Esta política se refiere a VES, la plataforma de activación de procedimientos críticos, en cualquiera de sus formas de uso: aplicación web y aplicaciones móviles para iOS y Android. Si solo estás visitando nuestro sitio web o has pedido una demostración, lo que se te aplica es la Política de privacidad del sitio web.
Quién decide sobre tus datos
Esto es lo primero que conviene entender, porque determina a quién dirigirte.
Cuando tu organización —un hospital, un puerto, una universidad, una administración— contrata VES, es esa organización quien decide qué datos se tratan y para qué. Ella es el responsable del tratamiento.
RKL Integral actúa como encargado del tratamiento: tratamos esos datos únicamente siguiendo las instrucciones de tu organización y conforme al contrato de encargo que firmamos con ella, en los términos del artículo 28 del RGPD.
En la práctica, esto significa que:
- Si quieres ejercer tus derechos sobre los datos que VES trata de ti, debes dirigirte a tu organización, no a nosotros. Nosotros la asistiremos para que pueda atenderte.
- No usamos tus datos para nuestros propios fines. No los vendemos, no los cedemos y no los empleamos para perfilarte ni para entrenar modelos.
- Es tu organización quien decide durante cuánto tiempo se conservan y quién puede acceder a ellos dentro de la plataforma.
Hay una excepción acotada: RKL Integral actúa como responsable respecto de los datos de facturación, gestión contractual y datos de contacto de las personas interlocutoras de la organización cliente, porque esos tratamientos los decidimos nosotros. La base jurídica es la ejecución del contrato (art. 6.1.b del RGPD) y el cumplimiento de nuestras obligaciones fiscales y contables (art. 6.1.c); se conservan durante la relación contractual y, después, durante los plazos de prescripción fiscal y mercantil.
Conviene precisar el límite: el soporte técnico no entra en esa excepción. Cuando para resolver una incidencia accedemos a datos de personas usuarias de la plataforma, lo hacemos por instrucción de tu organización y seguimos siendo encargados del tratamiento.
Qué datos trata VES
Depende de cómo configure la plataforma cada organización. Con carácter general:
- Identificación y contacto: nombre, apellidos, puesto o rol dentro del plan, teléfono, correo electrónico y los canales por los que debes recibir avisos.
- Actividad operativa: procedimientos activados, tareas asignadas, estados, tiempos de respuesta, confirmaciones de recepción y las observaciones o evidencias que se adjunten durante una activación o un simulacro.
- Registro de auditoría: quién hizo qué y cuándo. Es el núcleo del producto: la trazabilidad es precisamente lo que VES aporta, y por eso estos registros son inalterables.
- Datos técnicos: identificador de dispositivo, versión de la aplicación y registros de acceso, necesarios para entregar las notificaciones y para la seguridad.
El registro de auditoría y tus derechos
Que los registros sean inalterables convive con tu derecho de rectificación y de supresión, y merece una explicación en vez de una nota al pie.
Un registro de auditoría documenta lo que ocurrió durante una activación o un simulacro. Si se pudiera reescribir, dejaría de servir para lo que existe: acreditar ante una autoridad, una inspección o un tribunal cómo se respondió. Por eso el art. 17.3 del RGPD admite que el derecho de supresión ceda cuando el tratamiento es necesario para cumplir una obligación legal o para formular o defender reclamaciones.
En la práctica: una corrección no borra el apunte anterior, sino que añade uno nuevo que la refleja, de modo que la secuencia completa sigue siendo legible. Si pides la supresión, la decisión corresponde a tu organización como responsable; cuando no pueda suprimirse, la alternativa habitual es bloquear el acceso al dato o seudonimizarlo, conservando la trazabilidad sin exponer tu identidad. Nosotros ejecutamos lo que tu organización decida.
Las aplicaciones móviles
- Notificaciones push: la aplicación utiliza los servicios de notificación de Apple (APNs) y Google (FCM). Para ello se envía a esos servicios un identificador del dispositivo, nunca el contenido sensible del aviso.
- Ubicación: la aplicación solo accede a tu ubicación si tu organización ha activado esa función y tú das permiso en el dispositivo. Puedes revocarlo en cualquier momento desde los ajustes del sistema.
- Cámara y archivos: se usan únicamente cuando adjuntas una evidencia a una tarea, y siempre con tu permiso expreso.
- Sin publicidad ni rastreo: las aplicaciones de VES no incorporan redes publicitarias ni identificadores de seguimiento con fines comerciales.
Sobre tu cuenta: las cuentas de VES no se crean solas, las da de alta tu organización, y es ella quien las suspende o elimina. Si quieres que la tuya desaparezca, pídeselo a tu organización: es quien puede hacerlo, y nosotros la asistiremos. Desinstalar la aplicación no elimina la cuenta.
Transferencias internacionales
Los datos de la plataforma se alojan y tratan dentro de la Unión Europea.
Hay una excepción que conviene decir claramente: la entrega de las notificaciones push. Para que un aviso llegue a tu teléfono hay que pasar por los servicios de Apple (APNs) y Google (FCM), que pueden tratar el identificador del dispositivo fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Lo que viaja es el identificador del dispositivo y el aviso mínimo necesario para que suene; el contenido sensible del procedimiento no sale de la plataforma: se consulta dentro de la aplicación, ya autenticado.
Si tu organización necesita evitar por completo esa transferencia, existe la alternativa de operar solo con canales que no la requieran. Es una decisión de configuración que se acuerda en el contrato.
Subencargados
Para prestar el servicio nos apoyamos en proveedores que tratan datos por cuenta nuestra, todos con contrato firmado y sujetos a las mismas obligaciones que asumimos nosotros. La relación actualizada de subencargados, con su ubicación y su función, se facilita a cada organización cliente junto con el contrato de encargo.
Cuando queramos incorporar o sustituir a un subencargado, lo comunicaremos a la organización cliente con al menos 30 días de antelación. Durante ese plazo puede oponerse por motivos razonables; si no llegamos a un acuerdo, podrá resolver el contrato sin penalización respecto de los servicios afectados.
Seguridad
RKL Integral está certificada en el Esquema Nacional de Seguridad, categoría media. Aplicamos, entre otras, medidas de control de acceso por roles, registro de actividad, cifrado en tránsito, copias de seguridad y gestión de vulnerabilidades. El detalle aplicable a cada cliente figura en el contrato de encargo.
Conservación y devolución
Los datos se conservan mientras dure el contrato con tu organización. Al terminar, y según lo que ella indique, se devuelven o se suprimen de forma segura, salvo que una obligación legal exija conservarlos durante un plazo adicional.
Violaciones de seguridad
Si se produjera una violación de seguridad que afecte a datos personales, lo notificaremos a la organización responsable sin dilación indebida, con la información necesaria para que pueda cumplir con sus obligaciones ante la autoridad de control y, si procede, ante las personas afectadas.
Contacto
Para cuestiones relativas a esta política: ves@rklintegral.com, RISKLESS INTEGRAL, S.L., Alameda San Mamés 37, planta 2ª, dpto. 1 — 48010 Bilbao (Bizkaia).
Recuerda: si eres usuario de VES y quieres ejercer tus derechos, el camino correcto es tu propia organización.
Última actualización: 17 de septiembre de 2026.