El responsable del tratamiento de los datos personales relativos a la cuenta, el contacto y la facturación del cliente, recogidos a través del sitio y de la plataforma, es:

• Razón social: GAIEN.DATA S.L. (GLOSSO)
• NIF/CIF: B75780759
• Domicilio: Polígono Industrial Los Rubiales, Calle 3, Nave 7, 23700 Linares (Jaén)
• Email para asuntos de privacidad: info@glosso.ai

Respecto de los datos personales que pudiera contener la documentación que cada cliente indexa en su tenant, GAIEN.DATA S.L. (GLOSSO) actúa como encargado del tratamiento por cuenta del cliente, que mantiene la condición de responsable. Esta relación se rige por el acuerdo de encargo de tratamiento (art. 28 RGPD) suscrito entre las partes.

Como responsable, tratamos los datos personales para las siguientes finalidades:

• Prestar y gestionar el servicio Glosso RAG: aprovisionamiento del tenant, alta y administración de cuentas de usuario y control de acceso por roles.
• Gestionar la relación contractual, la facturación y el cobro del servicio.
• Atender consultas, incidencias y solicitudes de soporte recibidas a través de los canales de contacto.
• Velar por la seguridad de la plataforma, mantener la trazabilidad de la actividad y prevenir usos fraudulentos.
• Cumplir con las obligaciones legales aplicables (fiscales, contables y mercantiles).

La documentación que el cliente indexa se trata únicamente para prestar el servicio (indexación y respuesta a las consultas del propio cliente). No se utiliza para entrenar modelos ni se comparte con modelos públicos de terceros.

Las bases jurídicas que legitiman el tratamiento son:

• Ejecución de un contrato (art. 6.1.b RGPD): para prestar el servicio contratado y gestionar la relación con el cliente.
• Cumplimiento de obligaciones legales (art. 6.1.c RGPD): para atender obligaciones fiscales, contables y mercantiles.
• Interés legítimo (art. 6.1.f RGPD): para la seguridad de la plataforma, la trazabilidad de la actividad y la prevención del fraude.
• Consentimiento (art. 6.1.a RGPD): cuando lo solicitemos expresamente, por ejemplo para el uso de cookies analíticas o para envíos comerciales.

Tratamos las siguientes categorías de datos:

• Identificación y contacto: nombre, cargo, correo electrónico corporativo y datos de las personas usuarias y de contacto de la organización cliente.
• Datos de cuenta y uso: credenciales, roles, niveles de acceso y registros de actividad (consultas realizadas, documentos consultados) necesarios para la trazabilidad del servicio.
• Documentación indexada: los documentos que el cliente carga en su tenant, que pueden contener datos personales. Respecto de estos, actuamos como encargado del tratamiento.
• Datos de facturación: datos fiscales y de pago necesarios para la gestión contractual y la emisión de facturas.
• Datos técnicos: datos de navegación estrictamente necesarios para el funcionamiento del sitio y de la plataforma.

• Documentación indexada y datos del tenant: se conservan mientras esté vigente el contrato. A su finalización, se ofrece al cliente un plazo razonable para recuperar su documentación, tras el cual se eliminan, salvo obligación legal de conservación.
• Datos de cuenta y registros de actividad: se conservan durante la vigencia de la relación y, tras su fin, durante el plazo de prescripción de posibles responsabilidades.
• Datos de facturación y de la operación: se conservan durante los plazos legalmente exigidos (mercantil, fiscal y contable).
• Comunicaciones de soporte: se conservan durante el tiempo necesario para gestionarlas y, si procede, durante el plazo de prescripción de posibles acciones.

Para prestar el servicio recurrimos a proveedores que actúan como encargados del tratamiento bajo contrato (art. 28 RGPD). El listado actualizado de encargados es el siguiente:

• Amazon Web Services EMEA SARL (Luxemburgo) — Proveedor de infraestructura cloud (hosting, cómputo y almacenamiento) sobre la que se ejecuta la plataforma. Los servicios se prestan íntegramente desde regiones de la Unión Europea.

Los modelos de lenguaje (LLM) que procesan las consultas se ejecutan en esta misma infraestructura dentro de la UE. No intervienen proveedores de IA de terceros ni se envían los datos a modelos públicos (como servicios externos de OpenAI, Google u otros).

No se cederán datos a terceros salvo obligación legal o instrucción del propio cliente.

Con carácter general, no se realizan transferencias internacionales de datos: la infraestructura y el procesamiento se ubican en regiones de la Unión Europea (Espacio Económico Europeo).

En el supuesto de que, para tareas accesorias de soporte o administración de la infraestructura, el proveedor tuviera que acceder puntualmente desde fuera del EEE, dicho acceso se ampararía en las cláusulas contractuales tipo aprobadas por la Comisión Europea y en las medidas complementarias necesarias para garantizar un nivel de protección equivalente al del RGPD.

Puedes ejercer los siguientes derechos en relación con tus datos personales:

• Acceso a los datos que tratamos sobre ti.
• Rectificación de los datos inexactos o incompletos.
• Supresión de los datos cuando ya no sean necesarios.
• Oposición al tratamiento basado en interés legítimo.
• Limitación del tratamiento en los supuestos previstos.
• Portabilidad de los datos tratados de forma automatizada.
• Retirada del consentimiento en cualquier momento, sin que afecte a la licitud del tratamiento previo.

Para ejercer estos derechos escribe a info@glosso.ai indicando el derecho que deseas ejercer y aportando, en su caso, copia de un documento que acredite tu identidad. Si eres usuario de una organización cliente, puedes dirigirte también a la persona administradora de tu tenant.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Te pedimos, en cualquier caso, que nos contactes antes en info@glosso.ai para intentar resolver la cuestión.

Aplicamos medidas técnicas y organizativas apropiadas al riesgo del tratamiento, incluyendo el aislamiento de los datos de cada cliente en su propio tenant, el control de acceso basado en roles y en el principio de mínimo privilegio, el cifrado en tránsito, el registro y la trazabilidad de la actividad, y el procesamiento de la documentación exclusivamente dentro de nuestra infraestructura en la UE.