Política de Privacidad

1. Quién es el responsable

El responsable del tratamiento de tus datos es Ramon da Cruz Amaro, persona física con domicilio en Avenida del Doctor Jiménez Díaz, 26, Alicante (España).

Representante en la Unión Europea (art. 27 del RGPD): no aplica, porque el responsable está establecido en España.

Delegado de protección de datos (DPO): no hemos designado un delegado de protección de datos; para cualquier cuestión escríbenos a privacidad@workfly.es.

Para cualquier asunto de privacidad, escribe a privacidad@workfly.es si estás en España o a privacidade@workfly.pt si estás en Portugal.

2. Datos que tratamos

• Registro: nombre, correo electrónico, teléfono y contraseña (guardada solo como hash, que no permite recuperarla).
• Documento fiscal de tu país: en España, NIF o NIE (persona) o CIF (empresa); en Portugal, NIF (persona) o NIPC (empresa).
• Perfil profesional: descripción, foto, profesiones, servicios, portafolio y ciudades en las que trabajas.
• Direcciones: las direcciones que indicas en las solicitudes y en el perfil.
• Contenido que envías: solicitudes (título, descripción, fotos y dirección), presupuestos, citas, mensajes, valoraciones y fotos de perfil y portafolio.
• Verificación de identidad, si decides hacerla: foto de un documento y una selfie (sección 4).
• Datos técnicos: dirección IP, información del dispositivo (sistema, versión de la app), el identificador de notificaciones (token de push) y eventos de uso de la aplicación (pantallas y acciones).
• Visitas a perfiles y establecimientos: registramos la dirección IP y el navegador o dispositivo de cada visita; si tienes la sesión iniciada, la visita también queda asociada a tu cuenta y, si no, guardamos además un código derivado de la IP y del dispositivo. Quien es titular del perfil ve solo los números, nunca quién lo visitó.
• Idioma elegido en la aplicación.
• Origen del registro: la respuesta que des a "cómo nos conociste"; y, en la web, la campaña de la que llegaste, registrada solo si aceptas las cookies de análisis.
• Ubicación precisa: solo cuando la autorizas en el dispositivo.
• Recomendaciones y enlaces abiertos antes de instalar: quién te recomendó, si creaste la cuenta por un enlace de recomendación (cada recomendación que se convierte en una cuenta activa suma puntos en el ranking de quien recomendó); hasta 24 horas, un código derivado de la dirección IP y del tipo de dispositivo de quien abrió en el navegador un enlace de Workfly antes de instalar la aplicación; en Android, el código de origen que Play Store entrega en la instalación; y, en la primera apertura, una lectura única del portapapeles en busca de un enlace de Workfly (en el iPhone, solo si lo permites), que se borra si se encuentra el enlace.
• Clientes registrados por profesionales: nombre, teléfono y correo electrónico que un profesional o un establecimiento indica al registrar a sus propios clientes, para organizar la agenda y enviar la invitación para crear la cuenta.

3. Para qué los usamos y con qué base jurídica

• Ejecución del contrato (art. 6.1.b del RGPD): crear y mantener tu cuenta, mostrar tu perfil, enviar y recibir solicitudes, presupuestos, mensajes y citas, y enviar los avisos del servicio.
• Interés legítimo (art. 6.1.f): seguridad de la plataforma, prevención del fraude y del abuso, gestión de denuncias y mejora del servicio; y comunicaciones sobre el uso de Workfly (recordatorios, consejos y novedades) por correo y notificación, que puedes dejar de recibir con el enlace de baja de cada correo o en los ajustes de notificaciones del dispositivo. Puedes oponerte a estos usos (sección 9).
• Consentimiento (art. 6.1.a): ubicación precisa, cookies de análisis en la web y difusión de tu solicitud en las redes sociales. Puedes retirar cada uno en cualquier momento, sin que afecte a lo ya hecho.
• Obligación legal (art. 6.1.c): cuando la ley o una orden de una autoridad nos obliga a conservar o facilitar datos.

Los datos de registro son necesarios para crear la cuenta y usar Workfly; los demás son opcionales y no facilitarlos solo limita la función correspondiente.

4. Verificación de identidad

En España y en Portugal la verificación de identidad es opcional: quien la completa recibe en su perfil el sello de perfil verificado. Para ello envías una foto de un documento de identidad y una selfie. Estas imágenes son datos biométricos y solo las tratamos con tu consentimiento explícito (art. 9.2.a del RGPD), que das al marcar la autorización en la pantalla de envío. Una persona de nuestro equipo compara la selfie con el documento; no usamos reconocimiento facial automático y no hay decisiones automatizadas. Las imágenes se guardan en un almacenamiento privado, solo el equipo de Workfly puede abrirlas y cada apertura queda registrada.

Cuánto tiempo las conservamos. Las imágenes se conservan mientras exista tu cuenta, también después de la decisión de aprobar o rechazar. Las conservamos para poder volver a comprobar tu identidad si surge una sospecha de fraude o una reclamación sobre la cuenta, y retirar el sello cuando proceda, sin pedirte un nuevo envío. Consientes este plazo al marcar la autorización. Cuando eliminas la cuenta, las imágenes se borran.

Cómo retirar el consentimiento. Escribe al correo de privacidad de tu país (sección 1). Si tu envío todavía está en revisión, se cierra sin aprobación y sin aviso en la aplicación; en cualquier caso, el equipo borra el documento y la selfie de forma definitiva, y esa acción queda en el registro de auditoría, con el motivo. Retirar el consentimiento no afecta a la comprobación ya hecha.

Si no quieres enviarlas. Rechazar o retirar el consentimiento no te impide usar Workfly: tu perfil solo queda sin el sello.

5. Con quién los compartimos

Usamos los proveedores siguientes para operar Workfly. Cada uno recibe solo los datos indicados:

Proveedor

Neon

Para qué

base de datos; recibe todos los datos guardados

Dónde

EE. UU. (us-east-1)

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Railway

Para qué

alojamiento de la API; recibe cada petición a la aplicación y su procesamiento

Dónde

EE. UU. (este)

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Cloudinary

Para qué

almacenamiento de las fotos enviadas; el documento y la selfie van a un almacenamiento privado

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Resend

Para qué

envío de correos; recibe correo electrónico, nombre y contenido del mensaje

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Brevo

Para qué

envío de correos; recibe correo electrónico, nombre y contenido del mensaje

Dónde

UE (Francia)

Garantía

No hay transferencia (UE)

Proveedor

Expo

Para qué

entrega de notificaciones (token de push, título y texto del aviso) y actualización de la aplicación, que recibe la IP y datos del dispositivo y de la app en cada apertura

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Google

Para qué

mapa de la aplicación en Android, búsqueda de direcciones, inicio de sesión con Google, entrega de notificaciones en Android y medición de visitas de la web, esta solo después de que aceptes las cookies de análisis

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Apple

Para qué

inicio de sesión con Apple y entrega de notificaciones en el iPhone

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Anthropic

Para qué

redactar el texto de las publicaciones de solicitudes (título, descripción y ciudad de la solicitud) y sugerir la descripción del perfil (profesión y el texto sobre el trabajo)

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Meta

Para qué

publicación de la solicitud en Instagram y Facebook (título y descripción de la solicitud) y la @ de quien autorizó la mención

Dónde

EE. UU./Irlanda

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Sentry

Para qué

registros de errores y de rendimiento; en el servidor, el usuario va solo con su id y, en los registros de errores, se filtran los parámetros de la dirección y 5 cabeceras (de autorización, cookies, depuración y claves de API); el resto de los datos de la solicitud, como la dirección IP, puede seguir

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Vercel

Para qué

alojamiento de la web y del panel; recibe la IP y las peticiones de quien los visita

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Microsoft Clarity

Para qué

grabación de sesión en la web, solo después de que aceptes las cookies de análisis

Dónde

EE. UU.

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Proveedor

Upstash

Para qué

contadores de límite de uso (envío de archivos, mensajes de chat, eventos en tiempo real) con ids de usuario y de conversación, la conversación abierta de cada persona y el tráfico de eventos en tiempo real del chat

Dónde

fuera del EEE (región por confirmar)

Garantía

Cláusulas contractuales tipo de la Comisión Europea

Otros usuarios ven tu perfil público y, cuando hay una solicitud, un presupuesto, una cita o una conversación entre vosotros, lo necesario para acordar el servicio. En el nombre y la descripción públicos del perfil eliminamos automáticamente el teléfono, el correo electrónico, los enlaces, las @ de redes sociales y la dirección que hayas escrito. Tu teléfono, tu correo electrónico y la dirección completa del servicio solo se muestran a la otra persona después de que el servicio quede acordado (presupuesto aceptado o cita confirmada) y hasta 7 días después de completarse; antes de eso, el profesional solo ve el barrio, la ciudad y la provincia de la solicitud. Cuando abres ese contacto en la aplicación, la consulta queda registrada. Las solicitudes publicadas también aparecen en las páginas de oportunidades de la web, abiertas a cualquier persona y a los buscadores, con el servicio, la ciudad, el título, la descripción, las fotos de la solicitud, el rango de valor y la fecha, sin tu nombre ni tu contacto; eliminamos automáticamente el teléfono, el correo electrónico y la dirección del título y de la descripción. El teléfono de un establecimiento, si está registrado, aparece en su página pública. También facilitamos datos a las autoridades cuando la ley lo exige.

6. Transferencias internacionales

La mayoría de los proveedores está en Estados Unidos, fuera del Espacio Económico Europeo. Cada transferencia se apoya en la decisión de adecuación de la Comisión Europea para el EU-US Data Privacy Framework, cuando el proveedor está certificado, o en las cláusulas contractuales tipo aprobadas por la Comisión (art. 46.2.c del RGPD). La columna "Garantía" de la sección 5 indica cuál se aplica a cada proveedor. Puedes pedir una copia de esas garantías al correo de privacidad de tu país.

7. Difusión en redes sociales

En España y en Portugal, una solicitud solo se difunde en las redes sociales de Workfly si lo autorizas en la propia solicitud. La publicación muestra el servicio, la ciudad, el título, la descripción, el rango de presupuesto y la fecha, sin tu nombre, tu foto ni tus datos de contacto; el teléfono, el correo y la dirección se eliminan automáticamente del texto. Si lo autorizas, etiquetamos tu Instagram como colaborador. Puedes deshacer la autorización en la pantalla de la solicitud mientras no se haya publicado; para retirar una publicación que ya está en línea, escribe al correo de privacidad de tu país.

8. Cuánto tiempo los conservamos

Dato

Notificaciones leídas

Plazo

90 días

Dato

Notificaciones no leídas

Plazo

180 días

Dato

Correos ya procesados (enviados, descartados o fallidos)

Plazo

180 días

Dato

Eventos de uso de la aplicación (incluyen IP y dispositivo)

Plazo

90 días

Dato

Registro de cambios hechos a través de la API (auditoría)

Plazo

180 días

Dato

Registro de alta, inicios de sesión (incluidos los fallidos), cierres, renovaciones de sesión y restablecimientos de contraseña

Plazo

365 días

Dato

Fallos de entrega de avisos

Plazo

90 días

Dato

Visitas de robots a perfiles y establecimientos

Plazo

30 días

Dato

Visitas de personas a perfiles y establecimientos (IP, navegador y, en su caso, la cuenta)

Plazo

sin borrado automático por plazo; se eliminan al eliminar la cuenta (las visitas sin cuenta asociada no tienen plazo fijo)

Dato

Códigos de verificación por correo y de restablecimiento de contraseña

Plazo

1 día después de caducar

Dato

Sesiones caducadas

Plazo

30 días después de caducar

Dato

Documento y selfie de la verificación de identidad

Plazo

mientras exista la cuenta (sección 4)

Dato

Registros de seguridad (consulta del contacto de otra persona, eliminación de cuenta y acciones del equipo, como cada apertura de las imágenes de identidad)

Plazo

se conservan por seguridad y rendición de cuentas; el sistema no los borra automáticamente

Los datos de la cuenta se conservan mientras exista. Cuando eliminas la cuenta en la aplicación, borramos de forma definitiva la cuenta y todos los datos vinculados a ella: perfil (con descripción, fotos y portafolio), solicitudes, presupuestos, citas, mensajes, valoraciones, dispositivos, inicios de sesión con redes sociales, sesiones, el registro de los documentos que aceptaste y las imágenes de identidad. Las conversaciones, valoraciones y citas que tenías con otras personas también dejan de existir para ellas. La eliminación no se puede deshacer. La eliminación también borra los mensajes que nos enviaste por el formulario de sugerencias y reclamaciones, las visitas que hiciste a perfiles y establecimientos, los eventos de uso de la aplicación y, si tu contacto estaba en nuestra lista de difusión, el nombre, el teléfono y el historial de envíos de esa lista. También borramos las fichas de cliente que profesionales y establecimientos tenían sobre ti y que estaban vinculadas a tu cuenta por una cita, y pedimos al equipo que elimine a mano las publicaciones de tus solicitudes en las redes de Workfly. Solo se conservan los registros de auditoría (registro, entradas y salidas, cambios hechos por la API y acciones del equipo), que guardamos por seguridad y rendición de cuentas hasta el final de los plazos de la tabla anterior, tu correo electrónico, que guardamos solo como registro de baja para que no vuelvas a recibir nuestras comunicaciones aunque tu contacto nos llegue de nuevo, las copias de seguridad de la base de datos, que guardan el historial de las últimas 48 horas, los avisos y correos electrónicos que otras personas ya recibieron con tu nombre y las fichas de cliente que un profesional creó por su cuenta con tu teléfono, sin vínculo con tu cuenta.

9. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y a retirar en cualquier momento un consentimiento que hayas dado.

• Supresión: puedes eliminar la cuenta desde la propia aplicación o pedir la eliminación al correo de privacidad de tu país; el efecto es el mismo.
• Portabilidad: usa "Descargar mis datos" en la aplicación o en la web para recibir un archivo con tus datos. El archivo no incluye el documento completo (va enmascarado), las imágenes de la verificación de identidad (solo el estado y las fechas de cada envío), los mensajes que recibiste (solo los que enviaste), las sugerencias y reclamaciones enviadas por el formulario, los eventos de uso de la aplicación, los tokens de sesión y de notificaciones ni los registros técnicos (de acceso, de auditoría y de visitas). Cada lista trae hasta 1.000 elementos (mensajes, hasta 5.000; notificaciones, hasta 500), y el archivo indica qué lista se recortó; si quieres una copia íntegra, pídela al correo de privacidad de tu país.
• El resto de los derechos: escribe a privacidad@workfly.es (España) o a privacidade@workfly.pt (Portugal).

Respondemos en un plazo de 1 mes, que puede prorrogarse en los casos previstos en el art. 12.3 del RGPD.

Si crees que no se han respetado tus derechos, puedes presentar una reclamación ante la autoridad de control: en España, la Agencia Española de Protección de Datos (AEPD, www.aepd.es); en Portugal, la Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt).

El uso de cookies en la web se describe en la Política de Cookies.

10. Decisiones automatizadas y orden de resultados

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti o que te afecten de forma significativa. El orden de los resultados de búsqueda y la posición en el ranking se calculan con reglas fijas, descritas en los Términos de Uso.

11. Menores

Workfly es solo para mayores de 18 años. Si sabemos que tratamos datos de un menor, los borramos.

12. Cambios

Cuando esta política cambie, publicaremos una versión nueva con la fecha de actualización y te avisaremos en la aplicación, que te pedirá que leas la nueva versión.