MatricúlatePolítica de Privacidad en Redes Sociales y WhatsApp
Instituto Superior de Auditoría y Gobernanza Aplicada, S.L.U. · GRCx3
Versión 1.2 · 15/08/2026 · Final
1. Responsable y control documental
Responsable: Instituto Superior de Auditoría y Gobernanza Aplicada, S.L.U. (GRCx3). NIF: B26975524. Domicilio: C/ Curva, 9 · 35215 Telde · Las Palmas · España. Teléfono: +34 613 004 135. Correo general: contacto@grcx3.com. Privacidad y ejercicio de derechos: derechos@grcx3.com.
| Código | GRCX3-PRIV-SOC-001 |
|---|---|
| RAT relacionado | T01.8 · Redes sociales, mensajería institucional y analítica estrictamente necesaria. |
| Canales | LinkedIn, Facebook, Instagram, YouTube, X y WhatsApp, cuando estén activos. |
Historial de versiones
| Versión | Fecha | Estado | Cambio principal |
|---|---|---|---|
| 1.0 | 26/10/2023 | Sustituida | Versión inicial. |
| 1.1 | 31/03/2026 | Sustituida por v1.2 | Revisión previa de canales sociales y WhatsApp. |
| 1.2 | 15/08/2026 | Final | Alineación con RAT T01.8, LIA-14, RET-008 y TA-SOC-01; corrección de bases jurídicas, roles, analítica, mensajería, transferencias y derechos. |
2. Objeto y alcance
Esta política explica cómo trata GRCx3 los datos personales cuando una persona visualiza, sigue o interactúa con nuestros perfiles oficiales, publica comentarios o menciones, nos envía un mensaje directo o utiliza WhatsApp para una interacción contextual con la organización.
Cubre exclusivamente la presencia institucional orgánica, la atención razonable de interacciones, la moderación proporcionada y el uso de métricas nativas agregadas estrictamente necesarias para gestionar los canales. Complementa la Política de Privacidad del Sitio Web y Campus Virtual.
3. Principios que aplicamos
- No consideramos que seguir una página, perfil o canal equivalga a prestar consentimiento para marketing o para tratamientos ajenos al contexto de la interacción.
- El interés legítimo se utiliza únicamente para la capa orgánica evaluada: presencia institucional, respuesta a interacciones voluntarias, moderación y métricas agregadas.
- No reutilizamos por defecto seguidores, reacciones, comentarios o listas de usuarios como una base de datos comercial.
- No se incluyen publicidad comportamental, retargeting, custom/matched audiences, Customer Match, carga de listas, scraping, enriquecimiento de perfiles, scoring o social listening individual.
- Cada plataforma se evalúa de forma separada en materia de roles, funciones, transferencias y garantías.
4. Actividad de tratamiento: redes sociales, mensajería institucional y analítica agregada
| Actividad | T01.8 · Redes sociales, mensajería institucional y funciones analíticas estrictamente necesarias. |
|---|---|
| Personas afectadas | Personas adultas que visualizan, siguen o interactúan con perfiles oficiales de GRCx3; quienes comentan, reaccionan, mencionan o envían mensajes; contactos que utilizan WhatsApp; y administradores autorizados de los canales. |
| Datos | Nombre o alias, identificador de cuenta, fotografía de perfil mostrada por la plataforma, contenido y contexto de comentarios/reacciones/menciones/mensajes, fecha y hora, datos profesionales o de contacto que la persona facilite voluntariamente, estado mínimo de atención y métricas agregadas de canal. |
| Finalidad | Publicar información académica e institucional, mantener presencia profesional, responder interacciones, moderar contenidos, atender mensajes contextuales y conocer de forma agregada el rendimiento de los canales. |
| Base jurídica | Art. 6.1.f RGPD para la capa orgánica y contextual descrita. Cuando una conversación se convierte en solicitud precontractual o relación contractual, se aplicará además el art. 6.1.b RGPD cuando corresponda. Otras finalidades requieren su propia base jurídica. |
| Interés legítimo | Mantener una presencia institucional en canales utilizados por la comunidad profesional, facilitar la comunicación con personas que se dirigen voluntariamente a GRCx3 y gestionar de manera proporcionada los canales oficiales. |
| Analítica | Únicamente métricas nativas agregadas como alcance, impresiones, visualizaciones, crecimiento o engagement, cuando resulten necesarias para gestionar el canal. No se realizan perfiles individuales con esas métricas. |
| Mensajería | Los mensajes directos y WhatsApp se usan para atención contextual. Cuando la gestión requiera documentación formal, datos sensibles, matrícula, reclamación o ejercicio de derechos, se redirige a un canal propio o adecuado. |
| Destinatarios / terceros | La plataforma correspondiente y, cuando sea necesario por la gestión concreta, proveedores o destinatarios de la actividad a la que la conversación se traslade. Esta actividad no comprende la venta ni la cesión comercial de datos de seguidores o usuarios. |
| Conservación | Copias o registros bajo control de GRCx3: hasta 12 meses desde la última interacción, salvo que la información se integre legítimamente en otra relación o deba preservarse por una reclamación concreta. Las copias que permanezcan en plataformas ajenas se rigen también por sus políticas. |
| Decisiones automatizadas | GRCx3 no adopta decisiones jurídicas o significativamente similares sobre una persona basándose únicamente en su actividad, métricas o comportamiento en redes sociales. |
| Evaluaciones documentadas | LIA-14 · GRCX3-LIA-014 · 15/08/2026 · v0.9 · favorable con salvaguardas y evaluación por plataforma. TA-SOC-01 · evaluación de transferencias/roles por plataforma · estado documentado a 15/08/2026: en curso y pendiente de cierre individual. Screening EIPD T01.8 integrado en LIA-14 · 15/08/2026: no se identifica alto riesgo para el perímetro orgánico actual; no existe EIPD formalizada para esta actividad. |
5. Roles por plataforma
GRCx3 decide qué contenido publica, quién administra sus perfiles, cómo responde a las personas y qué información extrae o conserva fuera de la plataforma. Las plataformas realizan además tratamientos propios conforme a sus términos y políticas. En determinadas funciones de estadísticas de páginas puede existir corresponsabilidad definida por los instrumentos de la plataforma.
5.1. LinkedIn
| Uso de GRCx3 | Página/perfil institucional, publicaciones, comentarios, mensajes e información profesional contextual. |
|---|---|
| Roles | GRCx3 es responsable de sus propias operaciones. LinkedIn realiza tratamientos propios de la plataforma. Para Page Insights, cuando la función esté activa, GRCx3 y LinkedIn Ireland actúan como corresponsables en el ámbito definido por el Joint Controller Addendum. |
| Analítica | Solo estadísticas agregadas de página/canal dentro del perímetro descrito. |
| Transferencias | La cadena internacional y garantías se documentan en TA-SOC-01. No se considera suficiente, por sí sola, la existencia de una entidad contractual en el EEE. |
5.2. Facebook e Instagram (Meta)
| Uso de GRCx3 | Publicaciones institucionales, comentarios, reacciones, mensajes y gestión orgánica de las páginas/perfiles. |
|---|---|
| Roles | GRCx3 es responsable de sus propias operaciones. Meta realiza tratamientos propios de sus servicios. Para Page Insights, cuando proceda, la relación de corresponsabilidad se rige por el Page Insights Controller Addendum. |
| Analítica | Métricas agregadas nativas. No se utilizan por esta actividad Pixel, Custom Audiences, retargeting o carga de listas. |
| Transferencias | Se evalúan en TA-SOC-01 por función y cadena aplicable. |
5.3. YouTube / Google
| Uso de GRCx3 | Publicación de vídeos y contenidos institucionales, comentarios y estadísticas agregadas de canal. |
|---|---|
| Roles | GRCx3 es responsable de sus contenidos y operaciones propias; Google realiza tratamientos propios de la plataforma y de sus servicios. |
| Analítica | Métricas de canal agregadas; no se crea perfil individual de usuarios por GRCx3. |
| Transferencias | Se documentan por servicio y función en TA-SOC-01. |
5.4. X
| Uso de GRCx3 | Publicaciones, menciones, respuestas, mensajes y presencia institucional. |
|---|---|
| Roles | GRCx3 es responsable de sus propias operaciones; X realiza tratamientos propios conforme a sus términos y política de privacidad. |
| Analítica | Solo métricas agregadas disponibles para gestionar el canal. |
| Transferencias | Se evalúan específicamente en TA-SOC-01. |
5.5. WhatsApp
| Uso de GRCx3 | Atención contextual y mensajería vinculada a consultas o relaciones que la persona inicia o mantiene con GRCx3. |
|---|---|
| Roles | GRCx3 es responsable del contenido y gestión de las conversaciones bajo su control. WhatsApp/Meta realiza tratamientos propios y, cuando sean aplicables funciones Business sujetas a Data Processing Terms, el rol se determina conforme a esos instrumentos y a la función concreta. |
| Limitación | No se sincronizan indiscriminadamente agendas ni se utiliza esta actividad como autorización general para campañas comerciales. |
| Transferencias | TA-SOC-01 documenta la cadena, países y garantías aplicables a las funciones realmente utilizadas. |
6. Mensajes directos, WhatsApp y datos sensibles
Los canales sociales no son el medio adecuado para remitir documentación extensa, identificadores oficiales, datos bancarios, información de salud, datos relativos a infracciones o información especialmente sensible que no sea necesaria para una consulta inicial. Si una persona facilita esa información, GRCx3 limitará el uso al mínimo necesario y podrá redirigir la gestión a un canal más adecuado.
