Política de privacidad

Biqo es una aplicación web para dividir un gasto entre amigos. Tú creas una sala, repartes el gasto y cada persona ve cuánto le toca. Biqo NO mueve, guarda ni custodia dinero en ningún momento: los pagos los hacéis vosotros fuera de la app (Bizum, Revolut, transferencia o efectivo). Biqo solo lleva la cuenta de quién ha pagado y quién falta.

Esta política explica qué datos personales tratamos, con qué base legal, con quién los compartimos, cuánto los conservamos y cómo puedes ejercer tus derechos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

• Responsable: [RAZÓN SOCIAL] («Biqo»)
• NIF: [NIF/CIF]
• Domicilio: [DOMICILIO SOCIAL]
• Contacto en materia de privacidad: hola@biqo.es

En el B2C, Biqo es el responsable del tratamiento de los datos de las personas que usan la app —a diferencia del producto anterior para restaurantes, donde Biqo actuaba como encargado.

2. Datos que tratamos

a. Si usas Biqo sin cuenta (como organizador con tu «clave de sala» o como invitado desde un enlace):

• el nombre que tú escribes para mostrarte al grupo;
• los datos que introduces en la sala: título, gastos, importes y cómo se reparten;
• identificadores técnicos que se guardan en TU navegador (la clave secreta de la sala y un identificador seudónimo de uso), no en nuestros servidores en claro.

No te pedimos email ni teléfono para usar Biqo sin cuenta.

b. Si creas una cuenta ligera (opcional, sirve para reencontrar tus salas):

• tu email;
• opcionalmente, un nombre para mostrar, un teléfono y una foto de perfil, si decides añadirlos;
• un código de un solo uso enviado a tu email para iniciar sesión, del que solo guardamos una huella (hash) y que caduca en 10 minutos.

No usamos contraseña por defecto: la cuenta se basa en un enlace/código mágico al email.

c. Datos de cobro que decidas guardar:

• tu identificador de pago (teléfono de Bizum, usuario de Revolut o IBAN) si lo guardas para que otros sepan dónde pagarte. Se almacena SIEMPRE CIFRADO (AES-256-GCM), nunca en claro.

Biqo NUNCA trata datos de tarjeta bancaria ni accede a tus cuentas: el pago ocurre fuera de la app.

d. Tickets (función opcional de lectura de recibos):

• si subes la foto de un ticket, la enviamos a nuestro proveedor de lectura automática (OCR) para extraer los importes. Para esa lectura, la imagen puede tratarse en servidores situados fuera del EEE (ver apartado 4). Por defecto NO conservamos la foto: solo guardamos los datos extraídos y una huella técnica para evitar duplicados, y los datos intermedios del proveedor de lectura se borran a los 90 días.
• SOLO si nos das tu consentimiento expreso para ayudar a mejorar Biqo, guardamos además una copia de la foto SIN metadatos (le quitamos la geolocalización y los datos del dispositivo) para entrenar nuestros propios sistemas de lectura. Si detectamos un número de tarjeta en el ticket, no guardamos la foto. Estas imágenes se conservan un máximo de 24 meses; puedes retirar el consentimiento y pedir su borrado en cualquier momento escribiendo a hola@biqo.es, y se eliminan también si borras la sala o tu cuenta.

e. Opiniones (feedback): el mensaje que nos envías, una valoración opcional y, si la adjuntas, una captura de pantalla.

f. Datos técnicos y de uso (analítica de producto):

• eventos de uso (por ejemplo, «sala creada», «pago marcado»), pantalla, tipo de dispositivo, navegador, idioma, país aproximado y el canal por el que llegaste (WhatsApp, QR, enlace);
• identificadores seudónimos de dispositivo y sesión;
• una huella (hash) de tu dirección IP. NUNCA almacenamos la IP en claro.

Esta analítica nos sirve para entender qué funciona y mejorar Biqo; no se usa para publicidad ni se vende a terceros.

g. Notificaciones push (si las activas): la suscripción que tu navegador genera para poder enviarte avisos.

h. Registro de seguridad (auditoría): de las acciones sensibles guardamos qué ocurrió, cuándo y una huella (hash) de la IP, para seguridad y trazabilidad legal.

3. Finalidades y base legal (art. 6 RGPD)

• Prestar el servicio de reparto de gastos y mostrar tus salas: art. 6.1.b (ejecución de un contrato / medidas precontractuales).
• Cuenta ligera y guardar/recuperar tus salas: art. 6.1.b y, en lo que proceda, art. 6.1.a (consentimiento).
• Notificaciones push: art. 6.1.a (consentimiento, que puedes retirar).
• Analítica de producto y mejora del servicio: art. 6.1.a (consentimiento, que gestionas desde el panel de cookies y puedes retirar cuando quieras). Sin tu consentimiento no activamos los identificadores de analítica.
• Mejora de nuestros sistemas de lectura de tickets con las imágenes que decides aportar: art. 6.1.a (consentimiento, que puedes retirar).
• Seguridad, prevención de abuso y trazabilidad de auditoría: art. 6.1.f (interés legítimo).
• Conservación del registro de auditoría con relevancia contable: art. 6.1.c (obligación legal).

