Política de privacidad

• Datos de cuenta: nombre, correo, contraseña cifrada, teléfono y rol (cliente o profesional).
• Datos profesionales: razón social, NIF/VAT, dirección, documentación KYC y áreas de cobertura.
• Datos del servicio: contenido de los encargos, pujas, mensajes y valoraciones.
• Datos de pago: Stripe gestiona la tarjeta y el IBAN; nosotros conservamos solo el ID de transacción y el importe.
• Datos de facturación: nombre o razón social, NIF, dirección y correo, para emitir la factura.
• Datos técnicos: IP (para limitar abusos), tipo de navegador y registros de errores.

• Prestar el servicio (ejecución del contrato): autenticación, publicación de encargos, pujas, mensajería, pagos y facturación.
• Cumplir obligaciones legales: facturación, conservación contable, fiscalidad.
• Prevenir el fraude y mantener la seguridad (interés legítimo): límite de peticiones por IP, detección de cuentas sospechosas y filtro automático de datos de contacto, enlaces y lenguaje ofensivo en la mensajería y en los textos públicos.
• Publicar contenido visible para otros usuarios (ejecución del contrato): el perfil público de los Profesionales, las valoraciones (con el nombre de pila del autor) y los encargos abiertos, que se muestran sin iniciar sesión solo con la ciudad, sin dirección, matrícula ni documentos.
• Revisar la documentación de los Profesionales antes de que puedan ofertar (ejecución del contrato y obligación legal).
• Comunicaciones comerciales (consentimiento): solo si has aceptado expresamente recibirlas; puedes retirarlo en cualquier momento.

No vendemos datos. Los compartimos con el Profesional que eliges (los necesarios para prestar el servicio) y con estos proveedores, que tratan datos por cuenta nuestra bajo contrato de encargo (art. 28 RGPD):

• Stripe Payments Europe, Ltd. (Irlanda): pagos y cobros de los Profesionales. Para la prevención del fraude en pagos, Stripe actúa además como responsable propio.
• Noa (heynoa.es): emisión y envío de facturas.
• Supabase (servidores en la UE, Irlanda): base de datos y archivos.
• Vercel Inc.: alojamiento de la web.
• Resend: envío de correos de la plataforma.
• Upstash: límite de peticiones por IP.
• Sentry (servidores en la UE): registro de errores.
• Google: mapas y autocompletado de direcciones y, si lo eliges, inicio de sesión con Google.
• HERE: cálculo de rutas en la calculadora de transporte.
• Los servicios de notificaciones de tu navegador (Google, Apple, Mozilla o Microsoft), si activas los avisos push.

Vercel, Google, Resend, Upstash y HERE pueden tratar datos fuera del Espacio Económico Europeo, principalmente en EE. UU. Lo hacen al amparo del Marco de Privacidad de Datos UE-EE. UU. o de las cláusulas contractuales tipo de la Comisión Europea.

• Datos de cuenta: mientras esté activa y, tras la baja, durante el plazo legal aplicable (hasta 6 años para datos contables).
• Datos contractuales: 6 años desde la finalización (art. 30 Código de Comercio).
• Documentación de los encargos (la que suben clientes y profesionales): 6 años desde el cierre, por obligaciones fiscales y posibles reclamaciones.
• Documentación de verificación de Profesionales: mientras la cuenta esté activa y 6 años tras la baja.
• Registros técnicos y de auditoría: hasta 2 años.
• Datos de marketing: hasta que retires el consentimiento.

Tienes derecho a acceder, rectificar, suprimir, oponerte, limitar el tratamiento y portar tus datos. Puedes ejercerlos escribiendo a privacy@carrevol.com desde el correo de tu cuenta. Solo te pediremos un documento de identidad si hay dudas razonables sobre quién hace la solicitud. Tienes también derecho a presentar reclamación ante la Agencia Española de Protección de Datos (aepd.es).

Aplicamos medidas técnicas y organizativas adecuadas: cifrado en tránsito, contraseñas cifradas con bcrypt, documentos sensibles en almacenamiento privado con enlaces temporales, doble factor obligatorio para administradores y registro de errores. El acceso a datos personales se limita al personal estrictamente necesario.

La Plataforma está dirigida a personas mayores de 18 años. Si detectamos que un menor ha creado cuenta sin consentimiento parental, suprimiremos su información lo antes posible.

Cualquier modificación sustancial de esta política se comunicará por correo y dentro de la propia Plataforma con un mínimo de 15 días de antelación.