Política de privacidad

Este es el texto completo. La versión corta está en el resumen de privacidad, y cada sección de allí remite a la sección correspondiente aquí.

Dos clases de datos personales pasan por este producto y no son lo mismo en derecho. Están los datos sobre usted, el cliente que se dio de alta, y están los datos sobre las personas de sus edificios, que usted introduce o que llegan a su buzón. Este documento dice cuál es cuál cada vez que importa, porque la respuesta cambia quién es responsable.

1. Quiénes somos

1.1 Dardaris es un producto de Techroun LLC, Shams Business Center, Sharjah Media City Free Zone, Al Messaned, Sharjah, licencia comercial número 2543150.01 expedida por Sharjah Media City, número de registro fiscal 105325244900001.

1.2 Dardaris es el producto. La empresa nombrada arriba es la que lo explota y lo comercializa, y es la empresa con la que usted trata: en este aviso "nosotros" significa esa empresa, nunca el software. Una solicitud al amparo de este aviso se dirige a ella, y es la empresa que responde del tratamiento aquí descrito.

1.3 Nuestra sede está en Sharjah, Emiratos Árabes Unidos.

1.4 Nuestro representante en el Espacio Económico Europeo. Estamos establecidos fuera del Espacio Económico Europeo, de modo que la ley de allí nos exige designar un representante en él. Esa designación está en marcha, y el nombre y la dirección del representante se publican aquí en cuanto se haga. Hasta entonces, una solicitud o una comunicación que iría a un representante nos llega directamente a la dirección de la sección Contacto de abajo, y se atiende exactamente del mismo modo y en los mismos plazos.

1.5 Nuestro representante en el Reino Unido. Estamos establecidos fuera del Reino Unido, de modo que la ley de allí nos exige designar un representante en él. Esa designación está en marcha, y el nombre y la dirección del representante se publican aquí en cuanto se haga. Hasta entonces, una solicitud o una comunicación que iría a un representante nos llega directamente a la dirección de la sección Contacto de abajo, y se atiende exactamente del mismo modo y en los mismos plazos.

1.6 No hemos designado un delegado de protección de datos. Lo decimos con claridad en lugar de dar a una dirección de soporte corriente un título que no ostenta: el delegado de protección de datos es una figura legal con protecciones legales, y llamar así a alguien que no ha sido designado le induce a error sobre a quién escribe. Toda solicitud descrita abajo la atendemos nosotros directamente.

2. Los dos papeles, y cuál se aplica

2.1 Donde somos el responsable del tratamiento. Para el sitio de marketing, la lista beta, su cuenta, sus usuarios autorizados, el inicio de sesión y la seguridad, la facturación, el soporte y nuestra propia administración del servicio, decidimos por qué y cómo se tratan los datos, y este aviso lo describe.

2.2 Donde somos su encargado. Para el contenido que introduce en el producto, los edificios, las unidades, los arrendamientos, las rentas, los pagos, los impagos, el mantenimiento, los documentos, las reservas, los mensajes y las notas, y para las personas descritas en ellos, usted es el responsable y nosotros actuamos por usted. Lo tratamos siguiendo sus instrucciones documentadas, que en la práctica son los ajustes que elige, los flujos de trabajo que activa y las acciones que aprueba. Ese tratamiento se rige por nuestro acuerdo de tratamiento de datos y no por este aviso, y donde ambos difieran sobre su contenido, gana el acuerdo.

2.3 Qué papel se aplica es una cuestión de hecho y de derecho, no de cuál nos convenga. Hay lugares donde ambos se aplican al mismo registro: un contrato de arrendamiento que usted introdujo es su contenido, y el registro de quién inició sesión y lo consultó es nuestro. Donde decimos "su contenido" más abajo, nos referimos al material que conservamos para usted como su encargado.

2.4 Usted es responsable de decir a sus inquilinos, avalistas, profesionales, empleados y a cualquier otra persona de su cartera lo que la ley le obliga a decirles, y de asegurarse de que las instrucciones que nos da son lícitas. Nosotros no tenemos relación con esas personas y usted sí, de modo que esa parte no puede hacerse desde aquí.

3. Qué cubre este aviso

3.1 El sitio de marketing de la fachada, el programa comercial y beta, el producto tras el inicio de sesión, nuestro soporte, y el correo que el producto envía en su nombre.

3.2 No rige su contenido, que tratamos solo para usted y al amparo del acuerdo de tratamiento de datos, y para el cual su propio aviso de privacidad habla a las personas de su cartera. No cubre un banco, un contable, un administrador de fincas, un portal ni ningún otro servicio que también use, ni siquiera cuando pega algo de uno de ellos en Dardaris, y no cubre un sitio al que llegue siguiendo un enlace desde aquí.

4. Qué recogemos

4.1 Antes de que haya una cuenta. Pedir acceso a la beta conserva la dirección que nos dio, junto con el nombre, el tamaño aproximado de su cartera, la nota y el código de invitación si añadió alguno, como una sola fila en nuestra base de datos. Conserva también por qué botón del sitio llegó, y la campaña que llevaba el enlace si llevaba alguna, para que sepamos de dónde viene el interés; ninguno de los dos se usa para construir un perfil de usted ni se comparte con nadie. No se envía nada a esa dirección hasta que sigue un enlace que le mandamos para demostrar que es suya, y el testigo de un solo uso tras ese enlace se elimina en cuanto se usa, o deja de funcionar siete días después de haberse enviado. Conservamos también la redacción que aceptó, tal como se le mostró entonces, para que lo que consintió pueda probarse en lugar de reconstruirse. Cada correo que le enviamos lleva un enlace de baja de un clic; usarlo elimina su nombre, el tamaño de su cartera, su nota y la campaña, y deja la dirección y el hecho de que lo pidió, que es el registro mínimo descrito en la sección 9. Escribirnos por el formulario de contacto envía su nombre, su dirección, el asunto, la categoría y su mensaje a nuestro buzón de soporte, donde se guarda con el resto de la correspondencia sobre su consulta, y una copia le vuelve a usted. Antes describíamos eso como no guardar nada. Era falso: un mensaje en un buzón se almacena y se trata como cualquier otra cosa, y aquí se describe por lo que es.

