Política de privacidad

Esta política explica qué datos personales tratamos, con qué finalidad y base legal, durante cuánto tiempo y qué derechos tiene el usuario, conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

• Responsable: Silvia Engli Rueda (GrantSpace)
• NIF/CIF: 53315229X
• Domicilio: Rambla Joaquim Vayreda 69-71, 2º 4ª
• Contacto / ejercicio de derechos: info@grantspace.eu
• Delegado de Protección de Datos (DPO): no designado (no exigible conforme al art. 37 RGPD para esta actividad).

2. Datos que tratamos

• Datos de cuenta: email y credenciales de acceso (gestionados por Supabase Auth).
• Datos de perfil: nombre, institución, rol, país, biografía, CV resumido, áreas de investigación, metodologías, palabras clave, sector/etapa de startup, publicaciones. Los aportas tú voluntariamente para mejorar el matching.
• Datos de la entidad solicitante: forma jurídica, nivel de madurez tecnológica (TRL), año de constitución, número de empleados, facturación anual, CNAE y ayudas de minimis ya recibidas. Son opcionales y los aportas tú; sirven para comprobar si cumples los requisitos de cada convocatoria y para calcular tu margen de minimis. Si no los rellenas, no descartamos ninguna convocatoria por ese motivo.
• Proyectos: descripciones de proyectos que crees en la plataforma.
• Solicitudes y documentos: los textos de memoria que redactas (con o sin ayuda de la IA), los documentos que subes al espacio de trabajo de cada solicitud y los datos de gestión de una ayuda concedida (presupuesto, gastos, horas, hitos).
• Colaboradores invitados: si invitas a un socio a una solicitud, tratamos su email para enviarle la invitación y darle acceso solo a esa solicitud. Debes contar con su conocimiento para facilitárnoslo.
• Datos de uso: convocatorias guardadas, estados de candidatura, alertas, interacciones.
• Datos de pago: si contratas un plan de pago, el cobro lo gestiona Stripe; nosotros no almacenamos los datos completos de tu tarjeta.
• Datos técnicos: dirección IP, identificadores de sesión y registros del servidor.

3. Finalidades y base legal

• Prestar el servicio (crear cuenta, calcular afinidad, mostrar y guardar convocatorias) — base: ejecución del contrato.
• Procesado por IA de tu perfil/proyectos para generar embeddings y puntuar convocatorias — base: ejecución del contrato. Ver “Encargados” más abajo.
• Envío de alertas y resúmenes por email — base: ejecución del contrato (alertas que activas) y consentimiento (comunicaciones comerciales, si las hubiera).
• Seguridad, prevención de abuso y mejora del servicio — base: interés legítimo.
• Cumplimiento de obligaciones legales (fiscales, contables) — base: obligación legal.

4. Encargados del tratamiento (subprocesadores)

Para prestar el servicio compartimos datos con proveedores que actúan como encargados:

• Supabase — base de datos, autenticación y almacenamiento.
• Hostinger — alojamiento del servidor (VPS en la Unión Europea).
• Groq — modelos de lenguaje (extracción de perfil, resúmenes y reordenado de matches).
• Google (Gemini API) — generación de embeddings y resúmenes.
• Resend — envío de emails transaccionales y alertas.
• Stripe — procesamiento de pagos (planes PLUS / PREMIUM / CORPORATE).

Con cada proveedor existe (o debe formalizarse) un Contrato de Encargo de Tratamiento (DPA) conforme al art. 28 RGPD. Solo tratan los datos según nuestras instrucciones.

5. Transferencias internacionales

Algunos proveedores (p. ej. Groq, Google, Resend, Stripe) pueden tratar datos fuera del Espacio Económico Europeo, principalmente en EE. UU. Dichas transferencias se amparan en Cláusulas Contractuales Tipo de la Comisión Europea y/o en el marco EU–US Data Privacy Framework, cuando el proveedor esté adherido.

6. Plazos de conservación

• Datos de cuenta, perfil, proyectos, solicitudes y documentos: mientras la cuenta exista.
• Cuenta sin plan activo (por ejemplo, al terminar la prueba gratuita o una suscripción): la cuenta queda en pausa y conservamos tus datos para que puedas retomarla si contratas un plan. Mientras está en pausa no te enviamos alertas ni resúmenes. Puedes eliminarla en cualquier momento.
• Al eliminar la cuenta: se borran de inmediato la cuenta, el perfil, los proyectos, las alertas, las solicitudes, las memorias, los datos de gestión y los documentos subidos, y los colaboradores invitados pierden el acceso. Pueden permanecer en las copias de seguridad de nuestro proveedor hasta su rotación periódica, sin usarse para ningún fin.
• Datos de facturación: se conservan el tiempo que exige la normativa fiscal y mercantil (hasta 6 años), también tras eliminar la cuenta.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar tu consentimiento, escribiendo a info@grantspace.eu. Responderemos en un plazo máximo de un mes.

Supresión sin esperas: puedes eliminar tu cuenta y todos tus datos tú mismo desde Perfil → Cuenta → Eliminar cuenta. El borrado es inmediato y, si tienes una suscripción activa, se cancela en ese momento. Para la portabilidad, desde la misma sección puedes descargar tus solicitudes en formato CSV.

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Comunicaciones por email

Te enviamos avisos de convocatorias, recordatorios de plazo y resúmenes periódicos porque forman parte del servicio que contratas y de las alertas que tú activas (base: ejecución del contrato). Puedes desactivarlos en cualquier momento desde tu cuenta o escribiendo a info@grantspace.eu, sin que ello afecte al resto del servicio. Los emails estrictamente operativos (confirmación de pago, avisos de que tu prueba gratuita va a terminar o ha terminado, cambios en estos términos, avisos de seguridad) no pueden desactivarse mientras la cuenta exista; si no quieres recibirlos, puedes eliminar la cuenta.

A fecha de esta política no enviamos comunicaciones comerciales de terceros ni cedemos tu email con fines publicitarios. Si en el futuro enviáramos comunicaciones comerciales propias, se hará con tu consentimiento previo y con un mecanismo de baja en cada mensaje.

9. Menores de edad

La Plataforma está dirigida exclusivamente a mayores de 18 años y a profesionales que actúan en nombre de una entidad; no está diseñada para menores y no recabamos conscientemente sus datos. Conforme al artículo 7 de la LOPDGDD, el tratamiento de datos de menores de 14 años requiere el consentimiento de quien ejerza la patria potestad o tutela. Si detectamos que una cuenta pertenece a un menor, la suspenderemos y eliminaremos sus datos. Si crees que un menor a tu cargo nos ha facilitado datos, escríbenos a info@grantspace.eu y lo resolveremos.

10. Decisiones automatizadas

La puntuación de afinidad, el orden de las convocatorias y el indicador de elegibilidad («elegible», «con requisitos», «no elegible») se generan de forma automatizada, comparando los datos de tu perfil con los requisitos que extraemos del texto de cada convocatoria.

Son orientativos y no producen efectos jurídicos sobre ti: no deciden nada, no se comunican a ningún organismo y no condicionan tu derecho a solicitar cualquier ayuda. Un resultado «no elegible» solo significa que, con los datos que conocemos, el texto de la convocatoria parece excluirte; la fuente oficial prevalece y la decisión de presentarte es siempre tuya. Las convocatorias marcadas así se muestran igualmente, con el motivo a la vista, y puedes corregir en tu perfil cualquier dato que consideres mal reflejado o escribirnos a info@grantspace.eu para que revisemos el resultado.

11. Seguridad

Aplicamos medidas técnicas y organizativas razonables (cifrado en tránsito, control de acceso por roles, RLS en base de datos). Ningún sistema es infalible; en caso de brecha que afecte a tus derechos te informaremos según el art. 33–34 RGPD.