Política de privacidad

El responsable del tratamiento es GOWAVANTY SL (marca «Gowback»), NIF B25864521, con domicilio social en Calle San Cristóbal 10, 21003 Huelva, España. Para cualquier asunto de privacidad o para ejercer tus derechos puedes escribir a hola@gowback.com.

Datos de inscripción en el Registro Mercantil de Huelva: [[PENDIENTE: datos registrales: tomo, folio, hoja del Registro Mercantil de Huelva]].

• Cuenta: nombre, email, teléfono opcional, contraseña protegida mediante hash, verificación de email y último acceso, para crear y proteger tu cuenta.
• Tickets: imagen, comercio, fecha, número e importe, para comprobar compras y calcular el saldo.
• Monedero: saldo y movimientos por negocio, para mostrar y gestionar tus recompensas.
• Soporte: el texto y las respuestas que envías, para atender tu consulta.
• Seguridad y administración: IP y navegador (user-agent) en el registro de auditoría, para prevenir abusos y dejar trazabilidad.
• Negocios: identificación y datos fiscales, NIF, dirección y coordenadas de sus locales, para tramitar el alta y mostrar los establecimientos.
• Comunicaciones: tu email y tus preferencias de recepción, para enviarte los avisos necesarios del servicio y el resumen periódico que puedes desactivar (ver apartado «Correos que te enviamos»).

Tratamos cada dato con una base jurídica concreta (art. 6 RGPD):

• Ejecución del contrato (art. 6.1.b): crear y mantener tu cuenta, comprobar tickets, calcular y gestionar tu saldo, atender tu soporte y enviarte los correos imprescindibles del servicio (transaccionales).
• Cumplimiento de obligaciones legales (art. 6.1.c): conservación de determinada información y atención de requerimientos legales.
• Interés legítimo (art. 6.1.f): prevenir fraude y abusos, mantener la seguridad y trazabilidad del servicio y enviarte el resumen periódico por email, que puedes desactivar en cualquier momento. Hemos ponderado este interés frente a tus derechos y puedes oponerte sin dar motivos.
• Consentimiento (art. 6.1.a): analítica y cookies no necesarias, y el acceso a tu ubicación por el navegador. Puedes retirarlo cuando quieras.

La fotografía completa del ticket se envía a OpenAI, en Estados Unidos, para extraer automáticamente el comercio, la fecha, el número y el importe. Un ticket puede revelar hábitos de consumo. Esta transferencia se articula mediante cláusulas contractuales tipo (SCC); queda pendiente formalizar el DPA de OpenAI.

• Hetzner (UE): aloja la API, el proceso de lectura y las imágenes en disco/MinIO.
• Supabase: base de datos Postgres en [[PENDIENTE: región real de Supabase]].
• Vercel (Estados Unidos): publica las interfaces web, con SCC.
• Resend (Estados Unidos): envía nuestros correos, tanto los transaccionales como el resumen periódico; transferencia amparada en cláusulas contractuales tipo (SCC).
• OpenAI (Estados Unidos): recibe imágenes de tickets para OCR, con SCC y DPA pendiente.
• Nominatim / OpenStreetMap (UE): geocodifica direcciones de negocios, nunca la posición del usuario.
• Telegram (fuera de la UE): recibe avisos internos mínimos de soporte (tipo, asunto y enlace), no el cuerpo del mensaje.
• Google Analytics 4 / Google (Estados Unidos): medirá el uso solo con consentimiento previo; transferencia mediante SCC.

La ubicación GPS del usuario nunca llega al servidor. Si das permiso, el navegador obtiene la posición y el propio móvil calcula la distancia a los locales. La ciudad elegida se guarda únicamente en el almacenamiento local del navegador.

Actualmente las apps propias no incluyen analítica ni píxeles. GA4 queda preparado, pero no se carga hasta aceptar cookies analíticas y disponer del identificador pendiente.

Te enviamos dos tipos de correo:

• Correos transaccionales: los imprescindibles para que el servicio funcione (verificar tu email, restablecer la contraseña, avisos de seguridad, respuestas de soporte y avisos sobre tu saldo, como que está a punto de caducar). No puedes desactivarlos porque forman parte del servicio que has contratado.
• Resumen periódico (digest semanal): una vez por semana te enviamos un correo con el cashback que has ganado, tu saldo disponible y novedades de los negocios. Lo enviamos sobre la base de nuestro interés legítimo en mantener contigo una relación útil dentro de un servicio que ya utilizas. Esta casilla viene activada por defecto, pero es totalmente voluntaria.

Cómo darte de baja del resumen: cada correo incluye un enlace de baja de un solo clic que funciona sin iniciar sesión, y también puedes activarlo o desactivarlo desde las preferencias de tu cuenta. Darte de baja del resumen no afecta a los correos transaccionales ni al resto del servicio. El proveedor de envío es Resend (Estados Unidos), con cláusulas contractuales tipo (SCC).

Conservamos cada categoría de datos solo el tiempo necesario para las finalidades descritas y para atender responsabilidades legales; los plazos concretos por categoría son [[PENDIENTE: plazos de conservación por categoría]]. Cuando ya no sean necesarios, los eliminamos o los anonimizamos.

Tienes derecho a solicitar el acceso a tus datos, su rectificación o supresión, la limitación u oposición al tratamiento, la portabilidad y a retirar el consentimiento que hayas dado, sin que ello afecte a la licitud del tratamiento previo. También puedes oponerte en cualquier momento al resumen periódico. Para ejercerlos escribe a hola@gowback.com; te responderemos en el plazo máximo de un mes.

Si consideras que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).