Política de privacidad

Esta política explica cómo se tratan los datos personales en Loyaltygo, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Quién trata tus datos

Titular: Diego Ceniceros, NIF 33006489V, con domicilio en Calle Espartinas 6, 28001 Madrid (España). Contacto: [email protected].

El papel de Loyaltygo depende de quién seas, y conviene distinguirlo porque cambia a quién debes dirigirte para ejercer tus derechos:

Si eres el dueño de un negocio que contrata el servicio, Loyaltygo es responsable del tratamiento de tus datos de cuenta.
Si eres cliente de un negocio y has obtenido su tarjeta de fidelidad, el responsable es ese negocio: es quien decide qué hace con tus datos. Loyaltygo actúa como encargado del tratamiento, es decir, trata esos datos únicamente siguiendo sus instrucciones y para prestarle el servicio.
Si Loyaltygo ha contactado a tu negocio para presentarle el servicio, Loyaltygo es responsable de los datos de contacto que usó (apartado 4).

Si solo visitas la web, para saber cuántas personas la visitan y desde dónde llegan se cuentan las visitas de forma agregada con Vercel Web Analytics. No instala cookies ni guarda nada en tu navegador: cada visita se agrupa con un identificador que se calcula en el servidor y se descarta a las 24 horas, y no permite seguirte por otras webs. Loyaltygo es responsable de esta medición, con base en su interés legítimo en mejorar la web (artículo 6.1.f del RGPD). No se usa en los paneles de los negocios, en el escáner ni en el formulario de alta de los clientes de cada negocio.

2. Si eres el dueño de un negocio

Qué datos se tratan

Datos de la cuenta: nombre del negocio, correo electrónico y contraseña cifrada.
Si accedes con Google, los datos básicos de tu perfil que Google comparte al iniciar sesión.
Datos de la suscripción y de facturación, gestionados por la pasarela de pago.
Datos técnicos mínimos de uso y de seguridad (por ejemplo, la dirección IP en los registros).

Para qué y con qué base legal

Prestar el servicio, mantener tu cuenta y darte soporte — ejecución del contrato.
Cobrar la suscripción y cumplir las obligaciones fiscales y contables — obligación legal y ejecución del contrato.
Mantener la seguridad del servicio, prevenir abusos y registrar errores — interés legítimo en que el servicio funcione y no se utilice de forma fraudulenta.
Enviarte avisos imprescindibles sobre tu cuenta — ejecución del contrato. No se envían comunicaciones comerciales sin tu consentimiento.

Cuánto tiempo

Mientras la cuenta esté activa. Si la eliminas, los datos de la cuenta y de tus clientes se borran de inmediato, salvo la información que deba conservarse por obligación legal (por ejemplo, la facturación, durante los plazos fiscales y mercantiles aplicables).

Si conectas tu correo para mandar las campañas

Puedes elegir que los correos de tus campañas, las felicitaciones de cumpleaños y las pruebas salgan desde tu propia dirección. Es opcional: si no lo haces, salen desde el correo de Loyaltygo.

Gmail u Outlook: al conectarlo, Google o Microsoft nos dan solo el permiso de enviar correo en tu nombre (en Google, gmail.send; en Microsoft, Mail.Send) y tu dirección de correo. No podemos leer, borrar ni modificar tus correos, ni ver tus contactos.
Ese permiso se usa únicamente para enviar los correos que tú creas en Loyaltygo a los clientes que aceptaron recibirlos. No se usa para nada más: no se vende, no se cede, no se utiliza para publicidad ni para entrenar modelos de inteligencia artificial, y ninguna persona lo consulta salvo que tú lo pidas para darte soporte o lo exija la ley.
El permiso se guarda cifrado. Al desconectar tu correo, o al eliminar tu cuenta, se borra y, en Google, se revoca. También puedes retirarlo cuando quieras desde tu cuenta de Google o tu cuenta de Microsoft.
El uso que hace Loyaltygo de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.
Tu dominio: si eliges enviar desde la dirección de tu propio dominio, lo damos de alta en nuestro proveedor de envío (Resend) solo para enviar, con los datos técnicos que tú añades en tu dominio. Al desconectarlo, se da de baja.

3. Si eres cliente de un negocio

El negocio que te entregó la tarjeta es el responsable de tus datos. Loyaltygo los trata por cuenta de ese negocio y no los utiliza para fines propios, no los vende ni los cede a nadie más allá de los proveedores enumerados en el apartado 6.

Qué datos se tratan

Los que facilitas al obtener la tarjeta: nombre, correo electrónico y, si quieres, teléfono y el día y el mes de tu cumpleaños (sin el año). El cumpleaños se usa únicamente para felicitarte ese día, y dejarlo en blanco no afecta a tu tarjeta.
La actividad de tu tarjeta: sellos o puntos acumulados, canjes y la fecha de cada movimiento.
Datos técnicos necesarios para que la tarjeta se actualice en tu teléfono, y la dirección IP y la fecha en que diste tu consentimiento para recibir comunicaciones, si lo diste.

Para qué y con qué base legal

Emitir tu tarjeta, registrar tus sellos y permitirte canjear el premio — la relación que mantienes con el negocio al pedir la tarjeta.
Si el negocio lo activa, avisarte en tu tarjeta cuando lleves un tiempo sin venir, con unos días para volver a por un sello o unos puntos de más. Se usa solo la fecha de tu última visita, dentro de la relación que mantienes con el negocio. Es un aviso de tu propia tarjeta, no un correo: puedes silenciarlo desactivando las notificaciones de la tarjeta en tu Wallet.
Si el negocio lo activa, escribirte una sola vez por correo, unas horas después de obtener la tarjeta, para preguntarte qué tal te fue y pedirte tu opinión en Google — el interés legítimo del negocio en conocer la opinión de sus clientes, dentro de la relación que mantienes con él (art. 6.1.f del RGPD y art. 21.2 de la LSSI). Te lo avisamos en el formulario, donde puedes marcar que prefieres que no te escriba, y el correo trae su enlace de baja. Solo se registra si pulsas el botón del correo.
Enviarte comunicaciones comerciales del negocio — únicamente con tu consentimiento. La casilla no viene marcada: solo quedas suscrito si la marcas tú, y guardamos la fecha y la IP desde la que la marcaste como prueba de ese consentimiento. Puedes retirarlo cuando quieras desde el enlace de baja de cualquier correo, sin que eso afecte a tu tarjeta.

Cuánto tiempo

Mientras el negocio mantenga su cuenta y tu tarjeta activa. Si el negocio elimina tu ficha o cierra su cuenta, tus datos se borran.

4. Si Loyaltygo ha contactado a tu negocio

Para dar a conocer el servicio, Loyaltygo contacta con negocios, sobre todo de hostelería y comercio local, y con empresas que trabajan con ellos (tostadores, distribuidores, marcas, software y asociaciones del sector) para proponerles colaborar, a partir de datos de contacto que son públicos o profesionales. En este caso Loyaltygo es el responsable del tratamiento.

Qué datos se tratan

Los datos públicos del negocio: nombre, tipo de negocio, dirección, teléfono, web, y valoración y número de reseñas en Google Maps.
Los datos de contacto profesionales que el propio negocio publica en su web o en sus perfiles (correo, Instagram, LinkedIn) y, si figuran, el nombre y el cargo de la persona de contacto.
De los profesionales de las empresas a las que se propone colaborar: el nombre, el cargo, el perfil de LinkedIn y, si figura en ese perfil, dónde estudiaron.
El historial de contactos: cuándo y por qué canal se le escribió, y si respondió.

De dónde salen

De Google Maps, de la web del propio negocio, de sus perfiles públicos en redes sociales y de bases de datos profesionales de proveedores de prospección. El primer mensaje indica de dónde se obtuvo el dato.

Para qué y con qué base legal

Presentar el servicio de Loyaltygo al negocio, o proponer una colaboración a la empresa — interés legítimo en darlo a conocer a empresas a las que puede resultarles útil. Los correos comerciales se envían solo a direcciones de empresa, nunca a direcciones personales, y cada mensaje permite pedir que no se vuelva a escribir.

Cuánto tiempo

Si no hay respuesta, los datos se borran a los doce meses. Si pides que no te contactemos, se borran y solo se conserva el dato mínimo (el correo, el teléfono o el perfil) en una lista de exclusión, para no volver a contactarte nunca.

Proveedores que intervienen

Apify — Recopilación de los datos públicos de los negocios en Google Maps, en su web y en sus perfiles públicos. Ubicación: Unión Europea y Estados Unidos (cláusulas contractuales tipo).
Bouncer — Comprobación de que los correos de empresa existen antes de escribirles. Ubicación: Unión Europea (Polonia y Alemania).
Lemlist — Envío de los correos y los mensajes de LinkedIn de presentación, y registro de las respuestas. Ubicación: Unión Europea (cláusulas contractuales tipo si algún dato sale del EEE).
Google — Buzones de correo desde los que se envían los mensajes (Google Workspace). Ubicación: Unión Europea y Estados Unidos (cláusulas contractuales tipo).
Meta (Instagram) — Lectura y respuesta, desde el panel de Loyaltygo, de los mensajes directos de la cuenta de Instagram de Loyaltygo, para saber a quién se escribió y quién respondió. Si quien escribe anula un mensaje, se borra también del panel. Ubicación: Unión Europea (Meta Platforms Ireland) y Estados Unidos (cláusulas contractuales tipo).
Anthropic — Redacción de los mensajes a partir de los datos públicos del negocio y propuesta de respuesta cuando el negocio contesta (con el texto de su respuesta). Ubicación: Estados Unidos (cláusulas contractuales tipo).

5. Menores

El servicio no está dirigido a menores de catorce años. Si se detecta que se han registrado datos de un menor de esa edad sin el consentimiento de quien ejerza su patria potestad o tutela, se eliminarán.

6. Quién más puede acceder a los datos

Para prestar el servicio se utilizan los siguientes proveedores, que tratan los datos por cuenta de Loyaltygo y bajo contrato:

Supabase — Base de datos y cuentas de acceso de los negocios. Ubicación: Unión Europea (Fráncfort).
Vercel — Alojamiento de la aplicación, almacenamiento de las imágenes de las tarjetas y recuento agregado de visitas de la web pública, sin cookies. Ubicación: Unión Europea (Fráncfort), con la red de distribución global del proveedor.
Resend — Envío de los emails del servicio y de las campañas de cada negocio. Ubicación: Unión Europea y Estados Unidos (cláusulas contractuales tipo).
Paddle — Cobro de la suscripción del negocio; actúa como vendedor registrado. Ubicación: Reino Unido y Unión Europea (decisión de adecuación del Reino Unido).
Apple — Entrega y actualización de la tarjeta en Apple Wallet. Ubicación: Estados Unidos (cláusulas contractuales tipo).
Google — Inicio de sesión con Google para el dueño del negocio, si elige usarlo, y entrega y actualización de la tarjeta en Google Wallet. Ubicación: Estados Unidos (cláusulas contractuales tipo).
Sentry — Registro de errores de la aplicación, con los datos personales filtrados antes de enviarse. Ubicación: Unión Europea (Fráncfort).
Cloudflare — Gestión del dominio y protección frente a ataques; los datos solo pasan en tránsito. Ubicación: Red global, con nodo de entrada en la Unión Europea.
GitHub — Almacenamiento de las copias de seguridad diarias de la base de datos, siempre cifradas. Ubicación: Estados Unidos (cláusulas contractuales tipo).

Cuando alguno de ellos trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea o en cláusulas contractuales tipo. Además, los datos pueden comunicarse a las administraciones públicas cuando una norma lo exija.

7. Seguridad

Los datos viajan cifrados, las contraseñas se guardan cifradas, el acceso al panel de cada negocio está restringido a su dueño y al equipo con PIN, y se realizan copias de seguridad cifradas. Los registros de error se depuran de datos personales antes de almacenarse.

8. Tus derechos

Puedes solicitar el acceso a tus datos, su rectificación o supresión, la limitación u oposición al tratamiento y la portabilidad, así como retirar el consentimiento que hubieras dado, sin que la retirada afecte a la licitud del tratamiento anterior.

Dueño de un negocio: escribe a [email protected]. Desde Ajustes puedes además descargar tus datos y eliminar tu cuenta por ti mismo.
Cliente de un negocio: dirígete al negocio que te entregó la tarjeta, que es el responsable. Si te resulta imposible localizarlo, escribe a [email protected] y se trasladará tu petición. Para dejar de recibir correos comerciales basta el enlace de baja que incluyen.
Negocio contactado por Loyaltygo: basta con responder a cualquiera de los mensajes pidiendo que no te escribamos más, o escribir a [email protected].

Si consideras que tus datos no se han tratado correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Cambios

Esta política puede actualizarse si cambia el servicio o la normativa. La fecha del final indica la última versión.