Política de privacidad
Última actualización: 4 de noviembre de 2026
En TapReview tratamos los datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Esta política explica qué datos tratamos, para qué, durante cuánto tiempo y qué derechos tienes.
1. Responsable del tratamiento
- Responsable: TapReview, nombre comercial de un profesional autónomo establecido en Sevilla (España)
- Email para protección de datos: tapreviewia@gmail.com
El nombre completo, el NIF y el domicilio profesional del titular figuran en la factura de cada compra y se facilitan a cualquier cliente o autoridad que los solicite por email.
TapReview actúa como responsable de los datos de sus clientes (las empresas y autónomos que contratan el servicio) y de los visitantes de la web. Respecto a los datos de los clientes finales del restaurante contenidos en las reseñas, TapReview actúa como encargado del tratamiento por cuenta de cada cliente, según el Contrato de encargo de tratamiento.
2. Qué datos tratamos
a) Datos de cuenta y contacto: nombre y apellidos de la persona de contacto, cargo, nombre del negocio, email, teléfono, dirección y credenciales de acceso al dashboard.
b) Datos de facturación y pago: razón social, NIF/CIF, dirección fiscal, historial de pedidos, suscripción contratada y estado de los pagos. No almacenamos los datos completos de la tarjeta bancaria: los gestiona directamente la pasarela de pago.
c) Datos de la ficha de Google Business Profile: cuando el cliente conecta su ficha mediante autorización OAuth de Google, leemos los datos de la ficha y sus reseñas (ver el apartado 8).
d) Datos públicos de negocios de la zona (función «Competencia»): a través de la API de Google Places obtenemos información pública de establecimientos cercanos del mismo tipo (nombre, ubicación, categoría, nota media, número de reseñas y contenido de reseñas públicas) para calcular el ranking de la zona y el análisis comparativo.
e) Datos de uso del dashboard: accesos, configuración, objetivos, informes generados, uso de las tarjetas NFC (por ejemplo, número de lecturas), registros técnicos (dirección IP, navegador, fecha y hora) y comunicaciones con soporte.
f) Datos de navegación en la web: mediante cookies y tecnologías similares, según la Política de cookies.
g) Datos de envío: dirección y persona de contacto para el envío de las tarjetas NFC.
No tratamos categorías especiales de datos. Si una reseña contiene este tipo de información por decisión de su autor, se trata solo como parte del contenido público de la reseña y para prestar el servicio.
3. Finalidades y base legal
| Finalidad | Base legal |
|---|---|
| Gestionar el alta, la cuenta y el acceso al dashboard | Ejecución del contrato (art. 6.1.b RGPD) |
| Prestar el servicio: leer y mostrar reseñas, análisis con IA, ranking de Competencia, objetivos, informes y gestión de tarjetas NFC | Ejecución del contrato (art. 6.1.b RGPD) |
| Cobrar la suscripción y emitir facturas | Ejecución del contrato y obligación legal fiscal y contable (art. 6.1.b y 6.1.c RGPD) |
| Enviar las tarjetas NFC | Ejecución del contrato (art. 6.1.b RGPD) |
| Atender consultas y soporte | Ejecución del contrato o interés legítimo en responder (art. 6.1.b y 6.1.f RGPD) |
| Enviar emails del servicio (avisos de pago, informes, cambios del servicio) | Ejecución del contrato (art. 6.1.b RGPD) |
| Enviar comunicaciones comerciales sobre productos similares a clientes | Interés legítimo y art. 21.2 LSSI-CE; puedes oponerte en cualquier momento y en cada envío |
| Enviar comunicaciones comerciales a quien no es cliente | Consentimiento (art. 6.1.a RGPD) |
| Analizar la navegación y medir campañas con cookies no necesarias | Consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI-CE) |
| Mantener la seguridad del servicio y prevenir fraudes | Interés legítimo (art. 6.1.f RGPD) |
| Elaborar la función «Competencia» con datos públicos de otros negocios | Interés legítimo en ofrecer al cliente un análisis comparativo de su mercado (art. 6.1.f RGPD) |
No tomamos decisiones con efectos jurídicos basadas únicamente en tratamientos automatizados. El análisis con IA es una herramienta orientativa de apoyo para el cliente y no es infalible.
4. Plazos de conservación
- Datos de cuenta y del servicio: mientras dure el contrato. Tras la baja, se bloquean durante el plazo de prescripción de posibles responsabilidades (en general, 5 años según el art. 1964 del Código Civil) y después se suprimen.
- Datos de Google Business Profile (reseñas y ficha): mientras la ficha esté conectada y el contrato vigente. Se eliminan en un plazo máximo de 30 días desde la desconexión de la cuenta de Google o desde la baja, salvo que la ley obligue a conservar algo.
- Datos de facturación: 6 años (art. 30 del Código de Comercio) y los plazos que exija la normativa tributaria.
- Datos públicos de Competencia: se guardan en caché un máximo de 7 días y se actualizan o descartan después; los resultados agregados (puesto, notas medias) se conservan mientras el cliente tenga el servicio activo.
- Comunicaciones comerciales: hasta que retires el consentimiento o te opongas.
- Cookies: según los plazos indicados en la Política de cookies.
- Registros técnicos: un máximo de 12 meses, salvo incidencia de seguridad.
5. Destinatarios y proveedores
No vendemos datos personales a nadie. Solo los comunicamos cuando lo exige la ley (por ejemplo, a la Agencia Tributaria) o a proveedores que nos ayudan a prestar el servicio y que actúan como encargados del tratamiento con contrato y garantías:
| Proveedor | Para qué | Ubicación y garantías |
|---|---|---|
| Shopify (Shopify International Ltd., Irlanda) | Tienda online, pedidos, clientes y suscripciones | UE; puede transferir datos a Canadá (decisión de adecuación) y EE. UU. (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo) |
| Pasarela de pago (Shopify Payments, operado con Stripe) | Cobro de la suscripción | UE y EE. UU. (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo) |
| Railway (Railway Corporation, EE. UU.) | Alojamiento de la aplicación y la base de datos | EE. UU. o UE, según la región de los servidores; transferencias con cláusulas contractuales tipo |
| OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) | Análisis de reseñas con IA, informes y ayuda para respuestas | EE. UU. (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo). Los datos enviados por API no se usan para entrenar sus modelos |
| Google (Google Ireland Ltd. / Google LLC) | API de Google Business Profile y Google Places | UE y EE. UU. (Marco de Privacidad de Datos UE-EE. UU.) |
| Shopify Email (Shopify International Ltd.) | Envío de emails del servicio y comerciales | UE; transferencias con el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Google Analytics (Google) y píxel de Meta (Meta Platforms) | Medir las visitas a la web y nuestros anuncios, solo con tu consentimiento | EE. UU. (Marco de Privacidad de Datos UE-EE. UU.) |
| Empresa de mensajería que realiza la entrega | Envío de tarjetas NFC | España |
| Asesoría fiscal y contable | Obligaciones fiscales | España |
Las transferencias fuera del Espacio Económico Europeo se hacen solo a países con decisión de adecuación, a empresas adheridas al Marco de Privacidad de Datos UE-EE. UU., o con cláusulas contractuales tipo aprobadas por la Comisión Europea.
6. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento, escribiendo a tapreviewia@gmail.com con el asunto «Protección de datos» e indicando qué derecho ejerces. Si tenemos dudas sobre tu identidad, podremos pedirte que la acredites.
Responderemos en el plazo de un mes. Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
Si la solicitud se refiere a una reseña o a datos de un cliente final de un restaurante, la trasladaremos al restaurante correspondiente, que es el responsable de esos datos, y le ayudaremos a atenderla.
7. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas: cifrado en tránsito (HTTPS), control de accesos, separación de los datos de cada establecimiento, secretos y credenciales fuera del código y copias de seguridad. Los tokens de acceso a Google se guardan cifrados y solo se usan para prestar el servicio.
8. Datos de Google (Google Business Profile y Google Places)
Qué leemos. Cuando conectas tu ficha de Google Business Profile, Google te pide autorización (OAuth) para que TapReview acceda a ella. Con esa autorización leemos: los datos de la ficha (nombre, dirección, categoría y ubicación), las reseñas (texto, puntuación, fecha, nombre público y foto de perfil del autor) y las respuestas publicadas por el negocio.
Para qué los usamos. Solo para prestarte el servicio dentro del dashboard: mostrar tus reseñas, calcular indicadores y evolución, hacer el análisis con IA, generar informes y objetivos, y compararte con la competencia de tu zona.
Lo que no hacemos. El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajusta a la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado (Limited Use). En concreto:
- No vendemos los datos de Google.
- No los usamos ni los transferimos para publicidad, ni para publicidad personalizada o basada en intereses.
- No los usamos para determinar solvencia ni para préstamos.
- Solo los transferimos a terceros cuando es necesario para prestar o mejorar las funciones del servicio que ves (por ejemplo, al proveedor de IA para analizar tus reseñas o al proveedor de hosting), por obligación legal o por seguridad.
- Ninguna persona de TapReview lee estos datos salvo con tu permiso expreso (por ejemplo, para resolver una incidencia que nos pidas), cuando sea necesario por seguridad o por obligación legal, o cuando se usen de forma agregada y anónima para el funcionamiento interno.
- No usamos estos datos para entrenar modelos de IA generales.
Competencia (Google Places). La función «Competencia» utiliza la API de Google Places para obtener datos públicos de negocios cercanos. Estos datos se usan solo para el ranking y el análisis comparativo, se guardan en caché un máximo de 7 días, se muestran con carácter orientativo y respetando las condiciones de Google Maps Platform.
Cómo desconectar y borrar los datos.
- Desde el dashboard: en la configuración de tu cuenta, usa la opción de desconectar Google.
- Desde tu cuenta de Google: entra en https://myaccount.google.com/permissions y quita el acceso a TapReview.
- Escribiendo a tapreviewia@gmail.com para pedir la eliminación de los datos.
Tras la desconexión dejamos de leer datos de tu ficha y borramos las reseñas y los datos de la ficha almacenados en un plazo máximo de 30 días, salvo los que la ley nos obligue a conservar. Al desconectar, el dashboard deja de mostrar tus reseñas y análisis.
9. Menores
El servicio está dirigido solo a empresas y profesionales. No tratamos de forma intencionada datos de menores de 14 años como usuarios del servicio.
10. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha y, si los cambios son importantes, avisaremos a los clientes por email.