Política de privacidad

Lo esencial, en seis líneas

• Quién trata tus datos: GRAUBO REAL ESTATE, S.L.U., NIF B93839157, Plaça de la Salle 2, 43002 Tarragona. Escribe a ramon@graubo.com.
• Para qué: responder a tu consulta y, solo si lo pides marcando la casilla, enviarte el boletín o avisos de inmuebles nuevos.
• Cuánto tiempo: 24 meses desde la última vez que confirmes tu interés, y luego se borra lo que te identifica.
• A quién se los damos: a siete proveedores, nombrados uno a uno más abajo. A nadie más, y nunca para venderlos.
• Qué puedes hacer: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, escribiendo a esa dirección. Y reclamar ante la Agencia Española de Protección de Datos.
• Lo que no hacemos: no hay perfilado con efectos jurídicos, no hay decisiones automatizadas y no se venden datos.

Debajo está lo mismo con detalle. Es largo porque los plazos y las bases jurídicas van en cifras y con artículo, no en generalidades.

1. Quién es responsable

GRAUBO REAL ESTATE, S.L.U. (sociedad unipersonal), NIF B93839157, con domicilio en Plaça de la Salle 2, 43002 Tarragona. Datos registrales completos en el aviso legal.

• Contacto para protección de datos: ramon@graubo.com
• Teléfono: +34 696 373 839

No hay delegado de protección de datos designado: esta agencia es de un solo agente y no concurre ninguno de los supuestos del artículo 37 del Reglamento General de Protección de Datos ni del artículo 34 de la Ley Orgánica 3/2018. Quien contesta las solicitudes es el administrador único.

2. Qué datos se recogen, y de dónde

Los que tú das, y nada más. Casi siempre por el formulario de esta web, y en ese caso son estos:

Y tres datos técnicos que genera el envío, no tú: la página desde la que escribes, los parámetros de campaña si has llegado por un enlace que los lleve, y —solo en el registro del consentimiento— tu dirección IP seudonimizada y el identificador de tu navegador.

Sobre la IP conviene ser exacto, porque es un punto donde es fácil quedarse corto: no se guarda tu IP en claro, se guarda un resumen criptográfico calculado con una clave secreta del servidor (HMAC-SHA-256). Eso no es un dato anónimo: es un dato seudonimizado, sigue siendo un dato personal y por tanto entra en tus derechos de acceso y de supresión igual que el resto. Se elimina cuando se cumple el plazo de conservación.

No hay ningún campo obligatorio por ley ni por contrato. Si no quieres dejar datos en la web, llama al teléfono de arriba: se atiende igual. La única consecuencia de no rellenar el nombre y el correo es que no hay por dónde contestarte.

Si en lugar del formulario escribes un correo, llamas por teléfono o envías una carta, los datos son los que decidas poner en ese mensaje, y se tratan para lo mismo, con la misma base y los mismos plazos.

Y si la relación avanza —un encargo de venta, una visita, una oferta—, los datos de esa gestión se llevan en el programa de gestión inmobiliaria que figura en el apartado 7, no en esta web. Antes de recoger nada de eso se entrega la información completa y separada que le corresponde.

No se recogen datos de categorías especiales, no se piden datos de terceros y no se compran listas.

3. Para qué se tratan, y con qué base jurídica

Son seis tratamientos distintos, con seis bases distintas. Van separados a propósito: agruparlos es lo que hace que una política no sirva de nada.

3.1 Responder a tu consulta

Base: artículo 6.1.b del Reglamento — ejecución de medidas precontractuales a petición tuya. El contrato al que se refieren esas medidas es el contrato de mediación en la compraventa de vivienda y los documentos que lo preceden: la hoja de visita, la nota de encargo y, en su caso, la oferta o la reserva.

Esta finalidad no lleva casilla de consentimiento, y no es un olvido. Si escribes para preguntar, el tratamiento está legitimado por tu propia petición; poner una casilla que dijera «acepto» daría a entender que puedes retirar algo que no has dado, y de paso contaminaría los dos consentimientos de abajo. Lo que hay es esta información, antes de enviar.

No hace falta marcar ninguna casilla para que te conteste. Las dos casillas siguientes son voluntarias, y no marcarlas no cambia nada de la respuesta que recibas ni del trato posterior.

3.2 Seguimiento comercial de una consulta que tú has iniciado

Base: artículo 6.1.f del Reglamento — interés legítimo. Una vez respondida tu consulta, la medida precontractual está agotada; conservar tus datos para poder retomar el asunto es un tratamiento distinto y se declara como tal.

