Política de privacidad — app Spark

1. Quiénes somos

La aplicación móvil Spark – Solar Assistant (“Spark”, “la aplicación”) es gestionada por:

Nova Carpathians Creations S.R.L., sociedad rumana, n.º IVA RO40526927, n.º de Registro Mercantil J7/158/2019, con domicilio social en Sat Câmpeni (Com. Prăjeni) n.º 80, distrito de Botoșani, 717306, Rumanía, la misma sociedad que gestiona la plataforma GreenLead (greenlead.ro).

• Correo electrónico: contact@greenlead.ro
• Teléfono: +40 754 389 035

A efectos del Reglamento (UE) 2016/679 (RGPD), somos el responsable del tratamiento de los datos personales tratados a través de la aplicación Spark.

No estamos legalmente obligados a designar un delegado de protección de datos (DPD), pero puedes utilizar contact@greenlead.ro para cualquier solicitud relativa al RGPD.

Relación con la plataforma GreenLead

Spark es una aplicación móvil independiente de la plataforma web greenlead.ro, pero utiliza la misma infraestructura de cuentas. Si ya tienes una cuenta en greenlead.ro, tu cuenta de Spark es esa misma cuenta, y parte de tu perfil (nombre, correo electrónico, teléfono, localidad, datos sobre tu instalación fotovoltaica) se comparte entre los dos servicios.

La política de privacidad general de GreenLead (disponible en rumano) sigue aplicándose a los servicios web: la puesta en contacto con instaladores, los presupuestos y las solicitudes de configuración. El presente documento se refiere específicamente a la aplicación móvil Spark y prevalece respecto de los datos descritos a continuación.

2. En resumen: lo que debes saber

• Spark lee los datos de tu instalación fotovoltaica desde tu cuenta en la plataforma del fabricante del inversor y los utiliza para mostrarte la producción, el consumo, el estado de la batería y las posibles averías.
• Para ello, almacenamos las credenciales que introduces para la nube de tu inversor (sección 4.3; léela, por favor, es importante).
• Las preguntas que haces al asistente Spark, las fotos que añades para el diagnóstico y, si utilizas las funciones de voz, lo que dices al micrófono se envían a proveedores externos de inteligencia artificial (principalmente OpenAI) para que puedan generar la respuesta. No conservamos grabaciones de tu voz.
• No vendemos tus datos. No los utilizamos con fines publicitarios. No los facilitamos a instaladores sin que nos lo pidas expresamente.
• La aplicación no accede a la ubicación de tu teléfono. Las coordenadas utilizadas para la previsión meteorológica proceden de la localidad que introduces en tu perfil o de los datos de la central que comunica tu inversor.
• Te enviamos un pequeño número de correos electrónicos sobre los primeros pasos con la aplicación y sobre las novedades; puedes detenerlos en cualquier momento (sección 3.6).
• Puedes eliminar tu cuenta por completo desde la propia aplicación (Perfil → Eliminar cuenta).

3. Qué datos recogemos y por qué

3.1 Datos de la cuenta

Si utilizas Iniciar sesión con Apple, Apple puede ocultar tu dirección de correo electrónico real tras un alias privaterelay.appleid.com. Solo recibimos y almacenamos el alias.

3.2 Tu perfil energético

Los introduces tú mismo, durante la configuración inicial o más adelante en tu Perfil, y Spark los utiliza para realizar todos los cálculos relevantes para tu vivienda:

• tu país, del que derivamos la moneda y la zona horaria utilizada para las notificaciones (la zona horaria de tu teléfono, cuando coincide con el país)
• localidad, distrito (en Rumanía), dirección y tipo de inmueble, superficie, número de ocupantes
• si tienes paneles fotovoltaicos, potencia instalada (kW), número de paneles, marca del inversor
• capacidad de la batería (kWh), si tienes bomba de calor y su potencia, si tienes vehículo eléctrico y la capacidad de su batería
• factura mensual estimada, el precio real de la energía de tu contrato y el precio que recibes por la energía que viertes a la red, en tu moneda local, tipo de contrato, comercializadora
• tus principales electrodomésticos, tu patrón de consumo y las horas en que consumes
• el régimen de compensación aplicable (prosumidor / consumidor), la situación de vertido (en Rumanía)
• la fecha de instalación del sistema y el importe de la inversión, si decides introducirlos (utilizados únicamente para calcular la amortización)

Base jurídica: ejecución del contrato; sin estos datos, la aplicación no puede elaborar las estimaciones y recomendaciones que constituyen la finalidad misma del servicio.

