Skip to main content
Zafora

This legal text is only available in Spanish.

Privacy policy

Sections 4, “Use of artificial intelligence”, and 5, “WhatsApp, AI assistant and social media”, are translated into English.

Aquí explicamos qué datos personales tratamos cuando usas Zafora, para qué, con qué base legal, con quién los compartimos, cuánto tiempo los guardamos y qué derechos tienes. Se aplican el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

  • Responsable: Behzad Bibak, NIF/CIF Z2952344T
  • Domicilio: Avenida República Argentina 49, Piso 1, 46702 Gandia (Valencia)
  • Contacto para protección de datos: privacidad@zafora.es

2. Qué datos tratamos

  • Datos de acceso: tu correo electrónico y los códigos de un solo uso que te enviamos. Si entras con Google, recibimos de Google tu correo y un identificador de tu cuenta; nunca tu contraseña.
  • Perfil: el nombre que muestras, tu presentación, municipio, idiomas y foto de perfil, si decides añadirlos, y el idioma en que usas Zafora, para escribirte en él.
  • Anuncios: textos, precio, categoría, municipio y fotos. Al guardar las fotos les quitamos los metadatos (por ejemplo, las coordenadas GPS).
  • WhatsApp (opcional): si activas el contacto por WhatsApp, tu número de WhatsApp y el mensaje de verificación que nos envías desde él.
  • Mensajes que intercambias con otros usuarios por el chat de Zafora.
  • Notificaciones (opcional): si las activas, los datos de suscripción de tu navegador y qué avisos quieres recibir (apartado 6).
  • Búsquedas: el texto que escribes en el buscador, para darte resultados (apartado 4).
  • Denuncias que presentas o que se presentan sobre ti o tus anuncios, y las decisiones de moderación.
  • Datos técnicos: dirección IP, tipo de navegador, fecha y hora de las peticiones, necesarios para que el servicio funcione y sea seguro.

No pedimos ni guardamos tu ubicación precisa: el municipio se elige de una lista.

3. Para qué los usamos y con qué base legal

  • Darte el servicio — crear tu cuenta, permitirte entrar, publicar y gestionar anuncios, hablar con otros usuarios y, si lo activas, recibir mensajes por WhatsApp. Base legal: ejecución del contrato que aceptas con las condiciones de uso (art. 6.1.b RGPD).
  • Revisar los anuncios antes de publicarlos y atender denuncias — para retirar contenido ilegal o prohibido y proteger a los usuarios de estafas. Base legal: nuestro interés legítimo en mantener una plataforma segura y el cumplimiento de obligaciones legales como prestador de servicios de alojamiento (art. 6.1.f y 6.1.c RGPD).
  • Seguridad y prevención del abuso — limitar intentos de acceso, detectar cuentas falsas o automatizadas y bloquear a quien incumple las normas. Base legal: interés legítimo (art. 6.1.f RGPD).
  • Estadísticas para quien anuncia — cuántas veces se ha visto, guardado o consultado su anuncio. Solo las ve el anunciante y el equipo de Zafora, nunca se muestran públicamente. Para no contar dos veces la misma visita usamos durante 6 horas un resumen cifrado (hash) de la IP y el navegador, o tu cuenta si has iniciado sesión. Base legal: interés legítimo (art. 6.1.f RGPD).
  • Cookies de análisis — solo si las aceptas en el aviso de cookies. Base legal: tu consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento. Hoy Zafora no usa ninguna; consulta la página de cookies.

Solo te enviamos correos para iniciar sesión. No enviamos publicidad ni vendemos tus datos.

4. Use of artificial intelligence

Some Zafora features use an artificial intelligence (AI) service. This section explains what for, what data it receives, who provides it and what you can do if you disagree with an automated decision.

What we use it for

  • Reviewing ads and discounts automatically before they are published: we look for scams, prohibited items, dangerous content or a wrong category.
  • Checking businesses that sign up for Discounts: that the name, activity and address match a real business in the area.
  • Smart search: when you type a search as a sentence (“kids’ bike under €50 in Gandia”), the AI turns it into filters (category, town, price…). Short searches never go to the AI.
  • The posting assistant: when you choose to post with the assistant, the AI reads what you write in the chat and looks at the photos you send to fill in your listing's draft (title, category, description, price, condition). It publishes nothing: you publish it, and the listing then goes through moderation like any other.

Who provides the service

We use Claude, by Anthropic, through its API. Anthropic acts as a data processor: it processes the data only on Zafora’s behalf and under a data processing agreement that is part of its commercial terms.

Anthropic stores the data in the United States and may process it in other countries where it has infrastructure, including outside the European Economic Area. These transfers are covered by the standard contractual clauses approved by the European Commission, included in that agreement.

Under its commercial terms, Anthropic may not use what we send to train its models. It deletes the data from its systems within 30 days, except data its safety systems flag as possible misuse, which it may keep for up to 2 years.

What data the AI receives

  • From an ad: title, description, category, town, price, type (for sale or wanted), condition and up to 5 photos.
  • From a business: name, type of activity, town, address and description.
  • From a discount: title, description, conditions, whether it is for one product or the whole shop, prices, percentage, the discount’s photo and the business’s name, activity and town.
  • From a search: the text you type, with email addresses and phone numbers hidden before it is sent.
  • From the posting assistant: your chat messages, a reduced copy of the photos you send in it and the draft's details. We do not send it your name, email address or phone number.

We never send the AI your name, email, phone number, account ID or IP address. If you write them inside the text of an ad or a discount, they reach it with that text.

Automated decisions and review by a person

For an ad or a discount, the AI can approve it, send it to a person for review, or reject it when it clearly breaks the rules. For a business it can only approve it or send it to a person; it never rejects one. Whenever there is doubt or a technical error, a person decides.

If the AI rejects your ad, you can ask a person to review it, without changing anything, with the “Ask a person to review it” button in “My ads”.

For a discount, or if you prefer to write to us, ask for a review at privacidad@zafora.es. You have the right to human intervention, to express your point of view and to contest the decision (Art. 22 GDPR).

The AI never changes what a person on our team has decided: if a moderator rejects an ad or a discount, or it has open reports, only a person can publish it again, even if you edit it.

How long we keep this data

  • Evaluation cases: when a moderator disagrees with the AI, and for a small sample of the rest, we keep the reviewed text, without phone numbers, emails, links or social media handles, to check and improve the AI’s quality. They are deleted after 12 months at most.
  • We keep the photos of these cases only when the decision was disputed or a rejection, and they are deleted automatically after 90 days.
  • Smart searches: we keep the search text (with emails and phone numbers hidden) and the resulting filters, without your user account or IP address, for 90 days at most. Your IP address is only used to limit the number of searches per minute and is not stored with them.
  • Chats with the posting assistant: we keep the messages for 30 days after the last one, so you can come back to your listing, and then they are deleted. Photos are not kept with the chat, only those that stay in your listing. Of its use we keep only the cost, without the content.
  • If you delete your account, we also delete the evaluation cases and photos made from your ads, your business and your discounts.

Legal basis: our legitimate interest in keeping the platform safe and useful (Art. 6.1(f) GDPR).

5. WhatsApp, AI assistant and social media

Controller: Behzad Bibak, tax ID (NIF) Z2952344T, Avenida República Argentina 49, Piso 1, 46702 Gandia (Valencia). Contact: privacidad@zafora.es

What data we process

When a business talks to Zafora on WhatsApp, we process its phone number, name, messages, the photos it sends, its email address and the business details it gives us. If someone who is not a business writes to us, we still keep their message and reply once to tell them this number is only for businesses.

What for

To create and manage the business profile and its offers on Zafora, and to answer its messages.

Legal basis

The business's consent, and steps taken at its request before entering into a contract (Art. 6(1)(a) and 6(1)(b) GDPR).

Artificial intelligence assistant

Conversations are handled by an AI assistant, which introduces itself as such in its first message. A person at Zafora reviews its replies and can step in at any time.

Providers

  • Meta Platforms Ireland Ltd. (WhatsApp, Facebook and Instagram).
  • Anthropic, PBC (AI processing). This may involve a transfer of data to the United States, protected by the safeguards provided for in the GDPR.

Social media

Offers published by businesses may be shared on Zafora's Facebook and Instagram pages and on Zafora's WhatsApp channel.

Retention

For as long as the business profile is active. If the business says it does not want to stay in touch, its messages are deleted after 90 days and we keep only its number so that we do not write to it again.

Rights

The business can request access, rectification, erasure, objection, restriction and portability by writing to privacidad@zafora.es, and can lodge a complaint with the Spanish Data Protection Agency (www.aepd.es).

6. Notificaciones

Las notificaciones son opcionales y solo se activan si lo pides y das permiso en tu navegador. Sirven para avisarte de mensajes nuevos, de cambios en el estado de tus anuncios (publicado, necesita cambios o caducado) y de avisos importantes sobre el servicio. Base legal: tu consentimiento (art. 6.1.a RGPD).

Para enviártelas guardamos la dirección de suscripción que nos da tu navegador, con sus claves de cifrado, y tus preferencias sobre qué avisos recibir. El contenido de cada notificación va cifrado de extremo a extremo hasta tu dispositivo. Lo transporta el servicio de notificaciones de tu navegador —Google (Chrome y Android), Apple (Safari), Mozilla (Firefox) o Microsoft (Edge)—, que no puede leerlo. Una notificación de mensaje muestra el nombre de quien te escribe, el anuncio y el comienzo del mensaje, también en la pantalla de bloqueo si tu dispositivo lo permite.

Puedes desactivarlas cuando quieras en los ajustes de tu cuenta o en los de tu navegador. Borramos la suscripción de un navegador al cerrar sesión en él, y todas las tuyas al cerrar sesión en todos los dispositivos o al eliminar tu cuenta.

7. Quién puede ver tus datos

  • Cualquier visitante ve tus anuncios publicados y tu perfil público (nombre que muestras, presentación, municipio, fecha de alta y anuncios). Tu correo nunca se muestra.
  • Usuarios registrados que pulsen el botón de WhatsApp de un anuncio en el que lo hayas activado acceden a tu número de WhatsApp para escribirte.
  • Proveedores que tratan datos por cuenta de Zafora (encargados del tratamiento), con contrato y solo para prestarnos su servicio:
    • OVHcloud — alojamiento de los servidores, situados en el Reino Unido.
    • Anthropic — servicio de inteligencia artificial (Claude) para revisar anuncios y descuentos, comprobar negocios y la búsqueda inteligente (apartado 4).
    • Meta (WhatsApp Business) — recepción del mensaje con el que verificas tu número de WhatsApp, solo si usas esa función.
  • Google, si eliges entrar con tu cuenta de Google. En ese caso Google trata tus datos como responsable independiente, según su propia política de privacidad.
  • Autoridades, cuando una ley o una orden judicial nos obligue a facilitarlos.

8. Transferencias fuera del Espacio Económico Europeo

Los servidores están en el Reino Unido, país que cuenta con una decisión de adecuación de la Comisión Europea. El servicio de inteligencia artificial (Anthropic) guarda los datos en Estados Unidos y puede procesarlos en otros países donde tiene infraestructura; esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea, incluidas en su acuerdo de tratamiento de datos (apartado 4). Meta y Google pueden tratar datos fuera del EEE con las garantías que describen en sus políticas.

9. Cuánto tiempo los guardamos

  • Códigos de acceso: 5 minutos.
  • Sesión iniciada en un dispositivo: hasta 30 días sin uso, o hasta que cierres sesión.
  • Anuncios: se publican durante 30 días y después caducan; siguen en tu cuenta hasta que los elimines o elimines tu cuenta.
  • Datos de cuenta y perfil: mientras tengas la cuenta.
  • Resumen usado para contar visitas: 6 horas.
  • Casos de evaluación de la inteligencia artificial: 12 meses como máximo; sus fotos, 90 días (apartado 4).
  • Búsquedas inteligentes registradas: 90 días como máximo.
  • Chats con el asistente de publicación: 30 días desde el último mensaje.
  • Suscripción a notificaciones: hasta que las desactives, cierres sesión en ese navegador o el servicio de notificaciones la dé por caducada.
  • Registros técnicos del servidor: un periodo breve; se sobrescriben automáticamente.

Al eliminar tu cuenta borramos tus datos identificativos (correo, número de WhatsApp y perfil), archivamos tus anuncios y borramos los casos de evaluación de la inteligencia artificial hechos con tu contenido, con sus fotos. Los mensajes que enviaste no se borran, porque también pertenecen a la otra persona, pero dejan de estar vinculados a tu identidad. Las denuncias y decisiones de moderación se conservan bloqueadas mientras puedan ser necesarias para investigar abusos o atender reclamaciones, y durante los plazos legales de prescripción.

10. Tus derechos

Puedes ejercer en cualquier momento los derechos de:

  • Acceso a tus datos y portabilidad: descarga una copia desde los ajustes de tu cuenta.
  • Rectificación: corrige tu perfil y tus anuncios cuando quieras.
  • Supresión: solicita la eliminación de tu cuenta desde los ajustes; la atendemos en el plazo máximo de un mes.
  • Oposición y limitación del tratamiento.
  • No ser objeto de decisiones basadas únicamente en tratamientos automatizados (apartado 4).
  • Retirar tu consentimiento a las cookies opcionales, sin que afecte a lo anterior.

Para lo que no puedas hacer desde tu cuenta, escribe a privacidad@zafora.es. Te responderemos en el plazo máximo de un mes. Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Menores

Zafora no está dirigida a menores de 18 años y no permite que publiquen anuncios ni escriban a otros usuarios.

12. Seguridad

Toda la comunicación va cifrada (HTTPS). Las cookies de sesión no son accesibles desde el código del navegador y solo el personal autorizado accede a los datos, quedando registradas sus acciones de moderación.

13. Cambios en esta política

Si cambiamos esta política de forma importante, lo indicaremos en el sitio web antes de que se aplique. La fecha de la última actualización figura al final de esta página.