Política de Privacidad

1. Responsable del tratamiento

• Responsable: Andrés Omar Padrón Álvarez, empresario individual (autónomo), titular de la plataforma CEC (Coches en Canarias).
• NIF: 54085731N.
• Domicilio: Camino a Juan Inglés, 87, 35210 Telde, Las Palmas, España.
• Contacto para privacidad y ejercicio de derechos: contacto@cochesencanarias.net.

El responsable no está obligado a designar Delegado de Protección de Datos (arts. 37 RGPD y 34 LOPDGDD): la actividad principal de la Plataforma no consiste en tratamientos a gran escala de categorías especiales de datos —la verificación biométrica es puntual, voluntaria y se ejecuta en los sistemas del proveedor de verificación—. Todas las consultas de privacidad se atienden en el correo indicado.

2. Normativa aplicable

Esta política se ajusta al Reglamento (UE) 2016/679 (RGPD), a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y a la Ley 34/2002 (LSSI-CE) en lo relativo a comunicaciones comerciales y cookies.

3. Qué datos tratamos y de quién

Tratamos únicamente los datos necesarios para cada finalidad (principio de minimización, art. 5.1.c RGPD). Según tu relación con la Plataforma:

3.1 Visitantes (sin registro)

• Datos técnicos de conexión y navegación: dirección IP, identificadores de dispositivo y navegador, páginas visitadas, registros de seguridad (logs).
• Cookies y tecnologías similares, conforme a la Política de Cookies (las cookies de analítica, solo con tu consentimiento).
• Señales anti-bot (Cloudflare Turnstile) al enviar formularios.

3.2 Usuarios registrados (todos)

• Identificativos y de contacto: nombre, dirección de correo electrónico, número de teléfono (cuando se solicita verificación por SMS).
• Credenciales de acceso (la contraseña se almacena únicamente en forma de hash) o, si eliges «Iniciar sesión con Google», los datos que Google nos facilita (nombre, correo, imagen de perfil).
• Datos de actividad en la Plataforma: anuncios guardados, búsquedas, mensajes, ofertas.
• Si activas los avisos en el móvil: un identificador del navegador o del dispositivo que nos facilita tu propio navegador en el momento en que concedes el permiso, junto con las claves técnicas que sirven para cifrar el aviso y una etiqueta genérica del tipo de aparato (iPhone, Android u ordenador). Ese identificador es un dato personal y lo tratamos como tal: no lo publicamos, no se lo cedemos a nadie y no lo mostramos ni siquiera a ti. En tu cuenta verás cuántos dispositivos tienes conectados, nunca cuáles.

3.3 Vendedores particulares (C2C)

• Datos del anuncio: características del vehículo, fotografías, precio y ubicación aproximada (municipio e isla). La matrícula y el número de bastidor (VIN), cuando se aportan para la verificación, se utilizan únicamente con ese fin y no se publican como dato del anuncio.
• Si solicitas la verificación del anuncio: documento de identidad (anverso y reverso), permiso de circulación, ficha técnica e informe ITV, junto con la declaración de veracidad documental. Las imágenes se sanean (se eliminan sus metadatos), se cifran y se almacenan en un repositorio privado de acceso restringido; su análisis se realiza con un servicio de visión artificial (Google Vertex AI) que puede procesar las imágenes en un punto de acceso global de Google, lo que puede implicar una transferencia internacional de datos fuera del Espacio Económico Europeo (EEE), amparada en las garantías de la sección 9 (Acuerdo de Tratamiento de Datos [DPA] y Cláusulas Contractuales Tipo [SCC]). Google no utiliza estos datos para entrenar sus modelos (ver secciones 6 y 8.2).
• Si solicitas la verificación de identidad reforzada («sello Oro»): verificación biométrica mediante Stripe Identity (ver sección 5).

3.4 Concesionarios (B2B)

• Datos de contacto profesional y datos fiscales necesarios para la facturación de la suscripción, cuando se emite la primera factura.
• Comprobamos que el concesionario es una empresa real y activa a partir de su CIF y del contrato que firma con CEC. Al firmar identificamos a la persona que representa a la empresa (nombre y cargo). No pedimos ni guardamos el documento de identidad de nadie. Esta comprobación no usa reconocimiento facial ni Stripe Identity (ver sección 5).
• El contrato y la documentación fiscal que lo acompaña se conservan fuera de la Plataforma, en el archivo de CEC. Dentro de la Plataforma solo queda constancia de que la comprobación se hizo, quién la hizo y cuándo.
• Datos de uso de los servicios B2B: suscripción y tier contratado, leads de trade-in recibidos.
• Y, en las ofertas con cambio aceptadas, el resultado que el Concesionario nos comunique sobre qué vehículo de su catálogo adquirió el cliente (datos del vehículo: marca, modelo, año y, opcionalmente, importe). Este dato se trata con finalidad exclusiva de métricas y mejora del servicio B2B del Concesionario, con minimización: no incorpora datos personales del comprador particular, solo datos del vehículo de la operación. Base: 6.1.f (interés legítimo en las métricas del servicio al Concesionario).

3.5 Compradores e interesados

• Mensajes intercambiados en el chat de la Plataforma, ofertas formuladas, solicitudes de trade-in de tu vehículo (datos del vehículo y datos de contacto).

3.6 Pagos

• Los pagos se procesan a través de Stripe. CEC no almacena los números completos de tarjeta ni credenciales bancarias; recibimos de Stripe únicamente referencias de la operación (estado del pago, últimos dígitos y marca de la tarjeta, identificadores de cliente y transacción).

3.7 Contador de visualizaciones de los anuncios

La Plataforma cuenta cuántas veces aparece cada anuncio en pantalla: en los resultados de búsqueda, en los listados, en la portada o en cualquier otra sección donde se muestre. Ese total, por anuncio y por día, es la cifra de «visualizaciones» que la Plataforma muestra al anunciante sobre su propio anuncio.

Qué guardamos. Solo el total: anuncio, día y número de apariciones. El contador no registra quién vio el anuncio ni conserva ningún identificador del visitante, de modo que de esa cifra no puede deducirse la identidad de nadie.

Cómo protegemos la cifra. Para impedir que alguien la infle de forma artificial (recargas en bucle, programas automáticos), derivamos de cada conexión una huella seudonimizada: un código calculado a partir de la dirección IP con una clave secreta, del que no puede recuperarse la IP original. Esa huella sirve únicamente para poner un techo a lo que un mismo origen puede sumar; se guarda separada del contador, no se utiliza para analítica, perfiles ni cruces con otros datos, y se elimina automáticamente a las 48 horas de su última actividad. Este control se basa en nuestro interés legítimo en la prevención del fraude (art. 6.1.f RGPD; ver la tabla de la sección 4 y los plazos de la sección 7).

Sin cookies. Esta medición no usa cookies ni guarda nada en tu dispositivo; por eso no aparece en el panel de cookies ni depende de la casilla de analítica (ver la Política de Cookies).

Tus señales de privacidad. Si tu navegador envía la señal «No rastrear» (DNT) o Global Privacy Control, tu visita no se cuenta.

Tus propias visualizaciones. Las veces que tú mismo ves tus anuncios con la sesión iniciada no suman: la cifra refleja las apariciones ante otras personas.

4. Finalidades y bases jurídicas

Cuando la base sea el interés legítimo, hemos realizado la ponderación correspondiente; puedes solicitar más información u oponerte (sección 10).

5. Verificación de identidad y datos biométricos (KYC)

Para la verificación de identidad reforzada de vendedores particulares («sello Oro») utilizamos Stripe Identity, un servicio de verificación de identidad que compara el documento de identidad con una imagen facial del usuario (dato biométrico, categoría especial del art. 9 RGPD). El alta de concesionarios no utiliza nada de esto. Comprobamos que la empresa es real y está activa con su CIF y el contrato que firma con CEC, e identificamos a su representante en el momento de la firma (ver sección 3.4). No le pedimos su documento de identidad, no hay reconocimiento facial y no interviene Stripe Identity.

• El tratamiento biométrico se basa en tu consentimiento explícito (art. 9.2.a RGPD), que se solicita de forma separada antes de iniciar la verificación.
• CEC no almacena las imágenes de tu documento ni tu selfie de esta verificación biométrica: el proceso se realiza en los sistemas de Stripe y CEC recibe únicamente el resultado (verificado / no verificado, fecha y referencia). (Los documentos de la verificación de anuncios de la sección 3.3 son un tratamiento distinto: esos sí se conservan cifrados, en los términos de la sección 7.)
• El consentimiento es revocable en cualquier momento desde Mi cuenta › Privacidad o escribiendo a contacto@cochesencanarias.net; la revocación no afecta a la licitud del tratamiento previo. Si revocas la verificación, perderás el sello o servicio asociado.
• La verificación es voluntaria: sin ella puedes seguir usando la Plataforma, aunque no podrás acceder a los servicios que la exigen (p. ej. mostrar el sello de identidad verificada «sello Oro»).
• Stripe actúa como encargado del tratamiento de CEC para esta operación y, para determinadas obligaciones regulatorias propias (prevención del fraude y del blanqueo), como responsable independiente conforme a sus propias condiciones.

6. Decisiones automatizadas y elaboración de perfiles

• Verificación documental y de identidad: el análisis inicial de los documentos y de la correspondencia biométrica se realiza con medios automatizados (los de Stripe Identity y los sistemas de verificación de la Plataforma). Si una verificación es denegada, puedes solicitar la intervención humana, expresar tu punto de vista e impugnar la decisión escribiendo a contacto@cochesencanarias.net (art. 22.3 RGPD): una persona del equipo revisará tu caso manualmente.
• Prevención del fraude en pagos: Stripe aplica sistemas automatizados de puntuación antifraude (Stripe Radar) sobre las operaciones de pago.- No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos significativos sobre el interesado sin las salvaguardas anteriores.

7. Plazos de conservación

8. Destinatarios de los datos

8.1 Otros usuarios de la Plataforma

• Al publicar un anuncio, se muestran públicamente los datos del vehículo, las fotografías, el precio y la ubicación aproximada (municipio/isla). Los vendedores particulares se identifican con la etiqueta genérica «Vendedor particular»: tu nombre no se publica. Los Concesionarios se muestran con el nombre comercial de su concesionario. Tu correo electrónico no se publica nunca. El teléfono de los vendedores particulares no se publica: el contacto se realiza a través del chat interno, sin compartir tu número. Los Concesionarios pueden mostrar públicamente en su ficha su teléfono de contacto profesional (botón «Llamar»).
• Lo que escribas en el chat es visible para tu interlocutor.
• En el servicio de trade-in, tus datos de contacto se comunican al Concesionario únicamente cuando se acepta la operación (en ese momento se le revelan para que pueda contactarte); hasta entonces solo ve los datos del vehículo.

8.2 Encargados del tratamiento (proveedores)

Proveedores que tratan datos por cuenta de CEC, con contrato de encargo (art. 28 RGPD):

8.3 Otros destinatarios

• El servicio de avisos de tu propio navegador o sistema operativo (Google para Chrome y Android, Apple para Safari, iPhone y iPad, Mozilla para Firefox, Microsoft para Edge). Si activas los avisos en el móvil, el aviso se entrega necesariamente a través del servicio que opera el fabricante de tu navegador, porque es quien mantiene la conexión con tu aparato. Ese servicio ve el identificador de tu dispositivo y el momento del envío, pero no el contenido del aviso: el texto viaja cifrado de extremo a extremo y solo lo puede descifrar tu propio navegador. Estas empresas no actúan por cuenta de CEC ni bajo contrato de encargo con nosotros: intervienen porque tú usas su navegador. Si prefieres que no intervengan, no actives los avisos en el móvil o date de baja de ellos.
• Administraciones y organismos públicos (Agencia Tributaria, Fuerzas y Cuerpos de Seguridad, juzgados y tribunales) cuando exista obligación legal.
• Asesoría fiscal/contable del responsable, en lo estrictamente necesario para las obligaciones contables y tributarias.
• No vendemos ni cedemos tus datos a terceros con fines comerciales.

9. Transferencias internacionales

Algunos proveedores están establecidos en Estados Unidos o pueden acceder a los datos desde fuera del EEE. En esos casos, la transferencia se ampara en:

• la Decisión de adecuación de la Comisión Europea para el EU-US Data Privacy Framework (proveedores certificados), y/o
• las Cláusulas Contractuales Tipo (SCC, Decisión 2021/914) junto con medidas suplementarias.

Aparte de los proveedores anteriores, los servicios de avisos citados en la sección 8.3 están operados por empresas de Estados Unidos, y entregar un aviso implica transmitirles el identificador de tu dispositivo. Aquí no hay acuerdo de encargo con CEC, porque ese servicio forma parte del navegador o del sistema operativo que tú has elegido, no de nuestra infraestructura. El contenido del aviso viaja cifrado y solo tu dispositivo puede leerlo. Esta transferencia está bajo tu control: se produce únicamente si activas los avisos en el móvil, y cesa en cuanto los das de baja.

Puedes solicitar información sobre las garantías concretas de cada proveedor en contacto@cochesencanarias.net.

10. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar los consentimientos otorgados (incluido el biométrico y el de comunicaciones comerciales) sin que ello afecte a la licitud del tratamiento anterior:

• Escribiendo a contacto@cochesencanarias.net, indicando el derecho que ejerces, preferiblemente desde el correo asociado a tu cuenta. Solo si existen dudas razonables sobre tu identidad te pediremos información adicional proporcionada para confirmarla (art. 12.6 RGPD); no solicitamos copia del documento de identidad por defecto.
• Desde las opciones de Mi cuenta › Privacidad, cuando la funcionalidad esté disponible.
• Los avisos en el móvil se retiran directamente desde Mi cuenta, con el botón «Dejar de recibir avisos en este móvil», sin necesidad de escribirnos. También puedes revocar el permiso desde los ajustes de tu navegador. Retirar el permiso en un dispositivo no afecta a los demás.

Responderemos en el plazo máximo de un mes (prorrogable dos meses más en casos complejos, art. 12.3 RGPD).

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es (sede electrónica). Te agradeceremos que nos contactes antes para intentar resolverlo.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre otras: cifrado de las comunicaciones (TLS), cifrado en reposo de los documentos de verificación (cifrado de sobre por documento, con claves gestionadas por CEC, en un repositorio privado sin acceso público), eliminación de metadatos de las imágenes aportadas, control de acceso por roles y aislamiento por usuario en la base de datos, seudonimización de identificadores en registros técnicos, registro de auditoría de accesos a datos sensibles, minimización por diseño (p. ej. no almacenamos imágenes biométricas ni datos completos de tarjeta) y copias de seguridad.

12. Menores de edad

La Plataforma está dirigida exclusivamente a mayores de 18 años. No recabamos conscientemente datos de menores; si detectamos una cuenta de un menor, será cancelada.

13. Procedencia de los datos

Los datos que tratamos proceden del propio interesado (registro, formularios, publicación de anuncios, chat) o, si eliges ese método de acceso, de Google (inicio de sesión). No enriquecemos tus datos con fuentes externas.

14. Avisos en el móvil (notificaciones push)

Si nos das permiso, te avisamos en el móvil cuando pasa algo en lo tuyo: alguien responde a tu oferta, te escriben por el chat, o te toca el turno en un trade-in.

Para qué NO los usamos. No te mandamos publicidad, ni ofertas comerciales, ni novedades de la Plataforma, ni recordatorios para que vuelvas. Solo avisos sobre operaciones tuyas que están en marcha. Si algún día quisiéramos usarlos para algo comercial, te lo pediríamos aparte y tendrías que aceptarlo por separado.

Qué se ve y qué no. Un aviso aparece en la pantalla del móvil sin desbloquearlo, así que puede leerlo cualquiera que esté cerca. Por eso los avisos son genéricos a propósito: dicen que ha pasado algo y sobre qué coche, nunca el nombre de la otra persona, ni el importe, ni el contenido del mensaje. Para ver el detalle hay que entrar en la Plataforma.

Qué guardamos. Un identificador que nos facilita tu navegador para poder alcanzar ese aparato concreto, y nada más (secciones 3.2 y 7). No lo publicamos ni te lo mostramos: en tu cuenta verás cuántos dispositivos tienes conectados, no cuáles.

Quién más interviene. El aviso viaja por el servicio de notificaciones de tu propio navegador (Google, Apple, Mozilla o Microsoft, según cuál uses), porque es el único que tiene conexión con tu aparato. Ese servicio ve que te hemos enviado algo, pero no qué: el texto va cifrado y solo tu dispositivo puede abrirlo (secciones 8.3 y 9).

Cómo se quitan. Desde Mi cuenta, con el botón «Dejar de recibir avisos en este móvil», o desde los ajustes de tu navegador. Quitarlos es tan fácil como darlos, y al hacerlo dejamos de enviar nada a ese aparato de inmediato.

A qué horas. No te escribimos de madrugada. Los avisos se entregan entre las 8:00 y las 20:00, hora de Canarias; si algo ocurre fuera de ese horario, el aviso espera a la mañana siguiente. La única excepción es un aviso cuyo plazo venza antes de esa hora: ése sale igual, porque avisarte tarde sería no avisarte.

Cuánto tiempo. Si dejas de usar un dispositivo, sus avisos se apagan solos a los 90 días y el identificador se borra 90 días después. No hace falta que hagas nada.

15. Cambios en esta política

Cualquier modificación de esta política se publicará en esta página con su fecha de entrada en vigor y su versión, y —cuando el cambio sea sustancial— se comunicará a los usuarios registrados. Las versiones se registran de forma inmutable (con huella criptográfica) para poder acreditar qué texto estaba vigente en cada momento.