Política de privacidad

1. Responsable del tratamiento

Studroof (Benhmid Oualid). Contacto: support@studroof.com.

2. Datos recogidos

Cuenta: e-mail, nombre, foto, universidad, fechas, ciudad. Perfil de estudiante: presupuesto, preferencias de convivencia, estilo de vida. Anuncios: dirección, fotos, precio. Mensajes. Pagos vía Stripe — Studroof no almacena ninguna tarjeta. Cohortes Erasmus (cohorts): ciudad, temporada, capacidad — datos técnicos de referencia, no personales. Adhesiones a cohorte (cohort_memberships): user_id, cohort_id, rol (estudiante/anfitrión), estatus Roofer, estado de adhesión (activa/graduada/abandonada), fecha de adhesión. Pagos semestrales (season_payments): user_id, cohort_id, importe, moneda, identificadores de sesión y de intención de pago de Stripe, estado, fecha de pago. Squads Erasmus (squad_memberships): user_id, squad_id, estado pre-llegada/activo/graduado, fecha del último acceso. Temas de conversación (squad_topics): identificadores técnicos (claves i18n), sin datos personales. Posts publicados entre estudiantes (squad_posts): autor, contenido en texto, idioma original, fechas de creación/edición, estado oculto (moderación). Reacciones emoji a los posts (squad_post_reactions): autor, tipo de reacción. Registro de notificaciones de Squad (squad_notification_log): user_id, squad_id, tipo de digest enviado (J-7 / J-1 / llegada), fecha de envío. Registro de recordatorios del Guía (guide_notification_log): user_id, tipo de recordatorio enviado (antes de la llegada J-30 / después de la llegada J+7), fecha de envío. Medición de audiencia sin cookies (Vercel Web Analytics), véase la sección 15. En su caso, herramientas de medición de audiencia sujetas a consentimiento (véase la sección 7): Plausible (recuento de páginas sin cookies de terceros) y Microsoft Clarity, una herramienta de grabación de sesión («session replay») y mapas de calor — un tratamiento más intrusivo que Plausible, que deposita cookies y registra tus interacciones de navegación (movimientos del ratón, clics, desplazamiento); el contenido sensible que escribes se enmascara de forma predeterminada antes de cualquier envío (véase la sección 5). Publicidad y retargeting (Meta Pixel): si lo consientes por separado (un consentimiento publicitario distinto del consentimiento analítico — véase la sección 7), Studroof carga el Meta Pixel (Facebook/Instagram), que transmite a Meta eventos de navegación (páginas vistas, interacciones) para medir la eficacia de nuestros anuncios y mostrarte anuncios de retargeting en Facebook e Instagram. Se trata de una elaboración de perfiles publicitarios entre sitios, una finalidad distinta de la simple medición de audiencia; nunca se activa únicamente con el consentimiento analítico. Registros del servidor: dirección IP, user-agent, fecha. Archivos adjuntos de las conversaciones: imágenes que envías a tu interlocutor en una conversación, almacenadas en un espacio privado (nombre de archivo, tipo, tamaño). Ubicación compartida: cuando eliges compartir tu ubicación en una conversación, coordenadas de geolocalización puntuales (latitud y longitud en el momento de compartir) y la fecha del envío. Studroof no realiza ningún seguimiento de tus desplazamientos y no deduce ninguna dirección a partir de esas coordenadas. Búsqueda de ciudad (autocompletado): cuando escribes el nombre de una ciudad, el texto que introduces es retransmitido por el servidor de Studroof a nuestro proveedor de geocodificación para sugerirte coincidencias; Studroof no transmite tu dirección IP a ese proveedor y solo conserva de tu búsqueda la ciudad elegida y su código de país. Contador de uso de las puestas en contacto (contact_usage_total): tu identificador, el número total de propietarios y compañeros de piso que has contactado desde que creaste tu cuenta, y la fecha de la última actualización. Este contador sirve únicamente para aplicar tus puestas en contacto gratuitas y, si adquieres un Pass, para darte contactos ilimitados. Preferencias de notificación (notification_preferences): tu identificador y tus opciones de recepción de correos (solicitudes, mensajes, resumen semanal, novedades de llegada de tu squad, recordatorios del Guía), con la fecha de la última modificación.

3. Base legal

Consentimiento (creación de cuenta, publicación de posts en una Squad), ejecución del contrato (los eventuales servicios de pago (suscripciones Studroof+ anteriores y Pases Studroof), adhesión al Programa Roofers, intercambio de la información necesaria para tu alojamiento, incluidos los archivos adjuntos de las conversaciones), interés legítimo (prevención del fraude, seguridad de la comunidad incluida la retirada de los contenidos ilícitos denunciados, animación de la comunidad pre-llegada para favorecer la ayuda mutua y el encuentro entre estudiantes de una misma cohorte), obligación legal (conservación contable de los pagos). Para compartir la ubicación: tu consentimiento explícito, recogido en el momento preciso en que decides compartir tu ubicación (RGPD artículo 6(1)(a)); puedes retirar este consentimiento en cualquier momento eliminando el mensaje de ubicación, con la misma facilidad con que lo diste (artículo 7(3)). Para la animación de la comunidad pre-llegada (correos J-7 / J-1 / día de llegada), puedes oponerte en cualquier momento y sin tener que justificarte desde /settings, pestaña Notificaciones (RGPD artículo 21). La oposición surte efecto de inmediato: los envíos siguientes se filtran en el origen. Lo mismo se aplica a los recordatorios del Guía (correos de trámites administrativos activados por tu fecha de llegada, a J-30 antes y J+7 después): enviados por nuestro interés legítimo en ayudarte a instalarte, puedes oponerte en cualquier momento desde /settings, pestaña Notificaciones (RGPD artículo 21), filtrándose la oposición también en el origen.

4. Conservación

Mientras la cuenta esté activa y 30 días tras una solicitud de eliminación. Registros del servidor: 12 meses. Datos de Stripe: según su política de retención. Pagos semestrales (season_payments): 5 años desde la fecha de pago, en aplicación del artículo L102B del Libro de Procedimientos Fiscales francés. Posts publicados en una Squad (squad_posts) y reacciones (squad_post_reactions): se conservan hasta la eliminación definitiva (hard-delete) de la cuenta del autor, luego se eliminan en cascada. Registro de notificaciones de Squad (squad_notification_log): eliminado en cascada cuando la cuenta del destinatario se elimina definitivamente. Preferencias de notificación (notification_preferences): se conservan mientras tu cuenta exista y se eliminan en cascada cuando tu cuenta se elimina definitivamente (hard-delete).

Verificación de estudiante: los documentos justificativos se eliminan en cuanto se toma una decisión; los metadatos del envío y el registro de auditoría de verificación se conservan mientras tu cuenta esté activa y se eliminan o anonimizan cuando eliminas tu cuenta.

Archivos adjuntos de las conversaciones: se conservan mientras el mensaje exista; se eliminan de nuestro almacenamiento cuando eliminas el mensaje o cuando tu cuenta se elimina definitivamente (hard-delete).

Ubicaciones compartidas: se conservan mientras el mensaje exista; las coordenadas se borran cuando eliminas el mensaje o cuando tu cuenta se elimina definitivamente (hard-delete).

Contador de uso de las puestas en contacto (contact_usage_total): se conserva mientras tu cuenta exista y se elimina en cascada cuando tu cuenta se elimina definitivamente (hard-delete).

5. Destinatarios

Vercel (alojamiento y medición de audiencia), Supabase (base de datos), Stripe (pagos), Resend (correos), Plausible (analítica), Microsoft Clarity (grabación de sesión y mapas de calor) — todos bajo un acuerdo de tratamiento conforme al RGPD.

Microsoft Clarity es una herramienta de Microsoft Corporation (Estados Unidos) de grabación de sesión («session replay») y mapas de calor, cargada únicamente tras tu consentimiento analítico (el mismo banner de cookies que Plausible). Microsoft recibe tus interacciones de navegación (movimientos del ratón, clics, desplazamiento, páginas vistas) para producir repeticiones de sesión y mapas de calor agregados. Es un tratamiento más intrusivo que el simple recuento de páginas: Clarity deposita cookies. Como salvaguarda, Clarity enmascara de forma predeterminada el contenido sensible — campos de entrada, direcciones de correo y cifras — directamente en tu navegador, antes de cualquier envío a Microsoft (documentación de Microsoft «Masking content», learn.microsoft.com/en-us/clarity/setup-and-installation/clarity-masking). Esta transferencia fuera de la UE está amparada por las Cláusulas Contractuales Tipo de la Comisión Europea previstas en el Anexo de Protección de Datos de Microsoft (Microsoft Data Protection Addendum); además, Microsoft está certificada en el marco EU-US Data Privacy Framework. Microsoft trata estos datos conforme a su propia declaración de privacidad (privacy.microsoft.com).

