Responsable del tratamiento
Pablo Pedrosa Manchón, empresario individual (autónomo), con NIF 47167130H y domicilio en C/ Cera, 55, esc. 2, 3.º 1.ª, 08001 Barcelona (España), que presta el servicio con el nombre comercial Dommiva. Contacto: dommiva.com@dommiva.com.
Dos papeles distintos (esto es importante)
1. Datos de tu cuenta. Cuando te registras en Dommiva (nombre, email, contraseña cifrada o proveedor de acceso), Dommiva es el responsable del tratamiento. Los usamos para prestarte el servicio, con base en la ejecución del contrato (art. 6.1.b RGPD).
2. Datos de tu comunidad. Los datos de vecinos, viviendas, cuotas, documentos e incidencias que el administrador de cada comunidad introduce pertenecen a esa comunidad: la comunidad (a través de su presidente o administrador) es la responsable de esos datos y Dommiva actúa únicamente como encargado del tratamiento (art. 28 RGPD), tratándolos solo para prestar el servicio y siguiendo sus instrucciones. El encargo se regula en las Condiciones del servicio.
3. Comunidades gestionadas por un administrador de fincas. Cuando una comunidad la lleva un despacho profesional a través de Dommiva, la comunidad sigue siendo la responsable de sus datos, el despacho actúa como su encargado del tratamiento y Dommiva como subencargado, por cuenta del despacho y siguiendo sus instrucciones. El despacho acepta en su panel un contrato de encargo (art. 28 RGPD) con Dommiva; guardamos la fecha, la versión del texto aceptado y quién lo aceptó. Los datos de la propia cuenta del despacho (nombre del despacho, NIF, email, teléfono, logo, color de marca y las personas de su equipo) los tratamos como responsables, para prestarle el servicio (art. 6.1.b RGPD).
Qué datos tratamos
- Cuenta: nombre, email, contraseña cifrada (o proveedor SSO), idioma, fechas de acceso.
- Comunidad (como encargado): datos identificativos y de contacto de vecinos, viviendas y coeficientes, cuotas y pagos, documentos, incidencias, reservas y votaciones.
- Datos bancarios (como encargado o subencargado), solo si la comunidad usa las remesas SEPA: IBAN del vecino, titular de la cuenta, referencia y fecha de firma del mandato. Ver el apartado «Datos bancarios para remesas SEPA».
- Proveedores de la comunidad (como encargado): nombre, categoría, teléfono y email que introduce el administrador, y el estado y la nota que el proveedor deja en la incidencia que se le asigna.
- Técnicos: registros de actividad y auditoría necesarios para la seguridad del servicio.
- Consultas: si nos escribes por el formulario de contacto, tu nombre, tu email y lo que nos cuentes, para responderte.
- Uso de la web, solo si aceptas la analítica en el banner de cookies: páginas vistas, clics, errores y de qué campaña vienes. Ver la política de cookies.
- Asistente con IA: la pregunta que escribes en el asistente y las guías de ayuda que se le adjuntan como contexto. No le mandamos tu nombre, tu email ni los datos de tu comunidad.
Destinatarios y encargados
No vendemos datos ni los cedemos a terceros para publicidad. Estos proveedores tratan datos por cuenta nuestra (como encargados o, respecto a los datos de las comunidades, subencargados):
- Supabase: base de datos de la aplicación, en la región de la UE (Estocolmo).
- Render (Render Services, Inc.): servidor de la aplicación (API), en la región de la UE (Fráncfort).
- Cloudflare (Cloudflare, Inc.): alojamiento de la web y almacenamiento de los documentos que sube la comunidad.
- Resend: envío de los correos del servicio (avisos, convocatorias, recuperación de contraseña).
- Stripe (Stripe Payments Europe, Ltd.): cobro de las suscripciones de pago. Los datos de la tarjeta los recoge y guarda Stripe; Dommiva no los ve.
- Backblaze (Backblaze, Inc.): copias de seguridad cifradas de la base de datos y de los documentos, guardadas en Estados Unidos.
- GitHub (GitHub, Inc.): ejecuta las tareas automáticas que generan esas copias de seguridad.
- Sentry, Anthropic y Expo, en los casos que se describen más abajo.
Cuando un proveedor está fuera del Espacio Económico Europeo o tiene matriz en Estados Unidos, la transferencia se ampara en las garantías que ese proveedor ofrece en su contrato de encargo (cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU.).
Dentro del servicio, y siempre por decisión de la comunidad o de su administrador:
- Proveedores asignados a una incidencia: cuando el administrador asigna una incidencia a un proveedor con email, este recibe un correo con un enlace personal (caduca a los 30 días) en el que ve el título, la descripción, el estado y la prioridad de esa incidencia, y el nombre y la dirección de la comunidad. No ve los datos de los vecinos ni ninguna otra información de la comunidad.
- El administrador de fincas que gestiona la comunidad, si lo hay, y la junta (presidente, secretario y vocales), que ve un resumen de morosidad por vivienda, incidencias, gastos y proveedores.
- El banco de la comunidad, solo a través del fichero de remesa SEPA que la comunidad o su administrador descarga y sube él mismo a su banco. Dommiva no envía los datos bancarios a nadie.
Datos bancarios para remesas SEPA
Si una comunidad (o el despacho que la gestiona) decide cobrar las cuotas por domiciliación, puede guardar en Dommiva el IBAN y el mandato SEPA de cada vecino para generar el fichero de adeudos que luego sube a su banco. Dommiva no mueve dinero: solo prepara el fichero.
- Papel de Dommiva: encargado del tratamiento de la comunidad (o subencargado, si la gestiona un despacho). La comunidad es la responsable y decide si usa esta función.
- Finalidad: únicamente generar los ficheros de remesa SEPA para el cobro de las cuotas de la comunidad. No se usan para nada más.
- Base jurídica (la del responsable, la comunidad): la gestión del cobro de las contribuciones a los gastos comunes que la Ley de Propiedad Horizontal impone a cada propietario y el interés legítimo de la comunidad en cobrarlas de forma ordenada (art. 6.1.b y 6.1.f RGPD), con el mandato SEPA firmado por el titular de la cuenta.
- Seguridad: el IBAN se guarda cifrado (AES-256-GCM) y la aplicación nunca lo muestra completo: en pantalla solo aparecen los cuatro últimos dígitos, y no se incluye en ninguna exportación. Solo aparece completo dentro del fichero de remesa. Cada alta, cambio o borrado queda en el registro de auditoría, sin el IBAN en claro.
- Destinatarios: nadie fuera de la comunidad. El IBAN solo sale de Dommiva dentro del fichero que la comunidad o su administrador descarga y entrega a su propio banco.
- Conservación: mientras el vecino esté vinculado a la comunidad y no se retire el mandato. El administrador puede borrar los datos bancarios de un vecino en cualquier momento; después, la comunidad conserva lo que la ley le obligue a conservar sobre los cobros realizados.
Analítica de uso
Medimos el uso de la web con Umami, una herramienta que alojamos nosotros mismos en analytics.dommiva.com: los datos no salen de nuestra infraestructura, no hay publicidad y no se cruza tu actividad con otras webs. Solo se activa si lo aceptas en el banner de cookies, y puedes retirar el permiso cuando quieras desde la política de cookies. Si tienes la sesión iniciada, los eventos se asocian a tu identificador de usuario para poder medir uso y retención; si no aceptas, tu navegador no envía nada.
Aparte, nuestro servidor anota en esa misma instalación de Umami recuentos anónimos de uso del servicio, tanto de la web como de la app (por ejemplo, «se ha creado una incidencia» o «se ha emitido un voto»), con el identificador interno de la comunidad y nunca con tu nombre, email, IP, dispositivo ni el contenido de lo que escribes. No se lee ni se guarda nada en tu dispositivo, así que no depende del banner de cookies. Base jurídica: interés legítimo en saber qué partes del servicio se usan para mejorarlo (art. 6.1.f RGPD). Las cuentas de demostración no se cuentan.
La misma categoría activa Sentry (Functional Software, Inc.), que recoge los errores que ocurren en tu navegador — URL, navegador y traza técnica del fallo — para que podamos arreglarlos. Los datos se almacenan en su región europea y Sentry actúa como encargado del tratamiento. Si no aceptas la analítica, Sentry no se inicializa y no reporta nada.
Asistente con inteligencia artificial
Hoy el asistente de ayuda no usa inteligencia artificial: busca la respuesta en nuestras guías dentro de tu navegador y no envía tu pregunta a ningún servicio externo. Si en el futuro activamos la versión con IA, funcionará con los modelos de Anthropic PBC (Estados Unidos) y lo indicaremos aquí antes. En ese caso, cuando le escribas una pregunta, esa pregunta y las guías de ayuda de Dommiva que se le adjuntan como contexto se envían a los servidores de Anthropic para generar la respuesta. Anthropic actúa como encargado del tratamiento.
- Base jurídica: el interés legítimo en darte ayuda inmediata (art. 6.1.f RGPD). Usar el asistente es voluntario: si prefieres no hacerlo, escríbenos por el formulario de contacto.
- Transferencia internacional: el tratamiento implica una transferencia a Estados Unidos, amparada en las cláusulas contractuales tipo de la Comisión Europea que Anthropic incorpora en su acuerdo de tratamiento de datos.
- Sin entrenamiento: según las condiciones comerciales de Anthropic, el contenido enviado a través de su API no se utiliza para entrenar sus modelos.
- Qué NO se envía: ni tu nombre, ni tu email, ni los datos de tu comunidad. Por eso el asistente te pide, antes de enviar nada, que no escribas datos personales en la pregunta.
App móvil de Dommiva (iOS y Android)
La app da acceso a tu cuenta y a tu comunidad igual que la web. Además de los datos descritos arriba, trata lo siguiente:
- Sesión: el identificador de tu sesión se guarda cifrado en el llavero de tu móvil (Keychain en iOS, Keystore en Android) y se borra al cerrar sesión.
- Notificaciones push, solo si las activas: guardamos un identificador técnico de tu móvil (token de notificaciones) y si es iOS o Android, para avisarte de avisos nuevos, votaciones, cuotas, juntas, reservas e incidencias. La base jurídica es tu consentimiento (art. 6.1.a RGPD), que das al aceptar el permiso del sistema y retiras cuando quieras desactivándolas en los ajustes del móvil o cerrando sesión. El texto de las notificaciones es genérico: no incluye nombres de vecinos ni lo que se haya escrito en una incidencia.
- Quién interviene en el envío: las notificaciones se envían a través del servicio de push de Expo (650 Industries, Inc., Estados Unidos), que las entrega mediante el servicio de notificaciones de Apple (iPhone) o de Google (Android). Expo actúa como encargado del tratamiento, guarda el token solo para poder enviar y, según declara, no almacena el contenido de las notificaciones. La transferencia a Estados Unidos se ampara en el Marco de Privacidad de Datos UE-EE. UU., al que Expo declara estar adherida.
- Sin publicidad ni seguimiento: la app no incluye analítica, publicidad ni rastreo entre apps.
- Conservación: el token se borra al cerrar sesión, al eliminar la cuenta o cuando Apple o Google nos indican que la app ya no está instalada.
Transferencias internacionales
Nuestros proveedores de infraestructura tratan los datos en la Unión Europea. Las excepciones son el asistente con IA (Anthropic, Estados Unidos, descrito arriba), el envío de notificaciones de la app (Expo, Estados Unidos, descrito arriba), las copias de seguridad de la base de datos y de los documentos (Backblaze, guardadas en Estados Unidos, y GitHub, que ejecuta las tareas que las generan; descritos arriba) y algunos proveedores con sede en Estados Unidos que pueden tratar datos técnicos de forma incidental; en todos los casos la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea.
Conservación
Mientras la cuenta o la comunidad estén activas. Al darse de baja una comunidad, sus datos se eliminan en un plazo máximo de 30 días, salvo obligación legal de conservación. Si eliminas tu cuenta, se borran al momento tus datos de acceso, tus membresías y tus móviles registrados; los datos de tu vivienda (cuotas, votos registrados, actas) pertenecen a la comunidad y los sigue gestionando su presidente o administrador. Si eres la única persona que administra una comunidad, la baja se acuerda contigo y se resuelve en un máximo de 30 días. Las copias de seguridad cifradas se renuevan solas: las diarias se borran a los 30 días y las mensuales a los 12 meses, así que lo eliminado desaparece también de ellas, como tarde, en ese plazo.
Tus derechos
Puedes eliminar tu cuenta tú mismo desde la app (Más → Mi cuenta → Eliminar mi cuenta) o desde la web (Mi cuenta → Eliminar mi cuenta); los pasos y qué se borra están en dommiva.com/eliminar-cuenta. También puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a dommiva.com@dommiva.com. Si el dato pertenece a una comunidad (por ejemplo, eres vecino y quieres corregir tu teléfono), la vía más rápida es tu presidente o administrador; te ayudaremos igualmente a canalizarlo. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
Seguridad
Contraseñas cifradas con algoritmos estándar, sesiones con cookies seguras, aislamiento estricto de los datos de cada comunidad, registro de auditoría de acciones sensibles y copias de seguridad periódicas.
Prospección comercial a empresas
Con independencia de la aplicación, tratamos datos de contacto profesional de administraciones de fincas, gestores de comunidades y profesionales del sector para darles a conocer Dommiva. Si has recibido una comunicación nuestra sin habérnosla solicitado, esta sección explica cómo tratamos tus datos.
- Datos tratados: únicamente los necesarios para la localización profesional — nombre de la empresa, sitio web, dirección de correo electrónico y teléfono publicados, y, cuando consta, el nombre y el puesto de la persona de contacto. No elaboramos perfiles de la persona ni tratamos categorías especiales de datos.
- Origen: datos de contacto publicados por la propia empresa en su sitio web o en su ficha pública de negocio. En cada comunicación que enviamos indicamos la fuente concreta de la que obtuvimos la dirección.
- Finalidad: un primer contacto comercial y, como máximo, un único seguimiento posterior. No enviamos más de dos comunicaciones a la misma empresa en un periodo de doce meses.
- Base jurídica: interés legítimo en la prospección comercial entre empresas (art. 6.1.f RGPD), sobre datos de contacto profesional conforme al art. 19 de la Ley Orgánica 3/2018. Puedes solicitarnos el juicio de ponderación que hemos documentado.
- Sin seguimiento: nuestros correos no incorporan píxeles de apertura ni sistemas de seguimiento de clics.
- Conservación: doce meses desde el último contacto. Si te opones, conservamos únicamente el dato mínimo imprescindible para no volver a escribirte.
- Encargados del tratamiento: Supabase (base de datos), Vercel (alojamiento del sistema de prospección) y Resend (envío de correo).
- Derecho de oposición: puedes oponerte en cualquier momento, de forma gratuita y sin justificación, mediante el enlace de baja incluido en cada comunicación o escribiendo a dommiva.com@dommiva.com. Lo aplicamos de forma inmediata y a todos los canales.
