Política de privacidad

Biqo es una aplicación web para dividir un gasto entre amigos. Tú creas una sala, repartes el gasto y cada persona ve cuánto le toca. Biqo NO mueve, guarda ni custodia dinero en ningún momento: los pagos los hacéis vosotros fuera de la app (Bizum, Revolut, transferencia o efectivo). Biqo solo lleva la cuenta de quién ha pagado y quién falta.

Esta política explica qué datos personales tratamos, con qué base legal, con quién los compartimos, cuánto los conservamos y cómo puedes ejercer tus derechos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

• Responsable: BIQO DIGITAL COORDINATION, S.L. («Biqo»)
• NIF: B05642277
• Contacto en materia de privacidad: hola@biqo.es

Los datos identificativos y mercantiles completos de Biqo están disponibles en el Aviso Legal.

2. Datos que tratamos

a. Si usas Biqo sin cuenta (como organizador con tu «clave de sala» o como invitado desde un enlace):

• el nombre que tú escribes para mostrarte al grupo;
• los datos que introduces en la sala: título, gastos, importes y cómo se reparten;
• identificadores técnicos que se guardan en TU navegador (la clave secreta de la sala y un identificador seudónimo de uso), no en nuestros servidores en claro.

No te pedimos email ni teléfono para usar Biqo sin cuenta.

b. Si creas una cuenta ligera (opcional, sirve para reencontrar tus salas):

• tu email;
• opcionalmente, un nombre para mostrar, un teléfono y una foto de perfil, si decides añadirlos;
• un código de un solo uso enviado a tu email para iniciar sesión, del que solo guardamos una huella (hash) y que caduca en 10 minutos.

No usamos contraseña por defecto: la cuenta se basa en un enlace/código mágico al email.

c. Datos de cobro que decidas guardar:

• tu identificador de pago (teléfono de Bizum, usuario de Revolut o IBAN) si lo guardas para que otros sepan dónde pagarte. Se almacena SIEMPRE CIFRADO (AES-256-GCM), nunca en claro.

Biqo NUNCA trata datos de tarjeta bancaria ni accede a tus cuentas: el pago ocurre fuera de la app.

d. Tickets (función opcional de lectura de recibos):

• si subes la foto de un ticket, la enviamos a nuestro proveedor de lectura automática (OCR) para extraer los importes. Para esa lectura, la imagen puede tratarse en servidores situados fuera del EEE (ver apartado 4). Ese proveedor (Google, Gemini API) conserva la imagen y su respuesta durante 55 días únicamente para detectar y prevenir usos prohibidos, y no las utiliza para mejorar sus productos. Por defecto NO conservamos la foto: solo guardamos los datos extraídos y una huella técnica para evitar duplicados, y la respuesta completa del proveedor de lectura se borra de nuestros sistemas a los 90 días.
• SOLO si nos das tu consentimiento expreso para ayudar a mejorar Biqo, guardamos además una copia de la foto SIN metadatos (le quitamos la geolocalización y los datos del dispositivo) para entrenar nuestros propios sistemas de lectura. Si detectamos un número de tarjeta en el ticket, no guardamos la foto. Estas imágenes se conservan un máximo de 24 meses; puedes retirar el consentimiento y pedir su borrado en cualquier momento escribiendo a hola@biqo.es, y se eliminan también si borras la sala o tu cuenta.

e. Opiniones (feedback): el mensaje que nos envías, una valoración opcional y, si la adjuntas, una captura de pantalla.

f. Datos técnicos y de uso (analítica de producto):

• eventos de uso (por ejemplo, «sala creada», «pago marcado»), pantalla, tipo de dispositivo, navegador, idioma, país aproximado y el canal por el que llegaste (WhatsApp, QR, enlace);
• identificadores seudónimos de dispositivo y sesión;
• una huella (hash) de tu dirección IP. NUNCA almacenamos la IP en claro.

Esta analítica nos sirve para entender qué funciona y mejorar Biqo; no se usa para publicidad ni se vende a terceros.

g. Notificaciones push (si las activas): la suscripción que tu navegador genera para poder enviarte avisos.

h. Registro de seguridad (auditoría): de las acciones sensibles guardamos qué ocurrió, cuándo y una huella (hash) de la IP, para seguridad y trazabilidad legal.

i. Medición de anuncios (solo si aceptas la publicidad): los identificadores de las cookies de Meta de tu navegador (_fbp y, si llegaste desde un anuncio, _fbc) y la información técnica del navegador y dispositivo (user-agent); y qué acción ocurrió (visitar una página, llegar a la app desde la web, crear o compartir una sala, que alguien entre en ella o inicie un pago), sin nombres, importes ni los enlaces privados de las salas. Detalle en la Política de Cookies.

Los datos indicados como necesarios son imprescindibles para prestar la función correspondiente de Biqo. Crear una cuenta, guardar datos de cobro, activar analítica o publicidad, recibir notificaciones o aportar imágenes para mejorar el OCR son funciones opcionales. No facilitar esos datos únicamente impide utilizar la función correspondiente.

3. Finalidades y base legal (art. 6 RGPD)

• Prestar el servicio de reparto de gastos y mostrar tus salas: art. 6.1.b (ejecución de un contrato / medidas precontractuales).
• Cuenta ligera y guardar/recuperar tus salas: art. 6.1.b y, en lo que proceda, art. 6.1.a (consentimiento).
• Notificaciones push: art. 6.1.a (consentimiento, que puedes retirar).
• Analítica de producto y mejora del servicio: art. 6.1.a (consentimiento, que gestionas desde el panel de cookies y puedes retirar cuando quieras). Sin tu consentimiento no activamos los identificadores de analítica.
• Medición de nuestros anuncios en Facebook e Instagram (píxel de Meta y su API de conversiones): art. 6.1.a (consentimiento de publicidad, separado del de analítica, que gestionas desde el panel de cookies y puedes retirar cuando quieras).
• Mejora de nuestros sistemas de lectura de tickets con las imágenes que decides aportar: art. 6.1.a (consentimiento, que puedes retirar).
• Seguridad, prevención de abuso y trazabilidad de auditoría: art. 6.1.f (interés legítimo).
• Conservación del registro de auditoría con relevancia contable: art. 6.1.c (obligación legal).

4. Destinatarios / encargados del tratamiento

No vendemos tus datos. Para prestar el servicio nos apoyamos en un número limitado de proveedores que actúan como encargados del tratamiento por contrato (art. 28 RGPD):

• alojamiento de la base de datos y de la aplicación;
• envío de emails transaccionales (códigos de acceso, avisos);
• envío de notificaciones push (a través de los servicios del navegador, p. ej. Apple, Google o Mozilla);
• lectura de tickets (OCR), solo si usas esa función;
• registro de errores e inicio de sesión con Google (opcional);
• analítica web (Google Analytics 4, de Google), solo si aceptas las cookies analíticas; ver la Política de Cookies.

La lista detallada y actualizada de encargados está disponible escribiendo a hola@biqo.es.

Meta. Si aceptas la publicidad, usamos las Herramientas de Meta para empresas (píxel de Meta y API de conversiones) para medir nuestros anuncios con los datos del apartado 2.i. Para la recogida y transmisión a Meta de los datos generados mediante esas herramientas, Biqo y Meta Platforms Ireland Limited actúan como corresponsables del tratamiento conforme al artículo 26 RGPD. Las respectivas responsabilidades se regulan en el acuerdo de corresponsabilidad aplicable de Meta. Puedes ejercer tus derechos frente a cualquiera de los corresponsables. Para los tratamientos posteriores que Meta realice bajo sus propias finalidades, Meta actúa bajo su propia responsabilidad conforme a su Política de privacidad, donde también encontrarás sus datos de contacto y cómo ejercer tus derechos frente a ella.

No enviamos a Meta identificadores ni datos personales de las personas invitadas a una sala. Cuando una persona invitada entra en la sala o inicia un pago, únicamente comunicamos que esa acción se produjo en una sala atribuida al anfitrión, sin identificar al invitado ni enviar datos sobre él.

Transferencias internacionales. Algunos de estos proveedores (por ejemplo, el de lectura automática de tickets, y los de email, alojamiento, almacenamiento, inicio de sesión con Google, analítica web, medición de anuncios (Meta) o registro de errores) pueden tratar datos fuera del EEE, principalmente en Estados Unidos. Cuando subes la foto de un ticket, esa imagen se transfiere a nuestro proveedor de OCR para leerla. En estos casos la transferencia se ampara en las garantías del art. 46 RGPD (cláusulas contractuales tipo) o en el marco de adecuación EU-US Data Privacy Framework cuando el proveedor está certificado. Puedes pedir información sobre estas garantías en hola@biqo.es.

