FlowSight Documents

Privacidad y tratamiento de datos

Versión de 23 de octubre de 2026. Esta información distingue los datos que FlowSight Documents gestiona para prestar el servicio de los que trata por cuenta de cada empresa. También se aplica a la prueba gratuita.

El registro público todavía no está disponible. La identificación legal del prestador está pendiente de completar; puedes consultar la demostración de la aplicación mientras se formalizan las condiciones necesarias.

Quién es responsable

Prestador: nombre legal pendiente de confirmar. NIF: pendiente de confirmar. Domicilio: pendiente de confirmar. Contacto de privacidad: manuel@flowsight.site.

El prestador es responsable de la gestión de cuentas, la relación de servicio, las consultas y la seguridad que realiza para sus propios fines. Para los documentos, la configuración y la actividad que una empresa registra, esa empresa determina los fines y actúa como responsable; FlowSight Documents trata esos datos siguiendo sus instrucciones como encargado. El administrador debe facilitar la identidad y el contacto de privacidad de su empresa al equipo.

Datos y finalidades

Nombre, correo y contraseña son necesarios para crear una cuenta. Los demás campos dependen de tu empresa. No introduzcas información innecesaria, contenido íntegro de expedientes, datos de salud, menores, categorías especiales o datos penales sin que tu empresa haya evaluado y autorizado ese uso y sus garantías.

Bases jurídicas e información al equipo

La cuenta y las consultas pueden ser necesarias para un contrato o medidas precontractuales cuando la persona es parte de esa relación. Para representantes y usuarios profesionales autorizados y para la seguridad puede corresponder un interés legítimo que debe evaluarse y documentarse. Una obligación legal concreta justifica únicamente los datos y plazos que exija. Cada empresa cliente debe determinar e informar la base jurídica de sus documentos y de la trazabilidad de las acciones de sus empleados.

Aceptar las condiciones o confirmar que has leído este aviso no es un consentimiento general para cualquier tratamiento. Una finalidad opcional que requiera consentimiento debe solicitarlo por separado y permitir retirarlo. La empresa debe informar a las personas cuyos datos introduce, aunque no tengan cuenta, conforme a los artículos 13 y 14 del RGPD.

Acceso, cámara y datos en tu dispositivo

Cada persona utiliza su propia cuenta y permisos. El QR contiene un identificador, no el expediente ni un permiso de acceso; abrirlo requiere autenticación y pertenencia vigente a la empresa. El responsable debe dar acceso sólo a quienes necesiten los registros. Descargar datos o imprimir etiquetas crea copias que tu empresa debe custodiar y eliminar cuando corresponda.

La cámara sólo se activa cuando solicitas escanear y lee el QR en tu dispositivo; esta función no sube su vídeo. Puedes detenerla o introducir el identificador manualmente. La PWA guarda recursos públicos para mostrar su pantalla sin conexión, pero no registros de empresa ni respuestas autenticadas en esa caché. La información abierta puede permanecer en la memoria de una pestaña; cierra sesión y protege los dispositivos compartidos o perdidos.

Se utilizan cookies necesarias para la sesión y el acceso y almacenamiento local para el idioma elegido. No se han incorporado píxeles publicitarios ni analítica opcional en la aplicación revisada. Cualquier finalidad opcional que se añada deberá informarse y contar con el control que corresponda antes de activarse.

Las cookies de sesión tienen un máximo de 7 días por renovación. El servicio de autenticación está configurado para caducar sesiones tras 7 días de inactividad y limitar su duración total a 30 días. Cerrar sesión revoca las sesiones de la cuenta; en un dispositivo compartido debes hacerlo al terminar.

Proveedores, alojamiento y transferencias

La base de datos y el backend utilizan Microsoft Azure en Spain Central. Azure Communication Services Email tiene ubicación de datos Europe y procesa los mensajes de confirmación y recuperación. Vercel Pro sirve la web y ejecuta funciones en Frankfurt; su red, registros y soporte deben evaluarse también. La infraestructura europea no acredita que todos los tratamientos y accesos se produzcan exclusivamente en España o en la Unión Europea.

El encargo de cada empresa debe identificar subencargados autorizados, funciones, condiciones de cambio y garantías de transferencias internacionales. Los contratos efectivos y la valoración de sus garantías deben formalizarse antes de usar datos personales de la empresa, también durante la prueba. Puedes solicitar información y copia de las garantías aplicables al contacto de privacidad; enlazar documentos de un proveedor no acredita su formalización.

Documentación de tratamiento de Microsoft · Acuerdo de tratamiento de Vercel.

