Política de Privacidad y Protección de Datos Personales

De conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa a los usuarios del sitio web raizextranjeria.es (en adelante, "el sitio web") de la política de tratamiento de datos personales aplicada por el Responsable del Tratamiento identificado a continuación.

1. Identidad del Responsable del Tratamiento

El Responsable del Tratamiento de los datos personales recogidos a través de este sitio web es una persona física que ejerce su actividad profesional en condición de trabajador autónomo bajo el nombre comercial "Raíz - Asesores Expertos en Extranjería" — no se trata de una sociedad ni de ninguna otra persona jurídica. Sus datos identificativos son:

• Nombre y apellidos: Juan Sebastián Sierra Fajardo
• NIE: Z3086982L
• Domicilio: Rúa Iglesias Vilarelle, n.º 4, bloque B, 3.º A, 36001 Pontevedra
• Actividad económica (epígrafe IAE): epígrafe 799 de la sección 2.ª (representación y gestión de trámites administrativos de extranjería)
• Correo electrónico de contacto: contacto@raizextranjeria.es

Al tratarse de una persona física autónoma y no de una empresa con estructura corporativa, no existen "empresas del grupo" ni encargados de tratamiento internos distintos del propio titular. Dada la escala y naturaleza de la actividad, no resulta legalmente exigible la designación de un Delegado de Protección de Datos (DPO) conforme al artículo 37 RGPD; cualquier consulta relativa a protección de datos debe dirigirse directamente al correo electrónico indicado arriba.

2. Marco legal de la actividad

Raíz - Asesores Expertos en Extranjería presta servicios de representación administrativa en materia de extranjería al amparo de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. No es un despacho de abogados ni un profesional colegiado, y no interviene en procedimientos de vía judicial ni en recursos contencioso-administrativos, que quedan fuera del alcance de los servicios prestados.

3. Datos que recogemos y con qué finalidad

3.1 Formulario de diagnóstico de viabilidad

Al completar el formulario de diagnóstico disponible en el sitio web se recogen: nombre y apellidos, teléfono, correo electrónico, dirección postal, país de origen y nacionalidad, fecha de llegada a España y ausencias del país, situación administrativa actual y vencimiento de la autorización si la hubiera, solicitudes de residencia previas, empadronamiento, situación de estudios, trabajo y medios económicos, vínculos familiares, y la existencia o no de antecedentes penales (ver apartado 3.2). De forma opcional, la persona puede indicar circunstancias de especial protección —solicitud de protección internacional, enfermedad grave, condición de víctima de un delito grave o de violencia de género— cuando sean relevantes para el trámite consultado (ver apartado 3.3).

Finalidades: (a) verificar la titularidad de la dirección de correo; (b) generar y enviar por correo un diagnóstico automático, orientativo y no vinculante sobre las posibles vías de residencia o nacionalidad; (c) cuando el diagnóstico identifique una posible vía, el contacto comercial posterior por parte de Raíz en relación con el caso consultado, por correo electrónico, teléfono o WhatsApp.

Base legal: consentimiento explícito del interesado, prestado al marcar las casillas correspondientes y enviar el formulario (art. 6.1.a RGPD), y aplicación de medidas precontractuales a solicitud del interesado (art. 6.1.b RGPD).

Los datos de este formulario se almacenan en los sistemas descritos en el apartado 5.

3.2 Dato sobre antecedentes penales (categoría especial de datos)

La indicación sobre existencia de antecedentes penales constituye un dato relativo a condenas e infracciones penales conforme al artículo 10 RGPD y al artículo 10 LOPDGDD, y recibe un nivel de protección reforzado. Este dato:

• Se recoge únicamente con el consentimiento explícito del interesado, prestado de forma voluntaria al completar el formulario.
• Se utiliza exclusivamente para valorar técnicamente la viabilidad del trámite de extranjería solicitado, dado que la normativa de extranjería contempla los antecedentes penales como un factor relevante en determinados procedimientos.
• No se cede a terceros salvo que sea estrictamente necesario para la tramitación del expediente ante la Administración competente, y por mandato expreso del interesado.
• No se utiliza con ninguna otra finalidad, comercial o de otro tipo.

El certificado oficial de antecedentes penales del país de origen, cuando el trámite lo exija, se aporta a través de la plataforma de cliente descrita en el apartado 3.5 y se conserva como parte de la documentación del expediente.

3.3 Datos de salud y de situaciones de especial protección

Determinados trámites de extranjería (residencia por razones humanitarias, autorización para víctimas de violencia de género o trata, transición desde protección internacional) requieren tratar datos de salud o datos que revelan una situación de especial vulnerabilidad. Estos datos son categorías especiales conforme al artículo 9 RGPD y reciben protección reforzada:

• Se recogen solo cuando la persona interesada decide aportarlos y únicamente si son pertinentes para el trámite; los campos correspondientes del formulario son opcionales.
• La base jurídica es el consentimiento explícito (art. 9.2.a RGPD), prestado mediante una casilla específica y separada del consentimiento general.
• Se usan exclusivamente para valorar y tramitar el procedimiento de extranjería correspondiente.
• Los informes médicos y demás documentación se aportan a través de la plataforma de cliente (apartado 3.5) y se conservan como parte del expediente.
• No se ceden a terceros salvo a la Administración competente, por mandato de la persona interesada, y solo lo estrictamente necesario para el trámite.

3.4 Pago de servicios (revisión de expediente) y reserva de cita

La revisión de expediente se paga en línea a través de la pasarela de pago Stripe; el enlace de pago identifica la cuenta de la plataforma para poder activar el servicio. Si el usuario reserva y paga una cita a través del enlace de reserva del sitio web, se recogen su nombre, correo electrónico y los datos necesarios para procesar el pago. Los datos de pago (tarjeta u otro medio) son introducidos y procesados directamente por la pasarela de pago Stripe; Raíz - Asesores Expertos en Extranjería no accede ni almacena en ningún momento los datos completos de la tarjeta de pago. La gestión de la cita se realiza a través de la plataforma de agenda Cal.com.

Finalidad: gestión de la reserva, cobro del servicio contratado y ejecución del contrato de prestación de servicios.

Base legal: ejecución de un contrato (art. 6.1.b RGPD).

3.5 Cuenta de cliente y plataforma de seguimiento del expediente

Las personas que contratan el servicio de trámite completo disponen de una cuenta personal en la plataforma app.raizextranjeria.es, con la que:

• suben la documentación de su expediente (pasaporte, empadronamiento, vida laboral, contratos, certificados de estado civil, antecedentes penales, y, cuando proceda, informes médicos u otra documentación acreditativa),
• descargan los documentos que Raíz elabora (Informe de Viabilidad del Expediente, justificante de radicación, resoluciones),
• consultan el estado de su trámite hasta la resolución, y
• se comunican con el equipo sobre su caso.

Datos tratados: los de identificación y contacto de la cuenta (nombre, correo, teléfono, dirección), la documentación del expediente antes indicada, el estado y el historial del trámite, y los datos técnicos de uso de la plataforma (fechas de acceso).

Finalidad: ejecutar el contrato de servicio de trámite completo (preparación, presentación y seguimiento del expediente).

Base legal: ejecución del contrato (art. 6.1.b RGPD). Para los datos de categoría especial incluidos en la documentación (antecedentes penales, salud), el consentimiento explícito prestado conforme a los apartados 3.2 y 3.3.

Registro e inicio de sesión: la autenticación se realiza mediante Firebase Authentication (Google). Para crear la cuenta y usar el asistente basta con un correo y una contraseña (o una cuenta de Google); para subir documentos o pagar un servicio es necesario haber confirmado la dirección de correo electrónico.

Seguridad de los documentos: los ficheros se almacenan en un espacio de almacenamiento privado, cifrado y alojado en la Unión Europea, sin acceso público. El acceso a cada expediente está restringido a la persona titular de la cuenta y al personal de Raíz asignado al caso.

3.6 Asistente de inteligencia artificial y cuenta gratuita

Cualquier persona puede usar el asistente de Raíz: unas pocas preguntas sin cuenta en el sitio web y, con una cuenta gratuita, más preguntas cada semana. Se tratan los datos de la cuenta (nombre, correo, teléfono), el contenido de las conversaciones con el asistente y los datos técnicos necesarios para limitar el uso (un identificador cifrado de la red desde la que se conecta; no guardamos la dirección IP).

Finalidad: prestar el servicio de orientación del asistente, guardar las conversaciones en la cuenta, preparar la ficha del caso y evitar abusos. Base legal: ejecución del servicio solicitado por la persona (art. 6.1.b RGPD) y, para el control de abusos, interés legítimo (art. 6.1.f RGPD).

Pedimos expresamente que no se escriban en el chat números de documento ni datos de salud. Las respuestas del asistente son orientativas y no sustituyen la revisión de un profesional.

3.7 Mejora del asistente con las conversaciones

Raíz está empezando y el asistente aprende de casos reales: revisamos las conversaciones para corregir errores y mejorar sus instrucciones, sus reglas comprobadas, sus preguntas de prueba y las listas de documentos de cada trámite.

• Base legal: interés legítimo de Raíz en que el asistente responda de forma correcta y segura (art. 6.1.f RGPD), tras una evaluación documentada que pondera ese interés con los derechos de las personas.
• Derecho de oposición: está activado por defecto y se puede desactivar en cualquier momento, al crear la cuenta o después en «Mi cuenta → Privacidad y llamadas», o escribiendo a contacto@raizextranjeria.es (art. 21 RGPD). Las conversaciones de quien lo desactiva no se usan para este fin.
• Garantías: antes de usar un caso se eliminan los datos que identifican a la persona (nombre, contacto, números de documento). Nunca se usan para este fin datos de categoría especial (salud, violencia de género, protección internacional u otros del art. 9 RGPD) ni datos penales.
• Las conversaciones no se usan para entrenar modelos de inteligencia artificial de terceros: el proveedor (Google Cloud, Vertex AI) no utiliza los datos de sus clientes para entrenar sus modelos.

3.8 Llamadas de un asesor

Si la persona lo pide («Quiero que me llamen») o marca la casilla correspondiente, un asesor de Raíz puede llamarla por teléfono para hablar de su caso y de los servicios de Raíz. Se tratan el teléfono, la franja horaria elegida y la fecha y el texto del permiso.

Base legal: consentimiento previo y expreso (art. 6.1.a RGPD y art. 66.1.b de la Ley 11/2022, General de Telecomunicaciones). La casilla nunca viene marcada de antemano y el permiso se puede retirar en cualquier momento desde «Mi cuenta» o escribiendo a contacto@raizextranjeria.es.

3.9 Medición de las campañas

Cuando alguien llega desde un anuncio o un enlace de Raíz, el enlace puede llevar etiquetas de campaña (por ejemplo, «utm_source=instagram»). Si la persona crea una cuenta, se guarda de qué campaña llegó, para saber qué anuncios funcionan. No se usan cookies publicitarias ni píxeles de seguimiento de redes sociales; las visitas se cuentan con una herramienta de estadística sin cookies (GoatCounter). Base legal: interés legítimo en medir la eficacia de la publicidad propia (art. 6.1.f RGPD).

4. Plazo de conservación

• Diagnósticos que no derivan en la contratación de un servicio: los datos del formulario de diagnóstico se conservan un máximo de 3 meses desde su recogida, transcurridos los cuales se suprimen. Si en ese plazo la persona no verifica su correo, la supresión es inmediata.
• Expedientes contratados: la documentación y los datos del expediente se conservan mientras dura la relación de servicio y, una vez finalizado o cerrado el expediente, durante 5 años, en cumplimiento de las obligaciones legales de conservación aplicables a la actividad. Transcurrido ese plazo se suprimen de forma definitiva.
• Cuentas gratuitas y conversaciones del asistente: mientras la cuenta esté activa y hasta 12 meses después del último uso; transcurrido ese plazo se suprimen. Los extractos ya anonimizados para la mejora del asistente (apartado 3.7) dejan de ser datos personales.
• Permisos de llamada: la constancia del permiso (fecha y texto) se conserva mientras esté vigente y hasta 3 años después de retirarlo, para poder acreditarlo.
• Datos de facturación: se conservan durante los plazos exigidos por la normativa mercantil y fiscal.
• Finalizados los plazos, los datos se suprimen de forma segura, salvo obligación legal de conservación adicional.

5. Destinatarios y encargados de tratamiento

No se ceden datos personales a terceros con fines comerciales. Para la correcta prestación del servicio, se recurre a los siguientes proveedores, que actúan como encargados del tratamiento conforme al artículo 28 RGPD:

• Google Ireland Ltd. / Google LLC — infraestructura de la plataforma de cliente (Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions y Hosting), con los datos alojados en centros de datos de la Unión Europea; y Google Workspace para el envío de los correos electrónicos del servicio. Tratamiento amparado en el Acuerdo de Tratamiento de Datos de Google Cloud (art. 28 RGPD).
• Google LLC (Gemini API) — asistencia en la redacción del texto del correo de diagnóstico. A este servicio solo se le facilita el resultado ya calculado del diagnóstico y el nombre de pila; no se le facilita documentación, dirección, número de pasaporte ni datos de salud.
• Cal.com — gestión de la agenda de citas de la consulta de videollamada.
• Google Cloud (Vertex AI) — modelo de lenguaje y buscador de normativa del asistente, en la región de la Unión Europea, como encargado del tratamiento; no usa los datos para entrenar sus modelos.
• Stripe — procesamiento de pagos (revisión de expediente y, en su caso, otros servicios), bajo estándar PCI-DSS. Raíz no accede ni almacena los datos completos de la tarjeta.
• Meta Platforms (WhatsApp) — únicamente como medio de comunicación para el seguimiento comercial descrito en el apartado 3.1, cuando la persona interesada lo haya consentido expresamente. No se comparten con Meta más datos que los inherentes al uso de la aplicación de mensajería (número de teléfono y contenido de la conversación).

El almacenamiento en Google Sheets / Google Apps Script se mantiene mientras conviva con la plataforma durante la transición; una vez completada la migración, se retira de esta lista.

Adicionalmente, y únicamente cuando el interesado otorgue su mandato de representación, los datos estrictamente necesarios se comunicarán a la Administración Pública competente en materia de extranjería, con el único fin de tramitar el expediente correspondiente.

6. Transferencias internacionales

Algunos de los proveedores citados en el apartado anterior (Google, Stripe, Meta Platforms) pueden realizar tratamientos de datos fuera del Espacio Económico Europeo, en particular en Estados Unidos. En estos casos, dichas transferencias se realizan amparadas en las garantías previstas por el RGPD, tales como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otros mecanismos de adecuación reconocidos.

Los datos de la plataforma de cliente (documentación de expedientes, incluidos los datos de categoría especial) se alojan en centros de datos de Google situados en la Unión Europea. Google puede realizar tratamientos accesorios de soporte desde fuera del Espacio Económico Europeo, amparados en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y en las medidas complementarias previstas en su Acuerdo de Tratamiento de Datos.

7. Derechos de las personas interesadas

Cualquier persona tiene derecho a obtener confirmación sobre si en Raíz - Asesores Expertos en Extranjería se están tratando datos personales que le conciernan, y en tal caso, a ejercer los siguientes derechos:

• Acceso a sus datos personales.
• Rectificación de datos inexactos.
• Supresión de sus datos, cuando ya no sean necesarios para los fines para los que fueron recabados.
• Limitación del tratamiento en determinadas circunstancias.
• Portabilidad de sus datos.
• Oposición al tratamiento.
• Revocación del consentimiento prestado, en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Estos derechos pueden ejercerse enviando una solicitud a contacto@raizextranjeria.es, indicando el derecho que se desea ejercer y adjuntando copia de un documento identificativo. Asimismo, si considera que sus datos no se están tratando correctamente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), a través de www.aepd.es.

8. Medidas de seguridad

Se han adoptado medidas técnicas y organizativas proporcionadas a la naturaleza de los datos tratados y al riesgo, entre ellas:

• cifrado de los datos en tránsito y en reposo;
• control de acceso: cada persona solo puede acceder a su propio expediente; el personal de Raíz accede únicamente a los expedientes que gestiona, mediante autorización individual;
• verificación de la dirección de correo e inicio de sesión con requisitos de seguridad;
• acceso a los documentos siempre a través de la aplicación, nunca por enlace directo;
• copias de seguridad periódicas;
• supresión de los datos al vencer los plazos de conservación;
• una Evaluación de Impacto en Protección de Datos documentada para el tratamiento de la plataforma.

9. Menores de edad

Los servicios ofrecidos a través de este sitio web no están dirigidos a menores de edad. En el caso de trámites que afecten a menores, la interacción y el consentimiento deberán ser prestados por su representante legal, que será quien abra y gestione la cuenta de cliente en la plataforma.

10. Modificaciones de esta política

Esta Política de Privacidad puede ser actualizada para adaptarse a novedades legislativas o cambios en los servicios ofrecidos. Se recomienda revisar esta página periódicamente. La fecha de la última actualización figura al inicio de este documento.