Política de privacidad

1. Responsable del tratamiento

• Responsable: [RAZÓN SOCIAL]
• NIF/CIF: [CIF]
• Domicilio: [DOMICILIO]
• Correo de contacto en materia de protección de datos: [EMAIL LEGAL]
• Delegado de Protección de Datos: [DPO si aplica]

Nota para revisión (eliminar antes de publicar): hasta la constitución efectiva de la sociedad, la condición de responsable corresponde a [PERSONA FÍSICA O ENTIDAD OPERADORA PROVISIONAL].

Esta política se aplica a la plataforma privada ADENTRO (app.adentroclub.es), de acceso restringido a agencias de intermediación inmobiliaria previamente invitadas y verificadas, y al sitio público adentroclub.es en lo relativo al formulario de solicitud de invitación (apartado 2.11).

2. Categorías de datos, finalidades, base jurídica y conservación

2.1. Agentes usuarios de las agencias miembros

Datos: dirección de correo electrónico, nombre y apellidos, idioma de la interfaz, agencia a la que pertenece, identificador de cuenta, fecha de alta, y en su caso identificador de chat de Telegram.

Finalidades: creación y mantenimiento de la cuenta; autenticación mediante enlace de acceso y código de un solo uso; prestación de las funcionalidades de la red; envío de avisos de servicio.

Base jurídica: artículo 6.1.b) RGPD, ejecución del contrato suscrito con la agencia a la que el agente pertenece y de las medidas precontractuales solicitadas; artículo 6.1.f) RGPD, interés legítimo en identificar de forma inequívoca a quien accede a una red profesional cerrada.

Conservación: durante la vigencia de la relación con la agencia y, tras su baja, [PLAZO A DEFINIR: propuesta, 12 meses] a efectos de acreditar la actividad realizada en la red, bloqueados y accesibles únicamente para la atención de posibles reclamaciones.

2.2. Invitaciones

Datos: correo electrónico de la persona invitada y denominación de la agencia invitada.

Finalidades: cursar la invitación y crear la cuenta cuando se acepta. El sistema no permite el alta espontánea: una dirección no invitada no genera cuenta ni recibe correo.

Base jurídica: artículo 6.1.f) RGPD, interés legítimo en constituir la red mediante invitación dirigida a profesionales del sector, comunicada al destinatario en el primer contacto.

Conservación: la invitación caduca a los 14 días. El registro de la invitación se conserva [PLAZO A DEFINIR: propuesta, 12 meses desde su uso o caducidad]. El enlace de invitación no se almacena: únicamente se guarda su valor resumen (hash SHA-256).

2.3. Datos de contacto de la agencia para operaciones

Datos: teléfono, correo electrónico y nota de contacto que cada agencia hace constar en su perfil, referidos habitualmente a una persona de contacto de la agencia.

Finalidades: permitir que la contraparte de una operación aceptada contacte con la agencia.

Base jurídica: artículo 6.1.b) RGPD respecto del servicio contratado por la agencia; artículo 6.1.f) RGPD respecto de la persona de contacto, cuyo interés legítimo es el propio desarrollo de su actividad profesional.

Particularidad: estos datos solo son visibles para la otra parte cuando existe una propuesta de colaboración aceptada. Antes de la aceptación no se muestran.

Conservación: mientras la agencia sea miembro o hasta que los modifique.

2.4. Datos de los inmuebles y documentación del encargo (mandato)

Datos: características del inmueble (tipo, municipio, zona, precio, superficie, descripción), fotografías y el documento de encargo o mandato de venta en exclusiva aportado por la agencia. El documento de mandato puede contener datos personales del propietario.

Finalidades: publicación del inmueble en la red cerrada; comprobación por el operador de que existe un documento de encargo antes de conceder la insignia ADENTRO Verified.

Base jurídica: respecto de los datos del propietario contenidos en el mandato, el tratamiento se realiza por cuenta de la agencia, que es la responsable y quien debe disponer de la base jurídica y haber informado al propietario (véase el apartado 3 y el documento Cláusula para el contrato de encargo en exclusiva).

Particularidad: el documento de mandato se almacena en un repositorio privado. Ninguna otra agencia de la red puede verlo ni descargarlo; solo el operador accede a él, mediante enlace firmado de duración limitada y a petición expresa.

Conservación: mientras el inmueble permanezca publicado y [PLAZO A DEFINIR] después.

2.5. Peticiones de compra: huella criptográfica del teléfono del cliente

Datos: el agente introduce el teléfono de su cliente comprador. El número no se almacena en ningún momento: el servidor lo normaliza a formato internacional, calcula una huella criptográfica (HMAC-SHA256 con clave secreta del operador) y guarda únicamente esa huella. El número en claro se descarta al terminar la petición.

Finalidad: advertir a dos agencias de que podrían estar trabajando con el mismo comprador. El aviso es meramente informativo: no bloquea ninguna operación, no atribuye el cliente a nadie y no muestra el número ni la huella.

Base jurídica: artículo 6.1.f) RGPD, interés legítimo de las agencias miembros en evitar duplicidades y trabajo redundante sobre un mismo comprador, atendido mediante el medio menos intrusivo disponible: no se comparte el teléfono, sino únicamente la coincidencia.

Garantías: la columna que contiene la huella está excluida de los permisos de lectura de los miembros, que no pueden consultarla por ningún medio; el único resultado accesible es la existencia de la coincidencia y el número de expediente de la otra petición. La huella se borra automáticamente al archivarse la petición.

Conservación: la petición caduca a los 30 días y, al archivarse, la huella se elimina de forma automática e irreversible.

Nota para revisión: la huella se considera dato personal seudonimizado (artículo 4.5 RGPD) y no dato anónimo, por lo que se le aplican todas las garantías descritas. Confirmar este criterio.

2.6. Peticiones de compra: contenido descriptivo

Datos: tipo de inmueble buscado, municipio y zonas, presupuesto máximo, dormitorios, superficie y comentario libre. El formulario indica expresamente que no deben incluirse el nombre ni los datos de contacto del cliente.

Base jurídica: artículo 6.1.b) y 6.1.f) RGPD.

Conservación: 30 días de vigencia y archivo posterior; el archivo se conserva [PLAZO A DEFINIR].

2.7. Expedientes de operación entre agencias

Datos: identificación de ambas agencias y de los agentes intervinientes, mensaje de la propuesta, condiciones de colaboración fijadas en el momento de la aceptación, etapa de la operación, notas compartidas y documentos adjuntos. Los documentos adjuntos pueden contener datos personales de compradores y vendedores (por ejemplo, contratos de reserva o de arras).

Finalidades: documentar la colaboración entre las dos agencias.

Base jurídica: respecto de los datos de terceros contenidos en los documentos, el tratamiento se realiza por cuenta de las agencias, que son las responsables (véase el apartado 3).

Garantías: el expediente solo es accesible para las dos agencias implicadas. El operador no dispone de acceso a los expedientes ni a sus documentos. Los documentos se almacenan en un repositorio privado y se descargan mediante enlace firmado de duración limitada.

Conservación: [PLAZO A DEFINIR - punto abierto: actualmente los documentos permanecen mientras exista el expediente. Debe fijarse un plazo, previsiblemente vinculado al de conservación de la documentación de la operación por la agencia responsable].

2.8. Reclamaciones entre miembros

Datos: identificación del agente que presenta la reclamación, su agencia y el texto de la reclamación, que puede mencionar a terceros.

Base jurídica: artículo 6.1.f) RGPD, interés legítimo en el mantenimiento del orden interno de la red y en la resolución de incidencias entre miembros.

Conservación: [PLAZO A DEFINIR: propuesta, 24 meses desde su resolución].

2.9. Notificaciones y comunicaciones de servicio

Datos: destinatario, canal empleado (correo electrónico o Telegram), tipo de aviso, fecha de envío y clave de deduplicación.

Finalidades: recordatorios de vigencia de anuncios, avisos de propuestas de colaboración y resúmenes periódicos. Todas las comunicaciones son de servicio, no comerciales.

Base jurídica: artículo 6.1.b) RGPD. La vinculación del canal de Telegram es voluntaria y se activa por el propio agente: en ese caso, artículo 6.1.a) RGPD, consentimiento, revocable en cualquier momento desvinculando el chat.

Conservación: [PLAZO A DEFINIR: propuesta, 12 meses].

2.10. Datos técnicos, de seguridad y registros

Datos: registros de acceso y de errores generados por la infraestructura, direcciones IP, y contadores de limitación de frecuencia que, en las operaciones de acceso, incorporan la dirección de correo electrónico empleada.

Finalidades: seguridad de la plataforma, prevención del abuso y diagnóstico de incidencias.

Base jurídica: artículo 6.1.f) RGPD, interés legítimo en la seguridad de la información.

Conservación: los registros de la infraestructura se conservan según los plazos del proveedor; los contadores de limitación de frecuencia, [PLAZO A DEFINIR: propuesta, 30 días, con purga periódica].

2.11. Solicitudes de invitación desde adentroclub.es

Datos: denominación de la agencia, municipio, correo electrónico profesional e idioma de la página desde la que se envía la solicitud, junto con la fecha de envío y el estado de la tramitación (nueva, contactada, invitada o rechazada) y, en su caso, una nota interna del operador. Para prevenir el abuso del formulario se usan contadores de limitación de frecuencia que incorporan la dirección IP y el correo electrónico (apartado 2.10).

Finalidades: valorar la solicitud, contactar con la agencia en la dirección facilitada y, si procede, cursar la invitación descrita en el apartado 2.2.

Base jurídica: artículo 6.1.b) RGPD, aplicación de medidas precontractuales adoptadas a petición del interesado, que solicita ser admitido en la red. El formulario no admite el envío sin aceptar esta política.

Destinatarios: solo el operador de la red accede a las solicitudes. No se comunican a las agencias miembros ni se usan para comunicaciones comerciales.

Conservación: hasta 12 meses desde la última actualización de la solicitud; transcurrido ese plazo se suprimen. Si la solicitud da lugar a una invitación, los datos pasan a regirse por el apartado 2.2. El interesado puede pedir la supresión anticipada en cualquier momento (apartado 7).

3. Reparto de papeles: responsable y encargado

La plataforma actúa en dos posiciones distintas según el dato de que se trate:

(a) [RAZÓN SOCIAL] es responsable del tratamiento de los datos de las cuentas de los agentes, de los datos de contacto de las agencias, de las solicitudes de invitación, de las invitaciones, de los registros técnicos y de seguridad, de las notificaciones y de la huella criptográfica descrita en el apartado 2.5. Estos datos se tratan para prestar el servicio de la red, con las finalidades y bases descritas.

(b) [RAZÓN SOCIAL] es encargada del tratamiento, por cuenta de cada agencia miembro, respecto de los datos personales de terceros que la agencia incorpora a la plataforma: los datos del propietario contenidos en el documento de encargo o mandato y los datos de compradores y vendedores contenidos en los documentos de los expedientes de operación. En estos casos:

• la agencia es la responsable, determina las finalidades y debe disponer de base jurídica y haber informado a los interesados;
• [RAZÓN SOCIAL] trata esos datos únicamente siguiendo las instrucciones documentadas de la agencia, que son las contenidas en las Condiciones de uso y reglamento de la red y en el contrato de encargo del tratamiento incorporado a ellas, conforme al artículo 28 RGPD;
• [RAZÓN SOCIAL] no utiliza esos datos para finalidad propia alguna;
• las obligaciones de confidencialidad, seguridad, asistencia, subencargo, devolución o supresión y auditoría se regulan en el citado contrato de encargo.

El contrato de encargo del tratamiento exigido por el artículo 28.3 RGPD se entiende suscrito con la aceptación de las Condiciones de uso y reglamento de la red por parte de la agencia.

4. Destinatarios y encargados de tratamiento

Los datos no se ceden a terceros salvo obligación legal. Se comunican a los siguientes proveedores, que actúan como encargados del tratamiento con contrato conforme al artículo 28 RGPD:

Nota para revisión: verificar y actualizar la lista de subencargados de cada proveedor y el mecanismo de transferencia efectivamente aplicable en la fecha de publicación.

Dentro de la red, otras agencias miembros acceden a los datos que cada agencia publica y, tras la aceptación de una colaboración, a los datos de contacto de la contraparte. Este acceso no constituye cesión a un tercero ajeno al servicio, sino la finalidad misma de la red, y se describe en las Condiciones de uso y reglamento de la red.

5. Transferencias internacionales

El alojamiento de la base de datos, de los documentos y de la aplicación se realiza en la Unión Europea.

Existen transferencias internacionales de datos a Estados Unidos derivadas del servicio de envío de correo electrónico y del acceso remoto de soporte de los proveedores de infraestructura. Estas transferencias se amparan en los mecanismos previstos en los artículos 44 a 49 RGPD: decisión de adecuación aplicable a entidades certificadas en el marco correspondiente y, subsidiariamente, cláusulas contractuales tipo adoptadas por la Comisión Europea conforme al artículo 46.2.c) RGPD, junto con las medidas complementarias que resulten aplicables.

Si el agente vincula voluntariamente su cuenta de Telegram, la entrega del aviso implica una transferencia a Telegram FZ-LLC, entidad establecida en los Emiratos Árabes Unidos. [PENDIENTE DE REVISIÓN JURÍDICA: identificar el mecanismo del artículo 46 aplicable o, en su defecto, fundamentar la transferencia en el artículo 49.1.a) RGPD sobre la base del consentimiento explícito e informado del agente, prestado en el momento de la vinculación. El canal de correo electrónico permanece siempre disponible como alternativa.]

Puede obtenerse copia de las garantías adoptadas dirigiéndose a [EMAIL LEGAL].

6. Decisiones automatizadas

No se adoptan decisiones automatizadas con efectos jurídicos o significativos para los interesados. En particular, el aviso de posible coincidencia de cliente descrito en el apartado 2.5 es meramente informativo y no impide ni condiciona ninguna actuación.

7. Derechos de los interesados

Los interesados pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad (habitualmente citados como derechos ARSOPOL), así como retirar el consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo.

Procedimiento: solicitud dirigida a [EMAIL LEGAL] o a [DOMICILIO], indicando el derecho ejercido y acompañando documento acreditativo de la identidad. La solicitud se atiende en el plazo de un mes desde su recepción, prorrogable en dos meses adicionales cuando la complejidad o el número de solicitudes lo justifiquen, con comunicación previa al interesado.

Solicitudes relativas a datos aportados por una agencia: cuando la solicitud se refiera a datos de un propietario, comprador o vendedor incorporados a la plataforma por una agencia miembro, [RAZÓN SOCIAL] actúa como encargada y trasladará la solicitud a la agencia responsable sin dilación, asistiéndola en su atención conforme al artículo 28.3.e) RGPD. El interesado puede dirigirse directamente a la agencia con la que se relacionó.

Reclamación: los interesados pueden presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), en particular si consideran que no han obtenido satisfacción en el ejercicio de sus derechos.

8. Seguridad

Se aplican medidas técnicas y organizativas apropiadas conforme al artículo 32 RGPD, entre las que se encuentran el control de acceso a nivel de base de datos por agencia y por papel, el almacenamiento de la documentación sensible en repositorios privados con enlaces firmados de duración limitada, el cifrado en tránsito, el acceso restringido del operador y la ausencia total de almacenamiento del número de teléfono del cliente comprador.

9. Modificaciones

Esta política puede modificarse para adaptarla a cambios normativos o del servicio. Las modificaciones sustanciales se comunicarán a las agencias miembros por los canales habituales con antelación razonable.

Última actualización: [FECHA]