Política de privacidad

2. Datos recogidos

Recogemos y tratamos los siguientes datos personales en el marco del uso de nuestra plataforma:

2.1 Al registrarse

• Nombre y apellidos
• Dirección de correo electrónico
• Contraseña (almacenada de forma cifrada)
• Número de teléfono (opcional)

2.2 Al utilizar la plataforma

• Anuncios de vehículos y datos asociados (imágenes, descripciones, precios)
• Solicitudes de compra dirigidas a vendedores (nombre, dirección de correo electrónico, número de teléfono opcional, mensaje)
• Solicitudes de contacto a través del formulario de contacto
• Lista de favoritos, búsquedas guardadas y suscripción al boletín (solo si utiliza estas funciones)

2.3 Datos recogidos automáticamente

• Dirección IP
• Tipo y versión del navegador
• Sistema operativo
• Fecha y hora del acceso
• URL de referencia (referrer)

2.4 Anuncios de vehículos, carga de imágenes y documentos del vehículo

Cuando publica anuncios de vehículos, tratamos las imágenes del vehículo que usted carga y los datos del anuncio (descripciones, datos técnicos, precios, ubicación). Este tratamiento es necesario para la ejecución del contrato de uso y se basa en el art. 6.1 b) del RGPD (ejecución de un contrato). Al publicarse el anuncio, los contenidos resultan visibles para los demás usuarios de la plataforma.

Además, puede cargar en un anuncio documentos del vehículo (p. ej., documentación del vehículo, facturas, peritajes). Estos documentos no se publican. Solo usted puede consultarlos y únicamente se ponen a disposición de los interesados si usted los libera expresamente para una solicitud de compra concreta, mediante un enlace de duración limitada que caduca a los siete días o tras un número limitado de accesos y que puede revocar en cualquier momento. La base jurídica es el art. 6.1 b) del RGPD.

La base jurídica del tratamiento es el art. 6.1 b) del RGPD (ejecución de un contrato) y el art. 6.1 f) del RGPD (interés legítimo).

3. Cookies y consentimiento

En nuestro sitio web utilizamos cookies. Las cookies son pequeños archivos de texto que se almacenan en su dispositivo. Las cookies técnicamente necesarias son imprescindibles para prestar las funciones básicas del sitio web, en particular la autenticación y la gestión de la sesión (inicio de sesión). Estas cookies se instalan sin consentimiento específico; la base jurídica es el § 25, apartado 2, de la TDDDG en relación con el art. 6.1 f) del RGPD (interés legítimo en una prestación segura y funcional del sitio web).

Además, solo utilizamos cookies estadísticas opcionales (p. ej., Google Analytics 4) si usted lo ha consentido expresamente de forma previa a través de nuestro banner de cookies. La base jurídica es su consentimiento conforme al § 25, apartado 1, de la TDDDG en relación con el art. 6.1 a) del RGPD. Sin su consentimiento no se instala ninguna cookie estadística o de análisis.

Su consentimiento es voluntario y puede revocarse en cualquier momento con efecto para el futuro. Puede modificar o revocar su elección en cualquier momento mediante el enlace «Ajustes de cookies» del pie de página del sitio web. En la recogida de datos estadísticos está activada la anonimización de la dirección IP.

3.1 Google Analytics

Si usted ha dado su consentimiento en el banner de cookies («Aceptar», o estadísticas activadas en los ajustes), utilizamos Google Analytics 4, un servicio de análisis web de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland («Google»). Sin su consentimiento, Google Analytics no se carga: no se instalan cookies de análisis ni se transmiten datos de uso a Google. Google Analytics sirve para la medición de audiencia y nos ayuda a evaluar estadísticamente el uso de nuestro sitio web y a mejorarlo. Para ello se tratan datos de uso (p. ej., páginas visitadas, hora y duración de la visita, procedencia aproximada, tipos de dispositivo y de navegador utilizados) mediante cookies (_ga, _ga_*). Su dirección IP se acorta; Google Analytics 4 no almacena direcciones IP completas. Las señales de Google (análisis entre dispositivos), las funciones publicitarias y el intercambio de datos con Google para sus propios fines (configuración de uso compartido de datos) están desactivados. Los datos de eventos se eliminan automáticamente al cabo de 14 meses.

Google trata los datos por encargo nuestro; existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD. En este proceso también pueden transmitirse datos a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. La transferencia se basa en la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework, art. 45 del RGPD), en el que Google LLC está certificada; además, las cláusulas contractuales tipo de la Comisión Europea forman parte de las condiciones de tratamiento de datos de Google. La base jurídica es exclusivamente su consentimiento conforme al § 25, apartado 1, de la TDDDG y al art. 6.1 a) del RGPD. Puede revocarlo en cualquier momento con efecto para el futuro mediante el enlace «Ajustes de cookies» del pie de página; en ese caso, Google Analytics se desactiva y se eliminan las cookies de análisis. Más información: https://policies.google.com/privacy

4. Alojamiento (hosting)

Nuestro sitio web está alojado en DigitalOcean (App Platform). Los servidores se encuentran en el centro de datos de Frankfurt am Main, Alemania (UE). El proveedor es:

DigitalOcean, LLC
101 Avenue of the Americas, 10th Floor
New York, NY 10013, USA

El tratamiento de los datos se realiza en servidores situados dentro de la Unión Europea. Existe un contrato de encargo del tratamiento con DigitalOcean conforme al art. 28 del RGPD. En la medida en que no pueda excluirse un acceso desde los EE. UU., por ejemplo en el marco del mantenimiento o del soporte, dicha transferencia está garantizada por las cláusulas contractuales tipo de la Comisión Europea incorporadas al contrato de encargo (art. 46.2 c) del RGPD). La base jurídica es el art. 6.1 f) del RGPD (interés legítimo en una prestación fiable del sitio web).

La base de datos de la plataforma se opera como servicio de base de datos gestionado por DigitalOcean en la misma región. El proveedor crea automáticamente cada día una copia de seguridad, que se conserva durante siete días y después se sobrescribe; las copias de seguridad sirven exclusivamente para la restauración tras una avería.

Al acceder al sitio web se generan en la infraestructura del proveedor de alojamiento registros técnicos de acceso y de errores (dirección IP, fecha y hora, dirección solicitada, identificador del navegador). El proveedor de alojamiento los conserva solo brevemente para el análisis de errores y la defensa frente a incidencias y ataques; no los transmitimos a terceros ni los utilizamos para otros fines.

Las solicitudes a nuestro sitio web pasan por la red de Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, EE. UU., que DigitalOcean utiliza como subencargado del tratamiento para la capa de red de App Platform (enrutamiento, almacenamiento en caché de archivos estáticos, protección frente a ataques). En este proceso se tratan datos de conexión como su dirección IP, la hora y la dirección consultada. Este tratamiento está cubierto por el contrato de encargo con DigitalOcean; en la medida en que se transfieran datos a los EE. UU., ello se basa en la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), en el que Cloudflare está certificada, y en cláusulas contractuales tipo. La base jurídica es el art. 6.1 f) del RGPD (interés legítimo en una entrega segura y rápida del sitio web).

5. Almacenamiento de imágenes y documentos (almacenamiento de objetos)

Los archivos cargados no se guardan en el servidor web, sino en el almacenamiento de objetos DigitalOcean Spaces de DigitalOcean, LLC (dirección: véase el apartado 4), en la región de Frankfurt am Main, desde donde también se entregan. Esto afecta a las imágenes de vehículos, a las imágenes de los artículos de la revista, a las imágenes de perfil y de portada, a los justificantes aportados en el marco de la verificación de concesionarios, a los documentos de vehículo adjuntos a los anuncios y a las facturas que emitimos.

Se tratan el contenido del archivo en sí, un nombre de archivo generado técnicamente y los datos de conexión que se producen al recuperarlo (en particular, la dirección IP y el momento del acceso). Antes de su almacenamiento, las imágenes cargadas se procesan de nuevo en el servidor; los metadatos que contienen (p. ej., datos EXIF con coordenadas GPS) no se conservan.

Las imágenes de vehículos, de la revista y de perfil son de acceso público conforme a su finalidad y se entregan a través de la red de distribución de contenidos (CDN) de DigitalOcean Spaces, donde una copia puede permanecer en caché hasta una hora. Si nuestra administración bloquea un anuncio, sus imágenes también pasan a ser no públicas. Los justificantes de la verificación de concesionarios, los documentos de vehículo y las facturas se almacenan exclusivamente de forma no pública y solo se entregan a través de accesos verificados con sesión iniciada: los justificantes al personal autorizado, los documentos de vehículo al propio vendedor y, tras su liberación, a los interesados mediante enlaces de duración limitada (apartado 2.4), y las facturas al titular de la cuenta.

La base jurídica es el art. 6.1 b) del RGPD (ejecución de un contrato) para las cargas propias y el art. 6.1 f) del RGPD (interés legítimo en una entrega rápida de los archivos) para la consulta por parte de los visitantes. El contrato de encargo del tratamiento con DigitalOcean conforme al art. 28 del RGPD (apartado 4) abarca también el almacenamiento de objetos y la CDN.

6. Envío de correos electrónicos

Para el envío de correos electrónicos (p. ej., confirmaciones de registro, restablecimientos de contraseña, notificaciones, facturas) utilizamos el servidor de correo de Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Alemania.

El tratamiento se realiza en centros de datos situados en Alemania. Solo se tratan los datos necesarios para el envío.

Para ello se transmiten al proveedor la dirección de correo electrónico del destinatario y el contenido del mensaje. Existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD. La base jurídica es el art. 6.1 b) del RGPD (ejecución de un contrato).

7. Procesamiento de pagos (Stripe)

Facturamos los paquetes de pago —paquetes para concesionarios y el anuncio de particular— a través del proveedor de servicios de pago Stripe: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. Al contratar, se le redirige a una página de pago de Stripe, donde introduce sus datos de pago (número de tarjeta o IBAN) directamente en Stripe. Nosotros no recibimos datos completos de tarjeta ni de cuenta, sino únicamente el medio de pago, sus cuatro últimas cifras, la fecha de caducidad en el caso de tarjetas y el estado de los pagos.

Transmitimos a Stripe su nombre o razón social, su dirección de correo electrónico, su dirección de facturación, su idioma, un número de cliente interno, así como el paquete o el anuncio contratado y los importes. Stripe trata estos datos para ejecutar los pagos y las domiciliaciones. En la medida en que Stripe trate datos para prevenir el fraude y cumplir sus propias obligaciones legales (por ejemplo, en materia de prevención del blanqueo de capitales), Stripe es el propio responsable del tratamiento.

La base jurídica es el art. 6, apdo. 1, letra b) del RGPD (ejecución de un contrato) y el art. 6, apdo. 1, letra c) del RGPD (obligaciones legales). Stripe también puede transferir datos a Stripe, Inc. en EE. UU.; la transferencia se basa en la decisión de adecuación relativa al EU-US Data Privacy Framework, en el que Stripe está certificado, y en las cláusulas contractuales tipo de la Comisión Europea. Más información: https://stripe.com/es/privacy

Conservamos las facturas y los datos de pago correspondientes conforme a la normativa mercantil y fiscal (véase el apartado 9). Si suprime su cuenta, solicitamos la supresión de su registro de cliente en Stripe; los comprobantes de pago se conservan en Stripe y en nuestros sistemas en el marco de las obligaciones legales de conservación. Si concesionarios establecidos en otro Estado miembro de la UE indican un número de identificación a efectos del IVA, comprobamos su validez a través del sistema de intercambio de información sobre el IVA (VIES) de la Comisión Europea; solo se transmiten dicho número y nuestro propio número de identificación a efectos del IVA (art. 6.1 b) y c) del RGPD).

8. Tipografías y gráficos integrados

Las tipografías utilizadas en este sitio web (Cormorant, Inter y JetBrains Mono) se entregan localmente desde nuestro servidor. Se integran ya durante la compilación de la aplicación; al acceder al sitio web no se establece ninguna conexión con Google Fonts ni con ningún otro servicio de tipografías. Por ello, su dirección IP no se transmite a ningún proveedor de tipografías.

Igualmente, los iconos y las banderas de los países se entregan como parte de la propia página y no se cargan después desde un servicio de imágenes externo.

Al visitar el sitio web, las conexiones con servicios ajenos a la infraestructura de alojamiento descrita en los apartados 4 y 5 se producen exclusivamente a través de la medición de audiencia descrita en el apartado 3.1 — y allí solo tras su consentimiento expreso. Al contratar un paquete de pago, se le redirige además a la página de pago de Stripe (apartado 7).

9. Plazos de conservación y supresión

Conservamos los datos personales únicamente durante el tiempo necesario para la finalidad correspondiente o mientras existan obligaciones legales de conservación. En detalle:

• Datos de la cuenta: mientras exista la relación de uso. Tras una solicitud de supresión —a través de la configuración de la cuenta o por correo electrónico—, todos los datos identificativos (nombre, correo electrónico, número de teléfono, datos de dirección, datos de perfil y de empresa, credenciales de acceso incluidos los segundos factores) se sobrescriben de forma irreversible; el registro anonimizado solo se mantiene en la medida necesaria para poder asignar operaciones ya concluidas (por ejemplo, facturas). Las cuentas cuya dirección de correo electrónico no se haya confirmado en los 30 días siguientes al registro, así como las cuentas no confirmadas sin contenido propio en las que no se haya iniciado sesión desde hace 90 días, se suprimen automáticamente.
• Cuentas bloqueadas: Una cuenta que hayamos bloqueado por infracción de las condiciones de uso permanece almacenada con sus datos y anuncios mientras sea necesario para mantener la trazabilidad del caso y prevenir abusos —en particular, para que el bloqueo no pueda eludirse mediante un nuevo registro—, como máximo tres años después del bloqueo; queda excluida de la supresión automática. Después, limitamos los datos almacenados a lo necesario para hacer cumplir el bloqueo (dirección de correo electrónico, fecha y motivo del bloqueo). Si se levanta un bloqueo, vuelven a aplicarse los demás plazos de este apartado.
• Anuncios de vehículos: durante la vigencia del plan contratado (anuncio de particular: 90 días). Después se desactivan automáticamente y permanecen almacenados para que el vendedor pueda reactivarlos. Al suprimir la cuenta se eliminan las imágenes y los documentos del vehículo; el anuncio se desactiva y se depura del número de bastidor, la ubicación y la descripción.
• Tokens de acceso y de sesión: Un inicio de sesión permanece válido como máximo siete días sin un nuevo uso; los tokens caducados se suprimen automáticamente en un proceso de mantenimiento diario. Al cerrar sesión o suprimir la cuenta se eliminan de inmediato.
• Enlaces y tokens de un solo uso: Los enlaces para confirmar la dirección de correo electrónico son válidos durante siete días; los enlaces para restablecer la contraseña, durante una hora; los enlaces para confirmar un cambio de dirección, durante 24 horas. Los tokens caducados se suprimen a más tardar en el siguiente proceso de mantenimiento diario.
• Solicitudes de compra dirigidas a vendedores y mensajes a través del formulario de contacto: doce meses desde su recepción; después se suprimen automáticamente. Las solicitudes de compra recibidas por un vendedor se suprimen además al eliminar su cuenta.
• Liberaciones de documentos del vehículo: Un enlace con el que un vendedor envía documentos del vehículo a un interesado es válido durante siete días y está limitado a un número determinado de accesos; cada acceso se registra con su fecha y hora. La liberación y el registro de accesos se suprimen 30 días después de su caducidad o revocación.
• Boletín: hasta la revocación del consentimiento. Tras la baja, el registro se mantiene marcado como dado de baja para no volver a escribir a la misma dirección; una suscripción que no se confirme en un plazo de 30 días se suprime.
• Justificantes de la verificación de concesionarios: hasta la conclusión de la comprobación y durante la relación comercial con el concesionario como prueba del deber de comprobación. Se suprimen 90 días después del fin de la relación con el concesionario, 30 días después de un rechazo, tras 90 días sin decisión sobre el justificante y de inmediato al suprimir la cuenta.
• Denuncias de anuncios, concesionarios y solicitudes: Conservamos las denuncias y su tramitación mientras sea necesario para acreditar que los avisos de contenidos ilícitos han sido tramitados (Reglamento (UE) 2022/2065, Ley de Servicios Digitales) y para prevenir infracciones reiteradas, como máximo doce meses después de concluida la tramitación. Si la persona denunciante suprime su cuenta, se elimina su vinculación con la denuncia.
• Registro de administración: Las intervenciones de nuestro personal en cuentas y anuncios (como aprobaciones, bloqueos, notas de revisión) se registran con la fecha y hora, el registro afectado y la dirección IP acortada de la persona que interviene, y se suprimen a los doce meses.
• Registros del servidor: Los registros de acceso y de errores se generan en el proveedor de alojamiento y allí se conservan solo brevemente para el análisis de errores (apartado 4). Nuestra aplicación solo guarda direcciones IP de forma temporal en la memoria, para limitar el número de solicitudes por remitente (protección frente a abusos), y de forma acortada en el registro de administración.
• Copias de seguridad: El proveedor de alojamiento realiza automáticamente cada día una copia de seguridad de la base de datos; cada copia se conserva durante siete días y después se sobrescribe. Por ello, los datos suprimidos pueden permanecer hasta siete días en una copia de seguridad; las copias de seguridad se utilizan exclusivamente para la restauración tras una avería.
• Medición de audiencia (solo con consentimiento): Los datos de eventos en Google Analytics se eliminan automáticamente al cabo de 14 meses. Las cookies de análisis (_ga, _ga_*) caducan como máximo a los dos años y se eliminan cuando usted revoca su consentimiento. Guardamos su elección en el banner de cookies durante seis meses en la cookie estrictamente necesaria «stern_consent».
• Documentos sujetos a obligaciones legales de conservación: Las facturas y los documentos contables se conservan durante ocho o diez años, según el documento, conforme al § 147 AO y al § 257 HGB, también tras la supresión de la cuenta. Durante ese periodo, el tratamiento se limita a la conservación.

10. Derechos de los interesados

Conforme al RGPD, usted dispone de los siguientes derechos en relación con sus datos personales:

10.1 Derecho de acceso (art. 15 del RGPD)

Usted tiene derecho a solicitar confirmación de si se están tratando datos personales que le conciernen. En tal caso, tiene derecho a acceder a dichos datos y a la información indicada en el art. 15 del RGPD.

10.2 Derecho de rectificación (art. 16 del RGPD)

Usted tiene derecho a solicitar la rectificación de los datos personales inexactos y a que se completen los datos personales incompletos.

10.3 Derecho de supresión (art. 17 del RGPD)

Usted tiene derecho a solicitar la supresión de sus datos personales cuando concurra alguno de los motivos indicados en el art. 17 del RGPD.

10.4 Derecho a la limitación del tratamiento (art. 18 del RGPD)

Usted tiene derecho a solicitar la limitación del tratamiento de sus datos cuando se cumpla alguna de las condiciones previstas en el art. 18 del RGPD.

10.5 Derecho a la portabilidad de los datos (art. 20 del RGPD)

Usted tiene derecho a recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y a transmitir esos datos a otro responsable del tratamiento.

10.6 Derecho de oposición (art. 21 del RGPD)

Usted tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de datos personales que le conciernan.

Además, usted tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos por el tratamiento de sus datos personales.

11. Contacto para consultas sobre protección de datos

Si tiene preguntas sobre protección de datos o desea ejercer sus derechos como interesado, diríjase a:

Markus Kalweit
sternclassics Media UG (haftungsbeschränkt)
An der Germania Brauerei 7
48159 Münster
Correo electrónico: datenschutz@everstern.eu