Privacidad

Quién tiene tus datos

Si eres cliente de una tienda que usa Passimo, esa tienda es la responsable del tratamiento. Ella decidió recoger tus datos, ella decide qué enviarte y ella puede borrarte. Nosotros tratamos los datos por su cuenta.

Si eres un negocio que usa Passimo, tú eres el responsable de los datos de tus clientes y nosotros somos tu encargado del tratamiento.

Qué recoge una tienda sobre un cliente

Solo lo que necesita un programa de fidelización. No inferimos nada a partir de datos de terceros y no compramos nada.

• Un email o un teléfono: hace falta uno de los dos para identificarte en el mostrador.
• Un nombre, si lo has dado.
• Un cumpleaños, si lo has dado, usado solo para un regalo de cumpleaños.
• Tus visitas, tu saldo y las recompensas que has canjeado.
• En cuál de los locales de la tienda te diste de alta.
• Tu consentimiento por cada canal por separado —email, SMS, WhatsApp, push— con la hora en que lo diste y desde dónde.

Ubicación

Esta es la parte que más merece la pena leer con calma, porque es la que más razonablemente preocupa a la gente.

Una tienda puede definir un radio alrededor de cada local para que tu tarjeta aparezca en tu pantalla de bloqueo cuando estás cerca. En Apple Wallet y Google Wallet esa comparación ocurre en tu dispositivo: la tarjeta lleva las coordenadas de la tienda y tu móvil decide si la muestra. Tu ubicación no sale del móvil para eso.

En la versión web de tu tarjeta preguntamos antes de hacer nada. No se pide nada al cargar la página: tienes que pulsar un botón cuyo texto dice para qué es. Después tomamos una lectura, no un seguimiento continuo.

Esa lectura se redondea a unos cien metros antes de guardarse, y sustituye al valor anterior en lugar de añadirse a una lista. Guardamos una única posición aproximada por cliente para poder responder «¿está ahora cerca de una tienda?». No hay historial de movimientos, porque nunca lo hemos necesitado y guardarlo sería un riesgo sin ningún beneficio para ti.

Rechazar la ubicación no rompe nada. Ves todos los locales de la tienda, sin ordenar.

Avisos

Una tienda puede enviarte un mensaje cuando estás cerca de uno de sus locales. Cada tienda tiene un máximo de avisos por día, un intervalo mínimo entre ellos y un horario de silencio en el que no se envía nada, diga lo que diga la campaña. Los valores por defecto son deliberadamente prudentes.

Puedes eliminar la tarjeta de tu wallet cuando quieras, y cualquier enlace para darse de baja en cualquier email funciona de inmediato y para siempre.

Lo que nunca hacemos

Esto es arquitectura, no promesas.

• No vendemos datos personales ni los compartimos con anunciantes.
• Una tienda nunca puede ver los clientes de otra. Cada petición se comprueba contra la pertenencia de quien la hace a esa tienda antes de ejecutarse, cada consulta nombra la tienda a la que corresponde, y las pruebas automáticas verifican que se rechaza una petición de datos de otra tienda.
• No construimos un historial de movimientos con las lecturas de ubicación.
• No te seguimos por otras webs.

Qué recuerda la caja de la tienda

La pantalla de cobro tiene que seguir funcionando cuando se cae internet en la tienda, y para eso el dispositivo necesita recordar cosas. En el móvil, la tablet o el ordenador desde el que la tienda atiende, el navegador guarda tres cosas: las visitas escaneadas sin conexión que aún no nos han llegado; los datos de los clientes ya identificados en ese dispositivo —nombre, datos de contacto, saldo y gasto reciente— durante un máximo de veinticuatro horas; y la lista de apoyo de clientes recientes y habituales de la tienda, para poder tocar un nombre cuando falla la cámara o la conexión. No se guarda nada más de una sesión iniciada.

Esto está en el dispositivo de la tienda, no en el nuestro, y es lo que permite que un cliente reciba su sello durante una caída. Se borra al borrar los datos del sitio en el navegador, y es una razón más para bloquear ese dispositivo como se bloquea una caja.

En el móvil del cliente no pasa nada parecido: la página de su tarjeta se lee del servidor cada vez.

Tus derechos

Puedes pedir a la tienda una copia de todo lo que tiene sobre ti, pedir que lo corrija o pedir que lo borre. El borrado es real: el registro se anonimiza, los identificadores se eliminan y deja de ser una persona.

Como la responsable es la tienda, las solicitudes van a ella. Si no consigues contactarla, escríbenos y te ayudamos.

Cuánto tiempo se guarda

El historial de fidelización se guarda mientras tu alta esté activa, porque es de lo que está hecho tu saldo. Una posición aproximada se guarda solo hasta que la sustituye la siguiente lectura. Los registros de auditoría de acciones administrativas se conservan por responsabilidad. Lo que se borra a petición desaparece en ese momento.

Las funciones de IA y qué envían

Una tienda puede pedirle a Passimo que le escriba una campaña, le sugiera qué hacer esta semana, convierta una frase en un segmento de clientes, le resuma un cliente antes del turno, agrupe los comentarios de una encuesta por temas o reescriba un mensaje. Esas son todas las funciones de IA, y solo funcionan si quien gestiona la instalación ha configurado una clave de Anthropic. Sin ella no están disponibles y lo dicen: nada se genera por otro medio y nada se finge.

Cinco de esas siete funciones envían solo datos agregados: número de clientes, tasas de repetición y de fuga, totales y medias de ingresos, y los nombres que la tienda puso a sus propios segmentos, campañas y premios. No se incluye ninguna ficha de cliente, ni email, ni teléfono, ni identificador.

Dos de ellas envían más que eso, y merece la pena decir exactamente cuáles.

El resumen de un cliente lo pide una persona del equipo para un cliente concreto. Envía su nombre de pila, sus cifras de visitas y gasto, hasta veinticinco líneas de actividad reciente y hasta cinco notas del equipo. No envía su nombre completo, ni su email, ni su teléfono, ni su fecha de nacimiento, ni su dirección, ni su identificador en la base de datos.

Agrupar los comentarios de las encuestas en temas envía hasta ciento cincuenta comentarios tal y como los escribieron los clientes, junto con la puntuación que puso cada persona. El texto libre no se puede agrupar en temas sin leerlo, así que no existe una versión agregada de esta función. A esos comentarios no se les adjunta nada —ni nombre, ni email, ni identificador— pero un comentario es lo que la persona escribió, y si alguien firma su propio mensaje ese texto también va.

Lo que devuelve la IA nunca se aplica solo a los datos de una tienda. Una campaña generada llega como borrador editable; una sugerencia llega como sugerencia. Nada se crea, se envía ni se cambia sin que alguien de la tienda lo elija.

Proveedores que usamos

La base de datos es PostgreSQL y la gestiona quien aloja esta instalación (Railway, en el servicio alojado). Las cuentas, las contraseñas y las sesiones viven en esa misma base de datos: no hay ningún proveedor de identidad externo en el inicio de sesión.

Aparte de eso, la instalación de una tienda puede estar configurada con: Stripe (pagos), Resend (email), Twilio (SMS), Meta (WhatsApp), Apple y Google (tarjetas wallet), Google Maps (convertir la dirección de una tienda en coordenadas), Anthropic (las funciones de IA, opcionales) y un bucket compatible con S3 (las imágenes subidas y las exportaciones de datos, cuando no se guardan en el disco de la propia instalación).

Cuáles están activos depende de lo que haya configurado quien opera la plataforma. Nada está activado por defecto más allá de la base de datos.