1. Responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos de que el responsable del tratamiento de sus datos personales es:

• Denominación social: Blue Mountain Asesores, S.L.U.
• NIF/CIF: B42985432
• Domicilio social: Calle Maestro Alonso, 4, entreplanta, 30005 Murcia
• Dirección para correspondencia: Avda. Marqués de los Vélez 13, entresuelo, 30008 Murcia
• Teléfonos: +34 910 917 811 (Madrid) · +34 868 300 587 (Murcia) · +34 928 402 802 (Las Palmas)
• Correo electrónico (protección de datos): bbotia@bm.consulting
• Sitio web: bm.consulting

2. Contacto de privacidad

Para cualquier cuestión sobre el tratamiento de sus datos personales o para ejercer sus derechos, puede dirigirse a nuestro contacto de privacidad:

• Correo electrónico: bbotia@bm.consulting
• Dirección postal: Blue Mountain Asesores, S.L.U., contacto de privacidad, Avda. Marqués de los Vélez 13, entresuelo, 30008 Murcia

3. Datos que recopilamos

Dependiendo de la naturaleza de su relación con BMC, podemos tratar las siguientes categorías de datos personales:

• Datos identificativos: nombre y apellidos, DNI/NIE/NIF, número de pasaporte u otro documento de identidad, fecha de nacimiento, firma.
• Datos de contacto: dirección de correo electrónico, número de teléfono, dirección postal.
• Datos económico-financieros: datos fiscales (número de identificación fiscal, declaraciones tributarias), datos contables, información bancaria y de pagos. Estos datos se tratan exclusivamente cuando BMC presta servicios de asesoramiento fiscal, contable, laboral o jurídico-financiera.
• Datos profesionales: denominación social de la empresa, NIF/CIF, cargo o función, actividad económica (CNAE), datos de representación.
• Datos de prevención de blanqueo de capitales: documentación de diligencia debida exigida por la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo.
• Datos de navegación: dirección IP, tipo de navegador y dispositivo, sistema operativo, páginas visitadas, duración de la sesión, datos de cookies (conforme a nuestra Política de Cookies).

Como regla general, no tratamos categorías especiales de datos (datos de salud, origen racial, creencias religiosas, etc.). No obstante, en el marco de la prestación de servicios de asesoramiento laboral y gestión de nóminas como encargados del tratamiento (artículo 28 RGPD), podemos acceder a datos de salud (incapacidades temporales, certificados médicos), afiliación sindical o grado de discapacidad de los empleados de nuestros clientes. Dicho tratamiento se realiza exclusivamente por cuenta del responsable (cliente) y se ampara en el cumplimiento de obligaciones legales en el ámbito laboral y de Seguridad Social (artículo 9.2.b del RGPD y artículo 9 de la LOPDGDD).

4. Finalidades del tratamiento

Sus datos personales serán tratados con las siguientes finalidades, conforme a las bases jurídicas y plazos de conservación indicados:

5. Legitimación del tratamiento

El tratamiento de sus datos personales se basa en las siguientes habilitaciones legales del artículo 6 del RGPD:

• Consentimiento (Art. 6.1.a RGPD): Prestado de forma libre, específica, informada e inequívoca para finalidades tales como el envío de comunicaciones comerciales, la suscripción al boletín o el uso de formularios de contacto. Puede retirar su consentimiento en cualquier momento sin efecto retroactivo.
• Ejecución contractual (Art. 6.1.b RGPD): El tratamiento es necesario para la prestación de los servicios contratados o para la aplicación de medidas precontractuales a petición del interesado.
• Obligación legal (Art. 6.1.c RGPD): El tratamiento es necesario para el cumplimiento de obligaciones impuestas por la normativa tributaria (LGT), mercantil (Código de Comercio), laboral (ET, LGSS), de prevención del blanqueo de capitales (Ley 10/2010) y otras normas aplicables.
• Interés legítimo (Art. 6.1.f RGPD): Para finalidades como el análisis estadístico agregado del sitio web o el envío de comunicaciones comerciales a clientes actuales sobre servicios similares (conforme al Art. 21.2 LSSI), siempre que no prevalezcan los intereses o derechos fundamentales del interesado.

