Política de privacitat del servei
Com es tracten les dades personals als programes de GROMAAI (Visites d'Obra i Generador de Documents). Per a qualsevol cosa: manager@gromaai.com.
1 · Qui tracta les dades
- Titular
- Alfons Vigas Esquis
- NIF
- 47791374L
- Adreça
- C/ Montseny, 1 · 17406 Viladrau (Girona)
- Correu
- manager@gromaai.com
- Activitat
- Desenvolupament i llicència de programari per a despatxos tècnics
No hi ha delegat de protecció de dades: per la mida i el tipus de tractament no en cal. Les consultes es contesten des de l'adreça de dalt.
2 · Dos tipus de dades, i dos papers diferents
És la distinció que ho explica tot, i convé tenir-la clara des del principi.
A · Les dades del despatx que contracta el servei
Aquí GROMAAI és el responsable. Són les dades del compte:
- Nom del despatx o del professional, nom d'usuari i adreça de correu.
- La contrasenya, que es guarda xifrada amb scrypt i sal: no es desa mai en clar i no es pot desxifrar, ni tan sols des del servidor.
- Les dades de facturació, si el servei es factura.
- Els registres tècnics d'accés (data, pàgina demanada i navegador), amb l'adreça IP emmascarada.
Per a què i amb quina base: per donar el servei i mantenir-lo (execució del contracte, art. 6.1.b del RGPD); per a la seguretat del sistema i el diagnòstic d'avaries (interès legítim, art. 6.1.f); i per complir les obligacions fiscals i comptables (art. 6.1.c).
B · Les dades que el despatx entra dins del programa
Els seus promotors i clients, els contactes d'obra (constructores, industrials, subministradors), els tècnics, i el contingut de les visites: observacions, fotografies d'obra i actes. Aquí el responsable és el despatx i GROMAAI només n'és encarregat: les tracta seguint les seves instruccions i per a res més.
Aquesta relació es regula amb un contracte d'encarregat del tractament (art. 28 del RGPD) que se signa abans d'obrir el compte. Hi consten el detall del tractament, els subencarregats i les mesures de seguretat.
3 · Què hi ha al servidor i què no
El servei està deliberadament repartit, per tenir al servidor només el que cal:
| Què | On és |
|---|---|
| Obres, visites, observacions, fotografies i actes (Visites d'Obra) | Al servidor, dins de la carpeta del despatx |
| Contactes, perfil del despatx i tècnics | Al servidor, dins de la carpeta del despatx |
| Projectes, plànols, memòries i documents generats (Generador de Documents) | Només a l'ordinador del despatx. No se'n guarda cap còpia al servidor |
Cada despatx té la seva carpeta i no pot veure les dades de cap altre. Un col·laborador convidat a mirar una obra (el constructor, el promotor) la veu només de lectura i amb la fitxa retallada: sense el NIF ni el telèfon dels promotors.
4 · On són i qui hi intervé
El servei corre en un servidor propi allotjat a la Unió Europea. Els únics tercers que hi intervenen són aquests:
| Qui | Per a què | On |
|---|---|---|
| Hetzner Online GmbH | Allotjament del servidor i còpies de seguretat | Finlàndia (UE) |
| Anthropic PBC | Només quan es prem un botó d'intel·ligència artificial: la fotografia o el text que s'hi envia per redactar-lo | Estats Units |
| DonDominio (Soluciones Corporativas IP, SLU) | El correu de recuperació de contrasenya | Espanya (UE) |
Fora d'aquests, les dades no es cedeixen ni es venen a ningú, ni es fan servir per a publicitat ni per a cap perfilat. La web de gromaai.com no té galetes ni eines d'estadístiques.
La intel·ligència artificial, amb detall
Els programes tenen funcions opcionals que redacten un text a partir d'una fotografia o de les observacions d'una visita. Quan —i només quan— es prem un d'aquests botons, s'envia a Anthropic la fotografia o el text de què es tracti i el títol de l'obra i de la visita.
Les dades de les persones no hi van mai. Abans d'enviar res, el
servidor en treu el nom, el NIF, l'adreça, el telèfon i el correu del promotor, de
l'empresa promotora i del seu representant, i els noms de les persones d'una visita, i
hi posa una etiqueta ([PROMOTOR]); quan la resposta torna, es desfà. Això
val també per al text d'un plànol: si la caràtula porta el nom del promotor, es tapa
abans d'enviar-lo. Si aquest filtre no es pot aplicar, no s'envia res.
- Segons les seves condicions per a l'API, Anthropic no fa servir aquestes dades per entrenar els seus models.
- És una transferència internacional (Estats Units), emparada en les clàusules contractuals tipus de la Comissió Europea.
- És opcional: els programes funcionen sencers sense prémer cap botó d'IA. Un despatx que prefereixi no fer-la servir, no l'utilitza i no surt res del servidor.
⚠ Les fotografies d'obra
Una fotografia presa a l'obra pot mostrar persones identificables —operaris, industrials, el promotor mateix—, i la imatge no es pot filtrar com es filtra un text. Per això:
- De les fotografies se'n fa responsable el despatx, que és qui les pren i qui decideix què hi surt. És ell qui ha de tenir la base jurídica per fer-les i qui ha d'informar-ne els treballadors i les empreses presents a l'obra.
- Es recomana no fotografiar persones. Si es prem un botó d'IA sobre una fotografia, aquella imatge s'envia a Anthropic (Estats Units) tal com és: si hi surt algú, la seva imatge hi va. Per a un seguiment d'obra, l'element construït sol bastar.
- Ni el servei ni GROMAAI fan servir mai les fotografies per a cap control laboral ni per a cap finalitat pròpia.
- Qui no vulgui que cap imatge surti del servidor té una manera senzilla de garantir-ho: no prémer cap botó d'IA sobre una fotografia. La resta del programa —l'acta, el llibre d'ordres, les exportacions— no l'envia enlloc.
5 · Quant de temps es conserven
- Les dades de les obres i del compte: mentre duri el servei. Quan un despatx es dona de baixa, s'esborren del servidor i se li entrega una còpia de tot.
- Si una subscripció venç i no es renova: el compte queda de només lectura i les dades es conserven 90 dies més perquè el despatx se les pugui endur; passat aquest termini, s'esborren. S'avisa per correu 7 dies abans de l'esborrat.
- Els registres tècnics d'accés: 30 dies, i després s'esborren sols. A més, l'adreça IP hi va emmascarada des del primer moment.
- Les còpies de seguretat: es fan cada dia i es van substituint; una còpia no dura més de set dies.
- La facturació: els anys que exigeix la normativa fiscal i mercantil.
- Els correus: mentre duri la relació i, després, el temps necessari per atendre qualsevol reclamació.
6 · Com estan protegides
- Tota la comunicació va xifrada (HTTPS), amb certificat renovat sol.
- Les contrasenyes es guarden xifrades amb scrypt i sal, i no es poden desxifrar. En canviar-la, o en sortir, les sessions obertes queden invalidades.
- Cada despatx està aïllat dels altres, i aquest aïllament es comprova amb bateries de proves automàtiques a cada actualització.
- Els comptes els crea l'administrador: no hi ha registre obert.
- El servidor fa còpies de seguretat diàries i xifrades —la clau que les obre no es guarda al servidor— i té tallafoc; l'accés tècnic és per clau, no per contrasenya.
- L'administrador del servidor —el titular— hi té accés tècnic, que és inevitable per mantenir el servei. És l'única persona que hi pot arribar, i només l'utilitza per fer funcionar el servei o per resoldre una incidència.
7 · Els teus drets
Qualsevol persona pot demanar accedir a les seves dades, rectificar-les, esborrar-les, endur-se-les (portabilitat), limitar-ne el tractament o oposar-s'hi.
- Si ets un despatx client: escriu a manager@gromaai.com. Pots demanar totes les teves dades en un sol fitxer i, si et dones de baixa, l'esborrat complet del compte i del que hi tinguis.
- Si les teves dades són en un programa perquè les hi ha posat un despatx (ets un promotor, un industrial, un constructor): el responsable és aquell despatx i és a ell a qui t'has d'adreçar. Si ens escrius a nosaltres, li farem arribar la petició i l'ajudarem a atendre-la.
Si creus que no s'han atès com tocava, pots reclamar davant de l'Agència Espanyola de Protecció de Dades (www.aepd.es).
8 · Canvis
Si aquesta política canvia, es publica aquí amb la data nova i, si el canvi és important, s'avisa els despatxos per correu.