Política de privacidad

Última actualización: 1 de julio de 2026

1. Responsable del tratamiento

No se ha designado Delegado de Protección de Datos (DPO) por no concurrir las circunstancias previstas en el artículo 37 del Reglamento (UE) 2016/679. El responsable asume directamente las funciones de atención de los derechos del interesado a través del canal RGPD indicado.

2. Datos personales que tratamos

Tratamos las categorías de datos que se enumeran a continuación. La base legal y los plazos aplicables a cada flujo se detallan en los apartados 4 y 5.

2.1. Profesionales registrados

  • Datos de cuenta: dirección de correo electrónico y contraseña.
  • Datos identificativos: nombre, apellidos, número de teléfono.
  • Datos profesionales: gremio, provincia de residencia, ciudad opcional, años de experiencia, descripción, especialidades, zonas de trabajo, plan contratado.
  • Contenido publicado: fotografía de avatar, fotografías y descripciones del portfolio (antes/después y fotografías sueltas), respuestas públicas a reseñas.
  • Datos de sesión: dirección IP y user-agent del navegador en el momento de iniciar sesión, registro de actividad de la sesión.
  • Notificaciones push (opcional): si el profesional activa este canal, se almacenan los datos técnicos de la suscripción push de su navegador o dispositivo (punto de conexión y claves de cifrado del mensaje) y una etiqueta del dispositivo, con la única finalidad de poder enviarle avisos.

2.2. Clientes que dejan reseñas

  • Datos identificativos: nombre y dirección de correo electrónico.
  • Documentación de verificación: factura o justificante equivalente del servicio recibido. Se almacena en un repositorio privado (no público) y se utiliza exclusivamente para verificar la realidad del servicio.
  • Contenido de la reseña: valoración numérica, comentario textual, fotografía del trabajo realizado (opcional, con autorización explícita para su publicación pública).
  • Datos técnicos antifraude: dirección IP en el momento de envío y marcas de tiempo.

2.3. Solicitantes de presupuesto y mensajes de contacto

  • Datos identificativos: nombre, dirección de correo electrónico, teléfono opcional.
  • Contenido de la solicitud: mensaje libre con la descripción del servicio solicitado, gremio, provincia y fotografías adjuntas opcionales (hasta tres).
  • Datos técnicos antifraude: dirección IP, user-agent del navegador, marcas de tiempo y validación mediante CAPTCHA.
  • Conversación con el asistente virtual (perfiles que lo tengan habilitado): cuando el cliente utiliza el asistente conversacional basado en inteligencia artificial para preparar su solicitud, se almacena la transcripción completa de la conversación y un resumen estructurado de la misma (datos de contacto facilitados, descripción del trabajo, zona y urgencia). El contenido es visible únicamente para el profesional destinatario.
  • Respuesta a la encuesta de resultado: si el solicitante responde a la encuesta que se le remite tras su solicitud, se almacena su indicación de si contrató un servicio y, en su caso, a qué profesional, junto con las marcas de tiempo.

2.4. Visitantes del sitio web

  • Métricas agregadas anónimas: mediante Plausible Analytics autoalojado, sin uso de cookies y sin recogida de identificadores personales.
  • Visitas a perfiles profesionales:con la finalidad de mostrar al profesional el indicador “Visitas (últimos 30 días)” en su panel, almacenamos la dirección IP del visitante únicamente de forma seudonimizada, mediante una función hash con clave secreta conservada por separado. No se conserva la IP en claro.
  • Cookies estrictamente necesarias: consulte nuestra Política de cookies para el detalle.

2.5. Procedencia de los datos no facilitados por el interesado

Parte de los datos que se muestran sobre un profesional no proceden de él mismo, sino de terceros: en particular, las reseñas y valoraciones son aportadas por los clientes que han contratado sus servicios. El profesional es informado de las nuevas reseñas, puede responderlas públicamente y disputarlas por los cauces previstos.

3. Finalidades del tratamiento

  1. Permitir el alta, autenticación y mantenimiento de cuentas de profesionales en la plataforma.
  2. Publicar perfiles profesionales y portfolios visibles al público con la finalidad de que los clientes puedan localizar profesionales en su provincia y especialidad.
  3. Facilitar el contacto directo entre clientes y profesionales mediante el formulario de solicitud de presupuesto o, en los perfiles que lo tengan habilitado, mediante un asistente conversacional basado en inteligencia artificial que recopila y resume la solicitud para su envío al profesional.
  4. Gestionar el sistema de reseñas verificadas mediante factura, lo que incluye verificación del email del autor, validación de la factura, moderación, publicación y gestión de disputas.
  5. Enviar comunicaciones transaccionales relacionadas con el uso del servicio: confirmación de email, recuperación de contraseña, notificaciones de nuevas solicitudes, nuevas reseñas, respuestas recibidas, resoluciones de disputas.
  6. Enviar a los solicitantes de presupuesto una encuesta sobre el resultado de su solicitud (si llegaron a contratar y a quién) y utilizar las respuestas para conocer la eficacia del servicio y mejorar la calidad de la plataforma.
  7. Enviar notificaciones push a los profesionales que hayan activado este canal, para avisarles de la actividad relevante de su cuenta.
  8. Generar métricas agregadas y anónimas de uso del sitio, así como el indicador “Visitas (últimos 30 días)” en el panel del profesional.
  9. Prevenir el fraude, el abuso y los accesos no autorizados, incluyendo la limitación del número de intentos de autenticación, la verificación CAPTCHA y la trazabilidad técnica de las sesiones.
  10. Atender el ejercicio de los derechos reconocidos por el RGPD y la LOPDGDD.
  11. Conservar prueba de las aceptaciones y consentimientos prestados por el usuario (responsabilidad proactiva, artículos 5.2 y 7.1 del RGPD).
  12. Cumplir las obligaciones legales que resulten aplicables (entre otras, fiscales, mercantiles y de retirada de contenidos ilícitos).

4. Base legal del tratamiento

  • Ejecución de un contrato o aplicación de medidas precontractuales (art. 6.1.b RGPD): alta y mantenimiento de la cuenta del profesional, publicación del perfil, gestión de la solicitud de presupuesto remitida por el cliente —incluida la cualificada a través del asistente conversacional— y envío de comunicaciones transaccionales esenciales para la prestación del servicio.
  • Consentimiento del interesado (art. 6.1.a RGPD): publicación de la reseña verificada por parte del cliente y autorización expresa para mostrar la fotografía adjunta a la reseña, en su caso, así como el envío de notificaciones push cuando el profesional active este canal. El consentimiento puede retirarse en cualquier momento, sin que la retirada afecte a la licitud del tratamiento basado en el consentimiento previo.
  • Cumplimiento de una obligación legal (art. 6.1.c RGPD): atención del ejercicio de derechos, conservación de la prueba de los consentimientos prestados y retirada de contenidos ilícitos en los términos de la LSSI-CE.
  • Interés legítimo (art. 6.1.f RGPD): generación del indicador agregado de visitas al perfil mediante seudonimización de la dirección IP, envío de la encuesta de resultado a los solicitantes y análisis de sus respuestas para mejorar el servicio, prevención del fraude, control de bots y trazabilidad de sesiones para garantizar la seguridad del servicio. Se ha valorado que el impacto sobre los derechos y libertades del interesado es mínimo y que estos tratamientos responden a expectativas razonables del interesado; en todo caso, puede oponerse a ellos a través del canal RGPD.

5. Plazos de conservación

  • Cuenta de profesional: mientras la cuenta permanezca activa. Tras la solicitud de baja, se aplica un borrado lógico inmediato (el perfil deja de ser público) seguido del borrado físico de los datos personales transcurridos 30 días. Los datos cuya conservación venga impuesta por obligación legal (fiscal, mercantil) se conservarán bloqueados durante los plazos correspondientes.
  • Reseñas y comentarios públicos: mientras la cuenta del profesional reseñado permanezca activa o hasta que el autor solicite su retirada por el canal RGPD.
  • Facturas y justificantes: se conservan mientras la reseña asociada exista, se utilizan exclusivamente para la verificación interna, nunca se publican y se suprimen al completarse el borrado de la cuenta del profesional (a los 30 días de la baja) o a solicitud del interesado.
  • Solicitudes de presupuesto: se conservan durante el tiempo necesario para gestionar la solicitud y facilitar el contacto con los profesionales, y se suprimen a solicitud del interesado a través del canal RGPD.
  • Respuestas a la encuesta de resultado: se conservan para el análisis de la eficacia del servicio y se suprimen a solicitud del interesado a través del canal RGPD.
  • Mensajes de contacto y conversaciones con el asistente virtual: se conservan mientras la cuenta del profesional destinatario permanezca activa y se suprimen al completarse el borrado de dicha cuenta (a los 30 días de la baja) o a solicitud previa del interesado. Comprende, en su caso, la transcripción y el resumen estructurado de la conversación mantenida con el asistente virtual.
  • Visitas a perfiles: se conservan de forma seudonimizada para el cálculo del indicador de visitas del panel del profesional.
  • Datos técnicos de sesión y autenticación: las sesiones y los datos de autenticación se conservan durante el tiempo necesario para mantener la sesión iniciada y garantizar la seguridad de la cuenta; los datos de control de abuso (limitación de frecuencia) se conservan únicamente durante la breve ventana técnica necesaria para su finalidad.
  • Datos de notificaciones push: hasta que el profesional revoque el permiso o desactive las notificaciones; a partir de ese momento la suscripción queda inactiva y se elimina definitivamente, a más tardar, al completarse el borrado de la cuenta.
  • Prueba de consentimientos y aceptaciones: se conserva como acreditación del consentimiento mientras pueda resultar necesaria para atender o defender eventuales reclamaciones y durante el plazo de prescripción aplicable.
  • Datos técnicos de monitorización de errores: se conservan un máximo de 90 días y se eliminan automáticamente transcurrido ese plazo. No incluyen identificadores personales del usuario.

6. Destinatarios y encargados del tratamiento

Los datos personales no se ceden a terceros con finalidades propias de éstos. Los siguientes proveedores actúan como encargados del tratamiento del responsable y han firmado el correspondiente contrato de encargo de tratamiento (artículo 28 del RGPD):

  • Cloudflare, Inc. — Servicios de DNS, red de entrega de contenidos (CDN), almacenamiento de objetos (fotografías y facturas) y validación antifraude (Cloudflare Turnstile). Sede principal: Estados Unidos de América. Garantías para transferencias internacionales: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y datos almacenados con preferencia en regiones del Espacio Económico Europeo cuando la configuración del servicio lo permite.
  • Amazon Web Services EMEA SARL — Servicio de envío de correo electrónico transaccional, con tratamiento dentro del Espacio Económico Europeo (Irlanda).
  • Vercel Inc. — Hosting y ejecución de las aplicaciones web que componen la plataforma. Sede principal: Estados Unidos. Garantías: Cláusulas Contractuales Tipo y selección de regiones de procesamiento dentro del Espacio Económico Europeo.
  • Hetzner Online GmbH — Alojamiento del servidor de base de datos en centros de datos situados en la Unión Europea. Tratamiento dentro del Espacio Económico Europeo.
  • Functional Software, Inc. d/b/a Sentry — Servicio de monitorización de errores y excepciones de las aplicaciones (recolección de datos técnicos de diagnóstico de errores: mensajes de error y metadatos técnicos del entorno). Sede principal: Estados Unidos. Garantías: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. La configuración está endurecida para no transmitir direcciones IP, cabeceras ni cookies del usuario.
  • Plausible Insights OÜ — Software de analítica web autoalojado por el responsable en su propia infraestructura. No se transmiten datos personales al proveedor del software; los eventos de analítica son cookieless y agregados.
  • Google LLC — Procesamiento de las conversaciones del asistente virtual mediante el modelo de lenguaje Gemini (API de Google), con la finalidad de mantener la conversación con el cliente y extraer un resumen estructurado de la solicitud. Se tratan el contenido de la conversación y los datos de contacto que el cliente facilite en ella. Sede principal: Estados Unidos. Garantías: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y contrato de encargo de tratamiento (artículo 28 del RGPD).

La entrega de las notificaciones push se realiza a través del servicio de mensajería push del navegador o sistema operativo del propio usuario (por ejemplo, Google, Mozilla, Apple o Microsoft), que Keltora no controla; el contenido de la notificación viaja cifrado y dicho servicio actúa como mero canal de transmisión.

La lista anterior podrá actualizarse cuando se incorporen nuevos encargados o se sustituyan los existentes. Cualquier cambio se reflejará en esta política con la fecha de actualización correspondiente.

7. Transferencias internacionales

Cuando un encargado del tratamiento procese datos fuera del Espacio Económico Europeo, la transferencia se ampara en uno de los mecanismos previstos por el Capítulo V del RGPD: decisión de adecuación de la Comisión Europea, Cláusulas Contractuales Tipo o normas corporativas vinculantes. Los detalles concretos para cada encargado se indican en el apartado 6.

8. Decisiones automatizadas y elaboración de perfiles

La plataforma incorpora mecanismos de búsqueda y ordenación que muestran al usuario los profesionales más relevantes según criterios técnicos (gremio, provincia, antigüedad del perfil, número y valoración media de reseñas). Estos mecanismos no producen efectos jurídicos significativos sobre el usuario en el sentido del artículo 22 del RGPD y no constituyen elaboración de perfiles a efectos del citado artículo.

La moderación de reseñas combina filtros automáticos (detección de duplicados, contenido evidente de spam, antifraude Turnstile) con revisión humana del contenido por parte del responsable. La decisión final de aprobación o rechazo es manual.

9. Derechos del interesado

En aplicación del RGPD y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cualquier interesado puede ejercer los siguientes derechos:

  • Acceso (art. 15 RGPD): obtener confirmación sobre si se están tratando sus datos personales y, en tal caso, acceder a ellos y a la información asociada.
  • Rectificación (art. 16 RGPD): solicitar la corrección de datos inexactos o el completado de los incompletos.
  • Supresión (art. 17 RGPD): solicitar la eliminación de los datos cuando concurra alguno de los motivos previstos en la norma.
  • Limitación (art. 18 RGPD): solicitar la suspensión del tratamiento en los supuestos previstos.
  • Portabilidad (art. 20 RGPD): recibir los datos que haya facilitado al responsable en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
  • Oposición (art. 21 RGPD): oponerse al tratamiento basado en el interés legítimo del responsable, salvo motivos legítimos imperiosos.
  • Retirada del consentimiento (art. 7.3 RGPD): cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin efecto retroactivo.
  • No ser objeto de decisiones automatizadas (art. 22 RGPD): cuando concurran los supuestos previstos por la norma.

10. Cómo ejercer los derechos

El ejercicio de los derechos es gratuito y puede solicitarse enviando un correo electrónico a info@keltora.com indicando el derecho que se desea ejercer y adjuntando copia de un documento de identidad que acredite la identidad del solicitante, de conformidad con el artículo 12 de la LOPDGDD. La solicitud se atenderá en el plazo de un mes desde su recepción, prorrogable por dos meses adicionales en supuestos de especial complejidad.

Adicionalmente, los profesionales registrados pueden ejercer los derechos de acceso, rectificación y supresión directamente desde las secciones correspondientes del panel de control sin necesidad de una solicitud expresa.

11. Reclamaciones ante la autoridad de control

Si el interesado considera que el tratamiento de sus datos no se ajusta a la normativa vigente, o entiende que la respuesta del responsable no ha sido satisfactoria, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan 6, 28001 Madrid, y sede electrónica en sedeagpd.gob.es.

12. Menores de edad

La plataforma está dirigida a personas mayores de 18 años. El registro como profesional requiere capacidad legal para contratar. Las reseñas pueden ser publicadas por personas mayores de 14 años conforme al artículo 7 de la LOPDGDD. Si el responsable detecta datos de menores de 14 años, procederá a su supresión inmediata.

13. Medidas de seguridad

El responsable ha adoptado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, en aplicación del artículo 32 del RGPD. Estas medidas incluyen, entre otras, el cifrado de las comunicaciones y de los datos, el control de acceso basado en roles con sesiones de duración limitada, la seudonimización de los datos cuando es posible, la limitación de intentos de acceso y mecanismos antifraude, la realización de copias de seguridad y la revisión periódica de las propias medidas y de los incidentes de seguridad.

14. Modificaciones

El responsable se reserva el derecho de modificar esta política de privacidad para adaptarla a cambios legislativos, jurisprudenciales o de operativa interna. Las modificaciones se publicarán en esta página con indicación de la fecha de actualización. Cuando los cambios sean sustanciales y afecten a tratamientos basados en el consentimiento, se notificarán de forma destacada y, en su caso, se solicitará un nuevo consentimiento.