Política de privacidad

Ámbito de aplicación: https://clavy.io, sus fichas públicas de inmuebles, municipios y barrios, el área de cliente y los informes de inmuebles (en conjunto, «Clavy» o el «Servicio»).

Esta política explica quiénes somos, qué datos personales tratamos, por qué y con qué base jurídica, quién los recibe, adónde se transfieren, cuánto tiempo los conservamos y cómo puede ejercer sus derechos conforme al Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, «RGPD») y a la Ley letona de Tratamiento de Datos Personales (Fizisko personu datu apstrādes likums).

Cuando algo está todavía pendiente de confirmar, esta política lo dice en lugar de prometerlo. Si algo no le queda claro, escriba a privacy@clavy.io.

---

1. Quiénes somos

Epic House SIA, con número de registro 40203716958, número de IVA LV40203716958 y domicilio social en Duntes iela 6, Riga, LV-1013, Letonia, inscrita en el Registro de Empresas de la República de Letonia (la «Sociedad» o «nosotros»), gestiona Clavy y es la responsable del tratamiento de los datos personales que se describen en esta política.

La Sociedad está establecida en Letonia (UE). La autoridad de control letona es la Datu valsts inspekcija (DVI), Elijas iela 17, Riga, LV-1050 (www.dvi.gov.lv). También puede presentar una reclamación ante la autoridad de control del país de la UE o del EEE en el que resida, por ejemplo la Agencia Española de Protección de Datos (www.aepd.es) en España.

• Contacto general: hello@clavy.io
• Privacidad y solicitudes sobre datos: privacy@clavy.io
• Delegado de protección de datos: no se ha designado. Está pendiente de confirmar si es obligatorio designarlo; mientras tanto, escriba a privacy@clavy.io.

Nuestro papel. Somos los responsables del tratamiento de todos los datos personales descritos en esta política. No tratamos datos personales por cuenta de clientes: nada de lo que usted facilita a Clavy se trata siguiendo sus instrucciones, por lo que no procede ningún contrato de encargo del tratamiento (DPA) ni hace falta para usar Clavy. La información sobre inmuebles y de mercado son datos públicos que Clavy transforma; no son datos personales que usted nos facilite.

2. Qué datos personales tratamos

2.1 Su cuenta

• Cuenta: dirección de correo electrónico, nombre, idioma de la interfaz, rol y los espacios de trabajo de los que es miembro.
• Acceso: su contraseña solo como hash con sal, nunca en claro; los enlaces de un solo uso para verificar su dirección de correo electrónico y restablecer la contraseña; y los registros de sesión, que incluyen su dirección IP y el agente de usuario de su navegador.

2.2 Ubicación, solo si la autoriza

Clavy nunca muestra por sí mismo el aviso de ubicación del navegador. Usted comparte su ubicación desde la página de cuenta con el botón Compartir mi ubicación, que explica para qué sirve (mostrarle inmuebles a su alrededor y abrir el resumen de su espacio con el modelo 3D del municipio más cercano), o sitúa un punto a mano en el mapa. Al iniciar sesión, Clavy solo actualiza la posición guardada, sin preguntar, si su navegador ya ha concedido a Clavy el acceso a la ubicación y usted no ha eliminado su ubicación en Clavy.

• Qué guardamos: las coordenadas con su precisión, la hora de la medición, su zona horaria, el estado del permiso de ubicación de su navegador y si el punto lo situó usted a mano. No guardamos la altitud, el rumbo ni la velocidad.
• Si su navegador indica que la ubicación está bloqueada, lo anotamos para no pedírsela.
• La dirección aproximada del punto guardado la consulta una sola vez el servidor de Clavy al servicio Nominatim de OpenStreetMap. El servidor envía las coordenadas redondeadas a unos 100 metros (tres decimales), sin nombre, correo electrónico ni dirección IP, y conserva la respuesta junto con la ubicación. El buscador del mapa de la página de cuenta envía a Nominatim el texto que usted escribe del mismo modo.
• Eliminar, en la página de cuenta, borra la posición guardada y deja constancia de que retiró su consentimiento, de modo que ningún inicio de sesión posterior vuelve a capturarla hasta que usted la comparta de nuevo. El permiso del navegador es independiente: se cambia en la configuración del navegador.

