Política de privacidad
Qué datos tratamos en CHESIA Workspace, para qué, con quién los compartimos, cuánto tiempo los conservamos y cómo ejercer tus derechos. Responsable: Jeampool German Olivares Cordova.
1. Responsable del tratamiento
- Titular: Jeampool German Olivares Cordova (persona física (autónomo)), con nombre comercial CHESIA
- NIF/NIE: NIE Z1529297D
- Domicilio: Carrer de Floridablanca, 138, Eixample, 08011 Barcelona (España)
- Actividad: desarrollo de software y publicidad
- Contacto: contact@chesia.net · +34 633 177 527
Esta política explica cómo trata CHESIA los datos personales de las personas que usan CHESIA Workspace (workspace.chesia.net). Cuando guardas en tus proyectos datos personales de terceros (clientes, visitantes de tu web…), tú eres el responsable de esos datos y CHESIA actúa como encargado: eso se regula en el Contrato de encargo del tratamiento. El tratamiento de la web corporativa chesia.net se describe en su propia política de privacidad.
Delegado de protección de datos: por la naturaleza y la escala de esta actividad, CHESIA no está obligada a nombrarlo (art. 37 RGPD y art. 34 LOPDGDD) y no lo ha nombrado. Para cualquier asunto de privacidad o para ejercer tus derechos, escribe a contact@chesia.net.
2. Qué datos tratamos
| Categoría | Qué incluye | De dónde viene |
|---|---|---|
| Cuenta | Nombre, correo electrónico, contraseña (solo se guarda un resumen cifrado con scrypt), plan, preferencia de tema, fecha del último acceso. | De ti al registrarte; o de Google/GitHub si entras con ellos (nombre, correo verificado e identificador de tu cuenta en el proveedor; nada más). |
| Seguridad y sesiones | Sesiones activas (dispositivo y navegador aproximados, fechas), códigos de verificación enviados por correo (solo se guarda su resumen y caducan en minutos), huella (hash) de tu dirección IP para limitar intentos y registrar accesos, registro de auditoría de accesos con Google/GitHub, y la versión de las condiciones que aceptaste con su fecha. | Generados por la plataforma al usarla. |
| Facturación | Identificador de cliente y de suscripción en Stripe, plan, periodo, estado y renovación. Los datos de pago (tarjeta) y de facturación (nombre, dirección, identificación fiscal) los recoge y guarda Stripe; CHESIA no ve tu tarjeta. | De ti (en Stripe Checkout y el portal de Stripe). |
| Contenido de tus proyectos | Código, archivos, textos, imágenes, briefing, versiones, bases de datos de proyecto, historial del chat con la IA, variables de entorno (cifradas) y repositorio Git. | De ti y de la IA que generas. |
| Uso y medición | Consumo de recursos por proyecto (CPU, memoria, disco, tráfico, compilaciones), consumo de la IA incluida (tokens y euros por día y mes), cuotas y límites. | Generados por la plataforma. |
| Estadísticas de las webs publicadas | Visitas, páginas vistas, país (si el proxy lo indica), origen, navegador y dispositivo, sin cookies y sin guardar la IP: un identificador distinto cada día. Son datos de los visitantes de tus webs (ver el contrato de encargo). | De los visitantes de tus webs. |
| Registros técnicos | Registros de funcionamiento y errores de la plataforma y de las compilaciones. No registramos el contenido de tus proyectos en ellos de forma intencionada. | Generados por la plataforma. |
| Comunicaciones | Correos de verificación, avisos de cuenta y suscripción; correos que nos escribes y mensajes del formulario de ayuda; correo de la lista de espera de la antigua beta si lo dejaste. | De ti y de la plataforma. |
No usamos cookies publicitarias ni de seguimiento (ver Política de cookies) y no vendemos ni cedemos tus datos para publicidad.
3. Para qué usamos tus datos y con qué base legal
| Finalidad | Base legal (RGPD) |
|---|---|
| Crear y mantener tu cuenta, prestarte el servicio, alojar y publicar tus proyectos, aplicar los límites de tu plan y darte soporte. | Ejecución del contrato (art. 6.1.b). |
| Procesar el pago de la suscripción y emitir facturas; conservarlas. | Ejecución del contrato (6.1.b) y obligación legal fiscal y mercantil (6.1.c). |
| Generar respuestas con la IA incluida cuando usas el chat. | Ejecución del contrato (6.1.b): es una función del servicio que tú activas al escribir. |
| Seguridad: verificar tu identidad, limitar intentos y abusos, detectar fraude y proteger la plataforma y a otros clientes. | Interés legítimo en la seguridad del servicio (6.1.f) y, en su caso, obligación legal (6.1.c). |
| Medir el consumo y planificar la capacidad de la plataforma; estadísticas agregadas de uso. | Ejecución del contrato (6.1.b) e interés legítimo (6.1.f). |
| Guardar la prueba de que aceptaste las condiciones y la política (versión, fecha y huella de la IP). | Interés legítimo en acreditar el contrato (6.1.f) y obligación legal (6.1.c). |
| Guardar tu correo si te apuntaste a la lista de espera de la beta privada (ya no es necesaria: el registro está abierto). | Consentimiento (6.1.a), que puedes retirar cuando quieras. |
| Enviarte los avisos necesarios del servicio (códigos, seguridad, cambios de condiciones o de precios, cobros, pausas y borrados). | Ejecución del contrato (6.1.b) y obligación legal (6.1.c). |
| Atender reclamaciones y cumplir requerimientos de autoridades. | Obligación legal (6.1.c) e interés legítimo (6.1.f). |
No tomamos decisiones automatizadas con efectos jurídicos sobre ti. Los límites automáticos de intentos y de uso son medidas técnicas de seguridad.
No te enviamos comunicaciones comerciales (boletines ni publicidad): solo los avisos transaccionales necesarios para prestarte el servicio. Si algún día quisiéramos enviarlas, te pediríamos antes tu consentimiento y podrías darte de baja en cada envío (art. 21 LSSI).
4. Con quién compartimos tus datos
No vendemos tus datos. Solo intervienen los proveedores necesarios para prestar el servicio, con los que tenemos contrato de encargo del tratamiento cuando actúan por cuenta de CHESIA:
| Proveedor | Para qué | Datos | Ubicación y transferencias |
|---|---|---|---|
| Micro data center propio de CHESIA | Alojamiento de la plataforma, los proyectos, las webs y apps publicadas, las bases de datos, los archivos, los registros técnicos, el servidor de correo y las copias de seguridad. | Todos los datos de la cuenta y de los proyectos. | España (Unión Europea) (infraestructura propia de CHESIA; en la UE) Sin transferencia internacional. No usamos proveedores externos de registros ni de analítica. |
| Stripe Payments Europe, Limited (Irlanda; grupo Stripe) | Cobro de suscripciones, cálculo de impuestos y facturas, portal de gestión de la suscripción y prevención del fraude en pagos. | Nombre, correo, dirección y datos fiscales de facturación, datos de pago (la tarjeta la recoge Stripe, CHESIA no la ve), historial de facturas. | Irlanda (UE), con tratamiento en otros países del grupo Stripe, incluido EE. UU. (Stripe, LLC). El acuerdo de tratamiento de datos (DPA) de Stripe forma parte de sus condiciones de servicio. Las transferencias a EE. UU. se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo de la Comisión Europea que recoge ese DPA. |
| Anthropic Ireland, Limited (proveedor de la IA incluida; grupo Anthropic) | Generar las respuestas del asistente de IA del chat de los proyectos de código. | Los mensajes y el contexto del proyecto que envías al asistente (instrucciones, fragmentos de código y archivos que el asistente lee para responder). La plataforma no añade tu nombre ni tu correo a la petición, pero todo lo que tú escribas o el asistente lea sí viaja a Anthropic. Según sus condiciones comerciales, Anthropic no entrena sus modelos con este contenido y, por defecto, lo borra de sus sistemas en un máximo de 30 días (más tiempo solo si lo exige la ley o para hacer cumplir su política de uso). | EE. UU. (centros de datos del grupo Anthropic). Transferencia internacional a EE. UU. amparada en las cláusulas contractuales tipo de la Comisión Europea incluidas en el acuerdo de tratamiento de datos (DPA) de Anthropic, que forma parte de sus condiciones comerciales. |
| Cloudflare, Inc. | DNS, proxy y protección de red (DDoS, WAF), túnel de acceso al data center, certificados de dominios propios y control anti-bots (Turnstile) en registro, acceso y recuperación. | Tráfico de red de la plataforma y de las webs publicadas (direcciones IP y cabeceras HTTP en tránsito), token de Turnstile. | Red global de Cloudflare (incluidos centros fuera del EEE). El acuerdo de tratamiento de datos (DPA) de Cloudflare forma parte de su contrato de servicio. Cloudflare está adherida al Marco de Privacidad de Datos UE-EE. UU. y, si dejara de estarlo, se aplican las cláusulas contractuales tipo de su DPA. |
| Scaleway SAS (Francia), servicio Transactional Email | Entrega del correo que sale de CHESIA: códigos de verificación, avisos de la cuenta y de la suscripción (no-reply-workspace@chesia.net) y respuestas del equipo. El correo se prepara en el servidor propio de CHESIA y Scaleway lo entrega al destinatario. | Dirección del destinatario, nombre y contenido del correo. | Unión Europea (Scaleway indica que el servicio se aloja y procesa íntegramente en la UE). Sin transferencia internacional. |
| Amazon Web Services (Amazon SES y Amazon S3) | Recepción del correo que se escribe a direcciones de chesia.net (por ejemplo contact@ o support@): Amazon lo recibe, lo guarda un momento y el servidor propio de CHESIA lo recoge y lo borra de Amazon. | Correos que nos envías (remitente, destinatario, contenido y adjuntos). | Región de la UE de Amazon Web Services en Estocolmo (Suecia, eu-north-1). Cada correo se borra de Amazon al entregarse a CHESIA (como máximo, a los 7 días si no se pudiera entregar). Sin transferencia internacional prevista: el servicio se usa en una región de la UE. Amazon aplica su acuerdo de tratamiento de datos (DPA de AWS) y está adherida al Marco de Privacidad de Datos UE-EE. UU. |
Si eliges entrar con Google o GitHub, ese proveedor trata tus datos de acceso como responsable independiente según su propia política; nosotros solo recibimos tu nombre, correo verificado e identificador, y no accedemos a nada más de tu cuenta con ellos. También podemos comunicar datos a las autoridades, jueces y tribunales cuando la ley lo exija.
Los registros técnicos y las copias de seguridad se guardan en la propia infraestructura de CHESIA: no usamos proveedores externos de registros, de analítica ni de publicidad. Te avisaremos con 30 días de antelación antes de añadir o sustituir un proveedor de esta lista.
5. Transferencias internacionales
Tus datos se alojan en el micro data center de CHESIA (España (Unión Europea), en la Unión Europea) y no salen de él salvo para lo que hacen los proveedores de arriba. Scaleway y Amazon (correo) tratan los datos en la Unión Europea. Pueden tratar datos fuera del Espacio Económico Europeo:
- Anthropic: los mensajes y el contexto que envías a la IA se procesan en EE. UU. La garantía son las cláusulas contractuales tipo de la Comisión Europea incluidas en el acuerdo de tratamiento de datos de Anthropic.
- Stripe: puede transferir datos de pago a Stripe, LLC (EE. UU.) y a otras empresas de su grupo. Garantías: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo, según su acuerdo de tratamiento de datos.
- Cloudflare: su red es mundial, así que el tráfico puede pasar por centros fuera del EEE. Garantías: Marco de Privacidad de Datos UE-EE. UU. y, subsidiariamente, cláusulas contractuales tipo de su acuerdo de tratamiento de datos.
Como las peticiones a la IA pueden contener lo que escribas, no incluyas datos personales de terceros ni datos sensibles en el chat de la IA si no es necesario.
