Política de Privacidad

En Biosphere Responsible Tourism, S.L. («BRT», «nosotros» o «nos») tratamos los datos personales que se nos facilitan con respeto e integridad, y nos comprometemos a proteger la privacidad de las personas cuyos datos recibimos a través de nuestros sitios web www.biospheretourism.com y www.biospheresustainable.com.

Esta Política de Privacidad explica qué datos personales tratamos, con qué finalidades y sobre qué base jurídica, durante cuánto tiempo los conservamos, a quién los comunicamos y qué derechos le asisten. El tratamiento de los datos personales se realiza siempre conforme a:

• el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, «RGPD»);
• la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»);
• la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico («LSSI»), y
• cualquier otra normativa de protección de datos que resulte aplicable.

SECCIÓN 1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

Biosphere Responsible Tourism, S.L. (BRT)

CIF: B76584770

Domicilio: C/ La Rosa, 1, 1.º, CP 38002, Santa Cruz de Tenerife, Islas Canarias, España

Correo electrónico: info@biospheresustainable.com

Teléfono: (+34) 922 24 29 04

SECCIÓN 2. Definiciones

Para que esta política resulte comprensible, a continuación explicamos los principales términos que utilizamos, de acuerdo con el artículo 4 del RGPD:

• Datos personales: toda información sobre una persona física identificada o identificable («interesado»). Se considera identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
• Interesado: la persona física cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
• Limitación del tratamiento: el marcado de los datos personales conservados con el fin de limitar su tratamiento en el futuro.
• Elaboración de perfiles: toda forma de tratamiento automatizado de datos personales consistente en utilizarlos para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos a su rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos.
• Responsable del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento.
• Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento.
• Destinatario: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No se consideran destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros.
• Tercero: la persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.
• Consentimiento del interesado: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.

SECCIÓN 3. Datos personales que tratamos

En función de su relación con nosotros, podemos tratar las siguientes categorías de datos personales:

• Datos de registro y de cuenta: nombre y apellidos, dirección de correo electrónico, credenciales de acceso y, en su caso, cargo y entidad a la que representa, facilitados al darse de alta en nuestras plataformas de formación o de certificación.
• Datos del servicio de certificación: datos de las personas de contacto de la entidad y la información que se facilite a lo largo del proceso de certificación (documentación y evidencias aportadas, comunicaciones con el equipo auditor, informes de auditoría, decisiones de certificación y registros asociados).
• Datos del servicio de formación: datos de inscripción, progreso en los cursos, resultados de evaluaciones y diplomas o certificados de aprovechamiento expedidos.
• Datos de facturación y transacciones: datos identificativos y fiscales, dirección de facturación, detalles de los servicios adquiridos e importes. Los datos de la tarjeta u otro medio de pago los trata directamente el proveedor de la pasarela de pago; BRT no tiene acceso a ellos.
• Datos de consultas y correspondencia: la información que nos facilite al contactar con nosotros por correo electrónico, formularios web, teléfono o el sistema de mensajería (tickets) de nuestras plataformas, junto con los metadatos asociados a esas comunicaciones.
• Datos de quejas, reclamaciones y apelaciones: la información que nos facilite al presentar una queja, reclamación o apelación relacionada con nuestros servicios.
• Datos de navegación: dirección IP, proveedor de acceso a Internet, tipo y versión del navegador, sistema operativo, sitio web de procedencia, páginas visitadas, fecha y hora de acceso y otros datos técnicos similares, que se registran en los archivos de registro del servidor. Si usted lo acepta mediante el panel de configuración de cookies, también recogemos datos de uso con fines analíticos (véase la Sección 8).

Cuando los datos no nos los facilite directamente usted, su origen será, por lo general, la entidad a la que representa (por ejemplo, cuando una empresa o un destino nos facilita los datos de su persona de contacto) o la entidad que haya adquirido un servicio y se lo haya asignado mediante un código.

Si nos facilita datos personales de otras personas (por ejemplo, de compañeros de su entidad), deberá haberles informado previamente de los extremos contenidos en esta política y contar, en su caso, con la legitimación necesaria para ello.

No solicitamos categorías especiales de datos (como datos de salud, origen étnico, opiniones políticas o convicciones religiosas). Le rogamos que no incluya este tipo de información en la documentación que nos aporte, salvo que sea estrictamente necesario y nos lo haya indicado previamente.

SECCIÓN 4. Finalidades y bases jurídicas del tratamiento

Tratamos sus datos personales para las siguientes finalidades y sobre las siguientes bases jurídicas (artículo 6.1 del RGPD):

• Gestionar su registro y su cuenta de usuario en nuestras plataformas. Base jurídica: ejecución de un contrato o aplicación de medidas precontractuales a petición suya (art. 6.1.b RGPD).
• Prestar los servicios de certificación, incluidas la revisión de la solicitud, la evaluación y auditoría, la decisión de certificación, la emisión del certificado, las actividades de seguimiento y vigilancia, y las comunicaciones propias del proceso (avisos de auditoría, instrucciones, vencimientos y pagos). Base jurídica: ejecución del contrato de certificación (art. 6.1.b RGPD).
• Publicar la información de las entidades certificadas en nuestro repositorio público web, en los términos previstos en la documentación contractual del servicio de certificación. Base jurídica: ejecución del contrato de certificación (art. 6.1.b RGPD).
• Prestar los servicios de formación y expedir los diplomas o certificados correspondientes. Base jurídica: ejecución de un contrato (art. 6.1.b RGPD).
• Emitir facturas y cumplir nuestras obligaciones contables y fiscales. Base jurídica: cumplimiento de obligaciones legales (art. 6.1.c RGPD).
• Atender sus consultas y solicitudes de información. Base jurídica: aplicación de medidas precontractuales a petición suya o, en su caso, nuestro interés legítimo en responder a las comunicaciones que recibimos (art. 6.1.b y 6.1.f RGPD).
• Gestionar quejas, reclamaciones y apelaciones. Base jurídica: ejecución del contrato y cumplimiento de las obligaciones que nos son aplicables como organismo de certificación y en materia de consumidores y usuarios (art. 6.1.b y 6.1.c RGPD).
• Enviar comunicaciones comerciales sobre servicios propios similares a los contratados a nuestros clientes. Base jurídica: interés legítimo (art. 6.1.f RGPD), en los términos del artículo 21.2 de la LSSI. Puede oponerse en cualquier momento, tal como se explica en la Sección 9.
• Enviar boletines y comunicaciones comerciales a personas que no son clientes. Base jurídica: consentimiento (art. 6.1.a RGPD), que puede retirar en cualquier momento.
• Garantizar la seguridad de nuestros sitios web y sistemas, prevenir fraudes y ataques informáticos y, en su caso, facilitar a las autoridades competentes la información necesaria en caso de ciberataque. Base jurídica: interés legítimo (art. 6.1.f RGPD) y, en su caso, cumplimiento de obligaciones legales (art. 6.1.c RGPD).
• Analizar el uso de nuestros sitios web mediante cookies no técnicas. Base jurídica: consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI).
• Formular, ejercer o defender reclamaciones. Base jurídica: interés legítimo (art. 6.1.f RGPD).

Cuando la base jurídica sea el interés legítimo, hemos ponderado dicho interés con sus derechos y libertades. Puede solicitarnos más información sobre esta ponderación a través de los datos de contacto de la Sección 1.

No tomamos decisiones basadas únicamente en el tratamiento automatizado de sus datos, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar. Las decisiones de certificación las adoptan personas designadas por BRT a partir de los resultados del proceso de evaluación.

Facilitar los datos solicitados como obligatorios en nuestros formularios es necesario para prestarle el servicio correspondiente. Si no los facilita, no podremos atender su solicitud o prestarle dicho servicio.

SECCIÓN 5. Plazos de conservación

Conservamos sus datos personales solo durante el tiempo necesario para cumplir la finalidad para la que se recogieron y, después, durante los plazos legalmente exigibles:

• Datos de registro y de cuenta: mientras mantenga activa su cuenta de usuario.
• Datos y registros del servicio de certificación: durante la vigencia de la relación contractual y, una vez finalizada, según el Reglamento de Certificación EEC-Biosphere y el procedimiento de control de registros de BRT.
• Datos del servicio de formación: durante la vigencia del acceso al curso y, después, durante 3 años para poder acreditar la formación realizada.
• Datos de facturación: durante un mínimo de seis (6) años, conforme al artículo 30 del Código de Comercio, y en todo caso durante los plazos exigidos por la normativa tributaria.
• Consultas y correspondencia: durante el tiempo necesario para atenderlas y, en su caso, durante los plazos de prescripción de las posibles responsabilidades.
• Quejas, reclamaciones y apelaciones: durante su tramitación y, después, según el procedimiento de quejas y apelaciones de BRT.
• Comunicaciones comerciales: hasta que se oponga a recibirlas o retire su consentimiento.
• Archivos de registro del servidor: durante un máximo de [12 meses], salvo que sea necesario conservarlos durante más tiempo para investigar un incidente de seguridad o para la formulación, el ejercicio o la defensa de reclamaciones.
• Cookies: durante los plazos indicados en nuestra Política de Cookies.

Transcurridos estos plazos, los datos se suprimirán. Cuando sea legalmente exigible, los datos se mantendrán bloqueados, conforme al artículo 32 de la LOPDGDD, únicamente a disposición de los jueces y tribunales, el Ministerio Fiscal o las administraciones públicas competentes, para la atención de las posibles responsabilidades derivadas del tratamiento y solo durante el plazo de prescripción de estas.

SECCIÓN 6. Destinatarios de los datos

No vendemos ni alquilamos sus datos personales. Solo los comunicaremos en los siguientes casos:

• Encargados del tratamiento que nos prestan servicios necesarios para nuestra actividad, con los que hemos firmado el correspondiente contrato de encargo conforme al artículo 28 del RGPD y que solo pueden tratar los datos siguiendo nuestras instrucciones. Entre ellos se encuentran:
  • Projectes a Internet Enginyeria de Software, S.L. (NIF B66797119, C/ Aragó 517, 6-1, 08013 Barcelona), desarrollador y proveedor de mantenimiento de nuestros sitios web, plataformas y servidor de correo electrónico y comunicaciones;
  • Google Ireland Limited, como proveedor del servicio de analítica web Google Analytics, solo si usted ha aceptado las cookies de análisis.
• Auditores externos que participan en los procesos de certificación por cuenta de BRT, sujetos a compromisos escritos de confidencialidad.
• El organismo de acreditación, en el ejercicio de sus funciones de evaluación de BRT como organismo de certificación, en la medida estrictamente necesaria.
• El organismo de formación, en el ejercicio de sus funciones de formación de los cursos online disponibles en el campus de BRT, en la medida estrictamente necesaria. En el caso de los cursos de ITR, ITR es el titular de estos cursos: elabora los contenidos, designa al equipo docente, gestiona la inscripción, el cobro y la facturación, y emite y firma los diplomas.
• La entidad que haya adquirido un servicio y se lo haya asignado mediante un código, que solo recibirá los datos indicados en la Sección 7 de nuestros Términos y Condiciones (servicios asignados y utilizados, nombre de la empresa y correo electrónico de contacto).
• El público en general, respecto a la información de las entidades certificadas publicada en nuestro repositorio público web, en los términos previstos en la documentación contractual del servicio de certificación.
• Administraciones públicas, jueces y tribunales, el Defensor del Pueblo, las autoridades de protección de datos y las fuerzas y cuerpos de seguridad, cuando exista una obligación legal de facilitarles los datos o cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.

El tratamiento de la información obtenida o generada en los procesos de certificación está sujeto, además, a nuestra Política de Confidencialidad.

SECCIÓN 7. Transferencias internacionales de datos

Con carácter general, tratamos sus datos dentro del Espacio Económico Europeo (EEE). Algunos de nuestros proveedores, como Google, pueden tratar datos fuera del EEE, en particular en Estados Unidos. En ese caso, las transferencias se realizan con las garantías previstas en el capítulo V del RGPD, como una decisión de adecuación de la Comisión Europea (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU., cuando el destinatario esté adherido a él) o las cláusulas contractuales tipo aprobadas por la Comisión Europea. Puede solicitarnos más información sobre estas garantías a través de los datos de contacto de la Sección 1.

SECCIÓN 8. Cookies

Nuestros sitios web utilizan cookies técnicas, necesarias para su funcionamiento, que se instalan sin necesidad de consentimiento. Las demás cookies (de personalización, de análisis y publicitarias) solo se instalan si usted lo acepta a través del banner o del panel de configuración de cookies, donde puede también rechazarlas o retirar su consentimiento en cualquier momento. Si desactiva determinadas cookies, es posible que algunas funciones de los sitios web no estén disponibles.

Puede consultar el detalle de las cookies que utilizamos, su finalidad y su duración en nuestra Política de Cookies.

SECCIÓN 9. Comunicaciones comerciales y cómo dejar de recibirlas

Puede dejar de recibir nuestras comunicaciones comerciales y boletines en cualquier momento y de forma gratuita, mediante cualquiera de estas vías:

• siguiendo el enlace de baja incluido en cada comunicación;
• accediendo a su perfil de usuario y seleccionando la opción «No recibir noticias», o
• escribiéndonos a info@biospheresustainable.com.

Tenga en cuenta que, si es usted cliente, seguirá recibiendo las comunicaciones necesarias para la prestación del servicio contratado (por ejemplo, confirmaciones de alta, avisos de auditoría, instrucciones para completar el proceso de certificación o de formación, vencimientos y avisos de pago), ya que forman parte de la ejecución del contrato.

SECCIÓN 10. Menores de edad

Nuestros servicios están dirigidos a profesionales y entidades, y no están destinados a menores de edad. No recogemos conscientemente datos personales de menores de catorce (14) años, que conforme al artículo 7 de la LOPDGDD no pueden prestar por sí mismos su consentimiento.

Si detectamos que hemos recogido datos de un menor de catorce años sin el consentimiento de sus padres o tutores, los suprimiremos lo antes posible. Si cree que disponemos de datos de un menor, puede comunicárnoslo en info@biospheresustainable.com.

SECCIÓN 11. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas, de acuerdo con el artículo 32 del RGPD, para garantizar un nivel de seguridad adecuado al riesgo y proteger sus datos personales frente a su destrucción, pérdida, alteración, comunicación o acceso no autorizados. Por ejemplo, el acceso a nuestras bases de datos está limitado al personal autorizado y segmentado según sus funciones, de modo que cada persona solo accede a la información que necesita para desempeñarlas.

La información de pago se transmite siempre cifrada. No obstante, ninguna transmisión por Internet es completamente segura, por lo que le recomendamos que custodie adecuadamente sus credenciales de acceso y no las comparta con terceros.

SECCIÓN 12. Sus derechos

En relación con sus datos personales, puede ejercer los siguientes derechos:

• Acceso: obtener confirmación de si estamos tratando sus datos personales y, en tal caso, acceder a ellos y a información sobre los fines del tratamiento, las categorías de datos, los destinatarios, el plazo de conservación y su origen. La primera copia de sus datos será gratuita; por copias adicionales podremos cobrar un canon razonable basado en los costes administrativos.
• Rectificación: solicitar la rectificación de los datos inexactos y que se completen los datos incompletos.
• Supresión: solicitar la supresión de sus datos cuando, entre otros motivos, ya no sean necesarios para los fines para los que se recogieron, retire el consentimiento en que se basaba el tratamiento, se oponga a él o los datos se hayan tratado de forma ilícita. Este derecho no se aplica cuando el tratamiento sea necesario, entre otros supuestos, para cumplir una obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones.
• Limitación del tratamiento: solicitar que limitemos el tratamiento de sus datos cuando impugne su exactitud, mientras la verificamos; cuando el tratamiento sea ilícito y se oponga a su supresión; cuando ya no los necesitemos, pero usted los necesite para la formulación, el ejercicio o la defensa de reclamaciones, o cuando se haya opuesto al tratamiento, mientras verificamos si nuestros motivos legítimos prevalecen sobre los suyos.
• Portabilidad: cuando el tratamiento se base en su consentimiento o en la ejecución de un contrato y se efectúe por medios automatizados, recibir los datos que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable, siempre que ello no afecte negativamente a los derechos y libertades de otras personas.
• Oposición: oponerse, por motivos relacionados con su situación particular, al tratamiento de sus datos basado en nuestro interés legítimo. En tal caso, dejaremos de tratarlos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones. También puede oponerse en cualquier momento al tratamiento de sus datos con fines de mercadotecnia directa; en ese caso, dejaremos de tratarlos con esa finalidad.
• No ser objeto de decisiones individuales automatizadas: no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar.
• Retirada del consentimiento: cuando el tratamiento se base en su consentimiento, retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado antes de su retirada.

Cómo ejercer sus derechos. Puede ejercer estos derechos de forma gratuita escribiendo a info@biospheresustainable.com o por correo postal a la dirección indicada en la Sección 1, indicando el derecho que desea ejercer. Si tenemos dudas razonables sobre su identidad, podremos solicitarle la información adicional necesaria para confirmarla. Le responderemos en el plazo de un (1) mes desde la recepción de su solicitud, que podrá prorrogarse otros dos (2) meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. En ese caso, le informaremos de la prórroga y de sus motivos dentro del primer mes.

Reclamación ante la autoridad de control. Si considera que el tratamiento de sus datos personales no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es) o ante la autoridad de control del Estado miembro de la Unión Europea en el que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la supuesta infracción. Antes de hacerlo, puede dirigirse a nosotros para intentar resolver la cuestión.

SECCIÓN 13. Exactitud de los datos

Adoptamos medidas razonables para que los datos personales que tratamos sean exactos y estén actualizados. Para ello, le pedimos que nos comunique cualquier cambio en sus datos, o que lo actualice directamente en su perfil de usuario. Usted garantiza que los datos que nos facilita son verdaderos, exactos, completos y actualizados, y es responsable de los daños que pudieran derivarse de facilitar datos falsos o inexactos.

SECCIÓN 14. Modificaciones de esta política

Podemos actualizar esta Política de Privacidad, por ejemplo para adaptarla a cambios legales o a nuevos servicios. La versión vigente estará siempre disponible en nuestros sitios web, con indicación de la fecha de su última actualización. Si los cambios son relevantes, se lo comunicaremos por correo electrónico o a través del sistema de mensajería (tickets) de nuestras plataformas.

SECCIÓN 15. Cómo contactarnos

Para cualquier duda, sugerencia o reclamación sobre el tratamiento de sus datos personales, puede contactarnos en:

Biosphere Responsible Tourism, S.L. (BRT)

CIF: B76584770

Domicilio: C/ La Rosa, 1, 1.º, CP 38002, Santa Cruz de Tenerife, Islas Canarias, España

Correo electrónico: info@biospheresustainable.com

Teléfono: (+34) 922 24 29 04

Última actualización: 28 de septiembre de 2026