Política de privacidad

Última actualización: 15 de marzo de 2026

1. Responsable del tratamiento de los datos

Ovation Studio, en su calidad de responsable del tratamiento en el sentido del artículo 4, punto 7, del Reglamento (UE) 2016/679 del Parlamento europeo y del Consejo del 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante « RGPD »), se compromete a proteger la vida privada de los usuarios de la plataforma AutoSourcer (en adelante « la Plataforma »).

La presente política de privacidad describe las categorías de datos personales recopilados, los fines y bases jurídicas del tratamiento, los plazos de conservación, los derechos de las personas afectadas y las medidas de seguridad implementadas, de conformidad con el RGPD, la ley belga del 30 de julio de 2018 relativa a la protección de las personas físicas en lo que respecta a los tratamientos de datos personales, y la directiva 2002/58/CE « ePrivacy ».

2. Datos personales recopilados

En el marco de la prestación y mejora del servicio AutoSourcer, recopilamos y tratamos las categorías de datos siguientes:

2.1. Datos de identificación y contacto

• Nombre y apellidos
• Dirección de correo electrónico
• Contraseña (almacenada en forma de hash criptográfico irreversible; nunca almacenamos la contraseña en texto claro)
• Idioma preferido

2.2. Datos de uso del servicio

• Búsquedas guardadas (criterios de búsqueda de automóviles: marca, modelo, año, precio, kilometraje, etc.)
• Vehículos añadidos a favoritos
• Historial de exportaciones CSV
• Mensajes enviados a través del chat de soporte integrado
• Parámetros de notificaciones y preferencias del usuario
• Código de referencia e historial del programa de referidos

2.3. Datos de pago

• Las transacciones de pago son gestionadas íntegramente por nuestro proveedor de servicios de pago Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, Estados Unidos)
• Ovation Studio no recoge, almacena ni procesa ningún dato de tarjeta de crédito (número de tarjeta, fecha de caducidad, código de seguridad)
• Solo conservamos el identificador de cliente de Stripe, el tipo de plan suscrito, la fecha de inicio y fin de la suscripción, y el estado del pago

2.4. Datos técnicos y de conexión

• Dirección IP
• Tipo y versión del navegador (User-Agent)
• Sistema operativo
• Fecha, hora y duración de la conexión
• Páginas consultadas y acciones realizadas en la Plataforma
• Cookies de sesión y de autenticación (ver sección 10)

2.5. Datos recogidos automáticamente por terceros

Cuando realiza un pago, Stripe puede recoger datos adicionales de acuerdo con su propia política de privacidad disponible en stripe.com/privacy.

3. Finalidades y bases jurídicas del tratamiento

Conforme al artículo 6 del RGPD, cada tratamiento se basa en una base jurídica específica:

Finalidad	Base jurídica (art. 6 RGPD)
Creación y gestión de su cuenta de usuario	Ejecución del contrato (art. 6.1.b)
Suministro del servicio de sourcing automotriz (búsquedas, alertas, favoritos, exportaciones)	Ejecución del contrato (art. 6.1.b)
Gestión de suscripciones y facturación a través de Stripe	Ejecución del contrato (art. 6.1.b)
Gestión del programa de referidos	Ejecución del contrato (art. 6.1.b)
Envío de notificaciones relacionadas con el servicio (nuevos resultados, alertas de precios)	Ejecución del contrato (art. 6.1.b)
Seguridad de la Plataforma, prevención del fraude y abusos	Interés legítimo (art. 6.1.f)
Mejora del servicio y análisis de uso agregado	Interés legítimo (art. 6.1.f)
Soporte al cliente a través del chat integrado	Ejecución del contrato (art. 6.1.b)
Cumplimiento de obligaciones legales y fiscales (facturación, contabilidad)	Obligación legal (art. 6.1.c)
Comunicaciones de marketing (si corresponde)	Consentimiento (art. 6.1.a)

4. Duración de conservación de los datos

Conforme al principio de limitación de la conservación (artículo 5.1.e del RGPD), sus datos personales se conservan durante el tiempo estrictamente necesario para las finalidades para las que son tratados:

• Datos de la cuenta: conservados durante toda la duración de la actividad de la cuenta, luego eliminados en un plazo máximo de 12 meses después del cierre o la eliminación de la cuenta
• Datos de uso (búsquedas, favoritos): conservados durante la duración de la cuenta activa, eliminados con la cuenta
• Mensajes del chat de soporte: conservados durante 24 meses después del último mensaje, luego anonimizados o eliminados
• Datos de facturación y contables: conservados durante 7 años conforme a las obligaciones contables belgas (Código de sociedades y asociaciones, artículo III.86)
• Datos técnicos (registros de conexión): conservados durante 12 meses con fines de seguridad
• Cookies de sesión: eliminadas al cerrar el navegador o después de la expiración de la sesión (máximo 30 días)

Al expirar estos plazos, los datos son eliminados de forma irreversible o anonimizados de manera que se haga imposible cualquier identificación de la persona afectada.

5. Destinatarios y compartición de datos

Sus datos personales nunca son vendidos, alquilados o cedidos a terceros con fines comerciales o publicitarios.

Pueden ser comunicados a las categorías de destinatarios siguientes, exclusivamente en la medida necesaria para los fines descritos anteriormente:

Destinatario	Finalidad	Localización
Stripe, Inc.	Procesamiento de pagos con tarjeta de crédito	UE / Estados Unidos (cláusulas contractuales tipo)
OVHcloud	Alojamiento de la infraestructura y de los datos	Francia (Unión Europea)
Hetzner Online GmbH	Alojamiento de servidores	Alemania (Unión Europea)
Autoridades competentes	Por requisición judicial u obligación legal	Bélgica / UE

Se han establecido acuerdos de procesamiento de datos (Data Processing Agreements — DPA) de acuerdo con el artículo 28 del RGPD con cada uno de nuestros subcontratistas.

6. Transferencias internacionales de datos

Sus datos se alojan principalmente dentro de la Unión Europea (OVHcloud, Francia; Hetzner, Alemania).

En caso de transferencia de datos a un país situado fuera del Espacio Económico Europeo (EEE), y en particular a los Estados Unidos en el marco del uso de Stripe, se implementan garantías adecuadas de acuerdo con el capítulo V del RGPD:

• Decisión de adecuación de la Comisión Europea (en su caso, en particular el EU-US Data Privacy Framework)
• Cláusulas contractuales tipo (Standard Contractual Clauses — SCC) adoptadas por la Comisión Europea de acuerdo con la decisión de ejecución (UE) 2021/914
• Medidas adicionales técnicas y organizativas cuando sea necesario, de acuerdo con las recomendaciones 01/2020 del Comité Europeo de Protección de Datos (EDPB)

7. Seguridad de los datos

De acuerdo con el artículo 32 del RGPD, Ovation Studio implementa medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adaptado al riesgo, en particular:

7.1. Medidas técnicas

• Cifrado de todas las comunicaciones por protocolo TLS/SSL (HTTPS)
• Hash irreversible de las contraseñas con algoritmos conformes al estado del arte (bcrypt/Argon2)
• Cortafuegos y sistemas de detección de intrusiones en los servidores
• Actualizaciones regulares de software y parches de seguridad
• Copias de seguridad regulares y cifradas de las bases de datos
• Aislamiento de los entornos de producción y desarrollo
• Protección contra ataques de inyección SQL, XSS y CSRF

7.2. Medidas organizativas

• Acceso a los datos limitado a lo estrictamente necesario (principio del menor privilegio)
• Autenticación por clave SSH para el acceso a los servidores
• Registro de accesos a los sistemas y a los datos
• Procedimientos de notificación en caso de violación de datos conforme a los artículos 33 y 34 del RGPD

8. Sus derechos como persona interesada

Conforme a los artículos 15 a 22 del RGPD y a la ley belga del 30 de julio de 2018, usted tiene los siguientes derechos:

8.1. Derecho de acceso (artículo 15 RGPD)

Tiene derecho a obtener la confirmación de que los datos de carácter personal que le conciernen son o no tratados y, cuando lo son, el acceso a dichos datos así como una copia de los mismos.

8.2. Derecho de rectificación (artículo 16 RGPD)

Tiene derecho a obtener la rectificación de los datos de carácter personal inexactos que le conciernen. También tiene derecho a obtener que los datos incompletos sean completados.

8.3. Derecho a la supresión / derecho al olvido (artículo 17 RGPD)

Tiene derecho a obtener la supresión de sus datos de carácter personal en los casos previstos por el RGPD, en particular cuando los datos ya no son necesarios en relación con los fines para los que fueron recogidos, o cuando retira su consentimiento.

8.4. Derecho a la limitación del tratamiento (artículo 18 RGPD)

Tiene derecho a obtener la limitación del tratamiento en ciertos casos, en particular cuando impugna la exactitud de los datos o cuando el tratamiento es ilícito.

8.5. Derecho a la portabilidad de los datos (artículo 20 RGPD)

Tiene derecho a recibir los datos de carácter personal que le conciernen en un formato estructurado, de uso común y legible por máquina, y a transmitirlos a otro responsable del tratamiento.

8.6. Derecho de oposición (artículo 21 RGPD)

Tiene derecho a oponerse en cualquier momento, por razones relacionadas con su situación particular, al tratamiento de sus datos basado en el interés legítimo (artículo 6.1.f). En caso de oposición al tratamiento con fines de prospección comercial, los datos no serán tratados para estos fines.

8.7. Derecho a no ser objeto de una decisión automatizada (artículo 22 RGPD)

Tiene derecho a no ser objeto de una decisión basada exclusivamente en un tratamiento automatizado, incluido el perfilado, que produzca efectos jurídicos que le afecten o que le afecten de manera significativa.

8.8. Derecho a retirar su consentimiento (artículo 7.3 RGPD)

Cuando el tratamiento se basa en su consentimiento, tiene derecho a retirarlo en cualquier momento. La retirada del consentimiento no compromete la licitud del tratamiento basado en el consentimiento realizado antes de esta retirada.

