Política de privacidad

1. Responsable del tratamiento

Responsable: MORENO XCD RENT A CAR, SOCIEDAD LIMITADA, sociedad unipersonal (en adelante, «XCD Rent a Car» o «XCD»). NIF: B55710420. Domicilio: Ctra. del Pla de Santa Maria, 174, 43800 Valls (Tarragona), España. Teléfono: 977 604 996. Email de contacto para privacidad: [email protected]. Sitio web: www.xcdrent.com.

Esta Política explica cómo tratamos los datos personales obtenidos a través de la web y el motor de reservas, en nuestras oficinas, mediante contratos de alquiler, atención telefónica, correo electrónico y mensajería, y a través de los sistemas técnicos asociados a los vehículos y al servicio.

2. Principios de tratamiento

XCD tratará los datos personales de forma lícita, leal y transparente y aplicará los principios de limitación de finalidad, minimización, exactitud, limitación del plazo de conservación, seguridad y responsabilidad proactiva.

Recabaremos únicamente los datos razonablemente necesarios para gestionar reservas y alquileres, verificar requisitos, proteger la flota, tramitar incidencias y cumplir obligaciones legales. Cuando un dato deje de ser necesario se suprimirá o bloqueará conforme a la normativa aplicable.

3. Qué datos podemos tratar

Según la relación con XCD y los servicios utilizados, podemos tratar:

• Datos identificativos y de contacto: nombre, apellidos, DNI/NIE/pasaporte, dirección, email, teléfono y firma.
• Datos de conducción: permiso de conducir, país de expedición, categorías, fechas de validez y antigüedad.
• Datos de empresa y facturación: razón social, NIF, domicilio, contacto, condiciones comerciales y datos necesarios para facturación.
• Datos de reserva y contrato: número de reserva/contrato, oficina, vehículo, grupo, fechas y horas, extras, tarifa, kilometraje, combustible o energía, fianza, franquicia y protección contratada.
• Datos de pago: importe, estado de autorización, preautorización, PAN enmascarado cuando lo facilite el proveedor, token o referencia segura y demás identificadores necesarios para procesar pagos y devoluciones. XCD no necesita almacenar el número completo de tarjeta.
• Datos de uso del vehículo: kilometraje, niveles de combustible o carga, incidencias, averías, siniestros, multas, peajes, estacionamientos y asistencias.
• Fotografías, vídeos y registros digitales del vehículo: estado exterior e interior, daños, zona de carga, kilometraje, combustible o carga, accesorios, ubicación de devolución y otros elementos relevantes para documentar la entrega o devolución.
• Datos GPS o telemáticos en los vehículos que incorporen estos sistemas: posición, trayecto, eventos técnicos y otra información disponible en el dispositivo.
• Documentación de apoyo: cuando sea necesaria para comprobar identidad, habilitación para conducir, entrada o permanencia en España u otros requisitos legales o contractuales.
• Comunicaciones: correos electrónicos, llamadas cuando legalmente se graben e informe de ello, mensajes de WhatsApp Business, formularios web y reclamaciones.
• Datos relacionados con seguridad y prevención del fraude: incidencias objetivas, intentos de uso ilícito, falsedad documental, impagos o reclamaciones cuando resulte necesario y proporcionado para proteger a XCD y sus vehículos.
• Datos de marketing y navegación: preferencias y datos obtenidos mediante cookies o tecnologías similares cuando exista base jurídica para ello.

4. Cómo verificamos documentación

Como criterio general, XCD verifica la documentación original y registra únicamente los datos necesarios para formalizar el alquiler y acreditar el cumplimiento de requisitos.

No conservaremos de forma sistemática copias completas de documentos de identidad cuando no resulten necesarias. Si fuera preciso conservar una imagen, copia o evidencia documental por una obligación legal, una necesidad contractual, de seguridad o de defensa frente a reclamaciones, se limitará a lo estrictamente necesario y durante el plazo aplicable.

Cuando para acreditar la habilitación para conducir en España sea necesario presentar billetes, sellos, permisos de residencia u otra documentación, XCD procurará conservar únicamente la evidencia imprescindible y evitar información adicional que no sea necesaria para esa finalidad.

