Política de Privacidad

La presente Política de Privacidad regula el tratamiento de los datos personales recabados a través del sitio web josemafernandez.com y de los canales asociados, en cumplimiento de:

• Reglamento (UE) 2016/679, de 27 de abril, General de Protección de Datos ("RGPD").
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD").
• Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico ("LSSI-CE").
• UK General Data Protection Regulation ("UK GDPR") y Data Protection Act 2018, cuando aplique a usuarios residentes en el Reino Unido.

1. RESPONSABLE DEL TRATAMIENTO

• Responsable: José Manuel Fernández Labrador (autónomo).
• Nombre comercial: Josema Fernández.
• Sede de actividad: Sevilla, España (Unión Europea).
• Dirección postal: a facilitar mediante el correo de contacto indicado más abajo.
• Identificación fiscal (DNI/NIF): a facilitar a requerimiento de autoridad competente y en la documentación contractual.
• Correo electrónico: hola@josemafernandez.com

Delegado de Protección de Datos (DPD): no resulta obligatoria su designación conforme al artículo 37 del RGPD y al artículo 34 de la LOPDGDD, dada la naturaleza, alcance y fines de los tratamientos. Para cualquier asunto relativo a privacidad puede dirigirse al correo electrónico indicado.

2. ÁMBITO DE APLICACIÓN

Esta Política aplica a los datos personales recabados a través de:

• Formularios del Sitio (en particular /comunidad-privada y /recursos-gratis).
• Comunicaciones por correo electrónico dirigidas al titular.
• Asistente de IA o chat del Sitio, cuando se habilite.
• Automatizaciones operativas vinculadas al Sitio (envío de recursos, acceso a comunidades, etc.).

Esta Política no aplica a los tratamientos realizados directamente por plataformas de terceros (por ejemplo, Telegram, Skool, YouTube, Instagram, TikTok, LinkedIn, X, Facebook), que se rigen por sus propias políticas. El usuario debe revisarlas antes de utilizar dichos servicios.

3. DATOS PERSONALES QUE SE TRATAN

Según el uso que el usuario haga del Sitio, se podrán tratar las siguientes categorías de datos:

A) Datos identificativos y de contacto

• Nombre.
• Dirección de correo electrónico.
• Teléfono (incluyendo prefijo internacional). Es obligatorio en los formularios de captación.

B) Datos de perfil e interés

• Temática de interés indicada en el formulario (por ejemplo, IA, automatización, vibe coding, etc.).
• Origen o canal por el que el usuario ha conocido al titular.
• Preferencia de recibir o no comunicaciones comerciales y de recursos.

C) Datos de comunicaciones

• Contenido de los mensajes enviados a través de formularios o por correo electrónico.
• Contenido del chat con asistente de IA, cuando se habilite, junto con metadatos técnicos mínimos (fecha/hora, identificador técnico de sesión).

D) Datos técnicos mínimos (seguridad y funcionamiento)

• Dirección IP, registros técnicos básicos (logs), datos del navegador y dispositivo, en la medida necesaria para garantizar la seguridad del Sitio, prevenir abusos (por ejemplo, mediante limitación de envíos por IP) y trazabilidad de incidencias.

Categorías especiales de datos

No se solicitan datos especialmente protegidos (origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos, salud, vida sexual u orientación sexual). Si el usuario los aporta voluntariamente, se tratarán únicamente en la medida estrictamente necesaria para gestionar su solicitud y se eliminarán cuando dejen de ser necesarios.

4. CÓMO SE OBTIENEN LOS DATOS

Los datos se obtienen directamente del propio usuario cuando:

• Cumplimenta y envía un formulario del Sitio.
• Contacta por correo electrónico.
• Interactúa con el chat o asistente de IA.
• Se une voluntariamente a comunidades o plataformas externas enlazadas (por ejemplo, Telegram), en cuyo caso los datos se tratan principalmente por el tercero, sin perjuicio de los datos que el usuario nos proporcione directamente o de las comunicaciones operativas necesarias para soporte.

No se obtienen datos personales de fuentes externas no facilitadas por el propio usuario.

5. FINALIDADES DEL TRATAMIENTO

Los datos se tratan con las siguientes finalidades:

1. Atención de solicitudes y gestión de leads: responder consultas, gestionar el alta en comunidades gratuitas y entregar los recursos solicitados.
2. Envío de recursos y comunicaciones operativas: remitir enlaces, descargas, instrucciones de acceso a la comunidad privada de Telegram, recordatorios y mensajes técnicos vinculados a la solicitud del usuario.
3. Comunicaciones comerciales (sólo con consentimiento o relación previa): enviar información sobre nuevos contenidos, recursos, cursos, formaciones o servicios del titular y de los proyectos vinculados (BlunexAI, DominIA Academy), conforme al apartado 6.
4. Atención mediante chat o asistente de IA (cuando se habilite), para resolver dudas y orientar sobre contenidos.
5. Análisis interno básico: conocer qué temática interesa más a los usuarios y por qué canal nos han conocido, con fines puramente estadísticos internos y sin elaboración de perfiles individuales.
6. Seguridad, prevención de fraude y abuso: detección de actividad sospechosa, limitación de envíos por IP (rate limiting), protección de sistemas, trazabilidad de incidencias y cumplimiento de obligaciones legales.
7. Cumplimiento de obligaciones legales: contables, fiscales, frente a autoridades de control y judiciales, cuando proceda.

6. BASES JURÍDICAS DEL TRATAMIENTO

Conforme al artículo 6 del RGPD, las bases legales aplicables son:

A) Consentimiento del interesado (art. 6.1.a RGPD)

Para el envío del formulario, el alta en la comunidad privada gratuita, la entrega de recursos y, de forma específica, para el envío de comunicaciones comerciales por medios electrónicos cuando el usuario marque la casilla correspondiente. El consentimiento puede retirarse en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

B) Ejecución de un contrato o medidas precontractuales (art. 6.1.b RGPD)

Cuando el usuario solicite información para una posible contratación de servicios o exista una relación profesional ya formalizada con el titular o con sus proyectos vinculados.

C) Cumplimiento de una obligación legal (art. 6.1.c RGPD)

Para conservar documentación contable, fiscal y de protección de datos durante los plazos que exija la normativa aplicable, así como para atender requerimientos de autoridades públicas.

D) Interés legítimo del responsable (art. 6.1.f RGPD)

Para garantizar la seguridad del Sitio, prevenir fraude y abuso, mantener la integridad de los sistemas y realizar análisis estadísticos internos básicos. Se han realizado las correspondientes ponderaciones para asegurar que estos tratamientos no suponen una intromisión desproporcionada en los derechos del usuario.

Comunicaciones comerciales por medios electrónicos (art. 21 LSSI-CE)

Sólo se enviarán comunicaciones comerciales por correo electrónico u otros medios equivalentes cuando:

• el usuario haya prestado consentimiento expreso para ello marcando la casilla correspondiente, o
• exista una relación contractual previa con el titular y la comunicación se refiera a productos o servicios similares a los contratados.

En todo caso, se ofrecerá un mecanismo sencillo y gratuito de oposición en cada comunicación (enlace de baja).

7. DESTINATARIOS Y ENCARGADOS DEL TRATAMIENTO

El titular no vende, alquila ni cede datos personales a terceros con fines comerciales. No obstante, para poder operar el servicio, ciertos terceros pueden acceder a los datos como encargados del tratamiento en los términos del artículo 28 del RGPD, actuando bajo instrucciones documentadas del titular, con compromiso de confidencialidad y con medidas técnicas y organizativas adecuadas.

7.1. Proveedores tecnológicos

• Infraestructura y almacenamiento: servidor virtual privado (VPS) ubicado en la Unión Europea y base de datos PostgreSQL en dicho VPS, para almacenar los datos recabados a través del Sitio.
• Automatización de flujos: n8n autoalojado en infraestructura del titular dentro de la Unión Europea (procesamiento de envíos de formularios, automatización de envíos de recursos y notificaciones).
• Envío de correo electrónico: Mailgun (entrega de emails operativos y comerciales).
• Listas operativas auxiliares: Google Sheets, en su caso, como almacén operativo auxiliar.
• Proveedores de inteligencia artificial: OpenAI, Inc. y/o Google LLC (Gemini), cuando el chat o asistente esté habilitado y el flujo lo requiera, para generar respuestas a partir del texto facilitado por el usuario.

