Política de privacidad
Última actualización: 4 de noviembre de 2026.
1. Responsable del tratamiento
- Razón social: [RAZÓN SOCIAL]
- NIF: [NIF]
- Domicilio: [DOMICILIO]
- Correo de contacto para ejercicio de derechos: [email protected]
2. Qué datos tratamos
SexenIA trata datos de la persona investigadora que se registra, siempre de forma privada y de uso exclusivo suyo: no hay perfiles públicos ni se publican datos bibliométricos de nadie.
- Identidad y cuenta: nombre, correo, contraseña guardada como hash Argon2id (SexenIA nunca conoce ni puede recuperar tu contraseña), identificador ORCID si se vincula, y los datos del segundo factor de autenticación si lo activas.
- Perfil académico: universidad, departamento, área o campo de evaluación.
- Producción científica: DOI, metadatos, indicadores bibliométricos y evidencias que la persona usuaria aporta o que SexenIA recupera de fuentes abiertas para elaborar sus expedientes.
- Ficheros de evidencia y copias de las respuestas de las fuentes: exportaciones de Scopus, WoS, JCR o Dialnet que tú mismo subes, capturas de pantalla, PDF y las copias literales (snapshots) de lo que devuelven las fuentes abiertas consultadas. Se guardan en un almacenamiento S3 privado y cifrado, accesible solo mediante enlaces firmados de corta duración.
- Datos fiscales, solo si se solicita factura completa: NIF, domicilio fiscal, y en su caso código DIR3 de la Administración.
- Datos de pago: gestionados por la pasarela de pago; SexenIA no almacena números de tarjeta.
- Datos técnicos: dirección IP, registros de acceso y registro de auditoría de acciones sensibles (
audit_logs), que incluye la dirección IP desde la que se realizó cada acción, por motivos de seguridad y trazabilidad. - Registro de consentimientos: tipo y versión del texto aceptado, fecha y dirección IP.
SexenIA nunca envía a un proveedor de inteligencia artificial datos fiscales, DNI, teléfono ni dirección postal: solo lo estrictamente necesario de la aportación académica (título, metadatos, indicadores) para generar la narrativa.
3. Base jurídica
El tratamiento se basa en:
- la ejecución del contrato de prestación del servicio (análisis, narrativa, facturación);
- el consentimiento expreso para el envío de comunicaciones comerciales, si se otorga;
- el cumplimiento de obligaciones legales, en el caso de la conservación de facturas.
4. Encargados de tratamiento
Para prestar el servicio, SexenIA recurre a los siguientes encargados de tratamiento, con quienes existe (o existirá antes de operar en producción) el correspondiente contrato de encargo:
| Encargado | Función | Datos tratados | País / garantía |
|---|---|---|---|
| Proveedor de alojamiento (hosting) | Ejecución de la aplicación y almacenamiento de ficheros | Todos los datos de la cuenta y del expediente | Unión Europea |
| OpenAI | Generación de narrativas (proveedor principal de IA) | Metadatos e indicadores de la aportación y el texto del artículo que subes, extraído en nuestro servidor sin el apartado de referencias y sin correos, teléfonos ni direcciones; nunca datos fiscales | EE. UU., con opción de procesamiento en la UE — cláusulas contractuales tipo. Contrato de encargo pendiente de firma antes del lanzamiento |
| Anthropic | Proveedor de IA de respaldo | Igual que el anterior, cuando el enrutado de IA lo use | EE. UU. (entidad responsable para la UE: Anthropic Ireland, Limited) — cláusulas contractuales tipo. Contrato de encargo pendiente de firma antes del lanzamiento |
| Google (Gemini) | Proveedor de IA opcional (respaldo por tarea) | Igual que el anterior, cuando el enrutado de IA lo use | EE. UU. — cláusulas contractuales tipo. Contrato de encargo pendiente de firma antes del lanzamiento |
| Google (Analytics 4) | Medición del uso de la web y del proceso de compra, solo con tu consentimiento para las cookies de analítica (ver la política de cookies) | Datos de navegación seudónimos, identificador de pedido e importe del paquete comprado; nunca nombre, correo ni contenido del expediente | Google Ireland Limited; EE. UU. — Data Privacy Framework y cláusulas contractuales tipo |
| Google (OAuth) | Inicio de sesión social | Nombre, correo y foto de perfil públicos de la cuenta de Google | EE. UU. — Data Privacy Framework y cláusulas contractuales tipo |
| ORCID | Inicio de sesión social y, si se vincula, importación del listado de publicaciones | Identificador ORCID y metadatos públicos de publicaciones | Unión Europea |
| Pasarela de pago (Stripe / PayPal / Redsys, según la activada) | Cobro de paquetes de análisis | Datos de pago, gestionados directamente por la pasarela | Unión Europea / EE. UU. según la pasarela — cláusulas contractuales tipo |
| Proveedor de correo transaccional | Envío de correos de la aplicación (verificación, avisos, recibos) | Correo electrónico y contenido del mensaje | Unión Europea |
| Sentry (si está activo) | Monitorización de errores técnicos | Trazas técnicas, sin datos fiscales ni de pago | EE. UU. — Data Privacy Framework y cláusulas contractuales tipo |
Las condiciones de tratamiento, entrenamiento y retención de cada proveedor de inteligencia artificial están revisadas y documentadas, con indicación de la fuente y la fecha de consulta. Los contratos de encargo (DPA) con los proveedores de IA están pendientes de firma y se firmarán antes de operar en producción con datos reales. Ningún proveedor de IA utiliza los datos enviados por SexenIA para entrenar sus modelos.
