Privacy Policy
1. Data Controller
Exus Management Renewables, S.L.U. (“EXUS”)
Paseo de la Castellana, 60 – 3rd floor
28046 Madrid
Registered before the Commercial Registry of Madrid under number B-87053443.
Contact Information
dataprotection@exusrenewables.com
info@exusrenewables.com
Data protection governance at EXUS is set out in our Information Security Policy and its Data Protection and Privacy Sub-Policy, which define the roles, responsibilities and controls applicable to the processing of personal data.
Data protection queries may be addressed to:
dataprotection@exusrenewables.com
2. What Data Do We Process and for How Long?
EXUS will process:
(i) Personal data provided in electronic communications or general contact enquiries.
(ii) Data derived from the commercial relationship with EXUS, including the services used.
(iii) Information generated through IT processes, such as browsing habits, IP address and data collected through cookies, pixel tags and other technologies.
(iv) Information inferred from lawfully obtained data.
Retention Period
• Data will be processed while the user remains active in the digital environment, a commercial or contractual relationship exists, or as required for legal compliance.
• Once the relationship ends, data will be deleted unless necessary for compliance with applicable legal obligations.
Indicative statutory periods include:
• Five years for contractual obligations
• Four to six years for tax documentation
• Three years for records of processing activity
• One month for CCTV recordings
• Up to 40 years for occupational risk prevention records
3. Purposes of Data Processing
EXUS will process personal data for the following purposes:
(i) To professionally, administratively, financially and, where applicable, fiscally manage the contracted services.
(ii) To send necessary information for service provision.
(iii) To evaluate résumés in recruitment processes.
(iv) To comply with legal obligations.
(v) To manage enquiries, suggestions and requests.
(vi) To send information about new services similar to those contracted or of interest to the user, via any means, including electronic communication.
Legal Basis for Processing
• Performance of a contract: Contractual relationship with the user.
• Compliance with legal obligations: Applicable regulations, such as anti-money laundering laws.
• Legitimate interest: Commercial communications while consent or a legal relationship exists between the parties.
• Explicit consent: Direct marketing, the corporate newsletter, non-essential cookies and any other processing for which no other legal basis applies.
• User responsibility: If the user provides third-party data, they guarantee that these individuals are of legal age, that the data provided is accurate and truthful, and that they have been informed of the content of this Privacy Policy.
4. Is Data Shared with Third Parties?
Yes. EXUS may share data with:
• External service providers required for the execution of contracted services, such as consultants, lawyers, accounting firms, notaries and appraisers.
• Government authorities, law enforcement agencies, judges and courts in compliance with legal requirements.
• Other companies within the Exus Group for internal administrative purposes.
• Insurance companies, auditors and professional advisers for the management of policies and benefits, compliance with legal obligations and the defence of legitimate interests.
EXUS does not share data with third parties for commercial purposes without the user’s prior consent.
International Data Transfers
In the event of international data transfers, such as communications with Exus Renewables North America, transfers will rely on an adequacy decision or, where none applies, on documented adequate safeguards such as the European Commission’s Standard Contractual Clauses.
5. User Rights
Users may exercise the following rights at any time:
• Access: Request information about personal data processed by EXUS.
• Rectification: Correct inaccurate or incomplete data.
• Erasure: Request the deletion of personal data.
• Objection: Object to data processing for legitimate reasons.
• Restriction of processing: Limit the use of personal data in certain cases.
• Data portability: Obtain data in a structured, commonly used format or request its transfer to a third party.
• Withdrawal of consent: Withdraw consent at any time where consent is the basis for processing, without affecting the lawfulness of processing carried out before withdrawal.
• Complaint to the supervisory authority: Lodge a complaint with the Spanish Data Protection Agency (AEPD): C/ Jorge Juan, 6, 28001 Madrid
To exercise these rights, users should contact: dataprotection@exusrenewables.com
Alternatively, users may contact EXUS by post at:
Paseo de la Castellana, 60 – 3rd floor
28046 Madrid
Users may also exercise their rights in person at any EXUS office.
EXUS will respond within one month of receipt. This period may be extended by a further two months where the request is complex.
6. Security Measures and Confidentiality
EXUS adopts technical and organisational measures, implemented through an Information Security Management System aligned with ISO/IEC 27001 and ISO/IEC 27002, to protect personal data against loss, alteration, misuse, unauthorised access and theft, ensuring its integrity, availability and confidentiality.
Personal data breaches are handled under our security incident management procedure, including notification to the supervisory authority within 72 hours where required.
7. Changes to the Privacy Policy
EXUS reserves the right to modify this policy to adapt to regulatory changes or organisational updates.
Any modifications will be notified on the website.
1. Responsable del Tratamiento
Exus Management Renewables
Paseo de la Castellana, 60 – 3ª planta
28046 Madrid
Inscrita en el Registro Mercantil de Madrid con número B-87053443.
Información de contacto
dataprotection@exusrenewables.com
info@exusrenewables.com
La gobernanza en materia de protección de datos de EXUS se establece en su Política de Seguridad de la Información y en la Subpolítica de Protección de Datos y Privacidad, que definen los roles, responsabilidades y controles aplicables al tratamiento de datos personales.
Las consultas sobre protección de datos pueden dirigirse a: dataprotection@exusrenewables.com
2. ¿Qué Datos Tratamos y Durante Cuánto Tiempo?
EXUS tratará:
(i) Datos personales proporcionados en comunicaciones electrónicas o generales de contacto.
(ii) Datos derivados de la relación comercial con EXUS, incluyendo los servicios utilizados.
(iii) Información generada por procesos informáticos, como hábitos de navegación, dirección IP y datos recopilados mediante cookies, etiquetas de píxel y otras tecnologías.
(iv) Información inferida a partir de datos obtenidos legalmente.
Plazo de Conservación
• Los datos serán tratados mientras el usuario esté activo en el entorno digital, exista una relación comercial o contractual, o hasta el cumplimiento de obligaciones legales.
• Una vez finalizada la relación, los datos se eliminarán salvo que sean necesarios para el cumplimiento de obligaciones legales aplicables.
A título indicativo, los plazos legales aplicables incluyen:
• Cinco años para obligaciones contractuales
• De cuatro a seis años para la documentación fiscal
• Tres años para el registro de actividades de tratamiento
• Un mes para las grabaciones de videovigilancia
• Hasta 40 años para la documentación de prevención de riesgos laborales
3. Finalidades del Tratamiento
EXUS tratará los datos personales para:
(i) Gestionar profesional, administrativa, contable y, en su caso, fiscalmente los servicios contratados.
(ii) Enviar información necesaria para la prestación de servicios.
(iii) Evaluar currículums en procesos de selección de personal.
(iv) Cumplir obligaciones legales.
(v) Gestionar consultas, sugerencias y solicitudes.
(vi) Enviar información sobre nuevos servicios similares a los contratados o de interés del usuario, por cualquier medio, incluido el electrónico.
Base Legal del Tratamiento
• Ejecución de un contrato: Relación contractual con el usuario.
• Cumplimiento de obligaciones legales: Normativas aplicables, por ejemplo, prevención del blanqueo de capitales.
• Interés legítimo: Comunicaciones comerciales mientras exista consentimiento o una relación jurídica entre las partes.
• Consentimiento expreso: Marketing directo, newsletter corporativa y cookies no esenciales, así como cualquier otro tratamiento para el que no resulte aplicable otra base jurídica.
• Responsabilidad del usuario: Si el usuario facilita datos de terceros, garantiza que estas personas son mayores de edad, que los datos proporcionados son veraces y exactos, y que han sido informados del contenido de esta Política de Privacidad.
4. ¿Se Comparten los Datos con Terceros?
Sí. EXUS podrá compartir datos con:
• Proveedores de servicios externos necesarios para la ejecución de los servicios contratados, como asesores, abogados, gestorías, notarios y peritos.
• Autoridades gubernamentales, fuerzas de seguridad del Estado, jueces y tribunales, en cumplimiento de requerimientos legales.
• Otras sociedades del grupo Exus, con fines administrativos internos.
• Entidades aseguradoras, auditores y asesores profesionales, para la gestión de pólizas y prestaciones, el cumplimiento de obligaciones legales y la defensa de intereses legítimos.
EXUS no comparte datos con terceros para fines comerciales sin el consentimiento previo del usuario.
Transferencias Internacionales de Datos
En caso de transferencias internacionales de datos, como en comunicaciones con Exus Renewables North America, las transferencias se basarán en una decisión de adecuación o, en su defecto, en garantías adecuadas debidamente documentadas, como las Cláusulas Contractuales Tipo de la Comisión Europea.
5. Derechos del Usuario
El usuario puede ejercer sus derechos en cualquier momento:
• Acceso: Consultar los datos personales tratados por EXUS.
• Rectificación: Corregir datos inexactos o incompletos.
• Supresión: Solicitar la eliminación de sus datos personales.
• Oposición: Oponerse al tratamiento de sus datos por motivos legítimos.
• Limitación del tratamiento: Restringir el uso de sus datos en determinados casos.
• Portabilidad: Obtener sus datos en un formato estructurado y de uso común, o solicitar su transferencia a un tercero.
• Retirada del consentimiento: Retirar el consentimiento en cualquier momento, cuando este sea la base del tratamiento, sin que ello afecte a la licitud del tratamiento previo a su retirada.
• Reclamación ante la autoridad de control: Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan, 6, 28001 Madrid
Para ejercer estos derechos, los interesados deben escribir al canal designado a tal efecto: dataprotection@exusrenewables.com
También podrán dirigirse por correo postal a:
Paseo de la Castellana, 60 – 3ª planta
28046 Madrid
O presencialmente en cualquier oficina de EXUS.
EXUS responderá en el plazo de un mes desde la recepción. Este plazo podrá prorrogarse dos meses adicionales cuando la solicitud sea compleja.
6. Medidas de Seguridad y Confidencialidad
EXUS adopta medidas técnicas y organizativas, implementadas a través de un Sistema de Gestión de Seguridad de la Información alineado con las normas ISO/IEC 27001 e ISO/IEC 27002, para proteger los datos personales contra pérdida, alteración, uso indebido, acceso no autorizado y robo, garantizando su integridad, disponibilidad y confidencialidad.
Las violaciones de seguridad de los datos personales se gestionan conforme a nuestro procedimiento de gestión de incidentes, incluida la notificación a la autoridad de control en un plazo máximo de 72 horas cuando resulte procedente.
7. Modificaciones a la Política de Privacidad
EXUS se reserva el derecho de modificar esta política para adaptarla a cambios normativos o de su estructura organizativa.
Las modificaciones serán notificadas en el sitio web.