Aviso legal

Política de privacidad

Cómo recopilamos, tratamos y protegemos tus datos.

Última actualización: 5 de octubre de 2026

La presente política de privacidad explica cómo NEXT BP trata los datos personales cuando usted visita blast-audit.com o utiliza Blast Audit: el complemento de Excel, el panel web, los conectores de almacenamiento en línea, el servidor MCP y el agente de encargos (el «Software»). Constituye la información exigida por los artículos 13 y 14 del Reglamento general de protección de datos (RGPD).

1. Quiénes somos

El responsable del tratamiento es NEXT BP, sociedad por acciones simplificada (SAS) con un capital de 100 €, inscrita en el Registro Mercantil de París con el número 920 753 233, cuyo domicilio social se encuentra en 127 rue de la Tour, 75016 París (Francia).

Para cualquier pregunta sobre sus datos personales o para ejercer sus derechos, escriba a privacy [at] blast-audit.com. NEXT BP no ha designado un delegado de protección de datos; esta dirección llega a la persona encargada de la protección de datos en NEXT BP.

El Software está destinado a profesionales. No está dirigido a menores.

2. Responsable o encargado del tratamiento

NEXT BP trata datos personales en dos calidades.

Como responsable del tratamiento, respecto de los datos necesarios para su propia actividad: visitantes del sitio web, cuentas y autenticación de los usuarios, facturación, asistencia, seguridad, medición del uso del producto, prospección comercial y relaciones comerciales. La presente política describe estos tratamientos.
Como encargado del tratamiento, respecto de los documentos y contenidos que los despachos de auditoría y de contabilidad envían al Software (por ejemplo, extractos bancarios, facturas, contratos o registros de nóminas) y de los datos personales que contienen. El despacho que utiliza Blast Audit es el responsable del tratamiento de estos datos y decide qué envía. NEXT BP los trata únicamente siguiendo las instrucciones de ese despacho, en el marco del acuerdo de encargo del tratamiento (DPA).

Si sus datos figuran en un documento que un despacho ha enviado a Blast Audit, diríjase a ese despacho para ejercer sus derechos. Si nos escribe, trasladaremos su solicitud al despacho afectado.

3. Datos que recogemos y su origen

Datos de identidad y de cuenta: nombre, dirección de correo electrónico, organización, rol, idioma, identificadores de su proveedor de identidad cuando su organización utiliza el inicio de sesión único, fechas de conexión.
Datos de facturación: nombre del contacto de facturación, información de la empresa, dirección, número de IVA, suscripción, facturas y estado de los pagos. Los datos de la tarjeta se introducen en las páginas de Stripe; nunca recibimos el número completo de la tarjeta.
Datos de uso: funciones utilizadas, número de páginas tratadas, créditos de IA consumidos, identificadores técnicos, datos del navegador y del dispositivo, dirección IP, páginas consultadas.
Asistencia y comunicaciones: mensajes, correos electrónicos y archivos adjuntos que nos envía, y correos electrónicos que le enviamos.
Datos de prospección: lo que introduce en nuestros formularios de contacto y de demostración (nombre, dirección de correo electrónico profesional, número de teléfono, empresa, cargo, tamaño del equipo, mensaje).
Datos de los conectores: cuando conecta Google Drive o Microsoft 365, los tokens de acceso y el identificador de cuenta que devuelve el proveedor.
Contenido enviado al Software: documentos, valores extraídos, instrucciones, entrada de voz. NEXT BP trata este contenido como encargado del tratamiento (apartado 2).

La mayoría de estos datos proceden de usted. Algunos proceden de otras fuentes:

el administrador de su organización, que le invita y le asigna su rol;
el proveedor de identidad de su organización, a través de WorkOS, cuando se utiliza el inicio de sesión único;
Stripe, respecto del estado de los pagos;
Google o Microsoft, cuando conecta un conector.

4. Finalidades, bases jurídicas y plazos de conservación

Finalidad	Datos	Base jurídica	Plazo de conservación
Crear y gestionar su cuenta, autenticarle, gestionar los usuarios de su organización	Datos de identidad y de cuenta	Ejecución del contrato celebrado con su organización (art. 6.1.b); para los usuarios invitados por su organización, nuestro interés legítimo y el de la organización en darles acceso al servicio (art. 6.1.f)	Mientras dure la cuenta; después, supresión en los 30 días siguientes a su cierre
Prestar las funciones del Software, aplicar las cuotas y medir el consumo	Datos de uso, datos de los conectores	Ejecución del contrato (art. 6.1.b)	Mientras dure la cuenta; después, supresión en los 30 días siguientes a su cierre
Facturar, cobrar los pagos, llevar la contabilidad	Datos de facturación	Ejecución del contrato (art. 6.1.b); obligación legal (art. 6.1.c) para los documentos contables	Mientras dure la suscripción; facturas y documentos contables: 10 años (artículo L. 123-22 del Código de Comercio francés)
Atender las solicitudes de asistencia	Asistencia y comunicaciones, datos de identidad	Ejecución del contrato para los clientes; interés legítimo en responder a visitantes y prospectos (art. 6.1.f)	Hasta que nos pida que las eliminemos. La eliminación automática 24 meses después del último mensaje (90 días para las conversaciones sin respuesta de visitantes no conectados) aún no está activa
Enviar los correos electrónicos de servicio: invitaciones, primeros pasos, recordatorios de prueba y de facturación	Datos de identidad, idioma, organización, plan, eventos de la suscripción	Ejecución del contrato (art. 6.1.b); para los consejos de primeros pasos, nuestro interés legítimo en ayudar a los clientes a utilizar el servicio (art. 6.1.f)	Mientras dure la cuenta
Proteger el servicio, prevenir el fraude y los abusos, detectar errores	Dirección IP, registros técnicos, informes de errores	Interés legítimo en proteger el servicio y a sus usuarios (art. 6.1.f)	Registros: 30 días; informes de errores: 90 días
Medición del uso del producto en el complemento de Excel	Identificador de usuario, dirección de correo electrónico, organización, eventos de uso	Interés legítimo en comprender el uso del producto y mejorarlo (art. 6.1.f)	25 meses
Medición de audiencia anónima en el sitio web y en el panel, sin consentimiento	Páginas consultadas, interacciones, dirección IP y agente de usuario del navegador, que PostHog convierte en un hash con una sal que cambia cada día; PostHog no conserva la dirección IP	Interés legítimo en medir la audiencia del sitio web y del panel (art. 6.1.f)	25 meses
Medición de audiencia y grabación de sesiones en el sitio web, y medición del uso del producto en el panel, con su consentimiento	Identificador del navegador, páginas consultadas, interacciones, grabaciones con el texto enmascarado; cuando ha iniciado sesión, identificador de usuario, dirección de correo electrónico y organización	Consentimiento (art. 6.1.a), recabado en el banner de cookies	Eventos: 25 meses; grabaciones: 90 días
Estadísticas de uso del complemento de Excel	Identificadores de sesión y de visitante, página, sitio de procedencia, país y ciudad deducidos de la dirección IP, que solo se conserva en forma de hash	Interés legítimo en medir el uso del complemento (art. 6.1.f)	25 meses
Prospección y relaciones comerciales con profesionales	Datos de prospección	Interés legítimo en presentar nuestros servicios a profesionales (art. 6.1.f)	3 años desde el último contacto procedente del prospecto
Tramitar los comentarios sobre el producto	Organización, dirección de correo electrónico, contenido del comentario	Interés legítimo en mejorar el producto (art. 6.1.f)	3 años
Cumplir nuestras obligaciones legales, constatar, ejercer o defender nuestros derechos en juicio	Datos afectados	Obligación legal (art. 6.1.c); interés legítimo (art. 6.1.f)	Plazos legales de prescripción (5 años en materia mercantil)

Cuando nos basamos en nuestro interés legítimo, puede oponerse en cualquier momento (apartado 8).

