Política de Privacidad
1. Responsable del tratamiento
- Denominación social: Galde Analytics, S.L.
- NIF: B10641728
- Domicilio social: Calle Alameda de Mazarredo, 47, Bajo — 48009 Bilbao (Bizkaia), España
- Datos registrales: Registro Mercantil de Bizkaia, Tomo 6246, Folio 174, Hoja BI-82276
- Correo electrónico: info@galde.app
- Teléfono: (+34) 688 86 73 94
Delegado de Protección de Datos: no se ha designado, al no concurrir ninguno de los supuestos del artículo 37 del RGPD. Para cualquier cuestión sobre sus datos puede dirigirse a info@galde.app.
2. Qué datos tratamos y para qué
| Tratamiento | Datos | Finalidad | Base jurídica |
|---|---|---|---|
| Consultas | Nombre, empresa, correo, teléfono y contenido del mensaje | Responder a las solicitudes recibidas por el formulario o por correo | Medidas precontractuales a petición del interesado (art. 6.1.b RGPD) |
| Clientes | Datos de contacto profesional y de facturación | Ejecutar y administrar el contrato de servicios | Ejecución de contrato (art. 6.1.b RGPD) |
| Obligaciones legales | Datos de facturación | Cumplir obligaciones fiscales y contables | Obligación legal (art. 6.1.c RGPD) |
| Comunicaciones comerciales | Correo electrónico | Enviar contenidos y novedades | Consentimiento (art. 6.1.a RGPD); para clientes, sobre servicios análogos, interés legítimo conforme al art. 21.2 LSSI |
| Analítica web | Identificador de cookie, páginas visitadas, origen del tráfico, datos aproximados de dispositivo | Entender el uso del sitio de forma agregada | Consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI) |
| Registro de consentimiento | Identificador aleatorio, categorías aceptadas, fecha, versión de la política, prefijo de red de la IP | Acreditar el consentimiento prestado, como exige el art. 7.1 RGPD | Obligación legal (art. 6.1.c RGPD) |
El registro de consentimiento merece una aclaración, porque es un tratamiento que existe para protegerle a usted: guardamos la prueba de lo que decidió sobre las cookies. Por eso conservamos el prefijo de red de su IP y no la dirección completa —suficiente para acreditar la procedencia, insuficiente para identificarle— y el identificador es aleatorio, no derivado de ningún dato suyo.
No tratamos categorías especiales de datos ni datos de menores.
3. Origen de los datos
Los datos proceden del propio interesado. No los obtenemos de fuentes de acceso público ni los compramos a terceros.
4. Decisiones automatizadas
No adoptamos decisiones basadas únicamente en tratamientos automatizados ni elaboramos perfiles con efectos jurídicos o similares.
No utilizamos sistemas de inteligencia artificial para tratar los datos de quienes visitan este sitio. Sí se emplean para redactar el contenido de los informes de Galde Governance, nuestro producto de evaluación de madurez, en las condiciones que se detallan en el apartado 10.
5. Plazos de conservación
| Dato | Plazo |
|---|---|
| Consultas que no derivan en relación contractual | 12 meses desde el último contacto |
| Datos de clientes | Durante la relación contractual y 4 años después |
| Facturación y contabilidad | 6 años (art. 30 Código de Comercio) y 4 años a efectos fiscales |
| Suscripción a comunicaciones | Hasta que se retire el consentimiento |
| Analítica web (Google Analytics 4) | 14 meses |
| Registro de consentimiento de cookies | 3 años desde la retirada o sustitución de la decisión |
| Evaluaciones e informes de Galde Governance | 3 años desde el último acceso |
| Análisis gratuitos de Firstfoot que no se contratan | 12 meses desde su creación |
| Estudios y comparativas contratados en Firstfoot | 3 años desde la compra |
6. Destinatarios y encargados del tratamiento
No cedemos datos personales a terceros para sus propios fines. Sí acceden a ellos los proveedores que nos prestan servicios, como encargados y con contrato conforme al artículo 28 del RGPD:
| Proveedor | Servicio | Datos a los que accede | Ubicación del tratamiento |
|---|---|---|---|
| Vercel Inc. | Alojamiento y distribución de galde.app, de Galde Governance y de Firstfoot | Registros de servidor, incluida la IP | Suecia (Estocolmo) para las funciones de servidor; la red de distribución sirve contenido estático desde el nodo más cercano al visitante |
| Supabase | Base de datos: registro de consentimiento, formulario de contacto, evaluaciones de Galde Governance y estudios de Firstfoot | Todos los datos que se guardan | Suecia (Estocolmo) |
| Resend | Envío de los correos del formulario de contacto, de Galde Governance y de Firstfoot | Nombre, correo y contenido del mensaje o del informe | Estados Unidos |
| Stripe Payments Europe, Ltd. | Pasarela de pago de Galde Governance y de Firstfoot | Correo y datos de facturación. Los datos de la tarjeta los trata Stripe directamente: nunca pasan por nuestros sistemas | Irlanda, con tratamiento en Estados Unidos por Stripe, Inc. |
| Anthropic PBC | Generación del contenido de los informes de Galde Governance y de los análisis y estudios de Firstfoot, incluidas búsquedas en fuentes públicas | Respuestas del cuestionario, sector y tamaño de la empresa; en Firstfoot, además, el contenido público de la web de la empresa si la indica | Estados Unidos |
| Google Ireland Limited | Analítica web (Google Analytics 4 y Tag Manager) | Identificador de cookie y datos de navegación, solo si acepta la analítica | Irlanda, con posible tratamiento en Estados Unidos |
| Google Ireland Limited | Correo corporativo (Google Workspace) | Contenido de la correspondencia | Irlanda, con posible tratamiento en Estados Unidos |
| Cloudflare, Inc. | Servidores de nombres del dominio | Consultas de DNS. No recibe el contenido de la navegación, porque no actúa como intermediario del tráfico | Estados Unidos |
| Asesoría fiscal, contable y laboral | Obligaciones legales | Datos de facturación | España |
7. Transferencias internacionales
Parte de nuestros proveedores trata datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Todas esas transferencias están amparadas en alguno de estos mecanismos, que constan en el contrato de encargo firmado con cada proveedor:
- Decisión de adecuación EU–US Data Privacy Framework, de 10 de julio de 2023, para los proveedores que figuran certificados en la lista oficial del marco.
- Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, con las medidas complementarias que cada proveedor documenta, para el resto.
Dónde se trata cada cosa, en concreto:
- Alojamiento (Vercel). Las funciones de servidor están fijadas en Estocolmo (Suecia), junto a la base de datos, de modo que el tratamiento ordinario ocurre dentro de la Unión Europea. La red de distribución entrega el contenido estático desde el nodo más cercano a cada visitante, sin tratar datos personales más allá del registro técnico de la petición. El acceso de soporte de Vercel Inc. desde Estados Unidos sí es una transferencia, amparada en su contrato de encargo.
- Base de datos (Supabase). El proyecto está alojado en Estocolmo (Suecia), dentro del Espacio Económico Europeo, así que el almacenamiento no constituye transferencia internacional. El acceso de soporte del proveedor desde Estados Unidos sí lo es, y se ampara en las cláusulas contractuales tipo de su contrato de encargo.
- Correo (Resend). Trata datos en Estados Unidos, al amparo del contrato de encargo suscrito con el proveedor.
- Informes (Anthropic). El modelo que redacta el contenido se ejecuta en Estados Unidos. Lo que se envía son las respuestas del cuestionario y los datos de la empresa, no datos identificativos de personas más allá de los necesarios para elaborar el informe. Anthropic participa en el EU–US Data Privacy Framework y sus condiciones comerciales incorporan cláusulas contractuales tipo y la exclusión del uso de los datos para entrenar modelos.
- Pagos (Stripe). La entidad contratante es irlandesa; el grupo trata datos también en Estados Unidos. Stripe está certificada en el EU–US Data Privacy Framework y su adenda de transferencias forma parte del contrato.
- Analítica y correo corporativo (Google). Solo se activa la analítica si usted la acepta.
Si quiere una copia de las garantías aplicadas a cualquiera de estas transferencias, puede solicitarla en info@galde.app.
8. Sus derechos
Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar en cualquier momento el consentimiento prestado sin que ello afecte a la licitud del tratamiento previo. Para las cookies, puede hacerlo desde el enlace Preferencias de cookies del pie de página.
Escriba a info@galde.app o a Calle Alameda de Mazarredo, 47, Bajo — 48009 Bilbao, indicando el derecho que ejerce y acompañando copia de un documento que acredite su identidad. Responderemos en el plazo de un mes.
Puede reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6 — 28001 Madrid; www.aepd.es).
9. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado en tránsito mediante TLS, cifrado en reposo en la base de datos, control de accesos según el principio de mínimo privilegio, seguridad a nivel de fila y copias de seguridad periódicas.
10. Galde Governance
Galde Governance (governance.galde.app) es un producto de Galde Analytics, S.L. Somos responsables del tratamiento también en ese subdominio, y por eso se rige por esta misma política. Como el tratamiento es distinto al de la web, lo detallamos aparte.
| Qué tratamos | Para qué | Base jurídica |
|---|---|---|
| Correo electrónico, nombre de la empresa, sector y tamaño | Identificar su evaluación, enviarle el informe y darle acceso posterior con un enlace | Ejecución de un contrato o medidas precontractuales (art. 6.1.b RGPD) |
| Respuestas del cuestionario de madurez | Calcular su puntuación y generar el contenido del informe | Ejecución de un contrato (art. 6.1.b RGPD) |
| Correo y datos de facturación, en el nivel de pago | Cobrar el Governance Blueprint y emitir la factura | Ejecución de un contrato y obligación legal (art. 6.1.b y 6.1.c RGPD) |
| Puntuaciones anonimizadas, sin empresa ni contacto | Construir la comparativa sectorial que se muestra en los informes | Interés legítimo (art. 6.1.f RGPD), con datos que ya no permiten identificar a nadie |
Uso de inteligencia artificial. El contenido escrito del Governance Blueprint lo redacta un modelo de lenguaje de Anthropic a partir de sus respuestas y de la puntuación calculada. No es una decisión automatizada con efectos jurídicos: es un documento de análisis que usted decide si aplica o no, y el cálculo de la puntuación es una fórmula determinista, no una estimación del modelo. Sus respuestas no se emplean para entrenar modelos.
