Política de Privacidad

En Nomad Code SL nos tomamos muy en serio la privacidad de nuestros usuarios. Esta Política de Privacidad describe cómo recogemos, usamos, almacenamos y protegemos tus datos personales cuando accedes al sitio web inversorboe.com y a la zona privada de usuarios, de conformidad con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y demás normativa aplicable.

1. Responsable del tratamiento

2. Datos personales que tratamos

2.1 Datos facilitados directamente por el usuario

• Datos de registro: nombre, apellidos, dirección de correo electrónico y contraseña (almacenada en formato hash bcrypt, nunca en texto plano).
• Datos de contacto: mensajes enviados a través del correo electrónico de contacto o del formulario de lista de espera.
• Preferencias de usuario: zonas de interés, tipos de inmueble, umbrales de scoring y demás parámetros de configuración de alertas.

2.2 Datos recogidos automáticamente

• Datos de navegación: dirección IP, tipo de navegador, sistema operativo, páginas visitadas y fecha y hora de acceso. Se recogen con fines de seguridad y diagnóstico técnico.
• Datos de uso de la plataforma: número de consultas realizadas, alertas generadas y actividad general de la cuenta.
• Cookies técnicas esenciales: necesarias para el funcionamiento del servicio. Consulta nuestra Política de Cookies.

3. Finalidades y base jurídica del tratamiento

4. Plazo de conservación de los datos

• Datos de cuenta: mientras la cuenta esté activa.
• Tras la baja de la cuenta (a petición del titular o por acción del administrador), el procedimiento depende de si la cuenta tiene facturas emitidas:
  • Cuenta sin facturas emitidas — Baja RGPD total: email, nombre y teléfono se ofuscan inmediatamente en la base de datos principal (sustituidos por valores no identificativos: borrado_NN@inversorboe.invalid / "Usuario borrado") y los consentimientos se marcan como retirados. Se conserva una copia de los datos originales durante 30 días naturales en una tabla de auditoría con acceso restringido al administrador. Su finalidad es estrictamente revertir bajas accidentales o por error y prevenir fraude (base jurídica: interés legítimo, art. 6.1.f RGPD). Pasado ese plazo, la copia se elimina automáticamente sin posibilidad de recuperación.
  • Cuenta con al menos una factura emitida — Baja con retención fiscal: en cumplimiento de la Ley General Tributaria (art. 66, plazo de prescripción 4 años) y del Código de Comercio (art. 30, obligación de conservar libros y documentos 6 años), los datos identificativos del cliente (nombre, apellidos, email, teléfono y datos fiscales completos) se conservan sin ofuscar mientras dure el plazo legal de conservación fiscal. Esta excepción al derecho de supresión está expresamente prevista en el art. 17.3.b RGPD (obligación legal). La cuenta queda inactiva (no permite login ni operaciones nuevas), la contraseña se invalida y los consentimientos comerciales se retiran. Vencido el plazo fiscal aplicable, los datos se ofuscan según el procedimiento del apartado anterior.
  • Pagos, facturas y datos fiscales (razón social, NIF/CIF/NIE, dirección fiscal) se conservan en cualquier caso el tiempo legalmente exigido por la normativa fiscal y contable, con independencia del estado de la cuenta.
• Registros de acceso (logs): máximo 12 meses, conforme a la LSSI-CE.
• Copias de seguridad cifradas: retención máxima de 30 días, tras los cuales se sobrescriben automáticamente. Las copias se cifran con AES-256 antes de salir del servidor.
• Lista de espera: hasta que se habilite el acceso al usuario o se solicite la baja.
• Comunicaciones de soporte: 2 años desde la última interacción.

5. Destinatarios y transferencias internacionales

Tus datos no se venden ni se ceden a terceros con fines comerciales. Únicamente se comparten en los dos supuestos siguientes:

5.1 Encargados del tratamiento (prestación del servicio)

• Axarnet Comunicaciones SL (España) — proveedor de infraestructura VPS. Los datos se alojan en servidores ubicados en territorio español.
• Anthropic, PBC (EE.UU.) — servicio de IA para análisis de documentos (únicamente se envía texto extraído de documentos públicos del BOE, sin datos personales de usuarios). Transferencia cubierta por las Cláusulas Contractuales Tipo.
• Google LLC (EE.UU.) — almacenamiento de copias de seguridad en Google Drive (cuenta corporativa). Transferencia cubierta por las Cláusulas Contractuales Tipo.

5.2 Partners profesionales seleccionados (solo con tu consentimiento explícito)

Cuando completas el formulario de cualificación al darte de alta, puedes solicitar voluntariamente que te pongamos en contacto con uno o varios de los siguientes tipos de profesionales:

• Despachos de abogados especializados en subastas judiciales.
• Gestorías administrativas para los trámites post-adjudicación.
• Inmobiliarias colaboradoras con cartera off-market.

Únicamente compartimos con el partner que tú selecciones los datos estrictamente necesarios para que pueda contactarte y analizar tu caso: nombre y apellidos, teléfono, email, horario preferente de llamada, zona de interés, tipo de inmueble buscado, presupuesto orientativo, plazo de operación y experiencia inversora. La base jurídica es tu consentimiento explícito (art. 6.1.a RGPD), registrado de forma versionada y trazable en el momento de marcarlo en el formulario.

Puedes revocar ese consentimiento en cualquier momento desde el panel Mi cuenta, sin que ello afecte a la licitud de los tratamientos realizados con anterioridad. Si marcaste la opción "Solo quiero usar el panel gratis, sin contacto", no compartimos ningún dato con partners.

Los partners actúan como responsables independientes del tratamiento una vez reciben tus datos, y están obligados contractualmente a tratarlos únicamente para la finalidad concreta para la que se les remitieron, con sujeción al RGPD.

No se realizan transferencias internacionales de datos personales de usuarios fuera de las indicadas anteriormente.

6. Derechos de los interesados

En virtud del RGPD y la LOPDGDD, puedes ejercer los siguientes derechos sobre tus datos personales:

• Acceso: conocer qué datos personales tratamos sobre ti.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos cuando no sean necesarios para los fines para los que fueron recogidos. Puedes ejercerlo directamente desde el panel privado Mi cuenta → Eliminar cuenta, sin necesidad de contactarnos. La supresión es efectiva en menos de un minuto siguiendo el procedimiento descrito en el apartado 4: ofuscación inmediata + copia de auditoría de 30 días si no hay facturas emitidas, o conservación de datos identificativos durante el plazo fiscal legalmente exigible si sí las hay (art. 17.3.b RGPD).
• Oposición: oponerte al tratamiento de tus datos basado en interés legítimo.
• Limitación: solicitar la restricción del tratamiento en los casos previstos por el RGPD.
• Portabilidad: recibir tus datos en formato estructurado y de uso común para trasladarlos a otro responsable.
• Retirada del consentimiento: cuando el tratamiento se base en tu consentimiento, puedes retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, envía un correo a contacto@inversorboe.com indicando tu nombre, dirección de email de la cuenta y el derecho que deseas ejercer. Responderemos en el plazo máximo de un mes, prorrogable dos meses adicionales en casos de especial complejidad.

Si consideras que el tratamiento de tus datos no es conforme al RGPD, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

7. Seguridad de los datos

Nomad Code SL aplica medidas técnicas y organizativas adecuadas para proteger tus datos personales frente al acceso no autorizado, pérdida, destrucción o alteración accidental, entre ellas:

• Cifrado de contraseñas mediante bcrypt (sin almacenamiento en texto plano).
• Comunicaciones cifradas mediante TLS/HTTPS.
• Acceso a la base de datos restringido a los sistemas de la plataforma, sin exposición pública.
• Copias de seguridad diarias de la base de datos con retención de 30 días.
• Autenticación mediante tokens JWT con expiración.
• Limitación de intentos de acceso y protección frente a ataques de fuerza bruta.

En caso de producirse una brecha de seguridad que afecte a tus datos y suponga un riesgo para tus derechos y libertades, te notificaremos en el plazo de 72 horas desde que tengamos conocimiento de la misma, conforme al artículo 34 del RGPD.

8. Menores de edad

El servicio de InversorBOE está dirigido exclusivamente a personas mayores de 18 años. Nomad Code SL no recoge intencionadamente datos personales de menores de edad. Si tienes conocimiento de que un menor ha facilitado sus datos, te rogamos que nos lo comuniques a contacto@inversorboe.com para proceder a su eliminación.

9. Cambios en la Política de Privacidad

Podemos actualizar esta Política de Privacidad para adaptarla a cambios legislativos o a nuevas funcionalidades del servicio. En caso de cambios sustanciales, te notificaremos por correo electrónico o mediante un aviso destacado en la plataforma antes de que entren en vigor.

10. Contacto

This is an informational translation. The Spanish version is the legally binding document.

At Nomad Code SL we take the privacy of our users very seriously. This Privacy Policy describes how we collect, use, store and protect your personal data when you access the website inversorboe.com and the private user area, in accordance with Regulation (EU) 2016/679 (GDPR), Organic Law 3/2018 on Personal Data Protection and Digital Rights (LOPDGDD) and other applicable regulations.

1. Data controller

2. Personal data we process

2.1 Data provided directly by the user

• Registration data: first name, surname, email address and password (stored as a bcrypt hash, never in plain text).
• Contact data: messages sent via the contact email or the waiting-list form.
• User preferences: areas of interest, property types, scoring thresholds and other alert configuration parameters.

2.2 Automatically collected data

• Browsing data: IP address, browser type, operating system, pages visited and date and time of access. Collected for security and technical diagnostics purposes.
• Platform usage data: number of queries made, alerts generated and general account activity.
• Essential technical cookies: necessary for the service to function. See our Cookie Policy.

3. Purposes and legal basis for processing

4. Data retention periods

• Account data: for as long as the account is active.
• After account deletion (at the user's request or by administrator action), the procedure depends on whether the account has issued invoices:
  • Account with no invoices — Full GDPR deletion: email, name and phone number are immediately obfuscated in the main database (replaced with non-identifying values: borrado_NN@inversorboe.invalid / "Usuario borrado") and consents are marked as withdrawn. A copy of the original data is kept for 30 calendar days in an audit table with restricted administrator access. Its sole purpose is to reverse accidental or erroneous deletions and prevent fraud (legal basis: legitimate interest, Art. 6.1.f GDPR). After that period the copy is automatically deleted with no possibility of recovery.
  • Account with at least one issued invoice — Deletion with tax retention: in compliance with the Spanish General Tax Law (Art. 66, 4-year limitation period) and the Spanish Commercial Code (Art. 30, 6-year obligation to keep books and documents), the customer's identifying data (name, surname, email, phone number and full billing data) are retained without obfuscation for the duration of the applicable tax retention period. This exception to the right to erasure is expressly provided for in Art. 17.3.b GDPR (legal obligation). The account is left inactive (no login or new operations allowed), the password is invalidated and commercial consents are withdrawn. Once the applicable tax retention period expires, data is obfuscated following the procedure described above.
  • Payments, invoices and billing data (company name, NIF/CIF/NIE, billing address) are kept in any case for the period legally required by tax and accounting regulations, regardless of the account's status.
• Access logs: maximum 12 months, in accordance with the LSSI-CE.
• Encrypted backups: maximum 30 days retention, after which they are automatically overwritten. Backups are AES-256 encrypted before leaving the server.
• Waiting list: until access is granted to the user or they request removal.
• Support communications: 2 years from the last interaction.

5. Recipients and international transfers

Your data is not sold or transferred to third parties for commercial purposes. It is only shared with the following processors in the context of service delivery:

• Axarnet Comunicaciones SL (Spain) — VPS infrastructure provider. Data is hosted on servers located in Spain.
• Anthropic, PBC (USA) — AI service for document analysis (only text extracted from public BOE documents is sent, with no user personal data). Transfer covered by Standard Contractual Clauses.
• Google LLC (USA) — backup storage on Google Drive (corporate account). Transfer covered by Standard Contractual Clauses.

No other international transfers of users' personal data are made beyond those listed above.

6. Data subject rights

Under the GDPR and LOPDGDD, you may exercise the following rights over your personal data:

• Access: find out what personal data we process about you.
• Rectification: request the correction of inaccurate or incomplete data.
• Erasure: request deletion of your data when it is no longer necessary for the purposes for which it was collected. You can exercise this right directly from your private panel My account → Delete account, with no need to contact us. Deletion is effective in less than a minute following the procedure described in section 4: immediate obfuscation + 30-day audit copy if no invoices have been issued, or retention of identifying data for the legally applicable tax period if they have (Art. 17.3.b GDPR).
• Objection: object to processing based on legitimate interest.
• Restriction: request restriction of processing in the cases provided for by the GDPR.
• Portability: receive your data in a structured, commonly used format to transfer to another controller.
• Withdrawal of consent: where processing is based on your consent, you may withdraw it at any time without affecting the lawfulness of prior processing.

To exercise any of these rights, send an email to contacto@inversorboe.com stating your name, account email address and the right you wish to exercise. We will respond within a maximum of one month, extendable by two additional months in cases of particular complexity.

If you believe that the processing of your data does not comply with the GDPR, you have the right to lodge a complaint with the Spanish Data Protection Agency (AEPD): www.aepd.es.

7. Data security

Nomad Code SL applies appropriate technical and organisational measures to protect your personal data against unauthorised access, loss, accidental destruction or alteration, including:

• Password encryption using bcrypt (no plain-text storage).
• Encrypted communications via TLS/HTTPS.
• Database access restricted to platform systems, with no public exposure.
• Daily database backups with 30-day retention.
• Authentication via JWT tokens with expiry.
• Login attempt limiting and brute-force protection.

In the event of a security breach affecting your data that poses a risk to your rights and freedoms, we will notify you within 72 hours of becoming aware of it, in accordance with Article 34 of the GDPR.

8. Minors

The InversorBOE service is intended exclusively for persons over the age of 18. Nomad Code SL does not intentionally collect personal data from minors. If you are aware that a minor has provided their data, please notify us at contacto@inversorboe.com so that we can delete it.

9. Changes to this Privacy Policy

We may update this Privacy Policy to adapt it to legislative changes or new service features. In the event of material changes, we will notify you by email or via a prominent notice on the platform before they take effect.

10. Contact