Política de privacidad
Última actualización: 3 de julio de 2026
Esta política describe cómo OZEON LLC (“el operador”, “nosotros”), en su condición de responsable del tratamiento, trata los datos personales de los usuarios registrados y visitantes de AMAI Budget, conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). OZEON LLC es una US LLC (Limited Liability Company) constituida en los Estados Unidos de América (ver la sección de transferencias internacionales).
Cuando un cliente (“tenant”) utiliza AMAI Budget para gestionar los datos de sus propios clientes (presupuestos, facturas, datos de contacto), el operador actúa como encargado del tratamiento por cuenta del tenant. Ese tratamiento se rige por el Contrato de Encargo de Tratamiento (DPA), no por esta política.
1. Responsable del tratamiento
- Denominación: OZEON LLC
- Forma jurídica: US LLC (Limited Liability Company)
- Estado de constitución: [PENDIENTE: estado de constitución por confirmar]
- Número de identificación fiscal (EIN, EE. UU.): [PENDIENTE: EIN (Employer Identification Number) por confirmar]
- Domicilio: [PENDIENTE: domicilio social por confirmar]
- Contacto para asuntos de protección de datos: info@amai.solutions
2. Datos que tratamos y finalidad
| Datos | Finalidad | Base jurídica |
|---|---|---|
| Nombre, email, contraseña (cifrada), empresa | Registro y gestión de la cuenta; autenticación | Art. 6.1.b RGPD — ejecución de un contrato |
| Datos fiscales de la empresa (NIF, dirección, régimen de IVA) | Emisión de presupuestos/facturas con VeriFactu | Art. 6.1.c RGPD — obligación legal (normativa antifraude / RRSIF) |
| Datos de facturación de la suscripción SaaS | Cobro del servicio, contabilidad | Art. 6.1.b y 6.1.c RGPD |
| Registros técnicos (logs, IP, sesión) | Seguridad, prevención de fraude, resolución de incidencias | Art. 6.1.f RGPD — interés legítimo |
3. Plazos de conservación
Los datos de la cuenta se conservan mientras la relación contractual esté vigente. Los datos con relevancia fiscal (registros de facturación VeriFactu) se conservan durante el plazo legal de prescripción tributaria (4 a 6 años según el tipo de obligación), tras el cual pueden ser bloqueados conforme al art. 32 LOPDGDD y posteriormente suprimidos.
4. Destinatarios y subencargados
No cedemos datos a terceros salvo obligación legal. Para prestar el Servicio, recurrimos a los siguientes subencargados (todos con contrato conforme al art. 28.4 RGPD):
| Subencargado | Ubicación | Función |
|---|---|---|
| Supabase (autoalojado) | Hetzner, Alemania (UE) | Autenticación y base de datos |
| MinIO (S3) | Hetzner, Alemania (UE) | Almacenamiento de PDFs y ficheros |
| HashiCorp Vault | Hetzner, Alemania (UE) | Custodia de secretos y claves de firma |
| Dokploy / VPS | Hetzner, Alemania (UE) | Alojamiento de la aplicación |
| OpenAI (gpt-4o-mini) | EE. UU. | Sugerencias de líneas de presupuesto mediante IA |
La infraestructura de almacenamiento y procesamiento se ubica íntegramente en la Unión Europea (Hetzner, Alemania). El operador, OZEON LLC, es no obstante una entidad estadounidense (ver la sección siguiente).
5. Transferencias internacionales
Existen dos vectores de transferencia a un tercer país (Estados Unidos):
- OpenAI (EE. UU.), único subencargado fuera de la UE, utilizado para generar sugerencias de líneas de presupuesto. Siempre que es posible, la información enviada al modelo se limita a texto descriptivo de líneas, sin datos identificativos (NIF, nombre completo, dirección) del cliente final.
- El propio operador, OZEON LLC, al ser una entidad constituida en EE. UU., puede acceder a los datos desde ese país, aunque el almacenamiento permanezca en la UE.
Ambas transferencias se amparan en el mecanismo de transferencia designado: [PENDIENTE: elegir mecanismo — Cláusulas Contractuales Tipo (SCCs) o EU-US Data Privacy Framework], complementado con medidas técnicas suplementarias (cifrado en tránsito y en reposo, residencia UE de la capa de almacenamiento, seudonimización) y una evaluación del impacto de la transferencia. El detalle aplicable al tratamiento por cuenta del tenant se recoge en el DPA.
6. Derechos de las personas interesadas
Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a info@amai.solutions, indicando el derecho que deseas ejercer y adjuntando copia de un documento que acredite tu identidad. Asimismo, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que el tratamiento de tus datos no se ajusta a la normativa.
7. Seguridad
Aplicamos medidas técnicas y organizativas conforme al art. 32 RGPD: cifrado en tránsito (TLS) y en reposo, aislamiento multi-tenant mediante Row Level Security (RLS) por empresa, control de acceso basado en roles y registro de auditoría. Los certificados electrónicos de firma que un tenant pueda subir se cifran con AES-256-GCM y su detalle de custodia se recoge en el DPA.
8. Menores de edad
El Servicio está dirigido a empresas y profesionales. No está destinado a menores de 16 años y no recopilamos conscientemente datos de menores.