En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Findya informa sobre el tratamiento de tus datos personales.
1. Responsable del tratamiento
- Responsable: Francisco Javier García Cámara
- NIF: 51252697A
- Nombre comercial: Findya
- Domicilio: Calle Cosme Damián Churruca, 4, 28669 Boadilla del Monte, Madrid, España
- Email de contacto: soporte@findya.es
- Actividad: Plataforma digital de intermediación de servicios entre particulares
- Delegado de protección de datos: no existe delegado de protección de datos (DPD) porque no concurren los supuestos del art. 37 RGPD y 34 LOPDGDD; el contacto para cualquier cuestión es soporte@findya.es.
2. Datos que recogemos y finalidades
Las categorías de datos que recogemos dependen de tu actividad e interacción con Findya. Solo recabamos los datos estrictamente necesarios para cada finalidad:
Datos básicos de registro
Nombre y apellidos, correo electrónico, teléfono y contraseña cifrada. Finalidad: crear y gestionar tu cuenta. Base legal: ejecución de contrato (art. 6.1.b RGPD). Conservación: hasta que elimines tu cuenta - al hacerlo, tus datos identificativos (nombre, apellidos, email, teléfono, avatar, biografía y zona) se anonimizan de inmediato en tu perfil. Quedan bloqueados durante 6 años, por obligación fiscal, los datos de transacciones y facturación - y conviene que sepas qué significa eso con precisión: en las facturas de comisión ya emitidas (si has cobrado como Helper) permanecen congelados tu nombre, tus apellidos y tu correo electrónico, porque una factura no puede alterarse después de expedida (art. 164 LIVA y Ley General Tributaria). Esos datos no se usan para nada más que la contabilidad y la declaración fiscal obligatoria.
Además, si al eliminar tu cuenta habías pagado algún servicio en los 137 días anteriores, conservamos únicamente tu nombre y tu correo electrónico asociados a ese servicio durante otros 137 días. El motivo es que tu banco puede reclamar un cargo hasta 120 días después de hacerlo, y entre la autorización del pago y el cargo definitivo pueden pasar hasta 17 días más; sin esos dos datos no podríamos acreditar ante la entidad que el servicio lo contrataste tú y se prestó. Base legal: defensa de reclamaciones (art. 17.3.e RGPD). Pasado ese plazo se borran automáticamente, no se usan para ninguna otra finalidad y tu perfil queda anonimizado igualmente desde el primer momento.
Datos de verificación de identidad (Helpers)
La verificación de identidad del Helper la realiza Stripe (a través de Stripe Connect Express) durante su proceso de verificación (KYC), en calidad de responsable independiente de esos datos, que trata en cumplimiento de sus propias obligaciones legales como entidad de pago (verificación de identidad y prevención del fraude) y conforme a su propia política de privacidad. Findya no recibe ni almacena la imagen del documento de identidad (DNI o NIE) del Helper: de la verificación de Stripe solo recibe un indicador del estado de verificación (verificado o pendiente). Si Stripe te pide fotografiar tu documento, lo hace desde su propio formulario, integrado en la página, con el permiso de cámara de tu navegador; Findya no accede a la cámara ni recibe las imágenes. Para facilitar el proceso, el formulario de verificación de findya.es (“Activar cobros”, en Mi cuenta) puede recoger en tránsito fecha de nacimiento, dirección y nacionalidad, que se reenvían a Stripe en el momento y no se guardan en los sistemas de Findya. Finalidad: verificar la identidad del Helper y prevenir el fraude. Base legal: ejecución de contrato y obligación legal (art. 6.1.b y 6.1.c RGPD). Conservación: el indicador de estado se conserva mientras la cuenta esté activa.
De ese formulario guardamos en tu cuenta tus apellidos y tu móvil, y se los pasamos a Stripe para abrir tu cuenta de cobros. No salen en tu perfil público, donde de los apellidos solo se ve la inicial (salvo en tus datos legales si te declaras profesional). Base legal: ejecución de contrato (art. 6.1.b RGPD) y, para los apellidos, también obligación legal (art. 6.1.c RGPD): van en la factura de tu comisión y en la declaración DAC7. Conservación: mientras tengas la cuenta (al eliminarla se anonimizan); los apellidos de las facturas emitidas, 6 años.
