1. Introducción

Esta Política de Retención de Datos describe cómo Yave gestiona el almacenamiento y eliminación de datos personales de acuerdo con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPD) española.

Yave aplica el principio de limitación del almacenamiento: los datos personales se conservan únicamente durante el tiempo necesario para los fines para los que fueron recopilados.

2. Períodos de Retención por Tipo de Dato

2.1 Datos de Perfil de Lead

• Datos: Nombre, número de teléfono, idioma preferido, estado de consentimiento
• Período de retención: Hasta que el lead solicite la eliminación o 365 días de inactividad
• Justificación: Necesario para mantener el historial de conversación y preferencias
• Acción tras expiración: Anonimización (hash SHA-256 del teléfono, eliminación del nombre)

2.2 Mensajes de Conversación

• Datos: Contenido de mensajes de WhatsApp (texto enviado y recibido)
• Período de retención: 12 meses desde la fecha del mensaje
• Justificación: Necesario para contexto de conversación y resolución de disputas
• Acción tras expiración: Eliminación del contenido, conservación de metadatos (timestamp, rol)

2.3 Memorias Semánticas

• Datos: Preferencias de búsqueda extraídas (ubicación, presupuesto, características deseadas)
• Período de retención: 90 días de inactividad
• Justificación: Necesario para personalización de búsquedas
• Acción tras expiración: Eliminación completa

2.4 Reservas de Visitas

• Datos: Fecha/hora de visita, propiedad, estado de confirmación
• Período de retención: 24 meses desde la fecha de la visita
• Justificación: Necesario para historial de actividad y análisis de conversión
• Acción tras expiración: Eliminación completa

2.5 Registros de Auditoría

• Datos: Logs de acceso a datos, cambios de consentimiento, exportaciones, eliminaciones
• Período de retención: 7 años
• Justificación: Obligación legal de demostrar cumplimiento del RGPD
• Acción tras expiración: Eliminación completa

2.6 Exportaciones de Datos

• Datos: Archivos JSON con todos los datos del lead
• Período de retención: 7 días desde la generación
• Justificación: Tiempo razonable para que el lead descargue sus datos
• Acción tras expiración: Eliminación automática del almacenamiento temporal

3. Categorías de Inactividad

3.1 Lead Activo

Definición: Lead que ha enviado un mensaje en los últimos 90 días
Acción: Ninguna, todos los datos se conservan

3.2 Lead Inactivo

Definición: Lead sin actividad durante 90-365 días
Acción: Eliminación de memorias semánticas, conservación de perfil y mensajes

3.3 Lead Inactivo Prolongado

Definición: Lead sin actividad durante más de 365 días
Acción: Anonimización completa (hash de teléfono, eliminación de nombre y contenido de mensajes)

3.4 Lead con Consentimiento Retirado

Definición: Lead que ha solicitado explícitamente la eliminación de sus datos
Acción: Eliminación completa (hard delete) tras 30 días de período de gracia

4. Proceso de Retención Automatizado

Yave ejecuta una tarea automatizada diaria que:

1. Identifica leads que cumplen los criterios de retención
2. Aplica las acciones correspondientes (eliminación, anonimización)
3. Registra todas las operaciones en el log de auditoría
4. Procesa en lotes de 100 registros para garantizar la estabilidad del sistema
5. Reintenta operaciones fallidas en la siguiente ejecución

5. Excepciones a la Retención

Los datos pueden conservarse más allá de los períodos estándar en los siguientes casos:

• Obligación legal: Cuando la ley española o europea requiera la conservación (ej. registros de auditoría durante 7 años)
• Litigio pendiente: Cuando exista una disputa legal activa relacionada con el lead
• Investigación de fraude: Cuando se sospeche actividad fraudulenta

En estos casos, se aplicará una "retención legal" (legal hold) que suspende la eliminación automática hasta que se resuelva la situación.

6. Derechos del Interesado

Los leads tienen derecho a:

• Solicitar eliminación anticipada: Enviar "borrar mis datos" por WhatsApp para eliminar todos los datos antes de los períodos estándar
• Exportar sus datos: Solicitar una copia de todos sus datos personales en formato JSON
• Rectificar datos incorrectos: Solicitar corrección de información inexacta
• Oponerse al procesamiento: Retirar el consentimiento en cualquier momento

7. Configuración por Agencia

Las agencias inmobiliarias pueden personalizar ciertos períodos de retención dentro de los límites legales:

• Período de inactividad: Entre 90 y 365 días (por defecto: 90 días)
• Período de inactividad prolongada: Entre 365 y 730 días (por defecto: 365 días)

Los períodos mínimos están establecidos por el RGPD y no pueden reducirse. Los períodos máximos están limitados para garantizar el cumplimiento del principio de limitación del almacenamiento.

8. Seguridad de Datos Durante la Retención

Durante todo el período de retención, los datos están protegidos mediante:

• Cifrado AES-256 en reposo
• Cifrado TLS 1.3 en tránsito
• Control de acceso basado en roles (RBAC)
• Aislamiento multi-tenant mediante filtrado por inquilino (tenant)
• Copias de seguridad automáticas con retención de 30 días
• Registro de auditoría inmutable de todos los accesos

9. Contacto

Para consultas sobre esta política de retención o para ejercer sus derechos, contacte con:

Delegado de Protección de Datos (DPO)
Email: dpo@yave.ai
Teléfono: [Número de contacto]

Data Retention Policy

Last updated: 9/12/2026

1. Introduction

This Data Retention Policy describes how Yave manages the storage and deletion of personal data in accordance with the General Data Protection Regulation (GDPR) and Spanish Data Protection Law (LOPD).

Yave applies the principle of storage limitation: personal data is retained only for as long as necessary for the purposes for which it was collected.

2. Retention Periods by Data Type

2.1 Lead Profile Data

• Data: Name, phone number, preferred language, consent status
• Retention period: Until lead requests deletion or 365 days of inactivity
• Justification: Necessary to maintain conversation history and preferences
• Action after expiration: Anonymization (SHA-256 phone hash, name deletion)

2.2 Conversation Messages

• Data: WhatsApp message content (sent and received text)
• Retention period: 12 months from message date
• Justification: Necessary for conversation context and dispute resolution
• Action after expiration: Content deletion, metadata retention (timestamp, role)

2.3 Semantic Memories

• Data: Extracted search preferences (location, budget, desired features)
• Retention period: 90 days of inactivity
• Justification: Necessary for search personalization
• Action after expiration: Complete deletion

2.4 Appointment Bookings

• Data: Appointment date/time, property, confirmation status
• Retention period: 24 months from appointment date
• Justification: Necessary for activity history and conversion analysis
• Action after expiration: Complete deletion

2.5 Audit Logs

• Data: Data access logs, consent changes, exports, deletions
• Retention period: 7 years
• Justification: Legal obligation to demonstrate GDPR compliance
• Action after expiration: Complete deletion

2.6 Data Exports

• Data: JSON files with all lead data
• Retention period: 7 days from generation
• Justification: Reasonable time for lead to download their data
• Action after expiration: Automatic deletion from temporary storage

3. Inactivity Categories

3.1 Active Lead

Definition: Lead who sent a message in the last 90 days
Action: None, all data is retained

3.2 Inactive Lead

Definition: Lead with no activity for 90-365 days
Action: Deletion of semantic memories, retention of profile and messages

3.3 Dormant Lead

Definition: Lead with no activity for more than 365 days
Action: Complete anonymization (phone hash, name and message content deletion)

3.4 Opted-Out Lead

Definition: Lead who explicitly requested data deletion
Action: Complete deletion (hard delete) after 30-day grace period

4. Automated Retention Process

Yave runs a daily automated task that:

1. Identifies leads meeting retention criteria
2. Applies corresponding actions (deletion, anonymization)
3. Records all operations in the audit log
4. Processes in batches of 100 records to ensure system stability
5. Retries failed operations on next execution

5. Retention Exceptions

Data may be retained beyond standard periods in the following cases:

• Legal obligation: When Spanish or European law requires retention (e.g., audit logs for 7 years)
• Pending litigation: When there is an active legal dispute related to the lead
• Fraud investigation: When fraudulent activity is suspected

In these cases, a "legal hold" will be applied that suspends automatic deletion until the situation is resolved.

6. Data Subject Rights

Leads have the right to:

• Request early deletion: Send "delete my data" via WhatsApp to delete all data before standard periods
• Export their data: Request a copy of all their personal data in JSON format
• Rectify incorrect data: Request correction of inaccurate information
• Object to processing: Withdraw consent at any time

7. Agency Configuration

Real estate agencies can customize certain retention periods within legal limits:

• Inactivity period: Between 90 and 365 days (default: 90 days)
• Dormant period: Between 365 and 730 days (default: 365 days)

Minimum periods are established by GDPR and cannot be reduced. Maximum periods are limited to ensure compliance with the storage limitation principle.

8. Data Security During Retention

Throughout the retention period, data is protected by:

• AES-256 encryption at rest
• TLS 1.3 encryption in transit
• Role-based access control (RBAC)
• Multi-tenant isolation via per-tenant filtering
• Automated backups with 30-day retention
• Immutable audit logging of all access

9. Contact

For inquiries about this retention policy or to exercise your rights, contact:

Data Protection Officer (DPO)
Email: dpo@yave.ai
Phone: [Contact number]