Política de privacidad

• Titular: BBRAVE SENTINEL, S.L. (Sociedad Unipersonal)
• NIF: B88862735
• Domicilio social: Calle Río Danubio, 2, portal 3, 2.º D, 28913 Leganés (Madrid)
• Datos registrales: Registro Mercantil de Madrid, Hoja M-891920, Inscripción 1.ª, folio electrónico
• Correo electrónico: soporte@destolen.com

Para cualquier cuestión de protección de datos, escríbenos a soporte@destolen.com con el asunto «Protección de datos».

• Datos: correo electrónico y contraseña (la gestiona Firebase Authentication; nosotros no la vemos), y, si los añades, nombre y ciudad. Guardamos la fecha y la versión de la política de privacidad que aceptaste y si quieres recibir comunicaciones comerciales.
• Para qué: crear y gestionar tu cuenta, identificarte y enviarte los correos del servicio (verificación, avisos, cambios en tus bicis y búsquedas).
• Base legal: la ejecución del contrato (art. 6.1.b RGPD). Las comunicaciones comerciales, solo con tu consentimiento (art. 6.1.a RGPD), que puedes retirar cuando quieras desde el propio correo o escribiéndonos.
• País: el de tu cuenta, el de cada bici y el del robo (por defecto, el de tu navegador; puedes cambiarlo). Lo usamos para saber si buscamos en anuncios de ese país y si allí se pueden contratar la Búsqueda y la Protección. Base legal: la ejecución del contrato (art. 6.1.b RGPD).
• Lista de espera por país: si intentas contratar en un país donde aún no buscamos y pides que te avisemos (o si lo intentas con el país del robo), guardamos tu usuario, tu correo, el país, el idioma y la fecha para escribirte cuando empecemos; además contamos cuántas personas esperan en cada país, sin datos personales, para decidir dónde abrir. Base legal: tu petición (art. 6.1.b RGPD) y nuestro interés legítimo en decidir dónde ampliar el servicio (art. 6.1.f RGPD). Puedes pedirnos que te quitemos en soporte@destolen.com.

• Datos: marca, modelo, tipo, color, talla, año, valor aproximado y fecha de compra; números de serie del cuadro, del motor y de la batería; fotos; el certificado con el Nº destolen de la bici.
• Datos opcionales: tipo de candado y de localizador, seguro, dónde se aparca, uso principal, zona habitual, componentes, pegatinas y personalizaciones.
• Para qué: mantener el registro de tu bici, emitir su certificado, permitir que un comprador compruebe si consta como robada y reconocerla si te la roban. Revisamos automáticamente con inteligencia artificial (OpenAI) que las fotos muestran una bici o un número de serie. Si tienes una Búsqueda activa, buscamos además hasta 3 fotos de tu bici en la web con Google Cloud Vision, para encontrar páginas donde aparezcan (las verás en «Anuncios parecidos»).
• Base legal: la ejecución del contrato (art. 6.1.b RGPD).

Uso de los datos opcionales para estadísticas y servicios a terceros. Solo si lo aceptas en una casilla aparte, nunca marcada de antemano (texto vigente: versión «datos-bici-2026-10-14»), usamos los datos de tu bici, sin datos personales y de forma agregada, para estadísticas de robos y servicios a terceros (aseguradoras, tiendas). La base legal es tu consentimiento (art. 6.1.a RGPD). Guardamos la fecha y la versión del texto cuando lo das y cuando lo retiras. Puedes retirarlo en cualquier momento en Ajustes → Uso de datos de tus bicis; retirarlo no afecta a tu registro ni a la búsqueda de tu bici.

Patinetes eléctricos. Si registras un patinete tratamos los mismos datos (sin tipo de bici ni talla) y, además, su número de inscripción de la DGT y si lleva la etiqueta identificativa, para las mismas finalidades y con las mismas bases legales. No consultamos el registro de la DGT: el número lo escribes tú.

• Datos: los de la bici y sus fotos, la fecha y el lugar del robo, la descripción y, si lo das, el número de la denuncia policial. Si la bici llevaba un AirTag u otro localizador, puedes añadir el enlace temporal para compartir su ubicación.
• Para qué: buscar durante la Búsqueda anuncios de segunda mano que coincidan con tu bici, enseñarte en «Mi robo» los anuncios parecidos a tu bici con un porcentaje de parecido, avisarte por correo de los más parecidos y registrar el resultado (por ejemplo, si la recuperas).
• Página pública de la denuncia: para que puedas compartirla, muestra la marca, el modelo, el color, el tipo, la foto principal, el número de serie enmascarado, la ciudad, el país y la fecha del robo. Nunca muestra tus datos de contacto. Se ve mientras la denuncia está activa o marcada como recuperada.
• Avistamientos: cualquiera puede avisar de que ha visto tu bici. Te reenviamos el aviso por correo sin revelar tu dirección.
• Enlace del localizador: solo lo vemos tú y el equipo de destolen; nunca se publica. Lo usamos solo para ayudarte a localizar la bici. Estos enlaces caducan a los 7 días según el proveedor (Apple o Google).
• Alerta para compartir (opcional): si la creas en «Mi robo», publicamos en una página que puede ver cualquiera que tenga el enlace (destolen.com/alerta/…) y en una imagen para redes: la foto principal de tu bici (una copia sin los datos internos del archivo, como la ubicación GPS), la marca, el modelo, el color, la zona que indiques (barrio o municipio) y el día del robo. Nunca tu nombre, tu correo, tu teléfono, el número de serie, la dirección exacta ni la denuncia. La página no se indexa en los buscadores. Contamos las visitas y las veces que se comparte, sin guardar datos de quien la ve. Quien la vea puede avisarte con «¿La has visto?» por el mismo sistema que «He encontrado una bici»: ninguno ve los datos del otro salvo que decida compartirlos. Base legal: tu consentimiento (art. 6.1.a RGPD), que retiras desactivando la alerta; se desactiva sola al recuperar la bici o al terminar la Búsqueda. Lo que otras personas hayan compartido en redes sociales queda fuera de nuestro control.
• Base legal: la ejecución del contrato (art. 6.1.b RGPD).

Patinetes eléctricos. Si denuncias el robo de un patinete tratamos los mismos datos y, además, su número de inscripción de la DGT, que el comprobador y la API usan para indicar que consta como robado, sin dar ningún dato tuyo. La Búsqueda de un patinete no incluye todavía el rastreo de anuncios (apartado 11).

• Datos: el plan (mensual o anual), su estado, el número de bicis cubiertas y las fechas de la suscripción.
• Para qué: prestarte Protección: vigilar los anuncios de segunda mano para tus bicis cubiertas y activar sin coste la Búsqueda si denuncias el robo de una de ellas.
• Base legal: la ejecución del contrato (art. 6.1.b RGPD).

• Datos: los pagos se hacen en la página de pago de Stripe. Nosotros no vemos ni guardamos el número de tu tarjeta; guardamos los identificadores de cliente, de pago y de suscripción, el importe, la fecha, el estado y tu correo.
• Para qué: cobrar, facturar, gestionar tu suscripción (cambios y cancelación desde el portal de Stripe) y prevenir el fraude.
• Base legal: la ejecución del contrato (art. 6.1.b RGPD) y el cumplimiento de obligaciones legales fiscales y mercantiles (art. 6.1.c RGPD).

Stripe trata los datos de pago por cuenta nuestra y, para sus propias obligaciones (prevención del fraude, normativa de pagos), como responsable independiente, según su política de privacidad. Para contratar necesitas una cuenta: no hay pago sin cuenta.

Dirección de facturación: al pagar, Stripe te pide la dirección de facturación. La usamos para aplicar el IVA que corresponde a tu país y para no vender desde Reino Unido; guardamos el país. Base legal: la ejecución del contrato y las obligaciones fiscales (art. 6.1.b y 6.1.c RGPD).

• Datos: el número de serie o el Nº destolen que consultas y, cuando consultas una bici registrada, tu dirección IP y los datos de tu navegador (agente de usuario). También usamos la IP, o tu usuario si has iniciado sesión, para limitar el número de consultas.
• Respuesta: solo dice si la bici está registrada, su marca, su modelo y su foto principal (si el dueño no la tiene en privado) y si consta como robada y la fuente del aviso. Nunca da datos del dueño, el número de serie completo ni el certificado.
• Para qué: responder a tu consulta, evitar abusos y consultas masivas y proteger el servicio.
• Base legal: nuestro interés legítimo en ofrecer la comprobación y en evitar abusos (art. 6.1.f RGPD).

El comprobador y la API buscan también el número de inscripción de la DGT de los patinetes registrados o denunciados en destolen, con las mismas reglas: solo dicen si consta como registrado o robado y el tipo de vehículo, nunca datos del dueño.

• Datos del formulario: nombre, empresa, correo, tipo de empresa, lo que queréis comprobar, el mensaje, el motivo (documentación o acceso al piloto), el idioma y un resumen cifrado (hash) de la IP, nunca la IP en claro.
• Para qué: estudiar vuestra solicitud y, si la aprobamos, enviaros la documentación técnica; responder a la solicitud de acceso al piloto y contactar con vosotros por ese motivo. El hash de la IP limita el número de solicitudes.
• Base legal: la aplicación de medidas precontractuales a vuestra petición (art. 6.1.b RGPD) y nuestro interés legítimo en evitar abusos (art. 6.1.f RGPD).
• Uso de la API: guardamos la clave usada y el número de llamadas al mes. En la puntuación de anuncios no guardamos el anuncio ni los datos del vendedor que nos envía la empresa.

Una tienda o taller con clave de la API puede dar de alta la bici que te vende o repara.

• Datos que nos envía la tienda: tu correo, los datos y el número de serie de la bici, hasta tres enlaces a fotos y su referencia interna.
• Qué hacemos: te enviamos un correo con un enlace personal, de un solo uso, que caduca a los 30 días. La bici solo pasa a tu garaje si la aceptas con ese mismo correo. Si no la aceptas, el enlace caduca y la bici no se registra a tu nombre. Del enlace solo guardamos un resumen cifrado (hash).
• Para qué: facilitarte el registro de la bici que te ofrece la tienda y medir cuántas altas llegan por ese canal.
• Base legal: nuestro interés legítimo y el de la tienda en ofrecerte el registro (art. 6.1.f RGPD); si lo aceptas, la ejecución del contrato (art. 6.1.b RGPD). La tienda debe informarte de que comunica tus datos a destolen.

Si no quieres recibir estas invitaciones, escríbenos a soporte@destolen.com.

• Mensajes al dueño de una bici: cualquiera puede escribir al dueño de una bici registrada a través de destolen. Guardamos el mensaje, el correo y la IP de quien escribe y se lo hacemos llegar al dueño sin revelar la dirección del dueño. Base legal: el interés legítimo de quien escribe y del dueño en comunicarse sin revelar sus datos, y el nuestro en evitar abusos (art. 6.1.f RGPD).
• Avisos de bici encontrada: si avisas de que has encontrado una bici, guardamos lo que nos cuentas (número de serie o Nº destolen, marca, modelo, color, lugar, fecha, descripción y fotos), tu usuario y, si los dejas, tu nombre, correo y teléfono. Si coincide con una bici registrada o con una denuncia con Búsqueda, avisamos a su dueño solo con la marca, el modelo, la zona aproximada y la fecha, nunca con tus datos ni con tu descripción. El dueño puede escribirte a través de destolen: te reenviamos su mensaje al correo de tu cuenta y tú decides si respondes y si compartes tus datos de contacto. Ninguno de los dos ve el correo del otro salvo que elija compartirlo. Base legal: el interés legítimo de quien encuentra la bici y de su dueño en devolverla sin revelar sus datos, y el nuestro en evitar abusos (art. 6.1.f RGPD).
• Transferencias de bici: si transfieres una bici, nos das el correo de la persona que la recibe. Le enviamos un enlace para aceptarla, que caduca a los 7 días. Base legal: la ejecución del contrato con quien transfiere (art. 6.1.b RGPD) y, respecto a quien recibe, nuestro interés legítimo en completar la transferencia que se nos pide (art. 6.1.f RGPD).

Para buscar bicis robadas, un servidor nuestro en la Unión Europea (Hetzner, en Helsinki, Finlandia) recoge periódicamente anuncios de bicis en portales y webs de anuncios de segunda mano de acceso público.

• Datos de los anuncios: título, descripción, precio, fotos (o sus enlaces), la fecha, el enlace y la ubicación del anuncio redondeada a unos 11 km. Del vendedor no guardamos su nombre, su alias ni su identificador en el portal: los sustituimos por un código seudónimo (un resumen cifrado hecho con una clave secreta que solo tenemos nosotros). Es una seudonimización, no una anonimización: con esa clave y el identificador del portal se puede volver a relacionar el código con la cuenta del vendedor, y el anuncio sigue siendo público en el portal. Por eso seguimos tratando estos datos como datos personales, con las mismas garantías. Plazos de conservación en el apartado 15.
• Para qué: comprobar si una bici anunciada coincide con una bici denunciada como robada. Comparamos los datos del anuncio (marca, modelo, color, número de serie si aparece…) y las fotos, estas con un modelo de inteligencia artificial de OpenAI.
• Anuncios parecidos: calculamos un porcentaje de parecido entre cada anuncio y la bici (datos y, cuando se puede, fotos) y enseñamos al dueño de la bici, en su cuenta, los anuncios parecidos a su bici: título, foto, precio, portal, zona aproximada, fecha y enlace al anuncio público, nunca datos del vendedor. Le avisamos por correo de los más parecidos. Son el resultado de una comparación automática y es el dueño quien decide. No contactamos con los vendedores, no publicamos sus datos y no tomamos decisiones sobre ellos: la coincidencia es un indicio que el dueño puede llevar a la policía.
• Búsqueda proactiva de bicis declaradas robadas: además de las bicis denunciadas en destolen, buscamos en esos anuncios bicis que constan como robadas en fuentes públicas (Bike Index, el listado de bicicletas sustraídas de los Mossos d'Esquadra y tablones públicos de bicis robadas). La comparación es automática: si el número de serie de un anuncio coincide con el de una bici que consta como robada en esas fuentes (una semejanza, no una prueba), podemos avisar a quien busca esa bici (a través de la propia fuente), a la policía o al portal del anuncio, solo con el enlace del anuncio y la referencia pública del robo y nunca con datos personales del vendedor, con quien no contactamos.
• Señales de venta: para detectar patrones de reventa, el equipo analiza los anuncios de los últimos 90 días de cada cuenta vendedora, identificada solo con un código seudónimo. Es una herramienta interna: no se muestra a nadie fuera del equipo y no decide nada por sí sola.
• Base legal: el interés legítimo (art. 6.1.f RGPD) de las víctimas de robo en recuperar sus bicis y el nuestro en prestar el servicio, junto con el interés general en dificultar la venta de bienes robados. Consideramos que este interés prevalece porque solo tratamos datos que el vendedor ya ha hecho públicos, los mínimos necesarios, sin publicarlos ni cederlos salvo al dueño de la bici (los anuncios parecidos a su bici) y, cuando la ley lo exige, a las autoridades.
• De dónde salen los datos: de los portales y webs de anuncios de segunda mano que aparecen en esta lista, que mantenemos al día.
• Tus derechos como vendedor: puedes oponerte a este tratamiento o ejercer tus demás derechos escribiendo a soporte@destolen.com con el enlace del anuncio. Como no contactamos con los vendedores, les informamos a través de esta política.

Por ahora solo rastreamos anuncios de bicis: no rastreamos anuncios de patinetes ni comparamos sus fotos con anuncios.

A partir de las denuncias, de los registros de bicis y de fuentes públicas (como los listados de Mossos d'Esquadra y Bike Index), elaboramos estadísticas sobre robos de bicis: marcas y modelos más robados, zonas, tipos de bici, candados y otros datos similares. Publicamos algunas, como Las bicis más robadas y el mapa de robos, y no publicamos ninguna cifra que reúna menos de 10 casos, para que no se pueda reconocer ningún caso concreto.

Estas estadísticas son una parte importante de nuestro negocio: podemos compartirlas o comercializarlas con terceros, como aseguradoras, tiendas, fabricantes o administraciones, siempre agregadas y anonimizadas, sin identificar ni permitir identificar a ninguna persona. No vendemos datos personales.