2.3 Suscripciones, pagos e informes

• Suscripciones y pagos: el plan, el estado y los periodos de su suscripción, sus identificadores de cliente y de suscripción en Stripe, los informes concedidos y consumidos, y por cada compra el importe, el estado, la referencia de Stripe y la aceptación que dio antes de pagar: la versión y la revisión exacta publicada de las condiciones, las declaraciones que aceptó, el idioma y la fecha y hora. Los datos de la tarjeta los conserva Stripe; nosotros nunca los vemos.
• Informes: el inmueble de cada informe y los informes y PDF generados.
• Búsquedas guardadas, sus búsquedas recientes, los inmuebles que guarda como favoritos y borradores de plantillas de informe, si los usa.

2.4 Registros que conservamos para prestar el Servicio

• Registro de auditoría: las acciones realizadas con su cuenta, con su identificador de cuenta.
• Errores técnicos, solo cuando el seguimiento de errores está activado: detalles técnicos del error y de la página y el navegador implicados, sin su nombre ni su dirección de correo electrónico.
• Analítica de producto: las páginas que visita y las acciones que realiza en Clavy (por ejemplo, una búsqueda, un plan elegido, un informe encargado o descargado), registradas como nombres de evento con recuentos, categorías e identificadores como el inmueble o el informe de que se trate; nunca su nombre, su dirección de correo electrónico, las palabras que busca ni su dirección IP. Para ello no se guarda nada en su navegador. Mientras tiene la sesión iniciada, los eventos llevan el identificador de su cuenta, para que podamos ver cómo usan las cuentas el Servicio; cuando no la tiene iniciada, PostHog obtiene un identificador anónimo que cambia cada día. Puede desactivar la analítica de producto en su página de cuenta.
• Soporte: el contenido de los correos electrónicos que nos envíe.

2.5 Información sobre inmuebles

Clavy no solicita, no guarda ni muestra nombres de titulares, números de identidad, domicilios de los titulares ni valores catastrales. Conserva las parcelas, los edificios y las direcciones del Catastro, los datos descriptivos de cada unidad (planta, puerta, uso y cuota de participación) y los anuncios de venta facilitados por Scout, un servicio de la misma sociedad, Epic House SIA, que se guardan tal como se reciben junto con su historial.

Actualmente se está revisando si los datos sobre una vivienda identificable, o los registros de anuncios, son datos personales de un propietario, un ocupante o un agente. Hasta que se decida, cualquier persona, tenga o no cuenta en Clavy, puede pedir una rectificación u oponerse al tratamiento a través de privacy@clavy.io, y nosotros limitamos lo que conservamos al registro público y al anuncio tal como se publicó.

2.6 Qué datos no recogemos

No recogemos de forma intencionada categorías especiales de datos personales (como datos de salud, creencias u origen étnico). Clavy está destinado a personas mayores de edad; no tratamos a sabiendas datos personales de menores de 18 años. Si cree que un menor ha creado una cuenta, escriba a privacy@clavy.io y la eliminaremos.

3. Por qué tratamos sus datos y con qué base jurídica

Antes de basarnos en el interés legítimo, lo ponderamos frente a sus intereses y derechos; puede solicitar esa ponderación escribiendo a privacy@clavy.io. No enviamos comunicaciones comerciales por correo electrónico.

4. Estimaciones y tratamiento automatizado

Clavy calcula estimaciones automatizadas de valor de mercado de los inmuebles a partir de registros públicos y de anuncios observados, y las expresa como horquillas. Describen inmuebles, no personas: no le evalúan a usted ni producen efectos jurídicos en usted ni le afectan significativamente de modo similar, por lo que no se adopta ninguna decisión en el sentido del art. 22 del RGPD.

No enviamos sus datos personales a modelos de inteligencia artificial ni los usamos para entrenar ningún modelo.

5. Quién recibe sus datos

Sus datos no se venden, no se alquilan ni se comparten con fines publicitarios. Solo los comunicamos a estas categorías de destinatarios:

• Proveedor de alojamiento en la nube y almacenamiento de archivos (UE, Fráncfort, para las funciones y los archivos)
• Proveedor de base de datos (región pendiente de confirmar; nuestro manual de despliegue la sitúa en Fráncfort)
• Proveedor de correo electrónico (UE, Irlanda, según la configuración)
• Proveedor de pagos: Stripe, cuyas páginas de pago y facturación usa usted directamente; los datos de la tarjeta nunca llegan a Clavy. En el pago en sí, Stripe actúa además como responsable independiente para sus propias obligaciones, como la prevención del fraude y la normativa financiera; se está confirmando qué papel corresponde a cada actividad
• Proveedor de monitorización de errores, solo cuando está activada, y nunca con su nombre, su dirección de correo electrónico ni su dirección IP
• Proveedor de analítica de producto (UE), nunca con su nombre, su dirección de correo electrónico ni su dirección IP
• Protección de red de nuestro servidor de datos geográficos, que solo recibe datos técnicos de las peticiones; el propio servidor contiene registros sobre inmuebles y ningún dato de cuenta
• Asesores profesionales (abogados, auditores) sujetos a un deber de confidencialidad
• Autoridades públicas, solo cuando la ley lo exige

La página Encargados del tratamiento describe cada categoría, dónde opera y qué sigue pendiente de verificar, e indica cómo solicitar la lista detallada que nombra a cada proveedor con su finalidad, ubicación, contrato y garantía de transferencia. Cuando ejerce su derecho de acceso, le indicamos los destinatarios de sus datos.

Algunos servicios reciben datos cuando usted utiliza una función:

• Google: la vista interactiva de Google Maps y la vista 3D de Google se cargan solo cuando usted hace clic para abrirlas; a partir de ese momento Google recibe la dirección IP de su navegador y la ubicación consultada.
• OpenStreetMap Foundation (Nominatim): cuando se consulta la dirección de su ubicación guardada, o cuando busca un lugar en el mapa de la página de cuenta, el servidor de Clavy envía a Nominatim las coordenadas redondeadas a unos 100 metros o el texto que usted escribió, sin nombre, correo electrónico ni dirección IP; su navegador nunca se comunica con Nominatim. Clavy envía a Nominatim como máximo una petición por segundo en el conjunto de la aplicación.
• Instituto Geográfico Nacional: su navegador solicita las imágenes aéreas directamente a www.ign.es y a tms-pnoa-ma.idee.es, que reciben su dirección IP.

Dentro de Clavy, los miembros de un espacio de trabajo compartido ven los informes solicitados en él. Nuestro personal puede acceder a los datos de una cuenta para prestar soporte; ese acceso se limita a cuentas de personal nominativas y verificadas, y los cambios que realizan quedan anotados en un registro.

6. Transferencias internacionales

Las funciones de la aplicación y el almacenamiento de los archivos de los informes se ejecutan en Fráncfort (Alemania), la región configurada en nuestro proveedor de alojamiento. Varios de nuestros proveedores pertenecen a grupos establecidos en Estados Unidos, y el acceso a datos personales por parte de su soporte o de sus subencargados puede producirse desde fuera del Espacio Económico Europeo. Para cada una de esas transferencias nos basamos en una decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o en las cláusulas contractuales tipo de la Comisión (Decisión 2021/914). La lista detallada de proveedores recoge la garantía de cada uno; la página Encargados del tratamiento indica qué sigue pendiente de verificar y cómo solicitar la lista.

Puede solicitar los detalles de la garantía aplicable a una transferencia concreta escribiendo a privacy@clavy.io.

7. Cuánto tiempo conservamos sus datos

Esta tabla indica lo que se aplica hoy y qué plazos se están fijando todavía con nuestros asesores jurídicos. No inventamos ningún plazo.

