Política de Privacidad

La presente Política de Privacidad regula el tratamiento de datos personales que realiza el titular de la plataforma VisitaBio (en adelante, «VisitaBio» o el «Prestador»), accesible en visitabio.es. Los datos identificativos completos del Prestador (nombre o razón social, NIF/CIF y domicilio) se publicarán en este mismo apartado tan pronto como se formalice la inscripción registral o el alta censal correspondiente.

Esta política ha sido elaborada conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD); la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD); y la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

1. Responsable del Tratamiento — Identificación

A los efectos de esta Política de Privacidad, el Responsable del Tratamiento de los datos personales recabados directamente de los usuarios registrados (representantes de agencias inmobiliarias, profesionales autónomos del sector) es:

Titular: Pendiente de inscripción registral (se actualizará con el nombre o razón social, NIF/CIF y domicilio una vez completado el alta censal).
Correo electrónico: info@visitabio.es
Delegado de Protección de Datos (DPO): No designado (no obligatorio según art. 37 RGPD dadas las características actuales del tratamiento).

2. Categorías de interesados y datos tratados

VisitaBio trata las siguientes categorías de datos según el tipo de interesado:

2.1. Usuarios registrados (La Agencia)

Datos proporcionados durante el registro y uso del Servicio:

Datos identificativos: nombre, apellidos, nombre de usuario, fotografía de perfil.
Datos de contacto: dirección de correo electrónico, número de teléfono (opcional), enlaces a redes sociales.
Datos profesionales: denominación de la agencia, cargo, descripción profesional.
Datos económicos: información relativa al plan de suscripción y al historial de pagos (los datos completos de la tarjeta de pago son tratados exclusivamente por Stripe, Inc. y no son almacenados en los servidores del Prestador).
Datos técnicos y de navegación: dirección IP, tipo de navegador, sistema operativo, datos de registro de actividad (logs), cookies (consulte nuestra Política de Cookies).

2.2. Usuarios Finales (clientes de la Agencia)

Datos de terceros que la Agencia introduce o gestiona a través de la Plataforma en el ejercicio de su actividad inmobiliaria, entre los que pueden encontrarse:

Nombre, apellidos, correo electrónico, teléfono.
Datos relativos a citas e interacciones comerciales.
Preferencias y notas registradas por la Agencia en los dossiers de clientes.
Cualquier otro dato personal que la Agencia decida introducir en la Plataforma.

3. Roles en materia de protección de datos — Responsable y Encargado del Tratamiento

Esta cláusula es esencial para la correcta delimitación de responsabilidades entre las partes.

3.1. Respecto a los datos de los Usuarios Registrados (La Agencia)

El Prestador actúa como Responsable del Tratamiento de los datos personales de las personas que se registran directamente en la Plataforma (representantes de agencias, profesionales autónomos). En este caso, el Prestador determina los fines y los medios del tratamiento.

3.2. Respecto a los datos de los Usuarios Finales (clientes de la Agencia)

La Agencia inmobiliaria es el único Responsable del Tratamiento de los datos personales de sus Usuarios Finales que introduzca, almacene o gestione a través de la Plataforma. El Prestador actúa exclusivamente como Encargado del Tratamiento de dichos datos, en virtud del artículo 28 del RGPD.

En su condición de Encargado del Tratamiento, el Prestador se compromete a:

Tratar los datos personales de los Usuarios Finales únicamente conforme a las instrucciones documentadas de la Agencia (Responsable del Tratamiento) y exclusivamente para la prestación del Servicio.
No utilizar los datos de los Usuarios Finales para fines propios, comerciales o de cualquier otra naturaleza ajena a la prestación del Servicio.
Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad.
Adoptar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, conforme al artículo 32 del RGPD.
No recurrir a otro encargado del tratamiento (subencargado) sin la autorización previa, general o específica, por escrito del Responsable. En caso de autorización general, el Prestador informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Responsable la oportunidad de oponerse.
Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados establecidas en los artículos 15 a 22 del RGPD.
Ayudar al Responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de seguridad y evaluaciones de impacto).
A elección del Responsable, suprimir o devolver todos los datos personales una vez finalizada la prestación de los servicios de tratamiento, y suprimirá las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija su conservación.
Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por este.

