Política de privacidad
Este aviso está en vigor desde el 16 de noviembre de 2021 · Versión: 1.0
La empresa SOOMA.COM – WEB SERVICES, LDA. trata sus datos personales con respeto, transparencia y en cumplimiento del Reglamento General de Protección de Datos (RGPD). Sus datos se procesan y almacenan en servidores ubicados en Portugal, y las copias de seguridad se guardan en Berlín, Alemania, siempre dentro de la Unión Europea.
1. Responsable del tratamiento
SOOMA.COM – WEB SERVICES, LDA.
Rua Dom João I, 99
4450-143 Matosinhos
Portugal (UE)
Número de identificación fiscal (NIPC): 515 060 445
Teléfono: 210 205 164 o 220 280 335
Email: hello@sooma.com
Website: sooma.com
Contacto: Fernando Costa
Delegado de Protección de Datos: dpo@sooma.com
Se ha designado formalmente un Delegado de Protección de Datos.
2. Datos personales que recogemos
2.1. Datos que usted nos facilita directamente
- Datos de identificación: nombre, cargo, empresa
- Datos de contacto: dirección de correo electrónico, número de teléfono
- Datos de cuenta: credenciales de acceso al servicio y al panel de administración
- Datos de facturación: dirección de facturación, número de identificación fiscal (NIF/NIPC), datos de pago
- Comunicaciones: mensajes enviados a través de los formularios de contacto y del soporte
2.2. Datos tratados en el marco del servicio de correo electrónico
Como proveedor de servicios de correo electrónico, Sooma almacena y transmite, por cuenta del cliente, el contenido de los mensajes, los adjuntos, los contactos y los calendarios de los buzones. Estos datos:
- se tratan exclusivamente para prestar el servicio contratado;
- no se analizan con fines comerciales, publicitarios ni de elaboración de perfiles;
- están sujetos al secreto de las comunicaciones conforme a la ley.
En las relaciones con clientes empresariales, Sooma actúa como encargado del tratamiento (art. 28 del RGPD) respecto de los datos personales contenidos en los buzones, siendo el cliente el responsable del tratamiento. Existe un acuerdo de encargo del tratamiento (DPA), anexo al contrato de servicio y disponible previa solicitud.
2.3. Datos recogidos automáticamente
- Datos de uso del sitio web: páginas visitadas, duración de la sesión
- Datos técnicos y registros: dirección IP, tipo de navegador, registros de conexión y de entrega de correo (metadatos), necesarios para el funcionamiento, la seguridad y la lucha contra el abuso
- Cookies y tecnologías similares: según se describe en nuestra Política de Cookies
3. Finalidades y bases jurídicas del tratamiento
| Finalidad | Base jurídica |
|---|---|
| Prestación de los servicios de correo electrónico, calendario y contactos | Ejecución de un contrato (art. 6.1.b del RGPD) |
| Emisión y conservación de las pruebas del Correo electrónico certificado (servicio de entrega electrónica certificada, artículo 43 del Reglamento eIDAS) | Ejecución de un contrato (art. 6, apartado 1, letra b), del RGPD); interés legítimo en conservar las pruebas (art. 6, apartado 1, letra f), del RGPD) |
| Facturación y gestión financiera | Obligación legal (art. 6.1.c del RGPD) |
| Soporte técnico y atención al cliente | Ejecución de un contrato / interés legítimo |
| Seguridad de las redes y de la información, prevención de abusos y fraude | Interés legítimo (art. 6.1.f del RGPD; considerando 49); cumplimiento de obligaciones de ciberseguridad (Directiva (UE) 2022/2555, NIS2) |
| Comunicaciones de marketing (newsletter) | Consentimiento (art. 6.1.a del RGPD) |
| Cumplimiento de obligaciones legales y de requerimientos de las autoridades | Obligación legal (art. 6.1.c del RGPD) |
4. Conservación de los datos
Conservamos cada categoría de datos únicamente durante el tiempo necesario para la finalidad que justifica su tratamiento o durante el plazo exigido por la ley.
4.1. Datos de cuenta, contrato y facturación
| Datos | Finalidad | Conservación | Acceso |
|---|---|---|---|
| Nombre, dirección de correo electrónico, datos de contacto y de cuenta | Ejecución del contrato y atención al cliente | Durante la vigencia del contrato y hasta 10 años después de su finalización | Administración de sistemas, atención al cliente, dirección |
| Datos de facturación y pago | Cumplimiento de obligaciones fiscales | 10 años | Contabilidad, dirección |
| Comunicaciones con el servicio de atención al cliente | Prueba y seguimiento de la solicitud | 2 años después del cierre de la solicitud | Atención al cliente, administración de sistemas |
4.2. Contenido del servicio
| Datos | Finalidad | Conservación | Acceso |
|---|---|---|---|
| Contenido de buzones, calendarios y contactos | Prestación del Servicio | Vigencia del servicio; eliminación 60 días después de la terminación | Sin acceso, salvo en lo estrictamente necesario para prestar el Servicio o a petición del Cliente |
| Pruebas del Correo electrónico certificado (certificados de envío y de entrega, con sello de tiempo cualificado) | Prueba de envío, de entrega y del contenido (servicio de entrega electrónica certificada, artículo 43 del Reglamento eIDAS) | 7 años desde su emisión, conforme a las Condiciones generales; se ponen a disposición del Cliente en una carpeta específica de su buzón | Administración de sistemas |
4.3. Registros técnicos
No conservamos datos de tráfico con fines de investigación penal. Los registros que figuran a continuación están destinados exclusivamente a garantizar el funcionamiento del Servicio, prevenir usos indebidos y responder a incidentes de seguridad.
| Sistema | Datos registrados | Finalidad | Conservación | Acceso |
|---|---|---|---|---|
| Webmail y panel de administración | Fecha, hora y dirección IP del acceso | Detección de accesos no autorizados | 14 días | Administración de sistemas, atención al cliente |
| Servidores SMTP y filtros antispam | Remitente, destinatario, identificador y tamaño del mensaje. No se registra ni el contenido ni el asunto | Acreditar la entrega o la recepción en caso de reclamación; prevenir abusos | 14 días | Administración de sistemas, atención al cliente |
| Servidores IMAP y POP3 | Cuenta, fecha, hora y dirección IP de la conexión | Comprobación de accesos no autorizados | 14 días | Administración de sistemas, atención al cliente |
| Sitio web sooma.com | Datos de acceso al servidor web | Seguridad y funcionamiento del sitio web | 14 días | Administración de sistemas |
Transcurridos estos plazos, los registros se eliminan o anonimizan, salvo que deban conservarse para la investigación de un incidente de seguridad concreto o para cumplir una orden legítima de una autoridad competente relativa a datos concretos.
4.4. Otros
| Datos | Conservación |
|---|---|
| Comunicaciones de marketing | Hasta que se retire el consentimiento |
| Candidaturas de empleo | Véase la sección 9 |
5. Comunicación de datos a terceros
Sooma no vende, alquila ni comercia con datos personales. Los datos pueden comunicarse a:
- Autoridades de certificación cualificadas (Asseco, Multicert): para la emisión de certificados eIDAS, únicamente los datos estrictamente necesarios
- Entidades de pago: los datos estrictamente necesarios para procesar los pagos se comparten con entidades bancarias y parabancarias asociadas establecidas en la Unión Europea
- Autoridades públicas: cuando lo exija la ley o una orden judicial válida dictada por una autoridad competente con arreglo al Derecho portugués o europeo
Los servidores de Sooma están instalados en centros de datos ubicados en Portugal, en régimen de housing (colocation). El proveedor de las instalaciones suministra únicamente espacio, energía, refrigeración y seguridad física, y no tiene acceso a los equipos ni a los datos almacenados en ellos. Las copias de seguridad se guardan, cifradas, en un centro de datos ubicado en Berlín, Alemania, dentro de la Unión Europea.
5.1. Lo que no hacemos
Para evitar cualquier duda, declaramos expresamente que Sooma no:
- vende, alquila ni transfiere datos personales a terceros;
- analiza el contenido de las comunicaciones con fines comerciales o publicitarios;
- elabora perfiles de usuario (profiling) a partir de los datos tratados;
- toma decisiones automatizadas con efectos jurídicos o similarmente significativos sobre los interesados;
- utiliza los datos con fines de publicidad comportamental, ya sea propia o de terceros.
6. Transferencias internacionales
Los datos personales se procesan y almacenan exclusivamente en servidores de la Unión Europea: en Portugal y, para las copias de seguridad, en Berlín, Alemania. No transferimos datos personales a terceros países. Sooma no está sujeta a legislación de acceso extraterritorial de terceros países (como la CLOUD Act de Estados Unidos).
7. Sus derechos
En virtud del RGPD: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20), oposición (art. 21) y retirada del consentimiento en cualquier momento.
Portabilidad en la práctica: el contenido de los buzones, calendarios y contactos puede exportarlo el propio Cliente en cualquier momento, mediante los protocolos abiertos IMAP, CalDAV y CardDAV, en formatos de uso común y legibles por máquina, sin necesidad de solicitud previa. Para el resto de los datos, basta con enviar una solicitud al Delegado de Protección de Datos.
Para ejercer sus derechos: dpo@sooma.com. Respondemos en un plazo máximo de 30 días. También tiene derecho a presentar una reclamación ante la autoridad portuguesa de protección de datos, la CNPD (Comissão Nacional de Proteção de Dados,cnpd.pt).
8. Seguridad de los datos
Sooma ha implantado medidas técnicas y organizativas adecuadas (art. 32 del RGPD), entre ellas:
- Cifrado TLS 1.3 en tránsito y cifrado AES-256 en reposo
- Módulos de seguridad de hardware (HSM) con certificación FIPS 140-2 nivel 3 para el sellado de las pruebas del Correo electrónico certificado
- Control de acceso basado en roles y registro de accesos
- Copias de seguridad periódicas e infraestructura redundante
- Supervisión continua de la seguridad
Sooma está en proceso de implantar y certificar un SGSI conforme a la norma ISO/IEC 27001, y de alinearse con los requisitos de la Directiva (UE) 2022/2555 (NIS2).
En caso de violación de la seguridad de los datos personales que pueda entrañar un riesgo para los interesados, Sooma lo notificará a la CNPD en un plazo de 72 horas (art. 33 del RGPD) y a los interesados afectados cuando la ley lo exija (art. 34).
9. Candidaturas de empleo
- Los datos personales enviados por los candidatos, ya sea de forma espontánea o en respuesta a una oferta de empleo, se tratan exclusivamente para los fines del proceso de selección, sobre la base de las medidas precontractuales adoptadas a petición del interesado.
- Si se celebra un contrato de trabajo, los datos se conservan de conformidad con la legislación laboral aplicable.
- Si no se celebra ningún contrato, los datos se eliminan en un plazo de 6 meses desde la comunicación de la decisión, salvo que el candidato consienta expresamente su conservación para futuras oportunidades.
10. Documentos relacionados
Esta Política debe leerse junto con las Condiciones Generales de Uso, la Política Antispam y la Política de Cookies, disponibles en sooma.com. En las relaciones con clientes empresariales y organismos públicos se aplica además el Acuerdo de Encargo del Tratamiento (DPA) anexo al contrato de servicio.
11. Cambios en esta Política
Esta política puede actualizarse. La versión en vigor está siempre disponible en sooma.com, con indicación de la fecha de la última actualización. Los cambios sustanciales se comunicarán a los clientes.