Política de Privacidad

1. Responsable del tratamiento

2. Qué datos personales recogemos

2.1 Datos que nos facilitas al registrarte

• Teléfono móvil (identificador canónico): El identificador canónico de tu cuenta Beloq es tu número de teléfono móvil, verificado mediante un código SMS-OTP enviado a través de Brevo (Sendinblue SAS, Francia). Es el dato sobre el que pivota la identidad de la cuenta.
• Identidad: Nombre completo y apellidos.
• Email: Dirección de email. El email es un dato secundario obligatorio en el formulario de registro, pero Beloq no verifica activamente la dirección de email. La verificación de email solo ocurrirá si el usuario activa autenticación con Google Sign-In, en cuyo caso será Google quien la valide.
• Edad: Fecha de nacimiento (para verificar que tienes al menos 14 años).
• Credenciales de acceso: Login mediante SMS-OTP o passkeys. Las passkeys habilitadas son: Google Sign-In, Apple Touch ID / Face ID y biometría Android. Windows Hello no se admite.
• Tipo de vehículo: Opcional (bicicleta, patinete o ambos). Es un dato estadístico sin efecto contractual.
• Documento de identidad: Solo si solicitas factura con datos fiscales (DNI, NIE o Pasaporte).

2.2 Datos que recogemos automáticamente al usar el servicio

• Geolocalización (GPS): Necesaria para mostrarte las estaciones cercanas y validar que estás próximo al módulo al desbloquearlo. La ubicación se redondea a 3 decimales (~100 metros de precisión) y se anonimiza a los 90 días.
• Fotografías de tu vehículo: Al estacionar, la app te solicita una foto como evidencia del aparcamiento correcto. Estas imágenes deben mostrar el vehículo y el módulo, no están diseñadas para captar rostros ni personas. Se usan exclusivamente para verificar el anclaje y gestionar posibles reclamaciones. Se eliminan automáticamente a los 90 días.
• Datos de sesión: Marcas de tiempo de inicio y fin de cada sesión de estacionamiento, identificador del módulo utilizado y duración.
• Datos del dispositivo: Modelo de dispositivo, sistema operativo, versión de la app. Usados para soporte técnico y compatibilidad.
• Token de notificaciones push: Para enviarte avisos relevantes del servicio (confirmación de parking, alertas de penalización, recordatorios).

2.3 Datos financieros

Datos de pago: El procesamiento de pagos lo realiza Stripe. beloq no almacena en ningún momento los datos de tu tarjeta (número, CVV, fecha de caducidad). Stripe tokeniza esta información bajo el estándar PCI-DSS. Lo que beloq almacena es: un identificador de cliente Stripe (token, no vinculable a datos de tarjeta), historial de transacciones (importe, fecha, concepto) y estado de la deuda.

2.4 Datos de autenticación (Passkeys FIDO2)

Si utilizas Passkey como método de acceso, es importante que sepas que no se trata de datos biométricos. La verificación biométrica (huella, rostro) ocurre exclusivamente en tu dispositivo mediante su Secure Enclave o chip de seguridad. Lo que beloq almacena es únicamente la clave pública criptográfica generada en el proceso, que no permite reconstruir ni acceder a tus datos biométricos.

3. Para qué usamos tus datos (finalidades)

4. Cuánto tiempo conservamos tus datos

Tras la eliminación de tu cuenta, tus datos personales se anonimizan de forma irreversible: tu nombre se sustituye por "Usuario eliminado", tu email se convierte en un hash no reversible, tu teléfono se elimina y tu historial se desvincula de tu identidad.

5. Con quién compartimos tus datos

5.1 Operadores e instituciones (clientes B2B de beloq)

Compartimos datos de uso agregados y pseudonimizados con los operadores e instituciones que gestionan las estaciones beloq (universidades, ayuntamientos, empresas). Estos datos incluyen: número de reservas por estación, tasa de ocupación, duración media de sesiones, horarios de mayor demanda e ingresos generados.

También compartimos datos individuales pseudonimizados (identificador hash no vinculable a tu identidad, marcas de tiempo de sesiones, coordenadas GPS redondeadas, tipo de vehículo y tipo de plan). Estos datos no permiten identificarte y están protegidos por contrato de confidencialidad (Art. 28 RGPD).

La finalidad de compartir estos datos es permitir al operador gestionar el servicio, realizar estudios de movilidad urbana y optimizar la red de estaciones.

5.2 Proveedores tecnológicos (subprocesadores / encargados de tratamiento)

Mosquitto MQTT se ejecuta sobre Compute Engine de Google Cloud, por lo que queda incluido bajo la responsabilidad de Google Ireland Ltd.

5.3 Transferencias internacionales de datos

Stripe (Irlanda, UE): El procesamiento de pagos se realiza con Stripe Payments Europe Ltd., entidad establecida en Dublín (Irlanda), por lo que el tratamiento de los datos de pago se realiza dentro del Espacio Económico Europeo.

Firebase Authentication (Estados Unidos): Firebase Authentication es un servicio prestado por Google LLC con sede en Estados Unidos. La transferencia internacional de datos (UID, tokens de autenticación) está cubierta por el EU-US Data Privacy Framework (DPF) vigente desde julio de 2023, así como por las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea. Beloq ha realizado la Evaluación de Impacto correspondiente (EIPD V3.2) y dispone del DPA estándar firmado con Google.

Apple (APNs, Estados Unidos): Las notificaciones push a dispositivos iOS se entregan a través de Apple Push Notification service (APNs), prestado por Apple Inc. desde Estados Unidos. La transferencia se ampara igualmente en el EU-US Data Privacy Framework y en las Cláusulas Contractuales Tipo de la Comisión Europea.

El resto de nuestra infraestructura (Google Cloud Run, Cloud SQL y Mosquitto MQTT) opera en la región europe-southwest1 de Google Cloud, en Madrid (España, UE).

5.4 Otros destinatarios

beloq no vende, alquila ni cede tus datos personales a terceros con fines comerciales. Solo compartimos datos personales identificables con terceros cuando exista una obligación legal (requerimiento judicial, Agencia Tributaria) o con tu consentimiento explícito.

6. Tus derechos

Como usuario, tienes los siguientes derechos conforme al RGPD:

• Derecho de acceso: Puedes solicitar una copia de todos los datos personales que tenemos sobre ti. Desde la app, puedes consultar tu perfil en cualquier momento.
• Derecho de rectificación: Puedes corregir cualquier dato inexacto o incompleto desde la sección "Ajustes" de la app o contactando con info@beloq.es.
• Derecho de supresión ("derecho al olvido"): Puedes solicitar la eliminación de tu cuenta y todos tus datos personales desde Ajustes → "Eliminar mi cuenta". La anonimización se ejecuta de forma inmediata, con un periodo de gracia de 30 días por si cambias de opinión. Existen excepciones y limitaciones (sesión activa, conservación legal, sanciones pendientes) que se detallan en la Sección 6.bis (Eliminación de cuenta).
• Derecho de portabilidad: Puedes solicitar una copia de tus datos en formato estructurado y legible por máquina para transferirlos a otro servicio.
• Derecho de oposición: Puedes oponerte al tratamiento de tus datos basado en interés legítimo. Si te opones al tratamiento para comunicaciones comerciales, dejaremos de enviarte emails promocionales de forma inmediata.
• Derecho de limitación del tratamiento: Puedes solicitar que limitemos el uso de tus datos mientras se resuelve una reclamación o se verifica la exactitud de los mismos.

Cómo ejercer tus derechos

Envía un email a info@beloq.es indicando qué derecho deseas ejercer y acompañando una copia de tu documento de identidad para verificar tu identidad. Te responderemos en un plazo máximo de 1 mes desde la recepción de la solicitud. Este plazo puede prorrogarse 2 meses adicionales si la solicitud es especialmente compleja, en cuyo caso te informaremos dentro del primer mes.

Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): https://www.aepd.es.

6.bis Eliminación de cuenta

Cómo eliminar tu cuenta

Puedes eliminar tu cuenta desde la propia aplicación, en Ajustes → "Eliminar mi cuenta". El proceso incluye una doble confirmación de seguridad para evitar eliminaciones accidentales.

Plazo de ejecución

Una vez confirmada la solicitud, la anonimización de tus datos personales se ejecuta de forma inmediata (soft delete + anonimización PII). La eliminación física definitiva en base de datos se produce a los 30 días desde la solicitud, periodo durante el cual puedes revertir la eliminación si cambias de opinión. Tras este plazo, la operación es irreversible.

Datos que se conservan tras la eliminación

Aunque elimines tu cuenta, Beloq está obligado o legitimado para conservar determinados datos:

• Datos de facturación: Se conservan durante 10 años, conforme al artículo 30 del Código de Comercio y al artículo 7 de la Ley General Tributaria (obligación fiscal y mercantil).
• Hash del número de teléfono (phone_hash, SHA-256): Si en el momento de la eliminación existen sanciones pendientes asociadas a tu cuenta, el hash SHA-256 de tu número de teléfono se conserva indefinidamente al amparo del artículo 17.3.b) del RGPD (formulación, ejercicio o defensa de reclamaciones). Esta medida persigue evitar que un usuario sancionado eluda su responsabilidad re-registrándose con el mismo número de teléfono. El phone_hash no permite por sí solo reidentificar al usuario, pero sí impide la elusión.
• Registros de consentimiento: Se conservan 5 años para acreditar el cumplimiento del RGPD.
• Logs de seguridad y trazabilidad técnica anonimizados: Conservados según política interna para defensa de reclamaciones e investigación de incidentes.

Condición D13 — Sesión activa: bloqueo de eliminación

La eliminación de cuenta no puede ejecutarse mientras haya una sesión activa, es decir, mientras tu vehículo esté aparcado dentro de un módulo Beloq y la sesión de custodia no se haya cerrado de forma legítima.

Razón: durante la sesión, el usuario es responsable del vehículo aparcado y del propio módulo. Permitir la eliminación de cuenta en mitad de una sesión activa rompería la cadena de responsabilidad y dejaría al módulo y al vehículo en un estado inconsistente. Esta limitación se ampara en el artículo 17.3.b) RGPD (necesidad de conservación para el cumplimiento del contrato y la defensa de reclamaciones).

Para eliminar la cuenta, el usuario debe primero cerrar la sesión activa (recoger su vehículo y desbloquear el módulo).

Recuperación de cuenta

No existe un flujo público de recuperación de cuenta. El número de teléfono es la identidad canónica de la cuenta. Si pierdes el acceso definitivo a tu número (cambio de operador sin portabilidad, baja, robo sin recuperación), perderás el acceso a tu cuenta y a los datos asociados.

En casos excepcionales, el equipo de soporte podrá gestionar manualmente cambios de identidad previa verificación rigurosa (escribiendo a info@beloq.es con copia del DNI). Esta vía es excepcional y queda a discreción de Beloq.

7. Medidas de seguridad

beloq implementa medidas técnicas y organizativas para proteger tus datos personales:

• Todas las comunicaciones entre la app, los módulos y nuestros servidores están cifradas mediante TLS 1.2/1.3.
• Los datos sensibles almacenados se cifran con AES-256.
• La autenticación soporta FIDO2/WebAuthn (Passkeys), el estándar más seguro disponible, resistente a phishing.
• La infraestructura se ejecuta en una VPC privada en Google Cloud Platform con acceso restringido.
• Las contraseñas se almacenan como hash seguro (bcrypt), nunca en texto plano.
• Los accesos administrativos requieren autenticación multifactor.

8. Menores de edad

beloq requiere una edad mínima de 14 años para el registro, conforme al artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD). La fecha de nacimiento se verifica durante el proceso de registro y los menores de 14 años no pueden crear una cuenta.

Para usuarios entre 14 y 17 años, mostramos un aviso informativo recomendando informar a su tutor legal, aunque no es un requisito bloqueante conforme a la normativa vigente.

9. Decisiones automatizadas y perfilado

beloq no realiza decisiones automatizadas ni perfilado que produzcan efectos jurídicos o te afecten significativamente. No utilizamos tus datos para crear perfiles de comportamiento, scoring crediticio ni segmentación automatizada.

El cálculo automático de tarifas y penalizaciones se basa exclusivamente en datos objetivos (duración de la sesión, estado del módulo) y siempre es disputable por el usuario.

10. Modificaciones de esta Política

Podemos actualizar esta Política de Privacidad para adaptarla a cambios normativos o a la evolución del servicio. Te notificaremos cualquier cambio con un mínimo de 30 días de antelación por email y mediante aviso en la app. Los cambios sustanciales requerirán tu aceptación explícita.

11. Contacto

Para cualquier consulta relacionada con la protección de tus datos personales:

Atención y privacidad: info@beloq.es

Autoridad de control: Agencia Española de Protección de Datos (AEPD)