Política de privacidad

Última actualización: 15 de octubre de 2026

1. Responsable del tratamiento

• Razón social: NOVATERRA MBC, S.L.
• NIF: B23903784
• Domicilio fiscal: Rúa Agrelo, 8, Bl. Oficina 5, 15220 Bertamiráns (A Coruña), Spain
• Contacto en materia de protección de datos: hr@novaterrambc.com

2. Datos que tratamos y finalidades

Tratamos las siguientes categorías de datos personales en función del rol que tengas en relación con NOVATERRA:

2.1. Empleados de la plantilla

• Identificación: nombre, NIE/DNI, fecha de nacimiento, nacionalidad, fotografía si la aportas.
• Contacto: email corporativo, teléfono móvil, email personal, domicilio.
• Laborales: posición, equipo, tipo de contrato, fecha de alta, fichaje horario diario (RDL 8/2019).
• Salariales: salario bruto mensual, IBAN para domiciliación de la nómina.
• Ausencias: vacaciones, bajas médicas, permisos retribuidos, formación, maternidad/paternidad, lactancia, reducción de jornada, excedencias.
• Acceso a la app: la contraseña guardada como huella (nunca en claro), la clave de la verificación en dos pasos cifrada, los códigos de recuperación guardados como huella, el historial de auditoría y la fecha del último cambio de contraseña. Si se pide cambiar el correo con el que entras, guardamos el correo nuevo, quién lo pidió, la huella del enlace de confirmación que te mandamos a ese correo (el enlace no se guarda) y su caducidad de 24 horas: el cambio no vale hasta que lo confirmas. Se guarda mientras dure tu cuenta y se va con ella.

Finalidades: gestión de la relación laboral, confección y pago de nóminas, cumplimiento de obligaciones fiscales (AEAT) y de Seguridad Social, registro horario diario (RDL 8/2019), control de ausencias, gestión del acceso seguro a las herramientas internas.

Base jurídica: art. 6.1.b RGPD (ejecución del contrato laboral) y art. 6.1.c (cumplimiento de obligaciones legales del Estatuto de los Trabajadores y normativa fiscal).

2.2. Contratistas y terceros

• Razón social o, si eres autónomo, nombre y apellidos; NIF/CIF, datos fiscales, web, logo, contacto principal (nombre, cargo, email, teléfono) y notas internas.
• Datos económicos: plazo de pago, IBAN, importes de contratos firmados y las órdenes con las que te pagamos.
• Cumplimiento: pólizas de RC, certificados de la AEAT y de la Seguridad Social con sus fechas de caducidad.
• La comercializadora que vende nuestras viviendas es un tercero más de este directorio: guardamos de ella lo mismo que de cualquier otro, y su persona de contacto solo aquí. El seguimiento de compradores (apartado 2.3) guarda su nombre y a qué comercializadora se pasa cada caso.

Finalidades: gestión de la relación mercantil, seguimiento de obras, contabilidad y pagos, verificación de que el contratista está al corriente con sus obligaciones.

Base jurídica: art. 6.1.b (contrato mercantil) y art. 6.1.c (obligación legal de comprobación de subcontratas en construcción).

2.3. Compradores e interesados en nuestras viviendas

Si te interesas por una vivienda de nuestras promociones, tu contacto entra en nuestro seguimiento comercial interno. Esto es lo que guardamos, y no guardamos nada más:

• Identificación y contacto: nombre y apellidos tal y como nos los das, correo electrónico y teléfono. Si la compra la hacéis dos personas, la segunda tiene su propia ficha y figura como acompañante de la operación.
• Consentimiento: la fecha en la que nos autorizaste a contactarte. Si no la tenemos, queda escrito «no consta», que no es lo mismo que decir que consentiste.
• Origen del contacto: dónde nos viste (un portal inmobiliario, una red social, la web) y por qué vía nos escribiste o nos llamaste, con el detalle que nos dieras. Nos sirve para saber qué canales funcionan.
• Seguimiento: la promoción y las viviendas que te interesan, en qué punto está tu caso, y un diario de novedades con lo que nos cuenta la comercializadora, lo que nos dices tú o el hecho de que no haya respuesta — con el día en que pasó, el día en que lo apuntamos y quién lo apuntó. Las notas de la ficha y del caso son texto libre escrito por nuestro equipo, y a una novedad se le puede adjuntar el documento que la respalde.
• Compra: si reservas, guardamos el día de la reserva, del contrato privado y de la escritura, el precio de tarifa y el pactado, el tipo de IVA aplicado, el calendario de pagos con el importe de cada plazo y los cobros que se van anotando (importe, día, y quién de nuestro equipo lo dio por cobrado y por qué). Tu nombre queda copiado y congelado en ese plan de pago, junto con las variantes con las que podemos reconocerlo en el concepto de un asiento contable.

Lo que no tratamos aquí: este seguimiento no tiene ningún campo para tu NIE o DNI, ni para tu domicilio, ni para tu IBAN — la cuenta a la que pagas es nuestra, no tuya. Si archivamos un contrato o una escritura como documento, esos datos pueden constar dentro del propio documento, pero la aplicación no los extrae ni los guarda en campos propios.

Finalidades: atender tu interés y tu petición de compra, entregar tu contacto a la comercializadora para que siga contigo (apartado 4), seguir en qué punto está la operación y controlar el cumplimiento del plan de pago del contrato.

Base jurídica: art. 6.1.b RGPD — medidas precontractuales a tu petición mientras solo hay interés, y ejecución del contrato de compraventa desde que lo firmas — junto con el art. 6.1.c para las obligaciones contables y fiscales de la operación. Para entregar tus datos a la comercializadora, la aplicación obliga a registrar cuál de los dos amparos se usa: tu consentimiento (art. 6.1.a), que no se puede invocar si en tu ficha no consta su fecha, o que nos lo pediste tú para comprar, que exige una confirmación expresa y queda escrita en el acta.

Sin inteligencia artificial y sin decisiones automatizadas: en este seguimiento no interviene ninguna IA, no se te perfila y no se toma sobre ti ninguna decisión automatizada (art. 22 RGPD).

3. ¿Cómo protegemos tus datos?

• Cifrado de los campos identificativos y financieros sensibles en la base de datos (AES-256-GCM): NIE/DNI, IBAN, salario, domicilio y la clave de la verificación en dos pasos. Solo los descifra el servidor para usuarios autorizados.
• Las contraseñas se guardan como huella, nunca en claro (bcrypt): con la huella se comprueba la que escribes al entrar, pero no se puede sacar de ella la contraseña, ni siquiera quien administra la app.
• Autenticación en dos pasos obligatoria para roles de gerencia, administración y contabilidad.
• Historial de auditoría inmutable de cada acción que afecta a datos personales: quién, qué hizo, sobre qué y cuándo.
• Permisos granulares por rol — cada empleado accede solo a la información que necesita para su trabajo (principio de mínima necesidad).
• Los datos de contacto de compradores e interesados no van cifrados en la base de datos: son datos de contacto en claro. Lo que los protege es que no salen del servidor para quien no tiene permiso de gestión comercial — quien solo puede consultar el seguimiento recibe el nombre y el origen, y no el teléfono, el correo ni las notas.
• Conexión cifrada (HTTPS) obligatoria.

4. ¿Con quién compartimos tus datos?

Solo compartimos datos personales con los encargados de tratamiento, los destinatarios legales y la comercializadora de nuestras viviendas, estrictamente en lo necesario:

• SV Inmobiliaria (comercializadora de nuestras promociones): si te interesa una de nuestras viviendas, le entregamos tu nombre, el de la persona que compra contigo si la hay, tu teléfono, tu correo y las notas de lo que nos contaste, para que siga ella la comercialización. No es un envío automático: la aplicación redacta la hoja y una persona de NOVATERRA la entrega por el canal que se registra en el acta (correo, teléfono, mensajería o en persona). SV no accede a nuestra aplicación. De cada entrega queda un acta que no se edita, con el día, quién la hizo, el canal, el amparo legal invocado, la fecha de tu consentimiento tal y como constaba ese día y la lista de los campos comunicados. Si dejamos de contar con ella o hay que entregarlo a otra, la entrega anterior se revoca con su motivo y queda registrada.
• AEAT (Agencia Tributaria): modelos fiscales del personal y de la empresa.
• TGSS (Seguridad Social): cotizaciones y partes de baja médica.
• GESTINFOR (gestoría externa): contabilidad, nóminas, presentación de modelos AEAT.
• Entidades financieras: pago de nóminas y gestión bancaria.
• Brevo (Sendinblue): envío transaccional de emails (notificaciones de RRHH, alertas de seguridad y el enlace para confirmar un correo de acceso nuevo). Servidores en la UE.
• Google Cloud (Places API): autocompletado de direcciones. Solo procesa el texto que escribes, no datos personales. Adherida al EU-US Data Privacy Framework.
• Anthropic (IA): se usa en cuatro apoyos, siempre con revisión de una persona antes de crear nada. (1) En las actas de reunión, propone tareas y resúmenes recibiendo solo nombre, rol y el texto de la minuta — nunca NIE, IBAN, salario, email ni datos de salud. (2) En la lectura de facturas para preparar órdenes de pago, procesa el PDF de la factura, que puede contener datos del proveedor emisor cuando es autónomo (NIF, domicilio, IBAN). (3) En la lectura de documentos de las promociones (memoria del proyecto, cuadro de superficies, división horizontal, licencias, escrituras y notas simples del suelo) para proponer los datos de la promoción y de sus viviendas; esos documentos pueden nombrar al técnico que los firma o a quien vendió el suelo, y se instruye a la IA para no extraer ni guardar ningún dato de personas. (4) En la oficina técnica de las promociones, para leer pliegos, contratos y memorias de cálculo, ordenar las notas del diario de obra y redactar informes técnicos; esos papeles y notas pueden nombrar a técnicos y a personal de las obras, se instruye a la IA para no extraer datos de personas y lo que propone lo confirma siempre una persona. Las fotos del diario se guardan sin su ubicación ni los datos del teléfono. En todos los casos trata datos en EE. UU. y no utiliza los datos de la API para entrenar sus modelos (condiciones comerciales vigentes).
• READ.AI: resúmenes y puntos de acción de las reuniones. Trata datos en EE. UU.
• Google Workspace (Calendar, Meet, Drive y Gmail): organización de reuniones, importación de documentos y, en solo lectura, recogida del PDF de nóminas que la gestoría manda al correo corporativo. Adherida al EU-US Data Privacy Framework.

5. Transferencias internacionales

Algunos de los encargados anteriores tratan datos en Estados Unidos, con la salvaguarda que corresponde a cada proveedor: Anthropic y READ.AI mediante las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea, y Google por su adhesión al EU-US Data Privacy Framework. Se aplica el principio de minimización, limitando cada envío a lo necesario para la finalidad descrita. No se realizan transferencias a otros países fuera del Espacio Económico Europeo.

El seguimiento de compradores no sale de la aplicación: no lo lee ninguna IA y no se envía a ninguno de los proveedores anteriores. La entrega a la comercializadora tampoco pasa por un proveedor nuestro — la hace una persona por el canal que se registra en el acta.

Sobre el uso de IA: la inteligencia artificial se utiliza únicamente como apoyo (proponer tareas, resúmenes y los datos que dicen los documentos). No se toman decisiones automatizadas con efecto jurídico o que te afecten significativamente (art. 22 RGPD): una persona revisa y confirma siempre antes de crear nada.

6. Plazos de conservación

Son los plazos previstos. Ninguna tarea borra estos datos sola: al cumplirse el plazo, gerencia ve lo que toca y confirma el borrado o, cuando de ese dato cuelgan pagos, contratos o actas, que se anonimice (se quita lo que te identifica y queda el hecho). La documentación contable y los contratos de compraventa los conserva el responsable durante su plazo legal.

• Fichaje horario: 4 años (art. 34.9 ET).
• Ausencias y vacaciones: 5 años desde el último día de la ausencia.
• Documentación laboral: 5 años tras la extinción del contrato. El salario y la cuenta de nómina de tu ficha se vacían al cumplirse; las nóminas pagadas siguen el plazo contable.
• Documentación fiscal y contable: 6 años (art. 30 Código de Comercio).
• Historial de auditoría: 5 años, para investigar incidentes de seguridad; lo que toca a pagos, contabilidad e impuestos, 6 años.
• Proveedores y contratistas: 6 años desde la última operación (contrato, pago o gasto); 10 años desde el fin del contrato si trabajaste en una de nuestras promociones (garantía decenal LOE). Si eres la comercializadora, cuentan también tus casos, y no se anonimiza mientras quede alguno vivo. Al cumplirse se anonimizan los datos de la persona de contacto o, si eres autónomo, los que te identifican: en tu ficha, en las órdenes de pago ya cerradas enlazadas a ella (queda el importe), en el nombre de la comercializadora que seas y en el registro de auditoría. Si un acta de entrega nombra a tu comercializadora, el nombre se conserva mientras exista un acta de entrega que lo nombre: el acta prueba a quién se cedieron unos datos y tiene su propio plazo.
• Compradores con contrato: vigencia del contrato + 10 años (garantía decenal LOE).
• Contactos interesados que no llegan a comprar: 2 años sin ninguna operación viva (ni en manos de la comercializadora, ni reservada, contratada o con un plan de pagos en marcha). Al cumplirse se anonimiza tu ficha. Puedes pedir que lo hagamos antes en cualquier momento (apartado 7).
• Actas de entrega a la comercializadora: 3 años desde que tu caso se cerró sin compra (art. 72 LOPDGDD). Se conservan aunque suprimamos tu ficha, porque son el papel que demuestra a quién se cedieron tus datos y cuándo. El texto de la hoja entregada se tacha; quedan la fecha, el destinatario, el amparo legal y la lista de los campos comunicados, que ya no te identifican.

7. Tus derechos

Tienes derecho a:

• Acceder a tus datos — en la app, sección Mis datos.
• Rectificar los inexactos — contacta con RRHH.
• Suprimir los que ya no sean necesarios — siempre que no exista obligación legal de conservarlos.
• Portabilidad en formato estructurado y legible por máquina — botón de descarga JSON en Mis datos.
• Oposición a tratamientos basados en interés legítimo.
• Limitación del tratamiento mientras se resuelve una reclamación.

Si eres comprador o persona interesada no tienes cuenta en nuestra aplicación: escríbenos y lo hacemos nosotros. Al suprimir tus datos vaciamos tu nombre, tu correo, tu teléfono, tus notas y tu consentimiento, y tachamos el texto del diario de novedades y de la hoja que se entregó a la comercializadora; se quedan las fechas, los estados por los que pasó el caso y la lista de campos comunicados, que ya no te identifican. Si habías firmado una reserva o un contrato, tu nombre sigue figurando en ese plan de pago: un contrato firmado tiene que seguir diciendo con quién se firmó, y eso es uno de los límites que el propio RGPD pone al derecho de supresión (art. 17.3).

Si eres de la plantilla, al anonimizar tu ficha vaciamos tus datos personales (nombre, documento, dirección, teléfono, salario, cuenta de nómina, foto) y los de tu cuenta de acceso. Vaciamos también las notas libres de tus fichajes, de sus correcciones y de tus ausencias, porque pueden decir mucho de ti; las horas y las fechas se quedan su plazo legal, ya sin tu nombre. Se quedan también, porque justifican el registro horario y las ausencias ante la Inspección de Trabajo, el motivo con el que se aprobó un cambio de hora y el justificante de una ausencia, hasta que se cumpla su plazo. Donde la app guardaba tu correo como la persona que dio por cobrado o por pagado un importe sin justificante, queda una marca anónima en su lugar.

Para ejercitar cualquier derecho: hr@novaterrambc.com.

Si consideras que tus derechos no han sido atendidos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es (se abre en otra pestaña)).

8. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales, técnicos o de negocio. La última fecha de actualización aparece al inicio del documento. Si los cambios son sustanciales, te avisaremos: en la app, en Novedades, si eres de la plantilla; por correo, si nos has dado el tuyo y no tienes cuenta.