Política de Privacidad

1. Quién es responsable de tus datos

El responsable del tratamiento es Hola Money SL, CIF B26671347, Calle Granada 7, 04820 Vélez-Rubio, Almería, España. Escribe a [email protected] para cualquier cuestión sobre tus datos; esa misma dirección llega a nuestro contacto de protección de datos. Para el servicio de renovación de TIE también puedes escribir a [email protected] y para el servicio de certificado digital a [email protected]: todas llegan a las mismas personas.

Para la videoidentificación que requiere un certificado digital, el emisor Firmaprofesional, S.A. y su autoridad de registro Gong Time, S.L. son responsables del tratamiento por derecho propio respecto de la grabación y las evidencias de identificación, conforme a la normativa que les obliga a conservarlas (Orden ETD/465/2021). Les remitimos cualquier solicitud sobre esos datos en 24 horas y te informamos de que lo hemos hecho.

En un servicio prestado por un gestor, el gestor que eliges trata tus datos como responsable de su propio trabajo profesional, bajo sus propias obligaciones de secreto profesional. Esta política cubre lo que hace Hola; el gestor te informa de lo adicional que necesite.

2. Qué recogemos

• Datos identificativos y de contacto: nombre, apellidos, correo electrónico, teléfono, dirección postal, fecha y lugar de nacimiento, nacionalidad, sexo, estado civil y nombres de los padres cuando un formulario oficial los exige, y tu idioma preferido.
• Documentos de identidad y lo que contienen: imágenes de tu pasaporte, TIE, DNI o documento nacional de identidad, certificado de NIE, empadronamiento y cualquier otro documento que pida un servicio; y los datos que leemos de ellos: números de documento, NIE, fechas de expedición y caducidad, la zona de lectura mecánica.
• Fotografías: la fotografía de tus documentos de identidad y cualquier fotografía que subas de ti o de un documento.
• Videoidentificación: realizada por la autoridad de registro del emisor para un certificado digital, en sus sistemas y bajo su responsabilidad. Nosotros recibimos solo el resultado (superada o no) y la fecha.
• Tu solicitud o expediente: las respuestas que das, los documentos que generamos para ti (un formulario EX-23, un dosier para la cita), las citas y sus resultados, los mensajes con nuestro personal o con un gestor, las reseñas y las reclamaciones.
• Facturación: el nombre, número fiscal (NIF/NIE) y dirección que figuran en tu factura, y el registro de qué pagaste, cuándo y por qué medio. Los números de tarjeta los gestiona la pasarela de pago de nuestro sistema de facturación y nosotros nunca los almacenamos.
• Datos técnicos: la dirección IP, el navegador y la hora de tus inicios de sesión y de cada aceptación de las condiciones, las cookies descritas más abajo y los registros que nuestros sistemas conservan para funcionar con seguridad.

Pedimos lo que un servicio necesita y nada más. Cuando una pregunta es opcional, lo indicamos.

3. Para qué los usamos y con qué base jurídica

• Para ejecutar el contrato contigo (art. 6.1.b RGPD): gestionar tu cuenta, leer tus documentos, preparar y presentar tu solicitud, reservar citas, cobrar el pago, tramitar tu expediente con un gestor, responderte.
• Para cumplir nuestras obligaciones legales (art. 6.1.c): emitir facturas y llevar registros contables y fiscales, comprobaciones de prevención de blanqueo cuando procedan, atender requerimientos legítimos de las autoridades, conservar el registro de tu aceptación de las condiciones.
• Con tu consentimiento (art. 6.1.a): enviar tus documentos para que los lea la inteligencia artificial como describe el apartado siguiente —consentimiento que das al aceptar las condiciones en el primer paso de un servicio y que puedes retirar cancelando el servicio— y los mensajes comerciales sobre otros servicios de Hola, que puedes detener en cualquier momento.
• Por nuestro interés legítimo (art. 6.1.f): mantener el portal seguro y prevenir el fraude y el abuso, verificar a los gestores, mejorar el servicio con estadísticas agregadas que no te identifican y defender nuestros derechos en una reclamación. Lo ponderamos frente a tus intereses, y puedes oponerte (ver tus derechos más abajo).

Cuando un formulario exige datos de categoría especial —por ejemplo un documento que revela la nacionalidad o, indirectamente, el origen étnico— los tratamos únicamente porque el formulario de la administración los pide, sobre la base de tu consentimiento explícito y de la formulación de reclamaciones (art. 9.2.a y f).

4. Cómo se leen tus documentos: inteligencia artificial

Las imágenes y archivos que subes, y las fotografías que contienen, los lee un modelo de inteligencia artificial para que no tengas que teclear su contenido. Con ese fin se transmiten a proveedores de modelos de IA a través de OpenRouter, Inc. (Estados Unidos), en el modo de retención cero de datos (Zero Data Retention) de OpenRouter, tal y como lo define la propia OpenRouter en su documentación sobre Zero Data Retention. En ese modo, el proveedor del modelo no conserva tus datos tras procesar la petición y no los utiliza para entrenar ni mejorar un modelo, como describe esa documentación. Los modelos que usamos actualmente son los modelos Claude de Anthropic.

Nuestros sistemas rechazan cualquier petición que no pueda enrutarse con retención cero de datos. Es un ajuste fijo, no una preferencia: si una petición no puede enrutarse así, falla, y una persona de Hola lee el documento en su lugar. Si lo pides, te confirmaremos por escrito qué proveedor trató tus documentos.

El modelo produce una lectura provisional. Tú la compruebas y confirmas en el paso de revisión, y nuestro personal la comprueba antes de presentar nada. Conservamos la lectura, y una nota de qué modelo la produjo, como parte de tu solicitud mientras conservemos la solicitud.

5. Quién recibe tus datos

Compartimos tus datos con los siguientes destinatarios, cada uno solo para lo indicado y bajo un contrato que les obliga a protegerlos:

• OpenRouter, Inc. y, a través de ella, el proveedor del modelo de IA (actualmente Anthropic, PBC): lectura de tus documentos, con retención cero de datos como se describe arriba.
• Nuestro sistema de facturación (WHMCS, en billing.hola.money) y su pasarela de pago con tarjeta, Stripe: facturación y cobro. Stripe trata los datos de la tarjeta como responsable independiente bajo su propia política.
• Buzzmark: envío de nuestros correos transaccionales (enlaces de confirmación, avisos sobre tu solicitud, facturas).
• Hetzner Online GmbH (centros de datos en Alemania y Finlandia): alojamiento del portal y almacenamiento cifrado de tus documentos; y Laravel Forge: administración de los servidores.
• Gong Time, S.L. (autoridad de registro) y Firmaprofesional, S.A. (emisor): para un certificado digital, tus datos identificativos y documentos, para firmar el contrato, realizar la videoidentificación y emitir el certificado. Ambos son responsables de lo que la normativa les obliga a conservar.
• La Policía Nacional y la Oficina de Extranjería, y sus sistemas de cita y de solicitud: para una renovación de TIE, el formulario oficial, tus documentos y el justificante de la tasa, y la cita reservada a tu nombre.
• El gestor que eliges: para un servicio prestado por un gestor, tu expediente, sus respuestas, documentos y mensajes, para que pueda hacer el trabajo.
• Administraciones públicas, juzgados y reguladores cuando la ley lo exige, y asesores profesionales sujetos a confidencialidad cuando los necesitamos para defender una reclamación.

Nunca vendemos datos personales ni los compartimos para publicidad de terceros.

6. Transferencias fuera del Espacio Económico Europeo

Tus documentos se almacenan en la UE. La lectura por IA descrita arriba implica una transferencia a Estados Unidos (OpenRouter y el proveedor del modelo), igual que el procesamiento de tarjetas por Stripe y, según su infraestructura, la entrega de correo. Para cada una de esas transferencias nos amparamos en una decisión de adecuación de la Comisión Europea cuando cubre al destinatario (incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas certificadas) y, en su defecto, en las Cláusulas Contractuales Tipo aprobadas por la Comisión, junto con el ajuste de retención cero de datos descrito arriba, que supone que el proveedor del modelo no conserva nada que transferir. Las cláusulas están disponibles a petición.