Meta Pixel (publicidad): cuando lo consientes por separado, Studroof activa el Meta Pixel, una herramienta publicitaria de Meta. Para este tratamiento, Studroof y Meta Platforms Ireland Limited (Irlanda) actúan como corresponsables del tratamiento en el sentido del artículo 26 del RGPD, para la recogida y la transmisión a Meta de los eventos de navegación (acuerdo de corresponsabilidad de Meta, «Controller Addendum»); esta corresponsabilidad fue consagrada por el Tribunal de Justicia de la Unión Europea para los módulos sociales de terceros (sentencia Fashion ID, C-40/17). Meta utiliza después estos datos para sus propias finalidades publicitarias (medición de conversiones, audiencias de retargeting y audiencias similares), conforme a su propia política de privacidad (facebook.com/privacy/policy). Meta deposita cookies (por ejemplo _fbp). La transferencia a Estados Unidos está amparada por las Cláusulas Contractuales Tipo de la Comisión Europea previstas en el anexo de transferencia de datos de Meta (Meta European Data Transfer Addendum); además, Meta Platforms, Inc. (Estados Unidos) está certificada en el marco EU-US Data Privacy Framework. Puedes retirar tu consentimiento publicitario en cualquier momento desde /account/cookies.

komoot GmbH (Alemania, servicio de geocodificación «Photon», basado en los datos de OpenStreetMap) solo recibe el texto de la ciudad que buscas, con el fin de devolverte sugerencias de autocompletado; Studroof retransmite esta búsqueda desde su servidor, de modo que tu dirección IP nunca se transmite a komoot, y la consulta no está asociada a ninguna cookie ni rastreador. komoot trata esta consulta conforme a su propia política de privacidad (komoot.com/privacy).

La OpenStreetMap Foundation (Reino Unido — país cubierto por una decisión de adecuación de la Comisión Europea —, servicio de geocodificación «Nominatim») solo recibe el identificador público de OpenStreetMap de la ciudad que seleccionas (osm_id) — nunca tu dirección IP ni el texto que escribiste — para que Studroof obtenga el nombre de esa ciudad en tu idioma; Studroof retransmite esta solicitud desde su servidor, de modo que tu dirección IP nunca se transmite a la Fundación, y la solicitud no está asociada a ninguna cookie ni rastreador. La OpenStreetMap Foundation trata esta solicitud conforme a su propia política de privacidad (osmfoundation.org/wiki/Privacy_Policy).

6. Tus derechos

Acceso, rectificación, supresión (vía /account/danger-zone), oposición y portabilidad (exportación JSON). También puedes eliminar tú mismo un mensaje, un archivo adjunto o una ubicación compartida desde la conversación; al eliminarlo se borra el dato correspondiente de nuestros sistemas (y se purga el archivo de nuestro almacenamiento si se trata de un adjunto). Contacto de protección de datos: support@studroof.com. Para oponerte a los correos de llegada de tu squad: /settings, pestaña Notificaciones. Para oponerte a los recordatorios del Guía: /settings, pestaña Notificaciones.

7. Cookies

Consulta la Política de cookies: /legal/cookies. La medición de audiencia de Vercel (Vercel Web Analytics) funciona sin cookies y, por tanto, no aparece en la lista de cookies (véase la sección 15).

8. Seguridad

Cifrado en tránsito (TLS), Row-Level Security de Supabase, cifrado en reposo.

9. Transferencias fuera de la UE

Stripe (EE. UU.) y Resend (EE. UU., envío de correos), bajo las Cláusulas Contractuales Tipo de la Comisión Europea (y, en su caso, el marco EU-US Data Privacy Framework). Vercel (EE. UU., alojamiento y medición de audiencia), bajo las Cláusulas Contractuales Tipo previstas en el acuerdo de tratamiento (DPA) de Vercel. Microsoft Corporation (EE. UU., la herramienta analítica Microsoft Clarity, con consentimiento — véase la sección 5), bajo las Cláusulas Contractuales Tipo previstas en el Anexo de Protección de Datos de Microsoft, estando además Microsoft certificada en el marco EU-US Data Privacy Framework. Meta Platforms, Inc. (EE. UU., el pixel publicitario de Meta, con un consentimiento publicitario distinto — véase la sección 5), bajo las Cláusulas Contractuales Tipo previstas en el anexo de transferencia de datos de Meta, estando además Meta Platforms, Inc. certificada en el marco EU-US Data Privacy Framework.

10. Modificaciones

Cualquier cambio en esta política se publica en esta página.

11. Reclamaciones

Puedes presentar una reclamación ante la CNIL (www.cnil.fr) o tu autoridad local de protección de datos.

