Política de Privacidad

Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través del sitio web vestta.io (antes vestta.app) y de la plataforma CRM accesible en el subdominio de aplicación es:

• Pablo Diez Riera
• NIF: 49412001C
• Domicilio: Carrer de Corona 13, 07800 Ibiza, Baleares, España
• Correo de contacto en materia de privacidad: info@vestta.app

Vestta es el nombre comercial bajo el que Pablo Diez Riera presta el servicio. No existe una sociedad mercantil titular del servicio: el responsable es una persona física.

No se ha designado Delegado de Protección de Datos. Puedes dirigir cualquier cuestión relativa a tus datos a la dirección indicada arriba.

Naturaleza del servicio

Vestta es una plataforma SaaS (Software as a Service) de gestión inmobiliaria y CRM destinada a agencias y profesionales del sector inmobiliario. Sus funcionalidades incluyen:

• Gestión de cartera de propiedades y publicación de los inmuebles del operador en el portal Fotocasa a través de su API oficial.
• CRM de clientes/leads con seguimiento de estado, preferencias de búsqueda y oportunidades de negocio.
• Gestión de visitas, citas y documentación asociada.
• Canal de comunicación automatizado con clientes finales mediante la API de WhatsApp Business de Meta.
• Asistente de inteligencia artificial para gestión conversacional y automatización de tareas.
• Panel de analítica y control de actividad del equipo.

Vestta actúa como responsable del tratamiento respecto a los datos de los usuarios de la plataforma (agentes, administradores) y como encargado del tratamiento respecto a los datos de los clientes finales que cada agencia introduce o capta a través de la plataforma, cuya responsabilidad recae sobre el operador (la agencia inmobiliaria).

Datos tratados

Usuarios de la plataforma (agentes y administradores)

Clientes/leads inmobiliarios (datos gestionados por el operador)

Propiedades

La plataforma almacena información sobre inmuebles incluyendo dirección, precio, características, fotografías, vídeos y documentos. Esta información la introduce el operador en la plataforma. Las fotografías y vídeos se almacenan en Cloudflare R2 (almacenamiento en la nube compatible con S3).

Datos técnicos de la plataforma

Para el correcto funcionamiento del servicio se registran: logs de solicitudes HTTP, tiempos de respuesta, errores, métricas de uso y datos de presencia/actividad de los usuarios (estado online/ausente, última conexión).

Finalidades y bases legales

Registro y periodo de prueba

El registro se realiza en la propia aplicación. Al crear una cuenta se tratan los datos que introduces en ese formulario:

Con esos datos se crea tu cuenta de usuario y la cuenta de tu agencia, y se habilita un periodo de prueba de 14 días (7 días más una ampliación única de 7) con 300 créditos de IA de Vestta.

• Finalidad: crear y gestionar tu cuenta, darte acceso al periodo de prueba y prestarte el servicio.
• Base legal: ejecución del contrato y medidas precontractuales adoptadas a tu petición (art. 6.1.b RGPD).
• Conservación: conforme a los plazos indicados en el apartado Conservación de datos.

Estos datos no se utilizan para envíos comerciales ajenos al servicio ni se ceden a terceros con fines publicitarios.

Solicitudes de acceso anteriores

Hasta septiembre de 2026 el acceso se solicitaba mediante un formulario en vestta.app que recogía nombre, email, empresa y, opcionalmente, teléfono, tamaño del equipo y un mensaje, junto con la aceptación de los términos del acceso beta, su fecha y hora tomadas del servidor y la versión del documento aceptada. Ese formulario ya no está publicado. Las solicitudes recibidas mientras estuvo activo se conservan durante el tiempo necesario para acreditar la aceptación de esos términos y atender posibles reclamaciones.

Sitio web www.vestta.io

Navegación y alojamiento

El sitio web está alojado en Vercel Inc., que lo entrega a tu navegador. Para servir las páginas y protegerlas frente a tráfico automatizado o abusivo, Vercel trata datos técnicos de cada petición, como la dirección IP, el navegador y la página solicitada, y puede instalar una cookie de seguridad cuando necesita verificar el navegador.

• Finalidad: entregar el sitio y mantener su seguridad.
• Base legal: interés legítimo en ofrecer un sitio disponible y seguro (art. 6.1.f RGPD).
• Conservación: durante los plazos limitados de los registros técnicos del proveedor.

Formulario de contacto

Si nos escribes desde la página de contacto, tratamos los datos que introduces: motivo de la consulta, nombre, email profesional, nombre de la agencia, tamaño del equipo y, si lo escribes, tu mensaje.

