Aviso de Privacidad - TRACE.Parser

Este aviso de privacidad se actualiza periódicamente. La versión actual está siempre disponible en Aviso de Privacidad - TRACE.Parser.

1. Ámbito de aplicación de este aviso de privacidad

Este aviso de privacidad se aplica exclusivamente a TRACE.Parser, la herramienta SaaS en la nube para el procesamiento y análisis automatizados de perfiles de producción de energía de TRACE Electricity GmbH, accesible en parser.trace-electricity.com.

TRACE.Parser está dirigido exclusivamente a clientes empresariales (B2B). TRACE Electricity GmbH actúa en calidad de encargada del tratamiento para el responsable correspondiente conforme al Art. 28 RGPD. El cliente (comitente) sigue siendo el responsable del tratamiento en el sentido del Art. 4, apartado 7, del RGPD.

Para TRACE.Parser se aplican los siguientes documentos de protección de datos y contractuales:

• Aviso de Privacidad - TRACE.Parser — este documento; regula todos los tratamientos de datos dentro de TRACE.Parser
• Acuerdo de Procesamiento de Datos APD - TRACE.Parser — conforme al Art. 28 RGPD, pasa a formar parte automáticamente del contrato al celebrarse el mismo
• Medidas Técnicas y Organizativas MTO - TRACE.Parser — medidas de seguridad conforme al Art. 32 RGPD, anexo al APD

Para el sitio web trace-electricity.com se aplica la Política de Privacidad separada. Para TRACE.App se aplica el Aviso de Privacidad - TRACE.App.

2. Responsable del tratamiento

El responsable del tratamiento de datos personales en el marco de TRACE.Parser es:

En la medida en que TRACE trate datos personales de empleados o clientes finales de empresas por encargo de clientes empresariales, TRACE actúa como encargada del tratamiento conforme al Art. 28 RGPD; el cliente comitente sigue siendo el responsable. La base jurídica es el Acuerdo de Procesamiento de Datos (APD) celebrado con el cliente.

TRACE Electricity GmbH
Dorothea-Bernstein-Weg 48
22081 Hamburgo
Alemania
Correo electrónico: privacy@trace-electricity.com

TRACE Electricity GmbH no ha designado un delegado de protección de datos, ya que no concurren los requisitos legales del Art. 37 RGPD en relación con el § 38 BDSG.

3. ¿Qué es TRACE.Parser?

TRACE.Parser es una herramienta SaaS en la nube para el procesamiento y análisis automatizados de perfiles de producción de energía. Los usuarios pueden cargar datos de producción (p. ej., en formato CSV o XLSX); la aplicación los analiza en busca de errores de datos, anomalías e indicadores clave y presenta los resultados como informes.

TRACE.Parser está dirigido exclusivamente a empresas y personas que actúen en calidad profesional. El uso por parte de menores de 18 años no está previsto.

4. ¿Qué datos tratamos?

Datos tratados en TRACE.Parser

Datos de carga (CSV de perfil de producción): Los archivos CSV cargados con datos de producción eléctrica se procesan exclusivamente para el análisis y se eliminan automáticamente en un plazo de 24 horas tras la conclusión del análisis. Lugar de almacenamiento y procesamiento: AWS eu-central-1 (Fráncfort).

Resultados del análisis: Las evaluaciones calculadas (p. ej., valores LCOE, perfiles de producción) se almacenan durante la vigencia del contrato de uso y se eliminan en un plazo de 30 días tras la finalización del contrato.

Limitación del almacenamiento: Todos los datos de procesamiento temporales se eliminan inmediatamente tras la conclusión del procesamiento (Art. 5(1)(e) RGPD).

4.1 Datos de registro y contacto

Al solicitar un acceso de prueba o una oferta, recopilamos:

• Nombre y apellidos
• Correo electrónico corporativo
• Empresa y sector (opcional)
• Cargo / denominación profesional (opcional)
• Contenido de la solicitud

Si se registra en TRACE.Parser a través de un servicio de terceros (p. ej., Google), recibiremos los datos de perfil transmitidos por dicho servicio (nombre, dirección de correo electrónico) en el marco del proceso OAuth. Tenga en cuenta que Google trata datos de conformidad con su propia política de privacidad al utilizar el inicio de sesión de Google (policies.google.com/privacy). No tenemos ningún control sobre este tratamiento. Puede revocar el acceso de la aplicación TRACE a su cuenta de Google en cualquier momento en myaccount.google.com/permissions.

Al utilizar Google Sign-In, se aplican adicionalmente las políticas de privacidad de Google Ireland Ltd. (policies.google.com/privacy). La transferencia de datos a EE.UU. se realiza sobre la base del EU-U.S. DPF. Si la decisión de adecuación UE-EE.UU. (C(2023) 4745) fuera suspendida o revocada, la transferencia se realizaría, alternativamente, sobre la base de las cláusulas contractuales tipo de la UE conforme a la Decisión de Ejecución (UE) 2021/914.

Tras la celebración del contrato, almacenamos adicionalmente los datos de acceso de la cuenta (dirección de correo electrónico como identificador de usuario) y, en su caso, los datos de facturación.

4.2 Datos de uso

Durante el uso de TRACE.Parser se recopilan automáticamente datos de uso técnico:

• Marcas temporales de inicios de sesión y llamadas de análisis
• Número y tipo de análisis realizados (consumo de créditos)
• Tipo de navegador y sistema operativo (para soporte técnico)
• Dirección IP (se anonimiza antes del almacenamiento permanente; no se persiste ninguna dirección IP completa)

4.3 Perfiles de producción cargados (datos de encargo)

Los perfiles de producción cargados por el cliente (CSV/XLSX) pueden contener datos de medición que — dependiendo de la configuración — sean identificables como personales (p. ej., en instalaciones en terrenos de uso privado). TRACE trata estos datos exclusivamente para llevar a cabo el análisis encargado. El cliente sigue siendo el responsable respecto a estos datos; TRACE actúa como encargada del tratamiento conforme al Art. 28 RGPD. El cliente, en calidad de responsable, es responsable de disponer de una base jurídica adecuada conforme al Art. 6 RGPD para transmitir a TRACE los datos personales contenidos en los perfiles de producción cargados.

Nota sobre los perfiles de producción energética: TRACE.Parser trata perfiles de generación eléctrica y datos de instalaciones. Estos datos se refieren normalmente a instalaciones empresariales (B2B) y no a consumidores individuales. En la medida en que en casos concretos se incluyan datos personales de personas físicas (p. ej., en instalaciones de pequeño tamaño), estos se tratan con especial cuidado.

Los datos de consumo energético importados en el marco del análisis pueden contener datos personales (p. ej., datos de ubicación, patrones de consumo). El cliente comitente es responsable de la licitud de la transmisión de dichos datos (APD §4).

5. Procesamiento y resultados

El tratamiento de los datos se realiza de forma automatizada mediante algoritmos y procedimientos técnicos.

Los resultados generados por TRACE.Parser pueden ser incompletos o incorrectos. El proveedor no asume ninguna garantía sobre la exactitud, precisión, integridad o idoneidad de los resultados para un fin determinado.

La responsabilidad de verificar y utilizar los resultados recae exclusivamente en el cliente.

Uso anonimizado con fines de entrenamiento: TRACE Electricity está autorizada a crear conjuntos de datos estadísticamente agregados y completamente anonimizados a partir de los datos de perfil de producción procesados y a utilizarlos para el desarrollo y entrenamiento de sus propios algoritmos y modelos de IA. La anonimización se realiza conforme a los requisitos del Considerando 26 del RGPD; la reidentificación de comitentes individuales o de sus clientes está técnicamente excluida. Base jurídica: Art. 6(1)(f) RGPD (interés legítimo de TRACE en la mejora del producto). En el marco del Acuerdo de Procesamiento de Datos, queda excluido el uso de sus datos para el entrenamiento de modelos de IA propios en la medida en que se trate de datos personales. Los clientes pueden oponerse en cualquier momento al uso de sus datos con fines de entrenamiento (Art. 21 RGPD) — por correo electrónico a privacy@trace-electricity.com.

6. Bases jurídicas

• Ejecución del contrato y medidas precontractuales (Art. 6(1)(b) RGPD): tratamiento de los datos de registro y contacto, así como de los datos de uso necesarios para la prestación del servicio.
• Intereses legítimos (Art. 6(1)(f) RGPD): tratamiento de datos de uso técnico para garantizar el funcionamiento del servicio, detectar y repeler ataques (detección de intrusiones), diagnóstico de errores y desarrollo del producto. TRACE ha ponderado cuidadosamente que este tratamiento no supone un menoscabo irrazonable de las personas afectadas: los datos recopilados son de naturaleza técnica (direcciones IP anonimizadas, marcas temporales, códigos de error), no se utilizan para elaboración de perfiles ni con fines publicitarios y se eliminan transcurridos 30 días. El interés en el funcionamiento sin interrupciones y seguro prevalece sobre el interés de los usuarios en la no realización del tratamiento. El interés legítimo consiste en la prevención del uso indebido, la seguridad del sistema y la mejora del servicio Parser.
• Obligaciones legales de conservación (Art. 6(1)(c) RGPD): conservación de datos de facturación y contractuales conforme al § 147 AO, § 257 HGB (6 y 10 años respectivamente).
• Tratamiento por encargo (Art. 28 RGPD): tratamiento de los perfiles de producción cargados por instrucción del cliente.
• Consentimiento (Art. 6(1)(a) RGPD en relación con el § 25(1) TDDDG): la página de destino de TRACE.Parser en trace-electricity.com utiliza — con su consentimiento — cookies de análisis y marketing (Google Analytics 4, Hotjar, LinkedIn Insight Tag). Detalles y revocación: Política de Privacidad del sitio web de TRACE.

Diferenciación según TDDDG:

• § 25(2)(2) TDDDG (técnicamente necesario, no requiere consentimiento): cookie de sesión, token CSRF, token de autenticación.
• § 25(1) TDDDG (sujeto a consentimiento): herramientas de análisis (Google Analytics 4, Hotjar, LinkedIn Insight Tag) — solo previa autorización.

7. Obligación de facilitar datos

La indicación del nombre y la dirección de correo electrónico corporativo es contractualmente necesaria para solicitar un acceso de prueba y, tras la celebración del contrato, para el funcionamiento de la cuenta. Sin estos datos no puede proporcionarse acceso a TRACE.Parser.

La aportación de perfiles de producción (CSV/XLSX) es necesaria para la prestación del servicio de análisis encargado; sin datos de producción no puede realizarse ningún análisis. Otros datos (sector, cargo) son opcionales.

8. Tratamiento por encargo y subencargados del tratamiento

TRACE emplea a los siguientes proveedores de servicios como subencargados del tratamiento. Con todos los proveedores de servicios existen los acuerdos de procesamiento de datos exigidos por el Art. 28 RGPD.

Todos los datos de producción se tratan exclusivamente dentro de la UE.

Para el envío de correos electrónicos (confirmación de registro, notificaciones de cambios de precio), TRACE utiliza Amazon Web Services (AWS SES), Fráncfort (UE). AWS actúa como encargado del tratamiento conforme al Art. 28 RGPD.

AWS EMEA SARL (Luxemburgo) emplea a AWS Inc., 410 Terry Ave. North, Seattle, WA 98109, EE.UU. como subencargado del tratamiento. Base jurídica para la transferencia a terceros países: cláusulas contractuales tipo de la UE (Decisión 2021/914, Módulo 4: Encargado→Encargado) en relación con el EU-U.S. Data Privacy Framework. AWS Inc. está certificada conforme al EU-U.S. DPF. Si la decisión de adecuación UE-EE.UU. (C(2023) 4745) fuera suspendida o revocada, la transferencia se realizaría, alternativamente, sobre la base de las cláusulas contractuales tipo de la UE conforme a la Decisión de Ejecución (UE) 2021/914.

Transferencias a terceros países — Bases jurídicas: La base de la transferencia a terceros países para proveedores estadounidenses (Google, AWS, Cloudflare): EU-U.S. Data Privacy Framework (DPF, Decisión de adecuación de la Comisión Europea de 10 de julio de 2023) y cláusulas contractuales tipo (CCT) de la Comisión Europea (Decisión 2021/914). El estado de certificación puede verificarse en dataprivacyframework.gov. Si la decisión de adecuación UE-EE.UU. (C(2023) 4745) fuera suspendida o revocada, la transferencia se realizaría, alternativamente, sobre la base de las cláusulas contractuales tipo de la UE conforme a la Decisión de Ejecución (UE) 2021/914.

Resumen de transferencias a terceros países:

• Google (EE.UU.): EU-U.S. Data Privacy Framework (DPF)
• AWS / Amazon Web Services (EE.UU.): DPF + cláusulas contractuales tipo (CCT)
• Cloudflare (EE.UU.): DPF + cláusulas contractuales tipo (CCT)

9. Plazos de conservación

• Datos de registro y contacto: Durante la vigencia de la relación contractual más los plazos legales de conservación (máx. 10 años).
• Perfiles de producción cargados: Durante la vigencia de la suscripción. Tras la finalización del contrato, plazo de retención de 30 días para la exportación y portabilidad de datos (conforme al §10 APD TRACE.Parser). Los usuarios pueden descargar sus datos en un plazo de 14 días desde la notificación de eliminación. Después, eliminación irrevocable.
• Resultados del análisis (evaluaciones calculadas): Durante la vigencia de la suscripción. Tras la finalización del contrato, eliminación en un plazo de 30 días (cfr. sección 4). Base jurídica: Art. 6(1)(b) RGPD.
• Datos de uso (registros): 30 días, después eliminación automática.
• Registros de auditoría y acceso: Conservación durante 12 meses, base jurídica Art. 6(1)(c) RGPD en relación con §§ 147 AO, 257 HGB.
• Datos de solicitud (acceso de prueba/oferta sin celebración de contrato): 6 meses tras el último contacto (base jurídica: Art. 6(1)(f) RGPD; interés legítimo en el tratamiento y documentación de solicitudes de clientes). El interés legítimo consiste en la prevención del uso indebido, la seguridad del sistema y la mejora del servicio Parser.

Resumen de plazos de conservación:

• Solicitudes de contacto sin celebración de contrato: 6 meses tras el último contacto
• Solicitudes de contacto con inicio de negociaciones contractuales (medidas precontractuales): 3 años (plazo de prescripción del § 195 BGB)
• Datos de facturación: 10 años (§ 147 AO, § 257 HGB)
• Registros de análisis (anonimizados): máx. 14 meses (GA4)
• Datos de cuenta tras la baja: 30 días (para posible reactivación), después eliminación
• Datos sujetos a obligación legal de conservación: conforme a la normativa especial aplicable
• Transacciones de créditos y datos de facturación: 10 años conforme al § 147 AO y § 257 HGB.

10. Sus derechos

Como persona afectada, tiene frente a TRACE los siguientes derechos:

• Acceso (Art. 15 RGPD): puede solicitar información sobre qué datos hemos almacenado sobre usted.
• Rectificación (Art. 16 RGPD): puede solicitar la rectificación de datos inexactos.
• Supresión (Art. 17 RGPD): puede solicitar la supresión de sus datos siempre que no existan obligaciones legales de conservación.
• Limitación del tratamiento (Art. 18 RGPD): puede solicitar la limitación del tratamiento.
• Derecho de notificación (Art. 19 RGPD): Informaremos a cada destinatario al que se hayan comunicado sus datos personales de cualquier rectificación, supresión o limitación del tratamiento, salvo que sea imposible o exija un esfuerzo desproporcionado. A petición suya, le informaremos sobre dichos destinatarios.
• Portabilidad de datos (Art. 20 RGPD): tiene derecho a recibir sus datos en un formato legible por máquina.
• Oposición (Art. 21 RGPD): puede oponerse en cualquier momento al tratamiento basado en intereses legítimos.
• Revocación del consentimiento (Art. 7(3) RGPD): puede revocar en cualquier momento y con efecto futuro cualquier consentimiento otorgado (p. ej., para cookies de análisis en la página de destino) — a través de la configuración de cookies o por correo electrónico a privacy@trace-electricity.com.

Derecho de oposición frente a la publicidad directa (Art. 21(2) RGPD): Tiene derecho a oponerse en cualquier momento al tratamiento de sus datos personales con fines de publicidad directa; esto también se aplica a la elaboración de perfiles en la medida en que esté relacionada con dicha publicidad directa.

Para ejercer sus derechos, diríjase a: privacy@trace-electricity.com.

Conforme al Art. 12(3) RGPD, sus solicitudes serán respondidas en el plazo de un mes. En casos de especial complejidad, este plazo puede prorrogarse hasta dos meses adicionales; en tal caso, le informaremos sobre la prórroga.

Además, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. La autoridad competente para TRACE es el Comisionado de Hamburgo para la Protección de Datos y la Libertad de Información, Ludwig-Erhard-Str. 22, 20459 Hamburgo, Tel. 040 42854-4040 (www.datenschutz.hamburg.de).

Las reclamaciones pueden dirigirse a la autoridad de control competente. Competente para TRACE: Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburgo, mailbox@datenschutz.hamburg.de.

11. Derecho de oposición (Art. 21 RGPD)

En la medida en que tratemos sus datos personales sobre la base de intereses legítimos conforme al Art. 6(1)(f) RGPD, tiene derecho a oponerse en cualquier momento a dicho tratamiento por motivos relacionados con su situación particular. En tal caso, dejaremos de tratar sus datos, salvo que podamos acreditar motivos imperiosos y legítimos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Para ejercer su derecho de oposición, basta con un correo electrónico informal a: privacy@trace-electricity.com.

Además, tiene un derecho de oposición específico frente al tratamiento de sus datos personales con fines de publicidad directa conforme al Art. 21(2) RGPD. En la medida en que TRACE le envíe información sobre productos o comunicaciones de servicio en el marco de la relación contractual (p. ej., avisos sobre nuevas funciones o cambios de precios), puede oponerse en cualquier momento — sin necesidad de que concurra ninguna situación especial.

12. Seguridad de los datos

TRACE aplica medidas técnicas y organizativas (MTO) conforme al Art. 32 RGPD para proteger sus datos frente a accesos no autorizados, pérdida o destrucción. La comunicación entre su navegador y nuestros servidores se realiza exclusivamente a través de conexiones HTTPS cifradas (TLS 1.2+). Los datos en reposo se almacenan cifrados con AES-256 en infraestructura de AWS. Los derechos de acceso se asignan conforme al principio de mínimo privilegio (Least Privilege). La documentación completa de MTO está disponible en: Medidas Técnicas y Organizativas TRACE.Parser (TOM).

13. Modificaciones de este aviso de privacidad

Nos reservamos el derecho de actualizar este aviso de privacidad para reflejar cambios en el tratamiento de datos o en los requisitos legales. La versión vigente está siempre disponible en trace-electricity.com/es/privacidad-parser/. Le informaremos sobre cambios sustanciales por correo electrónico.

14. Toma de decisiones automatizada

TRACE no adopta decisiones individuales automatizadas con efectos jurídicos o igualmente significativos (Art. 22(1) RGPD). Las recomendaciones y análisis generados algorítmicamente sirven como apoyo a la toma de decisiones; la decisión final siempre recae en el usuario.

15. Acuerdo de Procesamiento de Datos (APD)

En la medida en que en el marco del uso de TRACE.Parser se traten datos personales respecto de los cuales usted, como cliente, sea el responsable (en particular en los perfiles de producción cargados), celebramos con usted de manera preceptiva un Acuerdo de Procesamiento de Datos (APD) conforme al Art. 28 RGPD, que pasa a formar parte automáticamente de la relación contractual al celebrarse el contrato. El Acuerdo de Procesamiento de Datos APD - TRACE.Parser pasa a formar parte automáticamente de la relación contractual al celebrarse el contrato.

16. Información para personas afectadas indirectamente (Art. 14 RGPD)

En la medida en que el análisis de perfiles de producción implique también el tratamiento de datos de personas físicas (p. ej., operadores de instalaciones de pequeño tamaño) que no sean directamente partes contratantes de TRACE Electricity, se aplica lo siguiente: las personas afectadas reciben esta información de protección de datos a través del cliente de TRACE.Parser (nuestro comitente) en su calidad de responsable. Las solicitudes directas pueden dirigirse a privacy@trace-electricity.com.

Si también utiliza TRACE.App o el sitio web de TRACE, se aplicarán adicionalmente los avisos de privacidad en el Aviso de Privacidad - TRACE.App y en la Política de Privacidad.

LinkedIn Insight Tag (responsabilidad conjunta conforme al Art. 26 RGPD)

En nuestra página de producto TRACE.Parser utilizamos el LinkedIn Insight Tag. El proveedor es LinkedIn Ireland Unlimited Company, Wilton Place, Dublín 2, Irlanda. Junto con LinkedIn somos conjuntamente responsables de la recopilación y transmisión de los datos captados con el Insight Tag conforme al Art. 26 RGPD.

Base jurídica: Art. 6(1)(a) RGPD (consentimiento). Puede oponerse a la recopilación en nuestro banner de cookies.

Punto de contacto para los derechos de los afectados conforme al Art. 26(2) RGPD: TRACE Electricity GmbH, privacy@trace-electricity.com. Más información: Política de privacidad de LinkedIn.

Okta EMEA Limited (Auth0) — Autenticación de usuarios

Para el inicio de sesión de los usuarios utilizamos Auth0, un servicio de Okta EMEA Limited, 1 Beckett Way, Park West Business Park, Dublín 12, Irlanda.

Datos tratados: Dirección de correo electrónico, hash de contraseña cifrado (bcrypt), marca temporal de inicio de sesión, dirección IP, información del dispositivo (user-agent), token de sesión, token de actualización y, en su caso, estado de MFA.

Finalidad: Autenticación segura de usuarios, gestión de sesiones y control de acceso al servicio TRACE.

Base jurídica: Art. 6(1)(b) RGPD (ejecución del contrato).

Plazo de conservación: Durante la vigencia de la cuenta de usuario; tras la eliminación de la cuenta, los datos en Auth0 se eliminan en un plazo de 30 días.

Lugar de tratamiento: UE (eu.auth0.com, AWS eu-west-1, Irlanda). No se produce ninguna transferencia a terceros países, ya que se utiliza el tenant de la UE de Auth0.

Más información: okta.com/privacy-policy. Base del tratamiento por encargo: Art. 28 RGPD.

Nota sobre la estructura del grupo: Como garantía subsidiaria para el caso de una interacción del grupo con la sociedad matriz estadounidense Okta, Inc. (San Francisco, EE.UU.) se han acordado cláusulas contractuales tipo conforme a las SCC 2021/914 Módulo 4 (Encargado no-UE → Responsable de la UE).