• Base legal: para elaborar estadísticas anonimizadas con los datos necesarios del servicio, nuestro interés legítimo (art. 6.1.f RGPD), una finalidad compatible con aquella para la que se recogieron (art. 6.4 RGPD). Los datos opcionales de tu bici solo se usan si lo has aceptado (apartado 3).
• Las estadísticas anonimizadas ya no son datos personales.
• Estadísticas anónimas al borrar datos: cuando un dato llega al final de su plazo de conservación (apartado 15), en algunos casos lo contamos antes de borrarlo, sin nada que permita identificar a nadie: las denuncias sin pagar o descartadas (marca, modelo, tipo, color, provincia y mes), las bicis de las cuentas borradas por inactividad (marca, modelo, tipo y provincia) y las consultas al comprobador (marca, provincia si consta, día y resultado). Tampoco publicamos de estos recuentos ninguna cifra con menos de 10 casos.

• Soporte: si nos escribes, usamos tus datos para responderte. Base legal: la ejecución del contrato o, si no eres usuario, nuestro interés legítimo en atenderte (art. 6.1.b y 6.1.f RGPD).
• Seguridad: registramos datos técnicos (IP, fechas, errores y acciones de administración) para proteger el servicio, limitar abusos y resolver incidencias. Base legal: nuestro interés legítimo (art. 6.1.f RGPD).
• Estadísticas de uso de la web: contamos las visitas a las páginas públicas y algunos pasos del servicio (comprobaciones de bicis y su resultado, denuncias empezadas y pagadas, bicis registradas, planes contratados, solicitudes de empresas y cambios de idioma) con Umami, alojado por BBRAVE SENTINEL, S.L. en su servidor de la Unión Europea (Hetzner, en Helsinki, Finlandia). Sin cookies ni identificadores persistentes. No guardamos tu IP: se usa en el momento para deducir el país, la región y la ciudad y para calcular un código de visita cifrado que cambia cada día, y se descarta. Nunca enviamos tu correo, tu usuario, números de serie ni identificadores de bicis o denuncias. Se guardan la página, el dominio de procedencia, el tipo de navegador, sistema y dispositivo, el tamaño de pantalla, el idioma y esa ubicación aproximada. Si tu navegador pide «No rastrear», no se envía nada. Base legal: nuestro interés legítimo en conocer cómo se usa la web para mejorarla (art. 6.1.f RGPD); puedes oponerte activando «No rastrear». Más información en la Política de cookies.

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa. El porcentaje de parecido (calculado con ayuda de inteligencia artificial) solo ordena los anuncios que enseñamos al dueño de la bici: no decide nada sobre nadie. Es el dueño quien decide si un anuncio es su bici y, si lo cree, acude a la policía; nosotros no contactamos con el vendedor ni tomamos ninguna medida sobre él. La puntuación de riesgo de anuncios que ofrece la API para empresas es orientativa: es una ayuda a la decisión de la empresa, no un dictamen.

• Cuenta: mientras la tengas. Si pides su supresión, borramos los datos, salvo los que debamos conservar bloqueados para cumplir obligaciones legales. Si no la usas durante 3 años, te avisamos por correo y, si no inicias sesión en los 30 días siguientes, la borramos con tus bicis registradas, sus fotos y sus certificados. Antes contamos tus bicis de forma anónima (marca, modelo, tipo y provincia). Si una de ellas consta como robada, sigue apareciendo como robada en el comprobador, sin ningún dato tuyo.
• Bicis registradas, fotos y certificado: mientras estén en tu garaje o hasta que las borres o borres tu cuenta.
• Búsqueda: dura 30 días desde que se activa (30 más si se aplica la garantía). El enlace del localizador se borra al terminar la Búsqueda. Las coincidencias descartadas por el equipo o marcadas como «no era mi bici» se borran 90 días después de terminar la Búsqueda. El resto (la denuncia, las coincidencias y su resultado) se anonimiza 2 años después de terminar: quitamos tu usuario, tu correo, las fotos y la ubicación precisa y solo quedan la marca, el modelo, la provincia, las fechas y el resultado.
• Coincidencias avisadas sin respuesta: a los 14 días del aviso se marcan como «sin respuesta» (no se borran); puedes responder después.
• Anuncios parecidos: los que no marcas, o que ocultas, se borran 180 días después de detectarlos; los que guardas o marcas como «Es mi bici» o recuperada, 1 año después de marcarlos, y mientras tanto conservamos también el anuncio rastreado.
• Denuncias sin pagar o descartadas: se te muestran en «Mi robo» durante 30 días y puedes descartarlas. A los 90 días de crearlas o descartarlas las borramos con sus fotos; solo queda un recuento anónimo (marca, modelo, tipo, color, provincia y mes). La bici de tu garaje no se toca.
• Altas de tiendas (pre-altas): el enlace caduca a los 30 días. Si no la aceptas, 30 días después de caducar (o de cancelarse) borramos tu correo, las fotos, la referencia de la tienda y los números de serie; solo quedan la tienda, la marca, el mes y el estado.
• Transferencias pendientes: se borran a los 7 días si no se aceptan.
• Mensajes anónimos: los leídos se borran a los 90 días; los que no se leen, a los 12 meses.
• Avisos de «He encontrado una bici»: el aviso (lo que cuentas, tu contacto y las fotos) se guarda mientras está abierto; si no encaja con ninguna bici, se cierra a los 180 días. Lo borramos con sus fotos 180 días después de cerrarse (por avisar al dueño, por descartarse o por caducar) y, en cualquier caso, a los 360 días de enviarlo. Los mensajes entre el dueño y quien la encontró se borran en los mismos plazos, contados desde el último mensaje.
• Alertas para compartir: al desactivarse (por ti, al recuperar la bici o al terminar la Búsqueda), la página deja de mostrar los datos de la bici y borramos al momento la foto publicada; 30 días después borramos el resto (la alerta, tu consentimiento y los contadores). Si borras tu cuenta, se borran en el momento.
• Consultas al soporte (formulario de ayuda y contacto): tu nombre, tu correo y tu mensaje se borran 12 meses después de la última respuesta o cambio.
• Mensajes de tiendas y talleres sobre tu bici (API): el mensaje, tu respuesta y el correo de la tienda se borran 180 días después del último mensaje o respuesta.
• Códigos de invitación: si usas un código de tu club o grupo, guardamos qué código usaste, la fecha y tu correo. El correo se conserva mientras exista tu cuenta; si la borras (o la borramos por inactividad), quitamos tu correo y tu usuario del canje y solo quedan la fecha y el código. 12 meses después de caducar el código borramos los correos de todos sus canjes.
• Borradores en tu navegador: lo que dejas a medias al denunciar o al contratar se borra solo a los 7 días.
• Anuncios rastreados y datos de vendedores: los anuncios sin coincidencia se borran 60 días después de la última vez que los vimos publicados; los de bicis de gama alta (precio del anuncio, o precio habitual de ese modelo en el mercado, de 2.000 € o más), 120 días después, para poder detectar las bicis caras que se guardan un tiempo y se vuelven a anunciar más tarde o en otro portal. Los que tienen una coincidencia confirmada se conservan mientras dura la Búsqueda y 1 año más; después borramos el enlace, el precio y las fotos del anuncio y solo queda el resultado con sus fechas. Los que tienen una coincidencia pendiente de revisión se conservan mientras dura la Búsqueda (y, como mínimo, el plazo normal de 60 o 120 días); las coincidencias pendientes se borran cuando termina la Búsqueda. Si la coincidencia se descarta, el anuncio sigue el plazo normal. Si un juez, la policía o una reclamación lo exigen, conservamos un anuncio bloqueado el tiempo necesario.
• Hallazgos de la búsqueda proactiva (bicis declaradas robadas en fuentes públicas que aparecen en un anuncio, apartado 11): mientras un hallazgo está pendiente de revisión, o confirmado y aún sin avisar, conservamos el hallazgo y su anuncio (hoy sin plazo máximo). Si el equipo lo descarta, borramos el hallazgo 90 días después de la revisión y el anuncio sigue su plazo normal. Si avisamos a alguien, conservamos el anuncio 1 año desde el aviso y el hallazgo (con el enlace del anuncio), 2 años; después lo anonimizamos: quitamos el anuncio y la referencia del robo y solo quedan la fuente, el portal, el tipo de coincidencia, las fechas y el resultado.
• Comprobador de números de serie: la IP y los datos del navegador se borran a los 90 días. Antes contamos cada día las consultas de forma anónima (marca, provincia si consta, día y resultado).
• Solicitudes de empresas (formulario de la API): las rechazadas o sin respuesta se borran 12 meses después del último contacto o cambio de estado.
• Uso de la API: el registro de cada llamada, 13 meses; el recuento mensual por clave, 6 años.
• Datos técnicos y de seguridad: registros de auditoría, 90 días; eventos de seguridad, 12 meses; límites de envío de correos, 7 días.
• Pagos y facturas: 6 años (documentación mercantil; la fiscal prescribe a los cuatro). Stripe conserva los datos del pago según su propia política.
• Consentimientos: la fecha y la versión del texto, mientras exista tu cuenta y 3 años más.
• Estadísticas anonimizadas: sin plazo, porque no son datos personales. No publicamos ninguna cifra que reúna menos de 10 casos.
• Lista de espera por país: hasta que te avisemos de que empezamos a buscar en tu país, hasta que nos pidas que te quitemos o hasta que borres tu cuenta.
• Ventas a otros países de la UE: si aplicamos el régimen de ventanilla única del IVA, los datos de esas ventas (país, fecha, importe e IVA) se conservan 10 años, como exige la normativa europea.

No vendemos datos personales. Usamos estos proveedores (encargados del tratamiento), con contrato y solo para prestarte el servicio:

• Google (Firebase y Google Cloud): cuentas (Firebase Authentication), base de datos de la web, fotos y archivos, alojamiento web y funciones del servidor, que se ejecutan en la región europe-west1 (Bélgica). Firebase Authentication es un servicio global de Google y puede tratar datos fuera del Espacio Económico Europeo, en EE. UU.
• Google Cloud Vision: busca en la web, desde su punto de acceso en la Unión Europea, hasta 3 fotos de tu bici cuando tienes una Búsqueda activa, para encontrar páginas donde aparezcan. Solo recibe las fotos de la bici, nunca tus datos.
• Hetzner Online: servidor en Helsinki (Finlandia) con la base de datos de bicis y anuncios, el rastreo de anuncios y las estadísticas de uso de la web (Umami, que gestionamos nosotros).
• Amazon Web Services (Amazon SES): envío de correos desde la región de Irlanda (eu-west-1).
• OpenAI (OpenAI Ireland Ltd., con contrato de encargo firmado): análisis y comparación de fotos de bicis y de anuncios. Puede tratar los datos en EE. UU. (apartado 17) y no los usa para entrenar sus modelos.
• Stripe (Stripe Payments Europe, Ltd., Irlanda): pagos y suscripciones.
• ScraperAPI (EE. UU.): infraestructura de rastreo por la que pasan las peticiones a los portales de anuncios.

Otros destinatarios:

• El dueño de la bici (con Búsqueda o Protección) ve el enlace y los datos públicos de los anuncios parecidos a su bici (título, foto, precio, portal, zona aproximada y fecha), nunca datos del vendedor.
• Compradores y empresas que consultan un número de serie solo reciben lo descrito en los apartados 7 y 8, nunca datos del dueño.
• Autoridades, jueces y fuerzas de seguridad, cuando una ley nos obligue o cuando tú nos lo pidas.
• Terceros que reciben estadísticas: solo datos agregados y anonimizados (apartado 12).

Compartir con terceros (Ajustes → Privacidad). Son interruptores desactivados por defecto, que puedes cambiar cuando quieras; guardamos la fecha de cada cambio y la versión del texto. Ninguno da a terceros tu nombre, correo, teléfono ni dirección: si alguien quiere contactar contigo, te escribimos nosotros. La base legal es tu consentimiento (art. 6.1.a RGPD).

• Policía: cuando marcas un anuncio como «Es mi bici», puedes descargar en «Mi robo» o «Mis vehículos» un informe para la policía con la denuncia, el número de serie, las fotos de la bici y el enlace, las fotos y los datos del anuncio. Lo tienes siempre, actives o no el interruptor. Si lo activas, destolen puede facilitar ese informe a un cuerpo policial que lo pida por escrito citando tu denuncia; si no, solo lo facilitamos cuando una ley o un juez nos obliguen.
• Tiendas y talleres: si una tienda o un taller cliente de la API consulta el número de serie de tu bici registrada y no denunciada, te avisamos por correo y la API le indica que puede pedirnos que te pongamos en contacto, con una referencia. No le damos ningún dato tuyo.
• Aseguradoras: si una aseguradora cliente de la API consulta el número de serie de tu bici registrada, la API le indica desde qué fecha está registrada en destolen, sin ningún dato tuyo. Con este interruptor activo puedes además apuntar tus bicis al programa de ofertas de aseguradoras: las ofertas te llegarán a través de destolen, nunca directamente de la aseguradora. El programa aún no está en marcha.

Si tu bici está denunciada como robada, cuando cualquier empresa cliente de la API consulta su número de serie, la API responde que consta como robada (apartado 8) y te avisamos por correo siempre, tengas o no activos los interruptores, porque forma parte del servicio (art. 6.1.b RGPD). De las consultas que generan un aviso o que ve una aseguradora guardamos qué bici, qué empresa, cuándo y si se te avisó (nunca el número consultado), para avisarte como mucho una vez al día por bici y empresa y poder acreditarlo. Si la policía nos lo pide por escrito citando tu denuncia, podemos decirle qué empresa consultó tu bici robada y cuándo.

Servicios externos que carga la web: las tipografías se descargan de Google Fonts y los mapas, de OpenStreetMap. Al cargarlos, tu navegador les envía tu dirección IP. No instalan cookies de destolen (más información en la Política de cookies).

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo, sobre todo en EE. UU.:

• Google: Firebase Authentication (servicio global) y Google Fonts, que recibe tu dirección IP cuando tu navegador descarga las tipografías.
• OpenAI: comparación y análisis de fotos de bicis y de anuncios. Contratamos con OpenAI Ireland Ltd., que puede transferir los datos a OpenAI OpCo, LLC (EE. UU.).
• Stripe: los pagos los gestiona Stripe Payments Europe, Ltd. (Irlanda), que puede transferir datos del pago a Stripe, Inc. (EE. UU.).
• ScraperAPI: por este proveedor pasan las peticiones a los portales y los anuncios que descargamos.

En esos casos, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido y, en otro caso, en las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas adicionales que correspondan.

El resto del tratamiento se hace en la Unión Europea: las funciones del servidor de Google Cloud en la región europe-west1 (Bélgica), el envío de correos con Amazon SES en Irlanda (eu-west-1) y nuestro servidor de Hetzner en Helsinki (Finlandia), con la base de datos de anuncios, el rastreo y las estadísticas de uso. Las teselas de los mapas de OpenStreetMap se sirven desde el Reino Unido, que cuenta con una decisión de adecuación de la Comisión Europea.

Puedes pedirnos información sobre estas garantías en soporte@destolen.com.

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, retirar tu consentimiento sin que afecte a lo tratado antes y no ser objeto de decisiones basadas únicamente en tratamientos automatizados.

Cómo: escribe a soporte@destolen.com con el asunto «Protección de datos», desde el correo de tu cuenta o indicando cómo identificarte. Te responderemos en el plazo de un mes, que puede ampliarse dos meses más en casos complejos; si es así, te lo diremos.

También puedes corregir los datos de tus bicis en «Mis vehículos», retirar el consentimiento de uso de datos en Ajustes y darte de baja de las comunicaciones comerciales desde el propio correo.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Te agradeceremos que antes nos escribas, por si podemos resolverlo.

Aplicamos medidas técnicas y organizativas razonables: conexiones cifradas (TLS), también entre nuestros servidores y la base de datos; contraseñas gestionadas por Firebase Authentication; enlaces de un solo uso guardados solo como resumen cifrado (hash); acceso restringido a los datos; números de serie enmascarados en las páginas públicas; y límites de uso para evitar abusos.

destolen no está dirigido a menores de 14 años y no recogemos sus datos a sabiendas. Si tienes menos de 14 años, necesitas el consentimiento de tus padres o tutores. Para contratar servicios de pago debes ser mayor de edad.

Publicaremos cualquier versión nueva en esta página, con su fecha de actualización. Si el cambio es importante, te avisaremos por correo o en tu cuenta.