Política de PrivacidadPrivacy Policy

1. Responsable y datos recogidos1. Data Controller & Collection

El responsable del tratamiento es THE34CLUB, S.L., NIF B19798867, con domicilio en Av. Tarragona 149-151, 43881 Cunit (Tarragona), España («The34Club», «nosotros»). Recogemos los datos personales necesarios para prestar nuestra plataforma de CRM, entre ellos: nombre, correo electrónico, teléfono, datos de la empresa, datos de propiedades y datos de pago tratados a través de Stripe.The data controller is THE34CLUB, S.L., NIF B19798867, with registered office at Av. Tarragona 149-151, 43881 Cunit (Tarragona), Spain ("The34Club", "we", "us", "our"). We collect personal data necessary to provide our real estate CRM platform, including: name, email address, phone number, company information, property data, and payment details processed through Stripe.

2. Para qué usamos tus datos2. How We Use Your Data

Usamos tus datos para:We use your data to:

• Prestar y mantener los servicios de la plataforma CRMProvide and maintain our CRM platform services
• Procesar los pagos y la facturación de la suscripciónProcess subscription payments and billing
• Facilitar el cruce de propiedades y la colaboración entre agenciasFacilitate property matching and inter-agency collaboration
• Enviar notificaciones transaccionales (correo y en la aplicación)Send transactional notifications (email and in-app)
• Mejorar los servicios mediante analítica agregada — la medición de visitas de las páginas públicas y de las tarjetas de visita digitales se detalla en la sección 7Improve our services through aggregated analytics — the measurement of visits to the public pages and the digital business cards is set out in section 7

3. Almacenamiento y seguridad3. Data Storage & Security

Tus datos se almacenan en AWS en España (eu-south-2). Los archivos y documentos residen en buckets S3 privados y solo se sirven mediante URLs firmadas que caducan en 15–60 minutos. El tráfico de la API va cifrado con TLS y los tokens de autenticación se guardan en cookies httpOnly. El correo transaccional se envía a través de AWS en Irlanda (eu-west-1), porque Amazon no ofrece SES en España; la lista completa de proveedores, el país en el que trata cada uno y la salvaguarda aplicable está publicada en Subencargados.Your data is stored on AWS in Spain (eu-south-2). Media files and documents live in private S3 buckets and are only ever served through signed URLs that expire in 15 to 60 minutes. API traffic is encrypted with TLS and authentication tokens are held in httpOnly cookies. Transactional email is relayed through AWS in Ireland (eu-west-1), because Amazon does not offer SES in Spain; the full list of providers, the country each processes in and the safeguard relied on is published at Subprocessors.

4. Con quién se comparten4. Data Sharing

No vendemos tus datos personales. Solo se comparten con los destinatarios de la lista de subencargados, que se nombran a continuación tal como figuran en ella y con la misma clasificación, y con otras agencias de la plataforma en el caso que se indica más abajo. En esa lista figura qué servicio presta cada uno y qué datos trata y, cuando nos consta, en qué país los trata y con qué garantía; cuando no nos consta, la lista lo dice.We do not sell your personal data. It is shared only with the recipients on our list of subprocessors, named below exactly as that list names them and in the same groups, and with other agencies on the platform in the one case stated below. That list, published in Spanish, sets out the service each provides and the data it processes and, where we know them, the country and the safeguard relied on; where we do not, it says so.

Subencargados del tratamientoSubprocessors

• Amazon Web Services EMEA SARL
• Amazon Web Services EMEA SARL — Amazon SES
• Amazon Web Services EMEA SARL — End User Messaging
• Amazon Web Services EMEA SARL — AWS Lambda
• Vercel Inc.
• OpenAI
• CISCAL TECH LTD
• Google Ireland Limited

Otros destinatarios que no son subencargadosOther recipients that are not subprocessors

• Stripe Payments Europe, Ltd.
• Dirección General del Catastro
• Comisión Europea — JRC (PVGIS)
• OpenStreetMap Foundation
• Holded Technologies, S.L.

Otras agencias de la plataforma: solo cuando inicias conversaciones u operaciones entre agencias.Other agencies on the platform: only when you initiate cross-agency conversations or deals.

Vercel Inc. recibe además la medición de visitas de las páginas públicas y de las tarjetas de visita digitales que se describe en la sección 7.Vercel Inc. also receives the visit measurement on the public pages and the digital business cards described in section 7.

