Política de privacitat

1. Responsable del tractament

El responsable del tractament de les dades personals és Pixel Solution, S.L., la societat que opera el servei HolaNolis, amb domicili a Casafranca, 35, 08017 Barcelona, Espanya. Per a qualsevol consulta relacionada amb la protecció de dades, pots contactar-nos a info@holanolis.com.

2. Dades que recopilem

Recopilem únicament les dades necessàries per al funcionament del servei:

• Tutors: nom, email, dades de pagament (processades per Stripe).
• Menors: nom (o àlies), edat, email, converses amb Nolis.
• Dades tècniques: tipus de dispositiu, navegador i idioma. Al web fem servir Google Analytics amb el mode de consentiment: sense la teva acceptació no es desen galetes analítiques.

3. Base legal del tractament

La base legal per al tractament de dades és el consentiment del tutor (article 6.1.a del RGPD) i l'execució del contracte de servei (article 6.1.b del RGPD). A Espanya, la LOPDGDD (article 7) permet consentir el tractament de les pròpies dades a partir dels 14 anys; per sota d'aquesta edat, el consentiment l'atorga qui exerceix la pàtria potestat o la tutela (un projecte de llei en tramitació proposa elevar aquesta edat a 16). Altres països fixen edats diferents. Amb independència d'aquests llindars legals, HolaNolis exigeix per política pròpia que una persona adulta responsable autoritzi i vinculi el compte de tots els menors de 18 anys.

4. Dades de menors

Prestem especial atenció a la protecció de dades de menors. Totes les converses s'encripten amb AES-256-GCM amb claus individuals per usuari (DEK). El tutor vinculat accedeix a la informació que permet el nivell de supervisió acordat amb el menor; consultar l'historial de converses requereix el nivell Completa i el pla Premium. Personal autoritzat d'HolaNolis només accedeix a converses quan cal per seguretat, suport o requeriment legal. Si tens 18 anys o més, la supervisió només es pot mantenir amb el teu consentiment i pots demanar que es retiri escrivint a info@holanolis.com. Hem dissenyat el servei tenint en compte la COPPA (EUA) i la normativa europea de protecció de menors; la revisió jurídica externa està pendent.

5. Compartició de dades

No venem dades personals. No compartim dades amb tercers excepte els estrictament necessaris per prestar el servei: Stripe per a pagaments, Google Workspace (Gmail) per als emails transaccionals, Google per a l'inici de sessió amb Google (si el tries) i per a reCAPTCHA als formularis del web, els serveis de notificacions push del navegador (Google, Apple o Mozilla) si actives les notificacions, Google Analytics per a l'analítica del web (en mode de consentiment) i Brevo per enviar la guia descarregable i els correus a qui se subscriu al web. El processament de les converses es fa amb models Claude (Anthropic) a través d'AWS Bedrock en regions de la Unió Europea (perfils d'inferència «eu.*», Frankfurt). Per defecte, AWS Bedrock no emmagatzema els missatges ni les respostes després de processar-los, no els fa servir per entrenar models i no els comparteix amb el proveïdor del model; a més, mantenim desactivat el registre (logging) d'invocacions. Els embeddings es calculen en infraestructura pròpia dins de la UE i no s'envien a proveïdors externs. L'allotjament del servei es fa a Hetzner (UE). No fem servir les dades dels usuaris per entrenar models d'IA.

6. Transferències internacionals

La inferència d'IA i l'allotjament del servei s'executen en centres de dades situats a la Unió Europea. Tanmateix, alguns dels nostres proveïdors (com AWS, Stripe o Google) tenen matriu nord-americana, per la qual cosa es poden produir transferències internacionals limitades de dades, per exemple en tasques de suport o administració. Aquestes transferències s'emparen en l'acord de tractament de dades (DPA) de cada proveïdor i en les clàusules contractuals tipus aprovades per la Comissió Europea.

7. Seguretat

Implementem mesures de seguretat tècniques i organitzatives: encriptació AES-256-GCM en repòs, HTTPS en trànsit, autenticació JWT amb tokens de curta durada, auditories amb cadena hash SHA-256 i accés basat en rols. El nostre sistema està dissenyat seguint principis de Privacy by Design.

8. Drets de l'usuari

Com a usuari, tens dret a:

• Accedir a les teves dades personals.
• Rectificar dades inexactes.
• Sol·licitar la supressió de les teves dades (dret a l'oblit).
• Sol·licitar la portabilitat de les teves dades.
• Oposar-te al tractament o sol·licitar-ne la limitació.
• Presentar una reclamació davant l'AEPD (aepd.es) o l'APDCAT (apdcat.gencat.cat).

9. Retenció de dades

Les dades personals es conserven mentre el compte estigui actiu. En eliminar un compte, les dades s'esborren de forma permanent en un termini màxim de 30 dies. Les dades d'alertes de crisi es poden conservar de forma seudonimitzada per millorar els algoritmes de detecció, amb mesures tècniques i organitzatives orientades a minimitzar el risc de reidentificació.

10. Contacte de privacitat

Per exercir els teus drets o per a qualsevol consulta sobre protecció de dades, escriu-nos a: