POLÍTICA DE PRIVACIDAD

POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES
En cumplimiento de la normativa vigente en materia de protección de datos, compuesta por el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 —RGPD—) y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos sobre nuestra Política de protección de datos personales.


Responsable del tratamiento de los datos personales
El responsable del tratamiento es la persona jurídica que determina los fines y los medios del tratamiento de datos personales. En otras palabras, el responsable decide cómo y con qué finalidades se tratan los datos personales.

A los efectos de esta Política de protección de datos, el responsable del tratamiento de los datos personales es:

• Razón social: XENÉTICA FONTAO, S.A. - NIF: A27222207
• Domicilio social: Lg. Fontao, s/n, 27210 Esperante (LUGO)
• Correo electrónico para cuestiones de protección de datos y ejercicio de derechos: rgpd@xeneticafontao.com
• Teléfono: +34 982 284 391

Delegado de protección de datos
XENÉTICA FONTAO, S.A. ha designado como delegado de protección de datos (DPD) a ADENDA CONSULTORÍA JURÍDICA, S.L. (artículo 37.7 del RGPD y artículo 34.3 de la LOPDGDD). 
Puede dirigirse al delegado para cualquier cuestión relativa al tratamiento de sus datos personales y al ejercicio de sus derechos y, con carácter previo y potestativo, para presentar una reclamación antes de acudir a la Agencia Española de Protección de Datos (artículo 37 de la LOPDGDD):

• Delegado de protección de datos: ADENDA Consultoría Jurídica, S.L. (NIF B27836139). Persona de contacto: Diego Estévez García.
• Dirección: Rúa República Arxentina, 20, 6.º, oficina 35, 36201 Vigo (Pontevedra).
• Correo electrónico: destevez@adenda.net
• Teléfono: +34 986 120 145

¿Qué datos personales tratamos y cómo los protegemos?
Un dato personal es toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

Para las finalidades establecidas en esta Política de privacidad, el responsable recoge y trata los datos personales que se explican en cada tipo de tratamiento y que dependerán de los diferentes servicios que solicite o de la relación contractual que mantenga con nuestra entidad.

Nuestra organización se compromete a tratarlos con total confidencialidad y a aplicar las medidas de seguridad adecuadas, de carácter físico, técnico y organizativo, para proteger sus datos personales.

Usted garantiza y responde, en todo caso, de la veracidad, exactitud, vigencia y autenticidad de los datos personales facilitados, y se compromete a mantenerlos debidamente actualizados.


Inventario de actividades de tratamiento
XENÉTICA FONTAO, S.A. es una sociedad mercantil pública autonómica participada mayoritariamente por la Xunta de Galicia a través del Fondo Gallego de Garantía Agraria (FOGGA). En coherencia con esta condición y con el principio de transparencia (artículo 31.2 de la LOPDGDD, Ley 19/2013, de 9 de diciembre, y Ley 1/2016, de 18 de enero, de transparencia y buen gobierno de Galicia), publica a continuación el inventario de las actividades de tratamiento que realiza como responsable, con la información prevista en el artículo 30 del RGPD y la base jurídica de cada tratamiento.

Salvo que se indique otra cosa, los datos se obtienen del propio interesado o de su representante legal. No se tratan categorías especiales de datos ni datos relativos a condenas e infracciones penales.

• Finalidad: Gestión administrativa y laboral del personal: contratación, nóminas, Seguridad Social, régimen disciplinario, comunicaciones internas y cumplimiento de las obligaciones propias de una entidad del sector público autonómico.
• Base jurídica: Ejecución del contrato de trabajo (art. 6.1.b RGPD). Cumplimiento de obligaciones legales en materia laboral, tributaria y de Seguridad Social (art. 6.1.c RGPD; Estatuto de los Trabajadores y Ley General de la Seguridad Social). Consentimiento (art. 6.1.a RGPD) para el uso de la imagen y de los datos de contacto personales, que puede retirarse en cualquier momento.
• Personas interesadas: Personas empleadas.
• Categorías de datos:  Identificativos (nombre y apellidos, DNI/NIE, número de la Seguridad Social, dirección, teléfono, firma); características personales; datos académicos y profesionales; detalles del empleo; datos económicos, financieros y de seguros. No se tratan categorías especiales de datos.
• Destinatarios (comunicaciones): Tesorería General de la Seguridad Social y entidades gestoras; Agencia Estatal de Administración Tributaria y Agencia Tributaria de Galicia; entidades bancarias (pago de nóminas); entidades aseguradoras; mutua colaboradora; Xunta de Galicia (FOGGA) y órganos de control del sector público autonómico, cuando lo exija una norma legal.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Durante la relación laboral y, después, durante los plazos de prescripción de las responsabilidades: 4 años para la documentación laboral y de Seguridad Social (art. 4 LISOS) y 6 años para la que tenga valor contable (art. 30 del Código de Comercio).

