Política de privacidad

1 Quién es responsable

El responsable del tratamiento es Proyecto Cabe AI, S.L., con NIF B27592799 y domicilio en Avenida Maracena 110, 18014 Granada, España.

Puedes contactar para cualquier cuestión de privacidad, seguridad de los datos o ejercicio de derechos en privacidad@cabeai.com.

2 A quién y a qué servicios se aplica

Esta política se aplica a quienes visitan cabeai.com, se apuntan a la lista de espera, crean o utilizan una cuenta gratuita, consultan fichas, guardan favoritos, envían reportes de ocupación o contactan con Cabe.

Describe únicamente las funciones activas en la fecha indicada. Los pagos y suscripciones, las herramientas comerciales para establecimientos, la subida de imágenes, las promociones, las notificaciones push y el canal de WhatsApp no forman parte del servicio activo. Antes de activar una función que implique tratamientos adicionales, actualizaremos la información correspondiente y, cuando sea necesario, pediremos una nueva aceptación o consentimiento.

Mientras el canal de WhatsApp permanezca suspendido, Cabe no recibe mensajes por ese canal ni envía mensajes o audios a proveedores de inteligencia artificial. Las funciones de inteligencia artificial del panel para establecimientos también están desactivadas mientras el servicio comercial permanezca cerrado.

3 Principios que aplicamos

Tratamos datos para finalidades determinadas, utilizando solo los que resultan necesarios y durante plazos definidos. Aplicamos medidas de minimización, separación de funciones, control de acceso y supresión automática cuando resulta posible.

Los datos seudonimizados, incluidas las huellas criptográficas de identificadores técnicos, siguen siendo datos personales cuando Cabe puede relacionarlos de nuevo con una persona o reproducirlos a partir del dato original.

No vendemos datos personales ni permitimos que un establecimiento conozca la identidad de quien consulta o reporta sobre su ficha. La información de ocupación se publica de forma agregada o sin identificar a la persona que la aportó.

4 Datos que obtenemos

Según cómo utilices Cabe, podemos tratar:

• Lista de espera y comunicaciones solicitadas: correo electrónico y prueba de la elección realizada (versión del texto informativo y de la política mostrados, fecha del consentimiento y huella criptográfica de la IP).
• Cuenta e identidad: nombre, correo electrónico, teléfono cuando se solicita o facilita, fecha de nacimiento o declaración de mayoría de edad, identificador de usuario y datos básicos recibidos del proveedor de inicio de sesión.
• Aceptaciones y preferencias: versión de los términos y de la información mostrada, fecha, canal, acción realizada, preferencias de cookies y ubicación, identificador de sesión, navegador y huellas criptográficas de determinados identificadores técnicos.
• Uso de Cabe: fichas y zonas consultadas, búsquedas, favoritos, interacciones, nivel, recuentos de actividad y marcas temporales.
• Reportes de ocupación: establecimiento, nivel comunicado, fecha y hora, texto libre, identificador de cuenta y señales utilizadas para comprobar proximidad o prevenir abuso.
• Ubicación: coordenadas, precisión y fecha cuando otorgas permiso; y, si eliges conservarla, una copia local de la última ubicación conocida en tu propio navegador.
• Soporte, correcciones y derechos: contenido del mensaje, datos de contacto, documentos que decidas aportar, ficha afectada y trazabilidad de la gestión.
• Datos técnicos y de seguridad: dirección IP tratada por la infraestructura, seudónimos HMAC de la IP, navegador, dispositivo, ruta solicitada, fecha y hora, registros de acceso, errores, sesión y señales de seguridad.
• Datos de establecimientos y profesionales: nombre comercial, categoría, dirección, coordenadas, teléfono, web, procedencia y licencia. Algunos datos pueden referirse a una persona autónoma o a una persona de contacto.

No te pedimos que incluyas en reportes o consultas datos de salud, ideología, religión, vida sexual, origen racial o étnico, datos biométricos, credenciales, información bancaria ni datos personales de terceros. Si introduces información innecesaria en un campo libre, podremos eliminarla o restringirla.

5 Origen de los datos

Obtenemos datos:

• directamente de ti, al apuntarte a la lista de espera, registrarte, configurar la cuenta, reportar o contactar;
• del proveedor de inicio de sesión que elijas;
• de tu navegador, dispositivo y proveedores de infraestructura;
• de fuentes abiertas de información empresarial con licencia, principalmente Overture Maps Foundation, y de correcciones posteriores;
• de otras personas usuarias, únicamente cuando sus reportes contribuyen al estado agregado de un establecimiento.

