Política de Privacidad de Carmen AI

Última actualización: Agosto 2025

1. Introducción y Responsable del Tratamiento

Esta Política de Privacidad establece cómo Aquí Está el Pato, S.L. (en adelante, "Carmen AI", "nosotros" o "la empresa") recopila, utiliza, almacena y protege la información personal de los usuarios de la aplicación Carmen AI.

Datos del Responsable:

Denominación social: Aquí Está el Pato, S.L.
Domicilio social: Mercedes Formica 1, Portal 11, 2A
NIF: B86353836
Email de contacto: contacto@carmenai.org
Delegado de Protección de Datos: contacto@carmenai.org

Esta política cumple con el Reglamento General de Protección de Datos (GDPR) UE 2016/679 y la legislación española de protección de datos.

2. Tipos de Datos Recopilados y Base Legal

2.1 Datos de Registro (Base Legal: Interés Legítimo)

Datos recopilados:

Nombre y apellidos
Género
Dirección de correo electrónico
Fecha de nacimiento

Finalidad: Personalización del servicio y gestión de la cuenta de usuario. Interés legítimo: Proporcionar un servicio personalizado y mantener la funcionalidad de la aplicación.

2.2 Datos de Uso y Conversaciones (Base Legal: Interés Legítimo)

Datos recopilados:

Historial completo de conversaciones con la inteligencia artificial
Historial de escaneos de productos alimentarios
Patrones de uso de la aplicación
Preferencias y configuraciones del usuario

Finalidad: Mejorar la funcionalidad técnica de la aplicación y ofrecer sugerencias personalizadas. Interés legítimo: Optimización del servicio y desarrollo de funcionalidades.

2.3 Datos Técnicos (Base Legal: Interés Legítimo)

Datos recopilados automáticamente:

Dirección IP
Tipo de dispositivo y sistema operativo
Logs de acceso y uso
Datos de rendimiento de la aplicación
Información de errores y fallos técnicos

Finalidad: Seguridad, mantenimiento técnico y prevención de fraudes. Interés legítimo: Garantizar la seguridad y estabilidad del servicio.

2.4 Datos Proporcionados Voluntariamente

Datos opcionales:

Comentarios y valoraciones de productos
Fotos de productos alimentarios
Cualquier información adicional proporcionada en conversaciones

Base legal: Consentimiento implícito mediante el uso voluntario de estas funcionalidades.

3. Finalidades del Tratamiento

Los datos personales se procesan exclusivamente para las siguientes finalidades:

3.1 Finalidades Principales

Prestación del servicio: Funcionamiento de la aplicación y sus características
Personalización: Adaptación de recomendaciones y sugerencias
Procesamiento por IA: Análisis de conversaciones e imágenes para generar respuestas
Gestión de cuenta: Autenticación y administración de perfiles de usuario

3.2 Finalidades Secundarias

Mejora del servicio: Análisis de uso para optimización técnica
Seguridad: Detección de fraudes y protección de la plataforma
Soporte técnico: Resolución de incidencias y asistencia al usuario
Cumplimiento legal: Respuesta a requerimientos legales y regulatorios

3.3 Exclusiones

Carmen AI NO utiliza los datos personales para:

Marketing directo o publicidad
Venta o cesión a terceros con fines comerciales
Perfilado automatizado con efectos legales
Finalidades distintas a las especificadas sin consentimiento adicional

4. Compartición con Terceros y Proveedores

4.1 Proveedores de Servicios de Inteligencia Artificial

OpenAI (Estados Unidos)

Datos compartidos: Conversaciones con la IA e imágenes de productos
Finalidad: Procesamiento de lenguaje natural y análisis de imágenes
Garantías: Standard Contractual Clauses (SCC) aprobadas por la UE

Anthropic (Estados Unidos)

Datos compartidos: Texto de conversaciones para procesamiento de IA
Finalidad: Servicios de inteligencia artificial y procesamiento de lenguaje
Garantías: Standard Contractual Clauses (SCC) aprobadas por la UE

Google AI Services (Estados Unidos)

Datos compartidos: Datos para análisis y servicios de IA adicionales
Finalidad: Servicios complementarios de inteligencia artificial
Garantías: Standard Contractual Clauses (SCC) aprobadas por la UE

4.2 Proveedores de Infraestructura

Firebase/Google Authentication (Estados Unidos)

Datos compartidos: Datos de autenticación y gestión de usuarios
Finalidad: Autenticación segura y gestión de cuentas
Garantías: Standard Contractual Clauses (SCC) aprobadas por la UE

Amazon Web Services - AWS (Irlanda)

Datos compartidos: Todos los datos almacenados en la aplicación
Finalidad: Hosting, almacenamiento y servicios de infraestructura
Garantías: Servidores ubicados en la Unión Europea (Irlanda)

4.3 Divulgación Obligatoria

Los datos pueden ser divulgados cuando sea legalmente requerido:

Órdenes judiciales o requerimientos de autoridades competentes
Cumplimiento de obligaciones legales
Protección de derechos, seguridad o propiedad de Carmen AI o terceros
Situaciones de emergencia que requieran protección de personas

5. Transferencias Internacionales de Datos

5.1 Países de Destino

Estados Unidos: OpenAI, Anthropic, Google AI, Firebase
Unión Europea (Irlanda): Amazon Web Services

5.2 Garantías Aplicadas

Para transferencias a Estados Unidos:

Standard Contractual Clauses (SCC) aprobadas por la Comisión Europea
Cláusulas contractuales que garantizan nivel de protección equivalente al GDPR
Compromiso de los proveedores de cumplir con estándares europeos de protección

Para transferencias dentro de la UE:

Aplicación directa del GDPR
Servidores ubicados en Irlanda (jurisdicción de la UE)

5.3 Sus Derechos en Transferencias

Tiene derecho a:

Obtener información sobre las garantías aplicadas
Solicitar copia de las cláusulas contractuales
Presentar reclamaciones ante la autoridad de control

6. Conservación de Datos

6.1 Criterios de Conservación

Usuarios activos:

Los datos se conservan mientras mantenga su cuenta activa
Revisión periódica de la necesidad de conservación

Tras eliminación de cuenta o inactividad:

Período de gracia: 1 año desde la última actividad o eliminación de cuenta
Eliminación definitiva: Transcurrido el año, eliminación completa y segura
Datos de seguridad: Logs técnicos conservados hasta 3 años para seguridad

6.2 Eliminación Segura

Eliminación irreversible de datos personales
Protocolos seguros de borrado en todos los sistemas
Confirmación de eliminación en sistemas de terceros

7. Seguridad de Datos

7.1 Medidas Técnicas Implementadas

Encriptación: Encriptación de contraseñas y datos sensibles
Autenticación: Sistemas de doble factor de autenticación disponibles
Control de acceso: Acceso restringido y autenticado a datos personales
Infraestructura segura: Utilización de servicios de AWS con certificaciones de seguridad

7.2 Medidas Organizativas

Auditorías de seguridad: Revisiones trimestrales de sistemas de seguridad
Formación de personal: Capacitación regular en protección de datos
Políticas internas: Procedimientos estrictos de manejo de datos personales
Respuesta a incidentes: Protocolos de respuesta ante brechas de seguridad

7.3 Notificación de Brechas

En caso de brecha de seguridad que afecte a datos personales:

Notificación a autoridades competentes en 72 horas
Comunicación a usuarios afectados si existe alto riesgo
Medidas inmediatas de contención y remediación

8. Sus Derechos como Usuario

Conforme al GDPR, usted tiene los siguientes derechos:

8.1 Derecho de Acceso (Art. 15 GDPR)

Obtener confirmación sobre si procesamos sus datos
Acceder a sus datos personales y información sobre el tratamiento
Recibir copia de sus datos personales

