Política de privacidad

Última actualización: 26 de octubre de 2026

Esta política explica cómo se tratan los datos personales en la web pública www.coorvia.app y en la aplicación Coorvia, una plataforma para la coordinación de actividades empresariales (CAE) y la prevención de riesgos laborales.

1. Responsable

2. Dos papeles distintos

Coorvia trata datos en dos calidades diferentes:

• Como responsable de los datos de las personas usuarias (su cuenta), de las empresas que se dan de alta y de quien nos escribe.
• Como encargado del tratamiento de los datos que cada empresa sube para coordinarse: sus trabajadores, sus equipos y su documentación. De esos datos la responsable es la empresa que los sube; Coorvia los trata solo para prestarle el servicio y siguiendo sus instrucciones, en los términos del apartado 5 de las condiciones de uso.

3. Qué datos tratamos

• Cuenta de usuario: nombre, apellidos, correo electrónico, identificador de la cuenta de Microsoft Entra con la que se inicia sesión, idioma y preferencias de avisos.
• Empresas: razón social, nombre comercial, NIF, correo y teléfono de contacto, logo, justificante para la verificación y la relación de cada usuario con la empresa (rol).
• Actividad en la aplicación: registro de qué se ha creado, modificado o revisado, por quién y cuándo, y las comunicaciones de coordinación entre empresas.
• Datos que suben las empresas: datos identificativos y profesionales de sus trabajadores (nombre, apellidos, código interno, puesto), datos de sus equipos y la documentación de prevención (formación, certificados de aptitud, seguros…).
• Consultas: los datos que nos envíes al escribirnos.

Para la aptitud médica basta con el certificado de «apto»: no subas informes médicos ni diagnósticos, que son datos de salud y no son necesarios para coordinar.

4. Para qué y con qué base legal

• Prestar el servicio (crear la cuenta, gestionar empresas, contrataciones, documentación y avisos): ejecución de las condiciones de uso que aceptas (art. 6.1.b RGPD).
• Enviar los correos del servicio (invitaciones, comunicaciones, avisos y resumen diario): ejecución de las condiciones. El resumen diario y los avisos de comunicaciones se pueden desactivar en el perfil.
• Seguridad y trazabilidad (registro de actividad, prevención de abusos y verificación de empresas): interés legítimo en proteger la plataforma y en que la coordinación quede acreditada (art. 6.1.f RGPD).
• Atender consultas y solicitudes de acceso: tu consentimiento al escribirnos y nuestro interés legítimo en responderte.
• Cumplir obligaciones legales cuando corresponda (art. 6.1.c RGPD).

No tomamos decisiones automatizadas con efectos jurídicos sobre las personas ni elaboramos perfiles con fines comerciales. No vendemos datos.

5. Quién más ve los datos

• Las empresas con las que coordinas: en cada contratación, la contratante y la proveedora ven los datos y documentos que se comparten en ella (por ejemplo, los trabajadores asignados y su documentación).
• Proveedores tecnológicos (encargados del tratamiento):
  • Microsoft Ireland Operations Ltd.: alojamiento de la aplicación, la base de datos y los archivos en centros de datos de la Unión Europea (Azure), inicio de sesión (Microsoft Entra External ID) y envío de correos (Azure Communication Services).
  • Cloudflare, Inc.: servidores de nombres del dominio y estadísticas de visitas de esta web (Cloudflare Web Analytics).
• Autoridades, solo cuando lo exija la ley.

6. Transferencias fuera del Espacio Económico Europeo

Los datos se alojan en la Unión Europea. Microsoft puede acceder a datos desde fuera del EEE para dar soporte o seguridad, y Cloudflare procesa las estadísticas de visitas en su red global; en ese caso las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Cuánto tiempo

• Los datos de la cuenta y de la empresa, mientras estén activas. Tras la baja, se conservan bloqueados solo el tiempo necesario para atender posibles responsabilidades legales y después se suprimen.
• Los datos que suben las empresas, mientras la empresa use el servicio o hasta que los borre; al terminar, se suprimen o se le devuelven, según elija.
• El registro de actividad, el tiempo necesario para acreditar la coordinación y la seguridad del servicio.
• Fase de pruebas: los datos del entorno de pruebas se borrarán al terminar esa fase, avisando antes a las empresas para que puedan descargar lo que necesiten.

8. Tus derechos

Puedes pedir el acceso, la rectificación o la supresión de tus datos, oponerte a su tratamiento, solicitar su limitación o su portabilidad, y retirar el consentimiento que hayas dado. Escríbenos a hola@coorvia.app indicando qué derecho ejerces. Si se trata de datos que ha subido tu empresa (por ejemplo, como trabajador), puedes dirigirte a ella o a nosotros y le trasladaremos la petición.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Las comunicaciones van cifradas (HTTPS) y los datos se guardan cifrados. El acceso se hace con cuentas de Microsoft Entra, cada usuario solo ve los datos de las empresas a las que pertenece y según su rol, y los cambios quedan registrados. De los archivos que se suben se comprueba que su contenido corresponde a su tipo.