6. Cuánto tiempo conservamos tus datos
| Dato | Plazo |
|---|---|
| Cuenta y contenido de proyectos | Mientras tu cuenta esté activa. Al eliminarla: 7 días de gracia; pasado ese plazo, los proyectos se purgan y la cuenta se anonimiza (se borran tus datos personales, sesiones y credenciales). Un proyecto que borras va 7 días a la papelera antes de purgarse. |
| Sesiones | 7 días desde el inicio de sesión (o hasta que la cierres). |
| Huellas de IP para límites de intentos | Unas 25 horas. |
| Registro de auditoría de seguridad (accesos y acciones sensibles) | Hasta 2 años. Al anonimizar la cuenta se borran tus identidades de acceso con Google o GitHub. |
| Facturación y pagos | 6 años (art. 30 del Código de Comercio) y, si fuera mayor, el plazo que exija la normativa fiscal. Las facturas y el cliente de Stripe se conservan aunque elimines la cuenta, bloqueados y solo para cumplir esas obligaciones. |
| Prueba de aceptación de condiciones y de la renuncia al desistimiento | Mientras tengas cuenta y, después, hasta 5 años desde que la elimines (plazo general de prescripción de las acciones derivadas del contrato, art. 1964 del Código Civil), sin tu nombre ni tu correo. |
| Estadísticas de visitas de tus webs | Eventos detallados: 2-3 días. Resúmenes diarios: 7, 30 o 90 días según tu plan (hasta 365 en «A medida»). Totales mensuales: 13 meses. Sin IP ni cookies. |
| Copias de seguridad | Copias de infraestructura (bases de datos y volúmenes): hasta 30 días. Versiones de proyecto: los días que indique tu plan en la página «Planes». Los datos que borres pueden permanecer en copias hasta que caduquen. |
| Medidas de consumo | Se conservan de forma anónima (con un identificador opaco) tras eliminar la cuenta. |
| Lista de espera | Hasta que la retires y, como mucho, hasta que la eliminemos al cerrarla definitivamente: con el registro abierto ya no se usa. |
| Registros técnicos | Hasta 90 días. |
7. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar los consentimientos que hayas dado. Gran parte puedes hacerla tú mismo en la plataforma, en Ajustes → Datos y cuenta: descargar una copia de tus datos (archivo JSON y exportación de cada proyecto), cambiar tu nombre o contraseña, ver y cerrar tus sesiones y eliminar tu cuenta. Para lo demás (por ejemplo, cambiar el correo, oposición o limitación) escribe a contact@chesia.net indicando tu solicitud y cómo acreditarte; responderemos en el plazo de un mes.
Si crees que no hemos tratado bien tus datos, tienes derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD), sin perjuicio de que antes nos des la oportunidad de resolverlo.
8. Cómo protegemos tus datos
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: contraseñas guardadas con scrypt; sesiones con token aleatorio del que solo guardamos su resumen, en cookie HttpOnly y SameSite=Strict; verificación de origen en las operaciones de escritura; límites de intentos, comprobación anti-bots y código por correo en dispositivos nuevos; secretos de proyecto cifrados (AES-256-GCM); aislamiento entre proyectos y entre clientes (contenedores sin privilegios y tráfico de red bloqueado por defecto); el código de los clientes se ejecuta en un dominio distinto (chesia.app) del de la plataforma; cifrado en tránsito (TLS); y copias diarias de las bases de datos. Más detalle en el apartado de medidas del contrato de encargo.
Si una brecha de seguridad te afectara de forma relevante, te lo notificaremos y, cuando proceda, a la AEPD, en los plazos legales.
9. Menores
Workspace no está dirigido a menores: para crear una cuenta hay que tener al menos 18 años. Si crees que un menor se ha registrado, escríbenos a contact@chesia.net y eliminaremos la cuenta.
10. Cambios en esta política
Cada versión de esta política lleva su fecha. Si cambia de forma relevante te avisaremos y, cuando cambie el fondo del tratamiento, te pediremos que la aceptes de nuevo al iniciar sesión. Puedes pedir las versiones anteriores a contact@chesia.net.