4.2 Datos de cuenta y de organización. Su nombre, sus datos de contacto profesionales, su organización, su función, sus ajustes, sus usuarios autorizados y quién de ellos administra la cuenta.

4.3 Datos de autenticación y seguridad. Un verificador derivado de su contraseña, nunca la contraseña misma y nunca nada que una base de datos robada vuelva a convertir en una. La clave pública de una clave de acceso y su identificador, que no pueden usarse para iniciar sesión como usted en ninguna parte, aquí incluida. Registros de los códigos de seis dígitos que enviamos, de sesiones, de intentos de inicio de sesión, de la dirección desde la que vino una petición y de eventos de seguridad. Los algoritmos y parámetros exactos están en nuestras medidas técnicas y organizativas y no en este aviso, porque cambian con el estado de la técnica y un aviso de privacidad es mal lugar para una promesa técnica que debe ir al día.

4.4 Datos de facturación y transacción. Su plan, el número de unidades y de cuentas bancarias conectadas por el que se le cobra, sus facturas, sus datos fiscales y de facturación, y el estado de un pago. Los pagos los cobra Stripe. Los datos de la tarjeta o de la domiciliación con los que paga se teclean en las propias páginas de Stripe, al pagar y en su portal de facturación, y van a Stripe y no a nosotros, igual que la dirección de facturación y el número de IVA que indique allí. La sección 14 enumera todo lo que recibe Stripe.

4.5 Datos de soporte y comunicaciones. Sus mensajes a nosotros, sus adjuntos, nuestras respuestas, y el historial de una consulta. Si abre una cuenta y no inicia un plan, podemos preguntarle por qué, como mucho tres veces en unas dos semanas, y guardamos con su cuenta los motivos que elija y lo que nos responda.

4.6 Datos de servicio y de uso. Qué funciones se usan, cuándo, por qué cuenta, y los registros técnicos, de diagnóstico y de error que produce un servicio en marcha.

4.7 Su contenido. Todo lo que introduce o importa, y todo lo derivado de ello dentro del producto. Buena parte son datos personales sobre alguien que no es usted, casi siempre un inquilino.

4.8 Entradas y salidas de IA. Las preguntas que hace al producto, las instrucciones que le da, los documentos y el contenido enviados a un modelo como contexto, y lo que vuelve: los campos extraídos, las clasificaciones, los borradores, los resúmenes y las respuestas. Las representaciones numéricas de su contenido a partir de las cuales se construye el índice de búsqueda, llamadas embeddings, se conservan tanto tiempo como el contenido que describen, y se tratan como datos personales porque un contenido que puede rastrearse hasta una persona es un dato personal sea cual sea la forma en que se almacene.

4.9 Datos de beta y marketing. Sus datos de contacto profesionales, el tamaño de su cartera, un código de invitación, sus preferencias, y si abrió lo que enviamos.

4.10 Datos de conexión bancaria. Solo si conecta una cuenta bancaria, lo que es opcional. Recibimos las cuentas que eligió compartir: sus IBAN, los nombres de sus titulares y sus saldos, y los movimientos en ellas, cada uno con su importe, su fecha, el nombre y el número de cuenta de la otra parte y el concepto del pago. Un movimiento puede llevar datos personales de un inquilino. Lo que llega es su contenido, guardado en la cartera como lo está un extracto bancario importado. También guardamos los tokens con los que se lee una conexión, cifrados en nuestros servidores, y nunca sus credenciales bancarias. Con la conexión guardamos cuál de los dos servicios de la cláusula 5.2 la hizo, el nombre que ese servicio dio a la organización o a la entidad que conectó, y quién de su equipo la conectó, y los seguimos guardando, sin los tokens, después de que la conexión se retire o termine, hasta que se cierre la cuenta.

4.11 Los campos marcados como obligatorios son los que necesitamos para abrir o llevar una cuenta o para prestar la función que pidió; sin ellos podríamos no poder hacerlo. Todo lo demás es opcional.

5. De dónde lo obtenemos

5.1 De usted, cuando lo teclea, lo sube o nos lo envía. Del cliente o del administrador que le invitó, si otra persona abrió la cuenta que usa. De su uso del servicio, y del navegador y el dispositivo en que lo usa. De un servicio que nos dijo que conectáramos. Y, para su contenido, de donde eligiera traerlo, lo que es su elección y su responsabilidad tener derecho a hacer.

5.2 Conexiones bancarias. Una conexión bancaria la presta uno de dos servicios de información sobre cuentas, y cuál de los dos alcanza su banco lo determinamos nosotros y no lo elige usted. Uno es Ponto, un servicio de Isabel NV, proveedor de servicios de información sobre cuentas autorizado en Bélgica, que usamos allí donde alcanza su banco. El otro es Plaid, prestado por la sociedad Plaid que sus propias condiciones señalan para el lugar donde usted se encuentra, que usamos para los bancos que Ponto no alcanza. Usted autoriza la conexión en ese servicio y en su banco, conforme a las propias condiciones de ese servicio, y sus credenciales bancarias se escriben en su página y nunca en la nuestra. Ese servicio nos envía entonces lo que describe la cláusula 4.10, y nos avisa mediante una notificación firmada, llamada webhook, cuando llegan movimientos nuevos o una conexión termina. Nunca pedimos a ninguno de los dos que inicie un pago.

