Política de privacidad — Specialty Atlas (aplicación, sitio web y B2B)

Última actualización: 4 de noviembre de 2026

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es Marcin Dziubak (Polonia), quien gestiona Specialty Atlas. Contacto en materia de privacidad: contact@specialtyatlas.com o Ayuda en la aplicación.

2. Alcance del documento

Describimos el tratamiento al usar:

• la aplicación móvil (funciones de consumo),
• el sitio web (marketing, blog, perfiles públicos de cafeterías, tostadoras, eventos y usuarios, páginas de ciudades, páginas auxiliares de autenticación),
• el portal B2B para cafeterías y tostadoras (cuenta, fichas, suscripciones, estadísticas).

Algunos procesos (por ejemplo, el pago) pueden contar con información complementaria breve.

3. Qué datos tratamos

Cuenta e inicio de sesión. Correo electrónico, hash de la contraseña, nombre visible, nombre de usuario y sus alias anteriores, descripción del perfil (bio), elección de avatar, identificadores de cuenta al iniciar sesión con Google/Apple, tokens de sesión en el dispositivo o el navegador, fecha de nacimiento opcional.

Perfil y actividad. Idioma, tema, formato de hora, favoritos, lugares ocultos, usuarios bloqueados, ajustes de visibilidad del perfil y de sus secciones, preferencias de notificaciones y sonidos.

Pasaporte y gamificación. Check-ins (escaneo de QR en el local: cafetería, hora, origen), sellos de ciudades y locales, Coffee Miles — historial de concesiones con su motivo, niveles, insignias y su progreso.

Actividad cafetera. Valoraciones de visita (puntuación, texto, chips), valoraciones de granos, recetas y preparaciones (parámetros, equipo, molino, método), perfil de sabor Coffee DNA y respuestas del test de gusto, notas de cata preferidas y excluidas, notas privadas sobre lugares, lista «Quiero visitar».

Contenidos de comunidad. Publicaciones y comentarios de Buzz con fotos y menciones @, relaciones de amistad (solicitudes, aceptaciones, bloqueos), perfil público, feed de actividad, Wrapped (resumen basado en tu historial) y tarjetas para compartir.

Traducción de contenidos. Cuando se guarda un comentario de Buzz o la descripción de una cafetería o tostadora, su texto se envía a Google Cloud Translation, que detecta su idioma. Si alguien elige «Ver traducción», el mismo servicio traduce el texto al idioma de la aplicación. Guardamos la traducción junto con el original y la borramos cuando el texto se edita o se elimina. Google recibe únicamente el texto, sin los datos de tu cuenta.

Denuncias y sugerencias. Denuncias de contenidos, lugares y eventos, sugerencias de cambio de datos de cafeterías, avisos de nuevos locales, mensajes de los formularios de Ayuda, decisiones de moderación y su motivación.

Datos de socios B2B. Razón social, datos de facturación, direcciones de locales, teléfonos y correos de contacto, fotos y descripciones de la oferta, horarios, granos «en barra», eventos, estado de la suscripción, eventos del portal, notas e historial de contacto en el CRM interno.

Datos de locales de otras fuentes. El catálogo de cafeterías y tostadoras también se construye a partir de información públicamente disponible y avisos de usuarios. Se trata sobre todo de datos de empresa (nombre, dirección, horarios, contacto público); si incluyen datos de una persona física que explota el local, esta dispone de los derechos del punto 10.

Ubicación. Coordenadas aproximadas o precisas tras el permiso del sistema — mapa, búsqueda cercana, navegación a pie, contexto de recomendaciones y avisos cuando un lugar de la lista «Quiero visitar» está cerca. La proximidad se comprueba solo con la aplicación activa, con límite de frecuencia y distancia mínima; no hacemos seguimiento en segundo plano ni creamos un historial de rutas.

Datos técnicos. Dirección IP, modelo de dispositivo, versiones de sistema y aplicación, registros de diagnóstico, tokens de notificación push (Expo, mediante FCM/APNs).

Analítica de la aplicación móvil. La aplicación usa Google Analytics for Firebase — registramos eventos de producto (vistas de pantalla, visualizaciones de perfiles de cafeterías, tostadoras y granos) junto con un identificador de instancia de la aplicación y, tras iniciar sesión, también el identificador de la cuenta. Sirve para medir el uso y la estabilidad. Base: interés legítimo (art. 6.1.f) — puedes oponerte a través de la Ayuda. No usamos estos datos para publicidad comportamental ni los vendemos.

Estadísticas para socios. Contamos las visualizaciones de perfiles de cafeterías, tostadoras y granos, los clics al enlace de la tienda, los check-ins y las adiciones a la lista «Quiero visitar». A los socios B2B les mostramos únicamente datos agregados — el socio no ve quién ha visitado su perfil ni quién ha añadido el local a una lista. Cuando un número reducido de observaciones pudiera señalar a personas concretas, aplicamos un umbral mínimo de usuarios y, en lugar de la cifra, mostramos un aviso de recogida de datos.

Pagos. Metadatos de facturación limitados en Stripe o en los operadores de tiendas móviles; no conservamos números de tarjeta completos en nuestra infraestructura.

Medios. Fotos subidas (perfil, recetas, publicaciones de Buzz, galerías de socios). El escaneo del QR de la función de pasaporte se realiza en el dispositivo — la imagen de la cámara no se envía al servidor; solo se transmite el identificador leído.

Calendario. Si añades un evento al calendario, el registro se hace en tu dispositivo; no leemos el resto del calendario.

Analítica del sitio y medición de anuncios. Tras tu consentimiento, recogemos datos de visita seudonimizados mediante Google Analytics 4 y Google Tag Manager, y Meta Pixel (la cookie _fbp) mide las conversiones de nuestros anuncios en los servicios de Meta, por ejemplo, un clic en el enlace a una tienda de aplicaciones tras llegar desde una campaña.

4. Fines y bases jurídicas (RGPD)

Prestación del servicio y la cuenta, pasaporte, recetas, contenidos de comunidad, facturación B2B — art. 6.1.b. Ubicación opcional, calendario, acceso a cámara y fotos y parte de las notificaciones — b y/o a (consentimiento del sistema). Analítica del sitio y medición de anuncios (Meta Pixel) — a (consentimiento). Analítica de la aplicación, estadísticas para socios, seguridad informática, prevención de abusos (incluidos check-ins y reseñas falsos), moderación, traducción de contenidos al idioma del lector, construcción del catálogo de locales y CRM comercial interno — f (interés legítimo). Obligaciones legales (contabilidad, fiscalidad, obligaciones del reglamento de servicios digitales) — c. Uso promocional de contenidos públicos de usuarios en redes sociales — f, con posibilidad de oposición. Ejercicio de reclamaciones — f.

5. Promoción en redes sociales

El uso promocional se basa en una licencia no exclusiva (véanse las condiciones); no transfiere la propiedad de los derechos de autor u otros derechos patrimoniales a Specialty Atlas — sigues siendo el autor, dentro de los derechos que te corresponden y con sujeción a las licencias que concedes.

Los contenidos que compartes con otros usuarios o con el público como públicos (valoraciones de visita, recetas públicas, publicaciones de Buzz) pueden usarse en materiales promocionales de Specialty Atlas, incluidas redes sociales y campañas publicitarias. No usamos para ello contenidos privados, los visibles solo para amigos ni las notas privadas sobre lugares. Puedes oponerte al uso posterior de materiales concretos — lo atenderemos cuando sea técnicamente posible y conforme a derecho.

6. Publicidad y contenidos patrocinados

En la aplicación mostramos banners y materiales de socios identificados como publicidad. Su selección se basa en el contexto del espacio en la aplicación y en la configuración de campaña por nuestra parte (país, pantalla, sección) — en esta publicidad no creamos perfiles publicitarios, no usamos publicidad comportamental basada en tu historial y no compartimos tus datos personales con anunciantes. El anunciante recibe únicamente estadísticas agregadas de entrega.

Anuncios de Google (AdMob). En determinados lugares de la aplicación (entre otros, el Hub y las listas de cafeterías, tostadores, granos y recetas) pueden aparecer anuncios servidos por Google AdMob (Google Ireland Limited), identificados como publicidad — solo donde en ese momento no hay un banner de un socio. Para ello, Google puede usar el identificador de publicidad de tu dispositivo (Advertising ID en Android; IDFA en iOS solo si lo permites en el aviso del sistema sobre seguimiento), tu dirección IP, información del dispositivo y de tus interacciones con el anuncio. En el Espacio Económico Europeo, el Reino Unido y Suiza te pedimos el consentimiento mediante el formulario de Google (una plataforma certificada de gestión del consentimiento, IAB TCF). Mostramos anuncios personalizados solo con tu consentimiento (art. 6.1.a) del RGPD); sin él, Google puede mostrar anuncios no personalizados o limitados. Puedes cambiar o retirar el consentimiento en cualquier momento en Ajustes → Privacidad → Consentimiento de anuncios de Google (sin cuenta: Ajustes → Consentimiento de anuncios de Google) y, con la sesión iniciada, desactivar la personalización con el interruptor Personalización de anuncios. Cómo trata Google los datos: policies.google.com/technologies/partner-sites.

Una forma distinta de promoción es Lab Boost — el aumento temporal de la puntuación de coincidencia de un grano seleccionado de una tostadora en el Lab, lanzado por la tostadora con cargo a la asignación de su plan. Actúa sobre la clasificación; la tostadora no recibe tus datos ni información sobre a quién se mostró el grano, y tu perfil de sabor no se modifica por ello. Las reglas de clasificación se describen en las condiciones de la aplicación móvil.

7. Destinatarios y encargados

Entre otros: Supabase (base de datos, autenticación, almacenamiento, edge functions), Stripe (pagos B2B), Expo/EAS (compilaciones y push), la pila cartográfica (MapLibre y proveedores de teselas), Google (OAuth, Firebase Cloud Messaging, Google Analytics for Firebase y, tras consentimiento, GA4 y GTM; AdMob — anuncios en la aplicación; Cloud Translation — detección de idioma y traducción de contenidos), Apple (inicio de sesión, APNs, distribución), Meta Platforms Ireland Limited (Meta Pixel en el sitio web, tras consentimiento: medición de conversiones de anuncios), proveedores de alojamiento/CDN y un proveedor de correo transaccional. Suscribimos contratos de encargo donde es necesario. Los datos pueden facilitarse a autoridades competentes con base legal.

8. Transferencias fuera del EEE

Los datos pueden tratarse fuera del EEE — usamos mecanismos conformes al RGPD (cláusulas contractuales tipo, decisiones de adecuación).

9. Plazos de conservación

Los datos de la cuenta se conservan mientras esta exista. Tras eliminar la cuenta los borramos o anonimizamos en un plazo técnico razonable, salvo: datos exigidos por ley (facturación — hasta que expiren los plazos fiscales), pruebas necesarias para defendernos de reclamaciones, registros de abusos y decisiones de moderación, y datos fácticos integrados de forma permanente en el catálogo común (sin vínculo contigo). Las copias de seguridad pueden conservar datos durante un tiempo técnico limitado. Los registros de diagnóstico y los contadores de visualizaciones se conservan a corto plazo o de forma agregada.

10. Derechos del interesado

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad (cuando proceda), oposición al tratamiento basado en interés legítimo, retirada del consentimiento y a presentar una reclamación ante la PUODO u otra autoridad de control.

Cómo ejercerlos: Ajustes → Tus datos en la aplicación (exportar datos, borrar datos locales, eliminar la cuenta), ajustes de visibilidad del perfil, portal B2B, formularios del sitio y Ayuda.

11. Decisiones automatizadas y elaboración de perfiles

Usamos elaboración de perfiles para seleccionar recomendaciones: la coincidencia de granos y recetas en el Lab se basa en tu perfil de sabor, tus valoraciones, tu ubicación y el historial de impresiones; mecanismos similares ordenan los contenidos del Hub y de las listas de descubrimiento. Los parámetros principales se describen en las condiciones de la aplicación.

No adoptamos decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos en el sentido del art. 22 RGPD. Las señales automáticas (por ejemplo, la detección de abusos de check-in) pueden iniciar una revisión, pero las decisiones de restringir una cuenta o retirar contenido las toma una persona y son recurribles (condiciones, punto 12).

12. Menores

El servicio no está dirigido a personas menores de 16 años sin el consentimiento de su representante legal. Indicar la fecha de nacimiento es voluntario y sirve, entre otras cosas, para adaptar contenidos y para estadísticas agregadas. Si sabemos que una cuenta la lleva una persona por debajo de la edad requerida sin el consentimiento necesario, la eliminaremos.

13. Seguridad

Aplicamos, entre otras medidas, cifrado en tránsito, control de acceso a nivel de fila en la base de datos (RLS), separación de entornos, limitación de los permisos del personal a lo imprescindible y monitorización. Cuida tu contraseña y tu dispositivo.

14. Cambios y contacto

Podemos actualizar esta política; los cambios sustanciales se destacarán (fecha, aviso en la aplicación o correo). Consultas: contact@specialtyatlas.com, Ayuda en la aplicación o los canales de contacto del sitio web.