Política de privacidad · Llave Asturias

Lo esencial, en una tabla

Esta política tiene dos capas: primero el resumen de la tabla y debajo el detalle completo. Si solo vas a leer una cosa, lee la tabla: dice quién trata tus datos, qué tratamientos hay, con qué base legal, a quién se comunican y qué puedes exigirnos en cualquier momento.

Responsable: LANDO FIRM, S.L. · NIF B27531664
Qué tratamos: El formulario de contacto, la solicitud de instalación o reforma, tu cuenta con las preferencias guardadas, los avisos comerciales por correo, la reserva de una vivienda con tarjeta y, si lo usas, el acceso con Google
Base legal: Cada tratamiento tiene la suya: art. 6.1.b RGPD para el formulario, la solicitud de instalación o reforma, la cuenta, la reserva con tarjeta y el acceso con Google; art. 6.1.a RGPD y art. 21 LSSI para los avisos comerciales; art. 6.1.c RGPD para la prueba de lo que aceptaste antes de pagar
Qué no te pedimos: Ingresos, nómina, ahorro, deudas ni situación laboral. Ni en el formulario, ni en la cuenta, ni nunca
Destinatarios: Proveedores de alojamiento y de correo electrónico, como encargados del tratamiento. Stripe, solo si reservas una vivienda con tarjeta, porque es quien procesa el pago. Google, solo si eliges entrar con Google. Notaría, gestoría y sociedad de tasación si la operación avanza
Conservación: Depende del tratamiento: hay una tabla más abajo con el plazo de cada uno
Derechos: Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento. La copia de tus datos y el borrado de la cuenta los ejecutas tú desde /cuenta, al instante
Reclamación: Agencia Española de Protección de Datos (www.aepd.es)
Delegado de protección de datos: [PENDIENTE: confirmar si se designa delegado de protección de datos y, en su caso, publicar su dirección de contacto]

Quién es el responsable del tratamiento

El responsable del tratamiento es la sociedad titular de esta web, con la denominación social, el NIF y el domicilio que figuran en el aviso legal y que se repiten en la tabla anterior. Puedes dirigirte a nosotros por correo electrónico para cualquier cuestión relacionada con tus datos personales.

Dirección de contacto: info@llaveasturias.com. Los datos registrales completos están en el aviso legal.

Cada tratamiento, con su base legal

Rellenar el formulario, abrir una cuenta, pedir avisos por correo, entrar con Google y reservar una vivienda con tarjeta son cosas distintas, y la ley las trata distinto. Solo los avisos comerciales van por consentimiento; el resto se apoya en el artículo 6.1.b del RGPD cuando el servicio nos lo pides tú, en el 6.1.f para protegernos del abuso automatizado y en el 6.1.c cuando la ley nos obliga a poder demostrar algo. Esto importa: lo que va por consentimiento lo puedes retirar sin dar explicaciones, y lo que va por el 6.1.b lo puedes terminar dejando de usar el servicio.

01 Formulario de contacto

Qué datos: Nombre y teléfono. El correo electrónico y el mensaje son opcionales. Sobre la vivienda: concejo, tramo de precio, qué reforma necesita y en qué punto estás con tu banco.
Para qué: Responder a tu consulta y estudiar si la compra y la reforma de esa vivienda encajan en nuestro modelo.
Base legal: Art. 6.1.b RGPD: medidas precontractuales adoptadas a petición tuya. No es consentimiento, porque el estudio nos lo pides tú.
Conservación: Un año desde el último contacto si la consulta no avanza. Si llegamos a firmar, los plazos de prescripción legal.

02 Solicitud de instalación o reforma

Qué datos: Servicio, concejo, urgencia y, si nos los das, tipo de vivienda y descripción del trabajo; nombre y teléfono; correo electrónico opcional; y la página desde la que escribes.
Para qué: Llamarte, estudiar el trabajo y preparar el presupuesto que nos pides.
Base legal: Art. 6.1.b RGPD: medidas precontractuales adoptadas a petición tuya. No es consentimiento, porque el presupuesto nos lo pides tú.
Conservación: Un año desde el último contacto si la solicitud no avanza. Si llegamos a contratar, el presupuesto y la documentación del contrato se conservan hasta un año después de terminar la garantía y durante los plazos de prescripción legal; cumplidos esos plazos, los borramos a mano.