6. Qué hacemos con su contenido

6.1 Tratamos su contenido siguiendo sus instrucciones documentadas, para prestar, llevar, asegurar y sostener el servicio, para atender un problema técnico o de seguridad, para cumplir la ley, y como el acuerdo de tratamiento de datos disponga por lo demás. Nuestro personal accede a él solo donde eso es razonablemente necesario para uno de esos fines, bajo confidencialidad y bajo controles de acceso.

6.2 No lo vendemos, no lo revelamos para publicidad, y no lo usamos para entrenar un modelo general o compartido, nuestro ni de nadie. Salvo que haya acordado otra cosa con nosotros por escrito, eso sigue siendo cierto, y es cierto de todo lo que las funciones de IA descritas abajo leen y producen.

6.3 Podemos producir y usar estadísticas agregadas, y datos alterados de forma que ya no le identifiquen a usted, a su cliente ni a ninguna persona y no puedan razonablemente vincularse a una, para llevar, asegurar, medir y mejorar el servicio. No intentamos revertirlo, salvo para comprobar que funcionó. Un dato al que meramente se le ha quitado el nombre no queda cubierto por este párrafo y se trata como dato personal en todo momento.

7. Analítica

7.1 La analítica corre en su navegador solo si la acepta, y no ocurre nada analítico antes de que responda.

7.2 Si acepta, PostHog registra qué páginas se usan y un pequeño número de eventos de producto con nombre, como un arrendamiento que se codifica o una indexación que se prepara. Los eventos van ligados a un identificador seudónimo y, una vez ha iniciado sesión, al identificador de su cuenta. Su nombre no se envía. No se envía nada de su cartera: ni un importe, ni una dirección, ni un inquilino. Eso lo sostiene el código y no nuestras buenas intenciones: la captura automática está apagada, el texto de la página y los atributos de los elementos se enmascaran, y lo que sale es el puñado de eventos que escribimos a mano. Si rechaza, la biblioteca no se arranca nunca, no se crea identificador, no se escribe cookie y no se envía nada. La política de cookies enumera cada clave por su nombre.

7.3 Aparte, y sea cual fuera su respuesta, nuestro servidor registra un evento cuando la cartera de una cuenta se crea por primera vez. Lleva el identificador de la cuenta y nada más, no coloca nada en su dispositivo ni lee nada de él, y ocurre una vez en la vida de una cuenta. Lo usamos para contar cuántas cuentas se han activado, lo apoyamos en nuestro interés legítimo en medir eso, lo conservamos 12 meses, y lo eliminamos cuando nos pide que eliminemos sus datos de analítica. Un identificador de cuenta no es anónimo y este aviso no lo llama así.

7.4 Puede cambiar su respuesta en cualquier momento, desde el control de preferencias de cookies en la página de la política de cookies o en el pie de cualquier página del sitio público. Retirar el consentimiento detiene el tratamiento desde ese punto; no deshace lo que se hizo lícitamente antes.

7.5 Los fallos que nos comunica y las funciones que pide. Cuando rellena una página de aviso, conservamos lo que escribió, quién lo escribió y la página en la que estaba. Si no ha iniciado sesión le pedimos una dirección de correo para poder responderle; si la ha iniciado, registramos su cuenta en su lugar. Conservamos lo mismo cuando menciona un fallo o pide algo que el producto no sabe hacer mientras habla con el asistente: lo que dijo se registra como un aviso para que llegue a las personas que pueden actuar sobre ello, y el asistente no interrumpe la conversación para decírselo. Los avisos se agrupan por asunto, para que podamos ver cuántas personas se han encontrado con lo mismo. Nos apoyamos en nuestro interés legítimo en saber qué arreglar y qué construir, los conservamos 24 meses, nunca se usan para tomar ninguna decisión sobre usted ni sobre su cuenta, y puede pedirnos que borremos los suyos.

8. Dónde se ejecuta el servicio, y qué no prometemos al respecto

8.1 La base de datos es Cloudflare D1, esto es, SQLite operado por Cloudflare, que sostiene las tablas de autenticación y su contenido lado a lado. Los archivos que sube, y las copias menores que el producto deriva de ellos, se guardan en Cloudflare R2, un almacén de objetos del mismo proveedor, cada uno archivado bajo su cuenta y solo la suya. La aplicación corre como un Worker de Cloudflare, situado cerca de esa base de datos. El correo sale por el propio servicio de envío de Cloudflare. La analítica va a la nube de la Unión Europea de PostHog.

8.2 No hay compromiso alguno de residencia de datos en el servicio estándar, y este aviso no hace ninguno. Cloudflare, PostHog y cualquier otro proveedor que usemos operan infraestructura, personal y sus propios subencargados en más de un país. Una base D1 tiene una ubicación primaria elegida al crearse, y una indicación de ubicación no es una garantía; las peticiones, la ejecución de los Workers, los metadatos de cuenta, las copias de seguridad, el acceso de soporte y la analítica no están confinados a ella. Salvo que un pedido firmado o un anexo de residencia disponga otra cosa para su cuenta, no prometemos que su contenido, sus datos personales, las copias de seguridad, el tráfico o los metadatos permanezcan en un país o región determinados, y el tratamiento puede ocurrir fuera del país en que usted o las personas de su cartera se encuentran.

