Aviso de Privacidad

Aviso sobre el tratamiento de datos personales

de Plank Italy S.p.a. società benefit

Plataforma digital y aplicaciones móviles

Última actualización: 27 de marzo de 2026

El presente aviso describe las modalidades con las que Plank Italy S.p.a. società benefit («Plank», «la Sociedad» o «nosotros») recopila, utiliza y protege los datos personales tratados en el marco de la prestación de la plataforma digital Plank, las aplicaciones móviles y los servicios tecnológicos conexos (conjuntamente, los «Servicios»).

Plank desarrolla y gestiona una plataforma de software destinada principalmente a clientes empresariales, como operadores energéticos y otras organizaciones que utilizan la plataforma para gestionar sus propios servicios y las relaciones con sus usuarios o clientes. El uso de la plataforma puede realizarse a través de interfaces web o a través de aplicaciones móviles distribuidas en las tiendas digitales.

El presente aviso se publica en la plataforma y se presenta a los usuarios en el momento del primer acceso o del registro. Es accesible en cualquier momento desde la sección «Privacidad – Documentos Legales» del portal y de las aplicaciones móviles.

El presente aviso tiene como finalidad proporcionar a los usuarios información clara y transparente sobre el tratamiento de datos personales efectuado por Plank en calidad de responsable autónomo del tratamiento, de conformidad con el Reglamento (UE) 2016/679 («RGPD») y la normativa aplicable en materia de protección de datos personales.

1. Responsable del tratamiento

El responsable del tratamiento es Plank Italy S.p.a. società benefit, con domicilio social en Sestiere Santa Croce 466/B, 30135 Venecia (Italia), C.F. y P.IVA 04545400279.

Para cualquier solicitud o información relativa al tratamiento de datos personales, puede contactarse con la Sociedad en los siguientes datos:

• Email: gdpr@plank.global
• Correo postal: Plank Italy S.p.a. – Delegado de Protección de Datos – Sestiere Santa Croce 466/B, 30135 Venecia (VE)

2. Delegado de Protección de Datos (DPO)

Plank Italy S.p.a. ha designado un Delegado de Protección de Datos (Data Protection Officer – DPO) de conformidad con el art. 37 del RGPD, teniendo en cuenta la naturaleza, el alcance y las finalidades de los tratamientos efectuados en calidad de encargado del tratamiento por cuenta de múltiples clientes empresariales a gran escala.

El DPO puede ser contactado en los siguientes datos:

• Email: dpo@plank.global (msavoldi@plank.global)
• Correo postal: Plank Italy S.p.a. – Data Protection Officer – Sestiere Santa Croce 466/B, 30135 Venecia (VE)

El DPO opera de forma independiente y puede ser contactado directamente por los interesados para cualquier cuestión relativa al tratamiento de sus datos personales y al ejercicio de sus derechos.

3. Papel de Plank en el marco de los Servicios

El presente aviso regula exclusivamente los tratamientos efectuados por Plank en calidad de responsable autónomo del tratamiento, es decir, los tratamientos que Plank efectúa para sus propias finalidades en el marco de la gestión técnica y la seguridad de la plataforma. Se dirige a los usuarios profesionales que acceden a la plataforma en nombre de los clientes empresariales de Plank.

Tratamientos en calidad de Responsable Autónomo. Plank actúa en calidad de responsable autónomo para las actividades estrictamente relacionadas con la gestión técnica y la seguridad de la plataforma, tales como la autenticación de usuarios, la gestión de sesiones, la monitorización técnica de la infraestructura, la gestión de registros de seguridad, la prevención de accesos no autorizados o abusos y el mantenimiento técnico de los servicios.

Tratamientos en calidad de Encargado del Tratamiento. Separadamente de lo anterior, Plank actúa en calidad de encargado del tratamiento de conformidad con el art. 28 RGPD cuando trata datos personales por cuenta de sus clientes empresariales, los cuales actúan como responsables del tratamiento para los datos relativos a sus propios usuarios o clientes finales. Para dichos tratamientos, el cliente empresarial es el sujeto responsable del cumplimiento de las obligaciones informativas frente a sus usuarios finales.

Los usuarios que interactúan con los servicios prestados por un cliente de Plank a través de la plataforma están invitados a consultar también el aviso de privacidad del propio cliente, que regula el tratamiento de datos personales efectuado en el marco de los servicios por él prestados.

4. Tipos de datos personales tratados

En el curso de la prestación de los Servicios, Plank puede tratar, en calidad de responsable autónomo, las siguientes categorías de datos personales relativos a los usuarios profesionales que acceden a la plataforma en nombre de los clientes empresariales:

1. Datos de identificación y autenticación: identificadores de cuenta, credenciales de acceso y datos de sesión necesarios para permitir el acceso seguro a la plataforma.
2. Datos del perfil profesional: nombre, apellido, dirección de correo electrónico profesional, organización de pertenencia, función o cargo.
3. Datos operativos y de servicio: información relativa a la gestión de solicitudes de asistencia, comunicaciones operativas, documentos o archivos adjuntos cargados por los usuarios u otros contenidos necesarios para el funcionamiento de las funcionalidades de la plataforma.
4. Datos técnicos y de diagnóstico: dirección IP, tipo de dispositivo, sistema operativo, versión de la aplicación, identificadores de sesión, registros técnicos y datos de diagnóstico necesarios para la monitorización y el correcto funcionamiento de los sistemas.
5. Datos relativos al uso de la aplicación móvil: en caso de uso de las aplicaciones móviles, algunas funcionalidades pueden requerir el acceso a la cámara, a la biblioteca fotográfica o a los archivos locales, con el único fin de permitir el uso de las funcionalidades correspondientes.

Datos biométricos

Cuando la aplicación permita el uso de sistemas biométricos del dispositivo (p. ej., reconocimiento facial o huella digital) para facilitar el acceso a la sesión del usuario, dichos mecanismos son gestionados exclusivamente por el sistema operativo del dispositivo. Plank no almacena, no recopila y no trata plantillas biométricas.

Los datos biométricos constituyen categorías especiales de datos de conformidad con el art. 9 RGPD. Dado que su tratamiento se realiza íntegramente en el dispositivo del usuario a través de las API del sistema operativo, y Plank no tiene acceso a dichos datos, la base jurídica aplicable es el consentimiento explícito del usuario expresado a través de la configuración de su dispositivo (art. 9(2)(a) RGPD).

Datos relativos a los clientes finales de los clientes empresariales

En el marco del uso de la plataforma por parte de los clientes empresariales, también pueden ser tratados datos personales relativos a los clientes finales de dichos clientes. En tales casos, el cliente empresarial actúa como responsable del tratamiento de conformidad con el art. 4(7) RGPD, mientras que Plank actúa como encargado del tratamiento de conformidad con el art. 28 RGPD, limitadamente a la prestación de la plataforma y de los servicios tecnológicos conexos.

5. Finalidades y bases jurídicas del tratamiento

Los datos personales de los que Plank es responsable autónomo del tratamiento son tratados para las siguientes finalidades y con las siguientes bases jurídicas:

5.1 Autenticación y acceso a la plataforma

Finalidad: permitir la autenticación de los usuarios, la gestión de las sesiones de acceso y el uso de las funcionalidades de la plataforma.

Base jurídica: ejecución del contrato de prestación de los Servicios celebrado entre Plank y el cliente empresarial, en cuyo marco los usuarios profesionales están habilitados para acceder a la plataforma (art. 6(1)(b) RGPD).

Suministro de datos: obligatorio a efectos del acceso a la plataforma. Sin dichos datos no es posible utilizar los Servicios.

5.2 Gestión técnica, seguridad y prevención de abusos

Finalidad: gestión técnica de la plataforma, mantenimiento, monitorización de sistemas, detección de anomalías o vulnerabilidades, prevención de incidentes informáticos, prevención de accesos no autorizados o abusos, defensa de los derechos de la Sociedad en caso de usos abusivos o no conformes, auditorías de seguridad.

Base jurídica: interés legítimo de Plank de conformidad con el art. 6(1)(f) RGPD, consistente en garantizar la seguridad, la integridad y la fiabilidad de sus servicios digitales, proteger los datos de sus clientes y usuarios frente a accesos no autorizados, fraudes o abusos, y asegurar la continuidad operativa de la plataforma. Plank ha realizado una ponderación entre sus intereses legítimos y los derechos y libertades fundamentales de los interesados, considerando que tales intereses no son predominantemente perjudiciales para los interesados, dado que los datos tratados para dichas finalidades son datos técnicos de sistema y no datos sensibles o de contenido.

Suministro de datos: el tratamiento es necesario para el funcionamiento técnico de la plataforma y no está sujeto a elección por parte del usuario. El usuario tiene, no obstante, derecho a oponerse de conformidad con el art. 21 RGPD (véase Sección 10).

5.3 Cumplimiento de obligaciones legales

Finalidad: cumplir obligaciones legales o responder a solicitudes de autoridades competentes, cuando dichas obligaciones deriven de la normativa aplicable.

Base jurídica: cumplimiento de una obligación legal a la que está sujeto el responsable del tratamiento (art. 6(1)(c) RGPD).

Suministro de datos: obligatorio por imperativo legal. La falta de suministro puede suponer la imposibilidad para Plank de cumplir con sus obligaciones normativas.

5.4 Análisis estadísticos agregados

Finalidad: en forma agregada y no identificable, cierta información relativa al uso de la plataforma puede ser utilizada para análisis estadísticos y para mejorar las prestaciones, la seguridad y la calidad de los Servicios ofrecidos.

Base jurídica: interés legítimo de Plank en mejorar la calidad y las prestaciones de sus servicios (art. 6(1)(f) RGPD). Dado que los datos se procesan de forma exclusivamente agregada y anónima, el impacto sobre los derechos y libertades de los interesados es despreciable.

Plank no utiliza los datos recopilados a través de la plataforma con fines de publicidad comportamental o perfilado comercial.

6. Procesos de decisión automatizada y perfilado

Plank no realiza procesos de decisión automatizada, incluido el perfilado, que produzcan efectos jurídicos o que afecten de manera análoga significativamente a los interesados en el sentido del art. 22 RGPD.

Los sistemas de monitorización automatizada de la plataforma (p. ej., detección de anomalías de acceso) se utilizan exclusivamente con fines de seguridad técnica y no producen decisiones individuales automatizadas con efectos sobre los interesados. Cualquier decisión que pueda afectar a los usuarios se adopta con intervención humana.

En caso de que en el futuro se introduzcan procesos de decisión automatizada relevantes en el sentido del art. 22 RGPD, el presente aviso será actualizado en consecuencia y a los interesados se les proporcionará la información complementaria prevista por la normativa aplicable.

7. Comunicación de datos personales

En el marco de las finalidades descritas anteriormente, los datos personales pueden ser puestos a disposición o comunicados a los siguientes sujetos:

• Personal autorizado de Plank, que opera sobre la base de instrucciones específicas y en cumplimiento de las obligaciones de confidencialidad.
• Proveedores de servicios técnicos (sub-encargados del tratamiento de conformidad con el art. 28 RGPD), tales como proveedores de infraestructura cloud, servicios de hosting, herramientas de monitorización y logging, servicios de soporte técnico. Dichos sujetos operan sobre la base de acuerdos contractuales específicos que regulan las instrucciones de tratamiento, las medidas de seguridad aplicables y las modalidades de gestión de los datos personales.
• Clientes empresariales de Plank, que pueden acceder a los datos personales de los usuarios en el marco de la relación contractual con los propios usuarios.
• Sujetos públicos o autoridades competentes, cuando así lo exija la ley o resoluciones de las autoridades.

Plank no vende ni cede datos personales a terceros con fines comerciales.

8. Transferencias internacionales de datos

Algunos proveedores de servicios técnicos utilizados para la prestación de la plataforma tienen sede o tratan datos fuera del Espacio Económico Europeo (EEE), en particular en los Estados Unidos de América. Las transferencias de datos personales a países terceros se realizan con las garantías previstas por la normativa aplicable, en particular mediante:

• Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea mediante Decisión de ejecución (UE) 2021/914 de 4 de junio de 2021;
• Eventuales decisiones de adecuación adoptadas por la Comisión Europea en relación con países terceros específicos.

Previa solicitud, Plank puede proporcionar a los interesados una copia de las garantías adoptadas para las transferencias internacionales. Las solicitudes pueden enviarse a gdpr@plank.global.

9. Conservación de los datos

Los datos personales se conservan durante el período de tiempo necesario para cumplir las finalidades para las que fueron recogidos y para cumplir con las obligaciones contractuales y normativas aplicables. Los períodos específicos de conservación para cada categoría de datos son los siguientes:

Categoría de datos	Período	Criterio
Datos de cuenta y perfil profesional	Duración de la relación + 12 meses	Necesario para la gestión del contrato y la resolución de eventuales contestaciones.
Registros técnicos de acceso y autenticación	12 meses	Proporcionado a las necesidades de seguridad informática y detección de anomalías.
Registros de seguridad y pista de auditoría	24 meses	Necesario para investigaciones de incidentes de seguridad y auditorías de conformidad.
Datos operativos y documentos cargados	Duración del contrato con el cliente empresarial + 30 días	Necesario para la prestación del servicio; eliminados al término de la relación.

Al término del período de conservación, los datos personales se eliminan o se anonimizan de forma irreversible.

10. Seguridad de los datos

Plank adopta medidas técnicas y organizativas adecuadas para garantizar la protección de los datos personales tratados a través de la plataforma. Dichas medidas incluyen, entre otros, sistemas de control de acceso, protección de las comunicaciones, monitorización de sistemas, gestión de autorizaciones basada en roles y procedimientos de copia de seguridad y continuidad operativa.

A pesar de adoptar medidas técnicas y organizativas adecuadas a la naturaleza de los datos tratados y a los riesgos asociados, Plank no puede garantizar que ningún sistema informático o transmisión de datos a través de Internet esté completamente exento de riesgos. La Sociedad adopta, por tanto, procedimientos de monitorización y actualización continua de sus medidas de seguridad con el fin de reducir los riesgos de accesos no autorizados, pérdida o divulgación de datos.

11. Derechos de los interesados

Los interesados pueden ejercer los siguientes derechos previstos por la normativa en materia de protección de datos personales:

• Derecho de acceso (art. 15 RGPD): obtener confirmación de si se están tratando o no datos personales que les conciernen y, en su caso, acceder a los datos y a la información relativa al tratamiento.
• Derecho de rectificación (art. 16 RGPD): obtener la rectificación de datos personales inexactos o la integración de los incompletos.
• Derecho de supresión (art. 17 RGPD): obtener la supresión de los datos personales en los casos previstos por la ley («derecho al olvido»).
• Derecho a la limitación del tratamiento (art. 18 RGPD): obtener la limitación del tratamiento en los casos previstos por la ley.
• Derecho a la portabilidad de los datos (art. 20 RGPD): recibir los datos personales en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable del tratamiento, cuando el tratamiento se base en el contrato o en el consentimiento y se efectúe por medios automatizados.
• Derecho de oposición (art. 21 RGPD): oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos personales basado en el interés legítimo del responsable (art. 6(1)(f) RGPD). En particular, los interesados pueden oponerse a los tratamientos descritos en las Secciones 5.2 y 5.4. El responsable se reserva el derecho de no atender la oposición cuando existan motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado, o para el establecimiento, ejercicio o defensa de reclamaciones.

Revocación del consentimiento

Cuando el tratamiento se base en el consentimiento del interesado (en particular para el uso de sistemas biométricos del dispositivo a través de la configuración del mismo), el interesado tiene derecho a revocar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su revocación. La revocación del consentimiento relativa a los sistemas biométricos puede efectuarse directamente desde la configuración del dispositivo.

Para revocar eventuales consentimientos otorgados en el marco del uso de la plataforma, puede contactarse con Plank en gdpr@plank.global.

Modalidades de ejercicio de los derechos y plazos de respuesta

Las solicitudes de ejercicio de derechos pueden enviarse a Plank a la dirección gdpr@plank.global o por correo postal a Plank Italy S.p.a., Sestiere Santa Croce 466/B, 30135 Venecia (VE).

Plank responde a las solicitudes en el plazo de un mes desde su recepción. En caso de solicitudes particularmente complejas o numerosas, dicho plazo puede prorrogarse otros dos meses, previa comunicación al interesado dentro del primer mes indicando los motivos de la prórroga (art. 12(3) RGPD).

Cuando Plank trate datos personales por cuenta de un cliente empresarial que actúe como responsable del tratamiento, las solicitudes podrán dirigirse también a dicho cliente o ser transmitidas por Plank al responsable competente.

12. Obligatoriedad del suministro de datos

Para algunas finalidades, el suministro de datos es necesario y las consecuencias de la falta de suministro son las siguientes:

Finalidad	Naturaleza del suministro	Consecuencias de la falta de suministro
Autenticación y acceso a la plataforma	Contractual	Imposibilidad de acceder a la plataforma y a los Servicios.
Gestión técnica y seguridad de los sistemas	Necesario para la ejecución del contrato / Interés legítimo	El tratamiento es inherente al funcionamiento técnico de la plataforma; no proporcionar dichos datos implicaría no poder utilizar los Servicios.
Cumplimiento de obligaciones legales	Obligación legal	Imposibilidad para Plank de cumplir con sus obligaciones normativas.
Análisis estadísticos agregados	Interés legítimo	Ninguna consecuencia directa para el usuario.

13. Derecho de reclamación

Los interesados tienen derecho a presentar una reclamación ante la autoridad de control competente en materia de protección de datos personales o ante otra autoridad de control competente si consideran que el tratamiento de los datos personales viola la normativa aplicable.

Garante per la Protezione dei Dati Personali (Italia):

• Dirección: Piazza Venezia 11, 00187 Roma
• Teléfono: +39 06 69677 1
• Email: garante@gpdp.it
• Sitio web: www.gpdp.it

Alternativamente, el interesado puede dirigirse a la autoridad de control del Estado miembro de la Unión Europea en el que resida habitualmente, trabaje o en el que considere que se ha producido la infracción.

14. Modificaciones al presente aviso

El presente aviso puede ser actualizado periódicamente para reflejar eventuales cambios en los Servicios, evoluciones normativas o cambios en las modalidades de tratamiento de los datos personales. La versión actualizada será publicada en la plataforma e indicará la fecha de la última actualización y el número de versión.

Cuando las modificaciones sean relevantes en el sentido del art. 13 RGPD, Plank comunicará a los usuarios con al menos 30 días de antelación, mediante notificación en la aplicación o por correo electrónico a la dirección asociada a la cuenta. La continuación en el uso de los Servicios tras dicho período constituye toma de conocimiento de las modificaciones realizadas.

Las versiones anteriores del aviso son conservadas por la Sociedad a efectos de responsabilidad proactiva prevista en el art. 5(2) RGPD y están disponibles previa solicitud.