En RAXAR respetamos tu privacidad y nos comprometemos a proteger tus datos personales conforme al Reglamento General de Protección de Datos (RGPD — UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos Personales (LOPDGDD). Esta política explica qué datos recogemos, para qué y cómo los protegemos.
1. Responsable del Tratamiento
RAXAR (en adelante, "RAXAR" o "nosotros") es el responsable del tratamiento de los datos personales recogidos a través de este sitio web (raxar.es) y de la plataforma RAXAR Empresas.
— Denominación social: SOLUTIONS RAXAR, S.L. (marca «RAXAR»)
— NIF/CIF: B88688205
— Domicilio social: C/ Cardenal Parrado, 3, Esc. 2, 18013 Granada (España)
— Datos registrales: Registro Mercantil de Granada, Hoja GR-00065054
— Email de contacto: privacidad@raxar.es
— Sitio web: https://raxar.es
2. Categorías de Datos que Recopilamos
Recopilamos las siguientes categorías de datos personales:
— Datos de contacto: nombre, email, teléfono (formulario de contacto, alta de cliente).
— Datos de empresa: nombre de empresa, sector, tamaño, CIF/NIF (cuando contratas servicios).
— Respuestas de auditoría / diagnóstico: las respuestas al cuestionario de auditoría (raxar.es/auditoria), incluyendo puesto, tareas, herramientas, procesos, volúmenes y, cuando los facilitas, nombre y datos de contacto. Se tratan únicamente para elaborar tu diagnóstico. Las respuestas de la capa "trabajador" se recogen de forma anónima: no pedimos nombre ni email.
— Datos de uso de la plataforma: interacciones, acciones realizadas, preferencias de configuración.
— Chat IA (Asistente RAXAR, el chat de esta web): el contenido de las conversaciones con nuestro asistente virtual. Estas se procesan por modelos de IA de terceros para generar respuestas. No se envía información personal identificable a estos proveedores más allá del mensaje de la conversación.
— Datos analíticos: páginas visitadas, duración de sesión, dispositivo, país. Se recogen únicamente si aceptas cookies de analítica, mediante Google Analytics 4 (Google LLC · G-PK7XSCP2SN), con Consent Mode e IP anonimizada. PostHog (analítica de producto, servidores en la UE) está previsto para este sitio pero no está activo hoy: no recoge ningún dato. Si se activa, se cargará también solo con tu consentimiento de analítica.
— Datos de pago: procesados exclusivamente a través de proveedores de pago externos. RAXAR no almacena datos de tarjetas ni cuentas bancarias.
3. Finalidad y Base Legal del Tratamiento
Tratamos tus datos para las siguientes finalidades:
— Prestación de servicios SaaS — automatizaciones y dashboards contratados (Art. 6.1.b RGPD — ejecución de contrato).
— Gestión de cuentas — autenticación, configuración y acceso a la plataforma (Art. 6.1.b RGPD).
— Facturación y comunicaciones de servicio — envío de facturas y notificaciones operativas (Art. 6.1.b RGPD).
— Mejora del servicio — análisis agregado del uso de la plataforma (Art. 6.1.f RGPD — interés legítimo).
— Cumplimiento legal — obligaciones fiscales, contables y mercantiles (Art. 6.1.c RGPD).
— Comunicaciones comerciales — newsletter y ofertas, solo con tu consentimiento previo (Art. 6.1.a RGPD). Puedes revocar este consentimiento en cualquier momento.
— Atención al cliente — resolución de consultas y soporte técnico (Art. 6.1.b / 6.1.f RGPD).
— Prevención de fraude — detección de actividad anómala y protección de la plataforma (Art. 6.1.f RGPD).
No tratamos tus datos para fines distintos a los indicados sin tu consentimiento previo.
4. Proveedores y Transferencias Internacionales
Tus datos no se venden ni ceden a terceros con fines comerciales. Compartimos datos con los siguientes proveedores tecnológicos (encargados del tratamiento) que prestan servicios bajo nuestras instrucciones:
— Hostinger International Ltd. — Alojamiento VPS. Servidores en la UE.
— Cloudflare — Custodia de las copias de seguridad externas (almacenamiento de objetos R2, con depósito restringido a la Unión Europea) y DNS autoritativo de nuestros dominios. Las copias se cifran en origen —contenido y nombres de fichero— con una clave que custodiamos en exclusiva, de modo que el proveedor no puede acceder a su contenido.
— PostHog Inc. — Analítica de producto. Servidores en la Unión Europea (EU Cloud). No está activo hoy en raxar.es: no recibe ningún dato de tu visita. Si se activa, se cargará solo con tu consentimiento de analítica y no identifica usuarios individuales.
— Google LLC (EE.UU.) — Google Analytics 4 en raxar.es (G-PK7XSCP2SN), solo con consentimiento de cookies de analítica. Transferencias amparadas en el Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo. También: modelos Gemini para generación automatizada de contenido de marketing bajo el Data Processing Addendum de Google aplicable a «Gemini API Paid Services».
— Anthropic Ireland, Limited (Irlanda), con su grupo —entre otras, Anthropic PBC, en EE.UU.— y los subencargados de su lista pública — Modelos Claude: procesamiento de lenguaje natural para el Asistente RAXAR (el chat de esta web) y herramienta de trabajo de nuestro equipo con la cuenta de empresa de Claude (plan «Team»). Anthropic almacena los datos en EE.UU. y puede tratarlos también en otros países. La salida fuera del Espacio Económico Europeo la hace Anthropic Ireland hacia su grupo y sus subencargados: su acuerdo de tratamiento le obliga a exigirles obligaciones de protección sustancialmente equivalentes y a responder de ellos, pero no concreta con qué mecanismo del Capítulo V del RGPD, y no lo tenemos por escrito de Anthropic.
— Groq (para clientes del EEE, según su acuerdo de servicios, Groq UK Limited, Reino Unido; puede tratar los datos en EE.UU. y en otros países donde Groq o sus subencargados operan) — Procesamiento de lenguaje natural para el Asistente RAXAR (el chat de esta web) y análisis automatizados. Su acuerdo de tratamiento de datos (en vigor desde el 15 de octubre de 2025), que forma parte de sus condiciones de servicio, incorpora las Cláusulas Contractuales Tipo (módulos 2 y 3) en la medida en que sean legalmente necesarias; para la salida hacia EE.UU. y hacia sus subencargados se compromete a un mecanismo legal sin concretar cuál.
— Scaleway SAS (Francia · región de París) — Inferencia de modelos de lenguaje para nuestros agentes internos (modelos 'gpt-oss-120b' y 'mistral-medium-3.5-128b'). Datos alojados y procesados íntegramente en la Unión Europea: no hay transferencia internacional.
— Telegram FZ LLC (fuera del Espacio Económico Europeo) — Canal de notificaciones operativas internas del equipo de RAXAR. Los avisos generados por los formularios de esta web y por las solicitudes de derechos no incluyen datos identificativos: solo el tipo de aviso, la hora y un identificador interno. Los avisos internos de facturación y de propuestas comerciales sí pueden incluir el nombre y el correo electrónico de la persona de contacto de la empresa con la que trabajamos.
— Autoridades públicas — Cuando exista obligación legal.
Las transferencias a proveedores fuera del Espacio Económico Europeo se realizan con las garantías indicadas en cada caso: Google, con las Cláusulas Contractuales Tipo y el Marco de Privacidad de Datos UE-EE.UU.; Anthropic y Groq, en los términos descritos arriba. Telegram FZ LLC está también fuera del Espacio Económico Europeo: recibe únicamente los avisos operativos internos descritos arriba, con el alcance que allí se indica. La inferencia de modelos de lenguaje de nuestros agentes internos se ejecuta en Scaleway SAS (Francia), dentro del Espacio Económico Europeo y sin transferencia internacional.
Lo que esta página no decía hasta el 22 de octubre de 2026. Desde al menos junio y hasta el 21 de octubre de 2026 (y, en un caso que estamos comprobando, en mayo) tratamos datos personales del encargo de un cliente con servicios de inteligencia artificial que no figuraban en esta relación, o en condiciones distintas de las que aquí se describen:
— Suscripciones individuales de Claude (planes «Pro» y «Max» de Anthropic), con las condiciones de Anthropic para consumidores: Anthropic trata lo que recibe por esa vía como responsable, no como encargado nuestro, en EE.UU. y en otros países fuera del Espacio Económico Europeo, y sin acuerdo de encargo del tratamiento.
— La cuenta de empresa de Claude (plan «Team»), sin la autorización previa de ese cliente.
— Nuestro asistente interno de operaciones envió fragmentos de documentos con direcciones de correo de ese cliente a Scaleway (Francia), a opencode.ai (un servicio de acceso a modelos de lenguaje; estamos comprobando quién lo presta y dónde trata los datos) y, posiblemente, a Groq (EE.UU.).
— Del 22 al 26 de septiembre de 2026, algunos avisos internos por Telegram llevaron datos identificativos y contenido de respuestas a un cuestionario.
— Estamos comprobando si intervinieron otros servicios: GitHub, Codex, Grok Bot, Cursor, DeepSeek (en mayo, antes de prestar los servicios) y un clasificador de correo que usa Groq.
