Índice

1. Responsable del tratamiento

• Identidad: SMATIX 2020 S.L
• CIF/NIF: B44278562
• Dirección postal: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), España
• Contacto en materia de protección de datos: legal@merlinautosys.com

2. Principios

En Smatix aplicamos los principios de privacidad por diseño y por defecto. Esto significa que:

• El núcleo del sistema reside en su dispositivo físico, en su red local. La mayor parte del procesamiento ocurre allí.
• Solo recopilamos lo estrictamente necesario para prestar el servicio contratado.
• No vendemos, alquilamos ni compartimos sus datos personales con terceros para fines comerciales.
• El asistente IA opera con anonimización previa (PII Stripping): nombres, direcciones, números de cuenta y otros datos sensibles se reemplazan por tokens antes de salir del dispositivo, y se recomponen localmente.

3. Datos que tratamos

Categoría	Datos	Finalidad	Base legal
Identificación de cuenta	Nombre, email, contraseña (cifrada), teléfono	Crear cuenta, autenticar, contactar	Ejecución del contrato
Datos de facturación	Razón social, NIF, dirección, datos de pago (procesados por Stripe)	Facturación y cumplimiento fiscal	Obligación legal
Datos del dispositivo	MAC, hostname, versión, código de activación, último heartbeat	Activación y mantenimiento	Ejecución del contrato
Datos de uso	Cantidad de tokens IA consumidos, SMS y llamadas enviados, accesos	Aplicar límites del plan y facturar consumos	Ejecución del contrato
Datos domóticos	Áreas, escenas, automatizaciones, dispositivos integrados	Funcionamiento del sistema	Ejecución del contrato
Datos de presencia	Conexiones a Dashboard, tipo de dispositivo, IP (parcial)	Mostrar quién está conectado, automatizaciones de presencia	Ejecución del contrato / interés legítimo
Comunicaciones del asistente IA	Texto del mensaje (anonimizado), respuesta	Prestar el servicio de asistente	Ejecución del contrato
Solicitudes de contacto desde la web	Nombre, email, y si los facilita: empresa, sector, teléfono, junto con la conversación mantenida con el asistente	Atender su consulta, enviarle un presupuesto orientativo o concertar una demostración	Consentimiento del interesado
Datos opcionales del Fichaje	Hora de entrada/salida, GPS (si autorizado)	Cumplimiento del registro horario laboral (Ley 10/2021)	Obligación legal del empleador

4. Dónde se almacenan los datos

En su dispositivo Merlin (local): automatizaciones, escenas, áreas, fichajes, archivos, configuración, historial de conexiones. Bajo su control físico.

En nuestros servidores cloud (VPS en la Unión Europea): cuenta del Portal, datos de facturación, agregados de consumo IA/SMS/llamadas, copias de seguridad si está activado el plan correspondiente. Proveedor actual: IONOS, con servidores ubicados en territorio de la Unión Europea.

Backups off-site: copias cifradas en Backblaze B2 (servidor en la UE) para recuperación ante desastres.

5. Encargados del tratamiento

Para prestar el servicio compartimos datos estrictamente necesarios con los siguientes encargados, todos con garantías contractuales adecuadas (cláusulas tipo de la Comisión Europea o ubicación dentro de la UE):

• Stripe Payments Europe Ltd (Irlanda) — procesamiento de pagos.
• Anthropic, PBC (Estados Unidos) — servicio de inteligencia artificial. Los datos enviados están previamente anonimizados mediante PII Stripping.
• Google LLC (Estados Unidos) — voz en tiempo real de la opción «Hablar por voz» de la web: el audio se procesa en Google únicamente para responder y no se utiliza para entrenar sus modelos.
• Twilio Ireland Limited (Irlanda) — envío de SMS y llamadas.
• Resend Inc. (EE.UU. / UE) — envío de emails transaccionales.
• Cloudflare Inc. (EE.UU. con cifrado extremo a extremo) — túnel seguro para acceso remoto.
• IONOS Cloud GmbH / proveedor equivalente (Alemania) — alojamiento del backend.
• Backblaze Inc. (EE.UU., región UE) — backups off-site cifrados.
• Google LLC y Apple Inc. — entrega de las notificaciones push de la aplicación móvil (Firebase Cloud Messaging y APNs). Solo reciben el identificador del dispositivo y el texto del aviso.

6. Plazo de conservación

• Datos de cuenta: mientras dure la relación contractual y 4 años tras la baja (obligaciones fiscales).
• Datos de facturación: 6 años (Código de Comercio).
• Logs técnicos y de seguridad: 12 meses.
• Datos en su dispositivo local: bajo su control; permanecen indefinidamente salvo que los elimine.
• Mensajes del asistente IA: 30 días, en formato anonimizado.
• Solicitudes de contacto desde la web: 12 meses desde el último contacto, salvo que deriven en una relación contractual.
• Registro de fichaje (si aplica): 4 años (Estatuto de los Trabajadores).

7. Sus derechos

Conforme al RGPD y la LOPDGDD, usted tiene derecho a:

• Acceso: solicitar qué datos suyos tratamos.
• Rectificación: corregir datos inexactos.
• Supresión: eliminar sus datos cuando no sean necesarios.
• Limitación: restringir el tratamiento.
• Portabilidad: recibir sus datos en formato estructurado.
• Oposición: oponerse a determinados tratamientos.
• Retirar el consentimiento en cualquier momento, sin efecto retroactivo.

Para ejercer sus derechos: legal@merlinautosys.com. Responderemos en el plazo máximo de un mes.

Si considera que tratamos sus datos incorrectamente, puede presentar reclamación ante la Agencia Española de Protección de Datos (aepd.es).

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: cifrado de contraseñas con bcrypt, conexiones HTTPS con HSTS, autenticación JWT, separación de credenciales por dispositivo, auditoría de accesos técnicos, backups cifrados, firewall y fail2ban en el backend. No obstante, ningún sistema es 100% seguro; nos comprometemos a notificar cualquier brecha en el plazo legal.

9. Cookies

El Portal y los paneles de Merlin utilizan cookies técnicas estrictamente necesarias para el funcionamiento (sesión, preferencia de idioma, tema claro/oscuro). No utilizamos cookies de analítica de terceros ni de publicidad. Más detalle en el aviso de cookies del propio portal.

10. Menores

El servicio no está dirigido a menores de 14 años. Si descubrimos que hemos recopilado datos de un menor sin el consentimiento de sus tutores, los eliminaremos.

11. Cambios en esta política

Publicaremos cualquier modificación material en esta misma página y, cuando sea exigible, le notificaremos por email con 30 días de antelación.

12. Aplicación móvil

La aplicación «Merlin» para iOS y Android es el mismo panel que el navegador con tres funciones nativas. Ninguna de ellas añade datos a nuestros servidores:

• Biometría (Face ID, Touch ID, huella): la verificación la realiza el sistema operativo del teléfono. La aplicación solo recibe «correcto» o «incorrecto»; nunca accede a la imagen facial ni a la huella, que no salen del dispositivo. Puede desactivarla en los ajustes de la aplicación.
• Notificaciones push: al iniciar sesión, la aplicación registra un identificador de notificación (token) que se guarda en su dispositivo Merlin, no en la nube de Smatix. Los avisos se entregan a través de Firebase Cloud Messaging (Google LLC) y, en iOS, del servicio de notificaciones de Apple (APNs), y contienen el título y el texto del aviso. El identificador se elimina cuando deja de ser válido o al cerrar sesión.
• Red local: la aplicación intenta primero conectar con su dispositivo Merlin dentro de su propia red y, si no lo encuentra, usa el acceso remoto cifrado. No escanea la red ni recopila información de otros equipos.

La aplicación no incluye analítica, publicidad ni rastreadores de terceros. Los datos de sesión se guardan únicamente en el propio teléfono y se borran al cerrar sesión o al desinstalar la aplicación.

Índice

1. Data controller

• Identity: SMATIX 2020 S.L
• Tax ID (CIF/NIF): B44278562
• Postal address: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Spain
• Data protection contact: legal@merlinautosys.com

2. Principles

At Smatix we apply the principles of privacy by design and by default. This means that:

• The core of the system resides on your physical device, on your local network. Most processing happens there.
• We collect only what is strictly necessary to provide the contracted service.
• We do not sell, rent or share your personal data with third parties for commercial purposes.
• The AI assistant operates with prior anonymisation (PII stripping): names, addresses, account numbers and other sensitive data are replaced by tokens before leaving the device, and are reassembled locally.

3. Data we process

Category	Data	Purpose	Legal basis
Account identification	Name, email, password (encrypted), phone	Create account, authenticate, make contact	Performance of the contract
Billing data	Company name, tax ID, address, payment details (processed by Stripe)	Invoicing and tax compliance	Legal obligation
Device data	MAC, hostname, version, activation code, last heartbeat	Activation and maintenance	Performance of the contract
Usage data	AI tokens consumed, SMS and calls sent, logins	Apply plan limits and bill consumption	Performance of the contract
Automation data	Areas, scenes, automations, integrated devices	Operation of the system	Performance of the contract
Presence data	Dashboard connections, device type, IP (partial)	Show who is connected, presence automations	Performance of the contract / legitimate interest
AI assistant communications	Message text (anonymised), response	Provide the assistant service	Performance of the contract
Contact requests from the website	Name, email, and if provided: company, sector, phone, together with the conversation held with the assistant	Handle your enquiry, send you an indicative quote or arrange a demonstration	Consent of the data subject
Optional time-tracking data	Clock-in/out time, GPS (if authorised)	Compliance with working-time records (Spanish Act 10/2021)	Employer's legal obligation

4. Where data is stored

On your Merlin device (local): automations, scenes, areas, time records, files, configuration, connection history. Under your physical control.

On our cloud servers (VPS in the European Union): Portal account, billing data, aggregated AI/SMS/call consumption, backups if the corresponding plan is enabled. Current provider: IONOS, with servers located within European Union territory.

Off-site backups: encrypted copies on Backblaze B2 (EU server) for disaster recovery.

5. Data processors

To provide the service we share strictly necessary data with the following processors, all with adequate contractual safeguards (European Commission standard contractual clauses or location within the EU):

• Stripe Payments Europe Ltd (Ireland) — payment processing.
• Anthropic, PBC (United States) — artificial intelligence service. Data sent is anonymised beforehand through PII stripping.
• Google LLC (United States) — real-time voice for the website's "Voice chat" option: the audio is processed by Google solely to respond and is not used to train its models.
• Twilio Ireland Limited (Ireland) — sending SMS and calls.
• Resend Inc. (USA / EU) — sending transactional emails.
• Cloudflare Inc. (USA, with end-to-end encryption) — secure tunnel for remote access.
• IONOS Cloud GmbH / equivalent provider (Germany) — backend hosting.
• Backblaze Inc. (USA, EU region) — encrypted off-site backups.
• Google LLC and Apple Inc. — delivery of mobile application push notifications (Firebase Cloud Messaging and APNs). They only receive the device identifier and the notice text.

6. Retention periods

• Account data: for the duration of the contractual relationship and 4 years after termination (tax obligations).
• Billing data: 6 years (Spanish Commercial Code).
• Technical and security logs: 12 months.
• Data on your local device: under your control; it remains indefinitely unless you delete it.
• AI assistant messages: 30 days, in anonymised form.
• Contact requests from the website: 12 months from the last contact, unless they lead to a contractual relationship.
• Time-tracking records (where applicable): 4 years (Spanish Workers' Statute).

7. Your rights

Under the GDPR and Spanish Act LOPDGDD, you have the right to:

• Access: request which of your data we process.
• Rectification: correct inaccurate data.
• Erasure: delete your data when it is no longer necessary.
• Restriction: restrict processing.
• Portability: receive your data in a structured format.
• Objection: object to certain processing.
• Withdraw consent at any time, without retroactive effect.

To exercise your rights: legal@merlinautosys.com. We will respond within a maximum of one month.

If you believe we are processing your data incorrectly, you may lodge a complaint with the Spanish Data Protection Agency (aepd.es).

8. Security

We apply appropriate technical and organisational measures: password hashing with bcrypt, HTTPS connections with HSTS, JWT authentication, per-device credential separation, auditing of technical access, encrypted backups, firewall and fail2ban on the backend. Nevertheless, no system is 100% secure; we undertake to notify any breach within the legal deadline.

9. Cookies

The Portal and Merlin's panels use technical cookies strictly necessary for operation (session, language preference, light/dark theme). We do not use third-party analytics or advertising cookies. Further detail is available in the portal's own cookie notice.

10. Minors

The service is not aimed at children under 14. If we discover that we have collected a minor's data without their guardians' consent, we will delete it.

11. Changes to this policy

We will publish any material amendment on this same page and, where required, notify you by email 30 days in advance.

12. Mobile application

The "Merlin" application for iOS and Android is the same panel as the browser with three native functions. None of them adds data to our servers:

• Biometrics (Face ID, Touch ID, fingerprint): verification is performed by the phone's operating system. The application only receives "correct" or "incorrect"; it never accesses the facial image or the fingerprint, which do not leave the device. You can disable it in the application settings.
• Push notifications: upon logging in, the application registers a notification identifier (token) that is saved on your Merlin device, not in the Smatix cloud. Notices are delivered via Firebase Cloud Messaging (Google LLC) and, on iOS, through Apple's notification service (APNs), and contain the title and text of the notice. The identifier is deleted when it is no longer valid or upon logging out.
• Local network: the application first attempts to connect to your Merlin device within your own network and, if it does not find it, uses encrypted remote access. It does not scan the network or collect information from other equipment.

The application does not include analytics, advertising, or third-party trackers. Session data is saved solely on the phone itself and is erased upon logging out or uninstalling the application.

Índice

1. Responsable del tractament

• Identitat: SMATIX 2020 S.L
• CIF/NIF: B44278562
• Adreça postal: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Terol), Espanya
• Contacte en matèria de protecció de dades: legal@merlinautosys.com

2. Principis

A Smatix apliquem els principis de privacitat des del disseny i per defecte. Això vol dir que:

• El nucli del sistema resideix al seu dispositiu físic, a la seva xarxa local. La major part del processament hi passa.
• Només recollim allò estrictament necessari per prestar el servei contractat.
• No venem, lloguem ni compartim les seves dades personals amb tercers amb finalitats comercials.
• L'assistent IA opera amb anonimització prèvia (PII Stripping): noms, adreces, números de compte i altres dades sensibles se substitueixen per tokens abans de sortir del dispositiu, i es recomponen localment.

3. Dades que tractem

Categoria	Dades	Finalitat	Base legal
Identificació de compte	Nom, correu, contrasenya (xifrada), telèfon	Crear compte, autenticar, contactar	Execució del contracte
Dades de facturació	Raó social, NIF, adreça, dades de pagament (processades per Stripe)	Facturació i compliment fiscal	Obligació legal
Dades del dispositiu	MAC, hostname, versió, codi d'activació, últim heartbeat	Activació i manteniment	Execució del contracte
Dades d'ús	Quantitat de tokens IA consumits, SMS i trucades enviats, accessos	Aplicar límits del pla i facturar consums	Execució del contracte
Dades domòtiques	Àrees, escenes, automatitzacions, dispositius integrats	Funcionament del sistema	Execució del contracte
Dades de presència	Connexions al Dashboard, tipus de dispositiu, IP (parcial)	Mostrar qui està connectat, automatitzacions de presència	Execució del contracte / interès legítim
Comunicacions de l'assistent IA	Text del missatge (anonimitzat), resposta	Prestar el servei d'assistent	Execució del contracte
Sol·licituds de contacte des del web	Nom, correu i, si els facilita: empresa, sector, telèfon, juntament amb la conversa mantinguda amb l'assistent	Atendre la seva consulta, enviar-li un pressupost orientatiu o concertar una demostració	Consentiment de l'interessat
Dades opcionals del Fitxatge	Hora d'entrada/sortida, GPS (si s'autoritza)	Compliment del registre horari laboral (Llei 10/2021)	Obligació legal de l'ocupador

4. On s'emmagatzemen les dades

Al seu dispositiu Merlin (local): automatitzacions, escenes, àrees, fitxatges, fitxers, configuració, historial de connexions. Sota el seu control físic.

Als nostres servidors al núvol (VPS a la Unió Europea): compte del Portal, dades de facturació, agregats de consum IA/SMS/trucades, còpies de seguretat si està activat el pla corresponent. Proveïdor actual: IONOS, amb servidors ubicats en territori de la Unió Europea.

Còpies off-site: còpies xifrades a Backblaze B2 (servidor a la UE) per a recuperació davant desastres.

5. Encarregats del tractament

Per prestar el servei compartim dades estrictament necessàries amb els encarregats següents, tots amb garanties contractuals adequades (clàusules tipus de la Comissió Europea o ubicació dins de la UE):

• Stripe Payments Europe Ltd (Irlanda) — processament de pagaments.
• Anthropic, PBC (Estats Units) — servei d'intel·ligència artificial. Les dades enviades estan prèviament anonimitzades mitjançant PII Stripping.
• Google LLC (Estats Units) — veu en temps real de l'opció «Parlar per veu» del web: l'àudio es processa a Google únicament per respondre i no s'utilitza per entrenar els seus models.
• Twilio Ireland Limited (Irlanda) — enviament d'SMS i trucades.
• Resend Inc. (EUA / UE) — enviament de correus transaccionals.
• Cloudflare Inc. (EUA amb xifratge extrem a extrem) — túnel segur per a accés remot.
• IONOS Cloud GmbH / proveïdor equivalent (Alemanya) — allotjament del backend.
• Backblaze Inc. (EUA, regió UE) — còpies off-site xifrades.
• Google LLC i Apple Inc. — lliurament de les notificacions push de l'aplicació mòbil (Firebase Cloud Messaging i APNs). Només reben l'identificador del dispositiu i el text de l'avís.

6. Termini de conservació

• Dades de compte: mentre duri la relació contractual i 4 anys després de la baixa (obligacions fiscals).
• Dades de facturació: 6 anys (Codi de Comerç).
• Registres tècnics i de seguretat: 12 mesos.
• Dades al seu dispositiu local: sota el seu control; hi romanen indefinidament tret que les elimini.
• Missatges de l'assistent IA: 30 dies, en format anonimitzat.
• Sol·licituds de contacte des del web: 12 mesos des de l'últim contacte, tret que derivin en una relació contractual.
• Registre de fitxatge (si escau): 4 anys (Estatut dels Treballadors).

7. Els seus drets

D'acord amb el RGPD i la LOPDGDD, vostè té dret a:

• Accés: sol·licitar quines dades seves tractem.
• Rectificació: corregir dades inexactes.
• Supressió: eliminar les seves dades quan no siguin necessàries.
• Limitació: restringir el tractament.
• Portabilitat: rebre les seves dades en format estructurat.
• Oposició: oposar-se a determinats tractaments.
• Retirar el consentiment en qualsevol moment, sense efecte retroactiu.

Per exercir els seus drets: legal@merlinautosys.com. Respondrem en el termini màxim d'un mes.

Si considera que tractem les seves dades incorrectament, pot presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (aepd.es).

8. Seguretat

Apliquem mesures tècniques i organitzatives adequades: xifratge de contrasenyes amb bcrypt, connexions HTTPS amb HSTS, autenticació JWT, separació de credencials per dispositiu, auditoria d'accessos tècnics, còpies xifrades, tallafoc i fail2ban al backend. Tanmateix, cap sistema no és 100% segur; ens comprometem a notificar qualsevol bretxa dins del termini legal.

9. Galetes

El Portal i els taulers de Merlin utilitzen galetes tècniques estrictament necessàries per al funcionament (sessió, preferència d'idioma, tema clar/fosc). No fem servir galetes d'analítica de tercers ni de publicitat. Més detall a l'avís de galetes del mateix portal.

10. Menors

El servei no està dirigit a menors de 14 anys. Si descobrim que hem recollit dades d'un menor sense el consentiment dels seus tutors, les eliminarem.

11. Canvis en aquesta política

Publicarem qualsevol modificació material en aquesta mateixa pàgina i, quan sigui exigible, li ho notificarem per correu electrònic amb 30 dies d'antelació.

12. Aplicació mòbil

L'aplicació «Merlin» per a iOS i Android és el mateix tauler de control que el navegador amb tres funcions natives. Cap d'elles afegeix dades als nostres servidors:

• Biometria (Face ID, Touch ID, empremta): la verificació la realitza el sistema operatiu del telèfon. L'aplicació només rep «correcte» o «incorrecte»; mai no accedeix a la imatge facial ni a l'empremta, que no surten del dispositiu. Pot desactivar-la a la configuració de l'aplicació.
• Notificacions push: en iniciar sessió, l'aplicació registra un identificador de notificació (token) que es desa al seu dispositiu Merlin, no al núvol de Smatix. Els avisos es lliuren a través de Firebase Cloud Messaging (Google LLC) i, a iOS, del servei de notificacions d'Apple (APNs), i contenen el títol i el text de l'avís. L'identificador s'elimina quan deixa de ser vàlid o en tancar sessió.
• Xarxa local: l'aplicació intenta primer connectar amb el seu dispositiu Merlin dins de la seva pròpia xarxa i, si no el troba, utilitza l'accés remot xifrat. No escaneja la xarxa ni recapta informació d'altres equips.

L'aplicació no inclou analítica, publicitat ni rastrejadors de tercers. Les dades de sessió es guarden únicament al mateix telèfon i s'esborren en tancar sessió o en desinstal·lar l'aplicació.

Índice

1. Responsable do tratamento

• Identidade: SMATIX 2020 S.L
• CIF/NIF: B44278562
• Enderezo postal: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), España
• Contacto en materia de protección de datos: legal@merlinautosys.com

2. Principios

En Smatix aplicamos os principios de privacidade desde o deseño e por defecto. Isto significa que:

• O núcleo do sistema reside no seu dispositivo físico, na súa rede local. A maior parte do procesamento ocorre alí.
• Só recollemos o estritamente necesario para prestar o servizo contratado.
• Non vendemos, alugamos nin compartimos os seus datos persoais con terceiros con fins comerciais.
• O asistente IA opera con anonimización previa (PII Stripping): nomes, enderezos, números de conta e outros datos sensibles substitúense por tokens antes de saír do dispositivo, e recompóñense localmente.

3. Datos que tratamos

Categoría	Datos	Finalidade	Base legal
Identificación de conta	Nome, correo, contrasinal (cifrado), teléfono	Crear conta, autenticar, contactar	Execución do contrato
Datos de facturación	Razón social, NIF, enderezo, datos de pagamento (procesados por Stripe)	Facturación e cumprimento fiscal	Obriga legal
Datos do dispositivo	MAC, hostname, versión, código de activación, último heartbeat	Activación e mantemento	Execución do contrato
Datos de uso	Cantidade de tokens IA consumidos, SMS e chamadas enviados, accesos	Aplicar límites do plan e facturar consumos	Execución do contrato
Datos domóticos	Áreas, escenas, automatizacións, dispositivos integrados	Funcionamento do sistema	Execución do contrato
Datos de presenza	Conexións ao Dashboard, tipo de dispositivo, IP (parcial)	Amosar quen está conectado, automatizacións de presenza	Execución do contrato / interese lexítimo
Comunicacións do asistente IA	Texto da mensaxe (anonimizado), resposta	Prestar o servizo de asistente	Execución do contrato
Solicitudes de contacto desde a web	Nome, correo e, se os facilita: empresa, sector, teléfono, xunto coa conversa mantida co asistente	Atender a súa consulta, enviarlle un orzamento orientativo ou concertar unha demostración	Consentimento do interesado
Datos opcionais da Fichaxe	Hora de entrada/saída, GPS (se se autoriza)	Cumprimento do rexistro horario laboral (Lei 10/2021)	Obriga legal do empregador

4. Onde se almacenan os datos

No seu dispositivo Merlin (local): automatizacións, escenas, áreas, fichaxes, ficheiros, configuración, historial de conexións. Baixo o seu control físico.

Nos nosos servidores na nube (VPS na Unión Europea): conta do Portal, datos de facturación, agregados de consumo IA/SMS/chamadas, copias de seguridade se está activado o plan correspondente. Provedor actual: IONOS, con servidores situados en territorio da Unión Europea.

Copias off-site: copias cifradas en Backblaze B2 (servidor na UE) para recuperación ante desastres.

5. Encargados do tratamento

Para prestar o servizo compartimos datos estritamente necesarios cos seguintes encargados, todos con garantías contractuais adecuadas (cláusulas tipo da Comisión Europea ou localización dentro da UE):

• Stripe Payments Europe Ltd (Irlanda) — procesamento de pagamentos.
• Anthropic, PBC (Estados Unidos) — servizo de intelixencia artificial. Os datos enviados están previamente anonimizados mediante PII Stripping.
• Google LLC (Estados Unidos) — voz en tempo real da opción «Falar por voz» da web: o audio procésase en Google unicamente para responder e non se emprega para adestrar os seus modelos.
• Twilio Ireland Limited (Irlanda) — envío de SMS e chamadas.
• Resend Inc. (EUA / UE) — envío de correos transaccionais.
• Cloudflare Inc. (EUA con cifrado extremo a extremo) — túnel seguro para acceso remoto.
• IONOS Cloud GmbH / provedor equivalente (Alemaña) — aloxamento do backend.
• Backblaze Inc. (EUA, rexión UE) — copias off-site cifradas.
• Google LLC e Apple Inc. — entrega das notificacións push da aplicación móbil (Firebase Cloud Messaging e APNs). Só reciben o identificador do dispositivo e o texto do aviso.

6. Prazo de conservación

• Datos de conta: mentres dure a relación contractual e 4 anos tras a baixa (obrigas fiscais).
• Datos de facturación: 6 anos (Código de Comercio).
• Rexistros técnicos e de seguridade: 12 meses.
• Datos no seu dispositivo local: baixo o seu control; permanecen indefinidamente agás que os elimine.
• Mensaxes do asistente IA: 30 días, en formato anonimizado.
• Solicitudes de contacto desde a web: 12 meses desde o último contacto, agás que deriven nunha relación contractual.
• Rexistro de fichaxe (se procede): 4 anos (Estatuto dos Traballadores).

7. Os seus dereitos

Conforme ao RXPD e á LOPDGDD, vostede ten dereito a:

• Acceso: solicitar que datos seus tratamos.
• Rectificación: corrixir datos inexactos.
• Supresión: eliminar os seus datos cando non sexan necesarios.
• Limitación: restrinxir o tratamento.
• Portabilidade: recibir os seus datos en formato estruturado.
• Oposición: oporse a determinados tratamentos.
• Retirar o consentimento en calquera momento, sen efecto retroactivo.

Para exercer os seus dereitos: legal@merlinautosys.com. Responderemos no prazo máximo dun mes.

Se considera que tratamos os seus datos incorrectamente, pode presentar reclamación ante a Axencia Española de Protección de Datos (aepd.es).

8. Seguridade

Aplicamos medidas técnicas e organizativas adecuadas: cifrado de contrasinais con bcrypt, conexións HTTPS con HSTS, autenticación JWT, separación de credenciais por dispositivo, auditoría de accesos técnicos, copias cifradas, devasa e fail2ban no backend. Non obstante, ningún sistema é 100% seguro; comprometémonos a notificar calquera brecha no prazo legal.

9. Cookies

O Portal e os paneis de Merlin utilizan cookies técnicas estritamente necesarias para o funcionamento (sesión, preferencia de idioma, tema claro/escuro). Non empregamos cookies de analítica de terceiros nin de publicidade. Máis detalle no aviso de cookies do propio portal.

10. Menores

O servizo non está dirixido a menores de 14 anos. Se descubrimos que recollemos datos dun menor sen o consentimento dos seus titores, eliminarémolos.

11. Cambios nesta política

Publicaremos calquera modificación material nesta mesma páxina e, cando sexa esixible, notificarémosllo por correo electrónico con 30 días de antelación.

12. Aplicación móbil

A aplicación «Merlin» para iOS e Android é o mesmo panel que o navegador con tres funcións nativas. Ningunha delas engade datos aos nosos servidores:

• Biometría (Face ID, Touch ID, pegada): a verificación realiza a sistema operativo do teléfono. A aplicación só recibe «correcto» ou «incorrecto»; nunca accede á imaxe facial nin á pegada, que non saen do dispositivo. Pode desactivala nos axustes da aplicación.
• Notificacións push: ao iniciar sesión, a aplicación rexistra un identificador de notificación (token) que se garda no seu dispositivo Merlin, non na nube de Smatix. Os avisos entréganse a través de Firebase Cloud Messaging (Google LLC) e, en iOS, do servizo de notificacións de Apple (APNs), e conteñen o título e o texto do aviso. O identificador elimínase cando deixa de ser válido ou ao pechar sesión.
• Rede local: a aplicación tenta primeiro conectar co seu dispositivo Merlin dentro da súa propia rede e, se non o atopa, usa o acceso remoto cifrado. Non escanea a rede nin recolle información doutros equipos.

A aplicación non inclúe analítica, publicidade nin rastreadores de terceiros. Os datos de sesión gárdanse unicamente no propio teléfono e bórranse ao pechar sesión ou ao desinstalar a aplicación.

Índice

1. Responsable du traitement

• Identité : SMATIX 2020 S.L
• Numéro fiscal (CIF/NIF) : B44278562
• Adresse postale : Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Espagne
• Contact en matière de protection des données : legal@merlinautosys.com

2. Principes

Chez Smatix, nous appliquons les principes de protection des données dès la conception et par défaut. Cela signifie que :

• Le cœur du système réside sur votre dispositif physique, sur votre réseau local. L'essentiel du traitement s'y déroule.
• Nous ne collectons que le strict nécessaire à la fourniture du service souscrit.
• Nous ne vendons, ne louons ni ne partageons vos données personnelles avec des tiers à des fins commerciales.
• L'assistant IA fonctionne avec anonymisation préalable (PII Stripping) : noms, adresses, numéros de compte et autres données sensibles sont remplacés par des jetons avant de quitter le dispositif, puis reconstitués localement.

3. Données traitées

Catégorie	Données	Finalité	Base légale
Identification du compte	Nom, courriel, mot de passe (chiffré), téléphone	Créer un compte, authentifier, contacter	Exécution du contrat
Données de facturation	Raison sociale, numéro fiscal, adresse, données de paiement (traitées par Stripe)	Facturation et obligations fiscales	Obligation légale
Données du dispositif	MAC, nom d'hôte, version, code d'activation, dernier heartbeat	Activation et maintenance	Exécution du contrat
Données d'usage	Jetons IA consommés, SMS et appels envoyés, connexions	Appliquer les limites de la formule et facturer la consommation	Exécution du contrat
Données domotiques	Zones, scènes, automatisations, appareils intégrés	Fonctionnement du système	Exécution du contrat
Données de présence	Connexions au Dashboard, type d'appareil, IP (partielle)	Afficher qui est connecté, automatisations de présence	Exécution du contrat / intérêt légitime
Communications de l'assistant IA	Texte du message (anonymisé), réponse	Fournir le service d'assistant	Exécution du contrat
Demandes de contact depuis le site	Nom, courriel et, s'ils sont fournis : entreprise, secteur, téléphone, ainsi que la conversation tenue avec l'assistant	Traiter votre demande, vous envoyer une estimation indicative ou convenir d'une démonstration	Consentement de la personne concernée
Données optionnelles de pointage	Heure d'entrée/sortie, GPS (si autorisé)	Respect du registre du temps de travail (loi espagnole 10/2021)	Obligation légale de l'employeur

4. Où les données sont stockées

Sur votre dispositif Merlin (local) : automatisations, scènes, zones, pointages, fichiers, configuration, historique de connexions. Sous votre contrôle physique.

Sur nos serveurs cloud (VPS dans l'Union européenne) : compte du Portail, données de facturation, agrégats de consommation IA/SMS/appels, sauvegardes si la formule correspondante est activée. Fournisseur actuel : IONOS, avec des serveurs situés sur le territoire de l'Union européenne.

Sauvegardes hors site : copies chiffrées sur Backblaze B2 (serveur dans l'UE) pour la reprise après sinistre.

5. Sous-traitants

Pour fournir le service, nous partageons les données strictement nécessaires avec les sous-traitants suivants, tous assortis de garanties contractuelles adéquates (clauses types de la Commission européenne ou localisation dans l'UE) :

• Stripe Payments Europe Ltd (Irlande) — traitement des paiements.
• Anthropic, PBC (États-Unis) — service d'intelligence artificielle. Les données envoyées sont préalablement anonymisées par PII Stripping.
• Google LLC (États-Unis) — voix en temps réel de l'option « Parler de vive voix » du site web : l'audio est traité par Google uniquement pour répondre et n'est pas utilisé pour entraîner ses modèles.
• Twilio Ireland Limited (Irlande) — envoi de SMS et d'appels.
• Resend Inc. (États-Unis / UE) — envoi de courriels transactionnels.
• Cloudflare Inc. (États-Unis, avec chiffrement de bout en bout) — tunnel sécurisé pour l'accès à distance.
• IONOS Cloud GmbH / fournisseur équivalent (Allemagne) — hébergement du backend.
• Backblaze Inc. (États-Unis, région UE) — sauvegardes hors site chiffrées.
• Google LLC et Apple Inc. — envoi des notifications push de l'application mobile (Firebase Cloud Messaging et APNs). Ils ne reçoivent que l'identifiant de l'appareil et le texte de l'avis.

6. Durée de conservation

• Données de compte : pendant la durée de la relation contractuelle et 4 ans après sa fin (obligations fiscales).
• Données de facturation : 6 ans (Code de commerce espagnol).
• Journaux techniques et de sécurité : 12 mois.
• Données sur votre dispositif local : sous votre contrôle ; elles y demeurent indéfiniment sauf suppression de votre part.
• Messages de l'assistant IA : 30 jours, sous forme anonymisée.
• Demandes de contact depuis le site : 12 mois à compter du dernier contact, sauf si elles débouchent sur une relation contractuelle.
• Registre de pointage (le cas échéant) : 4 ans (Statut des travailleurs espagnol).

7. Vos droits

Conformément au RGPD et à la loi espagnole LOPDGDD, vous avez le droit de :

• Accès : demander quelles données vous concernant nous traitons.
• Rectification : corriger des données inexactes.
• Effacement : supprimer vos données lorsqu'elles ne sont plus nécessaires.
• Limitation : restreindre le traitement.
• Portabilité : recevoir vos données dans un format structuré.
• Opposition : vous opposer à certains traitements.
• Retirer votre consentement à tout moment, sans effet rétroactif.

Pour exercer vos droits : legal@merlinautosys.com. Nous répondrons dans un délai maximum d'un mois.

Si vous estimez que nous traitons vos données de manière incorrecte, vous pouvez déposer une réclamation auprès de l'Agence espagnole de protection des données (aepd.es).

8. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées : hachage des mots de passe avec bcrypt, connexions HTTPS avec HSTS, authentification JWT, séparation des identifiants par dispositif, audit des accès techniques, sauvegardes chiffrées, pare-feu et fail2ban sur le backend. Aucun système n'est toutefois sûr à 100 % ; nous nous engageons à notifier toute violation dans le délai légal.

9. Cookies

Le Portail et les panneaux de Merlin utilisent des cookies techniques strictement nécessaires au fonctionnement (session, préférence de langue, thème clair/sombre). Nous n'utilisons pas de cookies d'analyse tiers ni publicitaires. Plus de détails dans l'avis relatif aux cookies du portail.

10. Mineurs

Le service ne s'adresse pas aux mineurs de moins de 14 ans. Si nous découvrons avoir collecté les données d'un mineur sans le consentement de ses tuteurs, nous les supprimerons.

11. Modifications de cette politique

Nous publierons toute modification substantielle sur cette même page et, lorsque cela est exigé, nous vous en informerons par courriel 30 jours à l'avance.

12. Application mobile

L'application « Merlin » pour iOS et Android est le même tableau de bord que le navigateur avec trois fonctions natives. Aucune d'elles ne transmet de données à nos serveurs :

• Biométrie (Face ID, Touch ID, empreinte) : la vérification est effectuée par le système d'exploitation du téléphone. L'application reçoit seulement « correct » ou « incorrect » ; elle n'accède jamais à l'image faciale ni à l'empreinte, qui ne quittent pas l'appareil. Vous pouvez la désactiver dans les paramètres de l'application.
• Notifications push : lors de la connexion, l'application enregistre un identifiant de notification (jeton) qui est stocké sur votre appareil Merlin, et non dans le cloud de Smatix. Les avis sont envoyés via Firebase Cloud Messaging (Google LLC) et, sur iOS, via le service de notifications d'Apple (APNs), et contiennent le titre et le texte de l'avis. L'identifiant est supprimé lorsqu'il n'est plus valide ou lors de la déconnexion.
• Réseau local : l'application essaie d'abord de se connecter à votre appareil Merlin au sein de votre propre réseau et, si elle ne le trouve pas, elle utilise l'accès distant chiffré. Elle ne scanne pas le réseau et ne collecte pas d'informations sur d'autres équipements.

L'application n'inclut ni analyses, ni publicité, ni traceurs tiers. Les données de session sont enregistrées uniquement sur le téléphone lui-même et sont effacées lors de la déconnexion ou de la désinstallation de l'application.

Índice

1. Tratamenduaren arduraduna

• Nortasuna: SMATIX 2020 S.L
• IFZ (CIF/NIF): B44278562
• Posta-helbidea: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Espainia
• Datuen babeserako harremanetarako: legal@merlinautosys.com

2. Printzipioak

Smatixen diseinutik eta lehenetsita pribatutasun-printzipioak aplikatzen ditugu. Horrek hau esan nahi du:

• Sistemaren muina zure gailu fisikoan dago, zure tokiko sarean. Prozesamenduaren zatirik handiena han gertatzen da.
• Kontratatutako zerbitzua emateko ezinbestekoa dena bakarrik biltzen dugu.
• Ez ditugu zure datu pertsonalak saltzen, alokatzen edo hirugarrenekin partekatzen helburu komertzialetarako.
• IA laguntzaileak aurretiazko anonimizazioarekin (PII Stripping) funtzionatzen du: izenak, helbideak, kontu-zenbakiak eta bestelako datu sentikorrak token bihurtzen dira gailutik atera aurretik, eta tokian bertan berreraikitzen dira.

3. Tratatzen ditugun datuak

Kategoria	Datuak	Helburua	Oinarri juridikoa
Kontuaren identifikazioa	Izena, helbide elektronikoa, pasahitza (zifratua), telefonoa	Kontua sortu, autentifikatu, harremanetan jarri	Kontratuaren betearazpena
Fakturazio-datuak	Sozietate-izena, IFZ, helbidea, ordainketa-datuak (Stripek prozesatuak)	Fakturazioa eta betebehar fiskalak	Legezko betebeharra
Gailuaren datuak	MAC, hostname, bertsioa, aktibazio-kodea, azken heartbeat-a	Aktibazioa eta mantentze-lanak	Kontratuaren betearazpena
Erabilera-datuak	Kontsumitutako IA tokenak, bidalitako SMSak eta deiak, sarbideak	Planaren mugak aplikatu eta kontsumoak fakturatu	Kontratuaren betearazpena
Domotika-datuak	Guneak, eszenak, automatizazioak, integratutako gailuak	Sistemaren funtzionamendua	Kontratuaren betearazpena
Presentzia-datuak	Dashboard-erako konexioak, gailu mota, IP (partziala)	Nor dagoen konektatuta erakutsi, presentzia-automatizazioak	Kontratuaren betearazpena / interes legitimoa
IA laguntzailearen komunikazioak	Mezuaren testua (anonimizatua), erantzuna	Laguntzaile-zerbitzua ematea	Kontratuaren betearazpena
Webgunetik egindako harremanetarako eskaerak	Izena, helbide elektronikoa eta, ematen baditu: enpresa, sektorea, telefonoa, laguntzailearekin izandako elkarrizketarekin batera	Zure kontsulta erantzun, aurrekontu orientagarri bat bidali edo demostrazio bat adostu	Interesdunaren baimena
Fitxaketaren datu aukerakoak	Sartu/irten ordua, GPS (baimenduz gero)	Lan-orduen erregistroa betetzea (10/2021 Legea)	Enplegatzailearen legezko betebeharra

4. Non gordetzen diren datuak

Zure Merlin gailuan (tokian): automatizazioak, eszenak, guneak, fitxaketak, fitxategiak, konfigurazioa, konexioen historia. Zure kontrol fisikopean.

Gure hodeiko zerbitzarietan (VPS Europar Batasunean): Atariko kontua, fakturazio-datuak, IA/SMS/deien kontsumo agregatuak, segurtasun-kopiak dagokion plana aktibatuta badago. Egungo hornitzailea: IONOS, Europar Batasuneko lurraldean kokatutako zerbitzariekin.

Kanpoko babeskopiak: zifratutako kopiak Backblaze B2-n (EBko zerbitzaria) hondamendien aurrean berreskuratzeko.

5. Tratamenduaren eragileak

Zerbitzua emateko, ezinbestekoak diren datuak partekatzen ditugu ondorengo eragileekin, guztiak berme kontraktual egokiekin (Europako Batzordearen kontratu-klausula tipoak edo EBren barruko kokapena):

• Stripe Payments Europe Ltd (Irlanda) — ordainketen prozesamendua.
• Anthropic, PBC (Estatu Batuak) — adimen artifizialeko zerbitzua. Bidalitako datuak aurretik anonimizatuta daude PII Stripping bidez.
• Google LLC (Estatu Batuak) — webeko «Ahotsez hitz egin» aukeraren denbora errealeko ahotsa: audioa Google-n soilik prozesatzen da erantzuteko, eta ez da bere ereduak entrenatzeko erabiltzen.
• Twilio Ireland Limited (Irlanda) — SMSak eta deiak bidaltzea.
• Resend Inc. (AEB / EB) — transakzio-mezu elektronikoak bidaltzea.
• Cloudflare Inc. (AEB, muturretik muturrerako zifratzearekin) — urruneko sarbiderako tunel segurua.
• IONOS Cloud GmbH / hornitzaile baliokidea (Alemania) — backend-aren ostatatzea.
• Backblaze Inc. (AEB, EB eskualdea) — zifratutako kanpoko babeskopiak.
• Google LLC eta Apple Inc. — mugikorreko aplikazioaren push jakinarazpenak entregatzea (Firebase Cloud Messaging eta APNs). Gailuaren identifikatzailea eta abisuaren testua baino ez dituzte jasotzen.

6. Kontserbazio-epea

• Kontuaren datuak: harreman kontraktualak dirauen bitartean eta baja eman ondorengo 4 urtez (betebehar fiskalak).
• Fakturazio-datuak: 6 urte (Merkataritza Kodea).
• Erregistro tekniko eta segurtasunekoak: 12 hilabete.
• Zure tokiko gailuko datuak: zure kontrolpean; mugagabe irauten dute ezabatzen ez badituzu.
• IA laguntzailearen mezuak: 30 egun, formatu anonimizatuan.
• Webgunetik egindako harremanetarako eskaerak: 12 hilabete azken harremanetatik, harreman kontraktual bat sortzen ez badute.
• Fitxaketa-erregistroa (hala badagokio): 4 urte (Langileen Estatutua).

7. Zure eskubideak

DBEO eta LOPDGDD legeen arabera, eskubidea duzu:

• Sarbidea: zure zein datu tratatzen ditugun eskatzeko.
• Zuzenketa: datu okerrak zuzentzeko.
• Ezabaketa: zure datuak ezabatzeko beharrezkoak ez direnean.
• Mugaketa: tratamendua mugatzeko.
• Eramangarritasuna: zure datuak formatu egituratuan jasotzeko.
• Aurka egitea: zenbait tratamenduren aurka egiteko.
• Baimena kentzeko edonoiz, atzeraeraginik gabe.

Zure eskubideak baliatzeko: legal@merlinautosys.com. Gehienez hilabeteko epean erantzungo dugu.

Zure datuak modu okerrean tratatzen ditugula uste baduzu, erreklamazioa aurkez dezakezu Datuak Babesteko Espainiako Agentzian (aepd.es).

8. Segurtasuna

Neurri tekniko eta antolakuntzakoak aplikatzen ditugu: pasahitzak bcrypt bidez zifratzea, HTTPS konexioak HSTS-rekin, JWT autentifikazioa, kredentzialak gailuka bereiztea, sarbide teknikoen auditoria, zifratutako babeskopiak, suebakia eta fail2ban backend-ean. Hala ere, sistema bat ere ez da %100 segurua; edozein arau-hauste legezko epean jakinaraziko dugula konpromisoa hartzen dugu.

9. Cookieak

Atariak eta Merlinen panelek funtzionamendurako ezinbestekoak diren cookie teknikoak bakarrik erabiltzen dituzte (saioa, hizkuntza-hobespena, gai argia/iluna). Ez dugu hirugarrenen analitika-cookierik ez publizitate-cookierik erabiltzen. Xehetasun gehiago atariaren beraren cookie-oharrean.

10. Adingabeak

Zerbitzua ez dago 14 urtetik beherakoentzat zuzenduta. Adingabe baten datuak haren tutoreen baimenik gabe bildu ditugula aurkitzen badugu, ezabatu egingo ditugu.

11. Politika honen aldaketak

Funtsezko edozein aldaketa orri honetan bertan argitaratuko dugu eta, eskatzekoa denean, posta elektronikoz jakinaraziko dizugu 30 eguneko aurrerapenez.

12. Mugikorreko aplikazioa

«Merlin» aplikazioa, iOS eta Android-erako, arakatzaileko panel bera da, hiru funtzio natiborekin. Horietako batek ere ez du daturik gehitzen gure zerbitzarietara:

• Biometria (Face ID, Touch ID, hatz-marka): telefonoaren sistema eragileak egiten du egiaztapena. Aplikazioak «zuzena» edo «okerra» jasotzen du soilik; ez du inoiz aurpegiko irudian edo hatz-markan sartzen, eta hauek ez dira gailutik ateratzen. Aplikazioaren ezarpenetan desaktiba dezakezu.
• Push jakinarazpenak: saioa hasten denean, aplikazioak jakinarazpen-identifikatzaile bat (tokena) erregistratzen du, eta hau zure Merlin gailuan gordetzen da, ez Smatix-en hodeian. Abisuak Firebase Cloud Messaging (Google LLC) bidez eta, iOS-en, Apple-ren jakinarazpen-zerbitzuaren (APNs) bidez entregatzen dira, eta abisuaren titulua eta testua jasotzen dituzte. Identifikatzailea baliozkoa izateari uzten dionean edo saioa ixten denean ezabatzen da.
• Tokiko sarea: aplikazioa lehenik zure Merlin gailuarekin konektatzen saiatzen da bere sarearen barruan, eta aurkitzen ez badu, zifratutako urruneko sarbidea erabiltzen du. Ez du sarea eskaneatzen ezta beste ekipoetako informaziorik biltzen ere.

Aplikazioak ez du analitikarako, publizitaterako edo hirugarrenen jarraipen-tresnarik sartzen. Saioaren datuak telefonoan bertan gordetzen dira soilik, eta saioa ixten denean edo aplikazioa desinstalatzean ezabatzen dira.

Índice

1. Responsável pelo tratamento

• Identidade: SMATIX 2020 S.L
• Número fiscal (CIF/NIF): B44278562
• Morada postal: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Espanha
• Contacto em matéria de proteção de dados: legal@merlinautosys.com

2. Princípios

Na Smatix aplicamos os princípios de privacidade desde a conceção e por defeito. Isto significa que:

• O núcleo do sistema reside no seu dispositivo físico, na sua rede local. A maior parte do processamento ocorre aí.
• Recolhemos apenas o estritamente necessário para prestar o serviço contratado.
• Não vendemos, alugamos nem partilhamos os seus dados pessoais com terceiros para fins comerciais.
• O assistente de IA funciona com anonimização prévia (PII Stripping): nomes, moradas, números de conta e outros dados sensíveis são substituídos por tokens antes de saírem do dispositivo, e recompostos localmente.

3. Dados que tratamos

Categoria	Dados	Finalidade	Base legal
Identificação da conta	Nome, email, palavra-passe (cifrada), telefone	Criar conta, autenticar, contactar	Execução do contrato
Dados de faturação	Denominação social, NIF, morada, dados de pagamento (processados pela Stripe)	Faturação e cumprimento fiscal	Obrigação legal
Dados do dispositivo	MAC, hostname, versão, código de ativação, último heartbeat	Ativação e manutenção	Execução do contrato
Dados de utilização	Quantidade de tokens de IA consumidos, SMS e chamadas enviados, acessos	Aplicar limites do plano e faturar consumos	Execução do contrato
Dados de domótica	Áreas, cenários, automações, dispositivos integrados	Funcionamento do sistema	Execução do contrato
Dados de presença	Ligações ao Dashboard, tipo de dispositivo, IP (parcial)	Mostrar quem está ligado, automações de presença	Execução do contrato / interesse legítimo
Comunicações do assistente de IA	Texto da mensagem (anonimizado), resposta	Prestar o serviço de assistente	Execução do contrato
Pedidos de contacto a partir do site	Nome, email e, se os facultar: empresa, setor, telefone, juntamente com a conversa mantida com o assistente	Responder ao seu pedido, enviar-lhe um orçamento indicativo ou marcar uma demonstração	Consentimento do titular
Dados opcionais do registo de ponto	Hora de entrada/saída, GPS (se autorizado)	Cumprimento do registo do tempo de trabalho (lei espanhola 10/2021)	Obrigação legal do empregador

4. Onde são guardados os dados

No seu dispositivo Merlin (local): automações, cenários, áreas, registos de ponto, ficheiros, configuração, histórico de ligações. Sob o seu controlo físico.

Nos nossos servidores na nuvem (VPS na União Europeia): conta do Portal, dados de faturação, agregados de consumo de IA/SMS/chamadas, cópias de segurança se o plano correspondente estiver ativo. Fornecedor atual: IONOS, com servidores localizados em território da União Europeia.

Cópias off-site: cópias cifradas na Backblaze B2 (servidor na UE) para recuperação de desastres.

5. Subcontratantes

Para prestar o serviço partilhamos os dados estritamente necessários com os seguintes subcontratantes, todos com garantias contratuais adequadas (cláusulas-tipo da Comissão Europeia ou localização dentro da UE):

• Stripe Payments Europe Ltd (Irlanda) — processamento de pagamentos.
• Anthropic, PBC (Estados Unidos) — serviço de inteligência artificial. Os dados enviados são previamente anonimizados através de PII Stripping.
• Google LLC (Estados Unidos) — voz em tempo real da opção «Falar por voz» do site: o áudio é processado no Google exclusivamente para responder e não é utilizado para treinar os seus modelos.
• Twilio Ireland Limited (Irlanda) — envio de SMS e chamadas.
• Resend Inc. (EUA / UE) — envio de emails transacionais.
• Cloudflare Inc. (EUA, com cifragem ponto a ponto) — túnel seguro para acesso remoto.
• IONOS Cloud GmbH / fornecedor equivalente (Alemanha) — alojamento do backend.
• Backblaze Inc. (EUA, região UE) — cópias off-site cifradas.
• Google LLC e Apple Inc. — entrega das notificações push da aplicação móvel (Firebase Cloud Messaging e APNs). Apenas recebem o identificador do dispositivo e o texto do aviso.

6. Prazo de conservação

• Dados da conta: durante a relação contratual e 4 anos após o seu termo (obrigações fiscais).
• Dados de faturação: 6 anos (Código Comercial espanhol).
• Registos técnicos e de segurança: 12 meses.
• Dados no seu dispositivo local: sob o seu controlo; permanecem indefinidamente salvo se os eliminar.
• Mensagens do assistente de IA: 30 dias, em formato anonimizado.
• Pedidos de contacto a partir do site: 12 meses desde o último contacto, salvo se derem origem a uma relação contratual.
• Registo de ponto (se aplicável): 4 anos (Estatuto dos Trabalhadores espanhol).

7. Os seus direitos

Nos termos do RGPD e da lei espanhola LOPDGDD, tem direito a:

• Acesso: solicitar que dados seus tratamos.
• Retificação: corrigir dados inexatos.
• Apagamento: eliminar os seus dados quando deixem de ser necessários.
• Limitação: restringir o tratamento.
• Portabilidade: receber os seus dados em formato estruturado.
• Oposição: opor-se a determinados tratamentos.
• Retirar o consentimento a qualquer momento, sem efeito retroativo.

Para exercer os seus direitos: legal@merlinautosys.com. Responderemos no prazo máximo de um mês.

Se considerar que tratamos os seus dados incorretamente, pode apresentar reclamação à Agência Espanhola de Proteção de Dados (aepd.es).

8. Segurança

Aplicamos medidas técnicas e organizativas adequadas: cifragem de palavras-passe com bcrypt, ligações HTTPS com HSTS, autenticação JWT, separação de credenciais por dispositivo, auditoria de acessos técnicos, cópias cifradas, firewall e fail2ban no backend. Ainda assim, nenhum sistema é 100% seguro; comprometemo-nos a notificar qualquer violação dentro do prazo legal.

9. Cookies

O Portal e os painéis do Merlin utilizam cookies técnicos estritamente necessários ao funcionamento (sessão, preferência de idioma, tema claro/escuro). Não utilizamos cookies de análise de terceiros nem de publicidade. Mais detalhes no aviso de cookies do próprio portal.

10. Menores

O serviço não se dirige a menores de 14 anos. Se descobrirmos que recolhemos dados de um menor sem o consentimento dos seus tutores, iremos eliminá-los.

11. Alterações a esta política

Publicaremos qualquer alteração material nesta mesma página e, quando exigível, notificá-lo-emos por email com 30 dias de antecedência.

12. Aplicação móvel

A aplicação «Merlin» para iOS e Android é o mesmo painel que o navegador com três funções nativas. Nenhuma delas adiciona dados aos nossos servidores:

• Biometria (Face ID, Touch ID, impressão digital): a verificação é realizada pelo sistema operativo do telemóvel. A aplicação apenas recebe «correto» ou «incorreto»; nunca acede à imagem facial nem à impressão digital, que não saem do dispositivo. Pode desativá-la nas definições da aplicação.
• Notificações push: ao iniciar sessão, a aplicação regista um identificador de notificação (token) que é guardado no seu dispositivo Merlin, e não na nuvem da Smatix. Os avisos são entregues através do Firebase Cloud Messaging (Google LLC) e, no iOS, do serviço de notificações da Apple (APNs), e contêm o título e o texto do aviso. O identificador é eliminado quando deixa de ser válido ou ao terminar sessão.
• Rede local: a aplicação tenta primeiro ligar-se ao seu dispositivo Merlin dentro da sua própria rede e, se não o encontrar, utiliza o acesso remoto encriptado. Não faz a varredura da rede nem recolhe informação de outros equipamentos.

A aplicação não inclui análises, publicidade nem rastreadores de terceiros. Os dados de sessão são guardados exclusivamente no próprio telemóvel e são apagados ao terminar sessão ou ao desinstalar a aplicação.

Índice

1. Titolare del trattamento

• Identità: SMATIX 2020 S.L
• Codice fiscale (CIF/NIF): B44278562
• Indirizzo postale: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Spagna
• Contatto in materia di protezione dei dati: legal@merlinautosys.com

2. Principi

In Smatix applichiamo i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita. Ciò significa che:

• Il nucleo del sistema risiede sul suo dispositivo fisico, nella sua rete locale. La maggior parte dell'elaborazione avviene lì.
• Raccogliamo solo quanto strettamente necessario per erogare il servizio sottoscritto.
• Non vendiamo, non affittiamo né condividiamo i suoi dati personali con terzi per finalità commerciali.
• L'assistente IA opera con anonimizzazione preventiva (PII Stripping): nomi, indirizzi, numeri di conto e altri dati sensibili vengono sostituiti da token prima di lasciare il dispositivo e ricomposti localmente.

3. Dati trattati

Categoria	Dati	Finalità	Base giuridica
Identificazione dell'account	Nome, email, password (cifrata), telefono	Creare l'account, autenticare, contattare	Esecuzione del contratto
Dati di fatturazione	Ragione sociale, codice fiscale, indirizzo, dati di pagamento (elaborati da Stripe)	Fatturazione e adempimenti fiscali	Obbligo legale
Dati del dispositivo	MAC, hostname, versione, codice di attivazione, ultimo heartbeat	Attivazione e manutenzione	Esecuzione del contratto
Dati di utilizzo	Token IA consumati, SMS e chiamate inviati, accessi	Applicare i limiti del piano e fatturare i consumi	Esecuzione del contratto
Dati domotici	Aree, scenari, automazioni, dispositivi integrati	Funzionamento del sistema	Esecuzione del contratto
Dati di presenza	Connessioni alla Dashboard, tipo di dispositivo, IP (parziale)	Mostrare chi è connesso, automazioni di presenza	Esecuzione del contratto / legittimo interesse
Comunicazioni dell'assistente IA	Testo del messaggio (anonimizzato), risposta	Erogare il servizio di assistente	Esecuzione del contratto
Richieste di contatto dal sito	Nome, email e, se forniti: azienda, settore, telefono, insieme alla conversazione avuta con l'assistente	Gestire la sua richiesta, inviarle un preventivo indicativo o fissare una dimostrazione	Consenso dell'interessato
Dati opzionali di rilevazione presenze	Orario di entrata/uscita, GPS (se autorizzato)	Adempimento del registro dell'orario di lavoro (legge spagnola 10/2021)	Obbligo legale del datore di lavoro

4. Dove sono conservati i dati

Sul suo dispositivo Merlin (locale): automazioni, scenari, aree, rilevazioni presenze, file, configurazione, cronologia delle connessioni. Sotto il suo controllo fisico.

Sui nostri server cloud (VPS nell'Unione europea): account del Portale, dati di fatturazione, aggregati di consumo IA/SMS/chiamate, copie di sicurezza se è attivo il piano corrispondente. Fornitore attuale: IONOS, con server situati nel territorio dell'Unione europea.

Backup off-site: copie cifrate su Backblaze B2 (server nell'UE) per il disaster recovery.

5. Responsabili del trattamento

Per erogare il servizio condividiamo i dati strettamente necessari con i seguenti responsabili, tutti con garanzie contrattuali adeguate (clausole contrattuali tipo della Commissione europea o ubicazione all'interno dell'UE):

• Stripe Payments Europe Ltd (Irlanda) — elaborazione dei pagamenti.
• Anthropic, PBC (Stati Uniti) — servizio di intelligenza artificiale. I dati inviati sono previamente anonimizzati tramite PII Stripping.
• Google LLC (Stati Uniti) — voce in tempo reale dell'opzione «Parla a voce» del sito web: l'audio viene elaborato da Google esclusivamente per rispondere e non viene utilizzato per addestrare i suoi modelli.
• Twilio Ireland Limited (Irlanda) — invio di SMS e chiamate.
• Resend Inc. (USA / UE) — invio di email transazionali.
• Cloudflare Inc. (USA, con cifratura end-to-end) — tunnel sicuro per l'accesso remoto.
• IONOS Cloud GmbH / fornitore equivalente (Germania) — hosting del backend.
• Backblaze Inc. (USA, regione UE) — backup off-site cifrati.
• Google LLC e Apple Inc. — recapito delle notifiche push dell'applicazione mobile (Firebase Cloud Messaging e APNs). Ricevono esclusivamente l'identificativo del dispositivo e il testo dell'avviso.

6. Periodo di conservazione

• Dati dell'account: per la durata del rapporto contrattuale e 4 anni dopo la cessazione (obblighi fiscali).
• Dati di fatturazione: 6 anni (Codice di commercio spagnolo).
• Log tecnici e di sicurezza: 12 mesi.
• Dati sul dispositivo locale: sotto il suo controllo; permangono a tempo indeterminato salvo cancellazione da parte sua.
• Messaggi dell'assistente IA: 30 giorni, in forma anonimizzata.
• Richieste di contatto dal sito: 12 mesi dall'ultimo contatto, salvo che diano origine a un rapporto contrattuale.
• Registro delle presenze (ove applicabile): 4 anni (Statuto dei lavoratori spagnolo).

7. I suoi diritti

Ai sensi del GDPR e della legge spagnola LOPDGDD, lei ha diritto a:

• Accesso: sapere quali suoi dati trattiamo.
• Rettifica: correggere dati inesatti.
• Cancellazione: eliminare i suoi dati quando non sono più necessari.
• Limitazione: limitare il trattamento.
• Portabilità: ricevere i suoi dati in formato strutturato.
• Opposizione: opporsi a determinati trattamenti.
• Revocare il consenso in qualsiasi momento, senza effetto retroattivo.

Per esercitare i suoi diritti: legal@merlinautosys.com. Risponderemo entro il termine massimo di un mese.

Se ritiene che trattiamo i suoi dati in modo scorretto, può presentare reclamo all'Agenzia spagnola per la protezione dei dati (aepd.es).

8. Sicurezza

Applichiamo misure tecniche e organizzative adeguate: hashing delle password con bcrypt, connessioni HTTPS con HSTS, autenticazione JWT, separazione delle credenziali per dispositivo, audit degli accessi tecnici, backup cifrati, firewall e fail2ban sul backend. Tuttavia nessun sistema è sicuro al 100%; ci impegniamo a notificare qualsiasi violazione entro i termini di legge.

9. Cookie

Il Portale e i pannelli di Merlin utilizzano cookie tecnici strettamente necessari al funzionamento (sessione, preferenza di lingua, tema chiaro/scuro). Non utilizziamo cookie analitici di terzi né pubblicitari. Maggiori dettagli nell'informativa cookie del portale.

10. Minori

Il servizio non è rivolto a minori di 14 anni. Se scoprissimo di aver raccolto dati di un minore senza il consenso dei tutori, provvederemo a cancellarli.

11. Modifiche alla presente informativa

Pubblicheremo qualsiasi modifica sostanziale su questa stessa pagina e, ove richiesto, gliela notificheremo via email con 30 giorni di anticipo.

12. Applicazione mobile

L'applicazione «Merlin» per iOS e Android offre lo stesso pannello del browser con tre funzioni native. Nessuna di esse aggiunge dati ai nostri server:

• Biometria (Face ID, Touch ID, impronta digitale): la verifica viene effettuata dal sistema operativo dello smartphone. L'applicazione riceve unicamente «corretto» o «errato»; non accede mai all'immagine del volto o all'impronta, che non lasciano il dispositivo. Può disattivarla nelle impostazioni dell'applicazione.
• Notifiche push: al momento dell'accesso, l'applicazione registra un identificativo di notifica (token) che viene salvato sul Suo dispositivo Merlin, e non sul cloud di Smatix. Gli avvisi vengono recapitati tramite Firebase Cloud Messaging (Google LLC) e, su iOS, tramite il servizio di notifica di Apple (APNs), e contengono il titolo e il testo dell'avviso. L'identificativo viene eliminato quando non è più valido o al momento della chiusura della sessione.
• Rete locale: l'applicazione tenta dapprima di connettersi al Suo dispositivo Merlin all'interno della Sua rete e, qualora non lo trovi, utilizza l'accesso remoto crittografato. Non esegue la scansione della rete né raccoglie informazioni di altri apparecchi.

L'applicazione non include sistemi di analisi, pubblicità o tracciatori di terze parti. I dati di sessione vengono salvati esclusivamente sullo smartphone e cancellati alla chiusura della sessione o alla disinstallazione dell'applicazione.

Índice

1. Verwerkingsverantwoordelijke

• Identiteit: SMATIX 2020 S.L
• Fiscaal nummer (CIF/NIF): B44278562
• Postadres: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Spanje
• Contact inzake gegevensbescherming: legal@merlinautosys.com

2. Uitgangspunten

Bij Smatix passen wij privacy door ontwerp en door standaardinstellingen toe. Dat betekent:

• De kern van het systeem bevindt zich op uw fysieke apparaat, in uw lokale netwerk. Het meeste verwerken gebeurt daar.
• Wij verzamelen uitsluitend wat strikt noodzakelijk is om de afgenomen dienst te leveren.
• Wij verkopen, verhuren of delen uw persoonsgegevens niet met derden voor commerciële doeleinden.
• De AI-assistent werkt met voorafgaande anonimisering (PII stripping): namen, adressen, rekeningnummers en andere gevoelige gegevens worden vervangen door tokens voordat zij het apparaat verlaten, en lokaal weer samengevoegd.

3. Gegevens die wij verwerken

Categorie	Gegevens	Doel	Rechtsgrond
Accountidentificatie	Naam, e-mail, wachtwoord (versleuteld), telefoon	Account aanmaken, authenticeren, contact opnemen	Uitvoering van de overeenkomst
Facturatiegegevens	Bedrijfsnaam, fiscaal nummer, adres, betaalgegevens (verwerkt door Stripe)	Facturatie en fiscale naleving	Wettelijke verplichting
Apparaatgegevens	MAC, hostnaam, versie, activeringscode, laatste heartbeat	Activering en onderhoud	Uitvoering van de overeenkomst
Gebruiksgegevens	Verbruikte AI-tokens, verzonden sms'jes en oproepen, aanmeldingen	Abonnementslimieten toepassen en verbruik factureren	Uitvoering van de overeenkomst
Automatiseringsgegevens	Zones, scènes, automatiseringen, geïntegreerde apparaten	Werking van het systeem	Uitvoering van de overeenkomst
Aanwezigheidsgegevens	Dashboard-verbindingen, apparaattype, IP (gedeeltelijk)	Tonen wie verbonden is, aanwezigheidsautomatiseringen	Uitvoering van de overeenkomst / gerechtvaardigd belang
Communicatie met de AI-assistent	Berichttekst (geanonimiseerd), antwoord	Levering van de assistentdienst	Uitvoering van de overeenkomst
Contactverzoeken via de website	Naam, e-mail en, indien opgegeven: bedrijf, sector, telefoon, samen met het gesprek met de assistent	Uw vraag behandelen, u een indicatieve prijsopgave sturen of een demo inplannen	Toestemming van de betrokkene
Optionele tijdregistratiegegevens	Begin-/eindtijd, gps (indien toegestaan)	Naleving van de arbeidstijdregistratie (Spaanse wet 10/2021)	Wettelijke verplichting van de werkgever

4. Waar de gegevens worden opgeslagen

Op uw Merlin-apparaat (lokaal): automatiseringen, scènes, zones, tijdregistraties, bestanden, configuratie, verbindingsgeschiedenis. Onder uw fysieke controle.

Op onze cloudservers (VPS in de Europese Unie): Portaalaccount, facturatiegegevens, geaggregeerd AI-/sms-/oproepverbruik, back-ups indien het bijbehorende abonnement actief is. Huidige aanbieder: IONOS, met servers op het grondgebied van de Europese Unie.

Off-site back-ups: versleutelde kopieën bij Backblaze B2 (server in de EU) voor noodherstel.

5. Verwerkers

Om de dienst te leveren delen wij strikt noodzakelijke gegevens met de volgende verwerkers, allen met passende contractuele waarborgen (modelcontractbepalingen van de Europese Commissie of vestiging binnen de EU):

• Stripe Payments Europe Ltd (Ierland) — betalingsverwerking.
• Anthropic, PBC (Verenigde Staten) — dienst voor kunstmatige intelligentie. De verzonden gegevens zijn vooraf geanonimiseerd via PII stripping.
• Google LLC (Verenigde Staten) — realtime spraak voor de optie 'Praten' op de website: de audio wordt uitsluitend door Google verwerkt om te antwoorden en wordt niet gebruikt om hun modellen te trainen.
• Twilio Ireland Limited (Ierland) — versturen van sms'jes en oproepen.
• Resend Inc. (VS / EU) — versturen van transactionele e-mails.
• Cloudflare Inc. (VS, met end-to-endversleuteling) — beveiligde tunnel voor toegang op afstand.
• IONOS Cloud GmbH / gelijkwaardige aanbieder (Duitsland) — hosting van de backend.
• Backblaze Inc. (VS, EU-regio) — versleutelde off-site back-ups.
• Google LLC en Apple Inc. — levering van pushmeldingen voor de mobiele applicatie (Firebase Cloud Messaging en APNs). Zij ontvangen alleen de apparaatidentificatie en de meldingstekst.

6. Bewaartermijn

• Accountgegevens: gedurende de contractuele relatie en 4 jaar daarna (fiscale verplichtingen).
• Facturatiegegevens: 6 jaar (Spaans Wetboek van Koophandel).
• Technische en beveiligingslogs: 12 maanden.
• Gegevens op uw lokale apparaat: onder uw controle; zij blijven onbeperkt bewaard tenzij u ze verwijdert.
• Berichten van de AI-assistent: 30 dagen, in geanonimiseerde vorm.
• Contactverzoeken via de website: 12 maanden na het laatste contact, tenzij zij tot een contractuele relatie leiden.
• Tijdregistratie (indien van toepassing): 4 jaar (Spaans Werknemersstatuut).

7. Uw rechten

Op grond van de AVG en de Spaanse wet LOPDGDD hebt u recht op:

• Inzage: opvragen welke van uw gegevens wij verwerken.
• Rectificatie: onjuiste gegevens laten corrigeren.
• Wissing: uw gegevens laten verwijderen wanneer zij niet meer nodig zijn.
• Beperking: de verwerking beperken.
• Overdraagbaarheid: uw gegevens in een gestructureerd formaat ontvangen.
• Bezwaar: bezwaar maken tegen bepaalde verwerkingen.
• Toestemming intrekken op elk moment, zonder terugwerkende kracht.

Om uw rechten uit te oefenen: legal@merlinautosys.com. Wij antwoorden binnen uiterlijk één maand.

Meent u dat wij uw gegevens onjuist verwerken, dan kunt u een klacht indienen bij de Spaanse autoriteit voor gegevensbescherming (aepd.es).

8. Beveiliging

Wij passen passende technische en organisatorische maatregelen toe: wachtwoord-hashing met bcrypt, HTTPS-verbindingen met HSTS, JWT-authenticatie, gescheiden inloggegevens per apparaat, controle van technische toegang, versleutelde back-ups, firewall en fail2ban op de backend. Geen enkel systeem is echter 100% veilig; wij verbinden ons ertoe elke inbreuk binnen de wettelijke termijn te melden.

9. Cookies

Het Portaal en de panelen van Merlin gebruiken uitsluitend technische cookies die strikt noodzakelijk zijn voor de werking (sessie, taalvoorkeur, licht/donker thema). Wij gebruiken geen analytische cookies van derden en geen advertentiecookies. Meer details in de cookieverklaring van het portaal zelf.

10. Minderjarigen

De dienst is niet gericht op kinderen jonger dan 14 jaar. Ontdekken wij dat wij gegevens van een minderjarige hebben verzameld zonder toestemming van de voogden, dan verwijderen wij deze.

11. Wijzigingen in dit beleid

Wij publiceren elke wezenlijke wijziging op deze pagina en stellen u, waar vereist, 30 dagen van tevoren per e-mail op de hoogte.

12. Mobiele applicatie

De applicatie "Merlin" voor iOS en Android is hetzelfde paneel als de browser met drie native functies. Geen van deze functies voegt gegevens toe aan onze servers:

• Biometrie (Face ID, Touch ID, vingerafdruk): de verificatie wordt uitgevoerd door het besturingssysteem van de telefoon. De applicatie ontvangt alleen "juist" of "onjuist"; het heeft nooit toegang tot de gezichtsafbeelding of de vingerafdruk, die het apparaat niet verlaten. U kunt dit uitschakelen in de applicatie-instellingen.
• Pushmeldingen: bij het inloggen registreert de applicatie een meldingsidentificatie (token) die wordt opgeslagen op uw Merlin-apparaat, niet in de Smatix-cloud. De meldingen worden geleverd via Firebase Cloud Messaging (Google LLC) en, op iOS, via de Apple push notification service (APNs), en bevatten de titel en de tekst van de melding. De identificatie wordt verwijderd wanneer deze ongeldig wordt of bij het uitloggen.
• Lokaal netwerk: de applicatie probeert eerst verbinding te maken met uw Merlin-apparaat binnen uw eigen netwerk en gebruikt, als het niet wordt gevonden, de versleutelde externe toegang. Het scant het netwerk niet en verzamelt geen informatie van andere apparaten.

De applicatie bevat geen analyses, advertenties of trackers van derden. Sessiegegevens worden uitsluitend op de telefoon zelf opgeslagen en worden gewist bij het uitloggen of bij het verwijderen van de applicatie.

Índice

1. Verantwortlicher

• Identität: SMATIX 2020 S.L
• Steuernummer (CIF/NIF): B44278562
• Postanschrift: Polígono Industrial Torre Sancho, Parcela 121, 44580 Valderrobres (Teruel), Spanien
• Kontakt für Datenschutzfragen: legal@merlinautosys.com

2. Grundsätze

Bei Smatix wenden wir die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen an. Das bedeutet:

• Der Kern des Systems befindet sich auf Ihrem physischen Gerät in Ihrem lokalen Netzwerk. Der Großteil der Verarbeitung findet dort statt.
• Wir erheben nur das, was für die Erbringung des gebuchten Dienstes unbedingt erforderlich ist.
• Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten nicht zu kommerziellen Zwecken mit Dritten.
• Der KI-Assistent arbeitet mit vorheriger Anonymisierung (PII Stripping): Namen, Adressen, Kontonummern und andere sensible Daten werden vor dem Verlassen des Geräts durch Token ersetzt und lokal wieder zusammengesetzt.

3. Verarbeitete Daten

Kategorie	Daten	Zweck	Rechtsgrundlage
Kontoidentifikation	Name, E-Mail, Passwort (verschlüsselt), Telefon	Konto anlegen, authentifizieren, kontaktieren	Vertragserfüllung
Rechnungsdaten	Firma, Steuernummer, Anschrift, Zahlungsdaten (von Stripe verarbeitet)	Rechnungsstellung und steuerliche Pflichten	Rechtliche Verpflichtung
Gerätedaten	MAC, Hostname, Version, Aktivierungscode, letzter Heartbeat	Aktivierung und Wartung	Vertragserfüllung
Nutzungsdaten	Verbrauchte KI-Token, gesendete SMS und Anrufe, Zugriffe	Tarifgrenzen anwenden und Verbrauch abrechnen	Vertragserfüllung
Automationsdaten	Bereiche, Szenen, Automationen, eingebundene Geräte	Betrieb des Systems	Vertragserfüllung
Anwesenheitsdaten	Dashboard-Verbindungen, Gerätetyp, IP (teilweise)	Anzeigen, wer verbunden ist; Anwesenheitsautomationen	Vertragserfüllung / berechtigtes Interesse
Kommunikation mit dem KI-Assistenten	Nachrichtentext (anonymisiert), Antwort	Erbringung des Assistenzdienstes	Vertragserfüllung
Kontaktanfragen über die Website	Name, E-Mail und, sofern angegeben: Unternehmen, Branche, Telefon, zusammen mit dem Gesprächsverlauf mit dem Assistenten	Ihre Anfrage bearbeiten, Ihnen eine unverbindliche Kostenschätzung senden oder eine Demo vereinbaren	Einwilligung der betroffenen Person
Optionale Zeiterfassungsdaten	Kommen-/Gehen-Zeit, GPS (falls freigegeben)	Erfüllung der Arbeitszeiterfassung (spanisches Gesetz 10/2021)	Rechtliche Verpflichtung des Arbeitgebers

4. Wo die Daten gespeichert werden

Auf Ihrem Merlin-Gerät (lokal): Automationen, Szenen, Bereiche, Zeiterfassungen, Dateien, Konfiguration, Verbindungsverlauf. Unter Ihrer physischen Kontrolle.

Auf unseren Cloud-Servern (VPS in der Europäischen Union): Portal-Konto, Rechnungsdaten, aggregierter KI-/SMS-/Anrufverbrauch, Sicherungskopien, sofern der entsprechende Tarif aktiviert ist. Aktueller Anbieter: IONOS, mit Servern im Gebiet der Europäischen Union.

Off-Site-Backups: verschlüsselte Kopien bei Backblaze B2 (Server in der EU) zur Notfallwiederherstellung.

5. Auftragsverarbeiter

Zur Erbringung des Dienstes geben wir ausschließlich erforderliche Daten an folgende Auftragsverarbeiter weiter, jeweils mit angemessenen vertraglichen Garantien (Standardvertragsklauseln der Europäischen Kommission oder Standort innerhalb der EU):

• Stripe Payments Europe Ltd (Irland) — Zahlungsabwicklung.
• Anthropic, PBC (Vereinigte Staaten) — Dienst für künstliche Intelligenz. Die übermittelten Daten sind durch PII Stripping zuvor anonymisiert.
• Google LLC (USA) — Echtzeit-Sprache für die Option „Sprachchat“ auf der Website: Das Audio wird bei Google ausschließlich zur Beantwortung verarbeitet und nicht zum Training von deren Modellen verwendet.
• Twilio Ireland Limited (Irland) — Versand von SMS und Anrufen.
• Resend Inc. (USA / EU) — Versand transaktionaler E-Mails.
• Cloudflare Inc. (USA, mit Ende-zu-Ende-Verschlüsselung) — sicherer Tunnel für den Fernzugriff.
• IONOS Cloud GmbH / gleichwertiger Anbieter (Deutschland) — Hosting des Backends.
• Backblaze Inc. (USA, EU-Region) — verschlüsselte Off-Site-Backups.
• Google LLC und Apple Inc. — Übermittlung der Push-Benachrichtigungen der mobilen Anwendung (Firebase Cloud Messaging und APNs). Sie erhalten lediglich die Geräteidentifikation und den Text der Benachrichtigung.

6. Speicherdauer

• Kontodaten: für die Dauer des Vertragsverhältnisses und 4 Jahre danach (steuerliche Pflichten).
• Rechnungsdaten: 6 Jahre (spanisches Handelsgesetzbuch).
• Technische und Sicherheitsprotokolle: 12 Monate.
• Daten auf Ihrem lokalen Gerät: unter Ihrer Kontrolle; sie bleiben unbegrenzt erhalten, sofern Sie sie nicht löschen.
• Nachrichten des KI-Assistenten: 30 Tage, in anonymisierter Form.
• Kontaktanfragen über die Website: 12 Monate ab dem letzten Kontakt, sofern daraus kein Vertragsverhältnis entsteht.
• Zeiterfassungsregister (sofern zutreffend): 4 Jahre (spanisches Arbeitnehmerstatut).

7. Ihre Rechte

Nach DSGVO und dem spanischen Gesetz LOPDGDD haben Sie das Recht auf:

• Auskunft: zu erfahren, welche Ihrer Daten wir verarbeiten.
• Berichtigung: unrichtige Daten korrigieren zu lassen.
• Löschung: Ihre Daten löschen zu lassen, wenn sie nicht mehr erforderlich sind.
• Einschränkung: die Verarbeitung einzuschränken.
• Datenübertragbarkeit: Ihre Daten in einem strukturierten Format zu erhalten.
• Widerspruch: bestimmten Verarbeitungen zu widersprechen.
• Widerruf der Einwilligung jederzeit, ohne Rückwirkung.

Zur Ausübung Ihrer Rechte: legal@merlinautosys.com. Wir antworten innerhalb von höchstens einem Monat.

Wenn Sie der Ansicht sind, dass wir Ihre Daten unrechtmäßig verarbeiten, können Sie Beschwerde bei der spanischen Datenschutzbehörde einlegen (aepd.es).

8. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein: Passwort-Hashing mit bcrypt, HTTPS-Verbindungen mit HSTS, JWT-Authentifizierung, getrennte Zugangsdaten je Gerät, Auditierung technischer Zugriffe, verschlüsselte Backups, Firewall und fail2ban im Backend. Kein System ist jedoch zu 100 % sicher; wir verpflichten uns, jede Verletzung innerhalb der gesetzlichen Frist zu melden.

9. Cookies

Das Portal und die Merlin-Panels verwenden ausschließlich technisch notwendige Cookies (Sitzung, Sprachpräferenz, helles/dunkles Design). Wir verwenden keine Analyse-Cookies Dritter und keine Werbe-Cookies. Weitere Einzelheiten im Cookie-Hinweis des Portals.

10. Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren. Sollten wir feststellen, dass wir Daten eines Minderjährigen ohne Einwilligung der Erziehungsberechtigten erhoben haben, löschen wir diese.

11. Änderungen dieser Erklärung

Wesentliche Änderungen veröffentlichen wir auf dieser Seite und informieren Sie, soweit erforderlich, 30 Tage im Voraus per E-Mail.

12. Mobile Anwendung

Die Anwendung „Merlin“ für iOS und Android ist dasselbe Panel wie der Browser mit drei nativen Funktionen. Keine davon fügt unseren Servern Daten hinzu:

• Biometrie (Face ID, Touch ID, Fingerabdruck): Die Überprüfung wird vom Betriebssystem des Telefons durchgeführt. Die Anwendung erhält lediglich „korrekt“ oder „inkorrekt“; sie hat niemals Zugriff auf das Gesichtsbild oder den Fingerabdruck, die das Gerät nicht verlassen. Sie können dies in den Anwendungseinstellungen deaktivieren.
• Push-Benachrichtigungen: Beim Anmelden registriert die Anwendung eine Benachrichtigungsidentifikation (Token), die auf Ihrem Merlin-Gerät gespeichert wird, nicht in der Cloud von Smatix. Die Benachrichtigungen werden über Firebase Cloud Messaging (Google LLC) und unter iOS über den Apple-Benachrichtigungsdienst (APNs) zugestellt und enthalten den Titel sowie den Text der Benachrichtigung. Die Identifikation wird gelöscht, wenn sie ungültig wird oder wenn Sie sich abmelden.
• Lokales Netzwerk: Die Anwendung versucht zunächst, sich mit Ihrem Merlin-Gerät innerhalb Ihres eigenen Netzwerks zu verbinden, und verwendet, falls es nicht gefunden wird, den verschlüsselten Fernzugriff. Sie scannt weder das Netzwerk noch sammelt sie Informationen von anderen Geräten.

Die Anwendung enthält keine Analytik, Werbung oder Tracker von Drittanbietern. Sitzungsdaten werden ausschließlich auf dem Telefon selbst gespeichert und beim Abmelden oder Deinstallieren der Anwendung gelöscht.