Política de privacidad

Actualizado: mayo 2026 · Versión 1.0 · Conforme RGPD y BDSG

Nos alegra tu visita en rentprime.de y por su interés en nuestra oferta. La protección de sus datos personales es para nosotros una cuestión importante. En la presente Política de Privacidad le informamos de manera exhaustiva sobre el tratamiento de sus datos personales durante el uso de nuestro sitio web y de nuestra oferta de Software como Servicio „Rentprime".

1. Verantwortlicher

Responsable del tratamiento conforme al RGPD y demás leyes nacionales de protección de datos:

KRUPKA Concept GmbH
Grabenstraße 18
40789 Monheim am Rhein
Alemania
E-Mail: contact@rentprime.de

2. Delegado de protección de datos

Al no existir obligación legal (§ 38 BDSG) de designar un DPD, no hemos designado uno. Contáctanos para cualquier consulta.

Sicherheitsvorfälle und mutmaßliche Datenschutzverletzungen melden Sie bitte an security@rentprime.de. Wir behandeln Meldungen vertraulich und reagieren innerhalb eines Werktages.

2a. Autoridad de control competente de su país

Usted tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos de su Estado miembro (art. 77 del RGPD o art. 77 del UK GDPR). Los organismos principalmente competentes en función de su lugar de residencia son:

• DE: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) — ldi.nrw.de
• AT: Datenschutzbehörde (DSB) — dsb.gv.at
• CH: Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), DSG/revDSG anwendbar — edoeb.admin.ch
• FR: Commission nationale de l’informatique et des libertés (CNIL) — cnil.fr
• IT: Garante per la protezione dei dati personali (GPDP) — garanteprivacy.it
• ES: Agencia Española de Protección de Datos (AEPD) — aepd.es
• PT: Comissão Nacional de Proteção de Dados (CNPD) — cnpd.pt
• NL: Autoriteit Persoonsgegevens (AP) — autoriteitpersoonsgegevens.nl
• BE: Gegevensbeschermings­autoriteit / Autorité de protection des données (APD/GBA) — autoriteprotectiondonnees.be
• LU: Commission nationale pour la protection des données (CNPD) — cnpd.public.lu
• GB: Information Commissioner’s Office (ICO), UK GDPR + Data Protection Act 2018 — ico.org.uk
• DK: Datatilsynet — datatilsynet.dk
• SE: Integritets­skydds­myndigheten (IMY) — imy.se
• CZ: Úřad pro ochranu osobních údajů (ÚOOÚ) — uoou.cz
• PL: Urząd Ochrony Danych Osobowych (UODO) — uodo.gov.pl

2b. Representante en la Unión y en el Reino Unido

Representante en la UE (RGPD art. 27): Da unsere Niederlassung in Deutschland (EU) ist, ist gemäß Art. 27 Abs. 1 RGPD + LOPDGDD kein zusätzlicher Vertreter erforderlich. Verantwortliche und Kontaktstelle für EU-Datenschutz­anfragen sind die unter Punkt 1 genannten Daten (KRUPKA Concept GmbH, contact@rentprime.de).

Representante en el Reino Unido (UK GDPR art. 27): Dado que ofrecemos activamente servicios también en el Reino Unido (rentprime.co.uk), designaremos a un representante en el Reino Unido antes del lanzamiento público en el Reino Unido (julio de 2026). Hasta el nombramiento formal, las personas con residencia en el Reino Unido pueden dirigirse a nosotros directamente enuk-privacy@rentprime.decon solicitudes conforme al UK GDPR (en particular, Art. 15–22); responderemos dentro del plazo legal de un mes.

Aviso CH: las personas con residencia en Suiza están sujetas a la Ley de Protección de Datos revisada (revDSG, en vigor desde el 01.09.2023). Atendemos las solicitudes conforme a los arts. 25 y ss. de la revDSG en los mismos datos de contacto. Suiza se considera, conforme al derecho de la UE, un tercer país seguro (decisión de adecuación).

3. Información general sobre el tratamiento

3.1 Alcance del tratamiento de datos personales

Tratamos los datos personales solo en la medida necesaria para ofrecer un sitio funcional y nuestros servicios. Tratamiento solo con consentimiento o base jurídica.

3.2 Bases jurídicas para el tratamiento de datos personales

• Art. 6 Abs. 1 lit. a RGPD — consentimiento del interesado
• Art. 6(1)(b) RGPD — ejecución contrato o medidas precontractuales
• Art. 6(1)(c) RGPD — obligación legal (código fiscal/comercial)
• Art. 6 Abs. 1 lit. f RGPD + LOPDGDD — Berechtigtes Interesse

3.3 Supresión de datos y plazo de conservación

Los datos personales se eliminan o bloquean al desaparecer la finalidad. Conservación posible si está prevista por el derecho UE o nacional (en especial § 257 HGB y LGT Art. 70, 6 o 10 años).

4. Provisión del sitio y creación de archivos de registro

4.1 Descripción del tratamiento de datos

Cada vez que se accede a nuestro sitio, el sistema recoge automáticamente datos e información del sistema del dispositivo. Se recogen los siguientes datos:

• IP-Adresse des Nutzers (anonymisiert)
• Fecha y hora del acceso
• Navegador y sistema operativo utilizados
• Página visitada y URL de referencia
• Volumen de datos transferidos

Los datos se almacenan en nuestros archivos de registro. No se almacenan junto con otros datos personales del usuario.

4.2 Rechtsgrundlage

Base jurídica para el almacenamiento temporal de logs: art. 6 ap. 1 f RGPD. Interés legítimo: entrega del sitio, seguridad, optimización.

4.3 Speicherdauer

Los datos de registro se eliminan o anonimizan a más tardar a los 14 días.

5. Hosting

Nuestro sitio web y nuestra oferta SaaS se procesan en la UE (región de base de datos Suecia/Estocolmo, regiones de compute Fráncfort y Estocolmo) con proveedores certificados según ISO 27001; algunos de estos proveedores son sociedades estadounidenses, para las que aplicamos el EU-US Data Privacy Framework (DPF) y/o las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD). En concreto, utilizamos: Vercel Inc. (USA; alojamiento del frontend y de funciones serverless, compute en Fráncfort/fra1 — DPF + SCC), Fly, Inc. (USA; operación de la API de la aplicación api.rentprime.de, compute en Fráncfort/fra — SCC), Supabase Inc. (USA; base de datos de la aplicación en la región de la UE Estocolmo/eu-north-1 — DPF + SCC) así como Cloudflare Inc. (USA; protección CDN, DDoS y WAF — DPF + SCC). Todos los proveedores fueron seleccionados cuidadosamente y obligados contractualmente a cumplir el RGPD + LOPDGDD (contrato de encargado del tratamiento conforme al Art. 28 RGPD + LOPDGDD).

Los datos principales y de los inquilinos se procesan cifrados dentro de la Unión Europea (base de datos en Estocolmo/Suecia). Algunas funciones de IA se procesan a través de Anthropic o Google en los USA; esta transferencia a un tercer país está protegida por el EU-US Data Privacy Framework y las EU-Standardvertragsklauseln (Art. 46 RGPD + LOPDGDD) (véase la sección 12a).

Para las funciones asistidas por IA (asistente Lou, reconocimiento de recibos) llevamos a cabo evaluaciones de impacto relativas a la protección de datos conforme al Art. 35 RGPD + LOPDGDD, así como transfer impact assessments para los encargados del tratamiento en terceros países (Anthropic, Google, Stripe) conforme a la Recomendación 01/2020 del CEPD. Ponemos estos documentos, así como nuestro incident response playbook (Art. 33/34 RGPD + LOPDGDD), a disposición de las autoridades de control y de los interesados, previa solicitud, en datenschutz@rentprime.de zur Verfügung.

6. Registro y cuenta de usuario

Puedes registrarte en nuestro sitio facilitando datos personales. Durante el registro recogemos los siguientes datos:

• Nombre y apellido
• Dirección de correo electrónico
• Contraseña (almacenada cifrada con bcrypt, sin texto plano)
• Telefonnummer (optional)
• Firmendaten (bei gewerblicher Nutzung)

Base jurídica: art. 6 ap. 1 b RGPD (ejecución del contrato). Conservación durante la relación y luego según plazos fiscales y mercantiles (10 años).

7. Ejecución contrato — datos de uso software

Al usar Rentprime, tratas los datos de tus inquilinos como responsable según el RGPD. Somos encargados art. 28 RGPD. Se firma contrato de encargo de tratamiento. /av-vertrag disponible o enviado a petición.

Las siguientes categorías de datos se tratan en el marco del uso del software:

• Datos del inquilino (nombre, domicilio, datos de contacto, IBAN, estado civil para el cálculo de la ocupación de la vivienda)
• Datos del contrato de arrendamiento (inicio del arrendamiento, fin del arrendamiento, renta, pago anticipado de gastos accesorios)
• Datos consumo (calefacción, agua, otros costes por consumo)
• Recibos y facturas (proveedor, tipos de coste, importes)
• Historial de pagos y de comunicación entre arrendador e inquilino

8. Cookies y tecnologías comparables

Nuestro sitio usa cookies y tecnologías similares. Encontrarás los detalles en nuestro banner de cookies y en las secciones siguientes.

8.1 Technisch notwendige Cookies

Usamos cookies técnicamente necesarias (sesión, idioma, CSRF). Base: § 25 ap. 2 n.° 2 TDDDG y art. 6 ap. 1 f RGPD. Esenciales, no desactivables.

8.2 Cookies funcionales

Cookies funcionales sirven para mejorar la UX (p.ej. memorizar filtros, idioma)

8.3 Cookies estadísticas

Actualmente no usamos cookies estadísticas ni de marketing. Si en el futuro integramos (Plausible, Matomo), pediremos consentimiento por banner.

9. Kontaktaufnahme

9.1 Formulario de contacto y correo

Si nos contactas por formulario o correo, tus datos del formulario y contacto se almacenan para tramitar la consulta. No se transmiten sin consentimiento.

El tratamiento se basa en el art. 6 ap. 1 b RGPD si la consulta concierne a contrato o medidas precontractuales. En lo demás, en nuestro interés legítimo art. 6 ap. 1 f RGPD.

9.2 KI-basierter Chatbot (Lou)

En nuestra página de contacto operamos un chatbot basado en IA llamado «Lou». Cuando utiliza el chatbot, sus consultas se procesan para generar una respuesta correspondiente. Para ello recurrimos a los servicios de modelos de lenguaje de Anthropic PBC (USA); en ese contexto tiene lugar una transferencia a los USA. Anthropic está certificada DPF (EU-US Data Privacy Framework, decisión de adecuación de la Comisión Europea de 10.07.2023); además se aplican las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD). Anthropic figura como encargado del tratamiento en el AVV. El tratamiento se realiza exclusivamente para responder a su consulta. Sus entradas no se utilizan, con garantía contractual, para el entrenamiento de los modelos de lenguaje (zero retention/sin entrenamiento según el AVV).

No introduzcas datos personales sensibles (art. 9 RGPD) en el chatbot. Base: art. 6 ap. 1 f RGPD. Puedes salir y escribirnos por correo en su lugar.

10. Zahlungsabwicklung

Para pagos usamos Stripe Payments Europe Ltd. (Irlanda). Con tarjeta, tus datos se transmiten directamente a Stripe; no almacenamos datos de tarjeta. Base: art. 6 ap. 1 b RGPD. stripe.com/de/privacy.

11. E-Mail- und Nachrichtenversand

Para el envío de correos electrónicos transaccionales (p. ej. restablecimiento de contraseña, confirmaciones de contrato) utilizamos principalmente Resend, Inc. (San Francisco, USA) y, como alternativa, Postmark de ActiveCampaign LLC (Chicago, USA). Ambos proveedores están certificados DPF (EU-US Data Privacy Framework); adicionalmente se aplican las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD). Base jurídica: Art. 6 Abs. 1 lit. b und f RGPD + LOPDGDD.

Para la gestión del formulario de newsletter y de leads utilizamos Brevo (Sendinblue SAS, París, Francia). El tratamiento se realiza dentro de la UE; no existe ninguna relación con terceros países. Base jurídica: Art. 6 Abs. 1 lit. a RGPD + LOPDGDD (consentimiento); puede retirar su consentimiento en cualquier momento a través del enlace de baja presente en cada correo electrónico.

Para el envío opcional de SMS y WhatsApp (comunicación con los inquilinos) utilizamos Twilio Inc. (San Francisco, USA). Twilio está certificada DPF; adicionalmente se aplican las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD). Base jurídica: Art. 6 Abs. 1 lit. f RGPD + LOPDGDD (interés legítimo en una comunicación eficiente con los inquilinos) — solo con la comunicación con los inquilinos activada.

12. Destinatarios de tus datos personales

Sus datos solo se transmiten a los encargados del tratamiento indicados a continuación, en la medida necesaria para el desempeño de sus funciones, así como a organismos legalmente obligados o con su consentimiento. Los siguientes encargados tienen acceso a sus datos:

• Vercel Inc. (340 S Lemon Ave #4133, Walnut CA 91789, USA) — Hosting des Frontends und der Serverless-Functions (u. a. /api/geo, /api/newsletter, /api/leads, /api/csp-report, Blog-Cron); Compute-Region Frankfurt (fra1). Drittlandmechanismus: EU-US Data Privacy Framework (DPF) + EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD).
• Fly, Inc. (2261 Market Street #4990, San Francisco CA 94114, USA) — Betrieb der Anwendungs-API api.rentprime.de mit Compute-Region Frankfurt (fra); verarbeitet Kern- und Mieterdaten. Drittlandmechanismus: EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD); Fly ist nicht DPF-gelistet.
• Supabase Inc. (970 Toa Payoh North #07-04, Singapur; Konzernmutter USA) — Hosting der Anwendungs-Datenbank in der EU-Region Stockholm/eu-north-1 (Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc. (101 Townsend St, San Francisco CA 94107, USA) — CDN-, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung; Verarbeitung innerhalb der EU, Konzernanbindung an Stripe, Inc. USA — DPF + SCC).
• Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich — Verwaltung des Newsletter- und Lead-Formulars sowie transaktionaler E-Mail-Versand; Verarbeitung innerhalb der EU (kein Drittland-Mechanismus erforderlich). Rechtsgrundlage: Art. 6 Abs. 1 lit. a RGPD + LOPDGDD (Einwilligung).
• Resend, Inc., San Francisco, USA — Transaktions-Mail-Versand (Passwort-Reset, Vertragsbestätigungen). Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), Chicago, USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., San Francisco, USA — SMS- und WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma (Bank-Sync nach PSD2 — nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).
• Anthropic PBC, San Francisco, USA (KI-Chatbot Lou und Vertrags-Check — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, San Francisco, USA (Claude Vision für Beleg-/OCR-Erkennung — nur bei aktiver Nutzung). Drittlandmechanismus: DPF + SCC.

Con todos los encargados del tratamiento se han suscrito los contratos correspondientes conforme al art. 28 del RGPD.

12a. Transferencia a terceros países

Sus datos principales y de los inquilinos se almacenan y procesan cifrados dentro de la UE (base de datos de la aplicación en Estocolmo/Suecia, compute en Fráncfort y Estocolmo con proveedores certificados según ISO 27001). Dado que para el alojamiento del frontend, la operación de la API, la provisión de la base de datos, el CDN/WAF, el correo transaccional, los SMS/WhatsApp así como algunas funciones de IA recurrimos a proveedores estadounidenses, en esa medida tiene lugar una transferencia a los USA. Están afectados Vercel Inc., Fly Inc., Supabase Inc., Cloudflare Inc., Resend Inc., Postmark (ActiveCampaign LLC), Twilio Inc., Anthropic PBC y Google LLC. Todos los encargados del tratamiento estadounidenses, a excepción de Fly Inc., están certificados bajo el EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea de 10.07.2023); para Fly Inc. y, adicionalmente, para todos los demás se aplican las EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + LOPDGDD) junto con medidas técnicas y organizativas (cifrado en tránsito y at rest, minimización de PII, zero retention/sin entrenamiento garantizado contractualmente con los proveedores de IA). Todos los proveedores mencionados figuran como encargados del tratamiento en el AVV.

Rechtsbehelf nach EO 14086: Betroffene Personen in der EU können sich gegen US-Geheimdienst-Zugriffe auf ihre Daten an den Data Protection Review Court (DPRC) wenden. Erstanlaufstelle ist die zuständige nationale Aufsichtsbehörde (für Deutschland: LDI NRW Düsseldorf, siehe oben), die Beschwerden an die EU-Kommission und an das US Office of the Director of National Intelligence (ODNI) weiterleitet.

13. Ihre Rechte als betroffene Person

Si tus datos personales son tratados, eres interesado conforme al RGPD y tienes los siguientes derechos ante el responsable:

13.1 Auskunftsrecht (Art. 15 RGPD + LOPDGDD)

Puedes solicitar al responsable confirmación del tratamiento de tus datos personales. Si hay tratamiento, puedes pedir más información.

13.2 Derecho de rectificación (Art. 16 RGPD)

Tienes derecho a rectificación y/o complemento ante el responsable si los datos tratados son inexactos o incompletos.

13.3 Derecho de supresión (art. 17 RGPD)

Puedes exigir al responsable la supresión sin demora de tus datos personales, si concurre alguno de los motivos legales.

13.4 Derecho a la limitación del tratamiento (art. 18 RGPD)

Bajo determinadas condiciones, puedes solicitar la limitación del tratamiento de tus datos personales.

13.5 Derecho a la portabilidad (art. 20 RGPD)

Tienes derecho a recibir tus datos personales facilitados al responsable en formato estructurado, de uso común y legible mecánicamente.

13.6 Widerspruchsrecht (Art. 21 RGPD + LOPDGDD)

Tienes derecho a oponerte, por motivos relativos a tu situación, al tratamiento de tus datos basado en el art. 6 ap. 1 e o f RGPD.

13.7 Derecho a retirar consentimiento (Art. 7 ap. 3 RGPD)

Tienes derecho a retirar tu consentimiento en cualquier momento. La retirada no afecta a la licitud del tratamiento realizado hasta entonces.

13.8 Derecho a presentar reclamación ante una autoridad de control (art. 77 RGPD)

Sin perjuicio de otros recursos, tienes derecho a presentar reclamación ante una autoridad de control. La autoridad competente para nosotros es:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de

14. Datensicherheit

Implementamos medidas técnicas y organizativas para proteger tus datos contra pérdida, manipulación y acceso no autorizado.

• Cifrado TLS 1.3 para la transmisión de datos entre el navegador y el servidor
• Cifrado AES-256 de datos sensibles a nivel de base de datos
• Almacenamiento de contraseñas exclusivamente con bcrypt (sin texto plano)
• Autenticación de dos factores (2FA) activable opcionalmente
• Auditorías de seguridad y pruebas de penetración periódicas
• Estrategia de backup con copias off-site cifradas
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)

15. Vigencia y modificación de la política de privacidad

Esta política está vigente, fechada en mayo de 2026. Pueden ser necesarias modificaciones por evolución del sitio o requisitos legales. La versión actual está disponible en el sitio en rentprime.de/datenschutz puedes recuperarlo e imprimirlo.