Se lo hemos notificado a ese cliente como violación de la seguridad de los datos personales (artículo 33 del RGPD).
5. Uso de Inteligencia Artificial y Decisiones Automatizadas
RAXAR utiliza modelos de inteligencia artificial (IA) como parte de sus servicios, concretamente:
— Asistente RAXAR (el chat de esta web): Genera respuestas conversacionales a partir de los mensajes que introduces. Los mensajes se envían a proveedores de IA para generar una respuesta en tiempo real. No se almacena información personal identificable de forma vinculada a tu identidad en los servidores de estos proveedores.
— Análisis automatizados: Clasificación de emails, puntuación de leads y generación de informes. Estos procesos generan recomendaciones, pero las decisiones finales son siempre revisadas por personas.
— Modelos locales (privacy_mode): Para clientes que lo requieren, los datos sensibles se procesan exclusivamente en modelos IA locales alojados en la infraestructura de RAXAR (torre propia · sin transferencia a proveedores externos). Esta opción se activa por acuerdo contractual o por configuración del tenant.
Conforme al Artículo 22 del RGPD, ningún tratamiento automatizado produce efectos jurídicos o afecta significativamente a los interesados sin intervención humana. Tienes derecho a:
— Obtener información sobre la lógica aplicada en cualquier análisis automatizado.
— Solicitar intervención humana en cualquier decisión.
— Expresar tu punto de vista y a impugnar la decisión.
Cumplimiento con el Reglamento (UE) 2024/1689 (AI Act): Nuestros sistemas de IA se clasifican mayoritariamente como de riesgo limitado o riesgo mínimo según la taxonomía del AI Act. Cumplimos las obligaciones de transparencia aplicables:
— Los usuarios son informados cuando interactúan con un sistema IA (el Asistente RAXAR está claramente identificado como asistente virtual).
— El contenido generado por IA está identificado como tal cuando podría confundirse con contenido humano.
— Guardrails activos previenen generación de contenido prohibido.
— Evaluaciones regulares de sesgos, robustez y precisión de los modelos utilizados.
Para ejercer estos derechos, contacta con privacidad@raxar.es.
6. Conservación de Datos
Conservamos tus datos durante los siguientes períodos:
— Datos de clientes activos: Duración del contrato + 6 años (obligaciones fiscales y mercantiles).
— Datos de usuarios de plataforma: Duración del contrato + 3 meses.
— Consultas no convertidas en contrato: Máximo 12 meses desde el último contacto.
— Comunicaciones comerciales: 24 meses o hasta la revocación del consentimiento.
— Logs de acceso y analítica: 12 meses.
— Cookies: Según la configuración de cada tipo (ver Política de Cookies).
Transcurridos estos plazos, los datos se eliminan o se anonimizan de forma irreversible.
7. Tus Derechos
Conforme al RGPD (Arts. 15-22), tienes derecho a:
— Acceso (Art. 15): conocer qué datos personales tenemos sobre ti.
— Rectificación (Art. 16): corregir datos inexactos o incompletos.
— Supresión (Art. 17): solicitar el borrado cuando los datos ya no sean necesarios.
— Limitación del tratamiento (Art. 18): solicitar que se limite el uso de tus datos en determinadas circunstancias.
— Portabilidad (Art. 20): recibir tus datos en un formato estructurado, de uso común y lectura mecánica.
— Oposición (Art. 21): oponerte al tratamiento basado en interés legítimo.
— No ser objeto de decisiones automatizadas (Art. 22): derecho a no estar sujeto a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos.
Para ejercer cualquiera de estos derechos, escríbenos a privacidad@raxar.es indicando el derecho que deseas ejercer. Responderemos en un plazo máximo de 30 días (ampliable a 60 días en casos complejos, previa notificación motivada).
Procedimiento de verificación de identidad: Para proteger tus datos frente a solicitudes fraudulentas, podemos requerir que acredites tu identidad mediante: (i) confirmación desde el email vinculado a tu cuenta, (ii) copia de documento identificativo (DNI/NIE/pasaporte · fragmentos no necesarios pueden ocultarse), o (iii) verificación in-app si ya estás autenticado. No solicitamos documentación excesiva.
Formato de portabilidad (Art. 20): Los datos se entregan en formato estructurado JSON (por defecto) o CSV, con esquema documentado. Tamaños grandes (>100MB) se entregan mediante enlace seguro con expiración a 72h.
Si consideras que tus derechos no han sido atendidos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es o en su sede: Calle Príncipe de Vergara, 108 — 28002 Madrid.
8. Seguridad
Implementamos medidas técnicas y organizativas adecuadas para proteger tus datos (RGPD art. 32), entre ellas:
Técnicas:
— Cifrado en tránsito TLS 1.3 (mínimo TLS 1.2) con *HTTP Strict Transport Security* (HSTS) en todos los dominios.
