Política de privacidad

1. Introducción

Esta política de privacidad le informa sobre el tratamiento de datos personales al usar CanUSign.

2. Responsable del tratamiento

3. Datos que recopilamos

Recopilamos los siguientes datos:

• Datos de cuenta: dirección de email para autenticación
• Datos de contratos: contratos y documentos que sube
• Datos de firma: firmas digitales, direcciones IP, marcas de tiempo
• Firma guardada: si guarda una firma para futuros contratos (en la configuración o al firmar), guardamos la imagen de esa firma en su cuenta para que pueda insertarla con un clic al firmar. Guardarla es voluntario; sin ella, dibuja su firma de nuevo en cada contrato. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD. La imagen se almacena en Vercel (ubicación: Fráncfort del Meno), no es accesible públicamente y solo usted puede verla. No la analizamos biométricamente ni la comparamos con otras firmas. Puede cambiarla o eliminarla en cualquier momento en la configuración; también se elimina al eliminar su cuenta. Las firmas que ya haya insertado en contratos siguen formando parte de esos contratos y de su registro de auditoría.
• Protección contra abusos del crédito gratuito: las cuentas nuevas reciben una sola vez un crédito gratuito. Para que no pueda obtenerse varias veces registrándose de nuevo, al registrarse guardamos su dirección de correo electrónico, su dirección IP y la hora, y las comparamos con registros anteriores. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD; nuestro interés legítimo es evitar el abuso de la oferta gratuita. Conservamos la dirección IP durante siete días y la dirección de correo electrónico y la hora durante dos años, aunque elimine su cuenta antes, porque de lo contrario la protección podría eludirse eliminando la cuenta y registrándose de nuevo. Puede oponerse a este tratamiento conforme al art. 21 del RGPD.
• Datos de uso: cómo usa nuestro servicio
• Datos de pago: procesados de forma segura vía Stripe

4. Finalidad del tratamiento

Sus datos se utilizan para:

• Proporcionar nuestro servicio de contratos
• Procesar firmas digitales
• Crear certificados de auditoría como prueba
• Procesar pagos
• Mejorar nuestro servicio

5. Base legal

El tratamiento se basa en el Art. 6(1)(b) RGPD (ejecución del contrato), Art. 6(1)(a) RGPD (consentimiento), y Art. 6(1)(f) RGPD (interés legítimo).

Avisos sobre servicios similares

Si compra con nosotros, podemos enviar ocasionalmente avisos sobre servicios similares de canusign a la dirección de correo indicada en la compra (art. 7, apdo. 3 de la ley alemana contra la competencia desleal, UWG). La base jurídica es nuestro interés legítimo en la publicidad directa según el art. 6, apdo. 1, letra f del RGPD. Puede oponerse a este uso en cualquier momento (art. 21, apdo. 2 del RGPD), en los ajustes o respondiendo a cualquier correo; solo se generan los costes de transmisión según las tarifas básicas. Tras una oposición dejamos de usar la dirección para este fin.

6. Almacenamiento y seguridad de datos

Sus datos están cifrados y almacenados en servidores seguros en la UE. Utilizamos medidas de seguridad estándar de la industria.

7. Eliminación de su cuenta y plazo de conservación

Conservamos los contratos, junto con los documentos subidos, las firmas y el registro de auditoría, solo mientras sea necesario. Los borradores que nunca se pagaron se eliminan 90 días después de su última modificación; si tiene una cuenta, le enviamos un correo electrónico 30 días antes y no eliminamos nada antes de que pasen 30 días desde ese correo. Todos los demás contratos de una cuenta se conservan mientras exista la cuenta, porque guardarlos forma parte del servicio que utiliza; puede eliminar cualquier contrato usted mismo en cualquier momento. Los contratos sin cuenta se eliminan al final del tercer año natural posterior a la firma o, en los contratos sin firma, posterior a la última modificación. Es el plazo en el que, por regla general, pueden reclamarse derechos derivados de un contrato (§ 195 y § 199, apdo. 1 del Código Civil alemán, BGB). La base jurídica es el art. 6, apdo. 1, letras b y f del RGPD. Una vez eliminado, no podemos recuperar nada. Para los contratos que se conservan tras eliminar una cuenta rige el plazo del párrafo siguiente.

Si elimina su cuenta, eliminamos sus datos de cuenta, su firma guardada, sus plantillas, claves de API y webhooks, así como todos los documentos que aún no han firmado todas las partes. Los contratos firmados por completo en los que participan otras personas además de usted no se eliminan de inmediato. Esto no se aplica a los contratos creados mediante nuestra API, que eliminamos junto con la cuenta. El documento firmado y el registro de auditoría con los nombres, direcciones de correo electrónico, fechas y horas, direcciones IP y datos del dispositivo de los firmantes se conservan para que las demás partes puedan seguir consultando su contrato y acreditarlo. A partir de ese momento, estos contratos no están vinculados a ninguna cuenta y solo son accesibles mediante los enlaces de firma de los participantes y la página de verificación. La base jurídica es el art. 6, apdo. 1, letra f) del RGPD. Nuestro interés legítimo, y el de las demás partes, consiste en poder acreditar, ejercer o defender derechos derivados del contrato (art. 17, apdo. 3, letra e) del RGPD). Eliminamos estos contratos al terminar el décimo año natural posterior a la última firma. Transcurrido ese plazo, las pretensiones contractuales prescriben conforme al Derecho alemán con independencia de cuándo se tuvo conocimiento de ellas (§ 199, apdo. 4 del Código Civil alemán, BGB). Puede oponerse a esta conservación por motivos relacionados con su situación particular (art. 21, apdo. 1 del RGPD). En ese caso, examinaremos su oposición de forma individual. Conservamos los datos de pago y las facturas porque la normativa mercantil y fiscal nos obliga a ello (§ 257 del Código de Comercio alemán, § 147 de la Ley General Tributaria alemana): los justificantes contables, durante ocho años contados desde el final del año natural del pago. La base jurídica en este caso es el art. 6, apdo. 1, letra c) del RGPD.

8. Sus derechos (RGPD)

Bajo el RGPD, tiene los siguientes derechos:

• Derecho de acceso a sus datos almacenados
• Derecho de rectificación de datos inexactos
• Derecho de supresión de sus datos
• Derecho a la limitación del tratamiento
• Derecho a la portabilidad de datos
• Derecho de oposición al tratamiento
• Derecho a retirar su consentimiento

9. Servicios de terceros

Utilizamos los siguientes servicios de terceros: Vercel Analytics y Speed Insights (medición de rendimiento). Las transferencias a EE.UU. se basan en el Marco de Privacidad de Datos UE-EE.UU. (DPF) o en las Cláusulas Contractuales Tipo (SCC). Otros servicios:

• Google Cloud: Generación de los archivos PDF y funciones de IA (detección de campos de firma en documentos subidos, versión breve de un contrato para quien firma). El tratamiento se realiza en Fráncfort del Meno (Alemania). Según el contrato, los contenidos no se utilizan para entrenar modelos de IA.
• Stripe: Procesamiento de pagos (EE.UU., Marco de Privacidad de Datos UE-EE.UU. (DPF) o Cláusulas Contractuales Tipo (SCC))
• Resend: Entrega de emails (EE.UU.)
• Vercel: Alojamiento e infraestructura (proveedor con sede en EE.UU., las funciones se ejecutan en Fráncfort del Meno, Alemania)
• Neon: Alojamiento de base de datos (UE)
• e-Signature.eu: Firma electrónica cualificada, solo cuando el remitente la elige para un firmante. Para ello, el documento terminado, el rol y la dirección de correo electrónico del firmante se envían a e-Signature.eu (VisitOnWeb, Bélgica), que actúa por encargo nuestro (art. 28 RGPD); eID Easy (Estonia) es su subencargado para la parte técnica. El firmante se identifica allí con itsme o Evrotrust y firma. Nos llegan de vuelta el documento firmado y el nombre confirmado en la identificación.

10. Cookies

Las cookies técnicamente necesarias para la autenticación y la gestión de sesiones las usamos sin consentimiento. Vercel Analytics y Speed Insights funcionan sin cookies y sin almacenar nada en su dispositivo. Para ellos no se requiere consentimiento (§ 25 TDDDG / art. 5.3 Directiva ePrivacy). Para la medición de audiencia, el sitio guarda además un identificador de sesión aleatorio en el sessionStorage de su navegador. No contiene datos personales, se elimina al cerrar la pestaña y está exento de consentimiento como almacenamiento estrictamente necesario según el § 25, apartado 2, TDDDG.

11. Contacto

Para preguntas relacionadas con la privacidad, contáctenos en: contact@canusign.com