En esta página
1.Quiénes somos y cómo leer esta política
bisar es un sistema que instalamos nosotros en negocios físicos: una tarjeta de sellos en el móvil, una placa NFC y QR en el local y un panel para el negocio. Por eso intervienen tres tipos de personas y esta política tiene tres partes:
- Si visitas esta web o nos pides una demostración o información (apartado 2): bisar es la responsable.
- Si eres un negocio cliente o parte de su equipo (apartado 3): bisar es la responsable.
- Si guardas una tarjeta de un negocio (apartado 4): la responsable es el negocio; bisar actúa como encargada y trata tus datos por cuenta suya.
2.Si visitas la web o pides una demostración o contacto
Qué datos recogemos
- Si solo miras la web: nada que te identifique. La web pública no guarda cookies ni claves en tu navegador (lo comprobamos con una carga real; mira Cookies) y no usa analítica de terceros. Contamos las visitas con una medición propia y anónima que explicamos en el apartado 11, y que puedes apagar.
- Si rellenas el formulario de contacto o pides una demostración: tu nombre, tu correo, tu móvil (si lo das), el nombre y el tipo de tu negocio, la ciudad, cuántos locales tienes y el mensaje que escribas.
- Datos técnicos de seguridad: para frenar abusos (por ejemplo, muchas solicitudes seguidas) se usan datos de la conexión, con la red acortada y una huella con clave que cambia cada mes. Se explican en el apartado 8.
Para qué y con qué base
Para responderte y, si lo pides, preparar una demostración o una reunión. La base es atender tu solicitud (medidas precontractuales a petición tuya). No pedimos que marques ninguna casilla para atenderte, y no te enviamos publicidad por esa vía.
3.Si eres un negocio cliente o parte de su equipo
Cada negocio se da de alta a mano: no hay registro abierto. Para ello tratamos los datos del titular y de su equipo: nombre, correo de acceso, rol (titular, equipo), los locales y puntos de contacto, la configuración del negocio y lo que hace en el panel (por ejemplo, qué premios canjea).
Se entra con un código que llega por correo, no con contraseña. La sesión se mantiene con una cookie técnica (mira Cookies). Las condiciones del servicio están en los Términos.
La base es la ejecución del contrato con el negocio y, para la seguridad de la cuenta, el interés legítimo en proteger el servicio. Los datos de facturación, cuando los haya, se conservan el tiempo que obligue la normativa contable.
4.Si guardas una tarjeta de un negocio
Cuando acercas el móvil a una placa y guardas la tarjeta, el negocio decide para qué usa tus datos y es su responsable. bisar los trata por encargo suyo (mira el encargo del tratamiento) y no los usa para fines propios. Lo que ves y aceptas, en lenguaje llano, está en Si guardas una tarjeta.
Qué datos pueden estar
- Tus sellos, visitas y premios en ese negocio.
- Tu nombre y tu contacto (correo o móvil), solo si los das: sirven para gestionar tu tarjeta y recuperarla si cambias de móvil. Dejarlos es voluntario.
- Tu cumpleaños, solo si el negocio lo pide y lo das.
- Si marcas la casilla de novedades, que el negocio te escriba; guardamos el texto exacto que viste y su versión, y puedes retirarlo cuando quieras.
- Una huella del dispositivo (un valor al azar en una cookie técnica; en la base solo se guarda su huella) para reconocer tu móvil y sumar sellos.
- Si participas en la encuesta de opinión: tu nota, tu comentario y la mesa y la hora. Si pones 4 o 5 estrellas puedes ir a Google a publicar tu reseña; allí rigen las reglas de Google.
Tus derechos, al momento
En «Mis datos», dentro de tu tarjeta y solo desde tu móvil, puedes cambiar tu nombre, darte de alta o de baja de las novedades, silenciar los avisos, quitar tu tarjeta de un negocio o borrar todos tus datos (te pedimos un código de confirmación).
Si te das de baja o borras tus datos
Tus datos personales desaparecen del panel del negocio y la tarjeta de tu móvil deja de valer (aparece como dada de baja en Apple Wallet o Google Wallet). Por seguridad, para prevenir el fraude y para la defensa legal, guardamos durante un tiempo limitado un registro mínimo y cifrado de cada petición de baja o de borrado, y al cumplir su plazo se borra. Esa constancia mínima sirve también para demostrar que atendimos tu petición, y lleva: el negocio, la referencia de la tarjeta, tu contacto cifrado (en pantalla solo se ve tapado) y una huella cifrada de él que no permite leerlo, cuándo y cómo lo pediste y un resumen de tu saldo y tus visitas. No guarda tu nombre ni el detalle de tus visitas.
Esa constancia no la ve el negocio ni el equipo de soporte o ventas de bisar: solo el administrador de bisar, y cada vez que la consulta queda registrado. Se borra sola al cumplir su plazo (36 meses salvo que se ajuste; está en la tabla de plazos). La base es el interés legítimo en la seguridad y la prevención del fraude, en poder demostrar el cumplimiento y en la formulación, el ejercicio o la defensa de reclamaciones (art. 17.3.e y art. 6.1.f del RGPD), con un plazo limitado (art. 5.1.e).
5.Para qué usamos los datos y con qué base
| Para qué | Base | De quién |
|---|---|---|
| Atender una solicitud de contacto o demostración | Medidas precontractuales a petición del interesado | Visitantes |
| Prestar el servicio a un negocio cliente y a su equipo | Ejecución del contrato | Negocios y equipos |
| Gestionar la tarjeta, los sellos y los premios de una persona en un negocio | Ejecución de lo que la persona pidió al guardar la tarjeta; el negocio es el responsable | Clientes de un negocio |
| Enviar novedades del negocio | Consentimiento, que se puede retirar en cualquier momento | Clientes de un negocio que marcan la casilla |
| Seguridad y antifraude: detectar accesos indebidos, ráfagas y abusos | Interés legítimo en proteger el servicio (art. 6.1.f y considerando 49 del RGPD) | Todas |
| Guardar la constancia de una baja o de un borrado de datos, por seguridad, para prevenir el fraude, para demostrar que se atendió y para defenderse de reclamaciones | Interés legítimo y defensa de reclamaciones (art. 6.1.f y art. 17.3.e del RGPD), con plazo limitado (art. 5.1.e) | Clientes de un negocio que se dan de baja o borran sus datos |
| Facturación y contabilidad | Obligación legal | Negocios clientes |
Las redes, los países y las huellas de seguridad sirven solo para seguridad. No se usan para vender ni se cruzan con otros datos.
6.Quién más ve tus datos
No vendemos datos personales. Para dar el servicio usamos proveedores que los tratan por encargo nuestro.
| Proveedor | Para qué | Dónde |
|---|---|---|
| Supabase | Base de datos y acceso con código | |
| Resend | Envío de correos (códigos, avisos, respuestas) | |
| Alojamiento y red de distribución | Servir la web | |
| Apple Wallet y Google Wallet | Guardar la tarjeta en el móvil de quien lo pide | Los de Apple y Google, a petición de la persona |
| Publicar una reseña, solo si la persona decide hacerlo | Los de Google; allí rigen sus propias reglas |
Los negocios clientes ven los datos de sus clientes (no los de otros negocios). El equipo de bisar accede solo cuando hace falta para dar soporte y esos accesos quedan registrados. La constancia de las bajas y los borrados solo la ve el administrador de bisar, nunca el negocio.
7.Transferencias fuera del Espacio Económico Europeo
Si algún proveedor trata datos fuera del Espacio Económico Europeo, lo haremos con las garantías que exija la normativa (por ejemplo, cláusulas contractuales tipo o una decisión de adecuación).
8.Cuánto tiempo guardamos los datos
Cada dato tiene su plazo y una tarea diaria lo borra al vencer. Esta tabla sale del mismo sitio que usa esa tarea: no puede decir una cosa y hacer otra.
| Qué guardamos | Para qué | Cuánto |
|---|---|---|
| Accesos, fallos, MFA, bloqueos y límites, con la red truncada y la huella de IP del mes | Detectar accesos indebidos y ráfagas | 90 días |
| Quién del operador miró algo sensible entero, qué y por qué | Rendición de cuentas | 2 años |
| Cada vez que el operador abre el panel de un negocio, en qué modo y con qué motivo | Rendición de cuentas ante el negocio | 2 años |
| Bloqueos manuales por huella, red, dispositivo, persona o cuenta | Frenar abusos | hasta que caducan o se quitan, y 1 año más |
| La caché de Overpass por zona y sector (negocios, no personas) | No repetir consultas a OpenStreetMap | 7 días |
| Negocios de la zona que no interesan o no quieren contacto | Respetar el «no contactar» sin guardar de más | 12 meses sin actividad |
| El libro de envíos de correo: qué plantilla salió, a la huella de qué dirección (nunca la dirección), cuándo y cómo acabó (entregado, rebotado, queja) | Saber si los correos llegan y encontrar un envío concreto si alguien pregunta | 180 días |
| Lo que le pasa a cada correo de marketing: entregas, rebotes, quejas y, solo en los de negocios con relación, aperturas y clics (con una huella de red que cambia cada día, nunca la IP) | Medir qué correos funcionan y mantener sana la reputación del dominio de envío | 180 días (el agente de navegador acortado, 30) |
| Las visitas a la web pública y a la página de una placa: qué página, de dónde viene, país, tipo de dispositivo y navegador; sin tu IP ni el texto de tu navegador y sin cookies | Saber cuánta gente visita la web, qué mira y de dónde llega, sin reconocer a nadie | 90 días |
| Las pantallas que se ven y las acciones que se hacen en el panel de un negocio (nunca lo que se escribe), y las sesiones de uso | Soporte, seguridad y mejora del producto; saber qué negocios usan qué | 13 meses (las sesiones de la web pública, 90 días) |
| La clave diaria con la que se calcula el identificador anónimo de cada visitante | Contar visitantes únicos de un día sin poder reconocerlos después | 48 horas |
| La copia mínima de cada cliente que se dio de baja o pidió borrar sus datos: negocio, referencia de la tarjeta, contacto con máscara y cifrado, cuándo y cómo lo pidió y un resumen del saldo | Demostrar que la petición se atendió y defenderse de reclamaciones | 36 meses por defecto (ajustable entre 12 y 120 en Seguridad › Bajas y borrados) |
| La serie, el nombre y el color del negocio de una tarjeta borrada que llegó a un móvil, para servirle el pase tachado | Que la tarjeta se dé de baja también en el iPhone y en Google | 90 días (los registros del iPhone, 7 tras la baja) |
| Notas del operador, gastos, ingresos, inversiones y acuerdos de cobro | Llevar la empresa y la contabilidad | sin caducidad (obligación contable) |
- Tarjeta de un cliente de un negocio: mientras la tarjeta exista. Si la quitas o borras tus datos desde «Mis datos», se borran; queda solo la constancia mínima y cifrada de la baja durante su plazo (en la tabla), que no ve el negocio.
9.Tus derechos y cómo ejercerlos
Puedes pedir el acceso a tus datos, su rectificación, su supresión, la oposición a ciertos usos, la limitación del tratamiento y la portabilidad. No tomamos decisiones sobre ti de forma automática con efectos jurídicos.
- Te respondemos en el plazo que fija la normativa.
- Clientes de un negocio: primero, desde «Mis datos» en tu tarjeta (lo más rápido) o escribiendo al negocio, que es el responsable. Si nos escribes a nosotros, trasladamos tu petición al negocio.
Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
11.Medición de la web y del producto
Qué medimos y por qué. Contamos visitas a esta web y el uso de los paneles de bisar para saber qué funciona y mejorar el servicio. No usamos cookies de seguimiento ni herramientas de terceros, y la medición no guarda nada en tu dispositivo.
Para contar visitantes únicos usamos un identificador que se calcula a partir de tu conexión y tu navegador con una clave que cambia cada día y que borramos a las 48 horas: después no podemos reconocerte de un día a otro ni saber quién eres. Guardamos el país aproximado, el tipo de dispositivo, la página que ves y la web de la que vienes. Por seguridad y para que la web funcione (detectar abusos, robots, errores y accesos por redes anónimas), registramos cada petición a nuestros servidores y la sesión a la que pertenece: tu dirección IP, el navegador que usas, la página pedida, la web de la que vienes y la ubicación aproximada que se deduce de la IP (país, región y ciudad). Las peticiones se borran automáticamente a los 30 días; el detalle de la sesión, a los 90. Solo lo ve el equipo de bisar, y cada consulta de esos datos queda anotada. El detalle de las estadísticas se conserva 90 días (web) o 13 meses (uso del panel); las cifras agregadas, que no son datos personales, se conservan más tiempo.
Si no quieres que midamos tu visita, usa el interruptor de abajo. También respetamos la señal «No rastrear» (DNT) y el Global Privacy Control de tu navegador, sin que hagas nada.
No medir mi visita
Cargando tu preferencia…
Correos. Los correos de servicio (códigos de acceso, avisos de seguridad, avisos a clientes y demostraciones) no llevan ningún seguimiento. Los correos de información comercial a negocios clientes de bisar pueden incluir un pequeño elemento que nos indica si se abrió y enlaces que nos indican si se pulsaron, para saber qué correos son útiles; lo decimos al pie de cada uno. Puedes oponerte con «No me sigas» o darte de baja con un clic. Las aperturas son orientativas.
Uso del panel. Registramos las pantallas que ves y las acciones que haces en el panel (no el contenido que escribes) para soporte, seguridad y mejora del producto. Lo conservamos 13 meses.
12.Seguridad
Medidas que describen cómo está hecho el servicio (no una declaración de que sea infalible):
- La sesión va en una cookie técnica protegida; entrar se hace con un código de un solo uso que caduca.
- Cada negocio solo ve los datos de sus propios clientes (reglas de acceso en la base de datos).
- El equipo de bisar no ve redes, sesiones ni huellas de seguridad salvo con un rol y un motivo; mirar un dato sensible entero queda anotado en un registro que no se puede editar ni borrar.
- Las pantallas de un negocio nunca enseñan redes, huellas ni países de sus clientes.
13.Menores de edad
bisar se dirige a negocios y a sus clientes adultos; no está pensado para menores de 14 años.
14.Cambios en esta política
Cuando cambie de forma importante, subiremos la versión, pondremos la fecha y lo explicaremos en el historial de abajo. Si el cambio afecta a un consentimiento que ya diste, te lo pediremos de nuevo.
Historial de cambios
- 1.0 · 20 de octubre de 2026. Primera versión publicada.
¿Dudas sobre este documento? Hablemos.