Política de Privacidad

1. Responsable del tratamiento

• Identidad: Andrés Antonio José Merchán Camirra (que opera bajo la denominación comercial Hipotecology)
• NIF: Y9981442P
• Correo electrónico: admin@hipotecology.com

El responsable del tratamiento determina los fines y medios del tratamiento de datos personales conforme al artículo 4.7 del RGPD.

Dado el tamaño y naturaleza del tratamiento, no se ha designado un Delegado de Protección de Datos (DPD/DPO) conforme al artículo 37 del RGPD, al no concurrir las circunstancias previstas en el artículo 34 de la LOPD-GDD. No obstante, puede dirigir cualquier consulta sobre protección de datos a admin@hipotecology.com.

1.1 Datos de los clientes de los usuarios profesionales: Hipotecology como encargado

Los usuarios profesionales (asesores hipotecarios, intermediarios de crédito y brokers) pueden incorporar al Servicio datos de sus propios clientes: su nombre, notas, las ofertas hipotecarias en PDF, los análisis elaborados a partir de ellas, los datos de la vivienda con los que se elabora el Reporte de propietario y la dirección de correo electrónico a la que el profesional ordene enviárselo. Respecto de esos datos, el responsable del tratamiento es el profesional, y Hipotecology actúa únicamente como encargado del tratamiento por su cuenta, conforme al artículo 28 del RGPD y al Acuerdo de encargo del tratamiento (Anexo I de los Términos de Servicio). Si el profesional trabaja para una empresa que ha contratado el Plan Equipo, la responsable del tratamiento de esos datos es la empresa (Sección 2.3 bis).

Si usted es cliente de un profesional que utiliza Hipotecology (por ejemplo, ha recibido de su asesor un informe, un enlace o un correo electrónico elaborado con el Servicio), es ese profesional (o la empresa para la que trabaja) quien decide para qué y cómo se tratan sus datos y quien debe informarle de ello. Para ejercer sus derechos, diríjase a su asesor o a esa empresa; si nos escribe a nosotros, trasladaremos su solicitud al profesional o a la empresa correspondiente.

Si recibe de su asesor el Reporte de propietario por correo electrónico (o el enlace a él): se lo enviamos por cuenta de su asesor, que figura como remitente y es el responsable del tratamiento de sus datos. Puede cambiar la frecuencia de los envíos o darse de baja en cualquier momento desde el enlace que aparece al pie de cada correo; la baja es inmediata y su asesor no puede deshacerla. No usamos su dirección para ningún fin propio (Sección 11.2). Para cualquier otra cuestión sobre sus datos, diríjase a su asesor.

2. Datos personales que recopilamos

Recopilamos las siguientes categorías de datos personales en función de la interacción del usuario con el Servicio:

2.1 Datos de registro y autenticación

• Nombre y apellidos
• Dirección de correo electrónico
• Datos de autenticación (gestionados por Clerk, nuestro proveedor de identidad)
• Identificador de usuario interno

2.2 Datos de transacciones y pagos

• Historial de la suscripción (plan contratado, períodos de facturación, fechas e importes)
• Identificadores de cliente, suscripción y factura en Stripe
• Estado de la suscripción y fecha de renovación o de expiración
• Si disfruta del precio de octubre del Plan Profesional y, en su caso, la fecha en que lo perdió (Sección 2.7)
• Datos de facturación que el usuario facilite en la pasarela de pago o en el portal de gestión de Stripe para la emisión de sus facturas (nombre o razón social, NIF/CIF y dirección de facturación). Estos datos se almacenan en Stripe, no en nuestra base de datos.
• Nota: Los datos de tarjetas de pago son procesados exclusivamente por Stripe (certificado PCI-DSS) y nunca se almacenan en nuestros servidores.

2.3 Datos de uso del servicio

• Documentos subidos para análisis (ofertas financieras y otros documentos relacionados). El documento original se almacena de forma segura en infraestructura ubicada en la UE para permitir al usuario volver a consultarlo, y se conserva mientras el análisis correspondiente exista en su cuenta. Se elimina cuando el usuario borra el análisis o su cuenta.
• Datos estructurados extraídos de los documentos subidos
• Ajustes y preferencias del usuario sobre los análisis
• Uso de funcionalidades (extracciones realizadas, proyectos creados)
• Datos de la marca profesional que el usuario configure para sus informes y enlaces compartidos: nombre comercial, lema, logotipo, color corporativo y datos de contacto profesional (correo electrónico, teléfono y sitio web)
• El texto que el usuario redacte para los correos del Reporte de propietario a sus clientes (asunto, mensaje de apertura y de cierre)

Los documentos, los análisis y el Reporte de propietario pueden contener datos personales de los clientes del usuario profesional; esos datos se tratan como encargado del tratamiento (véanse las Secciones 1.1 y 2.6).

2.3 bis Datos de los miembros de un Plan Equipo

En el Plan Equipo, una empresa contrata el Servicio para varios profesionales, cada uno con su propia cuenta (apartados 2.2 y 7.8 de los Términos de Servicio). Además de los datos de las secciones anteriores, de cada miembro del equipo tratamos:

• Su función en el equipo (titular, administrador o broker), si ocupa un asiento y las fechas en que entró en el equipo y salió de él
• La dirección de correo electrónico a la que se le invitó
• Su firma para los informes: el nombre, el correo electrónico y el teléfono de contacto que indique. La firma aparece en los informes y enlaces que entrega a sus clientes
• Recuentos de su actividad, que ven los administradores del equipo: análisis creados, análisis y reportes compartidos, reportes PDF descargados, número de clientes y fecha de la última actividad. Son solo cifras: no incluyen nombres de clientes ni el contenido de los análisis

Los administradores del equipo ven también el nombre y el correo electrónico de la cuenta de cada miembro. Nunca ven su contraseña.

Quién es responsable y con qué base jurídica:

• La cuenta de cada miembro, incluidos su función, su asiento, su firma y su invitación: Hipotecology es el responsable del tratamiento. Base jurídica: ejecución del contrato (Art. 6.1.b RGPD).
• Los recuentos de actividad que ven los administradores: se muestran por el interés legítimo de la empresa contratante en organizar el trabajo de su equipo (Art. 6.1.f RGPD). La empresa debe informar de ello a sus brokers.
• Los clientes y análisis creados en un equipo: la responsable del tratamiento es la empresa, e Hipotecology actúa como encargado (Anexo I de los Términos de Servicio). Sus administradores pueden verlos en modo de solo lectura y reasignarlos a otro miembro, por ejemplo cuando alguien deja el equipo; los enlaces que tienen los clientes siguen funcionando. También pueden preparar y enviar el Reporte de propietario de cualquier cliente de la empresa, con la marca de la empresa y la firma del broker que firmó su hipoteca. Cada broker puede enviarlo a sus propios clientes mientras tenga activado el seguimiento de clientes, que está activado por defecto y que los administradores pueden desactivar.

Invitaciones: los administradores invitan a cada miembro por correo electrónico. Usamos esa dirección solo para enviarle la invitación (mediante Resend, Sección 4), para comprobar, cuando la acepta, que su cuenta tiene esa dirección verificada, y para que los administradores vean qué invitaciones siguen pendientes. La invitación caduca a los 7 días.

2.4 Datos técnicos y de navegación

• Dirección IP (puede registrarse en determinadas acciones realizadas desde el navegador del usuario)
• Tipo de navegador y dispositivo
• Sistema operativo
• Páginas visitadas y acciones realizadas (mediante cookies analíticas, previo consentimiento)
• Fecha y hora de acceso
• Datos de errores técnicos (para diagnóstico y mejora del servicio)

2.5 Datos del formulario "Conectar con un asesor" (opcional)

Este formulario, dirigido a particulares, no se encuentra activo en la actualidad. La información de este apartado y de la Sección 4.1 se mantiene respecto de los datos recogidos mientras estuvo disponible y para el caso de que vuelva a ofrecerse.

Si el usuario solicita voluntariamente que un asesor hipotecario asociado le contacte (véase la Sección 4.1), recopilamos:

• Nombre
• Número de teléfono
• Dirección de correo electrónico
• Los parámetros estructurados de la hipoteca analizada (importe, plazo, tipos de interés y sus tramos, modalidad, bonificaciones, comisiones y demás condiciones del préstamo)
• En consultas sobre una nueva hipoteca, las respuestas del breve cuestionario de situación: estado de la búsqueda de vivienda, uso previsto, situación laboral, ingresos mensuales de la unidad familiar y provincia de la vivienda
• Registro del consentimiento otorgado (versión del texto aceptado, campos compartidos y fecha)

2.6 Datos de los clientes de los usuarios profesionales (tratados como encargado)

Por cuenta del usuario profesional, y conforme a la Sección 1.1, tratamos los datos de sus clientes que este incorpore al Servicio:

• Nombre del cliente y notas redactadas por el profesional
• Ofertas hipotecarias en PDF subidas por el profesional, que pueden incluir datos identificativos del cliente (como nombre, DNI/NIE o domicilio)
• Parámetros de la operación hipotecaria y análisis derivados de ellos
• Para el Reporte de propietario: el nombre con el que el profesional decida saludar al cliente, las características de la vivienda, los datos de su compra y los necesarios para estimar una venta (como el número de titulares y cuántos tienen 65 años o más) y, si el profesional los introduce, datos económicos del hogar (como los ingresos netos mensuales, otras deudas o ahorros)
• Si el profesional ordena enviar el Reporte de propietario por correo electrónico: la dirección de correo del cliente, la periodicidad de los envíos, el registro de cada envío (fecha, resultado e identificador del mensaje, sin su contenido) y, si el cliente se da de baja o la dirección rechaza el correo, una huella criptográfica de la dirección en la lista de supresión (Sección 11.2)

No utilizamos estos datos para fines propios. El nombre con el que el profesional tiene registrado al cliente y sus notas nunca se incluyen en los enlaces compartidos ni en los correos (Secciones 11.1 y 11.2); el Reporte de propietario solo muestra el nombre con el que el profesional decida saludar al cliente, si lo indica.

2.7 Datos de las solicitudes de profesionales (programa Founding Partner y piloto del Plan Profesional)

Cuando un profesional nos escribe desde el formulario del programa Founding Partner o se apunta al piloto del Plan Profesional (el Reporte de propietario, hoy en fase piloto), recopilamos:

• Nombre y dirección de correo electrónico
• Teléfono de contacto (opcional)
• En el piloto, además: el tamaño aproximado de su cartera (cuántos clientes con hipoteca firmada tiene, por tramos) y si le interesa enviar el reporte con la marca de la inmobiliaria que vendió la vivienda (co-marca)
• En el piloto, también la fecha del alta y la página desde la que se apuntó, que se registran automáticamente

Finalidad: gestionar su solicitud de acceso al piloto o al programa Founding Partner y escribirle cuando el piloto abra. En el piloto, además, acreditar quién tiene derecho al precio de octubre del Plan Profesional (apartado 8.2 de los Términos de Servicio): cuando se suscribe al Plan Profesional o entra en un Plan Equipo con ese plan, comprobamos si alguna dirección de correo verificada de su cuenta coincide con la de un alta en el piloto. Si nos pide vincular otra dirección a su alta, también la guardamos con ese fin.

Base jurídica: aplicación de medidas precontractuales a petición del interesado y, al aplicar el precio de octubre, ejecución del contrato (Art. 6.1.b RGPD). La conservación de la prueba del alta se basa, además, en nuestro interés legítimo en poder acreditar el compromiso del precio de octubre (Art. 6.1.f RGPD).

Dónde se guarda y durante cuánto tiempo: el alta en el piloto (nombre, correo electrónico, fecha, página del formulario y versión de esta política vigente en ese momento) se guarda en la base de datos del Servicio como prueba del derecho al precio de octubre. Se conserva mientras pueda reclamarse ese precio, incluido mientras se disfrute de él, y después durante el plazo de prescripción de las acciones relacionadas con él (con carácter general, cinco años). Si pide la supresión de su alta, ya no podremos acreditar su derecho al precio de octubre. El teléfono, el tamaño de la cartera y el interés en la co-marca no se guardan en la base de datos: solo constan en el correo de aviso que recibimos, que se conserva hasta que el piloto abra y 12 meses más. Las solicitudes del programa Founding Partner tampoco se guardan en la base de datos: solo constan en ese correo y se conservan 12 meses desde el último contacto. En ambos casos, el interesado puede pedir antes su supresión (Sección 6).

Destinatarios: ninguno, salvo los encargados del tratamiento indicados en la Sección 4: Neon, que aloja la base de datos del Servicio en la UE, y Resend, que nos envía el correo de aviso. En los registros técnicos del envío solo constan el nombre, el correo, el tipo de solicitud y la versión de esta política vigente en ese momento; nunca el teléfono. La dirección IP solo se usa como clave temporal para limitar envíos abusivos (Upstash, Sección 4), caduca en minutos y no se guarda junto a la solicitud.

2.8 Datos que NO recopilamos

No solicitamos ni almacenamos sobre nuestros usuarios:

• Número de teléfono (salvo el teléfono de contacto profesional que el usuario incluya voluntariamente en su marca, Sección 2.3, o en su firma como miembro de un Plan Equipo, Sección 2.3 bis, el facilitado en el formulario de contacto con asesores, Sección 2.5, o el que un profesional indique de forma opcional en su solicitud, Sección 2.7)
• Dirección postal (salvo la dirección de facturación que el usuario facilite a Stripe, Sección 2.2)
• Fecha de nacimiento
• Datos de geolocalización (GPS)
• Perfiles de redes sociales
• Categorías especiales de datos (Art. 9 RGPD): origen étnico, opiniones políticas, creencias religiosas, datos de salud, etc.

3. Finalidades y bases jurídicas del tratamiento

Solo recopilamos y utilizamos sus datos personales cuando tenemos una base jurídica legítima para hacerlo. A continuación, detallamos cada finalidad y su correspondiente base legal conforme al artículo 6 del RGPD:

Sobre el interés legítimo

Cuando el tratamiento se basa en nuestro interés legítimo (Art. 6.1.f), hemos realizado una evaluación de ponderación para garantizar que nuestros intereses no prevalecen sobre sus derechos y libertades fundamentales. Nuestros intereses legítimos incluyen:

• Garantizar la seguridad del servicio y prevenir fraudes
• Mantener registros de actividad para auditoría interna
• Mejorar y optimizar el funcionamiento del servicio (basándonos exclusivamente en métricas técnicas de rendimiento y patrones de uso agregados — como tiempos de carga, frecuencia de uso de funcionalidades y tasas de error — nunca en el contenido de los documentos ni en los resultados de análisis del usuario)
• Registrar eventos operativos del servicio (registro de cuenta, contratación, renovación y expiración de suscripciones) para el correcto funcionamiento y monitorización del sistema
• Poder acreditar, ante una reclamación, quién se apuntó a tiempo al piloto del Plan Profesional y tiene derecho al precio de octubre
• Comprobar que cada licencia la usa una sola persona, como exigen los Términos de Servicio (apartado 2.2), mediante una revisión manual y periódica de indicadores de uso de la cuenta (volumen de extracciones y de análisis, y número de sesiones abiertas)

En el Plan Equipo, los recuentos de actividad que ven los administradores se basan en el interés legítimo de la empresa contratante, como tercero, en organizar el trabajo de su equipo (Sección 2.3 bis). La empresa debe informar de ello a sus brokers.

Puede oponerse al tratamiento basado en interés legítimo contactando con nosotros en admin@hipotecology.com.

4. Destinatarios de los datos

Para la prestación del Servicio, compartimos datos con los siguientes proveedores de servicios que actúan como encargados del tratamiento conforme al artículo 28 del RGPD:

* DPF = EU-US Data Privacy Framework. Stripe está certificado bajo el Marco de Privacidad de Datos UE-EE.UU., que proporciona garantías adecuadas conforme al Art. 45 RGPD.

Los proveedores indicados incluyen cláusulas de procesamiento de datos (Data Processing Agreements) en sus condiciones de servicio, conforme al artículo 28 del RGPD.

No vendemos, alquilamos ni cedemos datos personales a terceros para fines comerciales propios o de marketing, con la única excepción de la comunicación a asesores hipotecarios asociados descrita en la Sección 4.1, que requiere siempre su consentimiento expreso y previo.

4.1 Asesores hipotecarios asociados

Esta sección se refiere exclusivamente a la comunicación de datos de particulares que lo soliciten a través del formulario de la Sección 2.5, actualmente inactivo. Los profesionales que contratan el Servicio como herramienta de trabajo no reciben datos de Hipotecology por el hecho de ser usuarios.

El Servicio ofrece la posibilidad, totalmente opcional, de solicitar que un asesor hipotecario asociado contacte con el usuario para revisar su oferta o su hipoteca actual. Este tratamiento solo se produce cuando el usuario lo consiente de forma expresa marcando la casilla correspondiente en el formulario "Conectar con un asesor" (consentimiento, Art. 6.1.a RGPD).

• Datos comunicados: nombre, teléfono, correo electrónico, los parámetros estructurados de la hipoteca analizada (importe, plazo, tipos de interés y sus tramos, modalidad, bonificaciones, comisiones y demás condiciones del préstamo) y, en consultas sobre una nueva hipoteca, las respuestas del cuestionario de situación (estado de la búsqueda, uso previsto, situación laboral, ingresos de la unidad familiar y provincia). Nunca se comunica el documento original (FEIN u otro PDF subido) ni ningún dato distinto de los enumerados.
• Posición de los asesores: los asesores hipotecarios asociados actúan como responsables del tratamiento independientes, no como encargados de Hipotecology. Antes de comunicar ningún dato a un asesor, formalizamos con él un acuerdo que regula los campos compartidos y sus obligaciones de conservación y supresión.
• Carácter voluntario y revocable: el consentimiento es voluntario, no condiciona el uso del resto del Servicio y puede revocarse en cualquier momento escribiendo a admin@hipotecology.com. La revocación no afecta a la licitud del tratamiento previo.

Asesores asociados actualmente:

Actualmente estamos incorporando asesores. La lista se actualizará antes de que ningún dato sea compartido.

Esta sección constituye la fuente única de información sobre los asesores asociados y se actualizará cada vez que un asesor se incorpore o cause baja.

Otras posibles divulgaciones

Podemos divulgar sus datos personales si es requerido por ley o en respuesta a:

• Órdenes judiciales o requerimientos de autoridades competentes
• Procedimientos legales para proteger nuestros derechos o los de terceros
• Situaciones de emergencia relacionadas con la seguridad de cualquier persona

5. Transferencias internacionales de datos

La gran mayoría de nuestros proveedores procesan datos dentro del Espacio Económico Europeo (EEE), lo que garantiza el mismo nivel de protección que la normativa europea.

Proveedores en el EEE (sin transferencia internacional)

• Clerk (Alemania - Frankfurt)
• Vercel (Alemania - Frankfurt)
• Neon (UE)
• PostHog (UE)
• Resend (UE)
• Google Cloud — Vertex AI (UE - europe-west1, Bélgica)
• Upstash — limitación de peticiones (UE)
• Cookiebot (UE)

Transferencias fuera del EEE

• Stripe (EE.UU.): Certificado bajo el EU-US Data Privacy Framework (DPF), decisión de adecuación de la Comisión Europea de 10 de julio de 2023, que proporciona garantías adecuadas conforme al Art. 45 RGPD.
• Google Cloud (Vertex AI): el procesamiento de los documentos se realiza en la región europe-west1 (Bélgica), dentro del EEE. No obstante, dado que el servicio es prestado por Google LLC (con matriz en EE.UU.), dicha entidad está certificada bajo el EU-US Data Privacy Framework (DPF) y aplica las Cláusulas Contractuales Tipo (CCT) como garantía adicional conforme a los Arts. 45 y 46 RGPD ante un eventual acceso desde fuera del EEE.

En caso de que fuera necesario realizar transferencias adicionales a países sin decisión de adecuación, aplicaremos las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea conforme al Art. 46.2.c RGPD.

6. Plazos de conservación

Conservamos sus datos personales únicamente durante el tiempo necesario para cumplir con las finalidades para las que fueron recogidos. Los plazos específicos son:

Transcurridos estos plazos, los datos serán eliminados o anonimizados de forma irreversible.

7. Derechos del usuario

Conforme al RGPD (Arts. 15-22) y la LOPD-GDD, usted tiene los siguientes derechos sobre sus datos personales:

Cómo ejercer sus derechos

Para ejercer cualquiera de estos derechos, puede contactar con nosotros en admin@hipotecology.com, indicando:

• El derecho que desea ejercer
• Copia de su DNI, pasaporte o documento identificativo equivalente
• Cualquier información adicional que nos ayude a localizar sus datos

Si usted es cliente de un profesional que utiliza Hipotecology

Respecto de los datos que su asesor haya incorporado al Servicio, el responsable del tratamiento es dicho profesional o, en su caso, la empresa para la que trabaja (Sección 1.1), y es a quien debe dirigir su solicitud. Si la recibimos nosotros, se la trasladaremos sin dilación indebida y le prestaremos la asistencia necesaria para atenderla. Si recibe de su asesor el Reporte de propietario por correo electrónico, puede darse de baja o cambiar la frecuencia directamente desde el enlace del pie de cada correo, sin necesidad de escribir a nadie (Sección 11.2).

Plazo de respuesta

Conforme al Art. 12.3 RGPD, responderemos a su solicitud en el plazo máximo de 30 días desde su recepción. Este plazo podrá prorrogarse por 60 días adicionales (90 días en total) en casos de especial complejidad, informándole de ello dentro del primer mes.

Eliminación de cuenta

Puede eliminar su cuenta directamente desde la configuración de usuario en el Servicio. Al hacerlo, se procederá a la eliminación inmediata de sus datos personales. Los datos de transacciones sujetos a obligaciones legales de conservación fiscal (6 años, Art. 30 del Código de Comercio) se conservarán durante los plazos legalmente establecidos.

Si es miembro de un Plan Equipo, no puede eliminar su cuenta desde el Servicio mientras siga en el equipo: primero debe darle de baja un administrador. Esto no limita su derecho de supresión, que puede ejercer en cualquier momento escribiéndonos (véase “Cómo ejercer sus derechos”). Antes de suprimir su cuenta, pasamos a otro miembro del equipo sus clientes y análisis, que son datos de la empresa (Sección 2.3 bis).

8. Derecho a presentar una reclamación

Si considera que el tratamiento de sus datos personales vulnera la normativa de protección de datos, tiene derecho a presentar una reclamación ante la autoridad de control competente conforme al Art. 77 RGPD.

En España, la autoridad de control es:

• Agencia Española de Protección de Datos (AEPD)
• Sitio web: www.aepd.es
• Dirección: C/ Jorge Juan, 6, 28001 Madrid
• Teléfono: 901 100 099 / 912 663 517

Le rogamos que, antes de acudir a la AEPD, se ponga en contacto con nosotros para intentar resolver cualquier problema o duda relacionada con el tratamiento de sus datos.

9. Cookies y tecnologías similares

El Servicio utiliza cookies y tecnologías similares conforme a la LSSI-CE (Art. 22.2) y la Directiva ePrivacy (2002/58/CE, modificada por 2009/136/CE). Las cookies son pequeños archivos de texto que se almacenan en su dispositivo cuando visita nuestro sitio web.

A continuación, presentamos un resumen de los proveedores y categorías de cookies utilizadas. Para el inventario completo y siempre actualizado de cada cookie individual (nombre, duración y finalidad específica), consulte la declaración de cookies gestionada automáticamente por nuestra Plataforma de Gestión de Consentimiento (Cookiebot), accesible desde el banner de consentimiento (pestaña "Detalles") o desde el icono de privacidad en la esquina inferior izquierda del sitio.

9.1. Categorías de cookies utilizadas

9.2. Comportamiento por defecto

Las cookies necesarias se activan siempre, ya que son imprescindibles para el funcionamiento del sitio. Las cookies de preferencias, estadísticas y marketing están desactivadas por defecto y solo se activan si usted presta su consentimiento expreso a través del banner de cookies.

Adicionalmente, registramos determinados eventos del lado del servidor (como el registro de cuenta o la compra de una suscripción) sin utilizar cookies en el dispositivo del usuario. La base legal para estos eventos es el interés legítimo (Art. 6.1.f RGPD) en la mejora y seguridad del servicio.

9.3. Gestión y revocación del consentimiento

Utilizamos Cookiebot (Usercentrics) como Plataforma de Gestión de Consentimiento (CMP). Puede modificar o retirar su consentimiento en cualquier momento mediante:

• El enlace "Preferencias de cookies" en el pie de página del sitio.
• El icono de privacidad de Cookiebot (esquina inferior izquierda).
• La configuración de su navegador (consulte la ayuda de su navegador para eliminar o bloquear cookies).

La retirada del consentimiento no afectará a la licitud del tratamiento basado en el consentimiento previo a su retirada.

9.4. Cookies de terceros durante el proceso de pago

Al realizar un pago, el usuario es redirigido a la plataforma de Stripe (procesador de pagos), que puede establecer sus propias cookies conforme a su política de privacidad. Estas cookies son gestionadas exclusivamente por Stripe y no son controladas por Hipotecology.

10. Seguridad de los datos

Implementamos medidas técnicas y organizativas adecuadas para proteger los datos personales conforme al Art. 32 RGPD, incluyendo:

• Cifrado en tránsito: Todas las comunicaciones utilizan HTTPS/TLS 1.3
• Cifrado en reposo: Los datos almacenados en la base de datos están cifrados
• Autenticación segura: Mediante proveedor especializado (Clerk) con soporte para autenticación de dos factores
• Control de acceso: Acceso restringido a datos personales mediante roles y permisos
• Copias de seguridad: Backups periódicos y automatizados
• Infraestructura certificada: Proveedores con certificaciones de seguridad reconocidas
• Monitorización: Registro de actividad y auditoría interna

A pesar de estas medidas, ningún sistema es 100% seguro. Usted es responsable de mantener la confidencialidad de sus credenciales de acceso y de notificarnos cualquier uso no autorizado de su cuenta.

11. Tratamiento de documentos subidos

Los documentos que el usuario suba al Servicio pueden contener datos personales y financieros, normalmente de los clientes del usuario profesional (véase la Sección 1.1). A continuación, explicamos cómo tratamos estos documentos:

• Finalidad exclusiva: Los documentos se procesan únicamente para proporcionar el servicio de simulación y visualización.
• Procesamiento mediante IA: La extracción de datos se realiza mediante un proveedor especializado de inteligencia artificial con servidores ubicados en la UE (véase la Sección 4 para más detalles).
• Conservación del documento original: El documento original se almacena de forma segura en infraestructura ubicada en la UE (véase la Sección 4) y se conserva mientras el análisis correspondiente exista en la cuenta del usuario, con el fin de permitirle volver a consultarlo. El acceso al documento requiere un enlace no predecible que la aplicación nunca expone en su interfaz, no está indexado por motores de búsqueda y no es accesible para otros usuarios. El documento se elimina cuando el usuario borra el análisis o su cuenta.
• Acceso restringido por defecto: Los resultados del análisis son accesibles únicamente por el usuario propietario a través de endpoints autenticados que verifican la propiedad del documento, salvo que el propio usuario active voluntariamente un enlace de compartición público o el envío del Reporte de propietario por correo electrónico (véanse las Secciones 11.1 y 11.2). En un Plan Equipo, los administradores del equipo también pueden consultarlos, en modo de solo lectura (Sección 2.3 bis).
• Control del usuario: El usuario puede eliminar sus análisis en cualquier momento desde su panel de control.
• No entrenamiento de modelos: No utilizamos el contenido de los documentos para entrenar modelos de inteligencia artificial ni para ningún fin distinto a la prestación del servicio.
• Privacidad por defecto: Los documentos originales no se hacen accesibles a otros usuarios ni se publican de forma indexable. Los análisis no son accesibles por otros usuarios salvo que el propietario active voluntariamente un enlace de compartición de solo lectura, en cuyo caso se aplica lo dispuesto en las Secciones 11.1 y 11.2. En el caso del Plan Equipo indicado en el punto anterior, también pueden consultarlos los administradores del equipo.

11.1 Compartir análisis (función opcional)

El plan de pago permite al usuario profesional compartir un análisis guardado mediante un enlace público de solo lectura, normalmente para entregárselo a su cliente. Esta funcionalidad es opcional y está desactivada por defecto: el enlace únicamente se genera cuando el usuario lo activa expresamente desde la vista del análisis.

• Datos que se hacen públicos: al activar la compartición, se publica exclusivamente un subconjunto depurado del análisis (los parámetros estructurados de la hipoteca y, en su caso, los datos de situación actual introducidos por el usuario) y, si el usuario la ha configurado, su marca profesional (nombre comercial, logotipo, color y datos de contacto profesional). No se publican el documento original, el nombre del cliente, las notas del profesional, el correo electrónico de la cuenta del usuario, el nombre del archivo ni ningún otro dato identificativo del cliente.
• Naturaleza del enlace: el enlace contiene un identificador no predecible y es accesible por cualquier persona que disponga de él. No está indexado por motores de búsqueda, pero no requiere autenticación. El usuario es el único responsable de decidir con quién comparte el enlace.
• Revocación: el usuario puede desactivar el enlace en cualquier momento, tras lo cual deja de ser accesible. El enlace se elimina también si el usuario borra el análisis.
• Base jurídica: el enlace se genera por orden expresa del usuario profesional, como parte de la prestación del Servicio (Art. 6.1.b RGPD). Respecto de los datos de su cliente que pueda contener el análisis, el profesional es el responsable del tratamiento e Hipotecology actúa como encargado (Sección 1.1).
• Tras la baja del plan de pago: los enlaces ya generados siguen siendo accesibles para sus destinatarios hasta que el usuario los revoque o elimine el análisis.
• Transmisión a terceros: si el usuario comparte el enlace a través de una aplicación de mensajería (por ejemplo, WhatsApp), el enlace y su vista previa se transmiten a la plataforma elegida por el usuario, que puede obtenerlos y almacenarlos en caché conforme a sus propias políticas. Dichas plataformas son ajenas a Hipotecology.

11.2 Reporte de propietario: enlace y envíos por correo electrónico

Los profesionales con acceso al Reporte de propietario pueden hacer llegar a sus clientes con la hipoteca ya firmada un informe con estimaciones orientativas sobre su vivienda y su hipoteca. Respecto de los datos del cliente que contiene, el profesional es el responsable del tratamiento e Hipotecology actúa como encargado (Sección 1.1 y apartado A.14 del Anexo I de los Términos de Servicio). Hay dos formas de entregarlo, que solo se activan cuando el profesional lo solicita expresamente:

• Enlace: un enlace con un identificador no predecible, accesible sin autenticación por cualquier persona que disponga de él y no indexado por motores de búsqueda. El informe se recalcula en cada visita con los datos que figuren en ese momento en la cuenta del profesional. Muestra las estimaciones del informe (como el valor y el alquiler de la vivienda, el capital pendiente, lo que quedaría al venderla, el resultado de cambiar de banco con la oferta del profesional, honorarios incluidos, lo pagado hasta hoy o cuánto podría comprar), la marca y los datos de contacto del profesional y, si el profesional los ha introducido, el nombre con el que saluda a su cliente y los datos del hogar. No se publican el documento original, el nombre con el que el profesional tiene registrado al cliente, sus notas ni el correo electrónico de la cuenta del profesional. El profesional puede revocar el enlace en cualquier momento, y deja de ser accesible si el profesional pierde el acceso al Reporte de propietario. Lo indicado en la Sección 11.1 sobre la transmisión del enlace a través de aplicaciones de mensajería se aplica también a este enlace.
• Envíos por correo electrónico: si el profesional lo ordena, enviamos el Reporte de propietario a la dirección de correo del cliente que el profesional indique, con la periodicidad que elija (mensual, trimestral o anual), a través de Resend (Sección 4). El correo se envía desde una dirección de nuestro dominio, con la marca del profesional como nombre del remitente, y las respuestas llegan a la dirección de contacto del profesional. Incluye la marca y los datos de contacto del profesional, un saludo con el nombre del cliente si el profesional lo ha indicado, el texto del profesional, algunas cifras del informe (la zona y el valor estimado de la vivienda, con su horquilla cuando no lo ha fijado el profesional; la parte de la vivienda que ya es del cliente y la cuota actual), un botón que lleva al enlace del informe, un aviso de que las cifras no son una tasación oficial (Orden ECO/805/2003) ni una recomendación, y un pie que explica por qué lo recibe, que el profesional es el responsable del tratamiento de sus datos y cómo ejercer sus derechos ante él.
• Declaración del profesional: antes de activar los envíos, el profesional declara que la persona es su cliente y que le ha informado de que recibirá el informe por correo y de que podrá darse de baja en cualquier envío. Guardamos quién hizo la declaración y cuándo. La base jurídica de los envíos (el consentimiento del cliente o la relación contractual previa con él, conforme al Art. 21 LSSI-CE) corresponde al profesional.
• Frecuencia y baja: cada correo incluye un enlace a una página en la que el cliente puede cambiar la frecuencia o darse de baja, y la opción de baja en un clic que ofrecen los programas de correo (List-Unsubscribe, RFC 8058). La página es accesible con el enlace personal incluido en los correos y muestra la dirección solo parcialmente. La baja es inmediata y permanente: el profesional no puede reactivar los envíos; solo el propio cliente puede volver a suscribirse, desde esa página.
• Lista de supresión: si el cliente se da de baja, si la dirección rechaza el correo de forma definitiva o si el cliente lo marca como correo no deseado, los envíos se detienen y añadimos a la lista de supresión del profesional una huella criptográfica de la dirección (hash SHA-256), no la dirección, junto con el motivo y la fecha. Así, ni el profesional ni, en un Plan Equipo, otro miembro de su equipo pueden volver a activar envíos a esa dirección. La lista se conserva mientras el profesional mantenga su cuenta.
• Registro de envíos: de cada envío guardamos la fecha, el resultado y el identificador que le asigna Resend, sin su contenido, para tramitar los avisos de rebote y de correo no deseado que nos comunica Resend y para mostrar al profesional el historial.
• Uso limitado: no usamos la dirección del cliente ni los datos de los envíos para fines propios: no le enviamos comunicaciones nuestras, no la incorporamos a listas propias ni la comunicamos a terceros distintos de nuestros proveedores (Sección 4).
• Cuándo se detienen: los envíos se detienen cuando el profesional los pausa o revoca el enlace, y quedan en espera mientras el profesional no tenga acceso al Reporte de propietario. La dirección del cliente, la configuración y el registro de los envíos y la lista de supresión se suprimen al eliminarse la cuenta del profesional (Sección 6).
• Seguridad: para proteger el enlace y la página de preferencias frente a usos abusivos, usamos la dirección IP de quien los visita como clave temporal de limitación de peticiones (Upstash, Sección 4), por nuestro interés legítimo en la seguridad del Servicio (Art. 6.1.f RGPD).

12. Decisiones automatizadas y elaboración de perfiles

El Servicio utiliza inteligencia artificial para extraer y analizar información de documentos hipotecarios. Sin embargo:

• No realizamos decisiones íntegramente automatizadas con efectos jurídicos o significativos sobre usted conforme al Art. 22 RGPD.
• Los resultados del análisis tienen carácter meramente informativo y no constituyen asesoramiento financiero, legal ni profesional.
• No realizamos elaboración de perfiles para tomar decisiones que le afecten.
• Usted mantiene el control total sobre cómo utiliza la información proporcionada por el Servicio.

13. Menores de edad

El Servicio está dirigido a profesionales y, en todo caso, exclusivamente a personas mayores de 18 años, dado que su contenido versa sobre simulaciones e información de carácter financiero.

No recopilamos conscientemente datos personales de menores de edad.

Si tiene conocimiento de que un menor ha proporcionado datos personales a través del Servicio, le rogamos que contacte inmediatamente con nosotros en admin@hipotecology.com para proceder a su eliminación.

14. Notificación de brechas de seguridad

En caso de que se produzca una violación de seguridad que afecte a sus datos personales, actuaremos conforme a los artículos 33 y 34 del RGPD, notificando a la autoridad de control competente y, cuando proceda, a los interesados afectados.

15. Transferencias comerciales

En caso de fusión, adquisición, reorganización empresarial o venta de activos, sus datos personales podrían ser transferidos como parte de dicha transacción.

En tal caso:

• Le informaremos antes de que sus datos sean transferidos
• Los datos transferidos seguirán estando protegidos conforme a esta Política de Privacidad
• El nuevo responsable del tratamiento asumirá las obligaciones aquí establecidas o le informará de cualquier cambio en el tratamiento

16. Enlaces a sitios de terceros

El Servicio puede contener enlaces a sitios web de terceros que no operamos nosotros. Si hace clic en un enlace de terceros, será dirigido al sitio de ese tercero.

No tenemos control sobre el contenido, las políticas de privacidad ni las prácticas de sitios web de terceros. Le recomendamos encarecidamente que revise la política de privacidad de cada sitio que visite.

Esta Política de Privacidad no es aplicable a ninguna de sus actividades después de salir de nuestro sitio.

17. Modificaciones de esta política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas, tecnologías utilizadas o requisitos legales.

Cuando realicemos cambios:

• Actualizaremos la fecha de "Última actualización" en la parte superior de esta página
• En caso de cambios sustanciales, notificaremos a los usuarios registrados por correo electrónico antes de que los cambios entren en vigor
• Si los cambios requieren su consentimiento conforme a la normativa aplicable, le solicitaremos dicho consentimiento

Le recomendamos revisar esta Política de Privacidad periódicamente para estar informado de cómo protegemos sus datos.

18. Contacto

Para cualquier consulta sobre privacidad, protección de datos o para ejercer sus derechos, puede contactar con nosotros a través de:

• Responsable: Andrés Antonio José Merchán Camirra
• NIF: Y9981442P
• Correo electrónico: admin@hipotecology.com

Las consultas relacionadas con esta Política de Privacidad serán atendidas conforme a los plazos establecidos en la Sección 7.