• Finalidad: responder a tu consulta y, si lo pides, informarte sobre Vestta.
• Base legal: las medidas precontractuales que solicitas y nuestro interés legítimo en atender las consultas que recibimos (art. 6.1.b y 6.1.f RGPD).
• Destinatarios: la consulta se entrega por correo electrónico a info@vestta.app a través de nuestro proveedor de envío de correo. No se cede a terceros.
• Conservación: el tiempo necesario para atender la consulta y su posible seguimiento comercial, y como máximo 12 meses desde el último contacto, salvo que pases a ser usuario de la plataforma.

Para limitar el envío abusivo del formulario, se guarda durante 15 minutos un resumen cifrado e irreversible (hash) de la dirección IP y del email, que no permite recuperar esos datos.

Analítica con Google Analytics

Solo si aceptas las cookies de analítica, el sitio carga Google Analytics 4, de Google Ireland Limited, para medir de forma agregada cómo se utiliza: páginas visitadas, duración, tipo de dispositivo y navegador, y ubicación aproximada. Google Analytics 4 no almacena la dirección IP completa.

• Finalidad: conocer el uso del sitio para mejorarlo. No se utiliza con fines publicitarios: las señales de Google y la personalización de anuncios están desactivadas.
• Base legal: tu consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento desde Configurar cookies, en el pie de página. Retirarlo no afecta a la licitud del tratamiento anterior.
• Encargado: Google Ireland Limited. Los datos pueden transferirse a Google LLC en Estados Unidos, adherida al Marco de Privacidad de Datos UE-EE. UU.
• Conservación: los datos de eventos se conservan 2 meses en Google Analytics; después solo quedan informes agregados.

Si no aceptas, no se carga Google Analytics. El detalle de las cookies figura en la Política de Cookies.

Vídeos de YouTube

Algunas páginas incluyen vídeos de Vestta alojados en YouTube, de Google Ireland Limited, en su modo de privacidad mejorada (youtube-nocookie.com). El reproductor se carga cuando la sección del vídeo se acerca a la pantalla y, al hacerlo, Google recibe tu dirección IP y datos técnicos del navegador; si reproduces el vídeo, YouTube puede guardar cookies y datos en tu navegador.

• Finalidad: mostrar los vídeos de presentación del producto dentro del sitio.
• Base legal: nuestro interés legítimo en presentar el producto con vídeo (art. 6.1.f RGPD). Puedes evitar la conexión no desplazándote hasta los vídeos o bloqueando youtube-nocookie.com en tu navegador.
• Responsable de su tratamiento: Google trata estos datos como responsable, conforme a su política de privacidad. Los datos pueden transferirse a Google LLC en Estados Unidos, adherida al Marco de Privacidad de Datos UE-EE. UU.

El detalle figura en la Política de Cookies.

WhatsApp Business API

Vestta integra la API de WhatsApp Business de Meta Platforms Ireland Ltd. para permitir a los operadores (agencias inmobiliarias) comunicarse con sus clientes finales a través de WhatsApp. En el contexto de esta integración:

• Se procesan el número de teléfono y el contenido de los mensajes de los usuarios que interactúan con el número de WhatsApp Business del operador.
• Los mensajes entrantes y salientes se registran en la base de datos del operador con fines de historial, seguimiento y gestión de conversaciones.
• Un asistente de IA puede responder automáticamente en nombre del operador (ver «Inteligencia Artificial»). El usuario puede interactuar con un agente humano en cualquier momento.
• Los agentes internos del operador pueden también interactuar con el bot de Vestta a través de WhatsApp para ejecutar acciones en el CRM (crear clientes, registrar visitas, etc.), previa autorización expresa del administrador de la cuenta.
• La transmisión de datos hacia/desde la API de Meta se rige adicionalmente por la Política de Privacidad de WhatsApp y las condiciones del servicio de Meta.

Los usuarios finales que deseen que sus datos dejen de ser tratados en el contexto de WhatsApp Business deben dirigirse al operador (la agencia inmobiliaria) que gestiona su información, ya que es este quien ostenta la condición de responsable del tratamiento de esos datos.

Inteligencia Artificial

La plataforma puede hacer uso de modelos de IA de terceros para proporcionar funcionalidades de IA, entre ellas el asistente conversacional de WhatsApp, la generación de descripciones de propiedades, el análisis y retoque de fotos y la lectura de documentos. Los proveedores de IA que pueden intervenir son:

• OpenAI (OpenAI, Inc.) — Política de privacidad disponible en openai.com/policies/privacy-policy
• Anthropic (Anthropic, PBC) — Política de privacidad disponible en anthropic.com/privacy
• Google (Google LLC / Gemini API) — Política de privacidad disponible en policies.google.com/privacy

Las funciones de IA pueden ejecutarse de dos formas:

• Con las credenciales del operador. El operador decide qué proveedor habilita y aporta su propia clave de API. El proveedor trata los datos con la cuenta del operador y por su cuenta.
• Con créditos de IA de Vestta. Para las funciones que las claves del operador no cubren, y solo si el operador utiliza los créditos de Vestta, Vestta envía los datos necesarios al proveedor con su propia cuenta de API de pago (actualmente OpenAI). En ese caso el proveedor actúa como subencargado del tratamiento de Vestta, bajo su acuerdo de tratamiento de datos.

En los dos casos Vestta registra el consumo de cada operación (usuario que la lanza, operación, proveedor, modelo, tokens y coste estimado), sin guardar en ese registro el contenido enviado: con créditos, para descontarlos y aplicar los límites de uso; con las claves del operador, para mostrarle su consumo y detectar errores.

Una clave del operador que falle nunca se sustituye por créditos de Vestta: la operación falla y no se cobra. Si el operador no configura ningún proveedor ni utiliza créditos, las funciones de IA no se ejecutan y no se envía dato alguno a terceros.

Los datos enviados a estos proveedores se limitan a lo necesario para generar la respuesta: el texto (contexto del cliente, mensajes de conversación, información de propiedades relevantes) y, en las funciones de fotos y documentos, las imágenes o los documentos que el usuario decide procesar. Vestta no autoriza a estos proveedores a utilizar los datos transmitidos para entrenar sus modelos, conforme a las condiciones de uso de API de pago aplicables, y nunca utiliza niveles gratuitos de API que permitan ese uso.

Conservación de datos

Una vez transcurridos los plazos indicados, los datos se eliminan de forma segura o se anonimizan de manera que no sea posible la reidentificación.

Cesiones y encargados del tratamiento

Vestta no vende ni cede datos personales a terceros con fines comerciales. Los siguientes proveedores actúan como encargados del tratamiento bajo las garantías contractuales correspondientes:

Transferencias internacionales

Algunos de los encargados del tratamiento indicados pueden transferir o procesar datos fuera del Espacio Económico Europeo (EEE). Las salvaguardas aplicables no son las mismas para todos los proveedores y dependen de la entidad concreta:

• Los proveedores establecidos en Estados Unidos pueden acogerse al marco UE-EE. UU. de protección de datos o a cláusulas contractuales tipo, según lo que cada uno publique en sus propias condiciones.

Cuando las funciones de IA se ejecutan con las credenciales que aporta el operador, es el operador quien elige el proveedor y quien debe comprobar, en las condiciones de ese proveedor, qué salvaguarda resulta aplicable antes de habilitarlo. Cuando se ejecutan con créditos de IA de Vestta, es Vestta quien elige el proveedor y aplica las garantías de su acuerdo de tratamiento de datos con él.

Tus derechos

De acuerdo con el RGPD y la LOPDGDD, puedes ejercer los siguientes derechos escribiendo a info@vestta.app:

Acceso

Conocer qué datos tuyos tratamos y obtener una copia.

Rectificación

Corregir datos inexactos o incompletos.

Supresión

Solicitar la eliminación de tus datos cuando ya no sean necesarios.

Oposición

Oponerte al tratamiento basado en interés legítimo.

Limitación

Solicitar que el tratamiento quede restringido en ciertos casos.

Portabilidad

Recibir tus datos en formato estructurado y legible por máquina.

Retirada del consentimiento

Retirar en cualquier momento el consentimiento que hayas dado, por ejemplo para la analítica del sitio web, sin que afecte a la licitud del tratamiento anterior. En el sitio web puedes hacerlo desde Configurar cookies, en el pie de página.

Responderemos en el plazo de un mes, prorrogable otros dos meses cuando sea necesario por la complejidad o el número de solicitudes; en ese caso te lo comunicaremos dentro del primer mes. Si consideras que tus derechos no han sido atendidos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

Si eres cliente final de una agencia que usa Vestta, dirígete directamente a esa agencia para ejercer tus derechos, ya que actúa como responsable del tratamiento de tus datos.

Seguridad

Vestta aplica medidas de seguridad técnicas y organizativas acordes al estado de la técnica, entre ellas:

• Contraseñas almacenadas con hash (sin almacenamiento en claro).
• Autenticación de dos factores (2FA) disponible mediante TOTP y verificación por email.
• Sesiones únicas por usuario con invalidación automática.
• Comunicaciones cifradas mediante HTTPS/TLS.
• Eliminación de metadatos de documentos antes de su almacenamiento.
• Control de acceso basado en roles con máscaras de permisos granulares.
• Registro de auditoría de accesos y acciones críticas.

Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio, nuevas funcionalidades o requisitos legales. Cuando los cambios sean relevantes, te informaremos mediante aviso en la plataforma o por email con antelación suficiente. La fecha de última actualización figura siempre al inicio del documento.