Política de privacidad

Porteroya trata los datos personales que facilitas conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

• Titular: [NOMBRE / RAZÓN SOCIAL]
• NIF / CIF: [NIF / CIF]
• Email: hola@porteroya.es

2. Finalidades y base jurídica

• Registro y gestión del perfil: ejecución de un contrato de prestación de servicios (art. 6.1.b RGPD).
• Matching entre Porteros y Contratantes: ejecución contractual.
• Comunicaciones operativas por WhatsApp y email: ejecución contractual e interés legítimo.
• Verificación de edad (18+): obligación legal y minimización (art. 5.1.c RGPD).
• Gestión de cobros y Tarifa de Servicio Tecnológico (TST): ejecución contractual. Los pagos se procesan a través de Bizum o Stripe Connect; Porteroya no almacena datos bancarios. La TST se aplica conforme a la escalera progresiva por volumen de partidos intermediados descrita en la cláusula 6 de los Términos y Condiciones.
• Prueba de aceptación contractual (IP, User-Agent y versión de documentos aceptados): en el momento del registro y de cada aceptación de los Términos, la Política de Privacidad o la Exoneración de Responsabilidad, Porteroya registra la dirección IP, el User-Agent del navegador, la fecha y hora y la versión exacta del documento aceptado. La base legal de este tratamiento es la ejecución del contrato y de medidas precontractuales adoptadas a petición del interesado (art. 6.1.b RGPD), así como el cumplimiento del deber del responsable de demostrar que el interesado prestó su conformidad (art. 7.1 RGPD). Estos datos se conservan durante los plazos descritos en la cláusula 6.
• Prevención de uso fraudulento o automatizado de los formularios públicos: cuando rellenas el formulario de solicitud de portero (o cualquier otro formulario público), tu navegador interactúa con un servicio anti-bot (ver cláusula 4.bis). Los datos técnicos generados por esta interacción se tratan exclusivamente con la finalidad de distinguir tráfico humano de tráfico automatizado y proteger el servicio frente a abuso. La base legal es el interés legítimo del responsable (art. 6.1.f RGPD), por superar la seguridad del servicio el riesgo concreto para los derechos del interesado, dado que los datos no se utilizan con finalidad comercial ni de perfilado individual.

3. Principio de minimización

Recogemos únicamente los datos estrictamente necesarios. Respecto a la verificación de edad, almacenamos únicamente el campo age_verified: true y la fecha de nacimiento — no guardamos fotografías de documentos de identidad. Si en el futuro se habilita el OCR on-device (Tesseract.js), la imagen del documento nunca abandonará tu dispositivo.

El mismo principio se aplica a los datos técnicos conservados como prueba de aceptación: guardamos la dirección IP, el User-Agent y la versión del documento aceptado en el momento del registro o del ack, pero no construimos perfiles de navegación, no cruzamos estos datos con analítica de terceros ni los utilizamos para finalidad distinta de la acreditación del consentimiento contractual (art. 7.1 RGPD).

4. Destinatarios

Los datos podrán ser comunicados a encargados del tratamiento con los que exista contrato RGPD: Supabase (base de datos), Stripe (pagos), Resend (email transaccional), Upstash (rate limiting técnico), Cloudflare (anti-bot, ver cláusula 4.bis) y, en su caso, proveedores de WhatsApp Business. No se realizarán transferencias internacionales fuera del Espacio Económico Europeo sin garantías adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea o Decisión de Adecuación equivalente).

4.bis Verificación anti-bot (Cloudflare Turnstile)

Los formularios públicos de la Plataforma incluyen el widget Cloudflare Turnstile, proporcionado por Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, EE. UU.), con la finalidad exclusiva de distinguir entre tráfico humano y tráfico automatizado y proteger el servicio frente a spam, abuso o ataques de denegación de servicio aplicativo.

• Datos tratados por Cloudflare: dirección IP de origen, User-Agent del navegador, señales técnicas de interacción (movimiento, temporización, propiedades del entorno del navegador) y cookies técnicas establecidas por Cloudflare en su propio dominio.
• Finalidad y base legal: prevención del abuso del servicio, sobre la base del interés legítimo del responsable (art. 6.1.f RGPD). Cloudflare actúa como encargado del tratamiento conforme al Data Processing Addendum publicado por dicho proveedor.
• Transferencia internacional: el procesamiento puede realizarse en infraestructura situada fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Esta transferencia está cubierta por las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) incorporadas al contrato con Cloudflare.
• Conservación: Cloudflare conserva las señales técnicas durante el período mínimo necesario para validar la sesión y detectar patrones de abuso recurrente, conforme a su Política de Privacidad pública. Porteroya no replica ni almacena estos datos en su propia base de datos: únicamente conserva el resultado binario de la verificación (válida/no válida) asociado a la solicitud.
• Alternativa: si el navegador no admite la ejecución del widget o el interesado prefiere no someterse a esta verificación, puede contactar con hola@porteroya.es para procesar la solicitud por canal alternativo.

5. Derechos del interesado

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad dirigiéndote a hola@porteroya.es. También puedes presentar reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Respecto a los datos tratados por Cloudflare con finalidad anti-bot (cláusula 4.bis), puedes ejercer tus derechos directamente frente a Porteroya como responsable, sin necesidad de contactar con el proveedor.

6. Conservación

Conservamos los datos personales durante plazos diferenciados según la finalidad y el marco legal aplicable:

• Cuenta activa: mientras mantengas el perfil operativo en la Plataforma.
• Solicitudes no materializadas en partido: los datos asociados a solicitudes canceladas o expiradas sin formalización de partido se conservan durante un plazo máximo de 90 días desde la cancelación o expiración, tras el cual se someten a supresión o anonimización conforme al principio de limitación del plazo de conservación (art. 5.1.e RGPD).
• Datos contables y mercantiles: los registros asociados a partidos facturados se conservan durante seis (6) años conforme al artículo 30 del Código de Comercio, y durante cuatro (4) años a efectos de prescripción tributaria conforme al artículo 66 de la Ley General Tributaria.
• Registros asociados a medios de pago (Stripe Connect, Bizum) y a transferencias económicas entre usuarios: conservados durante un plazo de diez (10) años desde la última operación, en cumplimiento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, en la medida en que resulte aplicable a la Plataforma conforme al asesoramiento jurídico vigente.
• Pruebas de aceptación contractual (IP, User-Agent, versión aceptada): durante el plazo más largo aplicable a los registros asociados (partido, factura o transferencia), como soporte del art. 7.1 RGPD.
• Verificación anti-bot: el resultado binario de la verificación se conserva asociado a la solicitud durante los plazos generales descritos arriba. Las señales técnicas en bruto las conserva Cloudflare conforme a su propia política, sin réplica en Porteroya.

Transcurridos los plazos indicados, los datos se someten a supresión efectiva o anonimización irreversible, salvo obligación legal específica que imponga conservación adicional.

7. Naturaleza de la relación

El tratamiento de datos descrito se enmarca en una relación de intermediación tecnológica entre profesionales autónomos (Porteros) y Contratantes. Porteroya no mantiene con los Porteros relación laboral, de subordinación ni de dependencia: los datos tratados no tienen finalidad de control laboral, sino exclusivamente la ejecución del contrato de prestación de servicios de la sociedad de la información.

8. Nulidad parcial

Si cualquier cláusula de la presente Política de Privacidad fuese declarada, total o parcialmente, nula o ineficaz por resolución firme o por aplicación de la normativa vigente, tal nulidad o ineficacia afectará únicamente a dicha disposición o a la parte de la misma que resulte nula o ineficaz. El resto de la Política permanecerá en vigor, interpretándose la cláusula afectada en el sentido más próximo a la voluntad original y conforme al RGPD y a la LOPDGDD.