Política de privacidad

1. Responsable del tratamiento

• Responsable: Thorne Bridge Foundry, LLC
• Forma jurídica: LLC (Delaware Limited Liability Company, EE. UU.)
• EIN (identificador fiscal US): 30-1491515
• Domicilio: 131 Continental Dr Suite 305, Newark, DE 19713 (USA)
• Email de privacidad: thornebridgefoundry@gmail.com
• No hemos designado Delegado de Protección de Datos (DPO): Prolio no realiza tratamientos a gran escala de categorías especiales ni observación sistemática en los términos del Art. 37 RGPD. La figura se revisará cuando crezca el volumen.

2. Qué datos tratamos

Distinguimos cuatro tipos de interesados, con tratamientos diferentes:

• Profesionales con ficha pre-cargada (no reclamada): nombre comercial o denominación profesional, actividad, ciudad, dirección del despacho, teléfono y email profesionales, web, número de colegiado o de registro público cuando esté disponible, coordenadas aproximadas y valoraciones públicas. El origen de los datos son fuentes públicas de cada país (colegios y ordenes profesionales, BORME y registros mercantiles, registros públicos nacionales y regionales, OpenStreetMap, Google Places) y se publica solo información que ya estaba accesible públicamente con fines profesionales.
• Profesionales que reclaman su ficha (ficha reclamada): lo anterior más el email de la cuenta, contraseña cifrada, datos voluntarios (descripción, fotografía, horarios, servicios) y la evidencia aportada para reclamar.
• Usuarios que envían una solicitud de contacto (lead): nombre, email, teléfono (opcional) y el mensaje.
• Visitantes del sitio: datos técnicos imprescindibles (IP, user-agent, evento) y, solo si prestan consentimiento, métricas de analítica. Además: informes automáticos de errores técnicos cuando la web falla (mensaje de error, página, navegador, IP), y, si llegas desde una campaña, los parámetros de atribución de origen (utm_*) en cookies propias — ver la Política de cookies.

3. Minimización y reducción de visibilidad pre-reclamación

Aplicamos el principio de minimización del Art. 5.1.c RGPD. Para fichas no reclamadas: (a) publicamos solo los datos profesionales estrictamente necesarios para que un usuario pueda identificar y contactar al profesional; (b) el email y el teléfono se muestran tras un clic explícito ("Mostrar contacto") para evitar scraping automatizado; (c) no publicamos CIF/NIF de personas físicas autónomas; (d) no publicamos direcciones residenciales, solo la del despacho profesional cuando es pública; (e) eliminamos la ficha de forma inmediata a solicitud del interesado a través del enlace de opt-out o del formulario de /ejercer-derechos.

4. Finalidades y base jurídica (Art. 6 RGPD)

• Mantenimiento del directorio profesional público (fichas no reclamadas) — interés legítimo del responsable y de los usuarios (Art. 6.1.f) en disponer de información profesional contrastada. Se ha realizado el correspondiente juicio de ponderación (ver apartado 5).
• Envío de solicitudes de contacto a profesionales (leads) — ejecución de un servicio solicitado por el usuario (Art. 6.1.b) y, respecto al profesional receptor, interés legítimo en recibir oportunidades comerciales relativas a su actividad publicada.
• Autenticación, reclamación y gestión de ficha por el profesional — ejecución de un contrato con el profesional registrado (Art. 6.1.b).
• Prevención de abusos, detección de fraude y seguridad (rate limiting, honeypots, bloqueo de scraping) — interés legítimo (Art. 6.1.f).
• Monitorización de errores y diagnóstico técnico (Sentry) — interés legítimo (Art. 6.1.f) en mantener el servicio disponible, estable y seguro. No usa cookies ni sirve para publicidad.
• Atribución de origen de campañas (cookies propias utm_*) — interés legítimo (Art. 6.1.f) en medir, de forma propia y sin cesión a terceros, desde qué canal nos descubriste.
• Mejora del servicio y del software mediante herramientas internas de inteligencia artificial (ver apartado 12) — interés legítimo (Art. 6.1.f).
• Analítica de tráfico y producto (GA4, PostHog) — consentimiento explícito del visitante (Art. 6.1.a), otorgado en el banner de cookies.
• Cumplimiento de obligaciones legales (facturación, requerimientos judiciales o administrativos) — obligación legal (Art. 6.1.c).