— Las copias de seguridad externas viajan y se almacenan cifradas en origen —contenido y nombres de fichero— con una clave que el proveedor de almacenamiento no posee.
— Aislamiento multi-tenant mediante Row Level Security (RLS) en PostgreSQL, con políticas de acceso verificadas en auditoría independiente.
— Guardrails de IA en las llamadas de nuestros agentes internos y de nuestro panel a modelos externos: filtrado de datos personales (correo, DNI, NIE, IBAN, tarjeta, teléfono y pasaporte; la detección está pensada para los formatos españoles y no reconoce todos los extranjeros), de inyección de prompts y de secretos. No todos nuestros sistemas lo aplican hoy; entre otros, no lo aplican el chat público de esta web (se te advierte junto al campo de escritura), el trabajo de nuestro equipo con Claude, nuestro asistente interno de operaciones, algunos flujos automatizados, el análisis de las solicitudes de alta y la regeneración de borradores de correo del panel, que sustituye los datos personales del cuerpo pero no el remitente ni el asunto.
— Rotación trimestral de credenciales operativas y tokens (inmediata en caso de incidencia).
— Sandboxing y *allowlist* estricta para ejecución de comandos generados por IA.
— *Security headers* completos: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy (auditoría S199).
Autenticación de usuarios:
— Autenticación multifactor (2FA) obligatoria para roles administrativos · opcional pero recomendada para usuarios.
— Contraseñas con mínimo 12 caracteres, hash bcrypt con factor 12.
— Expiración de sesión tras 24h de inactividad.
— Bloqueo de cuenta tras 5 intentos fallidos consecutivos.
Organizativas:
— Control de acceso basado en roles (RBAC) · 4 roles: superadmin, raxar_internal, raxar_team, cliente.
— Principio de mínimo privilegio aplicado.
— Servidores de Hostinger en la UE (datacenter con certificación ISO 27001 según el proveedor).
— Backups diarios automáticos (03:00 UTC) con copia externa en dos destinos: almacenamiento de objetos de Cloudflare R2, con depósito restringido a la Unión Europea, y un soporte propio geográficamente separado en España. El archivo se cifra en origen antes de salir.
— Vigilancia automática continua (Uptime Kuma · GlitchTip · vigilancia propia) con alertas por Telegram ante anomalías. La respuesta humana es en horario laboral (lunes a viernes, 9-19 h, hora de Madrid).
— Procedimiento documentado de respuesta a incidentes.
— Formación RGPD y seguridad para el equipo interno.
9. Notificación de Brechas de Seguridad
En caso de una violación de seguridad de datos personales que afecte a los derechos y libertades de los interesados, RAXAR se compromete a:
— Notificar a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde el conocimiento, conforme al Art. 33 RGPD.
— Comunicar a los interesados afectados sin demora indebida cuando la brecha suponga un alto riesgo para sus derechos y libertades (Art. 34 RGPD).
— Notificar al cliente (responsable del tratamiento) dentro de las 48 horas siguientes al conocimiento cuando la brecha afecte a datos tratados en su nombre (plazo contractual más estricto que el legal).
Toda brecha queda registrada internamente en nuestro registro de incidencias de seguridad, disponible para revisión por autoridades de control y clientes responsables.
10. Menores de Edad
Los servicios de RAXAR están dirigidos exclusivamente a mayores de 18 años (clientes B2B · profesionales y empresas). No recopilamos intencionadamente datos de menores. Si detectamos que se han recogido datos de un menor, procederemos a su eliminación inmediata.
11. Cookies
Este sitio web utiliza cookies técnicas y de análisis. Para más información, consulta nuestra Política de Cookies en raxar.es/cookies.
12. Responsable de Protección de Datos
RAXAR no está obligado a designar Delegado de Protección de Datos (DPD/DPO) conforme al Art. 37 RGPD (la actividad no constituye observación sistemática a gran escala ni tratamiento a gran escala de categorías especiales). No obstante:
— Tenemos un canal dedicado para cuestiones de privacidad: privacidad@raxar.es.
— Las solicitudes se gestionan por el equipo directivo con responsabilidad directa en materia de protección de datos.
— Si en el futuro nuestro volumen de tratamiento lo requiere, designaremos un DPD formal y actualizaremos esta política.
13. Cambios en esta Política
Podemos actualizar esta política para reflejar cambios legales o en nuestros servicios. La fecha de última actualización aparece al inicio de esta página. Si los cambios son significativos, te lo comunicaremos por email si tienes relación activa con nosotros, y/o mediante aviso prominente en la plataforma durante 30 días.