10. Cookies y almacenamiento en el navegador

No usamos cookies de publicidad ni de analítica. El inicio de sesión de Microsoft usa cookies técnicas en su propio dominio, y la web y la aplicación guardan en el navegador lo imprescindible para funcionar (la sesión, el idioma, el tema claro u oscuro). Al ser estrictamente necesarios, no requieren consentimiento.

Para saber cuántas visitas recibe la web pública (no la aplicación) usamos Cloudflare Web Analytics, que no usa cookies ni guarda nada en tu navegador y no identifica a las personas: solo cuenta páginas vistas, de qué página se llega y el rendimiento de la carga. La base legal es nuestro interés legítimo en conocer el uso de la web para mejorarla.

11. Cambios

Si cambiamos esta política, actualizaremos la fecha de arriba y, si el cambio es importante, avisaremos a las personas usuarias.

Privacy policy

Last updated: 26 October 2026

This policy explains how personal data is processed on the public website www.coorvia.app and in the Coorvia application, a platform for coordinating business activities (CAE) and occupational health and safety.

1. Controller

2. Two different roles

• As controller of the data of users (their account), of the companies that register and of anyone who contacts us.
• As processor of the data each company uploads to coordinate: its workers, its equipment and its documentation. The company that uploads that data is its controller; Coorvia processes it only to provide the service and on the company's instructions, as set out in section 5 of the terms of use.

3. What data we process

• User account: first name, last name, email, the identifier of the Microsoft Entra account used to sign in, language and notification preferences.
• Companies: legal name, trade name, tax ID, contact email and phone, logo, proof for verification and each user's relationship with the company (role).
• Activity in the application: a log of what was created, changed or reviewed, by whom and when, and coordination communications between companies.
• Data uploaded by companies: identification and professional data of their workers (name, internal code, job title), equipment data and health and safety documentation (training, fitness certificates, insurance…).
• Enquiries: the data you send us when you write to us.

For medical fitness, the "fit for work" certificate is enough: do not upload medical reports or diagnoses, which are health data and are not needed for coordination.

4. Purposes and legal basis

• Providing the service (account, companies, contracts, documentation and alerts): performance of the terms of use you accept (Art. 6(1)(b) GDPR).
• Sending service emails (invitations, communications, alerts and daily summary): performance of the terms. The daily summary and communication emails can be turned off in your profile.
• Security and traceability (activity log, abuse prevention and company verification): legitimate interest in protecting the platform and in coordination being provable (Art. 6(1)(f) GDPR).
• Answering enquiries and access requests: your consent when you write to us and our legitimate interest in replying.
• Complying with legal obligations where applicable (Art. 6(1)(c) GDPR).

We do not make automated decisions with legal effects on people or build profiles for commercial purposes. We do not sell data.

5. Who else sees the data

• The companies you coordinate with: in each contract, the contracting company and the supplier see the data and documents shared in it.
• Technology providers (processors):
  • Microsoft Ireland Operations Ltd.: hosting of the application, database and files in European Union data centres (Azure), sign-in (Microsoft Entra External ID) and email delivery (Azure Communication Services).
  • Cloudflare, Inc.: the domain's name servers and visit statistics for this website (Cloudflare Web Analytics).
• Authorities, only where required by law.

6. Transfers outside the European Economic Area

Data is hosted in the European Union. Microsoft may access data from outside the EEA for support or security, and Cloudflare processes visit statistics on its global network; such transfers rely on the EU-US Data Privacy Framework and the standard contractual clauses approved by the European Commission.

7. How long

• Account and company data, while they are active. After closure, it is kept blocked only as long as needed for possible legal liabilities and then deleted.
• Data uploaded by companies, while the company uses the service or until it deletes it; at the end, it is deleted or returned, as the company chooses.
• The activity log, as long as needed to evidence coordination and the security of the service.
• Pilot phase: data in the test environment will be deleted when that phase ends, with prior notice so companies can download what they need.

8. Your rights

You can request access to, rectification or erasure of your data, object to its processing, request its restriction or portability, and withdraw any consent you have given. Write to hola@coorvia.app stating which right you are exercising. If it concerns data uploaded by your company (for example, as a worker), you can contact the company or us and we will pass the request on.

If you believe we have not handled your request properly, you can complain to the Spanish Data Protection Agency (www.aepd.es).

9. Security

Communications are encrypted (HTTPS) and data is stored encrypted. Access uses Microsoft Entra accounts, each user only sees the data of the companies they belong to and according to their role, and changes are logged. Uploaded files are checked to ensure their content matches their type.

10. Cookies and browser storage

We do not use advertising or analytics cookies. Microsoft's sign-in uses technical cookies on its own domain, and the website and application store in the browser only what they need to work (the session, the language, the light or dark theme). As they are strictly necessary, they do not require consent.

To know how many visits the public website (not the application) receives, we use Cloudflare Web Analytics, which does not use cookies or store anything in your browser and does not identify individuals: it only counts page views, referring pages and loading performance. The legal basis is our legitimate interest in understanding how the website is used in order to improve it.

11. Changes

If we change this policy, we will update the date above and, if the change is significant, notify users.