Política de Privacidad

QReportly ("la Plataforma" o "el Proveedor") otorga una importancia fundamental a la protección de los datos personales y a la confidencialidad de las personas que utilizan sus servicios.

La presente Política de Privacidad se aplica a: (i) los tratamientos efectuados por el Proveedor como Responsable del Tratamiento para sus propias actividades (cuentas de administrador, facturación, soporte); (ii) los tratamientos efectuados por el Proveedor como Encargado (Processor) en nombre de los Clientes, para los datos incluidos en denuncias y en operaciones del canal interno de denuncia.

Para el canal público de denuncia accesible a denunciantes, el Proveedor aplica medidas técnicas y organizativas avanzadas de minimización de datos, detalladas en las secciones específicas siguientes.

En lo que respecta a los datos personales contenidos en las denuncias transmitidas por el canal interno, informes, mensajes, archivos adjuntos y metadatos operativos asociados a la gestión de casos, el Cliente —la Persona Jurídica incorporada— actúa como Responsable del Tratamiento (Data Controller).

QReportly actúa estrictamente como Encargado del Tratamiento (Data Processor / proveedor técnico), tratando los datos exclusivamente sobre la base de instrucciones documentadas del Cliente, para la prestación de los servicios contratados y dentro de los límites de la presente Política y del Acuerdo de Uso.

Para los datos propios de cuentas de administrador, datos de facturación y comunicaciones comerciales, el Proveedor actúa como Responsable del Tratamiento independiente, con la obligación de proporcionar a los interesados la información prevista por el RGPD.

En función de la forma de uso de la Plataforma, podrán tratarse las siguientes categorías de datos:

La Plataforma está diseñada estructuralmente para no recopilar, registrar ni almacenar direcciones IP, datos de geolocalización ni huellas digitales (browser fingerprinting) de informantes de integridad que accedan al canal público de denuncia.

Esta arquitectura de minimización tiene como objetivo reducir el riesgo de reidentificación de denunciantes que opten por la denuncia anónima y apoyar al Cliente en el cumplimiento de sus obligaciones legales de confidencialidad.

El Proveedor no utiliza tecnologías de seguimiento conductual, perfilado publicitario ni analytics invasivo dentro del flujo de denuncia destinado a denunciantes. Cualquier herramienta analítica aplicada al sitio público de presentación está separada del canal seguro de denuncias.

Todos los archivos adjuntos a denuncias (documentos PDF, DOCX, imágenes PNG/JPG/JPEG) se someten a un proceso automático de limpieza criptográfica de metadatos en el momento de la carga, incluyendo, entre otros: datos EXIF de imágenes, información sobre autoría del documento, propiedades embebidas, marcas temporales de edición y otros elementos que pudieran facilitar una reidentificación involuntaria.

El proceso de sanitización tiene lugar antes del almacenamiento definitivo de los archivos en la infraestructura de la Plataforma. El Cliente es responsable de evaluar si la información restante en el contenido visible de los documentos es adecuada para la finalidad de la investigación.

Los archivos que no puedan procesarse de forma segura o que superen los límites técnicos establecidos podrán rechazarse automáticamente, sin conservación del contenido original.

El Proveedor aplica políticas estrictas de retención y eliminación automática, diseñadas para limitar la exposición de datos más allá de los periodos necesarios para la prestación del servicio y el cumplimiento legal.

Como Encargado del Tratamiento, el Proveedor trata los datos de denuncias en base al contrato celebrado con el Cliente (art. 6.1.b RGPD) y a las obligaciones legales aplicables a proveedores de servicios cloud (art. 6.1.c RGPD, cuando corresponda).

Como Responsable del Tratamiento para cuentas de administración, las bases legales incluyen: ejecución del contrato; interés legítimo relativo a la seguridad de la Plataforma y prevención del fraude; obligaciones legales contables y fiscales; consentimiento, cuando se solicite expresamente (p. ej., comunicaciones de marketing, si están activadas).

Los interesados disponen de los derechos previstos por el RGPD: acceso, rectificación, supresión, limitación, portabilidad, oposición y derecho a no ser objeto de una decisión basada exclusivamente en tratamiento automatizado, en los términos de la ley.

Para los datos de denuncias, las solicitudes de ejercicio de derechos deben dirigirse en primer lugar al Cliente, en su condición de Responsable del Tratamiento. El Proveedor asistirá al Cliente, en la medida razonable y conforme al contrato, en la atención de dichas solicitudes.

Para los datos tratados por el Proveedor como Responsable del Tratamiento (cuentas de administrador, facturación), las solicitudes podrán enviarse a la dirección de contacto indicada al final del presente documento. El Proveedor responderá dentro de los plazos previstos por el RGPD.

Los interesados tienen derecho a presentar reclamación ante la autoridad de control competente del Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción.

El Proveedor implementa medidas técnicas y organizativas adecuadas para proteger los datos, incluyendo: cifrado en tránsito (TLS), controles de acceso basados en roles, aislamiento lógico entre workspaces, monitorización de seguridad, procedimientos de respuesta a incidentes y copias de seguridad cifradas en infraestructura alojada en la Unión Europea.

Ningún sistema puede garantizar seguridad absoluta. En caso de incidente de seguridad que afecte datos de Clientes, el Proveedor notificará al Cliente sin demoras indebidas, de conformidad con las obligaciones contractuales y legales aplicables.

El Proveedor podrá recurrir a subencargados para alojamiento, procesamiento de pagos, entrega de correo electrónico o seguridad, con obligación de imponerles garantías contractuales equivalentes a las previstas por el RGPD.

Los datos se alojan predominantemente en la Unión Europea. Si determinados servicios de terceros implican transferencias fuera del EEE, el Proveedor utilizará mecanismos de transferencia reconocidos (Cláusulas Contractuales Tipo, decisiones de adecuación u otras garantías permitidas por el RGPD).

El Proveedor podrá actualizar la presente Política para reflejar evoluciones legislativas, técnicas u operativas. La versión vigente se publica en la Plataforma, con la fecha de actualización.

En caso de modificaciones materiales, el Cliente será informado por canales razonables (notificación en dashboard o correo electrónico). El uso continuado de los servicios tras su entrada en vigor constituye aceptación de las actualizaciones, dentro de los límites legales.