8.2 Derecho de Rectificación (Art. 16 GDPR)

Corregir datos personales inexactos
Completar datos personales incompletos

8.3 Derecho de Supresión (Art. 17 GDPR)

Eliminación de sus datos personales cuando:
- Ya no sean necesarios para las finalidades originales
- Retire su consentimiento (cuando sea la base legal)
- Los datos hayan sido tratados ilícitamente
- Sea necesario para cumplir una obligación legal

8.4 Derecho de Limitación del Tratamiento (Art. 18 GDPR)

Suspender el procesamiento cuando:
- Conteste la exactitud de los datos
- El tratamiento sea ilícito pero prefiera limitación en lugar de supresión
- Necesite los datos para reclamaciones legales

8.5 Derecho de Portabilidad (Art. 20 GDPR)

Recibir sus datos en formato estructurado y legible por máquina
Transmitir estos datos a otro responsable cuando sea técnicamente posible

8.6 Derecho de Oposición (Art. 21 GDPR)

Oponerse al tratamiento basado en interés legítimo
Oponerse en cualquier momento al tratamiento para marketing directo

8.7 Ejercicio de Derechos

Cómo ejercer sus derechos:

Email: contacto@carmenai.org
Asunto: "Ejercicio de Derechos GDPR"
Información requerida: Identificación clara y especificación del derecho

Plazos de respuesta:

Respuesta inicial: 30 días desde la solicitud
Extensión posible: 60 días adicionales en casos complejos
Sin coste para el usuario (salvo solicitudes excesivas)

9. Menores de Edad

9.1 Edad Mínima

Carmen AI no está dirigida a menores de 16 años
Los menores de 16 años no pueden crear cuentas
Verificación de edad mediante fecha de nacimiento

9.2 Detección de Menores

Si detectamos que hemos recopilado datos de menores de 16 años:

Eliminación inmediata de la cuenta y datos asociados
Contacto con los responsables legales si es posible
Implementación de medidas preventivas adicionales

9.3 Responsabilidad de los Usuarios

Los usuarios declaran y garantizan que:

Son mayores de 16 años
Proporcionan información veraz sobre su edad
No facilitan acceso a menores de 16 años

10. Cambios en la Política de Privacidad

10.1 Modificaciones

Carmen AI se reserva el derecho de modificar esta política de privacidad cuando sea necesario para:

Cumplir con cambios legislativos
Mejorar la claridad y transparencia
Reflejar cambios en nuestras prácticas de tratamiento

10.2 Notificación de Cambios

Cambios menores: Actualización en la aplicación sin notificación específica

Cambios sustanciales que afecten sus derechos:

Notificación por email a usuarios registrados
Notificación destacada en la aplicación
Período de gracia de 30 días antes de aplicación

10.3 Versionado

Cada versión incluye fecha de última actualización
Historial de cambios disponible bajo solicitud

11. Autoridad de Control

11.1 Derecho de Reclamación

Tiene derecho a presentar reclamación ante la autoridad de control, especialmente en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la presunta infracción.

11.2 Autoridad de Control Española

Agencia Española de Protección de Datos (AEPD)

Web: www.aepd.es
Teléfono: 901 100 099 / 912 663 517
Sede: C/ Jorge Juan, 6, 28001 Madrid

12. Contacto y Delegado de Protección de Datos

12.1 Contacto General

Para consultas generales sobre privacidad:

Email: contacto@carmenai.org
Asunto: "Consulta Privacidad"

12.2 Delegado de Protección de Datos (DPO)

Para cuestiones específicas de protección de datos:

Email: contacto@carmenai.org
Asunto: "Atención DPO"

12.3 Respuesta a Consultas

Tiempo de respuesta: Máximo 30 días
Idiomas: Español e inglés
Horario de atención: Lunes a viernes, 9:00 a 18:00 (CET)

Al utilizar Carmen AI, confirma que ha leído, entendido y acepta esta Política de Privacidad en su totalidad.

Esta política forma parte integral de nuestros Términos y Condiciones de Uso.