Política de Privacidad

Esta Política de Privacidad explica cómo Vanorify («nosotros» o «Vanorify») trata los datos personales de las personas usuarias del marketplace de alquiler de furgonetas entre particulares Vanorify (la «Plataforma»). Vanorify es el responsable del tratamiento de los datos personales que se describen a continuación. Esta política se facilita en cumplimiento del Reglamento General de Protección de Datos de la UE (RGPD), de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y del resto de normativa aplicable.

1. Datos personales que recogemos

Datos que facilitas directamente

• Cuenta e identidad: nombre, correo electrónico, número de teléfono, foto de perfil, datos del permiso de conducir (número, caducidad, imagen escaneada) y prueba de identidad cuando la ley lo exija.
• Datos del vehículo (propietarios): marca, modelo, año, fotografías, matrícula, dirección de recogida, declaraciones sobre el seguro y datos bancarios de cobro, gestionados por Stripe Connect.
• Datos del alquiler (arrendatarios): fechas, direcciones de recogida y devolución, kilometraje seleccionado y comunicaciones con el propietario.
• Datos de pago: información de pago tokenizada y tratada por Stripe; no almacenamos números completos de tarjeta ni CVC en nuestros servidores.
• Aceptaciones legales: registro de tu aceptación de los Términos, de esta Política de Privacidad, de la Política de Daños, del reconocimiento de seguro del propietario y del Acuerdo de Alquiler, junto con la marca de tiempo, la dirección IP y el agente de usuario de la petición.
• Soporte y disputas: mensajes, pruebas (fotos, descripciones), tickets y valoraciones intercambiados a través de la Plataforma.

Datos que recogemos automáticamente

• Datos técnicos: dirección IP, tipo y versión de navegador, identificadores de dispositivo, sistema operativo, idioma y zona horaria;
• Datos de uso: páginas y pantallas visitadas, funciones utilizadas, duración de la sesión, eventos de clic y registros de error;
• Geolocalización, únicamente cuando concedes permiso expreso (por ejemplo, para la búsqueda «cerca de mí»);
• Cookies y tecnologías similares (véase el apartado 7).

Datos que recibimos de terceros

• Datos de identidad y alta de Stripe (alta en Connect, estado del pago, salud de los cobros);
• Metadatos de autenticación de AWS Cognito (el proveedor de identidad que usa la Plataforma);
• Si eliges iniciar sesión con Google, la información básica de perfil que Google comparte con tu consentimiento: nombre, dirección de correo, foto de perfil de Google y un identificador único de la cuenta de Google (el sub de OpenID). Solicitamos únicamente los ámbitos openid, email y profile: no accedemos a tu Gmail, Google Drive, Google Calendar, Contactos ni a ningún otro servicio o contenido de Google. Véase el apartado 7a;
• Datos de lugares de Google Maps cuando seleccionas una dirección;
• Señales antifraude (cuando proceda) de las redes de tarjetas y de proveedores de riesgo de pago.

2. Finalidades y bases jurídicas

Tratamos los datos personales para las siguientes finalidades, cada una sobre la base jurídica que se indica:

• Operar la Plataforma y ejecutar el contrato (art. 6.1.b RGPD): creación de cuenta, gestión de anuncios, alquiler, procesamiento de pagos, autorización de la fianza, gestión de daños, resolución de disputas y atención al cliente.
• Cumplir obligaciones legales (art. 6.1.c RGPD): facturación fiscal, llevanza de registros contables, deberes antifraude y de conocimiento del cliente, y respuesta a requerimientos lícitos de las autoridades.
• Intereses legítimos (art. 6.1.f RGPD): seguridad de la Plataforma, prevención de abusos, detección del fraude, mejora del servicio, analítica básica, defensa frente a reclamaciones y registro interno de las aceptaciones legales y los rastros de auditoría (IP, agente de usuario, marcas de tiempo).
• Consentimiento (art. 6.1.a RGPD): cookies no esenciales, correos comerciales y funciones opcionales como la geolocalización. Puedes retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• Identificación del conductor en infracciones de tráfico (arts. 6.1.b, 6.1.c y 6.1.f RGPD): cuando una autoridad competente —o el propietario del vehículo actuando a raíz de tal requerimiento— exija identificar a la persona responsable de una infracción de tráfico cometida durante un alquiler, facilitamos la información de identificación del conductor razonablemente necesaria para gestionarla. Forma parte de las condiciones necesarias para prestar el servicio de alquiler, sirve al cumplimiento de los deberes de identificación del conductor y protege los intereses legítimos del propietario del vehículo y de Vanorify. No se basa en el consentimiento y no es opcional; la aceptación de esta condición forma parte del Acuerdo de Alquiler.

3. Comunicación y destinatarios

No vendemos ni alquilamos datos personales. Sólo los comunicamos a las categorías de destinatarios necesarias para operar la Plataforma:

• La otra parte de tu alquiler (propietario ↔ arrendatario): nombre, foto de perfil, valoraciones, datos de contacto necesarios para el alquiler y detalles acordados de la recogida. Las imágenes del permiso de conducir y la identificación completa no se comparten con la otra parte, salvo la información limitada de identificación del conductor que se comunique para gestionar una infracción de tráfico, según se describe más abajo.
• Stripe (procesamiento de pagos, cobros y autorizaciones de fianza).
• AWS (alojamiento en la nube, almacenamiento, identidad, correo y SMS, colas) dentro de la región de la UE.
• Google: (i) Google LLC / Google Ireland Ltd. para el inicio de sesión federado (OAuth 2.0 / OpenID Connect) cuando eliges iniciar sesión con Google, (ii) Google Maps Platform para la resolución de direcciones y la representación de mapas, y (iii) Google Analytics 4 y Google Ads para estadísticas de uso agregadas y la medición de campañas publicitarias, que sólo se cargan con tu consentimiento de cookies analíticas y publicitarias, respectivamente. Con ese mismo consentimiento, Google Analytics 4 recibe un identificador interno de tu cuenta —nunca tu correo ni tu nombre— para unir tu actividad en distintos dispositivos.
• Meta Platforms Ireland Ltd. (píxel de Meta) para la medición de campañas en Facebook e Instagram, sólo con tu consentimiento de cookies publicitarias.
• Content Square SAS (Contentsquare), que almacena sus datos en la UE, para grabar cómo se navega por la web y por la aplicación —páginas, clics y desplazamientos, sin lo que escribes en los formularios y sin la verificación de tu carnet ni las páginas de administración— y así encontrar errores y mejorar el producto; sólo con tu consentimiento de cookies de estadísticas. La grabación no se asocia a tu cuenta, a tu correo ni a tu nombre.
• Asesores profesionales (abogados, contables, auditores) sujetos a deberes de confidencialidad.
• Autoridades cuando la ley o una resolución judicial lo impongan, o cuando sea razonablemente necesario para proteger nuestros derechos, tu seguridad o la de terceros.
• Propietario del vehículo y/o autoridades competentes, para la identificación del conductor en infracciones de tráfico: cuando sea necesario para gestionar una infracción cometida durante un alquiler, y sólo tras una revisión interna de Vanorify, podremos comunicar la información de identificación del conductor necesaria a tal fin (nombre completo; documento de identidad y datos del permiso de conducir cuando se requieran; datos de contacto o domicilio cuando la ley lo exija; y datos del alquiler). Toda comunicación de este tipo queda registrada por motivos de seguridad y responsabilidad proactiva. Véase el apartado «Infracciones de tráfico e identificación del conductor» de los Términos del Servicio.
• Sucesores en el marco de una fusión, adquisición o venta de activos, con garantías equivalentes a las de esta política.

4. Transferencias internacionales

Los datos personales se alojan dentro de la Unión Europea. Cuando un subencargado (por ejemplo, Stripe o Google) trate datos fuera del EEE, nos apoyamos en garantías adecuadas como las cláusulas contractuales tipo aprobadas por la Comisión Europea, en medidas complementarias cuando resulten necesarias y en el tratamiento amparado por una decisión de adecuación cuando exista.

5. Conservación

Conservamos los datos personales sólo durante el tiempo necesario para las finalidades de esta política, salvo que la ley exija un plazo mayor:

• Datos de la cuenta: mientras la cuenta esté activa. Al cerrarla, los datos identificativos se anonimizan en un plazo de noventa (90) días; después sólo permanecen referencias seudonimizadas dentro de los registros de alquiler y contables, mientras deban conservarse.
• Cuentas sin confirmar: si no confirmas tu correo electrónico, borramos la cuenta a los siete (7) días de crearla. Puedes volver a registrarte con el mismo correo cuando quieras.
• Imágenes del permiso de conducir (anverso, reverso, selfie): se eliminan en un plazo de noventa (90) días desde la decisión de verificación, o de inmediato cuando las sustituya una verificación posterior. Lo que se conserva después es el resultado de la comprobación, no los documentos.
• Datos del permiso de conducir (número, vigencia, resultado de la verificación): cinco (5) años desde tu último alquiler.
• Registros de alquiler, facturas y datos con trascendencia fiscal: seis (6) años (art. 30 del Código de Comercio y normativa tributaria aplicable).
• Reclamaciones por daños y pruebas de disputas: hasta cinco (5) años desde su resolución, para la defensa frente a posibles reclamaciones.
• Instantáneas de identidad del conductor (capturadas al alquilar para una eventual identificación del conductor en infracciones de tráfico): hasta cinco (5) años desde el alquiler, salvo que la ley exija o permita un plazo mayor.
• Registros de auditoría de aceptaciones legales (términos, reconocimiento de seguro, aceptación legal del alquiler y copias inmutables del Acuerdo de Alquiler): durante la vida del registro de alquiler correspondiente, conforme al plazo anterior; es necesario para acreditar el consentimiento y defenderse frente a reclamaciones.
• Mensajes intercambiados con otras personas usuarias: veinticuatro (24) meses desde el envío de cada mensaje, salvo que se conserven para una disputa o una reclamación.
• Conversaciones de soporte: veinticuatro (24) meses desde la resolución de la solicitud.
• Mensajes del formulario de contacto de la web: noventa (90) días.
• Datos de analítica: agregados o anonimizados a los catorce (14) meses desde la última actividad.
• Registros técnicos y copias de seguridad: los registros de servicio se guardan treinta (30) días y las copias de seguridad de la base de datos siete (7) días. La supresión se aplica de inmediato en los sistemas vivos y se propaga a medida que rotan las copias; durante esa ventana las copias no se usan para nada distinto de restaurar el servicio.

Estos plazos los aplica automáticamente un proceso de supresión programado, no sólo la política. Cuando un dato deba conservarse para una reclamación, una disputa o una investigación abierta, los registros afectados se mantienen hasta que el asunto se cierra y se purgan después conforme al calendario anterior.

Copias en poder de nuestros encargados. Algunos proveedores de los que dependemos —por ejemplo Stripe para los pagos o Amazon Web Services para el alojamiento, la autenticación y el envío de correo— guardan sus propias copias de los datos que tratan por nuestra cuenta. Cuando nos pides que suprimamos tus datos, actuamos sobre nuestros sistemas y trasladamos la solicitud a esos proveedores, pero cada uno conserva lo que sus propias obligaciones legales le exijan (por ejemplo, los registros de pago y de prevención del blanqueo en Stripe) mientras dichas obligaciones persistan. Su tratamiento se rige por sus propias condiciones de privacidad; los destinatarios de los que dependemos se enumeran en el apartado 3.

6. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado en tránsito (TLS), cifrado en reposo donde está soportado, entornos separados, control de acceso por roles, registro de auditoría, análisis periódico de dependencias y vulnerabilidades, y acceso de mínimo privilegio a los sistemas de producción. Pese a las medidas razonables, ningún sistema es perfectamente seguro: en caso de violación de la seguridad de los datos personales con riesgo para tus derechos, lo notificaremos a la autoridad de control competente y, cuando proceda, a las personas afectadas sin dilación indebida.

7. Cookies y tecnologías similares

La Plataforma utiliza cookies y tecnologías similares que se agrupan en las siguientes categorías:

• Estrictamente necesarias: autenticación, seguridad y balanceo de carga, y la cookie vanorify_consent, que guarda tu decisión sobre cookies durante 12 meses; no se pueden desactivar.
• Funcionales o de preferencia: idioma, búsquedas recientes y ajustes recordados que tú eliges.
• Estadísticas: estadísticas de uso agregadas con Google Analytics (Google Ireland Ltd.; cookies _ga y _ga_*, 2 años) y grabación de cómo se navega por la web y la aplicación con Contentsquare (Content Square SAS; cookies _cs_id y _cs_c, 13 meses, y _cs_s y _cs_s_ctx, 30 minutos); sólo con tu consentimiento.
• Marketing: medición de nuestras campañas con Google Ads (Google Ireland Ltd.; cookies _gcl_au, _gcl_aw, _gcl_gb y _gcl_gs, 90 días) y con el píxel de Meta (Meta Platforms Ireland Ltd.; cookies _fbp y _fbc, 90 días); sólo con tu consentimiento.

Las cookies de estadísticas y de marketing no se instalan sin tu consentimiento previo. En tu primera visita puedes aceptarlas, rechazarlas o elegir por categoría, y puedes cambiar o retirar tu decisión en cualquier momento desde «Preferencias de cookies», al pie de cada página de la web y de la aplicación; retirarla tiene efecto inmediato. Tu decisión vale para www.vanorify.com y app.vanorify.com, se recuerda durante 12 meses y te la volveremos a pedir si cambian las finalidades. También puedes borrar las cookies desde los ajustes de tu navegador.

7a. Iniciar sesión con Google

Vanorify ofrece «Iniciar sesión con Google» como forma opcional de crear una cuenta o autenticarse. La federación se implementa a través de AWS Cognito, que actúa como intermediario de identidad, y utiliza los estándares OAuth 2.0 / OpenID Connect con Google como proveedor de identidad.

Cuando inicias sesión con Google ocurre lo siguiente:

• Ámbitos solicitados. Solicitamos únicamente los ámbitos estándar de OpenID Connect openid, email y profile. Google te pide consentimiento expreso la primera vez. No solicitamos, accedemos, almacenamos ni usamos datos de Gmail, Google Drive, Google Calendar, Contactos de Google, YouTube, Google Photos ni de ningún otro servicio de Google.
• Datos recibidos. Google nos devuelve tu nombre, dirección de correo, URL de la foto de perfil, configuración regional y un identificador estable de la cuenta de Google (el sub de OpenID). Estos datos se usan únicamente para (a) crear tu cuenta de Vanorify si aún no tienes una, (b) autenticarte en los siguientes inicios de sesión y (c) precargar campos básicos del perfil. No vendemos ni alquilamos estos datos, ni los usamos con fines publicitarios.
• Cumplimiento del Uso Limitado. El uso que Vanorify hace de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso Limitado. No transferimos a terceros los datos recibidos de Google salvo en lo necesario para prestar o mejorar la funcionalidad de autenticación, para cumplir la ley aplicable, o en el marco de una fusión, adquisición o venta de activos, con el aviso oportuno a las personas usuarias.
• Base jurídica. La ejecución del contrato (art. 6.1.b RGPD) para proporcionarte la cuenta que solicitas, junto con tu consentimiento (art. 6.1.a RGPD) prestado en la propia pantalla de consentimiento de Google al elegir este método.
• Dónde residen los datos. El identificador y los atributos de perfil que devuelve Google se almacenan en nuestro grupo de usuarios de AWS Cognito en la región de la UE y se replican en tu perfil de Vanorify, también en la UE. Google trata la petición de autenticación en su propia infraestructura como responsable independiente de ese tratamiento; su tratamiento se rige por la Política de Privacidad de Google.
• Revocar el acceso. Puedes desconectar Vanorify de tu cuenta de Google cuando quieras en myaccount.google.com/permissions. Hacerlo impide futuros inicios de sesión con Google, pero por sí solo no elimina la cuenta de Vanorify ya creada; para eliminarla, escribe a legal@vanorify.com (véase el apartado 8).
• Vinculación de cuentas. Si ya tenías una cuenta de Vanorify con la misma dirección de correo creada con correo y contraseña, y después inicias sesión con Google usando esa misma dirección verificada, ambos métodos pueden vincularse en una única cuenta de Vanorify para que puedas usar cualquiera de los dos en adelante.

8. Tus derechos

Conforme a la normativa aplicable, tienes derecho a:

• Acceder a los datos personales que tratamos sobre ti;
• Rectificar los datos inexactos o incompletos;
• Suprimir («derecho al olvido») cuando la base jurídica ya no sea aplicable;
• Limitar el tratamiento u oponerte a él, incluida la mercadotecnia directa;
• Portar tus datos en un formato estructurado, de uso común y lectura mecánica;
• Retirar el consentimiento en cualquier momento cuando el tratamiento se base en él;
• Reclamar ante tu autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD), en www.aepd.es.

Para ejercer cualquiera de estos derechos, escríbenos a legal@vanorify.com. Respondemos en el plazo de treinta (30) días; puede que necesitemos verificar tu identidad antes de atender solicitudes que afecten a datos personales.

9. Menores

La Plataforma no está dirigida a personas menores de dieciocho (18) años. No recogemos datos de menores de forma consciente. Si crees que un menor nos ha facilitado datos personales, escríbenos para que podamos eliminar los registros correspondientes.

10. Cambios en esta política

Podemos actualizar esta Política de Privacidad para reflejar cambios legales, tecnológicos o de nuestras actividades de tratamiento. La fecha de «última actualización» que figura arriba refleja la revisión más reciente. Los cambios sustanciales se comunicarán por medios razonables (por ejemplo, correo electrónico o aviso dentro del producto) antes de que surtan efecto.

11. Contacto

12. Idioma de esta política