Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de esta plataforma es Antonio Ortega Jiménez (nombre comercial: Loocalú), con NIF 77348972H, con domicilio en Loocalú, C/ Doctor Federico del Castillo, 1 – bajo, 23005 Jaén. Loocalú es una plataforma de información y visibilidad de comercio local y patrimonio. Para cualquier asunto relacionado con tus datos, escríbenos a privacidad@loocalu.com.

2. Datos que recogemos

• Datos de los negocios y lugares: nombre, categoría, dirección, teléfono, web, horarios y descripción. Salen de fuentes públicas (sobre todo datos abiertos oficiales) y de lo que el propio negocio nos cuenta o escribe en su panel. Cada dato lleva su procedencia en de dónde salen los datos.
• Si reclamas tu ficha: tu nombre, tu correo, tu teléfono si nos lo das y lo que nos cuentes. Para comprobar que la ficha es tuya te llamamos al teléfono que figura en ella, te pedimos un correo desde el dominio de tu negocio, documentación que lo acredite o lo comprobamos en persona. Si nos mandas un documento, en nuestra base de datos solo apuntamos una referencia, nunca el documento.
• Tu cuenta para gestionar el negocio: nace cuando aprobamos tu reclamación, con el nombre y el correo que nos diste y sin contraseña. Te mandamos por correo un enlace de un solo uso, válido 7 días, para que elijas la tuya; abrirlo es también lo que confirma que el correo es tuyo. La contraseña no se guarda tal cual, sino transformada de forma que no se puede leer.
• Segundo factor y sesiones: si activas el segundo factor (una app de autenticación en tu móvil; para nuestro equipo es obligatorio), guardamos su clave cifrada y los códigos de recuperación de forma que no se pueden leer. De cada sesión abierta guardamos la dirección IP y el navegador, para que en «Seguridad» de tu cuenta veas desde dónde está abierta y puedas cerrarla.
• Cuando aceptas las condiciones para negocios: qué versión aceptaste, cuándo, y la IP y el navegador desde los que lo hiciste, para poder demostrarlo.
• Registro de actividad: qué cuenta hizo cada cambio (en una ficha, en una solicitud, al entrar o salir), cuándo, y la IP y el navegador desde los que se hizo. Sirve para la seguridad y para poder explicar cualquier cambio.
• Solicitudes de derechos: tu nombre, tu correo, tu teléfono si nos lo das y lo que pides.
• Denuncias de contenido: lo que denuncias y por qué; tu nombre y tu correo solo si nos los das (son opcionales). Si denuncias una opinión desde el panel de tu negocio, usamos el nombre y el correo de tu cuenta, para contarte lo que decidimos, y anotamos que la envió quien gestiona la ficha.
• Si escribes una opinión (solo si tienes 18 años o más): tu correo, el nombre que elijas para firmar, tu nota, tu texto, el mes de la visita y, si las añades, hasta 3 fotos, a las que quitamos los metadatos y la ubicación. Se publican el nombre, la nota, el texto, el mes y las fotos que aprobemos; los ve cualquiera que abra la ficha. Tu correo no se publica ni se lo damos al negocio: sirve para confirmar la opinión, contarte lo que decidimos y que puedas borrarla. Si el texto parece llevar un teléfono, un correo o un enlace, lo marcamos para que lo mire la persona que modera; esa marca no decide nada. Las reglas están en las condiciones de opiniones.
• Solicitudes de contratación desde la página de precios: nombre del negocio, municipio, correo, el plan que te interesa y, si quieres, un enlace a vuestras redes o al vídeo que queréis promocionar.
• Pagos de un plan o servicio: los datos de facturación del negocio (razón social, NIF, domicilio y correo para las facturas), el plan contratado, los importes y las fechas de cada cobro. Los datos de la tarjeta los pide y los guarda la pasarela de pago (MONEI): a Loocalú no llegan nunca; solo una referencia para poder cobrar las renovaciones y los últimos dígitos.
• Artistas y grupos de la agenda: además de lo que se publica en el cartel (nombre, biografía, foto, redes), a veces un correo o un teléfono de contacto para organizar la programación. Esos dos datos son de uso interno y nunca se publican.
• Datos de uso: páginas visitadas, búsquedas realizadas y acciones dentro de la plataforma, medidos de forma agregada. La herramienta (PostHog, nube europea) funciona sin cookies ni nada guardado en tu navegador, sin perfiles y sin conservar tu dirección IP: para no contar dos veces la misma visita, sus servidores calculan un código que cambia cada día y no permite reconocerte de un día para otro. Sabemos cuántas personas usan algo, no quiénes.
• Registros técnicos: cada visita pasa por la red de entrega (Bunny, ver más abajo), que anota la petición —qué dirección se pidió, cuándo y desde qué navegador— con tu dirección IP anonimizada. Sirven para que la web funcione y para detectar abusos, no para medir a nadie, y se borran solos a los pocos días.
• Si nos escribes: lo que nos cuentes por correo electrónico.
• Localidad elegida: se guarda en tu navegador para no preguntártela cada vez; si tienes cuenta, también en ella. La ubicación de tu dispositivo solo se usa cuando tú la activas («Buscar cerca de mí» o «usar mi ubicación»): tu posición exacta no sale de tu navegador, que es quien calcula las distancias. A nuestros servidores solo llega tu zona, de alrededor de un kilómetro, para traer los resultados de los alrededores y saber en qué municipio estás; esa zona, junto al municipio, es también lo único que se recuerda. El municipio lo resolvemos con nuestros propios datos, sin consultar a ningún servicio externo. Puedes borrarla desde la portada.
• Fichas guardadas: se quedan en tu navegador; no nos llegan.

3. Si te visitamos en tu negocio

Nuestro equipo visita negocios y lugares para comprobar sus fichas. Antes de empezar te enseña un texto informativo, y tú decides por separado, con todo en «no» de partida:

• que la ficha recoja lo que nos cuentas;
• que publiquemos fotos del local;
• que publiquemos fotos en las que salgan personas;
• y, solo si eres un negocio, que volvamos a contactar contigo para ofrecerte servicios.

Puedes decidirlo en tu propio teléfono, escaneando un código QR que abre una página de loocalu.com; las fotos con personas y el contacto comercial solo se pueden autorizar así. De esa decisión guardamos lo que marcaste, la versión del texto que leíste y la fecha: ni tu nombre, ni tu teléfono, ni tu IP. Si no llega a usarse en ninguna visita, se borra a los 7 días.

De la visita apuntamos la fecha, quién del equipo fue, con quién hablamos (titular, encargado, empleado) y, si nos lo dices, tu nombre y tu relación con el negocio. También hacemos fotos que no se publican: el escalón de la entrada, el baño, el cartel del horario o la carta. No guardan personas reconocibles y les quitamos la ubicación y los datos de la cámara. Una foto de accesibilidad solo se enseña en la ficha si autorizaste las fotos del local, y siempre como copia. Si fotografiamos la carta, la leemos con ayuda de inteligencia artificial para proponer platos; ninguno se publica hasta que una persona lo revisa.

Puedes cambiar lo que autorizaste o retirarlo cuando quieras desde el formulario de derechos.

4. Finalidades y base legal

Los correos que te mandamos (la invitación, los acuses de recibo, las respuestas) son parte de cada uno de estos trámites y tienen su misma base.

5. Inteligencia artificial

Utilizamos herramientas de IA para redactar y mejorar descripciones de fichas a partir de información pública y del propio negocio. Todo texto generado pasa revisión humana antes de publicarse: la IA propone, nunca publica. El proveedor de generación de texto es Mistral AI (Francia), que también lee las fotos de cartas y los documentos escaneados que no traen texto. Para redactar no le enviamos los teléfonos ni los correos de la ficha. Los modelos de búsqueda por significado se ejecutan en nuestros propios servidores, así que ningún texto sale de la Unión Europea.

6. Conservación de los datos

• Cuenta: mientras gestiones tu negocio. Puedes borrarla tú desde el panel (Cuenta → Borrar la cuenta) y se borra al momento; si nos lo pides, lo hacemos al atender tu solicitud, en el plazo de un mes.
• Sesiones: duran 30 días y se borran al día siguiente de caducar. Los enlaces para elegir contraseña caducan (el de la invitación, a los 7 días) y se borran una semana después.
• Fichas de negocio: mientras el negocio esté activo o hasta que su titular se oponga.
• Registro de actividad: las entradas y salidas de tu cuenta, 12 meses; los intentos fallidos de entrar, 90 días. El historial de cada dato de una ficha (valor anterior, valor nuevo y qué cuenta lo cambió), 24 meses. El resto de cambios en fichas y en solicitudes se conserva mientras sirva para demostrar qué se hizo y quién lo hizo.
• Aceptación de las condiciones para negocios: mientras gestiones el negocio y, después, mientras se pueda reclamar algo sobre ellas.
• Visitas a pie de calle: tu nombre, tu relación con el negocio y lo que nos contaste, 24 meses desde la visita; después se borran y queda el acta sin ellos. Las fotos que no se publican, mientras exista la ficha.
• Solicitudes de derechos: tu nombre, tu correo, tu teléfono y lo que pediste, tres años desde que la resolvemos; después se borran y queda la solicitud sin ellos, como prueba de que la atendimos.
• Solicitudes de contratación: como mucho 12 meses desde que las envías; si no sigues adelante puedes pedirnos que la borremos antes.
• Cobros y facturas: seis años desde el último cobro (art. 30 del Código de Comercio), aunque borres la cuenta. Borrar la cuenta no deja de cobrar en el acto: tus suscripciones se cancelan al final del periodo ya pagado.
• Opiniones: la publicada, mientras exista la ficha o hasta que la borres. Si no confirmas el correo, la borramos a los 7 días. Tu correo, tres años desde que decidimos sobre la opinión; después se borra, con él el enlace para borrarla, y la opinión sigue solo con tu nombre visible (a partir de ahí, para borrarla, usa el formulario de derechos). Si nos pides que borremos tu correo, se borran también tus opiniones.
• Denuncias de contenido: tu nombre y tu correo, tres años desde que decidimos; después se borran y queda la denuncia sin ellos.
• Contacto de artistas y grupos: mientras programemos sus actuaciones, o hasta que nos pidan borrarlo.
• Correos que te enviamos: la copia de a quién y de qué (nunca el texto completo), 90 días.
• Copias de seguridad: lo que borramos sigue en las copias diarias hasta 35 días y en las mensuales hasta 400 días. Solo se usan para recuperar el servicio tras un fallo.

7. Destinatarios y encargados

No cedemos tus datos a terceros salvo obligación legal. Nos apoyamos en proveedores tecnológicos europeos que actúan como encargados del tratamiento bajo contrato y que tratan los datos en la Unión Europea (la única precisión, la del DNS, va en la tabla):

Transferencias internacionales: los datos de estos tratamientos se quedan en el Espacio Económico Europeo. La única precisión es la del DNS del dominio, que se explica en la tabla: esas consultas no llevan datos de quien visita. Si eliges contactar con un negocio por WhatsApp, esa conversación la procesa WhatsApp/Meta conforme a sus propias condiciones; siempre tendrás alternativa por teléfono o correo.

8. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos desde el formulario de derechos (sin registrarte) o escribiéndonos a privacidad@loocalu.com. Te respondemos en un mes como máximo. Si tienes cuenta, además puedes descargar tus datos y borrar la cuenta tú, al momento, desde el panel (Cuenta → Borrar la cuenta):

• Acceso: conocer qué datos tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar que eliminemos tus datos.
• Oposición: oponerte a tratamientos basados en interés legítimo.
• Limitación: restringir el tratamiento en determinadas circunstancias.
• Portabilidad: recibir tus datos en formato estructurado.
• Retirar tu consentimiento: lo que autorizaste en una visita, cuando quieras.

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas, y preferimos contarlas a enumerarlas:

• Cifrado en tránsito (HTTPS con HSTS). Las copias de seguridad se cifran en nuestro propio servidor antes de salir de él, con una clave que no viaja con ellas. La base de datos en el servidor no está cifrada a nivel de disco: lo que la protege es el control de acceso, y preferimos decirlo a insinuar lo contrario.
• Copias de seguridad diarias con restauración probada, guardadas cifradas en un centro de datos distinto al de la plataforma, dentro de la UE.
• Sesiones que caducan y se pueden cerrar desde tu cuenta; cookies de sesión inaccesibles para cualquier script; segundo factor obligatorio para nuestro equipo.
• Control de acceso por roles y registro de auditoría de las modificaciones.
• Análisis automático de vulnerabilidades y de secretos filtrados en cada versión, antes de publicarla.
• Alojamiento en OVHcloud (Francia), con contrato de encargado del tratamiento (art. 28 RGPD) firmado. OVHcloud publica sus certificaciones (ISO 27001, ISO 27701, ENS, entre otras), pero no detalla qué productos cubre cada una: no nos atribuimos ninguna hasta tenerlo por escrito para el servicio concreto que usamos.

Si una brecha de seguridad supusiera un riesgo para tus derechos, la notificaremos a la AEPD en 72 horas y te informaremos si el riesgo es alto.

10. Cambios en esta política

La fecha de arriba dice cuándo cambió por última vez. Si cambia algo relevante, lo contaremos aquí y, si tienes cuenta, te escribiremos; cuando la base sea el consentimiento, te lo volveremos a pedir.