3.3 La conexión de tu inversor

Cuando conectas una instalación fotovoltaica, nos facilitas las credenciales de tu cuenta en la plataforma del fabricante (por ejemplo, Huawei FusionSolar, Sungrow iSolarCloud, Deye Cloud, SolisCloud, Growatt ShineServer, Victron VRM, FoxESS Cloud, SolaX Cloud u otras que se añadan más adelante). En concreto, almacenamos:

• el proveedor y la región del servidor elegidos
• el nombre de usuario / la dirección de correo electrónico de esa cuenta
• la credencial de acceso (la contraseña de la cuenta o, en algunas marcas, un código de sistema / clave de API)
• los tokens de acceso y de actualización, cuando la marca utiliza una autenticación de tipo OAuth
• el código y el nombre de tu central

Base jurídica: ejecución del contrato, a petición expresa tuya. Consulta la sección 4.3 para saber cómo se protegen estos datos.

En el caso de las marcas que conectas iniciando sesión en la propia página del fabricante, registramos también la dirección IP desde la que se inició la conexión, para proteger el proceso frente a abusos; se elimina junto con tu cuenta.

3.4 Los datos de tu instalación fotovoltaica

Se obtienen de forma automática y periódica desde tu cuenta en la plataforma del fabricante del inversor, mientras la conexión siga activa:

• producción solar, consumo de la vivienda, importación de la red y vertido a la red
• estado y nivel de carga de la batería, potencia de carga/descarga
• parámetros técnicos comunicados por el inversor: tensiones y corrientes por fase y por string, frecuencia, temperaturas, resistencia de aislamiento, estados de los equipos
• alarmas y códigos de error comunicados por el sistema
• totales diarios consolidados (producción, autoconsumo, importación, vertido, potencia máxima, curva horaria)

Estos datos se conservan como historial para poder mostrarte la evolución a lo largo del tiempo, detectar anomalías de producción y realizar revisiones rutinarias.

Base jurídica: ejecución del contrato.

3.5 El asistente Spark, la voz y el Diagnóstico

• el contenido de tus conversaciones con el asistente Spark (tus mensajes y las respuestas generadas), que se envía al proveedor de IA para elaborar cada respuesta, junto con los datos relevantes sobre tu sistema; las conversaciones generales no se almacenan en nuestros servidores, solo se muestran en la aplicación mientras está abierta
• el contenido de las sesiones de diagnóstico (tus mensajes y las respuestas generadas), que sí se almacenan para que puedas volver a ellas
• las fotos que haces o eliges de tu galería para el diagnóstico o en una conversación con Spark (normalmente, imágenes del inversor, de una pantalla de error o de la instalación)
• metadatos de la sesión: tipo de equipo, el problema seleccionado, el código de error, si el problema se marcó como resuelto

Las fotos se envían al proveedor de inteligencia artificial para su análisis. No se guardan, ni en nuestra base de datos ni en nuestro almacenamiento de archivos; solo existen mientras dura el procesamiento de la solicitud.

Se accede a la cámara y a la galería de fotos únicamente cuando pulsas expresamente el botón para añadir una foto. La aplicación no accede a tu galería en segundo plano.

Voz y micrófono

La aplicación utiliza el micrófono de tu teléfono únicamente mientras utilizas una función de voz y solo después de que hayas concedido el permiso de micrófono en el sistema operativo:

• Dictado (todos los planes): la grabación de tu mensaje (de 60 segundos como máximo) se envía a OpenAI para convertirla en texto; el texto aparece en el cuadro de mensaje y tú decides si lo envías. La grabación se reenvía y se descarta; no la almacenamos.
• Respuestas habladas (Spark Pro): el texto de la respuesta de Spark se envía a OpenAI, que lo devuelve como voz sintética; el audio se conserva solo temporalmente en la caché de tu teléfono.
• Conversación por voz (Spark Pro): tu voz se transmite directamente desde tu teléfono a OpenAI (no pasa por nuestros servidores), por lo que OpenAI recibe también la dirección IP de tu dispositivo. Para responder, el modelo de voz recibe de nosotros un contexto breve —tu nombre de pila, las cifras actuales de tu sistema, tu lista de centrales, tu país y los últimos mensajes de la conversación— y solicita a nuestros servidores cualquier otro dato que necesite. La transcripción escrita se muestra en la aplicación mientras está abierta y no se almacena en nuestros servidores.

Para todas las funciones de voz registramos únicamente datos técnicos de uso (duración, cantidad consumida, modelo utilizado), para aplicar los límites del plan y controlar los costes. Nunca almacenamos el audio, y tampoco almacenamos el texto, salvo que, cuando se produce un error, un breve fragmento de una conversación puede figurar en un informe de errores (sección 3.7). La voz con la que habla Spark es sintética, generada por inteligencia artificial.

Base jurídica: ejecución del contrato; el acceso al micrófono, a la cámara y a la galería depende además del permiso que concedas en los ajustes de tu teléfono, que puedes retirar en cualquier momento.

3.6 Notificaciones y correos electrónicos

• el token de notificaciones push de tu dispositivo, la plataforma (iOS/Android) y el estado activo/inactivo
• tus preferencias de notificación (recomendaciones diarias, alertas de precio, alarmas del inversor y los umbrales que elijas)
• un registro de las notificaciones enviadas: tipo, título, estado de entrega y posibles errores

Base jurídica: consentimiento (art. 6.1.a)): concedes el permiso de notificaciones en el sistema operativo y puedes retirarlo en cualquier momento desde los ajustes de tu teléfono o desde Perfil → Notificaciones en la aplicación.

Correos electrónicos. Además de los correos estrictamente necesarios para tu cuenta (confirmar tu dirección, restablecer tu contraseña), te enviamos, en el idioma de tu interfaz:

• hasta tres correos de primeros pasos durante la primera semana tras el registro (un mensaje de bienvenida, un recordatorio si aún no has conectado tu sistema, un mensaje transcurridos siete días);
• ocasionalmente, correos sobre las novedades de Spark, cuando lanzamos funciones importantes.

Llevamos un registro de cuáles de los correos de primeros pasos te hemos enviado y cuándo, para que nunca recibas el mismo dos veces. Los correos se envían a través de Resend. Puedes detenerlos en cualquier momento respondiendo STOP (o escribiendo a contact@greenlead.ro); en ese caso añadimos tu dirección a una lista de exclusión de envíos, que conservamos precisamente para respetar tu decisión, incluso después de que elimines tu cuenta.

Base jurídica: ejecución del contrato, para los correos de la cuenta; nuestro interés legítimo (art. 6.1.f)) en ayudarte a empezar a utilizar la aplicación y en informar a los usuarios existentes sobre nuestros propios servicios similares, con derecho a oponerte en cualquier momento, en cada correo.

3.7 Datos de uso y datos técnicos

• eventos de uso en la aplicación: apertura de la aplicación, pantallas visitadas, pasos completados de la configuración inicial, conexión/desconexión de un inversor y el resultado (éxito/error, sin credenciales), envío de un mensaje a Spark, uso de una función de voz, inicio de una sesión de diagnóstico o de una revisión rutinaria, alcance del límite del plan gratuito, visualización de la página de suscripción e interacción con ella, el resultado de una compra, cambio de idioma, compartir una imagen desde la aplicación
• para cada evento: versión de la aplicación, plataforma, un identificador de sesión y la marca de tiempo
• métricas de uso de los modelos de IA: la función invocada, el proveedor y el modelo utilizados, el número de tokens consumidos, la latencia, si la llamada tuvo éxito y el posible código de error; se utilizan para controlar los costes y los límites, no para elaborar perfiles
• los eventos de uso anteriores se envían también a PostHog, donde los analizamos de forma agregada: cómo se produce la activación, con qué frecuencia vuelves y en qué punto se atascan los usuarios. Los datos se alojan en los servidores de PostHog en la Unión Europea y te identifican únicamente mediante un identificador interno de cuenta, nunca por el correo electrónico. La aplicación no contiene ningún módulo de PostHog: los eventos se envían desde nuestros servidores y tu dirección IP no se transmite
• informes de errores y de fallos, recogidos a través de Sentry, configurado para no incluir datos personales por defecto; un informe sobre una respuesta errónea puede contener el identificador interno de tu cuenta y un breve fragmento del texto de dicha respuesta
• tu preferencia de idioma de la interfaz
• los comentarios que decidas enviarnos desde la aplicación (tu mensaje y, si la adjuntas, una captura de pantalla), junto con el modelo de tu teléfono, la versión del sistema operativo y la versión de la aplicación, almacenados en nuestro almacenamiento privado y reenviados a nuestro buzón de soporte

Base jurídica: interés legítimo (art. 6.1.f)): comprender cómo se utiliza la aplicación, detectar defectos y mantener bajo control el coste del servicio. No elaboramos perfiles publicitarios y no vendemos estos datos.

3.8 Suscripciones

Cuando adquieres una suscripción Spark Pro, el pago lo procesa íntegramente Apple (o Google, en Android). No recibimos ni almacenamos los datos de tu tarjeta. Solo recibimos la confirmación de que la suscripción está activa, vinculada al identificador de tu cuenta, para desbloquear tus funciones de pago. El estado de las compras se gestiona a través de RevenueCat, que recibe el identificador interno de tu cuenta y los detalles de tus compras de Apple o de Google.

Base jurídica: ejecución del contrato.

3.9 Lo que NO recogemos

• La ubicación de tu teléfono. La aplicación no solicita ni utiliza el permiso de ubicación. Las coordenadas para la previsión meteorológica se obtienen de la posición de la central según la comunica la plataforma del fabricante del inversor o de la localidad y el país que introduces en tu perfil.
• Contactos, calendario, salud u otros datos sensibles, ni grabaciones de tu voz.
• Categorías especiales de datos en el sentido del art. 9 del RGPD.
• No rastreamos tu actividad en otras aplicaciones o sitios web y no mostramos publicidad.

4. Con quién compartimos los datos

No vendemos ni alquilamos tus datos. Solo los compartimos con los siguientes proveedores, estrictamente para el funcionamiento de la aplicación, cada uno de ellos en virtud de un contrato de encargo del tratamiento:

4.1 Proveedores de infraestructura y de servicios (encargados del tratamiento)

Los proveedores de inteligencia artificial que utilizamos se contratan a través de sus interfaces para desarrolladores, que establecen que los datos enviados a través de la API no se utilizan para entrenar sus modelos. OpenAI puede conservar los datos que recibe a través de su API durante un máximo de 30 días, para detectar abusos, y después los elimina.

Apple y Google procesan el pago de las suscripciones y, si eliges “Continuar con Apple” / “Continuar con Google”, tu inicio de sesión, en calidad de responsables del tratamiento independientes, con arreglo a sus propias políticas de privacidad; de ellos recibimos únicamente el estado de la suscripción y, al iniciar sesión, el identificador de tu cuenta, tu nombre y tu dirección de correo electrónico.

4.2 Plataformas de los fabricantes de inversores (destinatarios independientes)

Cuando conectas un inversor, transmitimos tus credenciales a la plataforma de ese fabricante (Huawei, Sungrow, Deye, Solis, Growatt, Victron, FoxESS, SolaX, etc.), para autenticarnos en tu nombre y leer los datos de tu central.

Estas empresas son responsables del tratamiento independientes respecto de la cuenta que tienes con ellas, y tu relación con ellas se rige por sus propias políticas de privacidad, no por la presente. Muchas de ellas están establecidas fuera de la Unión Europea (China y otras jurisdicciones). Esta transmisión es necesaria para prestarte el servicio que solicitas cuando conectas un inversor (sección 5).

4.3 Una nota franca sobre las credenciales del inversor

Las credenciales de la nube de tu inversor son necesarias para que la aplicación pueda leer periódicamente los datos de tu sistema en segundo plano, incluso cuando tu teléfono está apagado. Por ese motivo, las almacenamos, y no solo las utilizamos una vez.

Cómo se protegen:

• la base de datos está alojada en la Unión Europea y está cifrada en reposo a nivel de almacenamiento por el proveedor de infraestructura;
• todas las transmisiones están cifradas (TLS);
• el acceso está restringido mediante políticas de seguridad a nivel de fila, de modo que un usuario no puede leer la conexión de otro usuario;
• las credenciales nunca se vuelven a mostrar en la aplicación, nunca aparecen en los registros y nunca se envían a los proveedores de inteligencia artificial.

4.4 Otras situaciones

Podemos comunicar datos cuando la ley lo exija, ante una solicitud legítima de una autoridad o para defender nuestros derechos ante los tribunales. Si la sociedad llegara a verse implicada en una fusión o adquisición, los datos podrían transferirse a la nueva entidad, previa notificación a ti.

No transmitimos tus datos a los instaladores de la red GreenLead salvo que nos lo pidas expresamente (por ejemplo, al enviar una ficha técnica a un instalador o mediante una solicitud de presupuesto).

5. Transferencias fuera de la UE

Algunos de los proveedores indicados anteriormente (OpenAI, Google, Expo, Sentry, RevenueCat, Resend, Vercel) tratan datos en los Estados Unidos. Estas transferencias se realizan sobre la base de los mecanismos previstos en el capítulo V del RGPD: las cláusulas contractuales tipo adoptadas por la Comisión Europea y/o el Marco de Privacidad de Datos UE-EE. UU., según corresponda. Puedes obtener una copia de estas garantías escribiendo a contact@greenlead.ro.

PostHog almacena los datos en la Unión Europea, pero algunos de sus subencargados pueden tratar datos en los Estados Unidos. Hemos celebrado con PostHog un contrato de encargo del tratamiento (DPA) que incluye las cláusulas contractuales tipo, y PostHog está certificada con arreglo al Marco de Privacidad de Datos UE-EE. UU.

La transferencia de las credenciales y de las órdenes de lectura a las plataformas de los fabricantes de inversores (sección 4.2) se realiza sobre la base del art. 49.1.b) del RGPD, por ser necesaria para la ejecución del contrato celebrado contigo, a petición tuya. Cuando un fabricante ofrece un servidor europeo para su plataforma (por ejemplo, Huawei, Sungrow, Deye y SolaX), nos conectamos a ese servidor.

6. Cuánto tiempo conservamos los datos

Después de que elimines tu cuenta, conservamos únicamente: lo que la ley nos obliga a conservar (por ejemplo, los registros contables relativos a las suscripciones, conforme a la legislación fiscal rumana); las métricas de consumo de IA y el registro de los correos enviados, que no contienen el contenido de los mensajes, hasta el final de los plazos anteriores; y la lista de exclusión de envíos. Las copias en poder de nuestros encargados del tratamiento se eliminan conforme a sus propios plazos de conservación; los eventos de uso ya enviados a PostHog quedan vinculados únicamente a un identificador interno que, una vez eliminada la cuenta, ya no permite llegar a ti.

7. Tus derechos

Conforme al RGPD, tienes derecho:

• de acceso: a saber qué datos tenemos sobre ti y a recibir una copia;
• de rectificación: a corregir los datos inexactos (puedes editar la mayoría directamente en tu Perfil);
• de supresión: puedes eliminar tu cuenta directamente en la aplicación, Perfil → Eliminar cuenta; la operación es irreversible y elimina la cuenta, el perfil, tu país y tus precios, la conexión del inversor, el historial del sistema, las sesiones de diagnóstico, las notificaciones y los eventos de uso (con las excepciones de la sección 6);
• a la limitación del tratamiento;
• a la portabilidad de los datos: a recibir tus datos en un formato estructurado y de uso común, también durante los 30 días siguientes a que anunciemos el cese del servicio (art. 16.2 de las condiciones);
• de oposición al tratamiento basado en nuestro interés legítimo, incluida la recogida de eventos de uso;
• a retirar tu consentimiento en cualquier momento, cuando el tratamiento se base en el consentimiento (por ejemplo, las notificaciones push), sin que ello afecte a la licitud del tratamiento anterior.

Puedes ejercer tus derechos escribiendo a contact@greenlead.ro. Respondemos en el plazo de un mes desde la recepción de la solicitud. En el caso de solicitudes complejas o numerosas, dicho plazo puede prorrogarse otros dos meses como máximo, en cuyo caso te informamos de la prórroga y de sus motivos dentro del primer mes (art. 12.3 del RGPD).

También tienes derecho a presentar una reclamación ante la Autoridad Nacional de Supervisión del Tratamiento de Datos Personales de Rumanía (ANSPDCP) — Bd. G-ral Gheorghe Magheru nr. 28–30, sector 1, Bucarest; anspdcp.ro. Puedes igualmente presentar una reclamación ante la autoridad de control del Estado miembro de la UE en el que tengas tu residencia habitual o tu lugar de trabajo, o en el que se haya producido la supuesta infracción (art. 77 del RGPD); la lista de autoridades nacionales la publica el Comité Europeo de Protección de Datos.

8. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito (TLS) y en reposo, aislamiento de los datos entre usuarios mediante políticas de seguridad a nivel de fila, autenticación a través de un proveedor especializado, acceso administrativo restringido y registro de las operaciones sensibles.

No obstante, ningún sistema es completamente seguro. Si se produce una violación de la seguridad de los datos personales que pueda afectar a tus derechos, te informaremos sin dilación indebida, de conformidad con los arts. 33 y 34 del RGPD.

9. Menores

Spark está destinada a personas adultas: las condiciones de uso exigen que los usuarios tengan al menos 18 años, y no recogemos a sabiendas datos de menores. Si tienes conocimiento de que un menor nos ha facilitado datos personales, escribe a contact@greenlead.ro y los eliminaremos.

10. Decisiones automatizadas

La aplicación genera automáticamente estimaciones, recomendaciones y veredictos técnicos a partir de los datos de tu sistema. Tienen carácter informativo: no producen efectos jurídicos en relación contigo y no constituyen decisiones automatizadas en el sentido del art. 22 del RGPD. Siempre puedes no tenerlos en cuenta o pedir la opinión de una persona escribiéndonos.

11. Cambios en la presente política

Podemos actualizar la presente política cuando añadamos nuevas funciones o cambiemos de proveedores. La versión vigente está siempre disponible en greenlead.ro/spark/es/privacy y en la aplicación, en Perfil → Política de privacidad. La fecha de la última actualización figura al principio del documento. En caso de cambios significativos, te lo notificaremos en la aplicación. La presente política está disponible en rumano, inglés, español, alemán, húngaro y polaco; todas las versiones describen el mismo tratamiento.

12. Contacto

Nova Carpathians Creations S.R.L.
N.º de Registro Mercantil J7/158/2019 · N.º IVA RO40526927
Sat Câmpeni (Com. Prăjeni) n.º 80, distrito de Botoșani, 717306, Rumanía
contact@greenlead.ro · +40 754 389 035

Las condiciones de uso de la aplicación Spark están disponibles en greenlead.ro/spark/es/terms.