Política de privacidad
Última actualización: 20 de mayo de 2026 · Versión 2026-05-20
1. Responsable del tratamiento
Momentum Real Estate Investment Management, S.L. (en adelante, "Momentum REIM"), con domicilio en España. Para cualquier cuestión sobre protección de datos, puede escribir a privacidad@momentumreim.com.
2. Categorías de datos tratados
- Datos identificativos: nombre, email corporativo, ID de usuario, rol.
- Datos profesionales: empresa, departamento, convenio, estructura organizativa.
- Datos de autenticación: contraseña cifrada, tokens de sesión.
- Datos de conexión: dirección IP pseudonimizada (HMAC), user-agent pseudonimizado, rutas visitadas, marcas horarias.
- Datos de uso: herramientas utilizadas, energía de jornada, propuestas aportadas.
- Datos laborales (si procede): registros de jornada (fichajes), solicitudes de modificación.
- Categorías especiales / documentos personales (si el usuario aporta): DNI/NIE, número de seguridad social, nóminas. Cifrados y con acceso restringido.
2.1. Datos de gestión de gastos y kilometraje (Momentum Tickets)
En el módulo Momentum Tickets (gestión de reembolsos), tratamos adicionalmente:
- Justificantes de gasto: fotografías o PDFs de tickets y facturas, importe, fecha, comercio, categoría y motivo del gasto.
- Trayectos de kilometraje: origen, destino, distancia recorrida (incluyendo si fue ida y vuelta), fecha y motivo del desplazamiento. La distancia sugerida puede calcularse consultando Google Maps Distance Matrix con las direcciones introducidas.
- Datos fiscales y de nómina: código de proveedor Prinex, tarifas aplicables según convenio y departamento, importes calculados.
- Trazabilidad operativa: fecha de aprobación o rechazo, motivo de rechazo, identidad del aprobador, fecha y batch de inclusión en informes de pago (paid_at / paid_batch_id).
- Registro de auditoría interno: tabla append-only e inmutable que conserva todas las acciones relevantes (creación, aprobación, rechazo, borrado, pago, cambios administrativos) con identidad del actor, marca temporal y datos antes/después. Finalidad: control interno, cumplimiento de la diligencia debida contable y respuesta a auditorías.
3. Finalidades y base jurídica
| Finalidad | Base (RGPD) |
|---|---|
| Autenticación y control de acceso | Ejecución contrato (Art. 6.1.b) |
| Gestión del portal y permisos | Interés legítimo (6.1.f) |
| Auditoría y seguridad | Obligación legal / Interés legítimo (6.1.c / 6.1.f) |
| Registro horario (fichajes) | Obligación legal (6.1.c) — RDL 8/2019, Art. 34.9 ET |
| Gestión documental (DNI, nómina) | Consentimiento (6.1.a) + Obligación legal (6.1.c) |
| Analítica interna de adopción | Interés legítimo (6.1.f) |
| Reembolsos: gestión de gastos y kilometraje (Tickets) | Ejecución de la relación laboral (6.1.b) |
| Conservación de justificantes y trazabilidad de pagos | Obligación legal (6.1.c) — LGT 58/2003 Art. 70 |
| Auditoría interna de Tickets (append-only) | Interés legítimo (6.1.f) — diligencia debida, prevención de fraude |
4. Plazos de conservación
- Logs de acceso (auth_logs): 12 meses. Email se anonimiza a los 6 meses.
- Registros de jornada: 4 años (Art. 34.9 ET).
- Nóminas y documentos laborales: 4 años; otros documentos personales, mientras dure la relación + plazos legales.
- Logs de acceso a documentos: 6 años.
- Cuenta de usuario: mientras dure la relación laboral; tras baja, supresión en 30 días salvo obligación legal.
- Consentimientos: conservados como prueba 3 años tras su revocación.
4.1. Datos del módulo Momentum Tickets
- Justificantes, kilometrajes y movimientos contables: 4 años desde el cierre del ejercicio fiscal correspondiente, conforme al Art. 70 de la Ley General Tributaria 58/2003 y normativa fiscal y contable concordante.
- Registro de auditoría interno (append-only): mismo plazo de 4 años, salvo decisión expresa de purga documentada por el Responsable del Tratamiento.
- Datos del empleado (identificación, asignación de aprobador, código Prinex): durante la vigencia de la relación laboral y hasta el plazo de prescripción de acciones laborales aplicable (4 años, salvo reclamaciones que extiendan ese plazo).
- Pasados estos plazos, los datos se anonimizan o se eliminan, salvo que exista obligación legal o judicial de conservación.
5. Destinatarios y encargados de tratamiento
Los datos se tratan en la infraestructura de los siguientes encargados, con contrato en los términos del Art. 28 RGPD:
- Supabase, Inc. — Base de datos, autenticación, almacenamiento (región UE).
- Vercel, Inc. — Hosting y edge computing (EEUU, con SCC).
- Sanity.io — Gestor de contenidos (UE/EEUU según configuración).
- Resend, Inc. — Envío de emails transaccionales (EEUU, con SCC).
- OpenAI, L.L.C. — Procesamiento IA bajo demanda (EEUU, con SCC).
No se realizan cesiones a terceros fuera de estos encargados salvo obligación legal.
5.1. Sub-procesadores del módulo Momentum Tickets
Para el módulo Momentum Tickets se utilizan adicionalmente:
| Sub-procesador | Función | Ubicación | Garantías |
|---|---|---|---|
| Google LLC (Gemini API) | OCR automático de tickets y PDFs: extracción de importe, fecha, comercio y categoría a partir de la imagen subida. | EE. UU. | Cláusulas Contractuales Tipo (SCCs). Google Gemini API no usa los datos de entrada para entrenar sus modelos y los elimina tras el procesamiento. |
| Google LLC (Distance Matrix API) | Cálculo de distancia entre origen y destino al registrar un trayecto en kilometraje. Solo recibe las direcciones introducidas; no se asocian a la identidad del empleado en Google. | EE. UU. | SCCs. |
| Resend Inc. | Envío de correos transaccionales: confirmación de gastos/km registrados, decisión de aprobación o rechazo, digest mensual de aprobaciones pendientes, resumen de cierre de ciclo. | EE. UU. | SCCs. |
| Vercel Inc. | Alojamiento de la aplicación web (frontend y endpoints API). | EE. UU. (con CDN en EU) | SCCs. Acuerdo de Tratamiento de Datos firmado en Vercel Dashboard. |
| Supabase Inc. (ya listado para Brain) | Base de datos del módulo Tickets y almacenamiento de las imágenes/PDFs de justificantes. | UE — instancia ufamewyvjwkzymlotagg | DPA Supabase. |
6. Transferencias internacionales
Los encargados ubicados fuera del Espacio Económico Europeo tratan los datos con las garantías adecuadas: Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea y, en su caso, medidas técnicas complementarias (cifrado, pseudonimización).
7. Derechos del interesado
Puedes ejercer en cualquier momento:
- Acceso (Art. 15): descarga tus datos en JSON desde Perfil → Mis datos.
- Rectificación (Art. 16): edita el perfil en Perfil.
- Supresión / olvido (Art. 17): opción Eliminar cuenta en el perfil.
- Oposición (Art. 21): escribe a privacidad@momentumreim.com.
- Limitación (Art. 18): mismo canal.
- Portabilidad (Art. 20): export JSON estructurado disponible en el portal.
- Reclamación: ante la Agencia Española de Protección de Datos (aepd.es).
8. Seguridad
Aplicamos medidas técnicas y organizativas conforme al Art. 32 RGPD: cifrado en tránsito (TLS) y en reposo, pseudonimización de IP/UA, control de accesos basado en roles (RLS), auditoría de accesos a datos sensibles, retención limitada, copias de seguridad y procedimiento de notificación de brechas en 72 horas.
9. Decisiones automatizadas
No se realizan decisiones automatizadas con efectos jurídicos sobre el interesado. Los modelos de IA empleados (OpenAI) sólo procesan contenido bajo demanda del usuario.
10. Cambios
Esta política puede actualizarse. Las modificaciones sustanciales se comunicarán por el portal y, cuando proceda, se solicitará nuevo consentimiento.