Política de Privacidad

En cumplimiento del artículo 13 del RGPD y el artículo 11 de la LOPDGDD, se informa que el Responsable del Tratamiento de los datos personales recogidos a través de la Plataforma Construye.es es:

Tratamos los datos personales que nos proporcionas directamente, los que se generan por el uso de la Plataforma y, en determinados casos, los que nos facilitan proveedores de autenticación de terceros (Google). A continuación detallamos las categorías por perfil de usuario:

2.1. Usuarios Clientes

• Identificación: email, nombre (si se aporta), foto de perfil (si se autentica con Google).
• Solicitudes de obra/reforma: descripción, categoría, ubicación (ciudad, provincia, código postal), presupuesto orientativo, archivos adjuntos (imágenes, documentos PDF).
• Interacciones: mensajes enviados en el chat interno, notas de seguimiento de proyecto, valoraciones a profesionales.
• Datos de uso: timestamp de acciones, historial de solicitudes y estados, preferencias de navegación.
• Datos técnicos: dirección IP, tipo de dispositivo/navegador, errores técnicos registrados.

2.2. Usuarios Profesionales

• Identificación: email, nombre completo, razón social/empresa, NIF/CIF, teléfono de contacto.
• Perfil profesional: especialidades, provincia de actividad, descripción de la empresa, foto de perfil.
• Presupuestos enviados: precio, plazo estimado, mensaje, archivos adjuntos.
• Verificación de empresa: documentos aportados voluntariamente (alta censal, IAE, póliza de responsabilidad civil, otros), estado de verificación, notas del proceso.
• Facturación: datos fiscales necesarios para la gestión de comisiones.
• Valoraciones recibidas: puntuación media, número de valoraciones.
• Datos técnicos: los mismos que para clientes.

2.3. Usuarios Administradores

• Email y credenciales de acceso al panel de administración.
• Registro de acciones administrativas (logs de auditoría).

2.4. Datos que NO tratamos

Tampoco tratamos datos de terceros que los usuarios puedan mencionar en sus comunicaciones más allá de lo estrictamente necesario para la prestación del servicio. El usuario es responsable de no compartir datos de terceros sin su consentimiento.

El RGPD exige que todo tratamiento de datos personales cuente con una base jurídica legítima (Art. 6 RGPD). A continuación se detalla cada finalidad, los datos implicados, la base jurídica aplicable y el plazo de conservación:

3.1. Interés legítimo — test de proporcionalidad

Cuando la base jurídica es el interés legítimo (Art. 6.1.f RGPD), Construye.es ha realizado el correspondiente test de proporcionalidad o «balance test», concluyendo que:

1. El interés perseguido es legítimo (seguridad de la plataforma, prevención de fraude, mejora del servicio, generación de confianza entre usuarios).
2. El tratamiento es necesario para alcanzar dicho fin; no existen medios alternativos menos intrusivos igualmente eficaces.
3. El interés de Construye.es no prevalece sobre los derechos y libertades fundamentales del interesado, dadas las salvaguardias aplicadas (minimización, seudonimización donde procede, acceso restringido).

El interesado tiene derecho a oponerse en todo momento al tratamiento basado en interés legítimo, conforme al artículo 21 del RGPD (ver sección 7).

3.2. Consentimiento

Cuando la base jurídica es el consentimiento, este es libre, específico, informado e inequívoco (Art. 7 RGPD). El usuario puede retirar su consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo. La retirada puede realizarse enviando un email a privacidad@construye.es o a través de los mecanismos habilitados en la Plataforma. La retirada del consentimiento no afecta a los tratamientos basados en otras bases jurídicas.

4.1. Comunicaciones entre usuarios de la Plataforma

Por la propia naturaleza del servicio de intermediación, determinados datos de un usuario son accesibles o comunicados a otros usuarios de la Plataforma:

• Los Profesionales acceden a la descripción, categoría y localización de las solicitudes publicadas por Clientes.
• Los Clientes ven el perfil del Profesional (nombre, empresa, especialidad, provincia, valoración media, estado de verificación) cuando reciben un presupuesto.
• Tras la aceptación de un presupuesto, se revelan mutuamente datos de contacto (teléfono, email) para facilitar la contratación directa.

Esta comunicación está amparada en la ejecución del contrato (Art. 6.1.b RGPD) y es informada previamente al usuario en el momento del registro y en el proceso de uso.

4.2. Subencargados del tratamiento (proveedores tecnológicos)

Construye.es emplea proveedores tecnológicos que actúan como Encargados del Tratamiento (Art. 28 RGPD). Con todos ellos se han suscrito (o se aplican por adhesión a sus condiciones) los correspondientes contratos de encargo de tratamiento con las garantías exigidas por el RGPD:

4.3. Autoridades y obligaciones legales

Construye.es podrá comunicar datos personales a autoridades públicas, jueces, fiscales o fuerzas y cuerpos de seguridad del Estado cuando así lo exija la normativa aplicable (Art. 6.1.c RGPD), incluidas, sin carácter limitativo, la AEAT (obligaciones tributarias), juzgados competentes o la AEPD. En tales casos, la comunicación se limitará a los datos estrictamente necesarios.

4.4. No venta de datos

Algunos de los proveedores indicados en la sección anterior tienen su sede o procesan datos en países fuera del Espacio Económico Europeo (EEE), principalmente en Estados Unidos. Dichas transferencias se realizan con las siguientes garantías (Art. 44-49 RGPD):

• Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021), incorporadas en los contratos de encargo de tratamiento con cada proveedor.
• Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework, DPF) adoptado el 10 de julio de 2023, para aquellos proveedores que se hayan adherido formalmente a dicho marco (verificable en el registro del Departamento de Comercio de EE.UU.).
• Medidas técnicas complementarias: cifrado en tránsito (TLS 1.2+) y en reposo, seudonimización cuando es técnicamente posible, y evaluación periódica del nivel de protección del tercer país (Transfer Impact Assessment, TIA).

En el caso de Google Firebase, la mayoría de los datos de la plataforma se almacenan en regiones europeas (europe-west) cuando así se configura. Construye.es mantiene esta configuración como medida adicional de minimización de transferencias internacionales.

Los datos personales se conservarán durante el tiempo necesario para la finalidad que motivó su recogida, y como mínimo durante los plazos exigidos por la normativa vigente. El detalle por finalidad puede consultarse en la tabla de la Sección 3.

6.1. Criterios generales

• Vigencia de la cuenta: los datos de perfil se conservan mientras la cuenta esté activa.
• Tras la baja voluntaria: los datos se bloquearán (sin acceso operativo) durante un periodo adicional de hasta 5 años para atender posibles reclamaciones legales, obligaciones fiscales y requerimientos de autoridades competentes, transcurrido el cual se procederá a su supresión o anonimización irreversible.
• Obligaciones fiscales y mercantiles: los datos de facturación se conservarán durante 5 años según el artículo 66 de la Ley General Tributaria y 6 años según el artículo 30 del Código de Comercio (prevalece el plazo mayor).
• Prescripción de acciones: los datos necesarios para el ejercicio o defensa de reclamaciones se conservarán hasta la prescripción de las acciones correspondientes (con carácter general, 5 años para obligaciones personales — Art. 1964 CC reformado).
• Logs de seguridad: 90 días para logs técnicos generales; hasta 2 años para incidentes de seguridad confirmados o investigados.

6.2. Destrucción y anonimización

Una vez transcurridos los plazos de conservación, los datos serán suprimidos de forma segura (borrado efectivo de soportes) o anonimizados de manera que no permitan la reidentificación del interesado, en cuyo caso podrán conservarse para fines estadísticos o de mejora del servicio sin limitación temporal.

6.3. Derecho de supresión anticipada

Sin perjuicio de los plazos mínimos legales, el interesado puede solicitar la supresión de sus datos cuando concurra alguna de las causas del Art. 17 RGPD (ver Sección 7). En tal caso, se procederá a la supresión de los datos operativos manteniendo únicamente los bloqueados por obligación legal.

El RGPD y la LOPDGDD reconocen a los interesados un amplio catálogo de derechos sobre sus datos personales. Construye.es garantiza su ejercicio efectivo en las condiciones y plazos legalmente previstos:

7.1. Cómo ejercer tus derechos

7.2. Reclamación ante la autoridad de control

Sin perjuicio de cualquier otro recurso administrativo o acción judicial, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que el tratamiento de tus datos infringe el RGPD o la LOPDGDD:

Te animamos a contactar previamente con Construye.es en privacidad@construye.es para intentar resolver tu consulta o reclamación de manera directa y ágil antes de acudir a la autoridad de control.

Al aceptar estos términos y registrarse en la Plataforma, el usuario declara ser mayor de 18 años. Si Construye.es tiene conocimiento de que un menor de 18 años ha proporcionado datos personales, procederá a la supresión inmediata de dicha cuenta y de todos sus datos, salvo que sea legalmente obligatorio conservarlos. Si eres progenitor, tutor legal o responsable de un menor que crees que ha podido registrarse en la Plataforma, contacta con nosotros en privacidad@construye.es.

9.1. Función «Buddy» — Recomendación IA

Construye.es ofrece de forma opcional una función de recomendación basada en Inteligencia Artificial denominada «Buddy». Esta función analiza los presupuestos recibidos para una solicitud concreta y genera una recomendación orientativa al Cliente sobre cuál puede ser más adecuado.

• Datos procesados: contenido de la solicitud (descripción, categoría, presupuesto), datos de los presupuestos recibidos (precio, plazo, mensaje del profesional, datos de perfil del profesional disponibles en la plataforma).
• Proveedor del modelo de IA: OpenAI (ver Sección 4.2 para las garantías de transferencia).
• Carácter de la decisión: la recomendación de Buddy es meramente orientativa e informativa. No produce efectos jurídicos vinculantes sobre ninguna de las partes. La decisión final de contratar corresponde en exclusiva al Cliente.
• Transparencia: la Plataforma informa expresamente al usuario de que está utilizando una herramienta de IA y que la recomendación es orientativa, sin garantía de resultado.
• No es una decisión automatizada en sentido estricto del Art. 22 RGPD porque: (a) no es vinculante, (b) hay intervención humana en la decisión final, y (c) no produce efectos jurídicos ni afecta significativamente al usuario de forma directa.

9.2. Activación voluntaria

El usuario activa la función Buddy de forma explícita (botón «Analizar»). No se ejecuta de manera automática ni obligatoria. El usuario puede optar por no utilizarla sin ninguna consecuencia para el resto del servicio.

9.3. Elaboración de perfiles (profiling)

Construye.es puede realizar elaboración de perfiles limitada a efectos operativos (p. ej. mostrar solicitudes relevantes a profesionales según su especialidad y provincia, calcular valoraciones medias). Dicha elaboración de perfiles:

• Se basa en datos que el propio usuario ha aportado (especialidad, provincia, valoraciones).
• No produce decisiones que afecten significativamente al usuario de forma negativa.
• El usuario puede oponerse a este tratamiento ejerciendo el derecho de oposición (Art. 21 RGPD), aunque ello puede limitar la funcionalidad del servicio (p. ej. el profesional dejaría de ver solicitudes filtradas por su perfil).

9.4. Derecho a intervención humana

En caso de que en el futuro Construye.es implemente decisiones con efectos jurídicos basadas en tratamiento automatizado, informará específicamente al usuario y garantizará su derecho a: (a) intervención humana; (b) expresar su punto de vista; y (c) impugnar la decisión (Art. 22.3 RGPD). Esta política se actualizará en consecuencia.

10.1. Medidas de seguridad aplicadas

Construye.es aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (Art. 32 RGPD), incluyendo:

• Cifrado en tránsito: comunicaciones cifradas mediante TLS 1.2 o superior en todas las interacciones entre el navegador y los servidores.
• Cifrado en reposo: los datos almacenados en Firebase Firestore y Firebase Storage cuentan con cifrado en reposo gestionado por Google Cloud.
• Autenticación segura: gestión de credenciales delegada en Firebase Authentication (hashing seguro de contraseñas, soporte de 2FA para administradores).
• Control de acceso basado en roles (RBAC): los datos solo son accesibles a los usuarios con el rol correspondiente (CLIENT, PRO, ADMIN) y verificados mediante tokens JWT en cada petición API.
• Principio de minimización: solo se recogen los datos estrictamente necesarios para cada finalidad.
• Acceso restringido a datos internos: los logs de auditoría y datos de administración solo son accesibles al administrador del sistema.
• Monitorización de errores: sistema de detección de errores críticos (ChunkLoadError y similares) para garantizar la disponibilidad del servicio.
• Actualizaciones de seguridad: mantenimiento periódico de dependencias y parches de seguridad.

10.2. Violaciones de seguridad (data breaches)

En caso de producirse una violación de la seguridad de los datos personales, Construye.es actuará conforme al artículo 33 y 34 del RGPD:

• Notificación a la AEPD: en el plazo de 72 horas desde que tenga conocimiento de la violación (cuando sea probable que suponga un riesgo para los derechos y libertades de las personas), con el contenido exigido por el Art. 33.3 RGPD.
• Comunicación a los interesados: cuando la violación entrañe un alto riesgo para los derechos y libertades de los usuarios afectados, Construye.es les informará sin dilación indebida, por email u otro canal disponible, describiendo la naturaleza de la violación, sus posibles consecuencias y las medidas adoptadas o propuestas (Art. 34 RGPD).
• Registro de violaciones: Construye.es mantiene un registro interno de todas las violaciones de seguridad (Art. 33.5 RGPD), incluso de las que no deban notificarse a la autoridad de control.

Si detectas o sospechas de una posible violación de seguridad que afecte a tus datos, notifícalo inmediatamente a privacidad@construye.es.

Construye.es utiliza cookies y tecnologías similares (localStorage, sessionStorage, IndexedDB) conforme a la Directiva 2009/136/CE, la LSSI-CE y las directrices de la AEPD.

11.1. Definición y tipos

Las cookies son pequeños archivos de texto que se almacenan en el dispositivo del usuario al visitar una página web. Según su finalidad, distinguimos:

11.2. Gestión y rechazo de cookies

El usuario puede configurar su navegador para bloquear o eliminar cookies. No obstante, el bloqueo de cookies técnicas puede impedir el correcto funcionamiento de la autenticación y, por ende, del servicio. A continuación se indican los accesos a la gestión de cookies en los principales navegadores:

• Chrome: Configuración → Privacidad y seguridad → Cookies y otros datos de sitios.
• Firefox: Configuración → Privacidad y seguridad → Cookies y datos del sitio.
• Safari: Preferencias → Privacidad → Gestionar datos de sitios web.
• Edge: Configuración → Cookies y permisos del sitio.

11.3. Banner y consentimiento de cookies

Construye.es implementará, conforme a las directrices de la AEPD, un banner de consentimiento de cookies que permitirá al usuario aceptar, rechazar o configurar individualmente las cookies no esenciales antes de que se instalen en su dispositivo. El consentimiento es:

• Libre: el rechazo no impide el acceso a la Plataforma (salvo cookies estrictamente necesarias).
• Específico: diferenciado por categorías de cookies.
• Informado: con descripción de cada cookie y su finalidad.
• Inequívoco: acción positiva del usuario (no se acepta por omisión ni por continuar navegando).

Construye.es permite el inicio de sesión mediante la cuenta de Google del usuario, gestionado a través de Firebase Authentication.

• Al utilizar «Continuar con Google», el usuario autoriza a Google a compartir con Construye.es su email, nombre y foto de perfil de su cuenta de Google.
• Construye.es no accede ni almacena la contraseña de Google del usuario ni ningún otro dato de la cuenta de Google no expresamente compartido.
• El tratamiento que Google realiza de los datos del usuario se rige por la Política de Privacidad de Google (policies.google.com/privacy), siendo Google responsable de dicho tratamiento.
• El usuario puede revocar el acceso de Construye.es desde su cuenta de Google en: Cuenta de Google → Seguridad → Aplicaciones de terceros con acceso a tu cuenta.

Construye.es podrá actualizar esta Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales, de práctica del sector, o por modificaciones en los tratamientos realizados. En caso de cambios sustanciales (nueva finalidad, nuevos destinatarios, nuevo responsable conjunto, cambio de base jurídica), Construye.es:

1. Publicará la versión actualizada en esta página con indicación de la fecha de la última actualización.
2. Notificará a los usuarios registrados por email con un plazo razonable de preaviso (mínimo 15 días) antes de que los cambios entren en vigor, salvo que la urgencia legal no lo permita.
3. En caso de cambios que requieran nuevo consentimiento, solicitará expresamente dicho consentimiento antes de aplicar el nuevo tratamiento.

El uso continuado de la Plataforma tras la notificación de cambios no sustanciales y pasado el plazo de preaviso implica la aceptación de la versión actualizada. Para cambios que requieran nuevo consentimiento, el uso continuado sin prestar dicho consentimiento no podrá entenderse como aceptación.

Se recomienda revisar periódicamente esta página. La versión vigente es siempre la disponible en construye.es/privacidad.

La autoridad de control competente en España en materia de protección de datos personales es la Agencia Española de Protección de Datos (AEPD):

Si resides en otro Estado miembro de la UE, también puedes presentar la reclamación ante la autoridad de protección de datos de tu país de residencia, que coordinará con la AEPD conforme al mecanismo de ventanilla única del RGPD (Art. 56 RGPD).