Esta política explica qué datos recogemos, para qué los usamos, con qué base jurídica, durante cuánto tiempo y a quién los comunicamos. Detalla también los derechos que tienes como titular de los datos conforme al RGPD y a la LOPDGDD, y cómo ejercerlos.
Responsable del tratamiento
En cumplimiento del artículo 13 del Reglamento (UE) 2016/679 (RGPD) y del artículo 11 de la Ley Orgánica 3/2018 (LOPDGDD), se identifica al responsable del tratamiento de los datos personales recogidos a través de este sitio web.
Datos personales que tratamos
Recogemos las siguientes categorías de datos personales en función del momento de la relación contigo.
Al usar la calculadora de cuota y el formulario de contacto
- Datos identificativos: nombre y apellidos.
- Datos de contacto: teléfono, correo electrónico.
- Datos económicos de la solicitud: importe que necesitas, plazo de devolución, motivo del préstamo.
- Datos del inmueble: tipo (vivienda, local, nave, suelo), ciudad, código postal, valor estimado de tasación, estado (libre o con hipoteca activa) y, si procede, capital pendiente de la hipoteca actual.
- Comentario opcional: texto libre que decidas aportar.
- Conversaciones del chat de la web: si hablas con el asistente del chat, se conserva la conversación junto a los datos que hayas facilitado en ella. La atiende un asistente automático; si la consulta avanza, la conversación se incorpora al estudio de tu caso.
- Datos técnicos automáticos: dirección IP del dispositivo, navegador y sistema operativo, fuente de tráfico (parámetros UTM), página de aterrizaje, referrer y marca temporal de la solicitud.
- Identificador de analítica web: el identificador seudónimo que genera Google Analytics en tu navegador (
client_id), solo si aceptaste las cookies analíticas. Si las rechazaste, ese identificador no existe y no se guarda nada.
Si la solicitud avanza
Esta documentación la pide y la recibe Prestamus como intermediario de crédito inmobiliario inscrito (E895), para estudiar la operación y presentarla al prestamista, en cumplimiento de la Ley 5/2019 (LCCI) y de la Ley 10/2010 de prevención del blanqueo de capitales, de la que Prestamus es sujeto obligado. Se enumera aquí para que sepas qué te vamos a pedir:
- DNI o NIE en vigor del titular y, si aplica, del cotitular o avalista.
- Justificación de ingresos (nóminas, declaración de la renta, certificados de pensión, documentación de autónomo).
- Nota simple actualizada del Registro de la Propiedad sobre el inmueble en garantía.
- Si hay hipoteca activa: certificado de saldo pendiente del prestamista actual.
- Documentación adicional que Prestamus o el prestamista necesiten para la evaluación: situación laboral, otros préstamos vigentes, situación familiar.
Datos sensibles
Como regla general no tratamos categorías especiales de datos del artículo 9 del RGPD (datos de salud, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, datos biométricos identificativos, vida sexual u orientación sexual). Si excepcionalmente un dato de este tipo llegara en el comentario libre o en el chat (por ejemplo, un motivo del préstamo que mencione una enfermedad), se solicita consentimiento explícito específico y se aplican medidas de seguridad reforzadas.
Finalidades del tratamiento y base jurídica
Tratamos los datos para las siguientes finalidades, cada una con su base jurídica del artículo 6 del RGPD:
| Finalidad | Base jurídica | Plazo | Estado |
|---|---|---|---|
| Estudio de tu solicitud e intermediación Recoger tu solicitud, mostrarte la cuota orientativa de la calculadora, estudiar la operación y presentarla a los prestamistas inscritos con los que trabaja Prestamus. |
Medidas precontractuales a petición del interesado (art. 6.1.b RGPD) y consentimiento (art. 6.1.a RGPD) | 2 años desde última interacción si no firma | Activo |
| Calidad del servicio Comprobar que te han atendido y responder tus consultas generales sobre el proceso. |
Interés legítimo en la calidad del servicio (art. 6.1.f RGPD) | 2 años desde el cierre de la solicitud | Activo |
| Cumplimiento normativo Deberes contables y fiscales y atención de requerimientos de autoridades. |
Obligación legal (art. 6.1.c RGPD) | 6 años (art. 30 Código de Comercio) | Activo |
| Defensa jurídica Atender reclamaciones, ejercer o defender derechos en procedimientos administrativos o judiciales. |
Interés legítimo (art. 6.1.f RGPD) | Plazo de prescripción aplicable | Activo |
| Comunicaciones comerciales Información sobre financiación hipotecaria, recordatorios y novedades de tu solicitud. |
Consentimiento expreso (art. 6.1.a RGPD) | Hasta retirada, con renovación cada 2 años | Opcional |
| Estadísticas web Análisis agregado de uso del sitio (cookies analíticas). |
Consentimiento (art. 6.1.a RGPD) | 14-24 meses según cookie | Opcional |
| Medición del origen de las solicitudes Saber por qué página y canal llegó cada solicitud, guardando junto a ella el identificador seudónimo de Google Analytics y comunicándoselo a Google para no contarte dos veces. No se usa para publicidad ni se cruza con otros ficheros. |
Consentimiento (art. 6.1.a RGPD) | Lo que dure la solicitud | Opcional |
Decisiones automatizadas: qué hacemos y qué puedes exigir
Un filtro automático comprueba que el importe que pides entra en el tope del producto: la suma de la hipoteca pendiente y del importe que pides no puede superar el 40 % del valor de tu vivienda. Si queda claramente fuera, la solicitud se cierra sin intervención humana. Sobre la concesión del préstamo decide solo el prestamista, tras el estudio humano que hace Prestamus: el filtro únicamente aparta solicitudes fuera de producto.
Conforme al artículo 22.3 del RGPD puedes pedir intervención humana, expresar tu punto de vista e impugnar la decisión escribiendo a privacidad@prestamus.es.
Destinatarios de los datos
Los datos se comunican a los siguientes destinatarios cuando es necesario para las finalidades descritas:
Prestamistas inscritos
Prestamus, intermediario de crédito inmobiliario inscrito en el Banco de España (E895), es el responsable del tratamiento que estudia tu solicitud. Para dar curso a la operación, los datos se comunican a los prestamistas inscritos en los registros oficiales (Banco de España o registros autonómicos) a los que Prestamus presenta la operación, que son quienes deciden sobre la concesión, emiten la oferta y firman el préstamo. Cada prestamista es responsable independiente de su propio estudio y decisión. Es esencial para que puedan evaluar la solvencia y firmar el préstamo. Los prestamistas son siempre entidades inscritas en los registros que la normativa española exige (Registro de Prestamistas del Banco de España u otros registros sectoriales). No publicamos aquí la identidad de cada entidad porque varía según la operación, pero te la facilitamos a petición, en el plazo máximo de un mes, ejerciendo tu derecho de acceso.
Profesionales que intervienen en la operación
Si la operación avanza intervienen varios profesionales. Los coordina Prestamus junto con el prestamista, y se les facilitan solo los datos necesarios para su función. Se enumeran aquí para que sepas quién acaba viendo qué:
- Notario, que eliges tú: recibe la documentación precontractual completa por vía telemática segura, que le remite el prestamista conforme al artículo 14.1 de la Ley 5/2019.
- Sociedad de tasación homologada: datos del inmueble y del titular para la tasación independiente.
- Gestoría, si se contrata: datos para la tramitación de impuestos y registro.
- Registro de la Propiedad: datos de la operación para inscripción registral.
Administraciones públicas y autoridades competentes
Cuando una norma lo exige se comunican datos a:
- Agencia Tributaria.
- AEPD (resolución de reclamaciones sobre privacidad).
- SEPBLAC (Servicio Ejecutivo de Prevención del Blanqueo de Capitales), únicamente a requerimiento motivado dirigido al titular.
- Juzgados, tribunales y fuerzas y cuerpos de seguridad cuando lo requieran motivadamente.
- Autoridades de consumo.
Solo se comunican los datos estrictamente necesarios para cumplir cada obligación legal.
Encargados del tratamiento
Trabajamos con proveedores tecnológicos que actúan como encargados de tratamiento bajo contrato firmado conforme al artículo 28 del RGPD. Cada encargado trata los datos siguiendo nuestras instrucciones documentadas y nunca para finalidades propias. Categorías de encargados:
- Proveedor de hosting y CDN (Cloudflare).
- Plataforma de envío de correos transaccionales y comerciales.
- Herramienta de gestión documental interna.
- Asesoría contable y fiscal.
Google Analytics, en las solicitudes
Si aceptaste las cookies analíticas y después nos envías una solicitud, comunicamos a Google Ireland Limited el identificador seudónimo de tu navegador para registrar de dónde vino esa solicitud. No le enviamos tu nombre, tu teléfono, tu email ni los datos del inmueble. Si rechazaste las cookies analíticas, no se envía nada.
Transferencias internacionales
Nuestros sistemas operan principalmente en la Unión Europea. Algunos servicios técnicos (CDN, métricas) pueden implicar transferencia a terceros países en momentos puntuales.
Garantías aplicables a transferencias internacionales
Cuando hay transferencia fuera del Espacio Económico Europeo se aplican las garantías exigidas por los artículos 44 a 50 del RGPD: decisión de adecuación de la Comisión Europea cuando exista, Cláusulas Contractuales Tipo aprobadas por la Comisión y, cuando proceda, medidas suplementarias de seguridad conforme a las recomendaciones del Comité Europeo de Protección de Datos.
Puedes solicitar copia de las garantías aplicables escribiendo a privacidad@prestamus.es.
Autocompletado de direcciones y transferencias internacionales
Para sugerirte direcciones mientras escribes en el formulario, el texto que tecleas en el campo de dirección se envía desde nuestro servidor (no desde tu navegador, así que no se comparte tu dirección IP) al servicio de geocodificación de Esri (Environmental Systems Research Institute, Inc., Redlands, California, EE. UU.). Si ese servicio no responde, se consulta Photon (komoot GmbH, Alemania), que usa datos de OpenStreetMap. No se envía ningún otro dato del formulario. Las búsquedas pueden quedar en la caché del servidor un máximo de 7 días, sin asociarse a ninguna persona. Este servicio no instala cookies.
Esri está adherida al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), que cuenta con una decisión de adecuación de la Comisión Europea de 10 de julio de 2023; la transferencia se ampara en el artículo 45 del RGPD. La base jurídica de este tratamiento es la aplicación, a petición del usuario, de medidas precontractuales (artículo 6.1.b del RGPD).
Plazos de conservación
| Categoría de dato | Plazo | Norma aplicable |
|---|---|---|
| Datos de la calculadora de cuota sin solicitud enviada | 2 años desde la última interacción | Art. 5.1.e RGPD · principio de limitación |
| Conversaciones del chat y grabaciones de las llamadas | 2 años desde la última interacción | Art. 5.1.e RGPD · principio de limitación |
| Documentación de la operación (Prestamus y prestamista) | 10 años desde la finalización de la relación | Art. 25 Ley 10/2010 (PBC) |
| Datos contables y fiscales | 6 años desde el último asiento | Art. 30 Código de Comercio |
| Datos para comunicaciones comerciales | Hasta retirada del consentimiento | Art. 7 RGPD · revisión cada 2 años |
| Datos para defensa jurídica | Plazo de prescripción de la acción | Código Civil y Ley 1/2000 LEC |
| Datos técnicos / cookies | 14-24 meses según tipo | Política de cookies |
Una vez transcurrido el plazo, los datos se bloquean (se conservan a disposición exclusiva de jueces, tribunales y autoridades competentes durante el plazo de prescripción de las acciones que pudieran derivarse del tratamiento) y, vencidas las prescripciones, se suprimen.
Derechos del interesado
Como titular de los datos tienes los siguientes derechos reconocidos por el RGPD y la LOPDGDD:
- Acceso (art. 15 RGPD): saber qué datos tuyos tratamos, obtener copia y conocer la identidad concreta de la entidad o entidades a las que se comunicó tu solicitud (sentencia del TJUE de 12 de enero de 2023, asunto C-154/21).
- Rectificación (art. 16): corregir datos inexactos o completar datos incompletos.
- Supresión (art. 17): solicitar el borrado cuando proceda. No aplica a datos cuyo tratamiento esté cubierto por una obligación legal de conservación.
- Limitación del tratamiento (art. 18): que los datos no se traten activamente durante una controversia.
- Portabilidad (art. 20): recibir tus datos en formato estructurado y de uso común.
- Oposición (art. 21): oponerte al tratamiento basado en interés legítimo y, sin necesidad de motivación, al envío de comunicaciones comerciales.
- No ser objeto de decisiones automatizadas (art. 22): puedes exigir intervención humana ante el filtro automático de arriba.
- Retirar el consentimiento (art. 7.3): en cualquier momento cuando el tratamiento se base en consentimiento.
Cómo ejercer los derechos
Envía un correo a privacidad@prestamus.es indicando:
- El derecho que ejerces (acceso, rectificación, supresión, etc.).
- Tu nombre y un dato que permita identificarte como titular (DNI/NIE, referencia de tu solicitud).
- Copia de tu DNI o NIE en vigor para acreditar la identidad.
- Dirección de correo o postal donde recibir la respuesta.
Atendemos la solicitud en el plazo máximo de 1 mes (ampliable hasta 2 meses adicionales si la complejidad lo justifica), conforme al artículo 12.3 del RGPD. La respuesta es gratuita salvo solicitudes manifiestamente infundadas o excesivas (artículo 12.5).
Reclamación ante la AEPD
Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar reclamación ante la Agencia Española de Protección de Datos: aepd.es. Es la autoridad de control competente en España.
Recomendamos dirigirte primero al responsable del tratamiento; muchas reclamaciones se resuelven sin necesidad de acudir a la AEPD.
Seguridad de los datos
Aplicamos las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD, considerando el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas.
Medidas implementadas
- Cifrado en tránsito (HTTPS/TLS) en todo el sitio.
- Cifrado en almacenamiento de las bases de datos de solicitudes.
- Control de accesos por roles (RBAC), con principio de mínimo privilegio.
- Registro de operaciones sobre datos sensibles para trazabilidad.
- Copia de seguridad periódica con cifrado y plan de recuperación documentado.
- Contratos de encargado de tratamiento con todos los proveedores conforme al art. 28 RGPD.
- Procedimiento de notificación de brechas conforme a los artículos 33 y 34 RGPD.
Brechas de seguridad
Si se produce una brecha de seguridad que pueda afectar a tus derechos, aplicamos el siguiente protocolo:
- Notificación a la AEPD sin dilación indebida y, en lo posible, en el plazo de 72 horas desde que tuviéramos conocimiento, conforme al artículo 33 RGPD.
- Comunicación al interesado sin dilación indebida cuando exista alta probabilidad de impacto en sus derechos, conforme al artículo 34 RGPD.
- Documentación interna de la brecha, su impacto y las medidas adoptadas para mitigar consecuencias y prevenir recurrencia.
Tratamiento de datos de menores
No dirigimos servicios a menores de edad. Conforme al artículo 7 de la LOPDGDD:
- Menores de 14 años: no tratamos sus datos. Si detectamos un alta indebida, los datos se suprimen.
- Mayores de 14 años pero menores de 18: pueden otorgar consentimiento, salvo en operaciones que la legislación civil reserva a los representantes legales. En préstamos hipotecarios, la firma exige plena capacidad de obrar (mayoría de edad o emancipación con asistencia legal).
Modificaciones de esta política
La política de privacidad se actualiza cuando cambia la legislación aplicable, las características del servicio o las finalidades del tratamiento. La fecha de última actualización aparece en la cabecera del documento. Los cambios sustanciales que afecten al alcance o a la base jurídica del tratamiento se notifican por correo electrónico a quien tenga una solicitud en curso con un mínimo de 15 días naturales de antelación a la entrada en vigor.