Información sobre la protección de datos personales

Traducción de cortesía. En caso de discrepancia, prevalece el texto italiano.

Esta información explica qué ocurre con los datos personales que pasan por el Servicio BGates: cuáles tratamos, por qué, con quién los compartimos, durante cuánto tiempo los conservamos y qué puedes pedir. Se facilita conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 (en adelante, «RGPD»).

Se refiere al modelo GT PRO 4G y al Servicio asociado. No se refiere a los modelos anteriores que funcionan solo con mensajes SMS, ni al canal Bluetooth: si utilizas alguno de ellos, escribe a info@bgates.it, indicando «privacy» en el asunto, y te daremos la información a la que tienes derecho.

No tienes que aceptar esta información: no es un contrato. Tienes que poder leerla, y nosotros tenemos que haberla escrito de forma veraz. Si algo de lo que aquí se dice no corresponde a lo que el Servicio hace realmente, avísanos: es un error nuestro y lo corregiremos.

1. Quién trata tus datos

Business Gates S.r.l. (en adelante, BGates) Via Ripamonti 44, 20141 Milano — P.IVA 05759280968 Teléfono 02 52 20 18 38 — Fax 02 52 20 18 20 — Email info@bgates.it

Para todo lo relacionado con tus datos, escribe a info@bgates.it. Es la dirección adecuada para solicitar el acceso, la rectificación o la supresión, para oponerte a un tratamiento y para obtener una copia de las garantías aplicables a las transferencias fuera de Europa. Te contestamos en el plazo de un mes.

Para comunicar un problema de seguridad —una vulnerabilidad, un acceso que no esperas, un QR que circula donde no debería— escribe a info@bgates.it, indicando «sicurezza» en el asunto.

No hemos designado un delegado de protección de datos (DPD). Consideramos que no nos encontramos en ninguno de los supuestos en que el RGPD lo hace obligatorio, y la motivación consta en nuestra evaluación de impacto interna.

2. A quién se dirige esta información

Las personas con las que tratamos no son todas iguales ni todas tienen una relación con nosotros. Busca la fila que más se parezca a tu caso: te indica qué secciones te afectan y, sobre todo, quién decide sobre tus datos, porque en muchos casos no somos nosotros.

2.1 Cuando no decidimos nosotros

Sobre una parte de los datos que pasan por nuestros sistemas no decidimos nosotros: decide el Cliente titular del Acceso. Es él quien elige quién puede abrir, qué días y en qué franjas, hasta cuándo, y quien consulta el Registro de aperturas de su Acceso. En esos casos:

• el Cliente es Responsable del tratamiento y responde de su elección, de informar a las personas que habilita y de la revocación cuando una persona ya no debe entrar;
• BGates es Encargado del tratamiento conforme al artículo 28 del RGPD: conserva, transmite al Aparato y entrega la Invitación, pero no decide en lugar de quien lo hace. El contrato entre nosotros y el Cliente es el Acuerdo de tratamiento de datos anexo a las Condiciones para administradores;
• si nos pides la supresión de datos sobre los que decide el Cliente, le trasladamos a él la solicitud y te decimos a quién se la hemos trasladado. Lo explicamos en la sección 10.

Hay, sin embargo, actividades que realizamos para nosotros, aunque afecten a datos del Cliente, y respecto de ellas somos Responsables del tratamiento. Forman una lista cerrada, siempre la misma: seguridad del Servicio y prevención de abusos; registros técnicos de la infraestructura; diagnóstico de red, incluida la posición del Aparato obtenida a partir de la celda; asistencia prestada por nuestros operadores; cumplimiento de obligaciones legales, contables y fiscales; prueba técnica de la entrega de las Invitaciones; mejora del Servicio con datos seudonimizados; registro de las acciones de nuestros operadores.

Esta lista es idéntica, punto por punto y en el mismo orden, a la del Acuerdo de tratamiento de datos (sección 4.3) y a la de las Condiciones para administradores (sección 3.3): es la lista que delimita dónde dejamos de actuar por cuenta del Cliente. «Datos seudonimizados» significa lo que describe la sección 4.5: una copia sin el nombre y sin el número completo, sobre la que tratamos los mismos eventos como Responsables del tratamiento.

No somos corresponsables del tratamiento con el Cliente. Nosotros decidimos cómo funciona la Plataforma; él decide quién entra por su Acceso: son dos decisiones separadas, no una decisión tomada conjuntamente.

3. El Registro de aperturas: existe, y tienes que saberlo

Es el dato más delicado del Servicio, y lo ponemos antes que todo lo demás porque es lo que las personas no se esperan.

Cada orden y cada apertura del Acceso dejan una línea registrada. La línea contiene:

• fecha y hora, al segundo;
• qué ha ocurrido: apertura, orden enviada, resultado, y por qué canal (llamada, aplicación, Área reservada);
• quién, cuando el Aparato reconoce el número que llama o la Cuenta que da la orden: el nombre que el Cliente ha asociado a ese número, el número de teléfono o la dirección de email de la Cuenta;
• también los intentos de las personas no habilitadas: si llamas a un Acceso y tu número no está habilitado, queda registrado que alguien ha llamado y cuándo (sección 4.6). Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: en pantalla solo se verán las tres últimas cifras del número, y el número completo se suprimirá a los 30 días. Hoy el número se muestra completo a quien administra el Acceso.

Quién lo ve. El Cliente titular del Acceso y quien lo administra por cuenta de él; nuestros Operadores de BGates, para la asistencia. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: cada acceso de uno de nuestros Operadores dejará rastro en un registro de acciones administrativas (sección 4.17). Hasta entonces, las acciones de nuestros Operadores quedan solo en los registros técnicos de los procesos, durante 60 días, que no permiten atribuir la operación a una persona determinada.

Quien administra el Acceso puede exportarlo a un archivo y sacarlo del Servicio: a partir de ese momento, la responsabilidad sobre el destino de ese archivo es suya. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: la exportación dejará rastro en el servidor; hoy el archivo lo genera el programa que se ejecuta en el navegador y la operación no deja rastro.

Durante cuánto tiempo. 12 meses desde el evento. Pasados los 12 meses quitamos el nombre y reducimos el número a las tres últimas cifras: queda el evento, no queda la persona. La línea técnica reducida se suprime a los 24 meses en total.

Por qué lo conservamos. Sirve a quien gestiona el Acceso para comprobar un acceso controvertido. En una comunidad de propietarios o en una empresa las reclamaciones llegan tarde, a veces meses después. No sirve para medir la presencia de las personas, y usarlo con ese fin está prohibido por las normas que el Cliente acepta.

Una parte del registro está dentro del Aparato. El Aparato anota internamente la fecha, la hora, el resultado y el número de cada llamada recibida, en dos archivos rotativos que contienen los últimos centenares de eventos. Accede a ellos quien conoce la contraseña del Aparato, y nuestro servicio de asistencia puede descargarlos a petición del Cliente o para una intervención acordada: en ese caso se aplican los plazos de la Política de conservación, y el canal por el que el Aparato los deposita no está cifrado (sección 11). Cuando el Aparato se retira del servicio, ese registro debe borrarse.

4. Qué tratamos, por qué y con qué base jurídica

4.1 Tu Cuenta y el acceso al Área reservada

Qué. Nombre de usuario (normalmente tu email), contraseña conservada en forma cifrada, nombre y apellidos, email, número de móvil, teléfono, dirección, ciudad, código postal, provincia; para quien actúa como empresa, también razón social, codice fiscale (código fiscal italiano), número de IVA y código de destinatario SDI.

Por qué. Para darte un acceso personal, saber quién da cada orden y permitirte usar el Área reservada y la aplicación.

Base jurídica. Artículo 6, apdo. 1, letra b), del RGPD: es necesario para ejecutar el contrato que tienes con nosotros. Para la parte de seguridad (límites a los intentos de inicio de sesión, prevención de abusos), la base es el artículo 6, apdo. 1, letra f): nuestro interés legítimo en proteger el Servicio.

Atención a algo que hay que decir antes. El número de móvil que indicas al registrarte o al activar el Aparato se convierte en un Número habilitado en tu Acceso: desde ese momento, quien llama desde ese número abre. No es un efecto secundario, es como funciona el producto; pero es justo que lo sepas mientras lo escribes, no después.

Si tu Cuenta la ha creado otra persona —tu Cliente, un Instalador, uno de nuestros Operadores—, no hemos obtenido los datos de ti: consulta la sección 5.

4.2 Suscripción, pagos y facturas

Qué. El plan que has elegido, el estado de la Suscripción, el número de serie del Aparato y el identificador de la SIM, los identificadores que nos devuelve Stripe y los datos de facturación.

Los datos de la tarjeta no los vemos ni los conservamos: los recoge Stripe en su propia página de pago. Stripe nos devuelve, entre otras cosas, el nombre, el email, el teléfono, la dirección de facturación y el enlace a la factura.

Base jurídica. Artículo 6, apdo. 1, letra b), para la ejecución de la Suscripción; artículo 6, apdo. 1, letra c), para la emisión y conservación de los documentos fiscales (artículo 2220 del Codice civile (Código Civil italiano); facturación electrónica conforme al D.lgs. 127/2015, art. 1, apdo. 3).

4.3 Habilitar un número para abrir un Acceso

Qué. El número de teléfono, el prefijo internacional, el nombre que quien te habilita ha escrito junto al número, los días y las franjas horarias en que el número abre, y la fecha de inicio y de fin. El número se graba también dentro del Aparato, en la Agenda interna, para que el Aparato pueda reconocerte incluso cuando no hay conexión con nuestros sistemas. En la Agenda interna no figura tu nombre: solo el número.

Por qué. Para que puedas abrir ese Acceso llamando por teléfono.

Base jurídica. El interés legítimo del Cliente (artículo 6, apdo. 1, letra f) en la seguridad y la gestión de los accesos a su propio Acceso. No es un consentimiento, ni puede serlo: el consentimiento corresponde al interesado y nadie puede prestarlo en nombre de otro (artículo 4, punto 11, del RGPD). Quien te habilita ejerce un interés propio; tú tienes el derecho de oponerte (sección 10).

Quién decide. El Cliente. BGates conserva y transmite por cuenta de él.

Algo incómodo, dicho tal como es. Hoy el sistema permite a quien administra un Acceso habilitar un número sin verificar que pertenezca realmente a la persona a cuyo nombre está. Quien lo hace debe declarar que ha informado a esa persona, y las Condiciones que acepta le obligan a hacerlo, pero la declaración no sustituye a la verificación. Estamos introduciendo la revocación automática de los números cuya Invitación no se abre nunca. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: hasta entonces, si el número no se usa nunca, es quien administra el Acceso quien debe revocarlo.

Conservación. Mientras el número esté habilitado. Tras la revocación, el número se suprime a los 30 días: el retraso sirve para volver a alinear la Agenda interna del Aparato, que hay que consultar y corregir, y no es un margen de conveniencia.

4.4 La Invitación por WhatsApp y, en su defecto, por SMS

Qué. Tu número, el mensaje que te enviamos, un enlace personal válido durante 30 días y el resultado técnico de la entrega (entregado, leído, no entregado), con el identificador que nos devuelve el proveedor del canal.

Por qué. Para decirte que tu número ha sido habilitado en un Acceso, y por quién, y para darte la posibilidad de leer la información que te concierne y, si quieres, crear una Cuenta.

Base jurídica. El interés legítimo del Cliente para la entrega; nuestro interés legítimo en conservar la prueba de que el mensaje se envió y llegó, y en defendernos de los abusos del canal.

No es un mensaje publicitario y no te pedimos un consentimiento comercial para enviártelo: sirve para ejecutar una decisión del Cliente y para entregarte una información a la que tienes derecho. Si no quieres recibir más Invitaciones, díselo a quien administra ese Acceso, o escribe a info@bgates.it y trasladamos nosotros la solicitud.

Destinatarios. Meta Platforms Ireland Limited (WhatsApp Cloud API) cuando el canal es WhatsApp; Commify Italia S.r.l. (marca Skebby) cuando es un SMS.

Conservación. El enlace vale 30 días; la línea de la Invitación se suprime 90 días después de que el enlace se haya usado o haya caducado. Sirve para reconstruir quién habilitó a quién, si alguien discute una apertura.

4.5 El Registro de aperturas

Consulta la sección 3, que lo describe por completo: contenido, quién lo ve, duración. Aquí bastan las dos líneas jurídicas.

Base jurídica. El interés legítimo del Cliente (artículo 6, apdo. 1, letra f) en la seguridad de su propio Acceso y en la gestión de las reclamaciones, con una evaluación de ponderación que ponemos a su disposición. Sobre una copia sin el nombre y sin el número completo tratamos los mismos eventos como Responsables del tratamiento, para la seguridad del Servicio: sirve para detectar abusos y anomalías, no para saber quién entra en casa de quién.

Destinatarios. Nadie fuera de BGates y del Cliente: el Registro permanece en nuestros sistemas.

Conservación. 12 meses; después, la reducción descrita en la sección 3 y, por último, la supresión a los 24 meses.

4.6 Si llamas a un Acceso y no estás habilitado

Qué ocurre. El Aparato no contesta nunca a la llamada: cuelga enseguida, y a ti no te cuesta nada. Pero tu número se ha captado antes de que colgara, y queda registrado que alguien ha llamado y cuándo.

Qué ve quien administra el Acceso. Solo las tres últimas cifras de tu número. El número completo permanece en nuestros sistemas 30 días y después se suprime: sirve para saber si alguien está intentando abrir repetidamente, y para eso bastan treinta días.

Base jurídica. El interés legítimo del Cliente en detectar los intentos. No hay forma de pedirte un consentimiento —no sabemos quién eres y no te escribimos— y no tendría sentido pedírtelo.

El enmascaramiento en pantalla y la supresión del número completo a los 30 días son la regla que se aplica a partir de esta versión de la información.

4.7 QR permanente, QR de un solo uso y solicitudes de acceso

El QR permanente es el código colocado junto al Acceso. Quien lo escanea no entra: solicita que lo habiliten, dejando un nombre y un número. Decide quien administra el Acceso. El QR de un solo uso es un pase personal que vale una sola vez; queda registrado quién lo ha usado y cuándo.

Qué tratamos cuando alguien rellena la solicitud. El nombre y el número que la persona declara —y que no verificamos: cualquiera puede escribir el número de otro—, el resultado de la decisión, quién decidió y cuándo, y la dirección IP desde la que llegó la solicitud.

Base jurídica. Nombre y número: interés legítimo del Cliente, que debe poder decidir quién entra. Dirección IP: interés legítimo nuestro en proteger frente a abusos un formulario abierto a cualquiera. La IP no la ve quien administra el Acceso: la vemos nosotros, y se suprime junto con la línea.

Conservación. Las solicitudes se suprimen 90 días después de la decisión, con la IP. Los QR revocados se suprimen 12 meses después de la revocación, junto con el nombre y el número de quien los ha usado.

Algo que no podemos impedir. Una fotografía de un QR vale lo mismo que el QR. Quien lo coloca decide dónde colocarlo.

4.8 El QR de activación del Aparato

Es el código impreso en la etiqueta del Aparato y sirve para ponerlo en servicio la primera vez. No habilita a nadie para abrir. Devuelve el número de serie y los datos técnicos de la SIM.

Base jurídica. Artículo 6, apdo. 1, letra b), para la activación del Servicio; artículo 6, apdo. 1, letra f), para la prevención de activaciones fraudulentas.

Un límite conocido, que te contamos porque te afecta. Hoy este código no caduca, no es de un solo uso y no se puede revocar, y la página que lo interpreta es accesible sin iniciar sesión: quien lo escanea obtiene el número de serie, el identificador del Aparato y el número de la SIM. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: la revocación del código tras la activación, el registro de cada uso y el enmascaramiento del identificador del Aparato y del número de la SIM en la respuesta pública. Hasta entonces, la etiqueta del Aparato debe tratarse como una credencial.

4.9 La Agenda personal

Qué. Los contactos que guardas tú en tu Área reservada: nombre, número, una nota y de dónde procede el contacto. Puedes introducirlos a mano o importarlos desde la agenda del teléfono o desde un archivo de contactos.

Atención. Cuando importas la agenda del teléfono, entran en el Servicio los números de decenas de personas ajenas, que no tienen ninguna relación con nosotros. Importa solo lo que necesites.

Base jurídica. Si eres una persona física y usas la Agenda personal para ti, a tu uso no se le aplica el RGPD (excepción doméstica, artículo 2, apdo. 2, letra c, del RGPD). Al nuestro sí: esos contactos están en nuestros sistemas y somos Responsables del tratamiento, sobre la base de nuestro interés legítimo (artículo 6, apdo. 1, letra f, del RGPD) en ofrecerte la función que has pedido. A las personas que has guardado no las contactamos, no las usamos para nada más y no las cruzamos con ningún otro dato; no les facilitamos una información individual porque no tenemos forma de llegar a ellas sin usar, precisamente con ese fin, el número que tú nos has dado, y esta sección es la información hecha pública en lugar de la individual (artículo 14, apdo. 5, letra b, del RGPD). Si una de esas personas nos escribe, le contestamos nosotros y suprimimos la línea que le concierne. Si usas la Agenda personal para tu actividad profesional, el Responsable del tratamiento eres tú y nosotros somos Encargados por cuenta tuya.

Quién la ve. Tú. Y nuestros Operadores de BGates cuando es necesario para la asistencia: ese acceso está limitado a las personas designadas por escrito. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: el registro de cada uno de sus accesos en el registro de acciones administrativas (sección 4.17).

Conservación. Mientras exista tu Cuenta; se suprime junto con la Cuenta.

4.10 Notificaciones y notificaciones push

Qué. Las notificaciones que te enviamos en el Servicio (una solicitud de acceso pendiente de aprobar, el resultado de una orden) y, si las activas desde el navegador, las notificaciones push: en ese caso conservamos la dirección técnica en la que tu navegador recibe las notificaciones y las dos claves necesarias para enviarlas.

Base jurídica. Artículo 6, apdo. 1, letra b): son notificaciones de servicio que se refieren a tu Acceso y que has pedido tú.

Qué sale. El título y el texto de la notificación pasan por el servicio de notificaciones de tu navegador: Google, Mozilla o Apple, según el navegador que uses. Por eso del texto de las notificaciones quitamos el número de teléfono de quien ha solicitado el acceso: la notificación dice que hay una solicitud, y el número lo lees en la aplicación. Así está diseñado.

Conservación. Las notificaciones se conservan 90 días. La suscripción a las notificaciones push se mantiene mientras sea válida y se suprime cuando la revocas, cuando cierras la sesión de la Cuenta, cuando eliminas la Cuenta o cuando el servicio de notificaciones nos comunica que ya no es válida.

4.11 Asistencia: email y WhatsApp

Qué. Si nos escribes, tratamos tu número o tu dirección de email, el nombre con el que te presentas y el contenido de lo que nos escribes, incluidos los archivos adjuntos, las fotografías y los mensajes de voz. Si nos llamas por WhatsApp, quedan también los datos técnicos de la llamada.

Quién lo ve. Solo los Operadores de BGates designados por escrito. Así está diseñado, pero a 22 de septiembre de 2026 todavía no está en funcionamiento: el registro de cada lectura y de cada respuesta en el registro de acciones administrativas (sección 4.17).

Base jurídica. Artículo 6, apdo. 1, letra b), si eres Cliente: la asistencia forma parte del Servicio. Artículo 6, apdo. 1, letra f), si nos escribes sin ser Cliente: nuestro interés en contestar a quien se pone en contacto con nosotros.

Conservación. 24 meses desde el último mensaje de la conversación, adjuntos incluidos.

Cuando nos escribes por WhatsApp, el mensaje automático que recibes te lo indica: la conversación se conserva. El canal lo gestiona Meta, y lo que escribes pasa por allí.

4.12 La posición del Aparato obtenida a partir de la celda telefónica

Qué. El Aparato nos indica a qué celda de la red móvil está conectado. A partir de esos identificadores obtenemos una posición aproximada, con un radio que normalmente es de cientos de metros. La consulta la hace el sistema por sí solo, en cada reconexión y cada seis horas.

Por qué. Para entender, cuando algo no funciona, cómo y dónde está conectada la instalación a la red. Es diagnóstico, no una función que vendamos.

Qué no es. No es la posición de una persona ni la geolocalización de trabajadores: el Aparato es fijo, va montado en una pared. Pero el Aparato suele estar en la vivienda o en la empresa del Cliente, de modo que esa posición indica dónde se encuentra la instalación: por eso la tratamos con las mismas cautelas que un dato de localización.

Base jurídica. Artículo 6, apdo. 1, letra f). Puedes pedirnos que la desactivemos para tu Aparato escribiendo a info@bgates.it: la desactivamos, y el Aparato sigue funcionando. Solo las personas designadas por escrito pueden consultar el mapa de las instalaciones.

Destinatarios. Para convertir los identificadores de celda en coordenadas nos apoyamos en beaconDB. Sale el identificador de la celda; no sale el identificador del Aparato ni tu nombre.

Conservación. Conservamos solo el último valor, que se sobrescribe en cada actualización, y lo suprimimos cuando el Aparato se retira del servicio. El Registro de aperturas conserva, no obstante, el rastro de las consultas: está sujeto a la reducción a los 12 meses descrita en la sección 3.

4.13 La dirección donde está instalado el Aparato

Qué. Dirección, ciudad, código postal, provincia y una descripción de la instalación. Normalmente es la dirección de la vivienda de una persona.

Base jurídica. Artículo 6, apdo. 1, letra b): sirve para prestarte asistencia y para identificar la instalación.

Conservación. Mientras dure la relación.

4.14 Temperatura, franjas y estado del Acceso

Qué. La temperatura medida por el Aparato, las franjas horarias configuradas, el estado del relé, los temporizadores y si el Aparato está conectado.

Por qué. Son las funciones que vende el Servicio: verlas es la razón de ser de la aplicación.

Base jurídica. Artículo 6, apdo. 1, letra b), respecto del Cliente. Respecto de las demás personas que viven o trabajan en ese lugar, el interés legítimo del Cliente.

Conservación. Conservamos el último valor.

4.15 SIM y conectividad

Qué. Los identificadores de la SIM instalada en el Aparato y su estado ante el operador. Son datos técnicos, pero cuando la SIM está asignada a un Cliente se convierten en datos que le conciernen.

Base jurídica. Artículo 6, apdo. 1, letras b) y c), para la SIM asignada; artículo 6, apdo. 1, letra f), para la gestión del inventario.

Destinatarios. Vodafone Italia para la activación y la gestión de la conectividad: salen los identificadores de la SIM y del Aparato; no sale tu nombre.

Conservación. Mientras dure la relación. Los registros técnicos de las llamadas a los sistemas del operador se suprimen a los 90 días.

4.16 Seguridad del Servicio, direcciones IP y registros técnicos

Qué. Cuando abres una de nuestras páginas, el servidor registra la dirección IP, la fecha y la hora, la página solicitada, el resultado y el tipo de navegador. Cuando un Aparato se conecta, registramos su identificador y el resultado de la conexión. Contamos los intentos de inicio de sesión para limitar los abusos.

Base jurídica. Artículo 6, apdo. 1, letra f): proteger el Servicio y a las personas que lo usan.

Conservación. Los registros del servidor web, 14 días; los registros del canal de mensajería y de los procesos de la aplicación, 60 días; las copias de seguridad cifradas, 14 días; las sesiones y los tokens de acceso, 7 días, suprimidos cada noche.

Confirmación del dispositivo (web app de los Usuarios). Si abres un Acceso desde la web app, la primera vez que lo haces desde un teléfono o desde un navegador nuevo te enviamos por email un código de seis cifras: sirve para asegurarnos de que eres tú, y no alguien que ha conseguido tu contraseña. Por cada dispositivo confirmado conservamos un identificador aleatorio, guardado en nuestro sistema exclusivamente en forma de huella criptográfica, la descripción que el navegador declara de sí mismo (por ejemplo «iPhone, Safari»), la fecha de la confirmación, si se produjo con el código o con el desbloqueo de quien administra el Acceso, y la fecha del último uso. No conservamos la dirección IP ni la ubicación. Después de cada confirmación te enviamos un email con la descripción del dispositivo conectado. Quien administra el Acceso, si te desbloquea porque el código no te llega, ve la descripción del dispositivo pendiente y la fecha de la solicitud, nada más.

Base jurídica de la confirmación del dispositivo. Artículo 6, apdo. 1, letra f): protegerte a ti y al Acceso frente al uso de una contraseña prestada o sustraída.

Conservación de la confirmación del dispositivo. El dispositivo, mientras siga confirmado; cuando se desconecta (porque confirmas otro, porque cambias la contraseña o porque quien administra el Acceso restablece tus dispositivos) lo suprimimos de inmediato. Del código conservamos la huella solo mientras es válido: la suprimimos en cuanto se usa o caduca, a los 10 minutos. La solicitud (descripción del dispositivo, horas e intentos) la conservamos 24 horas, para aplicar los límites contra los abusos y permitir el desbloqueo.

4.17 El registro de las acciones de nuestros operadores

Qué. Cuando un Operador de BGates lee una Agenda personal, abre la correspondencia de asistencia, consulta la facturación de una Cuenta, exporta el Registro de aperturas, imprime un QR, descarga el registro interno de un Aparato, elimina una Cuenta o cambia un rol, queda registrado quién, qué, sobre qué, cuándo y desde qué dirección IP.

Por qué. Porque «el operador lo ve todo» no es una organización aceptable: si un acceso no deja rastro, no se puede demostrar ni que fue indebido ni que no lo fue.

Base jurídica. Artículo 6, apdo. 1, letras c) y f), en aplicación del artículo 5, apdo. 2, del RGPD y del artículo 2-quaterdecies del Codice privacy (Código italiano de protección de datos personales, D.lgs. 196/2003).

Conservación. 24 meses.

Si eres un Cliente profesional, puedes pedirnos el extracto de las líneas que se refieren a tus datos. Así está diseñado: el registro de acciones administrativas está en fase de implantación. Hasta ese momento, las acciones de nuestros operadores quedan solo en los registros técnicos de los procesos, durante 60 días.

4.18 El sitio web y el formulario para solicitar un presupuesto

En el sitio web tratamos lo que describe la sección 4.16 (dirección IP y datos técnicos) y, si rellenas el formulario para solicitar un presupuesto, los datos que nos dejas para contestarte: base jurídica, artículo 6, apdo. 1, letra b), porque son medidas precontractuales que pides tú. Si eliges escribirnos por WhatsApp desde el sitio web, te lo advertimos antes: el mensaje pasa por Meta.

Estadísticas del sitio web, solo con tu consentimiento. En las páginas públicas del sitio web, y solo allí, te preguntamos con un banner si quieres activar Google Analytics, a través de Google Tag Manager, para contar las visitas y entender qué páginas son útiles. Base jurídica: tu consentimiento (artículo 6, apdo. 1, letra a), del RGPD y artículo 122 del Codice privacy), que puedes retirar cuando quieras desde «Preferencias de cookies», al final de cada página, con la misma facilidad con que lo diste. Si lo rechazas, el sitio funciona igual y tu navegador no contacta con Google. Miramos los datos solo de forma agregada; Google Signals está desactivado, así que no hay ningún vínculo con tu posible cuenta de Google ni uso publicitario. El detalle está en la Política de cookies y almacenamiento local.

La tienda, en la dirección shop.bgates.it, se gestiona en una plataforma distinta, Shopify, con su propia información sobre protección de datos y su propio aviso de cookies.

4.19 Comunicaciones comerciales

Hoy no enviamos comunicaciones comerciales. Si algún día lo hacemos, te lo pediremos con una casilla separada, no premarcada y no obligatoria para usar el Servicio: la base será tu consentimiento (artículo 6, apdo. 1, letra a, del RGPD y artículo 130 del Codice privacy), y podrás retirarlo con la misma facilidad con que lo diste, desde tu perfil.

4.20 Las aceptaciones y las lecturas

Qué. Cuando aceptas un documento contractual o declaras haber leído una información, registramos qué documento, qué versión, cuándo, desde qué pantalla, desde qué dirección IP y con qué navegador.

Por qué. Para que tanto nosotros como tú podamos demostrar, más adelante, qué estaba escrito cuando aceptaste.

Base jurídica. Artículo 6, apdo. 1, letras c) y f), en cumplimiento de la obligación de poder demostrar la conformidad (artículo 5, apdo. 2, del RGPD).

Conservación. Mientras dure la relación y durante 10 años después de su fin.

4.21 Qué datos tienes que darnos obligatoriamente y qué ocurre si no los das

Algunos datos te los pedimos porque sin ellos no podemos ejecutar el contrato: nombre de usuario, email, contraseña y número de móvil (que se convierte en un Número habilitado en tu Acceso, como indica la sección 4.1). Si no los facilitas, no podemos abrirte una Cuenta ni activar el Aparato.

Otros datos nos los impone la ley: para la facturación, los datos identificativos y fiscales (codice fiscale, número de IVA, código de destinatario SDI o PEC para quien es profesional); si no los facilitas, no podemos emitir la factura ni formalizar la Suscripción.

Todo lo demás es facultativo: el teléfono fijo, la dirección de la instalación cuando no es necesaria para la asistencia, el nombre que asocias a un Número habilitado, la nota de la Agenda personal, las notificaciones push. No facilitarlos no tiene ninguna consecuencia sobre el Servicio, salvo para la función concreta que depende de ellos.

Esta sección responde al artículo 13, apdo. 2, letra e), del RGPD.

5. Los datos que no nos has dado tú

Algunas de las personas que leen esta información nunca nos han dado nada. Para ellas se aplica el artículo 14 del RGPD, y la pregunta correcta es: ¿de dónde proceden mis datos?

Cuándo te lo decimos. Si tu número ha sido habilitado y tenemos un canal para llegar a ti, recibes una Invitación que contiene el enlace a la información que te concierne: ese es el momento en que te informamos, como prevé el artículo 14, apdo. 3, letra b), del RGPD. Si el número se ha grabado directamente en la Agenda interna del Aparato sin pasar por nuestros sistemas, nosotros no lo conocemos: en ese caso es quien lo ha introducido quien debe informarte, y es una obligación que le imponen por escrito las Condiciones que ha aceptado.

Te decimos quién te ha introducido. Si nos escribes a info@bgates.it indicando tu número, te decimos en qué Acceso está habilitado y quién lo administra, y le trasladamos tu eventual oposición.

6. A quién comunicamos los datos

No vendemos datos ni los cedemos a nadie para fines propios de terceros. Solo los comunicamos a los proveedores que necesitamos para prestar el Servicio, y cada uno recibe solo lo que necesita. Son estos, con su denominación completa:

Además, cuando procede, comunicamos datos a las autoridades que los soliciten en los casos previstos por la ley: cada solicitud se verifica y se registra antes de atenderla.

La lista actualizada, con la fecha de la última verificación, está en el documento Proveedores. Si cambiamos un proveedor que trata tus datos, lo indicamos allí y, cuando el cambio es sustancial, te lo comunicamos.

7. Transferencias fuera del Espacio Económico Europeo

Nuestros servidores están en Alemania. Algunos proveedores, sin embargo, tratan datos en Estados Unidos: Meta en los tratamientos posteriores a la entrega, Stripe, los servicios de notificaciones push y, solo si aceptas las estadísticas del sitio web, Google para Google Analytics. Las fuentes tipográficas de nuestras páginas están alojadas en nuestros servidores: al abrir el sitio web o el Área reservada, tu navegador no contacta con ningún proveedor externo de fuentes, y ninguna dirección IP sale por ese motivo.

Con qué base. Para los proveedores estadounidenses certificados en la lista del Data Privacy Framework, la transferencia se basa en la decisión de adecuación (UE) 2023/1795 de la Comisión Europea (artículo 45 del RGPD). La decisión está vigente; fue confirmada en primera instancia por el Tribunal General de la Unión Europea el 3 de septiembre de 2025 (asunto T-553/23) y el recurso de casación está pendiente. Para los proveedores no certificados, la transferencia se basa en las cláusulas contractuales tipo adoptadas por la Comisión (artículo 46, apdo. 2, letra c, del RGPD), acompañadas de una evaluación de la transferencia. Las cláusulas siguen en vigor también con los proveedores certificados.

Puedes pedirnos una copia de las garantías aplicables a una transferencia determinada escribiendo a info@bgates.it.

8. Durante cuánto tiempo conservamos los datos

Aquí están todos los plazos, con su motivo. Las mismas cifras figuran en la Política de conservación, que es el documento donde se establecen: si algún día ambos textos no coincidieran, prevalece aquel.

Algo que hay que decir, y que tiene que ver con el momento en que lees esto. Estos plazos son los que se aplican a partir de esta versión de la información. Las supresiones automáticas que los hacen efectivos están en funcionamiento desde la fecha de entrada en vigor de esta versión: antes, el Servicio conservaba los datos sin un plazo declarado. Los datos ya existentes en esa fecha siguen los mismos plazos, calculados desde el momento en que se recogieron.

9. Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti, ni elaboramos perfiles (artículos 13, apdo. 2, letra f), y 14, apdo. 2, letra g), del RGPD).

Cuando el Aparato abre porque reconoce el número que llama, no decide un algoritmo: se ejecuta una regla que ha configurado una persona, quien administra el Acceso.

10. Tus derechos

Puedes pedirnos, en cualquier momento:

• saber qué datos tenemos sobre ti y obtener una copia (artículo 15);
• que los rectifiquemos, si son incorrectos o incompletos (artículo 16);
• que los suprimamos (artículo 17);
• que limitemos su uso mientras comprobamos algo (artículo 18);
• recibirlos en un formato legible por ordenador, en el caso de los datos que nos has dado tú sobre la base del contrato o del consentimiento (artículo 20);
• oponerte al tratamiento basado en un interés legítimo (artículo 21). Es el derecho que más cuenta si tu número lo ha habilitado otra persona: puedes oponerte, y la habilitación se retira salvo que quien gestiona el Acceso acredite motivos legítimos imperiosos que prevalezcan sobre los tuyos.

Cómo se hace. Escribe a info@bgates.it. Te contestamos en el plazo de un mes; si la solicitud es compleja, podemos tomarnos dos meses más y, en ese caso, te lo comunicamos dentro del primer mes. No te pedimos documentos que no tengamos ya: para identificarte usamos lo que nos has escrito y los datos que ya tratamos.

Si tienes una Cuenta, desde tu Área reservada puedes descargar tus datos y eliminar la Cuenta por ti mismo, sin pasar por la asistencia: en la dashboard, desde el menú del perfil, en la opción «Documentos legales y tus datos», o en la dirección https://app.bgates.it/profilo. Ambas funciones están activas desde la fecha de entrada en vigor de esta versión.

10.1 Cuando la solicitud se refiere a datos sobre los que decide el Cliente

Respecto de los números habilitados, el Registro de aperturas, las solicitudes desde QR y las Agendas personales usadas para una actividad profesional, el Responsable del tratamiento es el Cliente titular del Acceso, no nosotros. (Respecto de la Agenda personal de quien la usa para sí mismo, el Responsable del tratamiento somos nosotros, por el motivo indicado en la sección 4.9: a esa solicitud contestamos directamente.) En los demás casos:

1. te contestamos nosotros, indicándote que la solicitud se refiere a datos de otro Responsable del tratamiento;
2. trasladamos la solicitud al Cliente sin demora, y le asistimos para que te dé respuesta, como nos impone el artículo 28, apdo. 3, letra e), del RGPD;
3. te decimos a quién se la hemos trasladado, para que puedas dirigirte directamente a él.

Lo que sí podemos hacer de inmediato, y hacemos, es suspender la habilitación del número mientras se aclara la cuestión, si nos lo pides.

10.2 Reclamación

Si consideras que estamos tratando tus datos de forma incorrecta, puedes presentar una reclamación ante el Garante per la protezione dei dati personali (autoridad italiana de control de protección de datos; Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) conforme al artículo 77 del RGPD, o acudir a los tribunales. Si resides en otro Estado de la Unión Europea, puedes dirigirte a la autoridad de control de tu Estado.

11. Seguridad: qué hacemos y qué no prometemos

No decimos que tus datos están «a salvo»: nadie puede decirlo. Decimos lo que hay.

Lo que está en funcionamiento hoy. Las páginas y las aplicaciones circulan por conexiones cifradas (TLS), con las protecciones del navegador activadas. Las contraseñas se conservan en forma cifrada e irreversible. Los intentos de inicio de sesión están limitados en frecuencia. El servidor está protegido por un filtro de tráfico y por un sistema que bloquea las direcciones que insisten. Cada rol ve solo la parte de los datos que le corresponde, y el Servicio aplica ese perímetro a cada solicitud.

Lo que todavía no está como querríamos, y que estamos resolviendo. La conexión entre el Aparato y nuestros sistemas no está cifrada: el canal cifrado existe, pero ninguno de los Aparatos instalados ha migrado todavía a él, y la migración avanza Aparato por Aparato. Tampoco está cifrado el canal por el que el Aparato deposita sus archivos de configuración y de registro para la asistencia. Los datos de nuestras bases de datos no están cifrados en reposo; las copias de seguridad sí lo están, y se conservan en la misma máquina que aloja el Servicio. El inicio de sesión en dos pasos para las cuentas administrativas no está disponible.

Si ocurre algo. Si una violación de la seguridad de los datos personales entraña un alto riesgo para tus derechos, te lo comunicamos, como prevé el artículo 34 del RGPD, y lo notificamos al Garante en los plazos del artículo 33. El procedimiento se describe en el documento Gestión de violaciones e incidentes.

Dos cosas que dependen de ti. La Cuenta es personal: quien la comparte hace imposible saber quién ha abierto. Y el número de teléfono, por sí solo, es una llave débil: si quieres más garantías, usa la aplicación con tu Cuenta.

12. Menores

El Servicio no está dirigido a menores y no preguntamos la edad a quien se registra. El Cliente puede habilitar el número de un menor para abrir un Acceso —por ejemplo, un padre o una madre, o un colegio—: en ese caso es quien lo habilita quien debe informar a quien ejerce la patria potestad. Si te das cuenta de que el número de un menor está habilitado sin que lo supieras, escribe a info@bgates.it.

13. Cookies y almacenamiento en tu dispositivo

En el Área reservada, en la app y en el procedimiento de activación usamos solo cookies técnicas: las que mantienen abierta tu sesión y las que recuerdan pequeñas preferencias de tu navegador. Allí no hay banner, porque las cookies técnicas no requieren consentimiento (artículo 122 del Codice privacy).

En las páginas públicas del sitio web, en cambio, hay un banner, porque allí te preguntamos si quieres activar las estadísticas de Google Analytics (sección 4.18). Mientras no elijas, y si lo rechazas, no se carga nada de Google. No usamos cookies de elaboración de perfiles y no hay píxeles publicitarios, en ninguna área. Las fuentes tipográficas de nuestras páginas están alojadas en nuestros servidores (sección 7) y el mapa del Área reservada solo se carga si lo pides tú.

La lista completa, clave por clave, con la duración y la finalidad, está en la Política de cookies y almacenamiento local.

14. Lo que no hacemos

Lo escribimos porque son las preguntas que nos llegan con más frecuencia.

• No vendemos tus datos ni los cedemos para fines de terceros.
• No escuchamos ni grabamos las llamadas que haces al Acceso: el Aparato cuelga sin contestar. Queda registrado que has llamado, no lo que has dicho.
• No sabemos dónde estás: la posición que tratamos es la aproximada del Aparato, que es fijo, no la de tu teléfono.
• No elaboramos perfiles ni tomamos decisiones automatizadas sobre ti.
• No usamos el Registro de aperturas para controlar a las personas, y quien administra un Acceso se compromete por contrato a no hacerlo.

15. Cambios en esta información

Esta información puede cambiar: porque cambia el Servicio, porque cambia un proveedor, porque modificamos un plazo de conservación o porque corregimos algo que no estaba bien escrito.

Cada versión tiene un número y una fecha de entrada en vigor, al final de la página. Cuando el cambio es sustancial, te lo comunicamos; cuando corregimos una coma, no.

Versión 2026.10.27-1 — en vigor desde el 27 de octubre de 2026. Cuando cambiemos algo sustancial —una finalidad nueva, un proveedor nuevo, un plazo de conservación más largo— publicaremos aquí la nueva versión, con su fecha, y si tienes una Cuenta te lo comunicaremos por email. Este documento no se acepta: se lee, y no te pedimos que marques ninguna casilla. Las correcciones de forma no cambian la versión. Las versiones anteriores siguen disponibles a petición en info@bgates.it.