1. Quiénes somos
La plataforma Kartalik (el “Servicio”) está editada por NOVASTACK SARL, con un capital social de 100 000 MAD, inscrita en el Registro Mercantil de Marrakech con el n.º 185521, con domicilio social en APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech (el “Editor”, “nosotros”). El Servicio permite a los restaurantes y comercios ofrecer tarjetas de fidelidad digitales en Apple Wallet y Google Wallet.
NOVASTACK SARL declara ante la Comisión Nacional de Control de la Protección de Datos de Carácter Personal de Marruecos (CNDP) los tratamientos realizados en la plataforma — cuentas de comerciantes y de su personal, suscripciones y este sitio; programas de fidelidad y tarjetas de visita digitales operados con los comerciantes; y las transferencias a su proveedor de alojamiento y a Apple y Google. Los números de recibo se publicarán aquí en cuanto se expidan.
2. Quién es responsable de sus datos
Si usted es un cliente titular de una tarjeta de fidelidad: el establecimiento que le ofrece la tarjeta y el Editor son conjuntamente responsables de sus datos. El establecimiento decide abrir su programa y solo ve a sus propios clientes; el Editor opera la plataforma, protege sus datos y declara el tratamiento ante la CNDP.
Si es usted un comerciante usuario del Servicio: el Editor es el responsable del tratamiento de sus datos de cuenta.
Si trabaja para un comerciante y dispone de una cuenta de gestor de escaneo: el Editor es el responsable del tratamiento de su cuenta y de sus registros de inicio de sesión y de seguridad. El establecimiento que creó su cuenta decide quién recibe una, y ve la cuenta y las visitas que registró.
Si ha dejado sus datos de contacto en una tarjeta de visita digital: la empresa cuya tarjeta escaneó y el Editor son conjuntamente responsables, con el mismo reparto — la empresa recibe sus datos, el Editor opera la plataforma y declara el tratamiento.
3. Qué datos recopilamos
Para los titulares de una tarjeta de fidelidad — únicamente lo que pide el formulario de inscripción y lo que produce el uso de la tarjeta:
- identidad y contacto: nombre, apellidos, número de teléfono y — solo si decide facilitarlos — dirección de correo electrónico y fecha de cumpleaños;
- su tarjeta: la cartera que eligió (Apple o Google), su saldo de puntos y si la tarjeta está instalada en su cartera;
- sus visitas: fecha y hora de cada escaneo, puntos otorgados, el importe pagado, una nota opcional escrita por el cajero y la ubicación del punto de venta donde se realizó el escaneo;
- pruebas de consentimiento: cuándo aceptó la presente política, qué versión aceptó, si dio su consentimiento para recibir mensajes de marketing y la fecha de esa respuesta, incluida la fecha de su retirada, si la hubiera.
- si se unió a través de la tarjeta de otro cliente: qué invitación de cliente utilizó y, si decidió indicarlo, el tipo de vínculo que tiene con esa persona (familia, amistad, colega, vecindad, otro) — su nombre nunca se le muestra a usted, y el suyo solo se muestra al establecimiento;
En el formulario de inscripción, solo son obligatorios su nombre, sus apellidos y su número de teléfono — sin ellos la tarjeta no puede crearse ni volver a encontrarse en caja. Su dirección de correo electrónico y su fecha de cumpleaños son opcionales: déjelas en blanco y la tarjeta funcionará exactamente igual, simplemente no recibirá el correo de bienvenida ni la oferta de cumpleaños.
Para los comerciantes: los datos de cuenta facilitados al registrarse (nombre, correo electrónico, teléfono, nombre y dirección del establecimiento, puntos de venta), una foto de perfil si la añade, sus solicitudes de suscripción (plan, número de teléfono, mensaje), sus suscripciones y pagos, la fecha de aceptación de las condiciones, sus registros de inicio de sesión, la posición del dispositivo en el momento de un escaneo (utilizada solo para comprobar que el escaneo se realiza en el punto de venta, nunca conservada) y el contenido de cualquier tarjeta de visita digital que publique (nombre, cargo, empresa, teléfono, correo electrónico, enlaces, foto).
Para los gestores de escaneo: la dirección de correo electrónico y el número de teléfono que introduce el establecimiento al crear su cuenta, el nombre, los apellidos y la foto de perfil que usted mismo añade, el establecimiento al que se le ha asignado y sus registros de inicio de sesión. Cada escaneo queda registrado a nombre de la cuenta que lo realizó, de modo que el establecimiento puede ver cuál de sus cuentas registró cada visita. El establecimiento decide quién dispone de una cuenta y puede desactivarla; para ejercer sus derechos sobre la propia cuenta, escríbanos (sección 8).
No recopilamos nada más: ni rastreadores de navegación, ni perfiles publicitarios, ni datos comprados a terceros.
3.1 Las tarjetas de fidelidad son para mayores de edad
Debe tener al menos 18 años para inscribirse. El formulario de inscripción le pide confirmarlo y rechaza una fecha de nacimiento que indique lo contrario. No recabamos conscientemente los datos de un menor: si cree que los datos de un niño han llegado hasta nosotros, comuníquelo al establecimiento o escriba a contact@kartalik.com y los suprimiremos.
3.2 Su tarjeta y su ubicación
Su tarjeta puede aparecer en la pantalla de bloqueo de su teléfono cuando se encuentra cerca de uno de los puntos de venta del establecimiento. Se trata de una función de la cartera, no de un seguimiento: las direcciones de los puntos de venta están escritas en la propia tarjeta, y Apple Wallet o Google Wallet las compara con su posición dentro de su propio teléfono. Su ubicación no se nos envía nunca y nunca la almacenamos. Puede desactivar este comportamiento en los ajustes de la cartera de su teléfono sin que ello afecte a la tarjeta.
Las coordenadas guardadas junto a una visita son las del punto de venta, registradas para que el establecimiento pueda distinguir sus sucursales en sus estadísticas. Indican dónde estaba la caja, no dónde estaba usted.
3.3 Si ha dejado sus datos de contacto en una tarjeta de visita digital
Una tarjeta de visita digital le transmite los datos de su titular; abrirla no recoge nada sobre usted. A la empresa se le indica que su tarjeta ha sido abierta —una más en un recuento, con la fecha y si la tarjeta se abrió por código QR, por enlace o desde un pase del wallet— y no se registra nada sobre la persona que la abrió: ni nombre, ni dirección, ni dispositivo, ni siquiera de forma encubierta. Si después decide entregarle los suyos, el formulario pide su nombre, un número de teléfono o una dirección de correo electrónico —basta con uno de los dos— y su empresa si la indica, junto con el momento en que marcó la casilla de consentimiento y la versión de esta política que se le mostró. Sin esa casilla marcada, el formulario rechaza el envío: no se pueden dejar datos por accidente.
También registramos por qué camino le llegó la tarjeta: si la abrió mediante un enlace que alguien compartió, la empresa ve que su tarjeta le llegó a través de esa persona. Lo que ve es la cadena de compartidos, no sus desplazamientos, y quien no deja ningún dato de contacto sigue siendo un punto anónimo de esa cadena, sin nombre, sin número de teléfono y sin dirección de correo electrónico asociados.
Lo que usted deja va a esa empresa y a nuestro proveedor de alojamiento, y a ningún otro sitio: nunca se escribe en un pase de Apple Wallet o Google Wallet, nunca se envía a Apple ni a Google, y nunca se utiliza para enviarle nada que esa empresa no nos haya pedido enviar.
4. Por qué los tratamos
- crear su tarjeta de fidelidad y entregarla en Apple Wallet o Google Wallet — sobre la base del consentimiento que otorga en el formulario de inscripción;
- registrar sus visitas y mantener correcto su saldo de puntos — el núcleo del programa de fidelidad al que se ha adherido;
- enviarle las novedades y ofertas del establecimiento en su tarjeta — únicamente si lo ha consentido por separado, consentimiento que puede retirar en cualquier momento;
- enviarle un correo de bienvenida cuando facilita una dirección de correo electrónico;
- para registrar, cuando se une a través de la tarjeta de otro cliente, que llegó por ese cliente y el tipo de vínculo que decidió declarar — para que el establecimiento vea cómo circula su tarjeta y agradezca al cliente que la compartió con los puntos que decidió ofrecer;
- entregar sus datos de contacto a la empresa cuya tarjeta de visita digital escaneó, y mostrarle cómo circuló su tarjeta, sobre la base del consentimiento que usted da en ese formulario;
- gestionar las cuentas de comerciante, las suscripciones y el soporte — ejecución del contrato celebrado con el comerciante;
- garantizar la seguridad del Servicio (autenticación, prevención del fraude en los escaneos, registros de acceso).
5. Quién recibe sus datos
Sus datos solo se comparten con los destinatarios necesarios para el funcionamiento del Servicio:
- Apple Inc. (Apple Wallet) o Google LLC (Google Wallet), según el wallet elegido: su nombre, el identificador de su tarjeta, su saldo de puntos y el contenido de la tarjeta se les transmiten para mostrar y actualizar la tarjeta en su teléfono. Ambos están establecidos en Estados Unidos. Para una tarjeta de fidelidad, esta transferencia solo tiene lugar con el consentimiento que da al inscribirse; para una tarjeta de visita digital que añade a su propio wallet, es necesaria para ejecutar nuestro contrato con usted (art. 44);
- Hostinger International Ltd., nuestro proveedor de alojamiento y de correo electrónico, cuyos servidores están situados en la Unión Europea, en un país reconocido por la CNDP como garante de un nivel de protección adecuado — aloja el Servicio y entrega los correos transaccionales descritos anteriormente;
- si es comerciante: nuestro contable externo y la administración tributaria reciben sus datos de facturación (nombre, dirección, pagos) cuando la normativa contable y fiscal lo exige;
- si es comerciante: al situar su establecimiento en el mapa del panel, su navegador carga el mapa y la búsqueda de direcciones directamente desde OpenStreetMap (OpenStreetMap Foundation, Reino Unido) — este ve la dirección de su navegador como cualquier sitio que visita, y ningún dato de sus clientes;
- el establecimiento que emitió su tarjeta, que ve en su panel los datos de sus propios clientes.
Nunca vendemos sus datos y nadie más los recibe — salvo cuando la ley exija su comunicación a una autoridad competente.
6. Mensajes de marketing
Los mensajes de marketing — en su tarjeta o por correo electrónico — solo se envían a los clientes que hayan dado expresamente su consentimiento en el formulario de inscripción (ley 09-08, art. 10). Los mensajes relativos a su propia tarjeta — la actualización de los puntos tras una visita — forman parte del Servicio y no son marketing. Puede retirar su consentimiento de marketing en cualquier momento solicitándolo al establecimiento o escribiendo a contact@kartalik.com, y eliminar la tarjeta de su cartera detiene de inmediato los mensajes en la tarjeta.
7. Cuánto tiempo los conservamos
- su tarjeta y sus datos de identidad: mientras utilice la tarjeta y, en todo caso, como máximo 36 meses después de su última visita; transcurrido ese plazo, su nombre, apellidos, número de teléfono, dirección de correo electrónico y fecha de nacimiento se suprimen automáticamente. La supresión también se produce antes, en cuanto la solicite;
- su historial de visitas, incluidas las ubicaciones de los escaneos: mientras utilice su tarjeta — nunca se elimina por su antigüedad; una vez suprimida su identidad, los registros permanecen sin nada que le nombre;
- registros técnicos de la cartera (callbacks de entrega, registros push de tarjetas eliminadas): 90 días y 6 meses respectivamente;
- el registro de los mensajes de campaña entregados en su tarjeta: 90 días después de la campaña, y se elimina de inmediato al borrarse su tarjeta;
- un contacto dejado en una tarjeta de visita digital, y el punto que ocupa en la cadena de compartidos: se conservan hasta que la empresa los borre o elimine la tarjeta. No hay caducidad automática —un intercambio de tarjetas de visita está pensado para durar—, de modo que el borrado se produce cuando se solicita;
- datos de la cuenta de comerciante: durante toda la vida de la cuenta y, después, los plazos exigidos por el derecho mercantil marroquí;
- cuentas de gestor de escaneo: mientras el establecimiento mantenga la cuenta y hasta que la elimine;
- registros técnicos: 30 días.
