Transparencia, privacidad y seguridad jurídica.
Política de Privacidad DealPiloot (Verne AI)
Versión 4.3 • 1 de septiembre de 2026 • Plena conformidad con RGPD y Ley de IA de la UE1. Identidad y datos de contacto del responsable del tratamiento
La presente Declaración de Privacidad se aplica a todo tratamiento de datos personales efectuado por Verne AI, con sede en Utrecht, operando bajo el nombre comercial DealPiloot (registro mercantil previa solicitud) (en lo sucesivo: "DealPiloot", "Verne AI", "nosotros").
Para consultas sobre privacidad y ejercicio de derechos, contacte directamente con nuestro Delegado de Protección de Datos (DPO) en privacy@dealpiloot.nl.
2. Ámbito y distribución de roles jurídicos (RGPD art. 4, apartados 7 y 8)
Conforme al RGPD, DealPiloot distingue dos situaciones de tratamiento:
a) DealPiloot como Responsable del Tratamiento: Determinamos de forma independiente los fines y medios del tratamiento de los datos de visitantes web, clientes potenciales, contactos de asesorías y facturación.
b) DealPiloot como Encargado del Tratamiento: Respecto a todos los datos de expedientes, balances, transacciones bancarias e información de terceros introducida por la asesoría, esta actúa como Responsable del Tratamiento y DealPiloot exclusivamente como Encargado del Tratamiento según el art. 28 del RGPD.
3. Categorías de datos personales que tratamos
Tratamos exclusivamente los datos necesarios para la operativa SaaS y la confección del expediente crediticio:
• Datos de asesores y usuarios: Nombre, correo corporativo, teléfono, nombre del despacho, NIF/CIF, IP y registros de auditoría.
• Datos de expedientes financieros (por cuenta ajena): Razón social solicitante, balances, cuentas de resultados, flujos de caja anonimizados y notas de reuniones.
• Datos de voz (DealPiloot Light): Grabaciones de audio dictadas y sus transcripciones preliminares estructuradas.
4. Fines del tratamiento y bases jurídicas (RGPD art. 6, apartado 1)
Cada tratamiento se ampara en una base jurídica explícita según el art. 6.1 del RGPD:
• Ejecución contractual (letra b): Acceso a la plataforma, transcripción de voz (Light) y generación de dossiers (CreditPack).
• Obligación legal (letra c): Cumplimiento de deberes contables y retención fiscal de 7 años (art. 52 ley fiscal neerlandesa AWR).
• Interés legítimo (letra f): Seguridad de red, prevención de intrusiones, aislamiento de inquilinos y monitorización.
• Consentimiento (letra a): Exclusivamente para cookies analíticas opcionales mediante nuestro gestor de consentimiento.
5. Datos de voz y garantía de cero entrenamiento de modelos de IA
Nuestra gestión de datos se rige por la privacidad por diseño:
• Purga criptográfica de audio: Las notas de voz se usan únicamente para la transcripción inmediata. En un plazo máximo de 24 horas tras la transcripción, el archivo de audio se elimina de forma permanente e irrevocable.
• Cero entrenamiento de IA: Ningún audio, transcripción o expediente financiero se utiliza jamás para entrenar modelos de IA públicos, genéricos o de terceros.
6. Prohibición expresa de números nacionales de identidad (BSN) y ofuscación
Conforme al art. 46 de la ley neerlandesa de desarrollo del RGPD (UAVG), un número de identificación establecido por ley, como el número de servicio ciudadano (BSN), solo puede utilizarse para la ejecución de la ley correspondiente o para fines determinados por ley.
Obligación estricta para asesores: Queda prohibido introducir números de identidad sin censurar. Como salvaguarda técnica, DealPiloot aplica un enmascaramiento heurístico automático. DealPiloot no asume responsabilidad si el usuario incumple esta prohibición.
7. Plazos de conservación y plan de supresión
No conservamos datos más tiempo del estrictamente necesario:
• Audio de voz bruto: Máximo 24 horas tras la transcripción (borrado automatizado).
• Dossiers crediticios: Durante la vigencia de la suscripción con la asesoría, más 30 días de periodo de exportación tras la baja.
• Datos de facturación: 7 años conforme a las exigencias fiscales.
• Registros de sesión y seguridad: De 90 días a 12 meses máximo.
8. Subencargados y residencia de datos en el EEE
Todos los servidores, bases de datos y copias de seguridad están físicamente en el Espacio Económico Europeo (EEE), en centros de datos Tier-3 de Ámsterdam (Países Bajos) y Fráncfort (Alemania) con certificación ISO 27001 y SOC 2 Tipo II.
No se realizan transferencias fuera del EEE sin las garantías adecuadas del Capítulo V del RGPD.
9. Sin decisiones automatizadas ni elaboración de perfiles (RGPD art. 22 y Ley de IA)
DealPiloot no adopta decisiones automatizadas ni elabora perfiles con efectos jurídicos según el art. 22 del RGPD.
La plataforma sigue una arquitectura de Human-in-the-Loop según la Ley de IA europea: genera cálculos indicativos (DSCR, EBITDA) para asistir al profesional humano. El asesor y el analista de riesgos de la entidad bancaria mantienen en todo momento el 100% de la responsabilidad final de la decisión.
10. Derechos de los interesados (RGPD Capítulo III)
Usted cuenta con los siguientes derechos estatutarios:
• Acceso (art. 15): Conocer qué datos personales tratamos.
• Rectificación (art. 16): Corregir datos inexactos.
• Supresión / Olvido (art. 17): Solicitar el borrado de sus datos.
• Limitación (art. 18): Paralizar temporalmente el tratamiento.
• Portabilidad (art. 20): Recibir sus datos en formato estructurado y legible.
• Oposición (art. 21): Oponerse a tratamientos basados en interés legítimo.
Las solicitudes pueden cursarse en el portal DSR inferior o mediante correo a privacy@dealpiloot.nl.
11. Medidas técnicas y organizativas de seguridad (RGPD art. 32)
DealPiloot aplica estándares de seguridad bancaria:
• Cifrado en tránsito mediante TLS 1.3 con secreto perfecto hacia adelante;
• Cifrado en reposo (AES-256) en todas las bases de datos y volúmenes de archivo;
• Aislamiento lógico de inquilinos con partición criptográfica por asesoría;
• Autenticación multifactor (MFA / TOTP) obligatoria para el acceso de administradores;
• Escaneos continuos de vulnerabilidades y registro inmutable de pistas de auditoría.
12. Derecho a reclamar ante la autoridad de control y legislación aplicable
Puede presentar una reclamación ante la autoridad competente: Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ La Haya, Países Bajos (autoriteitpersoonsgegevens.nl).
Esta política se rige por la legislación neerlandesa. Cualquier litigio se somete a los tribunales del distrito de Midden-Nederland (sede en Utrecht).
Portal DSR RGPD: Ejercicio de derechos de los interesados
¿Sus datos han sido tratados en DealPiloot? Remita su solicitud directamente a nuestro Delegado de Protección de Datos:
⚖️ La legislación neerlandesa prevalecerá en todo momento. En caso de discrepancias de interpretación entre las versiones traducidas y el texto original neerlandés, este último será vinculante.