Política de privacidad

1. Responsable y alcance

El prestador identificado en esta página es responsable del tratamiento de los datos de cuenta, operación y facturación de Forma y, cuando corresponda, del tratamiento de datos personales incorporados a su catálogo de fuentes. Esta política se aplica al sitio, consola, APIs, MCP y comunicaciones de Forma. No sustituye las políticas de Google ni de los asistentes o aplicaciones que conectes.

Los datos relativos únicamente a personas jurídicas no son por sí mismos datos personales. Los registros empresariales pueden, sin embargo, incluir datos de personas físicas, como representantes, administradores o empresarios individuales. Su publicación previa no elimina la protección de datos.

2. Datos que tratamos y procedencia

Al acceder con Google, el servicio de autenticación recibe el identificador de usuario, correo y datos de perfil que permita la autorización de acceso. No recibimos tu contraseña de Google. La cuenta incluye el nombre del espacio de trabajo, preferencias y configuración de seguimiento. Las claves API se almacenan mediante una huella criptográfica, junto con su prefijo, nombre y fechas de uso o revocación.

Registramos operaciones y consumo: identificadores de cuenta, clave y solicitud, endpoint, fecha, créditos y estado. La infraestructura puede tratar dirección IP, información técnica del navegador y registros de seguridad. Para facturación utilizamos identificadores de cliente y transacción, plan y saldo; Stripe procesa los datos de pago, y Forma no almacena el número completo de tarjeta.

Los seguimientos pueden incluir empresas seleccionadas, dirección de webhook y destinatario de alertas. Las consultas de soporte contienen lo que nos envíes. El catálogo procede de publicaciones oficiales efectivamente incorporadas —por ejemplo BORME, PLACSP y publicaciones regulatorias revisadas— e incluye identificadores, cargos o hechos publicados cuando formen parte del documento. No todas las fuentes anunciadas en la hoja de ruta están integradas.

3. Finalidades y bases jurídicas

Gestionamos la cuenta, prestamos las consultas, ejecutamos seguimientos y administramos pagos para cumplir el contrato o atender solicitudes precontractuales. La contabilidad, obligaciones fiscales y atención a requerimientos se basan en obligaciones legales. Prevenir fraude, proteger claves y resolver incidencias responde a intereses legítimos de seguridad y continuidad, sujetos a necesidad y proporcionalidad.

Las alertas opcionales se envían cuando las activas; puedes desactivarlas en los ajustes. No se presume consentimiento para publicidad a partir del alta. Cualquier comunicación promocional que requiera consentimiento deberá solicitarlo por separado y permitir su retirada.

Las estadísticas de uso con Google Analytics se basan en tu consentimiento (artículo 6.1.a del RGPD y artículo 22.2 de la LSSI). Su finalidad es conocer de forma agregada qué páginas y funciones se usan para mejorar el servicio; no se usan para publicidad ni para tomar decisiones sobre ti. Si no lo aceptas, Google Analytics no se carga y el servicio funciona igual.

Cuando una fuente incluya datos personales, su incorporación y reutilización requiere una base jurídica y una evaluación específica de finalidad, necesidad, proporcionalidad y condiciones de la fuente. No se presume una autorización general por ser información pública. El interés legítimo, cuando proceda, debe concretarse y ponderarse; la legitimación y las obligaciones de información de cada tratamiento deben validarse antes de activarlo.

4. Proveedores, destinatarios e IA

El servicio utiliza Supabase para autenticación y base de datos, Vercel para alojamiento y ejecución, Google para el inicio de sesión y, solo si lo aceptas, Google Analytics para estadísticas de uso, Stripe para pagos, Resend para correos configurados y OpenAI para resúmenes de evidencia cuando se solicitan y están habilitados. Se facilita a cada proveedor la información necesaria para su función. Sus roles y condiciones pueden variar según el servicio; los contratos y configuraciones aplicables deben reflejar ese tratamiento.

Un resumen puede enviar a OpenAI títulos, extractos, fechas, identificadores y URLs de las evidencias seleccionadas. El asistente MCP elegido por el usuario recibe los resultados de las herramientas que invoque. No afirmamos que los proveedores carezcan de retención: sus plazos y usos dependen del producto, contrato y configuración. Evita incluir información confidencial innecesaria.

