Política de Privacidad

En cumplimiento del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos que el responsable del tratamiento de sus datos personales es:

Las apps móviles de LoyaltyAI (LoyaltyAI y LoyaltyAI Scanner) las publica en Google Play y App Store el siguiente desarrollador, que las distribuye por cuenta del responsable indicado arriba. Esta política se aplica íntegramente a los datos tratados a través de esas apps:

a) Usuarios finales (miembros del programa de fidelización):

• Nombre y apellidos
• Número de teléfono móvil (con prefijo internacional)
• Dirección de correo electrónico
• Fecha de nacimiento
• Historial de transacciones, puntos acumulados y canjeados
• Preferencias de idioma del dispositivo
• País de origen (inferido del prefijo telefónico)
• Respuestas a encuestas de satisfacción (si las completa)

b) Clientes empresariales (negocios que utilizan la plataforma):

• Nombre del negocio y razón social
• Email y datos de contacto del administrador
• Datos de configuración del sistema TPV
• Datos de facturación y pago (procesados por Stripe, Inc.)
• Credenciales de acceso (contraseña almacenada cifrada con bcrypt)

• Gestión del programa de fidelización: acumulación y canje de puntos, gestión de niveles (tiers) y recompensas.
• Envío de comunicaciones comerciales (solo con consentimiento expreso): ofertas personalizadas, recordatorios de cumpleaños, encuestas de satisfacción vía SMS o email.
• Prestación del servicio SaaS a negocios: panel de administración, analíticas, integración con TPV.
• Gestión de solicitudes comerciales de negocios (formularios web, calculadora de ROI, herramientas gratuitas y alta): contactarte e informarte, con tu consentimiento, sobre los productos de Nexus Business Intelligence S.L.: LoyaltyAI y NUMIQA (numiqa.com).
• Facturación y cobro de suscripciones.
• Mejora del servicio y elaboración de estadísticas anónimas.
• Prevención de fraude y seguridad de la plataforma.

• Consentimiento del interesado (Art. 6.1.a RGPD): Para el registro voluntario en el programa de fidelización y para el envío de comunicaciones comerciales.
• Ejecución de un contrato (Art. 6.1.b RGPD): Para la prestación del servicio contratado por los negocios (plan Free, Pro o Enterprise).
• Interés legítimo (Art. 6.1.f RGPD): Para la mejora de nuestros servicios, prevención de fraude y elaboración de estadísticas anónimas.
• Obligación legal (Art. 6.1.c RGPD): Para el cumplimiento de obligaciones fiscales y tributarias (conservación de datos de facturación).

Sus datos podrán ser comunicados a los siguientes encargados del tratamiento, con los que se han suscrito los correspondientes contratos de encargo de tratamiento (Art. 28 RGPD):

No se venderán ni cederán sus datos a terceros con fines comerciales. El negocio que gestiona el programa de fidelización actúa como Corresponsable del Tratamiento respecto a los datos de sus clientes finales.

Google Business Profile. Si un negocio conecta su Perfil de Empresa de Google, accedemos a él a través de las APIs de Google con el permiso que otorga el propietario (business.manage) únicamente para listar sus fichas, leer y responder sus reseñas y mostrar sus estadísticas. Guardamos cifrados los tokens de acceso y una copia de las reseñas (nombre público del autor, puntuación, texto y respuesta) para mostrarlas en el panel del negocio; los borradores de respuesta los genera un proveedor de IA (Anthropic) sin conservarlos para entrenamiento. El negocio puede desconectarlo en cualquier momento: entonces revocamos el acceso y borramos las reseñas copiadas. El uso y la transferencia por parte de LoyaltyAI de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

Algunos de nuestros encargados del tratamiento están ubicados fuera del Espacio Económico Europeo (EEE). En estos casos, las transferencias se realizan con las siguientes garantías conforme al Capítulo V del RGPD:

• Stripe, Inc.: Cláusulas Contractuales Tipo (SCCs) y EU-US Data Privacy Framework.
• Vercel, Inc.: Cláusulas Contractuales Tipo (SCCs).
• Infobip Ltd.: Cláusulas Contractuales Tipo (SCCs) y certificación DPF.

• Datos de miembros: Mientras el programa de fidelización esté activo o hasta que el usuario ejerza su derecho de supresión. Tras la baja, se bloquearán durante el plazo de prescripción legal aplicable.
• Datos de transacciones: 5 años conforme a la normativa fiscal y tributaria española (Art. 70 Ley General Tributaria).
• Datos de facturación: 6 años conforme al Código de Comercio español (Art. 30).
• Comunicaciones comerciales: Hasta la revocación del consentimiento.
• Datos analíticos: Anonimizados tras 24 meses.

Conforme a los artículos 15 a 22 del RGPD y los artículos 12 a 18 de la LOPDGDD, usted tiene los siguientes derechos:

• Acceso (Art. 15): Obtener una copia de sus datos personales en tratamiento.
• Rectificación (Art. 16): Corregir datos inexactos o completar datos incompletos.
• Supresión (Art. 17): Solicitar la eliminación de sus datos cuando ya no sean necesarios, retire su consentimiento o se oponga al tratamiento.
• Limitación (Art. 18): Solicitar la limitación del tratamiento en determinadas circunstancias.
• Portabilidad (Art. 20): Recibir sus datos en un formato estructurado, de uso común y lectura mecánica (JSON).
• Oposición (Art. 21): Oponerse al tratamiento de sus datos, incluida la elaboración de perfiles.

En cumplimiento del artículo 32 del RGPD, hemos implementado medidas técnicas y organizativas apropiadas, incluyendo:

• Cifrado de datos en tránsito mediante TLS 1.3 (HTTPS)
• Contraseñas cifradas con algoritmo bcrypt (10 rounds de salt)
• Autenticación de dos factores (2FA/TOTP) opcional para administradores
• Cabeceras de seguridad HTTP: HSTS, X-Frame-Options, CSP, X-Content-Type-Options
• Row Level Security (RLS) en base de datos
• Copias de seguridad automáticas diarias
• Acceso restringido basado en roles (owner, admin, staff, viewer)

Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la autoridad de control competente: