Política de privacidad.

Última actualización: 9 de octubre de 2026

La protección de datos es el núcleo de este servicio. Esta política explica qué datos personales tratamos en la cuenta de la plataforma IDINTU y en el servicio de pseudonimización de documentos, con qué finalidad y base jurídica, y cómo puedes ejercer tus derechos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Es una herramienta transversal, utilizada en ámbitos como el sanitario, el sector público, los servicios financieros y de seguros, los recursos humanos y el asesoramiento jurídico, entre otros; por eso esta política se completa con las obligaciones sectoriales que correspondan a tu actividad.

1. Responsable del tratamiento

2. Roles: responsable y encargado

Respecto de los datos de la cuenta —identificación, contacto, verificación, seguridad, membresía, facturación y navegación—, el prestador actúa como responsable del tratamiento. Respecto del contenido de los documentos que subes para pseudonimizar, actúa como encargado del tratamiento por cuenta de tu organización (que es la responsable), en los términos del artículo 28 del RGPD y del correspondiente contrato de encargo (DPA).

En las membresías de equipo, el titular que contrata y reparte licencias facilita a GLOSSO los datos de contacto de las personas a las que invita. Respecto de esos datos, el titular actúa como responsable y debe informar previamente a las personas afectadas; GLOSSO los trata para enviar la invitación y gestionar la licencia asociada.

3. Datos que tratamos

• Datos de identificación y contacto de la cuenta: nombre y apellidos, organización o empresa, dirección de correo electrónico y número de teléfono móvil.
• Datos de verificación: el estado y la fecha de verificación del correo y del teléfono, y los códigos y testigos de un solo uso empleados para ello, que se conservan en forma de huella criptográfica y con vida muy corta. Para impedir altas duplicadas se conserva también una forma canónica de la dirección de correo —sin etiquetas ni puntos— que nunca se muestra y solo sirve para comprobar que ese buzón no tiene ya una cuenta.
• Datos de acceso y seguridad: contraseña y métodos de segundo factor (aplicación autenticadora o clave de acceso), que gestiona el proveedor de identidad de la plataforma; sesiones abiertas y su motivo de cierre; navegadores marcados como de confianza, identificados por un número aleatorio propio que no identifica a ninguna persona; fecha del último acceso y del último cambio de contraseña. La contraseña no se almacena en la base de datos del portal en ninguna forma, ni siquiera cifrada o resumida.
• Datos de membresía y uso del cupo: plan contratado, periodicidad, número de licencias, ampliación de páginas, fechas de inicio y renovación, compromiso aplicable, licencias repartidas y su estado, bonos de páginas comprados —páginas, fecha de compra, fecha de caducidad y páginas gastadas—, y contadores de documentos y páginas consumidos.
• Datos de facturación y pago: razón social o nombre, NIF/CIF, dirección fiscal y contacto, que se facilitan en cada compra y quedan congelados dentro de la factura emitida y, solo si eliges guardarlos, también en tu cuenta para las próximas compras; importe, base, IVA y concepto; y, de cada operación, únicamente su resultado, el código de respuesta de la entidad bancaria y el código de autorización. No se conserva ningún dato de la tarjeta: ni el número, ni la marca, ni las cuatro últimas cifras, ni referencia alguna que permita volver a cobrar.
• Contenido de los documentos: el texto que aportas, que puede incluir datos personales y categorías especiales (por ejemplo, datos de salud). Se trata solo para detectar y sustituir las entidades sensibles y para que puedas revisar y corregir el resultado; el fichero original y su texto se guardan cifrados durante el plazo de la sesión (apartado 7).
• Documento pseudonimizado: el resultado del proceso, disponible durante el plazo de la sesión para su descarga y eliminado automáticamente al vencer dicho plazo.
• Mapa de pseudonimización: la correspondencia cifrada entre cada dato original y su pseudónimo, necesaria para revertir el proceso, sujeta al mismo plazo limitado de disponibilidad.
• Datos de uso y técnicos: registros de actividad y trazas de auditoría —accesos, dirección IP, datos del dispositivo o navegador y metadatos de cada operación, en los términos del apartado 7—, sin el contenido de los documentos. En el registro de auditoría de la cuenta, el correo y el teléfono figuran enmascarados, y nunca se anotan contraseñas, códigos ni testigos.
• Datos de navegación por el sitio web y el portal: páginas vistas y los hitos del recorrido —envío de un formulario de contacto, elección de un plan, alta, inicio de una prueba o de un pago y compra, con su importe y su número de pedido—, recogidos por las cookies analíticas y publicitarias solo si las aceptas. Con las analíticas, si has iniciado sesión en el portal, se asocian a un identificador seudónimo de tu cuenta y al tipo de cuenta (gratuita, en prueba o de pago). No incluyen el contenido de tus documentos ni tus datos de facturación.
• Datos de atribución de campañas: solo si aceptas las cookies analíticas o las publicitarias, la campaña por la que llegaste al sitio, la página de entrada y la web de procedencia, que se guardan con tu cuenta al darte de alta y con cada pedido. Con las publicitarias, además, los identificadores del clic en el anuncio y de las cookies de las plataformas, y la dirección IP y el navegador del momento del alta o del pago; todos ellos se borran a los 90 días.

Para evitar el fraude y el abuso de la prueba gratuita, la dirección de correo y el número de teléfono facilitados se comprueban contra listas de dominios y números desechables. Esa comprobación se realiza en nuestra propia infraestructura, contra listas almacenadas localmente, y no supone comunicación de tus datos a ningún tercero.

4. Finalidades y base jurídica

• Crear y mantener tu cuenta en la plataforma, con el acceso unificado a las herramientas que contrates — ejecución de un contrato (art. 6.1.b RGPD).
• Verificar tu correo electrónico y tu teléfono en el alta y en sus cambios — ejecución del contrato (art. 6.1.b) e interés legítimo en la seguridad de las cuentas (art. 6.1.f). La verificación es un requisito para usar el servicio: sin ella la cuenta no se activa.
• Proteger el acceso mediante segundo factor obligatorio, sesión única, dispositivos de confianza y control de intentos fallidos — interés legítimo (art. 6.1.f) y obligación de aplicar medidas de seguridad apropiadas (art. 32 RGPD).
• Prestar el servicio de detección, pseudonimización y reversión — ejecución de un contrato (art. 6.1.b RGPD) y, para el contenido, encargo de tratamiento (art. 28).
• Gestionar tu membresía, sus cambios, sus licencias y sus cupos — ejecución del contrato (art. 6.1.b).
• Tramitar el pago y emitir la factura — ejecución del contrato (art. 6.1.b) y obligación legal fiscal y contable (art. 6.1.c).
• Enviarte comunicaciones de servicio —confirmación del alta, acuse de la cuenta verificada, invitación y activación de licencias, acuse de compra con la factura, aviso de renovación y avisos de cupo— ejecución del contrato (art. 6.1.b). No son comunicaciones comerciales y no requieren consentimiento.
• Prevenir el fraude y el abuso, incluidas la unicidad de correo y teléfono y la comprobación de direcciones y números desechables — interés legítimo (art. 6.1.f).
• Seguridad, auditoría y atención de reclamaciones — obligación legal (art. 6.1.c) e interés legítimo (art. 6.1.f).
• Atender tus consultas de contacto y soporte — consentimiento (art. 6.1.a).
• Medir el uso del sitio web y del portal y el recorrido hasta el alta y la compra, distinguiendo las cuentas gratuitas de los clientes de pago, para mejorarlos — consentimiento (art. 6.1.a), que puedes retirar en cualquier momento desde el aviso de cookies.
• Saber qué campaña trajo cada alta y cada compra, para conocer lo que cuesta y lo que rinde cada una — consentimiento (art. 6.1.a), el mismo que das a las cookies analíticas o a las publicitarias.
• Medir el resultado de nuestras campañas publicitarias en Google, Meta y LinkedIn —comunicándoles las altas y las compras, estas también desde nuestros servidores— y mostrarte anuncios de IDINTU en esas plataformas, o dejar de mostrarte los de captación si ya eres cliente — consentimiento (art. 6.1.a), que puedes retirar en cualquier momento desde el aviso de cookies.
• Comunicaciones comerciales, en su caso — consentimiento o interés legítimo, con posibilidad de oposición en cualquier momento.

Cuando el documento contenga categorías especiales de datos (art. 9 RGPD) —datos de salud, biométricos, sindicales, religiosos o relativos a la vida sexual—, el tratamiento se ampara en la habilitación aportada por tu organización como responsable (por ejemplo, art. 9.2 RGPD) y se limita estrictamente a lo necesario para pseudonimizarlos. Lo mismo aplica a los datos relativos a condenas e infracciones penales (art. 10 RGPD) y a la información sujeta a deberes de confidencialidad propios de cada sector, como el secreto profesional sanitario, el secreto bancario, el secreto profesional del abogado o la confidencialidad de los expedientes de personal. Corresponde a tu organización verificar que dispone de la habilitación necesaria antes de introducir esa documentación en el servicio.

5. Qué hace este servicio y qué no hace

El procesamiento se realiza en un entorno de nube privada segura. La detección de entidades se ejecuta con modelos alojados en nuestra propia infraestructura y cubre, entre otras, las siguientes categorías: nombres de persona, DNI, NIE, NIF y CIF, pasaporte, número de la Seguridad Social, direcciones, códigos postales y ubicaciones, teléfonos, correos electrónicos, cuentas bancarias y tarjetas, matrículas, fechas, organizaciones, cargos, direcciones web y nombres de usuario. Se añaden los identificadores que solo su etiqueta delata —número de colegiado, finca registral, protocolo o póliza—, porque reidentifican a quien el sistema ya ha protegido, y las categorías que tú marques a mano sobre el documento, que el sistema busca después en menciones parecidas. En consecuencia:

• Tu documento no se remite a ningún proveedor externo de IA, ni público ni privado, en ningún momento del proceso.
• El contenido de los documentos no se utiliza para entrenar modelos, ni propios ni de terceros.
• El mapa de reversión se mantiene cifrado y solo tú puedes revertirlo.
• Los ficheros que subes no se comparten con otros clientes ni se emplean para ninguna finalidad distinta de la pseudonimización que solicitas.

6. Aislamiento entre cuentas, también dentro de un equipo

Lo que el titular de una membresía de equipo sí puede ver es la gestión de las licencias: a qué dirección de correo se ha asignado cada una, su estado y su fecha, así como el consumo agregado del cupo compartido. En ningún caso accede a los documentos, resultados o sesiones de trabajo de las personas de su equipo.

7. Conservación: tus ficheros, solo mientras trabajas

Cada sesión se suprime, con todo su contenido, 72 horas después de crearse, se haya usado o no. Si la fijas, se conserva hasta 90 días desde el momento en que la fijas; si dejas de fijarla, se suprime en un máximo de 72 horas. Puedes borrar una sesión o un documento cuando quieras, y se suprime al instante. En modo incógnito no se conserva nada: lo que procesas se suprime al salir del modo, al cerrar la pestaña o al cerrar sesión y, si el navegador se cierra de forma inesperada, en unos minutos.

El texto de los documentos se guarda cifrado con una clave propia de cada sesión, que se destruye al suprimirse esta: las copias de seguridad técnicas de la base de datos, que se conservan 7 días, no permiten recuperarlo. Los ficheros que descargas no conservan los metadatos del original (autor, título, comentarios, adjuntos, marcadores, datos de las imágenes y similares). Transcurrido el plazo el resultado no es recuperable, tampoco por nuestra parte, por lo que debes descargar y custodiar por tus propios medios lo que necesites conservar o revertir más adelante.

Si tu organización tiene suscrito un contrato de encargo (DPA) con plazos distintos, prevalecerán los allí pactados.

Los registros de actividad se reducen al mínimo necesario para acreditar la seguridad del servicio, atender el soporte y obtener estadísticas internas de uso y rendimiento, y se limitan a metadatos técnicos: fecha y hora de los accesos, dirección IP y navegador, identificador de la sesión de trabajo, número de documentos procesados con su tamaño, formato y número de páginas, si se aplicó OCR, el número de entidades detectadas, corregidas o revertidas, el tiempo empleado en procesar cada documento y los errores técnicos que se produzcan. Nunca registran el contenido de los documentos, los datos detectados ni los pseudónimos que los sustituyen: de las sustituciones queda constancia de cuántas fueron, nunca de cuáles.

8. Destinatarios y encargados

No vendemos tus datos. Podemos apoyarnos en proveedores que actúan como encargados (alojamiento en nube, envío de correo y SMS, analítica) con las garantías del art. 28 RGPD, y comunicamos a la entidad bancaria los datos imprescindibles para cobrar. No intervienen proveedores de modelos de IA: la detección se ejecuta en nuestra propia infraestructura, de modo que el contenido de tus documentos no se comunica a ningún tercero con esa finalidad. Relación de destinatarios y encargados principales:

• Alojamiento e infraestructura: Amazon Web Services EMEA SARL, con los servidores y el almacenamiento localizados en sus regiones de la Unión Europea. Sobre esa infraestructura operamos también nuestro propio proveedor de identidad, de modo que las credenciales y los métodos de segundo factor no salen de ella.
• Envío de correo electrónico: Amazon Web Services EMEA SARL (Amazon SES), región de la Unión Europea, para los correos de verificación, invitación de licencias, acuses de compra con la factura adjunta y avisos de renovación y de cupo.
• Envío de SMS: Amazon Web Services EMEA SARL (Amazon SNS), región de la Unión Europea, exclusivamente para el código de verificación del teléfono en el alta y en sus cambios. El operador de telefonía que entrega el mensaje interviene como destinatario necesario de la comunicación.
• Pasarela de pago: Redsys Servicios de Procesamiento S.L. y Banco Santander S.A. como entidad adquirente, para la tramitación del cobro con tarjeta a través del TPV Virtual. Los datos de la tarjeta se introducen directamente en el entorno del banco y GLOSSO no accede a ellos ni los conserva. A la pasarela se le comunican el importe, la referencia del pedido y la descripción de la compra.
• Analítica del sitio web y del portal: Google Ireland Limited, mediante Google Analytics 4, y solo si aceptas las cookies analíticas. Trata los datos de navegación —páginas vistas, hitos del recorrido, dirección IP, datos del navegador— y, si has iniciado sesión en el portal, un identificador seudónimo de tu cuenta y el tipo de cuenta. De cada compra recibe el importe, el plan y el número de pedido, también desde nuestros servidores. No accede en ningún caso al contenido de tus documentos, que no sale de nuestra infraestructura, ni a tu nombre, tu correo, tu teléfono o tus datos de facturación.
• Medición publicitaria: Google Ireland Limited (Google Ads), Meta Platforms Ireland Limited (Facebook e Instagram) y LinkedIn Ireland Unlimited Company, y solo si aceptas las cookies publicitarias. Reciben los datos de navegación y los hitos del recorrido descritos en el apartado 3 —incluidos el importe y el número de pedido de una compra— y, para relacionar la compra con el anuncio, tu correo electrónico en forma de huella criptográfica (SHA-256), que no permite recuperarlo: Google Ads, desde tu navegador, y Meta y LinkedIn, desde nuestros servidores. Meta recibe además, del mismo modo, tu teléfono y un identificador interno de tu cuenta, y la dirección IP y el navegador desde los que iniciaste el pago; su píxel puede también tomar, ya resumidos, los datos que escribas en un formulario. Nunca reciben tu correo, tu teléfono ni tu nombre legibles, tus datos de facturación ni el contenido de tus documentos. Respecto de su recogida y transmisión, GLOSSO y cada plataforma son corresponsables; el uso posterior que haga cada plataforma se rige por su propia política de privacidad. El detalle figura en la Política de cookies.

Además, podrán comunicarse datos a la Administración tributaria, a fuerzas y cuerpos de seguridad, a juzgados y tribunales y a nuestros asesores fiscales, contables o jurídicos cuando exista obligación legal o resulte necesario para la defensa de derechos. El soporte lo presta directamente GLOSSO.

9. Transferencias internacionales

El contenido de tus documentos y los datos de facturación se tratan íntegramente dentro del Espacio Económico Europeo y no son objeto de ninguna transferencia internacional. Tampoco los datos de tu cuenta, salvo lo que se indica en el párrafo siguiente. La tramitación del pago se realiza igualmente dentro del EEE.

La única transferencia fuera del EEE afecta a los datos de navegación y de medición de campañas —entre ellos, en su caso, las huellas de tu correo y de tu teléfono— y solo se produce si aceptas las cookies analíticas o las publicitarias: Google Analytics y Google Ads pueden implicar su tratamiento por Google LLC, el píxel y la Conversions API de Meta por Meta Platforms, Inc. y la Insight Tag y la Conversions API de LinkedIn por LinkedIn Corporation, todas en los Estados Unidos. Esas transferencias se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. y, con carácter complementario, en las cláusulas contractuales tipo de cada proveedor. Si rechazas esas cookies, no se producen.

Si en el futuro algún otro proveedor implicara transferencias fuera del EEE, se realizarán con las garantías adecuadas del Capítulo V del RGPD.

10. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento, escribiendo a info@idintu.es. Buena parte de ellos puedes ejercerlos tú mismo desde el portal: rectificar tus datos, cambiar tu correo o tu teléfono, revisar y cerrar tus sesiones, retirar la confianza a un navegador, descargar tus facturas y darte de baja.

La baja de la cuenta elimina tus credenciales y métodos de segundo factor, cierra las suscripciones en vigor y suprime el teléfono asociado; las facturas ya emitidas se conservan por obligación legal, en los plazos del apartado 7. Cuando actuemos como encargado, canalizaremos tu solicitud hacia el responsable (tu organización). Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Inteligencia artificial y IA Act

En el marco del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial o «IA Act»), aplicamos los siguientes principios:

• Supervisión humana: el usuario revisa, añade o excluye manualmente las entidades detectadas antes de pseudonimizar y exportar.
• Transparencia: te informamos de que el servicio emplea técnicas de IA para la detección de entidades y de sus limitaciones (no garantiza el 100 % de aciertos).
• Minimización y protección de datos: es una medida técnica que reduce la exposición de datos personales cuando, en un paso posterior y ajeno a la aplicación, decidas utilizar modelos de IA de terceros.
• Trazabilidad: se mantiene un registro auditable del número de entidades detectadas, corregidas y revertidas en cada operación, sin sus valores.
• Responsabilidad del despliegue: si fuera del servicio utilizas modelos de IA sobre el material pseudonimizado, actúas como responsable del despliegue («deployer») frente a ese sistema y asumes las obligaciones que el IA Act te atribuya para tu caso de uso, así como las condiciones del proveedor que elijas.

Precisión de la detección

Por transparencia, y dado que afecta a la protección de los datos contenidos en tus documentos: la detección de entidades se apoya en técnicas de inteligencia artificial y, como toda tecnología de reconocimiento automático, opera con un porcentaje de acierto. El servicio está optimizado para operar dentro de un margen de desviación casi nula, ofreciendo un alto grado de fidelidad de los resultados en la práctica totalidad de los escenarios. Aun así, no puede garantizarse la detección del 100 % de los datos personales o sensibles en todos los casos, idiomas y formatos, ni la ausencia de falsos positivos.

Por ese motivo el resultado se presenta como una propuesta revisable y la aplicación te permite añadir, excluir o corregir manualmente las entidades detectadas antes de pseudonimizar y exportar. Como responsable del tratamiento, te corresponde revisar el documento antes de exportarlo o comunicarlo a terceros. Factores como la calidad del escaneado, la digitalización mediante OCR, las abreviaturas, los errores tipográficos o las estructuras documentales atípicas pueden afectar al resultado. Condiciones completas en el Aviso legal.

12. Cookies

El sitio web, el portal y la herramienta utilizan las cookies técnicas necesarias para su funcionamiento —entre ellas las que mantienen tu sesión, protegen los formularios frente a ataques de falsificación de petición y recuerdan un navegador de confianza— y, únicamente con tu consentimiento, cookies analíticas y publicitarias y una cookie propia de atribución de campañas; la herramienta no usa ninguna de ellas. Puedes aceptarlas, rechazarlas o configurarlas desde el aviso de cookies y cambiar tu decisión en cualquier momento. El detalle de cada cookie, su finalidad y su duración figura en la Política de cookies.

13. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo. Entre otras:

• Segundo factor de autenticación obligatorio en todas las cuentas, con aplicación autenticadora o clave de acceso, y bloqueo tras intentos fallidos.
• Una sola sesión activa por cuenta, con cierre inmediato de la anterior y comprobación continua de su validez desde las herramientas.
• Aislamiento por cuenta de las sesiones de trabajo, los documentos y el mapa de pseudonimización, también entre miembros de un mismo equipo.
• Cifrado del mapa de reversión y de la información sensible en reposo, y cifrado del tráfico en tránsito.
• Secretos derivados por uso, códigos y testigos almacenados solo como huella criptográfica y comparados en tiempo constante.
• Ausencia deliberada de datos de tarjeta en nuestros sistemas, verificada mediante pruebas automáticas que impiden reintroducirlos.
• Protección frente a CSRF, límites de peticiones por ventana, cabeceras de seguridad y control de tamaño de las solicitudes.
• Trazabilidad de las operaciones y supresión automática de los resultados al vencer su plazo de disponibilidad.

Nuestro enfoque se orienta a los marcos de referencia exigibles en los sectores en los que se utiliza el servicio, entre ellos el Esquema Nacional de Seguridad (ENS) en el sector público y las buenas prácticas de seguridad de la información aplicables a los entornos sanitario y financiero.

14. Cambios en esta política

Podremos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha de actualización.

15. Contacto

Para cualquier cuestión sobre privacidad, escríbenos a info@idintu.es o a través de la página de contacto.