Política de privacidad

1. Responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), se informa de que el responsable del tratamiento de los datos personales recogidos a través de https://servipymes.es es:

Responsable: Ingeniería de Soluciones Ingeniolab S.L.
NIF/CIF: B75379826
Domicilio: Plaza Almirante Romay 5 Bajo, 15011 A Coruña
Correo electrónico: info@ingeniolab.com

2. Delegado de Protección de Datos

En el momento actual no se ha designado Delegado de Protección de Datos al no concurrir ninguno de los supuestos obligatorios previstos en el artículo 37 del RGPD. Cualquier comunicación relativa al tratamiento de datos personales puede dirigirse al correo electrónico indicado en el apartado anterior.

3. Finalidades del tratamiento y bases jurídicas

3.1 Gestión de cuentas de usuario registrado

Finalidad: permitir el registro, autenticación, gestión de sesiones y prestación de los servicios asociados a la cuenta (creación y edición de fichas, recepción de mensajes, alertas de búsqueda).
Base jurídica: ejecución de un contrato en el que el interesado es parte (artículo 6.1.b del RGPD), al aceptar las Condiciones de Uso en el registro.
Datos tratados: nombre, correo electrónico, contraseña (almacenada con hash Argon2id, nunca en claro) y, en caso de autenticación OAuth de terceros, los datos identificativos que dichos proveedores comuniquen.
Plazo de conservación: mientras la cuenta permanezca activa. Tras su eliminación, los datos quedan bloqueados durante los plazos de prescripción de acciones legales aplicables (hasta 6 años en materia mercantil y fiscal), tras lo cual se suprimen.

3.2 Publicación de fichas de profesionales autónomos con presencia pública previa

Finalidad: facilitar el contacto entre profesionales que han hecho pública su actividad económica y potenciales clientes.
Base jurídica: interés legítimo del responsable (artículo 6.1.f del RGPD), previa ponderación en los términos del considerando 47 del RGPD.

Ponderación del interés legítimo (artículo 6.1.f RGPD):

Necesidad: la creación de un directorio agregado que incluya a trabajadores autónomos con presencia comercial pública es necesaria para cumplir la finalidad declarada del Sitio, facilitando el encuentro entre oferta y demanda de servicios profesionales de pequeño tamaño, segmento insuficientemente cubierto por otros registros públicos.

Adecuación: el tratamiento se limita a datos que el propio interesado ha hecho públicos previamente en contextos comerciales (datos de contacto publicados en OpenStreetMap, plataforma cartográfica abierta, o en la web propia del negocio, recogidos por Overture Maps Foundation). No se trata información no publicada por el interesado o por entidades habilitadas.

Ponderación de derechos: frente al interés del público en acceder de forma agregada a información profesional ya disponible, se reconocen las siguientes garantías:

Cada ficha publicada incluye la fuente original de los datos.
El interesado puede solicitar la supresión de su ficha en cualquier momento, con compromiso de resolución en un plazo máximo de 15 días.
El interesado puede oponerse al tratamiento conforme al artículo 21 del RGPD, sin necesidad de justificar motivos concretos al tratarse de interés legítimo.
No se tratan categorías especiales de datos (artículo 9 del RGPD).
No se realiza elaboración de perfiles ni decisiones automatizadas con efectos jurídicos.

Datos tratados: nombre comercial, dirección profesional, teléfono y correo electrónico profesional (cuando el interesado los ha publicado como medio de contacto comercial), actividad económica, información descriptiva y enlace a web propia cuando exista. No se tratan datos domiciliarios cuando son distintos del domicilio profesional declarado públicamente.

Plazo: mientras persista la publicación original que motivó la inclusión. Si la fuente deja de estar accesible, o si el interesado ejerce derecho de supresión u oposición, el dato se elimina en un plazo máximo de 15 días.

Fichas de negocios con web propia (origen: información publicada por los propios negocios en sus webs). Además de las fuentes anteriores, el directorio incluye negocios cuya propia web, accesible públicamente, publica su nombre comercial, su actividad, su localidad y sus medios de contacto profesionales. Estas webs se localizan a partir de datos públicos de rastreo web (Common Crawl) y se leen de nuevo en el momento de crear la ficha.

Base jurídica: interés legítimo de un directorio profesional (artículo 6.1.f del RGPD), con la ponderación descrita arriba y documentada internamente.
Datos que se publican: nombre comercial, actividad, municipio, provincia y código postal, teléfono, correo electrónico y WhatsApp profesionales (solo si figuran en la portada o en la página de contacto de la propia web) y enlace a la web. De las sociedades se muestra, además, su razón social.
Datos que no se publican: nunca el nombre ni el NIF, DNI o NIE de una persona física, ni su domicilio ni su calle. El identificador fiscal se guarda cifrado y solo se usa para evitar duplicados. Si el único nombre disponible de un autónomo es el de la persona, la ficha no se crea.
Baja: cualquier titular puede pedir la supresión de su ficha, o ejercer su derecho de oposición, desde el enlace «Solicitar la baja de esta ficha» o escribiendo a info@ingeniolab.com; la ficha se retira en un plazo máximo de 15 días.

3.3 Gestión de formularios de contacto

Finalidad: permitir que los visitantes contacten con los titulares de las fichas publicadas, remitiendo el mensaje al correo electrónico del destinatario.
Base jurídica: consentimiento del usuario al enviar el formulario (artículo 6.1.a) e interés legítimo del destinatario en recibir consultas comerciales (artículo 6.1.f).
Datos tratados: nombre y correo electrónico del remitente, teléfono si lo aporta voluntariamente, contenido del mensaje, dirección IP (hash HMAC-SHA256, no en claro) y user-agent.
Plazo: 24 meses desde el envío, salvo obligación legal.

3.4 Seguridad y prevención de abuso

Finalidad: detectar y prevenir usos abusivos (spam, ataques automatizados, suplantación).
Base jurídica: interés legítimo en garantizar la seguridad del Sitio.
Datos tratados: dirección IP (hash), user-agent, marcas de tiempo, intentos de autenticación.
Plazo: 12 meses.

4. Destinatarios de los datos

Los datos podrán comunicarse a los siguientes encargados del tratamiento, bajo acuerdos que garanticen las medidas del RGPD:

Infraestructura cloud: DigitalOcean, LLC (EE.UU.), alojamiento de servidores y base de datos. Cubierto por Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
Correo electrónico transaccional: Resend, Inc. (EE.UU.), para envío de correos automatizados (verificación, restablecimiento, notificaciones). Cubierto por Cláusulas Contractuales Tipo.
Autenticación federada: cuando el usuario inicia sesión mediante Google, este proveedor recibe la información estrictamente necesaria para autenticar, conforme a sus propias políticas.

No se realizan otras cesiones salvo por obligación legal.

5. Transferencias internacionales

Algunos encargados se encuentran en Estados Unidos. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo (Decisión de Ejecución UE 2021/914) o en el Marco de Privacidad de Datos UE-EE.UU. cuando el proveedor esté certificado.

6. Derechos del interesado

Conforme a los artículos 15 a 22 del RGPD, cualquier persona puede ejercer:

Acceso: conocer qué datos se tratan y obtener copia.
Rectificación: corregir datos inexactos.
Supresión: solicitar la eliminación (derecho al olvido).
Oposición: oponerse al tratamiento basado en interés legítimo.
Limitación: solicitar la suspensión del tratamiento.
Portabilidad: recibir los datos en formato estructurado.
No decisiones automatizadas: el Sitio no realiza este tratamiento.

Cómo ejercer los derechos: dirigir solicitud escrita a info@ingeniolab.com identificándose adecuadamente. Resolución en plazo máximo de un mes, prorrogable por dos meses en casos complejos.

Para supresión u oposición relativas a fichas importadas de fuentes públicas (publicadas bajo interés legítimo), el plazo es de 15 días desde la recepción, sin necesidad de acreditar titularidad formal cuando los datos del solicitante coincidan razonablemente con los publicados.

Reclamación ante la AEPD: si el interesado considera que el tratamiento no cumple la normativa, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es; C/ Jorge Juan 6, 28001 Madrid).

7. Medidas de seguridad

Ingeniería de Soluciones Ingeniolab S.L. aplica medidas técnicas y organizativas apropiadas: cifrado TLS 1.2+ en tránsito, cifrado AES-256-GCM en reposo para datos sensibles, hashing Argon2id de contraseñas, HMAC-SHA256 para identificadores buscables, almacenamiento separado y cifrado de identificadores fiscales, copias de seguridad periódicas, control de acceso basado en roles, registro de auditoría. Cuando el interesado solicita el restablecimiento de su contraseña, todas las sesiones activas asociadas a su cuenta quedan invalidadas de forma inmediata como medida adicional de protección frente a accesos no autorizados.

8. Decisiones automatizadas

No se realizan decisiones automatizadas con efectos jurídicos sobre las personas.

9. Contacto con negocios

Cuando envías un mensaje a un negocio a través del formulario de contacto en una ficha de Servipymes, recopilamos los siguientes datos personales:

Tu nombre.
Tu dirección de email.
Tu teléfono (si lo proporcionas; es un campo opcional).
El contenido del mensaje que escribes.
Una versión cifrada (hash SHA-256 con pepper privado) de tu dirección IP, exclusivamente para prevenir abuso del formulario (spam y acoso). No conservamos la IP en claro.

Finalidad: entregar tu mensaje al titular del negocio que has contactado y confirmarte por email que el envío se ha realizado correctamente. La copia del mensaje a tu propio correo te permite tener registro de la consulta y reenviarla si es necesario.

Base jurídica: consentimiento explícito que otorgas al marcar la casilla de aceptación de esta política antes de enviar el mensaje (artículo 6.1.a RGPD).

Destinatarios:

El titular del negocio destinatario, vía Resend (proveedor de email transaccional con sede en Estados Unidos, certificado bajo el marco DPF EU-US Data Privacy Framework).
Personal autorizado de Servipymes para tareas de soporte y moderación cuando un mensaje sea reportado como abusivo.

El sistema de logs aplica una redacción específica de los campos senderName, senderEmail y senderPhone antes de escribir cualquier traza, de modo que tus datos personales no llegan a archivos de registro.

Retención: los mensajes de contacto se conservan durante 24 meses desde su envío. Pasado ese plazo, los datos personales del remitente (nombre, email, teléfono, hash de IP) se eliminan de forma irreversible. El contenido textual del mensaje puede conservarse de forma anonimizada por motivos estadísticos y de detección de patrones de abuso.

Tus derechos: puedes solicitar el acceso, rectificación, supresión o portabilidad de tus mensajes contactando con info@ingeniolab.com indicando la dirección de email desde la que enviaste los mensajes.

10. Solicitudes de retirada de ficha (RGPD art. 17 y 21)

Cuando solicitas la retirada de una ficha amparándote en tu derecho de supresión (RGPD art. 17) u oposición (art. 21), tratamos los datos de tu solicitud con las siguientes garantías:

Finalidad: verificar la legitimidad de la solicitud y proceder a la retirada efectiva de la ficha del directorio.
Base jurídica: cumplimiento de obligación legal (artículo 6.1.c RGPD) y ejercicio de derechos del interesado.
Documento de identidad: solicitamos un documento que acredite que eres titular de los datos personales cuya retirada solicitas (DNI, NIE, certificado de autónomo, alta censal). Esta verificación es obligatoria conforme al RGPD art. 12.6 para prevenir solicitudes fraudulentas. El documento se conserva durante 24 meses tras la resolución, plazo durante el cual debe estar disponible ante posible reclamación, después se elimina automáticamente.
Plazo: máximo 15 días naturales desde la recepción, tanto para responder como para retirar la ficha del directorio si se aprueba la solicitud.
Resolución: una vez aprobada la solicitud, la ficha deja de publicarse. Los datos identificativos del negocio se conservan en base de datos durante 24 meses adicionales para auditoría legal, pero no se publican.
Derechos: si rechazamos tu solicitud, te informaremos del motivo y de tu derecho a presentar reclamación ante la Agencia Española de Protección de Datos (AEPD).

11. Tratamiento de alertas de búsqueda

Cuando creas una alerta de búsqueda, tratamos los datos asociados con las siguientes garantías:

Finalidad: enviarte comunicaciones sobre novedades que has solicitado expresamente recibir.
Base jurídica: ejecución del servicio solicitado (artículo 6.1.b RGPD) cuando creas alertas; consentimiento explícito (artículo 6.1.a RGPD) al activar el envío de digests por email.
Datos guardados: criterios de tu alerta (categoría, provincia) y momento de creación.
Retención: las alertas se conservan mientras tu cuenta esté activa. Al eliminar o cerrar tu cuenta, se eliminan automáticamente.
Acceso: solo tú tienes acceso a tus alertas. El personal de Ingeniería de Soluciones Ingeniolab S.L. no las consulta salvo en el contexto de soporte técnico solicitado por ti, y siempre con tu consentimiento previo.
Frecuencia de comunicaciones: enviamos como máximo un email diario por alerta activa, solo cuando haya novedades reales que coincidan con tus criterios. Si no hay novedades, no se envía email ese día.
Cancelación: puedes pausar o eliminar cualquier alerta en cualquier momento desde tu panel /dashboard/alertas. La pausa detiene los envíos sin eliminar la alerta; la eliminación es permanente.
Derechos: puedes ejercer tus derechos de acceso, rectificación, supresión, portabilidad y oposición escribiendo a info@ingeniolab.com.

12. Logo del negocio

El propietario de una ficha puede subir el logo de su negocio, que es la única imagen de la ficha.

Finalidad: publicación en la ficha del negocio dentro del directorio público.
Base jurídica: ejecución del servicio solicitado (artículo 6.1.b RGPD).
Almacenamiento: en infraestructura propia con permisos restrictivos. El logo se sirve públicamente a través de URLs específicas.
Retención: el logo se conserva mientras la ficha exista. Al sustituirlo o eliminar la ficha, los ficheros se borran al momento.

13. Provincia del visitante en la página de inicio

La página de inicio muestra información de la provincia del visitante (tiempo, teléfonos de interés, farmacias y negocios destacados).

Estimación aproximada por IP: la primera vez, si no has elegido provincia, la estimamos a partir de tu dirección IP en el momento de la visita, solo para elegir qué información local mostrar. La IP se compara con la base DB-IP Lite (IP Geolocation by DB-IP, licencia CC BY 4.0), que da una ubicación aproximada a nivel de ciudad, y esa ubicación se cruza con los términos municipales oficiales para obtener la provincia. Te preguntamos si es correcta («¿Estás en…? Sí · Cambiar»); hasta que contestes no guardamos nada en tu navegador.
Qué no hacemos: no guardamos la IP ni la ubicación, no las registramos en los logs de la aplicación y no las asociamos a ninguna cuenta. La IP nunca se usa como sustituto de «Usar mi ubicación».
«Usar mi ubicación»: si lo pulsas en el selector de provincia, tu navegador te pide permiso para compartir tu ubicación; tu respuesta a ese permiso es tu consentimiento. Si lo aceptas, las coordenadas y su margen de error se envían al servidor solo para calcular en qué provincia estás (cruzándolas con los términos municipales oficiales) y se descartan en ese mismo momento: no almacenamos tu posición ni la registramos en ningún log. La provincia solo se aplica si la precisión es de 5 km o mejor; si no lo es, no cambiamos nada y te pedimos tu código postal o tu municipio.
Código postal o municipio: también puedes escribirlos en el selector. Los usamos únicamente para deducir la provincia y no los guardamos.
Búsquedas: con una provincia elegida o estimada, las búsquedas y las sugerencias del buscador que no indican lugar muestran los negocios de esa provincia; puedes ver los de toda España con «Ver toda España» o eligiendo «Toda España» en el selector.
Tu elección: puedes cambiar la provincia en cualquier momento con el enlace «Cambiar provincia». La provincia elegida o confirmada (o «Toda España») se guarda en la cookie de preferencia sp_provincia (ver la política de cookies), que no contiene datos personales.
Base jurídica: interés legítimo en mostrar información útil y cercana (artículo 6.1.f RGPD).

14. Reclamación de fichas por sus titulares

Cuando reclamas una ficha de tu negocio con el botón «¿Es tu negocio? Reclámalo», tratamos los datos de tu solicitud con las siguientes garantías:

Finalidad: comprobar que eres el titular del negocio y, si el equipo de Servipymes lo aprueba, asignarte la gestión de la ficha.
Base jurídica: tu solicitud (artículo 6.1.b RGPD) y el interés legítimo en evitar que terceros se apropien de fichas ajenas (artículo 6.1.f).
Datos: tu cuenta (identificador y email), la ficha reclamada, el método elegido, el email al que se envía el código de verificación (se guarda cifrado), el resultado de la verificación, las fechas y, en su caso, los documentos que subas. El código de verificación se guarda solo en forma de huella y caduca a los 30 minutos.
Documentos: solo si eliges acreditar la titularidad con documentos (factura o recibo a nombre del negocio, alta de autónomo, escrituras o certificado de la AEAT). No pedimos el DNI. Se guardan fuera de la zona pública y solo los consulta el equipo de administración. Se borran en cuanto la solicitud se aprueba, se rechaza o se cancela, y en todo caso a los 30 días como máximo.
Conservación: los datos de la solicitud se conservan mientras dura la tramitación y, después, el registro de la resolución (sin documentos) como historial de la ficha.
Decisión humana: ninguna reclamación se aprueba de forma automática; siempre la revisa una persona del equipo.
Derechos: puedes cancelar tu solicitud desde tu panel y ejercer tus derechos como se indica en el apartado 6.

15. Mensajes a la administración

Cuando nos escribes desde el enlace «¿Algún dato es incorrecto? Escríbenos» o «¿Quieres que tu negocio aparezca aquí?» de una ficha, o desde «Escribir a la administración» de tu panel, tratamos tu mensaje con las siguientes garantías:

Finalidad: atender tu comunicación (corregir un dato de una ficha, resolver una duda o una incidencia) y responderte por correo.
Base jurídica: tu consentimiento, que otorgas al marcar la casilla de aceptación de esta política antes de enviarlo (artículo 6.1.a RGPD), y el interés legítimo en mantener correctos los datos del directorio (artículo 6.1.f).
Datos: tu nombre, tu email (se guarda cifrado), el texto del mensaje, la ficha o la cuenta desde la que escribes, la fecha y una huella de tu IP que no permite reconocerte, solo evitar abusos. No pedimos teléfono ni otros datos.
Destinatarios: solo el equipo de administración de Servipymes. No se comunican a terceros; si hace falta corregir una ficha, se corrige sin indicar quién avisó. El aviso interno al equipo no incluye el contenido del mensaje ni tus datos.
Conservación: 24 meses desde el envío. Pasado ese plazo, el mensaje y tus datos se eliminan de forma irreversible. Si eliminas tu cuenta, el mensaje se desvincula de ella.
Derechos: puedes ejercer tus derechos como se indica en el apartado 6, indicando el email desde el que escribiste.

16. Destacados en fichas y estadísticas de campaña

Algunos negocios pagan por aparecer en el bloque «Destacados» al pie de otras fichas; esas tarjetas se identifican con la etiqueta «Patrocinado» y sus enlaces llevan rel="sponsored". Para dar cuenta de ello a los anunciantes contamos, por campaña y por día, cuántas veces se ha visto el bloque y cuántas veces se ha pulsado una tarjeta o un contacto. Son cifras agregadas: no se guarda quién las genera, ni su IP, ni su dispositivo, y no se asocian a ninguna cuenta. Para no contar dos veces la misma visita se usa el identificador aleatorio de 30 minutos descrito en la política de cookies. No se cuentan las visitas de rastreadores automáticos ni las del equipo de administración.

Si escribes desde el enlace «¿Quieres que tu negocio aparezca aquí?», tu mensaje se trata como se explica en el apartado 15; además guardamos el nombre, la provincia y la actividad de la ficha desde la que escribes, para atender tu solicitud comercial.

17. Analítica web

Para saber cómo se usa el Sitio y mejorarlo medimos las visitas con dos herramientas.

Umami (propia, sin cookies).

Qué es: un programa de estadísticas instalado en nuestro propio servidor. Los datos no salen de Servipymes ni se comparten con terceros.
Datos: páginas vistas, página de origen, tipo de dispositivo, navegador, país y los eventos del Sitio (por ejemplo, pulsar «Llamar» en una ficha, o el término que buscas, con la provincia). Te pedimos que no escribas datos personales en el buscador. No usa cookies, no guarda tu IP ni te identifica, y nunca registra correos, teléfonos ni nombres de personas.
Base jurídica: interés legítimo (artículo 6.1.f RGPD) en conocer el uso agregado del Sitio. Se trata de datos estadísticos anónimos.
Conservación: 26 meses; pasado ese plazo se eliminan automáticamente.
Exclusiones: no se mide la zona de administración ni las visitas del equipo.

Google Analytics 4 (solo con tu consentimiento).

Qué es: el servicio de analítica de Google, que solo se activa si aceptas la analítica en el banner de cookies o en «Configurar cookies». Antes de tu decisión, o si la rechazas, no se carga y no se envía nada a Google.
Datos: identificadores de las cookies _ga y _ga_*, páginas vistas, dispositivo, navegador, ubicación aproximada y los mismos eventos del Sitio, sin datos personales. La publicidad de Google está desactivada.
Base jurídica: tu consentimiento (artículo 6.1.a RGPD), que puedes retirar en cualquier momento con «Configurar cookies» en el pie; retirarlo es tan fácil como darlo.
Encargado y transferencias: Google actúa como encargado del tratamiento (Google Ireland Limited). Los datos pueden transferirse a Estados Unidos, amparados en el Marco de Privacidad de Datos UE-EE. UU. al que Google está adherido.
Conservación: 14 meses.

Más detalle de las cookies en la política de cookies.

18. Actualizaciones

La presente Política puede actualizarse. Las modificaciones entran en vigor desde su publicación. Cambios sustanciales se comunicarán a usuarios registrados por correo.

Última actualización: 18 de octubre de 2026