Política de Privacidad
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales es Capotis Apps (en adelante, “Capotis”), con domicilio a efectos de notificaciones en España y correo de contacto en materia de protección de datos: [email protected].
Capotis Loyalty es un producto oficial de Capotis Apps destinado a restaurantes y establecimientos de hostelería.
2. Datos que tratamos
2.1. Datos de restaurantes (usuarios del panel)
- Datos de identificación y contacto: nombre del establecimiento, CIF/NIF, dirección, teléfono, correo electrónico.
- Documentación de verificación: copia de documento identificativo del representante y/o licencia de actividad (cuando se requiera).
- Datos de uso de la plataforma: logs de acceso, sesiones activas, acciones realizadas en el dashboard.
- Datos técnicos: dirección IP, tipo de dispositivo y navegador (para seguridad y prevención de fraude).
2.2. Datos de clientes finales (titulares de tarjetas de fidelización)
- Identificadores de dispositivo asociados a Apple Wallet / Google Wallet (tokens de dispositivo, no números de teléfono ni correos salvo que el restaurante los solicite expresamente).
- Historial de sellos, puntos o recompensas canjeadas.
- Preferencias de notificaciones push (opt-in / opt-out).
Capotis no vende ni cede datos de clientes finales a terceros con fines comerciales ajenos al servicio.
3. Finalidades del tratamiento
- Prestación del servicio de fidelización digital (creación y gestión de tarjetas Wallet, carta digital y notificaciones).
- Verificación de la identidad y legitimidad del restaurante (prevención de uso fraudulento).
- Envío de comunicaciones técnicas y de seguridad (OTP, alertas de sesión, cambios de estado).
- Cumplimiento de obligaciones legales y respuesta a requerimientos de autoridades.
- Mejora del servicio mediante estadísticas agregadas y anónimas.
4. Base jurídica (legitimación)
- Ejecución de contrato (art. 6.1.b RGPD): prestación del servicio gratuito de fidelización.
- Consentimiento (art. 6.1.a RGPD): envío de notificaciones push a clientes finales y, cuando proceda, comunicaciones comerciales.
- Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude y mejora del servicio.
- Obligación legal (art. 6.1.c RGPD): conservación de datos cuando la ley lo exija.
5. Conservación de los datos
- Datos de restaurantes activos: mientras se mantenga la relación contractual y, posteriormente, el tiempo necesario para cumplir obligaciones legales (generalmente 5 años en materia mercantil/fiscal).
- Datos de clientes finales: mientras el restaurante mantenga activa la tarjeta de fidelización o el cliente no solicite la baja. Los tokens de dispositivo se eliminan cuando el usuario elimina la tarjeta de su wallet o revoca el permiso.
- Logs de seguridad: máximo 12 meses, salvo investigación en curso.
6. Destinatarios y transferencias
Los datos pueden ser comunicados a:
- Proveedores de infraestructura cloud (alojamiento, correo transaccional, servicios de notificaciones) que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD.
- Apple Inc. y Google LLC únicamente en la medida necesaria para la emisión y actualización de pases de Wallet (según sus respectivas condiciones de desarrollador).
Cuando existan transferencias internacionales, se aplicarán las garantías adecuadas (cláusulas contractuales tipo de la Comisión Europea u otras medidas reconocidas).
7. Derechos de las personas interesadas (ARCO+)
Puede ejercer los derechos de Acceso, Rectificación, Supresión (Cancelación), Oposición, Limitación del tratamiento y Portabilidad, así como retirar el consentimiento en cualquier momento, dirigiendo una solicitud a [email protected], indicando “Ejercicio de derechos RGPD” y adjuntando copia de documento identificativo.
También tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.
8. Medidas de seguridad
Capotis aplica medidas técnicas y organizativas adecuadas, entre ellas:
- Autenticación mediante códigos OTP de un solo uso con expiración corta.
- Tokens de sesión firmados, almacenados en cookies HTTP-only, Secure y SameSite=Strict.
- Cifrado en tránsito (TLS 1.2+) y en reposo de datos sensibles.
- Control de acceso basado en roles y verificación de estado APPROVED del restaurante.
- Sanitización de entradas y política de seguridad de contenidos (CSP) estricta.
- Registro y revisión de sesiones activas con posibilidad de revocación remota.
9. Menores de edad
El servicio está dirigido a establecimientos de hostelería. No se recaban deliberadamente datos de menores de 14 años. Si se detecta un tratamiento indebido, se procederá a su eliminación.
10. Modificaciones
Capotis podrá actualizar esta Política de Privacidad. La versión vigente se publicará en esta página con indicación de la fecha de última actualización. Se recomienda revisarla periódicamente.
11. Contacto
Para cualquier consulta relacionada con esta política o el tratamiento de datos personales: [email protected].