Versión 1.0 · Vigente desde el 15 de octubre de 2026
Está leyendo la versión 1.0, vigente del 15 de octubre de 2026 al 23 de octubre de 2026. Leer la versión vigente (1.1)
Ámbito de aplicación:https://clavy.io, sus fichas públicas de inmuebles, municipios y barrios, el área de cliente y los informes de inmuebles (en conjunto, «Clavy» o el «Servicio»).
Esta política explica quiénes somos, qué datos personales tratamos, por qué y con qué base jurídica, quién los recibe, adónde se transfieren, cuánto tiempo los conservamos y cómo puede ejercer sus derechos conforme al Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, «RGPD») y a la Ley letona de Tratamiento de Datos Personales (Fizisko personu datu apstrādes likums).
Cuando algo está todavía pendiente de confirmar, esta política lo dice en lugar de prometerlo. Si algo no le queda claro, escriba a privacy@clavy.io.
1. Quiénes somos
Epic House SIA, con número de registro 40203716958, número de IVA LV40203716958 y domicilio social en Duntes iela 6, Riga, LV-1013, Letonia, inscrita en el Registro de Empresas de la República de Letonia (la «Sociedad» o «nosotros»), gestiona Clavy y es la responsable del tratamiento de los datos personales que se describen en esta política.
La Sociedad está establecida en Letonia (UE). La autoridad de control letona es la Datu valsts inspekcija (DVI), Elijas iela 17, Riga, LV-1050 (www.dvi.gov.lv). También puede presentar una reclamación ante la autoridad de control del país de la UE o del EEE en el que resida, por ejemplo la Agencia Española de Protección de Datos () en España.
Delegado de protección de datos: no se ha designado. Está pendiente de confirmar si es obligatorio designarlo; mientras tanto, escriba a privacy@clavy.io.
Nuestro papel. Somos los responsables del tratamiento de todos los datos personales descritos en esta política. No tratamos datos personales por cuenta de clientes: nada de lo que usted facilita a Clavy se trata siguiendo sus instrucciones, por lo que no procede ningún contrato de encargo del tratamiento (DPA) ni hace falta para usar Clavy. La información sobre inmuebles y de mercado son datos públicos que Clavy transforma; no son datos personales que usted nos facilite.
2. Qué datos personales tratamos
2.1 Su cuenta
Cuenta: dirección de correo electrónico, nombre, idioma de la interfaz, rol y los espacios de trabajo de los que es miembro.
Acceso: su contraseña solo como hash con sal, nunca en claro; los enlaces de un solo uso para verificar su dirección de correo electrónico y restablecer la contraseña; y los registros de sesión, que incluyen su dirección IP y el agente de usuario de su navegador.
2.2 Ubicación, solo si la autoriza
Clavy nunca muestra por sí mismo el aviso de ubicación del navegador. Usted comparte su ubicación desde la página de cuenta con el botón Compartir mi ubicación, que explica para qué sirve (mostrarle inmuebles a su alrededor), o sitúa un punto a mano en el mapa. Al iniciar sesión, Clavy solo actualiza la posición guardada, sin preguntar, si su navegador ya ha concedido a Clavy el acceso a la ubicación y usted no ha eliminado su ubicación en Clavy.
Qué guardamos: las coordenadas con su precisión, la hora de la medición, su zona horaria, el estado del permiso de ubicación de su navegador y si el punto lo situó usted a mano. No guardamos la altitud, el rumbo ni la velocidad.
Si su navegador indica que la ubicación está bloqueada, lo anotamos para no pedírsela.
La dirección aproximada del punto guardado la consulta una sola vez el servidor de Clavy al servicio Nominatim de OpenStreetMap. El servidor envía las coordenadas redondeadas a unos 100 metros (tres decimales), sin nombre, correo electrónico ni dirección IP, y conserva la respuesta junto con la ubicación. El buscador del mapa de la página de cuenta envía a Nominatim el texto que usted escribe del mismo modo.
Eliminar, en la página de cuenta, borra la posición guardada y deja constancia de que retiró su consentimiento, de modo que ningún inicio de sesión posterior vuelve a capturarla hasta que usted la comparta de nuevo. El permiso del navegador es independiente: se cambia en la configuración del navegador.
2.3 Suscripciones, pagos e informes
Suscripciones y pagos: el plan, el estado y los periodos de su suscripción, sus identificadores de cliente y de suscripción en Stripe, los informes concedidos y consumidos, y por cada compra el importe, el estado, la referencia de Stripe y la aceptación que dio antes de pagar: la versión y la revisión exacta publicada de las condiciones, las declaraciones que aceptó, el idioma y la fecha y hora. Los datos de la tarjeta los conserva Stripe; nosotros nunca los vemos.
Informes: el inmueble de cada informe y los informes y PDF generados.
Búsquedas guardadas y borradores de plantillas de informe, si los usa.
2.4 Registros que conservamos para prestar el Servicio
Registro de auditoría: las acciones realizadas con su cuenta, con su identificador de cuenta.
Errores técnicos, solo cuando el seguimiento de errores está activado: detalles técnicos del error y de la página y el navegador implicados, sin su nombre ni su dirección de correo electrónico.
Soporte: el contenido de los correos electrónicos que nos envíe.
2.5 Información sobre inmuebles
Clavy no solicita, no guarda ni muestra nombres de titulares, números de identidad, domicilios de los titulares ni valores catastrales. Conserva las parcelas, los edificios y las direcciones del Catastro, los datos descriptivos de cada unidad (planta, puerta, uso y cuota de participación) y los anuncios de venta facilitados por Scout, un servicio de la misma sociedad, Epic House SIA, que se guardan tal como se reciben junto con su historial.
Actualmente se está revisando si los datos sobre una vivienda identificable, o los registros de anuncios, son datos personales de un propietario, un ocupante o un agente. Hasta que se decida, cualquier persona, tenga o no cuenta en Clavy, puede pedir una rectificación u oponerse al tratamiento a través de privacy@clavy.io, y nosotros limitamos lo que conservamos al registro público y al anuncio tal como se publicó.
2.6 Qué datos no recogemos
No recogemos de forma intencionada categorías especiales de datos personales (como datos de salud, creencias u origen étnico). Clavy está destinado a personas mayores de edad; no tratamos a sabiendas datos personales de menores de 18 años. Si cree que un menor ha creado una cuenta, escriba a privacy@clavy.io y la eliminaremos.
3. Por qué tratamos sus datos y con qué base jurídica
Finalidad
Datos
Base jurídica (art. 6 RGPD)
Gestionar su cuenta y el acceso
Cuenta, acceso
b) Ejecución del contrato
Gestionar su suscripción, preparar y entregar los informes y llevar la cuenta de los informes incluidos
Suscripciones, informes
b) Ejecución del contrato
Cobrar y conservar los registros contables
Pagos, pedidos
b) Ejecución del contrato; c) cumplimiento de las obligaciones legales en materia contable y fiscal
Enviar correos electrónicos transaccionales, como la verificación del correo, el restablecimiento de la contraseña y los avisos de informe listo
Dirección de correo electrónico, nombre
b) Ejecución del contrato
Guardar su ubicación para mostrarle inmuebles a su alrededor
Ubicación
a) Su consentimiento, que da al compartir su ubicación en la página de cuenta o al situar un punto en el mapa, y que puede retirar en cualquier momento eliminando allí la ubicación
Detectar y corregir errores del Servicio
Errores técnicos
f) Interés legítimo en mantener el servicio en funcionamiento
Proteger el Servicio con límites de uso, registros de sesión y el registro de auditoría
Acceso, registro de auditoría
f) Interés legítimo en la seguridad
Responder a sus preguntas y solicitudes
Soporte
b) Ejecución del contrato, o f) interés legítimo en atender las consultas
Atender requerimientos legales y defendernos frente a reclamaciones
Cualquiera
c) Obligación legal; f) interés legítimo
Antes de basarnos en el interés legítimo, lo ponderamos frente a sus intereses y derechos; puede solicitar esa ponderación escribiendo a privacy@clavy.io. No enviamos comunicaciones comerciales por correo electrónico.
4. Estimaciones y tratamiento automatizado
Clavy calcula estimaciones automatizadas de valor de mercado de los inmuebles a partir de registros públicos y de anuncios observados, y las expresa como horquillas. Describen inmuebles, no personas: no le evalúan a usted ni producen efectos jurídicos en usted ni le afectan significativamente de modo similar, por lo que no se adopta ninguna decisión en el sentido del art. 22 del RGPD.
No enviamos sus datos personales a modelos de inteligencia artificial ni los usamos para entrenar ningún modelo.
5. Quién recibe sus datos
Sus datos no se venden, no se alquilan ni se comparten con fines publicitarios. Solo los comunicamos a estas categorías de destinatarios:
Proveedor de alojamiento en la nube y almacenamiento de archivos (UE, Fráncfort, para las funciones y los archivos)
Proveedor de base de datos (región pendiente de confirmar; nuestro manual de despliegue la sitúa en Fráncfort)
Proveedor de correo electrónico (UE, Irlanda, según la configuración)
Proveedor de pagos: Stripe, cuyas páginas de pago y facturación usa usted directamente; los datos de la tarjeta nunca llegan a Clavy. En el pago en sí, Stripe actúa además como responsable independiente para sus propias obligaciones, como la prevención del fraude y la normativa financiera; se está confirmando qué papel corresponde a cada actividad
Proveedor de monitorización de errores, solo cuando está activada, y nunca con su nombre, su dirección de correo electrónico ni su dirección IP
Protección de red de nuestro servidor de datos geográficos, que solo recibe datos técnicos de las peticiones; el propio servidor contiene registros sobre inmuebles y ningún dato de cuenta
Asesores profesionales (abogados, auditores) sujetos a un deber de confidencialidad
Autoridades públicas, solo cuando la ley lo exige
La página Encargados del tratamiento describe cada categoría, dónde opera y qué sigue pendiente de verificar, e indica cómo solicitar la lista detallada que nombra a cada proveedor con su finalidad, ubicación, contrato y garantía de transferencia. Cuando ejerce su derecho de acceso, le indicamos los destinatarios de sus datos.
Algunos servicios reciben datos cuando usted utiliza una función:
Google: la vista interactiva de Google Maps y la vista 3D de Google se cargan solo cuando usted hace clic para abrirlas; a partir de ese momento Google recibe la dirección IP de su navegador y la ubicación consultada.
OpenStreetMap Foundation (Nominatim): cuando se consulta la dirección de su ubicación guardada, o cuando busca un lugar en el mapa de la página de cuenta, el servidor de Clavy envía a Nominatim las coordenadas redondeadas a unos 100 metros o el texto que usted escribió, sin nombre, correo electrónico ni dirección IP; su navegador nunca se comunica con Nominatim. Clavy envía a Nominatim como máximo una petición por segundo en el conjunto de la aplicación.
Instituto Geográfico Nacional: su navegador solicita las imágenes aéreas directamente a www.ign.es y a tms-pnoa-ma.idee.es, que reciben su dirección IP.
Dentro de Clavy, los miembros de un espacio de trabajo compartido ven los informes solicitados en él. Nuestro personal puede acceder a los datos de una cuenta para prestar soporte; ese acceso se limita a cuentas de personal nominativas y verificadas, y los cambios que realizan quedan anotados en un registro.
6. Transferencias internacionales
Las funciones de la aplicación y el almacenamiento de los archivos de los informes se ejecutan en Fráncfort (Alemania), la región configurada en nuestro proveedor de alojamiento. Varios de nuestros proveedores pertenecen a grupos establecidos en Estados Unidos, y el acceso a datos personales por parte de su soporte o de sus subencargados puede producirse desde fuera del Espacio Económico Europeo. Para cada una de esas transferencias nos basamos en una decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o en las cláusulas contractuales tipo de la Comisión (Decisión 2021/914). La lista detallada de proveedores recoge la garantía de cada uno; la página Encargados del tratamiento indica qué sigue pendiente de verificar y cómo solicitar la lista.
Puede solicitar los detalles de la garantía aplicable a una transferencia concreta escribiendo a privacy@clavy.io.
7. Cuánto tiempo conservamos sus datos
Esta tabla indica lo que se aplica hoy y qué plazos se están fijando todavía con nuestros asesores jurídicos. No inventamos ningún plazo.
