Versión 1.1 · 20 de octubre de 2026
1. Responsable
Asociación Española de Startups (AES), CIF G87461075, calle Eloy Gonzalo 27, 3.º, 28010 Madrid. Contacto de protección de datos: legal@asociacionstartups.es.
2. Qué datos tratamos, para qué y con qué base
La Plataforma está dirigida a empresas. Los datos personales que tratamos son, sobre todo, los de las personas que actúan en nombre de una empresa (representantes y usuarios), los de mentores y formadores, y los de los visitantes.
| Finalidad | Datos | Base jurídica |
|---|---|---|
| 1. Alta y gestión de empresas y usuarios | Nombre, email, cargo, empresa y NIF de la empresa, credenciales y registros de acceso | Interés legítimo en mantener la relación con la empresa a la que representa (art. 6.1.f RGPD y art. 19 LOPDGDD). Si el usuario es empresario individual o autónomo: ejecución del contrato (art. 6.1.b RGPD) |
| 2. Autodiagnóstico y hoja de ruta | Datos del usuario que responde; respuestas de la empresa | Ídem |
| 3. Créditos de servicios cloud y de IA (solicitud, asignación, consumo y registro) | Datos del usuario solicitante y del gestor de AES; datos de consumo; si la empresa lo autoriza, acceso de lectura a su facturación cloud | Ídem, y cumplimiento de obligaciones legales de justificación y control de fondos públicos (art. 6.1.c RGPD) |
| 4. Formación y mentoría | Asistencia, horas, valoraciones; datos de mentores y formadores (nombre, contacto, perfil profesional, sesiones) | Ídem. Mentores y formadores: relación contractual o de colaboración con AES (art. 6.1.b) o interés legítimo si actúan por cuenta de una entidad (art. 6.1.f y art. 19 LOPDGDD) |
| 5. Control de ayudas de minimis | Datos del representante que firma la declaración; ayudas recibidas por la empresa y su grupo | Obligación legal (art. 6.1.c RGPD; Reglamento (UE) 2023/2831; Ley 38/2003, General de Subvenciones, arts. 14 y 20; y las bases que regulen la financiación del proyecto) |
| 6. Justificación, auditoría y control | Los de las finalidades anteriores necesarios para justificar el proyecto; registro de auditoría | Obligación legal (art. 6.1.c RGPD; Reglamento (UE) 2021/1060; Ley 38/2003, General de Subvenciones, art. 14; y las bases que regulen la financiación del proyecto) |
| 7. Consultas y soporte | Datos de contacto y contenido de la consulta | Interés legítimo en atender la consulta (art. 6.1.f) |
| 8. Ejercicio de derechos y gestión de brechas de seguridad | Datos necesarios para identificar al solicitante y responder | Obligación legal (art. 6.1.c; arts. 12-22 y 33-34 RGPD) |
| 9. Seguridad de la Plataforma | Dirección IP, eventos técnicos, registros de seguridad | Interés legítimo en proteger el servicio (art. 6.1.f) y obligación de seguridad (art. 32 RGPD) |
| 10. Información sobre otros programas y actividades de AES | Nombre, email y empresa | Tu consentimiento (art. 6.1.a RGPD y art. 21 LSSI), que puedes retirar en cualquier momento con el enlace de cada email o escribiendo a legal@asociacionstartups.es. Solo si marcas la casilla opcional del alta |
Los datos marcados como obligatorios son necesarios para registrar a la empresa y prestar el servicio; sin ellos no podemos darte de alta. Si no nos has dado tú los datos, los hemos recibido de la empresa o entidad a la que perteneces o que te ha propuesto como mentor o formador: son datos identificativos, de contacto y profesionales.
No tomamos decisiones automatizadas con efectos jurídicos sobre las personas ni elaboramos perfiles de ellas. El autodiagnóstico evalúa a la empresa, no a la persona que responde. Si lo haces sin cuenta, las respuestas se guardan solo en tu navegador y no las recibimos. No pedimos categorías especiales de datos: no las incluyas en los formularios ni en los ficheros que subas.
3. Comunicaciones de datos
- Entidades públicas que financien o controlen el proyecto, si llega a contar con financiación pública: la entidad concedente, la autoridad de gestión de los fondos, la Intervención General de la Administración del Estado, la Comisión Europea, el Tribunal de Cuentas y los demás órganos de control. Lo hacen como responsables independientes y por obligación legal.
- Registro de ayudas de minimis (Base de Datos Nacional de Subvenciones u otro registro oficial que corresponda), cuando proceda.
- Entidades de la agrupación que ejecuta el proyecto, solo cuando sea necesario para prestar el servicio o justificarlo. AES es el único responsable del tratamiento de la Plataforma: decide sola sus fines y medios. Las entidades de la agrupación reciben los datos como responsables independientes para los servicios que presten ellas o, cuando actúen por cuenta de AES, como encargadas con contrato del art. 28 RGPD.
- Proveedores de servicios cloud o de IA que asignan los créditos, el que figure en cada asignación, solo los datos de la empresa y del usuario necesarios para activar el crédito, y solo si la empresa lo solicita. Lo hacen como responsables independientes y pueden tratarlos en EE. UU., con la garantía del Marco de Privacidad de Datos UE-EE. UU.
- Mentores y formadores, los datos de contacto necesarios para organizar las sesiones.
4. Encargados del tratamiento y transferencias internacionales
Usamos estos proveedores, que tratan los datos por cuenta de AES con contrato del art. 28 RGPD:
- Supabase, Inc. (base de datos, autenticación, ficheros y envío de los emails de alta y de inicio de sesión). Los datos se alojan en la Unión Europea (Fráncfort). Supabase y algunos de sus subencargados pueden acceder a ellos desde EE. UU. para soporte y operación. Garantía: cláusulas contractuales tipo de la Comisión Europea, con medidas adicionales (región UE fija, cifrado, control de acceso).
- Brevo SAS (Francia) (envío de notificaciones y emails transaccionales de la Plataforma). Los datos se tratan en servidores situados en la Unión Europea. Algunos de sus subencargados pueden tratarlos fuera del Espacio Económico Europeo; garantía: cláusulas contractuales tipo con medidas adicionales y, para los subencargados de EE. UU. certificados, el Marco de Privacidad de Datos UE-EE. UU.
- Dropbox International Unlimited Company (Irlanda) y su matriz Dropbox, Inc. (EE. UU.) (Dropbox Sign: firma electrónica de la declaración de ayudas de minimis del alta). Los documentos firmados y su registro de firma (incluida la dirección IP) se almacenan en servidores de EE. UU. de Dropbox, Inc. Garantía: Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 10 de julio de 2023, art. 45 RGPD) y cláusulas contractuales tipo.
- GitHub, Inc. (EE. UU.) (alojamiento y servicio de las páginas de la Plataforma mediante GitHub Pages, y custodia del código fuente). Al visitar la Plataforma, GitHub trata la dirección IP y los datos técnicos de la conexión para servir las páginas y por seguridad; no accede a los datos que se guardan en la base de datos. Los trata en EE. UU. Garantía: GitHub, Inc. está certificada en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023, art. 45 RGPD) y, de forma subsidiaria, cláusulas contractuales tipo de la Comisión Europea.
Puedes pedir copia de las garantías en legal@asociacionstartups.es.
5. Conservación
- Datos de las finalidades 1 a 4 y 6: mientras dure la relación con la empresa y el proyecto y, después, bloqueados durante el plazo de conservación de documentos de los fondos europeos (5 años desde el 31 de diciembre del año en que se haga el último pago, art. 82 del Reglamento (UE) 2021/1060) y los plazos de prescripción de responsabilidades.
- Declaraciones y registros de ayudas de minimis: 10 años desde la concesión (Reglamento (UE) 2023/2831).
- Consultas y soporte: un año desde que se cierre la consulta.
- Ejercicio de derechos y brechas: 3 años.
- Registros de seguridad: 12 meses. El registro de auditoría de créditos y de aceptaciones de textos no es un registro de seguridad: se conserva con la justificación del proyecto, bloqueado durante el plazo del art. 82 del Reglamento (UE) 2021/1060.
- Información sobre otros programas de AES: hasta que retires el consentimiento.
Los datos bloqueados solo se usan para atender requerimientos de autoridades y jueces y la defensa de reclamaciones.
6. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a legal@asociacionstartups.es, indicando qué derecho ejerces. Puedes oponerte en cualquier momento a los tratamientos basados en interés legítimo y retirar en cualquier momento el consentimiento que hayas dado, sin que eso afecte a la licitud del tratamiento anterior. Algunos datos no se pueden suprimir mientras exista la obligación legal de conservarlos. Si no estás conforme con la respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, conforme al art. 32 RGPD: cifrado en tránsito y en reposo, cifrado específico del detalle de las declaraciones de minimis, control de acceso por empresa en la propia base de datos, autenticación reforzada para el personal de AES, registros de auditoría y copias de seguridad.
8. Cambios
Si cambiamos esta política, publicaremos la nueva versión con su fecha y avisaremos a los usuarios registrados de los cambios relevantes.