Política de privacidad de GRUPO DISS
Versión 1.1 · 22 de octubre de 2026
1 Responsable y alcance
DO IT Y STAR SERVICE GROUP, S.L., NIF B88623210, con domicilio en C/ Walia, 4, 28007 Madrid, España, es responsable de los tratamientos de sus sitios web y canales corporativos comprendidos en esta política. Contacto: gdpr@diss.group; teléfono +34 651 595 657; web https://grupodiss.es/.
Esta política se utiliza en las webs de GRUPO DISS, Star Service, DO IT, 60 Segundos con DO IT y Los Desafíos gestionadas por esta sociedad. Las marcas pueden tener titulares distintos; la titularidad de una marca no determina quién es responsable del tratamiento.
En servicios contratados con otra sociedad del grupo, el aviso específico identificará a esa entidad y su función. Si actuamos por cuenta de una empresa cliente, trataremos los datos conforme a sus instrucciones documentadas y al acuerdo aplicable. La Administración Corporativa coordina procedimientos desde distintos países sin sustituir las responsabilidades de cada sociedad.
2 Información que tratamos y procedencia
Según la relación, tratamos nombre, correo, teléfono, empresa, cargo, datos profesionales, consultas, comunicaciones e historial comercial; datos necesarios para contratos y facturación; asistencia y participación; respuestas, puntuaciones y resultados de evaluaciones DISC, pruebas, encuestas y ejercicios; conversaciones o transcripciones de simulaciones; fotografías, vídeos y testimonios; y datos técnicos de acceso y navegación.
Los datos proceden de usted, de la empresa que contrata el programa, de formularios e inscripciones, de relaciones y eventos profesionales, de otras entidades del grupo cuando corresponda o de fuentes públicas profesionales como LinkedIn. No compramos bases de datos de contactos. Cuando recibamos información de otra fuente, facilitaremos la información exigible sobre su procedencia y tratamiento.
No le pedimos datos de salud ni otra información especialmente protegida en los formularios ordinarios. Evite incluir información privada innecesaria en respuestas abiertas o simulaciones. Si una actividad requiere datos especialmente protegidos, se informará de sus condiciones específicas y se aplicará la habilitación legal correspondiente.
3 Finalidades y fundamentos del tratamiento
Consultas y propuestas: atender solicitudes y preparar servicios pedidos por usted, sobre la base de medidas precontractuales cuando sea parte del posible contrato o del interés legítimo en atender comunicaciones profesionales; consentimiento cuando corresponda al formulario.
Relaciones comerciales y contractuales: gestionar clientes, proveedores, contratos, proyectos e historial profesional. Aplicamos el contrato cuando usted es parte, las obligaciones legales correspondientes y, para interlocutores de organizaciones, el interés legítimo en mantener la relación profesional. Este interés se limita a datos necesarios para esa relación y admite oposición.
Formación y consultoría: organizar programas, participantes, asistencia, actividades y acreditaciones. El aviso del programa identificará al responsable y la base concreta: contrato con el interesado, obligación legal o interés legítimo justificado cuando corresponda. Si actuamos como encargados, la empresa cliente determina la base de su tratamiento.
Evaluaciones y simulaciones: medir aprendizaje y apoyar el desarrollo profesional dentro del programa informado. El aviso específico explica la base aplicable, los resultados generados y quién los recibe. No se deduce una autorización general del hecho de participar.
Comunicaciones comerciales: enviar newsletters y novedades con consentimiento o, cuando concurran sus requisitos, con la excepción legal para una relación contractual previa y servicios propios similares. Disponer de un contacto profesional o de una respuesta de evaluación no equivale a suscripción.
Eventos y material audiovisual: gestionar inscripción y asistencia y documentar actividades con la base indicada en cada convocatoria. Para la difusión promocional de imágenes y testimonios identificables solicitaremos autorización específica cuando sea la base aplicable.
Estadísticas y mejora: analizar resultados, tendencias y metodologías, priorizando datos verdaderamente anónimos. La preparación de estadísticas con datos personales exige una base válida y las garantías correspondientes; no permite conservar indefinidamente resultados identificables.
Obligaciones y seguridad: atender obligaciones contables, fiscales, formativas y de protección de datos, requerimientos y reclamaciones; proteger sistemas y prevenir accesos indebidos. La base será la obligación legal o el interés legítimo en la seguridad y defensa de derechos, según el tratamiento.
4 Información necesaria y opciones voluntarias
Cada formulario o programa indicará los datos obligatorios. Si faltan datos necesarios para responder, contratar, registrar asistencia o acreditar formación, puede no ser posible realizar esa gestión. La autorización para marketing o publicación promocional será voluntaria y su rechazo no impedirá participar en el curso. Informar del tratamiento no equivale a pedir consentimiento para todos sus usos.
5 Participantes y acceso a resultados
Las empresas clientes pueden facilitarnos datos profesionales de sus empleados. Los programas pueden generar resultados individuales de aprendizaje, comportamiento o desempeño en ejercicios. Recursos Humanos y, cuando esté justificado, otros responsables autorizados de la organización podrán recibir los resultados previstos e informados para el programa, con acceso limitado a lo necesario.
Una evaluación solo se presentará como anónima cuando no permita identificar razonablemente a los participantes. No se reutilizarán resultados individuales para marketing independiente sin una habilitación válida. Cuando actuemos como encargados, las solicitudes relativas a esos resultados se coordinarán con la empresa responsable.
6 Plataformas e inteligencia artificial
Utilizamos servicios propios y proveedores para formularios, almacenamiento, comunicación y formación, entre ellos Google Workspace, Fillout, People Performance, Gametize o Los Desafíos, Personeo.ai y Acumbamail, según la actividad.
Las simulaciones de IA pueden procesar voz, texto, transcripciones, respuestas y puntuaciones. El aviso del servicio describirá los datos, finalidades, destinatarios y conservación aplicables. No se presume que los proveedores puedan usar esos datos para entrenar modelos; cualquier finalidad independiente requiere examen, información y habilitación específicos.
Si un servicio incorpora decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar, se informará de ello y de las garantías aplicables antes del tratamiento. El uso de IA para un ejercicio no constituye por sí mismo una decisión de esa clase.
7 Fotografías vídeos y testimonios
Podemos captar material para documentación del curso, graduaciones, entrega informada a la empresa y comunicación pública. Cada uso necesita finalidad y base jurídica propias. La entrega a Recursos Humanos no autoriza automáticamente al cliente a publicar.
Cuando se utilice consentimiento, la autorización de publicación y la preferencia de etiquetado se recogerán de forma diferenciada, sin casillas premarcadas. Puede retirar su autorización escribiendo a gdpr@diss.group. La retirada no afecta a la licitud de usos anteriores; evaluaremos la retirada de materiales bajo nuestro control y las actuaciones que correspondan respecto de terceros.
8 Estadísticas y casos de éxito
Podemos elaborar indicadores históricos por programa, fecha, país u organización. Usar códigos o quitar nombres no basta para anonimizar: se considerarán los cruces de información y los grupos pequeños. Solo los conjuntos verdaderamente anónimos podrán mantenerse como información histórica sin conservar identificaciones personales.
Los casos de éxito que identifiquen personas requieren la autorización u otra habilitación pertinente. Si identifican a una empresa cliente, se respetarán también los acuerdos de confidencialidad y sus autorizaciones.
9 Destinatarios y accesos internacionales
Según cada servicio, los datos pueden resultar accesibles a personal y colaboradores autorizados, sociedades del grupo, la empresa cliente, proveedores tecnológicos y autoridades competentes cuando exista obligación. No vendemos bases de datos personales.
Los proveedores que actúen por cuenta del responsable deben estar sujetos a acuerdos de tratamiento y confidencialidad. Los usos propios de un proveedor requieren una base e información diferenciadas.
La actividad internacional y los proveedores pueden implicar acceso desde México, Colombia, Chile, Perú, República Dominicana u otros países fuera del Espacio Económico Europeo. La ubicación del administrador y los accesos remotos también deben valorarse. La centralización corporativa no elimina estas obligaciones.
Para transferencias sujetas al RGPD, la garantía concreta debe determinarse para cada flujo: decisión de adecuación, cláusulas contractuales tipo u otro instrumento legalmente admitido, con las medidas adicionales que resulten necesarias. Puede solicitar información sobre los destinos y una copia o descripción de las garantías aplicables a su tratamiento en gdpr@diss.group. Los avisos particulares complementarán esta información cuando corresponda.
10 Conservación
Conservamos los datos durante el tiempo necesario para su finalidad y las obligaciones o responsabilidades aplicables. El historial profesional se revisa por necesidad, vigencia y exactitud; su antigüedad no autoriza campañas indefinidas.
La documentación justificativa de formación se conserva durante los plazos legales y contractuales. El criterio corporativo de revisión de expedientes es cinco años desde el hito aplicable, respetando el cómputo específico de formación bonificada y cualquier obligación superior. Esto no extiende automáticamente cinco años la conservación de todas las evaluaciones, imágenes o conversaciones.
Los resultados individuales y materiales audiovisuales se revisan según la finalidad del programa, la necesidad de acreditación y las autorizaciones correspondientes. Las comunicaciones se detienen tras la baja u oposición; pueden mantenerse datos mínimos de exclusión para evitar nuevos envíos. Las estadísticas realmente anónimas pueden conservarse históricamente.
Al terminar la necesidad se eliminarán o anonimizarán los datos, o se bloquearán cuando la ley lo exija. Las obligaciones de conservación o reclamaciones pueden limitar la supresión, sin permitir otros usos incompatibles. Puede consultar los criterios de su programa o tratamiento en el canal de privacidad.
11 Derechos y contacto
Puede solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad en los casos aplicables, retirar su consentimiento y ejercer las garantías relativas a decisiones exclusivamente automatizadas. Para publicidad directa puede oponerse en cualquier momento mediante el enlace de baja o gdpr@diss.group.
Envíe su petición a gdpr@diss.group indicando lo que solicita y datos suficientes para localizar el tratamiento. Solo pediremos información adicional de identidad cuando sea necesaria y proporcionada. Las solicitudes RGPD se responden sin dilación indebida y, como regla general, en un mes; una prórroga de hasta dos meses adicionales se comunicará dentro del primer mes con sus motivos cuando proceda.
Puede reclamar ante la Agencia Española de Protección de Datos, https://www.aepd.es/, o la autoridad competente. Si actuamos por cuenta de otra entidad, colaboraremos con ella en la atención de sus derechos.
12 Seguridad cookies menores y cambios
Gestionamos los accesos según funciones y aplicamos medidas técnicas y organizativas atendiendo al riesgo. Los incidentes y las solicitudes se coordinan mediante los procedimientos corporativos.
Cada sitio facilita información específica de cookies y, cuando procede, mecanismos para aceptarlas, rechazarlas o configurarlas. La política de privacidad no sustituye a la de cookies ni a sus controles.
Los servicios se orientan a entornos profesionales. Una actividad con menores requiere información y garantías específicas conforme a la ley aplicable.
Revisaremos esta política cuando cambien las actividades o sus condiciones. La versión publicada indicará la fecha de actualización. Los cambios que exijan nueva información o consentimiento se comunicarán según corresponda.
Volver a idiomas / Back to languages
GRUPO DISS Privacy Policy
Version 1.1 · 22 October 2026
1 Controller and scope
DO IT Y STAR SERVICE GROUP, S.L., tax identification number B88623210, at C/ Walia, 4, 28007 Madrid, Spain, is the controller for processing through its websites and corporate channels covered by this policy. Contact: gdpr@diss.group; telephone +34 651 595 657; website https://grupodiss.es/.
This policy is used on the GRUPO DISS, Star Service, DO IT, 60 Segundos con DO IT and Los Desafíos websites managed by this company. Brands may have different owners; brand ownership does not determine who controls personal data.
For services contracted with another group company, the specific notice will identify that entity and its role. Where we act on behalf of a client organisation, we process data under its documented instructions and the applicable agreement. Corporate Administration coordinates procedures from different countries without replacing each company's responsibilities.
2 Data we process and its sources
Depending on the relationship, we process names, email addresses, telephone numbers, employers, job titles, professional details, enquiries, communications and commercial history; data needed for contracts and invoicing; attendance and participation; answers, scores and results from DISC assessments, tests, surveys and exercises; simulation conversations or transcripts; photographs, videos and testimonials; and technical access and browsing data.
Data comes from you, the organisation commissioning the programme, forms and registrations, professional relationships and events, other group entities where appropriate, or public professional sources such as LinkedIn. We do not buy contact databases. Where information comes from another source, we provide the required information about its origin and processing.
Our ordinary forms do not request health data or other specially protected information. Please avoid unnecessary private information in open answers or simulations. If an activity requires specially protected data, its specific conditions will be explained and the applicable legal authorisation used.
3 Purposes and lawful bases
Enquiries and proposals: responding to requests and preparing services you request, based on pre-contractual measures where you are a prospective contracting party or our legitimate interest in handling professional communications; consent where relevant to the form.
Commercial and contractual relationships: managing clients, suppliers, contracts, projects and professional history. We rely on contracts where you are a party, applicable legal obligations and, for organisational representatives, the legitimate interest in maintaining the professional relationship. This interest is limited to necessary professional data and is subject to objection.
Training and consultancy: organising programmes, participants, attendance, activities and accreditation. The programme notice identifies the controller and specific basis: a contract with the individual, a legal obligation or a justified legitimate interest where appropriate. Where we act as a processor, the client organisation determines its processing basis.
Assessments and simulations: measuring learning and supporting professional development within the notified programme. Its notice explains the applicable basis, generated results and recipients. Participation does not imply general authorisation for other uses.
Marketing communications: sending newsletters and updates with consent or, where its conditions are met, under the statutory exception for an existing contractual relationship and similar services provided by the same company. Having professional contact details or an assessment response does not constitute a subscription.
Events and audiovisual material: managing registration and attendance and documenting activities under the basis specified for the event. We seek specific permission for identifiable promotional images and testimonials where consent is the applicable basis.
Statistics and improvement: analysing results, trends and methodologies, prioritising genuinely anonymous data. Preparing statistics from personal data requires a valid basis and safeguards; it does not permit indefinite retention of identifiable results.
Compliance and security: meeting accounting, tax, training and data protection duties, responding to official requests and claims, protecting systems and preventing unauthorised access. The basis is a legal obligation or the legitimate interest in security and defending rights, depending on the processing.
4 Required information and voluntary choices
Each form or programme specifies required data. Without information needed to respond, contract, record attendance or certify training, we may be unable to complete that task. Permission for marketing or promotional publication is voluntary; refusal does not prevent course participation. Providing privacy information is distinct from seeking consent for individual uses.
5 Participants and access to results
Client organisations may provide employees' professional details. Programmes may produce individual results concerning learning, behaviour or performance in exercises. Human Resources and, where justified, other authorised organisational representatives may receive the results specified and notified for the programme, with access limited to what is necessary.
An assessment is described as anonymous only if participants cannot reasonably be identified. Individual results are not reused for independent marketing without valid authorisation. Where we act as a processor, requests concerning those results are coordinated with the controller organisation.
6 Platforms and artificial intelligence
We use our own services and external providers for forms, storage, communications and training, including Google Workspace, Fillout, People Performance, Gametize or Los Desafíos, Personeo.ai and Acumbamail, depending on the activity.
