Política de privacidad

1. Responsable del tratamiento

COR THREE BACKLOT LABS, S.L., NIF B88816806, C/ Jaspe 7, 2.º A — Madrid. Contacto para todo lo relativo a tus datos: hola@subvencioname.app.

2. Qué datos tratamos, para qué y con qué base

Solo tratamos los datos que nos das o que genera tu uso del servicio:

· Cuenta y perfil (nombre, email, contraseña cifrada; y si decides dejarlos: teléfono, dirección y foto de perfil — opcionales, editables y eliminables desde tu cuenta): prestarte el servicio. Base: ejecución del contrato (art. 6.1.b RGPD).
· Perfil de negocio y alertas (provincia, sectores, preferencias y, si la escribes, la frase que describe tu negocio): personalizar resultados y enviarte los avisos que configuras. Base: ejecución del contrato.
· Consultas al asistente de IA (la descripción de tu negocio que escribes) y tu historial de análisis: generar el análisis y que puedas reabrirlo. Base: ejecución del contrato. Google procesa la consulta como encargado del tratamiento a través de su API para empresas, sujeta a sus términos de servicio; no compartimos con Google tu identidad junto a la consulta.
· Encargos de tramitación y mensajes a gestores: ponerte en contacto con el gestor que eliges o que te asignamos — tus datos de contacto y la descripción de tu caso se comunican solo a ese gestor, que pasa a ser responsable de su propio tratamiento. Si su plan incluye la herramienta de gestión, tu consulta queda además como ficha de contacto en su cartera, que nosotros alojamos como encargados del tratamiento por cuenta de esa gestoría (art. 28 RGPD): ella decide qué hace con esa ficha, cuánto la conserva y puede borrarla. Base: ejecución de tu solicitud (art. 6.1.b).
· Avisos de cierre de plazo y lista de espera (solo el email): enviarte ese aviso concreto, con baja de un clic en cada correo. Base: consentimiento (art. 6.1.a).
· Perfil público de gestor (los datos profesionales que el gestor da de alta): publicarlo en el directorio. Base: ejecución del contrato.
· Facturación de suscripciones: Stripe procesa el pago; nosotros no almacenamos tu tarjeta. Base: ejecución del contrato y obligaciones fiscales (art. 6.1.c).
· Comunicaciones comerciales propias a cuentas registradas, sobre el propio servicio (art. 21.2 LSSI), siempre con baja de un clic; y, si nos diste teléfono, llamadas para ayudarte con tu cuenta y contarte ofertas del servicio (consultamos la Lista Robinson cuando es preceptivo). Base: interés legítimo (art. 6.1.f), con oposición en cualquier momento.
· Métricas de uso anónimas: qué se busca y se pulsa, con identificadores seudonimizados con sal y sin datos identificativos, para mejorar el producto. Base: interés legítimo.

3. Datos procedentes de fuentes oficiales

Subvencióname trata y muestra datos identificativos de adjudicatarios de contratos públicos y beneficiarios de subvenciones (nombre o razón social, NIF, importe, órgano y objeto) obtenidos exclusivamente de fuentes oficiales de publicación obligatoria: la Base de Datos Nacional de Subvenciones (arts. 18 y 20 de la Ley 38/2003), la Plataforma de Contratación del Sector Público y los diarios oficiales (arts. 63 y 151 de la Ley 9/2017), el BOE, el DOUE/TED y los portales de datos abiertos, al amparo de la Ley 37/2007 de reutilización de la información del sector público.

La base jurídica de este tratamiento es el interés legítimo (art. 6.1.f RGPD y art. 19 LOPDGDD) en favorecer la transparencia del gasto público y del mercado, mostrando los datos únicamente en la condición de operador económico del afectado y con el mismo alcance con que la fuente oficial los publica. En las páginas públicas del sitio solo mostramos personas jurídicas; los identificadores de personas físicas se muestran tal y como los enmascara y publica la fuente oficial. Dada la imposibilidad de informar individualmente a los cientos de miles de afectados, esta política sirve de información pública del tratamiento (art. 14.5.b RGPD).

