Política de Privacidad de FormGoat

La versión rectora de la presente Política es la inglesa. Las traducciones a otros idiomas se facilitan únicamente a efectos de comodidad; en caso de cualquier discrepancia prevalecerá la versión inglesa (apartado 11).

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales (el «responsable del tratamiento», «nosotros») es:

Pavel Kanakhistov — autónomo
NIF: Z1825610J
País de establecimiento: España
Dirección postal: disponible previa solicitud (contacto más abajo)

Contacto para cuestiones de privacidad, el ejercicio de sus derechos y reclamaciones: [email protected]. Esta dirección constituye el punto de contacto único conforme a todos los regímenes de protección de datos aplicables al Servicio (apartado 13).

No procede designar un representante en la UE al amparo del artículo 27 del RGPD: el responsable del tratamiento está establecido en la UE (España).

2. Qué datos recogemos

2.1. Perfil de usuario e inicio de sesión en la cuenta

• Nombre y dirección de correo electrónico, procedentes de Google cuando usted inicia sesión con Google.
• Identificador de la cuenta de Google.
• Inicio de sesión mediante código de un solo uso enviado por correo electrónico. Si usted inicia sesión con un código, conservamos su dirección de correo electrónico, un hash criptográfico del código (el código en sí no se almacena nunca en claro), su periodo de validez —10 minutos— y un contador de los intentos de introducción del código. El registro se suprime de inmediato tras un inicio de sesión correcto o al expirar.
• Registros de prevención del abuso: contadores de la frecuencia de solicitudes de códigos, vinculados a la dirección y al Servicio en su conjunto.
• Fecha de registro, plan y saldo restante.

No recibimos ni conservamos su contraseña con ninguno de los métodos de inicio de sesión.

2.2. Datos de suscripción y de transacciones

• Plan, historial de pagos y facturas.
• Los pagos son tramitados por Stripe; los datos de su tarjeta no llegan a nosotros ni son conservados por nosotros. De Stripe recibimos un identificador de cliente, el estado de la suscripción y los datos de facturación.

2.3. Datos de documentos y de la solicitud

Los documentos que usted carga (pasaportes, cuestionarios, certificados y declaraciones oficiales, reservas, solicitudes anteriores y similares) se tratan mediante OCR e IA con el fin de extraer datos. En relación con la prestación del Servicio tratamos:

• los archivos cargados, hasta su supresión automática (apartado 4);
• el perfil de la solicitud: datos estructurados obtenidos a partir de los documentos;
• los datos de la solicitud a nivel de página: qué campos se han completado y con qué valores;
• los datos de importación masiva: cuando usted carga una hoja de cálculo consolidada (Excel / CSV), conservamos los pares originales «nombre del campo — valor» de cada persona, con el fin de emplearlos al completar la solicitud. Un archivo de esta naturaleza contendrá normalmente datos de numerosas personas (apartado 2.5);
• la respuesta a la pregunta de seguridad del DS-160: si usted la guarda, la conservamos en el servidor junto con la solicitud, de modo que esté a su disposición desde cualquier dispositivo y se introduzca automáticamente. Esta respuesta es necesaria para recuperar la solicitud en ceac.state.gov; trátela como una credencial de acceso. La conservación y la supresión se rigen por el apartado 4;
• la procedencia de cada valor: el documento del que se ha obtenido.

2.4. Categorías especiales de datos (artículo 9 del RGPD)

Los documentos empleados para completar formularios de visado y otros formularios oficiales pueden contener categorías especiales de datos personales, en particular datos que revelen el origen racial o étnico (nacionalidad, lugar de nacimiento, un nombre en alfabeto nacional) y, en determinados casos, datos biométricos (fotografías en documentos).

Tratamos tales datos exclusivamente sobre la base de su consentimiento explícito (artículo 9(2)(a) del RGPD), que usted otorga al cargar los documentos. Usted puede retirar su consentimiento en cualquier momento suprimiendo los datos correspondientes o su cuenta; la retirada del consentimiento no afectará a la licitud del tratamiento efectuado con anterioridad.

2.5. Datos de terceros y uso a través de una agencia

Usted puede cargar documentos que contengan datos de otras personas —familiares o clientes— cuando utilice el Servicio como agente, asesor migratorio u otro representante, incluso mediante la importación masiva de una hoja de cálculo consolidada. En tal caso usted actúa como responsable del tratamiento de dichos datos y garantiza que dispone de una base jurídica para tratarlos: que es el interesado, su representante legal, o que ha obtenido su consentimiento explícito (incluido el consentimiento para las categorías especiales de datos con arreglo al artículo 9 del RGPD).

Tratamos tales datos en calidad de encargado del tratamiento, siguiendo sus instrucciones y únicamente para las finalidades de los servicios que usted solicita a FormGoat. Se pone a disposición de los usuarios empresariales, previa solicitud, un acuerdo de encargo del tratamiento (DPA). En la terminología del derecho indio de protección de datos, en este supuesto usted es el Data Fiduciary y nosotros somos un Data Processor.

2.6. Mejora de la calidad del Servicio

Podemos utilizar los datos tratados en el marco de la prestación del Servicio con el fin de mejorar la calidad de nuestros algoritmos y del Servicio en general, incluido el desarrollo y el entrenamiento de nuestros modelos.

Para estas finalidades utilizamos los datos de forma desidentificada: los elementos identificativos (nombres, números de documento, fechas de nacimiento, direcciones y otros identificadores directos) se eliminan antes de su uso. En la medida en que tales datos sean anónimos, quedan fuera del ámbito de aplicación del RGPD. Más allá de ello, nos amparamos en el interés legítimo (artículo 6(1)(f) del RGPD) —la mejora del Servicio— y aplicamos medidas técnicas y organizativas de minimización de datos. Usted puede oponerse a este tratamiento (artículo 21 del RGPD) dirigiéndose a nosotros por escrito.

2.7. Telemetría de calidad del rellenado

Con el fin de comprender en qué se equivoca el algoritmo, registramos respecto de cada campo completado únicamente el hecho: si se propuso un valor y si el usuario lo modificó, junto con la confianza del modelo, el origen del valor y el identificador de la página del formulario.

Los valores de los campos no se incluyen en la telemetría, ni los propuestos ni los corregidos. Registramos por separado el hecho de que la Aplicación se haya encontrado con una estructura de página desconocida, a fin de poder publicar la compatibilidad con el formulario modificado.

El registro de solicitudes de red en la Aplicación DS-160 se conserva únicamente en la memoria de su dispositivo y sirve a fines de autodiagnóstico; no se transmite al servidor. Usted puede copiarlo y remitírnoslo por sí mismo al contactar con el soporte, en cuyo caso controla exactamente qué se envía.

La base jurídica es el interés legítimo (artículo 6(1)(f) del RGPD) en el mantenimiento de la operatividad y la calidad del Servicio.

3. Bases jurídicas del tratamiento (artículos 6 y 9 del RGPD)

No vendemos sus datos ni los utilizamos con fines de publicidad comportamental. Todo resultado de cumplimentación de formularios exige revisión humana; no adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en el sentido del artículo 22 del RGPD.

4. Plazos de conservación

Particularidades por producto

Chrome Extension: el archivo cargado, 14 días; el perfil de la solicitud, 1 año.

DS-160 Desktop App: datos de la solicitud, 1 año. En el plan BUSINESS el plazo de conservación se acuerda de forma individual y puede ser indefinido, supuesto en el cual los datos se conservan hasta que se suprima la solicitud o la cuenta. Cuando una solicitud se suprime manualmente, todos los datos personales relativos a ella, incluidas la respuesta a la pregunta de seguridad y los datos de página, se destruyen sin dilación indebida; se conserva con fines estadísticos un registro que no contiene datos personales.

PDF Goat: sesión de trabajo, 24 horas; perfiles de solicitudes, 1 año.

Los datos obsoletos de documentos se suprimen automáticamente de forma programada. El perfil de usuario y los registros de pago no se ven afectados por ese proceso.

5. Destinatarios y encargados del tratamiento

Para prestar el Servicio recurrimos a encargados del tratamiento, esto es, proveedores de servicios que tratan datos siguiendo nuestras instrucciones (cuando, conforme al apartado 2.5, actuamos como su encargado del tratamiento, aquéllos son subencargados del tratamiento). Con cada uno de ellos se ha celebrado o aceptado un acuerdo de encargo del tratamiento (artículo 28 del RGPD). Las categorías de destinatarios se detallan a continuación; se identifican por su nombre aquellos con los que usted interactúa directamente.

El contenido de los documentos cargados es recibido únicamente por los proveedores de OCR e IA, por el alojamiento y por la base de datos; las demás categorías no lo reciben. El conjunto de proveedores de OCR e IA puede variar; los requisitos que se les imponen y las garantías de transferencia previstas en el apartado 6 permanecen invariables.

La lista completa y actualizada de proveedores está disponible previa solicitud en [email protected] y, para los usuarios empresariales, como parte del DPA, junto con el procedimiento de notificación del cambio de subencargado del tratamiento.

6. Transferencias internacionales

El alojamiento y la base de datos se encuentran en la UE (Países Bajos), por lo que respecto de ellos no se produce ninguna transferencia fuera de la UE/EEE. Los proveedores de OCR e IA, de tramitación de pagos, de envío de correo electrónico y de CDN tratan los datos en EE. UU. o fuera de la UE/EEE. Respecto de tales transferencias garantizamos las salvaguardias del Capítulo V del RGPD: Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea y/o la certificación del destinatario en el marco del EU-U.S. Data Privacy Framework (DPF). Puede solicitarse copia de las garantías y la lista de destinatarios en [email protected].

7. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 del RGPD:

• cifrado en tránsito: HTTPS / TLS en todas las conexiones;
• cifrado en reposo a nivel de infraestructura: las bases de datos gestionadas y los volúmenes de disco están cifrados por el proveedor de infraestructura;
• autenticación mediante OAuth 2.0 / OpenID Connect y códigos de un solo uso: no recibimos ni conservamos su contraseña; los códigos de un solo uso se conservan únicamente como hash;
• tokens de autorización seguros y verificación del titular de los datos en cada solicitud;
• aislamiento de los datos de los usuarios;
• limitación de la tasa de solicitudes y protección frente al abuso automatizado;
• minimización: la telemetría de calidad del rellenado no contiene valores de campos y el registro de la Aplicación no sale de su dispositivo.

Ningún sistema ofrece una seguridad absoluta. En caso de violación de la seguridad que entrañe un riesgo para sus derechos, lo notificaremos a la autoridad de control en un plazo de 72 horas (artículo 33) y, cuando el riesgo sea alto, a usted (artículo 34). Respecto de los interesados situados en la India resulta de aplicación el procedimiento del apartado 13.

8. Sus derechos (RGPD)

• Acceso (art. 15): solicitar una copia de sus datos.
• Rectificación (art. 16): que se corrijan las inexactitudes.
• Supresión (art. 17): que se supriman los datos; el derecho no es absoluto, pues los registros de pago se conservan en virtud de una obligación legal.
• Limitación del tratamiento (art. 18).
• Portabilidad (art. 20): recibir sus datos en un formato legible por máquina.
• Oposición (art. 21) al tratamiento basado en el interés legítimo.
• Retirada del consentimiento (art. 7(3)): en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Para ejercer sus derechos: [email protected]. Respondemos en un plazo de 30 días.

Derecho a presentar una reclamación. Usted tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos (artículo 77 del RGPD), en su país de residencia o en el país de establecimiento del responsable del tratamiento. La autoridad de control del responsable del tratamiento es la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

9. Supresión de la cuenta

Cómo suprimirla: desde los ajustes de la Aplicación o escribiendo a [email protected].

Qué se suprime: su nombre, su correo electrónico, todos los archivos cargados, los datos extraídos, los perfiles y los datos de las solicitudes en todos los productos, incluida la respuesta a la pregunta de seguridad, en un plazo de 14 días desde la solicitud. Las copias residuales en las copias de seguridad se eliminan en el curso de la rotación ordinaria. Determinados encargados del tratamiento pueden conservar datos durante sus propios plazos limitados conforme a sus condiciones, sobre los que no siempre podemos ejercer control.

Qué se conserva: los registros de pago (durante el plazo legal de conservación, apartado 4) y los registros de los consentimientos obtenidos, como prueba de su obtención, sin el contenido de sus documentos.

Registros conservados con fines estadísticos. Mantenemos un registro del volumen de trabajo realizado: cuántas solicitudes se han tramitado, qué modelos se han aplicado y métricas de calidad del rellenado. Al suprimirse los datos, tales registros no se suprimen, sino que se desidentifican: los campos personales se vacían y el registro en sí subsiste, sin el contenido de sus documentos y sin datos que permitan identificarle. La base jurídica es nuestro interés legítimo en la llevanza de registros y en el control de calidad (artículo 6(1)(f) del RGPD), según se describe en el apartado 2.6; usted puede oponerse a este tratamiento (artículo 21 del RGPD).

