Política de Privacidad

Última actualización: 28 de agosto de 2026 · corregida el 30 de agosto de 2026 · ampliada el 18 de septiembre de 2026 con el apartado 15 (peticiones de autoridades públicas)

1. Responsable del tratamiento e identificación del prestador

1.1 Identificación

El titular identificado (en adelante, el Responsable o Bevelion) explota la plataforma Bevelion (en adelante, la Plataforma), un servicio de software que utilizan estudios de tatuaje, clínicas estéticas, clínicas médicas y salones (cada uno de ellos, el Estudio) para la gestión de su actividad.

Bevelion es un nombre comercial y no una persona jurídica distinta: las obligaciones asumidas en esta política recaen personalmente sobre el empresario individual arriba identificado. Tratándose de empresario individual, la inscripción en el Registro Mercantil es potestativa conforme al art. 19.1 del Código de Comercio, por lo que no se facilitan datos registrales.

Esta identificación satisface, junto con la del apartado 1 de las Condiciones del Servicio, el deber de información general del art. 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

1.2 Delegado de Protección de Datos

No se ha designado Delegado de Protección de Datos. A juicio del Responsable no concurre ninguno de los supuestos de designación obligatoria del art. 37.1 del Reglamento (UE) 2016/679 (RGPD) ni del art. 34.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Las solicitudes en materia de protección de datos las atiende directamente el Responsable en la dirección indicada en el apartado 1.1.

1.3 Ámbito

Esta política describe los tratamientos que se realizan a través de la Plataforma. No regula los tratamientos que cada Estudio efectúa por cuenta propia, de los que responde el Estudio frente a sus propios clientes.

2. Doble condición: responsable y encargado del tratamiento

La posición jurídica del titular no es la misma respecto de todos los datos que circulan por la Plataforma. Se distinguen dos supuestos.

2.1 Datos de los profesionales del Estudio — Bevelion es responsable

Respecto de los datos de las personas que se dan de alta y operan una cuenta profesional, Bevelion determina los fines y los medios del tratamiento y actúa, por tanto, como responsable del tratamiento en el sentido del art. 4.7 RGPD. A ese tratamiento se aplica directamente esta política.

2.2 Datos de los clientes del Estudio — Bevelion es encargado

Respecto de los datos de las personas que escriben a un Estudio por WhatsApp o Instagram, o cuyos datos el Estudio incorpora a su propia ficha de clientes (en adelante, los Clientes del Estudio), el responsable del tratamiento es el Estudio y Bevelion actúa como encargado del tratamiento (art. 4.8 RGPD), tratando los datos únicamente conforme a las instrucciones documentadas del Estudio.

La relación de encargo se rige por el contrato exigido por el art. 28.3 RGPD: [PENDING — referencia al contrato de encargo].

El Cliente del Estudio que desee ejercer sus derechos debe dirigirse en primer lugar al Estudio, que es su responsable. También puede escribir a privacidad@bevelion.com: en ese caso Bevelion trasladará la solicitud al Estudio y actuará conforme a su instrucción o, cuando una norma lo imponga directamente, por sí mismo.

2.3 Aislamiento entre Estudios

Los datos de cada Estudio están aislados de los de cualquier otro. El acceso se deriva de la identidad de Estudio contenida en la sesión autenticada y nunca de un valor facilitado por quien efectúa la llamada.

3. Categorías de datos tratados

3.1 Datos de cuenta y autenticación

La Plataforma no emplea contraseñas. El acceso se produce por dos vías:

• Claves de acceso (passkeys, WebAuthn). Se conservan la clave pública, el identificador de la credencial y el contador generados por el dispositivo del usuario. La clave privada no abandona el dispositivo y el Responsable no la recibe en ningún momento. Se registran además los eventos de alta, autenticación y fallo con finalidad de auditoría de seguridad.
• Códigos de un solo uso remitidos por correo electrónico. Se conservan el resumen criptográfico (hash) del código y su fecha de caducidad hasta que se utiliza o expira.

Se tratan asimismo la dirección de correo electrónico, el nombre visible, el Estudio de pertenencia y el rol dentro de él y, en su caso, la imagen de perfil que el usuario aporte.

La sesión se transporta en una cookie HttpOnly que contiene un token firmado con algoritmo ES256. Dicho token no se emplea con fines publicitarios ni de seguimiento entre sitios.

3.2 Datos procedentes de cuentas de Meta conectadas

El Estudio puede conectar su cuenta profesional de Instagram, su página de Facebook o su línea de WhatsApp Business. No se accede a dato alguno hasta que el Estudio completa la conexión, y puede revocarla en cualquier momento desde la pantalla de integraciones.

Conectada la cuenta, se reciben y conservan:

• Tokens de acceso emitidos por Meta para la cuenta del Estudio, almacenados cifrados y sin exposición al navegador.
• Mensajes directos de Instagram entregados por el webhook de Meta: identificador del remitente en el ámbito de Instagram, identificador y marca temporal del mensaje, texto y, cuando el mensaje contiene una fotografía, la URL temporal del adjunto que sirve Meta. En este sector la fotografía de referencia constituye la consulta misma, por lo que las imágenes remitidas a un Estudio se leen y se describen (apartado 3.5).
• Mensajes de WhatsApp entregados por el webhook de Meta: identificador del remitente, nombre de perfil facilitado por Meta, número de la línea del negocio, cuerpo del mensaje, identificadores y tipos MIME de imagen, vídeo, audio y documentos, y estados de entrega y lectura.
• Métricas de Instagram referidas a las publicaciones y a la cuenta del propio Estudio: alcance, impresiones, guardados, compartidos, reproducciones de vídeo, «me gusta», número de comentarios y franjas horarias de conexión de su audiencia.
• Contenido publicado a través de la Plataforma y los identificadores que Meta devuelve por él.
• Comentarios en las publicaciones del propio Estudio, cuando Meta conceda el permiso correspondiente.

Los permisos solicitados a Meta son: instagram_basic, instagram_business_basic, instagram_content_publish, instagram_business_content_publish, instagram_manage_messages, pages_read_engagement y pages_manage_metadata. No se solicita permiso para acceder a cuentas de terceros, para gestionar publicidad ni para acceder a cuentas que el Estudio no haya conectado.

No se realiza extracción automatizada (scraping) de Instagram. El módulo de extracción presente en el código está desactivado y resulta inalcanzable desde cualquier camino de ejecución, condición que el compilador garantiza.

3.2 bis Datos procedentes de cuentas de YouTube conectadas

El Estudio puede conectar su canal de YouTube para publicar en él los vídeos que produce a través de la Plataforma. Bevelion utiliza para ello los Servicios de API de YouTube («YouTube API Services»). No se accede a dato alguno hasta que el Estudio completa la conexión mediante OAuth 2.0 de Google.

Conectado el canal, se reciben y conservan:

• Tokens de autorización emitidos por Google para el canal del Estudio, almacenados cifrados y sin exposición al navegador.
• El identificador del canal autorizado.
• Identificadores y estado de procesamiento de los vídeos subidos a través de la Plataforma.

Los permisos solicitados a Google son youtube.upload (subir vídeos al canal del propio Estudio) y youtube.readonly (consultar el estado de esos mismos vídeos). No se accede a contenido de terceros, no se descargan ni analizan vídeos ajenos y no se comparten datos de YouTube con terceros.

El uso de la información recibida de las APIs de YouTube está sujeto además a la Política de Privacidad de Google. El Estudio puede revocar el acceso de Bevelion en cualquier momento desde la página de permisos de su cuenta de Google, o desconectando el canal en la pantalla de integraciones de la Plataforma, lo que elimina el token almacenado. Los datos de YouTube conservados se suprimen al desconectar la integración o al eliminar la cuenta. Contacto: privacy@bevelion.com.

3.3 Fichas de clientes del Estudio y seudonimización

Cuando una persona contacta por primera vez con un Estudio a través de un canal conectado se crea una ficha para ese Estudio, integrada exclusivamente por los datos que el propio mensaje aporta: número de teléfono o identificador de la plataforma de origen, nombre de perfil elegido por la persona en su aplicación de mensajería, canal de entrada y fechas de primer y último contacto. No se infieren datos ni se adquieren de terceros.

El identificador de canal que da continuidad a la conversación —número de teléfono, identificador de Instagram o dirección de correo— se almacena además, en los circuitos de analítica y de memoria del agente, como seudónimo HMAC-SHA-256 con clave, y no en claro, de modo que una filtración de la base de datos no produzca por sí sola un listado de números de teléfono.

Se advierte expresamente que se trata de seudonimización y no de anonimización (art. 4.5 RGPD): el dato conserva la condición de dato personal conforme al Considerando 26 del RGPD, y la supresión sigue siendo posible precisamente porque el seudónimo puede recalcularse.

El Estudio puede incorporar además sus propias anotaciones, citas e historial. Ese contenido pertenece al Estudio y Bevelion lo custodia por su cuenta en la condición de encargado descrita en el apartado 2.2.

3.4 Contenido creado por el Estudio

Imágenes, vídeo, audio y texto creados o incorporados en la Plataforma, junto con los encargos e instrucciones que los originaron, los materiales de marca aportados por el Estudio y los documentos que este incorpore a su base de conocimiento para su recuperación posterior.

3.5 Tratamientos automatizados mediante inteligencia artificial

La Plataforma emplea modelos de lenguaje y de visión para redactar respuestas, describir las imágenes recibidas por el Estudio, planificar campañas y producir materiales. En consecuencia:

• El texto y las imágenes de los mensajes recibidos por los canales del Estudio pueden remitirse a un modelo con el fin de interpretar y contestar la consulta.
• El contenido creado por el Estudio puede remitirse a un modelo con el fin de generarlo o editarlo.

Las peticiones se encaminan a través de una pasarela de inferencia de titularidad propia. Cuando el modelo se ejecuta en infraestructura propia, ningún tercero recibe el contenido; cuando no, el destinatario pertenece a alguna de las categorías de encargados relacionadas en el apartado 7.

Determinadas actuaciones no se ejecutan sin intervención humana o sin un permiso previamente registrado: señaladamente, el envío de una plantilla de WhatsApp a una persona requiere superar una verificación de consentimiento antes de que nada salga de la Plataforma.

No se utiliza contenido de clientes para el entrenamiento de modelos de terceros. [PENDING — confirmar con el contrato de cada proveedor de IA]

Estos tratamientos no producen efectos jurídicos ni afectan significativamente de modo similar a las personas en el sentido del art. 22.1 RGPD: las salidas del modelo son propuestas sometidas a la decisión del Estudio.

3.6 Datos de pago

Los datos de tarjeta son tratados por Stripe y no acceden a los servidores del Responsable. Se conservan los identificadores que Stripe devuelve, el plan contratado por el Estudio, las facturas y los movimientos de créditos y consumo.

3.7 Datos técnicos y de seguridad

Registros de auditoría de actuaciones relevantes para la seguridad, en los que los identificadores personales figuran hasheados y no en claro. Las direcciones IP se truncan antes de su almacenamiento (último octeto en IPv4; últimos 80 bits en IPv6). Registros de error y de rendimiento, sujetos a una regla que prohíbe consignar el contenido del mensaje, la consulta o la instrucción de un usuario, y que solo admite su longitud y sus metadatos.

4. Finalidades y bases jurídicas

Los tratamientos en los que Bevelion actúa como responsable se amparan en las bases jurídicas del art. 6.1 RGPD que se indican:

Cuando la base jurídica es el interés legítimo, el interesado puede solicitar información sobre la ponderación efectuada escribiendo a privacidad@bevelion.com, y ejercer en todo caso el derecho de oposición del art. 21 RGPD.

Cuando la base jurídica es el consentimiento, su denegación no comporta consecuencia adicional alguna: la Plataforma registra la negativa y la funcionalidad afectada se deniega en lugar de proseguir. El consentimiento puede retirarse en cualquier momento, con efectos ex nunc, y la retirada queda registrada con su fecha.

5. Categorías especiales de datos (art. 9 RGPD)

Parte de los Estudios —clínicas estéticas y médicas y estudios de tatuaje que recaban una anamnesis previa— tratan datos relativos a la salud, que constituyen categoría especial conforme al art. 9.1 RGPD y cuyo tratamiento está prohibido salvo que concurra alguna de las excepciones del art. 9.2.

Respecto de esos datos, el responsable del tratamiento es el Estudio, a quien corresponde disponer de una circunstancia del art. 9.2 —ordinariamente el consentimiento explícito del art. 9.2.a) o, cuando opere bajo régimen de profesional sanitario, el art. 9.2.h)— y acreditarla. Bevelion actúa exclusivamente como encargado. El régimen completo consta en el apartado 6.3 de las Condiciones del Servicio.

6. Plazos de conservación

Los plazos siguientes se ejecutan mediante un proceso automático de depuración; un test automático coteja los valores del código con esta tabla, de modo que no puedan divergir de forma inadvertida.

Transcurridos los plazos, los datos se suprimen o se anonimizan de forma irreversible, sin perjuicio de su bloqueo mientras puedan derivarse responsabilidades de la relación, conforme al art. 32 LOPDGDD.

7. Destinatarios y encargados del tratamiento

Conforme al art. 13.1.e) RGPD, los destinatarios se identifican por categorías. Se nombran individualmente aquellos cuya identidad resulta necesaria para que el interesado comprenda el tratamiento: las plataformas cuyas cuentas conecta el propio Estudio y el proveedor de servicios de pago.

El almacenamiento de ficheros y la búsqueda semántica se ejecutan en infraestructura propia. Parte de la inferencia se ejecuta en equipos propios, sin intervención de tercero alguno.

La relación nominativa y actualizada de los encargados y subencargados de cada categoría está a disposición de cualquier interesado, de forma gratuita y sin necesidad de motivar la petición, solicitándola en privacidad@bevelion.com.

Fuera de los supuestos anteriores, no se comunican datos a terceros salvo obligación legal o requerimiento de autoridad competente. El procedimiento que se aplica a tales requerimientos —examen de su legalidad, impugnación, minimización de lo que se entrega y registro documentado— consta en el apartado 15.

El estado del contrato de encargo y de las Cláusulas Contractuales Tipo se hace constar procesador por procesador —con el enlace al documento del proveedor y la fecha en que se leyó— en el registro del art. 28 que la Plataforma publica al Estudio en su propia pantalla de privacidad, y que se remite a cualquier interesado que lo solicite en la dirección indicada. Cuando un instrumento no está verificado, el registro lo dice: consta en formalización, nunca como firmado.

8. Transferencias internacionales de datos

Algunos de los encargados relacionados en el apartado 7 están establecidos fuera del Espacio Económico Europeo o pueden tratar datos desde allí. Tales transferencias se someten al Capítulo V del RGPD.

La garantía adecuada invocada es la de las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, conforme al art. 46.2.c) RGPD. Cuando el importador esté amparado por una decisión de adecuación en vigor —señaladamente el Marco de Privacidad de Datos UE-EE. UU., art. 45 RGPD—, la transferencia se ampara en dicha decisión y las Cláusulas operan con carácter subsidiario. La determinación por proveedor consta en el registro del art. 28 citado en el apartado 7.

Con carácter adicional, y como medida de control interna, la Plataforma registra el consentimiento del Estudio por cada sub-encargado y lo verifica antes de la petición en aquellos flujos en que ese control está implantado —hoy, el análisis de negocio asistido por inteligencia artificial y la búsqueda web—, denegando la llamada en su defecto. Se precisa, para no atribuir a esta medida un alcance que todavía no tiene, que no opera aún como verificación previa universal sobre todos los encargados. Se precisa asimismo que ese consentimiento opera como base del tratamiento del art. 6.1.a) y como control de producto, y no como excepción del art. 49.1.a) RGPD, cuyo carácter ocasional y no repetitivo no concurre en un tratamiento estructural.

Puede obtenerse copia de las garantías aplicadas escribiendo a privacidad@bevelion.com.

9. Supresión de la cuenta

El usuario puede solicitar la baja de su cuenta desde la propia Plataforma. La supresión no es inmediata: se programa a 14 días y puede revocarse durante ese periodo. El plazo tiene por objeto hacer recuperable una baja accidental o forzada y se sitúa holgadamente dentro del mes que el art. 12.3 RGPD concede para atender la solicitud.

Ejecutada la supresión, los identificadores personales se sustituyen de forma irreversible por valores anonimizados. Los registros cuya conservación viene impuesta por norma —transacciones financieras y registros de auditoría— subsisten disociados de la identidad durante los plazos del apartado 6 y se purgan después definitivamente.

La baja en Bevelion no produce efecto alguno sobre las cuentas de Instagram, Facebook o WhatsApp del interesado; lo que cesa es el acceso de Bevelion a ellas.

El detalle de qué se suprime, qué se anonimiza y qué se conserva consta en la página de Supresión de datos, que prevalece sobre este apartado como descripción operativa.

10. Derechos de los interesados

Conforme a los arts. 15 a 22 RGPD y 12 a 18 LOPDGDD, el interesado puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento anterior a su retirada.

El ejercicio es gratuito y se solicita en la dirección privacidad@bevelion.com, acompañando los datos necesarios para acreditar la identidad del solicitante y localizar los registros. Los derechos de acceso y portabilidad están además integrados en la Plataforma: el usuario puede solicitar una exportación y recibir una copia de sus datos personales en formato legible por máquina.

La solicitud se atiende en el plazo de un mes desde su recepción, prorrogable por dos meses más en los términos del art. 12.3 RGPD, comunicando al interesado la prórroga y su motivo.

Si el interesado considera que el tratamiento no se ajusta a la normativa, puede presentar reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es, que es la autoridad de control principal del Responsable, o ante la autoridad de control del Estado miembro de su residencia habitual o lugar de trabajo (art. 77 RGPD).

11. Medidas de seguridad

Atendiendo al art. 32 RGPD se aplican, entre otras, las siguientes medidas técnicas y organizativas: sesiones sobre cookies HttpOnly con tokens firmados ES256; autenticación entre servicios internos mediante TLS mutuo y tokens de servicio firmados; carga de secretos desde el entorno, con negativa de arranque de la aplicación en su ausencia; seudonimización de los identificadores de cliente mediante HMAC con clave no almacenada en el repositorio; truncamiento de las direcciones IP antes de su almacenamiento; y una comprobación automática que impide la compilación si se escribe contenido de mensajes en un registro.

El Responsable notificará las violaciones de seguridad de los datos personales conforme a los arts. 33 y 34 RGPD.

12. Menores

La Plataforma se destina exclusivamente a profesionales mayores de edad y no se dirige a menores. No se tratan conscientemente datos de menores de 16 años. Si se advierte lo contrario, puede comunicarse a privacidad@bevelion.com para su supresión inmediata.

13. Versiones lingüísticas

Esta política se publica en español y en inglés. La versión española es la única vinculante; la inglesa se ofrece como traducción de cortesía. En caso de discrepancia entre ambas prevalecerá la versión española.

14. Modificaciones

Toda modificación se publicará en esta página con actualización de la fecha del encabezado. Las modificaciones sustanciales se comunicarán dentro de la Plataforma con anterioridad a su entrada en vigor.

15. Peticiones de autoridades públicas sobre datos personales

Este apartado describe el procedimiento que el Responsable sigue cuando una autoridad pública —judicial, policial, fiscal, tributaria o administrativa, española, de otro Estado miembro o de un tercer país— le requiere la comunicación o la conservación de datos personales tratados en la Plataforma. Se publica para que el Estudio y cualquier interesado sepan de antemano cómo se actúa. Versión del procedimiento: 18 de septiembre de 2026.

Se aplica tanto a los datos de los que Bevelion es responsable (apartado 2.1) como a los que trata por cuenta del Estudio en calidad de encargado (apartado 2.2). En este segundo caso el responsable es el Estudio, y el procedimiento incorpora el deber de información del art. 28.3.a) RGPD.

15.1 Quién la recibe y quién decide

Toda petición debe dirigirse por escrito a privacidad@bevelion.com o al domicilio del apartado 1.1, y la resuelve personalmente el Responsable —no se ha designado Delegado de Protección de Datos (apartado 1.2)—, con asistencia letrada externa cuando el caso lo requiera. Quien la reciba por cualquier otra vía la traslada íntegra a esa dirección sin contestarla y sin entregar dato alguno. No se entregan datos en respuesta a una petición verbal ni telefónica.

Esta política no fija un plazo propio de respuesta: el plazo lo fija la petición o la norma que la ampara. Cuando el plazo señalado no permita el examen del apartado 15.2, se solicita su ampliación motivada antes de entregar nada.

15.2 Revisión obligatoria de la legalidad de la petición

Ninguna petición se atiende sin un examen previo de legalidad, que se documenta por escrito en el registro del apartado 15.6 y comprende, como mínimo: la identidad y la competencia de la autoridad solicitante, contrastadas por un canal independiente del que trajo la petición; que la petición conste por escrito, identificada, fechada y firmada; la norma concreta que invoca y si esa norma exige autorización judicial previa; el alcance pedido —personas, categorías de datos y período—; la jurisdicción y, si procede, lo dispuesto en el apartado 15.7; y la existencia de una base jurídica para la comunicación, que ordinariamente será el cumplimiento de una obligación legal o una misión de interés público (art. 6.1.c) y e) RGPD), en los términos en que el Derecho de la Unión o el Derecho español limiten los derechos del interesado conforme al art. 23 RGPD.

En particular se comprueba, cuando la petición procede de una autoridad española, si concurre alguno de estos supuestos: que los datos estén vinculados a procesos de comunicación, en cuyo caso solo pueden cederse con autorización judicial (art. 588 ter j de la Ley de Enjuiciamiento Criminal); o que lo requerido sea una orden de conservación de datos del Ministerio Fiscal o de la Policía Judicial (art. 588 octies de la misma ley), que obliga a conservar y proteger los datos —no a cederlos— hasta que se obtenga la autorización judicial de cesión, por un máximo de noventa días prorrogable una sola vez hasta ciento ochenta, y que lleva aparejado el deber de guardar secreto sobre la diligencia.

Si el examen no resulta concluyente, no se entrega nada mientras se solicita aclaración a la autoridad.

15.3 Impugnación de las peticiones que se consideren ilícitas

Cuando del examen anterior resulten motivos razonables para considerar que la petición es ilícita, desproporcionada o excesiva, el Responsable no la cumple sin más, y actúa en este orden: (i) solicita por escrito su aclaración o la rectificación de su alcance; (ii) si no se corrige, la impugna por el cauce de recurso que prevea la norma que la ampara, ante la propia autoridad que la emitió o ante el órgano judicial competente, y agota en las mismas condiciones las vías de recurso disponibles; (iii) al impugnar insta la suspensión cautelar de los efectos de la petición hasta que la autoridad judicial competente se pronuncie sobre el fondo, y no comunica los datos hasta que lo exija la normativa procesal aplicable; y (iv) consulta a la Agencia Española de Protección de Datos cuando la duda afecte a la conformidad de la comunicación con el RGPD.

El Responsable no dispone de servicio jurídico interno: la impugnación se sustancia con asistencia letrada externa contratada al efecto, y la decisión de impugnar no se condiciona a su coste. El criterio de este apartado es el que las Cláusulas Contractuales Tipo imponen al importador de datos en su cláusula 15.2 (apartado 8), aplicado aquí al propio Responsable.

15.4 Minimización: se entrega lo mínimo necesario

Atendida la petición, se comunica la mínima información posible que la satisfaga, sobre una interpretación razonable de su alcance, en aplicación del principio de minimización del art. 5.1.c) RGPD. En concreto: no se entrega la cuenta completa de un Estudio ni un volcado de la base de datos cuando la petición identifica personas, hechos o un período determinados, sino únicamente lo que a ellos corresponde; no se amplía la respuesta a personas o períodos no pedidos; se entregan identificadores seudonimizados cuando basten para el fin de la petición (apartado 3.3); las categorías especiales de datos del art. 9 RGPD (apartado 5) se excluyen salvo que la petición las exija expresamente y la norma invocada las ampare; no se elabora, cruza ni deduce información que no se tenga ya; y la entrega se hace por un canal seguro, documentando qué se entregó exactamente.

Si la petición es genérica o indiscriminada, se solicita su acotación antes de entregar nada, y su falta de acotación es por sí sola motivo para actuar conforme al apartado 15.3.

15.5 Aviso al Estudio y al interesado

Cuando la petición recae sobre datos tratados por cuenta de un Estudio, se avisa al Estudio, en su condición de responsable, sin dilación y antes de entregar nada siempre que sea posible, para que pueda ejercer sus derechos y oponerse por la vía que proceda; es la obligación de información del art. 28.3.a) RGPD. Cuando la petición recae sobre datos de los que Bevelion es responsable, se avisa al interesado siempre que sea posible.

El aviso solo se omite o se difiere cuando una norma lo prohíbe —señaladamente el deber de secreto del art. 588 octies de la Ley de Enjuiciamiento Criminal— o cuando la autoridad lo prohíbe con cobertura legal. En tal caso se hace constar en el registro del apartado 15.6, se solicita a la autoridad la dispensa o el levantamiento de la prohibición para poder informar cuanto antes, se documentan esas gestiones y se avisa en cuanto la prohibición decaiga. Si la petición afecta a datos alojados en un encargado o subencargado de los relacionados en el apartado 7, se le traslada lo que le concierna.

15.6 Registro de las peticiones, de las respuestas y del razonamiento

Toda petición de autoridad pública se anota en un registro interno, sea cual sea su resultado, incluidas las rechazadas, las impugnadas y las retiradas. De cada una consta: fecha y vía de recepción; autoridad solicitante y persona que la firma; norma invocada y existencia o no de autorización judicial; datos, personas y período solicitados; el razonamiento jurídico del examen del apartado 15.2 y su conclusión; si se pidió aclaración o se impugnó, y con qué resultado; qué se entregó exactamente, cuándo y por qué canal, o la negativa y su motivo; quiénes intervinieron, con su papel —el Responsable y, en su caso, el letrado externo—; y el aviso al Estudio o al interesado, o el motivo de su omisión junto con las gestiones del apartado 15.5.

El registro y la documentación de cada petición se conservan siete años desde el cierre de la petición, en coherencia con los plazos de auditoría del apartado 6, y se ponen a disposición de la Agencia Española de Protección de Datos a su requerimiento. El Responsable comunicará el número agregado de peticiones recibidas a cualquier Estudio o interesado que lo solicite en la dirección del apartado 1.1, en la medida en que ninguna norma lo impida.

15.7 Peticiones procedentes de terceros países

Una sentencia de un órgano jurisdiccional o una decisión de una autoridad administrativa de un tercer país que exija transferir o comunicar datos personales únicamente será reconocida o ejecutable si se basa en un acuerdo internacional en vigor —como un tratado de asistencia jurídica mutua— entre el país tercero requirente y la Unión o un Estado miembro, conforme al art. 48 RGPD. En su defecto no se atiende, y se indica a la autoridad requirente el cauce de asistencia jurídica mutua o de cooperación judicial que corresponda. Esta negativa no es discrecional del Responsable: es la consecuencia que el propio Reglamento anuda a la aplicación extraterritorial de tales normas.

Cuando la petición se dirija a alguno de los encargados o subencargados del apartado 7 establecidos fuera del Espacio Económico Europeo, rigen frente a ellos las obligaciones de la cláusula 15 de las Cláusulas Contractuales Tipo (apartado 8): notificar la petición al exportador y, cuando sea posible, al interesado; controlar su legalidad e impugnarla cuando existan motivos razonables para considerarla ilícita; facilitar la mínima información posible al responder; y documentar sus valoraciones jurídicas y sus impugnaciones. El Responsable exige su cumplimiento y traslada al Estudio la información que reciba por esa vía.