Política de privacidad

Qué datos tratamos, para qué, durante cuánto tiempo y cómo ejercer tus derechos. Conforme al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018.

Responsable del tratamiento

Responsable

Arenna Labs, S.L.

NIF

B75686410

Domicilio

Calle Amanecer, 30, local 1, 38206 San Cristóbal de La Laguna, Santa Cruz de Tenerife

Contacto

info@arennalabs.com

Qué datos tratamos

• Cuenta. Nombre, correo electrónico y contraseña, que se guarda cifrada con una función de derivación de claves y nunca en claro.
• Organización. Denominación y NIF, necesarios para emitir la factura.
• Destinatarios de avisos. Las direcciones de correo que añadas a tus alertas. Si no pertenecen a tu organización, se les pide confirmación antes del primer envío.
• Uso del servicio. Fecha de acceso, dirección IP y navegador, con fines de seguridad; y registro de los avisos enviados, para poder demostrar qué se envió y cuándo.
• Trabajo en el panel. Las licitaciones que sigues, con sus notas, responsables y plazos; las empresas y los órganos que sigues; el perfil de tu empresa (actividad, solvencia, clasificaciones) si lo rellenas, y el enlace privado del calendario si lo activas.
• Pago. Gestionado íntegramente por Stripe. Attalaya no almacena ni ve números de tarjeta en ningún momento.

Además, Attalaya trata datos de adjudicatarios que publica la Administración. Tienen su propio apartado más abajo: datos de adjudicatarios procedentes de fuentes públicas.

Para qué y con qué base legal

• Prestar el servicio contratado — ejecución del contrato (art. 6.1.b RGPD). Incluye enviar los avisos, el correo de seguimiento y el correo operativo imprescindible, y leer los pliegos que pidas.
• Facturar y cumplir obligaciones fiscales — obligación legal (art. 6.1.c).
• Seguridad del servicio — interés legítimo en prevenir accesos no autorizados y abusos (art. 6.1.f).
• Comunicaciones comerciales — solo con tu consentimiento expreso (art. 6.1.a), revocable en cualquier momento y sin que afecte al servicio.

Durante cuánto tiempo

Los datos de la cuenta se conservan mientras la suscripción esté activa y durante los doce meses siguientes a la baja, por si decides volver. Los registros de facturación se conservan seis años, según el Código de Comercio. Los registros de acceso, doce meses. Pasados esos plazos, los datos se suprimen o se anonimizan.

A quién se comunican

No vendemos ni cedemos datos personales. Solo intervienen los proveedores necesarios para prestar el servicio. Esta es la lista, con el lugar donde tratan los datos:

UE

Stripe Payments Europe, Ltd. — Cobro de la suscripción

UE

Proveedor de correo saliente — Envío de los avisos

UE

Proveedor de alojamiento — Servidores y base de datos

EE. UU.

OpenRouter, Inc. — Acceso a los modelos de lenguaje que leen pliegos y juzgan el encaje

Al proveedor de los modelos de lenguaje solo le llega lo necesario para leer un pliego o juzgar el encaje: el texto del documento —nunca el archivo— y, cuando pides el encaje, la actividad y la solvencia que hayas escrito en el perfil de tu empresa. Las peticiones que llevan datos de tu empresa solo se envían a proveedores que no los conservan ni los usan para entrenar sus modelos.

Además, los datos podrán comunicarse a las administraciones y tribunales cuando exista una obligación legal.

Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte al tratamiento, limitarlo y solicitar su portabilidad escribiendo a info@arennalabs.com desde la dirección asociada a tu cuenta. Responderemos en el plazo de un mes. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos.

Parte de estos derechos se ejercen directamente desde el panel: puedes editar tus datos y eliminar la cuenta sin escribir a nadie. Para una copia de tus datos, escríbenos.

Datos de adjudicatarios procedentes de fuentes públicas

Este apartado es para quien gana contratos públicos como autónomo o profesional: sus datos no nos los ha dado él, y el art. 14 del RGPD obliga a contarle aquí qué hacemos con ellos.

• Qué datos. El nombre del adjudicatario persona física y su DNI o NIE con solo cuatro cifras a la vista (***4567**), como fija la disposición adicional séptima de la LOPDGDD, junto a los datos del contrato: objeto, órgano, importe, fechas y número de ofertas. El número completo no se guarda en la base de datos ni se enseña, aunque el portal lo publique: para reconocer a la misma persona en contratos distintos se usa una huella cifrada con una clave que no está en la base. Los ficheros del portal se archivan tal como se descargan, en el servidor y fuera de la aplicación, para poder rehacer los datos si hace falta.
• De dónde salen. De la Plataforma de Contratación del Sector Público, del Ministerio de Hacienda: sus ficheros de datos abiertos y su buscador. Los publican los órganos de contratación porque la ley lo obliga (art. 63 de la Ley 9/2017 y art. 8 de la Ley 19/2013). Attalaya los reutiliza al amparo de la Ley 37/2007 y no los cruza con otras fuentes.
• Para qué. Para que las empresas clientes conozcan la contratación pública: quién ganó cada contrato, por cuánto y con cuántas ofertas, y cómo es el mercado en su sector. No se usan para ofrecer nada a nadie, contactar con los adjudicatarios ni valorarlos como personas.
• Con qué base. El interés legítimo (art. 6.1.f del RGPD) de las empresas en conocer el mercado de la contratación pública, que la propia ley quiere que se conozca. El art. 19.2 de la LOPDGDD presume ese interés en los datos de empresarios individuales y profesionales cuando se tratan solo en esa condición.
• Cómo se enseñan. Solo junto a cada contrato: en el panel, detrás del inicio de sesión, y en los avisos por correo que reciben los clientes. En los rankings y las cifras de mercado las personas físicas cuentan sin nombre. No hay ficha de personas, ni búsqueda por DNI, ni forma de seguir a una persona.
• Quién los ve. Los usuarios de las organizaciones clientes de Attalaya y las personas a las que ellas mandan sus avisos, que pueden no pertenecer a la organización; y los proveedores de alojamiento y de correo de la lista anterior.
• Durante cuánto tiempo. Mientras el contrato forme parte del histórico que ofrece el servicio, salvo que te opongas.

Puedes oponerte a este tratamiento (art. 21 del RGPD) con el formulario de oposición o escribiendo a info@arennalabs.com. Comprobamos tu identidad y, hecho eso, tu nombre y tu DNI enmascarado dejan de aparecer en todo Attalaya —también donde un órgano te publicó ya enmascarado con tu nombre— y no vuelven aunque el portal publique otra vez el contrato. Los avisos que ya llegaron a las bandejas de los clientes no se pueden recoger; en las copias que guarda Attalaya se borra tu nombre. También puedes pedir acceso, supresión o limitación por la misma vía. Si un dato es erróneo en origen, corregirlo corresponde al órgano que lo publicó: Attalaya lo enseña tal como aparece en la fuente.

Los datos de empresas —sociedades, UTE y empresas extranjeras— no son datos personales (considerando 14 del RGPD). Con ellos Attalaya elabora fichas de empresa, rankings y cifras de mercado.

Decisiones automatizadas

El filtrado de publicaciones es automático, pero se limita a seleccionar qué contratos se te envían según los criterios que tú defines. El encaje de cada contrato con tu empresa es una indicación para leer el correo, no una decisión. Nada de esto produce efectos jurídicos sobre ninguna persona, ni sobre ti ni sobre los adjudicatarios, en el sentido del artículo 22 del RGPD.

Última actualización: 24 de septiembre de 2026