Aviso de Privacidad

1. Responsable del tratamiento

Grig Kochedykov, que opera como Provenance Diligence, empresario individual (empresário em nome individual), Torres Vedras, Portugal (identificación en el Aviso legal). Contacto: el formulario en la página de inicio.

2. Qué recojo

• Del formulario: tu nombre, correo electrónico, el enlace/detalles del anuncio, y cualquier cosa que decidas escribir.
• De la herramienta gratuita de cálculo: las cifras que introduces se procesan en tu navegador y me llegan solo si pulsas «enviar» — precio de venta pedido, alquiler, ingresos declarados y beneficio del propietario, número de empleados, ciudad, sector, y tu correo electrónico.
• De la herramienta gratuita de autocomprobación del anuncio: la misma regla — todo se procesa en tu navegador, y tus respuestas (país, cómo describe el anuncio a la empresa, precisión de la dirección, canal de contacto, ciudad, y qué patrones marcaste) me llegan solo si pulsas «enviar», junto con tu correo electrónico. Por favor, no incluyas datos personales del vendedor.
• Del portal de casos (case.provenancediligence.com): tu nombre, correo electrónico, el enlace o la descripción del anuncio, tus notas, y los archivos que decidas subir — ver punto 3.
• Durante un encargo: los documentos que envíes sobre el negocio objeto de la operación (que pueden contener datos de terceros — ver punto 6).
• Del pago: confirmación de pago de Stripe. Nunca veo ni almaceno el número de tu tarjeta.
• Del propio sitio web: sin rastreadores publicitarios, sin fingerprinting, sin cookies instaladas en tu navegador. El sitio mantiene un contador de visitas propio, respetuoso con la privacidad, para saber qué páginas se leen y si los motores de respuesta (answer-engines) citan el sitio. No usa cookies: tu dirección IP se convierte en un hash unidireccional con una sal que cambia cada día (de modo que no se puede volver a identificar a un visitante ni seguirlo entre días distintos), y solo se almacenan la ruta de la página, el sitio de referencia, cualquier etiqueta de campaña utm_source y ese hash diario — nunca una IP en bruto, nunca un nombre. Este registro analítico propio no se comparte con ningún tercero, y no hay publicidad ni elaboración de perfiles. El proveedor de alojamiento también mantiene los registros de seguridad estándar de corta duración habituales en cualquier proveedor de hosting.

3. El portal de casos (case.provenancediligence.com)

Los encargos de pago comienzan en el portal de casos. Cuando envías una operación allí, recojo tu nombre, correo electrónico, el enlace o la descripción del anuncio, cualquier nota que escribas, y los archivos que decidas subir. Recibes un ID de caso y una página de caso privada a la que se accede mediante un enlace de acceso. No hay cuentas ni contraseñas. Cualquiera que tenga el enlace puede abrir esa página, así que trátalo como un documento confidencial: no lo publiques, y reenvíalo solo a las personas que te están ayudando con la operación.

Los registros de caso y los archivos subidos se almacenan con Cloudflare. Los archivos subidos se almacenan en un bucket de Cloudflare R2 configurado con jurisdicción de la UE. Los registros de caso — tu nombre, correo electrónico, línea del anuncio, notas, ID de caso y metadatos del enlace de acceso — se almacenan por separado en Cloudflare KV y no están cubiertos por esa configuración de jurisdicción de la UE de R2.

La notificación que me avisa de que ha llegado un caso nuevo se entrega a través de Formspree, un encargado del tratamiento en Estados Unidos. Incluye tu nombre, correo electrónico, línea del anuncio y el enlace de acceso al caso, pero no los archivos adjuntos. El pago, cuando se habilita en tu página de caso tras la comprobación de encaje, se realiza dentro de Stripe. Si llegas al portal desde un informe gratuito de primera lectura, es posible que tu envío incluya un código de referencia opaco para que pueda relacionar ambos registros. El código no contiene tu nombre, correo electrónico ni el contenido del informe.

Antes de subir archivos, elimina (tacha u oculta) los datos personales de terceros que tus archivos no necesiten llevar. Para el personal, basta con los puestos, las fechas de inicio y los rangos salariales; no incluyas nombres, documentos de identidad ni direcciones particulares salvo que sean necesarios para la revisión.

4. Por qué, y la base legal

Para evaluar si tu operación encaja y responderte (medidas precontractuales a tu solicitud, art. 6, apartado 1, letra b, del GDPR); para entregar el memorando que compraste (ejecución de un contrato, art. 6, apartado 1, letra b); para conservar facturas y registros fiscales (obligación legal, art. 6, apartado 1, letra c); y para conservar los memorandos entregados con fines de defensa ante posibles reclamaciones legales (interés legítimo, art. 6, apartado 1, letra f). Sin uso con fines de marketing, sin elaboración de perfiles, sin decisiones automatizadas sobre ti.

5. Encargados del tratamiento y destinatarios

La gestión de formularios y las notificaciones de casos (Formspree, un encargado del tratamiento en Estados Unidos), el correo transaccional del servicio (Brevo), el pago (Stripe), y el alojamiento del sitio web y el almacenamiento de archivos de caso (Cloudflare; archivos de caso bajo jurisdicción de la UE) — cada uno bajo sus propios términos de tratamiento de datos. Formspree, Brevo y Stripe pueden tratar datos fuera del EEE conforme a sus propios términos de tratamiento de datos, incluidas cláusulas contractuales tipo cuando sea necesario. La tipografía de la página se obtiene actualmente de Google Fonts y Fontshare; cuando tu navegador solicita esos recursos de fuentes, esos proveedores reciben metadatos habituales de la solicitud, como tu dirección IP y el user-agent del navegador. No vendo ni comparto datos personales con fines de marketing, y no hay servicios de publicidad ni de analítica de terceros en este sitio.

6. Datos de terceros en la investigación (aviso del art. 14 del GDPR)

Un cribado de riesgo trata necesariamente información sobre el negocio objeto de la operación y las personas públicamente vinculadas a él (propietarios, administradores) — obtenida únicamente de registros públicos oficiales y fuentes públicas (registros mercantiles, registros concursales, resoluciones judiciales publicadas, censos de licencias), sobre la base legal del interés legítimo (art. 6, apartado 1, letra f), evaluado y documentado. Dado que informar individualmente a cada persona sería desproporcionado para un informe confidencial y puntual, y podría perjudicar su finalidad, este apartado sirve como el aviso de información pública conforme al art. 14, apartado 5, letra b, del GDPR: categorías = datos de identificación y de cargo, tal como se publican en los registros antes mencionados; destinatarios = únicamente el cliente que encarga el servicio; conservación = según el punto 7; derechos = según el punto 8, ejercitables por cualquier persona a través del formulario. No se recogen datos de condenas penales; las referencias a registros concursales o judiciales se limitan a lo que el propio registro público oficial publica, citado con su fuente. La información permanece dentro del memorando del cliente, nunca se publica, y las muestras públicas se anonimizan de modo que ningún negocio ni persona sea identificable.

7. Conservación

Consultas que no se convierten en encargos: se eliminan dentro de 6 meses — la misma regla cubre los casos del portal que nunca llegan a convertirse en encargos. Archivos subidos al portal de casos: se eliminan a más tardar 90 días después de la entrega. Memorandos entregados y sus archivos de trabajo: se conservan durante el plazo de prescripción legal aplicable a las reclamaciones por servicios profesionales, y después se eliminan. Facturas: se conservan durante el período que exige la legislación fiscal portuguesa. Nada se conserva «por si acaso» más allá de esos plazos.

8. Tus derechos

Acceso, rectificación, supresión, limitación, portabilidad y oposición — ejercitables a través del formulario, con respuesta en el plazo de un mes. También puedes presentar una reclamación ante la autoridad de control portuguesa, la CNPD (Comissão Nacional de Proteção de Dados, cnpd.pt), o ante la autoridad de tu propio país.