El catálogo publicado por Cabe no utiliza Google Places como fuente de sus fichas.

6 Para qué tratamos los datos, con qué base y durante cuánto tiempo

6.1 Navegación, funcionamiento y seguridad

Finalidad. Entregar la web, mantener sesiones, aplicar límites de peticiones, impedir usos abusivos, proteger cuentas y sistemas, filtrar ataques mediante el cortafuegos perimetral de Vercel y diagnosticar errores.

Datos. IP, navegador, dispositivo, ruta solicitada, fecha y hora, identificadores técnicos, errores y señales de seguridad. Vercel procesa la IP al recibir la petición. Para los límites internos, Cabe sustituye la IP por un seudónimo HMAC-SHA256 generado con una clave secreta del servidor. Upstash conserva temporalmente ese seudónimo como parte de la clave del contador; no conserva la IP en claro. En determinados avisos enviados a Sentry, las direcciones se reducen antes del envío.

Base jurídica. Interés legítimo de Cabe y de las personas usuarias en disponer de un servicio seguro, íntegro y estable. La medición de rendimiento, Session Replay y cualquier tecnología no necesaria que acceda al dispositivo se activan únicamente con consentimiento analítico.

Conservación. Los contadores de límites caducan automáticamente; con la configuración actual, el plazo máximo es de aproximadamente dos horas. Los eventos del cortafuegos son visibles para Cabe durante un día y no existe un bloqueo persistente de IP configurado. Los registros técnicos que Cabe conserva directamente se eliminan, con carácter general, en un máximo de 30 días. Las evidencias incorporadas a una alerta, incidente o reclamación podrán conservarse hasta 12 meses y, si existe un procedimiento abierto, quedarán bloqueadas hasta que termine y prescriban las responsabilidades.

6.2 Registro, autenticación y gestión de la cuenta

Finalidad. Crear la cuenta, autenticarte, mantenerla, prestar las funciones solicitadas y comunicarnos contigo sobre el servicio.

Datos. Nombre, correo, teléfono cuando proceda, fecha de nacimiento o declaración de edad, identificador de cuenta, credenciales gestionadas por el proveedor de autenticación y datos de sesión.

Base jurídica. Ejecución del contrato de uso y medidas solicitadas antes de contratar.

Conservación. Mientras la cuenta esté activa. Al cerrarla se eliminarán los datos operativos, salvo los que deban anonimizarse, restringirse o bloquearse conforme al apartado 9.

6.3 Aceptaciones, información y consentimientos

Finalidad. Acreditar qué documento o aviso se mostró, qué acción realizó la persona, cuándo y por qué canal; gestionar y demostrar las preferencias de consentimiento.

Datos. Identificador de usuario o sesión, documento y versión exacta, fecha, acción, navegador y, cuando corresponde, una huella HMAC-SHA256 de la IP generada con una clave secreta del servidor. No utilizamos estos registros para publicidad.

Base jurídica. Cumplimiento de obligaciones de prueba y responsabilidad proactiva, y legítimo interés en formular, ejercer o defender reclamaciones.

Conservación. La prueba de consentimientos se bloqueará durante tres años desde su retirada o desde el cierre de la cuenta. La prueba de aceptación contractual se bloqueará durante cinco años desde la terminación de la relación. Transcurrido el plazo aplicable se destruirá.

6.4 Consultas, búsquedas, ofertas, QR, favoritos y nivel

Finalidad. Mostrar resultados, recordar favoritos, calcular el nivel, mantener las funciones de la cuenta y evitar contar varias veces una misma visita, visualización o escaneo durante un periodo breve.

Datos. Usuario o sesión cuando existe, ficha o zona consultada, interacción, fecha y hora, favoritos, número de reportes, frecuencia y nivel. Para deduplicar determinadas métricas, Cabe calcula un seudónimo diario HMAC-SHA256 a partir de la fecha y la IP. El seudónimo forma parte de una clave temporal en Redis, no contiene la IP en claro y no se cruza con la cuenta.

Base jurídica. Ejecución del contrato para favoritos, nivel y funciones solicitadas; interés legítimo para proteger la integridad de las métricas, evitar duplicados y mejorar el funcionamiento no invasivo. Las tecnologías analíticas no necesarias del dispositivo requieren consentimiento.

Conservación. Las claves de deduplicación caducan a las 24 horas para ofertas, a los 30 minutos para escaneos QR y a los 10 minutos para fichas. Los eventos detallados de navegación e interacción se conservan un máximo de 30 días. Los favoritos y el nivel actual se mantienen mientras exista la cuenta. Después solo podrán permanecer estadísticas irreversiblemente anonimizadas.

6.5 Reportes de ocupación y calibración de estimaciones

Finalidad. Recibir el reporte, comprobar su vigencia y coherencia, combinarlo con otras señales, mostrar ocupación, prevenir manipulación y medir el error de las estimaciones para calibrar el modelo antes de ampliar el servicio.

Datos. Usuario, establecimiento, nivel, fecha y hora, texto libre y señales antifraude o de proximidad.

Base jurídica. Ejecución del contrato respecto de la función de reportar; interés legítimo para prevenir abuso y evaluar la fiabilidad del servicio, ponderado frente al impacto sobre la persona. No utilizamos el texto libre para entrenar modelos generativos de terceros.

Conservación. El texto libre se conserva un máximo de 30 días. El dato estructurado vinculado a una cuenta se conserva un máximo de 90 días. Después se elimina el vínculo o se conserva únicamente un resultado estadístico irreversiblemente anonimizado. Si solicitas la eliminación antes, aplicaremos el procedimiento del apartado 9.

Cuando un reporte se comunica en tiempo real a otros navegadores, el aviso contiene únicamente el identificador del establecimiento. No incluye el identificador de la persona, el texto libre ni otros campos del reporte.

6.6 Ubicación del dispositivo

Finalidad. Centrar el mapa, ofrecer funciones de proximidad y, cuando se indique, comprobar que un reporte se realiza cerca del establecimiento.

Datos. Coordenadas, precisión, fecha y un identificador temporal de sesión o cuenta. Si no has iniciado sesión, los avisos de afluencia utilizan un identificador aleatorio que rota cada tres horas y desaparece al cerrar la pestaña; no incorpora tu IP.

Base jurídica. Tu consentimiento específico y el permiso del navegador. Puedes denegarlos o retirarlos sin perder el acceso general a Cabe, aunque dejarán de funcionar las opciones que necesiten conocer la proximidad.

Conservación. Las coordenadas transmitidas a Cabe y vinculables a una persona se eliminan automáticamente en un máximo de 48 horas. Las estadísticas posteriores solo se conservan si son irreversiblemente anónimas. La elección sobre ubicación se recuerda durante 12 meses.

Si lo autorizas, cabe_last_location guarda en tu navegador la última latitud, longitud, precisión y fecha durante un máximo de siete días. Esa copia no se presenta como ubicación actual: solo centra inicialmente el mapa y se identifica como “Última ubicación conocida” con su antigüedad. Se elimina antes si el navegador deniega el permiso, si retiras el consentimiento o si utilizas la opción “Configurar ubicación”.

6.7 Atención, soporte, correcciones y reclamaciones

Finalidad. Responder consultas, corregir o retirar fichas, resolver incidencias, tramitar reclamaciones y conservar prueba mínima de la gestión.

Datos. Datos de contacto, contenido y adjuntos, ficha afectada, comunicaciones y resultado.

Base jurídica. Ejecución del contrato o medidas solicitadas; interés legítimo en atender consultas de personas sin cuenta y defender reclamaciones; obligación legal cuando la comunicación ejercite un derecho.

Conservación. El texto libre y los adjuntos se eliminan, con carácter general, 30 días después del cierre del asunto. Se conserva bloqueado durante tres años un registro mínimo de la solicitud, actuaciones, respuesta y entrega. Si existe una reclamación en curso, se conserva hasta su terminación y la prescripción de responsabilidades.

6.8 Cookies, almacenamiento local y tecnologías del navegador

Finalidad. Mantener la sesión, recordar elecciones solicitadas, proteger el servicio y, cuando lo autorices, cargar Google Maps o utilizar analítica y Session Replay.

Base jurídica. Las tecnologías estrictamente necesarias se utilizan para prestar el servicio solicitado. Google Maps, la analítica y Session Replay se activan únicamente con el consentimiento correspondiente. La ubicación utiliza un consentimiento específico separado del panel de cookies.

Conservación. Las duraciones concretas figuran en la Política de cookies. Cabe no utiliza actualmente cookies de marketing o atribución de socios, no carga Stripe en la web y sirve las tipografías desde su propia infraestructura.

6.9 Catálogo de establecimientos

Finalidad. Mantener un catálogo útil, mostrar datos de contacto comercial, situar las fichas en el mapa, identificar duplicados y atender correcciones, oposiciones o retiradas.

Datos. Información empresarial y de contacto publicada en la fuente, procedencia, licencia, identificadores y cambios. Cuando el negocio pertenece a una persona autónoma, algunos datos pueden ser personales.

Base jurídica. Interés legítimo en ofrecer información sobre establecimientos abiertos al público, sujeto a ponderación y a los derechos de la persona afectada.

Conservación. Mientras la ficha esté vigente y sea necesaria para el catálogo. Cada actualización sustituye los campos operativos anteriores. La prueba mínima de una corrección, oposición o retirada se conserva bloqueada durante tres años.

Puedes comunicar una incorrección o solicitar la retirada pública de una ficha desde el enlace de la propia ficha o escribiendo a contacto@cabeai.com. Si la solicitud se refiere a datos personales o al ejercicio de un derecho, la tramitaremos a través de privacidad@cabeai.com, aunque la hayas enviado inicialmente al canal general.

6.10 Lista de espera y novedades solicitadas

Finalidad. Registrar tu interés en acceder a Cabe y enviarte la invitación, información de apertura y las novedades que hayas solicitado.

Datos. Correo electrónico, versión del texto informativo y de la Política de privacidad mostrados, fecha del consentimiento y una huella HMAC-SHA256 de la IP generada con una clave secreta del servidor, utilizada como elemento auxiliar de trazabilidad sin conservar la IP en claro.

Base jurídica. Tu consentimiento para la inscripción y el envío de las comunicaciones solicitadas. El registro mínimo de la elección se conserva para cumplir el deber de demostrar el consentimiento y, cuando proceda, para formular, ejercer o defender reclamaciones. Puedes retirar el consentimiento en cualquier momento mediante el enlace de baja incluido en cada comunicación o escribiendo a privacidad@cabeai.com. La retirada no afecta a los envíos realizados válidamente con anterioridad.

Conservación. Hasta que retires el consentimiento o, como máximo, doce meses después de la última comunicación de apertura o acceso sin que hayas creado una cuenta ni mostrado interés. Al darte de baja se elimina tu inscripción de la lista y la prueba mínima de la elección queda bloqueada durante tres años.

7 Perfilado y decisiones automatizadas

Cabe calcula automáticamente un nivel a partir de la actividad de la cuenta. Esto constituye una clasificación o perfil básico, pero en esta versión no determina precios, acceso a servicios esenciales, promociones ni produce efectos jurídicos o similarmente significativos.

Las estimaciones de ocupación se refieren a establecimientos, no evalúan jurídicamente a la persona usuaria. No adoptamos decisiones exclusivamente automatizadas sobre usuarios con los efectos descritos en el artículo 22 del RGPD.

Puedes solicitar información adicional, corregir datos inexactos y pedir intervención humana respecto de una medida sobre tu cuenta escribiendo a privacidad@cabeai.com.

8 Destinatarios y proveedores

Los siguientes proveedores pueden tratar datos dentro de sus funciones:

También podrán acceder asesores profesionales y autoridades cuando exista una obligación legal o una necesidad legítima documentada.

Overture Maps Foundation y los proveedores identificados en cabeai.com/legal/atribucion son fuentes del catálogo, no destinatarios de datos de usuarios por el hecho de que consultes una ficha.

Anthropic, OpenAI, Meta/WhatsApp y Twilio no reciben datos en la versión activa descrita por esta política. Stripe no se carga en la web pública ni en la parte de usuarios; los pagos están cerrados. Antes de activar cualquiera de esos tratamientos actualizaremos esta política y las garantías aplicables.

No comunicamos a los establecimientos quién ha consultado o reportado sobre su ficha. No vendemos ni cedemos bases de datos de usuarios para publicidad de terceros.

9 Qué ocurre al eliminar una cuenta

La supresión no significa aplicar la misma operación a todos los datos. Al verificar una solicitud:

1. Suprimimos la cuenta, el perfil, las credenciales bajo nuestro control, favoritos, nivel y datos operativos que ya no sean necesarios.
2. Suprimimos o desvinculamos los reportes y eventos asociados. Los datos de ocupación solo permanecen si se han convertido en estadísticas irreversiblemente anónimas.
3. Restringimos temporalmente los datos necesarios para terminar una solicitud abierta o cumplir una obligación vigente. No se utilizan para las funciones ordinarias.
4. Bloqueamos la prueba mínima que deba conservarse para cumplir la ley o atender responsabilidades. Queda fuera del uso ordinario y solo puede ponerse a disposición de autoridades, tribunales o para formular, ejercer o defender reclamaciones.
5. Destruimos los datos bloqueados cuando vence su plazo.

