# Política de privacidad

Versión privacidad-2026-10-v8 · Última actualización: 21 de octubre de 2026.

## 1. Responsable

| | |
|---|---|
| Responsable | **Alberto Miguel Fonfria Toledo**, persona física empresaria (autónomo), que opera con el nombre comercial «Bitaco Fincas» (en adelante, «**Bitaco**») |
| NIF | 20203163D |
| Domicilio | Avenida de Europa 18, 2A, 39750 Colindres (Cantabria), España |
| Contacto | alfonfria@gmail.com |
| Protección de datos | alfonfria@gmail.com |
| Delegado de protección de datos | No designado: no es obligatorio conforme a los arts. 37 RGPD y 34 LOPDGDD. |

## 2. A quién se aplica esta política y a quién no

**Se aplica** a los datos que Bitaco trata **como responsable**:
- personas que visitan bitacofincas.es;
- personas que piden información, una demostración o un piloto;
- personas que se **registran** en la aplicación;
- **despachos clientes** y sus personas de contacto, administradores de cuenta y usuarios, en lo relativo a la cuenta, la facturación y la relación comercial;
- proveedores y colaboradores de Bitaco.

**No se aplica** a los datos de **vecinos, propietarios, inquilinos, presidentes, proveedores de comunidades y otros terceros** que los despachos gestionan con la aplicación (mensajes de WhatsApp, incidencias, actas, documentos). En esos casos:
- el **responsable** es la **comunidad de propietarios**;
- el **despacho** administrador actúa como **encargado**;
- Bitaco actúa como **subencargado**, solo según las instrucciones del despacho y el contrato de encargo (art. 28 RGPD) (ver apartado 9).

## 3. Qué datos tratamos, para qué y con qué base

| Tratamiento | Datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|---|
| **Navegación por la web** | IP, fecha, navegador, páginas solicitadas (registros técnicos de Vercel y Cloudflare) | Servir la web, seguridad y prevención de abusos | Interés legítimo en un servicio seguro (art. 6.1.f) | Máximo **90 días**, salvo que hagan falta para investigar un incidente |
| **Medición agregada de audiencia** | **Vercel Web Analytics y Speed Insights** (sin cookies): página, página de procedencia, país, tipo de dispositivo, sistema operativo, navegador, clics en botones de conversión y velocidad de carga; Vercel trata la petición (incluida la IP) para calcular un valor de visitante que descarta a las 24 horas, y solo nos muestra datos agregados. **Medición propia de clics** (`/api/events`): día, tipo de evento, página y botón, sin IP ni identificadores | Conocer el uso agregado y mejorar la web | Interés legítimo (art. 6.1.f) | Datos agregados: 24 meses en el contador propio; en Vercel, el plazo de conservación de su servicio de analítica |
| **Solicitudes de información, demo o piloto** (correo, WhatsApp comercial o formulario cuando esté activo) | Nombre, despacho, email, teléfono (opcional), n.º aproximado de comunidades, mensaje, página de origen y versión del aviso aceptado. Huella HMAC temporal de la IP contra envíos repetidos | Responder y organizar la demo o el piloto | Medidas precontractuales (art. 6.1.b). Para quien actúa en nombre de un despacho, interés legítimo en atender la relación profesional (art. 6.1.f; art. 19 LOPDGDD) | **12 meses** desde la última comunicación si no se contrata |
| **Prospección comercial a despachos profesionales** | Nombre, despacho, cargo, teléfono y correo profesionales y notas de la conversación. Origen: **fuentes de acceso público** (webs de los despachos, directorios profesionales, LinkedIn) | Presentar Bitaco Fincas a despachos de administración de fincas | Interés legítimo (art. 6.1.f RGPD; art. 19 LOPDGDD). No enviamos correos comerciales sin tu autorización previa (art. 21 LSSI); antes de llamar consultamos los **sistemas de exclusión publicitaria (Lista Robinson)**. Te informamos en el primer contacto (art. 14 RGPD) y **puedes oponerte** en cualquier momento escribiendo a alfonfria@gmail.com | **12 meses** desde el último contacto o hasta que te opongas |
| **Comunicaciones comerciales** (novedades, *newsletter*) | Nombre y correo profesional | Enviarte información comercial de Bitaco Fincas | Consentimiento (art. 6.1.a RGPD; art. 21 LSSI) o, para productos o servicios similares, la relación contractual previa (art. 21.2 LSSI). Puedes darte de baja en cada envío | Hasta que te des de baja o retires el consentimiento |
| **Lista de aviso / espera (fundadores)** | Nombre, despacho y correo | Avisarte de la apertura del programa de fundadores o de nuevas plazas | Consentimiento (art. 6.1.a) | Hasta la apertura o hasta que te des de baja |
| **Casos de éxito y testimonios** | Nombre, despacho, cargo, testimonio y, si los facilitas, imagen o logotipo | Difundir casos de éxito con fines promocionales | Consentimiento **revocable** (art. 6.1.a RGPD; Ley Orgánica 1/1982 para la imagen) | Hasta que revoques el consentimiento |
| **Registro y cuenta en la aplicación** | Correo profesional, nombre, contraseña (cifrada con *hash* por Supabase Auth), razón social y NIF del despacho, rol, registros de acceso e IP, aceptación de condiciones (versión y fecha) | Crear y gestionar la cuenta, autenticar, prestar el Servicio y probar la aceptación de las condiciones | Ejecución del contrato (art. 6.1.b). Para los usuarios invitados por su despacho, interés legítimo de Bitaco y del despacho en dar acceso a su personal (art. 6.1.f) | Mientras la cuenta esté activa. Usuarios dados de baja: **30 días**. Prueba de aceptación: mientras puedan exigirse responsabilidades (5 años, art. 1964 CC) |
| **Facturación y cobro** (Stripe) | Datos de facturación del despacho, plan, estado de la suscripción. El pago se hace con tarjeta o adeudo SEPA mediante Stripe y la factura se emite en PDF. Los datos de la tarjeta o de la cuenta bancaria los trata **Stripe**, no Bitaco | Cobrar, facturar y cumplir obligaciones contables y fiscales | Contrato (6.1.b) y obligación legal (6.1.c: Código de Comercio y LGT) | Durante el contrato. Después, bloqueados **6 años** (art. 30 CCom), o el plazo de prescripción tributaria (4 años, LGT) para la información con efectos fiscales |
| **Soporte y comunicaciones de servicio** | Datos de contacto, contenido de la consulta y de la conversación con el asistente de soporte | Atender consultas de uso mediante un **asistente automático con inteligencia artificial**, que se identifica como tal al empezar la conversación. Las incidencias de seguridad, las solicitudes de protección de datos, las reclamaciones de facturación y las comunicaciones legales las atiende el titular en alfonfria@gmail.com. Avisar de cambios del servicio, de subencargados o de seguridad | Contrato (6.1.b) / obligación legal | Mientras dure la relación, más los plazos de prescripción |
| **Comunicaciones comerciales a clientes** (si se envían) | Correo profesional | Informar de productos similares | Art. 21.2 LSSI e interés legítimo, con oposición sencilla en cada envío | Hasta la oposición |
| **Ejercicio de derechos y seguridad** | Los necesarios para atenderlos | Cumplir el RGPD y proteger los sistemas | Obligación legal (6.1.c) / interés legítimo (6.1.f) | 3 años (prescripción de infracciones de la LOPDGDD) |

No tomamos **decisiones exclusivamente automatizadas** con efectos jurídicos o similares sobre ti (art. 22 RGPD) y no elaboramos perfiles comerciales. Te pedimos que no nos envíes datos de salud, documentos de identidad ni datos de vecinos en una consulta comercial.

## 4. Destinatarios y proveedores

No vendemos ni cedemos tus datos, salvo obligación legal (autoridades, jueces y tribunales, Administración tributaria). Pueden acceder a ellos:
- asesores sujetos a secreto profesional;
- los siguientes **encargados del tratamiento** de Bitaco, con contrato del art. 28 RGPD:

| Proveedor | Para qué |
|---|---|
| Vercel Inc. (EE. UU.) | Alojamiento de la web y de la aplicación (funciones de servidor hoy en EE. UU., región `iad1`; traslado previsto a Estocolmo, `arn1`; red de distribución global) y medición agregada de audiencia de la web sin cookies (Vercel Web Analytics y Speed Insights) |
| Cloudflare, Inc. (EE. UU.) | DNS, red y seguridad de la web bitacofincas.es, como encargado (sin analítica de audiencia) |
| Zoho | Correo profesional (centro de datos de la UE) |
| Supabase, Inc. | Cuentas de usuario y, cuando esté activo, almacenamiento de solicitudes |
| Resend | Correos transaccionales y avisos internos |
| Meta (WhatsApp Business), solo si se activa el canal comercial de WhatsApp (hoy no está activo) | Atender solicitudes por WhatsApp |
| OpenAI (OpenAI Ireland Ltd. y OpenAI OpCo, LLC, EE. UU.) | Asistente automático de soporte a clientes (correo y formulario) |

**Stripe.** Para el cobro, Stripe (Stripe Payments Europe, Ltd. y entidades de su grupo) trata los datos de pago:
- **en parte por cuenta de Bitaco**;
- y **en parte como responsable independiente**, para prevenir el fraude, cumplir sus obligaciones regulatorias como entidad de pago y mejorar sus servicios.

Ese tratamiento propio se rige por la política de privacidad de Stripe: https://stripe.com/privacy.

**WhatsApp.** Si nos escribes por WhatsApp, Meta/WhatsApp trata también los datos según sus propias condiciones. El despacho usa su **propia cuenta de Meta** (WABA); Bitaco Fincas actúa como *Tech Provider* conectado, **sin BSP**.

## 5. Transferencias internacionales

Algunos proveedores son empresas de Estados Unidos o acceden a datos desde allí. Usamos estas garantías:

| Proveedor | Garantía |
|---|---|
| Vercel Inc. | Hoy las funciones de la web y de la aplicación se ejecutan en **EE. UU. (`iad1`)**; está previsto su **traslado a Estocolmo (`arn1`)** según la configuración del proyecto. Su red de distribución es global: los contenidos estáticos se sirven desde nodos cercanos a ti, y Vercel Inc. es una empresa de EE. UU. Garantías: **Marco de Privacidad de Datos UE-EE. UU.** (Decisión de Ejecución (UE) 2023/1795) y cláusulas contractuales tipo de su DPA |
| Cloudflare, Inc. (EE. UU.) (CDN, DNS y seguridad) | **Marco de Privacidad de Datos UE-EE. UU.**: Cloudflare, Inc. figura como participante activo (UE-EE. UU., extensión del Reino Unido y Suiza; en https://www.dataprivacyframework.gov/participant/5666). Su *Data Processing Addendum* prevé las cláusulas contractuales tipo si la certificación decae |
| Resend (Plus Five Five, Inc.), Stripe, LLC, WhatsApp LLC | **Marco de Privacidad de Datos UE-EE. UU.** (Decisión de Ejecución (UE) 2023/1795), por estar certificadas, más cláusulas contractuales tipo como respaldo |
| Asistente de soporte con IA | **El mismo proveedor de IA que el Servicio** (**OpenAI**, EE. UU., con las mismas garantías indicadas para OpenAI en esta tabla). Trata solo datos de la consulta de soporte; **no accede** a los datos de las comunidades. Al iniciar la conversación se informa de que se interactúa con un sistema de IA (art. 50.1 del Reglamento (UE) 2024/1689) |
| Supabase, Inc. | **Cláusulas contractuales tipo** (Decisión 2021/914). Base de datos en **`eu-north-1` (Estocolmo, Suecia)**. El soporte y algunos subencargados están en EE. UU. |
| OpenAI (OpenAI Ireland Ltd. / OpenAI OpCo, LLC), solo si el despacho activa la IA | **Cláusulas contractuales tipo** (Decisión 2021/914) incluidas en el DPA de OpenAI y, cuando la entidad receptora esté certificada, el **Marco de Privacidad de Datos UE-EE. UU.** (Decisión de Ejecución (UE) 2023/1795). Tratamiento en **EE. UU.** Retención de hasta 30 días para la prevención de abusos. El sistema está preparado para procesar en el EEE cuando se active un proyecto de OpenAI con residencia de datos en Europa |
| Zoho | Centro de datos en la UE |

Puedes pedir información y una copia de las garantías en alfonfria@gmail.com.

