RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; número de sociedad Pending - see CRO filing) ("RegulatoryBridge", "nosotros", "nos", "nuestro") es el responsable del tratamiento de los datos personales tratados en relación con este sitio web (regulatorybridge.com) y los servicios que prestamos.

Delegado de Protección de Datos: Puede contactar con nuestro DPO en dpo@regulatorybridge.com, o por correo postal en el domicilio social indicado anteriormente (indique en la correspondencia "Attn: Data Protection Officer").

Representante en la UE (Artículo 27 del RGPD): RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
Representante en el Reino Unido (Artículo 27 del UK GDPR): RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

Consulte nuestro Aviso Legal / Información Legal para conocer la divulgación completa de la entidad.

Esta política describe cómo tratamos los datos personales cuando usted (i) visita este sitio web, (ii) solicita información, una demostración o una conversación comercial, (iii) se registra en nuestros servicios, (iv) se suscribe a comunicaciones, o (v) interactúa con nosotros como socio comercial, proveedor o candidato a un puesto de trabajo.

Cuando prestamos servicios de representación en materia de privacidad o de delegado de protección de datos a nuestros clientes, nuestro cliente es el responsable del tratamiento de los datos personales de sus usuarios finales y RegulatoryBridge actúa como encargado del tratamiento en virtud de un Acuerdo de Tratamiento de Datos independiente. Dicho tratamiento se rige por el DPA vigente con el cliente, y no por esta política.

• Datos de identificación y contacto — nombre, correo electrónico profesional, teléfono profesional, cargo, empleador, país.
• Datos de la cuenta — nombre de usuario, contraseña cifrada (hash), preferencias de la cuenta, registro de MFA.
• Datos del servicio — solicitudes DSAR, detalles de brechas, evaluaciones de cumplimiento, entradas de ROPA y otros datos que usted carga para gestionar su programa de cumplimiento.
• Datos de facturación — contacto de facturación, NIF/identificación fiscal, dirección de facturación, historial de facturas. Los datos de tarjetas de pago son tratados por nuestro procesador de pagos conforme a PCI-DSS y no son almacenados por nosotros.
• Datos de uso y de dispositivo — dirección IP (truncada siempre que sea posible), navegador, tipo de dispositivo, URL de referencia, páginas visitadas, marcas de tiempo, eventos de sesión.
• Comunicaciones — correos electrónicos, tickets de soporte y notas de llamadas comerciales o de incorporación.
• Preferencias de marketing — estado de suscripción, registros de consentimiento, marcas de tiempo de baja.
• Datos de selección de personal (solo si se postula a un puesto) — CV, historial laboral, referencias, indicadores de derecho a trabajar.

No recopilamos intencionadamente datos de categorías especiales (Artículo 9 del RGPD) ni información personal sensible (CPRA, DPDPA) sobre prospectos o visitantes del sitio web. Si usted carga dichos datos en nuestros servicios para casos de uso de cumplimiento, se aplican nuestras obligaciones como encargado del tratamiento conforme al DPA.

• Directamente de usted — formularios, registro de cuenta, solicitudes de soporte, llamadas, correos electrónicos.
• Automáticamente — a través de nuestro sitio web, la analítica del producto y el registro de seguridad.
• De terceros — su empleador (si usted es designado como su contacto), directorios comerciales de acceso público, patrocinadores de conferencias, socios de referencia.

Las bases jurídicas que se indican a continuación hacen referencia al Artículo 6 del RGPD (y a las finalidades comerciales de la CCPA/CPRA cuando proceda):

Compartimos datos personales únicamente con partes que tienen una necesidad legítima de recibirlos:

• Infraestructura en la nube — AWS, Vercel, Cloudflare (CDN, edge compute, DDoS, WAF).
• Correo electrónico y comunicaciones — proveedores de correo electrónico transaccional y de marketing.
• Analítica y telemetría del producto — proveedor de analítica (solo con su consentimiento).
• CRM y automatización de ventas — para gestionar las relaciones comerciales.
• Procesamiento de pagos — procesador certificado conforme a PCI-DSS.
• Asesores profesionales — auditores, contables, abogados, aseguradoras sujetos a obligaciones de confidencialidad.
• Reguladores o tribunales — únicamente cuando lo exija la ley o con su consentimiento.

Puede solicitar una lista actualizada de subencargados escribiendo a dpo@regulatorybridge.com. Notificamos a los clientes los cambios materiales de subencargados de conformidad con el DPA correspondiente.

Es posible que transfiramos datos personales fuera de su país de residencia. Cuando el destino no esté cubierto por una decisión de adecuación de la UE/Reino Unido/Suiza, nos basamos en garantías adecuadas conforme al Art. 46 del RGPD:

• Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea, complementadas con el UK Addendum o el IDTA para las transferencias al Reino Unido.
• Normas Corporativas Vinculantes con destinatarios intragrupo cuando estén implantadas.
• Evaluaciones de Impacto de las Transferencias conforme a Schrems II para destinos de especial preocupación.

Para los titulares de datos en la India conforme a la DPDPA, las transferencias transfronterizas se realizan únicamente a jurisdicciones no restringidas por el Gobierno Central. Para Brasil (LGPD), las transferencias se basan en mecanismos aprobados por la ANPD (Resolución 19/2024). Para Japón (APPI), las transferencias se realizan con consentimiento o mediante acuerdos de protección equivalente. Puede solicitar una copia del mecanismo de transferencia aplicable a sus datos.

• Datos de la cuenta — duración del contrato más 90 días para la exportación.
• Registros de facturación — período mínimo de conservación legal (normalmente de 6 a 10 años por motivos fiscales/contables en la mayoría de las jurisdicciones).
• Tickets de soporte — 3 años tras su resolución.
• Datos de listas de marketing — hasta que retire el consentimiento, y después 30 días para la propagación del sistema.
• Registros de seguridad y auditoría — 12 meses por defecto (más tiempo cuando la ley lo exija).
• Datos de selección de personal — 12 meses después de cubrir el puesto (más tiempo con su consentimiento).

Implementamos medidas técnicas y organizativas apropiadas al riesgo, entre las que se incluyen:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256 o equivalente).
• Acceso basado en roles con privilegios mínimos, MFA en el acceso administrativo y requisito de llave de hardware para el acceso a producción.
• Registro continuo, detección de anomalías y respuesta a incidentes 24×7.
• Pruebas de penetración anuales y análisis de vulnerabilidades trimestrales.
• Mapeo de controles SOC 2 Type II e ISO 27001 (certificaciones en curso cuando proceda).
• Evaluaciones de riesgo de proveedores antes de contratar a cualquier subencargado.

A pesar de todos los controles, ningún sistema es perfectamente seguro. Si una brecha afecta a sus datos personales, le notificaremos a usted o a la autoridad de control competente, según corresponda, de conformidad con la legislación aplicable.

• Acceso — confirmación del tratamiento y una copia de sus datos.
• Rectificación — corrección de datos inexactos o incompletos.
• Supresión — eliminación en circunstancias determinadas.
• Limitación — pausar el tratamiento mientras se resuelve una controversia.
• Portabilidad — recibir sus datos en un formato estructurado y de uso común.
• Oposición — al tratamiento basado en intereses legítimos o en el marketing directo.
• Retirar el consentimiento — en cualquier momento, con la misma facilidad con la que lo otorgó.
• No ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o de modo similar le afecte significativamente.

Para ejercer cualquiera de estos derechos, contacte con dpo@regulatorybridge.com. Respondemos en el plazo de un mes (ampliable en dos meses para solicitudes complejas). Cuando no podamos verificar su identidad, le solicitaremos información adicional.

California (CCPA / CPRA). Los consumidores de California también tienen derecho a conocer, eliminar y corregir su información personal, a oponerse a su venta o intercambio, a limitar el uso de información personal sensible y a no ser discriminados por ejercer sus derechos. Respetamos las señales de Global Privacy Control. No hemos vendido información personal en los 12 meses anteriores. Para ejercer los derechos de la CCPA, escriba a privacy@regulatorybridge.com.

India (DPDPA). Los titulares de datos tienen derecho de acceso, corrección/complementación/actualización, supresión, reparación de quejas y nominación, y pueden retirar el consentimiento en cualquier momento. Contacte con dpo-india@regulatorybridge.com.

Reino Unido (UK GDPR). Puede presentar una reclamación ante la Information Commissioner's Office (ico.org.uk).

Brasil (LGPD). Puede ejercer los derechos establecidos en el Artículo 18 de la LGPD escribiendo a nuestro Encarregado en encarregado@regulatorybridge.com; también puede elevar la cuestión a la ANPD.

Singapur (PDPA). Nuestro DPO es el punto de contacto para el acceso, la corrección y la retirada del consentimiento conforme a la PDPA.

Japón (APPI). Puede solicitar la divulgación, corrección, cese o eliminación conforme a los Artículos 28–35 de la APPI contactando con nuestro Responsable de Información Personal en appi@regulatorybridge.com.

Suiza (revFADP). Se aplican derechos equivalentes; las reclamaciones pueden presentarse ante el FDPIC.

Nuestros servicios no están dirigidos a menores de 16 años, y no recopilamos a sabiendas datos personales de ninguna persona que consideremos menor de 16 años. Si cree que un menor nos ha proporcionado datos personales, contacte con dpo@regulatorybridge.com y los eliminaremos sin demora. Cuando los clientes traten datos de menores utilizando nuestros servicios, el cliente es responsable de obtener el consentimiento parental requerido.

No utilizamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o le afecten de modo similar significativamente. Algunos sistemas operativos (p. ej., filtrado de spam, detección de anomalías) aplican lógica automatizada con supervisión humana. Si esto cambia, actualizaremos esta política y obtendremos el consentimiento u otra base jurídica según corresponda.

Utilizamos cookies para: (i) funciones necesarias como el enrutamiento, la seguridad y la continuidad de la sesión; (ii) analítica opcional — solo con su consentimiento; (iii) marketing opcional — solo con su consentimiento. Usted gestiona su elección a través del banner de cookies que se muestra en la primera visita y en cualquier momento mediante "Configuración de Cookies" en nuestro pie de página (enlace próximamente). Para más detalles sobre cookies específicas, duraciones y proveedores, consulte nuestro próximo Aviso de Cookies.

Nos gustaría tener la oportunidad de resolver su inquietud en primer lugar — por favor, escriba a dpo@regulatorybridge.com. También tiene derecho a presentar una reclamación ante su autoridad de control local. La Autoridad de Protección de Datos de nuestro establecimiento principal es la Data Protection Commission (Ireland).

Es posible que actualicemos esta política de vez en cuando. Los cambios materiales se anunciarán en esta página y, cuando proceda, por correo electrónico o mediante notificación dentro del producto al menos 14 días antes de que entren en vigor. La versión y la fecha que figuran en la parte superior de esta página indican la iteración vigente.

Correo electrónico: privacy@regulatorybridge.com
Delegado de Protección de Datos: dpo@regulatorybridge.com
Correo postal: RegulatoryBridge Global Ltd., Attn: Data Protection Officer, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.