Política de privacidad
Última actualización: 2 de septiembre de 2026
Explicamos qué datos personales tratamos, para qué, con qué base legal y durante cuánto tiempo, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Dos situaciones distintas, dos responsables distintos
Cardfiel interviene en dos tipos de tratamiento muy diferentes, y conviene distinguirlos desde el principio porque de ello depende a quién debes dirigirte para ejercer tus derechos:
- Datos del negocio que contrata Cardfiel (y de sus empleados con acceso al escáner): aquí el responsable del tratamiento es Cardfiel, es decir, el titular identificado más abajo.
- Datos de los clientes finales que se dan de alta en la tarjeta de fidelización de un negocio concreto: aquí el responsable del tratamiento es ese negocio (la barbería, la cafetería, etc.), y Cardfiel actúa únicamente como encargado del tratamiento, tratando esos datos por cuenta y siguiendo las instrucciones del negocio, en los términos del Contrato de Encargo del Tratamiento.
Dicho de otro modo: si eres cliente de una barbería que usa Cardfiel y quieres acceder a tus datos o eliminarlos, el responsable es la barbería, aunque nosotros te ayudemos a canalizarlo.
2. Responsable del tratamiento
- Titular: Bruno Piazza Saggina
- NIF: 54994248Y
- Domicilio: Avenida de Antonio López 6, 28320 Pinto (Madrid)
- Correo electrónico: soporte@cardfiel.com
No ha sido necesario designar un Delegado de Protección de Datos, al no concurrir ninguno de los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD.
3. Datos de los negocios clientes
Cuando un negocio se registra y contrata la suscripción, tratamos los siguientes datos:
| Finalidad | Datos | Base jurídica |
|---|---|---|
| Crear y gestionar la cuenta y prestar el servicio contratado. | Nombre del negocio, identificador de la página pública, categoría de actividad, teléfono, correo electrónico y contraseña (almacenada cifrada, nunca en claro). | Ejecución del contrato (art. 6.1.b RGPD). |
| Personalizar la tarjeta y la página pública del negocio. | Logotipo, color de marca, descripción e imagen de portada. | Ejecución del contrato (art. 6.1.b RGPD). |
| Gestionar el cobro de la suscripción y la facturación. | Identificadores de cliente y de suscripción en Stripe, estado de la suscripción y datos fiscales de facturación. No almacenamos los datos de la tarjeta bancaria, que trata directamente Stripe. | Ejecución del contrato (art. 6.1.b) y cumplimiento de obligaciones legales contables y fiscales (art. 6.1.c). |
| Atender consultas y dar soporte. | Datos de contacto y contenido de las comunicaciones. | Ejecución del contrato (art. 6.1.b RGPD). |
| Seguridad del servicio, prevención del fraude y del abuso. | Registros de acceso, dirección IP y datos técnicos de la conexión. | Interés legítimo en proteger el servicio (art. 6.1.f RGPD). |
4. Datos de los empleados invitados al escáner
Un negocio puede invitar a personas de su equipo para que utilicen el escáner. Para ello tratamos su correo electrónico y, opcionalmente, su nombre, con la finalidad de crear su acceso y permitirle identificarse mediante un enlace enviado a su correo.
La decisión de invitar o revocar a una persona corresponde exclusivamente al negocio, que actúa como responsable de esos datos; Cardfiel los trata por su cuenta como encargado, y únicamente como responsable en lo estrictamente necesario para la gestión técnica y la seguridad de la cuenta de acceso. El negocio es quien debe informar previamente a su personal de que sus datos se comunicarán a Cardfiel con esta finalidad.
5. Datos de los clientes finales
Cuando una persona se da de alta en la tarjeta de fidelización de un negocio, se tratan su nombre, su correo electrónico, opcionalmente su fecha de nacimiento, su eventual consentimiento para recibir comunicaciones comerciales y el historial de su actividad en el programa (visitas o puntos acumulados y recompensas obtenidas o canjeadas).
El responsable de este tratamiento es el negocio en cuyo programa se da de alta, que determina la finalidad y decide sobre esos datos. Las finalidades y bases jurídicas habituales son:
- Gestionar la tarjeta y el programa de fidelización (acumular visitas o puntos, emitir y canjear recompensas): ejecución de la relación solicitada por el propio cliente, o interés legítimo del negocio en gestionar su programa.
- Verificar la dirección de correo electrónico mediante un enlace de confirmación, para evitar altas fraudulentas a nombre de terceros: interés legítimo en la seguridad del programa.
- Enviar promociones y ofertas del negocio: únicamente si la persona marca expresamente la casilla correspondiente, que es voluntaria, independiente y está desmarcada por defecto. Base jurídica: consentimiento (art. 6.1.a RGPD), revocable en cualquier momento sin que ello afecte a su tarjeta.
La fecha de nacimiento es opcional y su única finalidad es permitir al negocio ofrecer detalles o promociones de cumpleaños. No facilitarla no impide obtener la tarjeta ni acumular visitas.
Cardfiel, como encargado, no utiliza estos datos para finalidades propias, no los vende, no los cede a terceros distintos de los proveedores indicados más abajo y no los cruza entre negocios distintos: cada negocio solo puede ver a sus propios clientes.
6. Tarjeta en Apple Wallet y Google Wallet
Si el cliente decide guardar su tarjeta en Apple Wallet o Google Wallet, se comunican a Apple o Google los datos mínimos necesarios para generar y mantener actualizado el pase: el nombre del cliente, el nombre del negocio y del programa, el progreso acumulado y un identificador de la tarjeta. Esta comunicación solo se produce si el cliente lo solicita pulsando el botón correspondiente, y se rige además por las políticas de privacidad de Apple y de Google.
7. Visitantes de la web y formulario de contacto
Si nos escribes a través del formulario de contacto tratamos tu nombre, tu correo electrónico y el contenido de tu mensaje, con la finalidad de atender tu consulta. La base jurídica es la aplicación de medidas precontractuales a petición del interesado o nuestro interés legítimo en responder a quien nos contacta (art. 6.1.b y 6.1.f RGPD).
La navegación por la web no requiere registro ni utiliza cookies analíticas, publicitarias ni de perfilado. Véase la Política de Cookies.
8. Plazos de conservación
| Datos | Conservación |
|---|---|
| Cuenta del negocio y datos de la suscripción. | Mientras la relación contractual esté vigente. Tras la baja, se conservan bloqueados durante 6 años para atender obligaciones contables y fiscales y las posibles responsabilidades derivadas del contrato. |
| Datos de los clientes finales. | Mientras el negocio mantenga su suscripción activa. Tras la baja del negocio, se conservan 30 días para permitirle exportarlos o recuperar el servicio, y después se suprimen, salvo instrucción distinta del negocio como responsable. |
| Accesos de empleados al escáner. | Mientras el negocio mantenga activo ese acceso. Al revocarlo, el acceso se desactiva de inmediato. |
| Consultas del formulario de contacto. | 1 año desde la última comunicación. |
| Consentimiento para comunicaciones comerciales. | Hasta que se revoque, más el tiempo necesario para acreditar dicha revocación. |
9. Destinatarios y proveedores
No se venden ni ceden datos personales a terceros. Sí intervienen los siguientes proveedores tecnológicos, que actúan como encargados o subencargados del tratamiento y con los que se han suscrito los correspondientes contratos:
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Supabase Supabase, Inc. | Alojamiento de la base de datos y del sistema de autenticación. | Unión Europea (Irlanda, eu-west-1). |
| Vercel Vercel, Inc. | Alojamiento y entrega de la aplicación web. | Estados Unidos y red global. Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. |
| Stripe Stripe Payments Europe, Ltd. | Procesamiento de los pagos de la suscripción del negocio. | Unión Europea (Irlanda), con transferencias a EE. UU. amparadas en cláusulas contractuales tipo. |
| Resend Resend, Inc. | Envío de los correos transaccionales (confirmaciones, enlaces de acceso, recuperación de tarjeta). | Estados Unidos. Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. |
| Google Wallet Google Ireland Limited | Emisión y actualización de la tarjeta en Google Wallet, solo si el cliente decide guardarla. | Unión Europea (Irlanda), con transferencias a EE. UU. amparadas en cláusulas contractuales tipo. |
| Apple Wallet Apple Distribution International Ltd. | Emisión y actualización de la tarjeta en Apple Wallet, solo si el cliente decide guardarla. | Unión Europea (Irlanda), con transferencias a EE. UU. amparadas en cláusulas contractuales tipo. |
Además, los datos podrán comunicarse a autoridades públicas, juzgados o tribunales cuando exista una obligación legal de hacerlo.
10. Transferencias internacionales
La base de datos principal, donde se almacenan las cuentas y los datos de los clientes finales, está alojada dentro de la Unión Europea (Irlanda).
Algunos de los proveedores indicados son entidades estadounidenses o pueden tratar datos fuera del Espacio Económico Europeo. En esos casos, las transferencias se amparan en alguna de las garantías previstas en el capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023) o cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con las medidas complementarias que resulten aplicables.
11. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos:
- Acceso: saber qué datos tuyos se tratan.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión: solicitar su eliminación cuando ya no sean necesarios.
- Oposición: oponerte a tratamientos basados en interés legítimo.
- Limitación: solicitar que se limite el tratamiento en los casos previstos.
- Portabilidad: recibir tus datos en un formato estructurado y de uso común.
- Retirar el consentimiento prestado, en cualquier momento y sin efectos retroactivos.
Para ejercerlos, escribe a soporte@cardfiel.com indicando el derecho que deseas ejercer. Podremos solicitarte que acredites tu identidad. Responderemos en el plazo máximo de un mes, prorrogable en los supuestos previstos en el artículo 12.3 del RGPD.
Si eres cliente de un negocio (tienes una tarjeta de fidelización), el responsable es ese negocio: dirígete preferentemente a él. Si nos escribes a nosotros, trasladaremos tu solicitud al negocio correspondiente sin dilación indebida y te lo indicaremos.
Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).
12. Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD, entre las que se incluyen: cifrado de las comunicaciones mediante TLS, cifrado de los datos en reposo, almacenamiento de contraseñas mediante funciones de derivación seguras, control de acceso por roles y autenticación de todos los accesos al panel y al escáner, separación lógica de los datos de cada negocio, registro de la actividad relevante y copias de seguridad periódicas con capacidad de restauración.
13. Menores de edad
El servicio de suscripción está dirigido exclusivamente a mayores de edad que actúan como empresarios o profesionales. En cuanto a las tarjetas de fidelización, conforme al artículo 7 de la LOPDGDD, los menores de 14 años no pueden darse de alta sin el consentimiento de sus padres o tutores; corresponde al negocio responsable adoptar las medidas razonables para verificarlo cuando su actividad se dirija a menores.
14. Decisiones automatizadas
No se adoptan decisiones automatizadas que produzcan efectos jurídicos o afecten significativamente a las personas, ni se realizan perfiles con esa finalidad. El cálculo automático de visitas, puntos y recompensas es una simple aplicación de las reglas que cada negocio configura en su programa.
15. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios normativos o del servicio. Si el cambio es sustancial, avisaremos a los negocios clientes por correo electrónico con antelación razonable. La versión vigente es siempre la publicada en esta página.