Política de privacidad

1. Responsable y contacto

El responsable del tratamiento de tus datos es Find The Button, S.L. («Button»), con NIF B22790406 y domicilio en Paseo de la Castellana, 116, 10-A, 28046 Madrid (España).

Para cualquier cuestión sobre privacidad o para ejercer tus derechos, escribe a privacy@findthebutton.xyz. Para soporte y reportes de abuso, a help@findthebutton.xyz.

No hemos designado delegado de protección de datos.

En las promociones de las webs de restaurante (apartado 5) y en «Audiencia», el análisis de los clientes que un restaurante añade a su panel (apartado 7), el responsable de los datos es el restaurante y Button actúa como encargado del tratamiento por su cuenta.

2. A qué servicios se aplica

Esta política se aplica a:

• La web findthebutton.xyz: formularios de contacto, newsletter, descarga del dossier para restaurantes, lista de espera de Android, el juego «Button or not» y las páginas de eventos.
• Las webs de restaurante con Button (findthebutton.xyz/x/…): las promociones que organizan los restaurantes.
• La app de Button para iOS y Android.
• El panel web (web.findthebutton.xyz) para restaurantes, grupos y agencias, incluidos Button Intelligence y el agente de fidelización, y sus páginas públicas de juegos y de demo.
• Los contactos profesionales de los restaurantes con los que trabajamos o queremos trabajar, y los clientes de restaurantes cuyos contactos suben estos a su panel, que tratamos por cuenta del restaurante (apartado 7).
• El análisis de reseñas públicas de restaurantes publicadas en otras plataformas, para Button Intelligence.

Las cookies y el almacenamiento del navegador de nuestras webs se explican en la política de cookies.

3. Qué datos tratamos

Usamos los datos de «Button or not», de forma agregada, para mejorar el criterio con el que elegimos los restaurantes de Button. Jugar no crea una cuenta de Button. Puedes pedir que borremos tus votos en cualquier momento escribiendo a privacy@findthebutton.xyz.

4. Para qué los usamos y con qué base legal

Cuando la base es el interés legítimo, puedes oponerte al tratamiento (apartado 12).

5. Webs de restaurante con Button

Cuando usas la web de un restaurante con Button (direcciones findthebutton.xyz/x/…), el restaurante organiza su promoción y es el responsable de los datos de tu participación: la foto y los datos del ticket, tus participaciones y tus vales. Button los trata por su cuenta, como encargado del tratamiento, para prestar el servicio, y es responsable de tu cuenta de Button. Tratamos tu nombre, tu email y tu idioma, la foto del ticket y los datos que leemos de él, tus participaciones y vales, los registros de envío de los emails del servicio, si abres el enlace a Google de la invitación a opinar y, si felicitas a alguien del equipo, a quién, sin que el restaurante sepa que has sido tú, y un identificador técnico de tu navegador para prevenir el fraude. La base es la ejecución de las condiciones que aceptas al participar (Anexo B de los Términos y condiciones). El restaurante ve tu nombre y tu email solo si tienes un vale suyo. Los plazos de conservación están en el apartado B.12 del Anexo B. Para ejercer tus derechos, escribe a privacy@findthebutton.xyz.

La foto del ticket la lee Google (Gemini) por cuenta de Button (apartado 9). Si pulsas «Opinar en Google», leemos con SerpAPI las reseñas nuevas del restaurante en Google y comparamos, solo en memoria, el nombre público de su autor con tu nombre y apellido, para contar cuántas opiniones llegan desde la web del restaurante. No guardamos ni el autor ni el texto de esas reseñas, y el restaurante solo ve recuentos.

6. Qué ven los restaurantes y tus amigos en la app

Cuando tienes una interacción con un restaurante en la app (un check-in o una visita), el restaurante puede ver datos tuyos desde el panel de Button, según lo que elijas:

• Modo básico (por defecto): tu ticket medio, tu gasto de los últimos 90 días, tu estancia media y tus preferencias; y tus últimos 5 check-ins o visitas con su importe, pero sin el nombre de los otros restaurantes (solo su categoría).
• Modo ampliado (solo con tu consentimiento): además, el nombre de esos restaurantes y los tickets de hasta 5 visitas.
• Si retiras el consentimiento, el restaurante vuelve a ver solo el modo básico. Puedes cambiarlo en los ajustes de la app.
• El restaurante accede solo desde el panel de Button, con acceso por roles y una ventana de tiempo ligada a la interacción, y cada acceso queda registrado. No está permitido exportar estos datos ni usarlos para marketing fuera de Button.

Tus amigos en la app ven por defecto tus visitas y tus reseñas, sin importes. Puedes desactivarlo en los ajustes.

7. Contactos de restaurantes y clientes de restaurantes («Audiencia»)

Contactos profesionales. Cuando trabajamos o queremos trabajar con un restaurante, tratamos los datos de contacto profesional de quienes lo dirigen (propietarios, chefs, gerentes): nombre, cargo, email y teléfono profesionales y dirección del local. Los obtenemos de ti, si nos contactas o te registras en el panel, y de fuentes públicas: la web y las redes del restaurante, la prensa, directorios y fichas públicas. Para preparar nuestras propuestas comerciales, una herramienta interna busca en la web con Gemini y la Búsqueda de Google información pública sobre el restaurante y sobre su chef o propietario (trayectoria, entrevistas y premios). La base es nuestro interés legítimo en dirigirnos a negocios del sector (art. 6.1.f RGPD).

Clientes de restaurantes («Audiencia»). Los restaurantes cuyo plan lo incluye pueden añadir a su panel contactos de sus clientes, por ejemplo de sus reservas: nombre, email, teléfono, empresa y ciudad. En «Audiencia» el responsable del tratamiento es el restaurante, y Button lo trata por su cuenta, como encargado (art. 28 RGPD): según sus instrucciones y solo para él, sin usar los datos que sube un restaurante para otro. Antes de añadir contactos, el restaurante confirma en el panel que tiene una base jurídica para tratarlos y que ha informado a sus clientes.

Cómo funciona. Nuestra herramienta OSI envía a Google (Gemini, con la Búsqueda de Google) el nombre, la empresa, la ciudad y el país de la persona y, si su email es de una empresa, el dominio de ese email; nunca el email completo ni el teléfono. Con ello Google busca en internet información pública sobre la persona. OSI extrae el texto de la web de su empresa, por sí misma o con Tavily, que recibe la dirección de esa web, y puede consultar su perfil profesional de LinkedIn a través de ScrapIn, que recibe la dirección del perfil. A partir de todo ello, Gemini deduce su cargo y su empresa, le asigna un nivel de cliente y estima un rango de ingresos. El restaurante ve en su panel ese resultado y el razonamiento que lo explica.

Plazos. Lo que se encuentra sobre la persona (fragmentos y direcciones de internet, el perfil de LinkedIn y el texto de la web de su empresa) se borra a los 90 días. El perfil resultante se conserva mientras el contacto siga en el panel del restaurante y se borra cuando el restaurante borra el contacto o su cuenta.

Si eres uno de esos clientes, no nos diste tú los datos: nos los dio el restaurante del que eres cliente, y los completamos por su cuenta con las fuentes públicas citadas. Es el restaurante quien debe informarte de este análisis (art. 14 RGPD) y atender tus derechos.

Tus derechos. Si eres un contacto profesional, puedes pedirnos acceso a tus datos, su rectificación o su supresión, y oponerte en cualquier momento escribiendo a privacy@findthebutton.xyz; si te opones, dejamos de usarlos para este fin. Si eres cliente de un restaurante en «Audiencia», dirígete a ese restaurante; si nos escribes a privacy@findthebutton.xyz, le trasladaremos tu solicitud y le ayudaremos a atenderla.

8. Con quién compartimos los datos

Trabajamos con proveedores que tratan datos por nuestra cuenta (encargados del tratamiento, art. 28 RGPD), solo para prestarnos su servicio:

• Infraestructura: Google Cloud (servidores, almacenamiento de fotos y ficheros, DNS), MongoDB Atlas (bases de datos) y OVH (entorno de pruebas e integración continua).
• Cuentas y notificaciones: Firebase, de Google (inicio de sesión y notificaciones push). Trata tu email y, si inicias sesión con Google, los datos básicos de esa cuenta.
• Analítica y atribución: PostHog (uso de la web, con tu consentimiento, y de la app; en el panel web, si aceptas la analítica, recibe también el email y el nombre de la cuenta) y Airbridge, de AB180 (atribución de las instalaciones de la app, con identificadores del dispositivo y datos técnicos, sin tu nombre, email ni teléfono).
• Email: Mailchimp, de Intuit (newsletter, solo con tu consentimiento) y Resend (emails del servicio, como los de las webs de restaurante y los de tu cuenta).
• Pagos: Stripe (cobro de las suscripciones del panel).
• Inteligencia artificial: OpenAI, Google (Gemini), xAI y Anthropic, en los usos del apartado 9.
• Recogida de datos públicos: Apify y SerpAPI (reseñas y fichas públicas de restaurantes en TheFork, TripAdvisor y Google Maps, que incluyen el nombre o alias de sus autores), Google Maps Platform y la TripAdvisor Content API (fichas de restaurantes), y ScrapIn y Tavily (perfil profesional de LinkedIn y web de la empresa de los clientes de «Audiencia», que tratan como subencargados por cuenta del restaurante, apartado 7).
• Venta de entradas de eventos: Zibarit. Si compras una entrada desde nuestras páginas de eventos, introduces tus datos en el formulario de Zibarit integrado en la página y es Zibarit quien los trata.

Meta Platforms Ireland Ltd. (medición de campañas publicitarias): si autorizas el seguimiento en la app, compartimos con Meta el identificador publicitario de tu dispositivo, datos técnicos del terminal y los eventos de instalación y apertura de la app, para atribuir las instalaciones a los anuncios que las originaron. Meta no actúa como encargado nuestro: trata esos datos también para sus propios fines, conforme a sus condiciones y a su política de privacidad. No le enviamos tu nombre, email ni teléfono. Si no autorizas el seguimiento, no se comparte el identificador.

Restaurantes: en la app, lo descrito en el apartado 6; en las webs de restaurante, lo del apartado 5; en «Audiencia», que tratamos por su cuenta, el perfil de sus clientes del apartado 7.

Autoridades (juzgados, AEPD, Agencia Tributaria, fuerzas de seguridad), cuando una ley nos obligue.

9. Inteligencia artificial

Usamos servicios de inteligencia artificial de terceros en muchas funciones, y lo que les enviamos incluye a menudo datos personales:

• Asistente de chat (xAI, Grok). En la app: tus mensajes y el historial de la conversación, tu idioma, tu zona horaria y tu plataforma y, si la compartes, tu ubicación precisa (a unos 11 metros); para responder, también el nombre de tus amigos (nombre e inicial del apellido) y el nombre completo de los autores de guías. En el chat de la web: tus mensajes, el nombre y el apellido de tus amigos y extractos de reseñas con el nombre de pila de su autor.
• Lectura de tickets (Google, Gemini). La imagen completa del ticket que subes en la app, en el panel o en una web de restaurante, con los metadatos que lleve la foto.
• Textos de la app (Google, Gemini). El texto de tu reseña cuando usas el asistente para redactarla o pulirla, y otros textos libres que pides pulir.
• Resumen y platos destacados de cada restaurante (Google, Gemini). El texto de las reseñas publicadas en la app (sin el nombre de su autor) y de reseñas públicas de otras plataformas.
• Recomendaciones y búsqueda (OpenAI). Tus búsquedas y tu perfil de gustos, para calcular representaciones numéricas (embeddings) con las que encontrar restaurantes afines.
• Panel para restaurantes (Google, Gemini; Anthropic). El planificador de turnos envía a Gemini los nombres, roles, horarios, vacaciones y notas de los empleados; el informe quincenal, el nombre del titular de la cuenta; y las herramientas de marketing y de imágenes, las fotos que sube el restaurante con sus metadatos. Anthropic recibe los datos de marca del restaurante para redactar sus publicaciones.
• Reseñas públicas para Button Intelligence y los estudios de zona (Google, Gemini). El texto de reseñas de Google Maps, TripAdvisor y TheFork, que puede contener nombres u otros datos que haya escrito su autor.
• Alta de restaurantes (OpenAI). Los datos públicos de la ficha de Google Maps del restaurante, que pueden incluir reseñas con el nombre de su autor.
• Contactos y clientes de restaurantes (Google, Gemini, con la Búsqueda de Google). Los datos del apartado 7. En «Audiencia», por cuenta del restaurante: para buscar, el nombre, la empresa, la ciudad y el país del cliente y el dominio de su email si es de una empresa, nunca el email completo ni el teléfono; para el perfil, lo que se encuentra sobre él en internet y, si se consulta, su perfil de LinkedIn.
• Contenidos sobre restaurantes (Google, Gemini; OpenAI). Descripciones, cartas, traducciones y clasificación de cocina a partir de datos de los restaurantes.

