Política de privacidad

Traducción de cortesía. En caso de discrepancia, prevalece la versión en inglés.

Altovar S.r.l. (P.IVA IT03086750993) ("Altovar", "nosotros" o "nuestro") es el responsable del tratamiento de los datos personales recogidos a través de nuestros sitios web, productos de software, API y servicios (denominados conjuntamente, los "Servicios").

Domicilio social: Italia (Unión Europea)
Consultas de privacidad: [email protected]
Contacto general: [email protected]

Como empresa constituida y que opera dentro de la UE, estamos sujetos en su totalidad al Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos). Nuestra autoridad de control es el Garante per la protezione dei dati personali (Italia).

Altovar ha designado un Delegado de Protección de Datos (DPD) conforme a lo exigido por el artículo 37 del RGPD, dada la naturaleza y el alcance de nuestras actividades de tratamiento.

Contacto del DPD: [email protected]

El DPD actúa de forma independiente y es responsable de:
— Supervisar el cumplimiento del RGPD y de la normativa nacional aplicable en materia de protección de datos
— Asesorar sobre las Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) conforme al artículo 35
— Actuar como punto de contacto con la autoridad de control
— Gestionar las consultas de los interesados y las solicitudes de ejercicio de derechos

Puede ponerse en contacto directamente con el DPD para cualquier cuestión relativa al tratamiento de sus datos personales. Todas las comunicaciones se tratan de forma confidencial y se responden en un plazo de 30 días naturales.

Solo recopilamos los datos personales necesarios para las finalidades descritas en esta Política (principio de minimización de datos, art. 5(1)(c) RGPD).

Datos de cuenta e identidad: Nombre, dirección de correo electrónico, nombre de usuario, nombre de la organización, cargo, NIF/número de IVA para la facturación y cualquier información que usted añada voluntariamente a su perfil.

Datos de uso e interacción: Funciones utilizadas, páginas visitadas, clics, duración de la sesión, consultas de búsqueda dentro del producto y eventos de error. Estos datos se recopilan de forma agregada cuando es posible y se seudonimizan en el momento de su ingesta.

Datos técnicos y del dispositivo: Dirección IP (truncada al prefijo /24 y anonimizada en un plazo de 24 horas), tipo y versión del navegador, sistema operativo, tipo de dispositivo, resolución de pantalla, URL de referencia e identificadores de sesión asignados por nuestra infraestructura.

Datos de comunicaciones: Contenido de los mensajes que nos envía por correo electrónico, formularios de contacto o tickets de soporte; metadatos sobre dichas comunicaciones (marcas de tiempo, asuntos).

Datos de pago y facturación: Nombre, dirección de facturación y NIF/número de IVA. Los números de tarjeta y las credenciales de pago son tratados exclusivamente por nuestro procesador de pagos certificado PCI-DSS Nivel 1 (Stripe, alojado en la UE) y nunca son almacenados ni tratados por los sistemas de Altovar.

Datos contractuales y del servicio: Nivel de suscripción, configuración del servicio, cuotas de uso, claves API (con hash) y cualquier dato que usted cargue o cree mientras utiliza los Servicios.

No recopilamos datos de intermediarios de datos de terceros, plataformas de redes sociales o redes publicitarias. No elaboramos perfiles publicitarios.

Nuestros Servicios no están diseñados para recopilar ni tratar categorías especiales de datos personales conforme a la definición del artículo 9(1) del RGPD — incluidos los datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos dirigidos a identificar de manera unívoca a una persona física, los datos relativos a la salud o los datos relativos a la vida sexual o la orientación sexual de una persona.

Le desaconsejamos encarecidamente cargar o tratar categorías especiales de datos mediante nuestros Servicios, a menos que haya implementado las garantías adecuadas y disponga de una base jurídica válida conforme al artículo 9(2) del RGPD.

Si recibiéramos inadvertidamente categorías especiales de datos (por ejemplo, a través de un ticket de soporte), las eliminaremos de forma segura y lo notificaremos al remitente. Si necesita tratar categorías especiales de datos como parte de un acuerdo empresarial específico, póngase en contacto con [email protected] para analizar las garantías contractuales y técnicas apropiadas.

Tratamos los datos personales únicamente cuando existe una base jurídica válida conforme al artículo 6 del RGPD. La base aplicable depende de la actividad de tratamiento concreta:

Ejecución de un contrato (art. 6(1)(b)): Prestación de los Servicios que usted ha contratado, gestión de su cuenta, procesamiento de pagos, emisión de facturas y cumplimiento de todas las obligaciones contractuales. Esta es la base principal para la mayor parte del tratamiento relativo a cuentas activas.

Obligación legal (art. 6(1)(c)): Cumplimiento de la legislación aplicable — incluidas las obligaciones fiscales y contables conforme al derecho italiano (D.P.R. 633/1972, D.P.R. 600/1973), los requisitos de prevención del blanqueo de capitales y las respuestas a solicitudes lícitas de autoridades públicas competentes (tribunales, reguladores).

Interés legítimo (art. 6(1)(f)): Supervisión de la seguridad, prevención de abusos, detección de fraudes, analítica para la mejora del producto y marketing directo a clientes existentes para servicios sustancialmente similares. Hemos realizado una evaluación de ponderación de intereses (EPI) para cada una de estas finalidades y hemos determinado que nuestros intereses no prevalecen sobre sus derechos y libertades fundamentales.

Consentimiento (art. 6(1)(a)): Cookies analíticas y de rendimiento opcionales, comunicaciones de marketing a personas que no son clientes y cualquier actividad de tratamiento para la que hayamos solicitado expresamente su consentimiento previo. Puede retirar su consentimiento en cualquier momento — la retirada no afecta a la licitud del tratamiento llevado a cabo antes de la retirada. Véase la Sección 9 sobre cómo retirar el consentimiento.

Conservamos los datos personales únicamente durante el tiempo necesario para la finalidad indicada y de conformidad con las obligaciones legales aplicables (principio de limitación del plazo de conservación).


Una vez transcurrido el plazo de conservación aplicable, los datos se eliminan de forma segura o se anonimizan de manera irreversible utilizando métodos conformes a los estándares del sector, de modo que ya no puedan atribuirse a una persona física identificada o identificable.

Contamos con encargados del tratamiento terceros de confianza ("subencargados del tratamiento") sujetos a acuerdos de tratamiento de datos vinculantes que cumplen con el artículo 28 del RGPD. Somos responsables del cumplimiento del RGPD por parte de nuestros subencargados y llevamos a cabo revisiones de debida diligencia periódicas.


No vendemos, alquilamos ni comerciamos con sus datos personales a terceros. No compartimos datos con redes publicitarias ni intermediarios de datos. Podemos compartir datos con autoridades públicas únicamente cuando lo exija la ley o un proceso legal válido, y notificamos a los usuarios afectados cuando la ley lo permita.

Una lista actualizada de subencargados está disponible previa solicitud en [email protected]. Proporcionamos un preaviso de 30 días ante la incorporación de nuevos subencargados.

Compromiso de residencia de datos en la UE: Todo el almacenamiento y el tratamiento principal de datos se realiza en infraestructura ubicada dentro del Espacio Económico Europeo (EEE). Altovar no transfiere datos personales a terceros países como práctica operativa estándar.

En los casos limitados en que un subencargado opere infraestructura o funciones de soporte fuera del EEE (por ejemplo, nodos periféricos de CDN globales o personal de soporte), nos aseguramos de que se apliquen las garantías adecuadas conforme al Capítulo V del RGPD antes de que se produzca cualquier transferencia:

— Decisiones de adecuación (art. 45): Cuando la Comisión Europea haya reconocido que el país de destino ofrece un nivel de protección adecuado (por ejemplo, IDTA del Reino Unido, decisión de adecuación de Suiza).
— Cláusulas Contractuales Tipo (art. 46(2)(c)): Las Cláusulas Contractuales Tipo de la UE de 2021, aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, se incorporan en todos los acuerdos con subencargados pertinentes.
— Garantías técnicas: Se aplica cifrado de extremo a extremo a los datos en tránsito, garantizando que el personal de infraestructura del subencargado no tenga acceso significativo a los datos personales.

Supervisamos las decisiones del Comité Europeo de Protección de Datos (CEPD) y del Garante italiano, y actualizamos nuestros mecanismos de transferencia cuando es necesario. Se ha completado una Evaluación de Impacto de la Transferencia (TIA) para cada transferencia a terceros países.

Como interesado, usted dispone de los siguientes derechos conforme al RGPD, ejercitables de forma gratuita y sin restricciones indebidas:

Derecho de acceso (art. 15): Obtener confirmación de si tratamos o no sus datos personales, y recibir una copia de estos junto con información adicional (finalidades, categorías, destinatarios, plazos de conservación, garantías de cualquier transferencia a terceros países).

Derecho de rectificación (art. 16): Solicitar la corrección de datos personales inexactos y la conclusión de los datos incompletos, sin dilación indebida.

Derecho de supresión / "derecho al olvido" (art. 17): Solicitar la supresión de sus datos personales cuando ya no sean necesarios para su finalidad original, cuando retire su consentimiento, cuando se oponga al tratamiento, cuando el tratamiento sea ilícito, o cuando la supresión sea exigida por el derecho de la Unión o de un Estado miembro — sujeto a motivos legítimos imperiosos (por ejemplo, obligaciones legales de conservación).

Derecho a la limitación del tratamiento (art. 18): Solicitar que limitemos el tratamiento únicamente a la conservación mientras se resuelve una disputa sobre la exactitud, la licitud o una oposición basada en motivos de interés legítimo.

Derecho a la portabilidad de los datos (art. 20): Cuando el tratamiento se base en el consentimiento o en un contrato y se realice por medios automatizados, recibir sus datos en un formato estructurado, de uso común y lectura mecánica (JSON o CSV) y transmitirlos a otro responsable.

Derecho de oposición (art. 21): Oponerse en cualquier momento al tratamiento basado en el interés legítimo (art. 6(1)(f)), incluida la elaboración de perfiles, por motivos relacionados con su situación particular. Oponerse incondicionalmente al tratamiento con fines de marketing directo — cesaremos dicho tratamiento de inmediato.

Derechos relativos a la toma de decisiones automatizada (art. 22): No adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre usted o que le afecten significativamente de modo similar. Cualquier puntuación de riesgo o filtrado automatizado utilizado en nuestros Servicios es revisado por operadores humanos antes de adoptar decisiones relevantes.

Derecho a retirar el consentimiento (art. 7(3)): Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento. Véase la Sección 10 sobre los métodos de retirada.

Cómo presentar una solicitud: Envíe un correo electrónico a [email protected] con el asunto "Solicitud del Interesado — [Tipo de Derecho]" (por ejemplo, "Solicitud del Interesado — Acceso"). También puede enviar solicitudes a través de la configuración de su cuenta en la plataforma, cuando estén disponibles opciones de autoservicio.

Verificación de identidad: Para proteger sus datos, le pediremos que verifique su identidad antes de tramitar la solicitud. La verificación se realiza a través de su dirección de correo electrónico registrada o, cuando sea necesario, mediante documentación adicional.

Plazos de respuesta: Respondemos a todas las solicitudes en un plazo de 30 días naturales desde su recepción. En el caso de solicitudes complejas o múltiples, este plazo puede ampliarse en 2 meses adicionales — le notificaremos dentro de los primeros 30 días si se requiere una prórroga, junto con los motivos de la ampliación.

Retirada del consentimiento: Para retirar el consentimiento a las cookies analíticas, utilice el gestor de preferencias de cookies accesible desde el pie de página. Para retirar el consentimiento a las comunicaciones de marketing, haga clic en "Cancelar suscripción" en cualquier correo de marketing o escriba a [email protected].

Sin coste: Todas las solicitudes de los interesados se gestionan de forma gratuita. Si las solicitudes son manifiestamente infundadas, excesivas o repetitivas, podremos cobrar una tarifa administrativa razonable o negarnos a actuar — le explicaremos nuestros motivos.

Derecho a presentar una reclamación: Si considera que Altovar ha vulnerado sus derechos conforme al RGPD, tiene derecho a presentar una reclamación ante la autoridad de control competente:

— Garante per la protezione dei dati personali (Italia) — garanteprivacy.it
— La autoridad de control de su Estado miembro de la UE de residencia habitual o de trabajo
— La autoridad de control del Estado miembro en el que se haya producido la presunta infracción

Utilizamos cookies y tecnologías similares (almacenamiento web, píxeles de seguimiento) para operar nuestros sitios web y mejorar su experiencia. El uso de cookies se rige por la Directiva ePrivacy (2002/58/CE, en su versión modificada), transpuesta en Italia por el D.lgs. 69/2012, y por las directrices del Garante de julio de 2021.

Las cookies esenciales son estrictamente necesarias para la seguridad, la autenticación y el funcionamiento del servicio. Se instalan sin consentimiento sobre la base del artículo 5(3) de la Directiva ePrivacy, al ser técnicamente necesarias para un servicio que usted ha solicitado expresamente. No puede rechazar estas cookies sin interrumpir la funcionalidad del servicio.

Las cookies analíticas de herramientas de terceros solo se instalan con su consentimiento previo, libre, específico, informado e inequívoco. No utilizamos Google Analytics.

Nuestra propia analítica web (Plausible Analytics, alojada de forma autónoma en nuestros servidores en Alemania) no instala cookies y no lee ni almacena nada en su dispositivo. Registra las páginas vistas, los sitios de referencia, el navegador, el sistema operativo, el tipo de dispositivo y el país de forma agregada; su dirección IP se utiliza únicamente de forma transitoria para derivar un identificador anónimo que cambia cada día, y nunca se almacena. Dado que no se lee ni se escribe nada en su dispositivo, esta medición funciona con independencia del banner de cookies, sobre la base de nuestro interés legítimo en comprender cómo se utilizan nuestros sitios web (art. 6(1)(f) RGPD). Puede oponerse en cualquier momento escribiendo a [email protected].

Una medición que no gestionamos. La red de distribución de contenidos situada delante de nuestros sitios web inserta su propio script de medición en cada página HTML que sirve. Se carga antes de cualquier elección que usted realice en el banner de cookies y con independencia de ella, y no instala cookies en su dispositivo; no es nuestra y no está gestionada por nosotros. El proveedor figura en la tabla de subencargados anterior.

Las cookies de marketing actualmente no están instaladas en nuestro sitio de marketing. Si esto cambia, solicitaremos un consentimiento separado y granular.

Para consultar la lista completa de cookies en uso, sus nombres, finalidades, duraciones y proveedores, y para gestionar sus preferencias de cookies, consulte nuestra Política de Cookies →

Aplicamos medidas técnicas y organizativas (MTO) adecuadas para garantizar un nivel de seguridad acorde al riesgo, de conformidad con el artículo 32 del RGPD. Nuestro programa de seguridad incluye:

— Cifrado: Todos los datos en tránsito se cifran mediante TLS 1.2 o superior. Los datos en reposo se cifran mediante AES-256. Las copias de seguridad de las bases de datos se cifran de extremo a extremo.
— Controles de acceso: Control de acceso basado en roles (RBAC), principio de mínimo privilegio, autenticación multifactor (MFA) para todos los sistemas internos, y gestión de accesos privilegiados (PAM) para el acceso a la infraestructura.
— Seguridad de red: Segmentación de red, cortafuegos de aplicaciones web (WAF), mitigación de DDoS y sistemas de detección/prevención de intrusiones (IDS/IPS).
— Gestión de vulnerabilidades: Pruebas de penetración periódicas, escaneo automatizado SAST/DAST, monitorización de vulnerabilidades de dependencias y un programa de divulgación responsable.
— Evaluaciones de Impacto relativas a la Protección de Datos (EIPD): Realizamos EIPD para las nuevas actividades de tratamiento que puedan entrañar un alto riesgo para las personas, conforme a lo exigido por el artículo 35 del RGPD.
— Formación del personal: Todo el personal con acceso a datos personales completa una formación obligatoria en RGPD y seguridad de la información al incorporarse y, posteriormente, con carácter anual.

Violaciones de datos personales: En caso de violación que pueda entrañar un riesgo para sus derechos y libertades, notificaremos al Garante en un plazo de 72 horas desde que tengamos conocimiento de ella (art. 33). Cuando la violación pueda entrañar un riesgo alto, le informaremos directamente sin dilación indebida (art. 34), indicando la naturaleza de la violación, las posibles consecuencias y las medidas adoptadas o propuestas.

Nuestros Servicios son de carácter profesional y empresarial, y no están dirigidos ni destinados a ser utilizados por personas menores de 16 años (o la edad digital de consentimiento superior aplicable en determinados Estados miembros de la UE, como 13 años en Finlandia, o 16 años en los Países Bajos e Irlanda).

No recopilamos conscientemente datos personales de menores. El registro de cuenta exige a los usuarios confirmar que tienen la edad requerida. Si descubrimos que hemos recopilado inadvertidamente datos personales de un menor, eliminaremos dichos datos de inmediato y cerraremos la cuenta asociada.

Si cree que un menor ha creado una cuenta o nos ha proporcionado datos personales, póngase en contacto con [email protected] indicando los detalles. Investigaremos y adoptaremos medidas correctivas en un plazo de 5 días hábiles.

Podemos actualizar periódicamente esta Política de Privacidad para reflejar cambios en nuestras actividades de tratamiento, cambios en la legislación aplicable o la introducción de nuevos productos y servicios. Todas las actualizaciones son revisadas por nuestro DPD antes de su publicación.

Los cambios sustanciales — aquellos que afecten de forma significativa a sus derechos o a la forma en que utilizamos sus datos — se le comunicarán mediante:
— Notificación por correo electrónico a su dirección registrada (para titulares de cuenta), con un preaviso de al menos 30 días antes de que el cambio entre en vigor
— Un aviso destacado en nuestro sitio web durante el mismo periodo de 30 días
— Notificación en el propio producto para los cambios que afecten a la plataforma

Los cambios menores (correcciones, formato, aclaraciones que no alteren su contenido) pueden realizarse sin previo aviso. La fecha de "Última actualización" que figura en la parte superior de esta Política siempre refleja la fecha de la revisión más reciente.

El uso continuado de nuestros Servicios después de que los cambios sustanciales entren en vigor constituye la aceptación de la Política revisada. Si no acepta la Política revisada, deberá dejar de utilizar los Servicios afectados y podrá solicitar la supresión de sus datos conforme a la Sección 09.