Asistencia de IA opcional

Una propuesta envía al proveedor el texto que escribes y los nombres e identificadores de los estados de tu empresa. No envía automáticamente documentos ni historiales. Debes revisar y guardar expresamente la propuesta; esta función no toma por sí misma decisiones con efectos jurídicos sobre personas.

El despliegue Azure de IA actual es GlobalStandard: aunque su recurso está en Spain Central, las solicitudes pueden procesarse en otras geografías. No guardar una respuesta no elimina por sí solo toda monitorización de abuso del proveedor. Mantén prompts y nombres de estados libres de datos personales mientras no se confirmen la autorización y el análisis de transferencias de tu empresa. La misma regla puede crearse manualmente.

Conservación, archivo y eliminación

Los documentos activos se conservan según la necesidad y las instrucciones lícitas de la empresa. El plazo propuesto para documentos archivados es 365 días, configurable entre 30 y 3.650 días. Una conservación legal o restricción requiere justificación y gestión separadas. Archivar conserva el registro y no equivale a borrarlo. Ningún plazo configurable autoriza conservar datos más tiempo del necesario.

La política operativa propuesta contempla eliminar invitaciones 30 días después de su cierre o caducidad, uso de IA a los 90 días, auditoría administrativa a los 365 días, solicitudes de derechos 365 días después de su resolución y cuentas sin pertenencias, actividad documental ni solicitudes pendientes a los 30 días desde el alta. Estos plazos deben justificarse, configurarse y comprobarse antes de confirmar su ejecución programada. Los datos vinculados a obligaciones legales o incidentes deben separarse, limitarse y conservarse sólo durante el plazo correspondiente.

Puedes solicitar la eliminación de tu cuenta con un periodo mínimo de 7 días para revocarla. Se ejecuta a partir de ese plazo, después de que un operador autorizado revise sus referencias, el texto libre que pueda identificarte y las obligaciones de conservación. Las solicitudes de derechos abiertas se atienden antes de ejecutar esta baja. La solicitud debe atenderse dentro del plazo legal y comunicarse cualquier excepción; las empresas deben hacer lo mismo con las solicitudes sobre sus propios registros.

La eliminación de un espacio solicitada por su propietario contempla un periodo de 7 días para revocarla antes de borrar datos de producción. Los backups Azure tienen una ventana configurada de 14 días; no se afirma eliminación física inmediata en todas las copias. Las supresiones y restricciones deben reaplicarse antes de reabrir acceso tras una recuperación. La salida y los plazos efectivos deben comunicarse a la empresa; terminar la prueba no justifica conservación indefinida.

Tus derechos y cómo ejercerlos

Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad cuando se cumplan sus condiciones, y retirar un consentimiento específico si es la base de una finalidad opcional. Contacta con el responsable de tu empresa para sus registros y con manuel@flowsight.site para el tratamiento propio del prestador o para coordinar tu solicitud con la empresa. No necesitas una suscripción activa para ejercer derechos.

Indica el derecho y la cuenta o datos afectados sin adjuntar innecesariamente documentos de identidad íntegros. Se verificará tu identidad de forma proporcional. El responsable debe responder en un mes; puede ampliar otros dos por complejidad o número de solicitudes, informándote y motivándolo dentro del primero. Una exportación de empresa no sustituye por sí sola la respuesta individual y debe proteger los datos de otras personas.

Si el formulario alcanza su límite de solicitudes abiertas o no puedes acceder a tu cuenta, puedes escribir al contacto de privacidad. Ese límite técnico no determina por sí solo que una solicitud sea excesiva y no impide ejercer tus derechos.

Puedes reclamar ante la autoridad de control competente. En España, la Agencia Española de Protección de Datos ofrece información y su sede electrónica en aepd.es.

Seguridad e incidencias

El servicio utiliza separación por empresa, autenticación, permisos, conexiones cifradas y caché pública limitada. La seguridad también requiere revisar accesos, proteger dispositivos, probar recuperaciones y gestionar incidencias. Informa de accesos indebidos, pérdidas o alteraciones al administrador y al contacto de privacidad. El encargado debe avisar al responsable sin dilación indebida; el responsable valora la notificación a la autoridad en 72 horas y la comunicación a afectados cuando proceda.

Este aviso no constituye una certificación de cumplimiento integral del RGPD. Las obligaciones de cada empresa, contratos efectivos y medidas operativas deben comprobarse para el uso concreto. Los cambios materiales de finalidad, proveedores, conservación o garantías deben comunicarse antes de aplicarlos cuando corresponda.