Política de Privacidad de Mando

Última actualización: 21 de septiembre de 2026 · Versión 1.1 (fase beta cerrada)

Esta política explica cómo Growing Inmobiliario Group, S.L. trata los datos personales en Mando, su CRM inmobiliario, disponible en mando.growinginmobiliario.com.

Mando se encuentra en fase beta cerrada. El acceso está limitado a un número reducido de agencias inmobiliarias seleccionadas que participan como probadoras, de forma gratuita y en el marco de una relación previa con Growing Inmobiliario. El Servicio no está abierto al público ni se ofrece fuera del Espacio Económico Europeo. Esta política se actualizará antes de la apertura general.

1. Quién es el responsable

Growing no ha designado un Delegado de Protección de Datos por no concurrir ninguno de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. Las consultas en materia de privacidad se atienden en la dirección indicada arriba.

2. Los dos papeles de Growing (lea esto primero)

Mando trata dos clases de datos muy distintas, y Growing no tiene la misma responsabilidad sobre ambas. Distinguirlas es imprescindible para entender el resto del documento.

2.1 · Datos de la cuenta — Growing es responsable del tratamiento

Son los datos de las agencias que utilizan Mando y de las personas que trabajan en ellas: quién contrata, quién tiene usuario, sus datos de contacto y facturación, y el registro de su actividad en la plataforma.

Sobre estos datos Growing decide las finalidades y los medios. Esta política los cubre.

2.2 · Datos del CRM — Growing es encargado del tratamiento

Son los datos que cada agencia introduce en su propio espacio de Mando: sus compradores, sus propietarios, sus propiedades, sus citas y sus comunicaciones.

Sobre estos datos la agencia es la responsable del tratamiento y Growing actúa únicamente como encargado, tratándolos siguiendo sus instrucciones y nunca para fines propios. Las condiciones de ese tratamiento se regulan en el Contrato de Encargo de Tratamiento (DPA), que forma parte de las Condiciones de Uso.

Si usted es un comprador, un propietario o cualquier otra persona cuyos datos figuran en el CRM de una agencia, la política de privacidad aplicable es la de esa agencia, no esta. Growing no decide qué datos suyos se recogen ni para qué. Si desea ejercer sus derechos, diríjase a la agencia con la que tiene relación; si se dirige a nosotros, trasladaremos su solicitud a la agencia correspondiente y se lo comunicaremos.

Esta distinción es el estándar del sector para las plataformas de software como servicio y define el alcance de todo lo que sigue.

3. Datos que tratamos como responsable

De la agencia y de sus usuarios

• Nombre y apellidos, dirección de correo electrónico y teléfono.
• Denominación social, CIF y datos de facturación de la agencia.
• Rol y permisos dentro de la plataforma.
• Contraseña, almacenada siempre mediante funciones hash irreversibles.

Generados por el uso

• Registros de acceso y de actividad: fecha, hora, dirección IP y acciones realizadas.
• Registro de auditoría de operaciones sensibles: cambios de permisos, transferencias de titularidad y accesos de soporte.
• Datos técnicos de errores, tratados conforme al apartado 7 y conservados según el apartado 9.

De facturación

• Historial de suscripción y pagos. Growing no almacena ni tiene acceso a los datos completos de tarjetas de pago: se procesan directamente por Stripe.

De quien nos escribe

• Datos de contacto y contenido de las comunicaciones de soporte.

No tratamos categorías especiales de datos (salud, ideología, religión, origen étnico, datos biométricos ni orientación sexual) sobre las agencias ni sus usuarios, y el Servicio no está diseñado para ello.

4. Datos que Mando aloja por cuenta de la agencia

A título informativo, los datos que una agencia puede introducir en su espacio de Mando son:

• Contactos: nombre, teléfonos, correo electrónico, tipo (comprador o propietario), etiquetas, origen, notas, criterios de búsqueda y campos personalizados creados por la propia agencia.
• Propiedades: dirección, coordenadas, precio, superficie, características, estado comercial y fotografías.
• Citas: fecha, hora, tipo y personas asociadas.
• Automatizaciones: secuencias de mensajes y su registro de ejecución.

Growing no utiliza estos datos para finalidades propias: ni para publicidad, ni para prospección comercial, ni para entrenar modelos de inteligencia artificial, ni para elaborar análisis que permitan identificar a una agencia o a sus clientes. Su único tratamiento es el necesario para prestar el Servicio y el que la agencia nos instruya.

Responsabilidad de la agencia. Corresponde a cada agencia disponer de base legal para tratar los datos que introduce, informar a los interesados y garantizar que los campos personalizados y las notas libres no se utilizan para recoger datos que no necesita. Growing no controla ni revisa el contenido que las agencias introducen.

5. Integraciones y permisos que solicitamos

Mando se conecta con servicios externos únicamente cuando la agencia o el usuario lo activan de forma expresa. Ninguna integración está activa por defecto. Los permisos solicitados son los mínimos necesarios para la función descrita y no se utilizan para ninguna otra finalidad.

5.1 · Meta — Facebook Lead Ads

Permite que los clientes potenciales generados por los formularios de anuncios de la propia agencia entren automáticamente en su CRM. La conexión la realiza un administrador y es de la agencia, no de la persona que la autoriza.

Qué datos se obtienen y se conservan:

• De la página conectada: identificador, nombre, nombre de usuario, categoría e imagen. Se utilizan para mostrar la página en la pantalla de configuración.
• Del cliente potencial: los campos del formulario que la agencia haya configurado. Mando reconoce y asigna automáticamente nombre, teléfono y correo electrónico para crear el contacto. Se conserva además una copia del formulario tal y como Meta lo entrega, con la única finalidad de poder diagnosticar y corregir errores de asignación de campos.
• De los formularios: identificador, nombre y estado, para que la agencia pueda elegir a qué formulario responde cada automatización.

Qué NO hacemos. Mando pide los permisos que Meta exige para leer los formularios de clientes potenciales de la página, y nada más allá de eso: no creamos, modificamos ni administramos campañas publicitarias. No consultamos estadísticas de anuncios ni de rendimiento. No leemos el contenido publicado por la página, sus comentarios, sus mensajes ni sus listas de seguidores. No publicamos nada en nombre de la agencia. No accedemos a páginas que el administrador no haya conectado expresamente. No combinamos estos datos con los de otras agencias ni los utilizamos para publicidad propia ni para ninguna finalidad de Growing.

Aislamiento. Los datos recibidos se depositan exclusivamente en el espacio de la agencia que realizó la conexión. Una misma página de Facebook no puede estar conectada a dos agencias a la vez.

Seguridad de la recepción. Las notificaciones de Meta se verifican criptográficamente mediante firma antes de ser procesadas; las que no superan la verificación se descartan sin registrarse. La notificación no contiene los datos del cliente potencial: Meta envía únicamente un identificador y Mando solicita después el contenido por un canal autenticado.

Revocación. El administrador puede desconectar la página en cualquier momento desde Mando, lo que cancela la suscripción a las notificaciones y elimina las credenciales almacenadas. También puede revocarse desde la configuración de Facebook.

5.2 · Google Calendar

Cada usuario puede conectar voluntariamente su propia cuenta de Google desde su perfil, para que sus citas de Mando y su calendario estén sincronizados. La conexión es individual —cada persona conecta la suya— opcional y revocable en cualquier momento desde Mando o desde la configuración de la cuenta de Google.

Qué guarda Mando de su calendario. Para poder mostrar esos eventos y mantenerlos actualizados, Mando guarda en su base de datos, de cada evento del calendario conectado, el título, la fecha y la hora de inicio y fin, y el identificador que le asigna Google. No guarda asistentes, ni ubicación, ni descripción, ni archivos adjuntos, ni el contenido de las invitaciones.

Qué ven los demás: lo decide cada usuario. Al conectar su cuenta —y cuando quiera después, desde su perfil— el usuario elige qué ven sus compañeros de agencia de los eventos que no son citas de Mando. Hay tres niveles:

• No compartir nada: sus compañeros no ven ese tramo.
• Compartir solo que está ocupado: ven la hora ocupada, sin título, sin asistentes, sin ubicación y sin descripción.
• Compartir el detalle: ven la cita completa, título incluido.

El nivel por defecto es «solo ocupado», y es también el que se aplica a quien conectó su cuenta antes de que esta elección existiera, hasta que vuelva a conectarla y elija otra cosa. El usuario ve siempre su propio calendario entero. Esta elección existe porque el calendario personal contiene datos de terceros que no tienen relación con Growing ni con la agencia, y quien decide sobre ellos es la persona a la que pertenecen.

Al desconectar la cuenta, Mando deja de leer el calendario y elimina de inmediato las credenciales almacenadas. Las citas que ya se hubieran importado permanecen en la agenda y pueden eliminarse desde Mando o solicitando su supresión conforme al apartado 10.

5.3 · Google Places

Cuando un usuario escribe la dirección de una propiedad, Mando consulta la API de Google Places para ofrecer sugerencias y completar automáticamente calle, código postal, población, provincia y coordenadas.

Se envía a Google únicamente el texto de la dirección que el usuario está escribiendo. No se envían datos de contactos, de propietarios ni de compradores. Esta función solo opera con direcciones en España.

5.4 · Uso limitado de los datos de Google

El uso y la transferencia por parte de Mando de la información recibida de las API de Google se ajustará a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En particular, los datos obtenidos de las API de Google:

• se utilizan únicamente para prestar y mejorar las funciones descritas en los apartados 5.2 y 5.3;
• no se emplean para publicidad de ningún tipo;
• no se venden ni se ceden a terceros, salvo por necesidad operativa, por obligación legal o en el marco de una fusión o adquisición, con el consentimiento del usuario cuando proceda;
• no se utilizan para entrenar modelos de inteligencia artificial generalizados;
• no son accesibles para personas, salvo con el consentimiento expreso del usuario, por motivos de seguridad, para cumplir la ley, o cuando estén agregados y anonimizados.

5.5 · WhatsApp

Una agencia puede vincular su propio número de WhatsApp para que Mando envíe los mensajes de sus automatizaciones.

Mando no es un buzón de WhatsApp y no almacena las conversaciones. Los mensajes entrantes se procesan en el momento y únicamente para dos fines: detectar si la persona ha pedido dejar de recibir mensajes —en cuyo caso se marca la baja y se cancelan los envíos pendientes— y permitir que una secuencia que esperaba respuesta continúe. El contenido de los mensajes no se guarda en la base de datos de Mando. El texto de la respuesta sí se transmite al servicio que ejecuta las automatizaciones, indicado en el apartado 7.

Aviso sobre el método de conexión durante la beta. La vinculación se realiza mediante código QR a través de una pasarela que no forma parte de la plataforma oficial de WhatsApp Business. Este método no está respaldado por WhatsApp y puede dar lugar a la restricción o el bloqueo del número vinculado. Growing lo advierte expresamente a las agencias participantes en la beta y trabaja en la migración a la API oficial de WhatsApp Business antes de la apertura general del Servicio.

6. Finalidades y bases legales

Durante la fase beta no se realizan comunicaciones comerciales a través de Mando dirigidas a los usuarios de las agencias, no se elaboran perfiles y no se adoptan decisiones automatizadas con efectos jurídicos sobre las personas.

Cuando la base es el interés legítimo, se ha realizado la correspondiente ponderación, disponible a petición en la dirección de contacto.

7. Destinatarios y encargados

Growing recurre a los siguientes proveedores. Todos tratan datos por cuenta de Growing, bajo contrato de encargo conforme al artículo 28 del RGPD, y no están autorizados a usarlos para fines propios.

Además, los datos podrán comunicarse a jueces, tribunales, fuerzas y cuerpos de seguridad y administraciones públicas cuando exista obligación legal.

No vendemos ni cedemos datos personales a terceros con fines comerciales.

La lista de encargados puede variar. Cualquier incorporación se comunicará a las agencias con antelación razonable, que podrán oponerse en los términos del DPA.

8. Transferencias internacionales

La infraestructura principal de Mando —servidores, base de datos, fotografías y registro de errores— está alojada en la Unión Europea.

Algunos de los proveedores del apartado 7 son entidades establecidas en Estados Unidos o pueden tratar datos allí. En esos casos la transferencia se ampara en alguna de estas garantías:

• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, acompañadas de la correspondiente evaluación de impacto de la transferencia y de medidas complementarias; o
• la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU., cuando disponga de ella.

Puede solicitar información sobre las garantías aplicables a una transferencia concreta escribiendo a admin@growinginmobiliario.com.

Acceso del proveedor de desarrollo. El acceso de Braves Lab LLC a los sistemas de producción se limita a lo necesario para el mantenimiento y el soporte, queda registrado, y está sujeto a obligación de confidencialidad y a la prohibición de utilizar los datos para fines propios. Los entornos de desarrollo y prueba no contienen datos reales: se utilizan datos sintéticos o seudonimizados.

Inteligencia artificial. Los datos de los clientes no se transmiten a proveedores de inteligencia artificial generativa para ningún fin, ni se utilizan para entrenar modelos.

9. Plazos de conservación

La eliminación se realiza en dos fases: el dato deja de estar disponible de forma inmediata al borrarlo y se elimina de forma definitiva de los sistemas, incluidas las copias de seguridad, al concluir los plazos anteriores.

10. Cómo eliminar sus datos

Puede solicitar la eliminación de sus datos en cualquier momento. Según quién sea usted, el procedimiento es distinto:

Si es usuario de una agencia que utiliza Mando

1. Desde la propia aplicación: el administrador de su agencia puede eliminar su usuario desde Configuración → Usuarios.
2. Escribiéndonos: envíe un correo a admin@growinginmobiliario.com desde la dirección asociada a su cuenta, indicando «Solicitud de eliminación de datos». Confirmaremos la recepción y eliminaremos sus datos en el plazo máximo de 30 días, salvo los que debamos conservar por obligación legal.

Si su agencia quiere eliminar toda su cuenta

Escriba a admin@growinginmobiliario.com desde la dirección del administrador. Dispondrá de 30 días para solicitar una copia de sus datos antes de la eliminación definitiva.

Si conectó su cuenta de Facebook a Mando

Para retirar el acceso y eliminar los datos obtenidos a través de esa conexión:

1. Desconecte la página desde Mando, en Configuración → Integraciones → Facebook → Desconectar. Esto cancela la suscripción a las notificaciones y elimina de inmediato las credenciales almacenadas.
2. Revoque el acceso desde Facebook, en Configuración y privacidad → Configuración → Aplicaciones y sitios web, seleccionando Mando y pulsando «Eliminar».
3. Para eliminar además los datos ya recibidos (los clientes potenciales que entraron en el CRM), escriba a admin@growinginmobiliario.com indicando «Eliminación de datos de Facebook» y el nombre de la página. Los eliminaremos en el plazo máximo de 30 días y se lo confirmaremos por escrito.

Si sus datos figuran en el CRM de una agencia

Si usted es comprador, propietario o cliente potencial y sus datos están en el CRM de una agencia inmobiliaria, la responsable es esa agencia. Diríjase a ella. Si nos escribe a nosotros, trasladaremos su solicitud a la agencia correspondiente y se lo comunicaremos.

11. Seguridad

Growing aplica medidas técnicas y organizativas conforme al artículo 32 del RGPD. Entre otras:

• Aislamiento entre agencias verificado en cada petición. Cada agencia solo puede acceder a sus propios datos. Esta separación se aplica en la propia base de datos mediante políticas de seguridad a nivel de fila, y se verifica con una batería automática de pruebas que se ejecuta en cada cambio del código: si alguna tabla quedara sin protección, la publicación se detiene.
• Cifrado en tránsito mediante TLS en todas las comunicaciones.
• Contraseñas almacenadas con funciones hash irreversibles. Growing no puede consultarlas.
• Credenciales y secretos custodiados en un almacén cifrado, accesible únicamente a través de funciones controladas y nunca en su totalidad por la aplicación.
• Verificación criptográfica de las notificaciones recibidas de terceros antes de procesarlas.
• Identificadores no predecibles en las direcciones web, que no incorporan datos personales ni permiten enumerar registros. El acceso a cualquier recurso exige autenticación y comprobación de permisos en el servidor.
• Control de acceso por roles y permisos configurable por cada agencia.
• Registro de auditoría de las operaciones sensibles.
• Copias de seguridad diarias cifradas, almacenadas fuera del proveedor principal.
• Restricción del acceso administrativo: la titularidad máxima de la plataforma está limitada y solo puede transferirse mediante aceptación expresa de quien la recibe.

Ningún sistema es invulnerable. En caso de violación de seguridad que suponga un riesgo para los derechos de las personas, Growing lo notificará a la AEPD en un plazo de 72 horas y a los afectados cuando el riesgo sea alto, conforme a los artículos 33 y 34 del RGPD.

12. Accesos de Growing a las cuentas de las agencias

Growing puede acceder al espacio de una agencia únicamente en estos supuestos:

1. A petición de la agencia, para resolver una incidencia, configurar el Servicio o realizar una tarea que nos haya encargado.
2. Por necesidad técnica, para diagnosticar y corregir un fallo que afecte al funcionamiento del Servicio.
3. Por obligación legal.

Todo acceso de este tipo se realiza mediante una sesión identificada y queda registrado, con constancia de quién accedió, cuándo y qué hizo. Growing pondrá ese registro a disposición de la agencia que lo solicite.

Growing no accede a los datos de las agencias para fines comerciales, analíticos ni de ningún otro tipo ajeno a los tres supuestos anteriores.

En la vista de administración de la plataforma, el personal de Growing gestiona cuentas, suscripciones y facturación; esa vista no da acceso al contenido del CRM de las agencias.

13. Cookies

Mando utiliza exclusivamente cookies técnicas, necesarias para mantener la sesión iniciada y para la seguridad de la aplicación. Sin ellas el Servicio no puede funcionar.

Mando no utiliza cookies de analítica, de publicidad ni de seguimiento. No hay herramientas de medición de audiencia, ni píxeles publicitarios, ni servicios de grabación de navegación con fines comerciales.

Por tratarse únicamente de cookies técnicas exentas conforme al artículo 22.2 de la LSSI, no se solicita consentimiento para su uso.

14. Sus derechos

Puede ejercer los siguientes derechos escribiendo a admin@growinginmobiliario.com, indicando el derecho que ejerce y acreditando su identidad:

• Acceso: conocer qué datos suyos tratamos.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar su eliminación, conforme al apartado 10.
• Oposición: oponerse a tratamientos basados en interés legítimo.
• Limitación: solicitar que se suspenda el tratamiento mientras se resuelve una reclamación.
• Portabilidad: recibir sus datos en formato estructurado y de uso común. Durante la fase beta esta entrega se realiza de forma asistida a petición del interesado.
• Retirar el consentimiento prestado para una integración, en cualquier momento y sin que ello afecte a la licitud del tratamiento previo.

Responderemos en el plazo de un mes, ampliable en dos meses más si la solicitud es compleja, en cuyo caso se lo comunicaremos.

Si considera que no hemos atendido correctamente su solicitud, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

15. Menores

Mando es una herramienta profesional dirigida exclusivamente a empresas y profesionales del sector inmobiliario. No está dirigido a menores de edad y no recogemos conscientemente sus datos. Si detectamos que una cuenta pertenece a un menor, la eliminaremos.

16. Condición de servicio en pruebas

Mando se encuentra en fase beta cerrada. En consecuencia:

• El acceso se limita a agencias expresamente invitadas, sin coste.
• El Servicio puede presentar fallos, y sus funciones pueden cambiar o retirarse.
• El Servicio solo se ofrece a agencias establecidas en el Espacio Económico Europeo.
• Las agencias participantes reciben una advertencia expresa sobre esta condición antes de introducir datos reales, y la aceptan al darse de alta.

La condición de beta no reduce las garantías de protección de datos. Las obligaciones de seguridad, los plazos de conservación y los derechos descritos en esta política se aplican íntegramente.

17. Cambios en esta política

Esta política se actualizará cuando cambien el Servicio o la normativa. Los cambios sustanciales se comunicarán a las agencias por correo electrónico con al menos 15 días de antelación. La fecha de la última revisión figura al inicio del documento.

18. Contacto

Growing Inmobiliario Group, S.L. Calle Málaga 73, Piso 4 B · 35016 Las Palmas de Gran Canaria · España CIF B27602812 admin@growinginmobiliario.com