La privacidad no es un trámite en MOVO: es una decisión de diseño. Aquí está explicada, con lo que el sistema puede y no puede hacer.
Última actualización: 5 de octubre de 2026 · Avionline S.L. · NIF B35946524
La confusión más cara de un servicio como este es creer que el proveedor responde de todo. No es así, y decirlo mal deja responsabilidades sin dueño.
| Tratamiento | Quién responde |
|---|---|
| Visitas al sitio web, formularios de contacto y alta de cuenta Los datos de quien navega o pide información son nuestros y respondemos de ellos. | Avionline S.L. Responsable del tratamiento |
| Datos de la plantilla del cliente: censo, encuestas, coche compartido La empresa decide para qué se tratan; MOVO solo los trata siguiendo sus instrucciones y las de este contrato. El encargo de tratamiento forma parte de las condiciones de contratación y se acepta con ellas. | La empresa cliente Avionline S.L. actúa como encargado del tratamiento |
| Personal del grupo que interviene en un expediente Que el técnico sea de Avionline o de una filial no cambia quién responde ante el cliente: responde Avionline. La filial no trata los datos para fines propios. | Avionline S.L. sigue siendo el encargado frente al cliente Las filiales actúan bajo acuerdo intragrupo |
| Datos de los socios de un partner El partner ve el estado comercial de sus clientes y su liquidación. No ve el diagnóstico ni, en ningún caso, datos de plantilla. | Cada empresa socia, en su propio expediente El partner no es responsable de esos datos ni accede a ellos |
Lo que Avionline S.L. hace con los datos de la plantilla, y a qué se obliga, está en el encargo de tratamiento.
Contacto en materia de protección de datos: privacidad@avionline.es. Domicilio: Calle Villalba Hervás, 9, 38002 Santa Cruz de Tenerife, España. NIF B35946524.
El acceso de personal de una filial a datos de clientes de Avionline S.L. se ampara en un acuerdo intragrupo de tratamiento. Las filiales no son destinatarias de los datos para fines propios.
Estas 7 cosas no son promesas: son restricciones del sistema. Si alguien quisiera saltárselas, tendría que reescribir la base de datos.
| No existe columna de domicilio El esquema no puede almacenar la dirección de nadie. Quien participa en coche compartido declara un punto de recogida público, no su casa. |
| Regla de cinco personas Ningún dato agregado se muestra si detrás hay menos de cinco personas. Es una restricción de la base de datos, no una promesa de la aplicación. |
| Los atributos sensibles viven aparte Las preferencias de emparejamiento están fuera de la tabla de usuarios, con acceso denegado por defecto. Solo la función de emparejamiento las consulta, y solo devuelve el resultado. |
| La empresa nunca ve respuestas individuales Ni de la encuesta ni del buzón de la plantilla. Solo agregados, y solo tras revisión. |
| Un partner nunca ve datos de empleados de sus clientes Es un límite de la base de datos, no de la interfaz. Un botón deshabilitado sería una sugerencia; esto es una negativa del servidor. |
| Analítica sin cookies Métricas agregadas, sin cookies y sin identificar a nadie. Las cuenta el mismo proveedor que aloja la aplicación, que figura en la tabla de proveedores. Por eso no hay banner de cookies: no hay nada que consentir. |
| De la dirección de conexión se guarda la red, no la máquina Al crear una cuenta se anota el prefijo de la dirección IP —con el último grupo a cero— y la localidad aproximada que declara la red de entrega, para poder distinguir un alta normal de un intento de fraude en algo que acaba en un documento firmado. La dirección completa no se almacena en ningún momento y no se cruza con ningún otro dato. |
Pedimos lo mínimo para que el plan sea válido. No pedimos domicilios ni nombres de la plantilla.
De quien visita o contrata: nombre, cargo, correo corporativo, empresa, CIF y web. Base jurídica: ejecución del contrato o medidas precontractuales, y consentimiento para las comunicaciones comerciales.
De quien nos escribe o con quien hablamos para ofrecerle el servicio: nombre, cargo, empresa, teléfono y correo profesionales, lo hablado y el siguiente paso acordado, y los correos que nos envía a hola@, comercial@ o pmst@movo.es (remitente, asunto, fecha y el comienzo del texto, sin adjuntos). Para gestionar la relación comercial y atender lo que pide. Base jurídica: interés legítimo en la relación entre empresas y medidas precontractuales. No enviamos correos comerciales sin permiso; quien pide que no se le contacte no vuelve a ser contactado, y puede pedir la supresión escribiendo a privacidad@avionline.es.
De nuestros clientes, cuando nos consultan: el asunto de cada consulta, en qué punto está y lo que les contestamos, y una copia de los correos que les enviamos (y de los que enviamos, con su permiso, a quien se interesa por el servicio). Para atenderles y no dejar ninguna consulta sin respuesta. Base jurídica: ejecución del contrato y, en el trato previo, la misma que en el párrafo anterior.
De la plantilla del cliente, siempre por cuenta de la empresa: código postal, turno y tipo de contrato en formato agregado; y, para quien participe voluntariamente en coche compartido, un punto de recogida público y sus preferencias de viaje. Base jurídica: interés legítimo del empleador en cumplir el artículo 26 de la Ley 9/2025 y, para el coche compartido, consentimiento de la persona, que puede retirarse en cualquier momento.
En la encuesta de movilidad, la empresa puede preguntar el sexo de forma voluntaria y con la opción «Prefiero no decirlo»; solo se usa en resultados agregados, nunca con menos de cinco personas detrás, y no se cruza con el turno ni con el código postal.
Nunca: domicilio particular, DNI, datos de salud, geolocalización continua ni seguimiento en segundo plano. El esquema de la base de datos no tiene columna para el domicilio.
Artículo 28.2 del RGPD: tienes derecho a saber quién más los toca. Esta lista sale de lo que la aplicación usa de verdad.
| Proveedor | Para qué · dónde |
|---|---|
| Supabase Todos los datos del expediente y de las cuentas | Base de datos y autenticación Frankfurt (Alemania) · UE |
| Vercel Tráfico y registros técnicos. Métricas agregadas sin cookies, con las direcciones que llevan un identificador dentro sustituidas antes de salir | Alojamiento de la aplicación y analítica web Región europea · con acceso desde EE. UU. |
| Stripe Correo, razón social e importes. Nunca datos de plantilla | Cobros Irlanda · grupo con matriz en EE. UU. |
| Brevo Correo y contenido de los avisos enviados | Correo transaccional Francia · UE |
| HERE Technologies Coordenadas de centros y de puntos de recogida públicos. Sin identificadores de personas | Rutas, isócronas y zonas de bajas emisiones Países Bajos · UE |
| Cloudflare La copia diaria de la base de datos, cifrada antes de salir. El proveedor no puede leerla | Almacenamiento de la copia de seguridad diaria Unión Europea (almacenamiento con jurisdicción europea) · grupo con matriz en EE. UU. |
| GitHub La copia pasa por sus máquinas mientras se hace, se comprueba y se cifra. No se queda en ellas | Ejecución de la copia de seguridad diaria y de la vigilancia del servicio EE. UU. · grupo Microsoft |
| Anthropic El texto de las consultas y, del expediente, solo datos de estado. Nunca el censo ni las respuestas de la encuesta. Las conserva hasta 30 días y no las usa para entrenar sus modelos | Generación de las respuestas de la ayuda de la aplicación y resumen de normativa publicada Irlanda (Anthropic Ireland, Limited) · tratamiento y almacenamiento en EE. UU. |
Transferencias internacionales. Los datos del expediente se almacenan en la Unión Europea. Algunos proveedores pertenecen a grupos con matriz en Estados Unidos y pueden requerir acceso de soporte desde allí; en esos casos se aplican las cláusulas contractuales tipo de la Comisión Europea. Las consultas a la ayuda de la aplicación se tratan y se almacenan en Estados Unidos, con esas mismas cláusulas. Ningún dato de plantilla se comunica al proveedor de cobros.
Se informará a los clientes antes de incorporar o sustituir un subencargado, para que puedan oponerse.
Lo que preguntas en «Ayuda» lo contesta un proveedor por nuestra cuenta. Viaja tu pregunta y el estado de tu expediente; nunca tu plantilla.
Las preguntas que escribes en «Ayuda» se envían a Anthropic, que actúa como encargado del tratamiento de Avionline S.L., con el único fin de generar la respuesta. Junto a tu pregunta viajan datos de estado de tu expediente —nivel de la cuenta, producto, paso y qué falta por completar—, nunca el censo, los datos de tu plantilla ni las respuestas de la encuesta. No escribas datos personales de terceros en tus preguntas. La respuesta se genera de forma automatizada, puede contener errores y no sustituye al técnico que firma el plan ni es asesoramiento jurídico o fiscal.
Revisión de las consultas para mejorar la ayuda. Cuando una consulta queda sin resolver, el equipo de soporte de MOVO la revisa para corregir y completar la ayuda; cada semana recibe por correo interno las que quedaron así. Se trata el texto de tus consultas, la pantalla desde la que preguntaste y si la marcaste como resuelta. La base es nuestro interés legítimo en mantener y mejorar el servicio contratado (artículo 6.1.f del Reglamento); puedes oponerte en cualquier momento escribiendo a privacidad@avionline.es. No se ceden a terceros ni se usan para publicidad ni para elaborar perfiles.
Plazo. Las conversaciones se conservan 12 meses desde la consulta y después se borran, en la aplicación y en el buzón de soporte.
«Mientras dure la relación» no es un plazo. Estos sí lo son.
| Dato | Plazo |
|---|---|
| Consultas del formulario y contactos comerciales | 1 año desde el último contacto |
| Prefijo de la dirección de conexión y localidad aproximada del alta | 2 años desde el alta. La dirección completa no se guarda en ningún momento |
| Cuenta y expediente del PMST | Mientras el plan esté vigente y 4 años después, por su exigibilidad frente a la plantilla y a la inspección |
| Facturación y justificantes de pago | 6 años (artículo 30 del Código de Comercio) |
| Evidencia de viajes compartidos verificados | Mientras se pueda auditar el certificado de ahorro energético al que dio lugar |
| Respuestas individuales de la encuesta a la plantilla | Se anonimizan al cerrar la encuesta. Solo quedan agregados |
| Registro de auditoría de acciones | 3 años |
| Red de la conexión en los intentos fallidos de los enlaces públicos (encuesta, coche compartido, portal de la representación legal) | 1 hora, que es la ventana del freno contra la enumeración. Se guarda la red —con el último grupo a cero—, nunca la dirección completa, y solo de los intentos que fallan |
| Registro de envíos de correo: destinatario, asunto, plantilla y si salió | 3 años desde el envío. Es la prueba de que un aviso con plazo legal se mandó, y de a quién |
Acceso, rectificación, supresión, limitación, oposición y portabilidad. Se ejercen escribiendo, y no hace falta justificar por qué.
Puedes ejercerlos en privacidad@avionline.es. Responderemos en el plazo de un mes. Si no podemos identificarte con lo que ya tenemos, te pediremos algún dato adicional, pero no exigimos copia del documento de identidad por defecto: la AEPD desaconseja pedirla cuando hay otras formas de verificar la identidad.
Si eres parte de la plantilla de una empresa cliente, el responsable de tus datos es tu empresa. Puedes dirigirte a nosotros igualmente y trasladaremos tu solicitud, pero quien decide es ella.
Puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) si consideras que tus derechos no han sido atendidos.
Si pasara algo, lo contamos. Rápido.
Los accesos se controlan a nivel de base de datos, no de interfaz: cada cuenta solo puede leer lo suyo, y toda acción con efectos se comprueba en el servidor. Se registra un histórico de auditoría de las acciones que generan documento o cambian el estado de un expediente.
Ante una violación de seguridad que suponga riesgo, se notificará a la AEPD en 72 horas y, cuando el riesgo sea alto, a las personas afectadas. Como encargado, notificaremos a la empresa cliente sin dilación indebida para que pueda cumplir sus propios plazos.