Política de privacidad

El responsable del tratamiento de tus datos es:

• Razón social: [pendiente], que opera la marca BuenSpot.
• NIF: [pendiente].
• Domicilio social: [pendiente].
• Inscripción: [pendiente].
• Contacto: el formulario de contacto o el formulario de contacto.

Para cualquier cuestión sobre protección de datos, indica en tu mensaje «Protección de datos». Más datos sobre la empresa en el aviso legal.

No hemos designado un delegado de protección de datos (DPD), porque nuestra actividad no está entre los supuestos obligatorios del artículo 37 RGPD y del artículo 34 LOPDGDD. Si en el futuro lo designamos, publicaremos aquí sus datos de contacto y lo comunicaremos a la AEPD.

Mientras tanto, todas las consultas sobre privacidad las atiende directamente el responsable en el formulario de contacto o a través del formulario de contacto.

Solo tratamos los datos que necesitamos en cada situación. La mayoría nos los das tú. Otros se generan al usar la plataforma, nos los facilita el establecimiento o nuestro proveedor de pagos, o te los da otra persona (por ejemplo, quien te regala un vale).

• Cuenta: nombre, correo electrónico, idioma, contraseña (solo guardamos un hash, nunca la contraseña en claro), fecha de alta, fecha de verificación del correo, rol y tu preferencia sobre los correos de reseña. Para verificar el correo o restablecer la contraseña guardamos solo el hash del enlace de un solo uso y su caducidad.
• Compra: las ofertas y variantes compradas, importes, estado del pedido, código promocional usado, fecha, y el identificador de pago que nos devuelve Stripe. No vemos ni guardamos los datos completos de tu tarjeta: los trata Stripe.
• Vales: código del vale (BS-XXXX-XXXX), dígito de control, código QR firmado, fecha de caducidad, estado y fecha de canje, y los intentos de canje (válidos o no) que registra el establecimiento.
• Regalo: si marcas un pedido como regalo, el nombre, el correo y el mensaje para la persona que lo recibe. Estos datos nos los das tú como comprador.
• Reserva: fecha, hora o noches, número de personas, estado (confirmada, cambiada, cancelada, no presentado) y, si quieres, un teléfono y un comentario para el establecimiento.
• Favoritos: las ofertas que guardas.
• Reseña: puntuación, comentario, fecha, la oferta a la que se refiere y, en su caso, la respuesta pública del establecimiento y el motivo de ocultación.
• Soporte y chat: tus mensajes, el asunto, el estado del ticket y las respuestas del equipo. Si escribes sin cuenta, también tu nombre y correo. Una reseña con puntuación baja abre un ticket de soporte.
• Correos enviados: una copia de los correos de servicio que te enviamos (destinatario, asunto, contenido, tipo, estado de envío). Puedes verlos en tu cuenta.
• Avisos en la cuenta: las notificaciones que te mostramos dentro de la web.
• Newsletter: correo electrónico, idioma, ciudad o ciudades elegidas, origen de la suscripción, fecha de solicitud, fecha de confirmación y, en su caso, fecha de baja.
• Establecimientos asociados y sus contactos: nombre del negocio, dirección, teléfono, descripción, locales y horarios, y los datos de la persona que gestiona la cuenta (nombre, correo, contraseña con hash). Para las liquidaciones: razón social, NIF/CIF, IBAN, dirección y correo de facturación, y las liquidaciones y facturas de comisión. Las condiciones para socios están en las condiciones para establecimientos.
• Solicitudes de empresas (página «Para empresas»): nombre del negocio, persona de contacto, correo, teléfono, ciudad, y las notas y el estado del seguimiento comercial.
• Datos técnicos y de seguridad: la dirección IP de forma temporal para limitar intentos (inicio de sesión, registro, recuperación de contraseña, newsletter, supresión de cuenta), un registro de acciones del equipo y de los socios (auditoría) y un registro de intentos de canje. Las cookies técnicas que usamos y, solo si las aceptas, las de análisis de Google Analytics se describen en la política de cookies.
• Ubicación: en la página de ofertas cercanas puedes usar «mi ubicación». Tu navegador te pide permiso. La posición solo se usa en tu navegador para calcular distancias y no se envía ni se guarda en nuestros servidores.

No tratamos categorías especiales de datos (salud, religión, etc.). No nos facilites esos datos en comentarios de reserva, reseñas o mensajes. Si un comentario para el establecimiento debe incluir, por ejemplo, una alergia, lo transmitimos solo a ese establecimiento para prestar el servicio que pides.

Si nos das datos de otra persona (por ejemplo, de quien recibe un regalo), garantizas que puedes hacerlo y que esa persona conoce esta política. A la persona que recibe un regalo la informamos en el propio correo del vale, conforme al artículo 14 RGPD.

La tabla siguiente indica, para cada tratamiento, para qué usamos los datos, la base jurídica del artículo 6.1 RGPD y cuánto tiempo los conservamos.

Cuando nos basamos en el interés legítimo, hemos comprobado que ese interés no prevalece sobre tus derechos. Puedes oponerte en cualquier momento (sección 13).

Cuando termina el plazo de uso, bloqueamos los datos conforme al artículo 32 LOPDGDD: solo quedan a disposición de jueces, tribunales y autoridades durante el plazo de prescripción. Después los eliminamos o anonimizamos.

Algunos datos son necesarios para el contrato. Sin nombre y correo no podemos crear tu cuenta ni enviarte los vales. Los datos opcionales (teléfono o comentario de reserva, mensaje de regalo) puedes dejarlos en blanco.

El servicio (la comida, la noche de hotel, el tratamiento o la actividad) lo presta el establecimiento. Para que pueda hacerlo, le comunicamos solo lo necesario:

• tu nombre;
• el número de personas, la fecha y la hora o las noches de la reserva;
• el teléfono y el comentario, si los has dejado;
• el código del vale y la oferta o variante comprada, y si el vale es válido al canjearlo.

No compartimos con el establecimiento tus datos de pago. El establecimiento ve las reseñas publicadas igual que cualquier visitante y puede responder públicamente.

El establecimiento trata estos datos como responsable independiente para prestar el servicio y cumplir sus propias obligaciones (por ejemplo, el registro de viajeros en alojamientos). En nuestro contrato se compromete a usarlos solo para tu visita y a no enviarte publicidad sin tu consentimiento. Para lo que el establecimiento haga con tus datos fuera de BuenSpot, se aplica su propia política de privacidad.

Trabajamos con proveedores que tratan datos por cuenta nuestra (encargados del tratamiento, art. 28 RGPD). Con cada uno tenemos un contrato que les obliga a usar los datos solo según nuestras instrucciones y a protegerlos.

Stripe también trata algunos datos como responsable independiente, por ejemplo para prevenir el fraude y cumplir sus obligaciones como entidad de pago. Para ello se aplica su propia política de privacidad.

Dentro de BuenSpot, solo acceden a tus datos las personas del equipo que los necesitan para su tarea (administración, ventas o atención al cliente), con un usuario personal y un rol limitado.

Comunicamos datos a autoridades y organismos públicos solo cuando una ley nos obliga, por ejemplo a la Agencia Tributaria, a jueces y tribunales, a las fuerzas y cuerpos de seguridad o a las autoridades de consumo, y siempre limitándonos a lo que se nos pide legalmente.

También podemos comunicar datos a asesores jurídicos o fiscales sujetos a deber de secreto cuando sea necesario para defender nuestros derechos o cumplir la ley.

Algunos proveedores están fuera del Espacio Económico Europeo (EEE), principalmente en Estados Unidos. Solo transferimos datos si existe una garantía adecuada:

• la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (julio de 2023), cuando el proveedor está certificado;
• o las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD), con medidas adicionales cuando son necesarias.

Puedes pedirnos una copia de las garantías aplicables a través de el formulario de contacto o del formulario de contacto.

No vendemos ni alquilamos tus datos. No compartimos datos con anunciantes y no usamos cookies publicitarias.

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma similar (art. 22 RGPD).

Sí usamos reglas automáticas sencillas para proteger la plataforma: por ejemplo, bloqueamos temporalmente un formulario tras demasiados intentos, o rechazamos un canje si el vale ya se usó, ha caducado o no corresponde a ese establecimiento. Si crees que una de estas reglas te afecta injustamente, escríbenos y una persona lo revisará.

El orden de las ofertas en la web se basa en criterios como la ubicación, la popularidad, el descuento, la valoración, el precio o la novedad. No es una elaboración de perfiles con efectos jurídicos.

BuenSpot está dirigido a personas mayores de 18 años. Para crear una cuenta o comprar debes tener al menos 18 años. No recogemos a sabiendas datos de menores.

Si descubrimos que una cuenta pertenece a un menor, la eliminaremos. Si eres madre, padre o tutor y crees que un menor nos ha facilitado datos, escríbenos a través del formulario de contacto.

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre otras:

• conexiones cifradas (HTTPS) en toda la web;
• contraseñas guardadas solo como hash (bcrypt);
• enlaces de verificación y de restablecimiento de un solo uso, con caducidad, de los que solo guardamos un hash;
• vales con código QR firmado y dígito de control, que solo se pueden canjear una vez;
• cookies de sesión firmados y httpOnly, inaccesibles para scripts;
• seguridad a nivel de fila (RLS) en la base de datos;
• acceso por roles para el equipo y los establecimientos, y un registro de auditoría de las acciones relevantes;
• limitación de intentos en el inicio de sesión, el registro, la recuperación de contraseña y otros formularios.

Ningún sistema es infalible. Si se produce una brecha de seguridad que afecte a tus datos, la notificaremos a la AEPD en un plazo de 72 horas cuando sea obligatorio y, si existe un alto riesgo para ti, te avisaremos sin demora (arts. 33 y 34 RGPD).

Tú también ayudas: usa una contraseña única y no compartas tus códigos de vale.

Tienes derecho a:

• Acceso: saber qué datos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que eliminemos tus datos cuando ya no sean necesarios o no exista base jurídica.
• Limitación: pedir que suspendamos el tratamiento en ciertos casos.
• Portabilidad: recibir los datos que nos diste en un formato estructurado y de uso común.
• Oposición: oponerte a los tratamientos basados en interés legítimo, y siempre a la mercadotecnia directa.
• Retirada del consentimiento: en cualquier momento, sin que afecte a la licitud del tratamiento anterior.
• No ser objeto de decisiones automatizadas con efectos jurídicos (sección 10).

Cómo ejercerlos:

• En tu cuenta: en /cuenta/gegevens puedes descargar tus datos (perfil, pedidos, vales, favoritos y reseñas) en formato JSON y eliminar tu cuenta tú mismo. Tu nombre, correo e idioma los puedes consultar en tu cuenta y pedirnos que los corrijamos.
• Por escrito: a el formulario de contacto o con el formulario de contacto, indicando «Protección de datos» y el derecho que ejerces. También por correo postal a [pendiente].

Si escribes desde el correo de tu cuenta, normalmente no necesitamos más. Si tenemos dudas razonables sobre tu identidad, podemos pedirte información adicional proporcionada (art. 12.6 RGPD). No pidas ni envíes una copia de tu DNI si no te la solicitamos.

Respondemos en un plazo de un mes desde que recibimos la solicitud. Si es compleja o recibimos muchas, podemos ampliarlo dos meses más; en ese caso te avisamos dentro del primer mes. El ejercicio de los derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

Qué pasa al eliminar tu cuenta: sustituimos tu nombre por «Verwijderd account» y tu correo por una dirección inexistente, y cerramos tu sesión. Los pedidos pagados se conservan sin tu nombre ni correo, porque la ley nos obliga a guardar los datos contables (sección 5). Los vales no canjeados dejan de estar accesibles desde una cuenta; descárgalos o úsalos antes, o pide primero el reembolso si todavía tienes derecho. Las cuentas de establecimientos y del equipo no se pueden eliminar desde la web; para ellas, escríbenos.

Si no estás conforme con nuestra respuesta, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Te agradecemos que antes nos escribas a nosotros, pero no es obligatorio.

Newsletter. Solo te la enviamos si te suscribes y confirmas tu suscripción con el enlace que te mandamos (doble confirmación). Eliges las ciudades que te interesan.

Clientes. Si ya compraste en BuenSpot, podemos enviarte por correo ofertas de BuenSpot similares a lo que compraste, conforme al artículo 21.2 LSSI. Te ofrecemos la oposición al recoger tus datos y en cada envío.

Darte de baja. Cada correo comercial incluye un enlace para darte de baja con un clic, de forma sencilla y gratuita. También puedes pedirlo con el formulario de contacto. Tras la baja dejamos de enviarte estos correos en un plazo breve.

Correos de reseña. Tras un canje te pedimos una vez tu opinión. Puedes desactivar esos correos con el enlace del propio correo.

Correos de servicio. Las confirmaciones de pedido, los vales, los avisos de reserva, los recordatorios de caducidad, las respuestas de soporte y los correos de seguridad forman parte del servicio y no son publicidad. No puedes darte de baja de ellos mientras tengas pedidos o una cuenta activa.

No enviamos comunicaciones comerciales por SMS, WhatsApp ni teléfono.

Solo puedes dejar una reseña después de canjear un vale (visita verificada). Al publicarla, se muestra junto a la oferta tu puntuación, tu comentario, la fecha y el nombre que figura en tu cuenta. Si prefieres que aparezca solo tu nombre de pila, cambia el nombre de tu cuenta antes de escribir la reseña o escríbenos.

No incluyas datos personales tuyos ni de otras personas en el comentario. Ocultamos una reseña solo por los motivos de la política de reseñas, entre ellos que contenga datos personales de otra persona.

Si eliminas tu cuenta, tus reseñas dejan de mostrar tu nombre. Puedes pedirnos en cualquier momento que eliminemos una reseña tuya.

Podemos actualizar esta política cuando cambien nuestros servicios, proveedores o la ley. En la parte superior figuran la versión y la fecha de la última modificación.

Si el cambio es importante, por ejemplo una nueva finalidad o un nuevo tipo de destinatario, te lo comunicaremos por correo o con un aviso en la web antes de que se aplique. Si un nuevo tratamiento requiere tu consentimiento, te lo pediremos.

El texto en español es la versión vinculante. Las versiones en neerlandés y en inglés son traducciones a título informativo.