Declaración de protección de datos

Versión: 3.3

Ponerse de pie: 19 de julio de 2026

ZEROVIA GmbH, Via Casti 52, 7151 Schluein, Suiza

Correo electrónico: info@zerovia.ch · privacy@zerovia.ch

Este aviso de privacidad describe cómo ZEROVIA GmbH, Via Casti 52, 7151 Schluein, Suiza („ZEROVIA», „nosotros») procesa datos personales cuando utiliza nuestro sitio web o nuestra plataforma SaaS. Se aplica a:

los sitios web zerovia.ch, zerovia.ai y zerovia.academy
la plataforma zerovia.app,
todos los módulos ESG, de proveedores y de adquisición,
Procesos de verificación y validación,
Compartir datos con terceros (opt-in),
API e interfaces de integración,
Perfiles ESG publicados públicamente y su incorporación en los sitios web de los clientes.

Procesamos datos personales de acuerdo con la Ley Federal de Protección de Datos (LPD) y, en la medida en que sea aplicable, el Reglamento General de Protección de Datos (RGPD).

1. Persona jurídica responsable y representante en la UE (art. 27 RGPD)

1.1 Entidad responsable en Suiza

ZEROVIA GmbH Via Casti 52 CH-7151 Schluein Correo electrónico: privacy@zerovia.ch

1.2 Representación de la UE según el Art. 27 RGPD

Para las personas afectadas y las autoridades supervisoras en la UE, ZEROVIA ha nombrado al siguiente representante:

Representante de la UE (art. 27 RGPD) iuro Rechtsanwälte GmbH, operando como Prighter
Schellinggasse 3
1010 Viena,
Austria
Correo electrónico: privacy@zerovia.ch
Portal para consultas de afectados: https://app.prighter.com/portal/zerovia

1.3 Actividades de tratamiento de la representación de la UE

La representación de la UE asume:

Recepción de solicitudes de personas afectadas,
Recepción de solicitudes de autoridades europeas de protección de datos,
Estructuración y transmisión segura de las solicitudes a ZEROVIA,
Provisión de una herramienta de solicitud de sujeto de datos (herramienta DSR).

Los datos procesados incluyen, entre otros: datos de identificación y contacto, información sobre el asunto del interesado, contenido de la consulta.

1.4 Aclaración de roles

Más seguro como responsable: al asesoramiento o apoyo de conformidad con el artículo 27 del RGPD.
Prighter como procesador de datos: al proporcionar la herramienta DSR. Prighter utiliza Hetzner Online GmbH como proveedor de hosting.

2. Tipos de datos personales

2.1 Datos maestros

Nombre, Apellido, datos de contacto profesional, cargo y puesto, afiliación empresarial.

2.2 Datos técnicos y de uso

Dirección IP, archivos de registro, marca de tiempo, información del navegador y dispositivo, registros de opt-in, uso de tokens de API.

2.3 Datos ESG

Datos maestros de la empresa (UID, DUNS, dirección, número de empleados, sector, entre otros),
Información de perfiles ESG autodeclarados,
Respuestas a cuestionarios ESG (Verificación Rápida ESG con 15–20 preguntas, Autoevaluación ESG con 49–58 preguntas),
documentos subidos (Políticas, Informes, Pruebas, Justificantes, Certificados),
Datos para verificaciones,
Datos para validaciones de socios externos,
Estado del perfil y validez,
Nivel de madurez y tipo de perfil (véase el §5).

Indicación sobre el origen de los datos: Todos los datos relacionados con ESG en el Perfil ESG, desde los datos maestros y las autoevaluaciones específicas del nivel hasta los comprobantes y certificaciones cargados, son proporcionados exclusivamente por el cliente. ZEROVIA proporciona la infraestructura técnica, la lógica de captura y la metodología estandarizada. La puntuación ESG y el Perfil ESG resultantes son el propio resultado del cliente. ZEROVIA no emite calificaciones ESG ni es un proveedor de calificaciones ESG en el sentido del Reglamento (UE) 2024/3005 (ESGRR).

2.4 Datos de la persona de contacto ESG de un cliente

En los perfiles ESG publicados públicamente, además se procesan y publican el nombre, el cargo y la dirección de correo electrónico profesional de una persona de contacto ESG designada por el cliente. La publicación se basa en el interés comercial legítimo (contexto B2B, art. 6, apdo. 1, letra f) del RGPD, art. 31 LOPD). El cliente se asegura de que la persona afectada sea informada de la publicación.

2.5 Datos de comunicación

Correspondencia por correo electrónico, solicitudes de soporte, comentarios dentro de la plataforma.

2.6 Datos de procesamiento relacionados con IA

Entradas (prompts) y textos de salida de los modelos de IA generativa que utilizamos (véase §10), datos de registro asociados para la identificación de contenidos asistidos por IA de conformidad con el artículo 50, apartado 4, del reglamento de la UE 2024/1689.

3. Propósitos del tratamiento de datos

3.1 Provisión de la plataforma

Creación y gestión de cuentas de usuario, gestión de roles y permisos, operación de módulos, diagnóstico de errores y estabilidad.

3.2 Perfil ESG

Creación y gestión de perfiles ESG en la plataforma. El cliente utiliza la licencia y metodología de la plataforma ZEROvia para crear un perfil ESG, basado en sus propios datos maestros y auto-declaraciones, a través de las siguientes fases:

Verificación Rápida ESG (Nivel 1),
Autoevaluación ESG (Nivel 2),
VS Basic (Nivel 3),
VS Integral (Nivel 4).
Comprobaciones formales de plausibilidad y de documentos («Verificado por ZEROVIA»), soporte técnico para validaciones por socios externos, visualización del estado del perfil, generación de informes.

3.3 Publicación de perfiles públicos e indexación automática

Con la publicación activa de un perfil ESG bajo zerovia.app/perfiles/{slug} los datos marcados como públicos:

hecho públicamente accesible,
para que se reproduzcan como datos estructurados (Schema.org JSON-LD) para la descubribilidad en motores de búsqueda y motores de respuestas de IA (incluidos ChatGPT, Perplexity, Google AI Overviews, Claude).

Los campos marcados como «Internos» en el centro de publicación no aparecen ni en el perfil visible ni en el JSON-LD. La diferenciación por sistemas de indexación individuales no es técnicamente posible; la revocación de la indexación solo funciona mediante la despublicación completa del perfil. La indexación de perfiles públicos por parte de terceros, incluidas las máquinas de respuesta de IA y las plataformas de adquisición, no otorga a ZEROVIA la condición de emisor de calificaciones ESG en el sentido del Reglamento de Calificación de ESG (ESGRR).

3.4 Compartir datos con terceros (Opt-in)

Tras el consentimiento explícito del cliente: Cesión a bancos, compañías de seguros, grandes empresas, clientes y proveedores, organizaciones de validación o auditoría externas, cesiones basadas en API, cesiones mediante códigos de socio o enlaces para compartir.

3.5 Incrustación en sitios web de clientes

Al incrustar un perfil ESG publicado en el sitio web de un cliente (incrustación de fragmentos, del lado del servidor o JavaScript), los datos se transfieren técnicamente de zerovia.app al visitante final del sitio del cliente. ZEROVIA no utiliza sus propias cookies de marketing ni de rastreo. El cliente es el responsable de la información sobre protección de datos a sus visitantes finales (declaraciones de protección de datos, banners de cookies) en su sitio de terceros.

3.6 Funciones basadas en IA (véase §10)

Clasificación y etiquetado, limpieza de datos, búsqueda semántica, asistencia de texto y recomendaciones, verificación de coherencia de declaraciones ESG, borradores de texto impulsados por IA para perfiles ESG.

3.7 Mejora y desarrollo continuo

Análisis estadístico anónimo, mejora de UI/UX, desarrollo continuo de la plataforma.

3.8 Comunicación

Asistencia, notificaciones de seguridad, avisos de cambios en los términos y condiciones o en la política de privacidad.

4. Fundamentos legales del tratamiento de datos

4.1 Cumplimiento de un contrato

(Art. 6 (1) (b) RGPD; Art. 31 LOPDGDD) Registro y gestión de cuentas, uso de módulos, creación de perfiles ESG, realización de verificaciones, gestión técnica de validaciones, uso de módulos de proveedores y compras, prestación de funciones API.

4.2 Interés legítimo

(Artículo 6, apartado 1, letra f), del RGPD; Artículo 31, de la LOPD) Mantenimiento de la seguridad de las tecnologías de la información, detección de abusos y prevención de fraudes, desarrollo posterior de nuestro software, documentación y control de calidad, elaboración de evaluaciones anonimizadas, Publicación de la persona de contacto ESG designada por el cliente en el contexto B2B (nombre, cargo, dirección de correo electrónico profesional).

4.3 Consentimiento (Opt-In)

(Artículo 6, apartado 1, letra a), RGPD; Artículo 6, LPPD) Cesión de datos ESG a bancos, aseguradoras y grandes empresas, Cesión a socios de validación o auditoría, publicación activa de un perfil ESG (incluida la indexación por motores de búsqueda y de respuesta de IA, accesos a API, códigos de socios o enlaces para compartir, ciertas funciones impulsadas por IA (si se explican por separado). El consentimiento puede ser revocado en cualquier momento con efecto futuro).

4.4 Obligación legal

Obligaciones de conservación de conformidad con el Código de Obligaciones suizo y la legislación fiscal.

5. Perfiles ESG y su procesamiento

ZEROVIA distingue dos ejes ortogonales: Grado de madurez (Profundidad de la divulgación) y Tipo de perfil (Profundidad de la prueba). La metodología completa se encuentra en zerovia.ch/metodologia accesible.

5.1 Tipos de perfil

Perfil ESG Autodeclarado – Declaración de responsabilidad única, sin verificación por parte de ZEROVIA, responsabilidad total de la empresa.
Verificado por ZEROVIA – Revisión formal de plausibilidad y de documentos, sin auditoría, sin certificación, sin aseguramiento según ISAE 3000 o ISAE 3410, sin producto según el Reglamento (UE) 2024/3005, se requiere opt-in.
Validado por un socio externo – verificación de contenido por especialistas externos (p. ej., TÜV SÜD, SQS); ZEROVIA es exclusivamente un proveedor de plataformas técnicas; la transferencia solo tras opt-in; cualquier servicio de garantía es responsabilidad total del socio externo.

5.2 Etapas de maduración

Verificación Rápida ESG (Nivel 1) — Evaluación de la situación, 15–20 preguntas.
Autoevaluación ESG (Nivel 2) —Autodeclaración estructurada, 48–62 preguntas con clases de evidencia E0–E4.
VS Basic (Nivel 3) — Módulo básico de la norma voluntaria de la UE B1–B5 (anteriormente VSME Basic).
VS Integral (Nivel 4) — Norma voluntaria de la UE, incluidas C1–C9 (anteriormente VSME Integral).

El perfil ESG resume para cada etapa los datos maestros corporativos del cliente, las autodeclaraciones específicas de la etapa, así como los comprobantes, certificados y documentos cargados por el cliente. Todos los contenidos son proporcionados exclusivamente por el cliente.

5.3 Publicación

Los perfiles solo se mostrarán públicamente si se concede un permiso activo para ello. La visibilidad se puede configurar por campo de datos (Público / Interno). Los perfiles publicados serán indexables por motores de búsqueda y sistemas de respuesta de IA de acuerdo con §3.3.

5.4 Despublicación y ciclo de vida del perfil

Cuando se republique o elimine un perfil, la página de perfil de ZEROVIA se eliminará en un plazo de 14 días y se servirá con el estado HTTP 410. ZEROVIA se esforzará de buena fe para que las versiones indexadas de los perfiles se eliminen de los motores de búsqueda y de los motores de respuestas de IA, pero no garantiza la eliminación completa de sus cachés y datos de entrenamiento.

6. Cesión de datos personales a terceros (Opt-in)

La divulgación se realiza exclusivamente con el consentimiento expreso del cliente. Posibles destinatarios: bancos e instituciones financieras, compañías de seguros, grandes empresas, clientes y proveedores, organizaciones externas de validación y auditoría, destinatarios basados en API o webhooks, integraciones de plataforma de socios comerciales.

ZEROVIA no verifica la legitimidad de los destinatarios. Una revocación solo surte efecto para accesos futuros.

7. Definición de roles: Responsable / Procesador

7.1 ZEROVIA como responsable al operar la plataforma, gestión de perfiles, verificaciones, datos de usuario, procesamiento relacionado con la seguridad, registros y supervisión.

7.2 Validadores externos como responsables en decisiones de auditoría e informes de validación ESG.

7.3 ZEROVIA como procesador de datos al procesar datos personales por cuenta del cliente, integraciones de API, procesos de verificación técnica. El siguiente se aplica Acuerdo de Procesamiento de Datos de ZEROVIA (APD), accesible a través de privacy@zerovia.ch.

8. Subcontratista

Utilizamos proveedores de servicios cuidadosamente seleccionados. Una lista consolidada y actualizada de cada uno forma parte de Contrato de procesamiento de datos (DPA, Anexo C de los Términos y condiciones de suscripción). La lista productiva a fecha 02.06.2026 incluye:

8.1 Alojamiento e infraestructura

Proveedor	Propósito	Sede / Ubicación de datos	Base legal para la transmisión
Infomaniak Network SA	Alojamiento entorno de producción zerovia.app	Suiza (Ginebra)	dentro de Suiza, sin transferencia a terceros países
Cyon AG	Alojamiento zerovia.ch	Suiza (Basilea)	dentro de Suiza, sin transferencia a terceros países
Uvensys GmbH	Entorno de desarrollo y pruebas de hosting	Alemania (Gießen)	dentro de la UE

8.2 Representación de la UE y derechos de los afectados

Proveedor	Propósito	Sede / Ubicación de datos	Base legal para la transmisión
iuro Rechtsanwälte GmbH (Prighter)	Representación de la UE, Art. 27 RGPD, Operation DSR-Tool	Austria	dentro de la UE
Hetzner Online GmbH (Subprocesador de Prighter)	Alojamiento Prighter DSR-Tool	Alemania	dentro de la UE

8.3 Modelos de KI

Proveedor	Propósito	Sede / Ubicación de datos	Base legal para la transmisión
OpenAI Irlanda Ltda.	Modelos de IA generativa (serie GPT) para redacción y revisión de coherencia en perfiles ESG	Irlanda (residencia de datos en la UE), procesamiento parcialmente en EE. UU.	SCC + Evaluación de Impacto de Transferencia + medidas de protección técnicas
Anthropic PBC	Modelos de IA generativa (serie Claude) para borradores de texto y comprobación de coherencia	Estados Unidos	SCC + Evaluación de Impacto de Transferencia + medidas de protección técnicas
Mistral AI (fallback previsto)	Modelos de IA generativa como opción de reserva europea	Francia	dentro de la UE

8.4 Operación del sitio web zerovia.ch

Proveedor	Propósito	Sede / Ubicación de datos	Base legal para la transmisión
Google LLC (Site Kit / Analytics)	Medición del alcance del sitio web zerovia.ch	UE/EE. UU.	solo después del consentimiento de cookies; SCC
TranslatePress (DevriX)	Multilingüismo zerovia.ch	UE	dentro de la UE
SpeedyCache	Caché de página zerovia.ch	UE	dentro de la UE
CookieAdmin Pro	Gestión de Consentimiento de Cookies	UE	dentro de la UE

Nota: Utilizamos preferentemente proveedores con sede en la UE o en Suiza. Para los modelos de IA con procesamiento de datos en EE. UU. (OpenAI, Anthropic), se aplica una ampliación con SCC, TIA y medidas de protección técnica complementarias (cifrado en tránsito y en reposo, sin uso de datos del cliente para el entrenamiento del modelo). Mistral AI está prevista como respaldo europeo en la hoja de ruta para reducir la dependencia de terceros países.

8.5 CRM y comunicación con el cliente

Proveedor	Propósito	Sede / Ubicación de datos	Base legal para la transmisión
HubSpot (HubSpot, Inc., con alojamiento de datos en la UE)	CRM; Gestión de contactos de clientes y prospects, comunicación, marketing	Alojamiento de datos Fráncfort, Alemania (UE); proveedor con sede en EE. UU.	Almacenamiento dentro de la UE; para procesamientos individuales y accesos de soporte desde los EE. UU. basándose en el Marco de Privacidad de Datos Suiza-EE. UU. o SCC + TIA según el DPA de HubSpot.

9. Transferencia de datos a otros países

Los datos se pueden transferir:

en países con una decisión de adecuación de la Comisión Europea o estados terceros reconocidos según el Anexo 1 del DSGVO,
en países terceros basado en Cláusulas contractuales estándar (SCC) de la Comisión Europea, complementado con la Evaluación de Impacto de la Transferencia (TIA) y medidas técnicas de protección,
con consentimiento expreso,
debido a obligaciones legales.

Las remisiones a socios de validación solo se realizan mediante opt-in. Las remisiones a proveedores de modelos de IA con sede en EE. UU. se realizan exclusivamente sobre la base de las Cláusulas Contractuales Tipo (SCC) con la adición de medidas complementarias (cifrado, seudonimización en la medida de lo posible).

Las transferencias a nuestro CRM (HubSpot) se refieren principalmente a datos almacenados en la UE (Fráncfort). En la medida en que haya una conexión con los EE. UU. para procesamientos individuales, la transferencia se basará en el Marco de privacidad de datos entre Suiza y EE. UU. (HubSpot, Inc. está certificado) o en las cláusulas contractuales estándar de la UE con los ajustes reconocidos por el PREE para Suiza y una evaluación de impacto de transferencia complementaria.

10. Funciones basadas en IA — Transparencia según el artículo 50 del Reglamento UE 2024/1689

Funciones implementadas

ZEROVIA usa modelos de IA generativa para:

Borradores de texto asistidos por IA en perfiles ESG (estrategia de sostenibilidad, medidas clave, información específica del sector),
Verificación de coherencia de las declaraciones ESG (prueba de plausibilidad, indicación de lavado verde).,
Clasificación y etiquetado de documentos cargados,
búsqueda semántica.

10.2 Obligación de etiquetado

Los contenidos generados con IA en perfiles públicos se marcarán como tales, visibles en el perfil y legibles por máquina en JSON-LD a través del campo creativeWorkStatus. Esta marca se realiza incluso antes de la entrada en vigor regulatoria del Art. 50 (4) del Reglamento UE 2024/1689 (aplicable a partir del 02/08/2026).

10.3 Proveedores de modelos de IA utilizados

Se emplean actualmente de forma productiva OpenAI Irlanda Ltda. (Modelos GPT) y Anthropic PBC (Modelos Claude). Como opción de reserva europea, la conexión de Mistral AI (Francia) plane para reducir aún más la dependencia de terceros. Los cambios de proveedor se actualizarán en la lista de subprocesadores (§8.3) y en el DPA; los cambios sustanciales se comunicarán previamente a los clientes de acuerdo con los términos de suscripción §13.

10.4 Datos de entrenamiento

Los datos del cliente son no utilizados para entrenar modelos de IA accesibles al público. El uso de datos agregados anonimizados para la mejora interna del modelo solo se permite previa aceptación explícita del cliente.

10.5 Ninguna decisión individual automatizada con efectos jurídicos

Ninguna decisión automatizada en el sentido del artículo 22 del RGPD surte efecto jurídico. Los borradores de IA y las comprobaciones de coherencia son funciones de asistencia que el cliente revisa y aprueba.

11. Duración del almacenamiento

Almacenamos datos personales:

mientras exista una cuenta de usuario,
mientras existan las obligaciones legales de conservación (10 años según el artículo 958f del Código de Obligaciones suizo para libros de contabilidad y comprobantes),
mientras exista un interés legítimo,
hasta que se solicite una eliminación permitida.

Los perfiles ESG se almacenan según su período de validez y luego se marcan. Tras la despublicación: Eliminación de la página del perfil en un plazo de 14 días, respuesta HTTP-410, más información según §5.4.

12. Seguridad de TI y medidas técnicas y organizativas (TOM)

Protegemos los datos mediante medidas organizativas y técnicas modernas, entre otras:

Cifrado SSL/TLS,
controles de acceso basados en roles y 2FA opcional,
Cortafuegos, IDS/IPS,
Supervisión del sistema,
copias de seguridad periódicas,
auditorías internas y pruebas de seguridad externas.

Nuestra arquitectura de seguridad se basa en ISO/IEC 27001 y las recomendaciones de EDÖB.

13. Derechos de los interesados

Tiene – sujeto a la ley aplicable – los siguientes derechos:

Información (artículo 15 del RGPD / artículo 25 del RGPD),
Corrección (Art. 16 RGPD / Art. 32 RGPD),
Cancelación (artículo 17 RGPD / artículo 32 DSG),
Restricción (Art. 18 RGPD),
Portabilidad de datos (art. 20 RGPD / art. 28 RGPD),
Oposición (Artículo 21 RGPD).,
Revocación de consentimientos (Art. 7, párr. 3, RGPD).

Consultas a: privacy@zerovia.ch

Ciudadano de la UE: https://app.prighter.com/portal/zerovia

Derecho de queja: Las personas residentes en Suiza pueden dirigirse al Delegado Federal de Protección de Datos y Transparencia (DFPD). Las personas residentes en la UE pueden dirigirse a la autoridad nacional de supervisión de la protección de datos competente.

14. Galletas y seguimiento

El sitio web zerovia.ch utiliza:

Cookies técnicamente necesarias (Sesión, configuración de idioma, consentimiento de cookies) — Base legal de interés legítimo.
Cookies funcionales (por ejemplo, rendimiento, almacenamiento en caché) — Base legal: interés legítimo o consentimiento.
Analizar Cookies (Google Site Kit / Analytics) — exclusivamente tras el consentimiento explícito a través del banner de cookies.
Cookies publicitarias — actualmente no en uso; si se utiliza en el futuro, exclusivamente con consentimiento explícito.

La plataforma ZEROVIA zerovia.app utiliza únicamente cookies técnicamente necesarias para la autenticación y la gestión de sesiones.

La configuración de cookies se puede modificar en cualquier momento a través del enlace „Configuración de cookies» en el pie de página del sitio web.

15. Acuerdo de Procesamiento de Datos (APD)

Cuando ZEROVIA procesa datos personales en nombre de clientes comerciales, también se aplica el ZEROVIA DPA, que regula: propósito y alcance del procesamiento, responsabilidades, medidas técnicas y organizativas, subprocesadores (incluidos los proveedores de modelos de IA), transferencias internacionales. Requisito sobre privacy@zerovia.ch.

16. Incrustación en sitios web de clientes

Cuando un cliente incrusta un perfil ESG publicado en su propio sitio web:

Snippet y empotrado del lado del servidor: ZEROVIA proporciona código HTML estático con JSON-LD en línea. No hay conexión en vivo del sitio web del cliente a ZEROVIA. ZEROVIA no procesa datos de los visitantes finales.
JavaScript-Insertar: El visitante final del sitio del cliente carga un recurso desde embed.zerovia.app. Al hacerlo, se procesan datos técnicamente necesarios (dirección IP, agente de usuario, marca de tiempo) para la entrega. ZEROVIA no utiliza cookies de rastreo.

El cliente es el responsable del tratamiento de datos de los visitantes de su sitio web y debe informarles sobre la incrustación en su propia política de privacidad.

17. Modificaciones de esta Política de Privacidad

Esta Política de Privacidad puede ser adaptada, especialmente en caso de cambios en los productos, modificaciones en los requisitos legales, nuevas funcionalidades o procesos de validación revisados. En caso de cambios sustanciales, se informará adecuadamente a los clientes con antelación. La versión actual se encuentra en https://zerovia.ch/datenschutzerklaerung/ accesible.

Historial de versiones:

v3.2 (16.06.2026) — Aclaración de licencia de plataforma y metodología (§2.3 Nota sobre el origen de los datos); Cambio de nombre de «ESG Rating» → «ESG Self-Assessment (Nivel 2)» en §2.3, §3.2, §5.2; Delimitación del alcance de ESGRR (§2.3, §3.3); Aclaración del tipo de perfil «Verificado por ZEROVIA» sin carácter de seguridad ISAE (§5.1b); Estructura del perfil ESG como documento proporcionado por el cliente (§5.2).
v3.1 (02.06.2026) — KI-VO Art. 50, publicación de persona de contacto de ESG, indexación de IA, privacidad de incrustación, tabla concreta de subprocesadores (Infomaniak, Uvensys, OpenAI, Anthropic, Mistral-planificado), niveles de madurez, DPA referenciado como Anexo C de los AB.
v3.0 (20.11.2025) — Introducción de la representación de Prighter en la UE, tres tipos de perfil, referencia al DPA.

18. Contacto

ZEROVIA GmbH
Via Casti 52
CH-7151 Schluein
privacy@zerovia.ch · info@zerovia.ch