Política de Privacidad
1. Responsable del tratamiento
Paul Alejandro Palmero Gómez ·
SwiftProcess
swiftprocess@palmeraxiom.com
Identificación completa (NIF y domicilio) en el Aviso Legal.
Puedes dirigirte a la dirección de correo indicada para cualquier cuestión relativa a esta política o al ejercicio de tus derechos.
No se ha designado Delegado de Protección de Datos. Las consultas en materia de privacidad se atienden en swiftprocess@palmeraxiom.com.
2. Los dos papeles de SwiftProcess
Esta es la distinción más importante de todo el documento, y de ella depende a quién tienes que dirigirte según el caso.
A. Cuando somos responsables
Lo somos respecto de los datos que tratamos por decisión propia para poder existir como servicio: las cuentas de usuario, la relación contractual y el plan contratado, la aceptación de los documentos contractuales, el contacto comercial, la seguridad del propio servicio, nuestros registros técnicos y las comunicaciones de cuenta dirigidas a los usuarios del despacho. Aquí decidimos nosotros las finalidades y los medios. Se detalla en el apartado 3.
B. Cuando somos encargados
Lo somos respecto de todo lo que el despacho introduce en la aplicación sobre sus propios clientes y expedientes. Ahí el responsable es el despacho: es él quien decide qué datos recoge, para qué y con qué legitimación, y quien mantiene la relación con la persona afectada. Nosotros los alojamos y procesamos siguiendo sus instrucciones y en los términos del Contrato de Encargo de Tratamiento. Se detalla en el apartado 4.
Entra aquí todo el trabajo del despacho: clientes, expedientes, familiares y representantes, documentos y adjuntos, datos económicos del expediente, firmantes, el envío de las solicitudes y avisos de firma que el despacho ordena, y las copias de seguridad de todo ello.
Si eres cliente de un despacho que usa SwiftProcess y quieres ejercer tus derechos sobre los datos de tu expediente, tienes que dirigirte a ese despacho, no a nosotros. Nosotros no decidimos sobre esos datos y no podemos atender la solicitud por nuestra cuenta: lo que sí hacemos es asistir al despacho para que pueda atenderla.
3. Tratamientos propios: qué datos y para qué
En estos tratamientos el responsable es el titular indicado en el apartado 1.
| Finalidad | Datos tratados | Base jurídica |
|---|---|---|
| Alta y gestión de las cuentas de usuario del servicio | Nombre y apellidos, correo electrónico, contraseña (almacenada mediante hash con BCrypt, nunca en claro), rol y permisos, y los datos profesionales que el usuario decida cumplimentar: cargo, documento identificativo, teléfono, dirección profesional, número de colegiado y colegio | Ejecución del contrato (art. 6.1.b RGPD) |
| Gestión de la relación contractual, del plan contratado y del consumo de firma electrónica | Datos de la empresa contratante, plan, estado de la cuenta, saldo y consumo de firmas, solicitudes de recarga y quién las pide | Ejecución del contrato (art. 6.1.b RGPD) |
| Prueba de la aceptación de los documentos contractuales | Empresa, persona que acepta, documento y versión aceptados, fecha y hora, dirección IP y navegador | Ejecución del contrato y cumplimiento de obligaciones legales (arts. 6.1.b y 6.1.c RGPD) |
| Atender consultas y solicitudes recibidas por el formulario de contacto, y gestionar en su caso las medidas precontractuales | Nombre, despacho, correo electrónico, teléfono y el contenido del mensaje | Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD) e interés legítimo en atender la comunicación (art. 6.1.f RGPD) |
| Comunicaciones operativas de la cuenta dirigidas a los usuarios del despacho: acceso, restablecimiento de contraseña, invitaciones y avisos sobre el estado del servicio | Nombre y dirección de correo del usuario, y la información del aviso concreto | Ejecución del contrato (art. 6.1.b RGPD) |
| Seguridad del servicio y prevención de abuso, fraude y accesos no autorizados | Dirección IP, verificación anti-bot de los formularios públicos, identificadores de sesión y registros de acceso | Interés legítimo en proteger el servicio y a sus usuarios (art. 6.1.f RGPD) |
| Registros técnicos propios de la aplicación, necesarios para diagnosticar incidencias | Identificador de petición, identificador de bufete, correo del usuario y trazas técnicas | Interés legítimo en mantener el servicio operativo (art. 6.1.f RGPD) |
| Registro de auditoría de las acciones realizadas en la aplicación | Correo de quien realiza cada acción, fecha y hora, dirección IP en acciones administrativas, y el detalle del cambio | Interés legítimo en la trazabilidad y en la defensa frente a reclamaciones (art. 6.1.f RGPD) |
| Estadísticas agregadas y no identificativas sobre volúmenes de utilización del servicio (número de clientes gestionados, expedientes creados y documentos generados en el conjunto de la plataforma) | Solo recuentos. Sin contenido de expedientes, sin nombres de clientes finales, sin identificación pública de ningún despacho y sin perfiles individuales | Interés legítimo en operar, medir y mejorar el servicio, y en comunicar su actividad de forma agregada (art. 6.1.f RGPD) |
No se realizan comunicaciones comerciales a personas que no lo hayan solicitado, y no se elaboran perfiles con ninguno de estos datos.
Las estadísticas agregadas no usan el contenido de los expedientes. Se limitan a contar cuántos registros existen en el conjunto de la plataforma: no contienen el contenido de los expedientes, no identifican públicamente a ningún despacho, no identifican a los interesados, no se utilizan para elaborar perfiles ni para publicidad personalizada, y no se venden ni se ceden a terceros.
Las copias de seguridad no aparecen en esta tabla y no son un tratamiento propio independiente: respecto de la información que el despacho introduce, forman parte de la prestación del servicio como encargados, aunque el mecanismo concreto lo decidamos nosotros como medida de seguridad. Se describen en el apartado 8 y en el Contrato de Encargo de Tratamiento.
4. Datos del despacho: SwiftProcess como encargado
Cuando un despacho usa la aplicación, introduce información sobre sus clientes y expedientes. Sobre esos datos el responsable es el despacho, y nosotros actuamos únicamente como encargados del tratamiento.
Por la naturaleza de los trámites de extranjería, esa información puede incluir:
- datos de identificación y contacto: nombre, apellidos, DNI, NIE y número de soporte, pasaporte, número de la Seguridad Social, domicilio, domicilio a efectos de notificaciones, teléfono y correo electrónico;
- datos personales de perfil: fecha y lugar de nacimiento, nacionalidad, sexo, estado civil, profesión y fecha de entrada en España;
- datos de familiares y de representantes: padre, madre, cónyuge, hijos, el familiar concreto del trámite y el titular del derecho, con sus datos identificativos;
- documentos y adjuntos que el despacho sube o genera: modelos oficiales cumplimentados, hojas de encargo, certificados y documentación acreditativa;
- datos económicos del expediente: importes, cobros, pagos parciales y pendientes;
- datos relativos a la firma electrónica: nombre y correo de cada firmante, estado y fecha de firma, y el documento firmado con su certificado de firma;
- el envío de las solicitudes y recordatorios de firma a los destinatarios que el despacho designa: los enviamos por su cuenta y siguiendo su instrucción, no por iniciativa propia;
- las copias de seguridad de toda esa información;
- datos relativos a la salud o a la discapacidad, cuando el trámite concreto lo requiera (categoría especial, art. 9 RGPD);
- datos relativos a antecedentes penales y a certificados de antecedentes (art. 10 RGPD);
- información vinculada a procedimientos de protección internacional o asilo, cuando el expediente la incorpore.
No determinamos la finalidad ni la base jurídica de estos tratamientos, y no invocamos una base propia para ellos. Es el despacho quien decide qué datos recoge, con qué legitimación y durante cuánto tiempo, y quien responde de la licitud de ese tratamiento frente a sus clientes y ante la autoridad de control.
Nuestra actuación se limita a alojarlos y procesarlos siguiendo sus instrucciones documentadas, en los términos del Contrato de Encargo de Tratamiento, que forma parte del contrato de servicio.
5. De dónde salen los datos
- De la propia persona, cuando se registra, rellena el formulario de contacto o usa la aplicación.
- Del despacho contratante, cuando da de alta a las personas de su equipo.
- Del despacho, sobre terceros: la mayor parte de la información del apartado 4 no la facilita la persona afectada, sino el despacho que gestiona su expediente. Informar a esas personas corresponde al despacho, como responsable.
- Generados por el propio sistema: identificadores de sesión, registros técnicos, registros de auditoría y marcas de tiempo.
6. Destinatarios y proveedores
No vendemos datos personales ni los cedemos a terceros para sus propias finalidades.
Para poder prestar el servicio recurrimos a proveedores que actúan como encargados o subencargados del tratamiento, con contrato y con acceso limitado a lo necesario. La relación completa, actualizada, con su finalidad y las categorías de datos que puede tratar cada uno, está publicada en Proveedores y subencargados.
Con carácter resumido, intervienen: un proveedor de infraestructura y copias de seguridad, un proveedor de firma electrónica, un proveedor de envío de correo y un proveedor de verificación anti-bot.
Además, los datos pueden comunicarse a Juzgados, Tribunales, Fuerzas y Cuerpos de Seguridad y Administraciones Públicas cuando exista una obligación legal de hacerlo.
7. Transferencias internacionales
La infraestructura donde se alojan los datos y las copias de seguridad está ubicada en la Unión Europea, y el proveedor de firma electrónica se utiliza a través de su infraestructura europea.
No obstante, dos de los proveedores relacionados en Proveedores y subencargados —el de envío de correo y el de verificación anti-bot— son entidades con sede en los Estados Unidos, por lo que puede producirse una transferencia internacional de datos. Dichas transferencias se amparan en las garantías previstas en el capítulo V del RGPD que resulten aplicables en cada caso, tales como el marco de adecuación aplicable a entidades certificadas o, en su defecto, cláusulas contractuales tipo aprobadas por la Comisión Europea.
El detalle por proveedor, incluida la ubicación cuando está confirmada, se mantiene actualizado en esa misma página.
8. Cuánto tiempo se conservan
Los plazos que siguen son los que el servicio aplica realmente:
| Información | Conservación |
|---|---|
| Datos de cuentas, contratación y datos del apartado 4 | Mientras la cuenta esté activa. Después, según el apartado 9 |
| Sesión iniciada | Caduca a la hora de inactividad |
| Tokens de restablecimiento de contraseña | Dejan de ser válidos al expirar. Los registros caducados se eliminan periódicamente mediante el proceso automático de limpieza |
| Registros técnicos de la aplicación | 21 días |
| Copias de seguridad | Todas las de los últimos 7 días, más una copia semanal hasta los 30 días. A partir de ahí se eliminan |
| Registros de auditoría y de seguridad | Durante el tiempo necesario para cumplir obligaciones legales y para la formulación, ejercicio o defensa de reclamaciones, aplicando criterios de minimización y acceso restringido |
| Prueba de aceptación de los documentos contractuales | Mientras dure la relación y, después, durante el plazo de prescripción de las acciones derivadas del contrato |
| Mensajes recibidos por el formulario de contacto | El tiempo necesario para atender la consulta y, si prospera, mientras dure la relación comercial |
Los plazos que damos como cifra son los que el servicio aplica de verdad —21 días de registros técnicos, hasta 30 días de copias y una hora de sesión—. Para los registros de auditoría y seguridad no publicamos un plazo máximo cerrado, porque hoy no existe un borrado automático que lo garantice: se conservan el tiempo necesario para las finalidades indicadas, minimizando lo guardado y con el acceso restringido.
9. Baja, archivo y eliminación
Conviene entender el proceso completo, porque no es instantáneo:
- Suspensión. Bloquea el acceso a la aplicación —por impago, por fin de un periodo de prueba o a petición—. No elimina ningún dato: todo sigue disponible si la cuenta se reactiva.
- Archivo (baja). La cuenta se cierra y deja de estar operativa. Se abre un periodo de archivo de 30 días antes de que la información pueda eliminarse, para evitar pérdidas por un cierre erróneo o precipitado. Durante ese periodo puedes solicitar una copia o exportación de tu información.
- Eliminación definitiva. Se suprime la base de datos dedicada de la empresa y sus documentos. Esta operación es irreversible.
- Restos en copias de seguridad. Tras la eliminación, la información puede seguir presente en las copias de seguridad existentes hasta que estas completen su ciclo, que hoy es de hasta 30 días. Durante ese periodo permanece únicamente en la copia, sin acceso desde la aplicación, y se elimina al caducar la copia.
No prometemos eliminación instantánea, porque no sería cierto. Un borrado se propaga a las copias cuando estas caducan, no antes.
Copia de tus datos antes de la eliminación
El despacho puede solicitarnos una copia o exportación de su información durante los 30 días del periodo de archivo, escribiendo a la dirección del apartado 1. La entregamos en los formatos que resulten técnicamente disponibles y razonables. No existe hoy una función de exportación completa en autoservicio dentro de la aplicación; la aplicación sí permite descargar los documentos de un expediente en cualquier momento, también antes de la baja.
10. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a swiftprocess@palmeraxiom.com.
Para poder atender la solicitud podemos pedirte que acredites tu identidad. Responderemos en el plazo de un mes desde la recepción, prorrogable en los términos del artículo 12.3 del RGPD cuando la solicitud sea especialmente compleja, informándote de la prórroga.
Si tu solicitud se refiere a datos de un expediente gestionado por un despacho, te remitiremos a ese despacho, que es el responsable, y le asistiremos para que pueda atenderte.
Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
11. Datos de terceros y de menores
La aplicación permite al despacho registrar datos de personas distintas de su cliente —familiares, representantes y firmantes—, incluidos menores de edad cuando el expediente lo requiere, como los hijos del solicitante.
Respecto de esos datos el responsable es el despacho, sobre quien recae el deber de informar a esas personas y de disponer de una base jurídica válida, incluida, cuando proceda, la autorización de quien ejerza la patria potestad o la tutela.
El servicio no se dirige a menores de edad como usuarios: para acceder a la aplicación hay que formar parte de un despacho contratante.
12. Decisiones automatizadas
No se adoptan decisiones automatizadas que produzcan efectos jurídicos o afecten significativamente a las personas, y no se elabora ningún perfil. La aplicación cumplimenta formularios y organiza documentación; no valora, puntúa ni clasifica a las personas, y no decide sobre el resultado de ningún trámite.
13. Seguridad
Se aplican medidas técnicas y organizativas apropiadas al riesgo, entre ellas:
- cifrado del tráfico mediante HTTPS;
- contraseñas almacenadas mediante hash con BCrypt, nunca en claro;
- base de datos dedicada por cada empresa cliente, de modo que la información de una empresa no se almacena junto a la de otra;
- control de acceso por roles y permisos, y protección contra falsificación de peticiones entre sitios;
- verificación anti-bot en los formularios públicos;
- registro de auditoría de las acciones realizadas;
- copias de seguridad periódicas con capacidad de restauración;
- un control, a disposición del despacho en Mi Empresa, que le permite retirar a nuestro personal el acceso operativo a sus datos de trabajo. Ese control no puede reactivarse desde nuestro lado y cada cambio queda auditado.
Ninguna medida elimina por completo el riesgo. Las personas con acceso administrativo a la infraestructura pueden acceder técnicamente a la información alojada; ese acceso está limitado a lo imprescindible, sujeto a deber de confidencialidad y sometido al control descrito.
14. Cookies
El sitio utiliza únicamente cookies y almacenamiento local necesarios para su funcionamiento y su seguridad. El detalle está en la Política de Cookies.
15. Cambios en esta política
Esta política puede actualizarse para reflejar cambios en el servicio o en la normativa. Cada versión lleva su número y su fecha, indicados en la cabecera de esta página (v1.0 · 9 de septiembre de 2026).
Los cambios sustanciales se comunicarán a los clientes activos por correo electrónico antes de su entrada en vigor, en los términos previstos en los Términos de Uso.