Política de privacidad y protección de datos

RSR Shenzhou Company OÜ

Fecha de vigencia: 1 de septiembre de 2026. Última actualización: 12 de octubre de 2026.

1. Responsable y ámbito

El responsable es RSR Shenzhou Company OÜ, Registro Mercantil de Estonia 17362300, con domicilio en Harju maakond, Tallinn, Lasnamäe linnaosa, Sepapaja tn 6, 15551, Estonia. Contacto de privacidad: gpdr@rsrshenzhou.com. Es un buzón de la compañía, no un contacto de un delegado de protección de datos designado.

Esta política comprende https://roisplatform.com y la gestión propia de consultas, demostraciones, presupuestos, suscripciones al boletín, contratación y soporte de ROIS Platform. Se aplica el Reglamento (UE) 2016/679 (RGPD) y la normativa estonia aplicable.

Cuando un cliente introduce datos personales en el ERP y determina sus fines y medios, el cliente actúa como responsable y la compañía como encargada, siguiendo sus instrucciones y el acuerdo de encargo del artículo 28 del RGPD. Esta política no sustituye ese acuerdo ni la información que el cliente debe facilitar a las personas afectadas. Las solicitudes relativas a esos datos se tramitarán con el cliente responsable.

2. Datos tratados y procedencia

Los canales del sitio recogerán los siguientes datos:

• Contacto: nombre, correo profesional y mensaje obligatorios; empresa y teléfono opcionales.
• Presupuesto o demostración: nombre, correo profesional y empresa obligatorios; cargo, teléfono y necesidades opcionales.
• Newsletter: correo y consentimiento separado obligatorios; nombre opcional.
• Contratación: razón social, identificación fiscal, domicilio de facturación, representante y correo obligatorios; teléfono opcional.
• Soporte: identificación del usuario o correo y descripción de la incidencia obligatorios; archivos adjuntos opcionales.
• Chat: mensaje; nombre y correo opcionales para responder.
• WhatsApp: número de teléfono y contenido de la conversación; nombre opcional.

Esta web no dispone de cuentas de usuario ni registro. No facilite datos sensibles ni información de terceros innecesaria.

La navegación puede generar dirección IP, fecha y hora, navegador, recursos solicitados y registros de acceso, errores o seguridad. Los registros técnicos se limitarán a fecha y hora, recurso solicitado, resultado de la petición, navegador y datos de conexión necesarios. No incluirán contraseñas, credenciales, cuerpos de formularios ni conversaciones completas. Se reducirá o seudonimizará la dirección IP cuando no resulte necesaria íntegramente. La medición de audiencia se explica en el apartado 8: no usa cookies ni guarda nada en su dispositivo.

Los datos proceden del interesado, de sus interacciones o de la empresa que facilita sus datos profesionales. En este último caso, se proporcionará la información del artículo 14 del RGPD dentro de los plazos aplicables, salvo excepción legal. Sin los datos obligatorios puede que no podamos atender la solicitud o prestar el servicio.

3. Finalidades y bases jurídicas

• Consultas, presupuestos y demostraciones: medidas precontractuales solicitadas por el interesado (art. 6.1.b RGPD), o interés legítimo en atender consultas generales y relaciones con representantes de empresas (art. 6.1.f).
• Contratación y soporte: ejecución del contrato cuando el interesado es parte (art. 6.1.b), o interés legítimo en gestionar la relación con la empresa cliente (art. 6.1.f).
• Boletín y comunicaciones promocionales: consentimiento específico del destinatario (art. 6.1.a). La suscripción será opcional y podrá cancelarse mediante el enlace de baja o escribiendo a gpdr@rsrshenzhou.com. Las comunicaciones necesarias sobre el servicio contratado se gestionan con la base correspondiente a ese servicio.
• Funcionamiento, prevención de abusos y seguridad: interés legítimo en proteger el sitio y sus sistemas (art. 6.1.f), con medidas proporcionadas.
• Cumplimiento legal y derechos: obligaciones contables, fiscales y de protección de datos aplicables (art. 6.1.c).
• Reclamaciones: interés legítimo en formular, ejercer o defender reclamaciones (art. 6.1.f).
• Analítica y publicidad mediante tecnologías que requieran consentimiento: consentimiento previo y separado por finalidad (art. 6.1.a), una vez definidas e informadas las herramientas.

Contactar o contratar no supone aceptar publicidad. El chat o WhatsApp, si están disponibles, serán canales voluntarios; también podrá utilizarse el correo. El correo se gestiona mediante Microsoft 365; la newsletter y el chat con IA son soluciones propias, y WhatsApp se integrará en la web.

4. Conservación

La compañía aplicará los siguientes plazos de conservación. Deben aplicarse únicamente mientras los datos sean necesarios para la finalidad correspondiente; los plazos máximos no justifican por sí solos la conservación.

• Consultas sin contratación: hasta un año desde su cierre.
• Gestión de la relación con el cliente: durante la relación y, después, hasta dos años desde su finalización, limitando la conservación a los datos necesarios. Las obligaciones legales o reclamaciones podrán exigir conservar documentación concreta por más tiempo.
• Documentación contable: con carácter general, siete años desde el cierre del ejercicio en que se registró la operación, conforme al artículo 12 de la Ley de Contabilidad estonia; la documentación de derechos u obligaciones a largo plazo, siete años tras finalizar su vigencia.
• Registros técnicos y de seguridad: plazo máximo de dos años desde cada registro. Dentro de ese máximo, los registros ordinarios de funcionamiento, errores y rendimiento se conservarán hasta 90 días para diagnosticar y corregir incidencias. Solo los eventos relevantes de seguridad, cambios administrativos y accesos anómalos podrán conservarse hasta dos años para correlacionar sucesos, investigar abusos y comprobar medidas correctoras. Se limitarán los datos y el acceso al personal autorizado, con revisión anual de necesidad y borrado anticipado cuando dejen de ser útiles. Las evidencias de incidentes confirmados se regirán por su plazo específico. El plazo de dos años no se aplica a toda la navegación ni obliga a prolongar la retención ordinaria de los proveedores.
• Estadísticas de audiencia (Plausible): hasta 36 meses, sin dirección IP ni identificadores que permitan reconocer a la persona. Véase el apartado 8.
• Evidencias de incidentes: hasta cinco años desde el cierre del incidente, limitadas a lo necesario para investigar, acreditar las actuaciones y atender responsabilidades.
• Solicitudes de privacidad y evidencias de atención: hasta tres años desde el cierre de la solicitud.
• Boletín: mientras se mantenga la suscripción; tras la baja, únicamente los datos mínimos necesarios para respetar la oposición y acreditar el consentimiento. Las evidencias mínimas del consentimiento, su alcance, fecha, versión informativa y retirada se conservarán durante tres años desde la baja o última comunicación autorizada, la que sea posterior, únicamente para acreditar cumplimiento y atender reclamaciones. La lista de exclusión conservará solo el correo, la fecha y el motivo de baja mientras la compañía mantenga ese canal de marketing, con revisión anual. Se eliminará al cesar definitivamente el canal o al sustituirse por un consentimiento válido posterior. No se utilizará para otras finalidades.

Los datos que el cliente incorpora al ERP como responsable se devolverán o suprimirán conforme a sus instrucciones y al acuerdo de encargo al terminar el servicio, salvo obligación legal de conservación. El plazo de dos años no se aplica automáticamente a todo el contenido del ERP. Al finalizar el servicio, el cliente dispondrá de hasta un año para solicitar la exportación. Los datos y sus copias se suprimirán como máximo al cumplirse ese año, sin perjuicio de una instrucción anterior de supresión o devolución y de obligaciones legales concretas. El acuerdo de encargo debe especificar el proceso y el alcance del ciclo de copias.

Al finalizar los plazos, se eliminarán o anonimizarán los datos; la conservación por obligaciones o reclamaciones se limitará a los datos necesarios y al acceso autorizado.

5. Proveedores y destinatarios

La infraestructura utiliza Hetzner para servidores alojados en Europa, MongoDB Cloud para la base de datos y Vercel para publicar el frontend. Los proveedores accederán a datos según el servicio y la configuración contratados, bajo el acuerdo de encargo que corresponda. También podrán intervenir proveedores de correo, boletines, chat, mantenimiento y asesoramiento, en la medida necesaria para su función. Podrán comunicarse datos a autoridades o tribunales por obligación legal.

El correo se presta mediante Microsoft 365. La newsletter utiliza una solución propia y el chat una solución propia con inteligencia artificial. WhatsApp se integrará dentro de la web. Que una solución sea propia no excluye la intervención de proveedores de infraestructura, envío o modelos de IA.

El chat propio utiliza Ollama como herramienta de ejecución de IA y WhatsApp se integra directamente mediante Meta. El chat funcionará con Qwen3:8b ejecutado mediante Ollama en servidores de Hetzner dentro del EEE, con funciones cloud desactivadas y sin enviar las conversaciones al desarrollador del modelo. El acceso administrativo se limitará al personal de la compañía autorizado para soporte y operación. Microsoft 365 prestará el correo bajo las condiciones de protección de datos de Microsoft aplicables a la suscripción; WhatsApp se integrará directamente mediante Meta bajo las condiciones de WhatsApp Business; y Plausible Insights OÜ (Estonia) presta la medición de audiencia bajo su acuerdo de tratamiento de datos. La newsletter será de gestión propia. No se habilitará reutilización de conversaciones por proveedores externos para sus propios entrenamientos.

6. Ubicación y transferencias internacionales

Según la confirmación de la compañía, el alojamiento y los accesos de su infraestructura Hetzner, MongoDB Cloud y Vercel se mantienen dentro del Espacio Económico Europeo (EEE), incluida Noruega. Esta declaración se refiere a la configuración contratada y debe mantenerse coherente con los proveedores y subencargados utilizados.

La medición de audiencia la presta Plausible Insights OÜ (Estonia), que indica que trata y almacena los datos en la Unión Europea (servidores de Hetzner en Falkenstein, Alemania); no se prevén transferencias fuera del EEE por esta herramienta. La incorporación de otros servicios externos requiere valorar separadamente sus destinatarios y posibles transferencias fuera del EEE. Se aplicará una decisión de adecuación únicamente cuando esté vigente y cubra al destinatario y la transferencia; para entidades estadounidenses acogidas al marco UE-EE. UU., se comprobará su cobertura. En los demás casos se exigirán cláusulas contractuales tipo de la Comisión Europea, evaluación de la transferencia y medidas adicionales cuando sean necesarias. El mismo criterio se aplicará a Microsoft 365 y WhatsApp/Meta cuando sus servicios o subencargados impliquen accesos fuera del EEE. No se activará una transferencia sin identificar previamente destinatarios, destinos y garantías suficientes. Puede solicitar la relación vigente y copia de las garantías en gpdr@rsrshenzhou.com. Si existen transferencias, se informará de la decisión de adecuación o garantías aplicables y de cómo obtener copia.

7. Derechos

Puede solicitar acceso, rectificación, supresión, limitación y, cuando proceda, portabilidad de sus datos. Puede oponerse a los tratamientos basados en interés legítimo por motivos relacionados con su situación particular. Si se realizan comunicaciones comerciales directas, puede oponerse a ellas en cualquier momento. Cuando el tratamiento se base en consentimiento, podrá retirarlo sin afectar a la licitud del tratamiento anterior.

Escriba a gpdr@rsrshenzhou.com o al domicilio social, indicando su solicitud. Solo pediremos información adicional de identificación cuando existan dudas razonables. Responderemos sin dilación indebida y, en general, en un mes; podrá ampliarse hasta dos meses adicionales por la complejidad o el número de solicitudes, informándole dentro del primer mes. El ejercicio es gratuito, salvo las excepciones legales para solicitudes manifiestamente infundadas o excesivas.

Puede reclamar ante Andmekaitse Inspektsioon, autoridad estonia de protección de datos: www.aki.ee, info@aki.ee, Tatari 39, 10134 Tallinn, Estonia. También puede acudir a la autoridad del Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, sin necesidad de contactar antes con nosotros. En España, la autoridad es la Agencia Española de Protección de Datos (www.aepd.es).

8. Cookies y medición de audiencia

Este sitio no instala cookies ni guarda información en su dispositivo; se explica en la Política de cookies. Aparte de la herramienta de medición que se describe a continuación, no utiliza otras herramientas de analítica ni de publicidad de terceros.

Para saber cuántas personas visitan cada página y mejorar el sitio, la compañía utiliza Plausible Analytics, servicio de Plausible Insights OÜ (Västriku tn 2, 50403 Tartu, Estonia; registro 14709274), que actúa como encargada del tratamiento por cuenta de la compañía conforme a su acuerdo de tratamiento de datos (art. 28 RGPD).

• Datos: dirección de la página visitada (sin parámetros, salvo los de campaña), página de procedencia, tipo de dispositivo, navegador y sistema operativo, país, región y ciudad aproximados, y tiempo de lectura y profundidad de desplazamiento. Plausible recibe la dirección IP y los datos del navegador en cada petición, pero no los almacena: los usa para calcular un identificador diario con una clave que se borra cada 24 horas, que no permite reconocer a la persona de un día a otro ni en otras webs.
• Uso del sitio: en qué botones y enlaces se pulsa (por ejemplo, «Solicitar demostración», WhatsApp o correo), hasta qué escena de la película se llega y si se ha enviado el formulario de contacto, sin nada de lo que se escribe en él.
• Finalidad y base jurídica: conocer cómo se usa el sitio y mejorarlo; interés legítimo (art. 6.1.f RGPD). Los datos no se usan para otras finalidades ni se comparten con terceros para sus propios fines.
• Destinatarios y ubicación: Plausible. Según el proveedor, los datos se tratan y almacenan en la Unión Europea (servidores de Hetzner en Falkenstein, Alemania) y utiliza Bunny, proveedor europeo con sede en Eslovenia, para distribuir su script. No se prevén transferencias fuera del EEE por esta herramienta.
• Conservación: hasta 36 meses.
• Derechos: puede oponerse a esta medición en cualquier momento; en el apartado 5 de la Política de cookies se explica cómo. El resto de derechos y la reclamación ante la autoridad se recogen en el apartado 7.

Si en el futuro se incorporase una tecnología que requiera consentimiento (por ejemplo, analítica con cookies o publicidad), se pedirá antes de activarla y se actualizará esta política.

9. Seguridad y decisiones automatizadas

La compañía implantará medidas técnicas y organizativas adecuadas al riesgo. El sitio utilizará HTTPS con cifrado TLS para proteger las comunicaciones. Los accesos de administración e infraestructura se limitarán por función, con cuentas individuales, autenticación multifactor donde esté disponible, revisión de permisos y retirada al cesar la autorización. Se aplicarán actualizaciones de seguridad, copias de respaldo con acceso restringido y procedimientos de detección y gestión de incidentes.

Según la información facilitada por la compañía, no se realizan decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar ni elaboración de perfiles. Esta información deberá revisarse si las herramientas que se incorporen modifican el tratamiento.

El chat informa al usuario de que interactúa con un sistema de inteligencia artificial y trata el mensaje para responder a consultas. Las respuestas pueden contener errores y podrán contrastarse por correo con la compañía. Su uso será voluntario.

La compañía prevé reutilizar conversaciones del chat para entrenar y mejorar su IA. Ese uso se basa en el consentimiento específico, opcional y separado del usuario (art. 6.1.a RGPD). No se utilizarán conversaciones para entrenamiento sin esa autorización y rechazarla no impedirá recibir atención mediante el chat. Podrá retirarse escribiendo a gpdr@rsrshenzhou.com, sin afectar a la licitud del tratamiento anterior. Para entrenamiento se seleccionarán únicamente fragmentos de texto de conversaciones autorizadas, destinados a mejorar las respuestas sobre ROIS Platform. Se excluirán adjuntos, credenciales, datos de clientes introducidos en el ERP, categorías especiales de datos y contenido de terceros innecesario. Antes de incorporarlos se eliminarán identificadores directos y se aplicarán filtros y revisión humana; los fragmentos se tratarán como datos personales mientras no se acredite su anonimización efectiva. El conjunto se mantendrá separado de los contactos y accesible solo al personal autorizado de desarrollo/IA, dentro del EEE, con la configuración local de Ollama descrita. No se cederá para entrenamientos ajenos. Los fragmentos se conservarán hasta doce meses desde su incorporación o hasta la retirada del consentimiento, si ocurre antes. Las versiones del modelo se revisarán al menos anualmente; las sustituidas se conservarán como máximo seis meses para reversión, con acceso restringido. La retirada podrá solicitarse por correo a gpdr@rsrshenzhou.com y detendrá nuevos usos del conjunto asociado; se suprimirán los fragmentos identificables y se evaluará si el modelo contiene o reproduce datos personales. Cuando sea necesario para atender derechos, se aplicará desentrenamiento, reentrenamiento o retirada de la versión afectada, sin prometer que borrar el texto fuente elimina por sí solo su posible influencia en los parámetros. Se mantendrán trazabilidad y evidencia mínima de autorización y actuaciones durante tres años tras la retirada. El entrenamiento no se activará hasta disponer de estos controles y de la información completa al usuario.

10. Cambios

La política se actualizará cuando cambien los tratamientos o los requisitos legales. Si se pretende utilizar datos para una nueva finalidad, se proporcionará la información exigible antes de iniciar ese tratamiento y se recabará consentimiento cuando sea necesario.