5. Destinatarios

Solo tienen acceso a los datos personales las personas de NEXT BP que los necesitan. Los comunicamos a los siguientes proveedores, que actúan siguiendo nuestras instrucciones:

Microsoft (Microsoft Ireland Operations Limited): alojamiento en Microsoft Azure en Francia; Azure OpenAI (zona de datos de la UE, recurso en Suecia) y Azure AI Content Understanding para el análisis de documentos y el OCR; Azure AI Speech para la entrada de voz; Azure Communication Services para los correos electrónicos transaccionales, incluidas las respuestas de nuestro servicio de asistencia;
Cloudflare: alojamiento del sitio web y del panel, recepción de los correos electrónicos de asistencia enviados a reply.blast-audit.com;
Google (Google Workspace): correo electrónico de NEXT BP, incluidos los correos enviados a support [at] blast-audit.com, que reenvía a reply.blast-audit.com;
WorkOS: autenticación e inicio de sesión único;
Stripe: pago y facturación;
PostHog: medición del uso del producto y medición de audiencia;
Sentry: seguimiento de errores;
Customer.io: correos electrónicos de servicio vinculados a la cuenta y a la suscripción;
Exa: búsqueda web propuesta por el agente de Excel, únicamente cuando usted aprueba la consulta de búsqueda;
Discord: notificación interna a nuestro equipo de los formularios de contacto y de los comentarios sobre el producto.

La ubicación de cada proveedor y las garantías aplicables a las transferencias figuran en el anexo 3 del acuerdo de encargo del tratamiento, que constituye nuestra lista fechada de subencargados.

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija, a nuestros asesores (abogados, auditores de cuentas) sujetos a secreto profesional, y a un adquirente en caso de fusión o de cesión de la actividad, previa información a usted.

No vendemos datos personales.

6. Transferencias fuera del Espacio Económico Europeo

Alojamos nuestras bases de datos y nuestros archivos en la Unión Europea. Algunos proveedores están establecidos en los Estados Unidos o pueden acceder a los datos desde ese país: Cloudflare, Google, Stripe, WorkOS, Sentry, Customer.io, PostHog, Exa y Discord. Estas transferencias se basan en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el destinatario está certificado (Cloudflare, Google, Stripe, PostHog, Sentry, Customer.io), y en las cláusulas contractuales tipo adoptadas por la Comisión (Decisión (UE) 2021/914) en los demás casos o de forma complementaria. Puede obtener una copia de estas garantías escribiendo a privacy [at] blast-audit.com.

7. Plazos de conservación

El plazo de conservación de cada categoría de datos figura en la tabla del apartado 4. Al término de dicho plazo, los datos se suprimen o se anonimizan. Las copias de seguridad de la base de datos se conservan 7 días: un elemento suprimido desaparece de las copias de seguridad en un plazo de 7 días.

Respecto del contenido de los documentos que NEXT BP trata como encargado del tratamiento, los plazos se fijan en el anexo 1 del acuerdo de encargo del tratamiento. En resumen:

el contenido enviado para OCR, análisis de documentos o al agente de Excel se suprime como máximo 24 horas después de su carga;
el contenido de un encargo del agente de encargos se conserva mientras el encargo permanece abierto y se suprime 30 días después de su cierre;
los registros de explotación, que no contienen ningún contenido de documentos, se conservan 30 días.

8. Sus derechos

Usted tiene derecho de acceso, de rectificación y de supresión, derecho a la limitación del tratamiento, derecho a la portabilidad de sus datos y derecho de oposición a los tratamientos basados en nuestro interés legítimo, incluida la prospección comercial, a la que puede poner fin en cualquier momento sin necesidad de justificarse. Cuando el tratamiento se basa en su consentimiento, puede retirarlo en cualquier momento; para las cookies, utilice el enlace Configuración de cookies que figura al pie de cada página. También puede establecer directrices sobre el destino de sus datos tras su fallecimiento.

Para ejercer estos derechos, escriba a privacy [at] blast-audit.com. Respondemos en el plazo de un mes; este plazo puede prorrogarse dos meses más en el caso de solicitudes complejas, en cuyo caso se lo comunicaremos. Podemos pedirle información para verificar su identidad.

Puede presentar una reclamación ante la CNIL (3 place de Fontenoy, TSA 80715, 75334 París Cedex 07, www.cnil.fr), o ante la autoridad del Estado miembro en el que resida o trabaje.

9. Carácter obligatorio o facultativo de los datos

Su nombre, su dirección de correo electrónico y su organización son necesarios para crear una cuenta; sin ellos, no podemos darle acceso al Software. Los datos de facturación son necesarios para contratar una suscripción de pago. En nuestros formularios, los campos obligatorios están señalados; los demás son facultativos. La aceptación de las cookies de medición de audiencia es facultativa y no afecta al acceso al sitio web.

10. Inteligencia artificial y decisiones automatizadas

No utilizamos sus datos ni el contenido que usted envía para entrenar, ajustar o mejorar modelos de inteligencia artificial, y nuestro proveedor de IA, Microsoft, está contractualmente obligado a no hacerlo tampoco.
Si su organización registra su propia clave de API de otro proveedor de IA o de OCR, las solicitudes correspondientes se envían a ese proveedor, conforme al contrato que su organización ha celebrado con él; ese proveedor no es nuestro encargado del tratamiento (artículo 5.7 del DPA).
Las solicitudes dirigidas a Azure OpenAI se envían con el parámetro store:false: el servicio no las conserva para su consulta posterior, con la única salvedad de la supervisión de abusos descrita a continuación.
Microsoft conserva temporalmente todas las solicitudes dirigidas a Azure OpenAI y todas las respuestas, para detectar y prevenir los usos abusivos o perjudiciales del servicio y de sus resultados (abuse monitoring, supervisión de abusos). El contrato de Microsoft no fija la duración de esta conservación. Solo los datos que han activado sus sistemas automatizados pueden ser examinados por empleados autorizados de Microsoft; en los despliegues sujetos a la frontera de datos de la UE (EU Data Boundary), esos empleados están situados en el Espacio Económico Europeo. Las condiciones de Microsoft (Privacy & Security Terms) permiten además a su personal situado fuera de esa frontera acceder en remoto a los sistemas de tratamiento que se encuentran dentro de ella, en la medida necesaria para operar, solucionar incidencias, prestar asistencia y proteger sus servicios. El 2 de octubre de 2026, NEXT BP solicitó a Microsoft la supervisión de abusos modificada (modified abuse monitoring), que suprime esta conservación; Microsoft la rechazó el 4 de octubre de 2026. Por tanto, esta conservación se produce.
El Software no adopta ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar. Sus resultados son propuestas que el usuario verifica.

11. Cookies

Las cookies y el almacenamiento del navegador utilizados por el sitio web y el panel, su finalidad, su duración y la manera de modificar su elección se describen en nuestra Política de cookies.

12. Funciones particulares

Entrada de voz. Cuando la entrada de voz está activada, el complemento graba su voz mientras usted dicta y envía el audio a nuestros servidores, que lo hacen transcribir por la transcripción rápida de Azure AI Speech, en la región Sweden Central. Microsoft no conserva ni almacena el audio (documentación de Microsoft). NEXT BP no conserva el audio después de haberlo transmitido para su transcripción; la transcripción se le devuelve. Este tratamiento se realiza por cuenta de su organización, en el marco del DPA.

Conexiones al almacenamiento en línea (Google Drive, Microsoft 365). Si conecta una cuenta de Google Drive o de Microsoft 365, Blast Audit lee sus archivos para que usted pueda elegir e importar documentos desde Excel. Nunca creamos, modificamos, compartimos ni suprimimos archivos en su almacenamiento en línea. Los tokens de acceso se cifran y se conservan para su cuenta, y se suprimen cuando usted desconecta la cuenta desde el panel de Blast Audit. La desconexión no retira la autorización en el proveedor: también puede revocarla desde la página de permisos de su cuenta de Google o de Microsoft. Los archivos importados se transmiten a su navegador sin conservarse en nuestros servidores; si usted los somete a un tratamiento, se aplican las reglas de conservación del apartado 7.

Datos de los usuarios de Google. El uso por parte de Blast Audit de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustarán a la Google API Services User Data Policy, incluidos los requisitos de Limited Use. Solicitamos el ámbito https://www.googleapis.com/auth/drive.file, que solo da a Blast Audit acceso a los archivos que usted elija en el selector de Google Drive. Lo utilizamos únicamente para descargar el archivo que usted selecciona, con el fin de mostrarlo y vincularlo a celdas de su propio libro de Excel. No utilizamos los datos de los usuarios de Google con fines publicitarios, no los vendemos, no los utilizamos para entrenar modelos de inteligencia artificial o de aprendizaje automático, y solo los transferimos a terceros en la medida necesaria para prestar la función (nuestro proveedor de alojamiento Microsoft Azure) o cuando la ley lo exija.

Servidor MCP. Si conecta a Blast Audit un asistente de IA de su elección (por ejemplo, Claude o ChatGPT) a través del servidor MCP, usted lo autoriza con su cuenta de Blast Audit a través de WorkOS. Las solicitudes del asistente y los resultados devueltos por su complemento transitan por nuestros servidores: su contenido se enmascara 10 minutos después de la solicitud y el registro se suprime tras 30 días. El asistente que usted conecta es explotado por su propio proveedor, conforme a las condiciones de este; no es un subencargado de NEXT BP. Conservamos la lista de asistentes conectados (nombre, fecha del último uso) para que pueda consultarlos y desconectarlos.

Agente de encargos. Si su organización utiliza el agente de encargos, los documentos importados en un encargo, el registro de tareas y los papeles de trabajo se conservan en nuestros servidores mientras el encargo permanece abierto, para que el agente pueda trabajar sin que Excel esté abierto, y se suprimen 30 días después del cierre del encargo.

Asistencia. Puede contactarnos mediante el chat de asistencia o por correo electrónico. Las conversaciones y sus archivos adjuntos se almacenan en nuestros servidores, en Microsoft Azure en la Unión Europea. Cuando no ha leído una respuesta de nuestro equipo, se la enviamos por correo electrónico a través de Azure Communication Services. Sus respuestas a nuestros correos electrónicos de asistencia, y los correos electrónicos enviados a reply.blast-audit.com, los recibe el servicio de correo electrónico de Cloudflare, que los transmite a nuestros servidores. Los correos electrónicos enviados a support [at] blast-audit.com llegan primero a Google Workspace, nuestro proveedor de correo electrónico, que los reenvía a reply.blast-audit.com.

13. Seguridad

Protegemos los datos personales mediante medidas técnicas y organizativas adecuadas al riesgo: alojamiento en la Unión Europea, cifrado en tránsito (TLS) y en reposo, separación de los datos de cada organización, accesos restringidos y supresión automática del contenido de los documentos. Estas medidas se describen en el anexo 2 del acuerdo de encargo del tratamiento. Para comunicar una vulnerabilidad, consulte nuestra página de seguridad.

14. Modificaciones de la presente política

Podemos actualizar esta política para reflejar una evolución de nuestros tratamientos o de la ley. La fecha que figura al principio de la página indica la última versión. Informamos a los usuarios de cualquier modificación importante por correo electrónico o en el Software antes de que surta efecto.

15. Contacto

privacy [at] blast-audit.com
NEXT BP, 127 rue de la Tour, 75016 París (Francia)