Política de privacidad

Responsable	OPENDOME, S.L.
NIF	B88696745
Domicilio	Carrer del Sol 62, 08201 Sabadell (Barcelona), España
Registro Mercantil	Barcelona, hoja B-656608, folio 1, inscripción 1ª · EUID ES08005.000748074
Contacto de privacidad	privacy@opendome.eu

Delegado de Protección de Datos

Opendome ha evaluado la obligación de designar un DPD conforme al artículo 37 del RGPD y ha concluido que no concurren los supuestos que la exigen: nuestras actividades no constituyen una observación habitual y sistemática de interesados a gran escala, ni un tratamiento a gran escala de categorías especiales de datos, ni como responsable ni como encargado. Esta valoración se revisa al menos anualmente y ante cualquier cambio relevante en la naturaleza o escala de los tratamientos.

Las consultas de protección de datos las atiende el Coordinador de Seguridad de la Información a través de privacy@opendome.eu.

Esta distinción determina qué obligaciones asumimos y ante quién.

Plano	Nuestro rol	Qué significa
Datos propios visitantes, contactos, personal, proveedores	Responsable	Determinamos las finalidades y los medios, documentamos la base legal, informamos a los interesados y atendemos sus derechos. Esta política cubre este plano.
Datos de cliente alojados en su dome	Encargado	Tratamos esos datos únicamente conforme a las instrucciones documentadas del cliente, que es el responsable. No decidimos finalidades ni los usamos para fines propios.

Si eres cliente de Opendome, el tratamiento de los datos que alojas en tu dome se rige por el contrato de servicio y por el acuerdo de tratamiento de datos (DPA) firmado conforme al artículo 28 del RGPD, no por esta política.

Si tus datos están alojados en el dome de un cliente nuestro y quieres ejercer tus derechos, dirígete al responsable —la organización que recogió tus datos—. Si nos escribes a nosotros, trasladaremos tu solicitud sin dilación y asistiremos al cliente para atenderla, pero no podemos resolverla por nuestra cuenta salvo instrucción expresa suya.

Aportación de datos. Salvo indicación en contrario, los datos que solicitamos en los formularios son necesarios para atender tu petición; sin ellos no podremos hacerlo. No recogemos datos de categorías especiales (art. 9 RGPD) a través de este sitio; te pedimos que no los incluyas en los campos de texto libre.

Para prestar nuestros servicios recurrimos a proveedores que pueden acceder a datos personales en calidad de encargados o subencargados. Todos ellos están sujetos a una evaluación previa proporcional a su riesgo y a un acuerdo de tratamiento de datos conforme al artículo 28 del RGPD.

Proveedor	Servicio	Ubicación
Hetzner Online GmbH	Alojamiento del sitio web y del CMS, cómputo, almacenamiento y DNS	UE · Alemania/Finlandia
Plausible Insights OÜ	Analítica web sin cookies	UE · Estonia
Infomaniak Network SA	Correo corporativo, documentos, videoconferencia y calendario	Suiza · adecuación
Tass, Serveis d'Assessoria SL	Gestoría fiscal, contable y laboral (datos del personal)	UE · España
Holded (grupo Visma)	Facturación y contabilidad (datos de contacto, facturación e IBAN de clientes)	UE · España
Lettermint B.V.	Correo transaccional saliente	UE · Países Bajos
Netim SARL	Registro de dominios	UE · Francia
1Password (AgileBits, Inc., Canadá)	Gestor de contraseñas del personal (BYOPM); los secretos de organización residen en OpenBao autoalojado en la UE	Canadá · residencia de datos configurada en la UE
HostKey B.V.	Backends de inferencia del módulo opcional de IA. Solo interviene si el cliente contrata ese módulo; hasta entonces no circulan por él datos de cliente	UE/EEE · ubicaciones contratadas: Países Bajos e Islandia

La relación completa y actualizada de proveedores y subprocesadores, con su criticidad, categorías de datos y estado contractual, se publica y se mantiene en trust.opendome.eu.

Otros destinatarios. Podemos comunicar datos a Administraciones públicas, autoridades de control, jueces y tribunales cuando exista una obligación legal, así como a asesores profesionales sujetos a deber de secreto. No vendemos ni cedemos datos personales con fines publicitarios.

Datos de cliente. Los datos productivos de nuestros clientes residen y se procesan en la Unión Europea o el Espacio Económico Europeo y no se transfieren fuera. Todo proveedor que trate datos de cliente reside en la UE/EEE. Es una obligación de nuestro sistema de gestión de seguridad y un pilar del producto, no una declaración de intenciones.

Datos corporativos propios. Con carácter general se tratan en la UE/EEE. Existen dos supuestos documentados fuera de ese marco, ninguno de los cuales implica datos de cliente:

• Suiza, para la suite de trabajo y el correo corporativo, amparada en la decisión de adecuación de la Comisión Europea.

• Estados Unidos, para dos herramientas de desarrollo con acceso a código y contexto técnico interno —pero no a datos de cliente—, que tratan datos personales incidentales del equipo. Estas transferencias se amparan en el EU-US Data Privacy Framework y/o en cláusulas contractuales tipo (art. 46 RGPD), constan como excepción inventariada, están aceptadas formalmente por nuestro Consejo de Seguridad con revisión anual y tienen como objetivo declarado la migración a alternativas europeas.

Puedes solicitar información sobre las garantías aplicadas escribiendo a privacy@opendome.eu.

Conservamos los datos únicamente mientras exista una finalidad de negocio, contractual o legal que lo justifique, conforme a los plazos indicados en el apartado 3. Transcurridos esos plazos, los datos se suprimen de forma efectiva o se bloquean a disposición exclusiva de Administraciones, jueces y tribunales durante el periodo de prescripción de las acciones que pudieran derivarse.

Nuestra supresión es efectiva: alcanza al dato y a sus copias derivadas, y en el caso de las credenciales comprende su revocación además de su borrado.

Puedes ejercer en cualquier momento los derechos que te reconocen los artículos 15 a 22 del RGPD:

Derecho	Qué te permite
Acceso	Saber qué datos tuyos tratamos y obtener una copia.
Rectificación	Corregir datos inexactos o completarlos.
Supresión	Solicitar su eliminación cuando ya no sean necesarios o retires tu consentimiento.
Limitación	Pedir que suspendamos el tratamiento mientras se verifica una impugnación.
Portabilidad	Recibir tus datos en un formato estructurado y de uso común, o que los transmitamos a otro responsable.
Oposición	Oponerte a tratamientos basados en interés legítimo, incluida la mercadotecnia directa.
Decisiones automatizadas	No ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente.
Retirar el consentimiento	En cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Cómo ejercerlos

Escribe a privacy@opendome.eu o a OPENDOME, S.L., Carrer del Sol 62, 08201 Sabadell (Barcelona), indicando el derecho que ejerces. Verificaremos tu identidad antes de responder y resolveremos en el plazo máximo de un mes desde la recepción, prorrogable en dos meses más cuando la complejidad o el número de solicitudes lo justifique, en cuyo caso te informaremos del motivo dentro del primer mes (art. 12 RGPD).

Reclamación

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos — C/ Jorge Juan 6, 28001 Madrid — www.aepd.es. Te agradeceremos que, antes, nos des la oportunidad de resolverlo.

Opendome opera un Sistema de Gestión de Seguridad de la Información alineado con ISO/IEC 27001:2022 y con los criterios de SOC 2, con políticas aprobadas y revisadas por su Consejo de Seguridad. Las medidas técnicas y organizativas aplicadas conforme al artículo 32 del RGPD incluyen, entre otras:

• Cifrado en tránsito (TLS) y en reposo, y cifrado de disco en todos los puestos de trabajo.

• Identidad y acceso: inicio de sesión único con autenticación multifactor obligatoria y principio de mínimo privilegio y necesidad de conocer.

• Aislamiento por tenant: los datos de cada cliente residen en un dome aislado, sin mezcla ni acceso cruzado.

• Consumo gobernado del dato: toda lectura pasa por una única capa semántica con un punto de aplicación de políticas fail-closed —deniega por defecto—; ningún backend de datos ni modelo se expone directamente.

• Trazabilidad: cada acceso queda registrado en un log de auditoría.

• Desarrollo seguro: revisión por pares obligatoria, análisis de vulnerabilidades y de dependencias, SBOM y firma de artefactos.

• Datos sintéticos en desarrollo: está prohibido usar datos reales de cliente en entornos de desarrollo, pruebas o demostraciones.

• Gestión de riesgos, terceros e incidentes documentada, con revisión periódica.

Estado de certificación. El SGSI opera con normalidad y avanza hacia la certificación ISO/IEC 27001:2022 (auditoría en noviembre de 2026) y la atestación SOC 2 (Tipo I en otoño de 2026); no las presentamos como obtenidas hasta su emisión. El alcance, el calendario y el estado de avance se publican en el portal de confianza.

La documentación de seguridad y cumplimiento —políticas, controles y evidencias— se publica en trust.opendome.eu.

Si se produjera una violación de la seguridad de los datos personales:

• Como responsable, la notificaremos a la AEPD sin dilación indebida y, de ser posible, en un plazo no superior a 72 horas desde que tengamos constancia de ella, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas. Si el riesgo fuera alto, lo comunicaremos también a los interesados afectados.

• Como encargado, notificaremos al cliente responsable sin dilación indebida y le aportaremos la información necesaria para que cumpla sus propias obligaciones de notificación.

Toda brecha se documenta —hechos, efectos y medidas adoptadas— con independencia de si es notificable.

No adoptamos decisiones automatizadas con efectos jurídicos o significativos sobre los visitantes de este sitio, ni elaboramos perfiles con esa finalidad.

En nuestro producto, el uso de inteligencia artificial se rige por una política de IA responsable alineada con el Reglamento (UE) 2024/1689 (EU AI Act), cuyos principios son: transparencia y trazabilidad de toda inferencia sobre datos de cliente; supervisión humana en cualquier decisión relevante sobre seguridad, acceso o derechos de una persona; no determinación automática de la naturaleza personal de un dato —se declara, no se infiere—; y consumo del dato exclusivamente a través de la capa gobernada. Los sistemas de IA que desarrollamos u operamos cuentan con una clasificación de riesgo documentada conforme al Reglamento.

Este sitio se dirige a profesionales y organizaciones. No está destinado a menores de edad y no recabamos conscientemente datos de menores. Si tienes constancia de que un menor nos ha facilitado datos, escríbenos a privacy@opendome.eu para eliminarlos.

Podemos actualizar esta política para reflejar cambios normativos, técnicos o de negocio. Publicaremos siempre la fecha de última actualización y el número de versión. Cuando el cambio sea sustancial y afecte a tratamientos basados en tu consentimiento, te lo comunicaremos y, si procede, recabaremos uno nuevo.