12. Afiliaciones con partners

En algunas páginas editoriales, Studroof muestra recomendaciones hacia partners seleccionados (por ejemplo Garantme para la garantía de alquiler, Uniplaces / Spotahome / HousingAnywhere para la búsqueda de alojamiento). Datos recogidos cuando haces clic en un enlace afiliado (tabla affiliate_clicks): marca temporal, identificador del partner pulsado, URL de origen en Studroof, identificador de sesión anónimo (desde la cookie analítica), identificador de usuario (solo si has iniciado sesión — si no, NULL), huella hash SHA-256 de la dirección IP (nunca la IP en claro, con una sal rotada mensualmente) y huella hash SHA-256 del user-agent. Conversiones notificadas por los partners (tabla affiliate_conversions): marca temporal, identificador del partner, importe de la comisión B2B (información contable interna, nunca mostrada a otro usuario). Bases legales (RGPD art. 6): (a) tu consentimiento, recogido a través del banner de cookies, para el seguimiento analítico individualizado (art. 6(1)(a)); (b) el interés legítimo de Studroof para la medición anonimizada de la audiencia de las recomendaciones y para el cálculo de la comisión B2B debida por el partner (art. 6(1)(f)). Finalidades: medir la eficacia editorial de las recomendaciones, calcular la comisión B2B debida por el partner, mejorar la pertinencia de las recomendaciones mostradas. Studroof no realiza ningún perfilado comercial, ninguna reventa de datos ni ningún retargeting publicitario. Destinatarios: Studroof (responsable del tratamiento); los partners afiliados (Garantme, Uniplaces, Spotahome, HousingAnywhere) — únicamente en el momento en que haces clic en el enlace partner y tu navegador es redirigido a su sitio, conforme a su propia política de privacidad (enlace a las condiciones del partner mostrado en cada tarjeta); los subencargados técnicos de Studroof: Supabase (alojamiento de base de datos, UE), Sentry (monitorización), Upstash (rate-limit). Ninguna transferencia fuera de la UE se realiza sin las Cláusulas Contractuales Tipo de la Comisión Europea. Conservación: clics afiliados 24 meses máximo (auditoría editorial + recomendaciones); conversiones 5 años (obligaciones contables, artículo L102B del Libro de Procedimientos Fiscales francés). En caso de eliminación definitiva (hard-delete) de tu cuenta, el campo user_id de los clics se pone a NULL — la estadística editorial se conserva, pero ya no está vinculada a ti. Tus derechos (RGPD art. 13, 15, 17 y 20): puedes acceder a tus clics afiliados a través de la exportación JSON (affiliateClicks[] incluido en la exportación de /account), solicitar su supresión vía /account/danger-zone (anonimización user_id → NULL) y desactivar el seguimiento analítico en cualquier momento desde /account/cookies. Aviso de comisión (DSA art. 26 y Código de Consumo francés L. 121-1): Studroof recibe una comisión por parte del partner si reservas o te suscribes a través de un enlace afiliado. No afecta al precio que pagas. Studroof no interviene en el contrato celebrado entre tú y el partner, no negocia el precio y no cobra ninguna comisión sobre tu alquiler.

13. Programa Alumni & Embajadores

Programa Alumni & Embajadores (a partir del final de tu estancia Erasmus): estado alumni (próxima / activa / graduada / alumni / dormida), fecha de opt-in alumni, ciudad Erasmus de origen, fechas de llegada y de salida por estancia (tabla student_stays), registro de auditoría del consentimiento alumni (tabla alumni_consent_log: identificador de la estancia afectada, acción — opt-in / opt-out / purge —, finalidad — retención alumni o derecho de supresión —, huella hash SHA-256 de tu dirección IP en el momento del clic en el email J+0, marca temporal, fuente — email_link). Ningún dato sensible (RGPD Art. 9) se recoge en el marco del programa. Bases legales (RGPD Art. 6): (a) tu consentimiento, recogido explícitamente al hacer clic en el botón «Hazte Alumni Studroof» del email J+0 enviado al final de tu estancia, para la conservación activa de tu cuenta alumni y el envío de comunicaciones posteriores a la estancia (Art. 6 §1.a); (b) el interés legítimo de Studroof en conservar los datos de tu pasaporte Erasmus tras tu estancia, para que puedas reactivarlo o añadir futuras estancias, y para la continuidad de la red alumni — sin ningún tratamiento activo mientras no actúes (sin emails de embajador, sin perfilado) (Art. 6 §1.f, balancing test documentado internamente). Finalidades: conservación del pasaporte Erasmus multi-estancia, recomendaciones entre ciudades a los estudiantes entrantes, comunicaciones posteriores a la estancia, animación de la red alumni. Studroof no realiza ningún perfilado comercial, ninguna reventa de datos ni ningún retargeting publicitario a partir de tus datos alumni. Destinatarios: Studroof (responsable del tratamiento); los subencargados técnicos de Studroof: Supabase (alojamiento de base de datos, UE), Resend (envío de los emails alumni), Sentry (monitorización). Ninguna transferencia fuera de la UE se realiza sin las Cláusulas Contractuales Tipo de la Comisión Europea. Conservación: al final de tu estancia Erasmus, si no activas el programa Alumni mediante el botón «Hazte Alumni Studroof» del email J+0 en un plazo de 30 días, la estancia pasa a reposo (estado dormant: solo lectura, sin notificaciones). A día de hoy, Studroof todavía no elimina automáticamente los datos de una estancia en reposo: se conservan hasta que tú los elimines. Si activas el programa Alumni, tu pasaporte de esa estancia se conserva mientras exista tu cuenta (a día de hoy no se aplica ninguna supresión por inactividad). Las únicas supresiones definitivas disponibles hoy son las que activas tú mismo: la supresión de una estancia desde /me/alumni, que elimina la fila student_stays correspondiente; y la supresión de tu cuenta vía /account/danger-zone, que elimina tus estancias (tabla student_stays) así como tu registro alumni_consent_log, ambos vinculados a tu perfil por una clave foránea ON DELETE CASCADE. Studroof aún no ha fijado una política de limitación del plazo de conservación (RGPD Art. 5 §1.e) para estos datos: mientras no se adopte, no se produce ninguna supresión automática. Los plazos se indicarán en esta página en cuanto se adopten. Tus derechos (RGPD Art. 7 §3, 13, 15, 17 y 20): puedes retirar tu consentimiento al Programa Alumni & Embajadores en cualquier momento desde /me/alumni — con exactamente la misma simplicidad que la adhesión, sin justificación (Art. 7 §3, anti-dark-pattern alineado con la resolución de la CNIL SAN-2022-009). La retirada implica la pausa de tu cuenta o su supresión definitiva — tú eliges. Puedes acceder a tu registro de consentimiento alumni a través de la exportación JSON (alumni_consent_log filtrado por tu identificador) y solicitar la supresión completa de tu pasaporte vía /account/danger-zone: suprimir tu cuenta borra tanto tus estancias como tu registro de consentimiento, cada uno vinculado a tu perfil por una clave foránea ON DELETE CASCADE. En cambio, suprimir una sola estancia CONSERVA la fila de registro correspondiente, cuyo identificador de estancia simplemente se pone a NULL: es la prueba, exigida por el artículo 5 §2, de que tu solicitud de supresión se recibió y se ejecutó.

14. Verificación del estatus de estudiante

Para proteger a la comunidad frente a los perfiles falsos, Studroof permite a los estudiantes demostrar su estatus de estudiante Erasmus para obtener un distintivo «Estudiante verificado», a elegir mediante correo universitario (código de un solo uso) o mediante un documento justificativo.

Datos tratados con esta finalidad: (correo universitario) la dirección de correo universitario que introduces, un código de un solo uso (almacenado únicamente como huella SHA-256 con sal, válido 15 minutos, de un solo uso) y su fecha de verificación; (documento) el documento que subes (certificado Erasmus, certificado de matrícula, carné de estudiante u «otro») — te pedimos que ocultes cualquier información que no sea necesaria para acreditar tu estatus. Los archivos se almacenan en un bucket PRIVADO (verification-docs); nunca son públicos, solo son accesibles para el equipo autorizado de Studroof mediante enlaces firmados de corta duración, y se ELIMINAN en cuanto se toma una decisión (aceptación, rechazo o solicitud de reenvío), así como cuando un nuevo envío sustituye a uno anterior; (metadatos y registro de auditoría) método utilizado, tipo de documento, estado, fecha de la decisión, miembro del equipo que decidió y el motivo de rechazo cuando proceda.

No solicitamos ni tratamos a sabiendas datos sensibles (RGPD Art. 9). Una foto en un carné de estudiante es objeto de una revisión visual humana y nunca se utiliza con fines de identificación biométrica.

Base legal: el interés legítimo de Studroof en prevenir el fraude y garantizar la seguridad de la comunidad (RGPD Art. 6(1)(f); véase el considerando 47, que reconoce la prevención del fraude como un interés legítimo). Una ponderación de intereses (balancing test) está documentada internamente.

Destinatarios: el equipo autorizado de Studroof (revisión); Supabase (almacenamiento privado y base de datos); Resend (envío del correo con el código). Consulta la sección 9 para las transferencias fuera de la UE.

Conservación: los documentos justificativos se eliminan en cuanto se toma una decisión. Los metadatos del envío y el registro de auditoría se conservan mientras tu cuenta esté activa y se eliminan o anonimizan cuando eliminas tu cuenta, para poder justificar una decisión y detectar intentos de fraude reiterados mientras usas Studroof.

Tus derechos: puedes acceder a tus datos de verificación y exportarlos mediante la exportación JSON (/account), solicitar su rectificación y obtener su supresión (vía /account/danger-zone o retirando una solicitud en curso). Mientras una solicitud está en revisión, no puedes eliminar tú mismo la prueba para que no pueda alterarse antes del examen; el documento se elimina automáticamente una vez tomada la decisión.

⚠️ Borrador — revisión de abogado pendiente.

15. Medición de audiencia (Vercel Web Analytics)

Studroof mide la audiencia de su sitio con Vercel Web Analytics, una herramienta sin cookies. No se deposita ni se lee ninguna cookie, ningún identificador publicitario ni ningún rastreador en tu dispositivo, y no se elabora ningún perfil publicitario. En cada página vista, se tratan de forma agregada las siguientes informaciones: la página consultada, el sitio o el enlace de origen (referente), los parámetros de campaña (UTM), el país, la región y la ciudad estimados a partir de tu dirección IP, el tipo de dispositivo, el sistema operativo y el navegador. Tu dirección IP no se conserva: solo sirve, en el momento de la visita, para generar un identificador técnico con hash que Vercel elimina automáticamente al cabo de 24 horas; las estadísticas siguen siendo agregadas y no permiten volver a identificarte.

También seguimos un evento de conversión «inscripción a la lista de espera», al que se asocian únicamente informaciones no identificativas: tu rol (estudiante o propietario), la fuente y el canal de llegada (procedentes de los parámetros UTM o del sitio de origen, o «directo» en su defecto) y una indicación de si se ha facilitado una ciudad (sí/no). Ni tu dirección de correo electrónico, ni tu nombre, ni el nombre de tu ciudad o de tu universidad se transmiten a Vercel; tu correo de inscripción a la lista de espera se almacena por separado en nuestra base de datos y está cubierto por las secciones 2 a 6.

Base legal: el interés legítimo de Studroof en comprender la audiencia de su sitio y mejorar su servicio (RGPD artículo 6(1)(f)). Como esta medición no inscribe ni lee ninguna información en tu equipo terminal, no requiere consentimiento previo; es distinta de las cookies analíticas sujetas a consentimiento mencionadas en la sección 7. Puedes oponerte a este tratamiento en cualquier momento (RGPD artículo 21) escribiendo a support@studroof.com.

Encargado del tratamiento y transferencia fuera de la Unión Europea: Vercel Inc. (Estados Unidos), que además aloja el sitio. Esta transferencia está regulada por las Cláusulas Contractuales Tipo de la Comisión Europea previstas en el acuerdo de tratamiento (DPA) de Vercel.

16. Anfitriones y anuncios de alojamiento

Cuando publicas un anuncio de alojamiento como anfitrión (particular, residencia o agencia), Studroof trata los datos descritos a continuación, de conformidad con el artículo 13 del RGPD.

Datos que recopilamos: tu identidad y datos de contacto (nombre, dirección de correo electrónico y número de teléfono si lo indicas); la dirección y ubicación del inmueble (calle, ciudad, coordenadas de geolocalización derivadas de la dirección que introduces); las fotos del alojamiento que subes; las características del inmueble (tipo, superficie, número de habitaciones, equipamiento, alquiler, gastos, disponibilidad); y, para anfitriones profesionales (residencias, agencias), la razón social y el número SIRET.

Finalidades: publicar y mostrar tu anuncio, permitir que los estudiantes interesados te contacten, garantizar la seguridad de la comunidad y luchar contra el fraude.

Base jurídica: la ejecución del contrato entre tú y Studroof cuando solicitas la publicación de tu anuncio y la puesta en contacto con estudiantes (RGPD artículo 6(1)(b)); para anfitriones profesionales, el cumplimiento de nuestras obligaciones legales, en particular contables (RGPD artículo 6(1)(c)); la lucha contra el fraude se basa en nuestro interés legítimo (artículo 6(1)(f)).

Visualización pública: cuando se publica un anuncio, tu nombre, tu foto de perfil (avatar), la ubicación del inmueble y las fotos del alojamiento se MUESTRAN PÚBLICAMENTE en la página del anuncio, visibles para cualquier persona que lo consulte. Publica únicamente información y fotos que aceptes hacer públicas y sobre las que tengas los derechos. Tu dirección de correo electrónico y tu número de teléfono nunca se muestran públicamente: los intercambios pasan por la mensajería de Studroof. Estos anuncios públicos también son indexables por los motores de búsqueda: véase la sección 17. La exposición de estas páginas a los agentes de inteligencia artificial se describe en la sección 18.

Autocompletado de dirección: cuando escribes la dirección del inmueble, el texto introducido es transmitido por el servidor de Studroof (nunca directamente por tu navegador) al servicio público de geocodificación de la Base Nacional de Direcciones francesa, gestionado por el IGN — el instituto geográfico nacional francés — a través de la Géoplateforme (data.geopf.fr), para sugerirte direcciones. Tu dirección IP no se transmite al IGN, la consulta no está asociada a ninguna cookie ni rastreador, y este tratamiento se realiza en Francia (sin transferencia fuera de la Unión Europea).

Destinatarios: los estudiantes que consultan tu anuncio (solo para los datos públicos anteriores); los encargados técnicos de Studroof (Vercel para el alojamiento, Supabase para la base de datos y el almacenamiento de fotos, en la Unión Europea); el IGN para el autocompletado de direcciones. Véanse las secciones 5 y 9.

Plazo de conservación: tus anuncios se conservan mientras exista tu cuenta; puedes retirar un anuncio en cualquier momento. Al eliminar definitivamente (hard-delete) tu cuenta, tus anuncios y sus fotos se eliminan.

Tus derechos: acceso, rectificación, supresión, oposición y portabilidad (véase la sección 6). Puedes modificar o retirar un anuncio en cualquier momento desde tu espacio de anfitrión.

⚠️ Borrador — revisión de abogado pendiente.

17. Anuncios públicos: marketplace, traspasos e indexación por los motores de búsqueda

Además de los anuncios de anfitriones (sección 16), otros contenidos que publicas se muestran públicamente en Studroof, consultables sin cuenta por cualquier visitante. Studroof trata estos datos para ejecutar el servicio que solicitas — publicar un anuncio consultable (RGPD artículo 6, apartado 1, letra b) — exponiendo solo el mínimo necesario (artículo 5, apartado 1, letra c).

Anuncios de objetos entre estudiantes (/marketplace): se muestran públicamente tu nombre, tu foto de perfil (avatar) y el barrio de recogida del objeto, además del título, la descripción, el precio y las fotos del objeto.

Traspasos entre estudiantes (/rooms): cuando un estudiante que se marcha cede su vivienda, se muestran públicamente su nombre, su foto de perfil, su ciudad, su barrio y la fecha de disponibilidad de la vivienda.

En todos los casos, nunca se muestran públicamente: tus apellidos, tu correo electrónico, tu número de teléfono, tu fecha exacta de salida, tu nacionalidad o país de origen, y la dirección exacta. El contacto siempre pasa por una cuenta: un visitante debe iniciar sesión para contactarte.

Indexación por los motores de búsqueda: como estas páginas son públicas, todos los anuncios publicados en Studroof — anuncios de anfitriones (sección 16), traspasos y anuncios del marketplace — pueden ser rastreados e indexados por los motores de búsqueda (por ejemplo Google), que pueden mostrarlos en sus resultados, conservar una copia en caché y presentarlos fuera del contexto de Studroof. Para esa indexación, un motor de búsqueda actúa como responsable del tratamiento autónomo (Tribunal de Justicia de la Unión Europea, sentencia Google Spain, C-131/12).

Supresión y caché de terceros: cuando retiras un anuncio, desaparece de Studroof de inmediato, pero una copia ya almacenada en caché por un tercero (un motor de búsqueda) puede subsistir temporalmente; no podemos borrarla por ti en ese tercero. Puedes entonces solicitar directamente al motor de búsqueda la desindexación de la página (derecho a la desindexación, misma sentencia C-131/12).

Agentes de inteligencia artificial: estas mismas páginas públicas también pueden ser rastreadas por agentes automatizados de inteligencia artificial, cuyos efectos y límites difieren de los de un motor de búsqueda. Se describen en la sección 18.

Tus derechos: puedes retirar un anuncio desde tu cuenta en cualquier momento, lo que lo hace no público en Studroof de inmediato, y solicitar la supresión de tus datos en /account/danger-zone (RGPD artículo 17). La publicación en sí se basa en la ejecución del contrato que solicitas (artículo 6, apartado 1, letra b): las palancas directas son, por tanto, la retirada del anuncio y la supresión. El derecho de oposición del artículo 21 se aplica, en cambio, a la exposición a los agentes de inteligencia artificial, basada en nuestro interés legítimo (véase la sección 18). Véase también la sección 6.

⚠️ Borrador — revisión de abogado pendiente.

18. Agentes de inteligencia artificial (rastreo, citación y entrenamiento de modelos)

Las páginas públicas descritas en las secciones 16 y 17 no solo son rastreadas por los motores de búsqueda: también pueden serlo por agentes automatizados de inteligencia artificial. Estos agentes no son equivalentes y las consecuencias para ti no son las mismas según la familia a la que pertenecen. La lista de agentes autorizados y bloqueados se publica en el archivo /robots.txt de Studroof, que es la referencia.

Agentes de búsqueda y de citación — por ejemplo OAI-SearchBot y ChatGPT-User (ChatGPT), Claude-SearchBot y Claude-User (Claude), PerplexityBot y Perplexity-User (Perplexity). Consultan una página pública en el momento en que alguien formula una pregunta, para responderla citando la fuente y remitiendo a Studroof. La consulta es puntual y sigue vinculada a la página de origen: si retiras tu anuncio, la página desaparece y el agente no la encuentra en su siguiente pasada. Estos agentes están autorizados.

Agentes de entrenamiento de modelos — por ejemplo GPTBot, ClaudeBot y anthropic-ai, Google-Extended, Applebot-Extended. Recopilan páginas públicas para entrenar o enriquecer modelos de inteligencia artificial. Aquí la recopilación no es puntual: el contenido puede incorporarse a un modelo, desligado de la página de origen y sin cita alguna. Estos agentes no están autorizados en las páginas de anuncios: las secciones /rooms y /marketplace están cerradas para ellos. Solo pueden acceder a las páginas editoriales de Studroof (blog, páginas informativas, páginas para propietarios), que no contienen anuncios de usuarios.

Corpus redistribuidos — el agente CCBot (Common Crawl) está totalmente bloqueado desde el 29 de julio de 2026. Ese corpus es un archivo público de la web, redistribuido a reutilizadores que no conocemos: no cita sus fuentes, no envía ninguna visita y una copia ya difundida no puede recuperarse. Por eso hemos decidido no poner nada a su disposición.

Finalidad y base jurídica: esta exposición persigue el interés legítimo de Studroof en dar a conocer su servicio y en hacer que sus páginas públicas sean localizables, incluso por los asistentes de inteligencia artificial que los estudiantes utilizan hoy para preparar su llegada (RGPD artículo 6, apartado 1, letra f). Es distinta de la publicación en sí, que tú solicitas y que se basa en la ejecución del contrato (artículo 6, apartado 1, letra b — véanse las secciones 16 y 17).

Un límite que debemos exponerte con franqueza: los remedios no funcionan igual según la familia de agentes. Para un motor de búsqueda, la desindexación es posible (véase la sección 17). Para un modelo ya entrenado, no: si un contenido se ha recopilado y luego se ha incorporado a un modelo, ni tú ni Studroof podemos conseguir que se extraiga — no controlamos ni esos modelos ni las empresas que los publican. La medida prevista por el RGPD cuando los datos se han hecho públicos — informar a los demás responsables del tratamiento de tu solicitud de supresión (artículo 17, apartado 2) — no tiene aquí un efecto equivalente a la desindexación. Dicho de otro modo: tu derecho de supresión (artículo 17) y tu derecho de oposición (artículo 21) producen efectos hacia el futuro, no retroactivamente sobre un modelo ya entrenado. Preferimos decírtelo antes que prometerte un resultado que no podríamos obtener.

Lo que puedes obtener en cualquier momento, y lo que hacemos entonces: (a) retirar o despublicar tu anuncio desde tu cuenta — deja de ser público de inmediato y ya no se recopila en las pasadas siguientes; (b) oponerte a esta exposición (RGPD artículo 21) escribiendo a support@studroof.com — no te exigimos ninguna justificación: excluimos entonces tus páginas de la indexación y del rastreo por estos agentes, hacia el futuro; (c) solicitar la supresión de tus datos en /account/danger-zone (artículo 17); (d) solicitar a un motor de búsqueda la desindexación de una página (véase la sección 17). Estas solicitudes se tramitan hacia el futuro, con la reserva expuesta en el párrafo anterior.

Lo que nunca se expone: las superficies accesibles solo tras iniciar sesión — tu cuenta, tu perfil, tus mensajes y sus archivos adjuntos, tus ubicaciones compartidas, tus solicitudes de verificación, el espacio de anfitrión, la administración — están excluidas de todos estos agentes sin excepción, incluidos los autorizados, con las mismas reglas aplicadas a los motores de búsqueda. Ninguno de estos agentes recibe tus apellidos, tu correo electrónico, tu número de teléfono ni la dirección exacta de una vivienda: esa información no figura en las páginas públicas (véanse las secciones 16 y 17).

Por último, estas reglas son instrucciones públicas dirigidas a los agentes: las siguen quienes las leen y las respetan, pero no pueden impedir técnicamente que un actor decida ignorarlas. Como en toda publicación en línea, publica únicamente información y fotos que aceptes hacer públicas.

⚠️ Borrador — revisión de abogado pendiente.