Información legal
Política de privacidad
Esta política explica cómo se tratan tus datos personales cuando visitas junsu.es, solicitas una demostración, nos escribes o informas de un error, y qué ocurre con los datos de la plataforma cuando un usuario le conecta un agente de inteligencia artificial, conforme al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
Última actualización:
Responsable del tratamiento
El responsable es Víctor Fernández Ayllón, titular de Junsu, con los datos que figuran en el aviso legal. Puedes escribirle sobre cualquier cuestión de privacidad a victor@junsu.es. No hay un delegado de protección de datos designado, porque la actividad no lo exige.
Qué datos tratamos y para qué
| Cuándo | Datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|---|
| Solicitas una demo | Nombre, correo, empresa, cargo y el mensaje que escribas | Responder a tu solicitud, organizar la demostración y hablar contigo sobre si Junsu encaja | Medidas precontractuales a petición tuya, cuando vayas a ser parte del contrato (art. 6.1.b RGPD); interés legítimo en gestionar relaciones profesionales cuando actúes como contacto de una organización (art. 6.1.f RGPD y art. 19 LOPDGDD) | 12 meses desde el último contacto si no llegas a ser cliente |
| Nos escribes por correo | Tu dirección y lo que incluyas en el mensaje | Contestarte y atender lo que pidas | Interés legítimo en atender las consultas que se reciben (art. 6.1.f RGPD); si la consulta es comercial, las mismas bases que una solicitud de demo | 12 meses desde que se cierra la conversación. La copia que recibe Amazon SES al llegar el correo se borra a los 7 días |
| Informas de un error con el botón «Informar de un error» | La descripción que escribas, tu correo si lo indicas, la dirección de la página en la que estabas, los datos de tu navegador (agente de usuario) y el idioma de la página | Investigar y corregir el error y, si nos dejas tu correo, contestarte | Interés legítimo en que el servicio funcione y en corregir sus errores (art. 6.1.f RGPD) | 12 meses desde que se cierra el informe |
| Navegas por el sitio | Dirección IP, navegador, página pedida y hora | Servir las páginas y proteger el sitio frente a abusos, como el exceso de peticiones | Interés legítimo en la seguridad del servicio (art. 6.1.f y considerando 49 RGPD) | El cortafuegos de AWS cuenta las peticiones de cada IP en ventanas de 5 minutos para frenar los excesos. Los registros técnicos del servidor, que usamos solo para estos fines, se conservan un máximo de 90 días. Si revelan un incidente de seguridad, se conservan el tiempo necesario para investigarlo y, si procede, ejercer o defender reclamaciones |
| Tu organización contrata Junsu | Datos de contacto y de facturación del cliente | Gestionar el contrato, facturar y cumplir las obligaciones legales | Ejecución del contrato cuando seas parte de él (art. 6.1.b RGPD); interés legítimo en gestionar relaciones profesionales cuando actúes como contacto de una organización (art. 6.1.f RGPD y art. 19 LOPDGDD); y las obligaciones legales que correspondan, como las mercantiles y fiscales (art. 6.1.c RGPD) | Mientras dure el contrato y, después, los plazos que exige la normativa mercantil y fiscal |
Las solicitudes de demo y los informes de error no se guardan en la plataforma: Junsu los envía por correo, mediante Amazon SES, a un buzón de Gmail del titular, desde el que se contestan. El correo que escribes a victor@junsu.es lo recibe Amazon SES, que lo reenvía a un buzón de Gmail del titular.
El sitio no usa analítica, publicidad ni herramientas de seguimiento, no elabora perfiles y no toma decisiones automatizadas sobre ti. Tampoco enviamos comunicaciones comerciales: si algún día lo hacemos, te pediremos antes el consentimiento.
Si llegas a ser cliente, los datos de la solicitud pasan a formar parte de la relación contractual y se conservan con ella.
Los datos que los clientes guardan en la plataforma
Los datos que una organización cliente sube a la plataforma (sus riesgos, controles, evidencias o los de su personal) los trata Junsu por cuenta de esa organización, como encargado del tratamiento (art. 28 RGPD) y según el contrato de encargo que firma con ella. La organización es la responsable de esos datos: si quieres ejercer tus derechos sobre ellos, dirígete a ella. Cómo se protegen se explica en la página de seguridad.
Agentes de IA conectados a la plataforma
Un usuario de una organización cliente puede conectar un agente de inteligencia artificial a un Proyecto: Claude (en claude.ai, sus aplicaciones o Claude Code), mediante el conector de Junsu, u otro cliente compatible con el protocolo MCP (Model Context Protocol), con una autorización o con un token de Proyecto. Para autorizarlo, el usuario inicia sesión en Junsu y elige el Proyecto y si el agente puede solo leer o también escribir. El agente trabaja con la identidad de ese usuario y nunca con más permisos de los que este tiene en Junsu. Los datos circulan en las dos direcciones:
- Lo que Junsu recibe del agente: cada herramienta que llama y sus argumentos (qué paso, tabla o documento pide, qué busca y, si escribe, los datos, valoraciones, justificaciones u observaciones que envía), junto con la identidad del usuario que lo autorizó y el nombre con el que se presenta el agente. Cada petición deja además los registros técnicos descritos más arriba.
- Lo que Junsu entrega al agente: el contenido del Proyecto autorizado que el agente pide, como el contexto del Proyecto y de cada paso, las tablas de los pasos (riesgos, controles, valoraciones, registro de actividades de tratamiento y otras), la lista de documentos, fragmentos y texto de documentos y evidencias, y las observaciones del certificador con sus respuestas y el nombre de quien las escribe. Ese contenido puede incluir datos personales, como nombres y cargos de personas de la organización o lo que contengan sus documentos. Es una comunicación de datos: el agente los recibe en el servicio de IA que usa el usuario, fuera de Junsu.
Junsu no ve la conversación del usuario con el agente ni guarda una copia de lo que le entrega. Las lecturas del agente no se anotan una a una ni en el historial del Proyecto ni en el registro de auditoría: de ellas solo quedan los contadores de uso del apartado siguiente y los registros técnicos de cada petición.
El usuario puede revocar la autorización o el token en cualquier momento desde Ajustes → Agentes, y deja de valer en la siguiente llamada. También se revoca sola cuando el usuario pierde el acceso en el que se apoyaba, por ejemplo al salir de la organización. Revocar corta el acceso a partir de ese momento, pero no retira lo que el agente ya recibió: eso queda en el servicio de IA, sujeto a sus propias condiciones de conservación.
Qué guarda Junsu de los agentes y cuánto tiempo
| Qué | Contenido | Conservación |
|---|---|---|
| La autorización o el token de Proyecto | El usuario, el Proyecto, si es de lectura o de escritura, el cliente de IA o el nombre del token, cuándo se creó, su último uso y, si se revocó, cuándo. De las credenciales solo se guarda su huella criptográfica (hash), nunca el token en claro. | Mientras existan el usuario y el Proyecto. Revocarla no la borra: queda marcada como revocada, para que conste quién tuvo acceso y hasta cuándo. En las autorizaciones, las huellas de los tokens ya caducados se eliminan al renovarlos. |
| Las solicitudes de autorización | Cuando un cliente de IA pide conectarse: el cliente, su dirección de retorno (callback), el parámetro «state», el reto PKCE, los permisos que pide y cuándo se creó, se usó o se denegó. Si el usuario la aprueba, también el enlace a la autorización creada y la huella del código de un solo uso. | Caducan a los 10 minutos. Las que llevan más de un día caducadas se eliminan cuando empieza otra autorización; todavía no hay un borrado periódico. |
| Los contadores de uso | Cuántas llamadas hace cada credencial a cada herramienta cada día, sin sus argumentos ni sus respuestas. Sirven para aplicar los límites de uso y para que el usuario vea la actividad de sus agentes en Ajustes → Agentes. | Se conservan por días naturales; se eliminan en la ejecución horaria posterior a superar 400 días de antigüedad del día registrado, o antes si se elimina su usuario o credencial. Que la credencial se revoque o caduque no los borra. |
| Las escrituras del agente | Lo que el agente guarda queda en el Proyecto, marcado como aportado por un agente. Cada guardado en una tabla deja un comprobante con el usuario que lo autorizó, el agente, la herramienta y las filas afectadas. De cada fila pendiente de revisión, Junsu guarda su estado antes de la primera aportación del agente y el último estado y la última justificación del agente, con sus citas; cuando un compliance officer la acepta o la revierte, queda quién lo hizo y cuándo. Las observaciones y respuestas que añade el agente se guardan como comunicaciones del Proyecto, igual que las de las personas, sin comprobante, citas ni revisión de filas. | Forman parte del Proyecto y se conservan con él: se borran cuando se borra el Proyecto. |
| El registro de auditoría | Quién escribió con un agente, con qué herramienta, cuántas filas y cuándo; que el agente añadió una observación o respondió a una; la revisión de sus filas, y el alta, el cambio de Proyecto y la revocación de autorizaciones y tokens, tanto la que hace el usuario en Ajustes → Agentes como la que sigue a retirarle el acceso. Cuando Junsu revoca una autorización por sí solo al detectar que se reutiliza su código o su token de renovación, hoy no queda evento en el registro: consta en la propia autorización, marcada como revocada con su fecha. | Se guarda aparte del Proyecto y sobrevive a su borrado, porque sirve para reconstruir quién hizo qué. Cada evento se conserva un máximo de 24 meses, y se borra antes si termina el contrato con la organización, salvo que una obligación legal exija conservarlo. Mientras no exista un borrado automático, ese borrado se hace a mano. |
Quién responde de lo que recibe un agente
Cuando entrega el contenido de un Proyecto a un agente, Junsu sigue actuando como encargado del tratamiento, por cuenta y según las instrucciones de la organización cliente (art. 28 RGPD); lo mismo vale para lo que guarda de los agentes, descrito en la tabla anterior. Es la organización cliente, como responsable, quien decide si sus usuarios pueden conectar agentes de IA a sus Proyectos y a qué servicios se exportan sus datos.
Hoy puede conectar un agente a un Proyecto, con sus propios permisos, cualquier usuario con acceso a ese Proyecto: un compliance officer del Workspace o de la Organización a la que pertenece, o un certificador al que se ha concedido acceso al Proyecto. Junsu aplica los permisos del Proyecto, pero no ofrece una autorización aparte, a nivel de organización, por usuario o por proveedor de IA: la organización debe fijar qué conexiones permite. Cada usuario ve y revoca solo sus propias conexiones; la organización puede cortar las de un usuario retirándole el acceso al Workspace o, si es certificador, al Proyecto.
El usuario que autoriza una conexión actúa en nombre de su organización y dentro de los permisos que esta le ha dado: autorizarla no le convierte en responsable de esos datos, y aceptar la pantalla de autorización no es el consentimiento de las personas cuyos datos figuran en el Proyecto. La base jurídica de esa comunicación la determina la organización cliente.
El servicio de IA que recibe los datos no es un proveedor ni un subencargado de Junsu: Junsu no lo elige ni lo contrata para este uso. Cuando es Claude, lo presta Anthropic, y lo que ocurre con los datos que recibe (para qué se usan, cuánto tiempo se guardan y dónde se tratan) se rige por el acuerdo que la organización cliente o el usuario tengan con Anthropic para la cuenta de Claude que usen, y por la política de privacidad de Anthropic. Lo mismo vale para cualquier otro cliente MCP y su proveedor. Las exportaciones requieren instrucciones documentadas de la organización y, cuando constituyan transferencias internacionales, un mecanismo válido del capítulo V del RGPD. Junsu cumple las obligaciones que le corresponden como encargado exportador.
Para ejercer tus derechos sobre los datos de un Proyecto, incluidos los que se hayan entregado a un agente, dirígete a la organización responsable, también respecto de las copias que sus encargados conserven. Para tratamientos en los que el proveedor de IA actúe como responsable independiente, puedes dirigirte a ese proveedor. Junsu ayuda a la organización a atender esas solicitudes en lo que dependa de Junsu.
A quién se comunican
No cedemos a terceros los datos de los que somos responsables, los de la tabla del principio, salvo obligación legal. Los datos de la plataforma se comunican solo a quien decida la organización cliente responsable, como el servicio de IA de un agente que sus usuarios conectan a un Proyecto (ver «Agentes de IA conectados a la plataforma»), o por obligación legal. Para prestar el servicio nos apoyamos en estos proveedores:
- Amazon Web Services EMEA SARL: alojamiento del sitio y de la plataforma, base de datos y envío y recepción de correo (Amazon SES), en la región de la Unión Europea de Irlanda; y, con Amazon Bedrock, el índice que permite buscar en los documentos de la plataforma, en esa misma región.
- OpenRouter, Inc., en Estados Unidos: de forma provisional, hace llegar al modelo de IA las peticiones de las funciones de IA propias de la plataforma, como el Agente de Junsu o las propuestas de valoración, de mapeo y de cobertura. Cada petición lleva las instrucciones y el contenido del Proyecto que necesita, como sus tablas o el texto de sus documentos y evidencias, que puede incluir datos personales.
- Anthropic Ireland, Limited: el modelo de IA (Claude) que responde a esas peticiones, con la cuenta de Junsu en Anthropic. OpenRouter tiene fijado este proveedor y no pasa las peticiones a otro si no está disponible.
- Google (Gmail): el buzón de correo del titular. Recibe las solicitudes de demo y los informes de error que Junsu envía mediante Amazon SES, y el correo dirigido a nuestras direcciones de junsu.es, que Amazon SES recibe y reenvía; desde él se leen y se contestan. Es una cuenta de Gmail, y Google trata esos mensajes según las condiciones y la política de privacidad de Gmail.
OpenRouter y Anthropic sustituyen de forma provisional a Amazon Bedrock para las funciones de IA propias de la plataforma. Cuando vuelvan a Amazon Bedrock, en regiones de la Unión Europea, actualizaremos esta lista.
Estos proveedores pueden tratar datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. Esas transferencias se amparan en los mecanismos del capítulo V del RGPD que recogen los términos de cada proveedor: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., que solo cubre a los destinatarios en Estados Unidos certificados en él para ese tratamiento (puedes consultarlos en dataprivacyframework.gov), o las cláusulas contractuales tipo de la Comisión Europea. Puedes pedirnos una copia de las garantías que se aplican escribiendo a victor@junsu.es.
Los servicios de IA que se conectan como agentes no figuran en esta lista porque no son proveedores de Junsu: qué hacen con los datos se rige por el acuerdo de la organización cliente o del usuario con ellos (ver «Quién responde de lo que recibe un agente», también sobre las transferencias internacionales).
Tus derechos
Puedes pedir el acceso a tus datos, su rectificación o supresión, la limitación de su tratamiento, la portabilidad y oponerte a él, escribiendo a victor@junsu.es e indicando qué derecho ejerces. Respondemos en el plazo de un mes. Si te pedimos que acredites tu identidad, será solo para no entregar tus datos a otra persona.
Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos. Si resides en Andorra, también ante la Agència Andorrana de Protecció de Dades.
Menores y cambios
El sitio se dirige a empresas y profesionales; no recogemos a sabiendas datos de menores de 14 años.
Si cambiamos esta política, publicaremos aquí la nueva versión con su fecha. Si el cambio afecta a cómo usamos datos que ya tenemos, te avisaremos.