Política de Privacidad

1. Responsable del tratamiento

• Identidad: Easify [denominación social pendiente de constitución]
• Domicilio: Barcelona, España [dirección exacta pendiente de constitución]
• NIF: Pendiente de constitución
• Email de contacto: hola@revisit.es

2. Datos que recopilamos

Dependiendo de tu relación con Revisit, tratamos diferentes categorías de datos personales:

2.1. Visitantes de la web

• Datos facilitados a través del formulario de contacto: nombre, nombre del negocio, teléfono y correo electrónico.

2.2. Negocios clientes (Tenants)

• Datos de la empresa: nombre comercial, email, teléfono, dirección, sitio web, logotipo.
• Datos de usuarios (empleados del negocio): nombre, email, contraseña (almacenada cifrada), avatar.
• Datos de configuración del servicio: horarios, programa de fidelización, premios, campañas de marketing.
• Credenciales OAuth de Google (almacenadas cifradas) para la integración con Google Business Profile.

2.3. Clientes finales de los negocios

Los negocios que utilizan Revisit registran datos de sus propios clientes. En este caso, el negocio actúa como Responsable del tratamiento y Easify, a través de Revisit, como Encargado del tratamiento conforme al artículo 28 del RGPD.

• Datos identificativos: nombre, email, teléfono, prefijo telefónico.
• Datos demográficos (opcionales): fecha de nacimiento, género, código postal, canal de captación.
• Datos de actividad: visitas, puntos, sellos, ticket medio, valor de vida (LTV), estado del cliente.
• Datos de wallet: token de wallet, identificador de objeto Google Wallet.
• Datos de interacción: reseñas, canjes de premios, solicitudes de reseña enviadas.
• Consentimiento de marketing: registrado de forma expresa e independiente.

3. Finalidad del tratamiento

• Prestación del servicio de fidelización contratado por los negocios.
• Gestión de la relación comercial con los negocios clientes.
• Atención de solicitudes de contacto y soporte técnico.
• Envío de comunicaciones comerciales sobre Revisit (exclusivamente con consentimiento previo).
• Mejora del servicio mediante análisis estadísticos agregados y anonimizados.
• Cumplimiento de obligaciones legales aplicables.

4. Base legal del tratamiento

• Ejecución del contrato (Art. 6.1.b RGPD): para la prestación del servicio a los negocios que contratan Revisit.
• Consentimiento (Art. 6.1.a RGPD): para el envío de comunicaciones comerciales y para el tratamiento de datos de clientes finales por parte de los negocios.
• Interés legítimo (Art. 6.1.f RGPD): para la mejora del servicio, análisis estadísticos agregados y prevención de fraude o uso indebido.
• Obligación legal (Art. 6.1.c RGPD): para el cumplimiento de obligaciones fiscales, mercantiles y de protección de datos.

5. Destinatarios y encargados del tratamiento

Los datos personales podrán ser comunicados a los siguientes destinatarios o encargados del tratamiento:

• OVH SAS (Gravelines, Francia, UE): proveedor de infraestructura y alojamiento de servidores donde se almacenan todos los datos de la Plataforma.
• Google LLC (Estados Unidos): para la funcionalidad de Google Wallet y la integración con Google Business Profile. Transferencia amparada por el Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework).
• Motor de automatizaciones (alojado en OVH, Francia, UE): sistema de automatización de flujos de trabajo utilizado para el procesamiento de eventos y envío de notificaciones.

No se realizan cesiones de datos a terceros salvo obligación legal o las estrictamente necesarias para la prestación del servicio.

6. Uso de datos de las APIs de Google (requisitos de Uso Limitado)

Revisit accede a información a través de las APIs de Google (Google Wallet,Perfil de Empresa de Google (Google Business Profile) e Iniciar sesión con Google) exclusivamente para prestar las funciones que el negocio contrata: emitir y actualizar la tarjeta de fidelización del cliente en Google Wallet, mostrar y responder las reseñas del negocio en su Perfil de Empresa de Google, y permitir que el propietario acceda a su panel de gestión.

El uso y la transferencia por parte de Revisit de la información recibida de las APIs de Google se ajustarán a la Política de Datos de Usuario de los Servicios de las APIs de Google, incluidos sus requisitos de Uso Limitado (Limited Use). En concreto:

• Solo utilizamos los datos obtenidos de las APIs de Google para proporcionar o mejorar funciones visibles para el usuario dentro de Revisit.
• No vendemos los datos obtenidos de las APIs de Google.
• No empleamos dichos datos con fines publicitarios, incluida la publicidad personalizada, ni para determinar la solvencia o con fines de préstamo.
• No permitimos que personas lean dichos datos, salvo: (a) con el consentimiento expreso del usuario, (b) por motivos de seguridad (por ejemplo, investigar abusos), (c) para cumplir la legislación aplicable, o (d) cuando los datos estén agregados y anonimizados y se utilicen para operaciones internas conforme a las políticas aplicables.

7. Transferencias internacionales de datos

La infraestructura principal de Revisit se encuentra en la Unión Europea (OVH, Gravelines, Francia).

La integración con servicios de Google (Wallet y Business Profile) puede implicar transferencias de datos a Estados Unidos. Dichas transferencias están amparadas por el Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), aprobado por la Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023, y por las Cláusulas Contractuales Tipo (SCCs) cuando resulte aplicable.

8. Conservación de datos

• Datos de leads y formularios de contacto: 12 meses desde la solicitud, salvo que se formalice la relación contractual.
• Datos de negocios clientes: durante toda la vigencia de la relación contractual, más los plazos legales de conservación aplicables (obligaciones fiscales y mercantiles).
• Datos de clientes finales: mientras el negocio mantenga activa su cuenta en Revisit, o hasta que el cliente final solicite su supresión al negocio correspondiente.
• Tras la baja del servicio: los datos se conservarán bloqueados durante los plazos legalmente exigidos y se eliminarán de forma segura una vez transcurridos.

9. Derechos de los interesados

De conformidad con el RGPD y la LOPDGDD, puedes ejercer los siguientes derechos:

• Acceso (Art. 15 RGPD): conocer qué datos personales tuyos estamos tratando.
• Rectificación (Art. 16 RGPD): corregir datos inexactos o incompletos.
• Supresión (Art. 17 RGPD): solicitar la eliminación de tus datos cuando ya no sean necesarios.
• Limitación del tratamiento (Art. 18 RGPD): solicitar que se restrinja el tratamiento en determinadas circunstancias.
• Portabilidad (Art. 20 RGPD): recibir tus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Oposición (Art. 21 RGPD): oponerte al tratamiento de tus datos en determinados supuestos.
• Retirada del consentimiento: cuando el tratamiento se base en tu consentimiento, puedes retirarlo en cualquier momento sin que afecte a la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, envía un correo a hola@revisit.es indicando el derecho que deseas ejercer y acompañando copia de tu documento de identidad. Responderemos en un plazo máximo de un mes desde la recepción de la solicitud, prorrogable por dos meses adicionales en caso de solicitudes complejas o numerosas, previa comunicación al interesado.

Los clientes finales de los negocios deben dirigir sus solicitudes de ejercicio de derechos al negocio correspondiente, que es el Responsable del tratamiento de sus datos. No obstante, si necesitas asistencia, puedes contactarnos en hola@revisit.es.

10. Encargado del tratamiento

Easify, a través de la plataforma Revisit, actúa como Encargado del tratamiento respecto a los datos de clientes finales que los negocios introducen en la Plataforma. Cada negocio que contrata Revisit acepta un Acuerdo de Encargo del Tratamiento (DPA) conforme al artículo 28 del RGPD, que establece:

• Las instrucciones del Responsable para el tratamiento de los datos.
• Las medidas técnicas y organizativas de seguridad aplicables.
• Las obligaciones de confidencialidad del personal con acceso a los datos.
• Las condiciones para la subcontratación de otros encargados.
• La asistencia al Responsable en el cumplimiento de sus obligaciones (derechos de los interesados, evaluaciones de impacto, notificación de brechas).
• La devolución o supresión de los datos al finalizar la relación contractual.

11. Medidas de seguridad

Easify aplica medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales, incluyendo:

• Contraseñas cifradas con algoritmos de hash seguros (bcrypt).
• Todas las comunicaciones cifradas mediante HTTPS/TLS.
• Tokens OAuth y credenciales sensibles almacenados de forma cifrada, no expuestos en respuestas de la API.
• Verificación OTP para el registro de clientes finales.
• Sistema de roles y permisos con aislamiento de datos por tenant (negocio).
• Copias de seguridad periódicas.
• Acceso restringido a los servidores y sistemas de producción.

12. Reclamaciones

Si consideras que el tratamiento de tus datos personales no se ajusta a la normativa vigente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web: www.aepd.es
• Dirección: C/ Jorge Juan, 6, 28001 Madrid