La presente Política de Privacidad regula el tratamiento de datos personales realizado a través de la plataforma mideuda.app y cumple con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPD-GDD).
§ 01 Responsable del tratamiento
- Razón social
- International Eidas LLC (dba Intereidas)
- Domicilio social
- 16192 Coastal Highway, Lewes, DE 19958, United States
- Email general
- info@intereidas.com
- Privacidad y derechos
- info@intereidas.com
§ 02 Representante en la Unión Europea
De conformidad con el artículo 27 del RGPD, International Eidas LLC ha designado como su representante en la Unión Europea a:
- Representante
- Gonzalo Rodríguez
- Domicilio
- Urbanización Ribera el Marlin, Bloque 21, 11310 Sotogrande, San Roque (Cádiz), España
- info@intereidas.com
El usuario y las autoridades de control pueden dirigirse al representante para cualquier cuestión relativa al tratamiento de sus datos personales.
§ 03 Finalidades del tratamiento y base legal
Tratamos los datos personales del usuario con las siguientes finalidades:
3.1 Gestión del registro y de la cuenta de usuario
Tratamos los datos identificativos y de contacto necesarios para crear y mantener la cuenta del usuario en la Plataforma.
Base legal: ejecución de un contrato (RGPD art. 6.1.b).
3.2 Prestación del servicio de representación ante ficheros de información crediticia
El usuario otorga a la Plataforma un mandato voluntario para que, en su nombre y representación, ejerza sus derechos de acceso ante los ficheros ASNEF y BADEXCUG, gestione las altas en los portales correspondientes, suba la documentación identificativa requerida y descargue los informes resultantes.
Base legal: ejecución del contrato de prestación de servicios suscrito con el usuario (RGPD art. 6.1.b).
3.3 Cumplimiento de obligaciones legales
Conservación de facturas, justificantes de pago y registros contables exigidos por la normativa fiscal y mercantil.
Base legal: cumplimiento de obligación legal (RGPD art. 6.1.c) y, en particular, el Código de Comercio (art. 30) y la Ley General Tributaria.
3.4 Comunicaciones de servicio
Envío de notificaciones operativas relacionadas con el funcionamiento de la cuenta y el estado de los expedientes (confirmaciones, alertas, avisos de finalización).
Base legal: ejecución del contrato (RGPD art. 6.1.b).
3.5 Atención de consultas y soporte
Atención a comunicaciones recibidas a través de los canales habilitados (correo electrónico, formularios).
Base legal: consentimiento del interesado (RGPD art. 6.1.a) e interés legítimo en mantener la calidad del servicio (RGPD art. 6.1.f).
§ 04 Datos personales que tratamos
En función del momento del proceso, podemos tratar las siguientes categorías de datos:
4.1 Datos de registro y cuenta
- Nombre y apellidos.
- Dirección de correo electrónico.
- Contraseña de acceso (almacenada cifrada mediante hash, nunca en claro).
4.2 Datos del expediente
- Número de DNI o NIE.
- Datos contenidos en la zona MRZ del documento (nacionalidad, fecha de nacimiento, fecha de validez, número de soporte, sexo).
- Domicilio postal (calle, ciudad, código postal, provincia).
- Estado del procesamiento del expediente (pendiente, procesado, verificado, etc.).
4.3 Datos tratados de forma estrictamente temporal
Para poder ejecutar la representación ante Equifax, durante un proceso concreto manejamos también:
- Imágenes del DNI (anverso y reverso): se utilizan para extraer mediante OCR los datos textuales necesarios y, posteriormente, para subirlas al portal eDerechos como exige Equifax para la verificación de identidad. No se conservan en nuestros sistemas tras la finalización del proceso: se eliminan automáticamente.
- Credenciales de acceso al portal de Equifax: la contraseña que el usuario establece en su cuenta de Equifax se mantiene exclusivamente en la sesión activa durante la ejecución del trámite y no se almacena de forma persistente.
4.4 Datos derivados de los informes
Los informes ASNEF/BADEXCUG descargados desde el portal de Equifax pueden contener información sobre operaciones financieras, deudas y entidades acreedoras. Estos informes se ponen a disposición del usuario en su panel privado y no se procesan ni analizan por parte de la Plataforma.
4.5 Datos de pago
Cuando el usuario contrate planes de pago, los datos de la tarjeta o medio de pago no son tratados directamente por la Plataforma, sino exclusivamente por el proveedor de pago (ver § 06).
§ 05 Origen de los datos
Todos los datos personales tratados son aportados directamente por el propio usuario, ya sea durante el registro, durante la creación del expediente o durante la interacción con la Plataforma. No obtenemos datos del usuario procedentes de fuentes externas, intermediarios o redes sociales.
Los informes descargados desde Equifax en nombre del usuario son entregados por la entidad responsable del fichero correspondiente (Equifax Ibérica, S.L.U.) en respuesta al ejercicio del derecho de acceso del usuario.
§ 06 Destinatarios y encargados del tratamiento
Para prestar el servicio, recurrimos a proveedores tecnológicos que actúan como encargados del tratamiento o, en algunos casos, como simples proveedores de infraestructura técnica. Todos ellos están vinculados por los correspondientes contratos que garantizan un nivel de protección de datos equivalente al exigido por el RGPD.
6.1 Destinatarios de los datos
Los datos personales podrán comunicarse a:
- Equifax Ibérica, S.L.U. (España): destinataria de los datos identificativos del usuario y de las imágenes de su DNI durante la ejecución del mandato de representación, con la única finalidad de tramitar el ejercicio de los derechos de acceso del usuario en el portal eDerechos. Equifax actúa como responsable independiente del tratamiento, no como encargado nuestro.
- Autoridades competentes: cuando exista obligación legal (requerimientos judiciales, administrativos o fiscales).
6.2 Encargados del tratamiento
- Google LLC (Estados Unidos): proveedor del servicio Firebase Authentication, utilizado exclusivamente para la autenticación segura de los usuarios.
- Amazon Web Services EMEA SARL (Luxemburgo): proveedor de la base de datos y de la infraestructura de servidores donde se almacena la información de las cuentas y los expedientes. Servicio en proceso de implantación.
- Stripe Payments Europe Ltd (Irlanda): proveedor de procesamiento de pagos. Servicio en proceso de implantación. Trata los datos de la tarjeta o medio de pago del usuario directamente, sin que dichos datos lleguen en ningún momento a nuestros sistemas.
6.3 Proveedores de infraestructura técnica
La Plataforma utiliza servicios de infraestructura de red (proveedores de salida HTTP) para garantizar que las comunicaciones con los portales de terceros desde los que se ejerce la representación se realicen desde direcciones de red en territorio español, tal como exigen dichos portales para validar la procedencia de las solicitudes. Estos proveedores no procesan ni almacenan datos personales del usuario; se limitan a enrutar el tráfico de red. Actualmente recurrimos a DataImpulse Ltd (Reino Unido).
§ 07 Transferencias internacionales de datos
Algunos de los proveedores con los que trabajamos están establecidos fuera del Espacio Económico Europeo. En estos casos, las transferencias se realizan al amparo de las garantías exigidas por el RGPD:
- Estados Unidos (Google LLC): la transferencia se ampara en el EU-US Data Privacy Framework, reconocido como adecuado por la Comisión Europea (Decisión 2023/1795).
- Reino Unido (DataImpulse Ltd): existe Decisión de Adecuación de la Comisión Europea (Decisión 2021/1772), por lo que la transferencia se considera segura.
§ 08 Plazos de conservación
| Categoría de dato | Plazo |
|---|---|
| Imágenes del DNI | Eliminadas tras la finalización del proceso para el que fueron aportadas. No se conservan. |
| Credenciales de acceso al portal de Equifax | Solo durante la sesión activa de procesamiento. No se almacenan. |
| Datos de cuenta y expedientes | Mientras la cuenta del usuario permanezca activa. |
| Datos identificativos tras la baja | Eliminados de forma inmediata, salvo aquellos que deban conservarse por imperativo legal. |
| Facturas, justificantes de pago y registros contables | 6 años (Código de Comercio, art. 30). |
| Registros de consentimiento y de ejercicio de derechos | 5 años desde su recepción (LOPD-GDD, art. 32). |
§ 09 Decisiones automatizadas
Para prestar el servicio de forma eficiente, parte del flujo de tramitación se ejecuta mediante procesos automatizados: en concreto, los formularios que rellenamos en el portal eDerechos y las acciones realizadas en él en nombre del usuario son ejecutadas por un agente automatizado siguiendo las instrucciones previas del usuario.
Estas operaciones no constituyen decisiones automatizadas que produzcan efectos jurídicos sobre el usuario en el sentido del artículo 22 del RGPD: el usuario inicia y supervisa cada paso del proceso, recibe los informes resultantes y mantiene el control de las acciones que se ejecutan en su nombre.
En cualquier caso, el usuario tiene derecho en todo momento a:
- Solicitar intervención humana por parte del responsable.
- Expresar su punto de vista sobre cualquier paso automatizado.
- Impugnar el resultado de cualquier proceso automatizado.
Para ejercer estos derechos, basta con escribir a info@intereidas.com.
§ 10 Derechos del interesado
El usuario puede ejercer en cualquier momento, de forma gratuita y sin necesidad de justificación, los siguientes derechos sobre sus datos personales:
- Acceso (RGPD art. 15): obtener confirmación sobre el tratamiento de sus datos y una copia de los mismos.
- Rectificación (RGPD art. 16): solicitar la corrección de datos inexactos o incompletos.
- Supresión (RGPD art. 17): solicitar la eliminación de sus datos cuando ya no sean necesarios o se hayan tratado de forma ilícita.
- Limitación del tratamiento (RGPD art. 18).
- Portabilidad (RGPD art. 20): recibir sus datos en un formato estructurado y de uso común.
- Oposición (RGPD art. 21).
- Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
Para ejercer cualquiera de estos derechos, el usuario puede enviar una comunicación a info@intereidas.com desde la misma dirección de correo asociada a su cuenta, indicando claramente el derecho que desea ejercitar.
Asimismo, el usuario tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que el tratamiento no se ajusta a la normativa, en particular cuando no haya obtenido una respuesta satisfactoria al ejercicio de sus derechos.
§ 11 Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, en particular:
- Cifrado de las comunicaciones mediante TLS 1.2 o superior.
- Almacenamiento cifrado de las credenciales de acceso (hash con sal).
- Control de accesos basado en roles y autenticación multifactor para el personal autorizado.
- Eliminación automática de datos temporales (imágenes del DNI, credenciales de portales externos).
- Auditorías periódicas y registro de operaciones críticas.
- Procedimientos documentados para la gestión de incidentes de seguridad y notificación a las autoridades en plazo, cuando proceda.
§ 12 Cambios en la Política de Privacidad
Esta Política de Privacidad puede actualizarse para reflejar cambios normativos, mejoras en el servicio o nuevas funcionalidades. Toda modificación sustancial será comunicada al usuario a través de la dirección de correo electrónico asociada a su cuenta o mediante un aviso destacado en la Plataforma. La fecha de la última actualización aparece al inicio de este documento.