Conservación. Las evaluaciones y sus informes se conservan tres años desde la última vez que accede a ellos, para que pueda recuperarlos y comparar su evolución. Las facturas, los plazos fiscales de la tabla del apartado 5. La comparativa sectorial conserva solo datos anonimizados, sin plazo, porque ya no son datos personales.
Pagos. Los datos de su tarjeta se tratan íntegramente en Stripe. Nosotros no los vemos, no los almacenamos y no pasan por nuestros servidores.
11. Firstfoot
Firstfoot (firstfoot.galde.app) es un producto de Galde Analytics, S.L. que elabora análisis de entrada en mercados exteriores. Somos responsables del tratamiento también en ese subdominio, y por eso se rige por esta misma política. Como el tratamiento es distinto al de la web, lo detallamos aparte.
| Qué tratamos | Para qué | Base jurídica |
|---|---|---|
| Correo electrónico, nombre de la empresa y respuestas del cuestionario | Preparar el primer análisis gratuito y guardar el cuestionario | Medidas precontractuales a petición suya (art. 6.1.b RGPD) |
| La web de la empresa, si la indica en el cuestionario | Leer su contenido público una sola vez para contextualizar el análisis | Medidas precontractuales y ejecución de un contrato (art. 6.1.b RGPD) |
| Los mismos datos, al contratar | Generar, entregar y mantener accesibles los estudios y comparativas contratados | Ejecución de un contrato (art. 6.1.b RGPD) |
| Correo y datos de facturación: nombre o razón social, dirección y NIF | Cobrar y emitir la factura | Ejecución de un contrato y obligación legal (art. 6.1.b y 6.1.c RGPD) |
| Versión de las condiciones aceptadas y fecha de aceptación | Acreditar la contratación y el consentimiento a la generación inmediata | Obligación legal (art. 6.1.c RGPD) |
| Correo y número de solicitudes diarias | Enviar el enlace de acceso a «Mis informes» y limitar los análisis gratuitos para evitar abusos | Ejecución de un contrato e interés legítimo en la seguridad del servicio (art. 6.1.b y 6.1.f RGPD) |
Uso de inteligencia artificial. El contenido del análisis gratuito, de los estudios y de las comparativas lo redacta un modelo de lenguaje de Anthropic a partir de sus respuestas. En la sección de competencia, el modelo busca en fuentes públicas de internet información sobre su sector y el país de destino: las búsquedas describen el mercado, no a usted. Si indica la web de su empresa, se lee una sola vez y se guarda un resumen para reutilizarlo. No es una decisión automatizada con efectos jurídicos (art. 22 RGPD): es un documento de análisis que usted decide si aplica o no. Sus respuestas no se emplean para entrenar modelos. Le pedimos que no incluya en el cuestionario datos personales de terceros ni categorías especiales de datos.
Conservación. Los análisis gratuitos que no se contratan se eliminan 12 meses después de su creación. Los estudios y comparativas contratados se conservan tres años desde la compra, para que pueda recuperarlos en «Mis informes», y después se eliminan; le recomendamos descargar el PDF. La eliminación es automática. Las facturas siguen los plazos fiscales de la tabla del apartado 5.
Dónde se tratan. Las funciones de servidor de Firstfoot se ejecutan en Fráncfort (Alemania) y su base de datos está alojada en la Unión Europea, dentro del EEE. Intervienen Vercel, Supabase, Resend, Stripe y Anthropic, en los términos de los apartados 6 y 7.
Cookies y almacenamiento local. Firstfoot no usa cookies de analítica ni de
publicidad. Solo usa la cookie técnica firstfoot_sesion, que se crea al entrar
en «Mis informes» con el enlace de acceso y dura 30 días. Además, guarda el
cuestionario sin terminar en el almacenamiento local de su navegador para que no
pierda lo escrito, y lo borra al enviarlo. Ambos son necesarios para el servicio
que usted pide, por lo que no requieren consentimiento (art. 22.2 LSSI).
Pagos. Los datos de su tarjeta se tratan íntegramente en Stripe. Nosotros no los vemos, no los almacenamos y no pasan por nuestros servidores.
12. Cambios en esta política
Publicaremos aquí cualquier modificación. Si el cambio afecta a las finalidades o a las bases jurídicas, se lo comunicaremos y, cuando proceda, le pediremos un nuevo consentimiento. En el caso de las cookies, un cambio en la declaración hace que el aviso vuelva a mostrarse automáticamente.
Última actualización: 14 de septiembre de 2026