Política de privacidad

1. Responsable del tratamiento

Osteam Software B.V. (Países Bajos) desarrolla y explota QMOS. Para cualquier consulta sobre privacidad: info@osteamsoftware.nl.

2. Alcance

Esta política cubre el sitio web qmos.app (incluidas sus direcciones alternativas qmos.ai y qmos.osteam.nl), el blog, el formulario de demostración/presupuesto y el inicio de sesión en el portal QMOS.

Para el contenido que las empresas clientes introducen en el portal (documentos, registros de formularios, datos de empleados y proveedores, etc.), la empresa cliente es la responsable del tratamiento; Osteam trata esos datos solo siguiendo las instrucciones de la empresa conforme a nuestro acuerdo de encargo del tratamiento. Dirija primero sus solicitudes sobre ese contenido al administrador de QMOS de su propia empresa.

La aplicación móvil de QMOS (iOS y Android) también está cubierta por esta política.

3. Estadísticas de visitas

Para entender cómo se usa el sitio utilizamos Umami en nuestro propio servidor. Umami no usa cookies, no guarda nada en su dispositivo y no registra su dirección IP. Solo se genera información agregada: página visitada, sitio de procedencia, tipo de navegador y dispositivo, país. Si tiene activado «Do Not Track» en su navegador, no se le contabiliza en absoluto. Dentro del portal no hay ningún script de estadísticas.

Base jurídica: interés legítimo (RGPD art. 6(1)(f)) — mejorar el sitio.

4. Formulario de demostración y presupuesto

El formulario recoge nombre, empresa, correo electrónico, teléfono (opcional), número de usuarios, normas de interés, su mensaje y el idioma de la página. Los utilizamos para responder a su solicitud y preparar un presupuesto; se reenvían por correo electrónico a nuestro equipo comercial.

Base jurídica: medidas precontractuales (art. 6(1)(b)). Conservación: las solicitudes que no den lugar a una relación comercial se eliminan como máximo a los 24 meses.

5. Cuenta del portal y uso

• Cuenta: nombre, correo electrónico, preferencia de idioma, contraseña (solo como hash irreversible), clave de verificación en dos pasos (cifrada).
• Al iniciar sesión con Microsoft o Google: identificador de la cuenta, correo electrónico y organización (ID de inquilino de Microsoft o dominio de Google Workspace). Nunca recibimos su contraseña de estos proveedores.
• Sesión: un registro de sesión vinculado a su navegador (12 horas como máximo).
• Registro de auditoría: quién creó, aprobó o modificó qué registro y cuándo. Se conserva de forma inalterable porque sirve como evidencia ISO.
• Aplicación móvil (QMOS para iOS/Android): nombre del dispositivo, plataforma y versión de la aplicación; tokens de sesión (en el servidor solo como hash irreversible y en el dispositivo en el almacenamiento seguro del sistema operativo); si permite las notificaciones, la dirección de notificación (token push). Las fotos que añade a los formularios solo se suben cuando usted las añade. Puede cerrar la sesión de un dispositivo en el portal web, Mi cuenta → Mis dispositivos móviles.

Base jurídica: ejecución del contrato (art. 6(1)(b)) e interés legítimo en la seguridad y la evidencia de auditoría (art. 6(1)(f)). Conservación: la cuenta durante la vigencia del contrato; el registro de auditoría y los registros aprobados durante el plazo de conservación que fije su empresa.

6. Pagos y facturas

Los pagos con tarjeta se gestionan a través de Mollie B.V. (Países Bajos); los datos de su tarjeta nunca nos llegan. Las facturas y los registros de pago se conservan 7 años según la normativa fiscal neerlandesa (art. 6(1)(c)).

7. Cookies

• qmos_session — mantiene su sesión iniciada (12 horas como máximo).
• qmos_locale — su preferencia de idioma (1 año).
• qmos_sso — completa de forma segura el inicio de sesión con Microsoft/Google (10 minutos).

Solo usamos cookies estrictamente necesarias para el funcionamiento del sitio; por eso no mostramos un banner de consentimiento:

8. Seguridad

Para evitar abusos en los intentos de inicio de sesión y de envío de formularios, su dirección IP se guarda en un contador temporal que caduca automáticamente en menos de una hora. Los archivos subidos se analizan contra virus en nuestro propio servidor y no se envían a terceros. Las conexiones están cifradas (HTTPS) y los datos de cada empresa están separados en la base de datos.

9. Ubicación y proveedores de servicios

• Hetzner Online GmbH (Alemania) — servidor, base de datos, almacenamiento de archivos y copias de seguridad.
• Microsoft Ireland Operations Ltd. — envío de correos del sistema; inicio de sesión si elige Microsoft.
• Google Ireland Ltd. — inicio de sesión solo si elige Google.
• Mollie B.V. (Países Bajos) — pagos.
• Expo (650 Industries, Inc., EE. UU.), Apple (Apple Push Notification service) y Google (Firebase Cloud Messaging): entrega de notificaciones si las permite en la aplicación móvil. Las notificaciones no llevan contenido (solo «tiene una nueva notificación»); los datos transmitidos son la dirección de notificación y un identificador técnico.

La aplicación, la base de datos, los archivos y las copias de seguridad se alojan en Alemania. Solo compartimos datos con estos proveedores y únicamente en la medida necesaria:

10. Transferencias fuera de Europa

Microsoft y Google pueden tratar datos fuera de la UE (EE. UU.) durante el inicio de sesión y la entrega de correos. Estas transferencias se basan en el Marco de Privacidad de Datos UE–EE. UU. y en las cláusulas contractuales tipo de la Comisión Europea. Todos los demás datos permanecen en la UE.

Si permite las notificaciones en la aplicación móvil, Expo, Apple y Google pueden tratar su dirección de notificación y el texto genérico sin contenido fuera de la UE (EE. UU.) para entregarlas; se aplican las mismas garantías.

11. Copias de seguridad

La base de datos se copia cada noche en un almacenamiento de objetos en Alemania. Las copias de seguridad solo se usan para restaurar tras una avería y se eliminan a los 35 días.

12. Sus derechos

Tiene derecho a acceder a sus datos, rectificarlos y suprimirlos, a limitar el tratamiento, a la portabilidad y a oponerse. Envíe su solicitud a info@osteamsoftware.nl; respondemos en el plazo de un mes. Para el contenido del portal, contacte primero con el administrador de QMOS de su empresa.

Derecho de reclamación: la autoridad neerlandesa de protección de datos, Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), o la autoridad de control de su país (en España, la AEPD).

13. Decisiones automatizadas y cambios

No se toman decisiones automatizadas ni se elaboran perfiles. Cuando actualicemos esta política, publicaremos la nueva versión con su fecha en esta página.