7. Cuánto tiempo los conservamos

• Documentos subidos y las imágenes que generamos a partir de ellos: su contenido se elimina 365 días después de que la solicitud o el expediente se cierre. El registro de que un documento existió (nombre, tipo, fechas) permanece con la solicitud.
• Tu solicitud o expediente, sus respuestas, historial y mensajes: mientras esté abierto y, después, durante el plazo de prescripción de las acciones contractuales (cinco años en España); luego se eliminan.
• Facturas y registros de pago: el periodo que exige la normativa fiscal y contable —al menos cuatro años a efectos fiscales, seis a efectos contables—; luego se eliminan.
• El registro de tu aceptación de las condiciones (versión, fecha, idioma, dirección IP, navegador): mientras conservemos la solicitud, expediente o cuenta a que se refiere, más el plazo de prescripción.
• Tu cuenta: mientras esté activa y, tras su cierre o tras la última actividad, durante el plazo de prescripción. Una cuenta sin nada en ella que lleve tres años inactiva se elimina.
• Grabaciones de videoidentificación: las conserva el emisor, Firmaprofesional, durante el periodo que prescribe la normativa (veinte años), no nosotros.
• Registros de seguridad: doce meses.

8. Tus derechos

Tienes derecho a pedirnos acceso a tus datos, su rectificación, su supresión, la limitación de su tratamiento, a recibir los datos que nos diste en un formato portable y a oponerte al tratamiento basado en nuestro interés legítimo. Cuando el tratamiento se base en tu consentimiento, puedes retirarlo en cualquier momento sin que afecte a lo hecho antes; retirar el consentimiento a la lectura por IA supone que no podemos continuar el servicio, y se aplican las reglas de cancelación y devolución de las condiciones.

Para ejercer un derecho, escribe a [email protected] desde el correo de tu cuenta, o por correo postal a la dirección anterior, indicando qué derecho y, si no es evidente, qué datos. Respondemos en el plazo de un mes; si una solicitud es compleja podemos tardar hasta dos meses más y te lo diremos. Podemos pedirte que confirmes antes tu identidad. Buena parte puedes hacerlo tú: tus documentos y facturas están en el portal, y tus datos se editan en tu perfil.

Una solicitud sobre datos que conserva el emisor o la autoridad de registro (la videoidentificación) se les remite en 24 horas, y te informamos de que lo hemos hecho.

9. Reclamaciones

Si crees que hemos tratado mal tus datos, dínoslo primero e intentaremos arreglarlo. También tienes derecho a reclamar ante la autoridad de control, la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, o ante la autoridad del país de la UE en que resides.

10. Cookies

El portal usa solo las cookies que necesita para funcionar: una cookie de sesión que mantiene tu sesión iniciada, una cookie que recuerda tu idioma y el token de seguridad que protege los formularios. No instala cookies publicitarias ni de analítica. Nuestras webs de marketing tienen sus propias políticas de cookies: holagestoria.es/cookies, tierenewal.es/cookies y digitcertificate.es/cookies.

11. Decisiones automatizadas

La inteligencia artificial lee tus documentos y nuestras reglas comprueban que una solicitud está completa; por ejemplo, que un pasaporte no ha caducado. Ninguna de las dos toma una decisión sobre ti por sí sola: una lectura la confirmas tú y la comprueba nuestro personal, y una regla que no se cumple envía la solicitud a una persona, que decide. No eres objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar.

12. Seguridad

Los documentos se almacenan cifrados en un almacenamiento privado no accesible desde internet; los enlaces de descarga van firmados y caducan en minutos; cada acceso del personal queda registrado. Los datos confirmados no pueden ser sobrescritos por una máquina: la propia base de datos lo rechaza. El acceso del personal es por rol, limitado a los productos en que trabaja cada persona, y se revisa. Usamos autenticación en dos pasos internamente y te la ofrecemos en tu cuenta. Si una brecha llegara a afectar a tus datos, te informaríamos a ti y a la AEPD como exige la ley.

13. Menores

El portal es para adultos. Cuando una solicitud se refiere a un menor —la renovación de la TIE de un hijo, por ejemplo— el adulto que la inicia lo hace como padre, madre o tutor del menor, y solo se crea la cuenta de ese adulto.

14. Cambios en esta política

Esta política se versiona por fecha, y la versión vigente figura al principio. Cuando la cambiemos de un modo que te afecte, te lo comunicaremos por correo o en el portal y, cuando el cambio concierna a una solicitud o expediente que tengas abierto, te pediremos que aceptes la versión nueva antes de continuar. Las versiones anteriores están disponibles a petición.