Subencargados del tratamiento

Entrega de notificaciones push y de avisos de llamada entrante a los dispositivos iPhone y iPad donde el usuario instala la aplicación, a través del Apple Push Notification service (APNs).

Las transferencias internacionales de Apple desde el EEE, el Reino Unido y Suiza se rigen por Cláusulas Contractuales Tipo, conforme a su política de privacidad. Las notificaciones contienen únicamente el aviso mostrado y el identificador del dispositivo; los datos de la plataforma no se comparten con Apple.

• · tokens de dispositivo APNs
• · contenido de las notificaciones push y de los avisos de llamada entrante (VoIP) de la aplicación para iPhone y iPad

Transcripción automática de las grabaciones de reuniones y llamadas del módulo Meet cuando el usuario activa la funcionalidad, y transcripción en tiempo real del audio de las llamadas cuando el usuario activa el copiloto de llamadas.

Transferencia amparada en SCC 2021/914 (Módulo 2) con TIA documentada. Activación manual por usuario final.

• · audios de reuniones y llamadas
• · transcripciones generadas
• · audio transmitido en tiempo real durante las sesiones del copiloto de llamadas

Entidad autorizada que presta el servicio de información sobre cuentas (AIS) de la Directiva PSD2 en la conexión bancaria automática del módulo de Tesorería: cuando el usuario conecta sus cuentas bancarias, ejecuta las llamadas a las APIs PSD2 de los bancos (ASPSPs) bajo su consentimiento explícito y entrega a UTILIA OS la información de las cuentas. Hoy esa conexión automática no está disponible en producción, por lo que Enable Banking no recibe datos.

Entidad autorizada como AISP por la Autoridad Finlandesa de Supervisión Financiera (FIN-FSA). Tratamiento íntegro dentro del Espacio Económico Europeo (Helsinki, Finlandia), sin transferencia internacional fuera del EEE. El permiso se solicita al banco por 90 días, o por el plazo menor que admita cada entidad, dentro de la validez máxima de 180 días del Reglamento Delegado (UE) 2022/2360 (que modifica el RTS UE 2018/389). UTILIA OS nunca conoce las credenciales bancarias del usuario; la autenticación reforzada (SCA) la realiza el usuario directamente en la web de su banco.

• · IBAN y código BIC de las cuentas bancarias del usuario
• · titularidad y nombre del titular de la cuenta
• · movimientos bancarios (fecha, importe, divisa, concepto, contraparte)
• · saldos contables y disponibles
• · identificador de consentimiento PSD2 y token de sesión cifrado

Sincronización de buzones de Gmail vía OAuth cuando el usuario autoriza la conexión, inicio de sesión con Google en el portal del cliente (el servicio de identidad de Google se carga en todas las páginas del portal) y entrega de notificaciones push a los dispositivos Android donde el usuario instala la aplicación (Firebase Cloud Messaging).

Contratación vía Google Ireland (EEE). Google LLC mantiene certificación DPF y aplica SCC 2021/914 para transferencias internas al grupo en EE. UU. Las notificaciones push contienen únicamente el aviso mostrado y el identificador del dispositivo.

• · correos electrónicos sincronizados de Gmail
• · identificador de cuenta Google
• · token OAuth para el portal del cliente
• · dirección IP y datos del navegador de quien visita el portal del cliente, porque el servicio de identidad de Google se carga en sus páginas
• · tokens de dispositivo y contenido de las notificaciones push enviadas a dispositivos Android (Firebase Cloud Messaging)

Provisión de infraestructura de cómputo, red y almacenamiento para los entornos de producción y staging de UTILIA OS, incluidos los servidores propios de videoconferencia de los módulos Chat y Meet, el almacenamiento de archivos y grabaciones, las copias de seguridad diarias de la base de datos y el servidor de correo propio de UTILIA desde el que se envían las campañas de marketing de las organizaciones clientes que lo utilizan.

Centros de datos en Alemania y Finlandia. Tratamiento íntegro en el EEE. La infraestructura de videollamadas (servidores SFU/TURN propios), el almacenamiento de grabaciones y el servidor de correo de las campañas se ejecutan con software gestionado por UTILIA en estos servidores, sin intervención de terceros.

• · registros de servidor
• · metadatos de despliegue
• · copias de seguridad de la base de datos
• · archivos y documentos subidos a la plataforma
• · flujos de audio y vídeo de las videollamadas y sus grabaciones
• · correos de las campañas de marketing enviadas desde el servidor de correo de UTILIA

Envío de correo electrónico transaccional (notificaciones, invitaciones, enlaces de firma) a través de su servicio SMTP. Las campañas de correo del módulo de marketing no se envían por este proveedor.

Servidores SMTP ubicados en el EEE. Hostinger International Ltd. está establecida en Chipre (UE).

• · direcciones de correo electrónico de destinatarios
• · metadatos y contenido de notificaciones transaccionales

Catálogo de GIFs animados servido al módulo de chat cuando el usuario los busca explícitamente.

La búsqueda la envía el servidor de UTILIA con el texto introducido y el idioma, sin identificar a la persona. Las imágenes, en cambio, las descarga el navegador directamente de los servidores de Klipy, que reciben así la dirección IP y los datos del navegador de quien busca un GIF y de cada participante del chat que lo ve.

• · consultas de búsqueda de GIFs realizadas en el chat
• · dirección IP y datos del navegador de quien busca o ve un GIF

Sincronización de los correos del buzón a través de Microsoft Graph cuando el usuario autoriza voluntariamente la conexión con su cuenta de Microsoft 365 u Outlook. No se sincronizan calendarios.

Contratación vía Microsoft Ireland (EEE). Microsoft mantiene certificación DPF y aplica SCC 2021/914 como garantía adicional para las eventuales transferencias internas al grupo en EE. UU.

• · correos electrónicos sincronizados
• · metadatos de cuenta de Microsoft 365

Modelos de lenguaje y de transcripción utilizados por el asistente @Utilia (incluidas sus búsquedas en internet y el análisis de archivos e imágenes), por los agentes de conversación configurables, por las funciones de IA del CRM (enriquecimiento de leads y empresas con búsquedas en internet, extracción de datos de notas de voz, interacciones, oportunidades y tareas, y presupuestos), por la clasificación de los correos sincronizados, por la digitalización de facturas, gastos y albaranes, por los tickets de soporte, por las funciones de IA de formación y de anuncios, por la transcripción de las notas de voz del chat y de las llamadas grabadas y por el copiloto de llamadas (recomendaciones en tiempo real, contexto previo y resumen de la llamada).

Acuerdo de tratamiento de datos (DPA) de OpenAI aceptado. Por defecto, OpenAI no utiliza para entrenar sus modelos los datos que recibe a través de su API. Las peticiones y sus respuestas se guardan en OpenAI durante el plazo que fijan sus condiciones de servicio, salvo las de la clasificación de correos, que se envían sin que se guarden; los archivos que el asistente @Utilia envía para analizarlos se conservan en OpenAI hasta que UTILIA los retira. Certificación activa en el EU-U.S. Data Privacy Framework; SCC 2021/914 suscritas adicionalmente como garantía subsidiaria.

Verificación DPF: pendiente

• · preguntas, archivos, imágenes y respuestas del asistente @Utilia y de los agentes de conversación configurables
• · textos, notas de voz, imágenes y documentos enviados al usar las funciones de IA del CRM, de los tickets de soporte, de formación y de anuncios
• · nombres de empresas o de personas que se buscan en internet para enriquecer leads y empresas
• · asunto, remitente, destinatarios y comienzo del texto de los correos sincronizados, para clasificarlos
• · imágenes de documentos financieros digitalizados (facturas recibidas, tickets, justificantes y albaranes)
• · audio de las notas de voz del chat y de las llamadas grabadas con el copiloto, para transcribirlo y resumirlo
• · transcripciones y capturas de pantalla compartidas durante las sesiones del copiloto de llamadas

Doble papel. (1) Como subencargado de UTILIA: procesamiento de los cobros de la suscripción a UTILIA OS, de los complementos y del Saldo adicional de IA, incluida la verificación 3D Secure, la gestión de los métodos de pago guardados y la conservación de la autorización de cobro recurrente que el cliente otorga a UTILIA. (2) Como proveedor de pagos de la propia organización usuaria: cuando esta conecta su cuenta de Stripe para cobrar con tarjeta a sus clientes, Stripe trata los datos de esos clientes finales bajo la relación contractual DIRECTA de la organización con Stripe, y no como subencargado de UTILIA (ver notas).

Entidad contratante europea del grupo Stripe. Las transferencias a Stripe, Inc. (EE. UU.) se amparan en el EU-U.S. Data Privacy Framework y en SCC 2021/914. Proveedor certificado PCI DSS de nivel 1. Sobre el papel (2): la cuenta que la organización usuaria conecta es una cuenta de tipo Standard, cuyo titular confirma sus datos y acepta el Connect service agreement de Stripe durante el alta (https://docs.stripe.com/connect/standard-accounts). En ese supuesto la organización es responsable del tratamiento frente a sus clientes y Stripe su proveedor de pago conforme al Connected Account Agreement (https://stripe.com/legal/connect-account) y a la política de privacidad de Stripe (https://stripe.com/privacy), que distingue expresamente entre el Usuario Empresarial y sus Clientes Finales. UTILIA actúa como intermediario técnico: transmite la orden de cobro y conserva referencias tokenizadas, marca, últimos cuatro dígitos y caducidad, nunca el número completo de la tarjeta. Modificación material anunciada el 7 de septiembre de 2026 con treinta (30) días naturales de preaviso (art. 28.2 RGPD); surte efecto el 7 de octubre de 2026.

• · datos de tarjeta tokenizados (la tarjeta completa solo la trata Stripe)
• · identidad y correo del titular del pago
• · importes, divisas y metadatos de los cobros
• · referencia de la autorización de cobro automático y fecha de aceptación
• · identidad, correo e importes de los clientes de la organización usuaria cuando esta cobra con tarjeta desde su propia cuenta de Stripe (relación contractual directa entre la organización y Stripe)

Envío de avisos operativos internos (supervisión de la infraestructura e incidencias del sistema) al equipo técnico de UTILIA.

Lo utiliza exclusivamente el equipo de UTILIA; las organizaciones clientes no pueden activarlo. Del texto de los errores se suprimen antes del envío las direcciones de correo electrónico, las direcciones IP privadas y las credenciales que se detectan en él.

• · identificadores de chat de Telegram del equipo técnico de UTILIA
• · métricas de infraestructura y metadatos técnicos de las alertas del sistema
• · texto de los errores técnicos de la plataforma, que puede contener datos personales
• · nombre y apellidos de personas usuarias activas, en los informes de actividad que solicita el equipo de UTILIA