5. Plazo de conservación

• Datos de tu cuenta: mientras la cuenta esté activa; se eliminan o anonimizan cuando la borras.
• Salas y sus datos: mientras la sala esté vigente; las salas con caducidad se eliminan en cascada poco después de caducar (periodo de gracia ~30 días).
• Códigos de acceso (OTP): caducan a los 10 minutos y se eliminan tras usarse.
• Sesiones / tokens de acceso: hasta su caducidad (orden de días).
• Respuesta completa del proveedor de lectura de tickets (OCR) en nuestros sistemas: 90 días. El proveedor (Google, Gemini API) conserva por su parte la imagen y su respuesta 55 días para detectar usos prohibidos.
• Imágenes de tickets aportadas para mejorar la lectura (solo con tu consentimiento): máximo 24 meses, y antes si retiras el consentimiento o borras la sala o tu cuenta.
• Registro de auditoría: 12 meses con carácter general; hasta 6 años cuando tenga relevancia contable (art. 30 del Código de Comercio).
• Analítica propia de Biqo: de forma seudonimizada, un máximo de 14 meses desde el último evento.
• Google Analytics 4 (solo si aceptas la analítica): en su configuración actual, los datos a nivel de evento asociados a identificadores se conservan 2 meses y los datos a nivel de usuario 14 meses; este último plazo se reinicia cuando se registra nueva actividad del mismo identificador.
• Atribución publicitaria guardada con una sala (solo si aceptaste la publicidad al crearla): 7 días desde su creación, y antes si retiras el consentimiento.

6. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento cuando esa sea la base legal. Cómo:

• Desde la propia app, si tienes cuenta: Perfil → Privacidad y seguridad → Datos (exportar una copia de tus datos) y Eliminar cuenta (supresión).
• Por escrito a hola@biqo.es.

Atenderemos tu solicitud en el plazo máximo de un mes (art. 12.3 RGPD). La retirada del consentimiento no afecta a la licitud de los tratamientos realizados antes de su retirada.

Decisiones automatizadas. Biqo no adopta decisiones exclusivamente automatizadas que produzcan efectos jurídicos o efectos significativamente similares sobre sus usuarios. Meta puede utilizar los datos que recibe para medición, optimización o personalización publicitaria conforme a su propia Política de privacidad.

7. Seguridad

Aplicamos medidas técnicas y organizativas conformes al art. 32 RGPD: cifrado en tránsito (HTTPS), cifrado de los identificadores de cobro (AES-256-GCM), almacenamiento de credenciales y direcciones IP solo como huella (hash), control de acceso por roles y registro inmutable de las acciones sensibles.

8. Almacenamiento en tu navegador y cookies

Biqo usa el almacenamiento local de tu navegador para funciones ESENCIALES (recordar tus salas, incluida la clave secreta de organizador, y mantener tu sesión); estas no requieren consentimiento. Para la ANALÍTICA usamos identificadores seudónimos que NO son esenciales y que solo se activan si los aceptas en el panel de cookies; puedes rechazarlos o retirarlos en cualquier momento. Para medir nuestros anuncios en Facebook e Instagram (píxel de Meta) pedimos un consentimiento de PUBLICIDAD distinto, que también puedes rechazar o retirar. No vendemos tus datos. El detalle está en nuestra Política de Cookies. Si borras los datos del navegador, perderás el acceso a las salas creadas sin cuenta.

9. Menores

Biqo está dirigido exclusivamente a personas mayores de 18 años. Las personas menores de 18 años no deben utilizar el servicio ni facilitarnos datos personales. Si tenemos conocimiento de que se han tratado datos de una persona menor de 18 años, adoptaremos las medidas razonables para eliminarlos.

10. Cambios en esta política

Si actualizamos esta política publicaremos una nueva versión con su fecha y su huella (hash). Las aceptaciones previas quedan asociadas a la versión que aceptaste en su momento.

11. Autoridad de control

Tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, si consideras que el tratamiento no se ajusta a la normativa.

Para cualquier consulta sobre esta política puedes escribir a hola@biqo.es.