Versión 1.3 (10 de octubre de 2026) — En cumplimiento del RGPD y la LOPD-GDD

Titular: Daniel Martín García · gestolab.com

En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), se informa: Responsable: Daniel Martín García DNI: 70831792A Domicilio: Calle Ibiza 1 4C, 37007 Salamanca (Salamanca) Email de contacto (derechos RGPD): admin@gestolab.com

Tratamos los siguientes datos de las gestorías que contratan el servicio: datos de identificación (nombre, razón social, NIF/CIF, email, teléfono), datos de acceso (credenciales de autenticación gestionadas por Supabase Auth), datos de facturación (gestionados directamente por Stripe, no almacenamos datos de tarjetas) y datos de uso (actividad en la plataforma, expedientes creados, documentos subidos). Finalidades: prestación del servicio contratado, gestión de la relación contractual y facturación, comunicaciones relacionadas con el servicio y cumplimiento de obligaciones legales. Base jurídica: ejecución del contrato (art. 6.1.b RGPD) y obligación legal (art. 6.1.c RGPD). Los datos personales que las gestorías introducen en GestoLab relativos a sus propios clientes son tratados por Daniel Martín García en calidad de encargado del tratamiento, siendo la gestoría el responsable del tratamiento, conforme al artículo 28 del RGPD. Avisos de la DEHú: para que la gestoría vea en su panel las notificaciones electrónicas de los trámites de sus clientes, GestoLab guarda de cada notificación o comunicación de Extranjería y de los organismos relacionados (Delegaciones y Subdelegaciones del Gobierno, Migraciones, asilo, Policía Nacional, Justicia en nacionalidad y antecedentes penales, y homologación de títulos) su identificador, el organismo, el concepto, el nombre y el NIF del titular, sus fechas (puesta a disposición, caducidad y apertura) y su estado, y el expediente al que corresponde. Llegan por dos vías: la extensión de navegador de GestoLab los lee de la lista que el gestor ve en la DEHú con su propio certificado y, si la gestoría tiene activo su buzón de avisos, de los correos de aviso que la Administración manda a la dirección de avisos de la gestoría en GestoLab. Lo de otros organismos (Hacienda, Seguridad Social, Tráfico, ayuntamientos…) no se guarda: solo se cuenta cuántos había. GestoLab no abre, acepta ni rechaza ninguna notificación; eso lo hace siempre el gestor en la DEHú. Si, después de abrirla él, el gestor envía el documento de la notificación a GestoLab, se guarda en el expediente como un documento más. Son datos de los clientes de la gestoría y los tratamos como encargado, igual que los demás. Firma electrónica de documentos: cuando la gestoría envía a firmar un documento del expediente (la hoja de encargo), GestoLab guarda por cuenta de la gestoría el documento enviado y su huella SHA-256; el correo o el móvil al que va el código, que figura en el propio documento (en la página de firma y en la hoja de evidencias sale enmascarado); el enlace de firma y el código de un solo uso, únicamente como huellas, nunca en claro; y, al firmar, el nombre que escribe quien firma, la fecha y la hora, su dirección IP, su navegador y el idioma de la página, que figuran también en la hoja de evidencias del documento firmado que se guarda en el expediente. Sirven para acreditar la firma (firma electrónica simple, art. 25 del Reglamento eIDAS) y se conservan con el expediente. Son datos de los clientes de la gestoría y los tratamos como encargado, igual que los demás. Solicitudes de demo y contactos comerciales: si pide una demo o nos escribe desde la web, tratamos su nombre, correo, teléfono y despacho, lo que nos cuenta de él (tipo de despacho, provincia, cuántas personas llevan la extranjería, expedientes al mes, si presenta en Mercurio y cómo, con qué trabaja hoy y qué quiere resolver), su mensaje, cómo nos conoció y la página o campaña por la que llegó, para preparar y hacer la demo, atender su solicitud y hacer el seguimiento comercial. Si no llega a elegir hora para la demo, le llamaremos una vez al teléfono que nos dio para cuadrarla. Base jurídica: su propia solicitud (art. 6.1.b RGPD) y nuestro interés legítimo en el contacto profesional (art. 6.1.f RGPD). Con esa misma base podemos contactar con despachos profesionales a partir de sus datos profesionales publicados (nombre del despacho, persona de contacto, teléfono, correo y web), y puede oponerse en cualquier momento. Solo le enviaremos novedades de GestoLab por correo si marca la casilla correspondiente (consentimiento, art. 6.1.a RGPD y art. 21 LSSICE), y puede retirar ese consentimiento cuando quiera escribiendo a admin@gestolab.com. Estos datos se conservan hasta que pida no ser contactado y, como máximo, 2 años desde el último contacto. Se guardan en nuestra base de datos (Supabase) y el aviso de su solicitud nos llega por correo a través de Resend; cuando elige la hora de la demo, su nombre, su correo, su teléfono y sus respuestas pasan a nuestra agenda en Calendly, que le envía la confirmación de la cita. Los tres son encargados del tratamiento indicados en el apartado 4. Radar 2027: el fichero que cargue en gestolab.com/radar-2027 se lee en su navegador; no lo recibimos ni lo guardamos, así que no tratamos los datos de sus clientes. Si pide el calendario por correo, tratamos su dirección y un resumen de fechas y recuentos, sin datos de sus clientes, solo para enviárselo a través de Resend (base jurídica: su solicitud, art. 6.1.b RGPD); no guardamos la dirección, solo una huella (hash) de ella durante 24 horas, y la IP desde la que lo pide durante una hora, en Upstash para limitar los envíos. Si además marca la casilla de novedades y la confirma desde ese correo, la guardamos en nuestra base de datos (Supabase) para enviarle novedades de GestoLab (consentimiento, art. 6.1.a RGPD y art. 21 LSSICE), hasta que se dé de baja y, como máximo, 2 años desde el último contacto. Valoraciones de GestoLab: si la gestoría deja una valoración desde su panel, sus estrellas cuentan, sin nombre, en la media que se publica en la web. El comentario y el nombre con el que firma solo se publican si marca la casilla correspondiente y después de revisarlos, y se incluyen también en los datos de la página que leen los buscadores. Base jurídica: su consentimiento (art. 6.1.a RGPD), que puede retirar en cualquier momento desmarcando la casilla en «Valorar GestoLab» o escribiendo a admin@gestolab.com.

Datos de gestorías: durante la vigencia del contrato y, una vez resuelto, durante los plazos de prescripción de las acciones legales aplicables (máximo 5 años para obligaciones contractuales). Datos de clientes de gestorías (encargo): se conservan mientras la gestoría tenga contratado el servicio. Tras la baja, se conservan al menos 30 días a disposición de la gestoría, contados desde que la plataforma registra que la cuenta ya no tiene acceso: una semana antes del borrado le avisamos por email y, si lo pide, le enviamos una copia (hojas de cálculo con fichas, expedientes, documentos, cobros, historial, requerimientos, tareas y avisos de la DEHú, y todos los documentos); mientras la preparamos y se la entregamos, no se borra nada. Pasado ese plazo se eliminan de forma definitiva —de la base de datos, del almacenamiento de documentos y las cuentas de acceso al portal de sus clientes, junto con las tareas de su agenda y los avisos de la DEHú— salvo obligación legal de conservación, y se lo confirmamos por email. La cuenta de la gestoría, su equipo y su configuración no se borran con ellos. Mientras alguien de su equipo siga pudiendo usar la cuenta, el borrado se revisa a mano antes de hacerlo. Copias de seguridad: el proveedor de la base de datos (Supabase) hace cada día una copia automática de la base, cifrada, que conserva 7 días; además, antes de cada cambio en la base se hace una copia propia, cifrada, en un equipo del titular en España y con acceso restringido, que se conserva un máximo de 35 días. Los datos borrados pueden seguir en ellas hasta entonces, nunca se restauran salvo para recuperar el servicio ante un incidente y, si hubiera que restaurar una, se vuelven a aplicar los borrados hechos desde entonces. WhatsApp: los mensajes y archivos que los clientes envían por ese canal pueden conservarse también en Twilio y en Meta durante los plazos que fijen sus propias condiciones. Buzón de avisos de la DEHú: GestoLab no guarda los correos que recibe, solo los datos del aviso indicados en el apartado 2. Resend, que los recibe, conserva cada correo hasta 30 días, también los de organismos que GestoLab descarta.

Los datos no serán cedidos a terceros salvo obligación legal. Para la prestación del servicio, intervendrán los siguientes encargados del tratamiento sub-contratados: — Supabase Inc.: base de datos, autenticación y almacenamiento de los documentos. Servidores en la Unión Europea (Irlanda). — Vercel Inc.: alojamiento y ejecución de la aplicación web. La aplicación se ejecuta en la Unión Europea (Dublín). — Stripe Inc.: procesamiento de pagos. Opera bajo certificación PCI DSS. — Resend Inc.: envío de comunicaciones transaccionales por email y, cuando la gestoría tiene activo su buzón de avisos de la DEHú, recepción de los correos de aviso que la Administración manda a esa dirección (titular, organismo, concepto y fechas de la notificación). — Anthropic PBC (Estados Unidos): análisis de los documentos que se suben a la plataforma mediante inteligencia artificial, para identificar su tipo, extraer sus datos y comprobar su vigencia; y, cuando la gestoría los utiliza, el asistente de extranjería (copiloto) y la redacción de escritos, a los que se envían solo los datos del expediente necesarios para cada respuesta o escrito. Según sus condiciones comerciales, no emplea los datos enviados a través de su API para entrenar modelos y los borra en un máximo de 30 días, salvo las excepciones que esas condiciones prevén (uso indebido u obligación legal). — Calendly, LLC: agenda para reservar las demos. Recibe el nombre, el correo, el teléfono y las respuestas de quien pide una demo cuando elige la hora, y le envía la confirmación de la cita. No trata datos de clientes de las gestorías. — Twilio Inc.: mensajería por WhatsApp, cuando la gestoría activa esa función. Trata el número de teléfono del cliente final y los documentos que este envía por ese canal. — Meta Platforms Ireland Ltd.: los mensajes de WhatsApp (número de teléfono, textos y documentos) pasan, a través de Twilio, por la plataforma de WhatsApp Business de Meta. — Upstash Inc.: almacenamiento temporal en memoria para el control de frecuencia de peticiones. — Sentry (Functional Software, Inc.): registro de errores técnicos de la aplicación. Los identificadores personales (email, NIE, DNI, pasaporte, teléfono e IBAN) se depuran antes del envío. — Contentful GmbH: alojamiento de los contenidos del blog público. No trata datos de clientes de las gestorías. Todos los proveedores cuentan con un acuerdo de tratamiento de datos y con las garantías adecuadas conforme al Capítulo V del RGPD. Si incorporamos o sustituimos un proveedor que trate datos de los clientes de las gestorías, actualizamos esta lista y avisamos a las gestorías con al menos 15 días de antelación para que puedan oponerse.

La base de datos y los documentos se almacenan en la Unión Europea (Irlanda) y la aplicación se ejecuta en la Unión Europea (Dublín). El registro de errores (Sentry) opera desde la Unión Europea (Alemania). Hay transferencias a Estados Unidos cuando intervienen Anthropic (análisis de documentos con inteligencia artificial —recibe el documento, o solo su texto, y devuelve los datos extraídos—, asistente de extranjería y redacción de escritos; guarda en Estados Unidos los datos que recibe y puede procesarlos también en otros países), Resend (correo: envío y, con el buzón de avisos de la DEHú, recepción de los avisos), Calendly (reserva de las demos: nombre, correo, teléfono y respuestas de quien pide una), Twilio (WhatsApp), Upstash (contadores de peticiones, sin datos de expedientes) y Stripe (cobro de la suscripción de la gestoría, sin datos de sus clientes). Esas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c RGPD) incluidas en los acuerdos de tratamiento de cada proveedor y, cuando el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD).

El interesado puede ejercitar los siguientes derechos dirigiéndose a admin@gestolab.com: — Acceso: conocer qué datos personales tratamos sobre usted. — Rectificación: corregir datos inexactos o incompletos. — Supresión: solicitar la eliminación de sus datos cuando no sean necesarios. — Oposición: oponerse al tratamiento de sus datos. — Limitación: solicitar que el tratamiento quede restringido. — Portabilidad: recibir sus datos en formato estructurado y de uso común. Solo si tenemos dudas razonables sobre su identidad le pediremos la información adicional necesaria para confirmarla (art. 12.6 RGPD). Responderemos en el plazo máximo de un mes. Si es usted cliente de una gestoría que usa GestoLab, la responsable de sus datos es su gestoría: diríjase a ella. Si nos escribe a nosotros, le trasladaremos la solicitud a su gestoría en un máximo de 5 días hábiles y le ayudaremos a atenderla. Si considera que el tratamiento vulnera la normativa, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Daniel Martín García ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales, entre ellas: cifrado de los datos en tránsito (TLS/HTTPS) y en reposo (base de datos y documentos); separación de los datos de cada gestoría en cada consulta; los navegadores y las cuentas de usuario no tienen ningún permiso directo sobre la base de datos (solo acceden el servidor de la aplicación y, para mantenimiento y copias, el titular con credenciales de administrador); documentos en un almacenamiento privado, sin enlaces públicos, que se abren con enlaces que caducan en una hora; roles diferenciados dentro de cada gestoría (titular, administrador y trabajador); contraseñas guardadas solo de forma cifrada (hash) por el proveedor de autenticación, nunca en nuestra base de datos; límites de intentos frente a accesos automatizados; registro de errores del que se eliminan los identificadores personales antes del envío; copias de seguridad cifradas, y revisiones de seguridad del código. Si se produjera una violación de la seguridad que afecte a datos de los clientes de una gestoría, se lo notificaremos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tengamos constancia, con la información disponible sobre lo ocurrido, los datos afectados y las medidas adoptadas, para que pueda cumplir sus propias obligaciones (arts. 33 y 34 RGPD). Llevamos un registro interno de incidentes. Más detalle, en lenguaje llano, en la página de Seguridad y protección de datos (gestolab.com/legal/seguridad).

Respecto de los datos de sus clientes, cada gestoría es la responsable del tratamiento y GestoLab el encargado (art. 28 RGPD): solo los tratamos para prestarle el servicio y siguiendo sus instrucciones, con personal sujeto a confidencialidad, y la asistimos en el ejercicio de derechos, en las evaluaciones de impacto y ante cualquier incidente. Ponemos a su disposición la información necesaria para demostrar que cumplimos el art. 28 RGPD, permitimos y contribuimos a las auditorías, incluidas las inspecciones, que realice ella u otro auditor autorizado por ella, y le informaremos de inmediato si una instrucción suya infringe el RGPD u otra norma de protección de datos. Las gestorías que lo deseen pueden solicitar en admin@gestolab.com el contrato de encargado del tratamiento firmado, que recoge el objeto y la duración del encargo, las medidas de seguridad, los subencargados, la notificación de violaciones de seguridad, las auditorías y la devolución o destrucción de los datos al terminar.

La presente política puede ser modificada para adaptarse a cambios legislativos o de servicio. Las modificaciones se notificarán con al menos 30 días de antelación por email. La versión vigente estará siempre disponible en gestolab.com.