Legal
Política de Privacidad
Esta política explica qué datos personales se tratan al visitar este sitio web, al usar la demo interactiva o la aplicación de cliente, sobre qué base jurídica y por parte de quién. Es deliberadamente concreta en lugar de genérica.
1. Responsable del tratamiento
El responsable del tratamiento conforme al RGPD para el funcionamiento del sitio web público
sakhly.com y de la demo demo.sakhly.com es:
2. Dos funciones — expuestas por separado
SAKHLY actúa en dos funciones distintas en materia de protección de datos. La distinción importa porque determina a quién deben dirigirse los interesados para ejercer sus derechos.
Sitio web y demo → mezzoNET SL es responsable
Para los datos que surgen al visitar este sitio, al contactarnos o al usar la demo sintética (p. ej. registros técnicos, la cookie de sesión de la demo), mezzoNET SL es responsable del tratamiento conforme al Art. 4.7 del RGPD. Esta política se aplica directamente.
Aplicación de cliente → mezzoNET SL es encargada
Para los datos almacenados en la aplicación de cliente app.sakhly.com (inmuebles,
unidades, inquilinos, arrendamientos, pagos, documentos), el cliente
correspondiente (el administrador o propietario) es el responsable. mezzoNET SL trata estos
datos únicamente siguiendo las instrucciones del cliente, como encargada del tratamiento en
virtud de un contrato de encargo (Art. 28 del RGPD). Los interesados (p. ej. inquilinos)
deben dirigirse en primer lugar a ese cliente; nosotros le prestamos asistencia.
3. Visita a este sitio web
El sitio web público es estático. No utiliza cookies, no incorpora analítica, rastreo ni publicidad de terceros y no carga fuentes externas; todo se muestra con fuentes del sistema y archivos locales.
Al acceder se generan, por razones técnicas, registros de acceso en el alojamiento y en el proxy inverso (fecha/hora, ruta solicitada, estado HTTP, volumen de datos transferido, origen técnico aproximado). La finalidad es el funcionamiento seguro y estable y la defensa frente a ataques; la base jurídica es nuestro interés legítimo (Art. 6.1.f del RGPD). Estos registros no se combinan con otros datos y no se almacenan de forma indefinida: los registros de contenedor rotan por tamaño (máx. ~50 MB en cinco archivos por servicio) y se sobrescriben automáticamente.
4. Contacto
Si nos escribe por correo ([email protected]), tratamos sus datos (nombre, dirección de correo, contenido de la consulta) únicamente para atender su solicitud. La base jurídica es el Art. 6.1.b del RGPD (medidas precontractuales) o el 6.1.f (interés legítimo en responder). Eliminamos las consultas de interesados una vez resueltas, salvo obligaciones legales de conservación.
5. Registro, acceso y sesiones (aplicación de cliente)
La aplicación de cliente requiere una cuenta de usuario. Tratamos una dirección de correo, el nombre y una contraseña que se almacena únicamente como hash criptográfico — nunca en texto claro. El acceso se mantiene mediante una cookie de sesión firmada y vinculada al host; es estrictamente necesaria y no se usa para analítica ni publicidad. La base jurídica es el Art. 6.1.b del RGPD (ejecución de un contrato). Los eventos relevantes para la seguridad (p. ej. inicios de sesión) se registran, pero sin contenidos de documentos, sin contraseñas y sin datos personales innecesarios.
6. Datos de clientes e interesados en la aplicación
La aplicación de cliente almacena los datos necesarios para la gestión inmobiliaria: inmuebles y unidades, inquilinos y arrendamientos, pagos y documentos relacionados. Tratamos estos datos como encargada por cuenta del cliente correspondiente (véase la sección 2). Se aplica una separación estricta por cliente: cada registro pertenece exactamente a un cliente y cada cuenta solo ve sus propios datos.
7. Importación y almacenamiento de documentos
Los documentos cargados (p. ej. contratos de arrendamiento, liquidaciones de gastos) se almacenan en la infraestructura europea de nuestro proveedor de alojamiento. La clasificación (tipo de documento, inmueble, arrendamiento) la realiza primero un reconocimiento local, en el propio equipo, sin transmisión a terceros. Los archivos originales con contenido personal no se conservan más de lo necesario tras una importación controlada. Rige el principio de minimización de datos.
8. Interpretación de documentos con IA (Anthropic) — actualmente desactivada
SAKHLY puede además leer documentos con apoyo de IA y proponer asignaciones (siempre con cita de la fuente; nada se contabiliza automáticamente). Para datos reales de clientes esta función está desactivada por defecto y solo se activa tras la aprobación expresa en materia de protección de datos del cliente correspondiente (un anexo al contrato de encargo).
Solo tras esa aprobación se transmite el texto del documento en cuestión a nuestro subencargado Anthropic (EE. UU.); puede contener datos personales de inquilinos y otras partes. No se tratan intencionadamente categorías especiales del Art. 9 del RGPD. Garantías: sin entrenamiento con contenidos de clientes, transmisión únicamente cifrada (TLS), cifrado en reposo, conservación breve o desactivable de los datos de la API (unos 30 días, «Zero Data Retention» a petición), supresión al finalizar el contrato. La IA no adopta ninguna decisión individual automatizada con efectos jurídicos (Art. 22 del RGPD); siempre se requiere una aprobación humana.
9. Demo con datos sintéticos
La demo interactiva en demo.sakhly.com contiene exclusivamente datos de ejemplo
inventados y sintéticos — ninguna persona real. Funciona en su propia base de datos,
totalmente separada de los datos de clientes. En la demo el envío de correo está desactivado,
no se realizan llamadas a la IA (el expediente con IA se muestra con documentos de
ejemplo sintéticos ya preparados) y la demo es de solo lectura. Se establece una cookie de sesión
estrictamente necesaria; no se requiere acceso ni registro.
10. Encargados del tratamiento (subencargados)
| Proveedor | Finalidad | Ubicación | Base y garantías |
|---|---|---|---|
| Hetzner Online GmbH | Alojamiento de servidor, base de datos y documentos | Alemania / UE | Sin tercer país; tratamiento conforme al Art. 28 del RGPD |
| Cloudflare, Inc. | Proxy inverso, CDN, terminación TLS, protección frente a ataques (DDoS) | EE. UU. (red edge global) | Cláusulas Contractuales Tipo (CCT) de la UE + DPA de Cloudflare; solo tránsito, sin almacenamiento permanente de contenido |
| Anthropic, PBC | Interpretación de documentos con IA — solo tras aprobación expresa | EE. UU. | CCT; sin entrenamiento con contenidos de clientes; TLS; cifrado en reposo; conservación ~30 días (ZDR a petición) |
SAKHLY utiliza una cuenta de Anthropic propia con límite de gasto, separada de otros proyectos; el envío de correo está desactivado en todo el proyecto.
11. Transferencias internacionales
El alojamiento (Hetzner) se realiza en Alemania/la UE y no constituye una transferencia a un tercer país. Para los proveedores estadounidenses Cloudflare y — solo con la IA activada — Anthropic, los datos se transfieren a EE. UU. sobre la base de las Cláusulas Contractuales Tipo de la UE (módulos 2 o 3, más un anexo para el Reino Unido/Suiza cuando proceda). Además se aplican cifrado en tránsito y en reposo, limitación estricta de la finalidad, minimización de datos (IA solo sobre documentos cargados expresamente, no sobre todo el conjunto), ausencia de entrenamiento de la IA con contenidos de clientes y conservación breve o desactivable. Existe una evaluación del riesgo de la transferencia que se actualiza si cambia la situación de los proveedores.
12. Conservación y supresión
- Datos de cuenta y de contrato: durante la relación contractual y, posteriormente, dentro de los plazos legales de conservación (mercantil y fiscal).
- Documentos y datos de la aplicación: hasta su supresión por el cliente responsable o hasta el fin del contrato. Los registros eliminados pasan primero a una papelera (recuperación posible) y se eliminan definitivamente mediante un proceso de borrado preparado y registrado (papelera 30 días; solicitudes de interesados 180 días, citas 365 días, documentos sensibles 90 días). Este proceso automático se activa junto con la autorización de protección de datos; hasta entonces, una persona autorizada realiza la eliminación definitiva.
- Registros técnicos de acceso: a corto plazo (véase la sección 3).
- Datos de la API de Anthropic (solo con la IA activada): ~30 días, «Zero Data Retention» a petición.
13. Sus derechos
Conforme al RGPD, usted tiene derecho de acceso (Art. 15), rectificación (Art. 16), supresión (Art. 17), limitación (Art. 18), portabilidad (Art. 20) y oposición (Art. 21), así como a retirar en cualquier momento un consentimiento otorgado, con efectos para el futuro (Art. 7.3). Si su solicitud se refiere a datos de la aplicación de cliente, diríjase en primer lugar al cliente correspondiente como responsable (véase la sección 2).
También tiene derecho a presentar una reclamación ante una autoridad de control. La autoridad principal del responsable es la Agencia Española de Protección de Datos (AEPD), Madrid (aepd.es). También puede dirigirse a la autoridad de su lugar de residencia.
14. Seguridad de los datos
Utilizamos cifrado TLS de extremo a extremo para la transmisión, cifrado en reposo en el proveedor de alojamiento, separación estricta por cliente y controles de acceso restrictivos. Nuestras medidas se adaptan continuamente al estado de la técnica.
15. Cambios en esta política
Actualizamos esta política cuando cambia el tratamiento o la situación jurídica — por ejemplo, cuando se activa la función de IA para datos reales. En cada caso rige la versión publicada aquí.
Última actualización: noviembre de 2026
← Volver al inicio