La ponderación, en corto: el interés es poder atender una operación inmobiliaria, que se decide en meses y no en días; el impacto sobre ti es bajo porque el contacto lo iniciaste tú, los datos son de contacto y no sensibles, y no se cruzan con nada; y tienes derecho a oponerte en cualquier momento por el artículo 21 del Reglamento, escribiendo una línea a la dirección de arriba, sin dar explicaciones y sin que eso afecte a nada más.

3.3 Boletín

Base: artículo 6.1.a del Reglamento —tu consentimiento— más el artículo 21 de la Ley 34/2002, que exige consentimiento previo y expreso para las comunicaciones comerciales por correo electrónico.

Con doble confirmación, y conviene entender qué significa: al marcar la casilla se crea un alta pendiente y se te envía un correo con un enlace. Hasta que pulses ese enlace no se envía nada y el alta no cuenta como consentida. Si no lo pulsas en 72 horas, el registro pendiente se elimina, y si con eso tu consulta se queda sin ningún consentimiento, también se anonimiza.

El enlace vale una sola vez y se consume al usarlo. No hay ningún estado intermedio en el que estés medio suscrito: o has confirmado, o no.

3.4 Avisos de inmuebles nuevos

Base: artículo 6.1.a del Reglamento y artículo 21 de la Ley 34/2002. Con la misma doble confirmación que el boletín, en casilla propia y con su propio enlace, independiente del otro: confirmar el boletín no confirma los avisos, y darse de baja de uno no da de baja del otro.

Un aviso de que hay una vivienda en venta es una comunicación comercial, aunque sea útil, y se trata como tal. El formulario no pregunta zona, tipo ni presupuesto, así que los avisos no se segmentan por preferencias declaradas: quien está dado de alta recibe los mismos. No hay decisiones automatizadas con efectos jurídicos ni elaboración de perfiles que te evalúe. Si algún día se segmentaran, el dato se pediría de forma expresa y esta política se actualizaría antes.

3.5 Prevención del blanqueo de capitales

Base: artículo 6.1.c del Reglamento — cumplimiento de una obligación legal, con remisión expresa de los artículos 32 y 32 bis de la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo.

Una agencia inmobiliaria es sujeto obligado por el artículo 2.1.l de esa ley. Este tratamiento no se activa por escribir a través de esta web: nace cuando se establece una relación de negocio, es decir cuando se firma un encargo de venta o se acepta una oferta. Si eso ocurre, se te entregará entonces la información completa y separada, antes de recoger nada.

Cuando aplica, tiene dos particularidades que conviene conocer:

• Conservación de diez años, que impone el artículo 25 de la Ley 10/2010, con acceso restringido a partir del quinto. Este plazo es autónomo y prevalece sobre los 24 meses del apartado siguiente.
• Los derechos de los artículos 15 a 22 del Reglamento quedan excluidos para los tratamientos del capítulo III de esa ley —el examen especial, las comunicaciones al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales y su conservación—, por el artículo 32.2 de la Ley 10/2010. Para la identificación del cliente del capítulo II, en cambio, el acceso y la rectificación sí se pueden ejercer con normalidad; lo que no procede es la supresión mientras el plazo legal corra.

3.6 Obligaciones contables, fiscales y de facturación

Base: artículo 6.1.c del Reglamento, con los plazos del artículo 30 del Código de Comercio, del artículo 66 de la Ley General Tributaria y de la normativa de facturación. Solo alcanza a quien llega a ser cliente o proveedor, no a quien escribe una consulta.

4. Cuánto se conservan: cuatro plazos, no uno

Un solo plazo para todo sería falso. Hay cuatro relojes y van a velocidades distintas.

El detalle del primero importa: el reloj lo mueves tú, no yo. Cuenta desde tu última confirmación de interés —un formulario nuevo, una respuesta a un correo mío, una confirmación expresa— y ningún envío mío lo reinicia. Ni un boletín, ni un aviso, ni un correo de seguimiento. Si no dices nada durante 24 meses, se cumple el plazo y se borra lo que te identifica.

5. Cómo se prueba tu consentimiento, y qué se conserva de él

Cuando marcas una casilla se guarda, además de la marca:

• La frase exacta que aceptaste, no un código. La pone el servidor, nunca el navegador: si viajara desde tu equipo, una petición manipulada podría dejar registrada como aceptada una frase que nunca viste.
• La versión de esta política vigente en ese momento.
• El idioma en el que se te mostró, porque este sitio tiene cuatro y la frase es distinta en cada uno.
• La fecha y la hora en tiempo universal coordinado.
• La IP seudonimizada y el identificador de tu navegador, que se eliminan al cumplirse el plazo del apartado 4.

Es la prueba que exige el artículo 7.1 del Reglamento, y es la razón por la que esta página lleva número de versión.

6. Qué pasa cuando se cumple el plazo, y cuando pides que se borre

Al cumplirse el plazo, el registro no se borra: se anonimiza. Se eliminan el nombre, el correo, el teléfono, el mensaje, la IP seudonimizada y el identificador del navegador. Queda la fila, sin nadie dentro, para poder demostrar que la política de conservación se aplica de verdad, y cada pasada del barrido deja constancia de haberse ejecutado, también los días en que no hay nada que anonimizar.

No se borra la fila entera. Se conserva la prueba del consentimiento —la frase literal que aceptaste y la versión de esta política, que son el texto de una cláusula y un número, no datos tuyos— y los datos de contexto que ya no identifican a nadie: el idioma, el formulario y la página desde la que escribiste, los parámetros de campaña, el estado de gestión del contacto y las fechas del registro.

Si pides la supresión antes del plazo, el orden es este: se atiende y se te responde; se retira del uso ordinario; se conserva bloqueado un registro mínimo —identificador, fecha de la solicitud y de la respuesta, y la frase y versión aceptadas— al amparo del artículo 32 de la Ley Orgánica 3/2018, accesible solo para atender una posible reclamación; y ese registro se destruye a los tres años. Bloquear no es seguir tratando: es poder acreditar que el derecho se atendió, cosa que la ley pone a mi cargo.

Si pides la baja de comunicaciones comerciales, tu dirección entra en una lista interna de exclusión publicitaria que sobrevive al borrado del resto, con base en el artículo 23 de la Ley Orgánica 3/2018. Se guarda un resumen criptográfico del correo, no el correo, porque para lo único que sirve la lista —comparar un candidato antes de enviar— basta con eso. Existe para no volver a escribirte por error, y para nada más: no bloquea un alta nueva que pidas tú.

7. Quién más trata tus datos

Nadie compra ni recibe tus datos para sus propios fines. Los proveedores de abajo intervienen por cuenta de esta sociedad y siguiendo sus instrucciones, cada uno con su acuerdo de tratamiento conforme al artículo 28 del Reglamento. Con una excepción, Mobilia, cuyo acuerdo está comprometido y aún sin firmar: hasta que lo esté no recibe ningún dato de esta web, y se explica en las notas de debajo. De los siete, cuatro tratan hoy datos de usuarios de esta web; Mobilia lo hará cuando se conecte, y los otros dos figuran con su alcance delimitado en esas notas, para que se entienda por qué están aquí.

Se nombran uno a uno, con razón social y país, en lugar de por categorías: es lo único coherente con explicar transferencias internacionales reales.

Lista de encargados, sin cambios desde la versión 1.0 del 27 de agosto de 2026.

Tres precisiones que un lector atento echaría en falta:

• Mobilia (Soluciones IP Hispanas, S.L.) es el único de los siete cuyo acuerdo del artículo 28 sigue comprometido y sin firmar. Mientras no lo esté, la integración no está conectada y ningún dato de tu consulta sale hacia ahí. El día que se firme y se conecte, esta política se actualiza antes.
• Cloudflare solo resuelve el nombre del dominio. El proxy está deliberadamente desactivado, así que no recibe el tráfico de esta web ni el contenido de tu formulario: trata metadatos de consultas de nombres, no tus datos. Si algún día se activara el proxy, esta política se reescribiría antes de desplegarlo.
• Anthropic se usa para escribir el software de esta web, no para tratar tus datos. Hay una instrucción interna escrita que prohíbe introducir datos personales reales de usuarios de esta web en herramientas de inteligencia artificial de desarrollo; se depura con datos sintéticos. Se declara aquí por transparencia, no porque trate tus datos.

Además de estos siete, tus datos pueden comunicarse a jueces, tribunales y administraciones públicas cuando una norma lo exija, y al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales en el caso del apartado 3.5.

8. Transferencias internacionales

Sí las hay, y decir lo contrario sería falso. Conviene entender por qué, porque el caso de Supabase es el que menos se parece a lo que uno esperaría.

La base de datos donde se guarda tu consulta está físicamente en Fráncfort, en la Unión Europea. Pero la entidad con la que se contrata, Supabase Pte. Ltd, está establecida en Singapur, y su personal puede acceder en remoto para dar soporte. Lo que determina si hay transferencia internacional no es dónde están los datos, sino dónde está quien puede acceder a ellos: por eso esto es una transferencia internacional, y se declara como tal, aunque el dato no salga de Fráncfort.

Singapur no tiene decisión de adecuación de la Comisión Europea. La transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 2, que van incorporadas al acuerdo de tratamiento del proveedor.

Vercel, Resend y Cloudflare tratan datos en Estados Unidos, y esa transferencia se ampara en las mismas cláusulas contractuales tipo.

Los proveedores recurren a su vez a subencargados, algunos fuera del Espacio Económico Europeo. Cada proveedor publica su lista y la va actualizando. Si quieres saber quién constaba en un momento concreto, escribe y se te facilita.

Puedes obtener copia de las garantías —las cláusulas tipo y los anexos de cada proveedor— escribiendo a ramon@graubo.com. Es un derecho del artículo 13.1.f del Reglamento y se atiende sin coste.

9. Tus derechos

Puedes ejercer, escribiendo a ramon@graubo.com o por correo postal a Plaça de la Salle 2, 43002 Tarragona:

• Acceso — saber qué datos tuyos hay y obtener copia.
• Rectificación — corregir lo que esté mal o incompleto.
• Supresión — que se borren, con el matiz del apartado 6.
• Limitación — que se conserven pero no se usen, mientras se resuelve algo.
• Portabilidad — recibirlos en formato legible por máquina, o que se envíen a otro responsable.
• Oposición — al seguimiento comercial del apartado 3.2, sin dar motivos.
• No ser objeto de decisiones automatizadas — que aquí no se toman, y por eso no hay nada que impugnar.
• Retirar el consentimiento del boletín o de los avisos, en cualquier momento, sin que eso afecte a lo que ya se envió lícitamente.

Retirar es tan fácil como dar: un enlace en cada correo, sin registrarse, sin contraseña, sin formulario de motivos y sin preguntas. Hay un enlace por finalidad y uno de baja total, y funcionan también en correos antiguos: el identificador del enlace es estable y no caduca.

Se responde en un mes, prorrogable dos más si la solicitud es compleja, avisándote. La respuesta es gratuita.

Si no estás conforme con cómo se ha atendido, puedes reclamar ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, que es la autoridad de control de esta sociedad. La Autoritat Catalana de Protecció de Dades supervisa el sector público catalán y no una sociedad mercantil privada, así que no procede dirigirse a ella.

Y si resides o trabajas en otro Estado de la Unión Europea, el artículo 77.1 del Reglamento te permite reclamar también ante la autoridad de control de ese Estado.

10. Edad mínima

Este formulario no está dirigido a menores de catorce años. Dos de las tres finalidades se basan en el consentimiento, y el artículo 7 de la Ley Orgánica 3/2018 solo admite el consentimiento propio a partir de esa edad. Al enviar el formulario declaras tener catorce años o más. Si se detecta que un envío procede de un menor de esa edad, se elimina sin tratarlo y sin conservar copia.

11. Seguridad

Las medidas del artículo 32 del Reglamento, en concreto:

• El formulario se escribe desde el servidor, nunca desde el navegador. Desde tu equipo no se puede escribir en la base de datos.
• Las tablas de consultas y de consentimientos tienen la seguridad a nivel de fila activada y ninguna política que permita acceso anónimo: ni lectura ni escritura.
• Tu IP nunca se guarda en claro.
• El tráfico va cifrado en tránsito, y la base de datos, cifrada en reposo.
• Un límite de envíos por dirección y un campo trampa cortan el abuso automatizado antes de tocar nada.

12. Versión de esta política

Versión 1.3 · 28 de agosto de 2026.

Cada consentimiento se guarda con la versión vigente en el momento de otorgarlo, así que el número de arriba no es decoración: es la mitad de la prueba. Cualquier cambio de fondo —una finalidad nueva, un proveedor nuevo, un plazo distinto— sube el número, se fecha y se publica a la vez en los cuatro idiomas. Las versiones anteriores se conservan para poder saber qué decía el texto que aceptaste.