Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de borrou.es es Alejandro Carvajal Martínez, con domicilio en Santa Cruz de Tenerife (España). Dirección de contacto en materia de protección de datos: info@borrou.es, a través de la cual puede solicitarse el resto de datos identificativos del responsable.

Esta política se ha elaborado conforme al Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Datos que tratamos y su procedencia

Tratamos únicamente los datos que el propio usuario facilita y los que se generan por el uso del servicio:

Datos identificativosNombre, dirección de correo electrónico, teléfono cuando se facilita y fotografía de perfil cuando se sube.

Datos de verificaciónResultado (verificado o no verificado) del proceso de comprobación de identidad. La documentación y la imagen facial se aportan directamente al proveedor de verificación; la Plataforma no accede a ellas ni las conserva.

Datos de transacciónReservas, fechas, importes, comisiones, incidencias y valoraciones. Los datos completos de la tarjeta se facilitan directamente a la entidad de pago; la Plataforma solo conserva un identificador del cobro y los cuatro últimos dígitos cuando la entidad los proporciona.

Contenido publicadoAnuncios, fotografías de productos, fotografías del estado en la entrega, mensajes intercambiados en el chat y valoraciones.

Datos de uso y seguridadRegistros técnicos de errores, y un identificador derivado de la dirección IP mediante función resumen con clave, utilizado exclusivamente para limitar peticiones abusivas. La dirección IP no se almacena en claro.

Datos de ubicaciónLocalidad o zona aproximada asociada a un anuncio. No se recoge geolocalización precisa del dispositivo.

3. Finalidades y bases jurídicas

Prestar el servicioGestionar el registro, publicar anuncios, tramitar reservas, procesar pagos y transferencias, y habilitar la comunicación entre usuarios. Base: ejecución del contrato (art. 6.1.b RGPD).

Verificar la identidadComprobar que quien reserva es quien dice ser, como medida antifraude y de seguridad para la otra parte. Base: ejecución del contrato e interés legítimo en prevenir el fraude (art. 6.1.b y 6.1.f).

Resolver incidenciasRevisar daños, retrasos y reclamaciones, empleando las fotografías de la entrega y los mensajes asociados a la reserva. Base: ejecución del contrato e interés legítimo en la resolución de conflictos.

Cumplir obligaciones legalesObligaciones contables, fiscales y de conservación de justificantes de pago. Base: obligación legal (art. 6.1.c).

Comunicaciones del servicioAvisos de reserva, pago, devolución e incidencias. Base: ejecución del contrato. No se envían comunicaciones comerciales sin consentimiento previo.

Seguridad de la PlataformaDetección de errores, prevención de abusos y limitación de peticiones. Base: interés legítimo en garantizar la seguridad del servicio.

4. Plazos de conservación

Los datos se conservan durante el tiempo estrictamente necesario para cada finalidad y, a continuación, bloqueados a disposición de las autoridades competentes durante los plazos de prescripción legal:

Datos de la cuentaMientras la cuenta permanezca activa. Solicitada la baja, se suprimen o se disocian de forma irreversible, salvo los datos sujetos a los plazos siguientes.

Reservas y justificantes de pagoSeis (6) años desde la operación, conforme al artículo 30 del Código de Comercio, y cuatro (4) años a efectos de prescripción tributaria (Ley 58/2003).

Mensajes, fotografías de entrega e incidenciasHasta cinco (5) años desde la finalización del alquiler, plazo de prescripción de las acciones personales del artículo 1964 del Código Civil, por su valor probatorio ante una reclamación.

Valoraciones publicadasMientras el anuncio o la cuenta valorada permanezcan activos. Al darse de baja el autor, la valoración se conserva disociada de su identidad.

Registros de erroresNoventa (90) días, transcurridos los cuales se eliminan automáticamente.

Identificadores de limitación de peticionesTreinta (30) días, transcurridos los cuales se eliminan automáticamente.

5. Destinatarios y encargados del tratamiento

No se venden ni ceden datos personales a terceros con fines publicitarios. Se comunican únicamente a los proveedores necesarios para prestar el servicio, que actúan como encargados del tratamiento y están vinculados por contrato conforme al artículo 28 del RGPD:

Supabase Inc.Base de datos, autenticación y almacenamiento de archivos. Los datos se alojan en centros de datos de la Unión Europea (región eu-west).

Vercel Inc.Alojamiento de la aplicación y analítica web agregada. Las funciones de servidor se ejecutan en centros de datos de la Unión Europea.

Stripe Payments Europe, Ltd.Procesamiento de pagos, transferencias a propietarios y verificación de identidad. Stripe actúa como responsable independiente respecto de los datos de pago, conforme a su propia política.

Resend, Inc.Envío de los correos electrónicos del servicio.

Functional Software, Inc. (Sentry)Registro y diagnóstico de errores de la aplicación.

OpenStreetMap FoundationConversión de coordenadas en nombres de localidad al publicar un anuncio.

Además, determinados datos se muestran públicamente por la propia naturaleza del servicio: el nombre, la fotografía de perfil, la antigüedad en la Plataforma, el distintivo de identidad verificada y las valoraciones recibidas son visibles en el perfil público. El resto de datos no es accesible para otros usuarios.

6. Transferencias internacionales de datos

Algunos de los proveedores indicados tienen su sede en los Estados Unidos. En tales casos las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, cuando resulta aplicable, en la Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., acompañadas de las medidas complementarias que correspondan. Puede solicitarse información adicional sobre dichas garantías escribiendo a info@borrou.es.

7. Decisiones automatizadas

El proceso de verificación de identidad se realiza de forma automatizada por el proveedor correspondiente y su resultado condiciona la posibilidad de completar una reserva. El usuario cuya verificación resulte denegada puede solicitar la intervención humana, expresar su punto de vista e impugnar la decisión escribiendo a info@borrou.es. No se realizan otras decisiones automatizadas con efectos jurídicos ni elaboración de perfiles.

8. Derechos de las personas interesadas

Puede ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, escribiendo a info@borrou.es e indicando el derecho que desea ejercer. La solicitud se atenderá en el plazo máximo de un mes, prorrogable conforme al artículo 12.3 del RGPD.

Buena parte de estos derechos puede ejercerse directamente desde la aplicación: los datos del perfil se modifican en cualquier momento y la cuenta puede eliminarse desde la sección de edición de perfil.

Si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid - www.aepd.es).

9. Cookies y tecnologías similares

La Plataforma utiliza exclusivamente cookies técnicas necesarias para mantener la sesión iniciada y garantizar la seguridad de la navegación, exentas del deber de consentimiento conforme al artículo 22.2 de la Ley 34/2002.

La analítica de uso empleada es agregada y no utiliza cookies ni identificadores persistentes, por lo que no permite reconocer a usuarios individuales. No se utilizan cookies publicitarias ni de terceros con fines de perfilado. Si en el futuro se incorporasen, se solicitaría el consentimiento previo mediante el mecanismo correspondiente.

10. Medidas de seguridad

Se aplican medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD, entre las que se incluyen:

Cifrado de las comunicaciones en tránsito y de los datos almacenados.
Control de acceso a nivel de registro en la base de datos, de modo que cada usuario solo puede acceder a la información que le corresponde.
Minimización: la Plataforma no almacena números completos de tarjeta ni documentos de identidad, que son tratados directamente por los proveedores especializados.
Acceso restringido a las fotografías de entrega e incidencias, que se sirven mediante enlaces temporales y no son accesibles públicamente.
Seudonimización de las direcciones IP empleadas para la limitación de peticiones.
Registro y revisión de errores y accesos anómalos.

En caso de producirse una violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de los interesados, se notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas y, cuando proceda, a las personas afectadas, conforme a los artículos 33 y 34 del RGPD.

11. Menores de edad

El servicio no está dirigido a menores de edad y su uso está reservado a mayores de 18 años. Si se detecta una cuenta perteneciente a un menor, se procederá a su supresión inmediata.

12. Modificaciones de esta política

Esta política puede actualizarse para adaptarla a cambios normativos o a la evolución del servicio. Toda modificación se publicará en esta página con indicación de su fecha de actualización y, cuando afecte de forma sustancial al tratamiento, se comunicará previamente a los usuarios.

13. Contacto

Para cualquier cuestión relativa a esta política o al tratamiento de datos personales: info@borrou.es. Las condiciones de uso del servicio se encuentran en los términos y condiciones.