Cuando la función usa la Búsqueda de Google, Google hace búsquedas en internet con los datos que recibe. Estos proveedores tratan los datos según sus condiciones para clientes de su API. Los que los tratan fuera del EEE se indican en el apartado 10, y los perfiles y clasificaciones que hace la IA, en el apartado 15.

10. Transferencias internacionales

Los datos del producto se guardan en la Unión Europea: los servidores de Google Cloud en Bélgica, la base de datos principal en MongoDB Atlas en la UE, el entorno de pruebas en OVH (Francia) y la analítica de PostHog de nuestras webs en su región de la UE.

Algunos proveedores tratan datos fuera del Espacio Económico Europeo (EEE):

• Estados Unidos: la base de datos de reseñas públicas (MongoDB Atlas en EE. UU.), Mailchimp, Resend, OpenAI, xAI, Anthropic, SerpAPI y Meta; y, con infraestructura global, Firebase, Gemini y Stripe.
• Corea del Sur: Airbridge (AB180), país con decisión de adecuación de la Comisión Europea.
• Otros: Apify, ScrapIn, Tavily y Zibarit pueden tratar datos fuera del EEE.

Estas transferencias se amparan en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas a él) o en las cláusulas contractuales tipo aprobadas por la Comisión. Puedes pedirnos información sobre la garantía aplicada a cada proveedor en privacy@findthebutton.xyz.

11. Cuánto tiempo guardamos los datos

• Cuenta de la app, amigos y ajustes: mientras la cuenta esté activa. Al borrarla, eliminamos o anonimizamos tus datos, salvo los que debamos conservar por ley.
• Imagen del ticket en la app: 12 meses. Datos leídos del ticket: mientras la cuenta esté activa; se anonimizan en los 90 días siguientes a su cierre.
• Reseñas y otros contenidos: hasta que los borres o cierres la cuenta.
• Conversaciones con el asistente de chat: 30 días.
• Identificador publicitario y datos de atribución: mientras la cuenta esté activa; se suprimen al eliminarla. Los plazos de Meta y Airbridge se rigen por sus propias políticas.
• Registro de accesos de restaurantes a tus datos: entre 12 y 24 meses.
• Webs de restaurante: los plazos del apartado B.12 del Anexo B de los Términos.
• Felicitaciones al equipo y clics en la invitación a opinar (webs de restaurante): 25 meses. La felicitación guarda a quién del equipo felicitas y el minuto, sin tu nombre ni tu email; mientras exista tu participación (24 meses) sigue unida a ella. El clic en el enlace a Google se guarda sin identificarte; en el registro del email del premio, que guarda si lo abriste, 12 meses.
• Newsletter: hasta que te des de baja.
• Solicitudes de contacto, dossier y listas de espera: el tiempo necesario para atenderlas y para la relación que surja de ellas.
• Soporte: 24 meses desde la última comunicación.
• Panel y facturación: mientras dure el contrato; las facturas, 6 años (art. 30 del Código de Comercio).
• Empleados del planificador de turnos: mientras la persona esté en el equipo; al retirarla o al borrar la cuenta del restaurante se borran sus datos. Los cuadrantes generados, 24 meses desde el final de su semana.
• «Button or not»: hasta que pidas que borremos tus votos o cerremos el juego.
• Contactos profesionales: mientras sean útiles para la relación comercial con el restaurante, o hasta que te opongas.
• Clientes de restaurantes («Audiencia»): lo que se encuentra sobre la persona, 90 días; el perfil, mientras el restaurante mantenga el contacto en su panel. Ambos se borran cuando el restaurante borra el contacto o su cuenta.
• Reseñas públicas: mientras el análisis del restaurante en Button Intelligence esté activo.
• Datos agregados o anonimizados: sin plazo, porque ya no identifican a nadie.

Al terminar cada plazo, podemos conservar los datos bloqueados, solo a disposición de jueces y autoridades, durante el plazo de prescripción de las responsabilidades que puedan derivarse del tratamiento.

12. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento cuando el tratamiento se base en él, sin que eso afecte a lo tratado antes.

Escribe a privacy@findthebutton.xyz indicando qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, te pediremos lo necesario para comprobarla. Respondemos en un mes, ampliable en dos meses más si la solicitud es compleja.

Si se trata de datos de una promoción de una web de restaurante o de «Audiencia», que tratamos por cuenta del restaurante, puedes dirigirte al restaurante o a nosotros; si nos escribes, le trasladaremos tu solicitud.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es.

13. Menores

La app no está dirigida a menores de 16 años. Para participar en las promociones de las webs de restaurante hay que tener al menos 18 años (Anexo B de los Términos). Si detectamos una cuenta de una persona que no cumple la edad mínima, podemos desactivarla y borrar sus datos.

14. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado de las comunicaciones (HTTPS), control de acceso por roles con el mínimo privilegio necesario, registro de los accesos de los restaurantes a los datos de clientes y credenciales de los servidores guardadas cifradas. Ningún sistema es totalmente seguro: si sufrimos una brecha que suponga un riesgo para tus derechos, la notificaremos a la AEPD y, cuando la ley lo exija, a ti.

15. Decisiones automatizadas y perfiles

Creamos perfiles de tus preferencias para recomendarte restaurantes y personalizar la app. En las webs de restaurante, la lectura automática del ticket comprueba si tu participación cumple las condiciones de la promoción. En «Audiencia» (apartado 7), la IA clasifica por cuenta del restaurante a sus clientes en niveles y estima su rango de ingresos a partir de información pública, y el restaurante ve el resultado; el restaurante se compromete a no usarlos para tomar decisiones basadas únicamente en ellos que tengan efectos significativos sobre sus clientes.

No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa (art. 22 RGPD). Puedes pedirnos que te expliquemos la lógica general de estos perfiles y que una persona revise una decisión o una clasificación que te afecte, como la lectura de un ticket o el perfil de «Audiencia», escribiendo a privacy@findthebutton.xyz.

16. Cookies y SDK de las apps

En nuestras webs usamos PostHog, con servidores en la Unión Europea, para medir cuántas personas visitan las páginas y qué pulsan. Solo se activa si lo aceptas en el aviso de cookies; entonces guarda un identificador en tu navegador. No usamos cookies publicitarias. Puedes aceptarlo, rechazarlo o retirar tu consentimiento cuando quieras desde «Configurar cookies», al pie de cada página.

Consulta la política de cookies

Apps móviles. La app integra SDK de terceros para funcionar y para medir: Firebase (inicio de sesión, notificaciones, almacenamiento e informes de errores), Google Sign-In (inicio de sesión), PostHog (analítica de uso), y Airbridge y Meta (atribución y medición de campañas). Estos dos últimos solo reciben tu identificador publicitario si autorizas el seguimiento: en iOS te lo pedimos con App Tracking Transparency y en Android con una petición equivalente dentro de la app. Puedes retirar la autorización cuando quieras desde los ajustes del dispositivo (en iOS, Ajustes → Privacidad y seguridad → Seguimiento; en Android, los ajustes de anuncios). Al retirarla dejamos de compartir tu identificador publicitario.

17. Cambios en esta política

Publicamos cualquier cambio en esta página y actualizamos la fecha de la versión. Si el cambio es importante, te avisaremos además en la app o por email y, si la ley lo exige, te pediremos de nuevo el consentimiento.