2. Prevención de riesgos laborales

• Finalidad: Gestión de la prevención de riesgos laborales, vigilancia de la salud a través del servicio de prevención ajeno y coordinación de actividades empresariales.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; Ley 31/1995, de Prevención de Riesgos Laborales).
• Personas interesadas: Personas empleadas y personal de empresas concurrentes en el centro de trabajo.
• Categorías de datos: Identificativos; datos del puesto de trabajo; formación en prevención; conclusiones de aptitud. Los datos de salud los trata exclusivamente el personal sanitario del servicio de prevención ajeno (art. 22.4 LPRL).
• Destinatarios (comunicaciones): Autoridad laboral e Inspección de Trabajo y Seguridad Social, cuando lo requieran; mutua colaboradora.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 5 años (art. 23 LPRL y art. 4.3 LISOS). La relación de personas trabajadoras expuestas a agentes biológicos se conservará 10 años tras el fin de la exposición (art. 9 del Real Decreto 664/1997).

3. Registro de jornada

• Finalidad: Registro diario de la jornada de trabajo (hora de inicio y de finalización).
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; art. 34.9 del Estatuto de los Trabajadores).
• Personas interesadas: Personas empleadas.
• Categorías de datos: Nombre y apellidos, DNI/NIE, identificador de usuario y registros horarios.
• Destinatarios (comunicaciones): Inspección de Trabajo y Seguridad Social, cuando lo requiera, y representación legal de las personas trabajadoras.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 4 años (art. 34.9 del Estatuto de los Trabajadores).

4. Plan de igualdad

• Finalidad: Elaboración del diagnóstico de situación, del plan de igualdad y del registro retributivo.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; Ley Orgánica 3/2007, para la igualdad efectiva de mujeres y hombres; Reales Decretos 901/2020 y 902/2020).
• Personas interesadas: Personas empleadas.
• Categorías de datos: Identificativos; características personales; circunstancias sociales; datos académicos y profesionales; detalles del empleo y retributivos. Se utilizan datos agregados o seudonimizados siempre que es posible.
• Destinatarios (comunicaciones): Comisión negociadora y representación legal de las personas trabajadoras; autoridad laboral competente.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Durante la vigencia del plan y 4 años más.

5. Protocolo de prevención del acoso

• Finalidad: Prevención del acoso y tramitación de las comunicaciones y expedientes previstos en el protocolo.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; art. 48 de la Ley Orgánica 3/2007 y normativa de prevención de riesgos laborales).
• Personas interesadas: Personas empleadas (personas denunciantes, denunciadas y testigos).
• Categorías de datos: Identificativos; detalles del empleo; hechos comunicados e información derivada de la investigación.
• Destinatarios (comunicaciones): Personas integrantes de la comisión instructora; autoridad laboral, Inspección de Trabajo y órganos judiciales, cuando proceda.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 4 años desde la resolución del expediente (5 años si se impuso una sanción).

6. Formación del personal

• Finalidad: Gestión de la formación del personal y, en su caso, de sus bonificaciones.
• Base jurídica: Ejecución del contrato de trabajo (art. 6.1.b RGPD) y cumplimiento de obligaciones legales en materia de formación preventiva (art. 6.1.c RGPD; art. 19 LPRL).
• Personas interesadas: Personas empleadas y asistentes a las acciones formativas.
• Categorías de datos: Identificativos (incluida, en su caso, la imagen); características personales; datos académicos y profesionales.
• Destinatarios (comunicaciones): Entidades formadoras y Fundación Estatal para la Formación en el Empleo (FUNDAE), cuando la formación se bonifique.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 4 años desde la realización de la acción formativa.

7. Control de presencia

• Finalidad: Control del acceso restringido del personal a departamentos y zonas de las instalaciones.
• Base jurídica: Ejecución del contrato de trabajo (art. 6.1.b RGPD).
• Personas interesadas: Personas empleadas.
• Categorías de datos: Nombre y apellidos, departamento y registros de acceso.
• Destinatarios (comunicaciones): No se comunican datos a terceros.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 1 mes. Cuando los registros se utilicen como registro de jornada, 4 años (art. 34.9 del Estatuto de los Trabajadores).

8. Clientes y proveedores

• Finalidad: Gestión de la relación comercial y contractual con clientes (ganaderos, asociaciones, adquirentes de dosis seminales, embriones y servicios de laboratorio) y proveedores, incluidas la facturación y la contratación pública.
• Base jurídica: Ejecución de un contrato o aplicación de medidas precontractuales (art. 6.1.b RGPD). Cumplimiento de obligaciones legales contables, fiscales y de contratación del sector público (art. 6.1.c RGPD; Ley 9/2017, de Contratos del Sector Público). Interés legítimo para el tratamiento de los datos de contacto de las personas que prestan servicios en personas jurídicas (art. 6.1.f RGPD y art. 19 LOPDGDD).
• Personas interesadas: Clientes, proveedores y personas de contacto.
• Categorías de datos: Identificativos (nombre y apellidos, DNI/NIF, dirección, teléfono, firma); información comercial; datos económicos, financieros y de seguros; transacciones de bienes y servicios.
• Destinatarios (comunicaciones): Administración tributaria; entidades bancarias; órganos de control externo (Consello de Contas de Galicia y Tribunal de Cuentas); publicación en la Plataforma de Contratos Públicos de Galicia cuando lo exija la normativa de contratación.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Durante la relación y 6 años más (art. 30 del Código de Comercio). Los expedientes de contratación pública, como mínimo, 5 años desde la finalización del contrato.

9. Gestión fiscal y contable

• Finalidad: Cumplimiento de las obligaciones fiscales y contables derivadas de la actividad de la entidad.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; Ley 58/2003, General Tributaria, y Código de Comercio).
• Personas interesadas: Clientes, proveedores y personas empleadas.
• Categorías de datos: Identificativos (nombre y apellidos, DNI/NIF, dirección, teléfono) y datos económicos.
• Destinatarios (comunicaciones): Agencia Estatal de Administración Tributaria y Agencia Tributaria de Galicia; entidades bancarias; auditores de cuentas; órganos de control del sector público autonómico.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 6 años para los libros y la documentación contable (art. 30 del Código de Comercio); 4 años para la documentación tributaria (arts. 66 a 70 de la Ley General Tributaria), ampliables hasta 10 años en los supuestos del art. 66 bis.

10. Contactos

• Finalidad: Atender las consultas recibidas a través de la web, del correo electrónico o del teléfono y enviar información sobre las actividades, servicios y catálogos del Centro a quien lo solicite.
• Base jurídica: Consentimiento del interesado (art. 6.1.a RGPD), que puede retirarse en cualquier momento.
• Personas interesadas: Personas de contacto, solicitantes de información y clientes.
• Categorías de datos: Nombre y apellidos, dirección postal o electrónica, teléfono y contenido de la consulta.
• Destinatarios (comunicaciones): No se comunican datos a terceros.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Las consultas, 1 año desde la respuesta; los envíos informativos, hasta que la persona solicite la baja o retire el consentimiento.

11. Violaciones de la seguridad

• Finalidad: Registro y gestión de las violaciones de la seguridad de los datos personales y, si procede, su notificación a la autoridad de control y su comunicación a las personas afectadas.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; arts. 33 y 34 RGPD).
• Personas interesadas: Personas cuyos datos se vean afectados por la incidencia (personas empleadas, proveedores, clientes, personas de contacto y representantes).
• Categorías de datos: Los datos afectados por la incidencia y los necesarios para su gestión.
• Destinatarios (comunicaciones): Agencia Española de Protección de Datos; Fuerzas y Cuerpos de Seguridad; entidades aseguradoras; personas afectadas, cuando proceda.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Como mínimo 3 años desde el cierre de la incidencia (art. 72 LOPDGDD).

12. Ejercicio de derechos

• Finalidad: Atender las solicitudes de ejercicio de los derechos reconocidos por la normativa de protección de datos.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; arts. 12 a 22 RGPD).
• Personas interesadas: Personas solicitantes y sus representantes.
• Categorías de datos: Identificativos y de contacto, firma y contenido de la solicitud.
• Destinatarios (comunicaciones): Agencia Española de Protección de Datos y órganos judiciales, en caso de reclamación.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 3 años desde la respuesta. La documentación identificativa aportada se suprime una vez verificada la identidad.

13. Videovigilancia

• Finalidad: Garantizar la seguridad de las personas, de los animales, de las instalaciones, de los bienes y del material genético custodiado en el Centro. Las imágenes pueden utilizarse para el control laboral en los términos del art. 89 LOPDGDD.
• Base jurídica: Cumplimiento de una misión realizada en interés público (art. 6.1.e RGPD), en relación con el art. 22 LOPDGDD; para el control laboral, art. 89 LOPDGDD y art. 20.3 del Estatuto de los Trabajadores.
• Personas interesadas: Personas empleadas, visitantes, proveedores y clientes que acceden a las instalaciones.
• Categorías de datos: Imagen. No se capta sonido.
• Destinatarios (comunicaciones): Fuerzas y Cuerpos de Seguridad y órganos judiciales, cuando sea necesario.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Máximo 1 mes desde la captación, salvo que deban conservarse para acreditar hechos que atenten contra personas, bienes o instalaciones (art. 22.3 LOPDGDD).

14. Registro de accesos

• Finalidad: Control del acceso de visitas y terceros a las instalaciones por motivos de seguridad y bioseguridad.
• Base jurídica: Interés legítimo en la seguridad de las instalaciones (art. 6.1.f RGPD).
• Personas interesadas: Visitantes, proveedores, clientes y personas empleadas.
• Categorías de datos: Nombre y apellidos, entidad, firma, fecha y hora del acceso.
• Destinatarios (comunicaciones): No se comunican datos a terceros.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: 1 mes.

15. Sistema interno de información (canal de denuncias)

• Finalidad: Gestionar las comunicaciones sobre posibles infracciones normativas y decidir sobre el inicio de la investigación, conforme a la Ley 2/2023, de 20 de febrero. El canal está disponible en https://transparencia.xunta.gal/es/canle-de-denuncias.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; arts. 10, 13 y 30 de la Ley 2/2023).
• Personas interesadas: Personas informantes, personas afectadas por los hechos comunicados y testigos.
• Categorías de datos: Identificativos y de contacto (salvo en las comunicaciones anónimas) e información sobre los hechos comunicados. La identidad de la persona informante es reservada.
• Destinatarios (comunicaciones): Autoridad judicial, Ministerio Fiscal y autoridad administrativa competente, en el marco de una investigación.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Se suprimen a los 3 meses si no se ha iniciado investigación; en ningún caso se conservan más de 10 años (arts. 26 y 32 de la Ley 2/2023).

16. Entidades ganaderas y programas de mejora genética

• Finalidad: Gestión de la relación con las asociaciones y explotaciones ganaderas y prestación de los servicios de mejora genética, banco de germoplasma y laboratorio de genética molecular, como misión de interés público encomendada al Centro de Selección y Reproducción Animal de Galicia.
• Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c RGPD; Reglamento (UE) 2016/1012, de cría animal, y Real Decreto 45/2019, de normas zootécnicas) y, cuando exista, ejecución del contrato de prestación de servicios (art. 6.1.b RGPD).
• Personas interesadas: Titulares de explotaciones ganaderas, personas asociadas o miembros de las asociaciones de criadores y sus representantes.
• Origen de los datos: El propio interesado, las asociaciones y organizaciones colaboradoras y los registros públicos de explotaciones.
• Categorías de datos: Identificativos (nombre y apellidos, DNI/NIF, dirección, teléfono), datos bancarios, código de explotación agraria (REGA) y número de registro de la explotación en el libro genealógico (CONAFE).
• Destinatarios (comunicaciones): Asociaciones de criadores y organizaciones reconocidas para la gestión de los libros genealógicos y programas de cría; administraciones públicas competentes en ganadería y sanidad animal.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Mientras dure la participación en los programas de cría y, después, durante los plazos exigidos por la normativa zootécnica y sanitaria (registros de material reproductivo, como mínimo 3 años; 6 años cuando sirvan de soporte a una venta). Los registros históricos de los programas pueden conservarse con fines de archivo en interés público.