## 6. Tus derechos

Puedes ejercer los derechos de **acceso, rectificación, supresión, oposición, limitación y portabilidad**, y retirar el consentimiento cuando sea la base del tratamiento, escribiendo a alfonfria@gmail.com o por correo postal a Avenida de Europa 18, 2A, 39750 Colindres (Cantabria). Indica qué derecho ejerces. Solo te pediremos verificar tu identidad si es necesario.

Responderemos en **un mes**, plazo prorrogable en los casos del art. 12.3 RGPD.

Si no estás conforme, puedes reclamar ante la **Agencia Española de Protección de Datos** (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

## 7. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo:
- cifrado en tránsito (TLS/HSTS) y en reposo;
- control de acceso por roles y aislamiento por despacho;
- bloqueo de intentos de acceso repetidos;
- registro de la actividad.

## 8. Cookies

Ver la [Política de cookies](/cookies).

## 9. Si eres vecino o vecina de una comunidad atendida con Bitaco Fincas

Tu administrador de fincas usa Bitaco Fincas para atender tus mensajes de WhatsApp, tus avisos y la documentación de tu comunidad:
- el **responsable** de esos datos es tu **comunidad de propietarios**;
- tu **administrador** actúa por cuenta de ella;
- Bitaco solo presta la herramienta tecnológica.

La información completa (finalidades, base jurídica, conservación, proveedores y derechos) te la debe facilitar **tu administrador**. Al escribir por primera vez por WhatsApp recibirás un aviso de que **te escribe el asistente automático de tu administrador** (con **inteligencia artificial**, si el despacho la tiene activada), de que los asuntos importantes los atiende una persona del despacho y de que, si escribes **«PERSONA»**, tu consulta pasa al equipo del despacho, que te responde **en su horario de atención**, con un enlace a su aviso de privacidad. **Este canal no atiende emergencias: ante un riesgo para personas o bienes, llama al 112.** Si tu mensaje contiene indicios de urgencia, recibirás un **mensaje automático** que te recuerda llamar al 112. El modo Observar no envía nada a los vecinos, salvo esa respuesta fija de urgencia.

Para ejercer tus derechos, dirígete a tu administrador. Si escribes a alfonfria@gmail.com, trasladaremos tu solicitud al despacho correspondiente en un máximo de **5 días hábiles**.

**Respuestas automáticas.** Hoy el Servicio clasifica los mensajes con **reglas automáticas**. Las respuestas automáticas solo se envían si existe **información facilitada por tu administrador** (etiqueta «Información facilitada por tu administrador») y muestran su fuente. Si no la hay, o el asunto es económico, jurídico, conflictivo o sensible, te atiende una persona.

**IA (desactivada por defecto y en activación progresiva; la activa tu administrador o Bitaco Fincas, con aviso):** el único proveedor de IA es **OpenAI**, con el modelo `gpt-5.4-2026-03-05`. Cuando está activada, se usa para ayudar a **entender y clasificar** tu mensaje y para proponer al despacho si se registra un aviso. **Nunca redacta los mensajes que recibes**: solo salen textos fijos o información facilitada por tu administrador.
- Se envía solo la parte mínima del asunto, no la conversación entera, con teléfonos, correos, DNI/NIE, IBAN y nombres de contactos registrados sustituidos por marcadores. Esta seudonimización reduce el riesgo, pero **no puede garantizar** que se elimine todo dato identificativo que aparezca en texto libre.
- Tratamiento en **EE. UU.**, con cláusulas contractuales tipo y, cuando la entidad receptora esté certificada, el Marco de Privacidad de Datos UE-EE. UU. El sistema está preparado para procesar estos datos en el EEE cuando se active un proyecto de OpenAI con residencia de datos en Europa.
- Según las condiciones de su API, OpenAI **no usa estos datos para entrenar** sus modelos y puede conservarlos **hasta 30 días** para seguridad y prevención de abusos. Las llamadas se hacen sin almacenamiento de la respuesta (`store:false`).
- Las fotos y notas de actas se procesan **en nuestros servidores**, sin IA externa.
- El sistema no toma decisiones con efectos jurídicos sobre ti (art. 22 RGPD).

## 10. Cambios

Si modificamos esta política de forma relevante, lo indicaremos en esta página con la fecha y, si te afecta como cliente, te lo comunicaremos por correo.