Política de privacidad · Tady is better

Esta política explica qué datos personales trata Tady is better («Tady», «nosotros») cuando usas tadyisbetter.com y las apps de Tady para Android e iOS, para qué, durante cuánto tiempo y cuáles son tus derechos. La hemos escrito para que se lea, no para esconder cosas en ella.

1. Quién es el responsable

Responsable del tratamiento: Tady is better. Contacto de privacidad: [email protected]. Puedes escribirnos en inglés, checo o español (y haremos lo posible también en alemán y ruso).

No hemos designado un delegado de protección de datos porque la ley no lo exige para nuestra actividad (art. 37 RGPD); lo revisaremos si el servicio crece.

Normativa aplicable: Reglamento (UE) 2016/679 (RGPD), Ley n.º 110/2019 Sb., de tratamiento de datos personales, Ley n.º 127/2005 Sb., de comunicaciones electrónicas (cookies), y Ley n.º 480/2004 Sb., sobre determinados servicios de la sociedad de la información (emails comerciales). Autoridad de control: Úřad pro ochranu osobních údajů (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.

2. Navegación por la web y la app

Datos: dirección IP, tipo de navegador o de app, páginas solicitadas, hora y errores.
Para qué: para servir las páginas, mantener la seguridad del servicio y frenar abusos.
Base jurídica: interés legítimo (art. 6.1.f) RGPD).
Cuánto tiempo: los registros del servidor, 14 días. Nuestras propias estadísticas se agregan por página y día, sin ningún identificador.
Las coordenadas del modo rumba nunca llegan a nuestros registros (ver apartado 8).

3. Cookies y analítica

Sin tu permiso solo se instalan las cookies estrictamente necesarias. Google Analytics 4 se carga solo después de que aceptes «Analítica» en el banner de cookies, con Google Consent Mode v2 (almacenamiento de analítica y de publicidad denegado por defecto), sin Google Signals, sin remarketing y sin cookies publicitarias. Base jurídica: tu consentimiento (art. 6.1.a) RGPD y § 89.3 de la Ley n.º 127/2005 Sb.). Los datos de analítica se conservan 14 meses. Las apps de Android e iOS no contienen SDK de analítica ni de publicidad y no usan el identificador publicitario. Lista completa y configuración: tadyisbetter.com/es/legal/cookies.

4. Tu cuenta

Datos: email, nombre o alias, @usuario, idioma, foto de perfil opcional, año de nacimiento (opcional salvo que una función lo necesite, ver apartados 8 y 9), fecha de registro, favoritos, gustos y equipo elegidos y consentimientos otorgados.
Para qué: para ofrecerte la cuenta y las funciones que uses (sugerencias «Para ti», sitios guardados, avisos que elijas).
Base jurídica: contrato (art. 6.1.b) RGPD), es decir, nuestras Condiciones de uso.
Contraseñas: nunca guardamos tu contraseña, solo un hash Argon2id. Para avisarte de contraseñas filtradas, enviamos a un servicio de comprobación de filtraciones (Have I Been Pwned) únicamente los 5 primeros caracteres de un hash SHA-1 de la nueva contraseña; ni tu contraseña ni tu email salen de Tady.
Enlaces y tokens de acceso (verificación del email, restablecimiento de contraseña, enlace mágico): se guardan solo como hashes y caducan en un plazo que va de unos minutos a 48 horas.
Sugerencias: la actividad dentro de la app (lo que ves, guardas, reservas o buscas; nunca tu ubicación) se usa para ordenarte los locales y se conserva 180 días. No tomamos decisiones automatizadas con efectos jurídicos ni de importancia similar.
Cuánto tiempo: mientras exista la cuenta; tras borrarla, los datos desaparecen de las copias de seguridad en un plazo de 30 días. La prueba de las condiciones y consentimientos que aceptaste (versión del texto y fecha) se conserva 3 años después de que termine la cuenta, para poder acreditarlos.

5. Inicio de sesión con Google

Si eliges «Continuar con Google», el script de Google Identity Services se carga solo en ese momento. Google nos envía tu identificador de Google, tu email, tu nombre y (si la compartes) tu foto, que usamos para crear o abrir tu cuenta. Base jurídica: contrato. Google Ireland Ltd. actúa como responsable independiente del inicio de sesión en su parte (se aplica su propia política de privacidad).

6. Reservas, mensajes a locales y solicitudes a emprendedores

Reservas: nombre, email, teléfono opcional, número de personas, fecha, notas, idioma y si reservas como invitado o con cuenta; opcionalmente, tu país o «Vivo en Praga». El local recibe lo que necesita para gestionar la reserva (nombre, número de personas, hora y teléfono si lo das) y un breve resumen (con cuenta: mes en que te registraste, número de reservas y de no presentaciones; como invitado: «email confirmado»). El local confirma o rechaza; nada se decide de forma automática. Base jurídica: contrato (art. 6.1.b)); el resumen, interés legítimo en evitar las no presentaciones (art. 6.1.f)). Se anonimizan 90 días después de la fecha de la reserva. Cada email de reserva incluye un enlace para borrar sus datos.
Mensajes a un local («¿Grupo o evento? Escríbeles»): nombre, email, teléfono opcional, fecha, tamaño del grupo y mensaje, además de un hash de la IP para combatir el spam. El local los usa solo para responderte, nunca para marketing. Se anonimizan a los 12 meses.
Solicitudes a emprendedores: nombre, email, teléfono opcional, productos, cantidad, fecha y mensaje, además de una huella cifrada con clave de la IP y una comprobación antibots de Cloudflare Turnstile. El emprendedor recibe tus datos de contacto para responderte y es responsable independiente de lo que ocurra después. Se anonimizan a los 12 meses. Tady no vende nada ni cobra pagos.
Los locales y emprendedores están obligados por nuestras condiciones para locales y emprendedores a usar tus datos solo para esa finalidad.

7. Valoraciones, reseñas y denuncias

Las valoraciones (Brutal, Bien, Meh, Nope) sin cuenta usan un identificador aleatorio creado en tu dispositivo (tady.anon); nuestro servidor solo guarda un código derivado de él con clave, a partir del cual no se puede recuperar el identificador. Con cuenta, se vincula a tu cuenta. Solo son públicos los totales y los porcentajes. Base jurídica: interés legítimo en tener valoraciones fiables sin votos duplicados.
Las reseñas muestran tu nombre público (nombre o alias más inicial), la valoración, las etiquetas, el texto y, si corresponde, la insignia «Visita verificada». Son públicas en la página del local y pueden aparecer en buscadores. Base jurídica: contrato. Se conservan hasta que las borres o borres tu cuenta; las reseñas ocultadas por moderación, 12 meses.
Las denuncias de contenido (motivo, nota, email opcional, decisión) se gestionan conforme al Reglamento de Servicios Digitales (DSA, Reglamento (UE) 2022/2065, arts. 16 y 17) y se conservan 12 meses. Base jurídica: obligación legal (art. 6.1.c)). Normas: tadyisbetter.com/es/legal/review-guidelines.

8. Modo rumba (compartir tu zona esta noche)

El modo rumba te permite mostrar a los Tadyers que elijas dónde estás, aproximadamente, esta noche. Está desactivado por defecto y necesita tu consentimiento expreso y por separado (art. 6.1.a) RGPD), que puedes retirar con un toque.

Edad: 15 años o más (la edad de consentimiento digital en la República Checa, § 7 de la Ley n.º 110/2019 Sb.). Te pedimos el año de nacimiento.
Qué usamos: la ubicación de tu dispositivo solo mientras el modo rumba está activado. Nuestro servidor la redondea al instante al centro de una zona de unos 130 m y deduce el barrio y un local cercano; el punto exacto no se guarda.
Quién la ve: solo los Tadyers que elijas y que también estén compartiendo. Nunca los locales, los anunciantes ni nadie más. No hay búsqueda pública de personas.
Cuánto tiempo: solo tu última posición aproximada, en memoria (Redis), durante un máximo de 15 minutos; se sobrescribe con cada actualización y se borra en cuanto paras, cierras sesión, retiras el consentimiento o borras tu cuenta. Sin historial. Nunca se escribe en nuestra base de datos, registros ni analítica. El modo rumba se desactiva solo (a las 06:00 o a la hora que elijas; 12 horas como máximo).
Qué guardamos: que hubo una sesión (inicio, fin, con quién elegiste compartir), sin coordenadas, mientras exista tu cuenta; y el registro de tu consentimiento.
Hemos evaluado los riesgos de esta función en una evaluación de impacto relativa a la protección de datos (art. 35 RGPD).

9. Promos calientes esta noche (opcional, +18)

Si además activas «Promos calientes cerca de mí», usamos la misma posición aproximada, solo mientras el modo rumba está activado, para avisarte de las promociones de esta noche de locales que estén a menos de 1,5 km (como máximo 1 por local y 3 por noche). Es un consentimiento aparte, desactivado por defecto, solo para personas de 18 años o más con el email verificado, porque muchas promociones incluyen alcohol (la Ley n.º 40/1995 Sb., de publicidad, no permite publicidad de alcohol dirigida a menores; la Ley n.º 65/2017 Sb. prohíbe vender alcohol a menores de 18 años). Los locales nunca saben quién ha recibido una promo ni dónde está nadie. El contador por noche desaparece al terminar la noche. Puedes desactivar las promos calientes sin parar el modo rumba.

En el resto de Tady, las promociones que incluyen alcohol solo se muestran a cuentas con sesión iniciada, email verificado y un año de nacimiento que indique 18 años o más. Solo usamos el año, nunca la fecha de nacimiento completa.

10. Tadyers (amigos en Tady)

Tadyers es un círculo mutuo: las dos personas tienen que aceptar. Puedes elegir si la gente puede encontrarte por tu @usuario exacto y si tus guardados y reacciones positivas se muestran a tus Tadyers («A tus Tadyers les encanta»); ambas opciones se desactivan con un toque en la configuración de privacidad de Tadyers. Nunca buscamos por email ni por teléfono y nunca subimos tus contactos. Los enlaces de invitación duran 7 días y se guardan solo como hashes. Base jurídica: contrato (la función social de tu cuenta). Se conservan mientras existan la amistad y la cuenta.

11. Sorteos y concursos

Datos: en la web, tu email (o tu cuenta), nombre opcional y la confirmación de edad; en Instagram o TikTok, tu nombre de usuario público y tu comentario, que nuestro equipo copia a la lista de participantes.
Para qué: para hacer el sorteo, contactar con el ganador y entregar el premio. Base jurídica: las bases del sorteo que aceptas (art. 6.1.b)); el nombre del ganador solo se publica con su consentimiento.
Cuánto tiempo: las participaciones se anonimizan 90 días después de que termine el sorteo. Si la ley exige registros contables o fiscales de un premio, los datos del ganador necesarios para ello se conservan durante el plazo legal.
Participar nunca exige aceptar emails de marketing; eso es una casilla aparte y opcional.

12. Emails

Emails del servicio (verificación, novedades de reservas, seguridad): contrato.
Newsletters y ofertas: solo si marcas la casilla aparte, que viene sin marcar, y lo confirmas por email (doble opt-in), conforme al § 7 de la Ley n.º 480/2004 Sb. Cada email incluye una baja con un clic que funciona al instante. Guardamos la prueba del consentimiento (versión del texto, fecha, IP de confirmación) hasta que te des de baja y 3 años después.
Los emails se envían a través de Twilio SendGrid. No usamos píxeles de seguimiento ni imágenes remotas en los emails.

13. Notificaciones push (apps de Android e iOS)

Las notificaciones push están desactivadas por defecto. Solo si las activas en «Mi cuenta» (y las permites en tu móvil) guardamos el token push de este dispositivo, la plataforma y el idioma, vinculados a tu cuenta, para enviarte los avisos que elegiste. Base jurídica: consentimiento. Los tokens se entregan a través de Google Firebase Cloud Messaging (Android) o Apple Push Notification service (iOS). Las notificaciones nunca contienen tu ubicación. Borramos el token cuando desactivas las notificaciones, cierras sesión o borras tu cuenta, cuando Google o Apple indican que ya no es válido y tras 60 días sin abrir la app. En la app, tu sesión es un token firmado guardado en tu móvil (30 días o hasta que cierres sesión).

14. Locales y contactos profesionales

Si trabajas para un local: cuando invitamos a tu negocio, usamos datos de contacto profesionales públicos (nombre del negocio, email o teléfono públicos, persona de contacto) y nuestras notas de visita, sobre la base del interés legítimo en el contacto comercial individual; puedes oponerte en cualquier momento y los borramos a los 24 meses sin respuesta. Usuarios del portal de locales: email, nombre y rol, en virtud del contrato con el local, mientras dure la relación y 12 meses más. Los canjes de promociones se conservan 24 meses por motivos contables.

15. Quién recibe los datos (encargados del tratamiento)

Hetzner Online GmbH (Alemania): servidores, base de datos y copias de seguridad cifradas, en la UE.
Cloudflare, Inc.: distribución de contenido y protección frente a ataques; ve la dirección IP de cada petición; comprobación antibots Turnstile en algunos formularios.
Twilio Inc. (SendGrid): envío de emails.
Google Ireland Ltd. / Google LLC: Google Analytics 4 (solo con consentimiento), Google Sign-In (solo si lo usas), Firebase Cloud Messaging (solo si activas las notificaciones push en Android).
Apple Distribution International Ltd.: Apple Push Notification service (solo si activas las notificaciones push en iOS).
Los locales y emprendedores con los que reservas o a los que escribes, solo para esa finalidad.
Las autoridades, solo cuando la ley lo exige.

Tenemos contratos de encargo del tratamiento con nuestros encargados. Google Play y la App Store son responsables independientes de la descarga de la app. No vendemos datos personales, no tenemos publicidad de terceros y no compartimos datos para el marketing de otros.

16. Transferencias fuera de la UE

Cloudflare, Twilio, Google y Apple pueden tratar algunos datos en Estados Unidos. Están certificados conforme al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), con cláusulas contractuales tipo como respaldo. Puedes pedirnos más información en [email protected].

17. Tus derechos

Tienes derecho a acceder a tus datos, a rectificarlos o suprimirlos, a limitar el tratamiento, a la portabilidad de los datos, a oponerte al tratamiento basado en el interés legítimo (y, en cualquier momento, al marketing directo) y a retirar cualquier consentimiento en cualquier momento, sin que ello afecte a lo ocurrido antes.

En «Mi cuenta» puedes descargar tus datos (JSON), borrar tu cuenta y retirar cada consentimiento por separado.
Cada email de marketing incluye una baja con un clic; cada email de reserva, un enlace para borrar sus datos.
Para cualquier otra cosa, escribe a [email protected]. Respondemos en el plazo de un mes (prorrogable dos meses más en solicitudes complejas, con aviso). Podemos pedirte que confirmes la solicitud desde el email de tu cuenta.
Puedes presentar una reclamación ante la ÚOOÚ (https://uoou.gov.cz) o ante la autoridad del país de la UE en el que residas.

18. Seguridad

Cifrado en tránsito (TLS), contraseñas solo como hashes Argon2id, tokens y códigos solo como hashes, límites de intentos de inicio de sesión y bloqueo, cookies HttpOnly y SameSite, acceso restringido a los servidores, copias de seguridad cifradas en la UE y secretos fuera del código. Si una violación de datos puede suponer un riesgo para ti, la notificamos a la ÚOOÚ en un plazo de 72 horas y te informamos sin dilación indebida.

19. Edad

Las cuentas de Tady son para personas de 15 años o más. Si eres menor, por favor no crees una cuenta; si sabemos que una cuenta pertenece a alguien menor de 15 años, la borramos. Algunas funciones son +18: las promos calientes, las promociones que incluyen alcohol y los sorteos con premios alcohólicos. Los locales son responsables de no servir alcohol a menores de 18 años.

20. Cambios

Publicamos cada versión con su número y su fecha. Si un cambio afecta a algo que consentiste, te lo volveremos a pedir; si es importante, te avisaremos antes por email o en la app.