4. Destinatarios / encargados del tratamiento

No vendemos tus datos. Para prestar el servicio nos apoyamos en un número limitado de proveedores que actúan como encargados del tratamiento por contrato (art. 28 RGPD):

• alojamiento de la base de datos y de la aplicación;
• envío de emails transaccionales (códigos de acceso, avisos);
• envío de notificaciones push (a través de los servicios del navegador, p. ej. Apple, Google o Mozilla);
• lectura de tickets (OCR), solo si usas esa función;
• registro de errores e inicio de sesión con Google (opcional);
• analítica web (Google Analytics 4, de Google), solo si aceptas las cookies analíticas; ver la Política de Cookies.

La lista detallada y actualizada de encargados está disponible escribiendo a hola@biqo.es.

Transferencias internacionales. Algunos de estos proveedores (por ejemplo, el de lectura automática de tickets, y los de email, alojamiento, almacenamiento, inicio de sesión con Google, analítica web o registro de errores) pueden tratar datos fuera del EEE, principalmente en Estados Unidos. Cuando subes la foto de un ticket, esa imagen se transfiere a nuestro proveedor de OCR para leerla. En estos casos la transferencia se ampara en las garantías del art. 46 RGPD (cláusulas contractuales tipo) o en el marco de adecuación EU-US Data Privacy Framework cuando el proveedor está certificado. Puedes pedir información sobre estas garantías en hola@biqo.es.

5. Plazo de conservación

• Datos de tu cuenta: mientras la cuenta esté activa; se eliminan o anonimizan cuando la borras.
• Salas y sus datos: mientras la sala esté vigente; las salas con caducidad se eliminan en cascada poco después de caducar (periodo de gracia ~30 días).
• Códigos de acceso (OTP): caducan a los 10 minutos y se eliminan tras usarse.
• Sesiones / tokens de acceso: hasta su caducidad (orden de días).
• Datos intermedios de lectura de tickets (OCR): 90 días.
• Imágenes de tickets aportadas para mejorar la lectura (solo con tu consentimiento): máximo 24 meses, y antes si retiras el consentimiento o borras la sala o tu cuenta.
• Registro de auditoría: 12 meses con carácter general; hasta 6 años cuando tenga relevancia contable (art. 30 del Código de Comercio).
• Analítica de producto: de forma seudonimizada, un máximo de 14 meses desde el último evento.

6. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento cuando esa sea la base legal. Cómo:

• Desde la propia app, si tienes cuenta: Perfil → Privacidad y seguridad → Datos (exportar una copia de tus datos) y Eliminar cuenta (supresión).
• Por escrito a hola@biqo.es.

Atenderemos tu solicitud en el plazo máximo de un mes (art. 12.3 RGPD).

7. Seguridad

Aplicamos medidas técnicas y organizativas conformes al art. 32 RGPD: cifrado en tránsito (HTTPS), cifrado de los identificadores de cobro (AES-256-GCM), almacenamiento de credenciales y direcciones IP solo como huella (hash), control de acceso por roles y registro inmutable de las acciones sensibles.

8. Almacenamiento en tu navegador y cookies

Biqo usa el almacenamiento local de tu navegador para funciones ESENCIALES (recordar tus salas, incluida la clave secreta de organizador, y mantener tu sesión); estas no requieren consentimiento. Para la ANALÍTICA usamos identificadores seudónimos que NO son esenciales y que solo se activan si los aceptas en el panel de cookies; puedes rechazarlos o retirarlos en cualquier momento. No usamos cookies de publicidad ni de seguimiento de terceros, ni vendemos tus datos. El detalle está en nuestra Política de Cookies. Si borras los datos del navegador, perderás el acceso a las salas creadas sin cuenta.

9. Menores

Biqo está dirigido a personas mayores de 18 años. Si eres menor de esa edad, no debes usar el servicio ni facilitar datos personales.

10. Cambios en esta política

Si actualizamos esta política publicaremos una nueva versión con su fecha y su huella (hash). Las aceptaciones previas quedan asociadas a la versión que aceptaste en su momento.

11. Autoridad de control

Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, si consideras que el tratamiento no se ajusta a la normativa.

Para cualquier consulta sobre esta política puedes escribir a hola@biqo.es.