Actualmente, el proveedor genera copias de seguridad diarias y mantiene una ventana de recuperación de un máximo de ocho días. Durante ese periodo, una copia aislada de un dato ya suprimido puede permanecer en el ciclo de respaldo hasta ser sustituida automáticamente. Las copias no se utilizan para la operación ordinaria. Si fuese necesario restaurarlas, volveríamos a ejecutar las supresiones pendientes. Si cambia la ventana contratada, actualizaremos esta información.

No existe un periodo de recuperación de cuenta. Una vez completada la eliminación, no podremos reactivar la cuenta anterior.

10 Plazos y bloqueo

Cuando una norma o una posible responsabilidad impida destruir de inmediato determinados datos, estos se conservarán bloqueados: no estarán disponibles para paneles, automatizaciones, analítica ni consultas ordinarias. El acceso será excepcional, limitado y registrado.

Los plazos indicados en esta política son máximos ordinarios. Podemos eliminar antes cuando el dato deje de ser necesario. Una obligación legal, una reclamación o una investigación podrá exigir conservar únicamente la información afectada hasta que finalice y prescriban las responsabilidades.

11 Transferencias internacionales

La aplicación se ejecuta principalmente en Frankfurt, Alemania. La base de datos de producción y el servicio Redis están alojados en Londres, Reino Unido. El Reino Unido cuenta con una decisión de adecuación de la Comisión Europea aplicable al RGPD, vigente hasta el 27 de diciembre de 2031 salvo modificación, suspensión o prórroga.

Los buzones corporativos cabeai.com, gestionados por Zoho, están asignados al centro de datos estadounidense zoho.com. Además, algunos proveedores tienen su sede fuera del Espacio Económico Europeo o pueden prestar soporte o permitir accesos desde terceros países, aunque la región principal de almacenamiento esté configurada en Europa. En cada caso aplicamos el mecanismo de transferencia correspondiente: decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas o cláusulas contractuales tipo, junto con las medidas complementarias necesarias.

Puedes pedir información sobre el mecanismo aplicable y una copia de las garantías en privacidad@cabeai.com. Podremos ocultar únicamente la información comercial que no sea necesaria para comprender la garantía.

12 Seguridad

Aplicamos controles de acceso por función, restricciones por fila, separación de credenciales, registro de operaciones críticas, filtrado perimetral, seudonimización y medidas para reducir el acceso no autorizado, la alteración y la pérdida. Los registros internos no incluyen números de teléfono completos cuando no son necesarios.

Ningún sistema es infalible. Revisamos los permisos y gestionamos los incidentes conforme a su riesgo. Si detectas una vulnerabilidad o acceso indebido, comunícalo a privacidad@cabeai.com sin explotar ni divulgar datos de otras personas.

13 Tus derechos

Puedes solicitar:

• acceso a tus datos y una copia;
• rectificación de datos inexactos;
• supresión;
• limitación del tratamiento;
• oposición cuando tratemos datos por interés legítimo;
• portabilidad de los datos que corresponda;
• retirada del consentimiento, sin afectar al tratamiento anterior;
• intervención humana cuando resulte aplicable una decisión automatizada.

Puedes ejercerlos desde las funciones disponibles en la cuenta o escribiendo a privacidad@cabeai.com. Podremos pedir la información mínima necesaria para confirmar tu identidad. Responderemos en el plazo de un mes; si la solicitud es especialmente compleja o numerosa, podremos ampliar el plazo hasta dos meses adicionales e informaremos de ello dentro del primer mes.

También puedes reclamar ante la Agencia Española de Protección de Datos en www.aepd.es.

14 Personas sin cuenta

No necesitas mantener una cuenta para ejercer derechos. Si has interactuado con un canal que utiliza otro identificador, puedes escribir a privacidad@cabeai.com e indicar el correo, teléfono o identificador utilizado. Solo pediremos una verificación proporcionada para evitar borrar datos de otra persona.

15 Menores

Cabe no admite cuentas de menores de 18 años. Si sabes que una persona menor ha creado una cuenta, comunícalo a privacidad@cabeai.com. Comprobaremos la información de manera proporcionada y eliminaremos la cuenta cuando corresponda.

16 Cambios de esta política

Cada versión se publica con su fecha y se archiva sin reescribir las anteriores. Comunicaremos los cambios materiales antes de que resulten aplicables. Si una nueva finalidad necesita consentimiento, no iniciaremos ese tratamiento hasta obtenerlo.