[BORRADOR — PENDIENTE DE REVISIÓN LEGAL PROFESIONAL. NO PUBLICAR SIN VALIDACIÓN DE UN ABOGADO COLEGIADO.]

POLÍTICA DE PRIVACIDAD — COMANDA

Versión [1.0] · Fecha de última actualización: [FECHA]

ÍNDICE

Identificación del responsable del tratamiento
Principios generales
Categorías de datos personales tratados
Finalidades y bases jurídicas del tratamiento
Plazos de conservación
Destinatarios y encargados del tratamiento
Transferencias internacionales de datos
Derechos de las personas usuarias
Cookies y tecnologías similares
Seguridad de los datos
Menores de edad
Decisiones automatizadas
Modificaciones de esta Política
Contacto y reclamaciones

1. Identificación del responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa que el responsable del tratamiento de los datos personales recabados a través de la plataforma Comanda (la "Plataforma") es:

Denominación social: [RAZÓN SOCIAL — PENDIENTE CONSTITUCIÓN]
NIF/CIF: [PENDIENTE]
Domicilio social: [DIRECCIÓN COMPLETA, Alicante, España]
Correo electrónico de contacto para materias de protección de datos: [EMAIL DE PRIVACIDAD, p. ej. privacidad@comanda...]
Delegado de Protección de Datos (DPO): [PENDIENTE — a evaluar con asesoría legal en función del volumen y naturaleza de los tratamientos, conforme al artículo 37 RGPD. En caso de no resultar obligatoria su designación, se indicará expresamente.]

2. Principios generales

Comanda trata los datos personales de sus Usuarios conforme a los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva, establecidos en el artículo 5 del RGPD.

3. Categorías de datos personales tratados

Comanda trata las siguientes categorías de datos personales, en función del tipo de Usuario (Profesional u Organización) y de las funcionalidades utilizadas:

Categoría	Ejemplos de datos	Origen
Datos de registro	Nombre y apellidos, correo electrónico, número de teléfono, contraseña (almacenada de forma cifrada)	Facilitados directamente por el Usuario
Datos de perfil profesional	Fotografía de perfil, experiencia laboral, puesto, sector, imágenes de titulaciones o certificaciones autodeclaradas	Facilitados directamente por el Usuario
Datos de Organización	Denominación del establecimiento, dirección, datos de contacto del representante	Facilitados directamente por el Usuario
Contenido generado por el Usuario	Publicaciones, historias, vídeos cortos ("reels"), reseñas, mensajes directos, candidaturas a empleos o Turnos Urgentes	Generados por el propio Usuario al utilizar el Servicio
Datos de uso y navegación	Páginas y funcionalidades visitadas, interacciones, vistas de perfil, dirección IP, identificadores de dispositivo	Generados automáticamente durante el uso del Servicio
Datos de facturación	Datos necesarios para la emisión de facturas (nombre, NIF/CIF, dirección de facturación)	Facilitados directamente por el Usuario
Datos de pago	Los datos completos de la tarjeta de pago son tratados directamente por Stripe, Inc., sin que Comanda los almacene	Facilitados por el Usuario al proveedor de pago

Nota sobre categorías especiales de datos (artículo 9 RGPD). Comanda no solicita ni tiene por finalidad recabar intencionadamente datos relativos al origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud, o datos relativos a la vida sexual u orientación sexual de sus Usuarios. No obstante, se advierte de que determinado Contenido de Usuario (en particular, fotografías de perfil o el contenido libre de reseñas y mensajes) podría revelar indirectamente información de esta naturaleza. Se recomienda encarecidamente a los Usuarios que se abstengan de incluir dicha información, propia o de terceros, en los contenidos que publiquen.

4. Finalidades y bases jurídicas del tratamiento

Finalidad	Base jurídica (artículo 6 RGPD)
Creación y gestión de la Cuenta del Usuario	Ejecución de un contrato (art. 6.1.b)
Prestación de las funcionalidades del Servicio (perfiles, candidaturas, Turnos Urgentes, mensajería, reseñas)	Ejecución de un contrato (art. 6.1.b)
Moderación de contenidos y prevención de fraude o usos indebidos	Interés legítimo del responsable (art. 6.1.f), consistente en garantizar la seguridad e integridad de la Plataforma
Gestión de la facturación y cobro de suscripciones	Ejecución de un contrato y cumplimiento de obligaciones legales (art. 6.1.b y 6.1.c)
Envío de comunicaciones comerciales o promocionales	Consentimiento del interesado (art. 6.1.a), prestado de forma expresa, específica e informada, y revocable en cualquier momento
Elaboración de estadísticas de uso agregadas y mejora del Servicio	Interés legítimo del responsable (art. 6.1.f), con posibilidad de oposición por el Usuario
Atención de solicitudes de ejercicio de derechos y consultas	Cumplimiento de obligación legal (art. 6.1.c)
Cumplimiento de obligaciones fiscales, contables y requerimientos de autoridades competentes	Cumplimiento de obligación legal (art. 6.1.c)

5. Plazos de conservación

5.1. Los datos personales se conservarán mientras la Cuenta del Usuario permanezca activa y sea necesario para la prestación del Servicio.

5.2. Tras la cancelación de la Cuenta, los datos se conservarán, debidamente bloqueados, durante el plazo de [PENDIENTE — a determinar conforme a los plazos de prescripción de responsabilidades legales, mercantiles y fiscales aplicables en España, habitualmente entre 4 y 6 años según la materia], exclusivamente a efectos de atender eventuales responsabilidades derivadas del tratamiento, transcurrido el cual se procederá a su supresión definitiva, salvo obligación legal de conservación por plazo superior.

5.3. Los datos tratados sobre la base del consentimiento (por ejemplo, comunicaciones comerciales) se conservarán hasta que el Usuario revoque dicho consentimiento.

6. Destinatarios y encargados del tratamiento

6.1. Comanda no vende ni cede datos personales de sus Usuarios a terceros con fines publicitarios ajenos a la Plataforma.

6.2. Comanda comunica datos personales a los siguientes destinatarios, en la medida estrictamente necesaria para las finalidades descritas:

a) Otros Usuarios de la Plataforma, respecto de la información que el propio Usuario decide hacer visible en su perfil, publicaciones, reseñas o candidaturas, conforme a la configuración de privacidad aplicable;

b) Proveedores tecnológicos que actúan como encargados del tratamiento, en particular:

Supabase Inc. (o entidad del grupo aplicable), como proveedor de infraestructura de base de datos y almacenamiento (hosting), con centros de datos ubicados en la Unión Europea;
Stripe, Inc., como proveedor de servicios de procesamiento de pagos, una vez activada dicha funcionalidad;
[PENDIENTE — completar con el listado exhaustivo de subencargados adicionales antes de la publicación: proveedor de envío de correos electrónicos y notificaciones push, herramientas de analítica web, proveedor de hosting de la aplicación web (p. ej. Vercel), y cualesquiera otros terceros que traten datos personales por cuenta de Comanda.]

c) Autoridades públicas y organismos competentes, cuando exista obligación legal de comunicación de datos (autoridades tributarias, judiciales, policiales, o el servicio público de empleo competente en relación con la funcionalidad de Turnos Urgentes, en su caso).

6.3. Con todos los encargados del tratamiento indicados, Comanda suscribe o suscribirá el correspondiente contrato de encargo de tratamiento conforme al artículo 28 del RGPD.

7. Transferencias internacionales de datos

7.1. Con carácter general, Comanda prioriza el uso de proveedores con infraestructura ubicada en el Espacio Económico Europeo (EEE).

7.2. En caso de que alguno de los encargados del tratamiento indicados en la cláusula 6 realice transferencias de datos personales fuera del EEE (por ejemplo, determinados servicios prestados por Stripe, Inc., entidad con sede en Estados Unidos), dicha transferencia se ampara en las garantías adecuadas previstas en el Capítulo V del RGPD, en particular las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, o en una decisión de adecuación vigente, según corresponda a cada proveedor. [PENDIENTE — completar con el detalle específico de cada transferencia antes de la publicación, una vez confirmado el mecanismo de garantía aplicable a cada subencargado.]

8. Derechos de las personas usuarias

8.1. Cualquier Usuario podrá ejercer, en cualquier momento y de forma gratuita, los siguientes derechos reconocidos por el RGPD y la LOPDGDD:

Derecho de acceso: obtener confirmación de si Comanda trata datos personales que le conciernen y, en su caso, acceder a dichos datos.
Derecho de rectificación: solicitar la corrección de datos inexactos o su actualización.
Derecho de supresión ("derecho al olvido"): solicitar la eliminación de sus datos personales, cuando ya no sean necesarios para los fines para los que fueron recabados o en los demás supuestos previstos legalmente.
Derecho de limitación del tratamiento: solicitar la restricción temporal del tratamiento de sus datos en los supuestos previstos en el artículo 18 del RGPD.
Derecho a la portabilidad: recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable, cuando ello sea técnicamente posible.
Derecho de oposición: oponerse al tratamiento de sus datos basado en el interés legítimo de Comanda, incluida la elaboración de perfiles, por motivos relacionados con su situación particular.
Derecho a no ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre el Usuario o le afecten significativamente de modo similar, salvo en los supuestos previstos en el artículo 22 del RGPD.

8.2. Procedimiento de ejercicio. Los derechos anteriores podrán ejercerse mediante solicitud dirigida a [EMAIL DE PRIVACIDAD], indicando el derecho que se desea ejercer y acompañando copia de un documento identificativo, o a través de la funcionalidad habilitada a tal efecto en la configuración de la Cuenta, cuando esté disponible. Comanda responderá a la solicitud en el plazo máximo de un (1) mes desde su recepción, prorrogable por dos meses adicionales en caso de complejidad o volumen de solicitudes, circunstancia que será comunicada al Usuario.

8.3. El Usuario podrá revocar en cualquier momento el consentimiento prestado para tratamientos basados en dicha base jurídica, sin que ello afecte a la licitud del tratamiento previo a su revocación.

9. Cookies y tecnologías similares

9.1. La Plataforma utiliza cookies propias y, en su caso, de terceros, con finalidades técnicas, de personalización, analíticas y, en su caso, publicitarias.

9.2. La instalación de cookies no esenciales (analíticas, de personalización o publicitarias) requiere el consentimiento previo, expreso e informado del Usuario, otorgado a través del panel de configuración de cookies disponible en la Plataforma, en el cual el Usuario podrá aceptar, rechazar o configurar de forma granular las distintas categorías de cookies.

9.3. Para información detallada sobre las cookies utilizadas, su finalidad, duración y forma de gestión, se remite a la [Política de Cookies], disponible en [ENLACE], que se entiende incorporada por referencia a la presente Política de Privacidad. [PENDIENTE — confirmar si se opta por documento separado o por integración completa en este documento.]

10. Seguridad de los datos

10.1. Comanda aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, conforme al artículo 32 del RGPD, entre las que se incluyen, sin limitación: cifrado de datos en tránsito, políticas de control de acceso basadas en el principio de mínimo privilegio, mecanismos de seguridad a nivel de fila en la base de datos (row-level security) para restringir el acceso a datos entre Usuarios, y gestión segura de credenciales.

10.2. En caso de producirse una violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de los Usuarios, Comanda notificará dicha violación a la Agencia Española de Protección de Datos y, en su caso, a los Usuarios afectados, en los plazos y condiciones establecidos en los artículos 33 y 34 del RGPD.

11. Menores de edad

El Servicio está dirigido exclusivamente a personas mayores de dieciocho (18) años. Comanda no recaba de forma intencionada datos personales de menores de edad. Si Comanda tuviera conocimiento de que se han recabado datos de un menor sin la debida autorización, procederá a su eliminación.

12. Decisiones automatizadas

En la fecha de esta Política, Comanda no aplica procesos de decisión totalmente automatizados que produzcan efectos jurídicos significativos sobre los Usuarios. En caso de introducirse en el futuro funcionalidades de esta naturaleza (por ejemplo, sistemas de puntuación o priorización automática de candidaturas o Turnos Urgentes), se actualizará la presente Política para informar de su lógica, alcance y consecuencias previstas, así como del derecho del Usuario a solicitar intervención humana, expresar su punto de vista e impugnar la decisión.

13. Modificaciones de esta Política

Comanda podrá modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales, o a cambios en las finalidades del tratamiento. Las modificaciones sustanciales serán comunicadas a los Usuarios con antelación razonable a través de la Plataforma o del correo electrónico asociado a su Cuenta.

14. Contacto y reclamaciones

14.1. Para cualquier cuestión relativa al tratamiento de sus datos personales, el Usuario puede dirigirse a Comanda a través de: [EMAIL DE PRIVACIDAD] · [DIRECCIÓN POSTAL].

14.2. Si el Usuario considera que sus derechos no han sido debidamente atendidos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan, 6, 28001 Madrid, o a través de su sede electrónica: www.aepd.es.

Documento sujeto a revisión por profesional colegiado antes de su publicación. Los campos entre corchetes deben completarse con datos verificados, incluyendo el listado exhaustivo de subencargados del tratamiento, antes de la puesta en producción.