Datos
Plazo de conservación
Cuenta
Mientras la mantenga; se borra cuando se elimina su cuenta (el apartado 8 indica qué se conserva)
Sesiones
Caducan tras 30 días sin uso; el plazo de purga de los registros de sesión caducados está pendiente de fijar
Enlaces de verificación del correo y de restablecimiento de la contraseña
De un solo uso; el enlace de verificación caduca a las 24 horas y el de restablecimiento, a la hora
Ubicación guardada
Hasta que la elimine en la página de cuenta o se elimine su cuenta
Informes, búsquedas guardadas y borradores
Mientras exista su cuenta
Pedidos, suscripciones y movimientos de informes
Se conservan como registros contables, sin su identificador de cuenta una vez eliminada esta, durante el plazo que exija la ley; el plazo está pendiente de confirmar. Stripe conserva sus propios registros de pago conforme a sus condiciones
Registro de auditoría
Se conserva a efectos de responsabilidad proactiva, sin sus identificadores una vez eliminada su cuenta; el plazo está pendiente de fijar
Copias de seguridad
Los datos permanecen en una copia de seguridad hasta que esta caduca; el calendario de copias está pendiente de definir
8. Sus derechos
Conforme al RGPD, usted tiene derecho a:
Acceder a los datos personales que tenemos sobre usted (art. 15)
Rectificar los datos inexactos (art. 16)
Suprimir sus datos (art. 17)
Limitar el tratamiento (art. 18)
Portabilidad: recibir sus datos en un formato estructurado y de lectura mecánica (art. 20)
Oponerse al tratamiento basado en el interés legítimo (art. 21)
Retirar el consentimiento en cualquier momento cuando el tratamiento se base en él, sin que ello afecte al tratamiento realizado antes de retirarlo (art. 7.3)
Presentar una reclamación ante la autoridad de control letona, la Datu valsts inspekcija (DVI), Elijas iela 17, Riga, LV-1050, Letonia (www.dvi.gov.lv), o ante la autoridad del país en el que resida, por ejemplo la Agencia Española de Protección de Datos (www.aepd.es) en España
En la página de cuenta. Desde la página de cuenta puede descargar una copia de sus datos y eliminar la ubicación guardada, lo que retira además su consentimiento para la ubicación.
Eliminar su cuenta. La eliminación desde la propia cuenta aún no está disponible. Escriba a privacy@clavy.io desde la dirección de correo electrónico asociada a su cuenta y nuestro personal la eliminará. La eliminación borra su perfil, su ubicación guardada, los informes y PDF de su espacio de trabajo personal y sus búsquedas guardadas y borradores. Se conservan: los informes que solicitó en un espacio de trabajo compartido, que permanecen en ese espacio sin su nombre; los pedidos, las suscripciones y los movimientos de informes, como registros contables sin su identificador de cuenta; las entradas del registro de auditoría, sin sus identificadores; los registros propios de Stripe, que Stripe conserva conforme a sus condiciones; y los datos incluidos en una copia de seguridad, que permanecen hasta que esta caduca.
Cualquier otra solicitud. Escriba a privacy@clavy.io desde la dirección de correo electrónico asociada a su cuenta. Respondemos en el plazo de un mes; si la solicitud es compleja, podemos prorrogar ese plazo dos meses más y le indicaremos el motivo. El ejercicio de sus derechos es gratuito, salvo que una solicitud sea manifiestamente infundada o excesiva.
Si no tiene cuenta. Los propietarios, ocupantes y agentes pueden ejercer sus derechos sobre la información de inmuebles descrita en el apartado 2.5 escribiendo a privacy@clavy.io.
9. Seguridad
Protegemos sus datos con:
Cifrado TLS en todas las conexiones con Clavy, impuesto mediante HSTS.
Contraseñas guardadas solo como hash con sal, y enlaces de un solo uso que caducan.
Archivos de los informes en almacenamiento privado, que solo se sirven a las personas autorizadas a verlos.
Acceso del personal limitado a cuentas nominativas y verificadas, con los cambios que realizan anotados en un registro.
Límites de uso en el inicio de sesión y en otras solicitudes sensibles.
Cifrado en reposo, que nuestros proveedores de base de datos y de almacenamiento declaran aplicar a los datos que guardan por cuenta nuestra.
Si es probable que una violación de la seguridad de los datos personales suponga un riesgo para sus derechos y libertades, la notificaremos a la DVI en un plazo de 72 horas desde que tengamos constancia de ella y, cuando el riesgo sea alto, se lo comunicaremos a las personas afectadas sin dilación indebida.
10. Cookies
Solo utilizamos las cookies y el almacenamiento del navegador necesarios para prestar el Servicio y recordar sus preferencias; no utilizamos cookies de analítica ni de publicidad. La Política de cookies las detalla una a una.
11. Cambios en esta política
Cada versión de esta política lleva su número de versión y su fecha de entrada en vigor, y las versiones anteriores siguen pudiendo consultarse en esta página. Podemos publicar una nueva versión antes de su fecha de entrada en vigor: se anuncia en esta página mientras la versión vigente sigue aplicándose hasta esa fecha. Antes de que un cambio sustancial entre en vigor, lo comunicamos por correo electrónico a los titulares de cuentas.