Política de privacidad

1. Nuestra función

Para los datos de cuenta y facturación somos responsables del tratamiento. Para el contenido que una organización cliente (el «Espacio de trabajo») introduce en el Servicio —mensajes, archivos, tareas, comunicados y páginas de la wiki—, el Espacio de trabajo es el responsable y nosotros lo tratamos como encargados siguiendo sus instrucciones. Los datos de RR. HH. (expedientes del personal, nombramientos, nóminas, avisos de vacaciones, certificados y similares) los trata el Espacio de trabajo como empleador y responsable para gestionar la relación laboral; la Empresa los trata por cuenta del empleador como encargada. Los números de cuenta bancaria, los números de identificación nacional (solo si el Espacio de trabajo permite guardarlos) y los importes salariales se cifran campo por campo, nunca se usan para búsquedas, IA ni integraciones externas (MCP) y solo pueden verlos el personal de RR. HH. autorizado y la propia persona trabajadora, registrándose cada acceso. Dirija sus solicitudes sobre datos de RR. HH. a su Espacio de trabajo (empleador); para preguntas sobre el Servicio escriba a [email protected]. Si usa la integración de correo de empresa, las copias del correo de los buzones que conecta un miembro (Google Workspace/Gmail, Microsoft 365/Outlook o servicios IMAP/SMTP como Naver Works, Daum y Hiworks) —remitente, destinatarios, asunto, fecha, cuerpo y lista de adjuntos— se tratan con el Espacio de trabajo como responsable y la Empresa como encargada. La Empresa no opera un servidor de correo (MX); el Servicio solo actúa como aplicación de correo conectada al buzón existente. El correo conectado solo puede leerlo el miembro que lo conectó, no los administradores del Espacio de trabajo ni otros miembros. Los tokens OAuth y las contraseñas de aplicación se guardan cifrados (AES-256-GCM), y el correo queda excluido de la búsqueda del Espacio de trabajo y de Crane AI. Cuando un miembro convierte un correo en tarea, borrador de aprobación o publicación de canal, solo se comparten las partes que selecciona, y el contenido del correo solo se envía al proveedor de IA del Espacio de trabajo cuando el miembro pulsa un botón de IA. Las imágenes remotas se bloquean por defecto y solo se cargan a través de nuestros servidores si el miembro decide mostrarlas. Integración de correo (si se usa): dirección conectada, copias de cabeceras y cuerpos, lista de adjuntos (su contenido no se guarda; se obtiene del servidor de correo al abrirlos), tokens OAuth o contraseñas de aplicación cifrados y un registro de envíos (solo hora y número de destinatarios, sin direcciones, asuntos ni cuerpos). Copias del correo: se eliminan de inmediato al desconectar el buzón o cuando el miembro se va o es desactivado, y al término del plazo de conservación si el Espacio de trabajo lo fija. El correo del buzón original nunca se elimina. Servicios de correo que conecte (p. ej., Google LLC (EE. UU.), Microsoft Corporation (EE. UU.), proveedores coreanos): solo cuando un miembro conecta un buzón, nos conectamos mediante la API de Gmail, Microsoft Graph o IMAP/SMTP (TLS) para sincronizar y enviar correo. Estos servicios tratan el correo según su contrato con usted o con su Espacio de trabajo.

2. Información que recopilamos

• Cuenta: dirección de correo electrónico, nombre visible, contraseña (almacenada únicamente como hash Argon2id), idioma y zona horaria.
• Espacio de trabajo: nombre de la empresa, departamentos, cargos y roles introducidos por los administradores.
• Contenido: mensajes, archivos, tareas, comentarios, avisos y páginas wiki que usted crea. Cuando el Espacio de trabajo usa las funciones correspondientes, también tratamos: expedientes de RR. HH. (números de identificación nacional, nóminas y cuentas bancarias cifrados), registros de jornada y vacaciones, evaluaciones de desempeño y notas de reuniones individuales, certificados de formación, buzones de correo de trabajo conectados, clientes del servicio de soporte y visitantes del sitio web, y nombres, datos de contacto (cifrados) y registros de consentimiento de visitas en el quiosco de recepción.
• Registros de uso y seguridad: hora de inicio de sesión, dirección IP (almacenada como hash cuando es posible), tipo de navegador, páginas visitadas y registros de errores.
• Analítica del sitio web: ruta de la página, página de referencia, idioma y país aproximado. No utilizamos cookies publicitarias.

3. Finalidades

• Prestar el Servicio, autenticar a los usuarios y aplicar los permisos. Incluye las funciones que active el Espacio de trabajo: gestión de RR. HH., nóminas y jornada, evaluaciones, formación obligatoria, integración del correo de trabajo, atención al cliente y gestión de visitas.
• Enviar invitaciones, restablecimientos de contraseña y las notificaciones que usted haya activado.
• Seguridad, prevención del fraude, registro de auditoría y respuesta a incidentes.
• Mejorar el Servicio mediante estadísticas agregadas.
• Atender consultas y cumplir obligaciones legales.

4. Conservación y eliminación

• Información de cuenta: hasta que elimine su cuenta; después, se elimina en un plazo de 30 días.
• Contenido del Espacio de trabajo: hasta que se dé de baja el Espacio de trabajo o se elimine el contenido conforme a su política de conservación; después, se elimina en un plazo de 30 días. Cuando se solicita eliminar un Espacio de trabajo, todos los datos y archivos se destruyen tras un periodo de gracia de 30 días (que puede cancelarse) y comprobamos que no queda nada. Cuando un miembro se va o se borran sus datos personales, los datos exclusivamente personales se destruyen de inmediato, el contenido compartido que escribió se anonimiza, y los registros que la ley obliga a conservar (p. ej., según la ley coreana: registro de personal, libro de salarios y registros de jornada 3 años, justificantes fiscales 5 años, registros de formación obligatoria 3 años; o los plazos de la ley aplicable al empleador) se conservan solo durante ese plazo y luego se destruyen. Los datos de visitas se destruyen automáticamente tras el plazo fijado por el Espacio de trabajo.
• Copias de seguridad: se sobrescriben en un ciclo rotativo de hasta 35 días. Si se mantiene una copia separada del almacenamiento de archivos, se elimina en un plazo de 30 días.
• Registros de acceso: al menos 1 año (plazo mínimo de conservación de registros de acceso según la ley coreana), o más si la ley lo exige.

Los datos eliminados se destruyen de forma que no puedan recuperarse; los registros en papel, si los hubiera, se destruyen mediante trituración.

5. Comunicación a terceros

No vendemos datos personales. Solo los comunicamos a terceros con su consentimiento, por instrucción del Espacio de trabajo o cuando la ley lo exija.

6. Encargados del tratamiento y transferencias internacionales

Recurrimos a los siguientes encargados del tratamiento. Los datos se transfieren a través de redes cifradas cuando usted utiliza el Servicio.

• Cloudflare, Inc. (EE. UU., red global): distribución del sitio web, seguridad y proxy.
• Railway Corporation (EE. UU.): servidores de aplicaciones y alojamiento de bases de datos.
• Proveedores de IA como Anthropic PBC u OpenAI, L.L.C. (EE. UU.): solo cuando un Espacio de trabajo activa las funciones de IA; únicamente se envían la pregunta y los fragmentos a los que el usuario tiene acceso y, conforme a nuestros contratos, no se utilizan para entrenar modelos.
• Proveedor de envío de correo electrónico (EE. UU.): correos de invitación, restablecimiento de contraseña y notificaciones.

Datos transferidos: los datos enumerados en la sección 2 que sean necesarios para cada función. Conservación: según lo descrito en la sección 4. Puede oponerse a una transferencia internacional no utilizando la función correspondiente o eliminando su cuenta, aunque en ese caso algunas funciones podrían no estar disponibles.

7. Sus derechos

Puede solicitar en cualquier momento el acceso, la rectificación, la supresión, la limitación del tratamiento o una copia de sus datos personales, desde la configuración de la aplicación o por correo electrónico. Si sus datos pertenecen a un Espacio de trabajo, podremos remitir su solicitud a su administrador. Responderemos sin dilación indebida y dentro del plazo que establezca la ley.

8. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) y contraseñas almacenadas como hash.
• Aislamiento estricto entre clientes, control de acceso basado en roles y comprobación de permisos en cada solicitud.
• Enlaces de descarga de corta duración, verificación de firma de las subidas y limitación de peticiones.
• Registros de auditoría de las acciones de administración y acceso mínimo por parte del personal.

9. Cookies

Utilizamos cookies estrictamente necesarias para las sesiones de inicio de sesión y la protección CSRF. La analítica del sitio web no utiliza cookies: los visitantes se contabilizan mediante un hash anónimo que se renueva a diario. Puede bloquear las cookies en su navegador, pero entonces no podrá iniciar sesión.

10. Menores

El Servicio está destinado a un uso profesional y no está dirigido a menores de 14 años.

11. Responsable de privacidad y contacto

Responsable de privacidad: Equipo de Privacidad de Workbami

Correo electrónico: [email protected]

También puede dirigirse al Centro de Denuncias de Vulneraciones de Datos Personales (privacy.kisa.or.kr, 118) o al Comité de Mediación de Conflictos sobre Datos Personales (www.kopico.go.kr, 1833-6972).

12. Información según el RGPD (UE/EEE) y para Latinoamérica

Esta sección se aplica a las personas que se encuentran en la Unión Europea o el EEE (incluida España) y, en lo indicado, en Latinoamérica. El responsable de los datos de cuenta y facturación es el equipo de Workbami, contactable en [email protected]. Cuando esta sección le proteja más que el resto de la política, prevalece.

Bases legales: ejecución del contrato (art. 6.1.b RGPD) para prestar el Servicio y gestionar las cuentas; interés legítimo (art. 6.1.f) para la seguridad, la prevención de abusos, los registros de auditoría, las estadísticas agregadas y la mejora del Servicio; cumplimiento de obligaciones legales (art. 6.1.c); y consentimiento (art. 6.1.a) cuando lo pidamos. Para el contenido del Espacio de trabajo, este, como responsable, determina la base legal, en especial para los datos de su plantilla.

Sus derechos: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad (art. 20) y retirada del consentimiento en cualquier momento, sin efecto retroactivo (art. 7.3).

Derecho de oposición (art. 21 RGPD): puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en el interés legítimo.

Reclamaciones (art. 77 RGPD): puede presentar una reclamación ante una autoridad de control, en particular la del Estado miembro de su residencia o lugar de trabajo; en España, la Agencia Española de Protección de Datos (www.aepd.es).

Transferencias internacionales: la Empresa está establecida en la República de Corea y el Servicio se aloja en Estados Unidos. Según el destinatario, las transferencias se basan en la decisión de adecuación de la Comisión Europea para la República de Corea, el Marco de Privacidad de Datos UE-EE. UU. (destinatarios certificados) o cláusulas contractuales tipo. Puede solicitar información sobre estas garantías por correo electrónico.

Representante y DPD: no hemos designado un representante en la Unión conforme al artículo 27 del RGPD ni un delegado de protección de datos. Las solicitudes las atiende el equipo de privacidad de Workbami. No tomamos decisiones basadas únicamente en tratamientos automatizados en el sentido del artículo 22 del RGPD.

Latinoamérica: si reside en un país latinoamericano, puede ejercer los derechos que le reconozca su legislación local de protección de datos (por ejemplo, los derechos ARCO en México o los derechos de habeas data en Argentina y Colombia) escribiendo al correo indicado, y acudir a la autoridad de protección de datos de su país.

Para ejercer sus derechos, escriba a [email protected] desde la dirección asociada a su cuenta. Responderemos sin demora indebida y, como máximo, en el plazo que fije la ley aplicable (por ejemplo, un mes según el RGPD).

Ubicación de los datos: los servidores de la aplicación, la base de datos y los archivos subidos se alojan actualmente en Estados Unidos (Railway); la entrega del sitio, la seguridad y el proxy pasan por la red global de Cloudflare. Por ahora no ofrecemos alojamiento en la Unión Europea ni en Latinoamérica.

13. Cambios

Anunciaremos cualquier modificación de esta política con al menos 7 días de antelación (30 días en el caso de cambios sustanciales) en esta página o en el Servicio.