Los datos de resultados se comunican al cliente que realiza la consulta; las alertas se entregan a los destinatarios y endpoints que configure. También podemos comunicar datos cuando lo exija una obligación legal. No incorporamos rastreadores publicitarios, seguimiento entre sitios ni elaboración de perfiles. Utilizamos Vercel Web Analytics para contar páginas vistas y procedencias: funciona sin cookies y no almacena ningún identificador en tu dispositivo, por lo que no se identifica ni se sigue a ningún visitante entre sitios.

Si aceptas la analítica, usamos Google Analytics 4, prestado por Google Ireland Limited (Gordon House, Barrow Street, Dublín 4, Irlanda), que actúa como encargado del tratamiento conforme a sus condiciones de tratamiento de datos. Recibe un identificador seudónimo guardado en una cookie, las páginas visitadas sin parámetros de consulta, la página de procedencia, el idioma, el tipo de dispositivo y navegador, una ubicación aproximada derivada de la dirección IP, que Google Analytics no almacena, y eventos de uso del producto, como el número de resultados de una búsqueda, el formato de una descarga o el tipo de un informe enviado. Nunca le enviamos tu correo, tu nombre, el texto de tus búsquedas ni el NIF o el nombre de las empresas que consultas. Tenemos desactivados Google Signals, la personalización de anuncios y el uso compartido de datos con Google para otros fines.

5. Transferencias internacionales

Algunos proveedores o sus subencargados pueden tratar datos fuera del Espacio Económico Europeo. La región de alojamiento no garantiza por sí sola que todo acceso o soporte tenga lugar en Europa. Cuando exista una transferencia, se deberá aplicar una decisión de adecuación válida o las garantías apropiadas, como cláusulas contractuales tipo y medidas adicionales cuando sean necesarias.

Los datos de Google Analytics pueden tratarse en Estados Unidos por Google LLC. Esa transferencia se ampara en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., en el que Google LLC está certificada, y, de forma complementaria, en las cláusulas contractuales tipo de sus condiciones de tratamiento de datos.

Puedes solicitar información sobre los destinatarios, países y garantías aplicables a tu tratamiento por el canal de privacidad. La revisión previa al lanzamiento debe confirmar las regiones, contratos, subencargados y mecanismos efectivamente utilizados; esta política no certifica configuraciones aún no verificadas.

6. Conservación y supresión

Los datos de cuenta y configuración se conservan mientras sean necesarios para prestar el servicio y gestionar la relación. Al solicitar la baja, se revisará qué datos pueden eliminarse y cuáles deben quedar restringidos por obligaciones legales o reclamaciones. Los registros de facturación se conservarán durante los plazos legales aplicables; los registros operativos y de seguridad, durante el tiempo necesario para resolver incidencias, prevenir abuso y justificar consumos.

La conservación de documentos públicos se valora según la finalidad, pertinencia, condiciones de la fuente y derechos de las personas afectadas. Una solicitud de supresión en Forma no modifica el archivo de la administración de origen. No prometemos un borrado inmediato de todas las copias de seguridad; los ciclos de proveedor y las restricciones legales también deben considerarse. No hay un borrado automático por plazo anunciado en esta versión.

Google Analytics conserva los datos de nivel de usuario y de evento durante 2 meses, el plazo mínimo que permite; después solo quedan informes agregados. Cuando retiras el consentimiento, borramos sus cookies de tu navegador y dejamos de enviarle datos.

7. Cookies y almacenamiento del navegador

Utilizamos cookies técnicas de autenticación de Supabase bajo el prefijo forma-auth, que pueden dividirse en varias partes, y cookies temporales necesarias para el flujo de acceso. La duración depende de la sesión y su renovación. La cookie forma-locale conserva tu selección de idioma durante un año; no tiene finalidad publicitaria.

La cookie forma-consent guarda tu elección sobre la analítica (aceptada o rechazada) durante 12 meses; después te volveremos a preguntar. Es una cookie técnica, necesaria para respetar tu decisión, y no contiene ningún identificador.

Solo si aceptas la analítica, Google Analytics instala dos cookies propias de analítica: _ga, que distingue navegadores de forma seudónima, y _ga_<ID>, que mantiene el estado de la sesión. Ambas duran hasta 12 meses desde tu última visita. Si no aceptas, no se instalan y el código de Google no llega a cargarse. Rechazar es tan sencillo como aceptar, y la web funciona igual en ambos casos.

Puedes cambiar tu elección o retirar el consentimiento en cualquier momento desde «Configuración de cookies», en el pie de cada página, al final de esta política y en los ajustes de la consola. Al retirarlo, dejamos de enviar datos a Google Analytics y borramos sus cookies de tu navegador; la retirada no afecta a la licitud del tratamiento anterior.

La demo mantiene sus interacciones en el navegador. Los proveedores de acceso y pago pueden utilizar sus propias cookies en sus dominios. También puedes borrar o bloquear cookies desde tu navegador, aunque el acceso o la preferencia de idioma pueden dejar de funcionar.

8. Tus derechos y reclamaciones

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad cuando proceda y oponerte a tratamientos basados en interés legítimo. Si un tratamiento depende de tu consentimiento, puedes retirarlo sin afectar a la licitud del tratamiento anterior. Estos derechos también corresponden a personas cuyos datos provengan de fuentes públicas, aunque no tengan cuenta en Forma.

Escribe al contacto de privacidad indicando el derecho que ejercitas y los datos necesarios para localizar el caso. Solo solicitaremos información adicional de identidad cuando sea necesaria. Responderemos normalmente en un mes; si concurre una ampliación legal, te informaremos de sus motivos. Puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad competente. No necesitas aceptar estas condiciones ni contratar para ejercer derechos.

9. Seguridad, decisiones automatizadas y cambios

Aplicamos controles de acceso, separación lógica de espacios de trabajo y revocación de claves. Ninguna medida elimina todos los riesgos. Forma no ofrece una decisión automatizada de concesión de crédito, contratación o similar sobre personas; los resúmenes de IA requieren revisión humana y no deben utilizarse como único criterio para tales decisiones.

Actualizaremos esta política cuando cambien los tratamientos. La versión y fecha permiten identificar el texto aplicable. Los cambios relevantes se comunicarán por un medio adecuado; la publicación de una nueva versión no sustituye un consentimiento cuando sea exigible.

10. Personas que aparecen en registros públicos

Esta sección informa a las personas cuyos datos figuran en las publicaciones oficiales que reutilizamos (artículo 14 del RGPD). Hoy el catálogo publicado procede de las adjudicaciones de la Plataforma de Contratación del Sector Público (PLACSP), difundidas como datos abiertos conforme al artículo 63 de la Ley 9/2017, y describe empresas adjudicatarias. Puede afectar a personas físicas en tres casos: el nombre de comunidades de bienes y sociedades civiles adjudicatarias, que a veces es el de sus miembros; los datos personales que un órgano de contratación incluya en el título oficial de un contrato, como un correo o un DNI, que ocultamos al mostrarlo; y los datos de contacto del personal de los órganos de contratación presentes en el documento original, que conservamos como evidencia sin mostrarlos ni comunicarlos.

Los tratamos para ofrecer a nuestros clientes información verificable sobre la actividad de las empresas con el sector público, enlazada a la publicación oficial. La base jurídica prevista es el interés legítimo de Forma y de sus clientes en conocer esa actividad (artículo 6.1.f del RGPD); su ponderación está en revisión jurídica. Los destinatarios son los clientes que consultan la API, el MCP o la consola, y los endpoints o correos que configuren. No elaboramos perfiles de personas, no enviamos datos de comunidades de bienes ni de sociedades civiles a proveedores de IA y no calculamos indicadores sobre ellas.

Conservamos los documentos oficiales como evidencia de lo publicado y de su fecha. Puedes ejercer los derechos de la sección 8 escribiendo al contacto de privacidad e indicando el registro, por ejemplo el NIF de la entidad o el enlace a la publicación. Cuando recibimos una oposición o una solicitud de rectificación, retiramos el registro de todos nuestros canales mientras la estudiamos y respondemos en el plazo de un mes. La corrección del documento oficial corresponde al órgano que lo publicó; cuando lo rectifica, Forma incorpora la corrección.