Política de Privacidad – RatingIt

1. ¿Quién es el responsable del tratamiento?

RatingIt, S.L.
N.I.F.: B22572440
Domicilio social: C/ Cirilo Amorós, nº 6, entlo. 1ª, 46004. Valencia, España.
Correo electrónico: dpo@ratingit.app

Si desea contactar con nosotros en relación con sus Datos personales puede hacerlo en la dirección indicada en el punto anterior.

El Responsable del Tratamiento será referido alternativamente como “RatingIt”, el “Responsable”, “Plataforma” o “nosotros”.

2. Introducción

RatingIt es propietaria del dominio www.ratingit.app, de esta página web y de la app, así como de cualquier otro tipo de programa informático desarrollado, operado y/o mantenido por RatingIt (en adelante la “Plataforma”).

Mediante el presente texto se pone a disposición del Usuario (en adelante también referido como “Usuario”, “Interesado” o “usted”) la Política de Privacidad de RatingIt con objeto de describir la información personal que recogemos, el propósito con el que la usamos y, en general, los procesos y formas en que la tratamos durante el transcurso del uso y/o de la Plataforma por parte de los Usuarios (tanto registrados como no registrados según los tratamientos) durante su navegación a través de la misma. Esta Política aplica a Usuarios ubicados en la Unión Europea/EEE y en el Reino Unido y se interpreta conforme al Reglamento (UE) 2016/679 (RGPD) y, en el Reino Unido, al UK GDPR junto con la Data Protection Act 2018.

RatingIt podrá poner a disposición del Usuario la presente Política de Privacidad en distintos idiomas. En dicho caso, la presente versión en español será la que prevalezca en caso de conflicto interpretativo.

3. Tratamiento de datos personales por cuenta de nuestros clientes

Cuando la Plataforma es integrada por nuestros clientes finales dentro de su actividad empresarial en virtud de un contrato de servicios, la Plataforma tratará los datos personales para la prestación de los servicios por cuenta de dichos clientes, actuando como Encargado del Tratamiento.

En dicho caso, será el referido cliente el Responsable del tratamiento de los datos personales que comparte con, o que introduzca en la Plataforma.

El tratamiento de datos personales por parte de RatingIt como Encargado del Tratamiento no se regirá por la presente Política de privacidad, sino por lo dispuesto en el contrato de prestación de servicios entre la Plataforma y el cliente final, conforme con las instrucciones y finalidades especificadas en el mismo, así como en el Acuerdo específico de Encargo del Tratamiento y con la política de privacidad del cliente final que integra nuestros servicios, en cumplimiento con la normativa vigente en materia de protección de datos.

4. Tratamientos y finalidades para las que tratamos sus datos como responsables del tratamiento

Tratamientos que realizamos como Responsables del Tratamiento:

4.1. Funcionalidad de la Plataforma

• Finalidad: permitir el uso de la Plataforma y la navegación por la misma, garantizar el correcto funcionamiento, permitir actualizaciones y mantenimientos técnicos, mejorar la navegabilidad, seguridad y rendimiento.
• Categorías de datos tratados:
  • Datos de uso de la Plataforma y datos de la aplicación y del dispositivo: datos de navegación y uso, dirección IP, preferencias de uso, visitas realizadas, idioma, información del dispositivo, tipo de navegador, tipo de dispositivo y sistema operativo, ubicación aproximada (región y país), cookies y datos estadísticos anonimizados.
  • Si el Usuario llega a la Plataforma desde una fuente externa (p. ej., enlace en web o red social de terceros), se recopilará información estadística y anónima sobre dicha fuente para comprender mejor el origen del tráfico y mejorar estrategias de marketing y posicionamiento.
• Categorías de Interesados: Usuarios registrados y no registrados que hagan uso de la Plataforma.
• Método de obtención: compartidos por el Usuario a través de la navegación por la Plataforma.
• Bases de legitimación: interés legítimo (RGPD/UK GDPR) en garantizar el funcionamiento adecuado, actualizado y seguro de la Plataforma y conocer el origen del tráfico; o consentimiento del Usuario cuando sea necesario (p. ej., cookies no necesarias).
• Periodo de retención: Datos de uso durante un máximo de 12 meses desde su recogida conforme a la Ley 25/2007; transcurrido el plazo, se eliminarán salvo requerimiento de autoridad. Los datos estadísticos anonimizados podrán conservarse indefinidamente.

