POLÍTICA DE PRIVACIDAD — ScalePath Hub, S.L. (v0.3-MVAA)

0.bis Beta controlada — alcance pre-launch

Disclosure obligatoria — Beta Controlada / Founding Cohort.

Esta Política de Privacidad regula los tratamientos realizados durante la fase Founding Cohort Beta Controlada — programa pre-launch limitado, de alta supervisión humana best-effort, el lanzamiento público masivo no está activo. Los datos personales tratados durante esta fase pueden ser utilizados — en versiones agregadas, anonimizadas o seudonimizadas — para informar la iteración del MVAA hacia v2, siempre bajo supervisión humana del equipo SPH y conforme a las bases jurídicas y finalidades descritas en esta Política.

English equivalent: "This Privacy Policy applies during the Founding Cohort Beta Controlada phase — a limited, highly-supervised pre-launch program. Public launch is not yet active. Personal data processed during this phase may inform MVAA iteration toward v2 under human review by the SPH team, in accordance with the legal bases and purposes set out in this Policy."

1. Identificación del responsable del tratamiento

La presente Política regula el tratamiento de datos personales realizado en el marco del acceso, navegación, registro, contratación y uso de los servicios digitales operados bajo la marca ScalePath Hub.

Responsable del tratamiento:

SCALEPATH HUB, S.L.

NIF: B26883132 · Domicilio: Calle Fuencarral, núm. 133 (1F), 28010 Madrid, España

Registro Mercantil de Madrid · IRUS: 1000469050269

Email de contacto en materia de privacidad y protección de datos: privacy@scalepathub.com

Email de contacto legal general: legal@scalepathub.com

Sitio web: https://scalepathub.com

Importante — separación de canales (CEO directive). Para cualquier solicitud relacionada con privacidad, protección de datos o ejercicio de derechos del interesado (Arts. 15-22 RGPD — acceso, rectificación, supresión, oposición, limitación, portabilidad, retirada del consentimiento) usa exclusivamente privacy@scalepathub.com. Las notificaciones de brecha o incidentes que afecten a datos personales deben dirigirse igualmente a privacy@scalepathub.com (canal sujeto al deadline de 72 horas del Art. 33 RGPD). El canal legal@scalepathub.com queda reservado a asuntos legales generales, contractuales, de gobernanza y resolución de disputas. El alias interno de administración no es un punto de contacto público.

Reasoning explícito. SPH utiliza un alias dedicado privacy@ para garantizar la escalación rápida de asuntos de datos personales, incluyendo las notificaciones de brecha sujetas al plazo de 72 horas del Art. 33 RGPD.

2. Evaluación sobre Delegado de Protección de Datos (DPO)

ScalePath Hub ha evaluado, conforme al Art. 37 RGPD y al Art. 34 LOPDGDD, que actualmente no está obligada a designar formalmente un Delegado de Protección de Datos. La función de contacto en materia de protección de datos se ejerce a través del buzón privacy@scalepathub.com.

Aclaración explícita. El alias dpo@scalepathub.com, si existiera como redirect operativo en el futuro, no equivale a una designación formal de DPO en el sentido del Art. 37 RGPD. SPH revisará esta evaluación si cambian la escala, naturaleza, alcance o fines de sus tratamientos (especialmente activación de marketplace, tratamiento masivo de datos de CRM cliente, o introducción de funcionalidades de profiling avanzado).

3. Objeto de esta Política

Esta Política cubre los tratamientos relacionados con: navegación web; creación y gestión de cuentas; registro en listas de espera o formularios; contratación de diagnósticos, planes y suscripciones; uso del sistema ScaleIndex y MVAA; gestión de pagos y facturación; comunicaciones transaccionales y comerciales; soporte al cliente; seguridad y prevención de fraude; cumplimiento de obligaciones legales; mejora y evolución de la plataforma.

Debe leerse junto con: T&C, Política de Cookies, Política de Gobernanza de IA, AUP y, cuando proceda, DPA.

4. Naturaleza del servicio y contexto del tratamiento

Posicionamiento canónico (canon §1). ScalePath Hub es un sistema digital estructurado de apoyo a la decisión empresarial. NO es un motor autónomo de decisión. La IA, cuando se utiliza, opera como capa de apoyo no vinculante con revisión humana best-effort durante la fase founding cohort SS2026 (Art. 14 AI Act alignment).

El servicio está orientado principalmente a datos empresariales (financieros, estratégicos, operativos), pero determinados datos pueden constituir datos personales cuando identifiquen a una persona física. Por tanto, SPH trata datos personales en un marco principalmente B2B con tratamiento incidental o necesario de datos de usuarios, representantes, empleados, colaboradores, leads o contactos.

5. Roles de SPH en protección de datos — modelo mixto controller/processor

Marco mixto canonizado. En la fase founding cohort SS2026, SPH actúa con roles diferenciados según el tipo de dato. La asignación del rol depende de (i) quién determina los fines y medios del tratamiento, (ii) la naturaleza del dato, y (iii) el flujo operacional concreto.

5.1. SPH actúa como RESPONSABLE (controller) — alcance de esta Política

SPH es responsable del tratamiento respecto de:

Categoría	Detalle
Account data	Registro, autenticación, identificadores de usuario, rol/permisos, historial de acceso, preferencias propias
Billing data	Plan contratado, identificadores de transacción, datos fiscales, importes, historial de pagos
Usage data	Logs de uso, métricas, eventos del producto, errores técnicos, identificadores de sesión
Security logs	Eventos de seguridad, intentos de acceso, monitorización antifraude
Comunicaciones transaccionales y comerciales propias	Emails de SPH al Usuario sobre el servicio, actualizaciones, marketing relacionado con SPH
Mejora del servicio (datos agregados / anonimizados)	Estadísticas y patrones desidentificados

Para estos tratamientos, SPH determina los fines y medios y por tanto actúa como controller bajo el RGPD.

5.2. SPH actúa como ENCARGADO (processor) — alcance del DPA

SPH actúa como encargado del tratamiento únicamente cuando el Usuario carga en la plataforma datos personales de terceros por cuenta propia, instruyendo a SPH a tratarlos para los servicios contratados:

Supuestos típicos	Ejemplos
Carga de documentos con PII de terceros	Documentos empresariales que contienen datos de empleados, leads, contactos comerciales, proveedores
Importación CRM	Datos de clientes finales/contactos comerciales importados al workspace
Datos en prompts/inputs	Información personal de terceros mencionada en preguntas, notas, descripciones de casos
Documentos para análisis	Carga de documentos con datos personales para análisis estructurado

Para estos tratamientos, el Usuario determina los fines y medios y SPH actúa por cuenta del Usuario como processor bajo el RGPD Art. 28. El régimen aplicable se rige por el Acuerdo de Encargo de Tratamiento (DPA) disponible en docs/legal/data-processing-addendum-v0.2-mvaa.md.

5.3. Tratamientos mixtos

Determinados flujos pueden implicar tratamientos mixtos:

Una misma cuenta puede generar (i) account/billing/usage data de SPH-controller + (ii) PII de terceros cargada por el Usuario para análisis de SPH-processor.
Un mismo prompt puede contener (i) datos del Usuario representante autenticado (SPH-controller account/usage) + (ii) datos personales de un tercero mencionado (SPH-processor por cuenta del Usuario).
La calificación se hace por dato y finalidad, no por sesión o cuenta global.

5.4. Flexibilidad founding cohort + re-evaluación post-pilot

Disclosure de transparencia.

El lenguaje del modelo mixto es flexible durante la fase founding cohort para permitir validación con casos reales. SPH re-evaluará la calificación específica de cada flujo post-pilot (W3-W6 con primeros 5-15 founding users) cuando exista ground truth real sobre qué datos suben los clientes y cómo determinan los fines del tratamiento.

Esta flexibilidad es coherente con la práctica de mercado B2B SaaS comparable y con los criterios EDPB/AEPD sobre identificación de roles en arquitecturas mixtas. Cualquier ajuste material al framing será comunicado al Usuario conforme al §29 (cambios en esta Política) y, en su caso, mediante actualización del DPA Anexo I.

5.5. Aplicación del DPA cuando proceda

Cuando SPH actúe como encargado, se aplicará el Acuerdo de Encargo de Tratamiento (DPA) disponible en docs/legal/data-processing-addendum-v0.2-mvaa.md, que regula obligaciones del Art. 28 RGPD, subprocesadores, transferencias internacionales, cascading delete manual founding cohort, y el procedimiento de devolución/supresión/anonimización al terminar el encargo.

5.bis. Captación de leads — la Agencia de marketing como Encargado del tratamiento

Para la captación de candidatos al Programa Founding Members a través de LinkedIn, SPH recurre a una agencia de marketing que actúa como Encargado del tratamiento (Art. 28 RGPD): trata los datos de los leads por cuenta y siguiendo las instrucciones documentadas de SPH, que es el Responsable. La Agencia no utiliza estos datos para fines propios. La relación se rige por un Acuerdo de Encargo de Tratamiento (DPA) firmado entre SPH y la Agencia. Los formularios de captación muestran a SPH como responsable y enlazan a esta Política de Privacidad.

6. Categorías de datos personales tratados

6.1. Datos identificativos y de contacto: nombre, apellidos, cargo, empresa, país, email profesional, teléfono (cuando se proporcione).

6.2. Datos de cuenta y acceso: credenciales cifradas/tokenizadas, identificadores de usuario, rol/permiso, historial de acceso, preferencias.

6.3. Datos de diagnóstico e inputs: respuestas a cuestionarios, país/mercado objetivo, estado de expansión, capacidades internas, prioridades, bloqueos declarados, información financiera y operativa, documentos cargados, prompts.

6.4. Outputs y datos derivados: puntuaciones, categorías, bloqueos identificados, recomendaciones, roadmaps, contenidos generados por IA, metadata de provenance.

6.5. Datos financieros y de facturación: plan contratado, importe, historial de pagos, identificador de cliente en Stripe, datos fiscales. SPH no almacena datos completos de tarjeta de pago (gestionados por Stripe).

6.6. Datos técnicos y de uso: IP, navegador, dispositivo, fecha/hora de acceso, eventos de uso, logs de seguridad, errores técnicos, identificadores de sesión, cookies.

6.7. Datos de soporte y comunicaciones: consultas, emails, feedback, incidencias.

6.8. Datos de inicio de sesión mediante proveedores de identidad externos (login social/federado). SPH ofrece la posibilidad de registrarse e iniciar sesión a través de proveedores de identidad externos: Google, Apple y LinkedIn. Cuando eliges esta opción, el proveedor que selecciones actúa como proveedor de identidad y, previa tu autorización en su propia pantalla de consentimiento, comparte con SPH un conjunto mínimo de datos de tu perfil necesarios para autenticarte y crear tu cuenta: nombre, dirección de correo electrónico, imagen de perfil y un identificador único asignado por el proveedor. En el caso de LinkedIn, SPH utiliza el protocolo estándar "Sign in with LinkedIn using OpenID Connect" con el alcance (scope) mínimo openid profile email.

Finalidad y límite de uso. Estos datos se utilizan exclusivamente para autenticarte y dar de alta o acceder a tu cuenta. SPH no utiliza la información obtenida del proveedor de identidad para elaborar tu diagnóstico ScaleIndex ni para ninguna funcionalidad de inteligencia artificial; en particular, los datos de tu perfil de LinkedIn no se incorporan al análisis automatizado (Atlas). La base jurídica es tu consentimiento (Art. 6.1.a RGPD), prestado al autorizar la conexión en la pantalla del proveedor, y la ejecución del contrato (Art. 6.1.b RGPD) para los datos estrictamente necesarios para crear y mantener tu cuenta.

Relación con el proveedor. El tratamiento que el proveedor de identidad (Google, Apple o LinkedIn) realiza de tus datos en su propia plataforma se rige por las políticas de privacidad de dicho proveedor, ajenas a SPH. Puedes revocar la conexión en cualquier momento desde la configuración de tu cuenta o ejerciendo tus derechos según el §18 de esta Política.

7. Categorías de datos que el Usuario NO debe introducir — Política PII híbrida

Política híbrida de PII. Para proteger al Usuario y a SPH frente a riesgo legal y excesos de finalidad:

| Categoría de dato | Política aplicable | Acción del sistema |

|---|---|---|

| Sensibles (PII raw de terceros, IDs nacionales, IBAN completo, datos de salud, religión, etnia, orientación, afiliación sindical) o innecesarios (no requeridos para el diagnóstico) | Opción B — Notify / reformulate | El sistema avisará al Usuario antes del procesamiento y solicitará reformulación o exclusión. Bloquea el ingest hasta resolución. |

| Incidentales y no necesarios (ej. nombre de tercero mencionado de paso, dato no-sensible irrelevante para el output) | Silent redact | El pipeline pre-prompt redacta automáticamente sin notificar. Acción registrada en audit log para auditoría. |

Esta lógica de clasificación está implementada por el equipo SPH. Cualquier output que el Usuario considere afectado por una mala clasificación puede reportarse a privacy@scalepathub.com.

Salvo instrucción específica y medidas adecuadas previamente acordadas, el Usuario no debe introducir: datos de salud, biométricos, genéticos, ideología política, afiliación sindical, religión o creencias, orientación sexual, datos penales, datos de menores, datos especialmente sensibles innecesarios, documentos personales innecesarios, información obtenida ilícitamente, o datos de terceros sin base jurídica.

8. Subprocesadores — lista MVAA founding cohort

Lista de subprocesadores v0.2 (verificación DPA + región en curso por equipo técnico SPH).

Subprocesador	Función	Región tratamiento	Mecanismo legal	Estado verificación
OpenAI	LLM inference (capas 2-3-5 MVAA)	OpenAI Ireland Ltd. (EEA contracting per DPA §4.1) + OpenAI OpCo, LLC (US) afiliados via SCCs	DPA bilateral firmado 2026-05-17 — SCC Decisión (UE) 2021/914 Módulos 2 (C-to-P) y 3 (P-to-P) + UK Addendum. Zero-retention/no-training configurado a nivel API platform.	Confirmado 2026-05-17 — DPA bilateral operativo
Pinecone	Vector DB (solo si Layer 5 RAG activo)	EU región preferida; configuración pending	DPA + región EU si disponible	L5 NO ACTIVO v1 — feature deferred a v2
Xano	Backend, base de datos, API	Pending region disclosure	DPA Xano	Pending equipo técnico SPH
UltaHost (VPS)	Hosting infrastructure	EU probable	DPA + región EU	Pending equipo técnico SPH
n8n (self-hosted)	Automatización y orquestación	Self-hosted en VPS SPH (EU)	Sin transferencia externa adicional al ser self-hosted	Configuración self-hosted confirmada
Zoho Mail	Email transaccional (no Postmark)	Data center Europe (EU) — CONFIRMED por CEO 2026-05-17 (verified via Zoho admin portal); EU residency assured.	DPA Zoho basado en Model Contractual Clauses (Decisión (UE) 2021/914 práctica industry) — framework operativo por aceptación SSA Zoho. Sub-processors Mail-relevant = Amazon CDN + Amazon SNS. Breach SLA 72h (alineado Art. 33 RGPD). Firma electrónica self-service formal pendiente como best practice audit trail (no blocker D0 dado EU residency confirmed).	EU residency CONFIRMED 2026-05-17 — formal DPA signing recommended as best practice post-D0
Stripe	Procesamiento de pagos	Stripe Payments Europe, Limited (SPEL Irlanda) contracting entity SPH; processing puede incluir Stripe LLC (US) e India bajo SCC + DPF	DPA Stripe v.2025-11-18 incorporated by reference vía SSA (operativo desde aceptación SSA). SCC Decisión (UE) 2021/914 Módulos 1, 2 (DPA) + Módulo 3 (DTA) + DPF tier. Breach SLA 48h post-awareness.	Confirmado 2026-05-17 — DPA Stripe operativo vía SSA
Cloudflare (si activo)	CDN / seguridad	Global	DPA Cloudflare + SCC	Pending equipo técnico SPH verification
LinkedIn Ireland Unlimited Company	Plataforma de publicidad y formularios nativos de captación de leads (LinkedIn Lead Gen) para el Programa Founding Members; sub-encargado a través de la Agencia de marketing (Encargado)	LinkedIn Ireland (EEE) + posible tratamiento por entidades del grupo en EEUU	EU-US Data Privacy Framework (DPF) y/o SCC Decisión (UE) 2021/914 (Módulo 3, encargado-a-encargado)	Activo para captación founding cohort
Notion Labs, Inc.	Gestión y alojamiento (CRM) de las candidaturas del Programa Founding Members: SPH conserva, organiza y consulta en Notion los datos de los leads para evaluar y dar seguimiento a su candidatura	Estados Unidos (US)	EU-US Data Privacy Framework (DPF) y/o SCC Decisión (UE) 2021/914 (Módulo 2, responsable-a-encargado), conforme al DPA de Notion	Activo para gestión de candidaturas — DPA de Notion a aceptar/archivar antes del primer lead

NOTA importante. SPH no usa Postmark para email transaccional. El proveedor designado es Zoho Mail; confirmación DPA electrónica + verificación de región en curso por CEO 2026-05-17.

Confirmaciones DPA realizadas 2026-05-17: OpenAI DPA bilateral firmado (SCC Decisión (UE) 2021/914 Módulos 2+3); Stripe DPA v.2025-11-18 operativo vía SSA (Módulos 1+2+3 + DPF, contracting SPEL Irlanda); Zoho Mail EU residency CONFIRMED 2026-05-17 (verified Zoho admin portal Europe data center), DPA framework Zoho basado en Model Contractual Clauses operativo vía SSA, firma electrónica formal recomendada como best practice audit trail post-D0. Cambios materiales de subprocesadores se notificarán al Usuario por aviso en plataforma, email o actualización de esta Política.

9. Personas cuyos datos podemos tratar

Usuarios registrados; administradores de cuenta; representantes legales de empresas cliente; empleados o colaboradores autorizados; emprendedores; inscritos en listas de espera / newsletters; solicitantes de información; contactos de facturación; leads o clientes importados por el cliente; proveedores incluidos en documentos cargados; personas mencionadas incidentalmente; visitantes web.

10. Finalidades del tratamiento y bases jurídicas (RGPD Art. 6 + Art. 13-14)

10.1. Gestión de cuenta y acceso al servicio — Base: ejecución de contrato (Art. 6.1.b).

10.2. Prestación del servicio contratado — Base: ejecución de contrato.

10.3. Generación del diagnóstico y análisis estructurado — Base: ejecución de contrato. El análisis automatizado estructurado no constituye decisión automatizada del Art. 22 RGPD (ver §11).

10.4. Uso de inteligencia artificial (MVAA) — Base: ejecución de contrato cuando es necesario para prestar el servicio; interés legítimo para mantener, mejorar o asegurar el servicio; consentimiento cuando la naturaleza del tratamiento lo requiera. Disclaimer Art. 50 AI Act: te informamos expresamente que recibes outputs generados o asistidos por IA con revisión humana best-effort (founding cohort).

10.5. Gestión de pagos, suscripciones y facturación — Base: ejecución de contrato + cumplimiento obligaciones legales fiscales (Art. 6.1.c).

10.6. Comunicaciones operativas y transaccionales — Base: ejecución de contrato + cumplimiento legal + interés legítimo.

10.7. Comunicaciones comerciales — Base: consentimiento cuando proceda; interés legítimo para comunicaciones sobre servicios similares o relacionados. Baja en cualquier momento vía enlace en la comunicación o privacy@scalepathub.com.

10.8. Soporte al cliente — Base: ejecución de contrato + interés legítimo.

10.9. Seguridad, prevención de fraude y control de abusos — Base: interés legítimo + cumplimiento legal.

10.10. Mejora del servicio + iteración beta controlada (founding cohort) — Base: interés legítimo. Uso preferente de datos agregados, anonimizados o seudonimizados. Durante la fase founding cohort beta controlada (cf. §0.bis + T&C §3.ter), SPH puede utilizar feedback estructurado del Usuario y patrones de uso desidentificados para iteración del MVAA hacia v2, siempre bajo supervisión humana del equipo SPH.

10.11. Cumplimiento legal — Base: cumplimiento de obligaciones legales (fiscales, contables, mercantiles, regulatorias).

10.12. Defensa de derechos y reclamaciones — Base: interés legítimo + cumplimiento legal.

10.13. Captación de leads para el Programa Founding Members — SPH realiza acciones de captación de potenciales participantes del Programa Founding Members mediante publicidad y formularios nativos de LinkedIn (LinkedIn Lead Gen). Cuando una persona cumplimenta uno de estos formularios, SPH trata los datos facilitados (datos identificativos y de contacto profesional, datos de su empresa y disponibilidad para entrevista) con la finalidad de evaluar su candidatura, contactarla y, en su caso, incorporarla al Programa (onboarding y diagnóstico ScaleIndex). Bases jurídicas: medidas precontractuales y ejecución del Programa a solicitud del interesado (Art. 6.1.b RGPD) e interés legítimo de SPH en captar candidatos adecuados (Art. 6.1.f RGPD). El consentimiento para comunicaciones comerciales se recoge de forma separada, granular y no condicionante de la candidatura (casilla desmarcada por defecto); su base es el consentimiento (Art. 6.1.a RGPD) y puede retirarse en cualquier momento. Los datos de los leads se alojan y gestionan en Notion (US) conforme al §8 y §14.

11. Análisis automatizado estructurado, scoring y ausencia de decisiones automatizadas

ScalePath Hub puede generar resultados (puntuación, fase, bloqueos, recomendaciones) mediante reglas predefinidas, lógica de scoring determinista y, en su caso, modelos de IA (cap. 2-3-5 MVAA — capa 5 no activa en v1).

SPH no adopta decisiones vinculantes sobre el Usuario, no aprueba ni rechaza solicitudes, no concede ni deniega derechos, no determina de forma automática consecuencias jurídicas y no impide que el Usuario actúe. Por tanto, el análisis no constituye una decisión automatizada con efectos jurídicos o similares en el sentido del Art. 22 RGPD.

MVAA Layer 7 — Human Review founding cohort (best-effort). Durante la fase founding cohort SS2026, SPH hará todo lo razonablemente posible para garantizar que los outputs AI-generated sean revisados por personal cualificado de SPH antes de su entrega al Usuario, conforme al objetivo de supervisión humana del Art. 14 AI Act. SLA objetivo: ≤24h. SPH se reserva la discrecionalidad de ajustar el alcance de revisión, sampling, o procedimientos fallback en función de condiciones operativas.

12. Transparencia AI Act Art. 50 + gobernanza interna de privacidad y AI

Aviso de transparencia. Determinados outputs del MVAA son generados o asistidos por sistemas de inteligencia artificial con revisión humana best-effort del equipo SPH. ScalePath Hub te informa de este hecho cuando una funcionalidad relevante utilice IA de forma material.

Gobernanza interna SPH. SPH garantiza la supervisión de gobernanza de IA y de privacidad mediante el equipo legal y de cumplimiento cualificado de SPH, que ejerce revisión institucional sobre los compromisos de esta Política. Cualquier comunicación de preocupaciones de privacidad o gobernanza de IA puede dirigirse a privacy@scalepathub.com y será atendida por dicho equipo. SPH se compromete a re-evaluar el engagement de counsel externo en scope limitado post-D0 D+30 con ground truth founding cohort.

Tus datos NO se utilizan para entrenar modelos de terceros. SPH selecciona modalidades de proveedores AI (OpenAI zero-retention API, no-training mode) que prohíben el uso de tus datos para training, salvo instrucción expresa del Usuario o autorización específica.

13. Destinatarios de datos

Podemos comunicar datos personales a: proveedores tecnológicos necesarios para prestar el servicio (cf. §8); proveedores de pago (Stripe); proveedores de email transaccional (Zoho Mail); proveedores de soporte técnico; asesores legales, fiscales, contables o auditores; autoridades públicas cuando exista obligación legal; entidades adquirentes/inversores en caso de operación societaria con garantías adecuadas; otros usuarios autorizados dentro del mismo workspace; terceros cuando el Usuario lo solicite o autorice.

NO vendemos datos personales a terceros.

14. Transferencias internacionales

Algunos proveedores y plataformas pueden estar ubicados fuera del EEE, en particular en Estados Unidos (notablemente OpenAI; para la captación de leads del Programa Founding Members, LinkedIn; y para la gestión y alojamiento de las candidaturas del Programa, Notion). Cuando se realicen transferencias internacionales, SPH adoptará mecanismos reconocidos por la normativa aplicable: decisiones de adecuación; el EU-US Data Privacy Framework (DPF) cuando esté vigente; las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea (Decisión (UE) 2021/914); medidas técnicas complementarias; y evaluaciones de impacto de transferencias (TIA) cuando proceda.

Cf. DPA Anexo IV para detalles sobre transferencias específicas.

15. Conservación de datos — retención canónica

Plazos canónicos de conservación:

| Categoría de dato | Plazo |

|---|---|

| Datos de cuenta y diagnóstico | Mientras la cuenta esté activa + periodo razonable post-cancelación |

| Audit logs (Xano + n8n + Pinecone metadata + LLM provenance + Layer 7 human review records) | 24 meses |

| Logs técnicos de seguridad | 6-12 meses, salvo incidente que extienda el plazo |

| Datos de facturación | Plazos legales fiscales, contables y mercantiles aplicables (hasta 6 años — Art. 30 CCom + Art. 1964 CC) |

| Datos de soporte | Mientras sea necesario para atender la solicitud y documentar respuesta |

| Datos para comunicaciones comerciales | Hasta retirada de consentimiento u oposición |

| Datos para reclamaciones | Hasta prescripción de acciones aplicable |

| Datos anonimizados | Indefinidamente |

Las razones canónicas de la retención de 24 meses para audit logs son: (i) ventana forense de seguridad; (ii) defensa legal y litigation hold; (iii) auditoría regulatoria + investor DD.

16. Seguridad de los datos

SPH aplica medidas técnicas y organizativas razonables: cifrado en tránsito; cifrado en reposo cuando esté disponible; controles de acceso; autenticación; segregación lógica de datos; gestión de permisos; registro de actividad; monitorización; copias de seguridad; revisión de proveedores; minimización de datos; procedimientos de gestión de incidentes.

Detalles adicionales en docs/security/mitigaciones-temporales-pre-mvp.md (interno) y futuro Cyber Playbook v1.1.

17. Incidentes de seguridad

En caso de incidente que afecte datos personales, SPH evaluará conforme a la normativa. Cuando proceda, SPH notificará a la AEPD y/o a los interesados afectados en los plazos legales (72h notificación AEPD — Art. 33 RGPD; sin demora indebida al interesado — Art. 34 RGPD). Cuando SPH actúe como encargado, notificará al responsable conforme al DPA.

Canal canónico para notificaciones de brecha de seguridad: privacy@scalepathub.com (canal sujeto al plazo Art. 33 RGPD 72h).

18. Derechos de los interesados (ARSOPL)

Las personas cuyos datos personales sean tratados pueden ejercer: acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad, retirada del consentimiento (cuando el tratamiento se base en consentimiento), y derecho a no ser objeto de decisiones automatizadas en los términos legalmente previstos.

18.1. Cómo ejercer derechos

Contacta con: privacy@scalepathub.com

Indica claramente: (a) identidad del solicitante; (b) derecho que deseas ejercer; (c) datos o tratamiento al que se refiere; (d) información suficiente para localizar la cuenta. SPH podrá solicitar información adicional razonable para verificar identidad.

SLA respuesta: 1 mes natural desde la recepción de la solicitud (Art. 12.3 RGPD), prorrogable 2 meses adicionales en casos complejos con comunicación motivada.

18.2. Procedimiento cascading delete founding cohort

Durante founding cohort SS2026 pre-launch (≤15 Usuarios), las solicitudes de supresión se ejecutan mediante procedimiento manual documentado por el equipo SPH. El procedimiento garantiza eliminación coordinada en todos los subsistemas (Xano, n8n, Pinecone si Layer 5 activo, audit logs sujetos a retención legal, backups según ciclos de rotación). La automatización se evaluará post-D0.

19. Derecho a presentar reclamación

El interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es. Sin perjuicio de este derecho, recomendamos contactar primero con SPH (privacy@scalepathub.com) para intentar resolver de forma directa.

20. Tratamiento de datos de menores

El servicio no está dirigido a menores de edad y SPH no recopila intencionadamente datos de menores. Si detectamos que se han introducido datos de menores sin base jurídica suficiente, podremos eliminarlos.

21. Comunicaciones comerciales (LSSI-CE)

SPH podrá enviar comunicaciones comerciales relacionadas con servicios, contenidos o actualizaciones. Cuando sea necesario, se solicitará consentimiento previo. La normativa permite envío sobre servicios similares a clientes existentes con mecanismo claro y gratuito de oposición.

22. Cookies

SPH puede utilizar cookies y tecnologías similares. Detalles en la Política de Cookies. Las cookies no necesarias requerirán consentimiento (LSSI Art. 22.2 + Guía AEPD).

23. Datos agregados y anonimizados

SPH puede generar datos agregados/anonimizados para mejorar el producto, generar estadísticas, analizar tendencias, evaluar rendimiento, desarrollar benchmarking. Cuando los datos estén verdaderamente anonimizados, dejarán de considerarse datos personales.

24. Confidencialidad empresarial

Aunque muchos datos introducidos en la plataforma pueden ser confidenciales sin ser datos personales, SPH protegerá igualmente esa información conforme a los Términos y Condiciones. Esta Política se aplica únicamente a datos personales.

25. Integraciones futuras

SPH podrá incorporar integraciones con sistemas externos (CRM, financieras, productividad, calendarios, email). Cuando estén disponibles, se informará de: datos accedidos, finalidad, permisos, proveedor, base jurídica y posibilidad de desconexión. No activaremos integraciones con datos de terceros sin acción del Usuario.

26. Especialistas y consultores externos futuros

El MVP de ScalePath Hub no incluye el lanzamiento operativo del modelo de consultores externos / marketplace. Cuando ese modelo se active, se proporcionará información adicional específica.

27. Usuarios internacionales

ScalePath Hub puede ser utilizado fuera de España y del EEE. Cuando el RGPD sea aplicable, SPH aplicará los estándares descritos en esta Política. Los usuarios fuera del EEE reconocen que sus datos pueden ser tratados en España, en la UE o por proveedores ubicados en otros países conforme a las garantías aplicables.

28. Responsabilidad del Usuario sobre datos cargados

El Usuario es responsable de garantizar que los datos cargados son lícitos, necesarios, exactos, no vulneran derechos de terceros, no contienen datos excesivos o sensibles sin base jurídica. La empresa cliente será responsable de informar a sus propios interesados cuando suba datos personales de terceros, salvo excepción legal aplicable.

29. Cambios en esta Política

SPH podrá actualizar esta Política para reflejar cambios legales, técnicos, operativos, comerciales o regulatorios. Cuando los cambios sean sustanciales, SPH notificará por email, aviso en plataforma u otro medio razonable con 30 días de antelación.

30. Contacto

Para cualquier cuestión relacionada con esta Política, protección de datos o ejercicio de derechos:

SCALEPATH HUB, S.L.

Calle Fuencarral, núm. 133 (1F) · 28010 Madrid, España · NIF B26883132

Email de contacto en materia de privacidad y protección de datos: privacy@scalepathub.com

Email de contacto legal general: legal@scalepathub.com