Política de Privacidad
1. Responsable del tratamiento
- Responsable: VIABLE PROPTECH, S.L. (en constitución)
- NIF/CIF: B56765432
- Domicilio: Passeig de Gràcia, 50, 08007 Barcelona
- Correo de contacto para temas de privacidad: legal@viableproptech.com
- Delegado de Protección de Datos: no es obligatorio designar uno al tamaño y actividad actuales de la empresa (no se dan los supuestos del art. 37 RGPD). Puede revisarse si el volumen de datos tratados crece mucho, o si empiezas a tratar datos a gran escala de forma habitual.
2. Qué datos se tratan
| Categoría | Ejemplos | De dónde sale |
|---|---|---|
| Datos de cuenta | Nombre, correo electrónico, contraseña (cifrada), empresa a la que perteneces, rol | Los que das al registrarte |
| Datos de uso de la plataforma | Estudios de viabilidad que creas (nombre del proyecto, ubicación, supuestos económicos, resultados), plantillas de supuestos, con quién compartes cada estudio | Tu actividad normal dentro de la app |
| Datos técnicos | Dirección IP y navegador en el momento de un error (solo si ocurre un fallo técnico), fecha y hora de acceso | Automático, para poder diagnosticar problemas |
| Comunicaciones | Preferencia de recibir avisos por correo, y el propio historial de esos avisos | Lo que configuras en "Preferencias de aviso" |
| Actividad en la plataforma | Los días en que accedes, la última señal de actividad y la pantalla en la que estás (panel o calculadora), y un registro de altas, bajas y cambios de suscripción de tu empresa. El administrador de la plataforma solo ve datos agregados por empresa, nunca tu nombre ni tu correo en esa pantalla | Automático, para mantener el servicio, atender a los clientes y detectar problemas de uso |
| Control de pruebas gratuitas | Una huella cifrada (hash) de tu correo normalizado y, si es de empresa, del dominio de tu correo. No se guarda el correo | Se calcula al registrar una empresa nueva, para que la prueba gratuita no se repita con otros correos |
Un matiz importante sobre los estudios: un estudio de viabilidad puede contener datos de un solar o de una promoción concreta (ubicación, precio de compra, condiciones con un propietario del suelo). Si esos datos identifican a una persona física (por ejemplo, el nombre de un propietario particular del suelo, no de una empresa), esos datos también son datos personales de esa tercera persona, y quien los introduce en la plataforma (tú o tu equipo) actúa como responsable de ese tratamiento frente a esa persona — VIABLE, en ese caso, actúa como encargado del tratamiento por cuenta tuya, no como responsable. [Esto conviene revisarlo con detalle si vais a introducir datos de propietarios particulares con frecuencia.]
3. Con qué finalidad y con qué base legal
| Finalidad | Base legal (art. 6 RGPD) |
|---|---|
| Prestar el servicio: crear tu cuenta, guardar tus estudios, mostrarte el panel | Ejecución del contrato (6.1.b) |
| Enviarte avisos cuando alguien te comparte un estudio | Ejecución del contrato, y siempre puedes desactivarlo desde "Preferencias de aviso" |
| Diagnosticar errores técnicos | Interés legítimo (6.1.f) en mantener el servicio funcionando |
| Facturación | Ejecución del contrato y obligación legal (6.1.b y 6.1.c) |
| Comunicaciones comerciales sobre el propio producto | Consentimiento (6.1.a), separado y revocable en cualquier momento |
4. Cuánto tiempo se conservan los datos
Estos plazos no son una promesa genérica: son los que de verdad ejecuta la base de datos de la plataforma, de forma automática:
- Historial de versiones de un estudio: se conservan las 15 versiones más recientes, más una copia por día de las anteriores. El resto se borra.
- Registro de errores técnicos: 90 días.
- Actividad en la plataforma (días de acceso y registro de altas y bajas): 400 días.
- Huellas del control de pruebas gratuitas: 24 meses.
- Estudios eliminados (papelera): 30 días, tras los cuales se borran de forma definitiva junto con su historial.
- Notificaciones dentro de la app: las leídas, 30 días; las no leídas, 180 días.
- Datos de cuenta y estudios activos: mientras la cuenta permanezca activa, y el tiempo necesario para atender la baja: se suprimen, a petición del titular, en un plazo máximo de 30 días, salvo obligación legal de conservarlos más tiempo (por ejemplo, facturación).
5. Con quién se comparten los datos
No se venden datos a nadie. Se comparten con estos encargados del tratamiento, estrictamente para poder prestar el servicio:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento | Supabase Pte. Ltd. (Singapur) o Supabase Inc. (EE. UU.), según la región que elegiste al crear el proyecto. Confírmalo tú: Supabase → Project Settings → General → Region. Si es una región de la UE, tus datos no salen de la UE por este proveedor; si no, aplica su DPA (supabase.com/legal/dpa), con cláusulas contractuales tipo. |
| Resend | Envío de los correos de aviso | Resend (Plus Five Five, Inc.), San Francisco, EE. UU. Resend almacena los datos en Estados Unidos siempre, aunque elijas una región de envío europea (esa región solo decide desde dónde se manda el correo, no dónde se guarda) — cubierto por cláusulas contractuales tipo y el marco de protección de datos UE-EE. UU. |
| Stripe | Cobro de las suscripciones y gestión de facturas — solo si la empresa contrata un plan de pago | Stripe Payments Europe, Ltd. (Irlanda, UE), con posible tratamiento por Stripe, Inc. (EE. UU.) bajo cláusulas contractuales tipo |
| Vercel (si es tu hosting) | Servir la propia página web | Vercel Inc., San Francisco, EE. UU. Por defecto procesa en EE. UU., con nodos de borde repartidos por el mundo; ha nombrado a EDPO como representante GDPR en la UE — cubierto por cláusulas contractuales tipo y el marco de protección de datos UE-EE. UU. Si usas otro proveedor de hosting, sustituye esta fila por la suya. |
Con cada uno de ellos debe existir un contrato de encargado del tratamiento vigente — ver herramientas/produccion.md, punto 8.
Además, si compartes un estudio con una persona de otra organización (un bróker, otra promotora), esa persona ve el contenido del estudio que le compartas, de forma explícita y solo porque tú has decidido compartirlo.
6. Transferencias internacionales
Resend y Vercel (si es tu proveedor de hosting) tratan datos en Estados Unidos; Stripe puede hacerlo a través de Stripe, Inc., también en Estados Unidos. En los tres casos, la transferencia está amparada por cláusulas contractuales tipo de la Comisión Europea, el marco de protección de datos UE-EE. UU. (Data Privacy Framework), o ambos — según el proveedor y su DPA vigente en cada momento.
Solo falta confirmar Supabase, porque depende de una elección tuya: entra en tu proyecto → Project Settings → General → Region. Si elegiste una región de la Unión Europea, tus datos no salen de la UE por este proveedor y puedes decirlo así. Si elegiste otra región (o no lo recuerdas y prefieres no migrar el proyecto para cambiarlo), añade aquí una frase como la de Resend o Vercel, con la región real y la garantía de transferencia que aplique según el DPA de Supabase (supabase.com/legal/dpa).
7. Tus derechos
Como persona cuyos datos se tratan, puedes ejercer en cualquier momento:
- Acceso: saber qué datos tuyos se tratan.
- Rectificación: corregir datos inexactos.
- Supresión: pedir que se borren (con las excepciones legales que correspondan, como obligaciones de facturación).
- Limitación y oposición: restringir o rechazar ciertos tratamientos.
- Portabilidad: recibir tus datos en un formato reutilizable — la propia app ya te lo permite en gran parte a través de la exportación a JSON de cada estudio.
Para ejercerlos: legal@viableproptech.com. Si no quedas satisfecho con la respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Seguridad
Los datos se protegen mediante control de acceso por roles y políticas de seguridad a nivel de fila en la base de datos (cada empresa solo ve sus propios datos, salvo lo que decida compartir explícitamente), cifrado en tránsito (HTTPS), registro de errores para detectar incidencias, permisos de base de datos restringidos a lo imprescindible, copias de seguridad diarias con prueba periódica de restauración, y verificación de la firma de los avisos de la pasarela de pago. Los datos de tarjeta nunca pasan por VIABLE: los procesa Stripe.
9. Cambios en esta política
Se avisará de cualquier cambio sustancial por correo electrónico a la dirección de la cuenta y mediante un aviso dentro de la app, con antelación razonable.
Última revisión: 28/09/2026