4bis. Transferencias internacionales de datos
Algunos de los encargados de tratamiento anteriores están establecidos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Esas transferencias internacionales se realizan al amparo de las garantías previstas en los artículos 44 a 49 del RGPD: preferentemente mediante una decisión de adecuación vigente (como el Data Privacy Framework UE-EE. UU.) y, cuando no exista, mediante cláusulas contractuales tipo aprobadas por la Comisión Europea junto con las medidas adicionales necesarias. SexenIA no transfiere datos fiscales, DNI, teléfono ni dirección postal a estos proveedores de IA; solo los metadatos e indicadores estrictamente necesarios de la aportación académica y, para redactar la narrativa, el texto del propio artículo sin referencias ni datos de contacto.
5. Conservación
Estos son los plazos concretos que aplicamos:
| Dato | Plazo de conservación |
|---|---|
| Cuenta, perfil académico, expedientes, aportaciones, indicadores y evidencias | Mientras la cuenta esté activa. Se eliminan al darla de baja |
| Fichas de evaluación de una aportación | Se conservan las 5 últimas por aportación; las anteriores se eliminan automáticamente |
| Exportaciones de narrativas (PDF/DOCX) | 30 días. El enlace de descarga caduca a los 30 minutos |
| Exportación de tus datos personales (derecho de portabilidad) | El fichero se destruye a las 24 horas de generarse. El enlace caduca a los 30 minutos |
Registro de auditoría de acciones sensibles (audit_logs, incluye la IP) |
24 meses |
| Registro de llamadas a proveedores de IA (tarea, modelo, tokens y coste) | 12 meses. Después solo queda una estadística agregada sin contenido |
| Datos fiscales de tu perfil (NIF, domicilio fiscal, DIR3) | Mientras la cuenta esté activa. Se eliminan al darla de baja |
| Facturas y recibos ya emitidos | Se conservan de forma indefinida por obligación fiscal y mercantil, aunque elimines la cuenta. Incluyen congelados los datos fiscales que constaban en el momento de la emisión. El enlace de descarga caduca a los 10 minutos |
| Registro de consentimientos | Sobrevive al borrado de la cuenta en forma seudonimizada: se sustituye tu identificador por un hash irreversible y la dirección IP se trunca a su rango /24. Es la prueba, exigida por el artículo 7 del RGPD, de que el consentimiento se otorgó |
Los datos enviados a proveedores de inteligencia artificial se conservan solo el tiempo necesario para procesar la solicitud, según las condiciones de retención de cada proveedor (en el caso del proveedor principal, con borrado automático en un plazo de 30 días). Ningún proveedor los usa para entrenar sus modelos.
6. Derechos de las personas interesadas
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento cuando el tratamiento se base en él. Desde tu perfil puedes exportar y solicitar el borrado de tus datos. Ten en cuenta que el borrado no alcanza a las facturas y recibos ya emitidos, que debemos conservar por obligación legal, ni al registro seudonimizado de consentimientos descrito en el apartado 5. También puedes escribir a [email protected] o presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Seguridad
- Las contraseñas se guardan como hash Argon2id, nunca en claro ni de forma reversible.
- Los datos sensibles se cifran en reposo en la base de datos: datos fiscales, contenido de las facturas, credenciales de integraciones y tokens de inicio de sesión social.
- Las evidencias, los snapshots de fuentes, las facturas y las exportaciones se guardan en almacenamiento S3 privado y cifrado, con enlaces firmados de corta duración.
- Antes de cualquier envío a un proveedor de inteligencia artificial se ejecuta un control automático bloqueante que impide que salgan datos fiscales, DNI, teléfono, dirección o cuentas bancarias.
- El acceso a los expedientes de cada persona usuaria está restringido a ella misma; el personal de soporte solo accede mediante impersonación auditada, que queda registrada con la identidad de quien la realiza.
- El acceso de administración exige doble factor de autenticación obligatorio.
Para más información sobre el uso de la inteligencia artificial en la generación de narrativas, consulta la política de uso de IA.