4.2. Seguridad y prevención de fraudes

• Finalidad: garantizar la seguridad de los Usuarios, prevenir fraudes, realizar investigaciones y usar la información para posibles reclamaciones propias o de terceros. Este tratamiento incluye:
  • Recopilación de datos de tráfico: IPs, tipo de navegador, páginas visitadas, tiempo de permanencia y otros datos de navegación.
  • Análisis de patrones de comportamiento para detectar comportamientos inusuales o sospechosos.
  • Detección de amenazas mediante sistemas de detección de intrusiones y análisis en tiempo real.
  • Verificación de identidad apoyada en datos de tráfico para asegurar accesos y transacciones legítimas.
  • Mantenimiento de registros detallados de accesos y actividades para auditorías y respuesta a incidentes.
  • Colaboración con autoridades competentes cuando proceda, en cumplimiento de obligaciones legales.
• Categorías de datos tratados: datos de navegación y uso, dirección IP, registros de acceso, intentos fallidos de inicio de sesión y actividad sospechosa, información del dispositivo, tipo de navegador, tipo de dispositivo y sistema operativo, ubicación aproximada (región y país).
• Categorías de Interesados: Usuarios que hagan uso de la Plataforma.
• Método de obtención: compartidos por el Usuario a través de la navegación por la Plataforma.
• Base legitimadora aplicable: cumplimiento de obligaciones legales relativas al registro de acceso y actividad; interés legítimo en investigar, detectar, prevenir y perseguir el fraude, proteger intereses propios o de terceros, defenderse ante posibles reclamaciones y garantizar el funcionamiento correcto y seguro.
• Plazo de retención: registros de acceso y actividad durante 1 año conforme a la Ley 25/2007; posteriormente podrán bloquearse durante los plazos legales de conservación y prescripción si hubiera riesgo de reclamación.

4.3. Prestación de los servicios contratados

• Finalidad: garantizar la prestación de los servicios de la Plataforma (valorar productos, publicar reseñas, obtener puntos, participar en rankings y sorteos), gestionar solicitudes y comunicaciones operativas, registro y autenticación, gestión de pagos y demás tratamientos necesarios para ejecutar el contrato. Con consentimiento y configuración del dispositivo, envío de notificaciones push.

  Las reseñas públicas se compartirán dentro de la Plataforma y serán visibles para el resto de Usuarios, incluyendo el nombre de usuario. No se compartirán otros datos personales salvo que el Usuario los introduzca voluntariamente como parte de su nombre de usuario.

• Categorías de datos tratados:
  • Datos de registro: nombre de usuario y contraseña (no se requieren nombre y apellidos u otros datos salvo inclusión voluntaria).
  • Datos de contacto: dirección de correo electrónico.
  • Información del servicio: valoraciones y reseñas realizadas.
  • Región del Usuario: asignada por IP a la región disponible más cercana; el Usuario puede cambiarla en Settings.
  • Datos de acceso de Usuarios registrados. Si el registro se realiza con Apple o Google, RatingIt recibe ciertos datos asociados a esa cuenta (avatar/imagen, correo y nombre y apellidos).
• Categorías de Interesados: Usuarios que hagan uso de los servicios de la Plataforma.
• Método de obtención: directamente del Interesado al usar la Plataforma.
• Bases de legitimación: ejecución de un contrato o aplicación de medidas precontractuales a petición del Interesado.
• Periodo de retención: mientras dure la prestación; tras finalizar, bloqueo durante los plazos legales (fiscales, mercantiles, PBC/FT y prescripción).

