Política de Privacidad

1. Responsable del tratamiento

2. Qué datos personales recabamos

En función del servicio que solicite, podemos recabar las siguientes categorías de datos personales, directamente de usted o, cuando proceda, de la contraparte de una operación:

• Datos identificativos: nombre completo, número de DNI / NIE / pasaporte, nacionalidad, fecha de nacimiento.
• Datos de contacto: dirección postal, número(s) de teléfono, dirección de correo electrónico.
• Datos económicos y de solvencia: información sobre ingresos, datos de cuenta bancaria y justificante de fondos, cuando lo exija la normativa de prevención del blanqueo de capitales o para las comprobaciones de solvencia en el arrendamiento.
• Datos del inmueble: dirección, referencia catastral y características de los inmuebles de su propiedad o que desee comprar, vender o alquilar.
• Datos transaccionales: condiciones de reserva, compraventa o arrendamiento, registros de pago y correspondencia relacionada.
• Datos de navegación: dirección IP, datos del dispositivo y del navegador y, con su consentimiento, datos analíticos recabados mediante cookies y tecnologías similares (véase nuestra Política de Cookies, apartado 3).

Por regla general, no recabamos categorías especiales de datos personales (artículo 9 del RGPD). Cuando dichos datos resulten necesarios en un caso concreto, recabaremos su consentimiento explícito. No recabamos conscientemente datos de menores de 14 años (véase el apartado 8).

3. Finalidades, bases jurídicas y plazos de conservación

a) Consultas y solicitudes de contacto

Finalidad: gestionar y responder a las consultas remitidas a través de formularios de contacto, teléfono, correo electrónico o chat.

Base jurídica: interés legítimo del responsable (art. 6.1.f del RGPD) y, en su caso, su consentimiento (art. 6.1.a del RGPD).

Conservación: durante el tiempo necesario para responder, más el plazo de prescripción aplicable a las eventuales acciones legales (por lo general, 3 años).

b) Gestión de la relación precontractual y contractual

Finalidad: formalizar y gestionar las operaciones de compraventa, arrendamiento e intermediación, incluidas la verificación de identidad, la evaluación de solvencia y las comprobaciones sobre el inmueble.

Base jurídica: ejecución de un contrato o aplicación de medidas precontractuales adoptadas a petición suya (art. 6.1.b del RGPD).

Conservación: durante la vigencia de la relación contractual y, posteriormente, durante los plazos de prescripción aplicables conforme a la legislación civil, mercantil y tributaria (por lo general, de 5 a 10 años, según la obligación).

c) Cumplimiento de obligaciones legales, incluida la prevención del blanqueo de capitales (PBC/KYC)

Finalidad: cumplir las obligaciones derivadas de la normativa de prevención del blanqueo de capitales (Ley 10/2010, de 28 de abril, y su Reglamento de desarrollo, el Real Decreto 304/2014), la normativa tributaria y las normas notariales y registrales.

Base jurídica: cumplimiento de una obligación legal aplicable al responsable (art. 6.1.c del RGPD).

Como agente inmobiliario sujeto a la Ley 10/2010, SFERO está legalmente obligada, antes de entablar una relación profesional con un cliente, a:

• identificar y verificar la identidad del cliente, incluido, en su caso, el titular real de cualquier cliente que sea persona jurídica;
• recabar información sobre el propósito y la naturaleza prevista de la relación de negocios y, cuando proceda, sobre el origen de los fondos;
• aplicar medidas reforzadas de diligencia debida cuando así lo exijan los factores de riesgo (por ejemplo, personas con responsabilidad pública, estructuras de titularidad complejas u operaciones de elevado importe);
• comunicar cualquier operación sospechosa al SEPBLAC (la Unidad de Inteligencia Financiera española), sin informar de ello al cliente afectado, según exige la ley (prohibición de revelación o «no tipping-off»).

Facilitar información de identificación o económica falsa, incompleta o engañosa constituye un delito. SFERO está legalmente obligada a rechazar el encargo, demorar una operación o poner fin a una relación profesional cuando no pueda obtener una documentación de identificación y de diligencia debida satisfactoria.

Conservación: según exija cada ley aplicable; por lo general, diez (10) años para la documentación de prevención del blanqueo de capitales, contados desde la finalización de la relación de negocios.

d) Marketing directo y comunicaciones comerciales

Finalidad: enviarle información por medios electrónicos (correo electrónico, SMS, aplicaciones de mensajería) sobre nuevos inmuebles, promociones o servicios relacionados que puedan ser de su interés.

Base jurídica: su consentimiento previo, expreso e informado (art. 6.1.a del RGPD y art. 21 de la LSSICE) o, si ya es cliente, nuestro interés legítimo en ofrecerle productos o servicios similares (art. 21.2 de la LSSICE).

Toda comunicación comercial identificará claramente a SFERO como remitente e incluirá un medio sencillo y gratuito para oponerse a su recepción. Puede retirar en cualquier momento su consentimiento para recibir comunicaciones comerciales mediante:

• el enlace de baja incluido en cada correo comercial;
• el envío de un correo a info@sfero.es con el asunto «BAJA»; o
• la modificación de sus preferencias de comunicación en la configuración de su cuenta, cuando proceda.

Las solicitudes de baja se atienden en un plazo de diez (10) días hábiles. Le informamos de que las comunicaciones operativas relativas a un contrato vigente o a una consulta en curso (por ejemplo, confirmaciones de visita, documentos contractuales o justificantes de pago) no son comunicaciones comerciales y se seguirán enviando con independencia de cualquier baja en el marketing.

Conservación: hasta que retire su consentimiento o se oponga al tratamiento.

e) Mejora del servicio y analítica

Finalidad: analizar cómo interactúan los usuarios con el Sitio Web y con nuestros servicios, mejorar los contenidos y, cuando se haya consentido, ofrecer recomendaciones de inmuebles personalizadas.

Base jurídica: su consentimiento (art. 6.1.a del RGPD y art. 22.2 de la LSSICE); las herramientas de analítica de terceros (Google Analytics 4 y Microsoft Clarity) solo se activan después de que usted lo haya prestado.

Conservación: durante la vigencia de la relación con el usuario o hasta la retirada del consentimiento, con un máximo de 3 años desde la última interacción.

f) Seguridad del Sitio Web y de los formularios de contacto

Finalidad: proteger los formularios de contacto frente al spam y los usos abusivos y asegurar que sus solicitudes nos lleguen. Para limitar los envíos repetidos (no más de 5 solicitudes desde una misma dirección de correo electrónico en 24 horas ni más de 5 desde una misma dirección IP en 10 minutos), el servidor conserva un código seudonimizado (hash SHA-256) de la dirección de correo electrónico y de la dirección IP desde la que se envió la solicitud, a partir del cual no puede leerse directamente la dirección original. Las solicitudes que temporalmente no puedan entregarse a nuestro sistema de gestión de clientes (CRM) pueden conservarse con el único fin de reintentar su entrega. Cloudflare analiza asimismo las solicitudes que llegan al Sitio Web (dirección IP y datos técnicos del navegador) para detectar y bloquear el tráfico automatizado y los ataques, y para ello puede instalar las cookies __cf_bm y cf_clearance (véase la Política de Cookies). El servidor registra, además, el momento en que usted acepta la Política de Privacidad y, en su caso, presta su consentimiento para recibir comunicaciones comerciales, junto con la versión (fecha) de la Política de Privacidad vigente.

Base jurídica: interés legítimo del responsable en prevenir el spam y los usos abusivos (art. 6.1.f del RGPD) y, en cuanto al registro de la aceptación y del consentimiento, el cumplimiento de la obligación legal de poder demostrar el consentimiento (art. 6.1.c del RGPD, en relación con sus arts. 5.2 y 7.1); la conservación temporal de las solicitudes no entregadas se basa en la misma base jurídica que la gestión de su consulta (apartado 3.a).

Conservación: los códigos (hash) de la dirección de correo electrónico y de la dirección IP, hasta 24 horas; las solicitudes no entregadas, hasta 7 días, transcurridos los cuales se suprimen automáticamente; el registro de la aceptación y del consentimiento, mientras dure el tratamiento al que se refiere y, posteriormente, durante el plazo de prescripción aplicable a las eventuales acciones legales (por lo general, 3 años).

4. Destinatarios y transferencias de datos

No vendemos datos personales. Solo podrán comunicarse a terceros en las siguientes circunstancias:

• Autoridades públicas: la Administración tributaria, el Registro de la Propiedad, notarios, el SEPBLAC (la autoridad española de prevención del blanqueo de capitales) y otros organismos, cuando la ley así lo exija.
• Encargados del tratamiento: proveedores de tecnología y alojamiento, asesores jurídicos y contables y otros prestadores de servicios que actúan por cuenta nuestra, todos ellos vinculados por un contrato de encargo del tratamiento conforme al artículo 28 del RGPD. Nuestro principal proveedor tecnológico es Cloudflare, Inc., que presta el alojamiento y la distribución de contenidos del Sitio Web, el tratamiento de los formularios de contacto antes de su envío a nuestro CRM, el almacenamiento de las fotografías de los inmuebles y la seguridad del Sitio Web. Además, mediante Cloudflare, SFERO registra, sin cookies ni identificadores, mediciones de la velocidad de carga de las páginas (dirección de la página, idioma, tipo de página y de dispositivo) y el número de escaneos de los códigos QR de nuestros carteles y tarjetas de visita (dirección de la página, idioma, tipo de dispositivo y país). La base jurídica de estas mediciones es nuestro interés legítimo en conocer el rendimiento del Sitio Web y la eficacia de nuestros carteles y tarjetas de visita (art. 6.1.f del RGPD). Estos registros se conservan durante tres meses y después se suprimen automáticamente.
• Proveedores de analítica y publicidad (solo con su consentimiento): Google Ireland Limited (Google Analytics 4), Microsoft Ireland Operations Limited (Microsoft Clarity: grabaciones de sesión y mapas de calor), Meta Platforms Ireland Limited y TikTok Technology Limited (píxeles publicitarios). Respecto de Microsoft Clarity, en la recogida de los datos en el Sitio Web y su transmisión a Microsoft, SFERO y Microsoft Ireland Operations Limited actúan como corresponsables del tratamiento (art. 26 del RGPD; asunto C-40/17, Fashion ID): SFERO se encarga de informarle y de obtener su consentimiento, y usted puede ejercer sus derechos ante cualquiera de los dos. En el tratamiento posterior, Microsoft actúa como responsable independiente y, según sus propias condiciones, puede utilizar estos datos también para mejorar sus productos y su publicidad; los datos se almacenan en centros de datos de Microsoft en los Estados Unidos y las grabaciones están disponibles para SFERO durante 30 días. Los píxeles de Meta y TikTok tienen activadas las coincidencias avanzadas automáticas: si usted ha aceptado las cookies de marketing y rellena o envía un formulario del Sitio Web, el propio píxel lee del formulario su dirección de correo electrónico, su número de teléfono y su nombre (y puede leer también la ciudad y el código postal), los convierte en su navegador en un código seudonimizado (hash SHA-256) y envía ese código a Meta o a TikTok, que lo comparan con los datos de las cuentas de sus usuarios para medir la eficacia de los anuncios de SFERO y mostrarle anuncios de SFERO. Este código sigue siendo un dato personal, precisamente porque permite dicha comparación. Al enviar un formulario, el Sitio Web comunica además a Meta y a TikTok que se ha enviado una solicitud (evento de conversión). La base jurídica es su consentimiento (art. 6.1.a del RGPD y art. 22.2 de la LSSICE). En la recogida y transmisión a Meta o a TikTok de los datos que captan sus píxeles (incluidos los de las coincidencias avanzadas), SFERO y Meta Platforms Ireland Limited o, en su caso, TikTok Technology Limited son corresponsables del tratamiento (art. 26 del RGPD; sentencia del TJUE de 29 de julio de 2019, asunto C-40/17, Fashion ID), con arreglo a los acuerdos de corresponsabilidad que dichas empresas ofrecen a los anunciantes: SFERO se encarga de informarle y de obtener su consentimiento, y Meta o TikTok, de atender los derechos que usted ejerza sobre los datos que reciben. Puede ejercer sus derechos ante SFERO o ante cualquiera de ellas. El tratamiento posterior por parte de Meta o TikTok se rige por sus propias políticas de privacidad. Puede detener este tratamiento en cualquier momento retirando su consentimiento a las cookies de marketing mediante el botón «Configuración de cookies» (el icono de una cookie en la esquina inferior izquierda de la pantalla); los píxeles dejarán de cargarse a partir de la siguiente página que visite.
• OpenStreetMap Foundation: al mostrar los mapas en las páginas de los inmuebles y en la página de ciudades y barrios, su navegador solicita las teselas del mapa a sus servidores, que reciben su dirección IP, datos técnicos del navegador y la dirección de origen del Sitio Web (sfero.es). La OpenStreetMap Foundation trata estos datos como responsable independiente, conforme a su propia política de privacidad. Base jurídica: nuestro interés legítimo en mostrarle en un mapa la ubicación aproximada de los inmuebles y de las ciudades y barrios (art. 6.1.f del RGPD).
• Entidades financieras: únicamente con su consentimiento previo y expreso, para gestiones de hipoteca o financiación.
• Contrapartes de la operación: compradores, vendedores, arrendadores o arrendatarios, y sus notarios o representantes legales, en la medida estrictamente necesaria para completar una operación.
• Agentes colaboradores: otros agentes inmobiliarios o subagentes que intervengan en la comercialización de un inmueble concreto, cuando la colaboración sea necesaria para completar una operación, con sujeción a deberes de confidencialidad.

Transferencias internacionales: algunos proveedores (Cloudflare, Google, Microsoft, Meta y TikTok) pueden tratar datos en Estados Unidos o en otros terceros países. Estas transferencias se amparan en la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, relativa al Marco de Privacidad de Datos UE-EE. UU., para las empresas certificadas, o en las Cláusulas Contractuales Tipo de la Comisión Europea (CCT). Las teselas de los mapas las proporciona la OpenStreetMap Foundation (Reino Unido, país que cuenta con una decisión de adecuación de la Comisión Europea) a través de la red de distribución de contenidos de su proveedor Fastly, Inc., en la que responde a cada solicitud el servidor que determina la red y que puede encontrarse fuera del Espacio Económico Europeo (EEE).

5. Sus derechos como interesado

Conforme a los artículos 15 a 22 del RGPD y 12 a 18 de la LOPDGDD, puede ejercer en cualquier momento los siguientes derechos:

• Acceso: conocer qué datos personales tenemos sobre usted.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar su eliminación cuando, entre otros motivos, los datos ya no sean necesarios para el fin para el que se recabaron.
• Oposición: oponerse al tratamiento para fines concretos, incluido el marketing directo.
• Limitación: solicitar la suspensión del tratamiento en determinadas circunstancias.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
• Decisiones automatizadas: no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o similares significativos.
• Retirada del consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a la retirada.

Para ejercer sus derechos, contacte con nosotros por escrito, adjuntando copia de su documento de identidad, en info@sfero.es o por correo postal en Calle Guillem d'Anglesola, 6, escalera B, piso 2, puerta 6, 46022 Valencia, España, a la atención de Protección de Datos. Responderemos en el plazo de un mes desde la recepción; cuando la solicitud sea compleja, este plazo podrá prorrogarse otros dos meses, previa comunicación. Si denegamos una solicitud, explicaremos los motivos y le informaremos de su derecho a presentar una reclamación.

Autoridad de control: tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) – www.aepd.es – Calle Jorge Juan 6, 28001 Madrid, si considera que sus datos personales no se han tratado conforme a la normativa aplicable. No obstante, le agradeceríamos la oportunidad de atender sus inquietudes directamente antes de que se dirija a la AEPD.

6. Medidas de seguridad

Conforme al artículo 32 del RGPD, SFERO ha implantado medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de los datos en tránsito mediante el protocolo HTTPS/TLS.
• Controles de acceso, con autenticación multifactor para los sistemas internos.
• Procedimientos periódicos de copia de seguridad y de recuperación ante desastres.
• Formación y concienciación del personal en materia de protección de datos.
• Evaluaciones periódicas de riesgos y pruebas de vulnerabilidad.
• Un procedimiento documentado para detectar, notificar y gestionar las violaciones de seguridad de los datos personales, incluida la notificación a la AEPD en un plazo de 72 horas cuando lo exija el artículo 33 del RGPD.

7. Notificación de violaciones de seguridad

En caso de violación de la seguridad de los datos personales que pueda entrañar un riesgo para los derechos y libertades de las personas, SFERO lo notificará a la AEPD sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga constancia de ella (artículo 33 del RGPD). Cuando la violación pueda entrañar un alto riesgo, se comunicará también a los interesados afectados sin dilación indebida (artículo 34 del RGPD).

8. Menores

El Sitio Web no está dirigido a menores de 14 años. Conforme al artículo 8 del RGPD y al artículo 7 de la LOPDGDD, el tratamiento de datos de menores de 14 años requiere el consentimiento del titular de la patria potestad o tutela. Si tenemos constancia de haber recabado datos de un menor de 14 años sin el consentimiento exigido, los suprimiremos sin dilación. Los Usuarios garantizan tener al menos 14 años o haber obtenido el consentimiento parental necesario.

9. Cookies

El uso de cookies y tecnologías similares en el Sitio Web se rige por nuestra Política de Cookies, que le permite configurar sus preferencias con arreglo a los criterios publicados por la AEPD.

10. Información sobre transparencia en materia de inteligencia artificial

SFERO puede emplear herramientas asistidas por inteligencia artificial (IA) para apoyar determinadas actividades, como la búsqueda automatizada de inmuebles o las estimaciones de valoración, las recomendaciones de inmuebles personalizadas o las funciones de atención al cliente. Cuando se utilicen estas herramientas, quedarán sujetas a revisión humana, y SFERO no adopta decisiones que produzcan efectos jurídicos o similares significativos sobre las personas basadas únicamente en el tratamiento automatizado (artículo 22 del RGPD). Puede solicitar la intervención humana en relación con cualquier proceso asistido por IA que le afecte, expresar su punto de vista e impugnar cualquier decisión asistida por medios automatizados, escribiendo a info@sfero.es. Esta información se actualizará para describir las herramientas concretas a medida que se implanten.

11. Registro de Actividades de Tratamiento (RAT)

Conforme al artículo 30 del RGPD, SFERO mantiene un Registro de Actividades de Tratamiento interno que documenta sus operaciones de tratamiento de datos personales. Este registro está a disposición de la AEPD cuando lo requiera y se revisa periódicamente, así como siempre que se incorpore una nueva actividad de tratamiento o se modifique sustancialmente una existente.

12. Delegado de Protección de Datos

Como se indica en el apartado 1, el nombramiento de un Delegado de Protección de Datos no es actualmente obligatorio para SFERO, dada la escala y la naturaleza de sus actividades de tratamiento, y las consultas en materia de protección de datos pueden dirigirse a info@sfero.es. En caso de que SFERO designe en el futuro un Delegado de Protección de Datos, ya sea voluntariamente o por resultar legalmente exigible conforme a los artículos 37 a 39 del RGPD y al artículo 34 de la LOPDGDD, dicho nombramiento y los datos de contacto del DPD se publicarán en este apartado.

13. Reglamento de Servicios Digitales (DSA)

En la medida en que el Sitio Web llegara a operar como plataforma en línea en el sentido del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales) – por ejemplo, alojando contenidos generados por terceros –, SFERO facilitaría los mecanismos de transparencia y de moderación de contenidos exigidos por dicho Reglamento, incluidos un canal para notificar contenidos ilícitos y un mecanismo de reclamación frente a las decisiones sobre contenidos. En la actualidad, el Sitio Web funciona como sitio informativo y de intermediación, y no como plataforma que aloje contenidos generados por terceros; este apartado se ampliará si dicho alcance cambia.

14. Modificaciones

SFERO podrá modificar la presente Política de Privacidad en cualquier momento para reflejar cambios en la normativa aplicable, en sus actividades de tratamiento o en sus servicios. Será de aplicación la versión publicada en el Sitio Web en el momento de cada visita.

15. Ley aplicable y jurisdicción

La presente Política de Privacidad se rige por la legislación española. Cualquier controversia derivada de su interpretación o aplicación se someterá, con renuncia expresa a cualquier otro fuero, a los Juzgados y Tribunales de Valencia, salvo que la normativa aplicable de carácter imperativo establezca un fuero competente distinto, en particular en los litigios con consumidores.