Política de Privacidad

1Responsable del tratamiento

• Titular: SPEED DATA TECHNOLOGIES, S.L.
• C.I.F.: B19479864
• Domicilio social: Avda. Primado Reig, 129, Entresuelo D, 46020 Valencia (España).
• Correo de contacto general: [soporte@tapstar.es]
• Correo en materia de protección de datos: rgpd@tapstar.es

2Naturaleza dual del tratamiento — roles RGPD

Tapstar actúa en dos roles distintos en el tratamiento de datos personales vinculado a la Plataforma:① Como RESPONSABLE del tratamiento respecto de los datos de los usuarios registrados en la Plataforma (negocios, autónomos, empleados y contactos profesionales que crean y gestionan una cuenta).② Como ENCARGADO del tratamiento respecto de los datos de los clientes finales de esos negocios, cuando la Plataforma registra información técnica derivada del uso de los dispositivos NFC/QR. En este supuesto, el negocio titular de la cuenta actúa como responsable del tratamiento frente a sus propios clientes.

La presente Política regula principalmente el rol de Responsable (apartados 3 a 11). El rol de Encargado se regula en el apartado 12 y en el Acuerdo de Tratamiento de Datos (DPA), que forma parte de los Términos de Servicio de la Plataforma y se acepta electrónicamente durante el proceso de registro, contratación, activación de cuenta o uso de la Plataforma.

3Datos del usuario registrado. Tapstar como Responsable

Cuando una persona física, autónomo, representante de una empresa, empleado o contacto profesional crea una cuenta, activa un dispositivo o utiliza la Plataforma Tapstar, Tapstar podrá tratar los siguientes datos personales:

• Datos identificativos y de contacto: nombre y apellidos, correo electrónico, teléfono, identificadores de cuenta.
• Datos profesionales y del negocio: nombre o razón social del negocio, local o establecimiento vinculado, información del perfil de Google Business asociado, datos de suscripción y plan contratado.
• Credenciales y datos técnicos de acceso: contraseña cifrada, tokens de autenticación, datos de sesión y registros de acceso (logs).
• Datos de uso de la Plataforma: métricas de dispositivos, interacciones con funcionalidades contratadas, historial de configuración de dispositivos y locales, prompts e instrucciones de tono de marca configurados por el usuario.
• Datos de reseñas: contenido de reseñas recibidas en el perfil de Google Business del negocio, respuestas generadas o asistidas por la Plataforma, análisis de sentimiento vinculado.
• Datos de soporte: comunicaciones de atención al cliente, tickets de incidencia y registros de soporte técnico.

Tapstar tratará estos datos para las siguientes finalidades:

• Crear, administrar y mantener la cuenta del usuario en la Plataforma.
• Activar, configurar y vincular el dispositivo al negocio correspondiente.
• Permitir la gestión de dispositivos, locales, reseñas, suscripciones y funcionalidades contratadas.
• Gestionar la integración o vinculación con servicios de terceros (Google Business, Google Maps) cuando resulte necesario para la prestación del servicio.
• Prestar soporte técnico y atención al cliente.
• Gestionar incidencias, seguridad, accesos, logs y trazabilidad del servicio.
• Enviar comunicaciones operativas relacionadas con la Plataforma, la cuenta, la suscripción o el dispositivo.
• Prestar funcionalidades de inteligencia artificial para análisis de reseñas, generación de respuestas asistidas y adaptación de tono de marca (véase apartado 6).
• Elaborar métricas y análisis del uso de la Plataforma con fines de mejora del servicio y, en su caso, identificación de oportunidades de actualización de plan (véase apartado 5.2).
• Gestionar, en su caso, comunicaciones comerciales conforme a la base jurídica aplicable.

Bases jurídicas

• Art. 6.1.b) RGPD (ejecución del contrato): creación y gestión de cuenta, activación del dispositivo, prestación del servicio y soporte, incluyendo las funcionalidades de IA solicitadas por el usuario.
• Art. 6.1.c) RGPD (cumplimiento de obligación legal): conservación de registros conforme a normativa fiscal y mercantil.
• Art. 6.1.f) RGPD (interés legítimo): seguridad, trazabilidad, prevención de fraude, mejora del servicio, análisis de uso interno y comunicaciones comerciales a usuarios actuales sobre el propio servicio (art. 21.2 LSSI).
• Art. 6.1.a) RGPD (consentimiento): comunicaciones comerciales a nuevos usuarios o sobre servicios no relacionados con el contratado. Revocable en cualquier momento.

4Integración con Google Business y servicios de Google

La Plataforma permite al usuario registrar y vincular su perfil de Google Business como destino del dispositivo Tapstar. Para ello, Tapstar utiliza las APIs de Google Maps y Google Business Profile, así como el protocolo de autenticación delegada OAuth 2.0 de Google, cuando el usuario opta por esta modalidad de vinculación.

El uso de estas integraciones implica que:

• Al vincular su cuenta de Google, el usuario autoriza a Tapstar a acceder a determinada información del perfil de Google Business (nombre del establecimiento, URL, identificadores de lugar) exclusivamente con los permisos que el usuario conceda durante el flujo OAuth.
• Tapstar no almacena la contraseña de Google del usuario ni tiene acceso a datos más allá de los permisos expresamente concedidos.
• Los datos obtenidos a través de la API de Google se utilizan únicamente para la configuración, vinculación y correcto funcionamiento del dispositivo Tapstar asociado al negocio.
• Google trata los datos del usuario conforme a su propia Política de Privacidad (https://policies.google.com/privacy). Tapstar no controla ni es responsable del tratamiento que Google realice en sus propios sistemas.

El uso de los servicios de Google se rige por las condiciones aplicables a cada API o servicio utilizado. Google puede actuar, según el caso y el servicio concreto, como proveedor tecnológico, encargado del tratamiento o responsable independiente respecto de sus propios tratamientos. Tapstar no determina de forma unilateral el rol de Google en cada tratamiento concreto; el usuario puede consultar las condiciones aplicables a cada API en el Centro de Desarrolladores de Google.

5Análisis, métricas, cookies de la Plataforma y perfilado

5.1 Analítica de uso. PostHog

La Plataforma puede utilizar herramientas de análisis de experiencia de usuario, entre ellas PostHog (PostHog, Inc., con servidores en Frankfurt, Alemania), para comprender cómo los usuarios interactúan con la interfaz, identificar fricciones de uso y mejorar el diseño del producto. PostHog puede registrar mapas de calor, clics y, en su caso, grabaciones de sesión dentro de la Plataforma.

Tapstar configura estas herramientas para excluir campos que puedan contener información personal introducida por el usuario, incluyendo datos de cuenta, contenido de reseñas, comunicaciones de soporte, prompts o cualquier input activo del usuario. En ningún caso se utilizarán estas herramientas para registrar contraseñas, datos de pago, contenido completo de comunicaciones privadas o datos especialmente sensibles.

La base jurídica es el interés legítimo de Tapstar en la mejora continua del servicio (art. 6.1.f RGPD). El usuario puede oponerse a través del canal indicado en el apartado 10.

5.2 Perfilado interno. análisis de conversión

Con el objeto de mejorar la prestación del servicio e identificar usuarios con mayor probabilidad de beneficiarse de funcionalidades avanzadas, Tapstar puede elaborar perfiles internos basados en datos de uso (métricas de dispositivos activos, frecuencia de acceso, funcionalidades utilizadas, tipo de suscripción activa). Este perfilado no produce efectos jurídicos ni significativos sobre el usuario en el sentido del art. 22 RGPD, no determina el precio, el acceso al servicio ni ninguna decisión contractual vinculante. La base jurídica es el interés legítimo (art. 6.1.f RGPD). El usuario puede oponerse conforme al apartado 10.

5.3 Cookies de la Plataforma

La Plataforma utiliza cookies técnicas imprescindibles para el funcionamiento de la sesión autenticada. Dentro de las sesiones autenticadas podrán emplearse cookies analíticas de terceros (PostHog, analítica de producto) conforme al apartado 5.1. Para más información, consulte la Política de Cookies de la Plataforma disponible en mytapstar.com.

6Funcionalidades de inteligencia artificial

La Plataforma Tapstar incorpora o puede incorporar funcionalidades basadas en inteligencia artificial o modelos generativos de terceros para prestar determinados servicios al negocio titular de la cuenta, incluyendo, entre otros:

• Análisis de sentimiento de reseñas: identificación del tono y valoración de las reseñas recibidas en el perfil de Google Business del negocio.
• Asistencia en la generación de respuestas a reseñas: generación de borradores de respuesta adaptados al tono de marca configurado por el negocio, sujetos a revisión y validación del usuario antes de su publicación.
• Generación de contenidos vinculados al perfil digital: publicaciones, resúmenes o textos asociados al perfil de Google Business del negocio, siempre bajo supervisión y aprobación del usuario.
• Adaptación de tono de marca: configuración de instrucciones o prompts por parte del negocio para personalizar el estilo y el tono de las respuestas generadas.

Las funcionalidades de IA tienen carácter asistencial. Los contenidos, respuestas, análisis o recomendaciones generados no se publican de forma automática sin intervención del usuario. Corresponde al negocio titular revisar, validar y aprobar cualquier contenido generado antes de su publicación o uso frente a terceros. Tapstar no asume responsabilidad por el contenido publicado sin revisión previa del usuario.

Para prestar estas funcionalidades, Tapstar podrá tratar datos asociados al negocio, a su perfil de Google Business, al contenido de las reseñas recibidas, a las instrucciones o prompts configurados por el negocio, al tono de marca definido y a los análisis y resultados generados por la herramienta.

Cuando las reseñas, respuestas o contenidos analizados incluyan datos personales (nombre del autor de la reseña, contenido identificable, incidencias descritas, etc.), dichos datos serán tratados conforme a esta Política y, cuando Tapstar actúe por cuenta del negocio titular, conforme al Acuerdo de Tratamiento de Datos aplicable.

Bases jurídicas: cuando Tapstar actúa como responsable, la base es la ejecución del servicio solicitado (art. 6.1.b RGPD) y el interés legítimo del negocio en mejorar la gestión de reseñas y su comunicación digital (art. 6.1.f RGPD). Cuando actúa como encargado, el tratamiento se realiza conforme a las instrucciones documentadas del negocio titular.

No entrenamiento de modelos propios: Tapstar no utilizará los datos del negocio, los prompts configurados ni el contenido de las reseñas para entrenar modelos propios de inteligencia artificial, salvo que se informe expresamente de ello y exista una base jurídica adecuada.

Para prestar estas funcionalidades, Tapstar podrá recurrir a proveedores tecnológicos especializados en IA generativa (véase tabla de subencargados en apartado 7). Dichos proveedores actuarán como subencargados del tratamiento, sujetos a los contratos de encargo, medidas de seguridad y mecanismos de transferencia internacional que resulten aplicables

A efectos del Reglamento (UE) 2024/1689 de Inteligencia Artificial, Tapstar mantendrá un enfoque de transparencia, supervisión humana y uso responsable de estas funcionalidades. Cuando una funcionalidad de la Plataforma implique interacción directa con una persona física mediante un sistema de IA, o cuando el contenido generado por IA se publique frente a terceros en un contexto en el que resulte exigible informar de su origen artificial, Tapstar o el negocio titular, según corresponda, adoptarán las medidas de transparencia que resulten aplicables.

Cuando el contenido generado mediante IA sea revisado, validado y publicado bajo responsabilidad editorial del negocio titular, corresponderá a dicho negocio verificar que el contenido final es exacto, lícito, adecuado, no engañoso y conforme a la normativa aplicable, incluidas las obligaciones en materia de consumidores, publicidad, competencia desleal, propiedad intelectual, protección de datos y uso de plataformas de terceros.

7Encargados y subencargados del tratamiento

Tapstar recurre a proveedores tecnológicos de confianza que pueden acceder a datos personales en calidad de encargados o subencargados del tratamiento, en virtud del correspondiente contrato de encargo conforme al art. 28 RGPD. La lista de subencargados principales es la siguiente:

Tapstar mantiene registros actualizados de los contratos de encargo suscritos con sus subencargados. Cualquier incorporación de un nuevo subencargado principal será comunicada a los usuarios con antelación suficiente para que puedan ejercer sus derechos.

8Transferencias internacionales de datos

Algunos subencargados de Tapstar tienen su sede o procesan datos en países fuera del EEE, en particular en Estados Unidos. Dichas transferencias se realizan exclusivamente bajo las garantías del RGPD (arts. 44 y ss.):

• Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, DPF): para proveedores adheridos al DPF (Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023).
• Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea (Decisión 2021/914): para proveedores no adheridos al DPF o para reforzar las garantías existentes.

MongoDB: la ubicación efectiva del cluster determinará si existe o no transferencia internacional. Si el cluster está configurado en región EU (Alemania, Irlanda u otra región EEE), los datos no salen del EEE y no hay transferencia internacional que acreditar. Si el cluster está en EE. UU. o en una región con acceso desde fuera del EEE, la transferencia queda cubierta por el DPF UE-EE. UU. o por SCCs, según las condiciones suscritas con MongoDB, Inc.

9Exactitud de los datos y edad mínima

El usuario garantiza que los datos facilitados son verídicos, exactos, completos y actualizados, siendo responsable de cualquier daño derivado de su inexactitud. La Plataforma está destinada a negocios, profesionales y personas mayores de 18 años. Tapstar no trata de forma consciente datos de menores de edad; si tuviera conocimiento de ello, procederá a su eliminación en el menor tiempo posible.

10Derechos

El usuario puede ejercer en todo momento los siguientes derechos:

• Acceso: obtener confirmación sobre si se tratan sus datos y acceder a ellos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación cuando ya no sean necesarios para los fines para los que fueron recabados.
• Limitación del tratamiento: en los supuestos legalmente previstos.
• Oposición: oponerse al tratamiento basado en interés legítimo, incluido el perfilado del apartado 5.2 y el tratamiento analítico del apartado 5.1.
• Portabilidad: recibir sus datos en formato estructurado y de lectura mecánica.
• No ser objeto de decisiones individuales automatizadas con efectos jurídicos o significativos (art. 22 RGPD).

Puede ejercer estos derechos dirigiéndose a rgpd@tapstar.es o a la dirección postal del apartado 1. Tapstar responderá en los plazos del art. 12 RGPD. Si no obtiene respuesta satisfactoria, puede reclamar ante la AEPD (www.aepd.es) o, si reside en Portugal, ante la CNPD.

11Conservación de los datos

Los datos personales de los usuarios registrados se conservarán mientras la cuenta permanezca activa y, una vez cancelada, durante los plazos de prescripción legal aplicables conforme a la normativa mercantil y fiscal (con carácter general, cinco años para registros contables y fiscales).

Los logs de acceso y datos técnicos de seguridad se conservarán durante el período necesario para atender a la seguridad del servicio, la prevención de usos abusivos o fraudulentos y la defensa de posibles reclamaciones, sin que en ningún caso supere lo razonablemente necesario para dichos fines.

El perfilado interno (apartado 5.2) se actualiza de forma dinámica sobre los datos de uso activos, sin generar registros históricos independientes de larga duración. Los datos asociados a funcionalidades de IA (prompts, análisis, reseñas procesadas) se conservarán durante el tiempo necesario para la prestación del servicio y su eventual defensa en reclamaciones, conforme a las instrucciones del negocio cuando Tapstar actúe como encargado.

Transcurridos los plazos aplicables, los datos serán eliminados de forma segura o anonimizados de manera irreversible.

12Datos de los clientes del negocio. Tapstar como Encargado

Como titular de una cuenta en la Plataforma, el negocio es el responsable del tratamiento de los datos personales de sus propios clientes. Tapstar actúa en este contexto como encargado del tratamiento, procesando esos datos única y exclusivamente para prestar el servicio contratado y conforme a las instrucciones del negocio.

Para que la Plataforma pueda ofrecer métricas de rendimiento al negocio, puede registrar determinados datos técnicos derivados de la interacción de los clientes finales con los dispositivos:

• Datos de interacción: timestamp del escaneo o toque, identificador del dispositivo y URL de destino configurada.
• Datos técnicos del acceso: dirección IP, en la medida necesaria para seguridad, medición de uso y prevención de duplicidades, aplicando medidas de minimización como truncado, hash o agregación cuando sea técnicamente posible; tipo de dispositivo, sistema operativo e idioma del navegador.
• Métricas agregadas: número de interacciones por dispositivo y periodo, sin vinculación a identidades individuales cuando sea técnicamente posible.

Obligación del negocio titular: como responsable del tratamiento, el negocio está obligado a informar a sus clientes finales del tratamiento de sus datos derivado del uso del dispositivo, conforme al art. 13 RGPD. Tapstar no asume esta obligación de información frente a los clientes finales del negocio, sin perjuicio de la información que Tapstar pueda facilitar en sus propios canales respecto de los tratamientos que realice como responsable (por ejemplo, los derivados de la seguridad y métricas propias de la Plataforma).

El Acuerdo de Tratamiento de Datos (DPA) forma parte de los Términos de Servicio de la Plataforma y se incorpora por referencia al contrato celebrado con el negocio. El DPA se acepta electrónicamente durante el proceso de alta, contratación o activación de la cuenta. Tapstar conservará evidencia electrónica de dicha aceptación, incluyendo fecha y hora de aceptación, usuario, versión documental aceptada y, cuando proceda, dirección IP, en cumplimiento de lo previsto en el art. 28 RGPD.

13Medidas de seguridad y notificación de brechas

Tapstar ha adoptado medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD: cifrado de comunicaciones en tránsito (HTTPS/TLS), cifrado de contraseñas mediante hash seguro, control de accesos por mínima necesidad, separación de entornos de producción y desarrollo, monitorización de errores y accesos (Sentry), y exigencia de medidas equivalentes a sus subencargados.

En caso de violación de seguridad con riesgo para los interesados, Tapstar la notificará a la autoridad de control en el plazo máximo de 72 horas (art. 33 RGPD) y, cuando entrañe alto riesgo, comunicará la incidencia a los afectados sin dilación (art. 34 RGPD). Como encargado del tratamiento (apartado 12), Tapstar notificará al negocio titular cualquier brecha que afecte a datos de sus clientes finales para que pueda cumplir sus propias obligaciones de notificación.

14Modificaciones de esta Política

Tapstar podrá modificar esta Política para adaptarla a novedades legislativas o a cambios en el funcionamiento de la Plataforma. Las modificaciones relevantes serán notificadas a los usuarios registrados con antelación suficiente. La incorporación de nuevos subencargados principales o de nuevas funcionalidades de IA se comunicará según lo previsto en el DPA.

Última actualización: 06/06/26.