8.3 Si necesita una región, pregunte antes de darse de alta. Escriba a support@dardaris.com antes de crear una cuenta o de meter nada en ella. Le diremos cuál es la configuración actual y si lo que necesita es factible. Una indicación de la ubicación primaria actual, una conversación comercial o una respuesta de soporte son información, no un compromiso: un compromiso de residencia existe solo donde alguien autorizado a darlo lo ha dado en un documento firmado que nombra los datos, las ubicaciones, los servicios, las excepciones y el precio. Hasta que eso exista, decidir si el servicio estándar cumple su requisito le corresponde a usted, y no debería meter los datos si una ubicación determinada le resulta obligatoria.

9. Transferencias internacionales

9.1 Nuestra sede está en Sharjah, Emiratos Árabes Unidos, lo que está fuera del Espacio Económico Europeo y no cuenta con decisión de adecuación de la Comisión Europea. Su contenido permanece en la infraestructura descrita arriba y no se copia a una segunda base de datos en nuestra sede, pero llegamos a él desde allí para llevar y sostener el servicio, y bajo el RGPD ese acceso es una transferencia se copie algo o no. Lo decimos aquí en lugar de dejar que se deduzca de una dirección al pie de la página.

9.2 Cuando datos personales del Espacio Económico Europeo, del Reino Unido o de Suiza van a un país sin decisión de adecuación, nos apoyamos, según corresponda, en las cláusulas contractuales tipo adoptadas por la Comisión Europea con el addendum del Reino Unido o las adaptaciones suizas cuando proceden, en un marco de adecuación cuando alguno cubre la transferencia, o en otro mecanismo lícito, junto con las medidas adicionales que el caso exija. Escriba a support@dardaris.com y le enviaremos las cláusulas en las que nos apoyamos, con las condiciones comerciales tachadas.

9.3 Isabel NV, que presta las conexiones bancarias de Ponto de la cláusula 11.4, está establecida en Bélgica, dentro del Espacio Económico Europeo, así que lo que le enviamos no es una transferencia fuera del Espacio. Plaid, que presta las demás conexiones bancarias de esa cláusula, trata en los Estados Unidos y también en el Espacio y en el Reino Unido, de modo que lo que le llega puede ser una transferencia fuera del Espacio, hecha al amparo de la cláusula 9.2. Lo que cualquiera de los dos nos envía se guarda después en la infraestructura descrita arriba, al amparo de las cláusulas 9.1 y 9.2 como el resto de su contenido.

9.4 Stripe, que cobra los pagos como describe la sección 14, se contrata a través de Stripe Payments Europe, Limited, en Irlanda, dentro del Espacio Económico Europeo, que es la sociedad de Stripe que sus condiciones designan para una cuenta mantenida fuera de las Américas, como la nuestra. Lo que enviamos a Stripe llega por tanto dentro del Espacio. Stripe lo pasa después a Stripe, LLC en los Estados Unidos y a otras sociedades y proveedores de Stripe, en la India entre otros países, y eso es una transferencia fuera del Espacio y fuera del Reino Unido. Stripe la realiza al amparo de su certificación en el EU-U.S. Data Privacy Framework, su extensión al Reino Unido y el Swiss-U.S. Data Privacy Framework, y en su defecto al amparo de las cláusulas contractuales tipo con el addendum del Reino Unido para transferencias internacionales de datos.

9.5 En casa estamos además sujetos al Decreto-Ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la protección de datos personales. Cuando esa norma y el RGPD alcancen el mismo tratamiento, aplicamos la que dé la protección más fuerte. Nada en esta sección elimina una obligación que no pueda eliminarse lícitamente.

10. Su copia en su navegador

10.1 El producto guarda una copia de la cartera de la cuenta con la sesión iniciada en el localStorage de su navegador, para que una pantalla pueda dibujarse antes de que la red responda y una conexión caída no vacíe la sala. Contiene su contenido, que incluye datos personales sobre otras personas, así que no es simplemente "sus propios datos" y este aviso no la describe así. Las ediciones que ha hecho y que aún no hemos aceptado se guardan al lado, para que una conexión caída no pueda perder su trabajo, y una tercera clave registra a qué cuenta pertenecen las otras dos para que a otra persona que inicie sesión en el mismo navegador nunca se le muestre su copia.

10.2 Cerrar sesión retira las tres. Borrar los datos del sitio en su navegador también las retira. Figuran como claves estrictamente necesarias en la política de cookies, sobre la base de que el producto está construido para seguir funcionando cuando la red no lo hace y de que ese almacenamiento es lo que lo hace posible en lugar de meramente hacerlo más rápido.

10.3 Como esa copia está en un dispositivo y no en un servidor, parte de protegerla le corresponde a usted. Use el producto en un dispositivo y un perfil de navegador de confianza, cierre sesión cuando termine en una máquina compartida o pública, y díganos en support@dardaris.com si cree que un dispositivo se ha perdido o que un perfil de navegador ha sido usado por otra persona, para que las sesiones puedan revocarse.

11. Con quién lo compartimos

11.1 Revelamos datos personales solo en la medida razonablemente necesaria para los fines de este aviso, y entonces a:

• Cloudflare, PostHog, Stripe y los demás proveedores listados abajo, para alojamiento, infraestructura, correo, analítica, pagos, seguridad y soporte;
• Isabel NV, como Ponto, o Plaid, si conecta una cuenta bancaria, como describe la cláusula 11.4;
• el cliente a cuya cuenta pertenecen los datos, sus administradores y sus usuarios autorizados, según los permisos que hayan fijado;
• nuestro propio personal y contratistas que lo necesiten, bajo confidencialidad;
• asesores profesionales, auditores y aseguradores, bajo confidencialidad;
• un regulador, un tribunal, un cuerpo policial u otra autoridad, cuando la ley lo exija o cuando sea razonablemente necesario para proteger un derecho, la seguridad de alguien o la integridad del servicio; y
• un comprador, inversor o sucesor real o potencial, en una financiación, reorganización, fusión o venta, bajo confidencialidad y con las garantías que la ley exige.

