Política de privacidad

Última actualización: 18 de mayo de 2026

Gestihum se compromete a proteger la privacidad de sus usuarios. Esta política describe qué datos personales recogemos, con qué finalidad los tratamos, en qué bases legales nos apoyamos y cuáles son los derechos de los interesados, todo ello conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

Identidad: Pendiente de constituir
CIF: Pendiente
Dirección: España
Email: admin@gestihum.com

1.1. Delegado de Protección de Datos (DPO)

Nombre del responsable RGPD: Responsable de Gestihum. Contacto: admin@gestihum.com.

1.2. Doble rol: Responsable y Encargado del Tratamiento

Para los datos de visitantes del sitio web y leads comerciales, Gestihum SaaS actúa como Responsable del Tratamiento.

Para los datos de los empleados de nuestros clientes empresariales, Gestihum SaaS actúa exclusivamente como Encargado del Tratamiento conforme al art. 28 RGPD, mediante contrato de encargo (DPA) firmado con cada empresa cliente, que es el Responsable de esos datos. Los trabajadores deben ejercer sus derechos RGPD frente a su empresa, no frente a Gestihum.

1.3. Política de acceso cero a los datos del cliente

Gestihum SaaS aplica una política estricta de no-acceso a los datos personales almacenados por cuenta de sus clientes:

Nuestro personal técnico no accede a los datos en producción bajo ninguna circunstancia ordinaria.
El soporte técnico se presta a partir de la descripción del cliente, reproduciendo los problemas en entornos de pruebas con datos sintéticos.
Cualquier acceso excepcional requiere autorización expresa y por escrito del cliente, queda registrado en log de auditoría inmutable y se limita al mínimo dato necesario (principio de minimización, art. 5.1.c RGPD).
Los datos personales sensibles (NIF, IBAN, datos biométricos, datos de salud) están cifrados at-rest con AES-256-GCM mediante una clave aislada del personal técnico ordinario.

2. Finalidades del tratamiento

Tratamos los datos personales con las siguientes finalidades:

Gestionar el registro y la cuenta de usuario en la plataforma.
Prestar los servicios contratados (gestión de RRHH multi-tenant).
Facturar y gestionar pagos de la suscripción.
Atender consultas, soporte técnico y reclamaciones.
Cumplir obligaciones legales (fiscales, contables, laborales).
Enviar comunicaciones comerciales sobre Gestihum, solo si el usuario lo consiente.

3. Bases legales del tratamiento

De conformidad con el artículo 6 del RGPD, las bases legales aplicables son:

Ejecución de un contrato (Art. 6.1.b): prestación del servicio SaaS, gestión de la cuenta, facturación.
Consentimiento (Art. 6.1.a): envío de newsletters y comunicaciones comerciales, uso de cookies analíticas.
Obligación legal (Art. 6.1.c): conservación de facturas, modelos tributarios.
Interés legítimo (Art. 6.1.f): mejora del servicio, prevención de fraude, seguridad de la plataforma.

4. Categorías de datos tratados

Datos identificativos: nombre y apellidos, razón social.
Datos de contacto: email, teléfono, dirección postal.
Datos fiscales: CIF/NIF, dirección fiscal.
Datos de uso: logs de acceso, dirección IP, tipo de navegador, páginas visitadas.
Datos de pago: los facilitados al procesador (no almacenamos números completos de tarjetas).

5. Destinatarios y subprocesadores

Para prestar el servicio recurrimos a los siguientes proveedores, todos ellos con garantías RGPD adecuadas:

Fly.io (Unión Europea — París): hosting del backend y bases de datos. Servidores en suelo europeo.
Vercel Inc. (EE.UU.): hosting de la web pública, con cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea.
Stripe Payments Europe Ltd. (Irlanda): procesador de pagos (próximamente, cuando se active la facturación real).
Resend (EE.UU.): envío de emails transaccionales (próximamente), con SCC.

6. Transferencias internacionales

Algunos proveedores están ubicados fuera del Espacio Económico Europeo (EE.UU.). En esos casos las transferencias se realizan al amparo de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, garantizando un nivel de protección adecuado.

7. Plazos de conservación

Datos de la cuenta: mientras la suscripción esté activa y hasta 30 días después de la cancelación para permitir la recuperación.
Datos de facturación: 6 años (Código de Comercio, art. 30).
Datos de marketing: hasta la retirada del consentimiento.
Logs técnicos: máximo 12 meses.

8. Derechos del interesado

El usuario puede ejercer en cualquier momento los siguientes derechos (ARSULIPO):

Acceso: obtener confirmación sobre el tratamiento.
Rectificación: corregir datos inexactos.
Supresión: solicitar la eliminación («derecho al olvido»).
Limitación: restringir el tratamiento en determinados supuestos.
Portabilidad: recibir los datos en formato estructurado.
Oposición: oponerse al tratamiento por motivos legítimos.

Para ejercerlos, basta con remitir un correo a admin@gestihum.com indicando el derecho que se desea ejercer y adjuntando copia del DNI o documento identificativo equivalente.

9. Reclamación ante la AEPD

Si considera que el tratamiento no se ajusta a la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos: www.aepd.es.

10. Cambios en esta política

Nos reservamos el derecho a modificar esta política para adaptarla a novedades legislativas o de servicio. Cualquier cambio sustancial será notificado a los usuarios registrados por email con al menos 30 días de antelación.

¿Dudas sobre este documento? Escríbenos a admin@gestihum.com.

← Volver a la portada