6. Destinatarios y encargados del tratamiento

No vendemos ni cedemos sus datos. Solo los comunicamos cuando una ley lo exige (por ejemplo, a la Agencia Tributaria, a la Seguridad Social, a juzgados o a registros) o a los proveedores que nos prestan un servicio por cuenta nuestra (encargados del tratamiento, art. 28 RGPD), con contrato y solo para ese servicio:

• Hetzner Online GmbH: servidores donde están la plataforma, su base de datos, los documentos y las grabaciones de llamadas. Alemania y Finlandia.
• Cloudflare: copias de seguridad, cifradas antes de salir de nuestros servidores (Cloudflare solo recibe datos cifrados) y guardadas en la Unión Europea; resolución de nombres de dominio; y protección antibots de los formularios de la web (Turnstile), que trata la dirección IP y datos del navegador. Véase el apartado 7.
• Amazon Web Services EMEA SARL: envío de los correos electrónicos de la web y de la plataforma, desde Irlanda. Véase el apartado 7.
• Google Ireland Limited: correo, agenda y documentos del equipo (Google Workspace), inicio de sesión con Google y, solo si usted lo acepta en el aviso de cookies, la analítica de la web (Google Analytics). Véase el apartado 7.
• OpenAI Ireland Ltd: transcripción de voz y respuestas del asistente telefónico. Véase el apartado 7.
• Cartesia AI, Inc.: voz sintética del asistente telefónico. Véase el apartado 7.
• Duocom Internet, S.L. (Telefácil): telefonía y SMS. España.
• Stripe Payments Europe, Ltd.: cobros con tarjeta y otros medios de pago. Irlanda. Véase el apartado 7.
• Holded Technologies, S.L.: facturación y contabilidad. España.
• Zoho Corporation B.V.: atención de solicitudes (Zoho Desk) y gestión de clientes (Zoho CRM), en la Unión Europea.
• GitHub, Inc.: repositorios donde el equipo guarda la documentación de trabajo de los expedientes. Véase el apartado 7.
• Anthropic: modelos de inteligencia artificial que usa el equipo para redactar documentos, analizar expedientes y desarrollar nuestras herramientas. Estamos formalizando con este proveedor el contrato de encargo con las cláusulas contractuales tipo. Véase el apartado 7.
• Profesionales externos (abogados, procuradores, notarios, auditores y peritos), cuando el encargo lo requiere y con deber de confidencialidad.

Los bancos con los que trabajamos (Qonto) reciben los datos de cobros y pagos como responsables independientes, no como encargados.

7. Transferencias internacionales de datos

Algunos proveedores son empresas de Estados Unidos o tienen allí su matriz, y sus datos pueden tratarse en ese país. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incluidas en el contrato de encargo de cada proveedor:

• OpenAI y Cartesia (asistente telefónico) y GitHub (repositorios de trabajo): Estados Unidos.
• Anthropic (modelos de inteligencia artificial del equipo): Estados Unidos. Estamos formalizando con este proveedor el contrato de encargo y las cláusulas contractuales tipo; hasta entonces, esta transferencia no cuenta con ellas.
• Cloudflare (protección antibots), Amazon Web Services (envío de correo), Google (Workspace y analítica) y Stripe (pagos): contratamos con su filial europea, pero los datos pueden tratarse también en Estados Unidos.

Las copias de seguridad que guarda Cloudflare están en la Unión Europea y cifradas: no hay transferencia. Puede pedir una copia de las garantías escribiendo a bbotia@bm.consulting.

8. Plazos de conservación de los datos

Los datos personales se conservarán durante el tiempo necesario para las finalidades que motivaron su recogida y, en todo caso, durante los plazos mínimos legalmente exigibles. Una vez transcurridos dichos plazos, los datos serán suprimidos o anonimizados de forma irreversible.

Durante los plazos de conservación los datos estarán debidamente bloqueados, con acceso restringido, y solo se utilizarán para el cumplimiento de las obligaciones legales o la atención de posibles reclamaciones.

Copias de seguridad. Para poder recuperar el servicio tras una avería o un incidente, la plataforma hace cada día una copia de seguridad cifrada de sus datos. Cada copia se conserva como máximo seis años y después se destruye. Las copias no se consultan ni se usan para ninguna otra finalidad. Si se suprimen sus datos, pueden seguir dentro de las copias hechas antes de la supresión hasta que estas caduquen; si alguna vez hubiera que restaurar una copia, la supresión se vuelve a aplicar antes de usarla.

9. Derechos del interesado

Conforme a los artículos 15 a 22 del RGPD y los artículos 12 a 18 de la LOPDGDD, usted tiene derecho a:

• Acceso (Art. 15 RGPD): Conocer si tratamos sus datos personales y obtener una copia de los mismos, así como información sobre las finalidades, categorías de datos, destinatarios y plazos de conservación.
• Rectificación (Art. 16 RGPD): Solicitar la corrección de datos inexactos o la compleción de datos incompletos.
• Supresión («derecho al olvido», Art. 17 RGPD): Solicitar la eliminación de sus datos cuando, entre otros supuestos, ya no sean necesarios para las finalidades para las que fueron recogidos o haya retirado su consentimiento.
• Limitación del tratamiento (Art. 18 RGPD): Solicitar la suspensión del tratamiento en determinadas circunstancias (p. ej., mientras se verifica la exactitud de los datos impugnados).
• Portabilidad (Art. 20 RGPD): Recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y solicitar su transmisión directa a otro responsable, cuando el tratamiento se base en su consentimiento o en la ejecución de un contrato.
• Oposición (Art. 21 RGPD): Oponerse al tratamiento de sus datos en cualquier momento por motivos relacionados con su situación particular, cuando el tratamiento se base en el interés legítimo del responsable.
• No ser objeto de decisiones automatizadas (Art. 22 RGPD): No ser sometido a decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre usted o le afecten significativamente.
• Retirada del consentimiento: Retirar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.

Cómo ejercer sus derechos: Puede ejercer cualquiera de estos derechos enviando un correo electrónico a bbotia@bm.consulting o mediante escrito dirigido al domicilio social de BMC, adjuntando en ambos casos copia de su DNI, NIE, pasaporte u otro documento de identidad válido que acredite su identidad.

Plazo de respuesta: Le daremos respuesta en el plazo máximo de un mes desde la recepción de su solicitud. Dicho plazo podrá prorrogarse otros dos meses más, en función de la complejidad y el número de solicitudes, informándole en todo caso dentro del primer mes de la prórroga y sus motivos (Art. 12.3 RGPD).

10. Medidas de seguridad

De conformidad con el artículo 32 del RGPD, BMC ha implementado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre las que se incluyen:

• Cifrado de comunicaciones: Todas las comunicaciones entre el usuario y el sitio web están cifradas mediante protocolos TLS/SSL (HTTPS).
• Control de acceso basado en roles: El acceso a los datos personales está restringido al personal que los necesita para el desempeño de sus funciones, mediante sistemas de autenticación y gestión de permisos.
• Cifrado de datos en reposo: Los datos almacenados en nuestra plataforma están cifrados para prevenir accesos no autorizados.
• Copias de seguridad periódicas: Se realizan copias de seguridad regulares de los datos para garantizar su disponibilidad e integridad ante incidentes (ver apartado 8).
• Formación del personal: El personal de BMC recibe formación periódica en materia de protección de datos y seguridad de la información.
• Evaluaciones periódicas de seguridad: Se llevan a cabo revisiones y auditorías de seguridad de manera regular para identificar y corregir vulnerabilidades.
• Plan de respuesta ante incidentes: Disponemos de procedimientos documentados para la detección, gestión, notificación y resolución de incidentes de seguridad que afecten a datos personales.

11. Notificación de brechas de seguridad

En caso de que se produzca una violación de la seguridad de los datos personales, BMC actuará de la siguiente manera, conforme a los artículos 33 y 34 del RGPD:

• Notificación a la AEPD (Art. 33 RGPD): En el plazo de 72 horas desde que tengamos conocimiento de la brecha, la notificaremos a la Agencia Española de Protección de Datos (AEPD), salvo que sea improbable que dicha violación suponga un riesgo para los derechos y libertades de las personas físicas.
• Comunicación a los afectados (Art. 34 RGPD): Cuando la violación de seguridad pueda suponer un alto riesgo para los derechos y libertades de los interesados, se lo comunicaremos a usted sin dilación indebida, con información clara sobre la naturaleza de la violación, sus posibles consecuencias y las medidas adoptadas o propuestas para remediarla.