03 Cuenta y preferencias guardadas

Qué datos: Correo electrónico, nombre y tus criterios de búsqueda: concejos, presupuesto máximo, metros mínimos, habitaciones mínimas, si necesitas ascensor, tipo de reforma y cada cuánto quieres los avisos.
Para qué: Mantener la cuenta que has abierto, recordar lo que buscas y que puedas cambiarlo, descargarlo o borrarlo cuando quieras.
Base legal: Art. 6.1.b RGPD: la cuenta es el servicio que has solicitado, y sin estos datos no hay servicio que prestar. Tampoco aquí es consentimiento.
Conservación: Mientras la cuenta siga activa. Se borra entera en el momento en que pulsas «Borrar mi cuenta».

04 Avisos comerciales por correo

Qué datos: Tu correo, tu nombre y esas mismas preferencias, más el registro de qué te hemos enviado, que es lo que impide avisarte dos veces de la misma vivienda.
Para qué: Escribirte cuando salga una vivienda que encaje con lo que buscas. Es una comunicación comercial y la llamamos por su nombre.
Base legal: Art. 6.1.a RGPD y art. 21 de la Ley 34/2002: consentimiento expreso, con casilla separada y vacía, y confirmado además por un correo de verificación antes del primer envío.
Conservación: Hasta que retires el consentimiento. La baja es un clic desde cualquier correo, sin iniciar sesión.

05 Acceso con Google

Qué datos: De Google recibimos tu identificador de usuario, tu correo electrónico, si Google lo tiene verificado y tu nombre. Nada más.
Para qué: Identificarte para abrir tu sesión, si prefieres eso a esperar un enlace por correo.
Base legal: Art. 6.1.b RGPD: es la forma de entrar que has elegido tú para acceder a tu propia cuenta.
Conservación: El identificador queda vinculado a tu cuenta mientras la cuenta exista, y se borra con ella.

06 Evitar el abuso de los formularios

Qué datos: Dirección IP y momento del envío, nada más.
Para qué: Que el formulario y el alta de avisos no sean usados por sistemas automatizados.
Base legal: Art. 6.1.f RGPD: interés legítimo en proteger el servicio. Puedes oponerte, y entonces valoraremos tu caso concreto.
Conservación: El plazo de los registros técnicos del servidor, indicado en la tabla siguiente.

07 Reserva de una vivienda con tarjeta

Qué datos: Nombre, teléfono y correo electrónico, la referencia del cobro, el importe, el estado y el identificador que Stripe asigna al pago. Los datos de la tarjeta no: los recoge Stripe en su propio campo y no llegan a nuestros servidores.
Para qué: Cobrar la prima de la opción de compra sobre la vivienda que reservas, retirarla del mercado y mandarte el justificante.
Base legal: Art. 6.1.b RGPD: es el contrato que has pedido tú al pulsar «Reservar». No es consentimiento y no hay casilla que retirar, porque sin estos datos no hay cobro que hacer ni vivienda que reservarte.
Conservación: Como apunte contable de la operación: 4 años por la Ley General Tributaria y 6 años por el Código de Comercio.

08 Prueba de lo que aceptaste antes de pagar

Qué datos: Qué casillas marcaste —la de privacidad y la de las condiciones van por separado—, la fecha, tu dirección IP y la versión del texto de condiciones que estaba publicado en ese momento.
Para qué: Poder acreditar qué versión de las condiciones de la opción de compra tenías delante cuando pagaste, y no una posterior. De la casilla de esta política queda la fecha en que la marcaste, porque esta política no lleva número de versión. Es lo que te protege a ti si algún día discutimos qué se acordó.
Base legal: Art. 6.1.b y art. 6.1.c RGPD: es la prueba del contrato y de la información previa que la ley nos exige poder demostrar (arts. 5.2 y 7.1 del RGPD, y art. 3 del Real Decreto 515/1989). El registro solo se añade: no existe ninguna operación que lo modifique, porque una aceptación corregida después no es la que hubo.
Conservación: [PENDIENTE: fijar el plazo de conservación de la tabla de aceptaciones y programar la tarea que lo ejecute]

09 Cumplir obligaciones legales

Qué datos: Los datos fiscales y contables de la operación, si llega a firmarse.
Para qué: Obligaciones contables, fiscales y de la compraventa.
Base legal: Art. 6.1.c RGPD.
Conservación: 4 años por la Ley General Tributaria y 6 años por el Código de Comercio, bloqueados y sin uso comercial.

No te pedimos ingresos, nómina, ahorro disponible, deudas, situación laboral, DNI ni referencia catastral. No evaluamos tu solvencia: eso corresponde en exclusiva a tu entidad financiera, por el artículo 11 de la Ley 5/2019. Pedir esos datos para responder a una consulta o para guardar una búsqueda sería contrario al principio de minimización del artículo 5.1.c del RGPD.

Qué pasa exactamente cuando entras con Google

Cuando pulsas «Entrar con Google», tu navegador va a Google, tú te identificas allí y Google nos devuelve tres cosas: un identificador de usuario, tu correo electrónico —con la marca de si Google lo tiene verificado— y tu nombre. Tu contraseña no la vemos, no viaja hacia nosotros y no podríamos recibirla aunque quisiéramos: nunca la escribes en esta web.

Qué recibimos. Identificador de usuario, correo electrónico, marca de verificado y nombre.
Qué no recibimos. Tu contraseña, tu agenda, tus contactos, tus archivos de Drive, tu calendario ni tu historial. No pedimos permiso para nada de eso.
Por qué guardamos el identificador y no solo el correo. Porque el correo de una cuenta de Google puede cambiar de dueño y el identificador no. Es una medida de seguridad, no de perfilado.
Qué sabe Google. Que has entrado en esta web con tu cuenta, porque eres tú quien va a su página. Ese tratamiento lo hace Google como responsable y se rige por su propia política de privacidad.
Qué no te da entrar con Google. No te da de alta en los avisos comerciales. Ese consentimiento se pide aparte, con su casilla, en la página de avisos.

Si prefieres no usar Google, no hace falta: puedes entrar pidiendo un enlace a tu correo desde la página de acceso. Esta web no tiene contraseñas.

Qué pasa exactamente cuando reservas con tarjeta

El pago de la prima de la opción de compra lo procesa Stripe. El campo donde escribes la tarjeta lo pinta y lo gestiona su propio script, y la confirmación del pago viaja de tu navegador a Stripe sin pasar por nuestros servidores: el número de la tarjeta, su caducidad y el CVC no llegan a nosotros, no los guardamos y no podríamos recuperarlos aunque nos los pidieras.

Qué le mandamos a Stripe. El importe, la moneda, la referencia del cobro, el concepto —«Prima de opción de compra» con la referencia de la vivienda—, la dirección de esta web a la que volver y tu correo electrónico, para que Stripe pueda enviarte su recibo.
Qué guardamos nosotros. La referencia del cobro, el importe, el estado en que está y el identificador que Stripe asigna al pago, que es lo único que trae su aviso y lo que permite casarlo con tu reserva.
Cuándo entra Stripe en escena. Solo cuando pulsas «Reservar». Abrir la ficha de una vivienda no carga su script ni genera ninguna petición hacia ellos: quien solo mira no le manda nada a nadie.
Cómo sabemos que has pagado. Por un aviso firmado que Stripe manda a nuestro servidor, nunca por tu navegador. Por eso la reserva se completa aunque cierres la pestaña justo después.
Qué queda escrito de tu aceptación. Las dos casillas que marcas —la de esta política y la de las condiciones de la opción de compra— se guardan por separado, cada una con la fecha y tu dirección IP, y las dos con la versión de las condiciones que estaba publicada en ese momento. Esta política no lleva número de versión: de ella queda la fecha en la que marcaste, y arriba tienes la de su última actualización. Ese registro no se modifica nunca.

El script de Stripe se ejecuta en tu navegador y puede guardar cosas en él: son suyas, no las ponemos nosotros y no las hemos medido, así que no vas a leer aquí una lista que no hemos comprobado. Nuestra lectura es que lo que necesite para cobrarte está exento del consentimiento del artículo 22.2 de la Ley 34/2002, porque solo se carga cuando has pedido pagar. Si no llegas a pulsar «Reservar», ese script no se carga. El inventario completo de lo que esta web y ese script pueden dejar en tu navegador está en la política de cookies.

[PENDIENTE: medir con claves de prueba qué guarda el script de Stripe una vez montado el campo de la tarjeta y publicar cada entrada, con nombre, finalidad y duración, en la política de cookies]

La calculadora se ejecuta en tu navegador y no nos envía nada

La calculadora de esta web funciona íntegramente en tu navegador. Los importes que escribas en ella (tu ahorro, el precio del piso, el resultado) no se envían a ningún servidor: no los recibimos, no los almacenamos y no los vemos. Al cerrar la pestaña desaparecen. No hay tratamiento de datos porque no hay dato.

Es una decisión de diseño, no una promesa: el cálculo no viaja porque no existe ninguna petición de red que lo lleve. Y esos importes tampoco entran en tu cuenta: el presupuesto que guardas en tus preferencias es el precio final de la vivienda que te interesa, no lo que tú tengas.

Cómo decidimos qué vivienda te avisamos

El cruce entre tus preferencias y las viviendas disponibles es automático, pero no es una decisión sobre ti: solo determina si un correo se envía o no. No hay perfilado, no hay puntuación, no producimos ningún efecto jurídico y no entra en juego ningún dato económico tuyo, porque no lo tenemos.

Si en algún momento eso cambiara, esta página lo diría antes, con la lógica aplicada y sus consecuencias, como exige el artículo 22 del RGPD.

A quién comunicamos tus datos

No vendemos ni cedemos tus datos con fines publicitarios. Solo acceden a ellos los proveedores que necesitamos para funcionar (alojamiento, correo electrónico y, si reservas con tarjeta, la pasarela de pago), con el contrato del artículo 28 del RGPD cuando actúan como encargados del tratamiento. Si la operación avanza, intervendrán notaría, gestoría y sociedad de tasación.

Alojamiento del sitio, del API y de la base de datos. [PENDIENTE: nombre, razón social y país del proveedor de alojamiento]
Correo electrónico saliente. Es el que entrega los enlaces de acceso, la confirmación y los avisos. [PENDIENTE: nombre, razón social y país del proveedor de correo]
Pasarela de pago. Stripe, y solo si reservas una vivienda con tarjeta. Recibe el importe, la referencia y el concepto del cobro y tu correo electrónico, además de los datos de la tarjeta que escribes en su campo y que nosotros no vemos. [PENDIENTE: indicar la entidad de Stripe que presta el servicio a clientes del EEE, su domicilio, si actúa como encargado o como responsable según el contrato firmado, y la garantía de transferencia internacional aplicable]
Google. Solo si eliges entrar con Google, y solo para eso. Google actúa como responsable de su propio tratamiento, no como encargado nuestro. [PENDIENTE: indicar la entidad de Google responsable para usuarios del EEE y la garantía de transferencia aplicable]
Transferencias internacionales. [PENDIENTE: confirmar si algún proveedor trata datos fuera del Espacio Económico Europeo y, en ese caso, indicar la garantía aplicada]
Intervinientes en la compraventa. Notaría, gestoría y sociedad de tasación homologada, solo si la operación llega a esa fase y para poder ejecutarla.
Administraciones públicas. Únicamente cuando una norma nos obligue a comunicar la información.

Cuánto tiempo conservamos cada cosa

Cada tratamiento tiene su plazo y ninguno es «indefinido». La cuenta vive mientras la uses; el consentimiento comercial, hasta que lo retires; los enlaces de acceso, minutos. Cuando borras la cuenta no marcamos una casilla: se elimina el registro y todo lo que cuelga de él.

Cuenta activa: Mientras la uses. La sesión iniciada caduca a los 60 días y hay que volver a entrar
Cuenta inactiva: [PENDIENTE: fijar el plazo de inactividad tras el cual se avisa y se borra la cuenta, y programar la tarea que lo ejecute]
Baja de los avisos: El consentimiento se revoca al instante. Si solo te das de baja, la cuenta sigue existiendo hasta que la borres
Cuenta borrada: Inmediato y en cascada: preferencias, identidad de Google, sesiones y enlaces. No queda una bandera, no queda el registro
Enlaces de acceso: Caducan a los 15 minutos y son de un solo uso. El registro se elimina 7 días después de caducar
Enlace de confirmación: Caduca a las 48 horas, y también es de un solo uso
Registros técnicos del servidor: [PENDIENTE: plazo de conservación de los registros del servidor con direcciones IP]
Cobro de la prima: 4 años por la Ley General Tributaria y 6 años por el Código de Comercio, como cualquier otro apunte contable
Aceptación de las condiciones: [PENDIENTE: fijar el plazo de conservación de la tabla de aceptaciones, con su fecha, IP y versión, y programar la tarea que lo ejecute]

Obligaciones fiscales: 4 años, plazo de prescripción del artículo 66 de la Ley 58/2003, General Tributaria.
Obligaciones mercantiles: 6 años de conservación de la documentación, artículo 30 del Código de Comercio.

Cómo protegemos la cuenta

Esta web no tiene contraseñas, así que no hay ninguna que se pueda filtrar. Se entra con un enlace de un solo uso que caduca a los 15 minutos, o con Google. De los enlaces y de las sesiones guardamos solo una huella criptográfica, nunca el valor original: quien leyera la base de datos no podría suplantarte con ella.

La sesión vive en una cookie que el JavaScript de la página no puede leer, y cerrarla la revoca de verdad en el servidor, no solo en tu navegador. El detalle de esa cookie está en la política de cookies.

Qué derechos tienes y cómo ejercerlos

Puedes pedirnos acceso a tus datos, rectificarlos, suprimirlos, oponerte al tratamiento, limitarlo, solicitar su portabilidad y retirar el consentimiento comercial cuando quieras. Dos de ellos no los pides: los ejecutas tú desde tu cuenta, al instante y sin que nadie los revise.

Portabilidad y acceso (arts. 15 y 20). En tu cuenta hay un botón que te descarga un fichero JSON con todo lo que tenemos de ti. Se genera en el momento, no es una solicitud que alguien atienda cuando puede.
Supresión (art. 17). En la misma página, el botón de borrar la cuenta la elimina de inmediato con sus preferencias, sesiones, enlaces y la vinculación con Google. No hay periodo de gracia ni papelera.
Rectificación (art. 16). Cambias tu nombre y tus preferencias tú mismo, cuando quieras, desde tu cuenta.
Retirada del consentimiento (art. 7.3). Enlace de baja al final de cada correo, sin iniciar sesión, o el interruptor de avisos dentro de tu cuenta. La retirada no afecta a la licitud del tratamiento anterior.
Oposición y limitación (arts. 18 y 21). Escríbenos y te respondemos por escrito, en el plazo de un mes del artículo 12.3 del RGPD.

Para lo que no está automatizado, escribe a info@llaveasturias.com indicando en el asunto «Protección de datos». Podemos pedirte que acredites tu identidad si no podemos confirmarla de otro modo. Si la solicitud es especialmente compleja, el plazo puede prorrogarse dos meses más, y te lo comunicaremos dentro del primer mes.

Esta web no está dirigida a menores de 14 años y no les pedimos datos. Si nos facilitas datos de otra persona, debes haberla informado antes de que vamos a tratarlos y con qué finalidad.

Cómo reclamar ante la Agencia Española de Protección de Datos

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos, que es la autoridad de control en España. La reclamación es gratuita y se presenta en su sede electrónica. Antes de eso, si quieres, escríbenos: preferimos resolverlo directamente contigo.

Agencia Española de Protección de Datos, calle Jorge Juan 6, 28001 Madrid · www.aepd.es

Cambios en esta política

Actualizaremos esta política cuando cambie la normativa, cuando cambien nuestros proveedores o cuando incorporemos un tratamiento nuevo. La fecha de la última actualización está al principio de la página. Si el cambio te afecta y el tratamiento se basa en tu consentimiento, te lo pediremos otra vez antes de aplicarlo.

Aviso legal · Política de cookies