Política de privacidad

Última actualización: 11 de agosto de 2026

1. Responsable del tratamiento

Responsable: Alex Jimmy Montaño Fuentes.
Sitio web: https://keltora.com.
Contacto y canal RGPD (ejercicio de derechos): info@keltora.com.

2. Datos personales que tratamos

Tratamos las categorías de datos que se enumeran a continuación. La base legal y los plazos aplicables a cada flujo se detallan en los apartados 4 y 5.

2.1. Profesionales registrados

Datos de cuenta: dirección de correo electrónico y contraseña o, en su caso, el identificador de la cuenta de Google cuando el acceso se realiza mediante inicio de sesión con Google.
Datos identificativos: nombre, apellidos, número de teléfono.
Datos profesionales: gremio, provincia de residencia, ciudad opcional, años de experiencia, descripción, especialidades, zonas de trabajo, plan contratado.
Contenido publicado: fotografía de avatar, fotografías y descripciones del portfolio (antes/después y fotografías sueltas), respuestas públicas a reseñas.
Datos de facturación (solo profesionales con un plan de pago): identificador fiscal (NIF, CIF o número de IVA intracomunitario), domicilio y ubicación fiscal, plan y periodo de facturación contratados, identificadores de cliente y de suscripción asignados por el proveedor de servicios de pago, importes, impuestos aplicados y facturas emitidas, y constancia de la fecha y la versión de los Términos y condiciones aceptados al contratar. No se tratan ni se almacenan los datos de la tarjeta o medio de pago: se introducen directamente en el entorno del proveedor de pago.
Datos de sesión: dirección IP y user-agent del navegador en el momento de iniciar sesión.
Notificaciones push (opcional): si el profesional activa este canal, se almacenan los datos técnicos de la suscripción push de su navegador o dispositivo (punto de conexión y claves de cifrado del mensaje) y una etiqueta del dispositivo, con la única finalidad de poder enviarle avisos.
Conexión con Google Calendar (opcional): si el profesional conecta su calendario de Google, se almacenan la dirección de correo de la cuenta conectada, el identificador del calendario, los permisos concedidos y las credenciales de acceso, cifradas. Keltora consulta las franjas ocupadas de ese calendario para calcular la disponibilidad y crea, modifica o cancela en él los eventos de las citas reservadas a través de Keltora; no se almacenan esas franjas ni el contenido de los eventos ajenos a Keltora. El uso de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de las API de Google, incluidos sus requisitos de uso limitado.

2.2. Clientes que dejan reseñas

Datos identificativos: nombre y dirección de correo electrónico.
Documentación de verificación: factura o justificante equivalente del servicio recibido. Se almacena en un repositorio privado (no público) y se utiliza exclusivamente para verificar la realidad del servicio.
Contenido de la reseña: valoración numérica, comentario textual, fotografía del trabajo realizado (opcional, con autorización explícita para su publicación pública).
Datos técnicos antifraude: dirección IP en el momento de envío y marcas de tiempo.

2.3. Solicitantes de presupuesto y mensajes de contacto

Datos identificativos: nombre, teléfono y dirección de correo electrónico (los datos de contacto exigidos varían según se utilice el formulario de presupuesto o el de contacto).
Contenido de la solicitud: mensaje libre con la descripción del servicio solicitado, gremio, provincia y fotografías adjuntas opcionales (hasta tres).
Datos técnicos antifraude: dirección IP, user-agent del navegador (en las solicitudes de presupuesto) y marcas de tiempo. El envío se valida además mediante CAPTCHA, cuyo token se comprueba en el momento y no se conserva.
Conversación con el asistente virtual (perfiles que lo tengan habilitado): cuando el cliente utiliza el asistente conversacional basado en inteligencia artificial para preparar su solicitud, se almacena la transcripción completa de la conversación y un resumen estructurado de la misma (datos de contacto facilitados, descripción del trabajo, zona y urgencia). El contenido es visible únicamente para el profesional destinatario.
Respuesta a la encuesta de resultado: si el solicitante responde a la encuesta que se le remite tras su solicitud, se almacena su indicación de si contrató un servicio y, en su caso, a qué profesional, junto con las marcas de tiempo.

2.4. Visitantes del sitio web

Métricas agregadas anónimas: mediante Plausible Analytics autoalojado, sin uso de cookies y sin recogida de identificadores personales.
Visitas a perfiles profesionales:con la finalidad de mostrar al profesional el indicador “Visitas (últimos 30 días)” en su panel, almacenamos la dirección IP del visitante únicamente de forma seudonimizada, mediante una función hash con clave secreta conservada por separado. No se conserva la IP en claro.
Cookies estrictamente necesarias: se detallan en el apartado 2.7.

2.5. Procedencia de los datos no facilitados por el interesado

Parte de los datos que se muestran sobre un profesional no proceden de él mismo, sino de terceros: en particular, las reseñas y valoraciones son aportadas por los clientes que han contratado sus servicios. El profesional es informado de las nuevas reseñas, puede responderlas públicamente y disputarlas por los cauces previstos.

2.6. Carácter obligatorio o facultativo de los datos y consecuencias de no facilitarlos

Ningún dato se recoge de forma obligatoria por imposición legal, salvo los datos fiscales necesarios para emitir factura. Los datos que se indican a continuación son un requisito contractual: sin ellos no es posible prestar la funcionalidad correspondiente. Su no facilitación no tiene ninguna otra consecuencia: solo impide completar esa gestión concreta.

Registro de profesional: dirección de correo electrónico y contraseña (o cuenta de Google), nombre, apellidos, teléfono, provincia, años de experiencia, identificador fiscal, y al menos un gremio y una especialidad. Sin ellos no puede crearse la cuenta ni publicarse el perfil. Son facultativos el nombre comercial, el domicilio fiscal, la ciudad, la descripción, las fotografías de avatar y portfolio, las notificaciones push y la conexión con Google Calendar.
Contratación de un plan de pago: el identificador fiscal y los datos de facturación son, además, un requisito legal derivado de la normativa fiscal aplicable a la emisión de facturas. Sin ellos no puede completarse la contratación.
Publicación de una reseña: nombre, dirección de correo electrónico, valoración, comentario, fecha del servicio, fotografía del trabajo y factura o justificante. Sin ellos la reseña no puede verificarse y no se publica. La publicación pública de la fotografía del trabajo es facultativa.
Solicitud de presupuesto: nombre, teléfono, dirección de correo electrónico, descripción del trabajo, gremio y provincia. Sin ellos la solicitud no puede remitirse a ningún profesional. Son facultativas la especialidad, la ciudad y las fotografías adjuntas.
Mensaje de contacto: nombre, teléfono, dirección de correo electrónico y contenido del mensaje. Sin ellos el mensaje no puede entregarse al profesional.
Asistente virtual: nombre y teléfono. La dirección de correo electrónico es facultativa. Sin los primeros el profesional no puede responder a la solicitud.
Canal de feedback del panel: nombre y dirección de correo electrónico, el texto del mensaje, la dirección de la página desde la que se envía, el navegador y la resolución de pantalla, y los archivos que se adjunten voluntariamente. Todos los campos los introduce quien escribe: la plataforma no le traslada al formulario ningún dato de su cuenta. Sin el correo electrónico no es posible responder al mensaje.

2.7. Cookies y almacenamiento local

En el sitio público y en el panel de profesionales (app.keltora.com) se emplean, según la página, las siguientes categorías de cookies y tecnologías de almacenamiento, todas ellas estrictamente necesarias y, por tanto, exentas de consentimiento conforme al artículo 22.2 de la LSSI-CE por servir a la prestación de un servicio expresamente solicitado por el usuario:

Seguridad y red (Cloudflare): detección de bots y autorización temporal tras superar un desafío de seguridad, para entregar el sitio de forma segura (por ejemplo, __cf_bm y cf_clearance).
Sesión y autenticación (panel de profesionales): cookies que mantienen la sesión iniciada e identifican al profesional, con los atributos HttpOnly, Secure y SameSite=Lax, junto con una caché de sesión firmada de corta duración que evita consultas repetidas a la base de datos. Se establecen en relación con el inicio de sesión, incluido, en su caso, el acceso mediante Google.
Estado de la interfaz: cookies y almacenamiento local que recuerdan preferencias de presentación del panel (por ejemplo, si un menú lateral está plegado) y avisos ya mostrados, sin recoger información con fines analíticos o publicitarios.

Esta relación es orientativa y puede variar por motivos técnicos; en todo caso solo se utilizan cookies y almacenamiento estrictamente necesarios para prestar los servicios solicitados por el usuario. No se utilizan cookies analíticas, publicitarias, de seguimiento entre sitios ni de redes sociales.

No se solicita el consentimiento del usuario porque no hay nada que consentir: al utilizarse únicamente cookies estrictamente necesarias para prestar el servicio solicitado, el artículo 22.2 de la LSSI-CE exime de recabarlo y subsiste solo el deber de información, que cumple este apartado. Adicionalmente, el usuario puede configurar su navegador para aceptar, rechazar o eliminar cookies siguiendo las instrucciones de este. La desactivación de las cookies estrictamente necesarias puede impedir el correcto funcionamiento del sitio web o del panel de profesionales.

3. Finalidades del tratamiento

Permitir el alta, autenticación y mantenimiento de cuentas de profesionales en la plataforma.
Publicar perfiles profesionales y portfolios visibles al público con la finalidad de que los clientes puedan localizar profesionales en su provincia y especialidad.
Facilitar el contacto directo entre clientes y profesionales mediante el formulario de solicitud de presupuesto o, en los perfiles que lo tengan habilitado, mediante un asistente conversacional basado en inteligencia artificial que recopila y resume la solicitud para su envío al profesional.
Gestionar el sistema de reseñas verificadas mediante factura, lo que incluye verificación del email del autor, validación de la factura, moderación, publicación y gestión de disputas.
Enviar comunicaciones transaccionales relacionadas con el uso del servicio: confirmación de email, recuperación de contraseña, notificaciones de nuevas solicitudes, nuevas reseñas, respuestas recibidas, resoluciones de disputas.
Enviar a los solicitantes de presupuesto una encuesta sobre el resultado de su solicitud (si llegaron a contratar y a quién) y utilizar las respuestas para conocer la eficacia del servicio y mejorar la calidad de la plataforma.
Gestionar la contratación, el cobro y la renovación de los planes de pago, lo que incluye la determinación del impuesto indirecto aplicable en función de la ubicación y la condición fiscal declaradas, la expedición y conservación de las facturas, la conservación de la prueba de la aceptación de los Términos en el momento de contratar, y la atención de bajas, impagos y devoluciones.
Enviar notificaciones push a los profesionales que hayan activado este canal, para avisarles de la actividad relevante de su cuenta.
Generar métricas agregadas y anónimas de uso del sitio, así como el indicador “Visitas (últimos 30 días)” en el panel del profesional.
Prevenir el fraude, el abuso y los accesos no autorizados, incluyendo la limitación del número de intentos de autenticación, la verificación CAPTCHA y la trazabilidad técnica de las sesiones.
Atender el ejercicio de los derechos reconocidos por el RGPD y la LOPDGDD.
Conservar prueba de las aceptaciones y consentimientos prestados por el usuario (responsabilidad proactiva, artículos 5.2 y 7.1 del RGPD).
Cumplir las obligaciones legales que resulten aplicables (entre otras, fiscales, mercantiles y de retirada de contenidos ilícitos).
Atender y analizar las sugerencias y los avisos de error que se envían desde el canal de feedback del panel, con el fin de corregir fallos y mejorar el servicio, y responder a quien los remite cuando facilite una dirección de correo electrónico.

4. Base legal del tratamiento

Ejecución de un contrato o aplicación de medidas precontractuales (art. 6.1.b RGPD): alta y mantenimiento de la cuenta del profesional, publicación del perfil, gestión de la solicitud de presupuesto remitida por el cliente —incluida la cualificada a través del asistente conversacional— y envío de comunicaciones transaccionales esenciales para la prestación del servicio. Comprende también la contratación, el cobro y la renovación del plan de pago que el profesional suscriba, incluidos los datos de facturación necesarios para ejecutar dicho contrato, así como la conexión opcional con Google Calendar que el profesional active, para calcular su disponibilidad y gestionar en dicho calendario las citas reservadas a través de Keltora.
Consentimiento del interesado (art. 6.1.a RGPD): publicación de la reseña verificada por parte del cliente y autorización expresa para mostrar la fotografía adjunta a la reseña, en su caso, así como el envío de notificaciones push cuando el profesional active este canal. El consentimiento puede retirarse en cualquier momento, sin que la retirada afecte a la licitud del tratamiento basado en el consentimiento previo.
Cumplimiento de una obligación legal (art. 6.1.c RGPD): atención del ejercicio de derechos, conservación de la prueba de los consentimientos prestados, retirada de contenidos ilícitos en los términos de la LSSI-CE y, respecto de los profesionales con un plan de pago, expedición, registro y conservación de las facturas y de la documentación contable y fiscal asociada, conforme a la normativa mercantil y tributaria aplicable.
Interés legítimo (art. 6.1.f RGPD): generación del indicador agregado de visitas al perfil mediante seudonimización de la dirección IP, envío de la encuesta de resultado a los solicitantes y análisis de sus respuestas para mejorar el servicio, tratamiento de las sugerencias y avisos de error remitidos por el canal de feedback del panel, prevención del fraude, control de bots y trazabilidad de sesiones para garantizar la seguridad del servicio. En todo caso, el interesado puede oponerse a estos tratamientos a través del canal RGPD.

5. Plazos de conservación

Cuenta de profesional: mientras la cuenta permanezca activa. Tras la solicitud de baja, se aplica un borrado lógico inmediato (el perfil deja de ser público) seguido del borrado físico de los datos personales transcurridos 30 días. Los datos cuya conservación venga impuesta por obligación legal (fiscal, mercantil) se conservarán bloqueados durante los plazos correspondientes.
Datos de facturación y facturas emitidas: se conservan durante seis años a partir del último asiento realizado, conforme al artículo 30 del Código de Comercio, y en todo caso mientras no hayan prescrito las obligaciones derivadas de la normativa tributaria. Durante ese periodo los datos quedan bloqueados y solo se tratan para atender requerimientos de la Administración o de los Juzgados y Tribunales. La solicitud de supresión de la cuenta no interrumpe este plazo, por venir impuesto por obligación legal.
Reseñas y comentarios públicos: mientras la cuenta del profesional reseñado permanezca activa o hasta que el autor solicite su retirada por el canal RGPD.
Facturas y justificantes: se conservan mientras la reseña asociada exista, se utilizan exclusivamente para la verificación interna, nunca se publican y se suprimen al completarse el borrado de la cuenta del profesional (a los 30 días de la baja) o a solicitud del interesado.
Solicitudes de presupuesto: los datos de contacto (nombre, teléfono y dirección de correo electrónico), la descripción del trabajo, las fotografías adjuntas y los datos técnicos antifraude se conservan 3 años desde el envío de la solicitud. Transcurrido ese plazo se sustituyen automáticamente por la marca «[anonimizado]» y las fotografías se borran, de modo que la solicitud deja de estar asociada a persona identificada o identificable; solo permanecen el gremio, la provincia y la fecha. También se suprimen antes a solicitud del interesado a través del canal RGPD. La copia que el profesional destinatario conserve en su herramienta de gestión de clientes se rige por el apartado 14 de los Términos y condiciones, en el que el profesional es el responsable del tratamiento.
Respuestas a la encuesta de resultado: se conservan asociadas a su solicitud de presupuesto y quedan anonimizadas con ella al vencer el plazo anterior. También se suprimen antes a solicitud del interesado a través del canal RGPD.
Mensajes de contacto y conversaciones con el asistente virtual: se conservan mientras la cuenta del profesional destinatario permanezca activa y se suprimen al completarse el borrado de dicha cuenta (a los 30 días de la baja) o a solicitud previa del interesado. Comprende, en su caso, la transcripción y el resumen estructurado de la conversación mantenida con el asistente virtual.
Visitas a perfiles: el identificador seudonimizado del visitante (hash de su dirección IP) se conserva 30 días, que es la ventana del indicador “Visitas (últimos 30 días)” del panel del profesional, y se elimina automáticamente al vencer ese plazo. El registro restante (tipo de evento y fecha) es anónimo y se elimina al completarse el borrado de la cuenta del profesional visitado.
Datos técnicos de sesión y autenticación: las sesiones y los datos de autenticación se conservan durante el tiempo necesario para mantener la sesión iniciada y garantizar la seguridad de la cuenta; los datos de control de abuso (limitación de frecuencia) se conservan únicamente durante la breve ventana técnica necesaria para su finalidad.
Datos de notificaciones push: hasta que el profesional revoque el permiso o desactive las notificaciones; a partir de ese momento la suscripción queda inactiva y se elimina definitivamente, a más tardar, al completarse el borrado de la cuenta.
Prueba de consentimientos y aceptaciones: se conserva como acreditación del consentimiento mientras pueda resultar necesaria para atender o defender eventuales reclamaciones y durante el plazo de prescripción aplicable.
Datos técnicos de monitorización de errores: se conservan un máximo de 90 días y se eliminan automáticamente transcurrido ese plazo. No incluyen identificadores personales del usuario.
Mensajes del canal de feedback del panel: se conservan mientras sigan siendo necesarios para atender la incidencia o la sugerencia remitida y para la mejora del producto. Cuando dejan de serlo se suprimen el nombre y la dirección de correo electrónico de quien lo remitió, así como los archivos adjuntos, de modo que el mensaje deja de estar asociado a persona identificada o identificable; el texto, ya anónimo, se conserva como registro de la evolución del producto. También se suprimen a solicitud del interesado a través del canal RGPD.

6. Destinatarios y encargados del tratamiento

Los datos personales no se ceden a terceros con finalidades propias de éstos. Los siguientes proveedores actúan como encargados del tratamiento del responsable, en el sentido del artículo 28 del RGPD:

Cloudflare, Inc. — Servicios de DNS, red de entrega de contenidos (CDN), almacenamiento de objetos (fotografías y facturas) y validación antifraude (Cloudflare Turnstile). Sede principal: Estados Unidos de América. Garantías para transferencias internacionales: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y datos almacenados con preferencia en regiones del Espacio Económico Europeo cuando la configuración del servicio lo permite.
Amazon Web Services — Servicio de envío de correo electrónico transaccional y servicio gestionado de base de datos en el que se almacenan los datos de la plataforma. Tratamiento dentro del Espacio Económico Europeo, en la región de Fráncfort (Alemania).
Stripe Payments Europe, Limited — Tramitación de los pagos y de las suscripciones a los planes de pago, cálculo del impuesto indirecto aplicable y captura segura de los datos del medio de pago, que se introducen directamente en su entorno y no son accesibles para el responsable. Sede: Irlanda, con tratamiento principal dentro del Espacio Económico Europeo. Para las operaciones que su grupo realice fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914). Respecto de los tratamientos que le imponen directamente la normativa de servicios de pago y de prevención del blanqueo de capitales, Stripe actúa como responsable independiente y no por cuenta del responsable.
Vercel Inc. — Alojamiento y ejecución de las aplicaciones web que componen la plataforma. Las funciones que tratan los datos se ejecutan en la región de Fráncfort (Alemania), dentro del Espacio Económico Europeo. Sede principal: Estados Unidos; para los accesos que su grupo realice desde fuera del Espacio Económico Europeo, la garantía son las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914).
Oracle Cloud Infrastructure — Alojamiento del servidor que ejecuta el asistente virtual y por el que pasan las conexiones a la base de datos. Región de tratamiento: Madrid (España), dentro del Espacio Económico Europeo.
Functional Software, Inc. d/b/a Sentry — Servicio de monitorización de errores y excepciones de las aplicaciones (recolección de datos técnicos de diagnóstico de errores: mensajes de error y metadatos técnicos del entorno). Sede principal: Estados Unidos. Garantías: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. La configuración está endurecida para no transmitir direcciones IP, cabeceras ni cookies del usuario.
Plausible Insights OÜ — Software de analítica web autoalojado por el responsable en su propia infraestructura. No se transmiten datos personales al proveedor del software; los eventos de analítica son cookieless y agregados.
Google LLC — Procesamiento de las conversaciones del asistente virtual mediante el modelo de lenguaje Gemini (API de Google), con la finalidad de mantener la conversación con el cliente y extraer un resumen estructurado de la solicitud. Se tratan el contenido de la conversación y los datos de contacto que el cliente facilite en ella. Sede principal: Estados Unidos. Garantías: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y contrato de encargo de tratamiento (artículo 28 del RGPD).

Cuando el profesional accede mediante inicio de sesión con Google, Google LLC actúa como proveedor de identidad independiente para autenticar el acceso; Keltora recibe únicamente los datos de identificación estrictamente necesarios para crear o validar la cuenta.

La entrega de las notificaciones push se realiza a través del servicio de mensajería push del navegador o sistema operativo del propio usuario (por ejemplo, Google, Mozilla, Apple o Microsoft), que Keltora no controla; el contenido de la notificación viaja cifrado y dicho servicio actúa como mero canal de transmisión.

El canal de feedback del panel no supone un destinatario adicional: lo opera el propio responsable identificado en el apartado 1, bajo su misma titularidad, en un servicio propio accesible en app.inkebra.com. La infraestructura que lo aloja es la de Cloudflare, ya relacionada más arriba, y los mensajes no se comunican a ningún tercero.

El detalle específico de los datos obtenidos de las API de Google y de los destinatarios con los que se comparten, transfieren o divulgan figura en el apartado 7.

La lista anterior podrá actualizarse cuando se incorporen nuevos encargados o se sustituyan los existentes. Cualquier cambio se reflejará en esta política con la fecha de actualización correspondiente.

7. Datos obtenidos de las API de Google y con quién se comparten

Este apartado detalla de forma específica el tratamiento de los datos de usuario obtenidos a través de las API de Google (Google user data) cuando el profesional conecta su cuenta de Google con Keltora, ya sea para iniciar sesión o para sincronizar su calendario. Los permisos solicitados son openid, email, calendar.freebusy y calendar.events, y los datos que se obtienen con ellos se detallan en el apartado 2.1.

7.1. Con quién se comparten, transfieren o divulgan

Los datos obtenidos de las API de Google no se venden ni se alquilan, no se ceden a terceros con finalidades propias de éstos, no se utilizan con fines publicitarios ni de elaboración de perfiles comerciales, y no se emplean para entrenar modelos de inteligencia artificial generalizados. Se comparten exclusivamente con los siguientes destinatarios, todos ellos encargados del tratamiento que actúan por cuenta del responsable y siguiendo sus instrucciones:

Vercel Inc. (región de Fráncfort, dentro del Espacio Económico Europeo; sede en Estados Unidos, con Cláusulas Contractuales Tipo para los accesos desde fuera) — ejecuta las aplicaciones web que procesan estos datos durante la atención de cada petición.
Amazon Web Services (región de Fráncfort, dentro del Espacio Económico Europeo) — presta el servicio gestionado de base de datos en el que se conservan la dirección de correo de la cuenta conectada, el identificador del calendario, los permisos concedidos y las credenciales cifradas.
Oracle Cloud Infrastructure (región de Madrid, dentro del Espacio Económico Europeo) — aloja el servidor por el que pasan las conexiones a esa base de datos.
Google LLC (Estados Unidos; garantía: Cláusulas Contractuales Tipo) — en los perfiles con el asistente virtual habilitado, los huecos libres ya calculados (únicamente fecha y hora) se envían al modelo Gemini para que pueda ofrecérselos al cliente. No se le transmiten las credenciales de acceso ni el contenido de los eventos del calendario.

Adicionalmente, los huecos libres resultantes del cálculo de disponibilidad —fecha y hora, sin ninguna información sobre los eventos que los ocupan— se muestran al cliente que solicita una cita en el perfil público del profesional, que es la finalidad misma de la conexión del calendario.

Fuera de los supuestos anteriores, estos datos solo se divulgan cuando: (i) el profesional lo solicite o preste su consentimiento expreso; (ii) resulte necesario para detectar, investigar o prevenir un fraude, un abuso o un incidente de seguridad; o (iii) lo exija una obligación legal o el requerimiento de una autoridad competente. El acceso humano a estos datos se limita a esos mismos supuestos: ninguna persona del equipo del responsable consulta el calendario del profesional en el curso ordinario del servicio.

7.2. Uso limitado

El uso y la transferencia por parte de Keltora de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de las API de Google, incluidos sus requisitos de uso limitado (Limited Use).

7.3. Revocación y supresión

El profesional puede desconectar su calendario en cualquier momento desde su panel de control: Keltora solicita a Google la revocación del token y elimina la integración y las credenciales almacenadas. También puede retirar el acceso desde la página de permisos de su cuenta de Google (myaccount.google.com/permissions). La supresión de la cuenta de Keltora conlleva igualmente la eliminación de estos datos, en los plazos indicados en el apartado 5.

8. Transferencias internacionales

Cuando un encargado del tratamiento procese datos fuera del Espacio Económico Europeo, la transferencia se ampara en uno de los mecanismos previstos por el Capítulo V del RGPD: decisión de adecuación de la Comisión Europea, Cláusulas Contractuales Tipo o normas corporativas vinculantes. Los detalles concretos para cada encargado se indican en el apartado 6.

Puede obtener copia de las garantías aplicadas, incluidas las Cláusulas Contractuales Tipo suscritas con cada encargado, escribiendo a info@keltora.com. La copia se facilita sin coste y, cuando el proveedor la publique, mediante la dirección donde esté disponible.

9. Decisiones automatizadas y elaboración de perfiles

La plataforma incorpora mecanismos de búsqueda y ordenación que muestran al usuario los profesionales más relevantes según criterios técnicos (gremio, provincia, antigüedad del perfil, número y valoración media de reseñas). Estos mecanismos no producen efectos jurídicos significativos sobre el usuario en el sentido del artículo 22 del RGPD y no constituyen elaboración de perfiles a efectos del citado artículo.

La moderación de reseñas combina filtros automáticos (detección de duplicados, contenido evidente de spam, antifraude Turnstile) con revisión humana del contenido por parte del responsable. La decisión final de aprobación o rechazo es manual.

10. Derechos del interesado

En aplicación del RGPD y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cualquier interesado puede ejercer los siguientes derechos:

Acceso (art. 15 RGPD): obtener confirmación sobre si se están tratando sus datos personales y, en tal caso, acceder a ellos y a la información asociada.
Rectificación (art. 16 RGPD): solicitar la corrección de datos inexactos o el completado de los incompletos.
Supresión (art. 17 RGPD): solicitar la eliminación de los datos cuando concurra alguno de los motivos previstos en la norma.
Limitación (art. 18 RGPD): solicitar la suspensión del tratamiento en los supuestos previstos.
Portabilidad (art. 20 RGPD): recibir los datos que haya facilitado al responsable en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
Oposición (art. 21 RGPD): oponerse al tratamiento basado en el interés legítimo del responsable, salvo motivos legítimos imperiosos.
Retirada del consentimiento (art. 7.3 RGPD): cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin efecto retroactivo.
No ser objeto de decisiones automatizadas (art. 22 RGPD): cuando concurran los supuestos previstos por la norma.

11. Cómo ejercer los derechos

El ejercicio de los derechos es gratuito y puede solicitarse enviando un correo electrónico a info@keltora.com indicando el derecho que se desea ejercer y adjuntando copia de un documento de identidad que acredite la identidad del solicitante, de conformidad con el artículo 12 de la LOPDGDD. La solicitud se atenderá en el plazo de un mes desde su recepción, prorrogable por dos meses adicionales en supuestos de especial complejidad.

Adicionalmente, los profesionales registrados pueden ejercer los derechos de rectificación y supresión directamente desde las secciones correspondientes del panel de control sin necesidad de una solicitud expresa; el resto de derechos, incluido el de acceso, mediante la solicitud descrita más arriba.

12. Reclamaciones ante la autoridad de control

Si el interesado considera que el tratamiento de sus datos no se ajusta a la normativa vigente, o entiende que la respuesta del responsable no ha sido satisfactoria, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan 6, 28001 Madrid, y sede electrónica en sedeagpd.gob.es.

13. Menores de edad

La plataforma está dirigida a personas mayores de 18 años. El registro como profesional requiere capacidad legal para contratar. Las reseñas pueden ser publicadas por personas mayores de 14 años conforme al artículo 7 de la LOPDGDD. Si el responsable detecta datos de menores de 14 años, procederá a su supresión inmediata.

14. Modificaciones

El responsable se reserva el derecho de modificar esta política de privacidad para adaptarla a cambios legislativos, jurisprudenciales o de operativa interna. Las modificaciones se publicarán en esta página con indicación de la fecha de actualización. Cuando los cambios sean sustanciales y afecten a tratamientos basados en el consentimiento, se notificarán de forma destacada y, en su caso, se solicitará un nuevo consentimiento.