Política de Privacidad y Protección de Datos

1. Introducción y compromisos del responsable

Limpiezas León (en adelante, también el Responsable) respeta escrupulosamente la legislación española y europea en materia de protección de datos de carácter personal y privacidad digital de las personas físicas. La presente Política de Privacidad recoge de forma transparente, completa y comprensible cómo se recogen, tratan, almacenan, comunican y protegen los datos personales de los usuarios y clientes del sitio web limpiezaenleon.com (en adelante, el Sitio Web), así como los derechos de los que disponen los interesados en relación con sus datos.

El Responsable declara su compromiso de cumplir en todo momento con los principios de licitud, lealtad, transparencia, limitación de finalidades, minimización de datos, exactitud, integridad, confidencialidad y responsabilidad proactiva, tal como se establecen en los artículos 5 y siguientes del RGPD.

2. Identidad y datos de contacto del Responsable del Tratamiento

• Denominación / Razón social: Limpiezas León
• CIF/NIF: X12345678Z (sustituir por el dato real del titular)
• Domicilio social / Dirección postal: León, España — CP 24001 (León, España)
• Email de contacto para protección de datos: info@limpiezaenleon.com
• Teléfono de contacto: +34 887 824 379 — Horario: Lunes a Viernes: 8:00 - 20:00 | Sábados: 9:00 - 14:00
• Delegado/a de Protección de Datos (DPD/DPO): De conformidad con el artículo 37 del RGPD, el Responsable no está obligado a designar DPD de forma permanente al no realizar tratamientos a gran escala que requieran dicha figura. No obstante, todas las consultas, solicitudes y reclamaciones en materia de protección de datos serán atendidas directamente por la dirección del Responsable a través del email indicado, con la debida cualificación y confidencialidad.

3. ¿Qué datos personales recopilamos y por qué canales?

El Responsable recopila y trata exclusivamente los datos personales estrictamente necesarios para cumplir con las finalidades indicadas en el apartado siguiente, proporcionados voluntariamente por el propio interesado o recopilados legítimamente durante la relación comercial o de navegación:

3.1 Datos recogidos a través de formularios del Sitio Web

• Formulario de contacto / Solicitud de presupuesto: nombre y apellidos, número de teléfono, dirección de correo electrónico, localidad/municipio, tipo de servicio solicitado, mensaje con detalles del encargo, fecha y hora de la solicitud.
• Formulario de suscripción a newsletter / comunicaciones comerciales: nombre, dirección de correo electrónico, fecha y hora de suscripción, origen de la suscripción.
• Formularios de valoración o reseña: nombre, correo electrónico, texto de la reseña, valoración numérica, servicio contratado, fecha de la valoración.
• Solicitud de información sobre servicios específicos o municipios: nombre, email, teléfono, zona geográfica, servicio requerido.

3.2 Datos recogidos por canales directos

• WhatsApp: nombre de usuario de WhatsApp, número de teléfono, contenido de los mensajes intercambiados, fecha y hora de las comunicaciones.
• Llamada telefónica: número de teléfono llamante/receptor, contenido de la conversación en términos generales (servicio solicitado, presupuesto, observaciones) sin grabación sin consentimiento expreso.
• Correo electrónico directo: nombre, dirección de correo electrónico, datos de firma, contenido del mensaje, archivos adjuntos.
• Contrato de prestación de servicios de limpieza: nombre y apellidos o razón social del cliente, NIF/NIE/CIF, dirección completa del inmueble objeto del servicio, datos bancarios (IBAN, titular) si el cliente opta por domiciliación, teléfono, email, servicio contratado, importe, condiciones particulares, fecha de firma.
• Facturación y contabilidad: datos fiscales completos, número de factura, concepto, importe, fecha de emisión, fecha de pago, método de pago.

3.3 Datos recopilados automáticamente durante la navegación

• Datos de tráfico y conexión (logs): dirección IP (en formato pseudonimizado o completo según caso), tipo de navegador y versión, sistema operativo, idioma del navegador, resolución de pantalla, proveedor de acceso a Internet (ISP), fecha y hora exactas de acceso/abandono, páginas visitadas, búsquedas internas realizadas, origen del tráfico (referente, campaña de marketing, motor de búsqueda, red social), tipo de dispositivo (escritorio, tableta, móvil, smart TV).
• Cookies y tecnologías equivalentes: datos de preferencias, analíticas y marketing recogidos y almacenados en el terminal del usuario, siempre conforme a la Política de Cookies y tras el oportuno consentimiento del usuario cuando sea legalmente exigible.

Importante: el Responsable no realiza tratamientos que requieran datos de categorías especialmente protegidas (art. 9 RGPD: origen racial o étnico, convicciones religiosas, filosóficas o políticas, afiliación sindical, datos genéticos, biométricos, de salud o vida sexual u orientación sexual), salvo que fueran estrictamente necesarios por naturaleza del servicio y con consentimiento expreso del interesado. En caso de que el interesado comunique voluntariamente a través de cualquier canal datos de categorías especialmente protegidas, estos serán eliminados de forma inmediata y segura a menos que exista un deber legal de conservación.

4. Finalidades, bases jurídicas y plazos de conservación de cada tratamiento

A continuación, se informa de forma pormenorizada de cada una de las actividades de tratamiento de datos realizadas por el Responsable, indicando las finalidades perseguidas, la base jurídica que legitima cada tratamiento (de acuerdo con el artículo 6.1 RGPD) y los plazos de conservación aplicables:

5. Registro de actividades de tratamiento (RAT)

El Responsable mantiene actualizado el Registro de Actividades de Tratamiento, tal como exige el artículo 30 del RGPD, en el que se documentan todos los tratamientos de datos personales realizados, sus finalidades, categorías de datos, destinatarios, transferencias internacionales, medidas de seguridad y plazos de conservación. Dicho registro se encuentra a disposición de la Autoridad de Control (Agencia Española de Protección de Datos — AEPD) y podrá ser remitido en soporte electrónico en caso de inspección o auditoría.

6. Destinatarios de sus datos y transferencias internacionales

El Responsable únicamente comunicará sus datos personales a los destinatarios que se indican a continuación, siempre dentro del ámbito de las finalidades declaradas y, en su caso, con el oportuno contrato de encargo de tratamiento (CET) según el artículo 28 RGPD:

6.1 Encargados del Tratamiento

• Proveedor de hosting y servicios cloud: empresa encargada del alojamiento del Sitio Web y de los correos electrónicos, con servidores radicados preferentemente en la Unión Europea o con garantías adecuadas (Standard Contractual Clauses / Adhesión al EU-US Data Privacy Framework). [Cumplimentar con nombre real del proveedor, p. ej. Vercel, Namecheap, Hetzner, etc.]
• Proveedor de herramientas de analítica web: Google LLC (Google Analytics 4), con transferencia a EE.UU. acogida al EU-US Data Privacy Framework revisado y con configuración de anonimización de IP. Más información en policies.google.com/privacy.
• Plataformas de publicidad digital: Google Ads, Meta Ads (Facebook/Instagram), cuando el usuario haya otorgado su consentimiento a cookies de marketing. Datos de conversión (pseudonimizados) y atribución de campañas. Más información: Google aquí, Meta aquí.
• Plataforma de correo electrónico / newsletter: proveedor encargado del envío masivo de comunicaciones comerciales bajo contrato de encargo de tratamiento. [Cumplimentar: p. ej. Mailchimp, SendGrid, Acumbamail, etc.]
• Asesoría fiscal, contable y laboral: despacho profesional encargado de la gestión contable, fiscal, laboral y previsional del Responsable, en calidad de encargado del tratamiento con estricta confidencialidad profesional y obligaciones legales de secreto.
• Plataformas de pago: entidades bancarias, pasarelas de pago, adquirentes o redes de tarjetas (Stripe, Redsys, PayPal, CaixaBank, etc.) para tramitar cobros de servicios contratados.
• Compañías aseguradoras: en la medida necesaria para la tramitación de siniestros, responsabilidad civil profesional y cumplimiento de la contratación de seguros obligatorios.
• Proveedor de WhatsApp Business / servicios de mensajería: Meta Platforms Ireland para la gestión del canal comercial de WhatsApp Business, bajo su política de privacidad corporativa y contrato de encargo de tratamiento.

6.2 Cesiones a terceros sin carácter de encargado

Además de los encargados del tratamiento, los datos personales podrán ser comunicados o cedidos a los siguientes destinatarios cuando exista una obligación legal, una autoridad judicial o administrativa o una base jurídica habilitante:

• Administraciones y organismos públicos: Agencia Tributaria, Seguridad Social, Inspección de Trabajo y Seguridad Social, Juzgados y Tribunales, Policía y Fuerzas y Cuerpos de Seguridad del Estado, AEPD, ayuntamientos, organismos de consumo, y cualquier otro ente público cuando exista una obligación legal o mandato judicial que lo requiera.
• Centros de mediación, arbitraje y plataformas de resolución alternativa de conflictos de consumo: en el caso de que el interesado inicie un procedimiento de reclamación o conflicto.

6.3 Transferencias internacionales de datos

El Responsable trata de evitar transferencias internacionales de datos a terceros países fuera del Espacio Económico Europeo (EEE). No obstante, algunos de los proveedores indicados anteriormente tienen sedes o servidores en Estados Unidos u otros terceros países. En dichos casos, la transferencia se realiza exclusivamente mediante alguna de las siguientes garantías adecuadas, según el artículo 45 y siguientes del RGPD:

• Adhesión del proveedor receptor al Reglamento UE-US Data Privacy Framework revisado por la Comisión Europea (Decisión de Ejecución 2023/2121).
• Firma de las Cláusulas Contractuales Estándar (CCE) aprobadas por la Comisión Europea (Decisión 2021/914).
• Existencia de normas corporativas vinculantes (BCR) aprobadas por la autoridad competente del grupo empresarial del proveedor.

El interesado puede solicitar copia de la documentación acreditativa de las garantías adecuadas utilizadas dirigiendo una comunicación por escrito a la dirección de protección de datos del Responsable.

7. Medidas de seguridad aplicadas

De conformidad con el artículo 32 del RGPD, el Responsable ha implementado y mantiene de forma permanente un conjunto de medidas de seguridad técnicas y organizativas adecuadas al riesgo, al estado actual de la técnica, a la naturaleza de los datos tratados y a la escala de los tratamientos, con el fin de garantizar un nivel de seguridad apropiado al riesgo y proteger los datos personales frente a tratamientos no autorizados o ilícitos, pérdida accidental, destrucción, daño, alteración o difusión no autorizada:

• Medidas organizativas: política interna de seguridad y protección de datos, clasificación de la información según nivel de sensibilidad, control de accesos basado en el principio del mínimo privilegio, formación anual obligatoria en protección de datos y ciberseguridad para todo el personal con acceso a datos, cláusulas de confidencialidad en contratos laborales y con proveedores, procedimientos documentados de respuesta ante incidentes de seguridad y notificación de brechas, plan de continuidad de negocio y recuperación ante desastres, auditorías periódicas internas y externas.
• Medidas técnicas de seguridad física: acceso controlado a instalaciones con datos sensibles, sistemas CCTV en zonas con servidores locales, extinción de incendios y sistemas de alimentación ininterrumpida (SAI), protección frente a condiciones ambientales adversas.
• Medidas técnicas digitales: cifrado TLS 1.3 en todo el Sitio Web, correo electrónico y comunicaciones con proveedores; cifrado AES-256 en reposo para bases de datos con datos personales; hashing irreversible con sal para contraseñas; autenticación multifactor (MFA) en todas las cuentas administrativas y de proveedores; sistemas firewall perimetral, WAF (Web Application Firewall), antivirus/antimalware actualizado y detección de intrusiones (IDS/IPS); copias de seguridad diarias cifradas en ubicación geográfica redundante con pruebas periódicas de restauración; actualizaciones de seguridad en menos de 72h desde su publicación; pseudonimización y separación de entornos (producción, preproducción, desarrollo).
• Medidas de control de terceros: diligencia debida (Due Diligence) sobre proveedores antes de la contratación; cláusulas específicas de protección de datos y de encargo de tratamiento (art. 28 RGPD) en todos los contratos con proveedores que traten datos personales en nombre del Responsable; auditorías o cuestionarios anuales de seguridad a proveedores críticos.

8. Derechos de los interesados (ARSULIPO + oposición)

Cualquier interesado (usuario, cliente, trabajador, proveedor o persona física cuyos datos sean tratados por el Responsable) puede ejercer, de forma gratuita y en cualquier momento, los siguientes derechos reconocidos en el RGPD y en la LOPDGDD:

• Derecho de acceso (art. 15 RGPD): a obtener confirmación por parte del Responsable sobre si trata o no datos personales que le conciernen, y en tal caso, a acceder a los mismos y a la información detallada sobre la actividad de tratamiento (finalidades, categorías de datos, destinatarios, plazos de conservación, etc.).
• Derecho de rectificación (art. 16 RGPD): a obtener sin dilación indebida la rectificación de los datos personales inexactos o incompletos que le conciernan.
• Derecho de supresión / derecho al olvido (art. 17 RGPD): a obtener la supresión sin dilación indebida de sus datos personales cuando concurran los supuestos recogidos en la ley (ej.: datos ya no necesarios para la finalidad para la que se recogieron, retirada del consentimiento, tratamiento ilícito, oposición fundada, etc.). El Responsable se reserva la posibilidad de conservar determinados datos bloqueados por cumplimiento de obligaciones legales o plazos de prescripción.
• Derecho a la limitación del tratamiento (art. 18 RGPD): a que se limite el tratamiento de sus datos en los supuestos legalmente previstos (impugnación de la exactitud de los datos, ilicitud del tratamiento pero el interesado se opone a la supresión, Responsable ya no necesita los datos pero el interesado sí para la formulación, ejercicio o defensa de reclamaciones, o durante la verificación de una oposición al tratamiento).
• Derecho a la portabilidad de los datos (art. 20 RGPD): a recibir, en formato estructurado, de uso común y lectura mecánica, los datos personales que haya proporcionado al Responsable y que se traten por medios automatizados, basados en el consentimiento o en la ejecución de un contrato, así como a solicitar que sean transmitidos directamente a otro responsable del tratamiento cuando sea técnicamente posible.
• Derecho de oposición (art. 21 RGPD): a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos personales basado en el interés legítimo del Responsable o en la realización de tareas en interés público. En dicho caso, el Responsable dejará de tratar los datos, salvo que pueda acreditar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, derechos y libertades del interesado, o bien para la formulación, ejercicio o defensa de reclamaciones. Este derecho incluye, de forma específica e independiente, el derecho a oponerse en cualquier momento al tratamiento de datos personales con fines de marketing directo y de elaboración de perfiles, sin necesidad de invocar motivo alguno.
• Derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado (incluida la elaboración de perfiles) que produzca efectos jurídicos o le afecte significativamente de modo similar (art. 22 RGPD): actualmente el Responsable no realiza tratamientos de decisiones automatizadas individualizadas ni elabora perfiles con tales finalidades. En caso de implantarlos en el futuro, el interesado contará con toda la información y derechos previstos en la ley.

8.1 Cómo ejercer los derechos

Para el ejercicio de cualquiera de los derechos anteriores, el interesado deberá dirigir una comunicación escrita al Responsable, acompañada siempre de copia de su documento de identidad oficial (DNI, NIE, pasaporte, tarjeta de residencia u otro documento legal equivalente), por cualquiera de los siguientes medios:

• Correo electrónico: info@limpiezaenleon.com. Indicando en el asunto la expresión: "Ejercicio de derechos RGPD — [Nombre y apellidos del interesado] — [Derecho/s que se ejercitan]".
• Dirección postal: León, España, CP 24001, León (España). Dirigido a "Departamento de Protección de Datos".

El Responsable atenderá la solicitud en el plazo legal máximo de 1 mes desde la recepción de la petición y de la documentación acreditativa de la identidad del interesado. Dicho plazo podrá prorrogarse hasta 2 meses adicionales cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes; en este caso, el Responsable comunicará la prórroga al interesado en el plazo de 1 mes desde la recepción de la solicitud, indicando los motivos de la demora.

El ejercicio de los derechos es totalmente gratuito para el interesado. Únicamente en caso de solicitudes manifiestamente infundadas, excesivas o repetitivas, el Responsable podrá cobrar una tasa administrativa razonable basada en los costes, o bien negarse a actuar, de acuerdo con el artículo 12.5 RGPD.

8.2 Reclamación ante la Autoridad de Control

Sin perjuicio de cualquier otra vía administrativa o judicial, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), en particular cuando no haya obtenido satisfacción en la respuesta al ejercicio de sus derechos, o considere que el tratamiento de sus datos personales infringe la normativa de protección de datos. La reclamación puede presentarse por medios telemáticos a través de la sede electrónica oficial: sedeagpd.gob.es o por cualquier otro medio indicado por la AEPD.

9. Menores de edad y personas con capacidad jurídica modificada

Los tratamientos descritos en la presente política requieren por regla general la plena capacidad jurídica para contratar. Los menores de 14 años no podrán facilitar sus datos personales sin la debida autorización previa y expresa de sus padres, madres o tutores legales, quienes responderán en todo caso de los actos de los menores bajo su patria potestad o tutela. Se considerará que un menor de entre 14 y 18 años dispone de la capacidad suficiente para prestar su consentimiento válido cuando se trate de servicios de la sociedad de la información de carácter general (ej: suscripción a newsletter, contacto por formulario informativo), de conformidad con el artículo 8 RGPD y la jurisprudencia aplicable.

El Responsable podrá solicitar, en cualquier momento, la documentación pertinente a efectos de acreditar la edad y el consentimiento de los representantes legales cuando existan dudas razonables. Si el Responsable detectara que se han facilitado datos de un menor sin la autorización correspondiente, procederá a suprimir los datos con la máxima celeridad posible y en cualquier caso en un plazo inferior a 72 horas.

10. Conservación y supresión final de los datos

Una vez finalizadas las finalidades para las que los datos personales fueron recopilados, y en cumplimiento del principio de limitación de plazos de conservación del artículo 5.1.e RGPD, el Responsable procederá a:

• Conservación bloqueada: durante los plazos legales de prescripción aplicables según cada materia (fiscal, contable, laboral, civil, penal, consumista, etc.), los datos serán bloqueados y únicamente podrán ser accedidos para atender al cumplimiento de obligaciones legales, la defensa de reclamaciones o la atención de requerimientos judiciales y de las Administraciones Públicas.
• Supresión definitiva y segura: una vez transcurridos dichos plazos de prescripción, los datos personales serán eliminados de forma segura e irreversible mediante métodos técnicos que impidan su recuperación total o parcial (borrado seguro, desmagnetización, destrucción física de soportes, criptoshredding u otro método equivalente), o en su caso, anonimización irreversible.

11. Exactitud y actualización de los datos

El interesado es el único responsable de la veracidad, exactitud, actualización y legitimidad de los datos personales que facilita al Responsable, comprometiéndose a:

• Comunicar al Responsable, en el menor plazo posible, cualquier modificación o actualización de sus datos personales (cambio de domicilio, teléfono, email, datos bancarios, datos fiscales, etc.) para que la información tratada sea siempre fiel a la realidad.
• No facilitar datos falsos, fraudulentos, usurpadoss o correspondientes a terceras personas sin su previo y expreso consentimiento.

El Responsable excluye cualquier responsabilidad por daños y perjuicios derivados del uso de datos falsos, inexactos, desactualizados, incompletos o ilegítimos proporcionados por el propio interesado.

12. Confidencialidad, secreto profesional y código ético

El Responsable garantiza el máximo nivel de confidencialidad y secreto profesional en relación con todos los datos personales a los que tenga acceso en el ejercicio de su actividad, conforme a la legislación aplicable y a las cláusulas contractuales firmadas. Todo el personal del Responsable (trabajadores, colaboradores eventuales y subcontratistas) está obligado contractualmente a mantener el deber absoluto de confidencialidad respecto a los datos personales de clientes y usuarios, incluso después de finalizar su relación laboral o contractual con el Responsable.

13. Actualizaciones y modificaciones de la Política de Privacidad

El Responsable se reserva el derecho a modificar total o parcialmente la presente Política de Privacidad, en cualquier momento y sin necesidad de aviso previo, con el fin de adaptarla a novedades legislativas o jurisprudenciales en materia de protección de datos, a cambios tecnológicos, a nuevas prácticas sectoriales o a modificaciones sustanciales en la naturaleza, alcance o finalidades de los tratamientos de datos realizados o en la estructura orgánica del Responsable.

Las modificaciones sustanciales que afecten a las bases jurídicas de los tratamientos, a las finalidades, a los derechos del interesado o a la existencia de nuevas transferencias internacionales de datos, serán comunicadas al interesado de forma destacada a través del Sitio Web, mediante email a usuarios registrados o mediante reapertura del banner de consentimiento cuando proceda, antes de que entren en vigor. La versión vigente de la Política de Privacidad en cada momento será la publicada en el Sitio Web con indicación de la fecha de última actualización en la cabecera de la misma, por lo que se recomienda su consulta periódica.

14. Información adicional y contacto para protección de datos

Para cualquier consulta adicional, aclaración, sugerencia o reclamación en materia de protección de datos y privacidad, el interesado puede dirigirse al Responsable por los medios indicados a continuación:

• Email especializado: info@limpiezaenleon.com (asunto: "Protección de Datos — [asunto concreto]")
• Teléfono de atención al cliente: +34 887 824 379
• Dirección postal: Departamento de Protección de Datos — Limpiezas León. León, España — CP 24001, León, España.
• Horario de atención: Lunes a Viernes: 8:00 - 20:00 | Sábados: 9:00 - 14:00.