Política de privacidad (RGPD)

1. Alcance

Esta política explica cómo trata la Plataforma (Beckham Law Agency, nombre comercial de Elite Digital Services LLC, responsable identificada arriba) los datos personales recogidos a través de este Sitio, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Se aplica únicamente al Sitio y al servicio de puesta en contacto. Una vez que un profesional acepta su caso, los datos que intercambie con él los trata ese profesional como responsable independiente, bajo su propia política de privacidad, sus condiciones de encargo y su secreto profesional.

2. Datos que tratamos

Solo tratamos los datos personales que usted nos facilita activamente:

• Solicitudes de la presentación guiada o la declaración anual: el servicio que elija, nombre, dirección de email, su teléfono si lo facilita y las notas que decida añadir.
• Registro del caso: cuando envía un formulario, guardamos su solicitud, el consentimiento que prestó (texto, fecha y página), si pidió correos de seguimiento y recordatorios, la fecha de alta que introdujo en el diagnóstico y los correos que le hemos enviado.
• Solicitudes de asignación: nombre, dirección de email, el servicio que le interesa, su situación laboral, su situación de alta en la Seguridad Social, el país desde el que se muda y la descripción libre de su caso que decida escribir. Le pedimos que no incluya documentos de identidad, nóminas ni contratos.
• Formularios de contacto: su dirección de email y los detalles de estimación o respuestas que usted decida enviarnos activamente, por ejemplo al solicitar su estimación de la calculadora por email o al pedir una de nuestras guías.
• Expediente («Prepara tu caso»): los datos que pide el Modelo 149 —NIF, nombre y apellidos, teléfono, domicilio a efectos de notificaciones, fechas de entrada y de inicio de la actividad, último país de residencia, nacionalidad, causa del desplazamiento e identificación del empleador o la entidad—, el nombre, NIF, fecha de nacimiento y fecha de entrada de cada familiar que opte contigo y, solo para un hijo de 25 años o más, si tiene una discapacidad reconocida (casilla 65 de su Modelo 149, que es un dato de salud: ver el apartado 4), el número de registro de la documentación presentada previamente, el número de justificante de tu Modelo 149 ya presentado si nos lo das (tus familiares lo necesitan para el suyo), y los documentos que subas para tu vía (identidad, documentación laboral o de desplazamiento, alta en la Seguridad Social o certificado de cobertura). También le preguntamos si ya dispone de certificado digital o Cl@ve para presentar ante la Agencia Tributaria, y solo guardamos esa respuesta. Nunca le pediremos su certificado digital ni su contraseña de Cl@ve.
• Pago de la presentación guiada, la declaración anual y el dossier fiscal de traslado: usted paga en la propia página de Stripe, no en este Sitio. Los datos de pago se los facilita a Stripe y no llegan a nosotros: no recibimos ni guardamos el número de su tarjeta ni su dirección de facturación. De cada compra vemos los datos de la venta: su nombre y su correo, qué ha comprado, el importe y el país que Stripe tiene en cuenta para el impuesto de la venta, que Stripe cobra como vendedor (apartado 6).
• WhatsApp: si nos escribe por WhatsApp, su número de teléfono, su nombre de perfil y sus mensajes los trata también WhatsApp (Meta Platforms) según sus propias condiciones y su política de privacidad, fuera de nuestros sistemas. Lo usamos solo para intercambios breves y nunca le pediremos por ese canal documentos de identidad, nóminas ni contratos: eso va por el expediente cifrado de este Sitio.
• Correspondencia: datos personales contenidos en los emails que envíe a la dirección de contacto indicada en el Sitio.
• Datos técnicos: nuestro proveedor de hosting puede registrar direcciones IP y metadatos básicos de las peticiones con fines operativos y de seguridad.
• Datos de medición publicitaria (solo si acepta las cookies): cuando llega desde uno de nuestros anuncios de Google Ads y después envía un formulario o pulsa el botón de WhatsApp, Google Ads registra que se ha producido una conversión, usando sus propias cookies e identificadores (como el identificador de clic del anuncio), su dirección IP y datos del navegador. No enviamos a Google su nombre, su email ni el contenido de ningún formulario.

3. Lo que se queda en su navegador

El diagnóstico gratuito y la calculadora de ahorro se ejecutan íntegramente en su navegador. Las respuestas y cifras que introduce no se transmiten a nuestros servidores ni las almacenamos, salvo que usted decida enviárnoslas después, por ejemplo reservando una consulta, solicitando su estimación por email o escribiéndonos.

La única excepción son las estadísticas de uso anónimas (véase el apartado de cookies): registramos que se ha usado la calculadora y hasta qué paso y categoría de resultado ha llegado el diagnóstico (por ejemplo, «apto» o «fuera de plazo»), nunca sus respuestas individuales, su cifra de salario, su email ni ningún identificador que permita vincular esas estadísticas con usted.

4. Finalidades y bases jurídicas

Tratamos los datos personales con las siguientes finalidades y bases jurídicas (art. 6 RGPD):

• Gestionar las solicitudes de servicio y responder a sus consultas, medidas precontractuales adoptadas a petición suya (art. 6.1.b RGPD).
• Ponerle en contacto con un profesional independiente que pueda llevar su caso, lo que exige comunicarle su solicitud de asignación, medidas precontractuales adoptadas a petición suya (art. 6.1.b RGPD).
• Cumplir obligaciones legales, normativa tributaria, contable y, en su caso, de prevención del blanqueo de capitales (art. 6.1.c RGPD).
• Mantener la seguridad del Sitio: interés legítimo en prevenir abusos (art. 6.1.f RGPD).
• Medir cómo se usa el Sitio (qué páginas y pasos se visitan, qué botones se pulsan) con Umami, una herramienta de analítica sin cookies: interés legítimo en entender y mejorar el Sitio (art. 6.1.f RGPD). No guarda nada en su dispositivo y no necesita consentimiento; puede oponerse en cualquier momento (apartado 8), por ejemplo bloqueando cloud.umami.is en su navegador.
• Enviarle información que haya solicitado expresamente, su consentimiento (art. 6.1.a RGPD), que puede retirar en cualquier momento.
• Medir la eficacia de nuestra publicidad (seguimiento de conversiones de Google Ads), su consentimiento prestado en el banner de cookies (art. 6.1.a RGPD y art. 22.2 LSSI-CE), que puede retirar en cualquier momento desde «Configurar cookies», al pie de cada página.
• Enviarle el acuse de cada formulario y la copia por email de su diagnóstico o estimación, que usted solicita al enviar el formulario (art. 6.1.b RGPD).
• Enviarle los recordatorios relacionados con su caso, que es lo que acepta en la casilla de privacidad de cada formulario: un aviso antes de su fecha límite del Modelo 149, dos correos breves de seguimiento (días 3 y 7) si nos ha pedido la presentación guiada o la declaración anual, nunca por una solicitud de profesional ni por un diagnóstico o una estimación a secas, y, si ha comprado alguno de nuestros productos y tiene fecha de alta, un recordatorio cada abril mientras dure el régimen de que toca el Modelo 151 anual, más un aviso en el quinto año (los recordatorios anuales forman parte de los productos de pago: un diagnóstico o una estimación a secas solo recibe el aviso antes de su fecha límite del Modelo 149). Base jurídica: su consentimiento (art. 6.1.a RGPD y art. 21 LSSI-CE), que puede retirar en cualquier momento. Todos esos correos llevan enlace de baja de un clic, y darse de baja los detiene todos, incluidos los anuales.
• La discapacidad reconocida de un hijo de 25 años o más (casilla 65 de su Modelo 149), que es un dato de salud, una categoría especial de datos (art. 9 RGPD). Solo la preguntamos para un hijo de esa edad, el único caso en que la casilla decide algo, y la tratamos con el consentimiento explícito que usted da en la casilla de privacidad del expediente (art. 9.2.a RGPD), junto con la ejecución del servicio que pidió (art. 6.1.b RGPD); usted declara que la aporta con la autorización de su hijo mayor de edad. Para cualquier otro familiar no se pregunta ni se guarda, y un valor guardado antes se borra. No se envía al modelo de IA, solo llega a un profesional dentro de su expediente y si usted nos pide pasarle su caso, y se borra con el resto del expediente.
• Leer los documentos que sube en el expediente guiado (/preparar/) para rellenarle los datos, lo que usted pide al subirlos ahí y acepta en su casilla de privacidad (art. 6.1.b RGPD). Todo lo leído queda marcado «por confirmar» hasta que usted lo confirma o corrige; solo guardamos los datos leídos, nunca una copia del documento fuera de nuestro almacenamiento cifrado.
• Prestar la presentación guiada y la declaración anual, los productos de autoservicio, que son automatizados de principio a fin e incluyen el uso de un modelo de inteligencia artificial (Anthropic, como encargado nuestro) para leer lo que usted sube y para generar las comprobaciones de su expediente y los textos que el producto le entrega, ejecución del contrato que usted ha celebrado (art. 6.1.b RGPD). Al modelo se le envía el documento que usted ha subido, o los datos de su expediente y lo que nos ha escrito, y nunca su contraseña, su Cl@ve ni su certificado digital, que no le pedimos jamás. El modelo no decide nada sobre usted: si cumple los requisitos, su fecha límite del Modelo 149 y qué casillas del formulario son obligatorias los calcula nuestro propio código a partir de la norma, y todo lo que el modelo lee queda marcado «por confirmar» hasta que usted lo confirma o corrige. No hay ninguna decisión automatizada en el sentido del art. 22 RGPD: el producto le da información y comprobaciones, y la decisión de presentar, o de no presentar, es suya.

5. Conservación

Conservamos los datos personales solo el tiempo necesario para la finalidad para la que se recogieron: las solicitudes de asignación, consultas y reservas durante 12 meses desde el último contacto, para poder hacer seguimiento del resultado de la asignación, y después únicamente durante los plazos exigidos por la ley. El profesional que lleve su caso conserva su propio expediente conforme a los plazos que le sean aplicables. Los datos tratados con base en el consentimiento se conservan hasta que lo retire. Si ha comprado alguno de nuestros productos y pidió los recordatorios anuales, conservamos su email, su nombre y su fecha de alta mientras duren los recordatorios y, como máximo, hasta el final del periodo del régimen (siete años desde esa fecha); darse de baja detiene todos los correos de inmediato. Los documentos que suba a un expediente se borran automáticamente 90 días después de crear el expediente si no contrata ningún servicio, junto con el PDF del expediente generado a partir de ellos; si contrata alguno, se conservan mientras lo exijan ese servicio y sus obligaciones legales. El resto del expediente (los datos del Modelo 149) sigue la regla de 12 meses anterior. Puede pedirnos que borremos sus documentos antes en cualquier momento.

6. Destinatarios y encargados

No vendemos datos personales ni los cedemos a terceros para su propio marketing. Los datos solo se comunican a: (i) el profesional independiente asignado a su solicitud, que recibe la información que usted envió y la trata como responsable independiente, sujeto a secreto profesional —y, solo cuando usted nos pide que traslademos su caso, acceso de solo lectura a su expediente y a sus documentos mediante un enlace que caduca y que podemos revocar—; (ii) proveedores que actúan como encargados del tratamiento conforme al art. 28 RGPD: GitHub, Inc. (alojamiento de esta web en GitHub Pages: recibe su dirección IP y los datos técnicos de cada visita para servir las páginas), el servicio de formularios que recibe los formularios de la web (Formspree), Cloudflare (alojamiento de nuestro sistema de casos, su base de datos y el almacenamiento de sus documentos: Cloudflare Workers, Workers KV y R2), Vercel Inc. (segunda entrada a ese sistema de casos, en Estados Unidos, que le reenvía las peticiones cuando Cloudflare no responde desde su red; no guarda nada), Resend (envío de acuses, seguimientos y recordatorios), Anthropic, PBC (lectura automática de los documentos que sube en el expediente guiado, para rellenar sus datos, y de lo que nos escribe en una solicitud, para no volver a preguntarle lo que ya nos ha contado; las comprobaciones y los textos de los productos de autoservicio, la presentación guiada y la declaración anual, que son automatizados y en los que ninguna persona revisa su caso; y la redacción del borrador de nuestras respuestas, que una persona lee y corrige antes de enviarlas: recibe cada documento, o los datos de su expediente y ese texto con un resumen de su caso sin sus datos de contacto ni números de identidad, solo para devolvernos los datos leídos, las comprobaciones o el borrador, conforme a sus condiciones comerciales, que no le permiten usar los datos para entrenar sus modelos; nosotros no conservamos el documento fuera de nuestro almacenamiento cifrado, y de su texto solo guardamos lo leído, marcado «por confirmar». No decide nada: si cumple los requisitos, su fecha límite y las casillas obligatorias del formulario los calcula nuestro propio código) y nuestro proveedor de email; (iii) Google Ireland Limited (Google Ads), solo si acepta las cookies publicitarias, que recibe los datos de medición de conversiones descritos en el apartado 2 y los trata conforme a sus propias condiciones publicitarias y su política de privacidad (policies.google.com/privacy); (iv) Stripe, Inc., que cobra la presentación guiada, la declaración anual y el dossier fiscal de traslado: con los pagos gestionados de Stripe, Stripe es el vendedor frente a usted en esa compra (merchant of record), así que en la venta actúa como responsable independiente y no como encargado nuestro, y trata lo que usted le facilita conforme a su propia política de privacidad (stripe.com/privacy). Los datos de pago los introduce usted en la página de Stripe y no llegan a nosotros: no recibimos ni guardamos el número de su tarjeta ni su dirección de facturación. De una compra vemos los datos de la venta: su nombre y su correo, qué ha comprado, el importe y el país que Stripe tiene en cuenta para el impuesto de la venta, que Stripe cobra y liquida como vendedor. El servicio que compra lo presta Elite Digital Services LLC (aviso legal, apartado 9); y (v) administraciones públicas y tribunales cuando la ley lo exige.

7. Transferencias internacionales

El responsable, Elite Digital Services LLC, está establecido en Estados Unidos, así que los datos que usted nos envía los recibe un responsable situado fuera del Espacio Económico Europeo. A ese tratamiento se le aplica el RGPD porque el Sitio ofrece sus servicios a personas en la Unión Europea (art. 3.2 RGPD), y todo lo que dice esta política se aplica íntegramente.

Sus datos se guardan y se tratan en Estados Unidos. El responsable es una sociedad estadounidense, y también lo son los proveedores que los tratan por cuenta nuestra: su caso, su expediente y sus documentos están en Cloudflare (Workers KV y R2, en Norteamérica), y del resto del tratamiento se ocupan GitHub, Vercel, Resend, Anthropic, Formspree y Google. Cada transferencia se ampara en la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU., en el caso de los proveedores adheridos (Cloudflare, Vercel, Resend, GitHub y Google, comprobado en su lista oficial), o en las Cláusulas Contractuales Tipo aprobadas por la Comisión, dentro de su contrato de tratamiento, en el de los que no lo están (Anthropic, Formspree). La normativa española y europea de protección de datos se le aplica íntegramente esté donde esté el dato: este apartado dice dónde está, no qué derechos tiene.

El pago es distinto: Stripe, Inc. está en Estados Unidos y es usted quien le facilita sus datos de pago, en su propia página, como vendedor de esa compra y responsable independiente (apartado 6). La transferencia no la hacemos nosotros, y ese tratamiento se rige por la propia política de privacidad de Stripe y por las garantías que allí constan; de la venta solo vemos lo que dice el apartado 6.

8. Sus derechos

Conforme al RGPD y a la LOPDGDD, usted tiene derecho a:

• Acceder a los datos personales que tratamos sobre usted.
• Rectificar los datos inexactos o incompletos.
• Suprimir sus datos («derecho al olvido») cuando no exista base legal para conservarlos.
• Limitar el tratamiento en los supuestos del art. 18 RGPD.
• Recibir sus datos en un formato portable (art. 20 RGPD).
• Oponerse al tratamiento basado en interés legítimo.
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

9. Cómo ejercer sus derechos

Escriba a la dirección de contacto de privacidad indicada arriba, acompañando un justificante de identidad; responderemos en el plazo de un mes (art. 12 RGPD). Si considera que sus derechos han sido vulnerados, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

10. Cookies

Umami (Umami Software, Inc., Umami Cloud) mide la audiencia sin cookies y sin ningún identificador persistente: no escribe nada en su dispositivo (el script solo comprueba si existe un ajuste local de exclusión, que nunca crea), no conserva ningún identificador entre visitas y no le rastrea entre sitios web. De cada página vista registra la página, el sitio de procedencia, el navegador, el sistema operativo, el tipo de dispositivo, el tamaño de pantalla, el idioma y el país (deducido de su dirección IP, que no se guarda), y los eventos anónimos que enviamos a gateway.umami.is (qué botón, qué paso de un formulario, qué categoría de resultado), nunca un email, un nombre, un importe ni un número de caso. Las visitas se agrupan con un hash de la IP y el navegador con sal que cambia cada día, de modo que no se puede seguir a la misma persona de un día a otro. Como no guarda nada en su dispositivo ni lee nada que le identifique, no requiere el banner de cookies (art. 22.2 LSSI-CE) y funciona acepte o no las cookies; su base jurídica es nuestro interés legítimo (apartado 4). En este Sitio no funciona ninguna otra herramienta de analítica.

Las únicas cookies no esenciales del Sitio son las de Google Ads (Google Ireland Limited), que se usan exclusivamente para medir conversiones publicitarias, es decir, si una visita procedente de uno de nuestros anuncios termina en el envío de un formulario o en un clic en el botón de WhatsApp. Solo se instalan si pulsa «Aceptar» en el banner de cookies: hasta entonces la etiqueta de Google no se carga, y usamos el modo de consentimiento v2 de Google con el almacenamiento publicitario, los datos de usuario para publicidad, la personalización de anuncios y el almacenamiento de analítica en «denegado» por defecto; al aceptar pasan a «concedido» y, si rechaza, siguen denegados. Las habituales son _gcl_au y, si llega desde un anuncio, _gcl_aw, con una duración de hasta 90 días. Su elección se guarda en el almacenamiento local de su navegador para no volver a mostrarle el banner, y puede cambiarla en cualquier momento desde «Configurar cookies», al pie de cada página; si retira su consentimiento, borramos esas cookies.

Cuando abre su expediente o su guía desde «Tu caso» con el código de un solo uso que le enviamos por correo, nuestro sistema de casos instala en su propio dominio una cookie estrictamente necesaria, bla_case_session: un identificador aleatorio, válido 24 horas, para que el mismo navegador pueda volver a abrirlos sin un código nuevo. No abre nada de ningún otro caso, no se usa para medir y no requiere consentimiento (art. 22.2 LSSI-CE).

El Sitio se aloja en GitHub Pages (GitHub, Inc.), que recibe su dirección IP para servir las páginas y no instala cookies. Las fuentes tipográficas se sirven desde el propio dominio del Sitio. Todos estos servicios se rigen por sus propias políticas de privacidad.

Cuando envía un formulario del Sitio (diagnóstico, calculadora, solicitud de profesional o pago), su navegador guarda temporalmente una copia de los datos introducidos en su almacenamiento local (localStorage) solo hasta que el envío se completa, para que no se pierdan si falla la conexión; se borra en cuanto el envío se realiza correctamente. Esta copia no es una cookie, no sale de su dispositivo por sí sola y no se usa para rastrearle; también puede eliminarla en cualquier momento borrando los datos de este Sitio en su navegador.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas (art. 32 RGPD) para proteger los datos personales, incluidos el cifrado en tránsito (HTTPS), controles de acceso y la minimización de datos, en particular, las herramientas interactivas del Sitio están diseñadas para ejecutarse localmente en su navegador. Los documentos que suba a un expediente los ciframos nosotros (AES-GCM) antes de guardarlos, además del cifrado en reposo del proveedor de almacenamiento, y solo son accesibles mediante enlaces que caducan; los enlaces compartidos con un profesional pueden además revocarse.

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales u operativos. La fecha de la versión vigente figura al inicio de esta página; los cambios sustanciales se destacarán en el Sitio.