Política de privacidad

Esta política explica cómo tratamos los datos personales en la plataforma coordinat.io y en la extensión de navegador coordinat Guard. Está redactada conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

Razón social: OWIUS TECHNOLOGIES, S.L. (comercialmente «Owius»).
NIF-IVA: ESB67030593
Domicilio: C/ Sardenya, 229, 4ª planta, 08013 Barcelona (España)
Correo de contacto y de privacidad: privacidad@coordinat.io

coordinat.io es una marca de producto de OWIUS TECHNOLOGIES, S.L. Las referencias en este documento a «coordinat.io» se entienden hechas a dicha sociedad como responsable.

2. Roles: responsable y encargado

coordinat.io actúa con un doble rol según el dato:

Como responsable, respecto de los datos de las cuentas (personas que se registran, administran o usan la plataforma) y de nuestra relación comercial.
Como encargado del tratamiento, respecto del contenido que las organizaciones clientes procesan a través de la plataforma (prompts, documentos, respuestas de IA, eventos de gobierno). En ese caso, la organización cliente es la responsable y coordinat.io trata esos datos siguiendo sus instrucciones, mediante el correspondiente contrato de encargo (art. 28 RGPD) disponible para clientes.

3. Datos que tratamos y finalidades

Categoría de datos	Finalidad	Base legal
Datos de cuenta (nombre, email corporativo, contraseña cifrada, organización, rol)	Crear y gestionar la cuenta, autenticar el acceso, prestar el servicio	Ejecución del contrato (art. 6.1.b)
Datos de uso y registros (peticiones de IA, modelo usado, coste, trazas de auditoría, eventos de protección de datos)	Prestar las funciones de gobierno, control de gasto, auditoría y seguridad	Ejecución del contrato e interés legítimo (art. 6.1.b y 6.1.f)
Contenido enviado a la IA (prompts, ficheros, respuestas)	Procesar la solicitud del usuario a través del gateway hacia el proveedor de IA elegido	Tratado como encargado, por cuenta de la organización cliente
Datos de facturación (plan, pagos)	Gestionar la suscripción y cumplir obligaciones fiscales	Contrato y obligación legal (art. 6.1.b y 6.1.c)
Datos de la extensión coordinat Guard (ver sección 8)	Detectar datos sensibles y dar visibilidad del uso de IA externa a la organización	Tratado como encargado, por cuenta de la organización empleadora
Datos de contacto comercial (formularios, chat de la web)	Atender consultas y solicitudes de información	Consentimiento e interés legítimo (art. 6.1.a y 6.1.f)

4. Sobre el contenido enviado a la inteligencia artificial

coordinat.io es una capa de gobierno: el contenido que un usuario envía se encamina al proveedor de IA correspondiente (ver sección 6). Aplicamos controles de protección de datos (DLP) que pueden avisar, anonimizar o bloquear el envío de datos sensibles según la política de la organización. No usamos el contenido de los clientes para entrenar modelos propios, ni lo cedemos a terceros más allá del proveedor de IA necesario para atender la solicitud.

5. Plazos de conservación

Datos de cuenta: mientras la cuenta esté activa y, tras su baja, durante los plazos legales de prescripción.
Registros de uso y auditoría: según el plan contratado por la organización (por defecto de 90 días a 1 año), o el plazo que la organización configure.
Datos de facturación: durante los plazos exigidos por la normativa fiscal y contable.
Al eliminar una organización, sus datos se purgan tras el periodo de gracia previsto.

6. Destinatarios y encargados (subencargados)

Para prestar el servicio recurrimos a proveedores que actúan como encargados:

Proveedores de modelos de IA (OpenAI, Anthropic, Google, Mistral, entre otros): procesan el contenido enviado para generar la respuesta. Si la organización usa sus propias claves (BYOK), la relación es directa con el proveedor.
Proveedor de pagos (Stripe): gestión de suscripciones y cobros.
Proveedor de infraestructura/hosting (OVH), en la Unión Europea.
Proveedor de envío de correo para notificaciones transaccionales.

Algunos proveedores de IA pueden tratar datos fuera del EEE; en ese caso el tratamiento se ampara en garantías adecuadas (cláusulas contractuales tipo de la UE). La lista actualizada de subencargados está disponible para clientes previa solicitud a privacidad@coordinat.io. No vendemos datos personales.

7. Derechos de las personas

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento, escribiendo a privacidad@coordinat.io. Si el tratamiento lo realiza tu organización (por ejemplo, los datos de la extensión Guard o el contenido de IA), dirige tu solicitud a tu empresa como responsable; te ayudaremos a canalizarla. Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Extensión de navegador «coordinat Guard»

Guard es una extensión de protección de datos. Su comportamiento por defecto prioriza la privacidad: la detección se ejecuta en local y no se registra el contenido de los mensajes salvo que la organización lo active expresamente.

Qué hace en tu navegador

Guard analiza en local el texto que vas a enviar en webs de IA pública (ChatGPT, Claude, Gemini, Copilot, Perplexity, DeepSeek) para detectar datos sensibles (DNI/NIE, CIF, IBAN, tarjetas, emails, claves) y, según la política, avisar, anonimizar o bloquear el envío. Ese análisis ocurre íntegramente en tu equipo.

Qué se envía a coordinat.io (solo si conectas tu cuenta)

Si inicias sesión con tu cuenta corporativa, Guard sincroniza la política de tu organización y registra eventos de uso. Por defecto, cada evento contiene únicamente: la herramienta de IA usada, el momento y el tipo de dato detectado (por ejemplo «DNI»), asociado a tu cuenta. No se registra el contenido de tus mensajes, salvo que el administrador de tu organización active de forma explícita la opción de guardar un extracto. Sin cuenta conectada, la extensión no envía datos a ningún servidor.

Uso laboral y transparencia

Cuando una empresa despliega Guard, la empresa es la responsable del tratamiento y debe informar a su plantilla del registro conforme a la normativa laboral y de protección de datos. coordinat.io actúa como encargado.

Permisos que solicita la extensión

Acceso a las webs de IA soportadas: imprescindible para analizar el texto antes de enviarlo y mostrar el aviso.
Almacenamiento (storage): guarda la configuración local y la política de la organización.
Alarmas (alarms): refresca periódicamente la política.
Conexión con api.coordinat.io: descargar la política y enviar los eventos de uso.

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos: cifrado en tránsito, cifrado de credenciales y secretos sensibles, control de acceso por roles, aislamiento por organización y registros de auditoría.

10. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha de actualización.