7.2. Colaboradores profesionales externos

El titular puede contar con colaboradores profesionales externos (por ejemplo, otras agencias o profesionales autónomos especializados) que le presten apoyo en la operativa del negocio y que, en el desempeño de sus funciones, pueden acceder al CRM y a los datos recabados a través del Sitio. Las categorías típicas de estos colaboradores son:

• Agencias de marketing y soporte comercial.
• Profesionales autónomos de atención al usuario, gestión de comunidades y soporte operativo.
• Profesionales de desarrollo, mantenimiento técnico y administración de sistemas.
• Asesoría contable, fiscal y legal.

Estos colaboradores actúan como encargados del tratamiento conforme al artículo 28 del RGPD, vinculados por contrato de encargo de tratamiento de datos y por acuerdos de confidencialidad (NDA), con las siguientes obligaciones mínimas:

• Tratar los datos únicamente conforme a las instrucciones documentadas del titular y para la finalidad acordada.
• Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
• Aplicar medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD.
• No subcontratar el tratamiento a terceros sin autorización previa por escrito.
• Asistir al titular en el cumplimiento de los derechos de los interesados.
• Devolver o suprimir los datos al finalizar la relación, salvo obligación legal de conservación.
• Permitir y contribuir a auditorías por parte del titular.

El acceso de estos colaboradores a los datos se limita a lo estrictamente necesario para la prestación del servicio y se revisa periódicamente.

7.3. Comunicación a autoridades

Los datos podrán comunicarse a Juzgados, Tribunales, Cuerpos y Fuerzas de Seguridad del Estado, Agencia Española de Protección de Datos, Agencia Tributaria u otros organismos públicos cuando exista obligación legal de hacerlo.

8. TRANSFERENCIAS INTERNACIONALES DE DATOS

Algunos proveedores tecnológicos del titular pueden tratar datos personales fuera del Espacio Económico Europeo (EEE), en particular en Estados Unidos (por ejemplo, Mailgun, OpenAI, Google). En esos casos, el titular garantiza que existen garantías adecuadas conforme al RGPD mediante alguno de los siguientes mecanismos:

• Decisión de adecuación de la Comisión Europea aplicable al país de destino o al marco bajo el que opera el proveedor (por ejemplo, EU–U.S. Data Privacy Framework cuando el proveedor esté certificado).
• Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea, complementadas con medidas técnicas y organizativas adicionales cuando proceda.
• Otros mecanismos válidos previstos en el Capítulo V del RGPD.

El usuario puede solicitar más información sobre las garantías aplicadas escribiendo a hola@josemafernandez.com.

9. PLAZOS DE CONSERVACIÓN

Los datos se conservarán únicamente durante el tiempo necesario para las finalidades para las que fueron recabados y, posteriormente, durante los plazos legales aplicables:

• Leads, consultas y comunicaciones sin contratación (incluido contenido de chat o emails asociados): hasta 24 meses desde la última interacción del usuario.
• Relación contractual y correspondencia comercial (cuando se contraten servicios): hasta 6 años desde la finalización de la relación, conforme al artículo 30 del Código de Comercio y a la normativa fiscal.
• Comunicaciones comerciales (newsletter): mientras el usuario no retire el consentimiento o solicite la baja.
• Lista de supresión / Robinson interna (para evitar volver a contactar a un usuario que se ha dado de baja): se conserva el dato mínimo imprescindible (email) mientras exista actividad de envío.
• Registros técnicos y de seguridad (logs): el tiempo estrictamente necesario para garantizar seguridad y trazabilidad, normalmente no superior a 12 meses.
• Datos sometidos a obligación legal (contables/fiscales): durante el plazo legal aplicable (con carácter general, hasta 6 años).

Una vez transcurridos los plazos, los datos serán suprimidos o, en su caso, bloqueados durante el tiempo en que puedan derivarse responsabilidades legales, conforme al artículo 32 de la LOPDGDD.

10. DERECHOS DE LAS PERSONAS INTERESADAS

El usuario puede ejercer en cualquier momento, de forma gratuita, los siguientes derechos:

• Acceso: conocer qué datos personales se están tratando.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación de los datos cuando ya no sean necesarios.
• Oposición: oponerse al tratamiento por motivos relacionados con su situación particular.
• Limitación: solicitar la limitación del tratamiento en los supuestos del art. 18 RGPD.
• Portabilidad: recibir los datos en formato estructurado y de uso común.
• Retirada del consentimiento en cualquier momento, sin efectos retroactivos.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos. El titular no realiza este tipo de decisiones.

Cómo ejercer los derechos

Mediante solicitud al correo electrónico hola@josemafernandez.com, indicando el derecho que se desea ejercer y aportando, en su caso, copia de un documento que permita acreditar la identidad del interesado.

Reclamación ante la autoridad de control

Si el usuario considera que sus derechos no han sido atendidos correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, o a través de su sede electrónica: www.aepd.es.

Los usuarios residentes en otros Estados miembros de la UE/EEE pueden reclamar ante la autoridad de control de su país de residencia. Los usuarios residentes en el Reino Unido pueden reclamar ante la Information Commissioner's Office (ICO): ico.org.uk.

Baja de comunicaciones comerciales

El usuario puede darse de baja en cualquier momento:

• mediante el enlace de baja incluido en cada comunicación comercial, o
• escribiendo a hola@josemafernandez.com.

11. CARÁCTER OBLIGATORIO DE LOS DATOS

Los campos identificados como obligatorios en los formularios (nombre, email y teléfono, así como la aceptación de la Política de Privacidad) son imprescindibles para gestionar la solicitud. Si el usuario no los proporciona o no acepta la Política, no podrá completarse el envío y el titular no podrá atender la solicitud.

12. DECISIONES AUTOMATIZADAS Y ELABORACIÓN DE PERFILES

El titular no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre el usuario o le afecten significativamente de modo similar (art. 22 RGPD). Las automatizaciones se limitan a tareas operativas (envío de emails, asignación a listas, segmentación temática general) sin elaboración de perfiles individuales con efectos jurídicos.

13. ATENCIÓN MEDIANTE INTELIGENCIA ARTIFICIAL (CHAT)

El Sitio puede incorporar, en el presente o en el futuro, un asistente conversacional basado en IA con finalidad informativa. Cuando esté activo:

• El contenido del chat se transmitirá a los proveedores de IA indicados en el apartado 7.1 (OpenAI y/o Google) únicamente para generar la respuesta.
• El titular utilizará planes o configuraciones del proveedor que, cuando esa opción esté disponible, no permitan el uso de los mensajes del usuario para entrenar modelos.
• Se podrán tratar metadatos técnicos mínimos (fecha/hora, identificador de sesión).

Se desaconseja al usuario introducir en el chat información sensible, credenciales, contraseñas, códigos de verificación, datos bancarios completos o datos personales de terceros sin autorización.

14. MEDIDAS DE SEGURIDAD

El titular aplica medidas técnicas y organizativas razonables para proteger los datos personales conforme al artículo 32 del RGPD, atendiendo al estado de la técnica, los costes, la naturaleza y los riesgos del tratamiento. Entre otras:

• Cifrado de las comunicaciones (HTTPS/TLS).
• Cabeceras de seguridad HTTP estrictas (HSTS, CSP, X-Frame-Options, COOP, etc.).
• Validación y sanitización de los datos enviados a través de formularios.
• Limitación de envíos por IP (rate limiting) y verificación del origen de las peticiones (CSRF).
• Firma criptográfica de las comunicaciones internas hacia los sistemas de automatización.
• Control de acceso a los sistemas, copias de seguridad y registros de actividad.
• Acuerdos de confidencialidad y contratos de encargo con todos los terceros que acceden a datos.

15. MENORES DE EDAD

El Sitio y sus servicios no están dirigidos a menores de 14 años, conforme al artículo 7 de la LOPDGDD. Si se detecta que se han recabado datos de un menor sin la autorización exigible, se procederá a su supresión inmediata. Los progenitores o tutores legales pueden comunicar cualquier incidencia a hola@josemafernandez.com.

16. USUARIOS RESIDENTES EN EL REINO UNIDO

Para los usuarios residentes en el Reino Unido, además del RGPD se aplica el UK GDPR y la Data Protection Act 2018. Los derechos reconocidos son equivalentes a los descritos en esta Política. La autoridad de control competente es la Information Commissioner's Office (ICO): ico.org.uk.

17. CAMBIOS EN ESTA POLÍTICA

El titular podrá actualizar esta Política para reflejar cambios técnicos, operativos, contractuales o normativos. La versión vigente estará siempre publicada en el Sitio, indicando la fecha de última actualización. Cuando los cambios sean sustanciales y afecten a los derechos del usuario, se le informará por los canales habituales.