En esta Política de Privacidad te explicamos cómo trata Retorna los datos personales, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Última actualización: 7 de octubre de 2026.
1. Responsable del tratamiento
- Titular: Héctor Morales Marín (empresario autónomo), en adelante «Retorna».
- NIF: 26850858Z
- Domicilio: Calle José María Cagigal, 46, Portal 2, 5ºA, Roquetas de Mar (Almería), España.
- Correo electrónico: retorna.dev@gmail.com
- Web: byretorna.com
2. Dos situaciones distintas
a) Retorna como responsable. Tratamos como responsables los datos de las personas que visitan nuestra web, nos contactan o contratan Retorna como negocio (y de sus usuarios del panel). Este documento se refiere principalmente a estos datos.
b) Retorna como encargado. Los datos de los clientes finales de un negocio (las personas que se unen a su programa de fidelización) los trata Retorna por cuenta del negocio, que es quien decide para qué y cómo se usan. En ese caso, el responsable es el negocio, y Retorna actúa como encargado del tratamiento conforme al Acuerdo de Encargado del Tratamiento (DPA) disponible en byretorna.com/dpa. Si eres cliente final y quieres ejercer tus derechos, dirígete en primer lugar al negocio con el que tienes la tarjeta; nosotros le ayudaremos a atenderte.
3. Qué datos tratamos, para qué y con qué base legal
- Contacto y consultas (nombre, correo, teléfono, mensaje). Finalidad: atender tu solicitud o agendar una llamada. Base legal: tu consentimiento y medidas precontractuales (art. 6.1.a y 6.1.b RGPD).
- Alta y gestión del negocio contratante (datos identificativos y fiscales, persona de contacto, datos de acceso al panel, logotipos y datos de configuración, términos aceptados). Finalidad: prestar el servicio contratado y gestionar la relación contractual. Base legal: ejecución del contrato (art. 6.1.b).
- Pagos y facturación (importes, estado de la suscripción, datos de facturación). El pago lo gestiona Stripe; Retorna no almacena los datos completos de la tarjeta. Finalidad: cobrar, facturar y cumplir obligaciones fiscales. Base legal: ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c).
- Seguridad y mantenimiento (registros de acceso, dirección IP, errores). Finalidad: proteger la plataforma, prevenir abusos y detectar fraudes. Base legal: interés legítimo (art. 6.1.f).
- Comunicaciones sobre el servicio (avisos de cambios, incidencias, facturas). Base legal: ejecución del contrato e interés legítimo.
- Analítica web. Utilizamos Umami, una herramienta de analítica sin cookies que recoge datos agregados y no identifica a las personas, y Google Analytics, que solo se activará si aceptas las cookies de análisis. Base legal: interés legítimo (Umami) y consentimiento (Google Analytics).
Cuando el negocio nos lo encarga, también tratamos como encargados los datos de sus clientes finales: nombre, correo electrónico, teléfono (opcional), identificador de tarjeta y código QR, puntos, sellos, visitas, recompensas, consentimiento comercial y su historial en el programa. Los usamos únicamente para prestar el servicio al negocio.
Ubicación. Las notificaciones por cercanía a un local las gestionan Apple Wallet y Google Wallet en el propio dispositivo del cliente final, con el permiso que este concede en su teléfono. Retorna no recibe ni almacena la ubicación del cliente final; solo guarda las coordenadas del local del negocio.
4. Destinatarios y proveedores
No vendemos datos personales. Para prestar el servicio compartimos datos con proveedores que actúan como encargados del tratamiento o como responsables independientes:
- Supabase (base de datos), con la información alojada en la región de Irlanda (UE).
- Vercel (alojamiento de la aplicación), configurado en la UE.
- Resend (envío de correos electrónicos).
- Stripe (pagos y suscripciones), como responsable independiente de los datos de pago.
- Google (inicio de sesión con Google, Google Wallet y Google Analytics) y Apple (Apple Wallet), para emitir y mostrar las tarjetas digitales.
- Umami (analítica web sin cookies).
También podremos comunicar datos a las administraciones y autoridades cuando exista una obligación legal.
5. Transferencias internacionales
Algunos de estos proveedores tienen sede o servidores fuera del Espacio Económico Europeo (por ejemplo, en Estados Unidos). Estas transferencias se realizan con las garantías previstas en el RGPD: decisiones de adecuación como el Marco de Privacidad de Datos UE–EE. UU. (Data Privacy Framework) o las cláusulas contractuales tipo de la Comisión Europea que cada proveedor ofrece.
6. Cuánto tiempo conservamos los datos
- Contacto: el tiempo necesario para atender tu solicitud y, después, durante los plazos de prescripción de posibles responsabilidades.
- Negocios contratantes: mientras dure la relación contractual. Tras la baja, los datos de la cuenta y de sus clientes finales se eliminan a los 90 días, salvo los que debamos conservar por ley.
- Facturación y datos fiscales: durante los plazos exigidos por la normativa mercantil y tributaria (con carácter general, 6 años).
- Registros de seguridad: por un periodo limitado y proporcionado.
7. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento en cualquier momento, escribiendo a retorna.dev@gmail.com e identificándote. Responderemos en el plazo máximo de un mes.
Si consideras que no hemos atendido bien tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos: comunicaciones cifradas (HTTPS), control de accesos, contraseñas protegidas, separación de los datos de cada negocio, copias de seguridad y limitación de intentos de acceso. Si se produjera una brecha de seguridad que afecte a datos personales, actuaremos conforme a la normativa y, cuando actuemos como encargados, avisaremos al negocio responsable sin demora indebida y como máximo en 72 horas.
9. Cookies
Usamos cookies técnicas necesarias para el funcionamiento (por ejemplo, la sesión de acceso al panel). Las cookies de análisis (Google Analytics) solo se instalan con tu consentimiento, que puedes rechazar o retirar en cualquier momento. Umami no utiliza cookies. Puedes bloquear o eliminar las cookies desde la configuración de tu navegador.
10. Menores
El servicio está dirigido a profesionales y negocios, y no se dirige a menores de edad. El negocio es responsable de los datos que recoge de sus propios clientes finales.
11. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página con su fecha de actualización y, si el cambio es relevante, lo comunicaremos por correo electrónico.