AI simulations may process voice, text, transcripts, answers and scores. The service notice describes applicable data, purposes, recipients and retention. Providers are not presumed to have permission to train models using such data; any independent purpose requires separate assessment, information and lawful authority.
If a service involves solely automated decisions producing legal or similarly significant effects, information and applicable safeguards will be provided before processing. Using AI in an exercise does not, by itself, constitute such a decision.
7 Photographs videos and testimonials
Material may be captured to document courses, prepare graduations, make notified deliveries to the client organisation or communicate publicly. Each use requires its own purpose and lawful basis. Delivery to Human Resources does not automatically authorise publication by the client.
Where consent is used, publication permission and social media tagging preferences are collected separately, without pre-ticked boxes. You may withdraw permission by contacting gdpr@diss.group. Withdrawal does not affect the lawfulness of earlier uses; we assess removal of material under our control and appropriate action regarding third parties.
8 Statistics and success stories
We may produce historical indicators by programme, date, country or organisation. Removing names or using codes is insufficient for anonymisation: combinations of information and small groups must be considered. Only genuinely anonymous datasets may be retained as historical information without maintaining personal identification.
Success stories identifying individuals require the relevant permission or other lawful authority. Where a client organisation is identified, confidentiality agreements and its authorisations must also be respected.
9 Recipients and international access
Depending on the service, data may be accessible to authorised staff and collaborators, group companies, the client organisation, technology providers and competent authorities where legally required. We do not sell personal databases.
Providers acting on a controller's behalf must be subject to processing and confidentiality agreements. Independent purposes require separate lawful grounds and information.
International operations and providers may involve access from Mexico, Colombia, Chile, Peru, the Dominican Republic or other countries outside the European Economic Area. Administrator locations and remote access also need assessment. Central corporate management does not remove these obligations.
For transfers subject to the GDPR, the specific safeguard must be determined for each flow: an adequacy decision, standard contractual clauses or another legally recognised instrument, with additional measures where needed. You may request information about destinations and a copy or description of safeguards applicable to your processing at gdpr@diss.group. Specific notices supplement this information where required.
10 Retention
We retain data for as long as necessary for its purpose and applicable obligations or liabilities. Professional history is reviewed for necessity, relevance and accuracy; age alone does not authorise indefinite marketing.
Training evidence is retained for statutory and contractual periods. The corporate review reference for training files is five years from the applicable event, respecting the specific calculation for subsidised training and any longer obligation. This does not automatically extend every assessment, image or conversation to five years.
Individual results and audiovisual material are reviewed according to programme purposes, accreditation needs and relevant permissions. Communications stop after unsubscription or objection; minimal suppression records may be kept to prevent further messages. Genuinely anonymous statistics may be retained historically.
When no longer needed, data is erased or anonymised, or blocked where required by law. Retention obligations or claims may restrict erasure without permitting incompatible uses. You may ask the privacy contact about criteria for your programme or processing.
11 Your rights and contact
You may request access, rectification, erasure, objection, restriction and portability where applicable, withdraw consent and exercise safeguards concerning solely automated decisions. You may object to direct marketing at any time through the unsubscribe link or gdpr@diss.group.
Send requests to gdpr@diss.group, explaining your request and providing sufficient information to locate the processing. Further identity information is requested only where necessary and proportionate. GDPR requests are answered without undue delay and normally within one month; an extension of up to two additional months will be communicated within the first month, with reasons, where applicable.
You may complain to the Spanish Data Protection Agency at https://www.aepd.es/ or another competent authority. Where we act on another entity's behalf, we assist that controller in handling your rights.
12 Security cookies minors and changes
We manage access according to functions and apply technical and organisational measures proportionate to risk. Incidents and requests are coordinated through corporate procedures.
Each website provides specific cookie information and, where applicable, controls to accept, reject or configure cookies. This privacy policy does not replace cookie notices or controls.
Our services address professional settings. Activities involving minors require specific information and safeguards under applicable law.
We review this policy when activities or conditions change. The published version displays its update date. Changes requiring further information or consent are communicated as applicable.