5. Tus derechos (RGPD)5. Your Rights (GDPR)

Conforme al Reglamento General de Protección de Datos, tienes derecho a:Under the General Data Protection Regulation, you have the right to:

• Acceso — descarga todos tus datos en Ajustes > Datos y PrivacidadAccess — download all your data via Settings > Data & Privacy
• Rectificación — actualiza tu perfil y los datos de tu empresaRectification — update your profile and company information
• Supresión — solicita la eliminación de la cuenta contactando con soporteErasure — request account deletion by contacting support
• Portabilidad — exporta tus datos en formato JSONPortability — export your data in JSON format
• Limitación — solicita la limitación del tratamientoRestriction — request limited processing of your data

6. Plazos de conservación6. How Long We Keep Data

Los datos de cuenta y del CRM se conservan mientras tu agencia tenga cuenta con nosotros; lo que ocurre con ellos al terminar el contrato lo regula el Acuerdo de Tratamiento de Datos. Además, estos plazos se aplican mediante procesos programados, no dependen de la memoria de nadie:Account and CRM data is kept for as long as your agency has an account with us; what happens to it when the contract ends is governed by the Data Processing Agreement. Beyond that, these periods are enforced by scheduled processes, not by anyone remembering:

• Correspondencia de soporte — se conserva al menos 24 meses desde el cierre de la solicitud o desde su último mensaje, lo que sea posterior. Pasado ese plazo se eliminan los mensajes y la identidad del solicitante; solo se conserva metadato (categoría, fechas, plan, tiempo de resolución), que no identifica a nadie.Support correspondence — kept for at least 24 months from the closure of the request or from its last message, whichever is later. After that, the message bodies and the requester's identity are deleted and only the metadata is kept (category, dates, plan, time to resolution). Metadata identifies nobody.
• Notificaciones — archivadas 90 días después de leídas, eliminadas a los 3 años.Notifications — archived 90 days after they are read, deleted after 3 years.
• Registros de consentimiento de enlaces privados — 6 años, como prueba de que el consentimiento se prestó.Consent records for private links — 6 years, as evidence that consent was given.
• Datos del registro de viajeros — cuando una agencia utiliza la herramienta de registro de viajeros de la plataforma, 3 años: el plazo que el RD 933/2021 impone al operador de hospedaje responsable — la agencia o su mandante, no The34Club.Guest registration data — where an agency uses the platform's traveller-registration tool, 3 years: the period RD 933/2021 imposes on the responsible lodging operator — the agency or its principal, not The34Club.
• Registros de puntuación de IA — 3 años. No contienen nombres ni datos de contacto.AI scoring logs — 3 years. They carry no names or contact details.

La supresión a petición se tramita aparte y no espera a estos plazos — véase la sección 5.Erasure on request is handled separately and does not wait for these periods — see section 5.

7. Analítica de visitas de las páginas públicas y de las tarjetas7. Visit analytics on the public pages and the cards

Desde el 22 de septiembre de 2026 medimos las visitas de nuestras páginas públicas —y, desde el 23 de septiembre de 2026, también las de nuestras tarjetas de visita digitales— con Vercel Web Analytics. Es una medición de audiencia y no un seguimiento: no instala ninguna cookie, no guarda ningún identificador en tu dispositivo, no se cruza con tu cuenta si eres cliente y no se cede a nadie con fines publicitarios. Para no contar dos veces a la misma persona, el proveedor calcula en su propio servidor un valor resumen (hash) a partir de la petición entrante y lo descarta automáticamente a las 24 horas; pasado ese plazo no queda nada que enlace una visita con otra.Since 22 September 2026 we measure visits to our public pages — and, since 23 September 2026, to our digital business cards as well — using Vercel Web Analytics. It is audience measurement rather than tracking: it sets no cookie, it stores no identifier on your device, it is not combined with your account if you are a customer, and it is not passed to anyone for advertising purposes. So as not to count the same person twice, the provider computes on its own server a hash created from the incoming request and discards it automatically after 24 hours; beyond that window nothing links one visit to another.

• Dónde se mide — en las páginas públicas (inicio, /about, /features, /glossary, /pricing, /nda, /waitlist y las páginas legales, incluidos los enlaces permanentes a las versiones publicadas de los Términos y del DPA), en /register, que es donde se crea una cuenta, y —desde el 23 de septiembre de 2026— en las tarjetas de visita digitales: la página de cada persona del equipo, /cards/[nombre]. Es la página a la que llega quien escanea el código QR de una tarjeta impresa, y cada visita se cuenta por la dirección de esa página.Where it is measured — on the public pages (home, /about, /features, /glossary, /pricing, /nda, /waitlist and the legal pages, including the permanent links to published versions of the Terms and the DPA), on /register, which is where an account is created, and — since 23 September 2026 — on the digital business cards: each team member's own page, /cards/[name]. That is the page someone reaches by scanning the QR code on a printed card, and each visit is counted by that page's address.
• Dónde no se mide — nunca en la aplicación una vez has iniciado sesión. Nunca en los enlaces privados que una agencia envía a sus clientes (visita de inmuebles, valoración, negociación, panel del propietario), cuya dirección contiene la propia llave de acceso. Nunca en /login, /forgot-password, /reset-password ni /verify-email. Nunca al descargar el contacto de una tarjeta, /cards/[nombre]/vcard: eso es un archivo que se descarga, no una página que se visita, y guardar un contacto en la agenda no se cuenta. Y nunca en las páginas servidas desde el subdominio de una agencia. Esta exclusión no depende de dónde esté colocado el script: la aplica código nuestro sobre cada evento antes de que salga de tu navegador, y ante cualquier duda descarta el evento entero.Where it is not — never inside the application once you have signed in. Never on the private links an agency sends to its own clients (property viewing, valuation, negotiation, owner dashboard), whose address contains the access key itself. Never on /login, /forgot-password, /reset-password or /verify-email. Never when the contact on a card is downloaded, /cards/[name]/vcard: that is a file you download, not a page you visit, and saving a contact to your address book is not counted. And never on pages served from an agency's own subdomain. That exclusion does not depend on where the script sits: it is applied by our own code to every event before it leaves your browser, and in any case of doubt the whole event is discarded.
• Qué toca en tu dispositivo — no instala ninguna cookie. Antes de enviar cada visita de una página medida, código nuestro consulta el almacenamiento local de tu navegador: primero t34-analytics-opt-out, la marca que sólo existe si te has opuesto a la medición, y, si no está, __va_attribution, una clave del proveedor que esta web no crea en ningún momento. Si la marca existe, si esa clave tuviera algún contenido o si tu navegador no nos deja consultarlas, la visita no se envía. Cuando sí se envía, el script del proveedor vuelve a leer __va_attribution, sin escribirla nunca, y la lectura no encuentra nada. Por qué esto no lleva aviso de cookies —y qué queda por acreditar— se explica en la Política de Cookies.What it touches on your device — it sets no cookie. Before each visit to a measured page is sent, our own code checks your browser's local storage: first t34-analytics-opt-out, the mark that exists only if you have objected to the measurement, and, if it is not there, __va_attribution, a key of the provider's that this site never creates. If the mark exists, if that key ever had any content, or if your browser will not let us check them, the visit is not sent. When it is sent, the provider's script reads __va_attribution again, never writing it, and the read finds nothing. Why this carries no cookie banner — and what is not yet documented — is set out in the Cookie Policy.
• Qué se envía — la dirección de la página visitada y su patrón de ruta (por ejemplo /terms/v/[version]), la fecha y la hora, la página desde la que llegaste (referente), el país, la región y la ciudad aproximados que se deducen de la conexión, el tipo de dispositivo, el navegador y el sistema operativo con sus versiones, y la versión del propio script de medición. De la dirección de la página visitada, código nuestro elimina el fragmento (#…) y todos los parámetros salvo dos: tier y billing, que son el plan y la periodicidad de facturación que nuestra página de precios pone en el enlace a /register. Ninguno de los dos está pensado para identificarte. El referente no pasa por ese filtro, porque no lo construimos nosotros: es el valor que envía tu propio navegador, tal cual lo envía.What is sent — the address of the page visited and its route pattern (for example /terms/v/[version]), the date and time, the page you arrived from (referrer), the approximate country, region and city inferred from the connection, the device type, the browser and the operating system with their versions, and the version of the measurement script itself. From the address of the page visited, our own code strips the fragment (#…) and every parameter except two: tier and billing, which are the plan and the billing period our pricing page puts on its link to /register. Neither is meant to identify you. The referrer does not pass through that filter, because we do not build it: it is the value your own browser sends, exactly as it sends it.
• Quién lo recibe — Vercel Inc., nuestro proveedor de alojamiento, que lo trata por cuenta nuestra. El responsable seguimos siendo nosotros: lo que se mide son visitas a nuestras propias páginas, no datos que una agencia nos confíe, así que esto no son Datos del Cliente y no se rige por el Acuerdo de Tratamiento de Datos, que regula los datos que una agencia nos confía.Who receives it — Vercel Inc., our hosting provider, processing it on our behalf. We remain the controller: what is measured is visits to our own pages, not data an agency entrusts to us, so this is not Customer Data and is not governed by the Data Processing Agreement, which covers the data an agency does entrust to us.
• Dónde se trata — Vercel Inc. es una sociedad estadounidense. La infraestructura que sirve estas páginas está en Francia (cdg1) y en el Reino Unido (lhr1), pero eso describe el alojamiento y no necesariamente dónde se almacenan y explotan estas estadísticas, que es un dato que todavía no nos consta por escrito y que estamos pidiendo al proveedor. Mientras no lo tengamos lo tratamos como lo que en el peor de los casos sería: una transferencia a los Estados Unidos amparada en las Cláusulas Contractuales Tipo (Decisión (UE) 2021/914; art. 46.2 RGPD) incorporadas al acuerdo de tratamiento del proveedor. Preferimos decirte esto a dejarte suponer que la respuesta es Europa.Where it is processed — Vercel Inc. is a US company. The infrastructure that serves these pages sits in France (cdg1) and the United Kingdom (lhr1), but that describes the hosting and not necessarily where these statistics are stored and queried, which is something we do not yet have in writing and are asking the provider for. Until we do, we treat it as what it would be at worst: a transfer to the United States under the Standard Contractual Clauses (Decision (EU) 2021/914; Art. 46(2) GDPR) incorporated into the provider's data processing agreement. We would rather tell you this than let you assume the answer is Europe.
• Base jurídica — interés legítimo, art. 6.1.f RGPD: saber cuánta gente visita nuestras propias páginas públicas y nuestras tarjetas de visita digitales, y de dónde llega, con la menor información posible, sin publicidad y sin elaborar perfiles.Legal basis — legitimate interests, Art. 6(1)(f) GDPR: knowing how many people visit our own public pages and our digital business cards, and where they arrive from, on the least information that answers the question, with no advertising and no profiling.
• Cómo oponerte — en cualquier momento y sin darnos explicaciones, con el botón «No medir mis visitas» de la Política de Cookies. Desde que lo pulsas, este navegador no envía ninguna visita. Es el derecho de oposición de la sección 5.How to object — at any time and without giving us a reason, with the «No medir mis visitas» ("Don't measure my visits") button in the Cookie Policy. From the moment you press it, this browser sends no visits. It is the right to object set out in section 5.
• Conservación — no podemos darte un plazo de supresión, y preferimos decírtelo a inventarlo. Lo que el plan del proveedor fija no es un plazo de borrado sino una ventana de consulta: el tiempo durante el cual el panel nos garantiza poder ver las estadísticas. No es lo mismo, y el propio proveedor lo dice — advierte expresamente de que «puede conservar tus datos durante periodos más largos» («Vercel may store your data for longer periods», traducción nuestra). Ese plazo no está en nuestras manos; lo estamos pidiendo por escrito y publicaremos aquí la cifra cuando la tengamos.Retention — we cannot give you a deletion period, and we would rather say so than invent one. What the provider's plan fixes is not a deletion period but a reporting window: the time for which the dashboard guarantees us sight of the statistics. Those are not the same thing, and the provider says so itself — it states expressly that it "may store your data for longer periods". That period is not ours to set; we are asking for it in writing and will publish the figure here once we have it.

8. Cookies8. Cookies

Esta aplicación solo almacena lo que necesita para funcionar y lo que tú le pides que recuerde: una cookie de autenticación httpOnly, una cookie efímera para enlaces privados verificados, tus preferencias (idioma, tema, barra lateral), la marca de tu oposición a la medición de visitas si te has opuesto, el borrador local de una propiedad que aún estás escribiendo y los identificadores antifraude de Stripe únicamente en el paso de pago. No se usan cookies de analítica, seguimiento ni publicidad: la analítica de la sección 7 no instala ninguna cookie. Cada elemento, su duración y por qué está exento de consentimiento se detalla en la Política de Cookies.This application stores only what it needs to work and what you ask it to remember: an httpOnly authentication cookie, a short-lived cookie for verified private links, the preferences you choose (language, theme, sidebar), the mark recording your objection to visit measurement if you have objected, a local draft of a property you are still writing, and Stripe's fraud-prevention identifiers on the payment step alone. No analytics, tracking or advertising cookies are used: the analytics described in section 7 sets no cookie of any kind. Each item, its duration and why it is exempt from consent is set out in the Cookie Policy.

9. Contacto9. Contact

Para cuestiones de privacidad: info@the34.club. También puedes reclamar ante la AEPD (www.aepd.es).For privacy-related inquiries, contact us at: info@the34.club. You may also lodge a complaint with the AEPD (www.aepd.es).