Política de Privacidad de NodiaFlow

Última actualización: 17 de septiembre de 2026

ÍNDICE

1. ¿Quién es el responsable del tratamiento?
2. ¿A quién se aplica esta política?
3. ¿Qué datos personales tratamos?
4. ¿Para qué usamos sus datos? (Finalidades y bases jurídicas)
5. ¿Cuánto tiempo conservamos sus datos? (Tabla de retención)
6. Memoria del agente IA
7. Integraciones con servicios de terceros
8. ¿A quién comunicamos sus datos?
9. Transferencias internacionales de datos
10. Decisiones automatizadas y perfilado (Art. 22 RGPD)
11. Transparencia en el uso de Inteligencia Artificial (EU AI Act Art. 50)
12. Categorías especiales de datos y menores de edad
13. Seguridad de los datos
14. Sus derechos como interesado
15. Modificaciones de esta política
16. Contacto y reclamaciones

1. ¿Quién es el responsable del tratamiento?

La entidad responsable del tratamiento de sus datos personales en el marco del servicio NodiaFlow es:

Para cualquier consulta relacionada con la protección de datos y el ejercicio de sus derechos, le recomendamos dirigirse directamente al correo del DPO: dpo@codidata.es. Este canal está destinado exclusivamente al tratamiento de consultas y solicitudes en materia de privacidad, garantizando su tramitación preferente y confidencial.

2. ¿A quién se aplica esta política?

Esta política de privacidad aplica a:

• Usuarios de NodiaFlow: personas físicas que acceden y utilizan la plataforma NodiaFlow bajo la cuenta de una organización cliente (la empresa PYME que contrata el servicio).
• Contactos de clientes de la organización: personas físicas cuyos datos son introducidos en NodiaFlow por los usuarios de la plataforma (p. ej., datos de clientes de la PYME almacenados en el CRM integrado).
• Visitantes del sitio web de NodiaFlow.

Responsabilidad dual en el tratamiento de datos B2B

NodiaFlow opera como encargado del tratamiento (Art. 4.8 RGPD) respecto de los datos de las personas físicas que los usuarios de la PYME introducen en la plataforma (clientes, contactos, proveedores). La empresa PYME actúa como responsable del tratamiento de esos datos. Esta relación se regula mediante el Acuerdo de Tratamiento de Datos (DPA/ATD) suscrito entre Codidata Digital, S.L. y cada cliente.

Respecto de los datos de los propios usuarios de la plataforma (nombre, email, logs de uso), Codidata Digital, S.L. actúa como responsable del tratamiento.

3. ¿Qué datos personales tratamos?

3.1 Datos aportados directamente por el usuario

• Datos de cuenta y registro: nombre completo, dirección de correo electrónico, contraseña (almacenada con hash), nombre de la organización, cargo y datos de contacto profesional.
• Datos de uso de la plataforma: conversaciones con el agente IA, tareas creadas, documentos subidos, comentarios, notas y cualquier otro contenido introducido en la plataforma.
• Datos de contactos y CRM: información de terceros (clientes, proveedores) que el usuario introduce en la plataforma, como nombre, empresa, correo electrónico, teléfono, historial de comunicaciones y oportunidades de negocio.
• Datos de integraciones: en caso de conectar servicios de terceros (Gmail, Google Drive, Google Calendar, WhatsApp Business), se accede a los datos autorizados expresamente por el usuario mediante flujo OAuth. En el caso del correo conectado directamente contra el servidor del proveedor (IMAP/SMTP), el acceso se autoriza mediante las credenciales que el propio cliente introduce en la configuración, conforme a la Sección 7.1.ter.

3.2 Datos generados automáticamente por el uso del servicio

• Logs del sistema y auditoría: registros de acceso, operaciones realizadas, errores, identificadores de sesión, dirección IP, tipo de dispositivo y navegador.
• Metadatos de uso: créditos de IA consumidos, número de tareas ejecutadas, frecuencia de uso de funcionalidades, rendimiento del sistema.
• Memoria del agente: información relevante extraída por el sistema de memoria del agente a partir de las conversaciones, para dotar de contexto a futuras interacciones (véase Sección 6 para más detalle).
• Embeddings vectoriales: representaciones matemáticas de documentos almacenadas para la funcionalidad de búsqueda semántica.

3.3 Datos recibidos de terceros

• Datos procedentes de integraciones configuradas por el cliente (CRM externos, APIs de terceros) que fluyen hacia NodiaFlow según la configuración establecida por la propia PYME.

4. ¿Para qué usamos sus datos? (Finalidades y bases jurídicas)

Nota sobre el interés legítimo: cuando la base jurídica es el interés legítimo (Art. 6.1.f), Codidata Digital, S.L. ha realizado el correspondiente test de ponderación, documentado en el Registro de Actividades de Tratamiento (Art. 30 RGPD), que está disponible a petición a través de dpo@codidata.es.

5. ¿Cuánto tiempo conservamos sus datos? (Tabla de retención)

La siguiente tabla recoge los períodos de retención específicos para cada categoría de dato, la base legal que los justifica, el sistema donde se almacenan y el procedimiento de supresión aplicable.

Nota sobre la supresión: cuando un usuario o una organización ejerce el derecho de supresión (Art. 17 RGPD) o cuando el contrato finaliza, se activa el procedimiento de borrado en cascada que afecta a todas las categorías marcadas como «Vigencia del contrato + 30 días». Los backups técnicos se depuran en su ciclo de expiración (snapshots de disco: 7 días; rotación de copias: hasta 60 días). Los logs de auditoría con obligación legal de conservación (7 años) se mantienen aunque el contrato haya finalizado, pero se disocian del acceso ordinario del servicio.

Nota sobre la memoria vinculada a buzones de Google Workspace conectados: cuando la memoria del agente está particionada por un buzón de Workspace conectado mediante Delegación de Ámbito de Dominio (Sección 7.1.bis), el procedimiento de supresión descrito arriba se matiza según el tipo de buzón: la memoria de un buzón personal se borra a petición individual de su titular igual que el resto de su memoria; la memoria de un buzón compartido no se borra por petición individual mientras el buzón siga conectado, sino al desvincularlo. Véase la Sección 6.5 para el detalle completo.

6. Memoria del agente IA

6.1 ¿Qué es la memoria del agente?

NodiaFlow incorpora un sistema de memoria propio que permite al agente IA recordar información relevante de las conversaciones anteriores para ofrecerle respuestas más útiles y contextualizadas en el futuro.

El sistema identifica y retiene información relevante mencionada en las conversaciones —por ejemplo, datos de un cliente o proyecto, o una preferencia de comunicación— junto con el contexto temporal en que se generó, vinculada a su cuenta.

6.2 ¿Esto es perfilado en el sentido del RGPD?

Sí. Esta funcionalidad constituye perfilado en el sentido del Art. 4.4 RGPD, ya que implica el tratamiento automatizado de datos personales para evaluar aspectos relativos a una persona física o predecir su comportamiento futuro (en este caso, las preferencias de comunicación y contexto profesional relevante para las conversaciones con el agente).

La base jurídica para este tratamiento es la ejecución del contrato (Art. 6.1.b RGPD): sin esta memoria, el agente no podría ofrecer el nivel de utilidad que justifica la contratación del servicio.

6.3 ¿Qué derechos tiene sobre la memoria del agente?

• Acceso: puede solicitar una exportación completa de la memoria del agente a través de Ajustes > Privacidad > Exportar mis datos en la consola de NodiaFlow. Recibirá un archivo con toda la información almacenada sobre usted.
• Rectificación: si detecta información inexacta en la memoria del agente, puede corregirla indicándoselo al agente directamente en la conversación o solicitando la corrección a dpo@codidata.es.
• Supresión: puede solicitar la eliminación de toda la memoria del agente sin dar de baja su cuenta a través de dpo@codidata.es. La supresión técnica se ejecuta mediante una función interna dedicada de borrado de memoria por usuario. Si su memoria incluye la partición de un buzón de Google Workspace conectado, aplica la matización de la Sección 6.5 (personal vs. compartido).
• Oposición al perfilado: puede oponerse a este tratamiento en cualquier momento (Art. 21 RGPD) contactando con dpo@codidata.es. En ese caso, el agente funcionará sin memoria persistente entre sesiones, lo que reducirá la utilidad del servicio.

6.4 Infraestructura y localización

El sistema de memoria del agente se ejecuta en infraestructura ubicada íntegramente en la Unión Europea: GCP europe-southwest1 (Madrid, España). Los datos de la memoria del agente no salen de la UE.

6.5 Memoria vinculada a buzones de Google Workspace conectados

Cuando un agente accede a un buzón de Google Workspace mediante Delegación de Ámbito de Dominio (Sección 7.1.bis), la memoria generada a partir de las conversaciones de ese buzón se almacena en una partición propia, separada del esquema general de memoria por usuario descrito en esta Sección 6. El tratamiento y los derechos aplicables a esa partición dependen del tipo de buzón:

• Buzón personal (un único titular autorizado): la memoria de ese buzón se trata como memoria del titular a todos los efectos. El titular puede solicitar su supresión mediante el mismo procedimiento descrito en la Sección 6.3 y en Ajustes > Privacidad > Eliminar mi cuenta, que se extiende para cubrir también la partición de memoria de su buzón personal.
• Buzón compartido (varios titulares autorizados sobre la misma cuenta de trabajo): la memoria de ese buzón es memoria colectiva del equipo y no puede aislarse por autor individual. Por ello, ningún titular individual puede solicitar por sí solo la supresión de la memoria del buzón compartido mientras este siga conectado. La base jurídica de esta conservación es la misma que la Sección 7.1 aplica a los emailMessages de las integraciones de correo: Art. 6.1.b y 6.1.f RGPD y, en el ámbito laboral, Art. 87 LOPDGDD (interés y necesidad de la organización para la ejecución del contrato y la prestación del servicio, no el consentimiento individual de cada titular).

En ambos casos, el disparador que sí borra la memoria del buzón —personal o compartido— es la desvinculación del buzón (una acción distinta y más definitiva que suspenderlo, que solo pausa la integración sin borrar memoria). Antes de confirmar la desvinculación, el administrador del tenant recibe un aviso previo indicando que la memoria de ese buzón va a eliminarse.

7. Integraciones con servicios de terceros

NodiaFlow permite conectar servicios de terceros para ampliar la capacidad del agente. A continuación se describe el tratamiento de datos en cada integración disponible.

7.1 Google Workspace (Gmail, Google Drive, Google Calendar)

• Autorización: mediante flujo OAuth 2.0 estándar de Google. El usuario autoriza expresamente los permisos que concede a NodiaFlow (p. ej., lectura de correos, acceso a ficheros específicos, consulta de calendario).
• Datos accedidos: únicamente los datos para los que se han otorgado permisos OAuth.
• Tratamiento y conservación según el tipo de dato:
  • Correo electrónico (Gmail): para que el agente pueda gestionar la bandeja de entrada, NodiaFlow almacena en infraestructura ubicada en la UE los mensajes de correo procesados por el agente, incluyendo remitente, destinatarios, asunto, cuerpo del mensaje y metadatos de los adjuntos. Estos datos se conservan mientras la integración esté activa. Al desconectar la integración cesan su tratamiento y quedan retenidos de forma aislada hasta su supresión definitiva, que se ejecuta al eliminar la cuenta o cuando el cliente la solicita, conforme a la tabla de retención de la Sección 5.
  • Documentos de Google Drive: cuando el agente necesita un archivo de Drive, este se descarga y se almacena de forma temporal (máximo 48 horas) en la UE para su procesamiento, eliminándose automáticamente al expirar dicho plazo.
  • Google Calendar: NodiaFlow lee y escribe eventos directamente sobre la API de Google Calendar sin almacenar copias locales de los eventos.
• Tokens de acceso (OAuth): se almacenan cifrados en la UE y se revocan al desconectar la integración.
• Revocación: el usuario puede revocar el acceso en cualquier momento desde Ajustes > Integraciones > Desconectar, lo que revoca el token OAuth y elimina las credenciales almacenadas.
• NodiaFlow como cliente augment-first: NodiaFlow complementa las herramientas que la empresa ya utiliza; el agente actúa sobre los datos del servicio del cliente para ejecutar tareas, sin pretender reemplazar el cliente de correo o el gestor documental ni convertirse en el repositorio permanente de esos datos.

7.1.bis Google Workspace: conexión corporativa mediante Delegación de Ámbito de Dominio (Domain-Wide Delegation)

Como alternativa al flujo OAuth individual descrito en la Sección 7.1, la integración con Google Workspace puede establecerse, a elección de la organización cliente, mediante Delegación de Ámbito de Dominio (Domain-Wide Delegation, «DWD»), un mecanismo corporativo oficial de Google. Su modelo de autorización difiere del flujo OAuth individual, por lo que se describe de forma separada:

• Autorización a nivel de dominio: la autorización la concede, una única vez, el administrador del dominio de Google Workspace de la organización cliente desde su propia Consola de Administración de Google (Google Admin Console), indicando de forma expresa y limitativa los permisos (scopes) que se conceden a NodiaFlow para el conjunto del dominio.
• Ausencia de pantalla de consentimiento individual: en esta modalidad, las personas usuarias cuyas cuentas de trabajo quedan cubiertas por la delegación no ven ninguna pantalla de consentimiento OAuth individual. El acceso a los datos de una cuenta concreta (correo, calendario o archivos de la cuenta de trabajo) se realiza mediante impersonación técnica de dicha cuenta —el servicio actúa en nombre de la cuenta de trabajo autorizada—, siempre dentro de los permisos concedidos por el administrador del dominio.
• Sin clave persistente que custodiar: NodiaFlow no genera ni almacena ninguna clave privada ni credencial de larga duración para esta integración. Cada acceso se autoriza bajo demanda mediante tokens efímeros generados por el proveedor de infraestructura en el momento de la operación, sin que exista fichero de clave persistente, conforme a la práctica recomendada por Google. No existe, por tanto, ninguna credencial almacenada susceptible de filtración, sustracción o rotación.
• Decisión y responsabilidad de la organización cliente: la activación de esta modalidad es una decisión de la organización cliente que, conforme a la Sección 2, actúa como responsable del tratamiento respecto de los datos de las cuentas de trabajo de sus empleados y colaboradores. Codidata Digital, S.L. interviene como encargado del tratamiento y accede a dichos datos exclusivamente para prestar el servicio conforme a la configuración establecida por la organización cliente y al Acuerdo de Tratamiento de Datos (DPA).
• Base jurídica: al no mediar consentimiento individual de la persona usuaria, corresponde a la organización cliente, como responsable del tratamiento, determinar y documentar la base jurídica que ampara el acceso a las cuentas de trabajo de su personal. Como criterio orientativo: cuando el uso se limita a que los agentes IA ejecuten tareas ya asignadas al empleado (por ejemplo, gestionar su agenda o clasificar su correo entrante) sin fines de supervisión o evaluación de su conducta, la base más ajustada suele ser la ejecución de la relación laboral o contractual (Art. 6.1.b RGPD), como manifestación del poder de organización de las herramientas de trabajo del empresario. Si, en cambio, el uso permite a un responsable revisar el contenido con fines de control o evaluación del empleado, la base aplicable pasa a ser el interés legítimo del empresario (Art. 6.1.f RGPD), con el correspondiente test de ponderación y las garantías reforzadas del Art. 87 LOPDGDD (proporcionalidad, ausencia de medio menos intrusivo). En ambos casos, la organización cliente debe informar previamente a las personas afectadas de la existencia y alcance de esta integración, conforme a los Arts. 13 y 14 RGPD y, en el ámbito laboral español, al Art. 87 LOPDGDD (derecho a la intimidad en el uso de dispositivos digitales en el ámbito laboral) — la jurisprudencia (Tribunal Supremo, incorporando el criterio Barbulescu del TEDH) considera esta información previa el factor determinante de la licitud del acceso.
• Alcance y revocación: los permisos concedidos son visibles y revocables en todo momento por el administrador del dominio desde la Consola de Administración de Google; la revocación a nivel de dominio deja sin efecto de forma inmediata el acceso de NodiaFlow. Adicionalmente, la integración puede desconectarse desde Ajustes > Integraciones > Desconectar.
• Tratamiento y conservación: el tratamiento, la conservación y la supresión de los datos accedidos por esta vía son los descritos en la Sección 7.1 y en la tabla de retención de la Sección 5, que aplican igualmente a esta modalidad.

7.1.ter Correo electrónico mediante conexión directa (IMAP/SMTP)

Además de las integraciones con Google Workspace descritas en las secciones anteriores, NodiaFlow permite conectar un buzón de correo directamente contra el servidor del proveedor mediante los protocolos estándar IMAP y SMTP. Esta vía no utiliza OAuth y es independiente de Google.

• Autorización: el cliente introduce las credenciales del buzón (servidor, usuario y contraseña o contraseña de aplicación) en la configuración del espacio de trabajo. Dichas credenciales se almacenan cifradas en un gestor de secretos ubicado en la Unión Europea y no son accesibles desde la interfaz una vez guardadas.
• Datos accedidos: únicamente los mensajes del buzón conectado.
• Tratamiento y conservación: para que el agente pueda gestionar la bandeja de entrada, NodiaFlow almacena en infraestructura ubicada en la UE los mensajes de correo procesados por el agente, incluyendo remitente, destinatarios, asunto, cuerpo del mensaje y metadatos de los adjuntos. Estos datos se conservan mientras la integración esté activa. Al desconectar la integración cesan su tratamiento y quedan retenidos de forma aislada hasta su supresión definitiva, que se ejecuta al eliminar la cuenta o cuando el cliente la solicita, conforme a la tabla de retención de la Sección 5.
• Alcance de la supresión: la supresión alcanza a los mensajes almacenados del buzón desconectado. No alcanza a las tareas, documentos o registros de actividad que se hubieran generado a partir de dichos mensajes, que constituyen trabajo del cliente con vida propia y se rigen por sus respectivos plazos de conservación de la Sección 5.
• Responsabilidad del cliente: corresponde al cliente PYME informar a los interesados cuyos datos puedan figurar en los mensajes del buzón conectado, en los términos de la Sección 2.

7.2 WhatsApp Business

• La integración con WhatsApp Business se realiza a través de la API oficial de Meta for Developers.
• Los mensajes procesados a través de esta integración están sujetos también a la política de privacidad de Meta.
• NodiaFlow solo accede a los mensajes de las conversaciones para las que se ha configurado el agente.

7.3 Integraciones personalizadas (Custom API / MCP)

• Los clientes pueden conectar APIs propias o herramientas externas mediante el protocolo MCP (Model Context Protocol) o a través de la funcionalidad de Custom API.
• El cliente PYME es responsable de garantizar que las integraciones personalizadas que configura cumplen con la normativa aplicable, incluyendo la información a los terceros cuyos datos puedan ser accedidos.

8. ¿A quién comunicamos sus datos? (Subencargados y terceros)

Codidata Digital, S.L. contrata servicios de terceros para operar NodiaFlow. Estos terceros actúan como subencargados del tratamiento en los términos del Art. 28 RGPD y están vinculados por contratos que garantizan el mismo nivel de protección que esta política.

La lista actualizada de subencargados está disponible en el Acuerdo de Tratamiento de Datos (DPA) que se firma con cada cliente, y se publica en el Registro de Actividades de Tratamiento. Los subencargados principales son:

No se realizan cesiones de datos a terceros para fines de marketing, publicidad o análisis externos.

9. Transferencias internacionales de datos

9.1 Procesamiento en la Unión Europea (regla general)

La arquitectura de NodiaFlow está diseñada para que la totalidad de los datos de los usuarios se procese dentro de la Unión Europea:

• GCP europe-southwest1 (Madrid, España): base de datos, almacenamiento, gestión de secretos, ejecución de funciones del servicio, y componentes propios de memoria de agente y búsqueda vectorial.
• Archivo de datos en la UE: logs de auditoría y datos de uso en frío.
• Modelos de lenguaje: se invocan en la región europe-southwest1. Los prompts y respuestas se procesan en servidores ubicados en la UE. Los datos del cliente NO se utilizan para entrenar estos modelos, conforme a las condiciones del Google Cloud DPA.

9.2 Transferencias a EE.UU.

La única transferencia de datos a Estados Unidos es la realizada a Stripe, Inc. para la gestión de pagos y suscripciones.

• Mecanismo principal: Decisión de Adecuación EU-EE.UU. (Data Privacy Framework — DPF), Decisión de la Comisión Europea 2023/1795 de 10 de julio de 2023. Stripe está certificado en el DPF.
• Mecanismo de respaldo: en el caso de que el DPF fuera invalidado por decisión judicial o administrativa, la transferencia quedaría amparada por las Cláusulas Contractuales Tipo (CCT) Módulo 2 (controller-to-processor), adoptadas por la Decisión de la Comisión 2021/914.
• Evaluación de Impacto de la Transferencia (TIA): disponible a petición para clientes Enterprise. Puede solicitarse a dpo@codidata.es.

9.3 Sin otras transferencias

No se realizan transferencias de datos personales a países terceros distintos de los indicados. En caso de que esto cambie, se actualizará esta política y se notificará a los clientes con la antelación prevista por la normativa aplicable.

10. Decisiones automatizadas y perfilado (Art. 22 RGPD)

10.1 Regla general: el Art. 22 RGPD normalmente no es aplicable en NodiaFlow

El Art. 22 RGPD solo aplica cuando se producen decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o que afecten significativamente a las personas físicas. El uso habitual de NodiaFlow no activa este artículo porque:

• La memoria del agente (perfilado en el sentido del Art. 4.4 RGPD) se utiliza exclusivamente para contextualizar respuestas y mejorar la utilidad del servicio, no para adoptar decisiones vinculantes sobre personas.
• La asignación automática de tareas y la redacción de borradores por parte del agente son asistencia a los usuarios humanos, que retienen siempre la decisión final.
• El sistema de aprobaciones y el dial de autonomía (configuración preguntar → asistir → automatizar) garantizan que toda acción con efectos relevantes es revisada y aprobada por un humano antes de ejecutarse.

10.2 Cuándo podría activarse el Art. 22 RGPD

El Art. 22 RGPD sí puede aplicarse cuando el cliente PYME configure workflows automatizados que produzcan efectos jurídicamente significativos sobre personas físicas. Ejemplos:

• El agente evalúa el rendimiento de empleados y ese análisis sirve de base directa para una decisión de contratación, despido o promoción.
• El agente filtra o puntúa solicitudes de clientes o proveedores y determina automáticamente su elegibilidad para un servicio.
• El agente genera evaluaciones crediticias o de solvencia que se utilizan sin revisión humana.

10.3 Obligaciones del cliente PYME en esos supuestos

Cuando un workflow configurado por el cliente active el Art. 22 RGPD, el cliente PYME, como responsable del tratamiento, debe:

1. Informar a los interesados afectados de la existencia de la decisión automatizada, de la lógica aplicada y de las consecuencias previstas (Art. 13.2.f y Art. 14.2.g RGPD).
2. Garantizar que los interesados puedan ejercer su derecho a oponerse al tratamiento con arreglo al Art. 21 RGPD.
3. Ofrecer intervención humana, el derecho a expresar su punto de vista y el derecho a impugnar la decisión (Art. 22.3 RGPD).
4. Documentar el análisis de impacto (DPIA — Art. 35 RGPD) si el perfilado sistemático a gran escala produce efectos significativos.

Codidata Digital, S.L. pone a disposición de los clientes la documentación técnica necesaria para completar ese análisis y las herramientas de NodiaFlow para implementar los puntos de supervisión humana exigibles.

10.4 Garantías estructurales de NodiaFlow

NodiaFlow ha sido diseñado con supervisión humana integrada como valor central:

• Dial de autonomía (por agente y tipo de acción): configura el nivel de independencia del agente entre «Me pregunta antes de actuar», «Me sugiere y actúa si confirmo» y «Actúa automáticamente en acciones de bajo riesgo». Las acciones irreversibles o de alto impacto siempre requieren aprobación humana explícita.
• Sistema de aprobaciones: toda acción que el sistema clasifica como de riesgo elevado o efecto significativo genera un ítem de atención que el usuario humano debe aprobar antes de su ejecución.
• Botón de pausa: el usuario puede detener la ejecución del agente en cualquier momento desde la interfaz.
• Historial de ejecuciones: todos los pasos ejecutados por el agente quedan registrados y son auditables desde la consola.

11. Transparencia en el uso de Inteligencia Artificial (EU AI Act Art. 50)

En cumplimiento del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (EU AI Act), del Art. 13 y 14 RGPD y de la Guía de la AEPD sobre IA Agéntica (febrero 2026), Codidata Digital, S.L. proporciona la siguiente información sobre el uso de sistemas de inteligencia artificial en NodiaFlow.

11.1 Interacción con agentes de IA (Art. 50.1 EU AI Act)

Los usuarios de NodiaFlow interactúan directamente con empleados virtuales de inteligencia artificial (en adelante, «agentes IA»). Cada agente está identificado en la interfaz con:

• Un nombre asignado por la organización cliente.
• Un avatar con el símbolo identificador ◆ (diamante), que distingue visualmente al agente IA de un usuario humano.
• Una etiqueta persistente «Asistente IA» visible en la cabecera de cada conversación.
• Un aviso permanente bajo el campo de escritura del chat: «Las respuestas las genera una IA y pueden contener errores. Revisa la información importante.», visible durante todo el uso del servicio.

Los usuarios nunca serán engañados sobre la naturaleza artificial de los agentes con los que interactúan.

11.2 Marcado de contenido generado por IA (Art. 50.2 EU AI Act)

• Los agentes IA están identificados de forma persistente en la interfaz mediante el avatar con el símbolo ◆ y la etiqueta «Asistente IA» (ver 11.1); no se añade una marca «Generado por IA» independiente en cada texto, borrador o resumen individual.
• Para los outputs enviados a terceros (p. ej., correos electrónicos o mensajes de WhatsApp a clientes de la PYME redactados por el agente y enviados tras la revisión humana), la plataforma añade automáticamente un aviso al final del mensaje indicando que fue redactado con asistencia de inteligencia artificial, en cumplimiento del Art. 50.2 EU AI Act. Este control es técnico y se aplica en el punto de envío real, no una simple recomendación al cliente.
• El aviso está activado por defecto para todos los tenants. El Administrador de la empresa cliente puede desactivarlo desde Configuración → Idioma y región, mediante una confirmación explícita que traslada expresamente la responsabilidad de disclosure a la empresa cliente frente a sus propios destinatarios.

11.3 Uso de la memoria del agente y clasificación de personas (Art. 50.3 EU AI Act)

La memoria del agente extrae información relevante de las conversaciones. Esta información se utiliza exclusivamente para proporcionar contexto al agente en futuras interacciones del mismo usuario. Está expresamente prohibido:

• Usar la memoria del agente para clasificar o categorizar personas con fines distintos a la prestación del servicio contratado.
• Usar los datos extraídos para perfilar a los contactos de la PYME con fines de marketing, publicidad o análisis externos.
• Compartir los datos de la memoria con terceros ajenos a la prestación del servicio.

11.4 Contenido sintético (Art. 50.4 EU AI Act)

NodiaFlow no genera deepfakes, vídeos manipulados de personas reales ni contenido audiovisual sintético que represente a personas físicas identificables. La plataforma está diseñada exclusivamente para la asistencia en tareas de texto y gestión de información profesional.

11.5 Modelos de IA utilizados

Los modelos de lenguaje utilizados por NodiaFlow se ejecutan en infraestructura cloud europea, que garantiza que los datos enviados a los modelos (prompts, contexto de conversación) se procesan en servidores de la Unión Europea (europe-southwest1, Madrid) y no se utilizan para el entrenamiento de modelos, conforme a las condiciones del Google Cloud DPA.

11.6 Memoria del agente: trazabilidad y derechos

El usuario puede:

• Consultar el contenido completo de su memoria del agente en Ajustes > Privacidad > Exportar mis datos.
• Solicitar la eliminación completa de la memoria sin dar de baja su cuenta, contactando con dpo@codidata.es. Si su memoria incluye la partición de un buzón de Google Workspace conectado, aplica la matización personal/compartido de la Sección 6.5.
• Ver el historial de ejecuciones del agente y los datos de contexto utilizados en cada turno desde la consola de NodiaFlow.

11.7 Cumplimiento de la Guía AEPD sobre IA Agéntica (febrero 2026)

NodiaFlow cumple los principios establecidos en la Guía de la Agencia Española de Protección de Datos sobre sistemas de IA agéntica, publicada en febrero de 2026:

12. Categorías especiales de datos y menores de edad

12.1 Categorías especiales (Art. 9 RGPD)

NodiaFlow es una plataforma B2B destinada a la gestión de operaciones empresariales. Las condiciones de uso del servicio (AUP) prohíben expresamente a los usuarios introducir datos de categoría especial en las conversaciones con el agente IA sin haber adoptado las salvaguardas adecuadas exigidas por el Art. 9 RGPD. Son datos de categoría especial, entre otros: datos de salud, origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, datos genéticos, datos biométricos con fines de identificación, orientación sexual.

Sin perjuicio de lo anterior, dado que el servicio procesa texto libre, puede ocurrir que se introduzcan datos de categoría especial de forma inadvertida. En ese caso, Codidata Digital, S.L. no realiza ningún tratamiento diferenciado ni específico de esas categorías; los datos se procesan como texto libre ordinario, sin activar tratamientos adicionales.

Si el cliente PYME prevé utilizar NodiaFlow para tratar datos de categoría especial de forma sistemática, debe contactar con dpo@codidata.es previamente para acordar las medidas técnicas y organizativas adicionales que sean necesarias (incluida, en su caso, la firma de un DPA ampliado).

12.2 Menores de edad

NodiaFlow está destinado exclusivamente a usuarios profesionales mayores de 18 años. No ofrecemos ni tratamos a sabiendas datos de menores de edad. El registro en la plataforma requiere confirmar la mayoría de edad. Si Codidata Digital, S.L. tuviera conocimiento de que se han tratado datos de un menor, procederá a la eliminación inmediata de dichos datos y, en su caso, notificará el incidente a la AEPD conforme al Art. 33 RGPD.

12.3 Origen de los datos: cómo llegaron a NodiaFlow

Los datos personales que tratamos provienen de las siguientes fuentes:

13. Seguridad de los datos

Codidata Digital, S.L. aplica medidas técnicas y organizativas apropiadas conforme al Art. 32 RGPD para garantizar un nivel de seguridad adecuado al riesgo. Entre otras medidas:

• Cifrado en tránsito: todas las comunicaciones entre el cliente y los servidores de NodiaFlow se realizan mediante TLS 1.2 o superior (HTTPS).
• Cifrado en reposo: los datos almacenados están cifrados en reposo mediante gestión de claves conforme a estándares del sector.
• Aislamiento multi-tenant: los datos de cada organización cliente están estrictamente separados a nivel de base de datos, impidiendo el acceso entre organizaciones.
• Control de acceso basado en roles (RBAC): los usuarios solo pueden acceder a los datos para los que tienen permiso explícito dentro de su organización.
• Gestión de credenciales: las credenciales y tokens de integración se almacenan de forma segura, con acceso restringido y auditable.
• Logs de auditoría: todas las acciones administrativas y accesos a datos sensibles quedan registrados y son auditables.
• Gestión de incidentes: Codidata Digital, S.L. dispone de procedimientos para la detección, notificación y gestión de violaciones de seguridad de datos. En caso de brecha de seguridad que suponga un riesgo para los derechos y libertades de los interesados, se notificará a la AEPD en un plazo máximo de 72 horas (Art. 33 RGPD) y se comunicará a los afectados cuando proceda (Art. 34 RGPD).

14. Sus derechos como interesado

El Reglamento General de Protección de Datos (RGPD) reconoce a los interesados los siguientes derechos sobre sus datos personales:

14.1 Catálogo de derechos

14.2 Procedimiento para ejercer sus derechos

Paso 1 — Envíe su solicitud

Dirija un correo electrónico a dpo@codidata.es (o, como alternativa, a info@codidata.es) con el siguiente contenido:

• Asunto: SOLICITUD RGPD - [TIPO DE DERECHO] (p. ej., SOLICITUD RGPD - ACCESO)
• Cuerpo del mensaje: descripción de su solicitud concreta.
• Adjunto: copia de su DNI, pasaporte u otro documento identificativo válido (necesario para verificar su identidad y proteger sus datos frente a solicitudes fraudulentas).

Paso 2 — Verificación de identidad

Podemos solicitarle información adicional para confirmar su identidad antes de atender la solicitud. Esta verificación es necesaria para proteger sus datos personales.

Paso 3 — Respuesta

• Responderemos a su solicitud en un plazo máximo de 1 mes desde la recepción (Art. 12.3 RGPD).
• En casos de especial complejidad, podemos prorrogar este plazo hasta 2 meses adicionales, notificándole de la prórroga y sus motivos dentro del primer mes.

Sobre los costes: el ejercicio de derechos es gratuito con carácter general. Podremos cobrar una tarifa razonable, o negarnos a actuar, en caso de solicitudes manifiestamente infundadas o excesivas, en particular cuando sean repetitivas (Art. 12.5 RGPD).

14.3 Herramientas de autoservicio en la consola

Para facilitar el ejercicio de sus derechos sin necesidad de contacto con el DPO:

• Exportar mis datos: Ajustes > Privacidad > Exportar mis datos — genera un archivo con todos sus datos personales en formato JSON.
• Eliminar mi cuenta: Ajustes > Privacidad > Eliminar mi cuenta — inicia el borrado de sus datos de cuenta y conversaciones, de la memoria del agente y de los vectores de documentos. Los tokens de acceso se revocan y eliminan al desconectar la integración. Los mensajes de correo almacenados se suprimen con la eliminación de la cuenta. Los registros de auditoría se conservan por obligación legal (ver tabla de retención de la Sección 5). Los backups técnicos se purgan en su ciclo de expiración.

14.4 Reclamación ante la autoridad de control

Si considera que el tratamiento de sus datos personales vulnera la normativa aplicable, o si no está satisfecho con nuestra respuesta a su solicitud, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web: www.aepd.es
• Dirección: C/ Jorge Juan, 6 · 28001 Madrid
• Teléfono: 901 100 099 / 912 663 517

14.5 ¿Sus datos están en el CRM de una empresa que utiliza NodiaFlow?

Si sus datos personales fueron introducidos en NodiaFlow por una empresa cliente (por ejemplo, porque es usted cliente, proveedor o contacto de esa empresa), dicha empresa es la responsable del tratamiento y Codidata Digital, S.L. actúa únicamente como encargado del tratamiento por cuenta de ella. En ese caso, debe dirigir el ejercicio de sus derechos directamente a esa empresa. Si nos contacta a nosotros, le remitiremos a la empresa responsable y prestaremos a esta la asistencia técnica necesaria para atender su solicitud en plazo.

15. Modificaciones de esta política

Codidata Digital, S.L. podrá actualizar esta Política de Privacidad para reflejar cambios en la normativa aplicable, en las funcionalidades de NodiaFlow o en las prácticas de tratamiento de datos.

Las modificaciones relevantes serán notificadas a los usuarios a través de:

• Aviso en la consola de NodiaFlow al iniciar sesión.
• Correo electrónico a la dirección asociada a la cuenta, con al menos 30 días de antelación cuando los cambios afecten a los derechos de los interesados o a las bases jurídicas del tratamiento.
• Actualización de la fecha «Última actualización» en el encabezado de esta política.

La continuación en el uso del servicio tras la fecha de efectividad de los cambios implica la aceptación de la política actualizada. En caso de modificaciones que requieran nuevo consentimiento, se solicitará expresamente.

16. Contacto y reclamaciones

Para cualquier consulta, solicitud o reclamación relacionada con la protección de datos personales:

Esta Política de Privacidad ha sido redactada conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (EU AI Act) y la Guía de la AEPD sobre sistemas de IA agéntica (febrero 2026).

Última actualización: 17 de septiembre de 2026.