11.2 También podemos revelar datos cuando usted nos lo indique, o cuando la persona a la que se refieren haya consentido.

11.3 No vendemos datos personales y no los revelamos para publicidad conductual entre contextos. Eso es cierto en el sentido ordinario de las palabras y en el sentido legal que algunas jurisdicciones les dan.

11.4 Conexiones bancarias. Lo que cada uno de los dos servicios de la cláusula 5.2 recibe de nosotros no es lo mismo, así que cada uno se expone aquí por separado. Para Ponto: cada vez que alguien de un equipo inicia una conexión bancaria, hasta que el equipo haya completado una, enviamos a Ponto el nombre y la dirección de correo de la persona que conecta, y el nombre del equipo, si es una empresa o un particular, y sus números de empresa y de IVA y su dirección cuando los haya indicado, para que el alta propia de Ponto se abra ya rellenada. Ponto solo puede usarlo para rellenar un alta nueva, y solo dentro de los cinco minutos siguientes a nuestro envío. Cuando vincula una cuenta, o pide una actualización desde una pantalla, enviamos a Ponto su dirección IP, que Ponto exige para cada actualización que realiza a petición suya. Para Plaid: enviamos un identificador que creamos para la persona y el equipo, que no nombra a ninguno de los dos, y nada más sobre usted. La ventana propia de Plaid se ejecuta en su navegador y no en nuestros servidores, así que lo que su banco y Plaid ven de su dispositivo y de su dirección lo ven directamente, bajo el propio aviso de Plaid y no a través de nosotros. Isabel NV los recibe como proveedor independiente, bajo su propia licencia y sus propias condiciones con usted, no como nuestro encargado, y Plaid recibe lo que recibe en el mismo plano, y por eso ninguno de los dos figura en la tabla de la sección 14. Lo que cada uno hace con ello se rige por su propio aviso de privacidad. En el producto, desconectar una sola cuenta pide al servicio que deje de compartir esa cuenta con nosotros. Retirar una conexión entera, o desconectar la última cuenta que lee, elimina los tokens que guardábamos para ella y pide al servicio que le ponga fin. También actuamos ante el servicio sin que se nos pida, en cuatro casos. Una cuenta que el banco compartió con nosotros y que no se empareja con una de sus cuentas bancarias en el día siguiente a que se compartiera por primera vez se libera, y se pide al servicio que deje de compartirla. Una cuenta emparejada que el servicio ya no comparte con nosotros deja de leerse, y su emparejamiento termina aquí. Cuando el plan de su equipo ha terminado, cada conexión del equipo se termina en el servicio y se eliminan los tokens que guardábamos para ella. Y una cuenta conectada antes de que se cobraran las cuentas conectadas, que no aceptó conservar a su precio antes de la fecha que le indicamos, se libera del mismo modo que una cuenta nunca emparejada.

12. Por qué se nos permite tratarlo

12.1 Esta sección trata de los datos respecto de los cuales somos el responsable. Donde actuamos como su encargado, usted decide la base jurídica y nosotros actuamos siguiendo sus instrucciones al amparo del acuerdo de tratamiento de datos.

12.2 Donde nos apoyamos en un interés legítimo, lo hemos ponderado frente a sus intereses y derechos y hemos registrado el resultado, y usted puede oponerse; donde la oposición prospera, paramos.

12.3 No le decimos cuál es su propia base jurídica para los inquilinos y profesionales de su cartera. Eso depende de su jurisdicción, su finalidad, su relación con ellos y lo que conserve, y un proveedor que le entregue una conclusión jurídica al respecto es un proveedor que ha convertido su problema en una respuesta equivocada. Usted garantiza en las condiciones que tiene una.

13. Cuánto tiempo lo conservamos

13.1 Conservamos datos personales durante el tiempo razonablemente necesario para los fines de arriba, teniendo en cuenta sus instrucciones, nuestros contratos, la seguridad, la ley y los plazos dentro de los cuales aún puede ejercitarse una reclamación.

13.2 Podemos conservar algo más tiempo cuando la ley lo exija, cuando se nos haya pedido preservarlo, o cuando sea razonablemente necesario para ejercitar o defender una reclamación, hacer cumplir un acuerdo, prevenir un fraude o proteger el servicio. Esa es una excepción por una razón que existe, no una razón para conservarlo todo.

14. Encargados y subencargados

14.1 Cada uno está contratado bajo términos escritos que los sujetan a obligaciones de protección de datos y confidencialidad, y cada uno usa subencargados propios, que publican y mantienen al día en sus propios sitios. Sus listas forman parte de esta: los subencargados de Cloudflare, los de OpenAI, los de PostHog y los de Stripe.

14.2 Los modelos corren en Cloudflare y en OpenAI. Las funciones de IA descritas abajo envían su contenido a modelos operados por esos dos y a nadie más. Cuál atiende una función dada es elección nuestra y puede cambiar entre ellos sin aviso, así que trate a ambos como receptores de todo aquello a lo que esas funciones se dirigen. No se envía contenido a ningún otro proveedor de modelos. Si eso cambia alguna vez, el proveedor se nombra en esta tabla, esta sección se actualiza y el cambio se publica aquí antes de que un solo documento llegue a él, y pediremos consentimiento donde la ley lo exija.

14.3 Enviar su contenido a OpenAI es una transferencia fuera del Espacio Económico Europeo y del Reino Unido. OpenAI trata en los Estados Unidos. Esa transferencia se hace al amparo de las cláusulas contractuales tipo de nuestro acuerdo con ellos, y las garantías, los riesgos y sus derechos al respecto son los mismos expuestos en "Transferencias internacionales" arriba. Si necesita que su contenido se mantenga lejos de un encargado estadounidense, díganoslo antes de subirlo: la respuesta hoy es que no podemos ofrecer las funciones de IA en esos términos, no que podamos arreglarlo discretamente.

14.4 Si añadimos o sustituimos un encargado, lo publicamos aquí antes de que empiece, y el plazo de preaviso y el modo de oponerse están en el acuerdo de tratamiento de datos.

14.5 Stripe actúa por nosotros, y por cuenta propia. Stripe trata lo que recibe por cuenta nuestra cuando cobra un pago, guarda un medio de pago y emite una factura. Para fines propios decide por sí mismo, entre ellos elegir los bancos y las redes de pago por los que pasa un pago, detectar y prevenir el fraude, las pérdidas y los riesgos de seguridad, mejorar sus propios servicios y cumplir la ley que le es aplicable, incluidas las comprobaciones de identidad y contra el blanqueo de capitales que el derecho financiero le impone. Para ellos responde de ese tratamiento como responsable, conforme a su propio aviso de privacidad. Los datos de tarjeta o de domiciliación que teclea en sus páginas se quedan en Stripe: lo que nosotros leemos de vuelta es la marca de la tarjeta, sus cuatro últimos dígitos y su fecha de caducidad, para que Facturación pueda decir con qué paga.

15. El acuerdo de tratamiento de datos

15.1 Este aviso no es un acuerdo de tratamiento de datos y no pretende serlo. El artículo 28 del RGPD exige un contrato escrito entre usted como responsable y nosotros como encargado para su contenido, que cubra el objeto y la duración, la naturaleza y la finalidad, las categorías de datos y de personas, sus instrucciones documentadas, la confidencialidad, la seguridad, los subencargados, la ayuda con los derechos de las personas de su cartera, la ayuda con un incidente o una evaluación, la supresión o devolución al final, y la información que necesita para verificarlo todo.

15.2 Ese acuerdo forma parte de su contrato con nosotros y está publicado como el acuerdo de tratamiento de datos. Donde él y este aviso difieran sobre su contenido, gana él.

16. Qué hace la automatización, y qué hace la IA con su contenido

16.1 Dardaris actúa sobre su cartera: indexa lo que usted mete, responde preguntas sobre ello, prepara una indexación, redacta un recordatorio, clasifica una incidencia, archiva un documento.

16.2 Su contenido y sus documentos son leídos por modelos de IA donde una función necesita que se lean. Esta es la parte del producto que más merece entenderse, así que se escribe entera en lugar de resumirse. Cuando usa una función que indexa su cartera, responde una pregunta sobre ella, extrae una cifra o una fecha de un documento, o ejecuta una automatización que ha activado, su contenido y los documentos que sube son tratados por modelos de aprendizaje automático: se leen, se convierten en las representaciones numéricas a partir de las cuales se construye un índice de búsqueda, se clasifican, se extraen, y se usan como el contexto contra el que se responde una pregunta. Eso abarca arrendamientos, facturas, certificados, correspondencia, notas y cualquier otra cosa que meta, incluidos los datos personales que contengan sobre inquilinos, avalistas, profesionales y quien sea. Cuando conecta un buzón, los mensajes que llegan a él y los documentos adjuntos se leen de la misma manera, para que pueda averiguarse de qué trata un mensaje, archivarse bajo el contrato o el inmueble que corresponde, y redactarse una respuesta para usted. Esto describe todo lo que puede dársele a un modelo, para que pueda juzgarlo una vez en lugar de función por función; una función que llega a su respuesta sin modelo no envía nada a uno, y almacenar un archivo no es lo mismo que leerlo.

16.3 Dónde corren esos modelos. En Cloudflare y en OpenAI, y en nadie más. Cloudflare ejecuta modelos en la misma plataforma que el resto del servicio, bajo los mismos términos escritos. OpenAI ejecuta el resto, en los Estados Unidos, y la cláusula 14.3 cubre en qué se apoya esa transferencia. Su contenido no se envía a Anthropic, a Google ni a ningún otro proveedor de modelos, y si eso cambia alguna vez nombraremos al proveedor en la tabla de arriba y actualizaremos esta sección antes de que trate nada. No nos comprometemos a decirle cuál de los dos leyó un documento concreto: dé por hecho que cualquiera lo hizo.

16.4 Qué no se hace con él. Su contenido no se usa para entrenar un modelo general o compartido, nuestro ni de un proveedor. Ninguno de los dos proveedores entrena con lo que el producto les envía: a eso les obligan sus condiciones para los servicios que usamos, y es una cláusula de nuestro acuerdo con cada uno. Su contenido no se mezcla con el de otro cliente. No se usa para mejorar nada fuera de su propia cuenta, salvo como estadísticas agregadas o como datos alterados de forma que ya no identifiquen a nadie, lo que se describe en "Qué hacemos con su contenido" arriba.

16.5 Cuánto tiempo lo conserva el proveedor de modelos. Las entradas y salidas que conservamos nosotros siguen la misma retención que el contenido del que proceden, y se van cuando él se va. Esa no es la respuesta completa, porque un proveedor conserva una copia propia un tiempo: OpenAI retiene lo que se envía a su interfaz hasta 30 días para poder investigar abusos, y lo elimina después salvo que la ley le obligue a conservarlo más. Así que un documento leído por esa función existe en los sistemas de un tercero hasta un mes después de que usted lo elimine aquí, y decírselo es más útil que una promesa de supresión que este aviso no puede cumplir en nombre de otra empresa.