Aviso importante para la Agencia: Como Responsable del Tratamiento de los datos de sus Usuarios Finales, la Agencia es la única responsable de (i) obtener las bases legales apropiadas (consentimiento, interés legítimo, ejecución de contrato, etc.) para el tratamiento de dichos datos; (ii) informar a los Usuarios Finales sobre el tratamiento de sus datos conforme a los artículos 13 y 14 del RGPD; (iii) atender las solicitudes de ejercicio de derechos de los interesados; y (iv) cumplir con cualquier otra obligación que le corresponda como Responsable conforme a la normativa de protección de datos aplicable.

4. Finalidades del tratamiento y bases legitimadoras

Los datos personales de los Usuarios Registrados son tratados por el Prestador para las siguientes finalidades:

Finalidad	Base jurídica (art. 6.1 RGPD)
Gestión del registro y de la cuenta de usuario	Ejecución del contrato (art. 6.1.b)
Prestación del Servicio contratado (portafolio digital, gestión de propiedades, dossiers, citas)	Ejecución del contrato (art. 6.1.b)
Procesamiento de pagos y facturación	Ejecución del contrato (art. 6.1.b)
Envío de comunicaciones técnicas, de seguridad y administrativas relativas al Servicio	Ejecución del contrato (art. 6.1.b) e interés legítimo (art. 6.1.f)
Envío de comunicaciones comerciales y promocionales	Consentimiento del interesado (art. 6.1.a)
Mejora y análisis del Servicio, elaboración de estadísticas de uso	Interés legítimo del Prestador (art. 6.1.f)
Prevención de fraude y seguridad de la Plataforma	Interés legítimo del Prestador (art. 6.1.f)
Cumplimiento de obligaciones legales (fiscales, mercantiles)	Obligación legal (art. 6.1.c)

5. Plazo de conservación de los datos

Los datos personales serán conservados durante los siguientes plazos:

Datos de la cuenta de usuario: durante la vigencia de la relación contractual y, tras su finalización, durante los plazos de prescripción legal aplicables (con carácter general, 5 años conforme al artículo 1964 del Código Civil).
Datos económicos y de facturación: 4 años conforme a la Ley General Tributaria y 6 años conforme al Código de Comercio.
Datos de los Usuarios Finales (como Encargado del Tratamiento): durante la vigencia de la relación contractual con la Agencia. Tras la cancelación de la cuenta, los datos serán eliminados o devueltos al Responsable en un plazo máximo de 30 días naturales, salvo obligación legal de conservación.
Consentimientos: se conservará la prueba del consentimiento otorgado durante el plazo de prescripción de las posibles infracciones.

6. Comunicación de datos a terceros

El Prestador no vende, alquila ni cede datos personales a terceros. Los datos podrán ser comunicados a las siguientes categorías de destinatarios, exclusivamente en la medida necesaria para las finalidades indicadas:

Stripe, Inc. (Estados Unidos) — procesamiento de pagos. Stripe actúa como encargado del tratamiento independiente y cumple con las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea para transferencias internacionales. Política de privacidad de Stripe.
Cloudflare, Inc. (Estados Unidos) — alojamiento, CDN, base de datos (Cloudflare D1, R2) y funciones serverless (Workers). Cloudflare cumple con el marco EU-US Data Privacy Framework. Política de privacidad de Cloudflare.
Proveedores de servicios de correo electrónico — para el envío de notificaciones transaccionales y, en su caso, comunicaciones comerciales.
Autoridades públicas o judiciales — cuando exista obligación legal, requerimiento judicial o interés público que lo justifique.
Asesores legales, contables y auditores — en el ejercicio legítimo de la defensa de los intereses del Prestador.

7. Transferencias internacionales de datos

Algunos de los proveedores de servicios indicados en la sección anterior tienen su sede en los Estados Unidos de América. Las transferencias internacionales de datos se realizan al amparo de:

El Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), en los casos en que el proveedor esté certificado.
Las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914.
Las garantías adecuadas que, en cada caso, correspondan conforme a los artículos 46 y siguientes del RGPD.

El interesado podrá solicitar información detallada sobre las garantías aplicables a cada transferencia dirigiéndose a info@visitabio.es.

8. Derechos de los interesados

De conformidad con el RGPD y la LOPDGDD, los interesados podrán ejercer los siguientes derechos:

Derecho de acceso (art. 15 RGPD): obtener confirmación de si se están tratando sus datos y acceder a los mismos.
Derecho de rectificación (art. 16 RGPD): solicitar la corrección de datos inexactos o incompletos.
Derecho de supresión (art. 17 RGPD): solicitar la eliminación de sus datos cuando, entre otros motivos, ya no sean necesarios para la finalidad para la que fueron recogidos («derecho al olvido»).
Derecho a la limitación del tratamiento (art. 18 RGPD): solicitar que se limite el tratamiento de sus datos en determinadas circunstancias.
Derecho a la portabilidad (art. 20 RGPD): recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
Derecho de oposición (art. 21 RGPD): oponerse al tratamiento de sus datos por motivos relacionados con su situación particular.
Derecho a no ser objeto de decisiones automatizadas (art. 22 RGPD): no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente.
Derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.

Para el ejercicio de estos derechos, el interesado podrá dirigirse al Prestador mediante:

Correo electrónico: info@visitabio.es

La solicitud deberá incluir: nombre y apellidos del interesado, petición concreta, dirección a efectos de notificaciones y copia del DNI o documento acreditativo de la identidad. El Prestador responderá en el plazo máximo de un mes, prorrogable por dos meses adicionales en caso de solicitudes especialmente complejas o numerosas.

Derecho a presentar una reclamación ante la autoridad de control: Si el interesado considera que el tratamiento de sus datos no se ajusta a la normativa vigente, podrá presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con sede en C/ Jorge Juan, 6 — 28001 Madrid, www.aepd.es.

9. Medidas de seguridad

El Prestador ha adoptado las medidas técnicas y organizativas adecuadas para garantizar la seguridad, integridad y confidencialidad de los datos personales, conforme al artículo 32 del RGPD. Entre otras:

Cifrado de las comunicaciones mediante protocolo TLS/SSL.
Almacenamiento seguro de contraseñas mediante funciones de hashing con salt.
Controles de acceso basados en roles y autenticación segura.
Copias de seguridad periódicas.
Monitorización y registro de accesos.
Política de gestión de incidentes de seguridad y notificación de brechas de datos conforme a los artículos 33 y 34 del RGPD.

No obstante, ningún sistema de transmisión o almacenamiento de datos es absolutamente seguro. En caso de producirse una brecha de seguridad que afecte a datos personales, el Prestador notificará a la autoridad de control competente (AEPD) en un plazo máximo de 72 horas desde que tenga constancia de la misma, conforme al artículo 33 del RGPD. Asimismo, notificará sin dilación indebida al Responsable del Tratamiento (la Agencia) para que ésta pueda cumplir con sus propias obligaciones de notificación. Cuando la brecha entrañe un alto riesgo para los derechos y libertades de los interesados, se les comunicará directamente conforme al artículo 34 del RGPD.

10. Datos de menores

La Plataforma está dirigida a profesionales del sector inmobiliario y no está diseñada para ser utilizada por menores de edad. El Prestador no recoge intencionadamente datos personales de menores de 16 años (o la edad establecida en la legislación nacional aplicable). Si se detecta que se han recogido datos de un menor sin el consentimiento de su representante legal, se procederá a su eliminación inmediata.

11. Enlaces a sitios de terceros

La Plataforma puede contener enlaces a sitios web de terceros. El Prestador no es responsable del contenido ni de las prácticas de privacidad de dichos sitios. Se recomienda al usuario que consulte las políticas de privacidad de cada sitio web que visite.

12. Modificaciones de la Política de Privacidad

El Prestador se reserva el derecho de modificar esta Política de Privacidad en cualquier momento para adaptarla a novedades legislativas, criterios jurisprudenciales, prácticas del sector o intereses de la entidad. Las modificaciones sustanciales se notificarán al usuario por correo electrónico o mediante un aviso destacado en la Plataforma con 30 días naturales de antelación.

Se recomienda al usuario revisar periódicamente esta Política. La fecha de la última actualización figura al inicio de este documento.

13. Contacto

Para cualquier consulta relacionada con esta Política de Privacidad o con el tratamiento de datos personales, el interesado puede dirigirse a:

Correo electrónico: info@visitabio.es