Política de privacidad

Quién responde de qué

Vigicap interviene en dos calidades distintas, y esa distinción determina a quién dirige usted una solicitud:

• Para los datos de su propia cuenta (responsable del tratamiento): nombre, dirección de correo electrónico, contraseña cifrada, función, registros de conexión de sus usuarios. Vigicap decide sobre estos tratamientos y responde de ellos.
• Para los datos de sus clientes pymes (encargado del tratamiento, art. 28 del RGPD): fichas de cliente, diagnósticos, planes de acción, justificantes, registros. Es usted, el prestador informático, quien decide qué datos se recogen y por qué; Vigicap los trata únicamente siguiendo sus instrucciones y por su cuenta. Un interesado empleado de una pyme cliente ejerce, por tanto, sus derechos ante su prestador y no ante Vigicap — a quien asistimos cuando es necesario. Las obligaciones recíprocas en ese marco se detallan en el contrato de encargo de tratamiento.

Contacto para cualquier cuestión relativa a los datos: contact@vigicap.fr. En esta fase no se ha designado ningún delegado de protección de datos (DPD), ya que esa designación no es obligatoria para la actividad actual en el sentido del artículo 37 del RGPD.

Editor del servicio: Vigicap está editado por NEXTLAB. Los datos registrales completos figuran en el aviso legal.

Datos tratados

• Cuenta MSP: nombre, dirección de correo electrónico, contraseña (cifrada), función, organización.
• Datos de negocio introducidos por el MSP: fichas de sus clientes pymes, diagnósticos, acciones, presupuestos, registros NIS2.
• Credenciales de los conectores: URL de la instancia y tokens de API de las herramientas del cliente, cifrados en reposo (AES-256-GCM).
• Datos técnicos: registros de auditoría (acción, marca de tiempo, dirección IP) necesarios para la seguridad y la trazabilidad.
• Autoevaluación pública: la dirección de correo electrónico introducida en la página de autoevaluación para recibir el informe, el idioma de lectura, el sector y la plantilla declarados, y la puntuación calculada. Las respuestas individuales no se conservan.

Finalidades y base jurídica

• Prestación del servicio y ejecución del contrato (art. 6.1.b del RGPD).
• Seguridad, prevención del fraude y trazabilidad — interés legítimo (art. 6.1.f).
• Cumplimiento de las obligaciones legales y contables (art. 6.1.c).
• Envío del informe de autoevaluación solicitado y seguimiento de esa solicitud — consentimiento (art. 6.1.a), recabado mediante una casilla no premarcada y revocable en cualquier momento (art. 7.3).

Destinatarios y encargados del tratamiento

Los datos no se venden ni se ceden. Los encargados efectivos son los siguientes:

• Scaleway — alojamiento de la aplicación y de los datos, en Francia.
• Brevo (Sendinblue, Francia) — envío de los correos electrónicos transaccionales. Tratamiento dentro de la UE.
• Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublín, Irlanda) — cobro de la suscripción del MSP: identidad y dirección de facturación, número de IVA, historial de pagos y medio de pago. Los datos de la tarjeta se introducen en un formulario alojado por Stripe y no transitan nunca por los servidores de Vigicap. Este tratamiento afecta a los datos de la cuenta del MSP, nunca a los de sus clientes pymes.

Consulta del registro Sirene (INSEE): cuando usted busca una empresa al crear una ficha de cliente, el nombre o el SIRET introducido se envía al INSEE (Francia) para interrogar el registro oficial de empresas. Solo se transmite esa búsqueda — ningún dato de su agencia, ningún contenido de diagnóstico — y la información devuelta es pública. Una precisión que importa: en el caso de un empresario individual, la denominación es el nombre de una persona física, de modo que la búsqueda puede referirse a un nombre propio. Se trata de un dato ya publicado en el registro, pero preferimos escribirlo antes que afirmar que nunca hay datos personales implicados. El INSEE es, por este concepto, una fuente de datos públicos y no un encargado del tratamiento en el sentido del artículo 28 — no trata ningún dato por nuestra cuenta. Los resultados se conservan en caché 30 días como máximo para limitar el número de llamadas.

Iniciar sesión con Google (opcional). Si en lugar de una contraseña elige «Iniciar sesión con Google», su navegador le lleva a Google Ireland Limited para autenticarse allí, y Google nos transmite cuatro datos y ninguno más: un identificador de cuenta estable, su dirección de correo electrónico, la indicación de que Google considera verificada esa dirección, y el nombre mostrado de su cuenta de Google. No solicitamos ningún otro acceso — ni a su buzón, ni a sus contactos, ni a su calendario — y no recibimos nunca su contraseña de Google. Es usted quien inicia ese intercambio al elegir esta forma de conexión: no se envía nada a Google si utiliza una contraseña, y puede volver a una contraseña en cualquier momento. Google actúa aquí como responsable del tratamiento de la autenticación que realiza, según su propia política de privacidad, y no como encargado por cuenta de Vigicap. No se transmite a Google ningún dato de sus clientes pymes.

Uso de la inteligencia artificial

Vigicap no utiliza ningún modelo de inteligencia artificial: no se transmite ningún dato a un proveedor de IA. Las propuestas de la plataforma se derivan de reglas deterministas y de plantillas de documentos y se someten a su validación; no se adopta ninguna decisión automatizada en el sentido del artículo 22 del RGPD.

Plazo de conservación

• Datos de cuenta y de negocio: conservados durante toda la relación contractual y suprimidos después a petición (véase «Sus derechos»).
• Credenciales de los conectores: suprimidas de inmediato al desconectar el conector.
• Tokens de confirmación de dirección y de restablecimiento de contraseña: de un solo uso, con una validez de 24 horas y 30 minutos respectivamente.
• Registros de auditoría: conservados mientras dure la relación contractual. Hasta la fecha no hay ninguna depuración automática; la supresión se produce junto con la de la cuenta. Lo escribimos en lugar de anunciar un plazo que el servicio todavía no aplica.
• Medición de audiencia: 13 meses, el plazo máximo recomendado por la CNIL, elegido porque permite comparar un mes con el mismo mes del año anterior — la única razón analítica para conservar estos datos tanto tiempo. Cada noche se ejecuta una depuración automática sobre la base de datos de Umami que elimina los eventos, las sesiones y los datos asociados que superan ese plazo. Estas mediciones no contienen ninguna dirección IP: el esquema de Umami no almacena ninguna, y el rastreador no deposita ninguna cookie.
• Informes técnicos de error: 3 meses. Las trazas de error recogidas por nuestra instancia autoalojada de GlitchTip, accesible únicamente desde nuestra propia red privada, se eliminan automáticamente transcurrido ese plazo. Sirven para diagnosticar y corregir, nunca para seguir a un usuario.
• Autoevaluación pública: 3 años desde su último contacto, de modo que cada nueva autoevaluación reinicia ese plazo. Es el plazo que la CNIL recomienda para los datos de clientes potenciales (référentiel « gestion des activités commerciales ») y lo aplicamos como límite máximo: es una recomendación, no una obligación legal. Cada noche se ejecuta una depuración automática que elimina los registros de las direcciones que no han vuelto a aparecer dentro de ese plazo.

Transferencia fuera de la Unión Europea

El servicio tiene como objetivo un alojamiento dentro de la Unión Europea. Cualquier eventual transferencia fuera de la UE estaría enmarcada por garantías adecuadas (cláusulas contractuales tipo de la Comisión Europea). La región de alojamiento efectiva se indica en el aviso legal.

Seguridad

Cifrado de los tokens en reposo, contraseñas protegidas mediante una función de hash (argon2), sesiones revocables, separación multiinquilino por MSP y registro de auditoría. El editor adopta medidas técnicas y organizativas adecuadas al riesgo.

Sus derechos

Le asisten los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad de los datos. Estos derechos se ejercen ante contact@vigicap.fr, con respuesta en el plazo de un mes (art. 12.3 del RGPD). Además, la exportación de sus datos en un formato estructurado está disponible de inmediato en la aplicación, en Registro de auditoría → Exportación RGPD. Para los datos de sus clientes pymes, respecto de los cuales Vigicap actúa como encargado del tratamiento, diríjase a su prestador. Puede presentar una reclamación ante la CNIL (cnil.fr).

Cookies

Vigicap utiliza únicamente las cookies estrictamente necesarias para el funcionamiento (sesión, seguridad). No se deposita ninguna cookie de medición de audiencia ni publicitaria sin su consentimiento.