Política de Privacidad

Evendalia OS · Sitio web y plataforma

1. Quién es el responsable del tratamiento

Dos papeles distintos

Evendalia OS es una plataforma que utilizan empresas de eventos (nuestros "Clientes") para gestionar su actividad. Por eso actuamos con dos papeles diferentes:

• Como responsable del tratamiento, tratamos los datos de las personas que visitan nuestro sitio web, solicitan información o una demostración, y de los usuarios y contactos de nuestros Clientes en relación con la cuenta, el pago y el soporte. Esta Política explica esos tratamientos.
• Como encargado del tratamiento, alojamos y procesamos por cuenta de cada Cliente los datos personales de sus clientes finales, invitados, proveedores y equipo que el Cliente introduce en la Plataforma. Para esos datos, el responsable es el Cliente y nosotros actuamos conforme a su encargo, regulado en el Contrato de Encargado del Tratamiento. Si usted es cliente final o invitado de una empresa que usa Evendalia y desea ejercer sus derechos, diríjase primero a esa empresa; nosotros colaboraremos con ella.

2. Qué datos tratamos, para qué y con qué base jurídica

Los campos marcados como obligatorios en los formularios son necesarios para prestar el servicio; si no se facilitan, no podremos atender la solicitud. Los plazos indicados podrán ampliarse mientras exista una obligación legal de conservar los datos o una reclamación pendiente. Consulte el detalle en la Política de Retención de Datos.

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted.

3. Procedencia de los datos

Los datos los facilita usted directamente o el Cliente para el que trabaja (cuando este le da de alta como usuario). Los datos técnicos se generan al usar el Sitio y la Plataforma.

4. Destinatarios y encargados del tratamiento

No vendemos sus datos. Podemos comunicarlos a:

• Proveedores que actúan por nuestra cuenta (encargados del tratamiento), con contrato conforme al artículo 28 RGPD. Actualmente: alojamiento, base de datos, autenticación y correo de autenticación (Supabase Inc., región eu-north-1, Estocolmo, Suecia · UE); despliegue web (Vercel Inc., infraestructura serverless global); pagos (Stripe Payments Europe, Ltd., Irlanda · UE); inteligencia artificial (Anthropic, PBC); almacenamiento de objetos de la galería de fotos (Cloudflare, Inc. · R2); y almacenamiento en memoria para sesiones de demostración (Upstash, Inc.). No hay proveedor de correo transaccional de producto ni de mensajería WhatsApp/SMS API, ni herramienta dedicada de monitorización de errores de terceros, activos en este momento. La lista actualizada de subencargados está en el Anexo III del Contrato de Encargado del Tratamiento.
• Administraciones públicas y autoridades, cuando exista obligación legal (por ejemplo, la Agencia Tributaria).
• Asesores profesionales (fiscal, legal), sujetos a deber de confidencialidad.
• Otros, con su consentimiento o su instrucción, como los servicios de terceros que usted conecte (por ejemplo, Google Drive o Google Calendar).

5. Transferencias internacionales

Algunos proveedores tienen sede o servicios en Estados Unidos. Cuando esto implica una transferencia de datos fuera del Espacio Económico Europeo, se apoya en una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU., para las entidades certificadas) o en las cláusulas contractuales tipo de la Comisión Europea, con las garantías adicionales que procedan. Puede solicitar una copia de estas garantías en info@masqueunaweb.com.

6. Integración con Google (Drive y Calendar)

Si el Cliente conecta su cuenta de Google a Evendalia OS:

• Google Drive: solicitamos el permiso drive.file para crear y gestionar únicamente las carpetas y archivos que la propia Plataforma crea (u abre con la app); no solicitamos acceso al resto de su Drive.
• Google Calendar: solicitamos calendar.app.created (crear un calendario secundario «Evendalia» y gestionar solo los eventos de ese calendario) y calendar.freebusy (comprobar huecos ocupados para avisar de solapes). No escribimos en su calendario principal, no leemos el contenido de eventos ajenos ni borramos citas que no haya creado la Plataforma.
• Gmail: el envío de correo mediante la API de Gmail no forma parte de la integración habilitada por defecto; si se activa en el futuro, se pedirá consentimiento aparte y se actualizará esta Política.
• Usamos la información recibida de las APIs de Google solo para prestar estas funciones de la Plataforma (carpeta por proyecto, agenda y avisos de solape), no para publicidad ni para vender datos.
• El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google cumplirá la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).
• Puede desconectar cada integración en cualquier momento desde Evendalia OS (Ajustes → Integraciones) o desde los permisos de su cuenta de Google. Al desconectar, eliminamos los tokens de acceso almacenados.

7. Inteligencia artificial

Algunas funciones de la Plataforma utilizan sistemas de inteligencia artificial de terceros (extracción de documentos, sugerencias de presupuesto, borradores, resúmenes). Se activan a solicitud del usuario, un usuario revisa los resultados antes de su uso, y exigimos a estos proveedores que no utilicen los contenidos de los clientes para entrenar sus modelos. Más información en las Condiciones Específicas de IA.

8. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento en cualquier momento (sin afectar a la licitud del tratamiento previo), escribiendo a info@masqueunaweb.com e indicando su nombre y el derecho que desea ejercer. Podemos pedirle que acredite su identidad. Responderemos en el plazo de un mes (prorrogable en casos complejos, con aviso).

Si considera que no hemos tratado sus datos correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan, 6, 28001 Madrid.

9. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre otras: cifrado en tránsito, aislamiento lógico de los datos de cada organización, control de acceso por roles, copias de seguridad, entornos de pruebas separados de producción y procedimientos de gestión de incidentes. Detalle en el Anexo II del Contrato de Encargado del Tratamiento.

10. Menores

La Plataforma se dirige a profesionales y empresas. No recopilamos conscientemente datos de menores de 14 años como usuarios. Si el Cliente introduce datos de menores (por ejemplo, como invitados de un evento), es responsable de contar con la legitimación necesaria.

11. Cambios en esta política

Podemos modificar esta Política para adaptarla a cambios legales o del servicio. Publicaremos la versión vigente con su fecha y, si el cambio es relevante, se lo comunicaremos.

Última actualización: 13 de octubre de 2026 · Versión 0.3