Aviso de privacidad
Versión 2.11-PUSH-ES.
Fecha de publicación y de entrada en vigor: 9 de octubre de 2026.
1. Responsables del tratamiento y datos de contacto
El responsable del tratamiento de los datos personales es:
KICO GLOBAL EOOD
EIK 208250164 · IVA BG208250164
República de Bulgaria, Varna, distrito de Odessos, bulevar «Bacho Kiro» n.º 1, planta 8, oficina VIII-3
Consultas y solicitudes sobre datos personales: privacy@owncup.eu.
En el presente Aviso, «RGPD» designa el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos).
Respecto de las actividades de tratamiento limitadas relacionadas con el programa de una cafetería concreta, y de la configuración y realización de una campaña push iniciada por dicha cafetería, OwnCup y la cafetería correspondiente son corresponsables del tratamiento. El nombre y los datos de contacto de la cafetería figuran en su perfil; los aspectos esenciales del reparto de responsabilidades se exponen en la sección 9. Respecto de la operación posterior de generación y envío de un recordatorio automático del Programa conforme a reglas uniformes de la plataforma, OwnCup actúa como responsable independiente del tratamiento. OwnCup sigue siendo el punto de contacto técnico principal, pero el usuario puede dirigirse a cualquiera de las partes de la operación conjunta.
OwnCup no ha designado un delegado de protección de datos porque, en la fecha de la presente versión, no se ha constatado la obligación de designarlo. Ello no restringe el derecho a dirigirse directamente al responsable del tratamiento.
2. Ámbito de aplicación
El presente Aviso se aplica al tratamiento de datos en el marco del servicio único OwnCup a través de tres interfaces técnicas diferenciadas:
- el sitio web de marketing de OwnCup en el que se publica el presente Aviso;
- la aplicación web app.owncup.eu;
- las aplicaciones nativas de OwnCup para iOS y Android.
Se aplica asimismo a los representantes y al personal de las cafeterías participantes, a las personas que presentan una consulta o una solicitud de soporte y a las personas que notifican contenido presuntamente ilícito.
Las cookies, el almacenamiento del navegador y las tecnologías web externas utilizadas por el sitio web de marketing y por app.owncup.eu se describen además, por separado, en la Política de cookies, almacenamiento local y tecnologías web. Las aplicaciones nativas no utilizan cookies del navegador; sus permisos, su almacenamiento local y los servicios de entrega de notificaciones se describen a continuación.
3. Qué datos se tratan
3.1. Sitio web de marketing
En función de las acciones del visitante, se tratan los siguientes datos:
- el contenido y los datos de contacto que el visitante introduce en un formulario de contacto o de consulta;
- el idioma y la página desde la que se envió la consulta;
- la dirección IP y la información técnica limitada sobre la solicitud necesaria para mostrar la página, proteger el formulario y prevenir abusos;
- el registro en el navegador de la elección sobre cookies: categorías seleccionadas, versión de la interfaz y del documento, idioma, fechas de almacenamiento y de caducidad, origen de la elección y un identificador aleatorio del registro;
- previo consentimiento independiente para la analítica: identificadores en línea, información sobre el navegador y el dispositivo, páginas visitadas y eventos de interacción de Google Analytics 4.
El sitio web de marketing no envía a Google Analytics el nombre, la dirección de correo electrónico ni el identificador propio de la Cuenta de OwnCup. Si la analítica está técnicamente desactivada en una compilación concreta, la elección del usuario se guarda, pero no se recogen datos analíticos ni se envían solicitudes a GA4.
3.2. La aplicación web app.owncup.eu
En función de cómo se utilice el servicio, se tratan los siguientes datos:
- la dirección de correo electrónico obligatoria, el nombre o el nombre visible opcionales, el identificador interno, el estado de verificación y el estado de la Cuenta;
- los tokens de Firebase Authentication y el estado técnico de la sesión;
- la dirección IP, el idioma, el tipo y la versión del navegador, el sistema operativo y los eventos de inicio de sesión, de seguridad y de error;
- los escaneos confirmados, el establecimiento participante, la hora, las tazas o los sellos, las recompensas y los canjes;
- el nombre mostrado o generado que ve el personal autorizado de la cafetería correspondiente junto con las transacciones del programa de esa cafetería;
- el registro de la aceptación de las condiciones; cuando la gestión de las categorías de marketing esté efectivamente disponible en la aplicación web, la selección de una categoría genera además el registro de la confirmación independiente de estar legalmente facultado para prestar el consentimiento;
- una solicitud técnica a Google Maps, incluidas la dirección IP y la información del navegador, únicamente después de que el usuario abra el mapa o solicite la función de locales cercanos;
- la ubicación precisa únicamente después de concederse un permiso del sistema independiente y de utilizarse la función que la requiere.
Los componentes de Flutter CanvasKit necesarios para representar la interfaz web se alojan en un recurso de OwnCup y no requieren que CanvasKit se cargue desde la infraestructura de Google.
3.3. Aplicaciones nativas para iOS y Android
En función de la plataforma y de las funciones seleccionadas, se tratan los siguientes datos:
- los datos de la Cuenta y los eventos de fidelización enumerados en la subsección 3.2;
- la versión de la aplicación y del sistema operativo, el idioma, el modelo o la clase de dispositivo y los eventos de inicio de sesión, de seguridad y de error;
- los identificadores push: un FCM registration token o un APNs device token, y un Firebase Installation ID si la configuración utilizada lo crea o transmite efectivamente; la plataforma, el idioma y metadatos técnicos mínimos;
- la selección de cada categoría de mensajes push de marketing, la retirada y el estado de exclusión; la fecha y la hora, el idioma, la versión del texto y el origen técnico de la selección;
- la confirmación de estar legalmente facultado para prestar el consentimiento por sí mismo, que se muestra tras seleccionar una categoría de marketing;
- un registro de envíos: identificador de la campaña, referencia seudonimizada del Destinatario, hora, aceptación por el servicio de entrega o error técnico;
- el estado de la sesión segura local y la configuración seleccionada por el usuario;
- los datos de la cámara o de ubicación únicamente después de concederse el permiso del sistema y de activarse la función de escaneo, de mapa o de locales cercanos.
OwnCup no conserva un historial continuo de la geolocalización precisa ni utiliza el identificador publicitario del dispositivo para publicidad comportamental.
OwnCup no recoge eventos de apertura, visualización o clic en los mensajes push. La aceptación técnica de un mensaje por FCM o APNs no significa que el Invitado haya visto o abierto la notificación y no se utiliza como prueba de apertura ni de entrega al Invitado.
3.4. Clientes empresariales, soporte y moderación
Respecto de las cafeterías participantes, OwnCup trata los datos de contacto, registrales, contractuales, del plan, de pago y de facturación de sus representantes, así como los datos sobre los establecimientos y las ofertas publicadas. El registro de una confirmación contractual incluye el identificador interno del usuario de la Cuenta empresarial, su función, el Cliente en cuyo nombre se realizó la actuación, la fecha y la hora, el idioma, el origen, las versiones de los documentos aceptados y la confirmación de las facultades declaradas. Cuando se presenta una solicitud de soporte o una notificación de contenido, OwnCup trata los datos de contacto, el contenido de la comunicación, las pruebas aportadas, las decisiones y la correspondencia.
Un usuario empresarial puede cargar fotografías o vídeos para el perfil de una cafetería, una oferta o una recompensa. La cafetería es responsable de ser titular de los derechos sobre los materiales y de disponer de una base jurídica para mostrar a personas identificables. Dichos materiales no se envían a la analítica como fotografías o vídeos.
OwnCup no solicita a los usuarios que faciliten categorías especiales de datos personales. Si tal información fuera objetivamente necesaria para una comunicación concreta, solo debe facilitarse la cantidad mínima necesaria.
4. Dirección de correo electrónico obligatoria y minimización de datos
La dirección de correo electrónico es necesaria para el registro, la verificación de la Cuenta, el inicio de sesión seguro, la recuperación del acceso, los mensajes de servicio y la ejecución del Contrato. Sin ella, OwnCup no puede crear ni mantener de forma segura una Cuenta.
Los datos opcionales se identifican claramente en la interfaz. La negativa a facilitar datos opcionales no restringe las funciones básicas para las que dichos datos no son necesarios.
Para la confirmación de estar legalmente facultado, OwnCup no solicita la fecha de nacimiento, el grupo de edad ni una copia de un documento de identidad.
5. Finalidades y bases jurídicas
| Finalidad | Datos principales e interfaz | Base jurídica |
|---|---|---|
| Funcionamiento y protección del sitio web de marketing | dirección IP y datos técnicos limitados de la solicitud | intereses legítimos conforme al artículo 6, apartado 1, letra f), del RGPD en prestar el sitio web de forma segura |
| Respuesta a un formulario enviado | datos de contacto y contenido de la comunicación | aplicación de medidas precontractuales a petición del visitante — artículo 6, apartado 1, letra b), del RGPD; para otras comunicaciones, intereses legítimos conforme al artículo 6, apartado 1, letra f), del RGPD en dar respuesta |
| Registro, inicio de sesión y suministro de la aplicación | datos de la Cuenta, de la sesión y técnicos de web / iOS / Android | ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD |
| Escaneos, progreso y recompensas | Cuenta, identificador interno y eventos de fidelización | ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD |
| Programa de una cafetería concreta y su historial operativo | nombre mostrado o generado, hora, tipo de oferta o de transacción, recompensa y estado en la interfaz de la cafetería correspondiente | ejecución de la participación en el programa y del servicio digital — artículo 6, apartado 1, letra b), del RGPD; OwnCup y la cafetería correspondiente son corresponsables de esta actividad de tratamiento limitada |
| Correos electrónicos de servicio | dirección de correo electrónico y eventos de la Cuenta | ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD; para los mensajes de seguridad, también intereses legítimos conforme al artículo 6, apartado 1, letra f), del RGPD |
| Seguridad y prevención de abusos | datos técnicos, eventos de fidelización y registros | intereses legítimos de OwnCup y de los usuarios en proteger el servicio — artículo 6, apartado 1, letra f), del RGPD; obligación legal conforme al artículo 6, apartado 1, letra c), del RGPD cuando proceda |
| Soporte y tramitación de reclamaciones | datos de contacto, comunicación y pruebas | ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD; intereses legítimos en resolver las comunicaciones y defender derechos — artículo 6, apartado 1, letra f), del RGPD; obligación legal — artículo 6, apartado 1, letra c), del RGPD cuando proceda |
| Contratos B2B, facultades de los representantes, confirmaciones contractuales, facturación y contabilidad | datos empresariales, identificador y función del representante, versiones de los documentos, hora y origen de la confirmación, pagos y documentos | para la persona física que sea parte del contrato, ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD; para el representante de una persona jurídica, intereses legítimos conforme al artículo 6, apartado 1, letra f), del RGPD en gestionar el contrato, confirmar las facultades y demostrar el cumplimiento; obligación legal — artículo 6, apartado 1, letra c), del RGPD cuando proceda |
| Notificaciones push de servicio, si están disponibles en la compilación instalada | identificador push y metadatos mínimos de entrega tras el permiso del sistema | ejecución de un contrato — artículo 6, apartado 1, letra b), del RGPD, cuando la notificación sea necesaria para la función solicitada; intereses legítimos en la seguridad — artículo 6, apartado 1, letra f), del RGPD |
| Mensajes push de marketing de una categoría seleccionada | selección de la categoría, identificador push, idioma, reglas de Destinatarios y registro mínimo de envíos | consentimiento — artículo 6, apartado 1, letra a), del RGPD; para el registro de la selección y la defensa frente a reclamaciones tras la retirada, intereses legítimos conforme al artículo 6, apartado 1, letra f), del RGPD en demostrar el cumplimiento |
| Recordatorios automáticos de la categoría «Ofertas y promociones de cafeterías» | visitas confirmadas, tiempo transcurrido desde la última visita, progreso y estado de la recompensa en el programa correspondiente | consentimiento — artículo 6, apartado 1, letra a), del RGPD; OwnCup aplica de forma independiente criterios uniformes y actúa como responsable independiente de la operación posterior de generación y envío del recordatorio |
| Estadísticas del sitio web de marketing mediante Google Analytics 4 | identificadores en línea, información del navegador y del dispositivo, páginas y eventos | consentimiento — artículo 6, apartado 1, letra a), del RGPD |
| Mapa y locales cercanos | dirección IP y datos técnicos de la solicitud después de que el usuario abra el mapa o solicite la función de locales cercanos | ejecución de la función solicitada — artículo 6, apartado 1, letra b), del RGPD |
| Geolocalización precisa para el mapa o los locales cercanos | ubicación tras la acción independiente del usuario y el permiso del sistema | consentimiento — artículo 6, apartado 1, letra a), del RGPD; el permiso del sistema es un medio de expresar la elección, no una base jurídica independiente |
| Formulación y defensa de reclamaciones | datos pertinentes para la controversia | intereses legítimos en la defensa de derechos — artículo 6, apartado 1, letra f), del RGPD |
| Respuesta a las autoridades competentes | datos necesarios | obligación legal — artículo 6, apartado 1, letra c), del RGPD |
6. Intereses legítimos
Cuando OwnCup se basa en intereses legítimos, persigue la protección de las Cuentas y de la plataforma, la prevención del fraude y de los abusos técnicos, el diagnóstico de errores, la tramitación de las comunicaciones, la gestión de la relación con el Cliente, la verificación de las facultades de sus representantes, la documentación de la confirmación contractual, la demostración del cumplimiento y la defensa frente a reclamaciones.
