Política de Privacidad

1. Responsable del tratamiento

• Responsable: Andrés Omar Padrón Álvarez, empresario individual (autónomo), titular de la plataforma CEC (Coches en Canarias).
• NIF: 54085731N.
• Domicilio: Camino a Juan Inglés, 87, 35210 Telde, Las Palmas, España.
• Contacto para privacidad y ejercicio de derechos: contacto@cochesencanarias.net.

El responsable no está obligado a designar Delegado de Protección de Datos (arts. 37 RGPD y 34 LOPDGDD): la actividad principal de la Plataforma no consiste en tratamientos a gran escala de categorías especiales de datos —la verificación biométrica es puntual, voluntaria y se ejecuta en los sistemas del proveedor de verificación—. Todas las consultas de privacidad se atienden en el correo indicado.

2. Normativa aplicable

Esta política se ajusta al Reglamento (UE) 2016/679 (RGPD), a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y a la Ley 34/2002 (LSSI-CE) en lo relativo a comunicaciones comerciales y cookies.

3. Qué datos tratamos y de quién

Tratamos únicamente los datos necesarios para cada finalidad (principio de minimización, art. 5.1.c RGPD). Según tu relación con la Plataforma:

3.1 Visitantes (sin registro)

• Datos técnicos de conexión y navegación: dirección IP, identificadores de dispositivo y navegador, páginas visitadas, registros de seguridad (logs).
• Cookies y tecnologías similares, conforme a la Política de Cookies (las cookies de analítica, solo con tu consentimiento).
• Señales anti-bot (Cloudflare Turnstile) al enviar formularios.

3.2 Usuarios registrados (todos)

• Identificativos y de contacto: nombre, dirección de correo electrónico, número de teléfono (cuando se solicita verificación por SMS).
• Credenciales de acceso (la contraseña se almacena únicamente en forma de hash) o, si eliges «Iniciar sesión con Google», los datos que Google nos facilita (nombre, correo, imagen de perfil).
• Datos de actividad en la Plataforma: anuncios guardados, búsquedas, mensajes, ofertas.

3.3 Vendedores particulares (C2C)

• Datos del anuncio: características del vehículo, fotografías, precio y ubicación aproximada (municipio e isla). La matrícula y el número de bastidor (VIN), cuando se aportan para la verificación, se utilizan únicamente con ese fin y no se publican como dato del anuncio.
• Si solicitas la verificación del anuncio: documento de identidad (anverso y reverso), permiso de circulación, ficha técnica e informe ITV, junto con la declaración de veracidad documental. Las imágenes se sanean (se eliminan sus metadatos), se cifran y se almacenan en un repositorio privado de acceso restringido; su análisis se realiza con un servicio de visión artificial (Google Vertex AI) que puede procesar las imágenes en un punto de acceso global de Google, lo que puede implicar una transferencia internacional de datos fuera del Espacio Económico Europeo (EEE), amparada en las garantías de la sección 9 (Acuerdo de Tratamiento de Datos [DPA] y Cláusulas Contractuales Tipo [SCC]). Google no utiliza estos datos para entrenar sus modelos (ver secciones 6 y 8.2).
• Si solicitas la verificación de identidad reforzada («sello Oro»): verificación biométrica mediante Stripe Identity (ver sección 5).

3.4 Concesionarios (B2B)

• Datos de contacto profesional y datos fiscales necesarios para la facturación de la suscripción, cuando se emite la primera factura.
• Comprobamos que el concesionario es una empresa real y activa a partir de su CIF y del contrato que firma con CEC. Al firmar identificamos a la persona que representa a la empresa (nombre y cargo). No pedimos ni guardamos el documento de identidad de nadie. Esta comprobación no usa reconocimiento facial ni Stripe Identity (ver sección 5).
• El contrato y la documentación fiscal que lo acompaña se conservan fuera de la Plataforma, en el archivo de CEC. Dentro de la Plataforma solo queda constancia de que la comprobación se hizo, quién la hizo y cuándo.
• Datos de uso de los servicios B2B: suscripción y tier contratado, leads de trade-in recibidos.
• Y, en las ofertas con cambio aceptadas, el resultado que el Concesionario nos comunique sobre qué vehículo de su catálogo adquirió el cliente (datos del vehículo: marca, modelo, año y, opcionalmente, importe). Este dato se trata con finalidad exclusiva de métricas y mejora del servicio B2B del Concesionario, con minimización: no incorpora datos personales del comprador particular, solo datos del vehículo de la operación. Base: 6.1.f (interés legítimo en las métricas del servicio al Concesionario).

3.5 Compradores e interesados

• Mensajes intercambiados en el chat de la Plataforma, ofertas formuladas, solicitudes de trade-in de tu vehículo (datos del vehículo y datos de contacto).

3.6 Pagos

• Los pagos se procesan a través de Stripe. CEC no almacena los números completos de tarjeta ni credenciales bancarias; recibimos de Stripe únicamente referencias de la operación (estado del pago, últimos dígitos y marca de la tarjeta, identificadores de cliente y transacción).

3.7 Contador de visualizaciones de los anuncios

La Plataforma cuenta cuántas veces aparece cada anuncio en pantalla: en los resultados de búsqueda, en los listados, en la portada o en cualquier otra sección donde se muestre. Ese total, por anuncio y por día, es la cifra de «visualizaciones» que la Plataforma muestra al anunciante sobre su propio anuncio.

Qué guardamos. Solo el total: anuncio, día y número de apariciones. El contador no registra quién vio el anuncio ni conserva ningún identificador del visitante, de modo que de esa cifra no puede deducirse la identidad de nadie.

Cómo protegemos la cifra. Para impedir que alguien la infle de forma artificial (recargas en bucle, programas automáticos), derivamos de cada conexión una huella seudonimizada: un código calculado a partir de la dirección IP con una clave secreta, del que no puede recuperarse la IP original. Esa huella sirve únicamente para poner un techo a lo que un mismo origen puede sumar; se guarda separada del contador, no se utiliza para analítica, perfiles ni cruces con otros datos, y se elimina automáticamente a las 48 horas de su última actividad. Este control se basa en nuestro interés legítimo en la prevención del fraude (art. 6.1.f RGPD; ver la tabla de la sección 4 y los plazos de la sección 7).

Sin cookies. Esta medición no usa cookies ni guarda nada en tu dispositivo; por eso no aparece en el panel de cookies ni depende de la casilla de analítica (ver la Política de Cookies).

Tus señales de privacidad. Si tu navegador envía la señal «No rastrear» (DNT) o Global Privacy Control, tu visita no se cuenta.

Tus propias visualizaciones. Las veces que tú mismo ves tus anuncios con la sesión iniciada no suman: la cifra refleja las apariciones ante otras personas.

4. Finalidades y bases jurídicas

Cuando la base sea el interés legítimo, hemos realizado la ponderación correspondiente; puedes solicitar más información u oponerte (sección 10).

5. Verificación de identidad y datos biométricos (KYC)

Para la verificación de identidad reforzada de vendedores particulares («sello Oro») utilizamos Stripe Identity, un servicio de verificación de identidad que compara el documento de identidad con una imagen facial del usuario (dato biométrico, categoría especial del art. 9 RGPD). El alta de concesionarios no utiliza nada de esto. Comprobamos que la empresa es real y está activa con su CIF y el contrato que firma con CEC, e identificamos a su representante en el momento de la firma (ver sección 3.4). No le pedimos su documento de identidad, no hay reconocimiento facial y no interviene Stripe Identity.

• El tratamiento biométrico se basa en tu consentimiento explícito (art. 9.2.a RGPD), que se solicita de forma separada antes de iniciar la verificación.
• CEC no almacena las imágenes de tu documento ni tu selfie de esta verificación biométrica: el proceso se realiza en los sistemas de Stripe y CEC recibe únicamente el resultado (verificado / no verificado, fecha y referencia). (Los documentos de la verificación de anuncios de la sección 3.3 son un tratamiento distinto: esos sí se conservan cifrados, en los términos de la sección 7.)
• El consentimiento es revocable en cualquier momento desde Mi cuenta › Privacidad o escribiendo a contacto@cochesencanarias.net; la revocación no afecta a la licitud del tratamiento previo. Si revocas la verificación, perderás el sello o servicio asociado.
• La verificación es voluntaria: sin ella puedes seguir usando la Plataforma, aunque no podrás acceder a los servicios que la exigen (p. ej. mostrar el sello de identidad verificada «sello Oro»).
• Stripe actúa como encargado del tratamiento de CEC para esta operación y, para determinadas obligaciones regulatorias propias (prevención del fraude y del blanqueo), como responsable independiente conforme a sus propias condiciones.

6. Decisiones automatizadas y elaboración de perfiles

• Verificación documental y de identidad: el análisis inicial de los documentos y de la correspondencia biométrica se realiza con medios automatizados (los de Stripe Identity y los sistemas de verificación de la Plataforma). Si una verificación es denegada, puedes solicitar la intervención humana, expresar tu punto de vista e impugnar la decisión escribiendo a contacto@cochesencanarias.net (art. 22.3 RGPD): una persona del equipo revisará tu caso manualmente.
• Prevención del fraude en pagos: Stripe aplica sistemas automatizados de puntuación antifraude (Stripe Radar) sobre las operaciones de pago.- No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos significativos sobre el interesado sin las salvaguardas anteriores.

7. Plazos de conservación

8. Destinatarios de los datos

8.1 Otros usuarios de la Plataforma

• Al publicar un anuncio, se muestran públicamente los datos del vehículo, las fotografías, el precio y la ubicación aproximada (municipio/isla). Los vendedores particulares se identifican con la etiqueta genérica «Vendedor particular»: tu nombre no se publica. Los Concesionarios se muestran con el nombre comercial de su concesionario. Tu correo electrónico no se publica nunca. El teléfono de los vendedores particulares no se publica: el contacto se realiza a través del chat interno, sin que tu número se publique. Los Concesionarios pueden mostrar públicamente en su ficha su teléfono de contacto profesional (botón «Llamar»).
• Cuando tú contactas con un profesional (chat, botón de llamada o WhatsApp), le comunicamos tu nombre y tu mensaje, y tu teléfono y tu correo si están verificados, para que pueda atenderte. Sin la sesión iniciada no le comunicamos ningún dato personal tuyo. Ese profesional es responsable independiente de esos datos y solo puede usarlos para atender esa consulta.
• Lo que escribas en el chat es visible para tu interlocutor.
• En el servicio de trade-in, tus datos de contacto se comunican al Concesionario únicamente cuando se acepta la operación (en ese momento se le revelan para que pueda contactarte); hasta entonces solo ve los datos del vehículo.

8.2 Encargados del tratamiento (proveedores)

Proveedores que tratan datos por cuenta de CEC, con contrato de encargo (art. 28 RGPD):

8.3 Otros destinatarios

• Administraciones y organismos públicos (Agencia Tributaria, Fuerzas y Cuerpos de Seguridad, juzgados y tribunales) cuando exista obligación legal.
• Asesoría fiscal/contable del responsable, en lo estrictamente necesario para las obligaciones contables y tributarias.
• No vendemos tus datos, ni se los cedemos a nadie para que te haga publicidad. Cuando eres tú quien contacta con un profesional a través de la Plataforma, le comunicamos tus datos para que pueda atenderte, en los términos del punto anterior; ese profesional tiene expresamente prohibido usarlos para publicidad.

9. Transferencias internacionales

Algunos proveedores están establecidos en Estados Unidos o pueden acceder a los datos desde fuera del EEE. En esos casos, la transferencia se ampara en:

• la Decisión de adecuación de la Comisión Europea para el EU-US Data Privacy Framework (proveedores certificados), y/o
• las Cláusulas Contractuales Tipo (SCC, Decisión 2021/914) junto con medidas suplementarias.

Puedes solicitar información sobre las garantías concretas de cada proveedor en contacto@cochesencanarias.net.

10. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar los consentimientos otorgados (incluido el biométrico y el de comunicaciones comerciales) sin que ello afecte a la licitud del tratamiento anterior:

• Escribiendo a contacto@cochesencanarias.net, indicando el derecho que ejerces, preferiblemente desde el correo asociado a tu cuenta. Solo si existen dudas razonables sobre tu identidad te pediremos información adicional proporcionada para confirmarla (art. 12.6 RGPD); no solicitamos copia del documento de identidad por defecto.
• Desde las opciones de Mi cuenta › Privacidad, cuando la funcionalidad esté disponible.

Responderemos en el plazo máximo de un mes (prorrogable dos meses más en casos complejos, art. 12.3 RGPD).

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es (sede electrónica). Te agradeceremos que nos contactes antes para intentar resolverlo.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre otras: cifrado de las comunicaciones (TLS), cifrado en reposo de los documentos de verificación (cifrado de sobre por documento, con claves gestionadas por CEC, en un repositorio privado sin acceso público), eliminación de metadatos de las imágenes aportadas, control de acceso por roles y aislamiento por usuario en la base de datos, seudonimización de identificadores en registros técnicos, registro de auditoría de accesos a datos sensibles, minimización por diseño (p. ej. no almacenamos imágenes biométricas ni datos completos de tarjeta) y copias de seguridad.

12. Menores de edad

La Plataforma está dirigida exclusivamente a mayores de 18 años. No recabamos conscientemente datos de menores; si detectamos una cuenta de un menor, será cancelada.

13. Procedencia de los datos

Los datos que tratamos proceden del propio interesado (registro, formularios, publicación de anuncios, chat) o, si eliges ese método de acceso, de Google (inicio de sesión). No enriquecemos tus datos con fuentes externas.

14. Cambios en esta política

Cualquier modificación de esta política se publicará en esta página con su fecha de entrada en vigor y su versión, y —cuando el cambio sea sustancial— se comunicará a los usuarios registrados. Las versiones se registran de forma inmutable (con huella criptográfica) para poder acreditar qué texto estaba vigente en cada momento.