Política de privacidad

Skeldy SAS (Skeldy SAS, 12 rue de la Paix, 75002 París, Francia) es el responsable del tratamiento de los datos personales recogidos a través de Skeldy. Sociedad inscrita en Francia, RCS París (número a confirmar tras la inscripción).

Para consultas de privacidad: [email protected]. Para el Delegado de Protección de Datos (DPO): [email protected].

La lista siguiente describe lo que realmente existe en nuestra base de datos. Es deliberadamente detallada, incluso allí donde nos perjudica.

• Datos de cuenta : nombre, correo, rol, idioma preferido y pertenencia a la organización.
• Datos de planificación : turnos, horarios, secciones, asignaciones, cualificaciones, disponibilidad declarada y preferencias de franja.
• Solicitudes de descanso : días solicitados y un motivo en texto libre que usted mismo redacta. Ese campo es legible por los responsables de su organización. No escriba en él ninguna información de salud.
• Solicitudes de cambio de turno : autor, destinatario y estado.
• Notas de turno : texto libre asociado a una franja. Cuando un horario importado menciona a una persona que no logramos vincular a una cuenta, su nombre se escribe en esa nota.
• Conversaciones con el asistente de IA : sus mensajes y las respuestas del modelo. Cada conversación lleva ahora el nombre de su autor y solo esa persona puede leerla : ni sus compañeros ni su dirección tienen acceso. Las conversaciones anteriores al 14 de agosto de 2026 no tienen autor registrado y ya no son legibles por nadie.
• Documentos de horarios importados : la foto o el PDF que sube, conservado codificado en nuestra base de datos, junto con los nombres y las secciones que se extraen de él.
• Invitaciones : dirección de correo, rol y autor de la invitación, incluso cuando nunca llega a aceptarse.
• Lista de espera : correo, nombre, cargo, nombre del establecimiento, idioma y consentimiento de marketing, si se inscribe desde el sitio público.
• Datos de facturación : el pago lo procesa Stripe y nunca vemos el número de su tarjeta. En cambio, conservamos el evento de Stripe íntegro, que según el caso contiene su nombre, su correo, su dirección de facturación y su número de IVA.
• Registros de auditoría : autor, marca de tiempo y copia íntegra de la fila antes y después de cada mutación privilegiada.
• Analítica de producto : páginas vistas y eventos de uso. La sección 3 distingue el seguimiento en el navegador, sujeto a consentimiento, del seguimiento en servidor, que no lo está.
• Datos técnicos : dirección IP, user agent y registros de plataforma. Hoy los registros de nuestras funciones de servidor contienen su dirección de correo en cada llamada al asistente de IA, y nombres de personas de la plantilla en la ruta de importación.

Cada tratamiento responde a una finalidad concreta y a una base legal del artículo 6 del RGPD:

Prestación del servicio

Ejecución del contrato (Art. 6.1.b). Incluye la creación de cuenta, la planificación y la reconfiguración asistida por IA.

Facturación e impuestos

Obligación legal (Art. 6.1.c) y ejecución del contrato.

Asistencia mediante inteligencia artificial

Ejecución del contrato (Art. 6.1.b). Este tratamiento implica la transmisión de datos de planificación nominativos a proveedores de modelos externos, uno de los cuales está establecido fuera del Espacio Económico Europeo. El detalle figura en la sección 5.

Seguridad, monitorización y prevención de abusos

Interés legítimo (Art. 6.1.f). Incluye los registros de auditoría sobre mutaciones privilegiadas, la limitación de tasa, la detección de fraude y la monitorización de errores de la aplicación : informes de error y una fracción de las trazas de rendimiento, sin ninguna repetición de sesión. Véase la sección 12.

Analítica de producto en el navegador

Consentimiento (Art. 6.1.a). El seguimiento permanece desactivado mientras no lo acepte. Se respetan las señales Global Privacy Control y Do Not Track. Puede retirar su consentimiento en cualquier momento desde el banner de cookies o en /cookies.

Medición de uso en el servidor

Interés legítimo (Art. 6.1.f). Cuando ha iniciado sesión, ciertos eventos de producto : registro, fin del onboarding, publicación de un horario, importación finalizada, aceptación de una propuesta de IA, eventos de suscripción : se envían desde nuestros servidores a PostHog EU, identificados mediante un identificador técnico que corresponde a su cuenta o a su organización. Ese flujo no pasa por el banner de cookies y, por tanto, no queda cubierto por su elección. Lo escribimos aquí en lugar de dejar creer lo contrario. Puede oponerse escribiendo a [email protected].

Atención al cliente

Ejecución del contrato e interés legítimo. El widget de chat de soporte solo se carga si usted lo abre.

La base de datos de producción reside en Supabase, en eu-central-1 (Fráncfort). La aplicación está alojada por Vercel en regiones de la UE. Un único flujo sale del Espacio Económico Europeo con datos de planificación nominativos: el tratamiento por inteligencia artificial. Es objeto de la sección 5.

Otros dos flujos salen del EEE sin transportar datos de planificación nominativos, y los nombramos en lugar de dejarlos detrás de la fórmula «un único flujo». El pago va a Stripe. Y la totalidad del tráfico web pasa por Cloudflare, sociedad establecida en Estados Unidos, que actúa como DNS y como red de distribución delante de skeldy.com y encamina el correo entrante: toda petición al sitio atraviesa su red antes de llegar a nuestros servidores, lo que le da acceso en tránsito a su dirección IP, a su user agent y a las URL solicitadas.

La lista siguiente sustituye a una lista anterior que era inexacta. Nombra a los encargados efectivamente utilizados en la fecha de entrada en vigor de la presente política.

• Supabase : base de datos, autenticación y tiempo real. eu-central-1 (Fráncfort).
• Vercel : alojamiento de la aplicación web. Regiones UE.
• Cloudflare, Inc. : DNS, red de distribución delante de skeldy.com y enrutamiento del correo entrante. Sociedad establecida en Estados Unidos; red mundial: el tráfico transita por el punto de presencia más cercano al visitante.
• Resend : envío de los correos transaccionales. Región UE.
• Stripe : pagos y facturación. Unión Europea y Estados Unidos.
• Moonshot AI : inferencia mediante modelo de lenguaje: generación de horarios, interpretación de las reglas, chat de planificación y lectura de los horarios fotografiados. Sociedad establecida en Pekín, República Popular China. Véase la sección 5.
• OpenAI : reconocimiento de texto en los documentos PDF importados, y únicamente en ellos. Estados Unidos.
• Google LLC : API Gemini, conservada como vía técnica de reserva y no utilizada en funcionamiento nominal. Sociedad establecida en Estados Unidos; infraestructura mundial, la residencia de los datos en la Unión Europea no está garantizada contractualmente.
• Mistral AI : vía técnica de reserva, Francia. No se utiliza en funcionamiento nominal.
• Sentry : monitorización de los errores de la aplicación. Región UE (ingest.de.sentry.io).
• PostHog : analítica de producto. eu.posthog.com.

Dos precisiones que cierran sospechas habituales. Las tipografías se sirven desde nuestro propio dominio y no se envía ninguna petición a Google desde su navegador. El pago es una redirección a una página alojada por Stripe: no se carga ningún script de Stripe en skeldy.com ni se deposita allí ninguna cookie de Stripe.

Cuando se produce una transferencia fuera de la UE/EEE, nos apoyamos en las Cláusulas Contractuales Tipo (Decisión 2021/914) y en medidas adicionales: cifrado en tránsito, limitación de los campos transmitidos a lo que la tarea exige, exclusión de las credenciales de acceso y de los datos de pago, control de acceso basado en roles y registro de las mutaciones privilegiadas.

Las funciones de IA de Skeldy se apoyan en modelos operados por terceros. El proveedor principal es Moonshot AI, sociedad establecida en Pekín, República Popular China. Este apartado es la parte más importante de la presente política.

Lo que se transmite en una generación o una modificación de horario: el nombre y los apellidos de las personas afectadas, su identificador interno, sus cualificaciones, su límite de horas semanales, sus días de descanso aprobados, las franjas de la semana, los nombres de las secciones y las reglas de su organización. A ello se añaden el texto que usted escribe en el chat y el historial de la conversación en curso.

Lo que se transmite en una importación de horario por foto: el documento íntegro, acompañado de la lista nominativa del personal de la sección afectada. Un horario fotografiado contiene por lo general toda la plantilla del establecimiento, incluidas personas que nunca han utilizado Skeldy.

Lo que nuestras peticiones nunca componen: dirección de correo, contraseña, motivo de una solicitud de descanso, datos de pago. Ninguno de esos campos entra en los datos que el sistema ensambla y envía al modelo.

Este compromiso se refiere a los campos que nosotros serializamos, y no puede referirse a lo que usted mismo escribe. El texto libre que teclea en el chat y el historial de la conversación se envían al modelo tal cual. Si introduce en él la dirección de correo de un compañero, o cualquier otro dato, se transmite junto con su mensaje. Preferimos decirlo antes que dar a entender que un filtro relee sus frases: no lo hay.

Las demás rutas son más estrechas. El reconocimiento de texto en los documentos PDF pasa por OpenAI, en Estados Unidos. La API de Gemini de Google LLC no se utiliza en ninguna ruta: el asistente capaz de invocar herramientas también pasa por Moonshot AI. Solo permanece conectada, con Mistral AI en Francia por detrás, como vía de reserva técnica en el supuesto descrito en el párrafo siguiente.

Una precisión sobre el alcance de este reparto. El proveedor utilizado no está fijado en el código: lo determina un parámetro de despliegue, que podemos cambiar sin modificar la aplicación. Lo que acaba de leer es la configuración vigente en la fecha de entrada en vigor de la presente política. Si ese parámetro llegara a faltar, las peticiones afectadas recaerían en la API de Gemini de Google LLC : de ahí su presencia en la lista de la sección 4. Toda modificación duradera de este reparto constituye un cambio de subencargado y sigue el preaviso de 30 días previsto en el artículo 4 del Anexo de Tratamiento de Datos.

La Comisión Europea no ha adoptado ninguna decisión de adecuación respecto de la República Popular China. La transferencia a Moonshot AI se basa, por tanto, en las Cláusulas Contractuales Tipo (Decisión 2021/914) y en las medidas adicionales descritas en la sección 4: cifrado en tránsito, limitación de los campos transmitidos y exclusión de las credenciales de acceso y de los datos de pago.

No pretendemos que estas medidas neutralicen el riesgo. El Derecho chino permite a una autoridad pública exigir a un proveedor local el acceso a los datos que obran en su poder, y unas cláusulas contractuales no vinculan a una autoridad pública. El cliente para el que esta transferencia sea incompatible con sus exigencias debe escribirnos a [email protected]: el proveedor utilizado es un parámetro de despliegue, y lo trataremos con él.

Los contadores de uso de IA que conservamos por nuestra parte agregan volúmenes de tokens por organización. No contienen ningún contenido de las conversaciones.

Hoy el sistema aplica automáticamente cuatro plazos: el de los registros de auditoría, el de los documentos de horarios importados, el del registro de webhook de Stripe y el de los nombres leídos en un horario y nunca vinculados a una cuenta. El resto permanece en la base de datos hasta una supresión solicitada o realizada a mano. Preferimos escribirlo antes que anunciar plazos que nada aplica.

• Registros de auditoría : 13 meses, en todos los planes. Aplicado cada noche por una tarea en base de datos.
• Datos de cuenta y de planificación : conservados durante la suscripción. La baja no desencadena ninguna eliminación automática: los datos permanecen en la base de datos hasta su solicitud de supresión.
• Documentos de horarios importados : el archivo en sí, PDF o foto, se borra en cuanto termina su tratamiento, haya tenido éxito o haya fallado, y como máximo 24 horas después de su carga. Una tarea en base de datos pasa cada cuarto de hora. Las versiones anteriores de esta política anunciaban una eliminación al cabo de una hora sin que nada la aplicara; el plazo real es este. La ficha de tratamiento, que conserva los nombres leídos en el documento, no tiene en cambio plazo automático.
• Nombres leídos en un horario importado y nunca vinculados a una cuenta : 13 meses. Pasado ese plazo, el nombre de la nota del turno se borra y la fila de tránsito correspondiente se suprime. El turno permanece en el horario : recoge cómo se organizó el servicio, no la identidad de una persona.
• Eventos de webhook recibidos de Stripe : un registro técnico cuya función es rechazar dos veces el mismo evento. Su carga útil, es decir el nombre, el correo, la dirección de facturación y el número de IVA del responsable, se borra al cabo de 30 días; solo quedan el identificador, el tipo y la fecha, que bastan para el control de duplicados. La fila entera se suprime al cabo de 90 días. Una tarea en base de datos lo aplica cada noche. Esta conservación no deriva de la obligación contable: los documentos contables son las facturas y los recibos, emitidos y conservados por Stripe, y es a ellos a los que se aplica la conservación de 10 años del Código de comercio francés.
• Invitaciones : el token caduca y deja de ser utilizable, pero el registro y la dirección de correo permanecen.
• Lista de espera : conservada hasta que se solicite su supresión.
• Conversaciones con el asistente de IA : conservadas sin plazo automático.
• Registros de plataforma y de funciones de servidor : conservados según los plazos de retención de nuestros proveedores de alojamiento, que no fijamos nosotros.
• Eventos de analítica : conservados según la configuración de retención de PostHog EU.

Puede solicitar una supresión en cualquier momento. Lo que esa supresión se lleva y lo que deja se describe en la sección siguiente.

La supresión de una cuenta no borra todo. Este es el reparto exacto, sin redondeos.

Lo que se va con la cuenta:

• La cuenta de autenticación y la ficha de usuario: nombre, correo, idioma, rol.
• El perfil de plantilla: cualificaciones y preferencias.
• La disponibilidad declarada.
• Las asignaciones de sección.
• Las solicitudes de cambio de turno, tanto emitidas como recibidas.
• Las solicitudes de descanso formuladas por la persona, motivo incluido.
• Las conversaciones con el asistente de IA escritas desde el 14 de agosto de 2026, que están vinculadas a su autor.

Lo que permanece, y por qué:

• Los turnos. Se desvinculan de la persona : el enlace con la cuenta se borra, la franja permanece en el horario. Sin ello, el historial operativo del establecimiento quedaría destruido con la salida de una persona de la plantilla.
• Los nombres leídos en un horario importado que nunca llegaron a vincularse a una cuenta. Viven en la nota de un turno, sin enlace técnico con un usuario, de modo que ninguna supresión de cuenta los alcanza. Se borran automáticamente al cabo de 13 meses, y los retiramos a mano antes de ese plazo, previa solicitud.
• Los registros de auditoría, durante 13 meses. La propia supresión queda registrada en ellos, con una copia de la fila borrada. Dicho de otro modo, ejercer el derecho de supresión reinscribe una parte de esos datos durante 13 meses. Es la contrapartida asumida de un registro que nadie puede reescribir, nosotros incluidos. La purga automática de los nombres no vinculados es la excepción: no escribe ninguna fila de auditoría, precisamente para no devolver trece meses de vida al dato que acaba de borrar, y deja en su lugar un rastro de la operación, su fecha y el número de filas afectadas, que no contiene ningún nombre.
• Los eventos de webhook recibidos de Stripe, que según el caso contienen el nombre, el correo, la dirección de facturación y el número de IVA del firmante. Ese registro no lleva ningún enlace hacia su organización: ninguna supresión de cuenta lo alcanza. Ahora tiene su propio plazo: la carga útil se borra al cabo de 30 días y la fila entera al cabo de 90 días. No está cubierto por la obligación contable de 10 años, que se refiere a las facturas conservadas por Stripe, y lo retiramos antes de ese plazo previa solicitud.
• Las invitaciones enviadas, con la dirección de correo de su destinatario.
• Los nombres extraídos de un horario importado, durante 13 meses. El documento de origen, en cambio, no permanece: se borra como máximo 24 horas después de su carga.
• Las conversaciones con el asistente de IA anteriores al 14 de agosto de 2026. No registran a su autor y nada en nuestros datos permite reconstruirlo: ninguna supresión individual las alcanza. No las hemos suprimido ni atribuido a ojo; las hemos vuelto ilegibles para cualquier cuenta.

Cuando un Director General retira de la organización a una persona de la plantilla, la cuenta no se suprime. Se desvincula de la organización, y tanto la ficha de usuario como la cuenta de autenticación subsisten. Una supresión completa debe solicitarse en [email protected].

El Director General puede suprimir su propia cuenta desde los ajustes de su portal de cliente. Si es el último administrador de la organización, esta se cierra con él: la suscripción se cancela y los horarios pasan a solo lectura. Los horarios, las secciones y las fichas de la plantilla no se suprimen en ese momento; su borrado sigue el procedimiento descrito más abajo. La pantalla de confirmación lo advierte antes de la validación.

En algunos casos, la supresión falla en la base de datos, en particular cuando la persona afectada ha resuelto solicitudes de descanso. La tramitamos entonces manualmente y le confirmamos el resultado dentro del plazo de un mes previsto por el RGPD.

Ahora existe un procedimiento automático de supresión de una organización entera: una sola operación borra los locales, las secciones, los horarios, los turnos, las reglas, las fichas de la plantilla y todo lo demás vinculado a la organización : importaciones, invitaciones, suscripción, disponibilidades, solicitudes de descanso, conversaciones con el asistente :, y después la propia organización y sus registros de auditoría. No puede activarse desde la interfaz: el borrado de un espacio de trabajo se realiza previa solicitud por escrito. Las cuentas de la plantilla le sobreviven, desvinculadas de toda organización, hasta que sus titulares las supriman.

Tiene derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición al tratamiento, así como a retirar el consentimiento en cualquier momento sin afectar al tratamiento previo lícito.

Para ejercerlos, escriba a [email protected]. Respondemos en el plazo de un mes, prorrogable dos meses adicionales para solicitudes complejas, con notificación.

La exportación y la supresión de su cuenta ya están disponibles desde los ajustes de su portal de cliente, sin pasar por nosotros. Las versiones anteriores de este documento anunciaban estas herramientas cuando no estaban conectadas a ningún botón; lo están desde el 13 de agosto de 2026.

Lo que queda fuera de esa exportación lo retira el código, no una intervención manual. Sus conversaciones con el asistente de IA se le devuelven ahora, pero solo las suyas: la tabla registra a su autor desde el 14 de agosto de 2026 y la exportación solo saca las filas que llevan su nombre. Las escritas antes de esa fecha no tienen autor registrado y no pueden devolverse a nadie. Las solicitudes de descanso que usted ha resuelto salen reducidas a su identificador, su estado y su fecha, sin el nombre de quien las pidió ni el motivo que escribió. Un derecho de acceso no debe servir para obtener los datos de un tercero.

Puede presentar una reclamación ante la AEPD (España, www.aepd.es) o ante la autoridad de control de su residencia habitual, lugar de trabajo o lugar de la presunta infracción : por ejemplo CNIL (Francia), BfDI (Alemania), Garante (Italia) o Information Commissioner's Office (Reino Unido).

Si su Director General o Responsable de Sección le invita a Skeldy, recibimos su nombre, correo, rol y asignación de sección por su parte y no directamente por usted (Art. 14 RGPD). La base legal es el interés legítimo de la organización en operar su planificación, ponderado con sus intereses mediante esta información y los derechos siguientes. Puede oponerse en cualquier momento contactando a su Director General o escribiéndonos.

También puede crearse una cuenta a su nombre sin que se le haya informado previamente. Cuando un Director General importa un horario por foto o por PDF, los nombres leídos en el documento sirven para crear cuentas de plantilla. La dirección asociada es una dirección técnica derivada de su nombre, en un dominio que controlamos y que no es el del sitio. Sirve de identificador de cuenta, no de medio de contacto: Skeldy no le envía ningún mensaje, y la contraseña provisional de la cuenta se entrega al responsable que lanzó la importación, nunca a esa dirección. Nos quedamos ahí y no afirmamos que ningún correo pueda llegar jamás a ella: sería una afirmación sobre una configuración de correo, no un compromiso que este documento pueda sostener. La cuenta hace visibles su nombre y su horario para los miembros de la organización.

Si se ha creado una cuenta a su nombre y desea que se suprima, escriba a [email protected]. Tramitamos la solicitud aunque nunca haya usado el producto y aunque no sea cliente nuestro.

Las funciones IA de Skeldy (generación de horarios, reconfiguración de horarios, OCR de fotos y documentos en la importación) proponen resultados; nunca aplican automáticamente cambios que afecten a sus turnos. Un Director General o Responsable de Sección revisa y confirma siempre antes de la publicación. No está sometido a una decisión basada exclusivamente en tratamiento automatizado en el sentido del Art. 22(1) RGPD.

Si considera que una sugerencia de la IA aplicada por su responsable le ha afectado injustamente, tiene derecho a obtener una explicación, impugnar la decisión y solicitar una nueva revisión humana. Contacte primero con su Director General; si la situación persiste, escríbanos.

Skeldy es una plataforma B2B de gestión de equipos y no está dirigida a menores. Cuando se planifican empleados menores de edad, con mayor frecuencia aprendices de 16 o 17 años, el Director General es responsable de confirmar la autorización parental cuando lo exija la legislación nacional. Skeldy no aplica ninguna restricción automática por país para los menores: las reglas de descanso y de límite horario son las que la propia organización define en el producto. No recopilamos a sabiendas datos personales de niños por debajo de la edad nacional de consentimiento digital sin autorización parental.

Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256). Seguridad a nivel de fila (RLS) en cada tabla. Control de acceso jerárquico (Director General, Responsable de Sección, Personal). Registros de auditoría sobre mutaciones privilegiadas (turnos, reglas, equipo, locales, suscripciones, invitaciones, importaciones), conservación 13 meses.

Lo que aún no tenemos, escrito con la misma claridad que lo que sí tenemos. A día de hoy no se ha realizado ninguna prueba de penetración por un tercero independiente: el alcance está redactado y se ha llevado a cabo una revisión de seguridad interna, pero queda por encargarla a un proveedor. El proceso SOC 2 Tipo 1 está en curso y no existe ningún informe de atestación. Las versiones anteriores anunciaban pruebas de penetración anuales; era una intención, no un hecho, y la retiramos.

Los documentos de horarios que usted importa se conservan codificados en nuestra base de datos de Fráncfort, y no en un almacenamiento de objetos separado. Lo precisamos porque la formulación habitual, «almacenamiento de objetos cifrado», describiría una arquitectura que no tenemos.

Sentry monitoriza los errores de la aplicación: nos transmite el informe de error, el recorrido de navegación que llevó hasta él y, en una fracción de las cargas, una traza de rendimiento. No graba ninguna repetición de sesión. Esa funcionalidad no está instalada en la aplicación y así permanece deliberadamente, porque filmaría cuadrículas de horarios nominativas; si algún día tuviéramos que activarla, este documento y el Anexo de Tratamiento de Datos lo dirían antes. Sentry no deposita ninguna cookie ni escribe entrada alguna en el almacenamiento de su navegador. La ingesta transita por nuestro propio dominio, lo que la hace invisible para un bloqueador de contenidos. Este tratamiento se basa en el interés legítimo y no en su consentimiento. Lo escribimos aquí porque nada más se lo indicaría.

Cuando un responsable crea su cuenta, se le envía una contraseña provisional por correo, en claro en el cuerpo del mensaje. Debe cambiarse en el primer inicio de sesión.

Las vulnerabilidades pueden notificarse confidencialmente a [email protected].

Avisamos a los clientes por correo con al menos 14 días de antelación a cualquier cambio material. La fecha en la cabecera refleja la versión vigente.

Ese preaviso rige para las modificaciones futuras. No se ha observado para la versión del 13 de agosto de 2026, y la explicación cabe en una frase: esta versión no crea ningún tratamiento nuevo. Describe tratamientos ya en curso que las versiones anteriores describían mal. Esperar catorce días no habría dado al lector nada sobre lo que decidir; solo habría prolongado catorce días más una información inexacta. Por eso hemos corregido primero y lo asumimos aquí, en lugar de dejar que dos párrafos se contradigan.

Lo que corrige esta versión: la lista de encargados, el silencio sobre la transferencia a China, el inventario de las cookies y de los almacenamientos del navegador, los plazos de conservación anunciados, la base de conservación del registro de webhooks de Stripe, medidas de seguridad anunciadas pero no implantadas y la disponibilidad de las herramientas de exportación en autoservicio. El preaviso de 30 días previsto en el Anexo de Tratamiento de Datos se aplica a las incorporaciones futuras de subencargados.