Política de privacitat i protecció de dades

RSR Shenzhou Company OÜ

Data de vigència: 1 de setembre de 2026. Darrera actualització: 12 d’octubre de 2026.

1. Responsable i àmbit

El responsable és RSR Shenzhou Company OÜ, Registre Mercantil d’Estònia 17362300, amb domicili a Harju maakond, Tallinn, Lasnamäe linnaosa, Sepapaja tn 6, 15551, Estonia. Contacte de privacitat: gpdr@rsrshenzhou.com. És una bústia de la companyia, no un contacte d’un delegat de protecció de dades designat.

Aquesta política comprèn https://roisplatform.com i la gestió pròpia de consultes, demostracions, pressupostos, subscripcions al butlletí, contractació i suport de ROIS Platform. S’hi aplica el Reglament (UE) 2016/679 (RGPD) i la normativa estoniana aplicable.

Quan un client introdueix dades personals a l’ERP i en determina els fins i mitjans, el client actua com a responsable i la companyia com a encarregada, seguint les seves instruccions i l’acord d’encàrrec de l’article 28 del RGPD. Aquesta política no substitueix aquest acord ni la informació que el client ha de facilitar a les persones afectades. Les sol·licituds relatives a aquestes dades es tramitaran amb el client responsable.

2. Dades tractades i procedència

Els canals del lloc recolliran les dades següents:

• Contacte: nom, correu professional i missatge obligatoris; empresa i telèfon opcionals.
• Pressupost o demostració: nom, correu professional i empresa obligatoris; càrrec, telèfon i necessitats opcionals.
• Butlletí: correu i consentiment separat obligatoris; nom opcional.
• Contractació: raó social, identificació fiscal, domicili de facturació, representant i correu obligatoris; telèfon opcional.
• Suport: identificació de l’usuari o correu i descripció de la incidència obligatoris; fitxers adjunts opcionals.
• Xat: missatge; nom i correu opcionals per respondre.
• WhatsApp: número de telèfon i contingut de la conversa; nom opcional.

Aquest web no disposa de comptes d’usuari ni registre. No faciliti dades sensibles ni informació de tercers innecessària.

La navegació pot generar adreça IP, data i hora, navegador, recursos sol·licitats i registres d’accés, errors o seguretat. Els registres tècnics es limitaran a data i hora, recurs sol·licitat, resultat de la petició, navegador i dades de connexió necessàries. No inclouran contrasenyes, credencials, contingut de formularis ni converses completes. Es reduirà o seudonimitzarà l’adreça IP quan no calgui conservar-la íntegrament. El mesurament d’audiència s’explica a l’apartat 8: no fa servir galetes ni desa res al seu dispositiu.

Les dades provenen de la persona interessada, de les interaccions o de l’empresa que facilita les dades professionals. En aquest últim cas, es proporcionarà la informació de l’article 14 del RGPD dins dels terminis aplicables, llevat d’una excepció legal. Sense les dades obligatòries pot ser que no puguem atendre la sol·licitud o prestar el servei.

3. Finalitats i bases jurídiques

• Consultes, pressupostos i demostracions: mesures precontractuals sol·licitades per la persona interessada (art. 6.1.b RGPD), o interès legítim a atendre consultes generals i relacions amb representants d’empreses (art. 6.1.f).
• Contractació i suport: execució del contracte quan la persona interessada n’és part (art. 6.1.b), o interès legítim a gestionar la relació amb l’empresa client (art. 6.1.f).
• Butlletí i comunicacions promocionals: consentiment específic del destinatari (art. 6.1.a). La subscripció serà opcional i es podrà cancel·lar mitjançant l’enllaç de baixa o escrivint a gpdr@rsrshenzhou.com. Les comunicacions necessàries sobre el servei contractat es gestionen amb la base corresponent a aquest servei.
• Funcionament, prevenció d’abusos i seguretat: interès legítim a protegir el lloc i els sistemes (art. 6.1.f), amb mesures proporcionades.
• Compliment legal i drets: obligacions comptables, fiscals i de protecció de dades aplicables (art. 6.1.c).
• Reclamacions: interès legítim a formular, exercir o defensar reclamacions (art. 6.1.f).
• Analítica i publicitat mitjançant tecnologies que requereixin consentiment: consentiment previ i separat per finalitat (art. 6.1.a), un cop definides i informades les eines.

Contactar o contractar no suposa acceptar publicitat. El xat o WhatsApp, si estan disponibles, seran canals voluntaris; també es podrà utilitzar el correu. El correu es gestiona mitjançant Microsoft 365; el butlletí i el xat amb IA són solucions pròpies, i WhatsApp s’integrarà al web.

4. Conservació

La companyia aplicarà els terminis de conservació següents. S’han d’aplicar únicament mentre les dades siguin necessàries per a la finalitat corresponent; els terminis màxims no justifiquen per si sols la conservació.

• Consultes sense contractació: fins a un any des del tancament.
• Gestió de la relació amb el client: durant la relació i, després, fins a dos anys des de la finalització, limitant la conservació a les dades necessàries. Les obligacions legals o reclamacions poden exigir conservar documentació concreta durant més temps.
• Documentació comptable: amb caràcter general, set anys des del tancament de l’exercici en què es va registrar l’operació, d’acord amb l’article 12 de la Llei de comptabilitat estoniana; la documentació de drets o obligacions a llarg termini, set anys després de finalitzar-ne la vigència.
• Registres tècnics i de seguretat: termini màxim de dos anys des de cada registre. Dins d’aquest màxim, els registres ordinaris de funcionament, errors i rendiment es conservaran fins a 90 dies per diagnosticar i corregir incidències. Només els esdeveniments rellevants de seguretat, canvis administratius i accessos anòmals es podran conservar fins a dos anys per correlacionar successos, investigar abusos i comprovar mesures correctores. Es limitaran les dades i l’accés al personal autoritzat, amb revisió anual de necessitat i esborrament anticipat quan deixin de ser útils. Les evidències d’incidents confirmats es regiran pel seu termini específic. Els dos anys no s’apliquen a tota la navegació ni obliguen a prolongar la retenció ordinària dels proveïdors.
• Estadístiques d’audiència (Plausible): fins a 36 mesos, sense adreça IP ni identificadors que permetin reconèixer la persona. Vegeu l’apartat 8.
• Evidències d’incidents: fins a cinc anys des del tancament de l’incident, limitades al que sigui necessari per investigar, acreditar les actuacions i atendre responsabilitats.
• Sol·licituds de privacitat i evidències d’atenció: fins a tres anys des del tancament de la sol·licitud.
• Butlletí: mentre es mantingui la subscripció; després de la baixa, únicament les dades mínimes necessàries per respectar l’oposició i acreditar el consentiment. Les evidències mínimes del consentiment, abast, data, versió informativa i retirada es conservaran durant tres anys des de la baixa o l’última comunicació autoritzada, la que sigui posterior, únicament per acreditar compliment i atendre reclamacions. La llista d’exclusió conservarà només el correu, la data i el motiu de baixa mentre la companyia mantingui aquest canal de màrqueting, amb revisió anual. S’eliminarà en cessar definitivament el canal o en substituir-se per un consentiment vàlid posterior. No s’utilitzarà per a altres finalitats.

Les dades que el client incorpora a l’ERP com a responsable es retornaran o suprimiran d’acord amb les seves instruccions i l’acord d’encàrrec en acabar el servei, llevat d’una obligació legal de conservació. El termini de dos anys no s’aplica automàticament a tot el contingut de l’ERP. En acabar el servei, el client disposarà de fins a un any per sol·licitar l’exportació. Les dades i les còpies se suprimiran com a màxim en complir-se aquest any, sens perjudici d’una instrucció anterior de supressió o devolució i d’obligacions legals concretes. L’acord d’encàrrec ha d’especificar el procés i l’abast del cicle de còpies.

En finalitzar els terminis, s’eliminaran o anonimitzaran les dades; la conservació per obligacions o reclamacions es limitarà a les dades necessàries i a l’accés autoritzat.

5. Proveïdors i destinataris

La infraestructura utilitza Hetzner per a servidors allotjats a Europa, MongoDB Cloud per a la base de dades i Vercel per publicar el frontend. Els proveïdors accediran a dades segons el servei i la configuració contractats, sota l’acord d’encàrrec que correspongui. També hi podran intervenir proveïdors de correu, butlletins, xat, manteniment i assessorament, en la mesura necessària per a la seva funció. Es podran comunicar dades a autoritats o tribunals per obligació legal.

El correu es presta mitjançant Microsoft 365. El butlletí utilitza una solució pròpia i el xat una solució pròpia amb intel·ligència artificial. WhatsApp s’integrarà dins del web. Que una solució sigui pròpia no exclou la intervenció de proveïdors d’infraestructura, enviament o models d’IA.

El xat propi utilitza Ollama com a eina d’execució d’IA i WhatsApp s’integra directament mitjançant Meta. El xat funcionarà amb Qwen3:8b executat amb Ollama en servidors de Hetzner dins de l’EEE, amb funcions cloud desactivades i sense enviar les converses al desenvolupador del model. L’accés administratiu es limitarà al personal autoritzat de la companyia per a suport i operació. Microsoft 365 prestarà el correu sota les condicions de protecció de dades de Microsoft aplicables a la subscripció; WhatsApp s’integrarà directament amb Meta sota les condicions de WhatsApp Business; i Plausible Insights OÜ (Estònia) presta el mesurament d’audiència sota el seu acord de tractament de dades. El butlletí serà de gestió pròpia. No s’habilitarà reutilització de converses per proveïdors externs per als seus propis entrenaments.

6. Ubicació i transferències internacionals

Segons la confirmació de la companyia, l’allotjament i els accessos de la infraestructura Hetzner, MongoDB Cloud i Vercel es mantenen dins de l’Espai Econòmic Europeu (EEE), inclosa Noruega. Aquesta declaració es refereix a la configuració contractada i s’ha de mantenir coherent amb els proveïdors i subencarregats utilitzats.

El mesurament d’audiència el presta Plausible Insights OÜ (Estònia), que indica que tracta i emmagatzema les dades a la Unió Europea (servidors de Hetzner a Falkenstein, Alemanya); no es preveuen transferències fora de l’EEE per aquesta eina. La incorporació d’altres serveis externs requereix valorar separadament els destinataris i les possibles transferències fora de l’EEE. S’aplicarà una decisió d’adequació únicament quan sigui vigent i cobreixi el destinatari i la transferència; per a entitats nord-americanes adherides al marc UE-EUA, se’n comprovarà la cobertura. En els altres casos s’exigiran clàusules contractuals tipus de la Comissió Europea, avaluació de la transferència i mesures addicionals quan calgui. El mateix criteri s’aplicarà a Microsoft 365 i WhatsApp/Meta quan els serveis o subencarregats impliquin accessos fora de l’EEE. No s’activarà una transferència sense identificar prèviament destinataris, destinacions i garanties suficients. Pot sol·licitar la relació vigent i còpia de les garanties a gpdr@rsrshenzhou.com. Si hi ha transferències, s’informarà de la decisió d’adequació o les garanties aplicables i de com obtenir-ne còpia.

7. Drets

Pot sol·licitar accés, rectificació, supressió, limitació i, quan escaigui, portabilitat de les dades. Es pot oposar als tractaments basats en interès legítim per motius relacionats amb la seva situació particular. Si es fan comunicacions comercials directes, s’hi pot oposar en qualsevol moment. Quan el tractament es basi en consentiment, el podrà retirar sense afectar la licitud del tractament anterior.

Escrigui a gpdr@rsrshenzhou.com o al domicili social, indicant la sol·licitud. Només demanarem informació addicional d’identificació quan hi hagi dubtes raonables. Respondrem sense dilació indeguda i, en general, en un mes; el termini es podrà ampliar fins a dos mesos addicionals per la complexitat o el nombre de sol·licituds, informant-lo dins del primer mes. L’exercici és gratuït, llevat de les excepcions legals per a sol·licituds manifestament infundades o excessives.

Pot reclamar davant d’Andmekaitse Inspektsioon, autoritat estoniana de protecció de dades: www.aki.ee, info@aki.ee, Tatari 39, 10134 Tallinn, Estònia. També pot acudir a l’autoritat de l’Estat membre de residència habitual, lloc de treball o lloc de la suposada infracció, sense necessitat de contactar abans amb nosaltres. A Espanya, l’autoritat és l’Agència Espanyola de Protecció de Dades (www.aepd.es).

8. Galetes i mesurament d’audiència

Aquest lloc no instal·la galetes ni desa informació al seu dispositiu; s’explica a la Política de galetes. A banda de l’eina de mesurament que es descriu a continuació, no utilitza altres eines d’analítica ni de publicitat de tercers.

Per saber quantes persones visiten cada pàgina i millorar el lloc, la companyia utilitza Plausible Analytics, servei de Plausible Insights OÜ (Västriku tn 2, 50403 Tartu, Estònia; registre 14709274), que actua com a encarregada del tractament per compte de la companyia d’acord amb el seu acord de tractament de dades (art. 28 RGPD).

• Dades: adreça de la pàgina visitada (sense paràmetres, tret dels de campanya), pàgina de procedència, tipus de dispositiu, navegador i sistema operatiu, país, regió i ciutat aproximats, i temps de lectura i profunditat de desplaçament. Plausible rep l’adreça IP i les dades del navegador a cada petició, però no les emmagatzema: les fa servir per calcular un identificador diari amb una clau que s’esborra cada 24 hores, que no permet reconèixer la persona d’un dia a l’altre ni en altres webs.
• Ús del lloc: en quins botons i enllaços es prem (per exemple, «Sol·licitar demostració», WhatsApp o correu), fins a quina escena de la pel·lícula s’arriba i si s’ha enviat el formulari de contacte, sense res del que s’hi escriu.
• Finalitat i base jurídica: conèixer com s’usa el lloc i millorar-lo; interès legítim (art. 6.1.f RGPD). Les dades no s’usen per a altres finalitats ni es comparteixen amb tercers per a les seves pròpies finalitats.
• Destinataris i ubicació: Plausible. Segons el proveïdor, les dades es tracten i s’emmagatzemen a la Unió Europea (servidors de Hetzner a Falkenstein, Alemanya) i fa servir Bunny, proveïdor europeu amb seu a Eslovènia, per distribuir el seu script. No es preveuen transferències fora de l’EEE per aquesta eina.
• Conservació: fins a 36 mesos.
• Drets: pot oposar-se a aquest mesurament en qualsevol moment; a l’apartat 5 de la Política de galetes s’explica com. La resta de drets i la reclamació davant l’autoritat es recullen a l’apartat 7.

Si en el futur s’incorporés una tecnologia que requerís consentiment (per exemple, analítica amb galetes o publicitat), es demanarà abans d’activar-la i s’actualitzarà aquesta política.

9. Seguretat i decisions automatitzades

La companyia implantarà mesures tècniques i organitzatives adequades al risc. El lloc utilitzarà HTTPS amb xifratge TLS per protegir les comunicacions. Els accessos d’administració i infraestructura es limitaran per funció, amb comptes individuals, autenticació multifactor quan estigui disponible, revisió de permisos i retirada en cessar l’autorització. S’aplicaran actualitzacions de seguretat, còpies de seguretat amb accés restringit i procediments de detecció i gestió d’incidents.

Segons la informació facilitada per la companyia, no es fan decisions exclusivament automatitzades amb efectes jurídics o d’importància similar ni elaboració de perfils. Aquesta informació s’haurà de revisar si les eines que s’incorporin modifiquen el tractament.

El xat informa l’usuari que interactua amb un sistema d’intel·ligència artificial i tracta el missatge per respondre consultes. Les respostes poden contenir errors i es podran contrastar per correu amb la companyia. L’ús serà voluntari.

La companyia preveu reutilitzar converses del xat per entrenar i millorar la IA. Aquest ús es basa en el consentiment específic, opcional i separat de l’usuari (art. 6.1.a RGPD). No s’utilitzaran converses per a entrenament sense aquesta autorització i rebutjar-la no impedirà rebre atenció mitjançant el xat. Es podrà retirar escrivint a gpdr@rsrshenzhou.com, sense afectar la licitud del tractament anterior. Per a l’entrenament se seleccionaran únicament fragments de text de converses autoritzades, destinats a millorar les respostes sobre ROIS Platform. S’exclouran adjunts, credencials, dades de clients introduïdes a l’ERP, categories especials de dades i contingut de tercers innecessari. Abans d’incorporar-los s’eliminaran identificadors directes i s’aplicaran filtres i revisió humana; els fragments es tractaran com a dades personals mentre no s’acrediti l’anonimització efectiva. El conjunt es mantindrà separat dels contactes i accessible només al personal autoritzat de desenvolupament/IA, dins de l’EEE, amb la configuració local d’Ollama descrita. No se cedirà per a entrenaments aliens. Els fragments es conservaran fins a dotze mesos des de la incorporació o fins a la retirada del consentiment, si es produeix abans. Les versions del model es revisaran almenys anualment; les substituïdes es conservaran com a màxim sis mesos per a reversió, amb accés restringit. La retirada es podrà sol·licitar a gpdr@rsrshenzhou.com i aturarà nous usos del conjunt associat; se suprimiran els fragments identificables i s’avaluarà si el model conté o reprodueix dades personals. Quan calgui per atendre drets, s’aplicarà desentrenament, reentrenament o retirada de la versió afectada, sense prometre que esborrar el text font elimina per si sol la possible influència en els paràmetres. Es mantindran traçabilitat i evidència mínima d’autorització i actuacions durant tres anys després de la retirada. L’entrenament no s’activarà fins a disposar d’aquests controls i de la informació completa a l’usuari.

10. Canvis

La política s’actualitzarà quan canviïn els tractaments o els requisits legals. Si es pretén utilitzar dades per a una nova finalitat, es proporcionarà la informació exigible abans d’iniciar aquest tractament i es demanarà consentiment quan sigui necessari.