1. ¿Quién es el Responsable del tratamiento?
Nombre: Krisztian Eyssen (persona física que ejerce por cuenta propia / empresario individual, «sole trader»), que opera bajo el nombre comercial eYssen
Dirección: Flat D, 129–131 Sutherland Avenue, London W9 2QJ, United Kingdom
Correo electrónico: [email protected]
Teléfono: +44 7770 635936 (contacto principal del servicio)
Sitio web: https://www.eyssen.com
El presente Aviso se aplica a las actividades de tratamiento de datos relacionadas con los sitios web https://www.eyssen.com, https://www.eyssen.ai y https://gate.eyssen.ai, los servicios basados en eYssen/Odoo («Sistema»), los servicios de eYssen AI y eYssen AI Gate (incluida su API en api.eyssen.ai).
Nuestras funciones en resumen
- Actuamos como Responsable del tratamiento cuando tratamos datos personales para nuestros propios fines de gestión de la relación con clientes, facturación, contractuales y de funcionamiento del sitio web (p. ej., datos de las personas de contacto).
- Actuamos como Encargado del tratamiento cuando operamos las instancias eYssen/Odoo por cuenta de nuestros Clientes y tratamos los datos empresariales propios del Cliente almacenados en dichas instancias (p. ej., datos de clientes/proveedores/empleados/usuarios). En este caso, se aplica el Acuerdo de Encargo del Tratamiento (DPA) recogido en el Anexo M3 de nuestras Condiciones Generales de Contratación , el cual queda celebrado con la aceptación de estas.
- Actuamos como Encargado del tratamiento cuando eYssen AI Gate trata, por cuenta del Cliente, el contenido de las solicitudes del Cliente (p. ej., mensajes y archivos) y los resultados; se aplican el DPA y el apartado 15.8 de nuestras Condiciones Generales de Contratación . Tratamos los registros de cuenta y de uso de Gate como Responsable del tratamiento (apartados 3.9–3.11).
2. Base jurídica y definiciones
El tratamiento de datos se rige, en particular, por el Reglamento General de Protección de Datos del Reino Unido (UK GDPR) y la Data Protection Act 2018. Cuando tratamos datos personales de personas que se encuentran en la UE/EEE (p. ej., personas de contacto de nuestros Clientes de la UE), el Reglamento General de Protección de Datos (UE) 2016/679 (EU GDPR) también es de aplicación. Las referencias al RGPD se entienden hechas al UK GDPR y al EU GDPR, según corresponda. Las definiciones deben interpretarse conforme al RGPD.
3. ¿Qué datos tratamos, con qué finalidad, sobre qué base jurídica y durante cuánto tiempo?
| Categoría | Datos tratados | Finalidad | Base jurídica | Plazo de conservación |
| 3.1 Relación con el Cliente & contrato (B2B) | Nombre, cargo/puesto, empresa, correo electrónico, teléfono, historial de comunicaciones. | Contacto, oferta de servicios, celebración y ejecución del contrato. | UK GDPR Art. 6(1)(b) (ejecución de un contrato o aplicación de medidas precontractuales); además, Art. 6(1)(f) (interés legítimo – comunicación B2B). | 6 años desde la extinción de la relación jurídica (plazo de prescripción conforme a la Limitation Act 1980); registros contables según lo establecido en el apartado 3.4. |
| 3.2 Acceso al Sistema & cuenta de usuario | Nombre, correo electrónico/nombre de usuario, contraseña (únicamente como hash criptográfico robusto), función, datos de registro (inicio/cierre de sesión, IP/marca de tiempo), eventos de acceso. | Prestación del servicio, gestión de accesos, seguridad informática, auditoría. | Art. 6(1)(b)(ejecución del contrato) y Art. 6(1)(f)(interés legítimo – seguridad de la información). | Baja de la cuenta + 12 meses (registros de auditoría y de seguridad); en caso de litigio: hasta la conclusión del procedimiento. |
| 3.3 Atención al cliente / soporte / gestión de incidencias (ticketing) | Datos de contacto, contenido de la incidencia, registros, archivos adjuntos. | Resolución de incidencias, documentación del soporte prestado. | Art. 6(1)(b) y Art. 6(1)(f)(interés legítimo – garantía de calidad). | 3 años desde el cierre de la incidencia; en caso de litigio: hasta la conclusión del procedimiento. |
| 3.4 Facturación y finanzas | Nombre/dirección de facturación, número de IVA, datos de las transacciones, estado de pago. | Emisión de facturas, contabilidad, cumplimiento de obligaciones tributarias. | Art. 6(1)(c) (obligación legal – normativa contable/tributaria, en particular la legislación tributaria del Reino Unido). | Al menos 5 años a partir del plazo de presentación telemática del 31 de enero correspondiente al ejercicio fiscal de que se trate (requisitos de conservación de registros de HMRC), es decir, aproximadamente 6 años. |
| 3.5 Comunicación & marketing (opcional) | Nombre, correo electrónico, preferencias. | Boletín informativo, información sobre eventos y productos. | Art. 6(1)(a)Consentimiento. | Hasta la retirada del consentimiento; tras la baja de la suscripción, el hecho y la fecha del consentimiento se conservan durante 1 año a efectos probatorios. |
| 3.6 Registros del sitio web & cookies | Datos de registro (IP, marca de tiempo, URL, agente de usuario), cookies funcionales y – con consentimiento – cookies analíticas/de marketing. | Funcionamiento del sitio web, seguridad de la información; opcionalmente, analítica/marketing. | Art. 6(1)(f)(interés legítimo – seguridad, resolución de incidencias); para analítica/marketing: Art. 6(1)(a)(consentimiento). | Registros operativos: 90 días; cookies: según la tabla de cookies. Nota: los detalles figuran en el Aviso de Cookies independiente y en la interfaz de consentimiento. |
| 3.7 Función de Encargado del tratamiento – datos del Cliente en el Sistema | Los datos personales almacenados en la instancia propia del Cliente (p. ej., clientes, empleados, usuarios) son gestionados por el Cliente en calidad de Responsable del tratamiento; nosotros los tratamos como Encargado del tratamiento conforme al contrato y al DPA. La finalidad/duración del tratamiento la determina el Cliente; la supresión está sujeta a las instrucciones del Cliente. | No aplicable (el Cliente es el Responsable del tratamiento) | Art. 28 (obligaciones del encargado del tratamiento) | Según las instrucciones del Cliente. |
| 3.8 Informes de instalación del fork eYssen Odoo | Aproximadamente una vez a la semana, cada copia del fork eYssen Odoo envía, sin necesidad de un inicio de sesión independiente, un informe a https://pw.eyssen.io. El informe contiene el identificador de la base de datos (dbuuid), el nombre de la base de datos, la fecha de creación de la base de datos, el nombre de la empresa, el correo electrónico de la empresa, el teléfono de la empresa, la dirección pública (web.base.url), la versión de Odoo, el idioma, el número de usuarios (todos los usuarios, los usuarios activos en los últimos 15 días y los usuarios externos), los nombres técnicos de los módulos instalados y el eyssen_code opcional. No incluye la versión propia de cada módulo. pw.eyssen.io también registra la dirección IP desde la que se recibió el informe. Esto se aplica a cualquier instalación del fork, no solo a las instalaciones que eYssen opera para un cliente. | Conocer qué instalaciones del fork están en uso, qué módulos ejecutan y cuántos usuarios tienen. | Art. 6(1)(f) (interés legítimo en operar el fork publicado y conocer su uso). | Cada informe original se suprime transcurridos 24 meses. El último estado conocido de una instalación se conserva una vez expirados los informes individuales. Una instalación puede impedir el envío de nuevos informes desactivando la acción planificada "Publisher: Update Notification" o modificando el parámetro publisher_warranty_url. |
| 3.9 Cuenta y claves de API de eYssen AI Gate | Nombre y correo electrónico del titular de la cuenta y de los usuarios del portal, empresa, moneda de la cuenta, nombres, titulares y límites de gasto de las claves de API, plan, historial de saldo y recargas. | Prestación de eYssen AI Gate, gestión de claves, facturación. | Art. 6(1)(b) (ejecución del contrato). | Cierre de la cuenta + 12 meses; registros contables según lo indicado en 3.4. |
| 3.10 Registros de uso de eYssen AI Gate | Para cada solicitud: fecha y hora, clave de API, modelo, etiqueta de tarea, cantidades, coste, estado, código de error y tiempo de respuesta; el identificador de usuario enviado por la aplicación cliente (p. ej., base de datos e ID de usuario de Odoo, seudonimizados) y la dirección IP del sistema solicitante. No incluye el contenido de las solicitudes ni de los resultados. | Facturación, estadísticas de uso para el Cliente, gestión de consultas de facturación, prevención de usos indebidos. | Art. 6(1)(b) (ejecución del contrato) y Art. 6(1)(f) (interés legítimo – seguridad y prevención de usos indebidos). | 13 meses; los totales diarios por cuenta y clave, sin datos por solicitud, como registros contables según lo indicado en 3.4. |
| 3.11 Método de pago guardado (suscripciones) | Los datos de la tarjeta los trata nuestro proveedor de servicios de pago; nosotros solo almacenamos un token de pago, la marca de la tarjeta y los cuatro últimos dígitos. | Cobro de las renovaciones de la suscripción. | Art. 6(1)(b) (ejecución del contrato). | Hasta que el Cliente elimine el método de pago o finalice la suscripción. |
4. Destinatarios y encargados del tratamiento
Podrán acceder a los datos personales – en la medida en que sea necesario – los siguientes destinatarios:
- Alojamiento/infraestructura: Oracle Cloud Infrastructure – nuestros propios sistemas en Fráncfort, Alemania (eu-frankfurt); las instancias de los Clientes, en la región seleccionada por el Cliente (por defecto, en la UE/EEE). Backblaze (copia de seguridad externa; región de la UE o – si fuera necesario – mediante Cláusulas Contractuales Tipo (SCC)).
- Protección de red: Cloudflare (red de distribución de contenidos, protección DDoS y WAF).
- Gestión del código fuente: GitHub (código fuente de eYssen, módulos personalizados y configuraciones; sin datos empresariales de los Clientes).
- Informes de instalación: Oracle Cloud Infrastructure, Fráncfort, Alemania (eu-frankfurt), servidos en pw.eyssen.io.
- Proveedores de modelos de IA (eYssen AI Gate): tratamiento del contenido de las solicitudes como subencargados del tratamiento por cuenta de nuestros Clientes, según la lista del Anexo M3 de nuestras Condiciones Generales de Contratación.
- Proveedor de pagos/banco, gestor contable, asesor jurídico/auditor (para el cumplimiento de obligaciones legales/contables en el Reino Unido y a nivel internacional).
- Herramientas de gestión de incidencias/comunicación (con fines de soporte).
La lista actualizada de subencargados del tratamiento que actúan en relación con los datos de nuestros Clientes figura en el Anexo M3 (Acuerdo de Encargo del Tratamiento) de nuestras Condiciones Generales de Contratación; hemos celebrado contratos conformes al RGPD con todos los encargados del tratamiento.
5. Transferencias de datos fuera del Reino Unido y de la UE/EEE (terceros países)
Estamos establecidos en el Reino Unido; las transferencias de datos personales desde la UE/EEE hacia nosotros se basan en la decisión de adecuación de la Comisión Europea relativa al Reino Unido. Los datos se almacenan principalmente en la UE/EEE; no obstante, las solicitudes enviadas a eYssen AI Gate son tratadas habitualmente por proveedores de modelos de IA fuera del Reino Unido y de la UE/EEE, en particular en los Estados Unidos. Si fuera necesaria una transferencia a un tercer país, esta se realizará únicamente sobre la base de:
- una decisión de adecuación (de la Comisión Europea o del Secretario de Estado (Secretary of State) del Reino Unido, incluido el Marco de Privacidad de Datos UE–EE. UU. y su extensión al Reino Unido (UK Extension), cuando proceda); o
- las Cláusulas Contractuales Tipo (SCC) de la UE, el Acuerdo de Transferencia Internacional de Datos del Reino Unido (IDTA) o el Anexo del Reino Unido a las SCC de la UE (UK Addendum), y – cuando sea necesario – garantías técnicas/jurídicas adicionales.
