. 15-22 RGPD y Arts. 13-18 LOPDGDD, usted tiene derecho a:

• Acceso (Art. 15 RGPD): Solicitar copia de sus datos personales
• Rectificación (Art. 16 RGPD): Corregir datos inexactos o incompletos
• Supresión (Art. 17 RGPD): "Derecho al olvido" - borrado de sus datos
• Limitación del tratamiento (Art. 18 RGPD): Restringir el uso de sus datos
• Portabilidad (Art. 20 RGPD): Exportar sus datos en formato estructurado (CSV, JSON)
• Oposición (Art. 21 RGPD): Oponerse al tratamiento basado en interés legítimo
• Revocación del consentimiento (Art. 7.3 RGPD): Retirar consentimiento para newsletters/marketing
• No decisiones automatizadas (Art. 22 RGPD): No usamos perfilado automatizado con efectos jurídicos

Cómo Ejercer sus Derechos

Envíe un email a [email protected] con:

• Asunto: "Ejercicio de Derechos RGPD - [Tipo de Derecho]"
• Copia de DNI/NIE/Pasaporte (para verificar identidad)
• Descripción del derecho que desea ejercer

Plazo de respuesta: Máximo 1 mes desde recepción (Art. 12.3 RGPD). Gratuito (primera solicitud).

Reclamación ante Autoridad de Control

Si considera vulnerados sus derechos, puede reclamar ante:

7. Seguridad de los Datos

Implementamos medidas técnicas y organizativas para proteger sus datos personales:

Medidas Técnicas

• Encriptación: HTTPS/TLS 1.3 para datos en tránsito
• Encriptación at-rest: AES-256 para base de datos PostgreSQL
• Hashing de contraseñas: bcrypt con salt único (cost factor 12)
• Autenticación: JWT con refresh tokens, opción 2FA disponible
• Firewalls: WAF (Web Application Firewall) activo
• Backups: Diarios, encriptados, almacenados en región UE separada

Medidas Organizativas

• Acceso restringido: Solo personal autorizado, principio de mínimo privilegio
• Logs de auditoría: Registro de todos los accesos a datos personales
• Formación: Personal formado en RGPD y seguridad de datos
• Plan de respuesta: Protocolo de brechas de seguridad (notificación en 72h si aplica)

En caso de brecha de seguridad que afecte a sus datos, le notificaremos conforme Art. 34 RGPD.

8. Cookies y Tecnologías de Rastreo

Utilizamos cookies esenciales para el funcionamiento de la Plataforma (autenticación, preferencias de sesión). Para información completa, consulte nuestra Política de Cookies.

• Cookies esenciales: No requieren consentimiento (Art. 22.2 LSSI)
• Cookies analíticas: Requieren consentimiento previo (banner de cookies)
• No usamos: Cookies publicitarias de terceros ni tracking cross-site

9. Menores de Edad

La Plataforma NO está dirigida a menores de 14 años (edad mínima consentimiento España, Art. 7 LOPDGDD).

Si tiene conocimiento de que un menor de 14 años ha proporcionado datos personales sin consentimiento parental, contacte inmediatamente a [email protected] para su eliminación.

10. Actualizaciones de esta Política

Podemos actualizar esta Política de Privacidad para reflejar cambios en nuestras prácticas o legislación aplicable.

Cambios significativos se notificarán con 30 días de antelación vía email y banner en la Plataforma. La versión vigente siempre estará disponible en digitaltwins.olearia.io/privacy.

11. EU Data Act - Portabilidad de Datos IoT y Agricultura

Conforme al Reglamento (UE) 2023/2854 (EU Data Act), aplicable desde 12 de septiembre de 2025, si utilizas dispositivos IoT conectados a nuestras plataformas (sensores de campo, maquinaria agrícola, equipos industriales), tienes derechos específicos sobre el acceso y portabilidad de datos generados por dichos dispositivos.

11.1 Acceso Directo a Datos IoT (Art. 4 Data Act)

Los usuarios de Olearia Agritech y Olearia Digital Twins que conecten dispositivos IoT a nuestras plataformas tienen derecho a:

• Acceso en tiempo real: Consultar los datos generados por tus dispositivos IoT (sensores de humedad, temperatura, maquinaria agrícola, equipos industriales) sin intermediación, de forma directa, segura y gratuita
• Formato legible por máquina: Los datos se proporcionan en formato JSON/CSV estructurado conforme a estándares abiertos para facilitar su uso con otras aplicaciones
• Acceso by design: Los productos colocados en el mercado después del 12 de septiembre de 2026 incorporarán acceso a datos integrado arquitectónicamente desde el diseño
• Sin restricciones técnicas: No imponemos barreras tecnológicas, encriptación propietaria ni DRM que impidan el acceso legítimo a tus datos

11.2 Portabilidad a Terceros (Art. 5 Data Act)

Puedes solicitar que transmitamos tus datos IoT directamente a otro proveedor de servicios (ej. otra plataforma de gestión agrícola, cooperativa olivarera, aseguradora agrícola, centro de investigación):

• Sin coste adicional: La primera exportación/transmisión mensual es completamente gratuita
• Formato interoperable: Utilizamos estándares abiertos (JSON, CSV, API REST) para facilitar la migración entre proveedores
• Sin retención abusiva: No bloqueamos ni restringimos el acceso a tus datos aunque canceles tu suscripción (mantendrás acceso durante 30 días para facilitar transición)
• Transmisión directa API-to-API: Cuando sea técnicamente posible, podemos transmitir tus datos directamente al sistema del nuevo proveedor mediante integración API

11.3 Switching Facilitado (Arts. 23-26 Data Act)

Si decides cambiar a otro proveedor de servicios agrícolas o industriales, te facilitamos el proceso:

• Información transparente sobre dependencias: Te proporcionamos documentación clara sobre qué datos almacenamos, en qué formatos, y qué dependencias técnicas existen
• Asistencia en migración: Ofrecemos soporte técnico básico (email/documentación) para facilitar la exportación e importación de datos al nuevo proveedor
• Sin penalizaciones contractuales: Puedes cancelar tu suscripción en cualquier momento sin costes adicionales por migración (solo aplicamos costes de servicio proporcionales al periodo usado)
• Periodo de transición: Mantenemos acceso a tus datos durante 30 días tras cancelación para que puedas completar la migración sin presiones

11.4 Compensación Razonable (Art. 9 Data Act)

Si solicitamos compensación económica por compartir tus datos con terceros bajo tu solicitud (Art. 5 Data Act), dicha compensación será justa, razonable y no discriminatoria:

• Basada en costes reales: Solo cobramos por costes técnicos directos (infraestructura, procesamiento, transmisión de datos), nunca por los datos en sí
• Tarifa transparente: Primera exportación/transmisión mensual: gratuita. Exportaciones adicionales: máximo 50€ por transmisión (según volumen de datos, desglose detallado previo)
• No discriminatoria: La misma tarifa se aplica a todos los usuarios en circunstancias similares, independientemente del proveedor destinatario
• Excepciones: Exportaciones para cumplimiento legal, investigación pública o situaciones de emergencia son siempre gratuitas

11.5 Datos Generados por Productos IoT de Terceros

Si utilizas equipos IoT de terceros (tractores John Deere, sensores Libelium, estaciones meteorológicas Davis, etc.) conectados a Olearia, reconocemos que eres el titular de los datos generados por dichos dispositivos conforme al Art. 3 Data Act:

• Olearia actúa como receptor de datos, no como data holder original
• Respetamos los acuerdos de compartición de datos que hayas establecido con los fabricantes
• No reclamamos propiedad exclusiva sobre datos generados por equipos IoT de terceros
• Si el fabricante del equipo solicita acceso a "sus" datos bajo Art. 8 Data Act (interés legítimo comercial), te notificaremos y requeriremos tu autorización previa

11.6 Protección contra Uso Ilícito (Art. 6 Data Act)

Podemos denegar o suspender el acceso a datos si tenemos motivos fundados para creer que la solicitud tiene por objeto:

• Usar los datos para fines ilegales o contrarios al orden público
• Comprometer secretos comerciales o propiedad intelectual de Olearia
• Poner en riesgo la ciberseguridad de nuestros sistemas o de otros usuarios
• Violar derechos de terceros (ej. datos que incluyen información de co-propietarios de parcelas sin su consentimiento)

En caso de denegación, te notificaremos por escrito con justificación específica en un plazo de 15 días.

11.7 Ejercicio de Derechos Data Act

Para ejercer tus derechos bajo el Data Act, puedes:

• Exportar datos automáticamente: Panel de Usuario > Configuración > Exportar Mis Datos (descarga inmediata)
• Solicitar transmisión a tercero: Envía email a [email protected] indicando el proveedor destinatario y sus datos de contacto/API
• Solicitar información técnica: Contacta al DPO para obtener documentación sobre formatos, dependencias y procedimientos de migración

Plazo de respuesta: Máximo 30 días desde recepción de la solicitud (Art. 5(9) Data Act). Respuestas automatizadas (exportación desde panel) son inmediatas.

12. Contacto - Delegado de Protección de Datos

Para cualquier consulta sobre privacidad, ejercicio de derechos RGPD o Data Act, contacte con nuestro DPO: