Política de Privacidad

Esta Política de Privacidad describe cómo Stackslides, S.L. (Sociedad Unipersonal) ("Flipaki", "nosotros") trata los datos personales de las personas usuarias de la web flipaki.com y de la App para iOS/Android (conjuntamente, la "Plataforma"), en cumplimiento del Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa aplicable.

Flipaki es una plataforma de alquiler de artículos entre particulares. Solo pueden usarla personas mayores de 18 años.

1. Responsable del tratamiento

STACKSLIDES, S.L. (Sociedad Unipersonal)

• NIF: B72703846
• Forma jurídica: Sociedad de Responsabilidad Limitada Unipersonal (art. 13 LSC). Socio único y administrador único: D. Gints Ziverts.
• Domicilio social: Carrer de Musitu 47, 08023 Barcelona, España
• Inscripción: Registro Mercantil de Barcelona, Tomo 40513, Folio 7, Hoja B-555548, Inscripción 1.ª de 4 de noviembre de 2022.
• Correo de privacidad: info@flipaki.com

1.1 Delegado de Protección de Datos (DPD)

Conforme al art. 37 RGPD y al art. 34 LOPDGDD, Flipaki no está obligada a designar un DPD (no realiza tratamientos a gran escala de categorías especiales de datos ni un seguimiento sistemático a gran escala). Para cualquier cuestión de protección de datos puedes escribirnos a info@flipaki.com.

2. Datos personales que tratamos

Tratamos las siguientes categorías de datos:

• Datos de cuenta e identificación: nombre de usuario, email, contraseña cifrada, foto de perfil, idioma y ciudad. No solicitamos ni almacenamos nombre, apellidos, fecha de nacimiento, edad ni número de teléfono completo.
• Indicadores de verificación de identidad, edad y teléfono (vía Didit): únicamente recibimos y almacenamos en los sistemas de Flipaki:
• Datos de autenticación: proveedores de login (Google, Apple) y tokens asociados.
• Datos de uso: anuncios publicados, reservas, valoraciones, mensajes de chat, reportes, historial de actividad dentro de la Plataforma.
• Datos de facturación de la tarifa de reserva (1 € + IVA): nombre y datos fiscales para la factura, referencia de pago. No almacenamos el número completo de la tarjeta: el cobro lo procesa nuestro proveedor de pagos (Stripe).
• Datos técnicos y del dispositivo: dirección IP, identificadores del dispositivo, sistema operativo, versión de la App, eventos de uso, cookies y SDKs (ver Política de Cookies).
• Datos de geolocalización precisa: coordenadas GPS obtenidas del dispositivo cuando autorizas el permiso de ubicación a través del sistema operativo (iOS App Tracking / Permisos de ubicación o Android Location Permissions). Se utilizan exclusivamente para ordenar los artículos por proximidad en la pantalla de inicio (mostrar primero los artículos más cercanos a tu ubicación). El permiso es opcional: si no lo concedes, la pantalla de inicio mostrará los artículos sin ordenarlos por cercanía. Puedes revocarlo en cualquier momento desde los Ajustes de tu dispositivo.
• Datos de cookies de medición y publicidad (solo si consientes cookies publicitarias en el banner): identificadores de cookie publicitaria (p. ej., _gcl_au, _fbp), eventos de conversión, datos de atribución de campañas, referer y, en su caso, IP truncada, transmitidos a Google Ads y Meta.
• Datos de comunicaciones con Flipaki: correos, consultas, reclamaciones y adjuntos.
• Datos de seguridad y prevención de fraude: identificadores anonimizados asociados a cuentas suspendidas (para impedir re‑registro tras incumplimientos graves), metadatos de reportes y señales de abuso. Cuando sea necesario para investigar fraude o cumplir requerimientos legales, podremos consultar (sin almacenar) los datos de verificación alojados en Didit, conforme al apartado 7.5.
• Contenido enviado a la asistencia por IA: fotografías y descripciones del artículo que decides procesar con la función de asistencia por IA para creación de anuncios, junto con las sugerencias generadas (título, descripción, valor y rangos de precio). Su tratamiento se describe en el apartado 7.
• Aceptación del autocontrato / compromiso comunitario: marca temporal y versión del autocontrato aceptado en el registro, como prueba de aceptación de las Normas de la Comunidad.

3. Finalidades, bases jurídicas y plazos de conservación

Tras el cierre de tu cuenta, eliminaremos o anonimizaremos tus datos en un plazo máximo de 90 días, salvo que debamos conservarlos por una obligación legal, para la resolución de disputas, la defensa frente a reclamaciones o la prevención de fraude, en cuyo caso conservaremos únicamente lo estrictamente necesario y durante el tiempo estrictamente necesario.

4. Destinatarios y encargados del tratamiento

Comunicamos tus datos o damos acceso a ellos, exclusivamente cuando resulta necesario, a las siguientes categorías de destinatarios (bajo contrato de encargo conforme al art. 28 RGPD cuando corresponde):

• Proveedores de infraestructura, alojamiento y entrega web — incluyen: Google Cloud / Firebase (Google Ireland Limited, con transferencia a Google LLC en EE. UU. amparada por DPF/SCC) para servicios backend de la App; y Vercel Inc. (Estados Unidos, transferencia amparada por DPF/SCC) para el alojamiento, edge caching y entrega del Sitio Web flipaki.com. Vercel procesa datos técnicos de las solicitudes HTTP (dirección IP, user-agent, ruta solicitada) en el marco de su rol como proveedor de hosting.
• Proveedores de analítica y atribución (p. ej., Google Analytics / GA4, Firebase Analytics, Amplitude, AppsFlyer) — únicamente si consientes cookies analíticas o publicitarias.
• Proveedores de publicidad online y medición de campañas — únicamente si consientes cookies publicitarias en el banner:
• Proveedores de autenticación (Google, Apple) cuando utilices login social.
• Proveedor de servicios de pago para la tarifa de reserva (Stripe).
• Proveedor de atención al cliente y mensajería in-app (Intercom, Inc., Estados Unidos) para gestionar consultas, tickets de soporte y notificaciones dentro de la App. Transferencia internacional amparada por DPF/SCC (véase apartado 5).
• Proveedor de correo electrónico transaccional y de boletín (newsletter) — Mailtrap (Railsware Products, Inc., Estados Unidos) para el envío de correos transaccionales (verificación de cuenta, restablecimiento de contraseña, notificaciones operativas) y del boletín informativo de Flipaki. Mailtrap recibe únicamente la dirección de correo del destinatario, el contenido del mensaje y los metadatos técnicos de envío imprescindibles para la entrega. Transferencia internacional amparada por DPF/SCC (véase apartado 5). El consentimiento para recibir el boletín se recoge de forma específica, libre, informada e inequívoca en el formulario de suscripción (art. 6.1.a RGPD y art. 21 LSSI-CE) y puedes retirarlo en cualquier momento mediante el enlace de baja incluido en cada envío o escribiendo a info@flipaki.com.
• Proveedor de Inteligencia Artificial para la función opcional de asistencia en la creación de anuncios (apartado 6.8 de los Términos) — p. ej., Google Gemini / Google Cloud (Alphabet Inc.). Envío de fotografías y descripciones iniciales del artículo, exclusivamente para generar la sugerencia editable; contractualmente no se usan estos datos para entrenar modelos del proveedor. Transferencia internacional amparada por DPF/SCC.
• Proveedor de verificación de identidad y teléfono — Didit, Inc. (San Francisco, EE. UU.), actuando como encargado de tratamiento conforme al art. 28 RGPD bajo Acuerdo de Encargado (DPA) firmado.
• Proveedores de soporte, comunicaciones transaccionales y atención al cliente.
• Proveedores de moderación/seguridad para prevenir fraude y contenidos ilícitos.
• Autoridades públicas (AEAT, AEPD, CNMC, Fuerzas y Cuerpos de Seguridad, juzgados y tribunales) cuando exista un requerimiento legítimo o una obligación legal (p. ej., DAC7, DSA).
• Asesores profesionales (abogados, auditores) bajo obligación de confidencialidad.

5. Transferencias internacionales de datos

Algunos de los proveedores indicados están establecidos fuera del Espacio Económico Europeo (EEE), principalmente en Estados Unidos. Cuando se produzca una transferencia internacional, aplicamos las garantías previstas en el Capítulo V del RGPD, que pueden incluir:

• la Decisión de Adecuación UE-EE. UU. (Data Privacy Framework, DPF) cuando el proveedor esté certificado, y/o
• las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, complementadas, cuando sea necesario, con medidas técnicas y organizativas adicionales.

Puedes solicitar una copia de las garantías aplicadas escribiendo a info@flipaki.com.

6. Tus derechos (RGPD y LOPDGDD)

Puedes ejercer en cualquier momento los siguientes derechos:

• Acceso (art. 15 RGPD)
• Rectificación (art. 16 RGPD)
• Supresión o "derecho al olvido" (art. 17 RGPD)
• Limitación del tratamiento (art. 18 RGPD)
• Portabilidad (art. 20 RGPD)
• Oposición, incluido para marketing o decisiones basadas en interés legítimo (art. 21 RGPD)
• No ser objeto de decisiones automatizadas con efectos jurídicos o similares (art. 22 RGPD)
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo

Para ejercerlos, envía un correo a info@flipaki.com con el asunto "Ejercicio de derechos RGPD", indicando el derecho que deseas ejercer. Podremos solicitarte información adicional para verificar tu identidad. Responderemos en el plazo máximo de un mes, prorrogable por otros dos meses cuando la solicitud sea compleja, informándote de la prórroga en el primer mes.

6.1 Reclamación ante la Agencia Española de Protección de Datos (AEPD)

Tienes derecho a presentar una reclamación ante la AEPD si consideras que el tratamiento de tus datos personales infringe la normativa:

• Web: www.aepd.es
• Sede electrónica: sedeagpd.gob.es
• Dirección: C/ Jorge Juan, 6, 28001 Madrid

7. Decisiones automatizadas, perfilado y uso de Inteligencia Artificial

7.1 Ausencia de decisiones automatizadas con efectos jurídicos o significativos

Flipaki no toma decisiones automatizadas con efectos jurídicos o significativamente similares sobre las personas usuarias en el sentido del art. 22 RGPD. Podemos aplicar filtros automatizados para detectar spam, fraude o contenidos prohibidos; toda decisión relevante (por ejemplo, la suspensión o cancelación de una cuenta) se revisa por personal cualificado y se acompaña de una declaración de motivos conforme al art. 17 del Reglamento (UE) 2022/2065 (DSA).

7.2 Función de asistencia por IA para la creación de anuncios (art. 50 Reglamento (UE) 2024/1689 — AI Act)

La Plataforma ofrece una función opcional que utiliza un sistema de Inteligencia Artificial generativa de un proveedor externo (p. ej., Google Gemini) para proponer título, descripción, valor orientativo y rango de precio a partir de las fotografías y descripción inicial aportadas por el Propietario.

• Transparencia: te informamos de forma clara e inequívoca de que dichas propuestas son generadas por IA y no por una persona.
• No es una decisión automatizada del art. 22 RGPD: las sugerencias son editables y no se publican automáticamente; el Propietario revisa, modifica si lo desea, y publica activamente el anuncio.
• Datos tratados: las fotografías y la descripción inicial que envías a través de la función.
• Base jurídica: ejecución del contrato a petición del interesado (art. 6.1.b RGPD). Usar la función es voluntario: puedes crear el anuncio manualmente sin IA.
• Conservación: los datos enviados al proveedor de IA se tratan el tiempo estrictamente necesario para generar la sugerencia. El proveedor no conserva los datos para entrenamiento de sus modelos.
• Advertencia: la IA puede cometer errores. Tú eres responsable del contenido que finalmente publiques. No envíes fotos con rostros, matrículas u otros datos personales de terceros.

7.4 Verificación automatizada de identidad, edad y teléfono (Didit)

La verificación se realiza mediante el proveedor Didit (apartado 4), que combina lectura del documento, comparación facial 1:1, prueba de vida y verificación del teléfono.

• Cuándo se solicita la verificación: antes de publicar un anuncio, antes de enviar o aceptar una Solicitud de Reserva, y antes de iniciar conversaciones con otras personas usuarias a través del chat. La navegación y consulta de contenido público no requieren verificación.
• Decisión automatizada (art. 22 RGPD): la denegación de acceso a las funciones anteriores en caso de que la verificación resulte negativa — incluido el rechazo automático de cuentas que no acrediten ser mayores de 18 años — constituye una decisión basada en un tratamiento automatizado que produce efectos jurídicos. Se ampara en el art. 22.2.a RGPD (necesaria para la ejecución del contrato entre tú y Flipaki) y, en lo relativo a la edad mínima, en el art. 22.2.b RGPD en relación con la prohibición legal de prestar el Servicio a menores.
• Garantías para ti (art. 22.3 RGPD): tienes derecho a (i) obtener intervención humana por parte de personal cualificado de Flipaki, (ii) expresar tu punto de vista sobre la decisión, y (iii) impugnarla escribiendo a support@flipaki.com con el asunto "Revisión de verificación".
• Datos biométricos (art. 9 RGPD): la selfie, la prueba de vida y la comparación facial — categoría especial — son tratados exclusivamente por Didit bajo su propia base jurídica y aviso de privacidad. Flipaki no recibe ni almacena ningún dato biométrico.
• Edad: Flipaki no recibe ni almacena tu fecha de nacimiento ni tu edad exacta — solo el indicador mayor_de_edad (true/false).
• Carácter obligatorio: completar la verificación es obligatorio para las funciones indicadas arriba. Si decides no verificarte, podrás navegar la Plataforma pero no realizar transacciones ni iniciar comunicaciones con otras personas usuarias.

7.5 Acceso interno a la información de verificación alojada en Didit

El acceso al panel de Didit para consultar los detalles de las verificaciones está restringido al socio único y administrador único de Stackslides, S.L. (D. Gints Ziverts). Cada acceso queda registrado en el log de auditoría de Didit con fecha, hora e identidad del acceso. Este acceso se utiliza exclusivamente para:

• responder a requerimientos legales válidos de autoridades competentes (juzgados, tribunales, Fuerzas y Cuerpos de Seguridad, AEAT, AEPD, CNMC u otras),
• investigar incidentes graves de fraude, suplantación o seguridad que afecten a la comunidad, y
• defender derechos legítimos de Flipaki frente a reclamaciones o procedimientos.

Nunca accederemos a estos datos para fines de marketing, mejora del producto, análisis comercial o cualquier otro uso ajeno a los descritos. Cualquier dato consultado en Didit con motivo de un requerimiento legal no se incorpora a los sistemas de Flipaki salvo que sea estrictamente necesario para cumplir con la obligación legal.

7.6 Perfilado comercial y publicidad online

No realizamos perfilado con efectos jurídicos o significativamente similares sobre las personas usuarias en el sentido del art. 22 RGPD. Si activas cookies publicitarias en el banner, los proveedores correspondientes — principalmente Google Ireland Limited (Google Ads) y Meta Platforms Ireland Limited (Meta Pixel y Conversions API, una vez desplegados) — pueden crear perfiles comerciales y mostrarte publicidad personalizada conforme a sus propias políticas (véase la Política de Cookies). Hemos implementado Google Consent Mode v2 para que las señales de consentimiento se transmitan correctamente y, si no consientes cookies publicitarias, los datos enviados a estos proveedores se limiten a formatos agregados y "cookieless" (modelado estadístico). Puedes retirar tu consentimiento en cualquier momento desde el panel "Configurar cookies" del pie de página.

8. Menores de edad

Flipaki está destinada exclusivamente a personas mayores de 18 años. La mayoría de edad se verifica a través de Didit mediante el indicador mayor_de_edad derivado del documento de identidad, sin que Flipaki llegue a recibir la fecha de nacimiento ni la edad exacta. Las cuentas cuya verificación resulte negativa por minoría de edad se bloquean automáticamente para impedir transacciones y comunicaciones, conforme al apartado 7.4 de esta Política.

Si pese a estas medidas se detecta posteriormente que una persona usuaria es menor de 18 años, eliminaremos su cuenta y sus datos. Si eres madre/padre o tutor/a y crees que se han recogido datos de una persona menor, contáctanos en info@flipaki.com.

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas para proteger tus datos, incluyendo cifrado en tránsito (TLS) y en reposo cuando procede, controles de acceso basados en roles, registros de actividad, copias de seguridad y formación del personal. En caso de una violación de seguridad con riesgo para tus derechos, te lo notificaremos sin dilación indebida y lo comunicaremos a la AEPD cuando sea exigible (arts. 33 y 34 RGPD).

10. Cookies y tecnologías similares

El uso de cookies y SDKs se regula en nuestra Política de Cookies.

11. Testamento digital (art. 96 LOPDGDD)

Las personas vinculadas por razones familiares o de hecho, así como los herederos, podrán dirigirse a info@flipaki.com para solicitar el acceso, rectificación o supresión de los datos de una persona fallecida, salvo que esta lo hubiera prohibido expresamente o así lo establezca una ley.

12. Actualizaciones de esta Política

Podemos actualizar esta Política cuando cambien los tratamientos o la normativa aplicable. Te notificaremos los cambios sustanciales por un medio razonable (aviso en la App, correo o banner en la web) antes de su entrada en vigor. La fecha de la última actualización figura al inicio del documento.

13. Contacto

STACKSLIDES, S.L. (Sociedad Unipersonal)

Carrer de Musitu 47, 08023 Barcelona, España

NIF: B72703846 — Registro Mercantil de Barcelona, Tomo 40513, Folio 7, Hoja B-555548.

Email: info@flipaki.com