Política de privacidad

La presente política de privacidad explica cómo NEXT BP trata los datos personales cuando usted visita blast-audit.com o utiliza Blast Audit: el complemento de Excel, el panel web, los conectores de almacenamiento en línea, el servidor MCP, el agente de encargos, la revisión de estados financieros, las listas PBC, los proyectos de análisis y la Academia Blast Audit (el «Software»). Constituye la información exigida por los artículos 13 y 14 del Reglamento general de protección de datos (RGPD).

Esta política tiene carácter informativo; no forma parte del contrato celebrado con su organización. Los compromisos que NEXT BP asume como encargado del tratamiento figuran en el acuerdo de encargo del tratamiento (DPA).

---

1. Quiénes somos

El responsable del tratamiento es NEXT BP, sociedad por acciones simplificada (SAS) con un capital de 100 €, inscrita en el Registro Mercantil de París con el número 920 753 233, cuyo domicilio social se encuentra en 127 rue de la Tour, 75016 París (Francia).

Para cualquier pregunta sobre sus datos personales o para ejercer sus derechos, escriba a privacy [at] blast-audit.com. NEXT BP no ha designado un delegado de protección de datos; esta dirección llega a la persona encargada de la protección de datos en NEXT BP.

El Software está destinado a profesionales. No está dirigido a menores.

---

2. Responsable o encargado del tratamiento

NEXT BP trata datos personales en dos calidades.

• Como responsable del tratamiento, respecto de los datos necesarios para su propia actividad: visitantes del sitio web, cuentas y autenticación de los usuarios, facturación, asistencia, seguridad, medición del uso del producto, prospección comercial y relaciones comerciales. La presente política describe estos tratamientos.
• Como encargado del tratamiento, respecto de los documentos y contenidos que los despachos de auditoría y de contabilidad envían al Software (por ejemplo, extractos bancarios, facturas, contratos o registros de nóminas) y de los datos personales que contienen. El despacho que utiliza Blast Audit es el responsable del tratamiento de estos datos y decide qué envía. NEXT BP los trata únicamente siguiendo las instrucciones de ese despacho, en el marco del DPA.
• Como encargado del tratamiento, también, respecto de la consulta del uso por miembro cuando su organización activa el ajuste descrito en el apartado 12. Su organización es la responsable de esa consulta. NEXT BP presenta y exporta los indicadores siguiendo esa instrucción (artículo 2.5 del DPA). Esa consulta no es la medición del uso del producto de la que NEXT BP es responsable.

Si sus datos figuran en un documento que un despacho ha enviado a Blast Audit, o en un archivo enviado a un despacho mediante una lista PBC, diríjase a ese despacho para ejercer sus derechos. Si nos escribe, trasladaremos su solicitud al despacho afectado.

Si un despacho le ha dirigido solicitudes de documentos mediante una lista PBC, ese despacho es el responsable del tratamiento de las solicitudes, de su dirección de correo electrónico, de su idioma, de sus mensajes, de los motivos que da, de sus archivos, de los resultados de los controles de IA sobre esos archivos y del registro de sus acciones en la lista. Diríjase a él para ejercer sus derechos. Si nos escribe, le trasladaremos su solicitud. NEXT BP es la responsable del registro que ella misma conserva para limitar los abusos del enlace y de sus registros técnicos (sección 4).

---

3. Datos que recogemos y su origen

• Datos de identidad y de cuenta: nombre, dirección de correo electrónico, organización, rol, idioma, identificadores de su proveedor de identidad cuando su organización utiliza el inicio de sesión único, fechas de conexión.
• Datos de facturación: nombre del contacto de facturación, información de la empresa, dirección, número de IVA, suscripción, facturas y estado de los pagos. Los datos de la tarjeta se introducen en las páginas de Stripe; no conservamos el número completo de la tarjeta.
• Datos de uso: funciones utilizadas, número de páginas tratadas, créditos de IA consumidos, identificadores técnicos, datos del navegador y del dispositivo, dirección IP, páginas consultadas. El detalle por miembro (nombre, dirección de correo electrónico, función, indicadores de la vista) se describe en el apartado 12. No se envía a la herramienta de medición.
• Asistencia y comunicaciones: mensajes, correos electrónicos y archivos adjuntos que nos envía, y correos electrónicos que le enviamos.
• Datos de prospección: lo que introduce en nuestros formularios de contacto y de demostración (nombre, dirección de correo electrónico profesional, número de teléfono, empresa, cargo, tamaño del equipo, mensaje).
• Datos de los conectores: cuando conecta Google Drive o Microsoft 365, los tokens de acceso y el identificador de cuenta que devuelve el proveedor.
• Contenido enviado al Software: documentos, valores extraídos, instrucciones, entrada de voz. NEXT BP trata este contenido como encargado del tratamiento (apartado 2).

La mayoría de estos datos proceden de usted. Algunos proceden de otras fuentes:

• el administrador de su organización, que le invita y le asigna su rol;
• el proveedor de identidad de su organización, a través de WorkOS, cuando se utiliza el inicio de sesión único;
• Stripe, respecto del estado de los pagos;
• Google o Microsoft, cuando conecta un conector.

---

4. Finalidades, bases jurídicas y plazos de conservación

Las duraciones indicadas a continuación son duraciones máximas; si una eliminación falla, se aplica el apartado 7.

Cuando nos basamos en nuestro interés legítimo, puede oponerse en cualquier momento (apartado 8).

---

5. Destinatarios

Solo tienen acceso a los datos personales las personas de NEXT BP que los necesitan. Los comunicamos a los siguientes proveedores, que actúan siguiendo nuestras instrucciones:

• Microsoft (Microsoft Ireland Operations Limited): alojamiento en Microsoft Azure en Francia; Azure OpenAI (zona de datos de la UE) para las funciones de inteligencia artificial; Azure AI Content Understanding para el análisis de documentos y la lectura avanzada de las páginas escaneadas (una parte de las páginas escaneadas puede leerla el lector de NEXT BP, que explotamos nosotros mismos en nuestro alojamiento de Microsoft Azure; salvo cuando su organización utiliza su propia clave de Azure, Azure lee cada página escaneada para la que el resultado que usted recibe no procede de ese lector, en particular las páginas releídas, y también puede leer páginas que ese lector lee; para medir y mantener la calidad de la lectura que se le proporciona, ese lector puede releer una página ya leída por Azure, y de esa relectura solo conservamos cifras sin contenido de documentos); el servicio Azure AI de la zona de datos de la UE, que comprueba las tablas de resultados del agente de encargo y del agente de Excel y comprueba, antes de su envío, las respuestas de Moulinet, el asistente de inteligencia artificial de nuestro servicio de asistencia (artículo 12); Azure AI Speech para la entrada de voz; Azure Communication Services para los correos electrónicos transaccionales, incluidas las respuestas de nuestro servicio de asistencia;
• Cloudflare: alojamiento del sitio web y del panel, recepción de los correos electrónicos de asistencia;
• Google (Google Workspace): correo electrónico de NEXT BP, incluidos los correos enviados a support [at] blast-audit.com;
• WorkOS: autenticación e inicio de sesión único;
• Stripe: pago y facturación;
• PostHog: medición del uso del producto y medición de audiencia (apartado 4). No recibe el detalle por miembro;
• Sentry: seguimiento de errores;
• Customer.io: correos electrónicos de servicio vinculados a la cuenta y a la suscripción, cuya apertura y cuyos clics se miden mediante un píxel y enlaces redirigidos;
• Exa: búsqueda web propuesta por el agente de Excel, cuando usted aprueba la consulta de búsqueda.

Cuando su organización utiliza su propia clave de Azure, cada página escaneada la lee la lectura avanzada, con esa clave. Para esas lecturas, Microsoft actúa en el marco del contrato de Azure de su organización y siguiendo sus instrucciones, no las nuestras (artículo 5.7 del DPA).

La ubicación de cada proveedor y las garantías aplicables a las transferencias figuran en el anexo 3 del DPA, que constituye nuestra lista fechada de subencargados.

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija, a nuestros asesores (abogados, auditores de cuentas) sujetos a secreto profesional, y a un adquirente en caso de fusión o de cesión de la actividad, previa información a usted.

No vendemos datos personales.

---

6. Transferencias fuera del Espacio Económico Europeo

Alojamos nuestras bases de datos y nuestros archivos en la Unión Europea. Algunos proveedores están establecidos en los Estados Unidos o pueden acceder a los datos desde ese país: Cloudflare, Google, Stripe, WorkOS, Sentry, Customer.io, PostHog y Exa. Estas transferencias se basan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el destinatario está certificado (en la fecha de esta política: Cloudflare, Google, Stripe, PostHog, Sentry y Customer.io), y en las cláusulas contractuales tipo adoptadas por la Comisión (Decisión (UE) 2021/914) en los demás casos (WorkOS y Exa) o de forma complementaria. Los proveedores de Microsoft (alojamiento en Azure, Azure OpenAI, el servicio Azure AI de la zona de datos de la UE que comprueba las tablas de resultados del agente de encargo y del agente de Excel y comprueba, antes de su envío, las respuestas de Moulinet, Azure AI Content Understanding, Azure AI Speech y Azure Communication Services) tratan los datos en la Unión Europea. El personal de Microsoft situado fuera de la EU Data Boundary puede acceder a ellos a distancia, en la medida necesaria para operar, solucionar incidencias, prestar asistencia y proteger sus servicios: esta transferencia se basa en las cláusulas contractuales tipo de 2021 (Decisión (UE) 2021/914, módulo 3, de encargado a encargado) entre Microsoft Ireland Operations Limited y Microsoft Corporation, y en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), al que Microsoft Corporation está certificada. El examen, por empleados de Microsoft, de los datos que han activado sus sistemas de supervisión de abusos (artículo 10) también puede tener lugar fuera del Espacio Económico Europeo: el contrato de Microsoft solo sitúa a esos empleados en el Espacio Económico Europeo para un despliegue dentro de la frontera de datos de la UE, y Microsoft no asume ningún compromiso de frontera de datos de la UE para la versión preliminar con la que funciona el servicio Azure AI de la zona de datos de la UE. Los empleados de Microsoft que examinan los datos de este servicio, incluidos los mensajes de asistencia que recibe para comprobar las respuestas de Moulinet, no están, por tanto, necesariamente situados en el Espacio Económico Europeo. El contrato de Microsoft somete sus transferencias fuera del Espacio Económico Europeo a las cláusulas contractuales tipo de 2021, a reserva, para una versión preliminar, de las medidas de privacidad y de seguridad inferiores o distintas que Microsoft puede aplicar (artículo 10). Puede obtener una copia de estas garantías escribiendo a privacy [at] blast-audit.com.

---

7. Plazos de conservación

El plazo de conservación de cada categoría de datos de la que NEXT BP es responsable figura en la tabla del apartado 4. Al término de dicho plazo, los datos se eliminan o se anonimizan. Si una eliminación falla, se reintenta y se lleva a cabo lo antes posible. Las copias de seguridad de la base de datos, y los archivos eliminados de un encargo, de una revisión de estados financieros, de una lista PBC o de un proyecto de análisis, siguen siendo recuperables como máximo 7 días después de la eliminación.

Respecto del contenido que NEXT BP trata como encargado del tratamiento, los plazos se fijan en el anexo 1 del DPA. En resumen:

• el contenido enviado para OCR o análisis de documentos se elimina, en las copias que NEXT BP controla, como máximo 24 horas después de su carga; las copias que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 10);
• para el agente de Excel, el complemento envía a nuestros servidores, para cada conversación, el nombre de cada documento guardado en su libro de trabajo y el texto que el OCR ha leído en él, para que el agente pueda listarlos, buscar en ellos y leer sus páginas, aunque la solicitud no se refiera a ellos; no envía los archivos en sí para ello; el contenido de una conversación con el agente de Excel, incluido ese texto, se suprime de los sistemas de NEXT BP como máximo 24 horas después de su llegada, y las copias de seguridad de la base de datos lo conservan hasta 7 días más; las copias que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 10);
• el contenido de un encargo del agente de encargos, de una revisión de estados financieros, de una lista PBC o de un proyecto de análisis se conserva mientras permanece abierto y después se elimina de los sistemas de NEXT BP como máximo 30 días después de su cierre; tras un largo período sin actividad, puede cerrarse, según las reglas del anexo 1 del DPA; las copias que Microsoft conserva temporalmente para la supervisión de abusos no quedan comprendidas (artículo 10);
• los archivos de una lista PBC copiados a un encargo siguen la conservación de ese encargo, y los importados en un libro de trabajo permanecen en ese libro de trabajo;
• los registros de explotación, diseñados para no contener ningún contenido de documentos, se conservan 30 días.

---

8. Sus derechos

Usted tiene derecho de acceso, de rectificación y de supresión, derecho a la limitación del tratamiento, derecho a la portabilidad de sus datos y derecho de oposición a los tratamientos basados en nuestro interés legítimo, incluida la prospección comercial, a la que puede poner fin en cualquier momento sin necesidad de justificarse. Cuando el tratamiento se basa en su consentimiento, puede retirarlo en cualquier momento; para las cookies, utilice el enlace Configuración de cookies que figura al pie de cada página. También puede establecer directrices sobre el destino de sus datos tras su fallecimiento.

Para ejercer estos derechos, escriba a privacy [at] blast-audit.com. Respondemos en el plazo de un mes; este plazo puede prorrogarse dos meses más en el caso de solicitudes complejas, en cuyo caso se lo comunicaremos. Podemos pedirle información para verificar su identidad.

Puede presentar una reclamación ante la CNIL (3 place de Fontenoy, TSA 80715, 75334 París Cedex 07, www.cnil.fr), o ante la autoridad del Estado miembro en el que resida o trabaje.

---

9. Carácter obligatorio o facultativo de los datos

Su nombre, su dirección de correo electrónico y su organización son necesarios para crear una cuenta; sin ellos, no podemos darle acceso al Software. Los datos de facturación son necesarios para contratar una suscripción de pago. En nuestros formularios, los campos obligatorios están señalados; los demás son facultativos. La aceptación de las cookies de medición de audiencia es facultativa y no afecta al acceso al sitio web. La medición de audiencia sin cookies del sitio web y del panel, descrita en el apartado 4, tiene lugar antes de esa elección y si la rechaza; no se vincula a su cuenta.

---

10. Inteligencia artificial y decisiones automatizadas

• No utilizamos sus datos ni el contenido que usted envía para entrenar o ajustar modelos de inteligencia artificial. Según su contrato, nuestro proveedor de IA, Microsoft, no utiliza ese contenido para entrenar modelos fundacionales de IA generativa sin nuestras instrucciones documentadas, y no damos tales instrucciones.
• Si su organización registra su propia clave de API de otro proveedor de IA o de OCR, las solicitudes correspondientes se envían a ese proveedor, conforme al contrato que su organización ha celebrado con él; ese proveedor no es nuestro encargado del tratamiento (artículo 5.7 del DPA).
• Configuramos el servicio Azure OpenAI de modo que no conserve las solicitudes ni las respuestas para su consulta posterior, a reserva de la supervisión de abusos descrita a continuación.
• Microsoft conserva temporalmente todas las solicitudes dirigidas a Azure OpenAI y todas las respuestas, para detectar y prevenir los usos abusivos o perjudiciales del servicio y de sus resultados (abuse monitoring, supervisión de abusos). El contrato de Microsoft no fija la duración de esta conservación. Solo los datos que han activado sus sistemas automatizados pueden ser examinados por empleados autorizados de Microsoft; en los despliegues sujetos a la frontera de datos de la UE (EU Data Boundary), esos empleados están situados en el Espacio Económico Europeo. Las condiciones de Microsoft (Privacy & Security Terms) permiten además a su personal situado fuera de esa frontera acceder en remoto a los sistemas de tratamiento que se encuentran dentro de ella, en la medida necesaria para operar, solucionar incidencias, prestar asistencia y proteger sus servicios. Microsoft no ha concedido a NEXT BP ninguna exención de esta supervisión: por tanto, esta conservación se produce. Microsoft también puede conservar temporalmente, para la supervisión de abusos, las solicitudes dirigidas al servicio Azure AI de la zona de datos de la UE que comprueba las tablas de resultados y comprueba, antes de su envío, las respuestas de Moulinet, así como las respuestas de ese servicio; Microsoft no ha dado a NEXT BP ningún compromiso sobre la duración de esta conservación. Para este servicio también, solo los datos que han activado los sistemas automatizados de Microsoft pueden ser examinados por empleados autorizados de Microsoft, situados en el Espacio Económico Europeo para un despliegue dentro de la frontera de datos de la UE, y Microsoft no utiliza este contenido para entrenar modelos fundacionales de IA generativa sin nuestras instrucciones documentadas, que no damos. Este servicio funciona con una versión de modelo que Microsoft ofrece en versión preliminar (preview): se le aplican las condiciones de Microsoft para las versiones preliminares de Azure, y Microsoft puede aplicar a las versiones preliminares medidas de privacidad y de seguridad inferiores o distintas de las aquí descritas, incluidas otras prácticas de supervisión de abusos. Microsoft no asume ningún compromiso de frontera de datos de la UE para las versiones preliminares: los empleados de Microsoft que examinan los datos de este servicio no están, por tanto, necesariamente situados en el Espacio Económico Europeo. Para uno y otro servicio, el contrato de Microsoft solo fija una supresión como máximo: tras el fin de nuestra suscripción de Azure, Microsoft conserva estos datos noventa (90) días en una cuenta de funcionalidad limitada y después los suprime en los noventa (90) días siguientes. Esa suscripción es la nuestra: el fin del contrato de su organización no le pone fin.
• El Software no adopta ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar. Sus resultados son propuestas que el usuario verifica. Las respuestas de Moulinet a las solicitudes de asistencia se envían sin revisión previa del equipo; cada una indica que la ha escrito una IA, y no deciden nada sobre usted. Un botón del chat confía la conversación al equipo en cualquier momento; una respuesta al correo de Moulinet también, salvo la respuesta a una pregunta que Moulinet ha hecho para precisar la solicitud (artículo 12).

---

11. Cookies

Las cookies y el almacenamiento del navegador utilizados por el sitio web y el panel, su finalidad, su duración y la manera de modificar su elección se describen en nuestra Política de cookies.

---

12. Funciones particulares

Cuando una función descrita a continuación trata datos por cuenta de su organización, sus plazos de conservación figuran en el anexo 1 del DPA y se resumen en el apartado 7.

Entrada de voz. Cuando la entrada de voz está activada, el complemento graba su voz mientras usted dicta y envía el audio a nuestros servidores, que lo hacen transcribir mediante Azure AI Speech, en la zona de datos de la UE. Según la documentación de Microsoft, este servicio no conserva el audio. NEXT BP no lo conserva más allá de la transcripción, que se le devuelve. Este tratamiento se realiza por cuenta de su organización, en el marco del DPA.

Conexiones al almacenamiento en línea (Google Drive, Microsoft 365). Si conecta una cuenta de Google Drive o de Microsoft 365, Blast Audit lee sus archivos para que usted pueda elegir e importar documentos desde Excel. Para Microsoft 365, solicitamos la lectura de sus archivos y, para una cuenta profesional, la lista de los sitios de SharePoint a los que tiene acceso. El Software está diseñado para no crear, modificar, compartir ni suprimir ningún archivo en su almacenamiento en línea. Los tokens de acceso se cifran y se conservan para su cuenta, y se suprimen cuando usted desconecta la cuenta desde el panel de Blast Audit. La desconexión no retira la autorización en el proveedor: también puede revocarla desde la página de permisos de su cuenta de Google o de Microsoft. Los archivos importados se transmiten a su navegador; el Software está diseñado para no conservarlos en nuestros servidores. Si usted los somete a un tratamiento, se aplican las reglas de conservación del apartado 7.

Búsqueda en SharePoint (Microsoft 365 Copilot). Un administrador que ha conectado su cuenta profesional de Microsoft 365 puede buscar en el SharePoint de su organización desde el panel. Su consulta se envía, con su conexión, al servicio de recuperación de Microsoft 365 Copilot (Microsoft Graph), que Microsoft explota en el marco del contrato Microsoft 365 de su organización. El panel muestra extractos, con su título y su autor. El Software está diseñado para no conservar ni la consulta ni los extractos; nuestros registros solo guardan el número de resultados.

Datos de los usuarios de Google. El uso por parte de Blast Audit de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustarán a la Google API Services User Data Policy, incluidos los requisitos de Limited Use. Solicitamos el ámbito https://www.googleapis.com/auth/drive.file, que solo da a Blast Audit acceso a los archivos que usted elija en el selector de Google Drive. Lo utilizamos únicamente para descargar el archivo que usted selecciona, con el fin de mostrarlo y vincularlo a celdas de su propio libro de Excel. No utilizamos los datos de los usuarios de Google con fines publicitarios, no los vendemos, no los utilizamos para entrenar modelos de inteligencia artificial o de aprendizaje automático, y solo los transferimos a terceros en la medida necesaria para prestar la función (nuestro proveedor de alojamiento Microsoft Azure) o cuando la ley lo exija.

Servidor MCP. Si conecta a Blast Audit un asistente de IA de su elección (por ejemplo, Claude o ChatGPT) a través del servidor MCP, usted lo autoriza con su cuenta de Blast Audit a través de WorkOS. Las solicitudes del asistente y los resultados devueltos por su complemento transitan por nuestros servidores: su contenido se enmascara, y el registro se suprime, como máximo 30 días después de la solicitud. Para que el asistente encuentre sus libros, el complemento comunica a nuestros servidores el nombre y el identificador de los libros abiertos; esa comunicación se suprime como máximo 90 días después de la última comunicación. El asistente que usted conecta es explotado por su propio proveedor, conforme a las condiciones de este; no es un subencargado de NEXT BP. Conservamos la lista de asistentes conectados (nombre, fecha del último uso) para que pueda consultarlos y desconectarlos.

Agente de encargos. Si su organización utiliza el agente de encargos, los documentos importados en un encargo, el registro de tareas y los papeles de trabajo se conservan en nuestros servidores mientras el encargo permanece abierto, para que el agente pueda trabajar sin que Excel esté abierto, y después se suprimen conforme al apartado 7.

Revisión de estados financieros. Si su organización utiliza la revisión de estados financieros, nuestros servidores conservan el contenido de cada revisión mientras permanece abierta, para que todos sus miembros encuentren el mismo trabajo: los documentos importados y el texto que el OCR lee en ellos, las anotaciones, los comentarios y sus respuestas, las listas de comprobación, las respuestas de la IA con los pasajes que citan, las decisiones de los revisores y sus notas, los parámetros del análisis y los hallazgos enviados a Excel. La revisión conserva la lista de sus miembros y su acceso y, con la fecha, el miembro que está en el origen de cada acto. Los comentarios, las respuestas y las decisiones muestran el nombre o la dirección de correo electrónico de su autor, que repiten las hojas de listas de comprobación enviadas a Excel. Cuando la IA responde a una lista de comprobación, nuestros servidores envían las preguntas de la lista y el texto de las páginas de los estados financieros al servicio Azure OpenAI; las copias que Microsoft conserva para la supervisión de abusos (artículo 10) no se suprimen con la revisión. Una revisión cerrada se suprime conforme al apartado 7.

Listas PBC. Si su organización utiliza las listas PBC, sus miembros dirigen por correo electrónico solicitudes de documentos a personas de sus clientes o de otras entidades. Cada destinatario abre un enlace personal, sin cuenta. Puede enviar o retirar archivos, escribir mensajes, indicar que no tiene nada que enviar y por qué, elegir su idioma y confiar una solicitud a un colega, que pasa a ser destinatario. Las solicitudes, las direcciones de correo electrónico y los idiomas de los destinatarios, el registro de sus acciones con la fecha, sus mensajes, los motivos que dan, sus archivos, los resultados de los controles de IA cuando la organización ha fijado preguntas, y el miembro que envió cada solicitud se conservan en nuestros servidores mientras la lista permanece abierta. El cierre de una lista pone fin al acceso de todos los destinatarios; la lista se suprime después conforme al apartado 7. El despacho es el responsable del tratamiento de esos datos (sección 2). La página que un destinatario abre mediante su enlace no incluye ni medición de audiencia ni analítica de producto. Para limitar los abusos, NEXT BP conserva, como responsable del tratamiento, un hash (y no el propio valor) de la dirección IP, del token del enlace o del destinatario, según la acción, con un contador de solicitudes, durante 2 días como máximo (sección 4).

Proyectos de análisis. Si su organización utiliza los proyectos de análisis, las fuentes de datos importadas en un proyecto, los conjuntos de datos obtenidos de ellas, los rangos de celdas enviados desde Excel, el diario de análisis y los scripts ejecutados, los resultados y las conversaciones con el asistente del proyecto se conservan en nuestros servidores, en la Unión Europea, mientras el proyecto permanece abierto y después se suprimen conforme al apartado 7. El diario de análisis indica el miembro que ejecutó cada paso o aprobó una ejecución propuesta por el asistente. El asistente recibe del proyecto elementos limitados (nombres y columnas de las fuentes y de los conjuntos de datos, recuentos de filas, totales y algunas filas de ejemplo), además de los mensajes de los miembros y el historial de su conversación, que puede repetir esos elementos. El Software está diseñado para ejecutar lo que propone el asistente solo con la aprobación de un miembro con acceso completo al proyecto.

Procedimientos y convenciones del agente. Los procedimientos que su organización redacta para el agente de encargos, sus versiones y las conversaciones que sirven para redactarlos se conservan hasta la retirada del procedimiento; una versión citada por una tarea de encargo se conserva hasta la supresión del último encargo que la cita. Cuando su organización activa las convenciones, el agente puede retener, a petición suya, una manera de trabajar; una convención se conserva hasta que usted o un administrador la supriman, o hasta que usted abandone la organización, lo que la suprime.

Academia Blast Audit. Si sigue la Academia Blast Audit, registramos las lecciones y las rutas que completa, con su fecha, y sus respuestas a los ejercicios y a los cuestionarios, con su puntuación. Los propietarios y los administradores de su organización ven su progreso y su mejor puntuación en cada cuestionario. Estos datos se tratan por cuenta de su organización y se suprimen tras su salida de la organización.

Uso por miembro. El Software registra, para cada usuario, indicadores de uso: la fecha (el día, sin la hora) de la última actividad, el número de días activos, los documentos importados, los snips, las ejecuciones de conciliación, las páginas de OCR, las ejecuciones de las funciones de inteligencia artificial y los créditos consumidos. Junto con su nombre, su dirección de correo electrónico, su función y su condición de miembro, estos indicadores pueden mostrarse a los propietarios y a los administradores de su organización, y ser exportados por ellos, cuando uno de ellos activa esta vista. El uso de las personas que han abandonado la organización se suma en una única línea «antiguos miembros», sin nombre; cuando una sola persona ha abandonado la organización, esa línea muestra sus totales.

La vista no contiene el contenido ni el nombre de los documentos. No contiene cronología, puntuación, clasificación ni medición del tiempo de trabajo.

Para esta consulta, su organización es la responsable del tratamiento. NEXT BP es su encargado (artículo 2.5 del DPA). Los plazos de conservación de los datos de uso figuran en el apartado 4.

Esta política no es la información que su organización debe darle antes de activar la vista, ni la consulta de sus representantes. Para ejercer sus derechos sobre esta consulta, diríjase a su organización. Si nos escribe, le trasladamos su solicitud. El detalle por miembro no se envía a la herramienta de medición.

Asistencia. Puede contactarnos mediante el chat de asistencia o por correo electrónico. Las conversaciones y sus archivos adjuntos se almacenan en nuestros servidores, en Microsoft Azure en la Unión Europea. Cuando no ha leído una respuesta de nuestro equipo o de Moulinet, se la enviamos por correo electrónico a través de Azure Communication Services. Los correos electrónicos de asistencia, incluidos los enviados a support [at] blast-audit.com, los recibe Google Workspace, nuestro proveedor de correo electrónico, o el servicio de correo electrónico de Cloudflare, que los transmite después a nuestros servidores.

Moulinet, el asistente de inteligencia artificial del servicio de asistencia. Cuando está activo, Moulinet, un asistente de inteligencia artificial (IA), recibe en primer lugar los mensajes enviados al servicio de asistencia, en el chat y por correo electrónico, incluidos los de visitantes no conectados. Responde a partir de nuestra documentación pública (centro de ayuda, notas de versión, páginas de producto del sitio, página de seguridad) y de notas redactadas por nuestro equipo; cada uno de sus mensajes indica que lo ha escrito una IA. Sus respuestas son objeto de un control automático antes de su envío, por Azure OpenAI y, en su caso, por el servicio Azure AI de la zona de datos de la UE (artículos 5, 6 y 10); este control no garantiza su exactitud. Estos servicios reciben el texto de los mensajes, tras sustituir todas las direcciones de correo electrónico y los números de teléfono que nuestra herramienta reconoce, el idioma de la conversación, los extractos de nuestra documentación que sirven para responder y la respuesta propuesta. No reciben ningún dato de su cuenta (nombre, dirección de correo electrónico, organización) ni ningún archivo adjunto, ni siquiera su nombre. En cambio, un nombre, una empresa o un número que nuestra herramienta no reconoce pueden enviárseles si están escritos en un mensaje. Puede pedir que intervenga el equipo en cualquier momento: un botón del chat confía la conversación al equipo; una respuesta a su correo electrónico hace lo mismo, salvo la respuesta a una pregunta que Moulinet ha hecho para precisar la solicitud.

---

13. Seguridad

Protegemos los datos personales mediante medidas técnicas y organizativas adecuadas al riesgo, en particular el alojamiento en la Unión Europea, el cifrado en tránsito (TLS) y en reposo, la separación de los datos de cada organización, los accesos restringidos y la supresión automática del contenido de los documentos. Estas medidas se describen en el anexo 2 del DPA. Para comunicar una vulnerabilidad, consulte nuestra página de seguridad.

---

14. Modificaciones de la presente política

Podemos actualizar esta política para reflejar una evolución de nuestros tratamientos o de la ley. La fecha que figura al principio de la página indica la versión en vigor. Una versión surte efecto con su publicación; informamos a los usuarios de cualquier modificación importante por correo electrónico o en el Software a más tardar en esa fecha.

---

15. Contacto

privacy [at] blast-audit.com
NEXT BP, 127 rue de la Tour, 75016 París (Francia)