Encargo de tratamiento de datos
Última actualización: 19 de septiembre de 2026
Esta página explica qué pasa con los datos personales que una empresa cliente sube a Entropyfy. Está escrita para que la pueda leer antes de contratar quien tiene que aprobarlo: el responsable de cumplimiento de la pyme, o el cliente corporativo que le está exigiendo el Pasaporte.
1. Quién es quién
Para elaborar el Módulo Básico del VSME hay que declarar datos de plantilla: cuántas personas, el desglose por sexo y por tipo de contrato, los accidentes, las horas de formación. Esa información sale de documentos que contienen datos personales: el informe de trabajadores en alta, las nóminas y el registro retributivo.
| La empresa cliente | Es la responsable del tratamiento. Son sus trabajadores y es ella quien decide para qué se tratan sus datos. |
|---|---|
| Entropyfy | Es la encargada del tratamiento. Los trata por cuenta del cliente, siguiendo sus instrucciones y solo para elaborar el Pasaporte. |
El artículo 28 del RGPD exige que esa relación se regule por contrato escrito. Ese contrato se firma junto con el de servicio, y su contenido es el que resume esta página.
2. Qué datos se tratan y para qué
- Interesados: las personas trabajadoras de la empresa cliente.
- Datos: los que contengan los documentos que el cliente decida subir. En un informe de trabajadores en alta o un registro retributivo: nombre y apellidos, número de afiliación a la Seguridad Social, sexo, tipo de contrato, tipo de jornada y, en su caso, datos retributivos.
- Finalidad: únicamente elaborar el Pasaporte VSME del cliente, en concreto las divulgaciones B8, B9 y B10 del estándar.
- Duración: la de la prestación del servicio.
No se tratan categorías especiales de datos. No se usan para ningún fin propio, no se ceden a terceros y no se utilizan para entrenar modelos de inteligencia artificial.
3. Lo que NO se guarda
Esto no es una promesa, es cómo está construida la herramienta. De un documento con datos personales, Entropyfy extrae solo cifras agregadas (recuentos, desgloses, totales) y destruye el registro individualizado antes de guardar nada.
En la base de datos de Entropyfy no existe ni una sola fila por persona trabajadora. De un informe de trabajadores en alta queda: cuántas personas hay, cuántas mujeres y cuántos hombres, cuántos contratos indefinidos y cuántos temporales, y la cita literal de la línea del documento de la que sale cada cifra, que es lo que permite auditarla.
El documento original sí se conserva íntegro, porque es la prueba documental de cada número el día de una auditoría. El cliente puede borrarlo cuando quiera desde la propia aplicación, y al borrarlo desaparece también el fichero almacenado.
4. Dónde viven los datos
Entropyfy se apoya en tres proveedores. Los datos se guardan siempre dentro de la Unión Europea; la única cosa que sale del territorio es la lectura del contenido, y está explicada en el apartado siguiente.
| Render Services, Inc. | Alojamiento de la aplicación y de la base de datos. Región de Fráncfort (Alemania). Sin transferencia internacional. |
|---|---|
| Cloudflare, Inc. | Almacenamiento de los documentos originales. Jurisdicción Unión Europea. Sin transferencia internacional. |
| Anthropic PBC | Lectura automatizada del contenido de los documentos, con las exclusiones del apartado 4 bis. Estados Unidos, con transferencia internacional amparada en las Cláusulas Contractuales Tipo de la Comisión Europea. |
No hay más.
4 bis. Qué lee la inteligencia artificial, y qué no lee nunca
Convertir lo que dice un papel en cifras, cada una con su página y su línea, lo hace un modelo de lenguaje de Anthropic. Eso tiene límites, y los límites están escritos en el programa, no en una política:
- Los documentos con datos de tus trabajadores no se mandan nunca. El informe de trabajadores en alta, las nóminas y el registro retributivo, justo los documentos por los que existe esta página, están excluidos por diseño, y la exclusión se aplica dos veces: antes de transcribir un escaneo y antes de extraer sus cifras. Ante la duda no se manda: un documento cuyo tipo todavía no se conoce se trata como si fuera de los excluidos. Hay pruebas automáticas que fallan si alguien quita cualquiera de las dos. Esos documentos los lee el extractor propio, en la infraestructura europea de la tabla de arriba.
- Lo que sí se manda, de los documentos de empresa (facturas de luz, gas, combustible y agua, declaraciones de residuos, partes de refrigerante, cuentas anuales y políticas), es su texto cuando el fichero lo trae, y la imagen de la página cuando está escaneado o es una foto y no hay texto que mandar. Es la única forma de leer el recibo en papel que se escanea, y ahí el modelo solo transcribe lo que ve: las cifras las calcula el motor de Entropyfy. Son documentos mercantiles, pero pueden llevar de pasada el nombre de una persona, como el titular de un suministro o quien firma una política, y por eso el proveedor aparece en la tabla.
- Ese contenido no se usa para entrenar modelos, y el proveedor solo lo conserva el plazo limitado que fija su contrato de tratamiento, para control de abuso.
- El modelo no calcula nada. Devuelve el dato tal y como aparece en el documento; las multiplicaciones y los factores de emisión los hace el motor de Entropyfy. Ninguna cifra del Pasaporte sale de una cuenta hecha por la inteligencia artificial.
Si algún día se incorporase un proveedor nuevo, o se ampliasen los documentos que se le mandan a éste, se comunicaría a cada cliente con treinta días de antelación, diciendo qué datos trataría y dónde, y el cliente podría oponerse y resolver el contrato sin penalización.
5. Medidas de seguridad
- Todo el acceso va sobre HTTPS; base de datos y almacenamiento cifrados en reposo por los proveedores europeos del apartado 4.
- El acceso a la aplicación requiere autenticación.
- Minimización efectiva: no guardar registros individuales es, en sí mismo, la medida de seguridad más eficaz: reduce el dato que hay que proteger.
- Trazabilidad: cada cifra conserva el documento, la página y la línea de la que procede, así que siempre se puede auditar qué se trató y de dónde salió.
- Registro de accesos y copias de seguridad de la base de datos.
6. Qué pasa cuando termina el servicio
El cliente elige: que se le devuelva todo en formato estructurado (los mismos CSV y JSON que genera el servicio) junto con los documentos originales, o que se suprima íntegramente, copias incluidas. Si no dice nada en treinta días, se suprime.
Los Pasaportes ya emitidos son entregables del cliente y quedan en su poder.
7. Derechos de las personas trabajadoras
Los ejercen ante su empresa, que es la responsable del tratamiento. Entropyfy está obligada a asistirla para poder atenderlos, y lo hace sin coste. Si una persona trabajadora se dirige directamente a Entropyfy, se le redirigirá a su empresa y se informará a ésta.
8. Contacto y contrato completo
Para cualquier cuestión sobre este encargo: [email protected].
El texto íntegro del contrato de encargo, en la forma en que se firma, se entrega junto con el contrato de servicio y se facilita antes de contratar a quien lo solicite.