Si apareces en estos datos puedes ejercer tus derechos (acceso, oposición, supresión y demás) en hola@subvencioname.app: resolvemos en el plazo máximo de un mes y, cuando la ponderación proceda, retiramos o desindexamos la información de nuestro buscador — sin perjuicio de su permanencia en la fuente oficial, ante la que también puedes ejercitarlos.

4. Destinatarios y encargados

No vendemos datos ni los cedemos a terceros distintos del gestor al que decides escribir. Nos apoyamos en encargados de tratamiento con garantías del art. 28 RGPD, la misma lista que figura en las condiciones de uso y en el contrato profesional:

• Vercel: alojamiento, red y analítica agregada.
• Neon: base de datos.
• Stripe: pagos y facturación.
• Resend: envío y recepción de correo.
• Google: inteligencia artificial (Gemini) y, con tu consentimiento, analítica.
• Amazon Web Services: embeddings y lectura de documentos del asistente (Bedrock).
• Hetzner: archivo de documentos de bases reguladoras (Alemania).
• PostHog: analítica de producto, con tu consentimiento (región UE).
• TypeSafe AI: clasificación automática de textos: recibe el título, la finalidad y el órgano de convocatorias públicas, la actividad de un negocio y el texto de algunas búsquedas, sin asociarlo a tu cuenta; nunca nombres, NIF ni datos de contacto.
• Meta: medición publicitaria con identificadores seudonimizados, con tu consentimiento.
• OpenAI: medición publicitaria con identificadores seudonimizados, con tu consentimiento.

Tratan datos fuera de la Unión Europea (Estados Unidos o red global), entre otros: Vercel, Neon, Stripe, Resend, Google, Amazon Web Services, Meta, OpenAI. La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. y, en su defecto, en cláusulas contractuales tipo.

En un caso los papeles se invierten: en las fichas de la cartera de una gestoría (los contactos y encargos que ella gestiona, incluidas las consultas que le envías desde este sitio) la responsable es la gestoría y nosotros somos su encargado de tratamiento, limitados a alojar y hacer funcionar la herramienta siguiendo sus instrucciones (para proponer los temas de sus avisos, la actividad de cada ficha —solo ese texto— la clasifica TypeSafe AI como subencargado). Para ejercer tus derechos sobre esa ficha, dirígete a la gestoría; si nos escribes a nosotros, trasladamos tu petición.

5. Plazos de conservación

Los datos de tu cuenta, mientras la mantengas abierta (puedes borrarla escribiéndonos). Los avisos de plazo y la lista de espera, hasta que se cumplan o te des de baja. Los registros de facturación, los plazos fiscales legales. Los registros de correo y seguridad, un máximo de dos años. Los datos de fuentes oficiales, mientras la fuente los mantenga publicados. Los mensajes que envías a un gestor y la ficha de contacto que generan en su cartera: el plazo lo decide la gestoría, que es su responsable, y los borramos en cuanto ella o tú nos lo pedís. Si deja de tener contratada la herramienta, sus fichas se le devuelven o se suprimen a su elección.

6. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (arts. 15-22 RGPD) escribiendo a hola@subvencioname.app desde el email de tu cuenta o acreditando tu identidad, aunque no tengas cuenta con nosotros. Respondemos en el plazo máximo de un mes. Si no quedas conforme, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Si escribiste a un gestor desde este sitio y pides la supresión, borramos el registro de tu mensaje y la ficha de contacto que generó, siempre que se quedara ahí. Si esa gestoría llegó a trabajar contigo —te llevó un encargo, anotó tu expediente o siguió tu caso—, la ficha es suya y decide ella: le trasladamos tu petición (art. 19 RGPD) y te decimos a quién se la hemos pasado, para que puedas dirigirte directamente.

7. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas (art. 32 RGPD): cifrado en tránsito, contraseñas con hash, control de acceso por roles, registro de envíos y revisiones automáticas de seguridad en cada despliegue. Ningún sistema es infalible: si detectáramos una violación de seguridad con riesgo para ti, la notificaríamos a la AEPD y, cuando proceda, a los afectados (arts. 33-34).