4.5. Envío de comunicaciones comerciales

• Finalidad: enviar comunicaciones comerciales, ofertas y promociones:
  • Correo electrónico: envíos a la dirección del Usuario con opción de oposición en cualquier momento (vía correo del Responsable o enlace en el propio email).
  • Notificaciones push: envíos en el dispositivo cuando el Usuario lo haya configurado y consentido; puede desactivarlas en el dispositivo.
  • Comunicaciones de terceros: solo con consentimiento expreso previo; revocable en cualquier momento.
  • Comunicaciones personalizadas: requieren consentimiento previo; revocable en cualquier momento.

  El Usuario puede oponerse o retirar su consentimiento en cualquier momento a través de la dirección postal o electrónica del Responsable o los canales habilitados.

• Categorías de datos tratados:
  • Identificativos: nombre de usuario.
  • Contacto: correo electrónico.
  • Preferencias del Usuario, en su caso.
• Categorías de Interesados: Usuarios de la Plataforma o que consientan recibir comunicaciones.
• Método de obtención: directamente del Usuario.
  • Usuarios registrados o clientes: a través del registro en la Plataforma.
  • Usuarios no registrados: a través de formularios, newsletter y similares.
• Bases de legitimación:
  • Usuarios registrados o clientes: interés legítimo (RGPD/UK GDPR) para informar sobre productos/servicios contratados o similares, salvo oposición. En el Reino Unido, cuando el destinatario sea una persona física, aplicaremos además la excepción de soft opt-in prevista en las PECR, cuando proceda.
  • Usuarios sin relación contractual (personas físicas): consentimiento previo (RGPD/UK GDPR y PECR).
  • Comunicaciones a entidades corporativas (p. ej., empresas con emails genéricos): permitidas por PECR; mantendremos listas de exclusión si manifiestan oposición.
  • En ambos casos, consentimiento para push, comunicaciones personalizadas y de terceros, hasta retirada, oposición o supresión de cuenta.
• Periodo de retención: hasta que el Usuario retire su consentimiento; después, bloqueo durante los plazos legales aplicables.

4.6. Participación en sorteos

• Finalidad: gestionar la participación del Usuario en sorteos y rankings, asignar puntuaciones por reseñas, determinar posiciones en rankings geográficos y contactar a ganadores para la entrega de premios.

  La participación implica compartir públicamente el perfil del Usuario dentro de la Plataforma y en redes sociales de RatingIt (username y avatar). Si no está de acuerdo, puede no participar o revocar su consentimiento.

• Categorías de datos tratados:
  • Identificativos: nombre de usuario o alias, correo electrónico y avatar.
  • Derivados de la actividad: reseñas publicadas, puntuación asignada, posición en el ranking geográfico.
  • Localización aproximada (ciudad o provincia), según configuración o IP.
  • En caso de resultar ganador:
    • España: datos de contacto (dirección postal) e identificativos (nombre y apellidos).
    • Reino Unido: correo electrónico (premio digital enviado por dicho medio).
• Método de obtención: directamente del Usuario al inscribirse mediante formularios o medios disponibles.
• Bases de legitimación: consentimiento explícito del Interesado (art. 6.1.a RGPD) hasta su retirada u oposición.
• Periodo de retención: mientras la cuenta esté activa y no se revoque el consentimiento. En caso de participación efectiva, hasta 12 meses tras la finalización del sorteo para trazabilidad, obligaciones legales y gestión de reclamaciones; después, bloqueo/eliminación conforme a plazos legales (fiscales, mercantiles, PBC/FT y prescripción).
• Comunicación: no se comunicarán datos a terceros salvo a prestadores de servicios informáticos/tecnológicos/técnicos para cumplir la finalidad; y a la empresa de logística (identificativos, contacto y dirección postal) para el envío del premio si corresponde. No hay venta de datos a terceros.

4.7. Resolución de consultas realizadas por el Usuario

• Finalidad: posibilitar la comunicación con el Responsable para atención al cliente, consultas, quejas u otras, por cualquiera de los puntos de contacto (formularios, direcciones electrónicas o postales, etc.).
• