Política de privacidad

1. ¿Quiénes somos?

El sitio web https://enrow.io y el servicio ENROW (en adelante, el «Servicio») son explotados por:

SCHRUTE FARMS, sociedad de responsabilidad limitada francesa (SARL) con un capital social de 500 €, con domicilio social en 123 Rue De Rome, 75017 París, Francia, inscrita en el Registro Mercantil y de Sociedades de París (RCS París) con el número 981 316 300, número de IVA intracomunitario FR76981316300.

Cogerentes: Thomas LUCY y Louis CONGARD.

Delegado de Protección de Datos (DPO): Louis CONGARD — dpo@enrow.io.

ENROW es un servicio de enriquecimiento de datos profesionales destinado exclusivamente a la prospección comercial entre empresas (B2B). El Servicio permite a sus clientes buscar direcciones de email profesionales, números de teléfono, perfiles de LinkedIn e información de empresas.

2. ¿Qué datos recopilamos?

Recopilamos distintas categorías de datos en función de su relación con ENROW.

3. ¿De dónde proceden los datos de enriquecimiento?

Los datos contenidos en la base de enriquecimiento de ENROW proceden de las siguientes fuentes:

• Fuentes públicamente accesibles en Internet: sitios web de empresas (páginas «Equipo», «Contacto», «Acerca de»), directorios profesionales en línea, comunicados de prensa, artículos de prensa económica, publicaciones en redes sociales profesionales;
• Redes sociales profesionales: información hecha pública por los usuarios en sus perfiles profesionales (LinkedIn y otras plataformas equivalentes);
• Registros públicos oficiales: registros mercantiles (Infogreffe, Companies House, etc.), bases de datos legales y reglamentarias;
• Motores de búsqueda: información indexada por los motores de búsqueda públicos;
• Proveedores externos de datos profesionales: ENROW recurre a proveedores especializados en el suministro de datos de contacto profesional, datos firmográficos y señales de negocio. Dichos proveedores están vinculados contractualmente a ENROW por obligaciones de cumplimiento del RGPD;
• Tecnologías propias de ENROW: algoritmos de búsqueda, inferencia y verificación desarrollados internamente por ENROW.

ENROW no recopila datos procedentes de brechas de datos, bases de datos robadas ni de ninguna fuente ilícita.

4. Información a los interesados (artículo 14 del RGPD)

Los datos que figuran en la base de enriquecimiento de ENROW no se han recabado directamente de los interesados. El artículo 14 del RGPD obliga al responsable del tratamiento a facilitar determinada información a las personas cuyos datos se tratan sin haber sido recabados directamente de ellas.

5. ¿Por qué y sobre qué base legal tratamos sus datos?

6. ¿Con quién compartimos sus datos?

Sus datos personales podrán ser comunicados a las siguientes categorías de destinatarios, con estricto cumplimiento del principio de minimización de datos:

7. Transferencias fuera del Espacio Económico Europeo

Todos los datos del Servicio se alojan dentro de la Unión Europea (AWS París, eu-west-3). La gran mayoría de nuestros subencargados operan exclusivamente dentro del EEE.

Determinados tratamientos pueden implicar una transferencia a los Estados Unidos, regida por los siguientes mecanismos:

• Decisión de adecuación EU-US Data Privacy Framework (DPF): decisión de la Comisión Europea de 10 de julio de 2023 que reconoce un nivel de protección adecuado para las empresas certificadas en los Estados Unidos;
• Cláusulas Contractuales Tipo (CCT): adoptadas por la Comisión Europea (Decisión de Ejecución 2021/914), complementadas cuando sea necesario con medidas técnicas adicionales.

Servicios que implican una transferencia fuera del EEE:

• Anthropic (Claude.ai): DPF + CCT. Ningún dato se utiliza para el entrenamiento de modelos. Tratamiento puntual sin persistencia;
• Google Ads, Meta, LinkedIn, Google Fonts, YouTube: DPF. Sujeto a su consentimiento previo (cookies).

El detalle completo de los mecanismos de transferencia para cada subencargado figura en el Anexo 3 del DPA, disponible previa solicitud.

8. ¿Cuánto tiempo conservamos sus datos?

ENROW aplica el principio de limitación del plazo de conservación (artículo 5.1.e del RGPD) y conserva sus datos únicamente durante el plazo estrictamente necesario para las finalidades descritas anteriormente.

Al expirar los plazos indicados, los datos se suprimen de forma automática y definitiva o, cuando es técnicamente posible, se anonimizan de manera irreversible.

9. ¿Cuáles son sus derechos?

De conformidad con el RGPD (artículos 15 a 22) y la Loi Informatique et Libertés, usted dispone de los siguientes derechos:

• Derecho de acceso (artículo 15): usted puede obtener la confirmación de si ENROW trata o no datos personales que le conciernen, así como una copia de estos. También puede obtener información sobre las finalidades del tratamiento, las categorías de datos, los destinatarios, el plazo de conservación y el origen de los datos.
• Derecho de rectificación (artículo 16): usted puede solicitar la corrección de datos inexactos o completar los datos incompletos. Si ha cambiado de puesto, de número de teléfono o de empresa, póngase en contacto con nosotros para actualizar su información.
• Derecho de supresión (artículo 17): usted puede solicitar la eliminación de sus datos. ENROW procederá a la supresión y a su inscripción en la lista de exclusión permanente en un plazo de 24 horas hábiles. Este derecho queda limitado cuando el tratamiento sea necesario para el cumplimiento de una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones.
• Derecho de oposición (artículo 21): usted puede oponerse en cualquier momento al tratamiento de sus datos basado en el interés legítimo de ENROW, incluida la prospección comercial. En caso de oposición, ENROW cesará el tratamiento y le inscribirá en su lista de exclusión permanente.
• Derecho a la limitación del tratamiento (artículo 18): usted puede solicitar la suspensión temporal del tratamiento de sus datos, en particular durante la verificación de la exactitud de los datos o el examen de su oposición.
• Derecho a la portabilidad de los datos (artículo 20): este derecho es aplicable cuando el tratamiento se basa en el consentimiento o en la ejecución de un contrato. Dado que el tratamiento por ENROW se basa principalmente en el interés legítimo, el derecho a la portabilidad no es aplicable de pleno derecho. No obstante, ENROW empleará esfuerzos razonables para atender toda solicitud razonable en un formato estructurado y legible por máquina.
• Derecho a retirar el consentimiento: para los tratamientos basados en el consentimiento (cookies, marketing), usted puede retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado antes de la retirada.
• Derecho a no ser objeto de decisiones automatizadas (artículo 22): ENROW no adopta ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o afecte significativamente a los interesados. Los algoritmos de ENROW se utilizan exclusivamente para la búsqueda y la verificación de datos profesionales.
• Derecho a definir directrices post mortem (artículo 85 de la Loi Informatique et Libertés): usted puede definir directrices relativas a la conservación, la supresión y la comunicación de sus datos tras su fallecimiento.

10. Cómo ejercer sus derechos

11. ¿Cómo protegemos sus datos?

ENROW aplica medidas técnicas y organizativas conformes al artículo 32 del RGPD, adecuadas a la naturaleza, el alcance y los riesgos del tratamiento:

• Cifrado: datos en reposo cifrados mediante AES-256. Datos en tránsito protegidos por TLS 1.2 o superior. Contraseñas hasheadas mediante bcrypt con salting individual;
• Control de acceso: autenticación multifactor (MFA) en todos los accesos críticos. Acceso a producción limitado a los dos administradores conjuntos. Modelo RBAC (Role-Based Access Control) para los usuarios del Servicio;
• Aislamiento de red: bases de datos y servicios internos aislados en una VPC de AWS sin acceso público. Solo la aplicación puede acceder a ellos;
• Monitorización: registro exhaustivo de las acciones (logs cifrados, mediante SigNoz). Alertas automatizadas en caso de anomalía;
• Copias de seguridad: copias de seguridad automáticas diarias, cifradas, probadas y validadas;
• Pruebas de intrusión: pentest anual realizado por un proveedor tercero independiente;
• Desarrollo seguro: code review sistemática (pull requests), detección automatizada de vulnerabilidades en las dependencias (Dependabot);
• Alojamiento: exclusivamente en la Unión Europea (AWS Paris, eu-west-3). AWS cuenta con las certificaciones ISO 27001, SOC 1/2/3.

El detalle completo de nuestras medidas técnicas y organizativas figura en el DPA (Anexo 2). La Política de Seguridad de los Sistemas de Información y el Plan de Continuidad de Negocio se mantienen actualizados y están disponibles a solicitud bajo NDA.

12. ¿Qué ocurre en caso de violación de datos?

En caso de violación de datos personales que pueda entrañar un riesgo para sus derechos y libertades, ENROW se compromete a:

• Notificar a la CNIL en un plazo de setenta y dos (72) horas (artículo 33 del RGPD);
• Informar a los Clientes afectados en un plazo de setenta y dos (72) horas;
• Informarle directamente cuando la violación presente un riesgo elevado para sus derechos y libertades (artículo 34 del RGPD);
• Documentar la violación en un registro interno y adoptar las medidas correctivas necesarias.

13. Decisiones automatizadas y elaboración de perfiles

ENROW utiliza algoritmos propios para buscar, inferir y verificar datos profesionales. Estos algoritmos se utilizan exclusivamente para la prestación del Servicio de enriquecimiento (encontrar un email, verificar un número de teléfono, etc.).

ENROW no adopta ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o afecte significativamente a los interesados en el sentido del artículo 22 del RGPD. Los datos de enriquecimiento no se utilizan para scoring, elaboración de perfiles con fines discriminatorios, calificación crediticia, decisiones de contratación ni ninguna otra decisión que tenga un impacto jurídico o significativo sobre las personas.

14. Menores

El Servicio está reservado a personas físicas de dieciocho (18) años o más que actúen con fines profesionales. ENROW no recopila conscientemente datos relativos a menores. La base de datos de enriquecimiento contiene únicamente datos profesionales B2B y no se dirige a menores. Si tenemos conocimiento de que se han recopilado datos de un menor, los suprimiremos de inmediato.

15. Cookies

ENROW utiliza cookies y tecnologías similares en su sitio web y dentro del Servicio. El detalle completo de las cookies utilizadas, sus finalidades, sus duraciones y los medios para gestionarlas figura en nuestra Política de cookies, accesible en el sitio web https://enrow.io. Su consentimiento se recaba mediante el banner de Cookiebot en su primera visita y puede modificarse en cualquier momento.

16. Información para residentes de California (CCPA/CPRA)

Esta sección proporciona información complementaria destinada a los residentes del Estado de California (EE. UU.), de conformidad con la California Consumer Privacy Act (CCPA), en su versión modificada por la California Privacy Rights Act (CPRA).

17. Conformidad internacional

La presente política se aplica en el marco de las siguientes normativas, según su ubicación:

• Unión Europea: Reglamento (UE) 2016/679 (RGPD) y Loi n.º 78-17 de 6 de enero de 1978, modificada (Loi Informatique et Libertés);
• Reino Unido: UK GDPR (European Union (Withdrawal) Act 2018) y Data Protection Act 2018;
• Suiza: la nueva Ley Federal de Protección de Datos (nFADP), en vigor desde el 1 de septiembre de 2023;
• California (EE. UU.): CCPA, en su versión modificada por la CPRA (véase la sección 16 anterior).

Se entenderá que las referencias al RGPD contenidas en la presente política incluyen las disposiciones equivalentes de las normativas mencionadas, en la medida en que resulten aplicables.

18. Modificaciones de la presente política

ENROW se reserva el derecho de modificar la presente política en cualquier momento para reflejar cambios en sus prácticas o en la normativa aplicable. La fecha de la última actualización se indica en la parte superior de este documento.

En caso de modificación sustancial que afecte a la manera en que se tratan sus datos, ENROW le informará por email o a través del Servicio con una antelación mínima de treinta (30) días respecto a la entrada en vigor de la nueva versión. El uso continuado del Servicio tras la notificación constituirá aceptación. Para las personas cuyos datos figuran en la base de datos de enriquecimiento, la política actualizada se publicará en el sitio web.

19. Contacto

Para cualquier consulta relativa a la presente política, a la protección de sus datos o para ejercer sus derechos:

• Delegado de Protección de Datos: Louis CONGARD
• Email: dpo@enrow.io
• Dirección postal: SCHRUTE FARMS / ENROW — DPO — 123 Rue De Rome, 75017 París, Francia