Política de Privacidad

1. Responsable del Tratamiento

En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa de los siguientes datos del Responsable del Tratamiento:

• Razón social: NICHOWEB, S.L.
• NIF/CIF: B88673991
• Registro Mercantil: Registro Mercantil de Málaga — Tomo 0, Folio 0, Sección GNE, Hoja 198332
• Representante legal: Juan Ramón Ansio Ríder
• Domicilio social: C/ Vasco de Gama 2, 1º 1, 29014 Málaga, España
• Correo electrónico: legal@inmoly.es

2. Doble rol de NICHOWEB, S.L. como responsable y encargado del tratamiento

NICHOWEB, S.L. actúa en dos roles distintos bajo el RGPD según la actividad de tratamiento:

• Responsable del tratamiento (Art. 4.7 RGPD): para los datos personales recogidos directamente a través de inmoly.es, tales como datos de cuenta de las agencias y los datos de acceso y seguridad de las cuentas de su personal, datos de facturación y suscripción, comunicaciones de soporte y datos de uso de la plataforma.
• Encargado del tratamiento (Art. 4.8 RGPD): para los datos personales que las agencias inmobiliarias clientes (responsables del tratamiento) introducen en la plataforma Inmoly, como datos de contacto de compradores/ arrendatarios, registros de visitas y datos de propiedades, así como el nombre y la actividad del personal de cada agencia en esos registros. Esta relación se formaliza mediante el Acuerdo de Encargado de Tratamiento (DPA) que las agencias aceptan en el momento del registro.

La presente Política de Privacidad cubre únicamente el tratamiento en calidad de Responsable. El tratamiento como Encargado se rige por el DPA suscrito con cada agencia cliente.

3. Leyes aplicables

Esta política se adapta a la normativa española y europea vigente:

• Reglamento (UE) 2016/679 (RGPD)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
• Ley 34/2002, de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI-CE)

4. Información que recopilamos

Información proporcionada directamente:

• Datos de cuenta: nombre, email corporativo, contraseña, nombre de la agencia
• Datos de facturación: NIF/CIF de la agencia, dirección fiscal, datos de pago procesados por Stripe
• Comunicaciones: mensajes de soporte y contacto

Información recopilada automáticamente:

• Datos de uso: páginas visitadas, acciones realizadas, funcionalidades utilizadas
• Información técnica: navegador, sistema operativo, dirección IP, tipo de dispositivo
• Cookies y tecnologías similares (véase la Política de Cookies)

5. Finalidades y bases legales (Art. 6 RGPD)

6. Destinatarios y subencargados del tratamiento

No vendemos tus datos personales. Para la prestación del servicio, compartimos datos estrictamente necesarios con los siguientes subencargados del tratamiento, con quienes existen los correspondientes contratos de encargo (Art. 28 RGPD):

CCE = Cláusulas Contractuales Estándar adoptadas por la Comisión Europea. EEE = Espacio Económico Europeo.

Nota sobre el alcance: esta tabla recoge los subencargados que tratan datos de los que NICHOWEB, S.L. es responsable del tratamiento (datos de cuenta de las agencias suscritas y datos de visitantes de www.inmoly.es). Los subencargados que tratan datos de los clientes finales de las agencias (leads, propietarios, compradores cuyos datos las agencias introducen en su CRM y en el sitio web público proporcionado por la plataforma Inmoly — accesible vía el subdominio de inmoly.es asignado a cada agencia (por ejemplo, tuagencia.inmoly.es) o vía un dominio propio del cliente conectado a la plataforma) se enumeran en el Anexo II del Acuerdo de Encargado de Tratamiento (DPA), donde NICHOWEB, S.L. actúa como encargado del tratamiento. Algunos subencargados (Neon, Vercel, Cloudflare, OVH, Resend, Sentry) aparecen en ambas listas porque sus servicios soportan ambos contextos.

Mensajería WhatsApp Business y procesamiento por IA. Cuando una agencia cliente conecta su número de WhatsApp Business a la Bandeja de Entrada Unificada de Inmoly, los mensajes intercambiados con sus clientes finales circulan a través de la API WhatsApp Business Cloud de Meta Platforms Ireland, Ltd., que actúa como subencargado del tratamiento bajo las instrucciones de la agencia (responsable del tratamiento). En todas las agencias, la plataforma reconoce en cada mensaje recibido, sin inteligencia artificial y por palabras fijas como «BAJA», «STOP» o «me opongo», si el cliente pide no recibir más mensajes o se opone al análisis automatizado, para registrarlo y confirmárselo, o por «ALTA», si retira esa petición. Si la agencia activa las funciones de inteligencia artificial de la Bandeja, los mensajes se procesan con servicios de Google LLC en la región de la Unión Europea —modelos de Vertex AI, la traducción de Cloud Translation y el filtro de seguridad de Model Armor— para clasificarlos, reconocer si el cliente pide no recibir más mensajes o se opone al análisis automatizado, resumirlos, traducirlos, sugerir respuestas, reconocer lo que el cliente busca y proponerlo al personal de la agencia, comprobar si una conversación es la consulta de un cliente y crear su ficha, valorar si lo que el cliente ha escrito espera una respuesta de la agencia, para avisar a su personal, detectar si el cliente da información para el cuestionario de alquiler, para enviarle el enlace con el que completarlo él mismo, y leer las respuestas al cuestionario de alquiler. Cuando la agencia usa el copiloto de Inmoly, el mensaje con el que llega una consulta sirve además, con reglas fijas y sin inteligencia artificial, para calificar el lead y completar su idioma y su urgencia, a fin de ordenar el trabajo del personal de la agencia. Ningún mensaje redactado por inteligencia artificial se envía al cliente final sin que una persona de la agencia decida enviarlo. Estas funciones, cómo se activan y sus garantías se describen en la cláusula 3.10 y los Anexos II y III del DPA.

Datos de Google Workspace (Gmail y Google Calendar) y Uso Limitado. Cuando una agencia cliente conecta su cuenta de Gmail y/o Google Calendar a Inmoly, los mensajes de correo, los eventos y las citas obtenidos a través de las API de Google se utilizan exclusivamente para proporcionar y mejorar funciones visibles para el usuario dentro de la plataforma: mostrar y responder los correos en la Bandeja de Entrada Unificada, crear en el CRM el contacto, el lead y, en su caso, la operación de las consultas que llegan en los avisos de los portales inmobiliarios, y sincronizar con el calendario las citas creadas en el CRM; reconocer en cada correo recibido, por palabras fijas como «BAJA», «STOP» o «me opongo», si el remitente pide no recibir más mensajes o se opone al análisis automatizado, para registrarlo y confirmárselo, o por «ALTA», si retira esa petición; y, en el caso de los mensajes de correo y sólo cuando la agencia activa cada función, clasificarlos, reconocer en ellos si el remitente pide no recibir más mensajes o se opone al análisis automatizado, crear el contacto, el lead y, en su caso, la operación cuando la clasificación reconoce una consulta nueva, resumirlos, traducirlos, sugerir respuestas, reconocer lo que el cliente busca para proponerlo al personal de la agencia, valorar si el remitente espera una respuesta, para avisar al personal de la agencia de los correos sin responder, y, cuando la agencia usa el copiloto, calificar con reglas fijas, sin inteligencia artificial, el lead creado a partir de un correo y completar su idioma y su urgencia, para ordenar el trabajo de su personal. Con esa misma finalidad pueden procesarlos servicios de Google LLC en la región de la Unión Europea: modelos de inteligencia artificial de Vertex AI, la traducción de Cloud Translation y el filtro de seguridad de Model Armor, que examina el texto que se envía a esos modelos para detectar contenido malicioso. El uso y la transferencia por parte de Inmoly de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google (Google API Services User Data Policy), incluidos sus requisitos de Uso Limitado (Limited Use). En particular, dichos datos nunca se emplean para desarrollar, entrenar ni mejorar modelos de inteligencia artificial o de aprendizaje automático generalizados o no personalizados, ni se transfieren a terceros salvo en los supuestos expresamente permitidos por dicha Política.

Uso Limitado — publicidad y acceso humano. Inmoly no utiliza los datos obtenidos de las API de Google para mostrar publicidad, incluida la publicidad personalizada, basada en intereses o de retargeting. Ninguna persona física lee el contenido de los correos, eventos o citas obtenidos de Google, salvo: (i) con tu consentimiento expreso y previo para acceder a un contenido concreto; (ii) cuando sea necesario por motivos de seguridad (por ejemplo, para investigar un abuso o un fallo); (iii) cuando lo exija la legislación aplicable; o (iv) cuando los datos se hayan agregado y anonimizado para operaciones internas conforme a la normativa de protección de datos.

También podremos comunicar datos a autoridades competentes cuando lo exija la ley o una orden judicial.

7. Plazos de conservación

8. Tus derechos

Conforme al RGPD y la LOPDGDD tienes derecho a:

• Acceso (Art. 15 RGPD): obtener confirmación y copia de tus datos personales
• Rectificación (Art. 16 RGPD): corregir datos inexactos o incompletos
• Supresión / derecho al olvido (Art. 17 RGPD): solicitar la eliminación cuando ya no sean necesarios
• Limitación del tratamiento (Art. 18 RGPD): restringir el tratamiento en determinadas circunstancias
• Portabilidad (Art. 20 RGPD): recibir tus datos en formato estructurado y de uso común
• Oposición (Art. 21 RGPD): oponerte al tratamiento basado en interés legítimo
• No ser objeto de decisiones automatizadas (Art. 22 RGPD)
• Retirada del consentimiento: en cualquier momento, sin efecto retroactivo

Para ejercer cualquiera de estos derechos, envía un email a legal@inmoly.es indicando el derecho que deseas ejercer, adjuntando copia de tu documento de identidad y con la referencia RGPD-www.inmoly.es. Responderemos en el plazo máximo de un mes (Art. 12 RGPD). Puedes también descargar una copia de los datos de tu cuenta: si eres titular de una cuenta de agencia, desde tu panel (Cuenta › Tus datos); si formas parte del equipo de una agencia, desde el CRM (Contraseña y seguridad › Tus datos).

Retirada del consentimiento de marketing (Art. 7.3 RGPD)

Conforme al Art. 7.3 del RGPD, retirar el consentimiento debe ser tan sencillo como otorgarlo. Si has aceptado recibir comunicaciones comerciales y quieres dejar de recibirlas, dispones de dos vías equivalentes:

• Hacer clic en el enlace «cancelar suscripción» presente al pie de cada comunicación comercial. El enlace lleva a inmoly.es/unsubscribe con un token único que confirma tu identidad sin necesidad de login.
• Escribir a legal@inmoly.es indicando «baja de comunicaciones comerciales» y el email a dar de baja.

La retirada se procesa de inmediato. Pueden persistir, durante un máximo de 48 horas, envíos comerciales ya planificados; transcurrido ese plazo no se enviarán más comunicaciones de marketing. La retirada del consentimiento de marketing no afecta a los emails operativos legalmente obligatorios (avisos de seguridad, facturación, cambios contractuales).

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al Art. 32 RGPD:

• Cifrado SSL/TLS en todas las comunicaciones (HTTPS obligatorio)
• Cifrado de datos en reposo (AES-256 gestionado por Neon)
• Separación de los datos de cada agencia: todas las consultas se limitan a la agencia correspondiente
• Autenticación con tokens JWT de corta duración y cookies HttpOnly
• Control de acceso por roles (Administrador / Agente / Solo lectura)
• Registro de auditoría de los cambios de estado
• Las API no son accesibles directamente desde Internet: reciben las peticiones a través del túnel de Cloudflare (detalle en el Anexo I del DPA)

9.1. Notificación de brechas de seguridad

Cumplimos estrictamente los plazos del RGPD ante incidentes que afecten a datos personales:

• Notificación a la AEPD (Art. 33 RGPD): en un plazo máximo de 72 horas desde que tengamos conocimiento de la brecha, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas afectadas.
• Notificación a las personas afectadas (Art. 34 RGPD): cuando la brecha entrañe un alto riesgo para tus derechos y libertades, te informaremos sin dilación indebida por email a la dirección registrada en tu cuenta, incluyendo: naturaleza de la incidencia, categorías de datos afectados, número estimado de interesados, consecuencias probables y medidas adoptadas o propuestas para mitigarlas.
• En relaciones de encargado del tratamiento (clientes B2B): notificaremos al responsable (la agencia) en el mismo plazo de 72 horas conforme al Acuerdo de Encargado de Tratamiento (§3.9).
• Registro interno: documentamos todas las brechas conforme al Art. 33.5 RGPD aunque no sean notificables, incluyendo hechos, efectos y medidas correctoras.

10. Menores de edad

El Servicio está dirigido exclusivamente a profesionales del sector inmobiliario mayores de 18 años. No recopilamos intencionadamente datos de menores. Si tienes conocimiento de que un menor nos ha proporcionado datos, contacta con nosotros para proceder a su eliminación.

11. Cambios en esta Política

Podemos actualizar esta política para reflejar cambios normativos o en nuestras prácticas. Los cambios materiales (nueva base legal, nuevo subencargado, cambio en retenciones) serán notificados con al menos 30 días de antelación por email. Los cambios no materiales (correcciones, formato) se publicarán sin notificación previa.

12. Contacto

NICHOWEB, S.L. (operadora de Inmoly)
NIF: B88673991
Email: legal@inmoly.es
Dirección: C/ Vasco de Gama 2, 1º 1, 29014 Málaga, España