Política de Privacidad

Última actualización: 20 de junio de 2026

La presente Política de Privacidad regula el tratamiento de datos de carácter personal que se lleva a cabo a través del servicio GestoFlou (en adelante, "GestoFlou" o "el Servicio"), marca comercial titularidad de RS Soluciones de Inteligencia Artificial, S.L. (Sociedad Unipersonal) (en adelante, "RS Agents", "nosotros" o "el prestador"), accesible desde [DOMINIO DEL SERVICIO].

Esta Política se ha redactado de conformidad con el Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, "RGPD"), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD"), la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, "LSSI-CE") y el Reglamento (UE) 2024/1689, por el que se establecen normas armonizadas en materia de inteligencia artificial (en adelante, "Reglamento de IA" o "AI Act").

1. Cuestión previa: dos planos de tratamiento bien diferenciados

GestoFlou es un software como servicio (SaaS) dirigido a asesorías y gestorías profesionales. Por su naturaleza, intervienen dos tipos de datos muy distintos que se rigen por reglas y documentos diferentes. Es fundamental que usted comprenda esta distinción:

• (A) Datos respecto de los cuales RS Agents es RESPONSABLE del tratamiento. Son los datos de contacto y registro de los profesionales (gestores/asesores) que se dan de alta, contactan o utilizan el Servicio, así como los datos de los visitantes de la web. Estos tratamientos se regulan en el Apartado A de esta Política.

• (B) Datos contenidos en los documentos que la gestoría sube al Servicio, respecto de los cuales RS Agents es ENCARGADO del tratamiento. Son los datos personales que aparecen dentro de las facturas, extractos, nóminas y demás documentos que la gestoría procesa por cuenta de sus propios clientes. Sobre estos datos RS Agents no decide los fines ni los medios: actúa siguiendo instrucciones de la gestoría. Estos tratamientos se regulan en el Apartado B de esta Política y, de forma vinculante, en el correspondiente Contrato de Encargo del Tratamiento (art. 28 RGPD).

APARTADO A — Datos de los que RS Agents es RESPONSABLE

Este apartado se aplica a los profesionales usuarios (gestores, asesores y personal de las gestorías) que se registran, contratan o contactan con el Servicio, y a los visitantes de la web.

A.1. Responsable del tratamiento

A.2. Contacto en materia de privacidad

Para cualquier cuestión relativa al tratamiento de sus datos personales o al ejercicio de sus derechos, puede dirigirse a nosotros a través del correo electrónico privacidad@[DOMINIO DEL SERVICIO] —correo del dominio corporativo del Servicio—, indicando en el asunto la referencia "Protección de Datos". De forma transitoria, hasta la activación de dicho buzón, podrá utilizarse como canal de contingencia la dirección roselloagents@gmail.com.

RS Agents no ha designado un Delegado de Protección de Datos (DPD/DPO) por no concurrir ninguno de los supuestos de designación obligatoria del artículo 37 RGPD ni del artículo 34 LOPDGDD. No obstante, el correo anterior constituye el canal único y permanente para todas las cuestiones de privacidad.

A.3. Finalidades del tratamiento, bases jurídicas y categorías de datos

Tratamos sus datos personales para las finalidades que se detallan a continuación, cada una con su correspondiente base jurídica conforme al artículo 6 RGPD:

a) Atender consultas, solicitudes de información y contacto previo

• Categorías de datos: datos identificativos y de contacto (nombre, apellidos, correo electrónico, en su caso teléfono y nombre de la gestoría) y el contenido del propio mensaje.
• Base jurídica: la aplicación de medidas precontractuales adoptadas a petición del interesado (art. 6.1.b RGPD) cuando la consulta se orienta a una posible contratación; y, subsidiariamente, nuestro interés legítimo en atender las comunicaciones que se nos dirigen (art. 6.1.f RGPD).

b) Gestionar el registro, alta y uso del Servicio por parte de los profesionales

• Categorías de datos: datos identificativos y de contacto del profesional o de la gestoría, datos de la cuenta y credenciales de acceso (cuando el Servicio incorpore autenticación) y datos de facturación si en el futuro el Servicio pasa a ser de pago.
• Base jurídica: la ejecución del contrato de prestación del Servicio o de las condiciones de uso aceptadas, así como la aplicación de medidas precontractuales (art. 6.1.b RGPD).

*Nota sobre la fase actual:* durante el periodo de pruebas el Servicio es gratuito. RS Agents se reserva el derecho a cobrar por el Servicio más adelante. En ese momento se tratarán los datos de facturación correspondientes sobre la misma base de ejecución del contrato y para el cumplimiento de las obligaciones legales fiscales y contables (art. 6.1.c RGPD).

c) Gestionar y mantener la relación contractual y prestar soporte

• Categorías de datos: datos identificativos y de contacto, datos de uso del Servicio e historial de incidencias y comunicaciones de soporte.
• Base jurídica: la ejecución del contrato (art. 6.1.b RGPD) y el cumplimiento de obligaciones legales aplicables (art. 6.1.c RGPD).

d) Garantizar la seguridad, integridad y correcto funcionamiento del Servicio

• Categorías de datos: datos técnicos imprescindibles para la prestación (por ejemplo, registros de actividad de la cuenta y datos de funcionamiento del Servicio).
• Base jurídica: nuestro interés legítimo en garantizar la seguridad de la información y prevenir usos fraudulentos o abusivos (art. 6.1.f RGPD), debidamente ponderado frente a los derechos de los interesados.

e) Remitir comunicaciones sobre el Servicio y, en su caso, comerciales

• Categorías de datos: datos identificativos y de contacto.
• Base jurídica: el consentimiento del interesado (art. 6.1.a RGPD) o, tratándose de clientes y respecto de productos o servicios propios similares a los ya contratados, nuestro interés legítimo amparado en la excepción del artículo 21.1, párrafo segundo, de la LSSI-CE (art. 6.1.f RGPD). En todo caso, usted podrá oponerse a este tratamiento o revocar el consentimiento en cualquier momento de forma sencilla y gratuita, incluso a través del medio de baja que se habilita en cada comunicación, conforme al artículo 21.2 de la LSSI-CE.

Almacenamiento técnico en el navegador (localStorage). El Servicio almacena el lote de documentos en proceso únicamente en el localStorage del navegador del propio usuario. Se trata de un almacenamiento técnicamente necesario para la prestación del Servicio solicitado por el usuario y, por tanto, exceptuado del deber de consentimiento del artículo 22.2 LSSI-CE. No utilizamos cookies de terceros, herramientas de analítica ni rastreadores publicitarios.

Origen de los datos y carácter del suministro

Todos los datos personales tratados conforme a este Apartado A se obtienen directamente del propio interesado, ya sea a través de los formularios de contacto y registro del Servicio, de las comunicaciones que usted nos dirige o del propio uso del Servicio. No recabamos datos de los profesionales usuarios ni de los visitantes a partir de fuentes de terceros.

El suministro de los datos solicitados en los formularios de contacto y de registro tiene carácter voluntario; no obstante, aquellos campos identificados como obligatorios resultan necesarios para atender su consulta o para dar de alta y prestar el Servicio. La negativa a facilitar dichos datos obligatorios impedirá la tramitación de la solicitud, el alta o la correcta prestación del Servicio, según el caso (art. 13.2.e RGPD).

A.4. Plazos de conservación

Conservaremos sus datos personales durante el tiempo estrictamente necesario para cumplir la finalidad para la que fueron recabados, aplicando el principio de limitación del plazo de conservación (art. 5.1.e RGPD) y, en todo caso, conforme a los siguientes criterios:

• Datos de consultas y contacto precontractual: mientras se gestiona la solicitud y, posteriormente, durante el plazo de prescripción de las acciones que pudieran derivarse, tras lo cual serán suprimidos.
• Datos de la cuenta y de la relación contractual no contables (datos identificativos y de contacto, datos de uso, historial de soporte): durante toda la vigencia de la relación y, una vez finalizada, bloqueados durante el plazo de prescripción de las acciones y responsabilidades que pudieran derivarse de la relación, transcurrido el cual se suprimirán. No se conservan estos datos durante el plazo mercantil de seis años de forma indiscriminada, sino únicamente durante el plazo de prescripción aplicable a las eventuales responsabilidades.
• Datos de facturación, contables y fiscales (cuando el Servicio pase a ser de pago): durante los plazos legalmente exigidos para la conservación de libros y documentación contable y mercantil, esto es, seis años desde el último asiento conforme al artículo 30 del Código de Comercio, y durante cuatro años a efectos del cumplimiento de las obligaciones tributarias, en atención al plazo de prescripción del artículo 66 de la Ley 58/2003, General Tributaria (LGT).
• Datos para el envío de comunicaciones comerciales: hasta que el interesado retire su consentimiento o se oponga a dicho tratamiento.

Transcurridos dichos plazos, y superado en su caso el periodo de bloqueo legalmente exigible, los datos serán suprimidos o anonimizados de forma irreversible.

A.5. Destinatarios y encargados/subencargados

RS Agents no cede sus datos personales a terceros, salvo obligación legal. No obstante, para la prestación del Servicio nos apoyamos en proveedores que actúan como encargados del tratamiento por cuenta de RS Agents, debidamente vinculados mediante contrato conforme al artículo 28 RGPD. En particular:

• Proveedor de alojamiento e infraestructura (hosting) del Servicio.
• Proveedores de modelos de inteligencia artificial a través de la plataforma OpenRouter, Inc. (Estados Unidos), que enruta las solicitudes a los proveedores de inferencia que sirven los modelos utilizados (DeepSeek para texto y Google Gemini para visión). Para los datos de los que RS Agents es responsable conforme a este Apartado A, la intervención de estos proveedores de IA es residual; su papel principal se desarrolla respecto de los datos del Apartado B, según se detalla más adelante.

La relación detallada y actualizada de encargados y subencargados, con su ubicación, su función y el mecanismo concreto de transferencia internacional aplicable a cada uno, se mantiene accesible en la lista de subencargados del Servicio, disponible en [DOMINIO DEL SERVICIO].

A.6. Transferencias internacionales de datos

Algunos de nuestros proveedores se encuentran ubicados fuera del Espacio Económico Europeo (EEE), en particular OpenRouter, Inc. (Estados Unidos) y los proveedores de inferencia que actúan a su través.

Toda transferencia internacional se realiza con las debidas garantías del Capítulo V del RGPD (arts. 44 a 49), mediante uno o varios de los siguientes mecanismos:

• Decisión de adecuación y/o adhesión del importador al EU-U.S. Data Privacy Framework (DPF) en el caso de proveedores estadounidenses certificados.
• Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea, cuando proceda, complementadas con las medidas adicionales técnicas y organizativas que resulten necesarias.

El mecanismo de transferencia concreto que ampara a cada subencargado —indicando, para cada proveedor, si la transferencia se basa en su adhesión al DPF o se cubre mediante SCCs— se especifica de forma individualizada y actualizada en la lista de subencargados del Servicio, accesible en [DOMINIO DEL SERVICIO]. Dicha lista constituye el documento de referencia para acreditar las garantías del Capítulo V del RGPD aplicables a cada importador.

Además, RS Agents ha adoptado una política de proveedores de IA equilibrada que limita el tratamiento a proveedores ubicados en la Unión Europea o en Estados Unidos adheridos al DPF y/o cubiertos por SCCs, excluyendo expresamente a China. Esta política se materializa, entre otras, en las siguientes medidas técnicas verificadas y aplicadas en las llamadas a los modelos de IA. Estas medidas operan conforme a la configuración técnica aplicada por RS Agents y a los compromisos contractuales asumidos por los proveedores; su efectividad depende del cumplimiento real y continuado de dichos compromisos por parte de OpenRouter y de los proveedores de inferencia:

• No entrenamiento con los datos (data_collection = "deny"): conforme a la configuración aplicada y a los compromisos contractuales asumidos, los proveedores se obligan a no utilizar los datos enviados para entrenar sus modelos.
• Retención cero de datos (zdr = true, *Zero Data Retention*): las solicitudes se enrutan a endpoints configurados para no almacenar el contenido de la solicitud.
• Exclusión del endpoint de DeepSeek alojado en China, mediante la correspondiente lista de exclusión.
• Lista blanca opcional de proveedores UE/DPF verificados.
• Opción de residencia íntegra en la UE mediante el uso del punto de acceso europeo de OpenRouter (https://eu.openrouter.ai/api/v1), que persigue que el descifrado de los datos se realice únicamente dentro de la Unión Europea.

Puede obtener información detallada sobre las garantías aplicadas, así como copia de las mismas, solicitándola en privacidad@[DOMINIO DEL SERVICIO].

A.7. Derechos de los interesados

Usted tiene derecho a obtener confirmación sobre si RS Agents está tratando sus datos personales y, en su caso, a ejercer los siguientes derechos reconocidos en los artículos 15 a 22 RGPD:

• Acceso: conocer qué datos tratamos y obtener una copia de ellos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación de sus datos cuando, entre otros motivos, ya no sean necesarios.
• Oposición: oponerse al tratamiento basado en nuestro interés legítimo, así como, en cualquier momento y sin necesidad de justificación, al tratamiento con fines de comunicaciones comerciales.
• Limitación del tratamiento: solicitar que se suspenda el tratamiento en los supuestos legalmente previstos.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable cuando proceda.
• Decisiones individuales automatizadas (art. 22 RGPD): derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar. Tal y como se detalla en el apartado A.8, RS Agents no adopta este tipo de decisiones.
• Retirada del consentimiento: retirar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo a su retirada.

Cómo ejercerlos: puede ejercer estos derechos de forma gratuita dirigiendo una solicitud al correo privacidad@[DOMINIO DEL SERVICIO], indicando el derecho que desea ejercer. Podremos solicitarle que acredite su identidad. Daremos respuesta a su solicitud en el plazo máximo de un mes desde su recepción. Dicho plazo podrá prorrogarse por dos meses adicionales en caso de solicitudes especialmente complejas o numerosas, informándole de la prórroga y de sus motivos dentro del primer mes, conforme al artículo 12.3 RGPD.

Reclamación ante la autoridad de control: si considera que el tratamiento de sus datos no se ajusta a la normativa, o si no ha obtenido satisfacción en el ejercicio de sus derechos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan, 6, 28001 Madrid, y sede electrónica en www.aepd.es.

A.8. Decisiones automatizadas

RS Agents no adopta decisiones automatizadas que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar, en el sentido del artículo 22 RGPD. El Servicio incorpora inteligencia artificial con carácter meramente asistencial: cualquier resultado generado por la IA es revisado, validado y, en su caso, corregido por un profesional humano (el contable o gestor) antes de producir efecto alguno.

A.9. Medidas de seguridad

RS Agents aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 RGPD. Entre otras: cifrado de las comunicaciones, procesamiento efímero en memoria sin persistencia de los documentos en base de datos, custodia de las credenciales de acceso a los proveedores de IA exclusivamente en el lado servidor, control de accesos, minimización de datos y selección de proveedores con garantías contractuales y técnicas reforzadas (compromiso de no entrenamiento, retención cero y exclusión geográfica de proveedores no conformes).

En caso de producirse una violación de seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de los interesados, RS Agents la notificará a la AEPD y, cuando proceda, a los interesados afectados, conforme a los artículos 33 y 34 RGPD.

APARTADO B — Datos contenidos en los documentos (RS Agents como ENCARGADO)

B.1. Cadena de responsabilidades

Cuando una gestoría utiliza GestoFlou para procesar los documentos de sus propios clientes (empresas y autónomos), los datos personales contenidos en esos documentos se tratan bajo el siguiente esquema de roles del RGPD:

• El cliente final de la gestoría (la empresa o autónomo) y/o la gestoría son responsables del tratamiento: deciden los fines y disponen de la base jurídica que legitima el tratamiento de esos datos.
• La gestoría, al servirse de GestoFlou, actúa como responsable frente a RS Agents.
• RS Soluciones de Inteligencia Artificial, S.L.U. (GestoFlou) actúa como encargado del tratamiento, procesando los datos únicamente conforme a las instrucciones documentadas del responsable.
• Intervienen como subencargados: OpenRouter, Inc. (Estados Unidos) y, a su través, los proveedores de inferencia que sirven los modelos DeepSeek y Google Gemini, así como el proveedor de hosting e infraestructura.

B.2. Documento que rige este tratamiento

El tratamiento de los datos contenidos en los documentos no se rige por esta Política de Privacidad, sino por el Contrato de Encargo del Tratamiento (art. 28 RGPD) suscrito entre la gestoría (responsable) y RS Agents (encargado). Dicho contrato regula, entre otros extremos: el objeto, duración, naturaleza y finalidad del tratamiento; el tipo de datos y categorías de interesados; las obligaciones y derechos del responsable; la confidencialidad; las medidas de seguridad; el régimen de subencargados; la asistencia al responsable; y el destino de los datos a la finalización del encargo.

B.3. Deber de información respecto de los datos de terceros (art. 14 RGPD)

Los datos personales contenidos en los documentos corresponden, con carácter general, a terceros (proveedores, clientes y empleados del cliente final de la gestoría) y no se obtienen directamente del propio interesado, sino a partir de la documentación que la gestoría sube al Servicio.

RS Agents, en su condición de encargado del tratamiento, no recaba estos datos del interesado ni mantiene relación directa con él, por lo que el deber de información del artículo 14 RGPD (información que ha de facilitarse cuando los datos no se han obtenido del propio interesado) corresponde íntegramente al responsable del tratamiento (la gestoría y/o el cliente final). Es el responsable quien debe informar a dichos terceros sobre el tratamiento de sus datos, disponer de la base jurídica que lo legitime y atender el ejercicio de derechos.

RS Agents asistirá al responsable en el cumplimiento de estas obligaciones —incluido, en la medida de lo posible y mediante medidas técnicas y organizativas apropiadas, el apoyo en la atención del ejercicio de derechos por los interesados— en los términos del artículo 28 RGPD y del Contrato de Encargo del Tratamiento, pero no asume frente a dichos terceros el deber de información del artículo 14 RGPD.

B.4. Categorías de datos contenidos en los documentos

Los documentos que sube la gestoría pueden contener, entre otras, las siguientes categorías de datos de terceros (proveedores, clientes, empleados):

• Datos identificativos: nombre, NIF/DNI y dirección.
• Datos económico-financieros: importes, números de factura, IBAN y movimientos de extractos bancarios.
• Datos laborales y de nóminas que, excepcionalmente, pueden rozar las categorías especiales del artículo 9 RGPD (por ejemplo, datos de salud derivados de bajas o incapacidad temporal, o de afiliación sindical derivados de cuotas). Estos datos se tratan con especial cautela y la legitimación corresponde íntegramente al responsable (gestoría/cliente final), que debe asegurarse de contar con la base habilitante del artículo 9 RGPD.

B.5. Flujo de tratamiento y carácter efímero

El tratamiento que realiza RS Agents como encargado se caracteriza por su minimización y carácter efímero:

1. El navegador del propio usuario descomprime el ZIP mensual y envía cada documento (el texto extraído del PDF, o el PDF/imagen) al servidor del Servicio.
2. El servidor extrae el texto y, cuando el documento es un escaneo o imagen, recurre a visión. A continuación realiza la llamada a los modelos de IA a través de OpenRouter con salidas estructuradas.
3. El servidor no persiste los documentos: el procesamiento se realiza en memoria, la respuesta se devuelve por *streaming* y no existe base de datos que almacene los documentos ni su contenido. Las credenciales de acceso a los proveedores residen exclusivamente en el servidor.
4. Se aplican límites de minimización (número máximo de documentos por lote, tamaño máximo por archivo y por lote, y recorte del texto enviado), que reducen la cantidad de datos tratados.

Sobre las llamadas a los modelos de IA se aplican las garantías técnicas reforzadas ya descritas en el Apartado A.6: compromiso de no entrenamiento con los datos (data_collection = "deny"), retención cero (zdr = true), exclusión del endpoint chino de DeepSeek y, opcionalmente, residencia íntegra en la UE y lista blanca de proveedores UE/DPF. Tales medidas operan conforme a la configuración técnica aplicada y a los compromisos contractuales asumidos por los proveedores. Las transferencias internacionales se amparan en el DPF y/o en SCCs, conforme al mecanismo concreto asignado a cada subencargado en la lista de subencargados del Servicio.

B.6. Lista de subencargados

La relación actualizada de subencargados que intervienen en este tratamiento (proveedor de hosting, OpenRouter y proveedores de los modelos DeepSeek y Gemini), con su ubicación, su función y el mecanismo concreto de transferencia internacional aplicable a cada uno (adhesión al DPF o cobertura mediante SCCs), está disponible en la lista de subencargados del Servicio en [DOMINIO DEL SERVICIO]. Cualquier alta o sustitución de subencargados se comunicará al responsable conforme al artículo 28.2 RGPD, dándole la posibilidad de oponerse.

2. Uso de inteligencia artificial y transparencia (Reglamento de IA)

GestoFlou incorpora sistemas de inteligencia artificial de propósito general (modelos GPAI de terceros, DeepSeek y Google Gemini) para leer, clasificar y extraer datos de los documentos con el fin de asistir al profesional contable. RS Agents actúa como **responsable del despliegue (*deployer*)** de dichos modelos.

Conforme a nuestra evaluación bajo el Reglamento (UE) 2024/1689 (AI Act), el Servicio:

• No incurre en ninguna práctica prohibida del artículo 5.
• No constituye, a nuestro juicio y conforme a nuestra evaluación, un sistema de IA de alto riesgo del Anexo III: no realiza evaluación de solvencia crediticia para el acceso a servicios esenciales, ni decisiones sobre empleo, ni tratamiento de datos biométricos.
• Se clasifica, conforme a dicha evaluación, como un sistema de riesgo limitado/mínimo, sujeto a las obligaciones de transparencia del artículo 50 y al mantenimiento de la supervisión humana.

En cumplimiento del deber de transparencia (art. 50 AI Act), le informamos de que el contenido extraído y las indicaciones de dudas o duplicados que ofrece el Servicio han sido generados con asistencia de inteligencia artificial. Dichos resultados no son definitivos: el profesional humano (contable o gestor) los revisa, valida y corrige siempre antes de su utilización. En ningún caso la IA adopta decisiones automatizadas con efectos jurídicos sobre las personas.

3. Modificaciones de esta Política

RS Agents podrá modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o a cambios en el Servicio. Las modificaciones serán publicadas en [DOMINIO DEL SERVICIO], siendo aplicable la versión vigente en cada momento, identificada por su fecha de última actualización.

Fecha de última actualización: 20 de junio de 2026