17. Selección de personal

• Finalidad: Gestión integral de los procesos selectivos de personal laboral: solicitudes, verificación de requisitos, valoración de méritos y pruebas, tribunales, publicación de listas y resultados, reclamaciones y recursos, y constitución y gestión de bolsas de empleo.
• Base jurídica: Aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD) y cumplimiento de las obligaciones legales de respeto de los principios de igualdad, mérito, capacidad y publicidad (art. 6.1.c RGPD; disposición adicional primera del Estatuto Básico del Empleado Público).
• Personas interesadas: Aspirantes en los procesos selectivos y demandantes de empleo.
• Categorías de datos: Identificativos (nombre y apellidos, DNI/NIE, dirección, teléfono, firma); características personales; datos académicos y profesionales; detalles del empleo.
• Destinatarios (comunicaciones): Miembros de los tribunales o comisiones de selección; publicación de las listas en la web y en el tablón de anuncios, con la identificación prevista en la disposición adicional séptima de la LOPDGDD; órganos de control y judiciales, en caso de recurso; representación legal de las personas trabajadoras, cuando proceda.
• Transferencias internacionales: No se realizan.
• Plazo de conservación: Expediente del proceso: hasta su firmeza y 5 años más. Bolsas de empleo: durante su vigencia. Las listas publicadas se retiran una vez firme el proceso.

Encargados del tratamiento
Además de las comunicaciones indicadas en cada actividad, XENÉTICA FONTAO, S.A. cuenta con proveedores que acceden a los datos por cuenta de la entidad, como encargados del tratamiento, para la prestación de los siguientes servicios. Todos ellos están vinculados mediante el contrato de encargo previsto en el artículo 28 del RGPD y solo pueden tratar los datos siguiendo las instrucciones de la entidad:

• Asesoría laboral, fiscal y contable.
• Servicios informáticos, de sistemas y de seguridad de la información.
• Desarrollo, alojamiento y mantenimiento de la página web.
• Suministro y mantenimiento de aplicaciones informáticas de gestión.
• Servicio de prevención ajeno de riesgos laborales.
• Consultoría en protección de datos y servicios de delegado de protección de datos.

Transferencias internacionales y decisiones automatizadas
No se realizan transferencias internacionales de datos a países situados fuera del Espacio Económico Europeo. Tampoco se adoptan decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre los interesados o les afecten significativamente de modo similar.


Medidas de seguridad
XENÉTICA FONTAO, S.A. aplica las medidas técnicas y organizativas apropiadas al riesgo de cada tratamiento (artículo 32 del RGPD), determinadas a partir del análisis de riesgos de la entidad, entre ellas: control de acceso físico a las instalaciones y a los departamentos, control de acceso lógico a los sistemas con credenciales personales, política de seguridad de la información y compromiso de confidencialidad del personal, copias de seguridad, contratos de encargo con los proveedores con acceso a datos y un procedimiento de gestión de violaciones de la seguridad.


¿Cuáles son sus derechos cuando nos facilita sus datos?
De conformidad con la normativa aplicable en materia de protección de datos, usted tiene una serie de derechos en relación con el tratamiento de sus datos personales. El ejercicio de estos derechos será gratuito para usted, salvo en los casos en que se formulen solicitudes manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo.

Estos derechos son los siguientes: Podrá ejercer gratuitamente los derechos antes indicados mediante una comunicación dirigida a XENÉTICA FONTAO, S.A. (Lg. Fontao, s/n, 27210 Esperante, Lugo) o al correo electrónico rgpd@xeneticafontao.com, o bien al delegado de protección de datos, indicando el derecho que ejerce y los datos necesarios para tramitar su solicitud. Solo se le pedirá documentación acreditativa de su identidad cuando existan dudas razonables sobre ella (artículo 12.6 del RGPD). Responderemos en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses cuando sea necesario teniendo en cuenta su complejidad y el número de solicitudes; en tal caso le informaremos de la prórroga y de sus motivos dentro del primer mes (artículo 12.3 del RGPD).

Los interesados pueden obtener información adicional sobre sus derechos en la página web de la Agencia Española de Protección de Datos, www.aepd.es.

Nuestra organización se reserva el derecho a modificar su Política de privacidad, de acuerdo con su propio criterio o con motivo de un cambio legislativo, jurisprudencial o doctrinal de la Agencia Española de Protección de Datos. Los cambios o actualizaciones de esta Política de privacidad no se notificarán de forma explícita a la persona usuaria. Se recomienda consultar esta página periódicamente para estar al tanto de los últimos cambios o actualizaciones.

Esta política fue revisada por última vez el 3 de octubre de 2026.