Última actualización pública: 6 de noviembre de 2026.
Esta política establece los principios y obligaciones de GeoQ para proteger los datos personales en su actividad corporativa, tecnológica, analítica y publicitaria. Su versión pública expone el marco de actuación y no sustituye los avisos específicos que deben recibir las personas.
La entidad que adopta esta política es GEO-Q TARGETING, S.L., que opera bajo la marca GeoQ. Abarca a sus empleados y personas que actúan bajo su autoridad. Su aplicación a otra sociedad requiere identificarla expresamente y determinar sus responsabilidades.
La política alcanza la recogida, consulta, análisis, combinación, comunicación, conservación y eliminación de datos, tanto en sistemas propios como en servicios externos.
Todo tratamiento debe tener una base jurídica identificada, una finalidad concreta y una información comprensible. Se tratarán únicamente datos adecuados, pertinentes y necesarios, manteniéndolos exactos y durante el tiempo justificado.
Los accesos y las medidas de seguridad deben proteger la confidencialidad, integridad, disponibilidad y capacidad de recuperación. GeoQ deberá poder demostrar las decisiones y controles adoptados conforme al principio de responsabilidad proactiva.
La seudonimización reduce riesgos pero no convierte automáticamente los datos en anónimos. Identificadores publicitarios, trayectorias y datos de dispositivos seguirán sujetos a protección cuando permitan identificar o singularizar a una persona. Solo se considerarán anónimos los resultados cuya reidentificación no sea razonablemente posible, atendiendo al contexto y a los medios disponibles.
Antes de iniciar un tratamiento se documentará su finalidad y base jurídica. El contrato solo ampara lo necesario para ejecutarlo con el interesado; no justifica por sí mismo el tratamiento de audiencias ajenas al contrato comercial.
Cuando se invoque interés legítimo se identificarán el interés perseguido, la necesidad del tratamiento, la ponderación de derechos y las salvaguardas. No sustituirá al consentimiento exigido para el acceso a dispositivos o para otros tratamientos sujetos a requisitos específicos.
El consentimiento debe ser libre, específico, informado e inequívoco, demostrable y revocable. Las finalidades distintas se ofrecerán separadamente cuando corresponda. No se realizarán tratamientos incompatibles con la información y elecciones del interesado.
Las categorías especiales de datos requieren, además de una base del artículo 6 del RGPD, una excepción válida del artículo 9. Los datos sobre condenas o infracciones penales se sujetan al artículo 10. No se habilitarán usos sensibles mediante una cláusula genérica de privacidad.
Los productos de geolocalización, segmentación, identidad, activación, medición y análisis deben incorporar privacidad desde el diseño y por defecto. Cada proyecto identificará datos, fuentes, finalidades, precisión, periodos, destinatarios y papel de GeoQ antes de su puesta en producción.
Para SDK, MAID y datos recibidos de terceros se verificará la licitud de la fuente, la información facilitada, las señales y evidencias de consentimiento cuando sea exigible, el alcance de los usos permitidos y los mecanismos de retirada. La declaración contractual de un proveedor no sustituye las comprobaciones proporcionadas al riesgo.
La combinación de identificadores y tablas de correspondencia, incluida la relación entre entornos físicos y digitales, necesita una finalidad y habilitación verificadas. Deben respetarse las restricciones por finalidad y evitar ampliaciones incompatibles del uso de datos.
La política de producto prohíbe utilizar localizaciones o inferencias para crear o activar segmentos que revelen salud, religión, ideología, orientación sexual u otras categorías especiales sin una habilitación específica previamente validada. Se aplicarán filtros de lugares sensibles y controles para evitar la identificación de personas en grupos pequeños.
Los proyectos deberán evaluar la presencia y los riesgos para menores. No se diseñarán segmentos publicitarios destinados a explotar su vulnerabilidad. Los controles se definirán según la fuente y el servicio, sin presumir que una audiencia es adulta por la sola descripción comercial del producto.
Los modelos de IA y los análisis predictivos estarán sujetos a los mismos controles de finalidad, necesidad, procedencia y seguridad. El uso de datos para entrenamiento no se entenderá autorizado por su disponibilidad técnica ni por haber sido recogidos para medición o publicidad.
Se facilitará la información legalmente exigida en la recogida directa y, cuando los datos procedan de otras fuentes, conforme a las condiciones y plazos del artículo 14 del RGPD. La mera publicación de una política no garantiza que se haya cumplido el deber de informar a las audiencias.
Los avisos distinguirán el sitio corporativo, las plataformas, los tratamientos de audiencias, los empleados y otros colectivos. Identificarán responsable, finalidades, bases, destinatarios, transferencias, conservación y medios de ejercicio de derechos.
Las solicitudes podrán dirigirse a info@geoq.es y al DPO en felix.sansebastian@vulcanolegal.com. Se atenderán los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad conforme a sus requisitos.
El plazo general de respuesta es de un mes; las ampliaciones legalmente admisibles se comunicarán dentro de ese plazo. La verificación de identidad será proporcionada. No se exigirán nombres o documentos adicionales para localizar un identificador cuando puedan utilizarse medios menos intrusivos adecuados.
Cuando una solicitud afecte a datos intercambiados con un socio, se coordinará su atención sin dilación, compartiendo solo la información necesaria por un canal seguro. Cada parte atenderá sus obligaciones dentro del plazo legal; la coordinación no reinicia el cómputo ni obliga al interesado a repetir su solicitud ante varias entidades. Se comunicarán las rectificaciones, supresiones o limitaciones a los destinatarios cuando lo exija el artículo 19 del RGPD.
La retirada del consentimiento y la oposición publicitaria deberán propagarse a los sistemas y destinatarios que corresponda. Se conservará la información mínima necesaria para evitar reactivaciones indebidas. Las decisiones exclusivamente automatizadas con efectos jurídicos o significativamente similares requieren la habilitación y garantías del artículo 22.
La posición de cada parte se determinará por las decisiones reales sobre fines y medios. Si GeoQ actúa como encargado, tratará los datos según instrucciones documentadas y el contrato del artículo 28; no los reutilizará para fines propios incompatibles con ese papel.
Los acuerdos con responsables independientes identificarán el intercambio concreto, las categorías de datos y personas, las finalidades permitidas, las bases jurídicas, la conservación, los destinatarios y las garantías de transferencia. La denominación contractual no sustituye la evaluación del papel efectivo de cada parte. Si cambian las funciones, deberán revisarse los acuerdos antes del nuevo tratamiento.
Los proveedores encargados deberán ofrecer garantías suficientes y formalizar contratos que regulen seguridad, confidencialidad, subencargados, derechos, incidentes y devolución o supresión. Se revisarán de forma proporcionada al riesgo.
Cuando un encargado recurra a otros encargados, se exigirá la autorización previa escrita, específica o general, del responsable y el cumplimiento de las condiciones del artículo 28 del RGPD. Los proveedores contratados directamente por un responsable son sus encargados; no se denominarán subencargados por el mero hecho de participar en una cadena comercial.
Cuando varias entidades determinen conjuntamente fines y medios, se documentará la corresponsabilidad conforme al artículo 26 y se facilitarán sus aspectos esenciales a los interesados. Si actúan como responsables independientes, se verificará la legitimación y transparencia de la comunicación.
La pertenencia al mismo grupo empresarial no constituye por sí sola una base para comunicar datos.
Se preverán mecanismos proporcionados para solicitar evidencias de cumplimiento y colaborar con las autoridades. La información compartida se limitará a lo necesario, protegiendo datos de terceros, secretos empresariales y seguridad. Ante usos no autorizados o pérdida de la habilitación, deberá poder suspenderse el flujo afectado, exigir medidas correctoras y, cuando corresponda, terminar la relación, sin mantener un tratamiento ilícito durante un plazo contractual de subsanación.
Antes de permitir transferencias o accesos desde terceros países se identificarán destinos, destinatarios y mecanismos válidos. Se comprobará el ámbito de las decisiones de adecuación o se adoptarán garantías apropiadas, incluida la evaluación de transferencias y las medidas complementarias necesarias.
Las excepciones del artículo 49 no se utilizarán como solución habitual para flujos recurrentes. La ubicación europea de un servidor no descarta transferencias si existen accesos desde fuera del EEE.
Las medidas técnicas y organizativas deberán adecuarse al riesgo e incluir control de acceso por funciones, autenticación, protección de credenciales, cifrado cuando resulte adecuado, trazabilidad, copias de seguridad y capacidad de restauración. Su eficacia se verificará periódicamente.
Las personas con acceso estarán sujetas a confidencialidad y formación adecuada. Se establecerán procedimientos de altas, cambios de permisos y bajas, así como controles sobre exportaciones y entornos de desarrollo.
Todo incidente que afecte a datos personales se escalará sin dilación por el canal interno establecido. Se documentarán los hechos, efectos, evaluación y medidas correctoras, incluso cuando no proceda notificación externa.
Cuando GeoQ actúe como responsable, notificará a la autoridad competente sin dilación indebida y, de ser posible, dentro de 72 horas desde que tenga constancia, salvo que sea improbable que exista riesgo para los derechos y libertades. Si existe alto riesgo se comunicará también a los afectados sin dilación indebida, salvo las excepciones legales. Como encargado, avisará al responsable sin dilación indebida.
Los acuerdos deberán prever la comunicación sin dilación indebida de incidentes que afecten a datos compartidos y la cooperación para contenerlos, evaluar sus efectos y efectuar las notificaciones exigibles. Se facilitará la información disponible inicialmente y se completará después. Los plazos de aviso entre partes no sustituyen ni amplían los plazos legales ante autoridades o interesados.
Se mantendrá un registro de actividades de tratamiento y se evaluarán los riesgos antes de introducir nuevas fuentes, finalidades, funcionalidades o proveedores. Las evaluaciones de impacto se realizarán antes de los tratamientos que probablemente entrañen alto riesgo.
La observación sistemática a gran escala, las trayectorias, el cruce de identificadores y el perfilado requieren un examen específico. Cuando persista alto riesgo que no pueda mitigarse, se consultará previamente a la autoridad de control en los términos legales.
Los cambios relevantes estarán sujetos a una revisión documentada de privacidad antes de producción, con responsables, decisiones y medidas pendientes. No se presentará como aprobado un tratamiento cuya habilitación o mitigaciones sigan sin resolver.
Cada tratamiento tendrá un plazo o criterio verificable de conservación y un responsable de su aplicación. Se diferenciarán datos brutos, perfiles, tablas de identidad, resultados agregados, registros y pruebas de consentimiento.
Al finalizar la finalidad se eliminarán o anonimizarán efectivamente los datos, salvo conservación legal o bloqueo procedente. Los sistemas deberán contemplar caducidad, borrado de réplicas y tratamiento de copias de seguridad, evitando la reintroducción de datos suprimidos tras una restauración.
La terminación de una relación deberá contemplar el cese de flujos y accesos, el destino de los datos y la constancia de las medidas ejecutadas. Cuando GeoQ actúe como encargado, suprimirá o devolverá los datos a elección del responsable y eliminará las copias, salvo conservación legal. Como responsable, solo conservará los datos que mantengan una finalidad y base jurídica válidas, durante el plazo justificado.
La dirección debe proporcionar recursos y asignar responsabilidades para implantar esta política. Los responsables de producto, ingeniería, datos, operaciones, comercial y personas deberán aplicar sus controles dentro de sus funciones.
El delegado de protección de datos asesora, supervisa y coopera con la autoridad con independencia, sin recibir instrucciones sobre sus funciones ni asumir decisiones que generen conflicto de intereses. La responsabilidad por el cumplimiento corresponde a la entidad responsable o encargada.
La política se revisará al menos anualmente y cuando cambien de forma relevante los tratamientos o el marco normativo. Se documentarán las revisiones, las medidas correctoras y su seguimiento. Su publicación no equivale a una certificación ni acredita por sí misma la ejecución de todos los controles.
Estamos a tu disposición para resolver todas tus dudas y explicarte, paso por paso, cómo podemos colaborar en el desarrollo definitivo de tu proyecto.
GRUPO CRISTALIZA
C/ Misterios, 65 · 28027 · MADRID
contacto@cristaliza.com
GRUPO CRISTALIZA
C/ Misterios, 65 · 28027 · MADRID