OwnCup evalúa la necesidad y la proporcionalidad del tratamiento, la cantidad de datos, las expectativas razonables del usuario y el posible efecto sobre sus derechos. El usuario puede oponerse a dicho tratamiento; OwnCup dejará de realizarlo salvo que acredite motivos legítimos imperiosos o la necesidad para la formulación, el ejercicio o la defensa de reclamaciones.
7. Mensajes de marketing
OwnCup ofrece tres categorías independientes, desactivadas por defecto:
- Ofertas y promociones de cafeterías;
- Ofertas de OwnCup;
- Noticias y novedades de OwnCup.
La selección de una categoría no activa las demás. En la interfaz, la categoría Ofertas y promociones de cafeterías se explica así: «Campañas de las cafeterías en cuyos programas participas y recordatorios automáticos de OwnCup sobre visitas, progreso y recompensas en esos programas.»
Cada mensaje se asigna según su finalidad. La campaña de la cafetería correspondiente y el recordatorio automático de OwnCup sobre el Programa de esa cafetería pertenecen a la categoría Ofertas y promociones de cafeterías. Una oferta de OwnCup que no guarde relación con el Programa de una cafetería concreta pertenece a la categoría Ofertas de OwnCup.
El permiso del sistema del dispositivo para recibir notificaciones, el registro, la aceptación de las Condiciones, la participación en un Programa y la existencia de un identificador push no constituyen consentimiento para el marketing. Las notificaciones de servicio se utilizan únicamente para las finalidades operativas indicadas.
Tras seleccionar al menos una categoría de marketing y antes de que se active, el usuario confirma por separado que está legalmente facultado para prestar el consentimiento por sí mismo, mediante la declaración prevista en la sección 16. Sin dicha confirmación la categoría no se activa, mientras que la Cuenta y las funciones básicas siguen disponibles.
La selección puede modificarse o retirarse gratuitamente en los ajustes de la aplicación. La retirada sitúa la categoría en estado de exclusión sin dilación indebida y bloquea los nuevos mensajes. Una vinculación técnica independiente del identificador push para los mensajes de servicio solo puede conservarse si existen una finalidad y un estado propios.
Los correos electrónicos de servicio obligatorios no contienen publicidad y se envían mientras la Cuenta esté activa, con independencia de que no se utilice la función de marketing.
8. Elaboración de perfiles y decisiones automatizadas
OwnCup no adopta decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en el usuario o le afecten significativamente de modo similar.
Las reglas automatizadas pueden detectar transacciones duplicadas, actividad anómala, errores técnicos o un posible fraude y remitir temporalmente un evento a revisión. El usuario puede dirigirse a support@owncup.eu, obtener el examen del asunto por un empleado, expresar su punto de vista e impugnar el resultado.
Para la categoría de ofertas y promociones de cafeterías, OwnCup puede utilizar la ciudad verificada del Establecimiento, el idioma de la aplicación, la participación en el programa correspondiente, el tiempo transcurrido desde la última visita confirmada, el número de visitas que faltan para una recompensa y el estado de la recompensa. Estas reglas no producen efectos jurídicos ni significativos similares para el Invitado.
La cafetería no selecciona a un Invitado concreto ni recibe los criterios utilizados. Para formar la audiencia no se utilizan la geolocalización actual, la edad ni la apertura, visualización o clic de un mensaje push anterior.
9. Qué ve la cafetería y funciones de las partes
A través de la interfaz protegida del programa de fidelización, un empleado autorizado de la cafetería correspondiente ve el nombre mostrado o generado del Invitado, la hora, la oferta o el tipo de transacción, la recompensa asociada, el estado de confirmación y el historial de dichas transacciones en el Programa de esa cafetería, correspondiente, como máximo, a los últimos 12 meses. El acceso finaliza antes si concluye la participación del Invitado o el Programa correspondiente. La limitación se aplica al historial identificable pasado: el estado actual del progreso confirmado y de una recompensa ya obtenida, necesario para un Programa activo, puede mostrarse por separado sin restablecer las transacciones antiguas. Incluso un nombre generado, junto con el historial o el estado actual, constituye un dato personal.
En una campaña push, la cafetería no recibe los datos personales y técnicos de los Destinatarios enumerados en la sección 10.2 de las Condiciones del servicio para Clientes empresariales. En la interfaz del programa de fidelización, la cafetería no recibe la dirección de correo electrónico, el número de teléfono, el identificador interno del usuario, el identificador push, el Firebase Installation ID, datos sobre la participación en otras cafeterías ni una exportación de la lista de Invitados. La analítica agregada no permite a la cafetería definir desgloses o segmentos que identifiquen a una persona.
OwnCup es responsable independiente del tratamiento respecto de la Cuenta, la autenticación, la obtención y el registro de las selecciones de categorías, los registros push, la exclusión, la seguridad, las reglas uniformes de la plataforma, las medidas antifraude, las correcciones manuales, la analítica agregada, el soporte, la atención de los derechos de los interesados y sus propias obligaciones legales.
Respecto de la participación en el Programa de una cafetería concreta, OwnCup y dicha cafetería son corresponsables del tratamiento conforme al artículo 26 del RGPD. La cafetería determina la finalidad y las reglas del Programa, la recompensa y la decisión de ponerle fin; OwnCup determina los campos técnicos, el almacenamiento, la seguridad, la rectificación y la supresión. OwnCup publica la información y es el contacto técnico principal en privacy@owncup.eu; la cafetería gestiona el acceso de su personal y utiliza los datos únicamente para su Programa.
Respecto de la operación limitada de configuración y realización de una campaña push iniciada por la cafetería, OwnCup y la cafetería son corresponsables del tratamiento. La cafetería determina la finalidad comercial, el Material, los Establecimientos y el periodo. OwnCup determina los medios técnicos y aplica la selección del Invitado y las reglas uniformes para determinar los Destinatarios, la frecuencia y la hora de envío. OwnCup conserva el registro de la selección y la exclusión y realiza el envío técnico.
Un recordatorio automático de OwnCup sobre visitas, progreso o una recompensa en el Programa de la cafetería no es una campaña iniciada por la cafetería. La cafetería no activa el recordatorio para un Invitado concreto ni selecciona el desencadenante, el Destinatario, el Material, el periodo ni la hora de envío. Respecto de la operación posterior de generación y envío de dicho recordatorio, OwnCup actúa como responsable independiente del tratamiento. La operación de fidelización previa de la que procede el evento sigue siendo una operación conjunta de OwnCup y la cafetería.
Para ambas operaciones conjuntas, OwnCup coordina las respuestas a las solicitudes y la evaluación de los incidentes. La cafetería remite a OwnCup la solicitud recibida en el plazo de tres días hábiles, indicando la fecha y la hora originales de recepción, y comunica cualquier incidente sospechado en las 24 horas siguientes a su descubrimiento. El plazo para responder al Invitado se computa desde la fecha en que cualquiera de las partes recibe la solicitud y no se reinicia con la remisión interna. El Invitado puede dirigirse a cualquiera de las partes con independencia del reparto. El reparto completo de responsabilidades figura en la sección 10.5 de las Condiciones del servicio para Clientes empresariales.
La cafetería es responsable, como responsable independiente del tratamiento, del contenido, los precios, las condiciones y el cumplimiento de su oferta, de los datos que conserve o utilice por su cuenta fuera de la interfaz de OwnCup prevista y de los materiales cargados en el perfil de la cafetería.
10. Tecnologías, destinatarios y proveedores
10.1. Sitio web de marketing
El sitio web de marketing owncup.eu se aloja en la infraestructura de Vercel. Para el suministro de las páginas, el funcionamiento de la CDN global, TLS, la protección frente a abusos y el diagnóstico técnico, Vercel recibe la dirección IP, la fecha y la hora de la solicitud, la ruta solicitada, las cabeceras y la información técnica limitada de la solicitud. El registro de la elección estrictamente necesario se almacena localmente en el navegador. Google Analytics 4 solo puede activarse previo consentimiento y únicamente si la analítica está habilitada en la compilación publicada. Las fuentes tipográficas se alojan en un recurso de OwnCup y no inician una conexión con Google Fonts.
10.2. La aplicación web app.owncup.eu
| Tecnología | Finalidad y datos principales | Cuándo se utiliza |
|---|---|---|
| Firebase Authentication | inicio de sesión, tokens de sesión y protección de la Cuenta; identificador interno, dirección de correo electrónico y datos técnicos limitados | durante el registro, el inicio de sesión y el mantenimiento de la sesión |
| Google Maps JavaScript API | carga de la biblioteca de mapas; dirección IP y datos técnicos de la solicitud; ubicación solo con permiso independiente | solo después de abrir el mapa o solicitar la función de locales cercanos; geolocalización precisa solo para la función permitida |
| Flutter CanvasKit | representación de la interfaz; los componentes de ejecución se cargan desde un recurso de OwnCup | al iniciar la versión web, cuando se utilice el mecanismo de representación correspondiente |
| Almacenamiento técnico de OwnCup | estado de la sesión, seguridad y configuración seleccionada | cuando se utiliza la función correspondiente |
10.3. Aplicaciones nativas
| Tecnología | Finalidad y datos principales | Cuándo se utiliza |
|---|---|---|
| Firebase Authentication | inicio de sesión y protección de la sesión; identificador interno, dirección de correo electrónico y datos técnicos limitados | durante el registro y el inicio de sesión |
| Firebase Cloud Messaging y Apple Push Notification Service | entrega de notificaciones de servicio y de marketing seleccionadas; identificador push (FCM registration token o APNs device token) y metadatos técnicos mínimos | tras el permiso del sistema; envío de marketing solo con una selección activa de la categoría correspondiente y sin exclusión |
| Firebase Installations | identificación técnica de una instalación, si la utiliza la configuración actual de Firebase; Firebase Installation ID y metadatos técnicos mínimos | en el momento determinado por la configuración real de la aplicación; el identificador no se utiliza para formar una audiencia de marketing |
| Firebase Remote Config | configuración remota de funciones necesarias de la aplicación; solicitud técnica y Firebase Installation ID según la configuración | para una finalidad técnica documentada por separado; un parámetro necesario solo para una función de marketing no se obtiene antes de que dicha función se active |
| Google Maps Platform | mapa y locales cercanos; dirección IP, datos técnicos de la solicitud y ubicación si el usuario permite el acceso por separado | cuando se utiliza la función de mapa o de locales cercanos |
| Almacenamiento local seguro de OwnCup | tokens de sesión, seguridad y configuración seleccionada | cuando se utiliza la aplicación |
Los principales proveedores y destinatarios habituales figuran en el Registro de proveedores de servicios y destinatarios de datos. Los proveedores que tratan datos por cuenta de OwnCup están sujetos a obligaciones contractuales de confidencialidad, seguridad y tratamiento únicamente siguiendo instrucciones documentadas.
Antes de conectar nuevas herramientas externas de analítica, publicidad o un SDK móvil, OwnCup actualiza la información correspondiente y, cuando se requiera consentimiento, lo solicita antes de activar la tecnología.
11. Alojamiento y transferencias internacionales
Con la configuración actual, la aplicación principal y la API se alojan en Google Cloud Run en la región europe-west1 (Bélgica), la base de datos principal MongoDB Atlas y las copias de seguridad se encuentran en la UE/EEE, Google Cloud Storage se encuentra en la multirregión de la UE y la infraestructura de correo electrónico de OwnCup se encuentra en Estonia.
Algunos proveedores utilizan infraestructura global, prestan soporte desde terceros países o tratan determinados datos técnicos fuera del EEE. Esto puede aplicarse, en particular, a Vercel, Google/Firebase, Apple y MongoDB.
Para las transferencias fuera del EEE, OwnCup utiliza, según el destinatario, una decisión de adecuación de la Comisión Europea, el Marco de Privacidad de Datos UE-EE. UU. respecto de un destinatario certificado en ese momento y de los datos cubiertos, o las cláusulas contractuales tipo de la Comisión Europea con las medidas complementarias necesarias.
Para las transferencias a Vercel Inc. en los Estados Unidos, OwnCup se basa en el Marco de Privacidad de Datos UE-EE. UU. respecto de los datos cubiertos mientras Vercel mantenga una certificación válida; cuando dicho mecanismo no sea aplicable, OwnCup utiliza las cláusulas contractuales tipo de la Comisión Europea incorporadas al acuerdo de tratamiento de datos (DPA) aplicable y las medidas complementarias necesarias.
Puede solicitarse en privacy@owncup.eu una copia de las garantías aplicables o información sobre ellas. La información comercial y relativa a la seguridad puede omitirse lícitamente.
12. Plazos de conservación
| Datos | Plazo o criterio |
|---|---|
| Cuenta | mientras esté activa; tras la eliminación, supresión o desidentificación irreversible sin dilación indebida |
| Sesión de la aplicación web o móvil | hasta el cierre de sesión, la eliminación de la Cuenta, la revocación del token o la caducidad técnica del token |
| Códigos de verificación y de recuperación | hasta su caducidad, por lo general no más de 24 horas, seguida de su eliminación técnica |
| Registro push de marketing activo | mientras estén activos la Cuenta, el permiso del sistema y la selección de la categoría correspondiente; la retirada activa de inmediato la exclusión y la vinculación de marketing innecesaria se suprime o se desvincula de forma irreversible en un plazo de 30 días |
| Registro de las selecciones de categorías push y de la confirmación de estar legalmente facultado | mientras la Cuenta esté activa y hasta 5 años después del último cambio, de la retirada o de la eliminación de la Cuenta; un registro relacionado con una reclamación o controversia puede aislarse hasta la conclusión del asunto y del plazo aplicable para reclamar |
| Registro ordinario de envíos | periodo operativo de hasta 90 días; los registros relacionados con una reclamación o controversia se aíslan y se conservan hasta la conclusión del asunto y del plazo aplicable para reclamar |
| Identificador push o Firebase Installation ID inactivos | un identificador push no válido se desactiva al confirmarse el error; una vinculación de marketing innecesaria se suprime o se desvincula en un plazo de 30 días desde la retirada o la eliminación de la Cuenta; un registro inactivo sin una finalidad de servicio activa independiente se elimina tras 90 días de inactividad |
| Registros técnicos | por lo general hasta 30 días; los registros relacionados con un incidente, hasta su cierre y el plazo de prescripción aplicable a las reclamaciones |
| Solicitudes y moderación | hasta 24 meses desde su cierre; más tiempo en caso de controversia o exigencia imperativa |
| Eventos de fidelización y acceso de la cafetería al historial identificable | cada transacción identificable está disponible para la cafetería como máximo durante 12 meses desde que se produce y solo mientras estén activos la Cuenta, la participación y el programa correspondiente; el primero de esos hechos que se produzca pone fin al acceso de la cafetería. La limitación del historial no pone a cero el progreso confirmado vigente ni el estado de una recompensa ya obtenida: el estado actual necesario puede mostrarse por separado sin restablecer las transacciones antiguas. Tras la eliminación de la Cuenta, se suprime la vinculación con la Cuenta o se conserva un registro limitado y desidentificado para la integridad, la seguridad, la resolución de controversias y la estadística |
| Fotografías y vídeos del perfil de la cafetería | mientras el material esté publicado o sea necesario para la tramitación de una controversia o la moderación; tras su supresión, sujeto a la eliminación técnica y a un ciclo limitado de copias de seguridad |
| Google Analytics 4 | cookies hasta 60 días; datos de eventos y de usuarios en la configuración de la propiedad durante 2 meses; los informes agregados pueden conservarse más tiempo sin identificar directamente al usuario |
| Registro local de la elección de cookies del sitio web de marketing | 6 meses, hasta la retirada, el borrado del navegador o un cambio sustancial; OwnCup no mantiene un registro independiente de esta elección en el servidor |
| Registro de la aceptación de las condiciones, de la confirmación contractual del usuario de la Cuenta empresarial y de la confirmación de estar legalmente facultado para prestar el consentimiento de marketing | mientras siga vigente el contrato o la Cuenta correspondientes; tras su terminación, dentro del plazo de prescripción aplicable cuando el registro sea necesario para demostrar la aceptación o el cumplimiento o para la defensa frente a reclamaciones; más tiempo solo en caso de controversia o exigencia imperativa |
| Contratos B2B y facturas | durante el plazo obligatorio contable, fiscal y de prescripción |
| Copias de seguridad | dentro de un ciclo de rotación limitado; se utilizan únicamente para la recuperación, tras la cual se vuelven a aplicar las supresiones vigentes |
13. Eliminación de la Cuenta
La Cuenta puede eliminarse a través de la interfaz de OwnCup o enviando una solicitud a privacy@owncup.eu. Tras la confirmación:
- se pone fin al acceso a la Cuenta;
- se revocan los tokens y las sesiones activas;
- se suprimen o desidentifican de forma irreversible la dirección de correo electrónico, el nombre opcional, los identificadores de inicio de sesión, los registros push activos, los Firebase Installation ID asociados en el ámbito controlado por OwnCup y los códigos de un solo uso;
- se suprimen o desidentifican los archivos del usuario relacionados;
- se vuelven a aplicar las supresiones necesarias si los datos se han restaurado desde una copia de seguridad.
La interfaz indica:
Tu Cuenta ya no está disponible. Se ha iniciado el proceso de eliminación.
Pueden conservarse registros limitados cuando sea necesario por imperativo legal, por motivos de seguridad, de prevención de abusos o para la defensa frente a reclamaciones. Se aíslan, no se utilizan para marketing y se suprimen o desidentifican una vez que desaparece la base que justificaba su conservación.
14. Derechos
Según las circunstancias, el usuario tiene derecho a obtener información y acceso a los datos, a rectificarlos, a solicitar su supresión o la limitación del tratamiento, a recibir los datos facilitados por él en un formato portable, a oponerse al tratamiento basado en intereses legítimos, a retirar el consentimiento, a solicitar la intervención humana cuando proceda, a presentar una reclamación ante una autoridad de control y a acudir a los tribunales.
Las solicitudes se envían a privacy@owncup.eu. OwnCup puede verificar razonablemente la identidad y responde en el plazo establecido por la ley, por lo general en el plazo de un mes.
15. Autoridad de control
El usuario tiene derecho a dirigirse a la autoridad de control del lugar de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción.
El contacto principal en Bulgaria es:
Comisión de Protección de Datos Personales (Комисия за защита на личните данни)
2 Prof. Tsvetan Lazarov Blvd., Sofía 1592, Bulgaria
kzld@cpdp.bg · cpdp.bg
16. Menores
Tras seleccionar al menos una categoría de marketing y antes de que se active, el usuario confirma, mediante una casilla independiente desmarcada por defecto:
Confirmo que, conforme a la ley que me es aplicable, puedo prestar este consentimiento por mí mismo.
Para esta confirmación, OwnCup no solicita la fecha de nacimiento, el grupo de edad ni una copia de un documento de identidad. OwnCup registra únicamente el hecho de la confirmación, la versión del texto mostrado, la fecha y la hora, el idioma y el origen técnico.
La confirmación es una declaración del usuario de que puede legalmente prestar por sí mismo el consentimiento concreto, pero no constituye una verificación documental de la edad. Si el usuario no puede legalmente prestar el consentimiento por sí mismo, la categoría de marketing no se activa. El modelo actual no permite la activación sobre la base de la autorización del progenitor o del titular de la patria potestad o tutela. La clasificación por edades o el público destinatario en el App Store o en Google Play no verifican la edad de un usuario concreto.
17. Seguridad
OwnCup aplica medidas proporcionadas al riesgo, incluidos controles de acceso, cifrado en tránsito, gestión de secretos, registro de eventos de seguridad, copias de seguridad y procedimientos de respuesta. Ningún método de transmisión o almacenamiento garantiza una seguridad absoluta.
18. Modificaciones del Aviso
OwnCup actualiza el Aviso cuando cambian el servicio, las finalidades, los proveedores o la legislación. Cuando la ley lo exige, se informa con antelación de un cambio sustancial. Se solicita un nuevo consentimiento cuando el cambio no esté cubierto por la base jurídica anterior.