5. Finalidades y bases jurídicas

XCD puede tratar los datos para las siguientes finalidades:

a) Gestión de solicitudes y reservas. Para responder consultas, comprobar disponibilidad, preparar presupuestos y tramitar reservas. Base jurídica: medidas precontractuales y ejecución de la relación solicitada.

b) Formalización y ejecución del alquiler. Para alta de clientes, verificación de requisitos, entrega y devolución, facturación, kilómetros, combustible, ampliaciones, sustituciones, atención y postventa. Base jurídica: ejecución del contrato.

c) Fianzas, pagos y cobros posteriores. Para gestionar pagos, preautorizaciones, devoluciones y cargos derivados del alquiler debidamente autorizados y documentados. Base jurídica: ejecución del contrato y, cuando resulte necesario, interés legítimo en cobrar cantidades contractualmente debidas y defender la relación contractual.

d) Gestión de daños, siniestros y asistencia. Para documentar el estado del vehículo, comparar entrega y devolución, tramitar reparaciones, peritaciones, seguros, reclamaciones y recuperación frente a terceros. Base jurídica: ejecución del contrato, interés legítimo en proteger el patrimonio y formular, ejercer o defender reclamaciones y, cuando corresponda, obligaciones legales.

e) Seguridad, prevención del fraude y protección de la flota. Para detectar documentación falsa, apropiación o no devolución, usos ilícitos, incumplimientos graves o situaciones que pongan en riesgo el vehículo. Base jurídica: interés legítimo de XCD, aplicado de forma proporcional y teniendo en cuenta los derechos del interesado.

f) Multas, sanciones, peajes y requerimientos. Para identificar al conductor, responder a autoridades y gestionar expedientes. Base jurídica: obligación legal y, según el caso, ejecución del contrato.

g) Contabilidad, fiscalidad y cumplimiento normativo. Base jurídica: obligaciones legales.

h) Comunicaciones operativas. Para enviar confirmaciones, contratos, facturas, avisos de devolución, incidencias, mantenimiento, pagos o asistencia. Base jurídica: ejecución del contrato e interés legítimo en prestar y documentar correctamente el servicio.

i) Comunicaciones comerciales. Para informar de ofertas o servicios cuando exista consentimiento o cualquier otra base jurídica permitida por la normativa de comunicaciones comerciales. La persona podrá oponerse o darse de baja en cualquier momento.

j) Cookies y tecnologías no necesarias. Base jurídica: consentimiento cuando sea exigible.

6. Fotografías, vídeos y evidencias del vehículo

XCD puede realizar fotografías, vídeos y otros registros digitales antes de la entrega, durante una incidencia y en la devolución. Su finalidad es documentar de forma objetiva el estado del vehículo y proteger tanto a XCD como al cliente frente a discrepancias sobre daños, kilometraje, combustible, carga o accesorios.

Las imágenes se enfocarán preferentemente al vehículo y a los elementos necesarios para documentar el alquiler. Se procurará evitar captar personas u otra información ajena a la finalidad. Si una persona aparece de forma incidental, la imagen no se utilizará para finalidades distintas de la gestión y defensa del alquiler.

Las fotografías, vídeos y registros ordinarios se conservarán durante el tiempo necesario para documentar correctamente la entrega y devolución, atender incidencias y gestionar posibles discrepancias derivadas del alquiler. Cuando exista un daño, reclamación, chargeback, expediente administrativo, siniestro o procedimiento, las evidencias relacionadas podrán conservarse durante el tiempo necesario para gestionar el asunto y posteriormente quedar bloqueadas durante los plazos legales aplicables.

7. Geolocalización y telemática de vehículos

Determinados vehículos pueden incorporar GPS o sistemas telemáticos. XCD podrá tratar los datos disponibles en estos sistemas para:

• asistencia y localización ante avería o emergencia;
• recuperación de vehículos robados, apropiados o no devueltos;
• protección de la flota y prevención del fraude;
• comprobar, cuando exista una causa justificada, el cumplimiento de limitaciones territoriales o la localización de una devolución;
• investigar siniestros, daños graves, incidencias de seguridad o usos manifiestamente contrarios al Contrato.

La geolocalización no tiene como finalidad realizar un seguimiento personal permanente de los desplazamientos ordinarios del cliente. El acceso a la información deberá limitarse al personal autorizado y a los supuestos necesarios para las finalidades anteriores.

Los datos GPS o telemáticos no asociados a una incidencia se conservarán únicamente durante el tiempo necesario para las finalidades descritas y conforme a la configuración técnica y política de conservación aplicable. Si resultan necesarios para un siniestro, fraude, reclamación, requerimiento de autoridad o procedimiento, los datos relevantes podrán conservarse durante el tiempo necesario para su gestión y durante los plazos legales aplicables.

8. Pagos, tokenización y cargos posteriores

XCD utiliza proveedores y pasarelas de pago seguras. En la operativa actualmente implantada, Carplus puede gestionar referencias de pago y CaixaBank/Redsys presta el servicio bancario de tokenización.

La tokenización sustituye los datos completos de la tarjeta por un identificador o referencia segura. XCD puede recibir datos enmascarados, confirmaciones de autorización y tokens necesarios para gestionar la reserva, la fianza y los pagos, sin necesidad de almacenar el número completo de tarjeta.

Cuando el cliente lo haya autorizado en el Contrato y la operativa bancaria lo permita, el token podrá utilizarse para cargos posteriores directamente derivados del alquiler que solo puedan determinarse durante o después de la devolución, como combustible o energía faltante, kilómetros adicionales, devolución tardía, peajes, aparcamientos, sanciones y gastos de gestión, limpieza, tabaco, accesorios, asistencias o daños imputables.

El token y los datos asociados se conservarán únicamente durante el período necesario para gestionar el alquiler, sus cargos posteriores y posibles disputas o reclamaciones, de acuerdo con la configuración y reglas del proveedor de pagos. Cuando dejen de ser necesarios deberán eliminarse, invalidarse o dejar de estar disponibles para XCD conforme al funcionamiento del sistema.

Los proveedores de pago pueden tratar los datos bajo sus propias obligaciones legales y de seguridad aplicables a los servicios de pago.

9. Prevención del fraude y decisiones

XCD puede utilizar información objetiva de reservas, contratos, documentación, pagos, incidencias, daños o geolocalización para prevenir fraude, apropiación, uso ilícito y riesgos relevantes para la flota.

Las medidas de seguridad no deben basarse de forma exclusiva en categorías personales ajenas al riesgo contractual. XCD aplicará criterios relacionados con documentación, comportamiento contractual, incidencias verificables y demás elementos pertinentes.

Con carácter general, XCD no adopta decisiones basadas exclusivamente en tratamientos automatizados que produzcan efectos jurídicos o afecten de forma similar y significativa a una persona. Si en el futuro se implantara un proceso de este tipo, se informaría previamente conforme al RGPD.

10. Plazos de conservación

Los plazos se aplicarán conforme a la finalidad y al principio de minimización. Como criterio general:

• Reservas no formalizadas y solicitudes: hasta 12 meses desde la última gestión, salvo reclamación o necesidad legal.
• Contratos, facturas y documentación contable: durante la relación y posteriormente durante los plazos mercantiles, fiscales y legales aplicables; como referencia, la documentación mercantil se conserva 6 años.
• Fotografías, vídeos y registros ordinarios del vehículo sin incidencia: durante el tiempo necesario para documentar el alquiler, atender posibles discrepancias y cumplir las finalidades indicadas, aplicando criterios periódicos de supresión o bloqueo.
• GPS/telemática sin incidencia: únicamente durante el tiempo necesario para las finalidades de seguridad, asistencia, protección de flota y control territorial justificadas, conforme a la configuración del proveedor y a la política interna de conservación.
• Daños, siniestros, chargebacks, impagos, reclamaciones, expedientes y evidencias relacionadas: durante su tramitación y, una vez finalizados, bloqueados durante los plazos de prescripción o responsabilidad legal aplicables.
• Documentación complementaria utilizada para acreditar requisitos de conducción o estancia: únicamente durante el tiempo necesario para acreditar la contratación y gestionar eventuales incidencias; se revisará su necesidad y se eliminará cuando deje de ser necesaria.
• Tokens y referencias de pago: durante el tiempo necesario para el alquiler, cargos posteriores y posibles disputas, conforme a la configuración del proveedor.
• Comunicaciones operativas por email o mensajería: hasta 24 meses cuando sean necesarias para trazabilidad, salvo que deban incorporarse a un expediente contractual o de reclamación.
• Marketing: hasta la retirada del consentimiento u oposición. XCD podrá revisar y eliminar datos de contactos inactivos de forma periódica.

Cuando los datos deban conservarse para atender posibles responsabilidades, permanecerán bloqueados o con acceso restringido y no se utilizarán para finalidades ordinarias.

11. Destinatarios y proveedores

Para gestionar los servicios, XCD podrá comunicar o permitir acceso a datos, cuando resulte necesario y con la base jurídica correspondiente, a:

• entidades bancarias, adquirentes y pasarelas de pago, incluyendo actualmente CaixaBank/Redsys;
• proveedores del software de alquiler y reservas, incluyendo actualmente Carplus;
• aseguradoras, corredurías, asistencia en carretera, peritos y talleres;
• proveedores de geolocalización, telemática, hosting, correo, mensajería, copias de seguridad y soporte tecnológico;
• abogados, asesores, empresas de recobro o profesionales necesarios para formular o defender reclamaciones;
• Fuerzas y Cuerpos de Seguridad, juzgados, administraciones, organismos tributarios, autoridades de tráfico y otras autoridades cuando exista obligación legal o requerimiento válido;
• terceros responsables o sus aseguradoras cuando sea necesario para tramitar un siniestro o reclamación.

Los proveedores que actúen por cuenta de XCD deberán disponer del correspondiente contrato de encargado del tratamiento cuando resulte exigible.

12. Transferencias internacionales

Algunos proveedores tecnológicos pueden tratar datos desde países situados fuera del Espacio Económico Europeo. Cuando exista una transferencia internacional, XCD exigirá que se ampare en un mecanismo válido conforme al RGPD, como una decisión de adecuación, Cláusulas Contractuales Tipo u otras garantías reconocidas.

La información concreta sobre transferencias relevantes podrá solicitarse a XCD a través del canal de privacidad.

13. Derechos de las personas

Las personas interesadas pueden ejercer, cuando resulten aplicables, los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar un consentimiento previamente otorgado.

La solicitud puede enviarse a [email protected] o por escrito al domicilio indicado en esta Política. XCD podrá solicitar información razonable para verificar la identidad de la persona solicitante cuando resulte necesario.

También puede presentarse una reclamación ante la Agencia Española de Protección de Datos (AEPD) si se considera que el tratamiento no se ajusta a la normativa.

14. Seguridad

XCD aplica medidas técnicas y organizativas apropiadas al riesgo, incluyendo gestión de usuarios y permisos, control de acceso, copias de seguridad, actualizaciones, protección de dispositivos y sistemas, cifrado en tránsito cuando corresponda, minimización de datos y procedimientos internos de conservación y eliminación.

El acceso a fotografías, GPS, pagos y expedientes de incidencias deberá limitarse a las personas que lo necesiten para sus funciones.

15. Comunicaciones por email, teléfono y WhatsApp

XCD puede utilizar email, teléfono o WhatsApp Business para comunicaciones necesarias para gestionar reservas, alquileres, entregas, devoluciones, incidencias, asistencia, pagos o atención al cliente.

Las comunicaciones comerciales se diferenciarán de las comunicaciones operativas. Cuando sea necesario el consentimiento para marketing, éste se solicitará de forma separada y podrá retirarse en cualquier momento.

16. Cookies

La web utiliza cookies y tecnologías similares. Las cookies técnicas necesarias pueden utilizarse sin consentimiento cuando la normativa lo permita. Las cookies analíticas, publicitarias o de otros tipos que requieran consentimiento solo se activarán de acuerdo con las preferencias del usuario.

La información detallada se encuentra en la Política de Cookies y en el panel de gestión de consentimiento.

17. Datos de menores

Los contratos de alquiler están sujetos a los requisitos mínimos de edad establecidos por XCD. La web no está destinada a crear perfiles de alquiler de menores que no puedan contratar.

Si XCD recibe incidentalmente datos de menores en una comunicación o documentación, los tratará únicamente cuando resulte necesario y exista una base jurídica adecuada.

18. Cambios en esta Política

XCD podrá actualizar esta Política para adaptarla a cambios legales, operativos, tecnológicos o de proveedores. La nueva versión indicará su fecha de vigencia.

Las modificaciones se aplicarán a los tratamientos futuros y no alterarán de forma retroactiva derechos o condiciones contractuales ya consolidadas.

Versión: XCD-PP-WEB-2026/01. Última actualización: 22/09/2026.