Política de Privacidad

1. Responsable y ámbito

Palta Labs SL, sociedad unipersonal, NIF B93970655, opera bajo la marca Sinthesis y presta la plataforma Gaia. Contacto para todas las consultas de privacidad y ejercicio de derechos: soporte@sinthesis.ai; en inglés, support@sinthesis.ai.

Esta política informa a visitantes, contactos comerciales y usuarios profesionales. Palta es responsable de los tratamientos de su relación comercial, administración de cuentas, facturación y seguridad propia. Cuando procesa datos personales cargados por una organización siguiendo sus instrucciones, actúa como encargado y se aplica el acuerdo de encargo de tratamiento (DPA). Cada organización determina las finalidades de sus propios tratamientos.

El RGPD se aplica a los tratamientos comprendidos en su ámbito, con independencia del país del Cliente. Las leyes locales aplicables pueden añadir obligaciones; no sustituyen ni rebajan las garantías europeas que correspondan.

2. Información tratada y procedencia

• Identificación y contacto: nombre, email, organización, cargo y, cuando se aporte, teléfono y fotografía de perfil.
• Cuenta y autenticación: identificadores, permisos, credenciales protegidas y eventos de acceso; datos básicos del proveedor de inicio de sesión cuando se utilice.
• Contratación: propuesta, dirección y datos fiscales, facturas, estado de pago y prueba de aceptación. El proveedor de pagos procesa los datos del instrumento de pago.
• Operación: instalaciones, registros agronómicos, telemetría, ubicación aportada, imágenes, consultas a IA y resultados, según las funciones utilizadas. Pueden ser personales cuando permitan identificar a trabajadores, técnicos o titulares; no se consideran anónimos automáticamente.
• Soporte y relación comercial: consultas, comunicaciones, solicitudes y antecedentes de la relación.
• Datos técnicos: IP, navegador, dispositivo, registros de seguridad y, con la base correspondiente, eventos de uso y tecnologías del navegador.

Los datos proceden de usted, de su organización, de dispositivos e integraciones que conecte y, cuando corresponda, de partners que gestionen una oportunidad o prestación autorizada. Los datos meteorológicos y de referencia pueden proceder de fuentes externas. Evite cargar información sensible o de terceros que no sea necesaria y esté autorizada. Los datos imprescindibles para identificar, contratar y prestar el servicio no pueden omitirse sin afectar esas funciones; los opcionales se diferencian en su contexto.

3. Finalidades y bases jurídicas

Finalidad	Base o condición aplicable
Responder una solicitud y gestionar un contrato con una persona física profesional	Medidas precontractuales o ejecución del contrato
Relacionarnos con empleados o representantes de clientes empresariales	Interés legítimo en gestionar la relación profesional, limitado a datos necesarios
Facturación y documentación legal	Obligaciones legales y gestión contractual
Autenticación, soporte y comunicaciones de servicio	Gestión contractual o interés legítimo en atender y proteger la relación; instrucciones del Cliente cuando actuamos como encargado
Prevención de fraude, seguridad y defensa de reclamaciones	Interés legítimo ponderado y obligaciones legales aplicables
Analítica opcional del sitio y comunicaciones promocionales que lo requieran	Consentimiento, separable y revocable
Datos personales procesados por cuenta del Cliente	Instrucciones documentadas y base jurídica determinada por el Cliente responsable

No se invoca un interés legítimo universal para cualquier mejora o entrenamiento. Si esa base se utiliza para una finalidad propia concreta, debe ponderarse necesidad e impacto, informar sobre ella y atender el derecho de oposición. No se cambia de base jurídica para eludir una retirada del consentimiento. Puede solicitar información sobre la ponderación aplicable.

4. Inteligencia artificial y datos agregados

Gaia utiliza servicios de IA para responder consultas, analizar información o imágenes y apoyar tareas solicitadas. Los datos enviados deben limitarse a lo necesario para la función; las respuestas pueden ser incorrectas y requieren validación humana. Las funciones descritas son de asistencia: no se atribuye a la IA la decisión jurídica final sobre una persona.