La finalización de una suscripción no elimina nada: únicamente desconecta la tarjeta de fidelidad, de modo que pueda restablecerse exactamente tal como estaba. La supresión se produce cuando se solicita — por usted o por el establecimiento que cierra su cuenta — y, en el caso de una tarjeta sin uso, automáticamente a los 36 meses.
8. Sus derechos
La ley 09-08 le confiere el derecho de acceder a sus datos, de rectificarlos, de oponerse a su tratamiento — incluido el marketing — y de suprimirlos.
Si es titular de una tarjeta de fidelidad, diríjase al establecimiento que la emitió — su panel borra sus datos personales en el acto — o escriba a contact@kartalik.com: le respondemos directamente, damos acceso sin demora y realizamos las rectificaciones en un plazo de diez días francos, como exige la Ley 09-08.
Si es comerciante o titular de una cuenta de gestor de escaneo, escriba a contact@kartalik.com para los datos de su propia cuenta: en ese caso somos nosotros el responsable del tratamiento y le respondemos directamente. Damos acceso sin demora y realizamos las rectificaciones en un plazo de diez días francos, como exige la Ley 09-08.
La supresión elimina su nombre, sus apellidos, su número de teléfono, su dirección de correo electrónico y su fecha de cumpleaños, cierra la tarjeta y cancela los registros de notificación de su teléfono. Los registros de visitas se conservan para las estadísticas del establecimiento, despojados de todo lo que le identifica. Estar despojado de identificadores no equivale a ser anónimo: mientras siga teniendo el pase en su teléfono, un vínculo con esos registros sigue siendo teóricamente posible y los tratamos en consecuencia.
Si ha dejado sus datos de contacto en una tarjeta de visita digital, diríjase a la empresa de la que era la tarjeta, o escriba a contact@kartalik.com. El borrado suprime su nombre, su número de teléfono, su dirección de correo electrónico y su empresa; el punto que ocupa en la cadena de compartidos permanece, despojado de todo lo que le identifica, para que no se rompa la cadena de nadie más.
Si considera que sus derechos no se respetan, puede presentar una reclamación ante la CNDP (www.cndp.ma).
9. Cómo los protegemos
Todo el tráfico está cifrado (HTTPS/TLS). El acceso a sus datos exige autenticación y está limitado por perfil; cada establecimiento solo ve a sus propios clientes. Las contraseñas se almacenan con hash, los secretos sensibles de las tarjetas se cifran en reposo y los escaneos están protegidos frente a la falsificación mediante códigos firmados de un solo uso.
10. Uso de cookies
El Servicio solo utiliza cookies estrictamente necesarias para su funcionamiento: su sesión de inicio de sesión, su idioma y su preferencia de tema claro/oscuro. No hay cookies analíticas ni publicitarias, por lo que no se requiere ningún banner de cookies.
11. Evolución de la presente política
Podemos actualizar la presente política a medida que evoluciona el Servicio; la fecha indicada más arriba refleja siempre la última versión. Toda modificación sustancial se anuncia en el Servicio antes de su entrada en vigor.
12. Contacto
Para cualquier consulta sobre la presente política o sus datos: contact@kartalik.com — APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech.
Condiciones Generales de Uso y Venta · Acuerdo de tratamiento de datos · Aviso legal