- Los destinatarios y las salvaguardias de las transferencias habituales figuran en el Anexo M3 de nuestras Condiciones Generales; informaremos por separado de cualquier otra transferencia.
6. Seguridad
- Cifrado durante la transmisión (TLS) y – cuando sea posible – durante el almacenamiento.
- Controles de acceso basados en el principio de «mínimo privilegio», MFA para administradores, registro de actividad.
- Almacenamiento separado de las copias de seguridad y pruebas periódicas de restauración (a solicitud del Cliente).
- Procedimientos de notificación y comunicación en caso de incidentes relacionados con el tratamiento de datos, conforme a lo exigido por el UK GDPR.
7. Derechos de los interesados
Usted tiene los siguientes derechos en virtud del UK GDPR:
- Derecho de acceso (Art. 15).
- Derecho de rectificación (Art. 16).
- Derecho de supresión ( «derecho al olvido», Art. 17) – con sujeción a las excepciones derivadas de obligaciones legales de conservación.
- Derecho a la limitación del tratamiento (Art. 18).
- Derecho a la portabilidad de los datos (Art. 20 – cuando la base jurídica sea el contrato o el consentimiento).
- Derecho de oposición (Art. 21 – interés legítimo/marketing).
- Derecho a retirar el consentimiento (cuando la base jurídica sea el consentimiento).
- Derecho a no ser objeto de decisiones automatizadas/elaboración de perfiles – no realizamos dichas actividades. La selección automática de modelo de eYssen AI Gate clasifica solicitudes, no personas, y no adopta decisiones que les afecten.
Plazo de respuesta: máximo 1 mes (prorrogable 2 meses más en casos justificados). Las solicitudes se reciben a través de los datos de contacto indicados anteriormente.
8. Derecho a presentar una reclamación y tutela judicial
En primer lugar, le rogamos que nos lo comunique ([email protected]). Asimismo, tiene derecho a presentar una reclamación ante la Information Commissioner's Office (ICO) o a ejercer acciones judiciales ante un tribunal competente. Si se encuentra en la UE/EEE, también puede presentar una reclamación ante la autoridad de control del lugar de su residencia habitual, de su lugar de trabajo o del lugar en el que se haya producido la presunta infracción (p. ej., la AEPD en España o la NAIH en Hungría).
| Autoridad de control del Reino Unido | Datos |
| Nombre | Information Commissioner’s Office (ICO) |
| Dirección | Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF |
| Línea de atención | 0303 123 1113 |
| Sitio web | https://ico.org.uk |
9. Observaciones particulares
- Menores: Nuestros servicios no están dirigidos a personas menores de 16 años.
- Obligación contractual: La comunicación de determinados datos es necesaria para la prestación del servicio; sin ellos, no es posible prestar el servicio.
- DPA: Cuando tratamos datos personales en el Sistema por cuenta de usted, los detalles del tratamiento se estipulan en el Acuerdo de Encargo del Tratamiento (DPA) recogido en el Anexo M3 de nuestras Condiciones Generales de Contratación.
- Origen de los datos: Cuando no recabamos los datos personales directamente de usted (p. ej., personas de contacto designadas por nuestro Cliente o usuarios creados en el Sistema por el Cliente), los recibimos del Cliente o de fuentes empresariales de acceso público (p. ej., registros mercantiles o el sitio web de la empresa).
10. Modificaciones y disponibilidad
El presente Aviso podrá actualizarse periódicamente; la versión vigente está disponible en el sitio web https://www.eyssen.com.
Versiones:
UK-v1.0: 1 de enero de 2025 - 17 de octubre de 2026
UK-v1.1: 18 de octubre de 2026 -