Prestar una respuesta mediante IA es distinto de reutilizar información para entrenar modelos generales. El contrato no concede un consentimiento indiscriminado para reutilizar datos personales identificables. Cuando Palta actúa como encargado, debe respetar las instrucciones del Cliente; cualquier finalidad propia adicional exige una base jurídica y transparencia específicas.

Los datos efectivamente anónimos pueden utilizarse para estadísticas, investigación y mejora de modelos, respetando la confidencialidad comercial. La anonimización de datos personales es en sí un tratamiento sujeto a la ley. La agregación o seudonimización no bastan para demostrar anonimato; tampoco se garantiza que un modelo entrenado sea incapaz de revelar datos individuales sin evaluación.

Puede solicitar información, oponerse a tratamientos basados en interés legítimo o retirar consentimientos en soporte. No se niegan derechos sobre datos personales alegando que forman parte de un modelo o agregado. Los datos que ya sean realmente anónimos se distinguen de los datos personales conservados.

5. Destinatarios y proveedores

Según las funciones utilizadas, intervienen proveedores de infraestructura, autenticación, pagos, correo y servicios de IA:

• Supabase: base de datos, autenticación y almacenamiento; región principal del proyecto en Irlanda.
• Google Cloud / Firebase: alojamiento e infraestructura web.
• Stripe: procesamiento de pagos, con funciones propias de responsable cuando determine sus finalidades regulatorias o de pago.
• Anthropic, Google y Perplexity: servicios de IA, análisis o búsqueda, según la función activada.
• Kindwise: análisis de imágenes vegetales; proveedor establecido en República Checa. Su sede no demuestra por sí sola que todo acceso o subtratamiento ocurra allí.
• Resend: correo transaccional y comunicaciones de servicio.

El DPA y su relación de subencargados deben identificar los proveedores correspondientes a cada servicio, alcance y garantías. La sede de un proveedor no acredita por sí sola la ubicación de soporte, registros o subencargados. No se atribuyen a Palta certificaciones de sus proveedores ni se afirma que un DPA garantice por sí solo todo el cumplimiento.

Los partners o instaladores autorizados solo deben recibir los datos necesarios para la relación o tarea encomendada, con el régimen de responsabilidad que corresponda. También podrán comunicarse datos a asesores sujetos a confidencialidad y autoridades cuando exista fundamento legal. No vendemos datos personales ni los cedemos a terceros para su publicidad independiente. La utilización de referencias o logos de clientes requiere autorización.

6. Transferencias internacionales

El uso de proveedores internacionales puede implicar tratamiento o acceso fuera del EEE, incluidos Estados Unidos y países desde los que operen servicios autorizados. La ubicación principal de la base de datos en Irlanda no elimina esos posibles accesos.

Cuando exista una transferencia sujeta al RGPD, deberá sustentarse en una decisión de adecuación vigente que cubra al destinatario y tratamiento o en garantías válidas, como cláusulas contractuales tipo, con evaluación y medidas complementarias cuando procedan. No basta aceptar estos términos ni una declaración genérica de conformidad. Se aplicarán además los requisitos del Reino Unido u otras jurisdicciones cuando correspondan. Puede solicitar la identificación de destinatarios y una copia o explicación de las garantías aplicables, protegiendo secretos y derechos de terceros.

7. Conservación y eliminación

Los datos operativos se conservan durante la vigencia del servicio y, como período de recuperación y salida, hasta 90 días desde su terminación efectiva, tras los cuales se eliminarán, salvo obligación legal o preservación justificada para reclamaciones. No se inicia ese plazo por anunciar que no se renovará una licencia todavía vigente. Una solicitud de derechos o instrucción válida del Cliente puede requerir una actuación anterior.

