Política de privacidad de IDVAR
Última actualización: 15 de octubre de 2026
IDVerifier S.L., NIF B23929896, con domicilio en Calle Cronos, 63, 28037 Madrid, España, proporciona la aplicación IDVAR y sus servicios asociados. Para cuestiones de privacidad puede contactar con privacy@idvar.ai y, para soporte técnico, con support@idvar.ai.
1. Ámbito de esta política
Esta política explica cómo se tratan los datos personales al utilizar IDVAR, una aplicación móvil que permite completar verificaciones de identidad solicitadas por organizaciones mediante enlaces o códigos QR compatibles. El contenido de cada verificación depende de la organización que la inicia.
La presente política describe los tratamientos asociados a la aplicación y a la plataforma de IDVerifier S.L. La organización que solicita una verificación puede recibir y tratar sus resultados para sus propias finalidades, sobre las que debe informar al usuario mediante su propia política de privacidad.
2. Responsabilidades en el tratamiento
IDVerifier S.L. actúa como responsable de los tratamientos que determina para la administración de cuentas, operación, seguridad y soporte de su plataforma. Cuando procesa información por cuenta de una organización que solicita una verificación y siguiendo sus instrucciones, actúa como encargado del tratamiento en el alcance que corresponda.
La organización solicitante determina la finalidad de sus verificaciones, los datos que necesita y el uso posterior de los resultados. También le corresponde informar de la base jurídica de ese tratamiento, de los periodos de conservación aplicables y del ejercicio de derechos ante ella.
3. Información que puede tratar IDVAR
Según el procedimiento solicitado, IDVAR puede procesar:
- Documentos de identidad: imágenes y datos extraídos, como nombre, fecha de nacimiento, nacionalidad, número de documento y otros atributos del documento compatible.
- Información facial: imágenes capturadas y datos derivados para comparación de rostros, prueba de vida y estimación de edad.
- Huellas dactilares: imágenes y datos relacionados, cuando el procedimiento requiere este módulo.
- Resultados de verificación: comprobaciones de autenticidad, coincidencias, estimaciones, atributos seleccionados o información documental solicitada.
- Cuenta y autenticación: dirección de correo electrónico, identificadores de cuenta, identificadores y claves públicas de credenciales WebAuthn (passkeys), y datos técnicos de sesión.
- Funcionamiento y seguridad: identificadores de dispositivo, aplicación, sesión y transacción, marcas temporales, estados de operaciones, errores y otros datos técnicos necesarios para la seguridad y el funcionamiento del servicio.
- Soporte y pruebas beta: mensajes voluntarios de soporte y, cuando se utiliza Apple TestFlight, informes de fallos, información técnica y comentarios que el participante comparta.
No se utilizan todas estas categorías en cada verificación.
4. Finalidades y bases jurídicas
IDVAR trata información para ejecutar las operaciones solicitadas y autorizadas, proteger y transmitir sus resultados al destinatario correspondiente, gestionar cuentas y passkeys, mantener la seguridad y disponibilidad de la plataforma, investigar errores e incidentes y responder consultas. Durante las pruebas beta, también se usa el feedback recibido para detectar y corregir problemas.
En los tratamientos que determina IDVerifier S.L., las bases jurídicas pueden ser la ejecución de un contrato o de medidas solicitadas por el usuario, el cumplimiento de obligaciones legales o el interés legítimo en garantizar la seguridad, prevenir abusos y prestar soporte, según la operación concreta. Cuando una actividad requiera consentimiento conforme a la normativa aplicable, este se solicitará de la forma correspondiente.
La información biométrica destinada a identificar de manera unívoca a una persona puede estar sujeta a la protección reforzada del artículo 9 del RGPD. La organización que solicita la verificación debe disponer de las bases y condiciones jurídicas apropiadas para su tratamiento. La aceptación de las comprobaciones que muestra IDVAR permite al usuario decidir si participa en ese proceso, pero no sustituye las obligaciones legales de la organización solicitante.
IDVerifier S.L. no utiliza las imágenes ni los datos biométricos obtenidos durante verificaciones de identidad para publicidad comportamental.
5. Verificación en el dispositivo y comunicación de resultados
La organización participante inicia la sesión y facilita un enlace o QR. IDVAR muestra las comprobaciones requeridas y solicita la aprobación del usuario antes de comenzar su ejecución. El usuario puede rechazar la solicitud.
Las operaciones de análisis documental y biométrico se realizan localmente en el dispositivo. IDVAR integra componentes tecnológicos especializados de terceros para estas operaciones. Su ejecución local no implica transmitir imágenes de documentos, rostros, huellas ni resultados de las verificaciones a los servidores de los proveedores de dichas tecnologías.
El contenido de los resultados puede variar: según las comprobaciones aprobadas, la organización solicitante puede recibir atributos personales, imágenes autorizadas o resultados técnicos de verificación. Antes de su transmisión a través de la infraestructura intermediaria, los resultados sensibles se protegen criptográficamente para su destinatario.
6. Conservación de datos
Datos de verificación y mensajería temporal. La infraestructura de intermediación segura de IDVAR transporta mensajes de verificación protegidos y los conserva de forma temporal durante la vigencia de la sesión, con expiración automática (TTL). Esta infraestructura no mantiene copias persistentes de esos mensajes en bases de datos o sistemas de almacenamiento. La organización solicitante puede conservar los resultados recibidos según su propia información de privacidad.
Registros de seguridad. El sistema de registros técnicos y de seguridad de IDVAR registra eventos —por ejemplo, identificadores de sesión o transacción, marcas temporales, estados y errores— sin conservar imágenes de documentos, plantillas biométricas ni resultados de las verificaciones. Los registros se conservan al menos doce meses, atendiendo a las necesidades de seguridad, trazabilidad e investigación de incidentes. Durante la fase beta, su revisión y eliminación se realizan mediante un procedimiento manual por personal autorizado. La automatización de esa gestión está prevista para producción. Los registros se revisan para determinar si continúa siendo necesaria su conservación, considerando obligaciones aplicables e investigaciones de seguridad en curso.
Cuenta y autenticación. Los datos de cuenta y credenciales públicas de autenticación se mantienen mientras la cuenta esté activa y se necesitan para prestar el servicio. El usuario puede iniciar la eliminación de su cuenta desde IDVAR, lo que elimina los registros de cuenta y las credenciales asociadas del sistema de autenticación activo. Pueden subsistir temporalmente datos en copias de seguridad o registros sujetos a medidas y obligaciones de conservación del proveedor, con arreglo a sus condiciones aplicables.
Historial en el dispositivo. IDVAR puede mostrar al usuario un historial local de sus verificaciones. Este historial no equivale a un repositorio centralizado de documentos o biometría de la plataforma; se gestiona desde el propio dispositivo y su disponibilidad depende de la información local conservada por la aplicación.
Soporte y beta. Las comunicaciones de soporte y los comentarios de pruebas se conservan mientras resulten necesarios para atender la solicitud, analizar el problema y cumplir las obligaciones aplicables. El usuario puede solicitar su supresión cuando proceda.
7. Proveedores y destinatarios
IDVAR utiliza servicios de infraestructura tecnológica y seguridad para operar la plataforma. En particular:
- Un proveedor externo de autenticación gestionada presta servicios de autenticación, cuentas y sesiones. La instancia utilizada por IDVAR se aloja en Irlanda (Unión Europea) y puede tratar correo electrónico, identificadores, datos de sesión y credenciales públicas WebAuthn.
- Proveedores de componentes especializados de verificación documental y biométrica suministran tecnologías ejecutadas localmente en la aplicación. Estos proveedores no reciben en sus servidores las imágenes o los resultados de las verificaciones realizadas por IDVAR.
- Las organizaciones solicitantes reciben, conforme a cada flujo, la información y los resultados destinados a ellas.
- Proveedores de infraestructura cloud y operaciones prestan servicios técnicos necesarios para el alojamiento, la seguridad y la observabilidad de la plataforma.
- Apple, en el contexto de TestFlight, puede facilitar informes técnicos y feedback enviados por participantes en las pruebas.
8. Transferencias internacionales
La instancia de autenticación gestionada empleada por IDVAR está alojada en Irlanda, dentro del Espacio Económico Europeo. Esta localización no excluye que un proveedor o subencargado pueda realizar determinados accesos o tratamientos desde otros países. Cuando exista una transferencia internacional de datos personales, esta deberá contar con el mecanismo y las garantías previstos por la normativa aplicable. Puede solicitar información adicional sobre los proveedores y las garantías aplicables a privacy@idvar.ai.
9. Seguridad y passkeys
IDVAR utiliza medidas de autenticación, cifrado, control de accesos, verificación de integridad y seguimiento de eventos de seguridad. La infraestructura intermediaria de mensajes no necesita acceder al contenido en claro de los resultados sensibles.
Para las cuentas opcionales, IDVAR utiliza passkeys basadas en WebAuthn. Las claves privadas permanecen bajo control del autenticador del usuario y no se transmiten a IDVerifier ni al proveedor de autenticación gestionada. Si el dispositivo utiliza Face ID, Touch ID u otro método local para autorizar una passkey, las imágenes o plantillas biométricas de ese mecanismo no se remiten al servicio de autenticación.
10. Eliminación de cuentas y derechos
El usuario puede eliminar su cuenta desde las funciones de la aplicación IDVAR. También puede escribir a privacy@idvar.ai para ejercer, cuando proceda, los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento. La retirada del consentimiento no afecta a la licitud del tratamiento anterior.
Cuando la solicitud se refiera a resultados conservados por la organización que inició una verificación, debe dirigirse a esa organización, que determina el tratamiento posterior. IDVerifier S.L. colaborará cuando deba hacerlo en calidad de encargado del tratamiento.
Se puede presentar una reclamación ante la Agencia Española de Protección de Datos: https://www.aepd.es.
11. Usuarios menores de edad
IDVAR puede intervenir en verificaciones de edad, incluidas aquellas destinadas a comprobar si una persona cumple un umbral establecido por un servicio externo. IDVAR no concede por sí sola acceso a los servicios de esas organizaciones ni sustituye sus restricciones de edad. La organización solicitante es responsable de informar y aplicar los requisitos legales relativos a menores, incluyendo autorizaciones parentales cuando correspondan.
12. Pruebas mediante TestFlight
Si se utiliza una versión beta de IDVAR mediante Apple TestFlight, Apple puede proporcionar al desarrollador información de fallos y uso y, cuando el participante la facilite, comentarios o capturas de pantalla. IDVerifier S.L. utiliza esos datos para analizar problemas y mejorar la aplicación. Recomendamos no incluir documentos de identidad ni imágenes biométricas en comentarios o capturas remitidas a soporte.
13. Cambios en esta política
Podemos modificar esta política para reflejar cambios en el servicio, las operaciones de tratamiento o las obligaciones legales. La versión vigente incluirá la fecha de su última actualización.
14. Contacto
IDVerifier S.L. — NIF B23929896
Calle Cronos, 63, 28037 Madrid, España
Privacidad: privacy@idvar.ai
Soporte: support@idvar.ai
Web: https://idvar.ai