5. Juicio de ponderación del interés legítimo (LIA)

Para las fichas de profesionales pre-cargadas desde fuentes públicas, hemos documentado el siguiente juicio de ponderación, disponible para la AEPD a requerimiento:

• Interés perseguido: ofrecer un directorio fiable de profesionales regulados en los países donde opera Prolio (España, Francia, Estados Unidos, Canadá, México y Colombia), reducir asimetrías de información para consumidores y dar visibilidad a autónomos y pymes que no disponen de herramientas SEO propias. Interés legítimo, lícito y real.
• Necesidad: alcanzar una masa crítica inicial requiere pre-cargar datos que ya son públicos; sin ese núcleo el servicio no sería útil ni para usuarios ni para los propios profesionales (que luego pueden reclamar la ficha gratuitamente).
• Ponderación: los datos tratados son profesionales (no de la esfera privada), proceden de fuentes públicas, son los mínimos necesarios, y el interesado cuenta con mecanismos de oposición, supresión y opt-out de un solo clic. No se realizan decisiones automatizadas con efectos jurídicos ni perfilado sensible.
• Medidas compensatorias: ocultación del contacto tras clic, ausencia de publicidad y remarketing, enlace de opt-out permanente en cada comunicación saliente, formulario público de ejercicio de derechos, respuesta en el plazo legal de un mes, compromiso de borrado definitivo de la base (no solo ocultación) cuando el interesado lo solicite expresamente.

6. Plazos de conservación

• Fichas profesionales no reclamadas: mientras el dato siga siendo relevante o hasta que el interesado ejerza oposición/supresión o use el enlace de opt-out, momento en el que se despublica de forma inmediata y se borra de los índices en un máximo de 30 días.
• Fichas profesionales reclamadas: durante la relación contractual y, tras su baja, los plazos de prescripción legal aplicables (hasta 6 años para obligaciones mercantiles y fiscales).
• Leads (solicitudes de contacto): 24 meses desde la creación, salvo pacto expreso con el profesional receptor.
• Tokens de opt-out: 90 días desde su emisión.
• Registros de consentimiento de cookies: 24 meses (evidencia para la AEPD).
• Logs técnicos y de seguridad: 12 meses.
• Informes de errores técnicos (Sentry): 90 días (retención estándar del proveedor).
• Cookies de atribución de origen (utm_*): 30 días.
• Datos de facturación: 6 años (obligación fiscal).

7. Destinatarios y encargados del tratamiento

Para prestar el servicio utilizamos los siguientes encargados del tratamiento, todos con acuerdos de tratamiento (DPA) y, cuando la transferencia sale del EEE, Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea el 4 de junio de 2021 y, en su caso, medidas técnicas adicionales (cifrado en tránsito y reposo, pseudonimización).

• Supabase (base de datos y autenticación) — Frankfurt / Irlanda (EEE).
• Vercel Inc. (hosting del frontend y edge network) — EE. UU., SCC + cifrado.
• Google LLC (API de Places para construir el directorio) — EE. UU., SCC + cifrado.
• Google LLC — Google Analytics 4 (analítica de tráfico, solo con consentimiento) — EE. UU., SCC.
• PostHog Inc. — analítica de producto en us.i.posthog.com (solo con consentimiento) — EE. UU., SCC.
• Functional Software, Inc. ("Sentry") — monitorización de errores técnicos — EE. UU., SCC. Recibe informes de error con IP y user-agent; no usa cookies.
• Stripe Payments Europe Ltd. (pagos de planes) — Irlanda, con Stripe Inc. como subencargado en EE. UU. bajo SCC.
• Resend, Inc. (email transaccional: verificación, notificaciones de cuenta, comunicaciones a profesionales con enlace de opt-out) — EE. UU., SCC.
• Anthropic PBC (herramientas internas de IA para auditoría de calidad, detección de errores y desarrollo del software; ver apartado 12) — EE. UU., SCC. Sin derecho a entrenar sus modelos con nuestros datos.

8. Transferencias internacionales

Varios encargados están ubicados fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Nos apoyamos en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea y, cuando es de aplicación, en el EU-US Data Privacy Framework (DPF) para proveedores certificados. Aplicamos medidas técnicas adicionales: cifrado TLS en tránsito, cifrado en reposo gestionado por el proveedor, minimización del campo transmitido y, cuando es posible, elección de región europea.

9. Derechos del interesado

Tienes derecho a (a) acceder a tus datos, (b) rectificarlos, (c) suprimirlos (derecho al olvido), (d) oponerte al tratamiento, (e) solicitar la limitación, (f) portar tus datos a otro responsable y (g) retirar en cualquier momento el consentimiento que hayas prestado (por ejemplo, para cookies analíticas), sin que ello afecte a la licitud del tratamiento previo.

Puedes ejercerlos escribiendo a thornebridgefoundry@gmail.com o mediante el formulario de /es/ejercer-derechos. Responderemos en el plazo máximo de un mes desde la recepción (ampliable otros dos meses en casos complejos, previa comunicación). Si eres un profesional cuya ficha se publicó a partir de fuentes públicas, cada email saliente que recibas de Prolio incluye un enlace de opt-out que elimina la ficha de forma inmediata, sin necesidad de trámite adicional.

Verificación de identidad: para evitar suplantaciones, podemos pedirte una prueba razonable de identidad cuando la solicitud implique acceso o supresión de datos que no consten ya asociados al email remitente. La petición será proporcionada (por ejemplo, confirmación desde el email profesional publicado, o una comunicación desde el colegio profesional).

Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, C/ Jorge Juan 6, 28001 Madrid; www.aepd.es) si consideras que el tratamiento no se ajusta a la normativa. Si resides fuera de España, puedes acudir además a la autoridad de tu país (ver apartado 13).

10. Seguridad y notificación de brechas

Aplicamos medidas técnicas y organizativas razonables y proporcionales al riesgo (Art. 32 RGPD): control de acceso por rol, cifrado en tránsito (TLS 1.2+), cifrado en reposo por el proveedor de base de datos, secretos gestionados por el proveedor de hosting, principio de mínimo privilegio en claves de API, registros de auditoría, y dependencias actualizadas.

En caso de brecha de seguridad con riesgo para los derechos y libertades de los interesados, notificaremos a la AEPD en un plazo máximo de 72 horas desde su conocimiento (Art. 33 RGPD) y, cuando el riesgo sea alto, comunicaremos también a los afectados (Art. 34 RGPD).

11. Decisiones automatizadas

No adoptamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a los interesados. Los rankings y ordenaciones del directorio son meramente informativos y se basan en criterios agregados (relevancia textual, ciudad, categoría). Las herramientas de IA descritas en el apartado 12 tampoco adoptan decisiones con efectos jurídicos sobre los interesados.

12. Uso de inteligencia artificial

Utilizamos herramientas de inteligencia artificial (modelos de Anthropic, "Claude") como apoyo interno para mantener y mejorar el servicio: auditorías automatizadas de calidad y de posicionamiento sobre las páginas públicas, detección y diagnóstico de errores, y desarrollo del propio software. Estas herramientas operan principalmente sobre información ya publicada en el directorio y sobre datos técnicos o agregados de uso; cuando excepcionalmente acceden a otros datos (por ejemplo, al diagnosticar un error concreto), se aplican las mismas garantías de confidencialidad y el proveedor de IA actúa como encargado del tratamiento bajo DPA y SCC.

No utilizamos datos personales para entrenar modelos de IA, y nuestros proveedores de IA no tienen derecho a entrenar sus modelos con los datos que procesan por cuenta de Prolio. Los cambios en el software propuestos con ayuda de IA se revisan por una persona antes de publicarse. Los textos descriptivos de las fichas se generan mediante plantillas deterministas a partir de datos públicos de la propia ficha, no mediante IA generativa. Además, bloqueamos en robots.txt los rastreadores de terceros que recopilan contenido para entrenar modelos de IA.

13. Ámbito territorial y derechos locales

Aplicamos el estándar RGPD descrito en esta política a todos nuestros mercados. Además, según tu país de residencia te asisten los siguientes marcos y autoridades:

• España — RGPD y LOPDGDD; autoridad: AEPD (www.aepd.es).
• Francia — RGPD; autoridad: CNIL (www.cnil.fr). Puedes ejercer los mismos derechos del apartado 9 y definir directrices sobre tus datos tras el fallecimiento (Ley Informática y Libertades).
• Estados Unidos — leyes estatales de privacidad (entre otras, la CCPA/CPRA de California): derecho a saber, acceder, corregir y suprimir, y a no sufrir discriminación por ejercerlos. Prolio no "vende" ni "comparte" datos personales en el sentido de la CPRA (no hay publicidad comportamental ni cesión a terceros con fines comerciales). Solicitudes: thornebridgefoundry@gmail.com o el formulario de /ejercer-derechos.
• Canadá — PIPEDA y, en Quebec, la Ley 25: derechos de acceso y rectificación y retirada del consentimiento; autoridad: Office of the Privacy Commissioner (OPC) y, en Quebec, la CAI.
• México — LFPDPPP: derechos ARCO (acceso, rectificación, cancelación y oposición) mediante los mismos canales; autoridad: INAI.
• Colombia — Ley 1581 de 2012 (habeas data): derechos de conocer, actualizar, rectificar y suprimir, y a revocar la autorización; autoridad: Superintendencia de Industria y Comercio (SIC).

14. Menores

Prolio no está dirigido a menores de 14 años (art. 7 LOPDGDD) ni tratamos conscientemente sus datos. Si tenemos conocimiento de que los hemos tratado sin consentimiento válido, los eliminaremos sin demora.

15. Cambios en esta política

Podemos actualizar esta política cuando cambie la ley, el servicio o los encargados. La fecha de última actualización figura al inicio. En caso de cambios sustanciales solicitaremos de nuevo el consentimiento para cookies no estrictamente necesarias.