16.6 Qué vale una salida. La salida de un modelo es una probabilidad, no una constatación. Puede ser incompleta, estar desfasada, ser errónea, o ser errónea de un modo que parece correcto, y es un borrador o un apoyo a la decisión y no un asesoramiento jurídico, contable, fiscal o profesional. Compruebe la fuente antes de actuar. No garantizamos que una salida sea exacta, completa, lícita o apta para lo que quiere hacer con ella, y usted y sus usuarios autorizados son responsables de revisarla, de ejercer su propio juicio y de cada decisión que tomen.

16.7 Los controles que la rodean. Cada acción lleva un nivel que decide si ocurre por sí sola o le espera. Las reglas que resuelven ese nivel pueden hacerlo más estricto y nunca más laxo. Una acción escribe un registro de auditoría con un resumen que puede leer. Un paso que se detiene nombra el límite que lo detuvo. Qué controles y qué registros obtiene depende de la función y de cómo la haya configurado, y las cosas con peso jurídico quedan retenidas para su aprobación por diseño.

16.8 Para qué no debe usarse. El servicio no está diseñado ni autorizado para ser la única base de una decisión sobre la elegibilidad de una persona para una vivienda, la selección de inquilino, la solvencia, la renta que se le ofrece, una prestación, una resolución, un desahucio o una ejecución, ni de cualquier otra decisión que produzca sobre ella efectos jurídicos o le afecte de modo similar. Usted no debe usarlo así, y no debe configurar un flujo de trabajo que tenga ese efecto indirectamente. Si quiere construir algo de esa clase, hable antes con nosotros, porque eso es otro producto con otra evaluación detrás.

16.9 No pretendemos que el servicio tome, por cuenta nuestra, una decisión exclusivamente automatizada que produzca efectos jurídicos o similarmente significativos sobre un inquilino o sobre nadie. Usted sigue siendo responsable de cómo configura un flujo de trabajo, de revisar lo que produce, y de que una persona intervenga debidamente antes de que algo con peso jurídico salga en su nombre. Donde nosotros mismos tomemos tal decisión, le daremos la información y las garantías que la ley exige. Sí usamos medidas automatizadas para detectar abusos y proteger cuentas, lo que es otra cosa y queda cubierto por la sección de seguridad.

16.10 Si cree que un paso automatizado ha afectado injustamente a alguien, escriba a support@dardaris.com y miraremos el registro de auditoría con usted.

17. Menores

17.1 El servicio se vende a empresas. Nadie menor de 18 años debería tener una cuenta ni ser usuario autorizado.

17.2 Su contenido puede describir no obstante a un menor, porque los menores viven en edificios y figuran en los arrendamientos como ocupantes. Cuando así sea, usted es el responsable de esos datos: le corresponde asegurarse de que el tratamiento es lícito, ceñirlo a lo necesario, y no meter sobre un niño más de lo que la gestión del arrendamiento realmente exige. No pretendemos no conservar datos sobre menores, porque sería falso.

18. Sus derechos

18.1 Con sujeción a las condiciones y excepciones que la ley asocia a cada uno de ellos, puede pedirnos una copia de los datos personales que conservamos sobre usted, corregirlos, suprimirlos, limitar lo que hacemos con ellos, oponerse a un tratamiento que basemos en un interés legítimo, y recibirlos en forma portátil. Puede retirar un consentimiento en cualquier momento, lo que detiene el tratamiento desde entonces y no vuelve ilícito lo anterior, y puede oponerse a la publicidad directa en cualquier momento, sin motivo y sin consecuencia. Estos derechos no son absolutos y no todos ellos alcanzan a cada categoría o finalidad.

18.2 Escriba a support@dardaris.com. Podemos pedir lo que razonablemente necesitemos para estar seguros de quién es usted, de que está facultado para hacer la solicitud, y de qué abarca. Respondemos sin dilación indebida y normalmente en un mes; donde la ley lo permite, podemos tomar hasta dos meses más para una solicitud compleja o repetitiva y se lo diremos dentro del primer mes si lo hacemos. Podemos cobrar una tarifa razonable, o negarnos, cuando una solicitud sea manifiestamente infundada o excesiva. Podemos conservar lo que una excepción nos permita conservar, incluido lo que necesitemos para cumplir la ley o para ejercitar o defender una reclamación.

18.3 Cuando la solicitud versa sobre su contenido y no sobre usted. El inquilino, avalista o profesional debe dirigirse al arrendador o gestor que conserva sus datos, porque ese es el responsable. Si tal solicitud nos llega antes, la remitiremos o la reenviaremos a ese cliente. Ayudamos a nuestros clientes a responderlas, como exige el acuerdo de tratamiento de datos, y no cobramos a la persona que la formula.

18.4 Reclamar. Puede reclamar ante una autoridad de control. Como estamos establecidos en Sharjah, Emiratos Árabes Unidos, la autoridad para la empresa en su país es la Oficina de Datos de los Emiratos Árabes Unidos. No tenemos establecimiento principal en la Unión Europea, de modo que no hay una única autoridad principal para nosotros allí ni ventanilla única: si está en el Espacio Económico Europeo puede reclamar ante la autoridad de control del país donde vive, del país donde trabaja, o del país donde cree que ocurrió el problema. En el Reino Unido esa es la Information Commissioner's Office. No tiene que acudir antes a nosotros, aunque lo preferiríamos.

