Política de privacidad

1. Información del responsable del tratamiento

Responsable: OQUARTO IBERIA, SOCIEDAD LIMITADA

NIF: B26757674

Domicilio social: Calle de la Senia, 2, Bloque E, Piso 0, Puerta 2a, 08395 Sant Pol de Mar, Barcelona, España

Actividad: Software de gestión con IA para agencias inmobiliarias (SaaS)

Teléfono: +34 684 721 031

Sitio web: https://oquarto.com/

Contacto: info@oquarto.com

Contacto de privacidad y Delegado de Protección de Datos: privacy@oquarto.com

2. Marco legal

Esta Política de Privacidad se establece en cumplimiento de:

• Reglamento (UE) 2016/679 del Parlamento Europeo (RGPD)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
• Ley 34/2002, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI)

3. Datos personales que tratamos

3.1. Datos de registro y cuenta

Datos recopilados:

• Nombre y apellidos
• Dirección de email
• Contraseña (encriptada)
• Foto de perfil/avatar (opcional)
• Idioma preferido
• Fecha de registro

Base legal: Ejecución de contrato (artículo 6.1.b RGPD)

Finalidad: Creación y gestión de cuenta de usuario, autenticación, personalización del servicio

3.2. Datos de propiedades y cartera gestionadas por la agencia

Datos recopilados:

• Dirección aproximada/validada de la propiedad
• Fotografías del inmueble
• Descripciones y características
• Rango de precios
• Estado y disponibilidad
• Información de contacto del agente responsable de la propiedad

Base legal: Ejecución de contrato (artículo 6.1.b RGPD)

Finalidad: Gestión de la cartera de propiedades de la agencia y de las conversaciones con los leads interesados

3.3. Datos de interacción

Datos recopilados:

• Búsquedas guardadas
• Propiedades marcadas como favoritas
• Mensajes de chat con leads y clientes potenciales
• Mensajes recibidos y enviados a través de WhatsApp Business
• Notas personales
• Historial de navegación en la plataforma

Base legal: Ejecución de contrato (artículo 6.1.b RGPD) e interés legítimo (artículo 6.1.f RGPD)

Finalidad: Mejora de la experiencia del usuario, personalización de resultados, gestión de consultas inmobiliarias

3.3b. Datos de WhatsApp Business

Si usted contacta con un agente inmobiliario a través de WhatsApp, o si un agente conecta su cuenta de WhatsApp Business a nuestra plataforma, recopilamos:

Datos del remitente (cliente):

• Número de teléfono
• Nombre de perfil de WhatsApp
• Contenido de los mensajes enviados

Datos del agente conectado:

• ID de cuenta de WhatsApp Business (WABA)
• ID del número de teléfono
• Número de teléfono comercial
• Token de acceso de Meta (almacenado cifrado con AES-256-GCM)

Base legal: Ejecución de contrato (artículo 6.1.b RGPD) e interés legítimo (artículo 6.1.f RGPD)

Finalidad: Gestión de comunicaciones entre agentes inmobiliarios y clientes potenciales, generación de respuestas automatizadas asistidas por IA, seguimiento de leads comerciales.

3.4. Estadísticas de interacción de leads para la agencia

Si su agencia gestiona propiedades y comunicaciones en la plataforma, recopilamos datos sobre las interacciones que los leads tienen con esas propiedades y conversaciones:

Datos recopilados:

• Número de visualizaciones de cada propiedad
• Identidad de los leads que han interactuado con la propiedad (nombre y datos de contacto facilitados)
• Nivel de interés de cada lead (número de interacciones con la propiedad)
• Si el lead ha mostrado interés explícito en la propiedad
• Si el lead ha enviado un mensaje sobre la propiedad
• Fecha de última interacción

Quién puede ver estos datos:

• Únicamente la agencia que gestiona cada propiedad
• Estos datos NO son públicos ni accesibles por otras agencias

Base legal: Interés legítimo (artículo 6.1.f RGPD) - Los profesionales inmobiliarios necesitan esta información para calificar potenciales clientes y gestionar sus propiedades de forma eficiente.

Finalidad: Proporcionar herramientas de análisis a las agencias para mejorar la gestión de su cartera y el seguimiento de los leads interesados.

3.5. Datos geodatos

Datos recopilados:

• Área de mapa consultada
• Polígonos dibujados por el usuario
• Resultados de búsqueda consultados
• Preferencias de ubicación

Base legal: Consentimiento (artículo 6.1.a RGPD) e interés legítimo (artículo 6.1.f RGPD)

Finalidad: Funcionalidad de mapas interactivos, mejora de resultados de búsqueda

3.6. Datos técnicos

Datos recopilados:

• Dirección IP
• Agente de usuario (navegador y dispositivo)
• Cookies de sesión e idioma
• Logs de acceso
• Métricas agregadas de rendimiento

Base legal: Interés legítimo (artículo 6.1.f RGPD)

Finalidad: Seguridad, mantenimiento técnico, análisis estadístico

3.7. Analítica de producto y grabación de sesiones (PostHog)

Si acepta las cookies analíticas, utilizamos PostHog para analítica de producto, grabación de sesiones (session replay) y mapas de calor.

Datos recopilados:

• Páginas visitadas y eventos de uso de la plataforma
• Reproducción de la interacción con la interfaz (clics, desplazamiento, navegación)
• Mapas de calor agregados de las zonas más utilizadas
• Datos técnicos del dispositivo y navegador

Base legal: Consentimiento (artículo 6.1.a RGPD)

Finalidad: Comprender el uso del producto, detectar errores y mejorar la experiencia de usuario

3.8. Datos de voz (agentes telefónicos con IA)

Las agencias inmobiliarias que utilizan nuestro CRM pueden activar agentes telefónicos con inteligencia artificial. En esas llamadas:

• Se generan transcripciones de la llamada en formato texto, que se almacenan en el CRM de la agencia
• NO almacenamos grabaciones de audio propias de las llamadas
• La conversión de voz se realiza a través de nuestro proveedor de síntesis de voz (ver sección 8)
• El asistente de voz se identifica siempre como asistente virtual al inicio de la llamada

Base legal: La agencia cliente es la responsable del tratamiento de los datos de sus leads; Oquarto actúa como encargado del tratamiento conforme al Anexo I de los Términos y Condiciones

Finalidad: Gestión de comunicaciones telefónicas entre agencias y sus clientes potenciales, con registro escrito de la conversación

4. Autenticación con terceros

4.1. Google Sign-In

Si elige registrarse o iniciar sesión mediante Google Sign-In, recopilaremos la siguiente información de su cuenta de Google:

• Nombre y apellidos
• Dirección de correo electrónico
• Foto de perfil (si está disponible)
• ID único de Google

Esta información se utiliza únicamente para crear y gestionar su cuenta en nuestra plataforma.

Importante: El uso de Google Sign-In está sujeto a la Política de Privacidad de Google y a los Términos de Servicio de Google.

4.2. Conector de Google Workspace (opcional)

Además del inicio de sesión, ofrecemos un conector opcional de Google Workspace que usted conecta de forma explícita mediante la pantalla de consentimiento de Google (OAuth). Este conector permite que sus automatizaciones y flujos de trabajo trabajen con sus herramientas de Google. Solo se activa si usted lo conecta voluntariamente, y puede desconectarlo en cualquier momento.

Datos exactos a los que accede, por producto:

• Google Calendar (calendar.events): crear y gestionar eventos de calendario como parte de las automatizaciones que usted configura.
• Google Sheets (drive.file): escribir en las hojas de cálculo que la aplicación crea o que usted selecciona explícitamente con el selector de Google; nunca al resto de su Drive.
• Google Docs (drive.file): crear y editar los documentos que la aplicación genera (por ejemplo, contratos) o la plantilla que usted selecciona explícitamente; nunca al resto de su Drive.
• Google Drive (drive.file): acceso únicamente a los archivos que la propia aplicación crea o que usted abre explícitamente con ella; nunca al resto de su Drive.
• Dirección de email de la cuenta (userinfo.email): identificar qué cuenta de Google está conectada.

Cómo se usan estos datos: exclusivamente para ejecutar las automatizaciones y flujos de trabajo que usted configura. Nunca se usan para publicidad, nunca se venden, no se usan para elaboración de perfiles ni para entrenar modelos de inteligencia artificial generalizados.

Almacenamiento y seguridad: los tokens de acceso OAuth se almacenan cifrados (AES-256-GCM) en nuestra base de datos y las comunicaciones viajan cifradas (TLS). El contenido de sus documentos, hojas y eventos se procesa para ejecutar la automatización y no se conserva más allá de lo necesario para ejecutarla y mostrarle el resultado.

Compartición: estos datos no se comparten con terceros; únicamente los subencargados de infraestructura ya listados en esta política (alojamiento y base de datos, sección 8.1) los tratan por cuenta nuestra.

Revocación y supresión: puede desconectar el conector en cualquier momento desde Ajustes > Integraciones (los tokens se eliminan) o revocar el acceso desde la configuración de permisos de su cuenta de Google.

4.3. Facebook / Meta (WhatsApp Business)

Si usted es agente inmobiliario y conecta su cuenta de WhatsApp Business a través de nuestra plataforma, utilizamos el proceso de Embedded Signup de Meta:

• Se abrirá una ventana emergente de Facebook para autorizar la conexión
• Recibimos un código de autorización que intercambiamos por un token de acceso
• El token se almacena cifrado (AES-256-GCM) en nuestra base de datos
• Utilizamos el token exclusivamente para enviar y recibir mensajes de WhatsApp en su nombre

Importante: El uso de la API de WhatsApp Business está sujeto a las Políticas de WhatsApp Business y a la Política de Privacidad de Meta.

4.4. Revocación del acceso

Puede revocar el acceso de nuestra aplicación a su cuenta de Google en cualquier momento desde la configuración de su cuenta de Google.

Para revocar el acceso a WhatsApp Business, desconecte la integración desde Configuración > Integraciones en nuestra plataforma, o revoque el permiso desde la configuración de Meta Business.

4.5. Proceso de desvinculación

Para desvincular completamente su cuenta de Google:

1. Acceda a su perfil en nuestra plataforma
2. Vaya a Configuración > Cuenta
3. Seleccione "Desvincular cuenta de Google"
4. Confirme la acción

Tras la desvinculación, podrá continuar usando su cuenta con email y contraseña tradicional.

5. Menores de edad

De conformidad con el artículo 8 del RGPD y artículo 7 de la LOPDGDD, la edad mínima para prestar consentimiento es de 14 años. Para menores de 14 años se requerirá el consentimiento de padres o tutores.

6. Finalidades del tratamiento

Tratamos sus datos personales para las siguientes finalidades:

6.1. Prestación del servicio principal

• Gestión de cuentas de usuario
• Gestión de la cartera de propiedades de la agencia
• Gestión de conversaciones con leads (WhatsApp, email y formularios)
• Funcionalidades de búsqueda y filtrado

6.2. Comunicaciones

• Notificaciones sobre la actividad de la cuenta
• Respuestas a consultas y soporte técnico
• Comunicaciones de seguridad

6.3. Mejora del servicio

• Análisis de uso y estadísticas (datos anonimizados)
• Desarrollo de nuevas funcionalidades
• Optimización de la experiencia del usuario

6.4. Cumplimiento legal

• Cumplimiento de obligaciones legales
• Cooperación con autoridades competentes

7. Base legal del tratamiento

Los tratamientos se basan en:

• Consentimiento (art. 6.1.a RGPD): Para cookies no esenciales, comunicaciones promocionales
• Ejecución de contrato (art. 6.1.b RGPD): Para la prestación del servicio principal
• Interés legítimo (art. 6.1.f RGPD): Para seguridad, mejora del servicio, análisis técnico
• Cumplimiento legal (art. 6.1.c RGPD): Para obligaciones legales aplicables

8. Destinatarios de los datos

8.1. Encargados y subencargados del tratamiento

Los siguientes proveedores tratan datos personales por cuenta de Oquarto como encargados o subencargados del tratamiento, en virtud de contratos de tratamiento de datos conforme al artículo 28 RGPD:

Además, el servicio de geocodificación y validación de direcciones (osm.oquarto.com) es un servicio propio de Oquarto alojado en los servidores UE del proveedor de infraestructura indicado en la tabla. Si un agente conecta su cuenta de email profesional (Gmail o Microsoft Outlook), los mensajes se envían y reciben a través de los servidores de Google o Microsoft conforme a sus respectivas políticas.

La identidad nominal de los proveedores englobados en categorías se facilita a las agencias clientes en el marco del acuerdo de encargo de tratamiento (Anexo I de los Términos y Condiciones) y puede solicitarse en cualquier momento a privacy@oquarto.com.

8.2. Responsables independientes y corresponsables

Los siguientes proveedores no actúan como encargados de Oquarto, sino como responsables independientes del tratamiento (o, en su caso, corresponsables) respecto de los datos que tratan para sus propios fines, conforme a sus propias políticas de privacidad:

• Google (Ads, Analytics y OAuth): Autenticación mediante Google Sign-In, conector opcional de Google Workspace (ver sección 4.2), analítica web (Google Analytics) y medición de conversiones publicitarias (Google Ads), estas dos últimas solo con su consentimiento de cookies. Política de privacidad de Google
• Meta Platforms (WhatsApp Business Platform y publicidad): Los mensajes de WhatsApp transitan por los servidores de Meta, que los trata conforme a sus propios términos. Política de privacidad de Meta
• Stripe (entidad de pagos): Procesamiento de pagos y facturación. Como entidad de pagos regulada, Stripe actúa como responsable independiente respecto de los datos necesarios para procesar las transacciones. Política de privacidad de Stripe

Las transferencias internacionales que estos proveedores realicen se rigen por sus propios mecanismos de transferencia; consulte sus políticas de privacidad.

8.3. Otros miembros del equipo y leads

Cierta información se hace visible a otros miembros del equipo de la agencia y a los leads con los que se comunica:

• Nombre y datos de contacto profesionales del agente en las conversaciones con leads
• Foto de perfil (si se proporciona)
• Información de propiedades compartida con los leads en las comunicaciones

8.4. Autoridades

Solo compartiremos datos con autoridades cuando sea legalmente requerido.

8.5. Procesamiento con inteligencia artificial

8.6. Decisiones automatizadas y elaboración de perfiles (art. 22 RGPD)

En el CRM de las agencias, nuestros sistemas pueden calcular una puntuación de interés o encaje de los leads (lead scoring) a partir de sus interacciones (mensajes, visitas, respuestas). Esta puntuación:

• Es una herramienta de apoyo a la decisión humana: la decisión comercial la toma siempre una persona de la agencia
• No produce efectos jurídicos sobre usted ni le afecta significativamente de modo similar
• No supone exclusión automática de ningún servicio ni oferta

En cualquier caso, usted tiene derecho a oponerse a esta elaboración de perfiles y a solicitar información sobre la lógica aplicada escribiendo a privacy@oquarto.com.

9. Transferencias internacionales

Algunos de nuestros proveedores están ubicados fuera del Espacio Económico Europeo. En estos casos, garantizamos un nivel adecuado de protección mediante los mecanismos indicados para cada proveedor en la tabla de la sección 8.1:

• Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea, junto con la certificación en el EU-US Data Privacy Framework: Vercel, Cloudflare, OpenAI y el proveedor de email transaccional
• Cláusulas Contractuales Tipo (SCCs): los proveedores de voz de IA, de inferencia de IA y de orquestación de tareas, y PostHog (esta última solo cuando el proyecto se aloja en EE.UU.; ver Política de Cookies)
• Sin transferencia internacional: Supabase (proyecto alojado en la UE), el proveedor de infraestructura UE (Alemania) y el almacenamiento de ficheros Cloudflare R2 (configurado en la UE)

Las transferencias realizadas por los responsables independientes indicados en la sección 8.2 (Google, Meta y Stripe) se rigen por sus propios mecanismos de transferencia.

10. Plazos de conservación

10.1. Datos de cuenta activa

• Mientras mantenga su cuenta activa
• Hasta 2 años después de la última actividad

10.2. Datos de propiedades

• Mientras la propiedad esté activa en la plataforma
• Hasta 1 año después de su eliminación (para resolver incidencias)

10.3. Comunicaciones

• Mensajes de chat: hasta 3 años
• Emails de soporte: hasta 2 años

10.4. Datos técnicos

• Logs de acceso: hasta 12 meses
• Datos estadísticos anonimizados: indefinidamente

11. Derechos de los interesados

Conforme al RGPD y LOPDGDD, usted tiene derecho a:

11.1. Derechos de acceso

• Obtener información sobre si tratamos sus datos
• Acceder a sus datos personales
• Obtener copia de los datos

11.2. Derecho de rectificación

• Solicitar la corrección de datos inexactos
• Completar datos incompletos

11.3. Derecho de supresión ("Derecho al olvido")

Solicitar la eliminación de sus datos cuando:

• Ya no sean necesarios para la finalidad
• Retire su consentimiento
• Se hayan tratado ilícitamente

11.4. Derecho de limitación

Solicitar la limitación del tratamiento en determinadas circunstancias

11.5. Derecho de portabilidad

• Recibir sus datos en formato estructurado
• Transmitir datos directamente a otro responsable

11.6. Derecho de oposición

• Oponerse al tratamiento basado en interés legítimo
• Oponerse al marketing directo

11.7. Derechos adicionales (LOPDGDD)

• Derecho a la rectificación y supresión en redes sociales
• Derecho al olvido en buscadores

12. Ejercicio de derechos

Para ejercer sus derechos:

Email: privacy@oquarto.com

Formulario web: (Se habilitará en la plataforma)

Información requerida:

• Identificación del titular
• Derecho que desea ejercer
• Motivo de la solicitud (en caso de oposición)

Plazo de respuesta: Máximo 1 mes (prorrogable a 3 meses en casos complejos)

13. Eliminación de datos (data deletion)

Puede eliminar su cuenta y todos sus datos de forma autónoma, sin necesidad de contactar con nosotros. Esta funcionalidad también cumple los requisitos de Meta Platforms para aplicaciones que utilizan Facebook Login y la API de WhatsApp Business.

14. Reclamaciones

Si considera que el tratamiento no se ajusta a la normativa, puede presentar reclamación ante:

15. Medidas de seguridad

Implementamos medidas técnicas y organizativas apropiadas:

15.1. Medidas técnicas

• Cifrado de datos en tránsito y reposo
• Sistemas de autenticación seguros
• Firewalls y sistemas de detección de intrusiones
• Copias de seguridad regulares

15.2. Medidas organizativas

• Políticas de acceso y control
• Formación del personal
• Auditorías de seguridad periódicas
• Procedimientos de notificación de brechas

Puede consultar el detalle de nuestras medidas de seguridad y la lista de subencargados en nuestra página pública de seguridad, disponible en /trust.

16. Cookies y tecnologías similares

Para información detallada sobre el uso de cookies, consulte nuestra Política de Cookies específica.

17. Actualizaciones de la política

Esta política puede actualizarse periódicamente. Le notificaremos cambios significativos por email o mediante aviso en la plataforma.

18. Contacto y Delegado de Protección de Datos

Para consultas sobre privacidad:

Responsable: OQUARTO IBERIA, SOCIEDAD LIMITADA

Dirección: Calle de la Senia, 2, Bloque E, Piso 0, Puerta 2a, 08395 Sant Pol de Mar, Barcelona, España

Teléfono: +34 684 721 031

Email: privacy@oquarto.com

Delegado de Protección de Datos:

Email: privacy@oquarto.com