8.9. Ejercicio de sus derechos

Para ejercer cualquiera de estos derechos, puede:

• Enviar un correo electrónico a contact@ovation-studio.be adjuntando una copia de su documento de identidad
• Enviar una carta recomendada a la dirección del responsable del tratamiento mencionada en la sección 1

Nos comprometemos a responder a su solicitud en un plazo de 30 días a partir de su recepción, de acuerdo con el artículo 12.3 del RGPD. Este plazo puede prorrogarse por dos meses adicionales debido a la complejidad o al número de solicitudes, en cuyo caso se le informará.

9. Perfilado y decisiones automatizadas

La Plataforma AutoSourcer utiliza algoritmos automatizados para:

• Detectar oportunidades (vehículos cuyo precio es inferior al precio estimado del mercado)
• Detectar anuncios potencialmente fraudulentos (puntuación anti-fraude)
• Generar alertas basadas en sus criterios de búsqueda

Estos tratamientos automatizados no producen ningún efecto jurídico en su contra y no le afectan de manera significativa en el sentido del artículo 22 del RGPD. Constituyen únicamente una ayuda a la decisión que usted es libre de seguir o no.

10. Cookies y tecnologías similares

De acuerdo con la directiva 2002/58/CE « ePrivacy » y la ley belga del 13 de junio de 2005 relativa a las comunicaciones electrónicas:

10.1. Cookies utilizadas

AutoSourcer utiliza exclusivamente cookies estrictamente necesarias para el funcionamiento del servicio:

Cookie	Finalidad	Duración
session	Mantenimiento de la sesión del usuario y autenticación	Sesión / 30 días
lang	Memorización del idioma elegido	1 año

10.2. Ausencia de cookies de seguimiento

AutoSourcer no utiliza ninguna cookie de seguimiento publicitario, ninguna cookie analítica de terceros (Google Analytics, Facebook Pixel, etc.), y ninguna tecnología de fingerprinting. Dado que solo se utilizan cookies estrictamente necesarias, no se requiere consentimiento previo de acuerdo con el artículo 5.3 de la directiva ePrivacy.

11. Protección de datos de menores

La Plataforma AutoSourcer es un servicio B2B (Business-to-Business) destinado a profesionales del sector automotriz. No está destinada a personas menores de 18 años. No recopilamos intencionadamente datos personales de menores. Si descubrimos que se han recopilado datos de un menor, serán eliminados de inmediato.

12. Violación de datos

De acuerdo con los artículos 33 y 34 del RGPD:

• En caso de violación de datos personales que pueda generar un riesgo para los derechos y libertades de las personas afectadas, Ovation Studio notificará a la Autoridad de protección de datos (APD) belga en las 72 horas siguientes al descubrimiento de la violación
• Si la violación puede generar un alto riesgo para sus derechos y libertades, se le informará a la mayor brevedad posible
• Se lleva un registro de las violaciones de datos de acuerdo con el artículo 33.5 del RGPD

13. Delegado a la protección de datos (DPO)

Dada la naturaleza y la escala de los tratamientos realizados, la designación de un delegado a la protección de datos no es obligatoria en el sentido del artículo 37 del RGPD. Para cualquier pregunta relacionada con la protección de sus datos, puede contactar directamente a Ovation Studio en la dirección contact@ovation-studio.be.

14. Reclamación ante la autoridad de control

Conforme al artículo 77 del RGPD, si considera que el tratamiento de sus datos personales constituye una violación del RGPD, tiene derecho a presentar una reclamación ante una autoridad de control, y en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar donde se haya cometido la violación.

15. Registro de actividades de tratamiento

Conforme al artículo 30 del RGPD, Ovation Studio mantiene un registro de las actividades de tratamiento a disposición de la autoridad de control a solicitud.

16. Análisis de impacto relativo a la protección de datos (AIPD)

Conforme al artículo 35 del RGPD, se realiza un análisis de impacto cuando un tipo de tratamiento es susceptible de generar un riesgo elevado para los derechos y libertades de las personas físicas. Los tratamientos realizados en el marco de AutoSourcer han sido evaluados y no requieren, en esta etapa, la realización de una AIPD formal.

17. Modificación de la presente política

Ovation Studio se reserva el derecho de modificar la presente política de privacidad en cualquier momento. En caso de modificación sustancial que afecte la manera en que se tratan sus datos, se le informará por correo electrónico al menos 30 días antes de la entrada en vigor de las modificaciones. La versión vigente siempre está accesible en la Plataforma en la dirección /privacy.

18. Derecho aplicable y jurisdicción competente

La presente política de privacidad se rige por el derecho belga y el derecho de la Unión Europea, en particular el Reglamento (UE) 2016/679 (RGPD) y la ley belga del 30 de julio de 2018.

En caso de litigio relativo a la interpretación o ejecución de la presente política, y en defecto de resolución amistosa, los tribunales del distrito judicial de Charleroi (Bélgica) serán los únicos competentes, sin perjuicio del derecho del usuario a acudir a los tribunales de su lugar de residencia habitual conforme al artículo 79.2 del RGPD.

19. Contacto

Para cualquier pregunta relativa a la presente política de privacidad o a la protección de sus datos personales: