Política de privacidad

En TurnoYA nos tomamos en serio tu privacidad. Esta política explica qué datos personales tratamos, con qué finalidad, con qué base jurídica, durante cuánto tiempo y qué derechos tienes, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

• Responsable: X MAXIMUS LABS, S.L.
• CIF: B93990026
• Domicilio social: Calle Moratín 4, 28014 Madrid (España)
• Datos registrales: Inscrita en el Registro Mercantil de Madrid, hoja M-896612, inscripción 1.ª
• Contacto en materia de protección de datos: info@xmax.es
• Autoridad de control: Agencia Española de Protección de Datos (AEPD), www.aepd.es

2. Qué datos tratamos

• Datos de registro y contacto: correo electrónico y, en su caso, teléfono, que utilizamos para crear tu cuenta y enviarte los códigos de acceso.
• Datos de perfil profesional: nombre o alias, puesto, experiencia, fotografía si la subes y valoraciones asociadas a los turnos realizados.
• Documento de identidad (solo si pides verificar tu perfil): foto del anverso y del reverso de tu DNI, NIE o pasaporte, para comprobar tu identidad. Las imágenes se guardan en el almacenamiento de archivos de Vercel (ver apartado 5) y se eliminan en cuanto se decide la verificación; solo conservamos el tipo de documento y sus cuatro últimos dígitos como constancia de que se comprobó.
• Verificación por teléfono o WhatsApp (solo si pides verificar tu perfil): nuestro equipo puede llamarte o escribirte por WhatsApp al teléfono de tu perfil para una comprobación breve.
• Mensajes: lo que el negocio y el profesional se escriben en el chat de un turno.
• Datos de negocio: nombre, dirección y zona del local, logotipo y foto de la entrada si los subes, y datos de los turnos que publicas.
• Dirección de casa (opcional): si la indicas en tu perfil, la usamos para calcular el trayecto hasta los turnos. Para ello obtenemos sus coordenadas a través del servicio Nominatim de OpenStreetMap (ver apartado 5) y las guardamos junto a la dirección. No se muestra a los negocios.
• Ubicación aproximada: podemos usar tu ubicación para calcular la distancia o el trayecto hasta un turno y mostrarte los más cercanos. No almacenamos la ubicación de tu dispositivo ni tu historial de trayectos; se usa en el momento y no se conserva.
• Datos técnicos: datos estrictamente necesarios para mantener tu sesión iniciada (ver Política de cookies).

3. Finalidades y base jurídica

• Prestar el servicio (crear tu cuenta, publicar y mostrar turnos, conectar a las partes, mostrar valoraciones): base jurídica = ejecución del contrato de uso de la plataforma (art. 6.1.b RGPD).
• Enviarte avisos operativos (códigos de acceso, notificaciones sobre turnos): ejecución del contrato (art. 6.1.b).
• Notificaciones push y cookies analíticas (si en el futuro se activan): base jurídica = tu consentimiento (art. 6.1.a), que puedes retirar en cualquier momento.
• Seguridad, prevención del fraude y cumplimiento legal: interés legítimo y obligación legal (arts. 6.1.f y 6.1.c).

4. Plazos de conservación

Conservamos tus datos mientras tu cuenta esté activa y, tras darla de baja, durante los plazos legales necesarios para atender posibles responsabilidades. Después se suprimen o se anonimizan. La ubicación para el cálculo de trayecto no se conserva.

5. Destinatarios y encargados del tratamiento

No vendemos tus datos. Para prestar el servicio nos apoyamos en proveedores que actúan como encargados del tratamiento, con los que mantenemos los contratos exigidos por el art. 28 RGPD:

• Vercel Inc. (Estados Unidos) — alojamiento de la aplicación y almacenamiento de archivos (Vercel Blob, región iad1, Washington, EE. UU.). Allí se guardan tu foto de perfil, las imágenes del anverso y el reverso de tu documento de identidad mientras se decide la verificación, y el logotipo y la foto de la entrada del local.
• Neon (Estados Unidos) — base de datos, alojada en la región us-east-1 de Amazon Web Services (Virginia, EE. UU.). En ella se guardan los datos de tu cuenta, tu perfil, los turnos y los mensajes.
• Resend (Estados Unidos) — envío de correos electrónicos (códigos de acceso y avisos).
• Proveedor de notificaciones push del navegador, si las activas.

Otros destinatarios:

• OpenStreetMap Foundation (Reino Unido), servicio Nominatim — cuando guardas la dirección de tu casa en el perfil o la dirección de un local, nuestro servidor envía solo el texto de esa dirección, sin tu nombre ni tus datos de contacto, para obtener sus coordenadas. Las usamos para calcular la distancia y el trayecto hasta los turnos y mostrarte los más cercanos. Además, el mapa de OpenStreetMap que aparece en la ficha de un turno lo carga tu navegador directamente desde openstreetmap.org, que recibe así tu dirección IP.
• WhatsApp Ireland Limited (grupo Meta) — solo si, al verificar tu perfil, te contactamos por WhatsApp: tu número de teléfono y los mensajes que intercambiemos pasan por WhatsApp, que los trata según sus propias condiciones y su política de privacidad.

Cuando conectas con un negocio o un profesional a través de la plataforma, los datos de perfil necesarios para el contacto se muestran a la otra parte; a partir de ahí, cada parte es responsable de los datos que trate por su cuenta.

6. Transferencias internacionales

La base de datos (Neon) está en Estados Unidos, así que los datos de tu cuenta se transfieren siempre fuera del Espacio Económico Europeo. Los archivos (Vercel Blob) también se guardan en Estados Unidos, y Vercel y Resend son empresas estadounidenses. Las transferencias a Estados Unidos se amparan en las cláusulas contractuales tipo de la Comisión Europea.

Las direcciones que se geocodifican se envían a la OpenStreetMap Foundation, en el Reino Unido, país que cuenta con una decisión de adecuación de la Comisión Europea.

7. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, escribiendo a info@xmax.es. Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos frente a accesos no autorizados, pérdida o alteración.