Si tiene conocimiento o sospecha de cualquier incidente de seguridad relacionado con sus datos, le rogamos nos lo comunique de inmediato en bbotia@bm.consulting.

12. Tratamiento de datos de menores

De conformidad con el artículo 7 de la LOPDGDD, el tratamiento de los datos personales de menores de 14 años requiere el consentimiento de sus padres o tutores legales.

Los servicios de BMC están dirigidos exclusivamente a personas mayores de edad y a empresas y profesionales. No recopilamos conscientemente datos personales de menores de 14 años. Si tenemos conocimiento de que hemos recopilado datos de un menor sin el consentimiento parental requerido, procederemos a su eliminación de inmediato. Si es padre, madre o tutor y cree que su hijo menor nos ha facilitado datos personales, le rogamos nos lo comunique en bbotia@bm.consulting.

13. Uso de Inteligencia Artificial y decisiones automatizadas

En cumplimiento del Reglamento (UE) 2024/1689 (AI Act) y del artículo 22 del RGPD, BMC informa que utiliza sistemas de inteligencia artificial como apoyo operativo en algunos procesos internos:

• Asistente virtual telefónico: las llamadas a nuestras centralitas pueden ser atendidas inicialmente por un asistente con IA, que se identifica como tal al inicio de la conversación (Art. 50.1 AI Act) y le informa expresamente de que la llamada está siendo grabada (Art. 13 RGPD). En todo momento puede solicitar transferencia a un operador humano (Art. 22.3 RGPD); la oferta se le hace explícita en la primera respuesta del asistente. Si ya ha llamado anteriormente, podemos utilizar el historial de su llamada o llamadas previas (nombre facilitado, tema general consultado, número de contactos) como contexto para atenderle con mayor eficiencia y no obligarle a repetir información ya proporcionada; nunca se utiliza este historial para fines distintos de la propia continuidad del servicio. Puede pedirnos en cualquier momento la supresión de su historial de llamadas.
• Clasificación de leads: al contactarnos por formulario o email, un sistema de IA puede clasificar tu consulta por área (fiscal, jurídico, laboral…) y asignar prioridad. La decisión sobre tu asunto la toma siempre un profesional humano colegiado.
• Asistencia a la composición: el equipo puede usar IA para borradores iniciales. Toda comunicación enviada es revisada y validada por un profesional humano antes del envío.

BMC no realiza decisiones individuales automatizadas (Art. 22.1 RGPD) que produzcan efectos jurídicos sobre los interesados ni elabora perfiles que les afecten significativamente. Toda evaluación profesional, asesoramiento, propuesta económica, presentación tributaria, alegación o documento contractual se realiza con intervención humana cualificada bajo supervisión de profesional colegiado.

Inventario completo, finalidades, datos procesados y tu derecho a intervención humana en /es/dpo/uso-ia/. Para ejercer derechos o solicitar información detallada sobre cualquier sistema de IA: /es/dpo/ejercer-derechos/ o bbotia@bm.consulting.

14. Derecho a presentar reclamación ante la AEPD

Sin perjuicio de cualquier otro recurso administrativo o acción judicial, si considera que el tratamiento de sus datos personales infringe el RGPD o la LOPDGDD, tiene derecho a presentar una reclamación ante la autoridad de control competente. En España, dicha autoridad es la Agencia Española de Protección de Datos (AEPD):

• Dirección: C/ Jorge Juan 6, 28001 Madrid
• Teléfono: 91 266 35 17
• Sitio web: www.aepd.es
• Sede electrónica: sedeagpd.gob.es

Antes de presentar una reclamación ante la AEPD, le invitamos a escribir a nuestro contacto de privacidad en bbotia@bm.consulting, donde trataremos de resolver su consulta o reclamación en el menor plazo posible.

15. Modificaciones de la política de privacidad

BMC se reserva el derecho a modificar la presente política de privacidad para adaptarla a cambios legislativos, jurisprudenciales o de práctica profesional. Las modificaciones serán notificadas a los usuarios mediante publicación en este sitio web con indicación de la fecha de actualización. Le recomendamos revisar periódicamente esta página.

Última actualización: 23 de octubre de 2026.