Política de privacidad

En OcarinaITSupport intervienen dos papeles distintos, y es importante saber cuál aplica a cada dato:

• Responsable del tratamiento: Alvea Soluciones Tecnológicas. Es quien decide gestionar en la plataforma a su personal, sus equipos, su formación y sus incidencias. Para cualquier cuestión sobre esos datos, dirígete primero a ella (normalmente, a su departamento de IT o de personas, o a su delegado de protección de datos).
• Encargado del tratamiento: el titular de la plataforma, titular de la plataforma, que trata esos datos únicamente siguiendo las instrucciones documentadas del responsable (art. 28 RGPD) y no los usa para ningún fin propio.
• Para los datos de las cuentas de usuario de la plataforma y la seguridad del servicio (inicio de sesión, registro de accesos), el titular de la plataforma actúa como responsable.

Titular de la plataforma

El titular de la plataforma

Contacto de privacidad

la dirección de contacto del titular

Personas de la organización

• Identificación profesional: nombre y apellidos, correo corporativo, cliente o proyecto asignado, puesto y estado (alta, activo, baja) con sus fechas.
• Contacto personal (opcional): correo o teléfono personal, solo si la organización lo introduce, y siempre cifrados.
• Equipos: nombre y código del equipo, número de serie, sistema operativo, historial de asignaciones y estado del antivirus.
• Formación: cursos asignados, plazos, fecha de finalización, nota y certificado (con su huella SHA-256).
• Incidencias: descripción, equipo afectado, tiempos, solución y, si se responde, la valoración de satisfacción.
• Correos: registro de los correos enviados desde el buzón de IT (destinatario, asunto y un extracto) y de los correos recibidos en ese buzón que la plataforma clasifica.

Usuarios de la plataforma

• Nombre, correo corporativo, identificador de la cuenta de Microsoft, rol y preferencias de visualización.
• Registro de la actividad realizada (registro de auditoría).

No se tratan categorías especiales de datos (salud, ideología, etc.), ni el DNI, ni contraseñas de terceros. La plataforma está diseñada para no necesitarlos.

Algunas funciones usan un modelo de IA para ahorrar trabajo manual. Lo hacemos con estas garantías:

• Solo se envía lo imprescindible para cada tarea (clasificar un correo, proponer un ticket, redactar un texto). Antes de enviarlo se eliminan DNI/NIE, teléfonos, IBAN y correos personales.
• Los resúmenes e informes (briefing diario, problemas recurrentes, «¿qué le falta?») usan recuentos y hechos anónimos, sin nombres ni correos.
• La IA propone; una persona revisa y aprueba. No se toman decisiones con efectos jurídicos basadas únicamente en tratamientos automatizados (art. 22 RGPD).
• Cada llamada se registra (finalidad, modelo y consumo) sin guardar datos personales en claro. El proveedor, según sus condiciones comerciales, no usa los datos recibidos por su API para entrenar modelos.

No se ceden datos a terceros salvo obligación legal. Para prestar el servicio intervienen estos subencargados, con contrato conforme al art. 28 RGPD:

El correo del buzón de IT, el envío de correos y el almacenamiento de certificados usan el Microsoft 365 de la propia organización, con los permisos mínimos que concede su administrador (un único buzón y un único sitio). Esos datos no salen de su tenant de Microsoft: Microsoft actúa ahí bajo el contrato que la organización ya tiene con Microsoft.

• Mientras la persona mantenga su relación con la organización y, después, el plazo que fije la organización en su política de retención; transcurrido, los datos se anonimizan conservando solo la evidencia agregada.
• Las evidencias de cumplimiento (formación completada, registro de auditoría) se conservan el tiempo necesario para acreditarlo ante auditorías y autoridades.
• Al terminar el servicio, la organización puede exportar todos sus datos; después se suprimen definitivamente tras el periodo de gracia acordado.

• Aislamiento por workspace con doble barrera: la aplicación filtra cada consulta por organización y la base de datos aplica seguridad a nivel de fila (RLS), de modo que sin contexto no se ve ninguna fila.
• Cifrado en tránsito (HTTPS/TLS) y cifrado a nivel de campo (AES-GCM con una clave por workspace) para los datos personales opcionales y las credenciales de integración.
• Acceso con la cuenta corporativa (inicio de sesión único de Microsoft Entra ID) y roles por workspace: administración, técnico y auditor de solo lectura. El rol se comprueba en cada petición, así que retirar un acceso surte efecto al momento.
• Registro de auditoría inalterable: cada cambio de datos queda registrado (quién, cuándo, antes y después) en una cadena de huellas criptográficas que delata cualquier manipulación.
• Minimización: no se guarda el DNI ni contraseñas de terceros; los certificados se guardan en el almacenamiento de Microsoft 365 de la propia organización con su huella SHA-256.
• Acceso de soporte excepcional: el personal de la plataforma no ve los datos de un workspace salvo en una sesión de soporte con motivo y caducidad, registrada en el propio registro de auditoría del workspace.

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, de forma gratuita:

• Sobre tus datos como empleado: ante Alvea Soluciones Tecnológicas. La plataforma le permite atenderlos con un clic (exportación completa de tus datos).
• Sobre tu cuenta de usuario: escribiendo a la dirección de contacto del titular.

Si consideras que no se han respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o la autoridad de control de tu país.

Solo usamos cookies técnicas imprescindibles para mantener tu sesión iniciada. Los detalles están en la política de cookies.

Si cambia algo relevante, actualizaremos esta página y su fecha y, cuando el cambio te afecte, lo avisaremos dentro de la plataforma.