7. Analítica, publicidad y usos fuera de esta política
Esta política no legitima la activación de herramientas publicitarias o de perfilado. Antes de utilizar cualquiera de las siguientes funciones debe realizarse una evaluación separada y, cuando proceda, reabrirse LIA-14, TA-SOC-01 y el screening de EIPD:
- Publicidad comportamental o retargeting.
- Custom Audiences, Matched Audiences, Customer Match o carga de listas.
- Pixel, Insight Tag, Conversion API u otros mecanismos de seguimiento entre sitios o plataformas.
- Lead Ads cuando impliquen un nuevo flujo de datos.
- Scraping, exportación de seguidores, enriquecimiento o combinación de perfiles con CRM.
- Social listening individual, scoring, análisis de sentimiento individual o IA para clasificar personas.
- Reconocimiento facial, biometría, tratamiento de menores o categorías especiales a escala relevante.
8. Comunicaciones comerciales por redes sociales o WhatsApp
Seguir un perfil, reaccionar a una publicación, comentar o enviar un mensaje no equivale a consentir comunicaciones comerciales periódicas. Tampoco consideramos que dejar de seguir un perfil sea la forma de retirar un consentimiento que nunca hemos presumido por ese simple hecho.
Cuando GRCx3 realice una comunicación electrónica de carácter comercial deberá existir una condición jurídica específica conforme a la normativa aplicable y respetarse el derecho de oposición o baja. El marketing por DM o WhatsApp no queda cubierto automáticamente por T01.8 ni por LIA-14.
9. Conservación y cambio de contexto
GRCx3 conserva bajo su control las interacciones sociales y de mensajería durante un máximo ordinario de 12 meses desde la última interacción. Si la conversación pasa a otra actividad, únicamente la información necesaria continúa bajo la finalidad, base jurídica y conservación de esa actividad. Las copias que permanezcan en las plataformas se rigen también por sus propias reglas.
10. Transferencias internacionales
Las redes sociales y servicios de mensajería pueden implicar tratamientos o accesos desde distintos países. GRCx3 no formula una conclusión única para todas las plataformas. El expediente TA-SOC-01 analiza cada plataforma y función atendiendo a la entidad contractual, países de acceso, afiliadas o subencargados, mecanismo del capítulo V del RGPD y medidas aplicables.
A 15/08/2026, TA-SOC-01 se encuentra en curso y pendiente de cierre individual por plataforma. Por ello esta política no presenta como aprobada una garantía concreta que todavía deba cerrarse documentalmente. Puede solicitar información sobre las garantías aplicables escribiendo a derechos@grcx3.com.
11. Sus derechos
Puede ejercer, cuando corresponda, los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, así como retirar el consentimiento cuando un tratamiento concreto dependa de él. En la capa orgánica basada en interés legítimo puede oponerse por motivos relacionados con su situación particular.
Puede dirigirse a derechos@grcx3.com. Cuando una solicitud afecte a tratamientos propios de una plataforma o a una función de corresponsabilidad, GRCx3 facilitará la coordinación que corresponda conforme al instrumento aplicable. También puede reclamar ante la Agencia Española de Protección de Datos.
12. Menores
Los servicios de GRCx3 y sus canales institucionales se orientan ordinariamente a personas adultas y perfiles profesionales. GRCx3 no diseña esta actividad para perfilar o dirigir publicidad a menores.
13. Seguridad y administración de cuentas
GRCx3 aplica medidas proporcionadas a la administración de sus canales: autenticación multifactor cuando la plataforma lo permite, administradores nominativos, revisión de permisos, baja de accesos innecesarios y limitación del uso de cuentas compartidas. Los incidentes relevantes se gestionan conforme al procedimiento de seguridad.
14. Revisión de esta política y disparadores
La política se revisará cuando cambie materialmente un canal, una función, los términos de una plataforma, la cadena internacional, el modelo de analítica o la finalidad de uso. La incorporación de publicidad comportamental, nuevas herramientas de IA/perfilado, scraping, reconocimiento facial, tratamiento significativo de menores o categorías especiales obliga a reabrir la evaluación antes de activar la función.
15. Contacto
Privacidad y ejercicio de derechos: derechos@grcx3.com. Consultas generales: contacto@grcx3.com. Instituto Superior de Auditoría y Gobernanza Aplicada, S.L.U. · GRCx3 · C/ Curva, 9 · 35215 Telde · Las Palmas · España.