8. Sus derechos

Conforme al RGPD, usted tiene derecho a:

• Acceder a los datos personales que tenemos sobre usted (art. 15)
• Rectificar los datos inexactos (art. 16)
• Suprimir sus datos (art. 17)
• Limitar el tratamiento (art. 18)
• Portabilidad: recibir sus datos en un formato estructurado y de lectura mecánica (art. 20)
• Oponerse al tratamiento basado en el interés legítimo (art. 21)
• Retirar el consentimiento en cualquier momento cuando el tratamiento se base en él, sin que ello afecte al tratamiento realizado antes de retirarlo (art. 7.3)
• Presentar una reclamación ante la autoridad de control letona, la Datu valsts inspekcija (DVI), Elijas iela 17, Riga, LV-1050, Letonia (www.dvi.gov.lv), o ante la autoridad del país en el que resida, por ejemplo la Agencia Española de Protección de Datos (www.aepd.es) en España

En la página de cuenta. Desde la página de cuenta puede descargar una copia de sus datos y eliminar la ubicación guardada, lo que retira además su consentimiento para la ubicación.

Eliminar su cuenta. La eliminación desde la propia cuenta aún no está disponible. Escriba a privacy@clavy.io desde la dirección de correo electrónico asociada a su cuenta y nuestro personal la eliminará. La eliminación borra su perfil, su ubicación guardada, los informes y PDF de su espacio de trabajo personal y sus búsquedas guardadas, favoritos y borradores. Se conservan: los informes que solicitó en un espacio de trabajo compartido, que permanecen en ese espacio sin su nombre; los pedidos, las suscripciones y los movimientos de informes, como registros contables sin su identificador de cuenta; las entradas del registro de auditoría, sin sus identificadores; los registros propios de Stripe, que Stripe conserva conforme a sus condiciones; y los datos incluidos en una copia de seguridad, que permanecen hasta que esta caduca.

Cualquier otra solicitud. Escriba a privacy@clavy.io desde la dirección de correo electrónico asociada a su cuenta. Respondemos en el plazo de un mes; si la solicitud es compleja, podemos prorrogar ese plazo dos meses más y le indicaremos el motivo. El ejercicio de sus derechos es gratuito, salvo que una solicitud sea manifiestamente infundada o excesiva.

Si no tiene cuenta. Los propietarios, ocupantes y agentes pueden ejercer sus derechos sobre la información de inmuebles descrita en el apartado 2.5 escribiendo a privacy@clavy.io.

9. Seguridad

Protegemos sus datos con:

• Cifrado TLS en todas las conexiones con Clavy, impuesto mediante HSTS.
• Contraseñas guardadas solo como hash con sal, y enlaces de un solo uso que caducan.
• Archivos de los informes en almacenamiento privado, que solo se sirven a las personas autorizadas a verlos.
• Acceso del personal limitado a cuentas nominativas y verificadas, con los cambios que realizan anotados en un registro.
• Límites de uso en el inicio de sesión y en otras solicitudes sensibles.
• Cifrado en reposo, que nuestros proveedores de base de datos y de almacenamiento declaran aplicar a los datos que guardan por cuenta nuestra.

Si es probable que una violación de la seguridad de los datos personales suponga un riesgo para sus derechos y libertades, la notificaremos a la DVI en un plazo de 72 horas desde que tengamos constancia de ella y, cuando el riesgo sea alto, se lo comunicaremos a las personas afectadas sin dilación indebida.

10. Cookies

Solo utilizamos las cookies y el almacenamiento del navegador necesarios para prestar el Servicio y recordar sus preferencias, y ninguna cookie de publicidad. Nuestra analítica de producto no utiliza cookies; lo único que guarda en su navegador es, si la desactiva, que la ha desactivado. La Política de cookies las detalla una a una.

11. Cambios en esta política

Cada versión de esta política lleva su número de versión y su fecha de entrada en vigor, y las versiones anteriores siguen pudiendo consultarse en esta página. Podemos publicar una nueva versión antes de su fecha de entrada en vigor: se anuncia en esta página mientras la versión vigente sigue aplicándose hasta esa fecha. Antes de que un cambio sustancial entre en vigor, lo comunicamos por correo electrónico a los titulares de cuentas.