Datos de pago
Tanto el cobro a los clientes como el pago a los Helpers los procesa íntegramente Stripe (Stripe Connect Express), en calidad de responsable independiente del tratamiento para los pagos, la verificación de identidad (KYC) y la prevención del fraude, conforme a su propia política de privacidad; Stripe actúa como encargado de tratamiento de Findya únicamente respecto de las evidencias que Findya le remite para gestionar un contracargo (ver «Datos del chat interno»). Findya no almacena en sus propios sistemas datos de tarjetas bancarias ni el número de cuenta bancaria del Helper: esos datos los recoge y custodia Stripe durante su proceso de verificación. Al contratar un servicio, tu método de pago queda guardado en Stripe asociado a tu cuenta con una única finalidad: renovar automáticamente la retención del pago si el servicio es para dentro de varios días (la autorización bancaria caduca a los 5-7 días, según la tarjeta, y se re-autoriza por el mismo importe, sin cargos nuevos). Findya solo conserva el identificador que Stripe le asigna, nunca el número. El método guardado se utiliza exclusivamente para estas renovaciones: una vez el pago se captura o se cancela definitivamente deja de utilizarse, al eliminar tu cuenta se elimina también tu ficha de cliente en Stripe, y puedes solicitar su eliminación en cualquier momento escribiendo a soporte@findya.es. Si pagas con Apple Pay o Google Pay, la cartera la prestan Apple o Google como responsables independientes, según su propia política de privacidad; Stripe recibe de ella una versión tokenizada de tu tarjeta y Findya tampoco ve su número. Antes de autorizar el pago, Findya consulta a Stripe el país de emisión de la tarjeta y si llega a través de Apple Pay o Google Pay, sin guardarlo, solo para aplicar la regla de tarjetas del EEE (Términos, cláusula 4). Con Apple Pay, Findya pasa a Apple, a través de Stripe, el nombre «Findya», la categoría del servicio (nunca el título del anuncio), el importe retenido, la fecha prevista del cobro y un enlace a «Pagos retenidos» de Mi cuenta, para mostrarlo en tu app Cartera; Apple los trata como responsable independiente. Con carácter general, Findya solo trata los identificadores de cliente/pago y los importes necesarios para liquidar cada servicio. Únicamente para cumplir la obligación fiscal DAC7 (ver «Datos fiscales» más abajo), Findya obtiene de Stripe los datos identificativos y de cuenta que la normativa le obliga a comunicar a la Agencia Tributaria. Además, en cada factura de comisión que Findya emite a un Helper por un servicio completado quedan registrados de forma permanente su nombre, apellidos, correo electrónico y su identificador de cuenta de Stripe: una factura no puede modificarse después de emitida, y esos datos son los que permiten cruzarla con la declaración fiscal. Esas facturas se conservan 6 años aunque el Helper elimine su cuenta. Finalidad: gestión de cobros y pagos. Base legal: ejecución de contrato y obligación legal de facturación (art. 6.1.b y 6.1.c RGPD). Conservación: 6 años (obligación fiscal) para los datos de transacciones.
Datos de suscripción y facturación (Findya PRO y Urgente)
Si contratas la suscripción Findya PRO o un impulso Urgente, tratamos tu identificador de cliente y de suscripción en Stripe, el plan contratado, las fechas de vigencia y el historial de facturación. Los datos de tu tarjeta los procesa exclusivamente Stripe. Finalidad: gestión, cobro, renovación y facturación de los servicios de pago de Findya, y aplicación de sus beneficios (posición preferente, insignia, personalización). Base legal: ejecución de contrato (art. 6.1.b RGPD) y obligación legal de facturación (art. 6.1.c). Conservación: 6 años (normativa fiscal).
Datos de perfil público (biografía, avatar y zona)
Tu biografía, tu foto o avatar y tu zona forman tu perfil público, visible para cualquier visitante de la Plataforma. Se utilizan para mostrar tu perfil, para que otros usuarios te encuentren mediante el buscador interno (que busca también dentro del texto de tu biografía) y, al ser páginas públicas, pueden ser indexados por buscadores externos como Google. Finalidad: presentación y emparejamiento entre usuarios. Base legal: ejecución de contrato (art. 6.1.b RGPD). Conservación: hasta que los edites o elimines tu cuenta. Escribe en tu biografía solo lo que quieras que sea público: no incluyas datos de contacto ni información sensible. Tus apellidos completos no forman parte del perfil público ni del chat: únicamente en una transacción pagada cada parte ve el nombre y apellidos completos de la otra en la página del servicio (y, si te declaras profesional, en tus datos legales), para saber con quién ha contratado (ejecución de contrato, art. 6.1.b RGPD).
Difusión de ofertas fuera de findya.es
Si publicas una oferta de servicios, Findya puede compartir en conversaciones vecinales de Nextdoor y en grupos vecinales de Facebook, normalmente cuando alguien pide ayuda con lo que ofreces, el enlace a tu oferta, su título, su precio, su zona y tu nombre tal como aparece en tu perfil público, datos que ya son públicos en findya.es. Finalidad: dar a conocer tu oferta a vecinos que la necesitan. Base legal: interés legítimo (art. 6.1.f RGPD). Destinatarios: Nextdoor y Meta Platforms Ireland Ltd., que tratan lo publicado como responsables independientes según sus propias políticas. Conservación: lo publicado permanece en esos canales hasta que se retira. Oposición: escribe a soporte@findya.es con el asunto “No difundir mis ofertas”; dejaremos de hacerlo en un máximo de 7 días y retiraremos lo publicado cuando el canal lo permita (art. 21 RGPD).
Datos de ubicación
Ciudad o zona principal indicada por el usuario durante el registro (campo obligatorio) o al editar su perfil. A partir de ella, Findya obtiene y almacena unas coordenadas aproximadas a nivel de ciudad o barrio (nunca tu dirección exacta ni tu domicilio) mediante el servicio de geocodificación Nominatim de OpenStreetMap. Mientras escribes en el campo de zona, el texto tecleado se envía al servicio de autocompletado Photon (komoot GmbH, Alemania) para sugerirte localidades; no se envía ningún otro dato de tu cuenta. Finalidad: mostrar anuncios y Helpers relevantes por proximidad. Base legal: ejecución de contrato (art. 6.1.b RGPD), por ser necesario para el emparejamiento entre usuarios. Conservación: mientras la cuenta esté activa.
Adicionalmente, y solo si pulsas el botón “Usar mi ubicación”, el navegador te pedirá permiso para acceder a la geolocalización del dispositivo; esa posición se usa únicamente para rellenar tu ciudad y centrar el mapa: se envía a OpenStreetMap, redondeada a ~1 km, para traducirla al nombre de tu ciudad, y a Findya solo le llega ese nombre. Base legal: consentimiento (art. 6.1.a RGPD), revocable en cualquier momento desde los ajustes del navegador. La última posición del mapa se guarda localmente en tu dispositivo (almacenamiento local del navegador) para recordarla en futuras visitas, sin enviarse a nuestros servidores.
Los mapas de la Plataforma se muestran mediante la librería Leaflet con mosaicos de OpenStreetMap; al cargarlos, tu navegador envía tu dirección IP a los servidores de la OpenStreetMap Foundation, conforme a su propia política de privacidad.
Datos del chat interno
Mensajes intercambiados entre Anunciantes y Helpers dentro de la Plataforma. Finalidad: prestación del servicio de mensajería y resolución de disputas o reclamaciones. Base legal: ejecución de contrato (art. 6.1.b RGPD) e interés legítimo en la gestión y prueba de eventuales disputas entre las partes (art. 6.1.f RGPD). Conservación: 1 año desde la última actividad de la conversación. Si un mensaje se incluye en un caso de moderación (una denuncia) o en una disputa sobre un pago, la copia que se guarda con ese caso se conserva hasta 2 años desde su apertura y después se borra automáticamente, aunque la conversación original ya no exista (interés legítimo, art. 6.1.f RGPD: resolver el caso y defenderse frente a reclamaciones).
Importante: si se abre una disputa o retrocesión de cargo (chargeback) sobre un pago, Findya puede aportar a Stripe - y, a través de él, a la entidad emisora de la tarjeta - extractos de la conversación relativa a ese servicio como prueba del acuerdo alcanzado entre las partes, en la medida estrictamente necesaria para defender la operación (art. 6.1.f RGPD, interés legítimo en la defensa de reclamaciones). En esta remisión de evidencias Stripe actúa como encargado de tratamiento de Findya.
Dirección o punto de encuentro del servicio
Si al contratar, o en la propuesta de acuerdo del chat, indicas la dirección o el lugar del servicio, lo guardamos con la transacción. Solo lo ven las dos partes: quien paga y quien lo escribió, siempre; el Helper, en cuanto el pago queda autorizado. Si el pago no llega a autorizarse, se borra de la transacción. No se muestra en ningún perfil ni anuncio. Finalidad: que el Helper sepa adónde ir y resolver una incidencia sobre el servicio. Base legal: ejecución del contrato (art. 6.1.b RGPD). Conservación: con la transacción mientras mantengas tu cuenta; al eliminarla se borra la dirección de los servicios que pagaste. La que escribas en la propuesta o en un mensaje normal sigue el plazo del chat (1 año).
Moderación automatizada y asistente virtual (IA)
Los textos que publicas (anuncios, biografía del perfil, mensajes del chat interno, testimonios) pasan por un filtro automatizado, basado en reglas y en modelos de inteligencia artificial, que puede ocultar datos de contacto o descartar contenido contrario a los Términos. Las imágenes de los anuncios pasan también, antes o después de publicarse, por un filtro automatizado de inteligencia artificial (proveedor Anthropic, como encargado de tratamiento) con la misma finalidad de detectar contenido contrario a los Términos; la base jurídica es el interés legítimo (art. 6.1.f) y la ejecución de contrato (art. 6.1.b), y el proveedor no conserva la imagen más allá de su plazo técnico de retención ni la utiliza para entrenar modelos. Además, un detector automático basado en reglas fijas (sin inteligencia artificial) reconoce cuándo un mensaje del chat fija un encuentro (una dirección con número, un portal o piso, un punto de encuentro o un «quedamos a las...») y anota si en ese momento hay un pago hecho entre las dos personas. No cambia ni bloquea el mensaje ni da lugar a sanciones: sirve para medir cuántos encuentros se acuerdan sin pagar por la Plataforma y, si lo activamos, para recordar a quien escribe que cierre antes el acuerdo con la propuesta de acuerdo del chat. El apunte no copia el texto del mensaje y queda en el registro de actividad. El tratamiento automatizado puede dar lugar, además, a medidas sobre la cuenta (aviso, restricción de funciones, suspensión o cierre) proporcionales a la infracción y a un índice interno de reincidencia que no se hace público; toda medida es reversible y consultable en «Estado de la cuenta». Las consultas que hagas a nuestra asistente virtual (“Lucía”, claramente identificada como IA) y los correos que envíes a soporte@findya.es - que pueden ser leídos y respondidos por la misma asistente - se procesan igualmente con modelos de IA de Anthropic (encargado de tratamiento, con las garantías del art. 46 RGPD; los datos no se usan para entrenar sus modelos). Si has iniciado sesión, tu conversación con Lucía se guarda asociada a tu cuenta y el equipo de Findya puede leerla para atender incidencias (por ejemplo, si pides hablar con una persona) y para mejorar el servicio. Finalidad: seguridad de la plataforma, cumplimiento de las normas, soporte al usuario y mejora del servicio. Base legal: interés legítimo (art. 6.1.f) y ejecución de contrato (art. 6.1.b). Decisiones automatizadas (art. 22 RGPD): las medidas automáticas que puedan producir un efecto significativo (por ejemplo, restricciones de la cuenta) se amparan en el art. 22.2.a) RGPD - necesarias para la celebración o ejecución del contrato de uso de la plataforma - y cuentan con salvaguardas: las sanciones más graves (suspensión indefinida y expulsión) nunca son totalmente automáticas y siempre puedes solicitar la revisión de una persona. Derecho a intervención humana: cualquier acción automatizada puede ser revisada por una persona escribiendo a soporte@findya.es. Conservación: el registro de acciones automáticas se conserva 1 año; las conversaciones con Lucía, un máximo de 6 meses desde tu último mensaje, y después se borran automáticamente (también al eliminar tu cuenta).
Historial de moderación de tu cuenta
Guardamos las medidas aplicadas a tu cuenta (tipo, motivo, fechas, qué funciones retiran y si la decidió un sistema automático o una persona), tus recursos y su resolución, y los puntos de reincidencia de cada infracción, que no son públicos. Finalidad: aplicar las normas de forma proporcional a la reincidencia, que puedas consultar y recurrir cualquier medida en «Estado de la cuenta» y defendernos frente a reclamaciones. Base legal: ejecución del contrato e interés legítimo (art. 6.1.b y 6.1.f RGPD) y, cuando se trata de contenido ilegal, obligación legal (art. 6.1.c RGPD y Reglamento (UE) 2022/2065). Conservación: los puntos dejan de contar a los 90 días en las infracciones leves, a los 180 días en las moderadas (como cancelar un servicio ya reservado) y a los 2 años en las graves; las extremas no caducan. Las medidas y recursos se conservan mientras tengas cuenta, para que puedas recurrir en cualquier momento, y, si la eliminas, quedan asociados a tu perfil anonimizado; una suspensión o expulsión vigente se conserva mientras dure, junto con la huella de la IP de registro, para evitar que se eluda con otra cuenta.
Indicadores de respuesta
Calculamos dos indicadores a partir de tus mensajes: (1) la capacidad de respuesta (prioridadRespuesta), si tienes algún anuncio activo: la proporción de mensajes de otros usuarios que abres, en tres niveles (superior, neutro e inferior), sin contar los del equipo de Findya; se recalcula a diario y ordena los listados de anuncios; y (2) el tiempo medio de respuesta (tiempoRespuestaHoras), si has empezado a activar los cobros: la media de horas que tardas en contestar los mensajes que recibes en cada conversación (cada respuesta cuenta una sola vez) en los últimos 60 días (solo cuentan las respuestas en menos de 48 horas y hace falta un mínimo de 3). El tiempo de respuesta se muestra en tu perfil público y ordena el listado de Helpers cuando alguien elige “Responden más rápido”; sin datos suficientes no se muestra. Detalle en la cláusula 4 ter de los Términos. Finalidad: un mercado en el que quien busca ayuda encuentre antes a quien responde. Base legal: interés legítimo (art. 6.1.f RGPD). Conservación: mientras la cuenta esté activa; se eliminan al eliminarla. Oposición: escribe a soporte@findya.es (art. 21 RGPD) y fijaremos tu capacidad de respuesta en el valor neutro y dejaremos de mostrar tu tiempo de respuesta. Ninguno de los dos produce efectos jurídicos ni es una decisión automatizada del art. 22 RGPD.
(3) Última actividad (desde el 20 de noviembre de 2026): si ofreces servicios, tus anuncios de ofertas y tu perfil de Helper muestran cuándo estuviste activo por última vez, solo el día y nunca la hora (“Activo hoy”, “Activo hace 5 días”). No se muestra en las peticiones de quien busca ayuda. Cuenta como actividad entrar con tu cuenta, escribir o contestar mensajes, o editar o reactivar tus anuncios. Finalidad: que quien busca ayuda sepa quién está disponible. Base legal: interés legítimo (art. 6.1.f RGPD). Conservación: solo guardamos la última fecha, que se sobrescribe y se borra con la cuenta. Oposición: desactívalo en Mi cuenta, al editar tu perfil (“Mostrar cuándo estuve activo por última vez”), y dejaremos de mostrarla.
Pausa automática de anuncios: usamos tu actividad y, desde el 20 de noviembre de 2026, si has contestado alguna vez en el chat a quien te escribe por tus ofertas, para pausarlas en los casos de la cláusula 3 bis de los Términos. Base legal: ejecución del contrato (art. 6.1.b RGPD). Es una decisión automatizada sin efectos jurídicos ni significativos para ti, porque te avisamos por correo con el motivo y puedes reactivarlos gratis en un clic; si crees que es un error, una persona lo revisa en soporte@findya.es.
Avisos de anuncios en tu zona y otros correos
Si tienes el email verificado, podemos enviarte un aviso por correo y notificación cuando se publique una petición nueva cerca de tu zona que encaje con tu oferta activa (misma categoría o palabras de tu oficio); se avisa a un número limitado de usuarios, con prioridad para quienes han escrito mensajes en Findya en los últimos 14 días y han activado los cobros, y por cercanía (máximo 1 email al día, salvo el aviso de un anuncio ⚡ Urgente, que no espera a esa ventana). Finalidad: informarte de oportunidades del propio servicio. Base legal: relación contractual existente sobre servicios propios similares (art. 21.2 LSSI) e interés legítimo. Baja: en un clic desde el enlace incluido en cada email o desde «Configuración» en tu cuenta. También puedes rechazarlos al darte de alta: con la casilla del formulario de registro o, si creas la cuenta con Google desde «Entrar», en el aviso que ves nada más entrar.
También podemos escribirte para recordarte pasos pendientes, invitarte a volver si llevas tiempo sin entrar o pedirte una opinión para publicarla con tu permiso. Base: art. 21.2 LSSI e interés legítimo. Baja: enlace de cada correo o «Configuración».
Medición de visitas a los anuncios
Contamos cuántas personas distintas ven cada anuncio, para que quien lo publica sepa si se está viendo y para saber qué canal nos trae visitantes. Si lo ves sin iniciar sesión, no guardamos tu dirección IP: solo un código derivado de ella mediante un algoritmo irreversible, que sirve únicamente para no contarte dos veces y no permite identificarte ni seguirte por el sitio. Tampoco guardamos la página de la que vienes, solo una etiqueta genérica del canal (por ejemplo «nextdoor» o «google»). Base legal: interés legítimo en medir el uso del servicio (art. 6.1.f RGPD), con impacto mínimo por el diseño anterior. Conservación: 1 año, tras el cual se borra automáticamente.
Si has iniciado sesión, la visita se anota asociada a tu cuenta (qué anuncio viste y cuándo), para contarla una sola vez y como dato de actividad en nuestras estadísticas internas de uso. Quien publica el anuncio solo ve el número total de visitas, nunca quién lo ha visto. Base legal: interés legítimo (art. 6.1.f RGPD). Conservación: 12 meses desde la visita, tras los cuales se borra automáticamente (antes, si eliminas tu cuenta).
Registro de actividad en la Plataforma
Apuntamos, asociados a tu cuenta, los hitos de lo que haces en Findya: registrarte, publicar un anuncio, escribir a alguien, enviar o aceptar una propuesta de acuerdo, pagar, confirmar o cancelar un servicio, valorar, o darte de alta o de baja en Findya PRO, además de algunas señales automáticas (como la detección de una cita en el chat, ver «Moderación automatizada»). Cada apunte guarda el tipo de acción, la fecha, el elemento al que se refiere y algún dato de contexto (como la categoría, la zona del anuncio o el importe). Finalidad: medir cómo se usa la Plataforma y dónde se atasca la gente, elaborar estadísticas internas, detectar abusos y fraudes, y no mandarte dos veces el mismo aviso. Base legal: interés legítimo (art. 6.1.f RGPD). Conservación: 12 meses desde cada apunte, tras los cuales se borra automáticamente. Se conservan 6 años, como prueba ante una posible reclamación (art. 17.3.e RGPD), y después se borran también, los apuntes que acreditan que aceptaste los Términos, que pediste un desistimiento y, si ofreces servicios, que te avisamos con antelación de un cambio en las condiciones (Reglamento (UE) 2019/1150, art. 3) o el motivo por el que pausamos tus ofertas por falta de respuesta (art. 4). Si eliminas tu cuenta, se borran en el acto los datos de contexto que te identifican (como la zona) y el resto queda asociado a tu perfil anonimizado. Lo encontrarás en la descarga de tus datos (apartado 5).
Notificaciones del navegador (push)
Si activas los avisos del navegador, este genera una dirección de entrega (un identificador anónimo, sin tu nombre ni tu email) que guardamos asociada a tu cuenta. Finalidad: avisarte de mensajes nuevos en el chat y de novedades de los servicios que has contratado o vas a realizar. Base legal: tu consentimiento explícito, que das al aceptar el permiso del navegador (art. 6.1.a RGPD). Destinatario: el servicio de notificaciones de tu propio navegador (Google, Apple, Mozilla o Microsoft, según cuál uses), que solo recibe el aviso cifrado. Baja: desde los ajustes de notificaciones de tu navegador en cualquier momento; también se elimina automáticamente si borras tu cuenta.
Datos de navegación
Al acceder a la Plataforma, los proveedores de alojamiento y de red (CDN) generan registros técnicos (por ejemplo, dirección IP, tipo de navegador, sistema operativo, y fecha y hora de acceso). Finalidad: seguridad y prevención del fraude. Base legal: interés legítimo (art. 6.1.f RGPD). Conservación: estos registros los conservan dichos proveedores según su propia política; Findya no mantiene un registro propio de navegación con fines de perfilado (el registro de actividad se explica en su propio apartado).
Adicionalmente, al registrarte guardamos una huella seudonimizada (hash) de la IP de registro, generada con una función SHA-256 salada, de modo que no es directamente reversible por terceros. Finalidad: prevención del fraude y de la evasión de expulsiones o sanciones. Base jurídica: interés legítimo (art. 6.1.f RGPD). Conservación: se elimina al borrar tu cuenta, salvo que exista una sanción activa, en cuyo caso se conserva por interés legítimo antifraude.
Intentos fallidos de inicio de sesión. Cuando alguien falla al entrar, apuntamos el número de fallos y la hora junto con una huella cifrada e irreversible (HMAC-SHA256) del correo tecleado y de la IP, nunca el correo ni la IP en claro. Finalidad: bloquear temporalmente los intentos (15 minutos tras 5 fallos desde la misma IP, o de 15 minutos a 2 horas si una cuenta acumula 20 fallos en una hora). Base legal: interés legítimo en la seguridad de las cuentas (arts. 6.1.f y 32 RGPD). Conservación: cada apunte deja de usarse, como máximo, 24 horas después del último fallo o bloqueo y se borra en la limpieza diaria siguiente; si restableces la contraseña, el bloqueo de tu cuenta se levanta al momento.
Datos de registro mediante Google
Si te registras con Google recibimos tu nombre, tu email y tu foto de perfil de Google, que usamos como foto pública hasta que la cambies o la quites en Mi cuenta; mientras la uses, se sirve desde los servidores de Google, que reciben la IP de quien la ve. No recibimos contraseñas ni otros datos. El tratamiento de datos por parte de Google se rige por su propia política de privacidad.
Datos que recibimos de otros usuarios
No todos los datos que tratamos sobre ti los facilitas tú (art. 14 RGPD): también recibimos de otros usuarios las valoraciones que te dejan tras un servicio, las denuncias que presentan sobre tu contenido o tu conducta con el botón “Reportar” y los mensajes de otros usuarios en los que te mencionan. Finalidad: confianza entre usuarios, moderación y resolución de incidencias. Base legal: interés legítimo (art. 6.1.f RGPD) y obligación legal de tramitar las notificaciones de contenido ilegal (art. 6.1.c RGPD y Reglamento (UE) 2022/2065, DSA). Conservación: la de cada categoría (valoraciones, mientras la cuenta esté activa; denuncias, según el apartado 3; mensajes, 1 año, o 2 años desde la apertura del caso si forman parte de una denuncia o disputa). Al eliminar tu cuenta, las valoraciones que recibiste se conservan asociadas a tu perfil ya anonimizado, porque forman parte del historial de quien las escribió; de las que tú escribiste se borra el comentario y se mantiene la puntuación.
Publicación de contenido en YouTube (Servicios de la API de YouTube)
Findya utiliza los Servicios de la API de YouTube (YouTube Data API v3) con una finalidad única y limitada: publicar de forma automatizada, en su propio canal de YouTube, los vídeos promocionales de la Plataforma. Este tratamiento no accede a los datos de tu cuenta de YouTube ni de tu cuenta de Google, ni recoge información personal tuya a través de dicha API: opera exclusivamente sobre el canal de la propia Findya. Al usar las funciones integradas con YouTube, aceptas los Términos del Servicio de YouTube, y el tratamiento de datos por parte de Google se rige por la Política de Privacidad de Google. En cualquier momento puedes revisar y revocar el acceso de aplicaciones de terceros a tu cuenta de Google desde la página de permisos de seguridad de Google. Base legal: interés legítimo en la difusión del propio servicio (art. 6.1.f RGPD). Los datos obtenidos de la API de YouTube (identificadores técnicos del vídeo publicado) se conservan únicamente mientras el contenido permanezca publicado y se eliminan si se retira el vídeo o se revoca el acceso. Findya no comparte con terceros la información obtenida a través de la API de YouTube ni permite que terceros muestren publicidad mediante esta integración.
Datos fiscales - DAC7
Findya está obligada por la Directiva (UE) 2021/514 (DAC7) a comunicar a la AEAT información de los Helpers que reciben pagos por la prestación de servicios. Al tratarse de servicios personales no se aplica el umbral de minimis de «30 operaciones o 2.000€» (reservado a la venta de bienes): la comunicación alcanza a todo Helper identificable desde la primera operación. Se comunica: nombre, NIF/NIE, fecha de nacimiento, dirección, número de cuenta bancaria e importe total de transacciones por trimestres. Base legal: obligación legal (art. 6.1.c RGPD). Conservación: 6 años. Si no nos facilitas estos datos, te los pediremos con hasta dos recordatorios y, pasados al menos 60 días desde la primera petición, la ley nos obliga a cerrar tu cuenta o a retener tus cobros mientras no los facilites.
Datos de Usuarios Profesionales
Si al publicar una oferta te declaras profesional, Findya te pide tus apellidos (el nombre completo se toma de tu cuenta), tu dirección postal, un correo electrónico y un teléfono de contacto, y los muestra a los usuarios registrados con el correo verificado en tu perfil y en tus ofertas, en un apartado de datos legales, y en el resumen previo al pago, para que quien contrata sepa con qué empresario lo hace (art. 97.1 TRLGDCU). La identidad se acredita mediante la verificación de Stripe: Findya conserva el estado de esa verificación, no una copia del documento - la imagen del DNI/NIE la trata y custodia Stripe como responsable independiente, y Findya no la recibe ni la almacena (ver el apartado de verificación de identidad más arriba). Finalidad: identificación del comerciante ante los consumidores. Base legal: ejecución del contrato (art. 6.1.b RGPD), en relación con el art. 97.1 TRLGDCU. Conservación: mientras mantengas la declaración; si la retiras o eliminas la cuenta, se borran en el acto.
3. Conservación de los datos
Los datos se conservarán mientras mantengas tu cuenta. Cuando la elimines, tus datos identificativos se anonimizan de inmediato y solo se conservan bloqueados los datos estrictamente necesarios durante los plazos legalmente exigidos:
- Datos fiscales y de transacciones: 6 años (Ley General Tributaria)
- Facturas de comisión (solo si has cobrado como Helper): 6 años. A diferencia del resto, estas facturas conservan tu nombre, apellidos y correo aunque elimines la cuenta, porque una factura ya expedida no puede modificarse (art. 164 LIVA). Es la única excepción a la anonimización inmediata, y se limita a lo que la factura obliga a llevar.
- Mensajes del chat interno: 1 año desde la última actividad de la conversación (interés legítimo, art. 6.1.f RGPD: gestión y prueba de eventuales disputas entre las partes). Si eliminas tu cuenta, pasas a figurar como «Usuario eliminado» y los mensajes que escribiste se eliminan de inmediato (la otra parte conserva los suyos propios). Única excepción: si hay un pago cuyo cargo todavía puede reclamar un banco, esos hilos se conservan hasta 137 días como prueba de la transacción (art. 17.3.e RGPD) y después se eliminan automáticamente. Aparte, las copias de mensajes incluidas en un caso de moderación (una denuncia) o en una disputa se borran a los 2 años de abrirse el caso.
- Conversaciones con la asistente Lucía: como máximo 6 meses desde tu último mensaje; se eliminan antes si eliminas tu cuenta.
- Registro de actividad en la Plataforma: 12 meses desde cada apunte (6 años los que acreditan la aceptación de los Términos, un desistimiento, el preaviso de un cambio de condiciones o el motivo de una pausa de tus ofertas por falta de respuesta).
- Intentos fallidos de inicio de sesión: dejan de usarse como máximo 24 horas después del último fallo o bloqueo y se borran en la limpieza diaria siguiente.
- Historial de moderación: mientras mantengas la cuenta; los puntos de reincidencia dejan de contar a los 90 días, 180 días o 2 años según la gravedad (ver «Historial de moderación de tu cuenta»).
- Evidencias asociadas a una denuncia (copias del contenido reportado): mientras la denuncia esté en curso y, una vez resuelta, hasta un máximo de 2 años (interés legítimo, art. 6.1.f RGPD: prueba y defensa frente a reclamaciones y obligaciones de moderación del DSA)
- Copias de seguridad: la base de datos se respalda durante 14 días en Supabase y durante 60 días, cifrada, en Cloudflare R2. Los datos de una cuenta eliminada persisten en esas copias durante ese tiempo y desaparecen con su rotación; las copias no se consultan salvo para restaurar el servicio tras un incidente.
4. Destinatarios de los datos
Findya puede compartir datos con los siguientes terceros, en la medida estrictamente necesaria:
- Stripe Payments Europe, Limited (Dublín, Irlanda) - responsable independiente para el procesamiento de pagos, la verificación de identidad (KYC) y la prevención del fraude, con su propia política de privacidad; y encargado de tratamiento únicamente respecto de las evidencias (extractos del chat del servicio afectado) que Findya le remite en caso de disputa o retrocesión de cargo. Parte del tratamiento lo realiza su matriz, Stripe, Inc. (EE. UU.), con las garantías del art. 46 RGPD y del Data Privacy Framework UE-EE. UU.
- Proveedor de hosting frontend - Vercel Inc. (transferencias internacionales amparadas en cláusulas contractuales tipo del art. 46 RGPD)
- Proveedor de hosting backend - Railway Inc. (servidor en EU West, Amsterdam, Países Bajos)
- Base de datos - Supabase Inc. (servidor en EU West, Frankfurt, Alemania)
- Proveedor de email transaccional - Resend Inc. (notificaciones automáticas, servidores en EU West)
- Alojamiento de imágenes - Supabase Inc. (fotos de anuncios y avatares, procesadas y almacenadas en el mismo proveedor que la base de datos, servidor en la UE)
- Buzón de soporte - Hostinger International Ltd. (alojamiento del correo soporte@findya.es al que escriben los usuarios)
- Infraestructura de mensajería en tiempo real - Upstash Inc. (servidor en la UE, Irlanda): tránsito efímero de los mensajes del chat entre servidores y contadores anónimos de limitación de abuso; no almacena conversaciones de forma persistente
- Copias de seguridad - Cloudflare Inc. (servidor en la UE): (a) copia de respaldo cifrada de extremo a extremo (AES-256) de la base de datos - Cloudflare no puede leer su contenido - y (b) copia de las imágenes públicas de la Plataforma (avatares y fotos de anuncios) en un almacén privado no accesible desde internet. La copia de la base de datos se rota automáticamente a los 60 días; la copia de imágenes acompaña al original: se conserva mientras la imagen exista en la Plataforma y se elimina en el mantenimiento posterior a su borrado
- Autocompletado de localidades - komoot GmbH (servicio Photon, Alemania): recibe el texto que tecleas en el campo de zona para sugerirte localidades
- Mapas y geocodificación - OpenStreetMap Foundation (mosaicos de mapa y conversión de zona a coordenadas; recibe tu IP y la zona consultada y, si usas «Usar mi ubicación», una posición aproximada de tu dispositivo, redondeada a ~1 km)
- Anthropic, PBC (San Francisco, EE. UU.) - encargado de tratamiento. Recibe los textos de anuncios y del chat para su moderación automatizada, las imágenes de los anuncios para su moderación y, en el asistente “Lucía” (chat y correos a soporte@findya.es) y en el análisis de disputas, el nombre, el correo y el contenido de la conversación afectada, junto con los datos de tus servicios necesarios para responder: títulos y estado de tus anuncios, importes y estado de tus pagos y cobros, si tienes verificados el email y los cobros y si eres PRO; en una disputa, además, las fechas del servicio y de la contratación y el nombre de la otra parte. Transferencia internacional amparada en el art. 46 RGPD (cláusulas contractuales tipo) y/o en el Data Privacy Framework UE-EE. UU.; sin uso de los datos para entrenar sus modelos
- Google LLC (Firebase Cloud Messaging), Apple Inc., Mozilla Corporation y Microsoft Corporation - entrega de las notificaciones push, si las activas, como intermediarios técnicos del navegador que uses (Chrome y Android, Safari, Firefox y Edge, respectivamente): cada uno recibe únicamente la dirección de entrega anónima y el aviso cifrado, nunca tu nombre ni tu email (transferencias amparadas en el art. 46 RGPD)
- Microsoft Corporation (IndexNow) - recibe únicamente las URL públicas de los anuncios para que los buscadores las indexen antes; no se le envía ningún dato personal
- UptimeRobot - monitorización de la disponibilidad de la Plataforma (comprueba que responde); no recibe datos personales
- Sentry (Functional Software, Inc.) - monitorización técnica de errores para mantener la Plataforma estable y segura (interés legítimo, art. 6.1.f RGPD). Datos alojados en la UE (Alemania), sin cookies y sin recoger datos personales de forma deliberada.
- Google Ireland Ltd. - (a) si eliges registrarte o iniciar sesión con tu cuenta de Google (OAuth); y (b) solo si prestas tu consentimiento en el banner de cookies, Google Analytics 4 para estadísticas de uso agregadas y con IP anonimizada (y, en su caso, Google Ads para medición publicitaria). Estas herramientas no se cargan sin tu aceptación previa y puedes revocarla cuando quieras. Transferencias internacionales amparadas en el art. 46 RGPD. Ver la Política de Cookies. Adicionalmente, Findya emplea los Servicios de la API de YouTube para publicar sus propios vídeos promocionales en su canal de YouTube, conforme a los Términos del Servicio de YouTube y a la Política de Privacidad de Google; este uso no trata datos personales de los usuarios de Findya.
- Meta Platforms Ireland Ltd. (Facebook e Instagram) - publicación de contenidos promocionales de Findya y, en grupos vecinales de Facebook, del enlace, el título, el precio, la zona y el nombre público de ofertas publicadas en Findya (ver «Difusión de ofertas fuera de findya.es»), que trata como responsable independiente
- Nextdoor - en conversaciones vecinales, los mismos datos públicos de ofertas publicadas en Findya, como responsable independiente conforme a su propia política (transferencia a EE. UU. con las garantías del art. 46 RGPD)
- Agencia Tributaria (AEAT) - cuando sea obligatorio por la normativa DAC7
- Fuerzas y Cuerpos de Seguridad - cuando sea requerido por resolución judicial o mandato legal
Algunos de nuestros proveedores (Stripe, Vercel, Anthropic, Cloudflare, Upstash, Railway, Resend, Sentry, Google y Microsoft) tienen su matriz en Estados Unidos, por lo que - aunque varios de ellos alojen los datos en la Unión Europea - puede producirse una transferencia internacional o un acceso desde EE. UU. Todas ellas se amparan en las garantías adecuadas del art. 46 RGPD (cláusulas contractuales tipo y/o adhesión al Data Privacy Framework UE-EE. UU.).
5. Derechos de los usuarios
Conforme al RGPD y la LOPDGDD, puedes ejercer los siguientes derechos enviando un email a soporte@findya.es con el asunto “Ejercicio de derechos RGPD” desde la dirección de correo asociada a tu cuenta. Solo si existieran dudas razonables sobre tu identidad te pediremos información adicional para verificarla (art. 12.6 RGPD):
- Acceso: conocer qué datos tratamos sobre ti
- Rectificación: corregir datos inexactos o incompletos
- Supresión: solicitar la eliminación de tus datos (“derecho al olvido”)
- Oposición: oponerte a determinados tratamientos
- Limitación: solicitar la restricción del tratamiento
- Portabilidad: recibir tus datos en formato estructurado y de uso común
- No ser objeto de decisiones automatizadas: solicitar intervención humana en decisiones automatizadas
Además, puedes descargar tú mismo una copia de tus datos en cualquier momento desde Mi cuenta → Configuración → «Descargar mis datos (RGPD)»: un archivo con tu perfil, anuncios, servicios, pagos y facturas de comisión, mensajes (los 5.000 más recientes), valoraciones, denuncias que has presentado, sanciones, recursos y puntos de reincidencia, el registro de actividad (los 5.000 apuntes más recientes), tu conversación con Lucía y los anuncios que has visitado, entre otros, sin más datos de otras personas que los que forman parte de tus conversaciones, valoraciones y denuncias. Si echas algo en falta, pídenoslo por correo.
Atenderemos tu solicitud en el plazo máximo de un mes, prorrogable en los supuestos previstos en el art. 12.3 del RGPD (te lo diríamos y por qué). Si consideras que el tratamiento vulnera tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
6. Seguridad de los datos
Findya aplica las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales, incluyendo: cifrado de contraseñas con bcrypt, comunicaciones cifradas mediante HTTPS/TLS, acceso restringido a los datos por parte del personal, y copias de seguridad periódicas.
En caso de brecha de seguridad que pueda afectar a tus derechos, notificaremos a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas (art. 33 RGPD) y, cuando la brecha suponga un alto riesgo para tus derechos, te la comunicaremos sin dilación indebida (art. 34 RGPD).
7. Menores de edad
Findya no está dirigida a menores de 18 años y no recoge conscientemente datos personales de menores. Si detectamos que un menor ha proporcionado datos personales, procederemos a su eliminación inmediata. Si tienes conocimiento de que un menor ha creado una cuenta en Findya, comunícalo a soporte@findya.es.
8. Cookies y tecnologías de seguimiento
Findya utiliza almacenamiento técnico estrictamente necesario: tu sesión se mantiene mediante una cookie httpOnly de primera parte (findya_sesion, emitida por api.findya.es, con una duración máxima de 14 días y que el JavaScript no puede leer). En el almacenamiento local del navegador solo quedan un centinela de sesión, el objeto con tus datos básicos de usuario, borradores y la última posición del mapa (no un token de autenticación). Además, empleamos las cookies técnicas de Stripe imprescindibles para procesar los pagos (con tarjeta, Apple Pay o Google Pay) y prevenir el fraude, todas ellas exentas del deber de consentimiento conforme al art. 22.2 LSSI y las guías de la AEPD.
Además, solo si prestas tu consentimiento a través del banner de cookies - revocable en cualquier momento desde “Configurar cookies” del pie de página - Findya utiliza cookies de analítica de Google Analytics 4 para entender de forma agregada cómo se usa la plataforma. Ninguna cookie de analítica o publicidad se carga antes de tu aceptación.
De forma independiente, empleamos las métricas sin cookies de Vercel (Analytics y Speed Insights), que miden el rendimiento y el uso de forma agregada y anónima, sin identificarte ni escribir en tu dispositivo, con base en el interés legítimo (art. 6.1.f RGPD). Para el detalle completo, consulta la Política de Cookies.
Si te registras en Findya a través de Google, dicha plataforma puede tratar datos sobre tu actividad conforme a su propia política de privacidad, ajena al control de Findya.
9. Cambios en la política de privacidad
Findya se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a cambios legislativos o del servicio. Te notificaremos cualquier cambio relevante por email o mediante aviso destacado en la Plataforma con al menos 15 días de antelación.
10. Contacto
Para cualquier consulta sobre privacidad y protección de datos: soporte@findya.es