10. Menores de edad

El titular de la cuenta debe ser una persona que haya alcanzado los 18 años (o la mayoría de edad en su jurisdicción). El Servicio puede utilizarse para tratar datos de menores cuando el titular de la cuenta actúe como su representante legal (por ejemplo, al completar una solicitud de visado para un menor). No creamos cuentas de menores a sabiendas, no realizamos seguimiento del comportamiento de los niños ni les mostramos publicidad dirigida.

11. Modificaciones de la presente Política

Comunicaremos las modificaciones sustanciales por correo electrónico con una antelación no inferior a 14 días. Las versiones anteriores se conservan en el repositorio de documentación.

La presente Política puede traducirse a otros idiomas a efectos de comodidad. En caso de cualquier discrepancia prevalecerá la versión inglesa, salvo cuando normas imperativas exijan la interpretación en la lengua del interesado.

12. Contacto

[email protected]
Dirección postal: disponible previa solicitud.

13. Estándar global y particularidades regionales

13.1. Un estándar único. Aplicamos un único estándar de protección de datos personales a todos los usuarios, con independencia del país en que se encuentren. Se basa en el RGPD: las bases jurídicas del tratamiento, los derechos de los interesados, los plazos de conservación, los requisitos impuestos a los encargados del tratamiento y las garantías de transferencia establecidas en los apartados 2 a 12 se aplican a todos. Cuando las normas imperativas de su país de residencia le reconozcan mayores derechos o plazos más breves, se aplicarán aquéllas.

13.2. Roles. En los distintos ordenamientos nuestro papel recibe denominaciones diferentes: responsable del tratamiento, Data Fiduciary, controlador, responsable, titular u operador de una base de datos de carácter personal. El reparto de responsabilidades no cambia por ello: respecto de los datos de su cuenta actuamos como responsable del tratamiento; respecto de los datos de sus clientes que usted carga (apartado 2.5), usted es el responsable del tratamiento y nosotros actuamos como encargado del tratamiento, tratando esos datos únicamente siguiendo sus instrucciones.

13.3. A quién dirigirse. En primer lugar, a [email protected]; respondemos en un plazo máximo de 30 días. Si nuestra respuesta no le satisface, tiene derecho a presentar una reclamación ante la autoridad de control de su jurisdicción, cuando la legislación local prevea una. La autoridad de control del responsable del tratamiento es la Agencia Española de Protección de Datos (AEPD), España, www.aepd.es; si se encuentra en la UE/EEE, puede presentarla igualmente ante la autoridad de su país de residencia.

13.4. Particularidades regionales. Determinados ordenamientos añaden al estándar de base lo siguiente.

• India (Digital Personal Data Protection Act 2023): el derecho a obtener un resumen de los datos personales tratados y detalles de los destinatarios, así como a designar a otra persona para que ejerza sus derechos en caso de fallecimiento o incapacidad; las quejas se formulan a través del contacto indicado más arriba y, en su caso, ante el Data Protection Board of India; previa solicitud facilitaremos la presente Política en cualquiera de los idiomas enumerados en el Eighth Schedule de la Constitución de la India.
• América Latina: en Brasil (LGPD) usted tiene derecho a solicitar la revisión de una decisión adoptada únicamente mediante tratamiento automatizado; el Servicio no adopta tales decisiones, pues los valores finales son revisados por una persona (apartado 3), pero atenderemos cualquier solicitud en tal sentido y facilitaremos una explicación. En México la presente Política sirve de aviso de privacidad, y los derechos ARCO —acceso, rectificación, cancelación y oposición— se ejercen a través del mismo contacto.
• Kazajistán: el tratamiento se lleva a cabo sobre la base de su consentimiento en la forma prevista por la legislación local. La legislación de la República impone requisitos en cuanto al lugar de almacenamiento de los datos personales; hasta el momento en que ofrezcamos el Servicio en condiciones que satisfagan tales requisitos, usted consiente el tratamiento y el almacenamiento de los datos en los servidores indicados en los apartados 5 y 6.

13.5. Otros países. Si la legislación de su país de residencia le confiere derechos no enumerados más arriba, puede ejercerlos escribiendo a [email protected]. Aplicamos el estándar de base del punto 13.1 y cumplimos las normas imperativas aplicables al tratamiento de sus datos.