La documentación mercantil, contable y justificativa sujeta al Código de Comercio se conserva durante seis años desde el último asiento; pueden aplicarse otros plazos legales o de prescripción. No se extiende ese período indiscriminadamente a toda la telemetría, imágenes o actividad de usuarios. Los datos conservados únicamente para obligaciones o reclamaciones se restringen y, cuando proceda, bloquean.

Los registros técnicos y comunicaciones se mantienen durante el tiempo necesario para su finalidad, atendiendo a incidentes y responsabilidades; no indefinidamente por defecto. Las copias sujetas a rotación tienen acceso restringido y no deben reintroducir datos suprimidos al restaurarse. Los conjuntos realmente anónimos pueden conservarse mientras mantengan su anonimato y no revelen información confidencial.

8. Derechos

Puede solicitar acceso, rectificación, supresión, limitación, portabilidad y oposición cuando correspondan, así como retirar su consentimiento sin afectar a la licitud anterior. Para comunicaciones promocionales puede utilizar también el mecanismo de baja incluido en ellas.

Escriba a soporte@sinthesis.ai o support@sinthesis.ai, indicando la solicitud y los datos necesarios para localizarla. La verificación de identidad será proporcionada; no exigimos una copia de identidad de forma rutinaria. El plazo RGPD es un mes desde la recepción; puede ampliarse otros dos meses por complejidad o número de solicitudes, informándolo y motivándolo dentro del primer mes. Si otra ley aplicable exige un plazo menor, se atenderá ese plazo.

Cuando actuemos por cuenta de su organización, trasladaremos la solicitud al responsable y prestaremos la asistencia correspondiente. Puede reclamar ante la Agencia Española de Protección de Datos o la autoridad competente. El arbitraje comercial no restringe estos derechos ni las competencias de supervisión.

9. Seguridad e incidentes

Palta debe adoptar medidas técnicas y organizativas apropiadas al riesgo, incluyendo protección de comunicaciones, gestión de accesos y confidencialidad, separación de organizaciones y procedimientos de recuperación e incidentes. Los compromisos específicos se concretan en el DPA y la propuesta; no se promete invulnerabilidad, una certificación propia inexistente ni vigilancia humana continua.

Como encargado, notificará las violaciones de datos personales al Cliente sin dilación indebida. Como responsable, notificará a la autoridad en un máximo de 72 horas desde que tenga conocimiento cuando sea exigible y, ante alto riesgo, a los afectados sin dilación indebida. La información podrá completarse progresivamente conforme a la ley.

10. Cookies y almacenamiento del navegador

Se utilizan tecnologías necesarias para autenticación, seguridad y funciones solicitadas, y preferencias como idioma o tema. Su bloqueo en el navegador puede impedir esas funciones. La elección de analítica se guarda en el navegador para recordar la decisión.

La analítica opcional del sitio mediante Google Analytics 4, cuando esté configurada, requiere aceptación previa. Puede rechazarla o retirarla mediante el panel de esta página. GA4 puede tratar identificadores y eventos de navegación; no se presenta como necesariamente anónimo. Las cookies _ga y _ga_*, si se instalan, pueden conservarse hasta dos años según su configuración; puede eliminarlas desde el navegador. La retirada detiene la recogida posterior de esa analítica, sin borrar automáticamente los datos ya tratados.

El rechazo de analítica no impide los registros técnicos necesarios para servir y proteger la web. Otras herramientas opcionales de medición requieren su propia información y base habilitante; esta política no concede autorización general para activarlas.

11. Menores y actualizaciones

El servicio está dirigido a adultos en un contexto profesional. Si detecta datos de menores incorporados indebidamente, contacte con soporte para evaluar su retirada y las obligaciones aplicables.

Publicaremos las actualizaciones con su fecha e informaremos de cambios relevantes por los canales adecuados. Una actualización informativa no constituye consentimiento para nuevas finalidades. Se recabará consentimiento separado cuando sea necesario. Consulte también los Términos de Servicio.