19. Si está en los Estados Unidos

19.1 Cuando una ley estatal de privacidad le sea aplicable, esta sección se aplica con ella, y cuando entre en conflicto con algo de lo anterior, esta sección gana para usted.

19.2 Las categorías de información personal que recogemos, las fuentes de las que proceden, los fines para los que las usamos y a quién las revelamos se exponen en "Qué recogemos", "De dónde lo obtenemos", "Por qué se nos permite tratarlo" y "Con quién lo compartimos" arriba, y son las divulgaciones que esas leyes piden.

19.3 No vendemos información personal y no la compartimos para publicidad conductual entre contextos, tal como esos términos se definen en la California Consumer Privacy Act y en las normas comparables de los demás estados, y no lo hemos hecho en los últimos doce meses. No hacemos a sabiendas ninguna de las dos cosas con la información personal de nadie menor de 16 años.

19.4 Información personal sensible. No la recogemos para inferir nada sobre usted, y no la usamos ni la revelamos para ningún fin más allá de los que esas leyes permiten sin derecho a limitar. Su contenido puede contener algo que una norma trate como sensible si usted lo mete ahí, y no debería meterlo salvo que sea necesario.

19.5 Sus derechos. Según su estado, puede tener derecho a saber qué recogemos y qué hacemos con ello, a una copia, a corregirlo, a suprimirlo, a oponerse a la venta, al compartir o a la publicidad dirigida, a limitar el uso de información personal sensible, a recurrir una decisión que tomemos sobre una solicitud, y a no ser discriminado por ejercer cualquiera de ellos. No ofrecemos un incentivo económico a cambio de información personal.

19.6 Formule una solicitud en support@dardaris.com. Un agente autorizado puede formular una por usted, con prueba de que lo autorizó y con lo suficiente para verificarle. Si rechazamos una solicitud le diremos por qué, y puede recurrir respondiendo a esa contestación con la palabra appeal; responderemos al recurso dentro del plazo que permita la ley de su estado y le diremos cómo escalarlo a su fiscal general si sigue insatisfecho.

19.7 Cuando usted sea un residente cuyos datos nos llegan como contenido de nuestro cliente y no como propios, actuamos como proveedor de servicios o encargado de ese cliente, usamos los datos solo para prestarle el servicio, y una solicitud sobre ellos le corresponde a él.

20. Cómo se mantiene seguro

20.1 Usamos medidas técnicas y organizativas diseñadas para proteger los datos personales, elegidas frente a la naturaleza del tratamiento y los riesgos que comporta. Incluyen cifrado en tránsito, protección de las credenciales mediante una función de un solo sentido en lugar de almacenar algo que pueda volver a convertirse en una contraseña, un código de verificación antes de un primer inicio de sesión, soporte para claves de acceso, controles de acceso, gestión y revocación de sesiones, limitación de frecuencia, registro, práctica de desarrollo segura, copias de seguridad, gestión de vulnerabilidades y un procedimiento de respuesta a incidentes. Las revisamos y podemos cambiarlas, siempre que la protección en conjunto no se reduzca materialmente.

20.2 Ningún servicio, ninguna transmisión y ningún almacenamiento es completamente seguro, y no prometemos que nunca vaya a salir nada mal, que el servicio nunca vaya a interrumpirse, o que nunca vaya a producirse un acceso no autorizado. Lo que prometemos es usar medidas apropiadas al riesgo y decírselo cuando debamos.

20.3 Parte le corresponde a usted. Mantenga seguros sus dispositivos, sus perfiles de navegador, su buzón, sus credenciales y sus claves de acceso. Dé a cada usuario autorizado los permisos que necesita y no más. Mire qué saca del producto una integración o una exportación. Cierre sesión en una máquina compartida. Y díganoslo enseguida si cree que alguien más ha entrado.

21. Cambios en este aviso

21.1 La fecha de entrada en vigor de la cabecera es una fecha literal que cambia cuando cambia el documento. Nunca se toma del reloj de la máquina que sirvió la página, porque un documento fechado por el servidor está mal fechado en el instante en que sale de una caché.

21.2 Podemos actualizar este aviso a medida que cambien el servicio, la ley o nuestras prácticas. Cuando lo hagamos, publicamos la nueva versión aquí y movemos esa fecha. Cuando un cambio afecte materialmente a su privacidad, le daremos aviso adicional, por correo electrónico o en el producto, antes de que surta efecto cuando ello sea factible; un cambio que tengamos que hacer con rapidez por una razón legal, de seguridad o de fraude puede surtir efecto antes. Cuando la ley exija consentimiento para un fin nuevo o una tecnología nueva, lo pediremos. Un cambio en lo que hace la analítica eleva además la versión de la política de cookies, que vuelve a preguntar a todos.

21.3 Seguir usando el servicio no es por sí solo un consentimiento, en ningún caso en que la ley exija uno real.

22. Contacto

22.1 support@dardaris.com, o por correo postal a Techroun LLC, Shams Business Center, Sharjah Media City Free Zone, Al Messaned, Sharjah.

23. Idioma

23.1 Este documento está redactado en inglés, y el texto en inglés es la versión que rige en la medida en que la ley lo permita. Publicamos traducciones de él para que pueda leerse en el idioma en el que usted trabaja. Una traducción es una aproximación ofrecida como ayuda a la lectura, no es un segundo original, su redacción no vincula a nadie, y donde difiera del texto en inglés, se aplica el texto en inglés.

23.2 Si el inglés no es un idioma que lea con soltura y algo de lo aquí dicho le importa, escriba a support@dardaris.com y le explicaremos el pasaje. Eso es ayuda para leer este documento, no una modificación de lo que dice.