Política de privacidad

El responsable del tratamiento de los datos que describe esta política es Jobchain ID, S.L.U. (CIF B10734804), con domicilio social en Calle Tarongers 3, 46680 Algemesí (Valencia), España, e inscrita en el Registro Mercantil de Valencia, tomo 11197, folio 13, hoja V-205198. En esta política, «Jobchain ID» y «nosotros» se refieren a esa sociedad, que es distinta de las que prestan otros servicios en jobchain.com.

Contacto de privacidad: privacidad@jobchain.com.

Cuando una empresa usa Jobchain ID para tratar tus datos, la responsable es ella: ver «Empresas que usan Jobchain ID».

Puedes empezar a usar la app sin dar tu nombre, tu correo ni tu teléfono: tu identidad se crea en el móvil a partir de una frase de recuperación. En nuestros servidores tratamos solo lo necesario para cada función:

• Identificador descentralizado (DID) y clave pública, para crear y proteger tu identidad y tus sesiones.
• Correo electrónico y teléfono (opcionales), si los verificas: te enviamos un enlace o un código y te emitimos una credencial que lo acredita.
• Verificación de tu documento (opcional). El móvil lee el chip del documento y nos envía una vez los datos que contiene, firmados por el país emisor: los datos de la página de identidad (nombre, apellidos, fecha de nacimiento, nacionalidad, número, tipo, país emisor y caducidad) y la foto del chip. Con ellos comprobamos que el documento es auténtico y no está manipulado y te emitimos tus credenciales de identidad. No los guardamos: viven, cifrados, solo durante la emisión (unos minutos como máximo). Lo que sí conservamos:
  • dos huellas con clave (HMAC): una del documento (país, tipo y número) y otra de los datos de identidad (apellidos, nombre, fecha de nacimiento y caducidad). Sirven para que un mismo documento no pueda verificar varias identidades a la vez. No se pueden invertir sin una clave secreta que guardamos aparte, pero son datos personales seudonimizados y los protegemos como tales;
  • el país emisor, el tipo y la caducidad del documento, tu nacionalidad, la fecha y el método de verificación y el resultado de la autenticación del chip;
  • el resultado de la comparación facial y de la prueba de vida (puntuaciones) y una huella (hash) del patrón facial calculado en tu móvil, que no permite reconstruir tu cara y que queda en los registros técnicos.
• Credenciales que te emitimos (identidad, documento, correo, teléfono): las firmamos y te las entregamos. De las de identidad y documento guardamos un registro con el tipo, las fechas, el estado y una huella criptográfica, no su contenido. De las de correo y teléfono guardamos la credencial completa, con tu dirección o tu número, hasta que borres tu cuenta. Si los cambias, la anterior queda revocada y se guarda igual.
• Atestación del dispositivo (Apple App Attest o Google Play Integrity), para impedir verificaciones hechas desde apps manipuladas.
• País de residencia (opcional), si completas la verificación de residencia.
• Cartera. La cartera es no custodiada: no guardamos tus claves ni tus fondos. Tratamos las direcciones públicas que la app registra para mostrarte saldos e historial y para que te puedan pagar y, si lo activas, el nombre de cobro que quien te paga puede ver. Si cobras como negocio con Jobchain Pay: las personas que autorizas a cobrar en tu nombre (su DID y el nombre que les pongas), los recibos cifrados de cada cobro unidos a la firma de su transacción y tu carta de productos. Para los pagos, una marca de si la dirección está afectada por sanciones internacionales y la fecha de la comprobación.
• Perfil de mensajería: tu alias y, si los pones, el nombre y la foto que elijas, junto con tu DID, la dirección de cartera con la que te escriben y tu identificador en la red de mensajería.
• Llamadas de voz y vídeo, desde la app o desde la versión web: quién llama a quién, cuándo, si es con vídeo, si se contestó y si se hizo desde la app o desde la web, y el token de aviso de tu móvil y si es iPhone o Android, para que la llamada suene aunque la app esté cerrada. Si te pedimos confirmar un navegador en tu móvil, además una copia temporal de su tipo y su sistema. Nunca la voz, el vídeo ni la clave de la llamada.
• Avisos (notificaciones push), si los activas: el token de tu dispositivo, las conversaciones de las que quieres avisos y un registro de cada aviso (quién escribe a quién, cuándo y si se entregó; nunca el contenido).
• Recuento de firmas: un identificador de cada firma y el mes (nunca el documento), para aplicar los límites de tu plan.
• Copia cifrada del historial de mensajes, solo cuando vinculas un navegador (ver «Mensajería, correo y calendario»).
• Navegadores que vinculas: de cada uno, junto con tu identificador, su tipo y su sistema, sus claves públicas, su identificador en la red de mensajería y cuándo lo vinculaste o lo diste de baja, para enseñártelo en el móvil. Al desconectarlo, esos datos no se borran: siguen hasta que borres tu cuenta. Mientras apruebas un inicio de sesión con QR, también el país y la ciudad aproximados del navegador y una huella con clave de su IP, para enseñarte desde dónde se pide; se borran como mucho en un día.
• Sesiones con QR (iniciar sesión o compartir datos con una empresa): un registro con tu identificador, su estado y la dirección IP del móvil que escanea el QR.
• Planes de pago: tu DID y los datos de la compra que nos facilita la tienda o Stripe (producto, fechas, estado e importe). Si compras en la web, tu correo y los datos de facturación.
• Panel de empresa: de las personas que gestionan una organización, su DID, nombre, correo, rol y un registro de lo que hacen (con la dirección IP). De la organización, su razón social, NIF, domicilio, dominio y los datos de su verificación.
• Datos técnicos y de seguridad: la dirección IP, el navegador y la fecha de las peticiones a nuestros servidores, en sus registros técnicos, y de las operaciones sensibles, en los registros de seguridad.
• Lo que nos escribas cuando pides ayuda o denuncias un contenido.

¿Qué es obligatorio? Solo el DID y la clave pública, que la app crea por ti. Todo lo demás es opcional: si no lo das, la app sigue funcionando y solo pierdes la función correspondiente (por ejemplo, sin verificar tu documento no tendrás el nivel de identidad verificada).

La comparación de tu cara con la foto del chip y la prueba de vida se hacen solo en tu móvil. Nunca recibimos ni guardamos imágenes de tu cara. Nos llegan solo el resultado (las puntuaciones) y una huella del patrón facial que no permite reconstruirla. La foto del chip nos llega una vez, para comprobar la firma del documento, y no se usa para reconocerte ni se guarda.

La base jurídica de este tratamiento es tu consentimiento explícito (art. 9.2.a del RGPD). Puedes retirarlo cuando quieras, sin que eso afecte a lo hecho antes: borrando tu cuenta desde la app (Ajustes › «Eliminar cuenta»), que elimina de nuestro servidor las puntuaciones y los datos de la verificación, o escribiendo a privacidad@jobchain.com. La huella que quedó en los registros técnicos se borra a los 90 días. Sin este consentimiento no podrás tener el nivel de identidad verificada.

Cuando tratamos datos por cuenta de una empresa, la base jurídica la decide esa empresa: ver «Empresas que usan Jobchain ID».

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma significativa. Si una verificación no se completa, puedes repetirla o escribirnos para que la revise una persona.

Es opcional: solo funciona si la activas y das permiso de ubicación a la app.

• Mientras está activada y la app está abierta, la app toma tu ubicación como mucho cada 4 horas, también de noche, porque el lugar donde duermes es lo que indica dónde vives.
• En tu móvil se guarda solo una huella de la zona (de unos 5 km), el país y la hora de cada muestra, durante 90 días. Nosotros no recibimos tu ubicación; si completas la verificación, solo nos llega el país.
• Para saber en qué país está cada muestra, la app envía las coordenadas de ese momento, junto con tu dirección IP, al servicio Nominatim de la OpenStreetMap Foundation (Reino Unido), que le devuelve el país.
• Puedes detenerla en la app o quitar el permiso de ubicación cuando quieras.

• Los mensajes, el correo y las invitaciones de calendario se cifran de extremo a extremo en tu dispositivo y viajan por la red abierta XMTP, que operan terceros: ni nosotros ni ellos podemos leer su contenido, aunque la red sí ve datos técnicos (qué identificadores se comunican y cuándo).
• Para avisar a quien recibe un mensaje, la app de quien lo envía llama a nuestro servidor de avisos, que recibe quién escribe, a quién, en qué conversación y el identificador del mensaje, nunca su contenido, y se lo hace llegar al destinatario como notificación.
• Cuando vinculas un navegador, tu móvil puede subir a nuestro servidor una copia cifrada de tu historial para pasarla a ese navegador. Se cifra en tu móvil con una clave que no tenemos, se guarda en Amazon Web Services en Fráncfort (Alemania) y se borra a las 72 horas.
• Llamadas de voz y vídeo. Puedes llamar desde la app y, cuando esté disponible, desde la versión web (id.jobchain.com). La voz y el vídeo se cifran de extremo a extremo en tu dispositivo con una clave propia de cada llamada, que se crea en el dispositivo de quien llama y viaja por la mensajería cifrada: ni nosotros ni LiveKit, la empresa que transporta las llamadas, podemos oírlas ni verlas. No se graban. La app y la web solo reproducen lo que llega cifrado. Para llamar o contestar desde la web, tu navegador te pide permiso para usar el micrófono y, en las videollamadas, la cámara; el navegador puede recordar ese permiso para id.jobchain.com hasta que lo quites en sus ajustes. Lo que no va cifrado son los datos necesarios para conectar la llamada:
  • Jobchain ID registra quién llama a quién, cuándo, si es con vídeo, si se contestó y si se hizo desde la app o desde la web, con seudónimos que cambian cada día y que nosotros podemos relacionar con tu cuenta. Esos registros se conservan hasta 90 días. En la base de datos, a quién llamaste se olvida a los pocos minutos y el resto de la llamada se borra en torno a una hora. Nuestros servidores no reciben ni registran cuánto dura la llamada: la duración viaja cifrada, como el chat, y queda en el historial de los dos.
  • Si te pedimos confirmar un navegador en tu móvil antes de llamar o contestar desde él, guardamos además en la base de datos, junto con tu identificador, una copia temporal del tipo de navegador y de sistema y de cuándo lo vinculaste y empezaste la sesión, para enseñártelo en el móvil. Esa copia se borra unos días después de la sesión; lo que guardamos del navegador vinculado sigue hasta que borres tu cuenta.
  • La dirección IP. Los registros de las llamadas no llevan tu dirección IP ni tu navegador; los que se escribieron antes de esta versión pueden llevarlos y se borran a los 90 días. El registro de acceso de nuestros servidores sí guarda, de estas peticiones como de cualquier otra, la IP, el navegador y la dirección pedida, durante 7 días (el borrado puede tardar algún día más). Si nuestro cortafuegos bloquea una petición o la marca como sospechosa, su registro guarda la IP y las cabeceras de esa petición, el navegador entre ellas, durante 30 días. Las demás peticiones a nuestros servidores dejan la IP y el navegador en sus registros técnicos durante 90 días.
  • LiveKit ve cuándo entra y sale cada dispositivo, y por tanto cuánto dura la llamada, la dirección IP, la ubicación aproximada y el tipo de conexión. Desde el móvil, sabe si usas iPhone o Android. Desde la web, recibe lo que tu navegador envía al conectarse (el navegador, el sistema operativo y el tipo de dispositivo, con sus versiones) y sabe que la llamada sale de id.jobchain.com. Recibe un seudónimo distinto en cada llamada, nunca tu nombre ni tu identificador de Jobchain ID. Esos datos técnicos de cada sala se pueden consultar en el panel de nuestra cuenta de LiveKit, y nosotros podemos relacionarlos con tu cuenta.
  • Apple o Google entregan a tu móvil el aviso de llamada entrante, que lleva el identificador de la sala, si es con vídeo y cuándo caduca, sin tu nombre ni el de quien llama. La versión web no usa ese aviso: si la tienes abierta y lo permites, es tu navegador el que te muestra la notificación.
• Documentos. Cuando la función de guardar y compartir documentos esté disponible, los documentos se guardarán cifrados con claves que no tenemos. Antes de activarla completaremos esta política con sus plazos.

Algunas empresas usan Jobchain ID (el Panel de empresa o la API) para comprobar la identidad de sus clientes, pedirles datos, permitirles entrar en su web, emitirles credenciales o enviarles documentos.

• Tú decides qué compartes. Tu móvil te enseña qué datos pide la empresa, quién los pide y su dominio verificado, y no se comparte nada sin tu aprobación.
• La empresa es la responsable de los datos que te pide, te emite y recibe: decide para qué los usa y cuánto tiempo los guarda. Consulta su política de privacidad.
• Jobchain ID, S.L.U. actúa como encargada del tratamiento de la empresa (art. 28 del RGPD), con un contrato de encargo que la empresa acepta al darse de alta. Seguimos sus instrucciones y no usamos esos datos para fines propios.
• Cuando compartes datos con una empresa, la respuesta que apruebas pasa por nuestros servidores: comprobamos que es auténtica y entregamos a la empresa el resultado y los datos que aceptaste compartir. Guardamos esa respuesta, para poder resolver incidencias, hasta que borras tu cuenta o la empresa nos pide borrarla. Si quieres que la borremos antes, escríbenos a soporte@jobchain.com.
• Cuando una empresa te emite una credencial, guardamos una copia por cuenta de esa empresa, para entregártela y para que pueda gestionarla o revocarla, hasta que borres tu cuenta, aunque la empresa la revoque.
• Para ejercer tus derechos sobre los datos que tiene una empresa, dirígete a ella. Si nos escribes a nosotros, le trasladaremos tu petición.

• Compras en la App Store o en Google Play: el pago lo gestiona la tienda con tu cuenta; no recibimos tus datos de pago. Para saber si tu plan está activo usamos RevenueCat, que recibe tu DID y los datos de la compra que le facilita la tienda, no tu nombre ni tus datos de pago.
• Compras en la web y cobros a empresas: los procesa Stripe. Stripe actúa como nuestro encargado para procesar los pagos y como responsable independiente en lo que le exige la ley (por ejemplo, la prevención del fraude y del blanqueo de capitales). No recibimos ni guardamos los datos completos de la tarjeta.

• No vendemos tus datos ni los usamos para publicidad.
• No te rastreamos en otras apps o webs y no usamos cookies de analítica ni de publicidad.
• No recibimos imágenes de tu cara y no guardamos tu nombre, tu fecha de nacimiento, el número de tu documento ni su foto.
• No usamos para nada más los datos que compartes con una empresa.
• No usamos tus datos para entrenar modelos de inteligencia artificial. Ninguna función abierta a los usuarios usa hoy un proveedor de inteligencia artificial; antes de abrir alguna, actualizaremos esta política.

Proveedores que tratan datos por nuestra cuenta (encargados del tratamiento, con contrato):

• Amazon Web Services EMEA SARL: servidores, base de datos, almacenamiento, claves de cifrado, copias de seguridad, copia temporal del historial y envío de los correos (Amazon SES) y, cuando esté activo, de los SMS (Amazon SNS) de verificación. Fráncfort (Alemania).
• Cloudflare, Inc.: DNS y protección frente a ataques. Red mundial; empresa de EE. UU.
• Vercel Inc.: alojamiento de jobchain.com y de la versión web (id.jobchain.com). EE. UU.
• Google (Firebase Cloud Messaging): entrega de las notificaciones push. EE. UU.
• RevenueCat, Inc.: estado de tus planes comprados en las tiendas. EE. UU.
• Stripe (Stripe Payments Europe, Ltd.): pagos en la web y cobros a empresas (también como responsable independiente; ver «Pagos»). Irlanda y EE. UU.
• Sociedades del grupo Jobchain, cuando nos prestan medios técnicos compartidos (por ejemplo, el correo corporativo con el que te atendemos). España y Austria.
• Microsoft Ireland Operations Limited (Microsoft 365): el correo corporativo con el que te atendemos (soporte@jobchain.com y privacidad@jobchain.com). UE, con posible acceso desde EE. UU.

Servicios de terceros a los que la app se conecta cuando tú usas una función, y que tratan los datos bajo su propia responsabilidad (no les damos tu nombre):

• Apple y Google: atestación del dispositivo, tiendas de aplicaciones y entrega de avisos, también los de llamada. EE. UU.
• LiveKit, Inc.: servidores de las llamadas, desde la app y desde la versión web. Transporta la voz y el vídeo cifrados, sin poder abrirlos, y trata sus datos técnicos (ver «Mensajería, correo y calendario») bajo su propia responsabilidad y con sus propios plazos. Empresa de EE. UU.: no podemos asegurar que la voz y el vídeo cifrados ni esos datos no pasen por servidores fuera de la Unión Europea.
• Red XMTP y su servicio de historial: transportan tus mensajes cifrados y ven sus datos técnicos. Nodos en varios países.
• Alchemy Insights, Inc.: proveedor de acceso a las redes blockchain. Cuando usas la cartera, desde la app o desde la versión web, consulta los saldos y movimientos de tu cartera y envía a la red las operaciones que firmas (recibe las direcciones públicas, las operaciones firmadas y, cuando la app se conecta directamente, tu dirección IP). EE. UU.
• Nodos y exploradores de las redes blockchain (por ejemplo, PublicNode, Solana, Blockstream o Blockscout): reciben las direcciones públicas que consulta tu cartera y tu dirección IP. Varios países.
• CoinGecko: precios de mercado; recibe tu IP y qué activos se consultan, no tus direcciones. Singapur.
• LATOKEN (LAtrade Limited): precio del token JOB; recibe tu IP y esa consulta, no tus direcciones. San Vicente y las Granadinas.
• OpenStreetMap Foundation (Nominatim): solo en la verificación de residencia; coordenadas e IP. Reino Unido.
• Las empresas con las que decides compartir datos.
• Autoridades, cuando la ley nos obliga.

• Estados Unidos (Cloudflare, Vercel, Google, Apple, Microsoft, RevenueCat y Stripe): las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando la empresa está adherida a él y, si no, en las cláusulas contractuales tipo de la Comisión Europea.
• Reino Unido (OpenStreetMap Foundation): decisión de adecuación de la Comisión Europea.
• Nodos de las redes blockchain y de XMTP, Alchemy (EE. UU.), LiveKit (EE. UU.), CoinGecko (Singapur) y LATOKEN (San Vicente y las Granadinas): la app o la versión web se conectan a ellos solo cuando usas la cartera, la mensajería o las llamadas, porque sin esa conexión no podemos prestarte esas funciones (artículo 49.1.b del RGPD: transferencia necesaria para ejecutar el contrato que nos pides).

Puedes pedirnos información sobre estas garantías, o una copia, en privacidad@jobchain.com.

• Los datos de tu móvil (claves, biometría, documento, credenciales y muestras de ubicación) están bajo tu control y se borran cuando restableces tu identidad o borras la app.
• Los de nuestros servidores se conservan durante los plazos de la tabla «Para qué los usamos».
• Si borras tu cuenta desde la app (Ajustes › «Eliminar cuenta»), eliminamos de nuestro servidor de identidad tu registro (DID, clave pública, correo, teléfono, direcciones de la cartera, nombre de cobro, datos y huellas de la verificación), tus credenciales, tus sesiones (no los intentos con QR sin completar, que pueden quedar más tiempo), tus navegadores vinculados, tu historial temporal, tu recuento de firmas, los tokens de aviso de llamada de tus móviles (si en ese momento las llamadas no están activas en nuestro servidor, se borran solos como mucho a los 60 días) y, si cobras como negocio, tus autorizaciones, recibos y carta. El registro de auditoría no se borra con la cuenta: se quita el enlace a tu cuenta, pero sus filas pueden conservar tu DID hasta que cumplen 2 años (la dirección IP, 90 días).
• Dos registros tampoco se borran con la cuenta y, de momento, no tienen plazo. Si tu correo pasó de una identidad a otra, el registro de ese traspaso, con los dos identificadores (DID), una huella con clave del correo y sus fechas. Hasta que se cierra el traspaso (normalmente, 72 horas después de enviarte el aviso para deshacerlo), guarda además la dirección de correo cifrada, también si borras la cuenta entretanto. Y una huella de tu identificador con la fecha del borrado, para que la cuenta no se reactive sola desde otro móvil; se quita si vuelves a registrarla con tu frase de recuperación.
• Tu perfil de mensajería, el token de tus avisos y el registro de avisos están en otro servidor y todavía no se borran al borrar la cuenta: escríbenos a soporte@jobchain.com y los borraremos en el plazo de un mes.
• Las copias de seguridad se hacen cada día, cifradas, en Amazon Web Services (Fráncfort), con un duplicado en una cuenta separada que solo guarda copias, y se borran a los 35 días: lo que borras desaparece de ellas, como tarde, 35 días después.
• Los datos de facturación se conservan seis años (art. 30 del Código de Comercio), además de los plazos de la normativa tributaria.

No usamos cookies de analítica ni de publicidad, así que no te pedimos consentimiento para ellas. Las páginas de Jobchain ID en jobchain.com no usan cookies propias. La versión web (id.jobchain.com) solo guarda lo técnicamente necesario:

Cerrar la pestaña no cierra la sesión: ese borrado se hace cuando sales o cuando vuelves a abrir la web con la sesión caducada. Si desconectas el navegador desde el móvil, deja de recibir mensajes, correo y llamadas nuevos, pero lo que ya tiene sigue allí y su sesión sigue abierta hasta que caduque o salgas en él.

Si algún día añadimos analítica, te pediremos antes tu consentimiento, con la opción de rechazar igual de visible que la de aceptar.

• Puedes ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición (esta última, frente a los tratamientos basados en el interés legítimo).
• Cuando tratamos datos con tu consentimiento (los avisos, la ubicación de la verificación de residencia y la biometría en tu móvil), puedes retirarlo cuando quieras, sin que eso afecte a lo hecho antes.
• Al ser una identidad autosoberana, tú controlas directamente los datos de tu móvil. Puedes borrar tu cuenta desde la app. Para todo lo demás, escríbenos a privacidad@jobchain.com. Te responderemos en el plazo de un mes.
• Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de protección de datos de tu país.

Jobchain ID no está dirigido a menores de 14 años. Si sabemos que una persona menor de 14 años nos ha dado datos sin la autorización de sus padres o tutores, los borraremos.

Publicaremos aquí cada versión de esta política con su número y su fecha. Si un cambio afecta de forma relevante a cómo tratamos tus datos, te avisaremos en la app o por correo antes de que se aplique.