1. Responsable del tratamiento
Kulunka S.L. es la empresa responsable del tratamiento de los datos personales recogidos a través del servicio ScanGrounded. Para cualquier consulta relacionada con el tratamiento de sus datos, puede contactar con nosotros en scangrounded@scangrounded.com.
Razón social: Kulunka S.L. (Kulunka Sociedad Limitada)
NIF: B95412813
Domicilio social: Barrio Artatzagana 42, 2.º DR — 48940 Leioa (Bizkaia)
Registro Mercantil: Inscrita en el Registro Mercantil de Bizkaia. Fecha de constitución: 2 de marzo de 2006.
2. Cómo funciona ScanGrounded (privacidad por diseño)
ScanGrounded está diseñado desde sus cimientos aplicando el principio de privacidad por diseño y por defecto (RGPD Art. 25). El procesamiento de imágenes y documentos ocurre íntegramente en el navegador del usuario mediante tecnologías WebAssembly y APIs locales del navegador. En concreto:
- Las imágenes y documentos que procesas nunca se transmiten a un servidor externo ni a terceros.
- El historial de documentos procesados se almacena en IndexedDB, un mecanismo de almacenamiento local del navegador. Solo tú tienes acceso a esos datos.
- La inferencia de IA utiliza los servicios de IA de Google a través de un proxy propio (Cloud Functions). Este proxy no almacena ni registra el contenido de los documentos, solo gestiona la autenticación y el control de uso.
- Puedes borrar todos los datos locales en cualquier momento desde los ajustes de la aplicación.
3. Qué datos recopilamos
3.1 Datos de cuenta
Cuando te registras, recopilamos tu dirección de correo electrónico y un identificador único de usuario (UID) generado por Firebase Auth. Opcionalmente, el nombre que indiques al registrarte con Google. Estos datos son necesarios para gestionar tu plan de suscripción y el límite de extracciones.
3.2 Telemetría de uso (anónima)
Para mejorar el servicio, registramos eventos de uso anonimizados: número de extracciones realizadas, modelos de IA utilizados y errores técnicos. Estos eventos no contienen el contenido de los documentos procesados, no están vinculados a información identificable más allá del UID cifrado, y se utilizan exclusivamente para el análisis de rendimiento y la detección de errores.
3.3 Datos de pago
Los pagos son procesados íntegramente por Stripe. ScanGrounded no almacena en ningún momento datos de tarjeta bancaria. Solo tenemos acceso al estado de la suscripción (activo/inactivo) y al identificador de cliente de Stripe necesario para la gestión del plan.
3.4 Imágenes y documentos
Las imágenes y documentos que procesas no son tratados como datos personales por ScanGrounded, ya que no los transmitimos ni almacenamos en nuestros servidores. El procesamiento ocurre localmente en tu dispositivo. Las llamadas al servicio de IA se realizan a través de nuestro proxy, que no retiene el contenido de los documentos.
4. Base jurídica del tratamiento (RGPD Art. 6)
Para cada categoría de dato, la base jurídica que legitima el tratamiento es la siguiente:
| Categoría de dato | Base jurídica | Artículo |
|---|---|---|
| Email y UID (cuenta) | Ejecución de contrato | Art. 6.1(b) RGPD |
| Telemetría anónima | Interés legítimo | Art. 6.1(f) RGPD |
| Datos de facturación (Stripe) | Ejecución de contrato | Art. 6.1(b) RGPD |
| Comunicaciones de soporte | Consentimiento | Art. 6.1(a) RGPD |
5. Subencargados de tratamiento
Para prestar el servicio utilizamos los siguientes subencargados. Todos ellos cuentan con garantías adecuadas conforme al RGPD Capítulo V (SCCs o Decisión de adecuación):
| Subencargado | Servicio | País / Garantía | Política de privacidad |
|---|---|---|---|
| Google Firebase / Google Cloud | Autenticación (Firebase Auth), base de datos (Firestore), funciones serverless (Cloud Functions) | EE.UU. (SCCs + EU-US DPF) | policies.google.com/privacy |
| Stripe, Inc. | Procesamiento de pagos y gestión de suscripciones | EE.UU. (SCCs + EU-US DPF) | stripe.com/es/privacy |
| Google LLC (servicios de IA) | Inferencia IA (a través del proxy propio). No retiene contenido de documentos. | EE.UU. (SCCs + EU-US DPF) | ai.google.dev/terms |
6. Plazos de retención
| Categoría de dato | Plazo de retención |
|---|---|
| Datos de cuenta (email, UID) | Hasta que solicites la eliminación de la cuenta |
| Telemetría de uso | 12 meses desde la recogida, luego anonimización total |
| Registros de facturación | 5 años (obligación fiscal española, Ley 58/2003 LGT) |
| Datos de documentos procesados | No aplica — almacenados solo localmente en tu dispositivo |
7. Transferencias internacionales de datos
8. Tus derechos
Dependiendo de tu país de residencia, tienes los siguientes derechos respecto a tus datos personales:
🇪🇺 Unión Europea y EEE — RGPD (Arts. 15–22)
- Acceso: obtener confirmación de si tratamos tus datos y copia de los mismos (Art. 15)
- Rectificación: corregir datos inexactos o incompletos (Art. 16)
- Supresión ("derecho al olvido"): solicitar la eliminación de tus datos (Art. 17)
- Limitación: solicitar que restrinjamos el tratamiento (Art. 18)
- Portabilidad: recibir tus datos en formato estructurado y legible por máquina (Art. 20)
- Oposición: oponerte al tratamiento basado en interés legítimo (Art. 21)
- No ser objeto de decisiones automatizadas (Art. 22)
- Reclamación ante la AEPD (Agencia Española de Protección de Datos) — aepd.es
🇺🇸 California (EE.UU.) — CCPA/CPRA
- Derecho a saber qué datos personales recopilamos, usamos, divulgamos y vendemos
- Derecho a eliminar los datos personales que tenemos sobre ti
- Derecho a corregir información personal inexacta
- Derecho a no ser discriminado por ejercer tus derechos. Nota: ScanGrounded no vende ni comparte datos personales con fines publicitarios.
🇧🇷 Brasil — LGPD (Arts. 17–22)
- Confirmación de la existencia del tratamiento y acceso a los datos
- Corrección de datos incompletos, inexactos o desactualizados
- Portabilidad de datos a otro proveedor de servicios
- Eliminación de datos tratados con consentimiento
Cómo ejercer tus derechos
Para ejercer cualquiera de estos derechos, envía un correo electrónico a scangrounded@scangrounded.com indicando el derecho que deseas ejercer, tu nombre y dirección de correo electrónico asociada a la cuenta. Responderemos en un plazo máximo de 30 días (RGPD Art. 12).
9. Cookies y almacenamiento local
ScanGrounded no utiliza cookies de seguimiento ni publicidad. El almacenamiento que usamos es estrictamente necesario para el funcionamiento del servicio:
| Clave / Mecanismo | Finalidad | Expiración |
|---|---|---|
| localStorage (scangrounded_settings) | Preferencias de usuario: idioma, tema visual, ajustes de la app | Hasta que el usuario las borre |
| IndexedDB (scangrounded_history) | Historial de documentos procesados (datos locales, no transmitidos) | Hasta que el usuario los borre |
| Firebase Auth (sessionStorage) | Token de sesión de autenticación | Duración de la sesión activa |
10. Privacidad de menores
ScanGrounded no está dirigido a menores de 16 años (o la edad mínima aplicable en tu jurisdicción según el RGPD Art. 8). No recopilamos conscientemente datos personales de menores. Si eres padre, madre o tutor y crees que un menor ha proporcionado datos personales a través de nuestra plataforma, contáctanos en scangrounded@scangrounded.com y procederemos a su eliminación inmediata. Para usuarios en Estados Unidos menores de 13 años, aplicamos lo establecido por la Ley COPPA.
11. Medidas de seguridad técnica y organizativa
Implementamos las siguientes medidas de seguridad conforme al RGPD Art. 32 e ISO/IEC 27001:
- Cifrado en tránsito: todas las comunicaciones usan HTTPS con TLS 1.3
- Autenticación segura: Firebase Auth con tokens JWT de corta duración y rotación automática
- Control de acceso: reglas de seguridad Firestore basadas en UID. Ningún dato es accesible sin autenticación válida
- Principio de mínimo privilegio: las funciones serverless solo tienen acceso a los recursos estrictamente necesarios
- Desarrollo seguro: seguimos OWASP Top 10 en el diseño de la aplicación y el proxy de IA
- Sin persistencia de documentos: las imágenes procesadas no se guardan en ningún servidor; el proxy no registra su contenido
12. Notificación de brechas de seguridad
13. Cambios en esta política
Podemos actualizar esta política de privacidad para reflejar cambios en el servicio, en la legislación aplicable o en nuestras prácticas de datos. Cuando se produzcan cambios materiales, te informaremos mediante un aviso visible en la aplicación o por correo electrónico al menos 30 días antes de que los cambios entren en vigor. La fecha de última actualización siempre aparece en la parte superior de esta página.
14. Contacto y delegado de protección de datos
Para cualquier consulta, solicitud de derechos o reclamación relacionada con el tratamiento de tus datos personales, contacta con nosotros: