Política de privacitat

1. Responsable del tractament

El responsable del tractament de les dades personals és Pixel Solution, S.L., la societat que opera el servei HolaNolis, amb domicili a Barcelona, Espanya. Per a qualsevol consulta relacionada amb la protecció de dades, pots contactar-nos a privacy@holanolis.com.

2. Dades que recopilem

Recopilem únicament les dades necessàries per al funcionament del servei:

• Tutors: nom, email, dades de pagament (processades per Stripe).
• Menors: nom (o àlies), edat, email, converses amb Nolis.
• Dades tècniques: tipus de dispositiu, navegador, idioma (sense rastreig de tercers).

3. Base legal del tractament

La base legal per al tractament de dades és el consentiment del tutor (article 6.1.a del RGPD) i l'execució del contracte de servei (article 6.1.b del RGPD). Per a menors de 16 anys a Espanya, el consentiment ha de ser atorgat pel titular de la pàtria potestat, de conformitat amb la LOPDGDD.

4. Dades de menors

Prestem especial atenció a la protecció de dades de menors. Totes les converses s'encripten amb AES-256-GCM amb claus individuals per usuari (DEK). Només el tutor assignat pot accedir a les dades del menor segons el nivell de supervisió configurat. Complim amb COPPA (EUA) i amb la normativa europea de protecció de menors.

5. Compartició de dades

No venem dades personals. No compartim dades amb tercers excepte els estrictament necessaris per prestar el servei: Stripe per a pagaments i Google Workspace (Gmail) per als emails transaccionals. El processament de les converses es fa amb models Claude (Anthropic) a través d'AWS Bedrock en regions de la Unió Europea (perfils d'inferència «eu.*», Frankfurt). Per defecte, AWS Bedrock no emmagatzema els missatges ni les respostes després de processar-los, no els fa servir per entrenar models i no els comparteix amb el proveïdor del model; a més, mantenim desactivat el registre (logging) d'invocacions. Els embeddings es calculen en infraestructura pròpia dins de la UE i no s'envien a proveïdors externs. L'allotjament del servei es fa a Hetzner (UE). No fem servir les dades dels usuaris per entrenar models d'IA.

6. Transferències internacionals

La inferència d'IA i l'allotjament del servei s'executen en centres de dades situats a la Unió Europea. Tanmateix, alguns dels nostres proveïdors (com AWS, Stripe o Google) tenen matriu nord-americana, per la qual cosa es poden produir transferències internacionals limitades de dades, per exemple en tasques de suport o administració. Aquestes transferències s'emparen en l'acord de tractament de dades (DPA) de cada proveïdor i en les clàusules contractuals tipus aprovades per la Comissió Europea.

7. Seguretat

Implementem mesures de seguretat tècniques i organitzatives: encriptació AES-256-GCM en repòs, HTTPS en trànsit, autenticació JWT amb tokens de curta durada, auditories amb cadena hash SHA-256 i accés basat en rols. El nostre sistema està dissenyat seguint principis de Privacy by Design.

8. Drets de l'usuari

Com a usuari, tens dret a:

• Accedir a les teves dades personals.
• Rectificar dades inexactes.
• Sol·licitar la supressió de les teves dades (dret a l'oblit).
• Sol·licitar la portabilitat de les teves dades.
• Oposar-te al tractament o sol·licitar-ne la limitació.
• Presentar una reclamació davant l'AEPD (aepd.es) o l'APDCAT (apdcat.gencat.cat).

9. Retenció de dades

Les dades personals es conserven mentre el compte estigui actiu. En eliminar un compte, les dades s'esborren de forma permanent en un termini màxim de 30 dies. Les dades d'alertes de crisi es poden conservar de forma seudonimitzada per millorar els algoritmes de detecció, amb mesures tècniques i organitzatives orientades a minimitzar el risc de reidentificació.

10. Contacte del Delegat de Protecció de Dades

Per exercir els teus drets o qualsevol consulta sobre protecció de dades, contacta amb el nostre Delegat de Protecció de Dades (DPD) a: