2. ¿Con qué fines tratamos sus datos y cuál es nuestra base jurídica?

2.1 Tratamiento de datos al utilizar servicios Grover

Tratamos los datos personales de conformidad con las disposiciones del RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo, la «Ley Española de Protección de Datos») con los siguientes fines:

a) Para el desempeño de las obligaciones contractuales y precontractuales (artículo 6, apartado 1, letra b), del RGPD).

El tratamiento de datos personales (artículo 4, apartado 2, del RGPD) se lleva a cabo con el fin de proporcionar el presente Sitio web y para la comercialización de los productos, en particular: suscripción y tramitación de contratos, facturación, implementación de medidas precontractuales, respuesta a consultas relacionadas con nuestra relación comercial y todas las actividades requeridas para el funcionamiento y la administración de la empresa.

Los fines del tratamiento de datos se basan principalmente en el producto concreto. Para obtener más detalles sobre el fin del tratamiento de datos dentro del alcance de los contratos, consulte los respectivos documentos contractuales y los términos y condiciones.

En especial, Grover trata los datos personales que usted facilita como usuario durante el registro, con fines contractuales o dentro del alcance de una consulta. En particular, concierne a los siguientes datos: nombre y apellidos, fecha de nacimiento, dirección de correo electrónico, dirección (dirección de facturación y dirección de envío si son distintas), información sobre el pedido, número de teléfono (opcional) y datos bancarios. Asimismo, Grover almacena la contraseña, la cual el usuario puede elegir libremente. La contraseña no se almacena como texto sin formato, sino solamente como valor hash.

Si utilizas nuestra oferta de servicios para productos digitales, recopilaremos datos sobre su compra del artículo digital para garantizar el correcto funcionamiento de nuestros servicios, facilitar la atención al cliente y mejorar nuestros productos. Estos datos incluyen detalles de la transacción, identificadores del producto e historial de compras.

Si utilizas nuestra oferta de servicios de accesorios tecnológicos, recopilaremos los datos del pedido para garantizar el correcto funcionamiento de nuestros servicios, facilitar la atención al cliente y mejorar nuestros productos. Estos datos incluyen detalles del pedido, tu nombre completo, dirección de correo electrónico y dirección de envío.

Si utilizas nuestro servicio complementario, Grover Care, también recopilaremos datos sobre los daños en los productos que nos comuniques.

Además, recopilamos y procesamos datos personales sobre ti (incluyendo nombre, correo electrónico y código postal), si te inscribes en alguno de nuestros programas de fidelización.

b) En función de intereses legítimos (artículo 6, apartado 1, letra f), del RGPD)

Asimismo, tratamos sus datos más allá de la prestación del Sitio web y el propio cumplimiento del contrato para proteger intereses legítimos nuestros o de terceros, en especial, en los siguientes casos:

• Respuesta a consultas ajenas a un contrato o a medidas precontractuales.

• Publicidad o estudios de mercado y opinión, a menos que usted se haya opuesto al uso de sus datos (aquí se incluye la publicidad existente del cliente).

• Evaluación de nuestras medidas publicitarias, por ejemplo, seguimiento de clics y comportamiento de apertura en campañas por correo electrónico.

• Interposición de reclamaciones legales y defensa en litigios judiciales.

• Garantía de la seguridad y el funcionamiento de las TI.

• Verificación de solvencia crediticia.

• Prevención e investigación de delitos penales, entre otros, mediante la verificación de su identidad.

• Garantizando la calidad y la fiabilidad de los servicios utilizados a efectos de prevención y detección de actividades fraudulentas.

• Envío de notificaciones de recordatorio de pago en relación con tu próximo pago si eliges el pago por factura como método de pago.

• Medidas de gestión comercial y desarrollo posterior de productos.

Nuestro interés legítimo es comercializar nuestros productos de la mejor forma posible y desarrollarlos aún más, así como nuestra empresa, o proteger a nuestra empresa de menoscabos y peligros e interponer nuestras reclamaciones.

c) En función de su consentimiento (artículo 6, apartado 1, letra a), del RGPD)

Si nos ha otorgado su consentimiento al tratamiento de datos personales con fines concretos (por ejemplo, evaluación o uso de datos con fines de comercialización o envío de publicidad por correo electrónico), la legalidad de este tratamiento se basa en su consentimiento.

Si has dado tu consentimiento para el marketing por correo electrónico, nos pondremos en contacto contigo para celebrar tu cumpleaños. Para ello, procesaremos tu nombre, dirección de correo electrónico y fecha de nacimiento.

Puede retirar su consentimiento en cualquier momento. Tenga en cuenta que dicha revocación solamente es efectiva con efecto futuro.

d) Debido a requisitos legales (artículo 6, apartado 1, letra c), del RGPD)

También nos sometemos a diversas obligaciones leg

ales (por ejemplo, leyes contra el blanqueo de capitales o leyes fiscales), las cuales requieren el tratamiento de datos.

e) Sobre la base de su consentimiento explícito (artículo 9, apartado 2, letra a) del RGPD)

Si nos ha otorgado su consentimiento explícito para el tratamiento de sus datos personales, incluidos los datos biométricos obtenidos para verificar su identidad o los datos relacionados con su salud o sus creencias religiosas o ideológicas, facilitados como resultado del proceso de selección de cuentas bancarias con fines de prevención de fraudes, evaluación de riesgos y verificación de la identidad, la legalidad de este tratamiento se basa en su consentimiento explícito. Usted puede revocar su consentimiento en cualquier momento. Tenga en cuenta que la revocación solo será efectiva con carácter futuro.

En los casos de rescisión anticipada por motivos de salud, podemos recopilar y tratar datos personales a través de tus datos sanitarios.

2.2 Evaluación crediticia, análisis de riesgos y prevención de fraudes

a) Comprobación de solvencia

Durante el proceso de pedido, es posible que comprobemos su solvencia crediticia. Con este fin, transmitimos los siguientes datos a las agencias de crédito que colaboran con nosotros:

• Clientes (incluidos autónomos): nombre completo, direcciones de envío y facturación, fecha de nacimiento, número de teléfono y correo electrónico.

• Clientes comerciales: razón social, domicilio social.

Transferimos sus datos personales a estas empresas, entre otras, para la evaluación crediticia:

• Experian Bureau De Crédito, S.A.U, C / Príncipe de Vergara, 132, 28002 Madrid

• Equifax Ibérica S.L., Paseo de la Castellana, 259-D, Torre Espacio, planta 26 28046, Madrid

Antes de transferir tus datos personales a estas empresas, buscamos establecer tu identidad con precisión, verificando tus datos personales durante la creación de tu cuenta a través de un socio comercial. Esto sirve como una capa adicional de seguridad y precisión. El objetivo es garantizar que ningún dato personal que se obtenga como resultado de actividades fraudulentas se comparta con estas agencias de información al consumidor.

Para la toma de decisiones respecto a la suscripción, la ejecución o la rescisión de una relación contractual, además de la comprobación de direcciones, empleamos información sobre su anterior comportamiento de pago, así como valores de probabilidad para su comportamiento futuro, lo cual incluye los datos de direcciones. Obtenemos dicha información de los siguientes proveedores, entre otros:

• Experian Bureau De Crédito, S.A.U, C / Príncipe de Vergara, 132, 28002 Madrid

• Equifax Ibérica S.L., Paseo de la Castellana, 259-D, Torre Espacio, planta 26 28046, Madrid

Grover está recopilando y compartiendo datos sobre las sesiones de los clientes (incluyendo nombre, dirección, dirección de correo electrónico, número de teléfono y dirección IP) y el pago con Mastercard Europe SA. La base jurídica para ello es el interés legítimo (artículo 6 (1) frase 1 (f) GDPR), derivado de nuestro interés en prevenir abusos y fraudes y evitar deudas en los contratos de alquiler actuales y futuros. En este sentido, dichos datos personales se transferirán y almacenarán fuera del país en el que se recopilaron (por ejemplo, transferencia y almacenamiento en los Estados Unidos) sobre la base de las Normas Corporativas Vinculantes de Mastercard, aprobadas por la Autoridad de Protección de Datos competente en la UE. Estas normas incluyen tu derecho a hacerlas valer como tercer beneficiario.

Para la toma de decisiones respecto a la formalización de una relación contractual, también llevamos a cabo nuestros propios análisis a fin de detectar abusos y fraudes. En especial, utilizamos las siguientes categorías de datos:

• Características del cliente (por ejemplo, datos de informes de crédito, edad, proveedor de telefonía móvil, proveedor de correo electrónico)

• Datos de la cesta de la compra tales como categorías de dispositivos

• Datos comportamentales (por ejemplo, n.º de pedidos y su estado o comportamiento en el Sitio web)

• Datos de pago tales como métodos de pago

• Conciliación de datos de cuentas con otras cuentas de usuario a fin de cotejar datos

• Características del cliente tales como datos de informes de crédito y proveedores de telefonía móvil.Solo si procede, los datos de la cuenta bancaria, en particular, los saldos de la cuenta, la facturación y los datos de las transacciones

• Los datos necesarios para completar la comprobación de identidad, incluida la copia escaneada de un documento de identidad con fotografía (por ejemplo, del pasaporte, el permiso de conducir o el carné de identidad), una imagen, un vídeo que incluya datos de audio e identificadores faciales biométricos

La información crediticia y nuestros propios análisis para la detección de fraudes pueden contener valores de probabilidad (valores de puntuación), los cuales se calculan sobre la base de procedimientos matemático-estadísticos reconocidos por la ciencia y cuyo cálculo incluye, entre otras cosas, datos de direcciones. La base jurídica para ello es el artículo 6, apartado 1, letra f), del RGPD. El interés legítimo deriva de nuestro interés por reducir el riesgo contractual, protegiéndonos de deudas incobrables y del riesgo de uso indebido de nuestros servicios por terceros. Los intereses relativos a usted dignos de protección se tienen en cuenta de conformidad con las disposiciones legales.

En casos concretos, verificamos el cálculo o el resultado del mismo manualmente.

A fin de impedir abusos y fraudes y de evitar las impagados en los contratos de alquiler presentes y futuros del cliente, el almacenamiento a largo plazo (consulte el apartado 3) de los datos de solvencia crediticia y los datos de nuestros propios análisis es necesario para la detección de abusos y fraudes. La base jurídica es el artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo surge de nuestro interés por detectar comportamientos o patrones de comportamiento fraudulentos, reconocer y tener en cuenta los cambios en la solvencia crediticia de nuestros clientes, evaluar los contratos de alquiler (la cartera de riesgos y la probabilidad de impago son relevantes para nuestros inversores, entre otros) y revisar y mejorar nuestra gestión de riesgos (analizando los registros de datos, aunque únicamente de forma anonimizada).

Si el resto de requisitos legales se cumplen, también remitiremos información sobre retrasos en el pago o una posible pérdida de cuentas a cobrar a las agencias de crédito que colaboran con nosotros, por ejemplo consulte el apartado 2 . La base jurídica para ello es el artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo deriva de nuestro interés y del interés de terceros por reducir los riesgos contractuales en contratos futuros.

b) Comprobación de identidad

Para detectar/prevenir actividades fraudulentas, utilizamos los servicios de Onfido Limited. Para nosotros, es necesario que comprobemos si la copia escaneada del documento de identidad con fotografía es auténtica o fraudulenta, para lo cual se confirmará que la foto/el vídeo coincida con los datos biométricos faciales de la foto del documento facilitado o de nuestra base de datos. La biometría añade un nivel de protección contra los robos de identidad y los ataques de suplantación de identidad. Para este tratamiento de datos, la base jurídica es su consentimiento explícito de acuerdo con el artículo 9, apartado 2, letra a) del RGPD. No compartimos este tipo de datos con terceros a menos que así lo estipule la ley. Puede revocar su consentimiento con efecto futuro en cualquier momento. El tratamiento de datos que tuvo lugar hasta la revocación sigue siendo lícito. Si desea obtener más información sobre los periodos de conservación de los datos, consulte la sección «¿Durante cuánto tiempo se conservarán mis datos?» que se muestra más abajo.

c) Comprobación de la cuenta bancaria

Si su calificación crediticia es negativa, es posible que hagamos una comprobación de su cuenta bancaria. Durante este proceso, verificaremos los datos de su cuenta bancaria a través de nuestro socio FinTecSystems GmbH. Esto es necesario para decidir si se establecerá una relación contractual, para verificar su identidad y para prevenir fraudes. Solo revisamos los datos financieros correspondientes a tres meses, que pueden ser los saldos y movimientos de su cuenta. No compartiremos los datos de su cuenta bancaria con terceros. La base jurídica para esta comprobación es el artículo 6 (1), frase 1 (a) del RGPD.

Aunque solo nos interesan sus datos financieros, es posible que en sus transacciones queden reflejados datos relacionados con su salud, sus creencias religiosas o ideológicas. En tales casos, su consentimiento se extiende a las categorías especiales de datos personales contempladas en el artículo 9 (1) del RGPD. La base jurídica para este fin es su consentimiento explícito de conformidad con el artículo 9, apartado 2, letra a) del RGPD.

En el caso de este tipo de datos, puede revocar su consentimiento con efecto futuro en cualquier momento. El tratamiento de datos que tuvo lugar hasta la revocación sigue siendo lícito. Si desea obtener más información sobre los periodos de conservación de datos, consulte la sección «¿Durante cuánto tiempo se conservarán mis datos?» que se muestra más abajo.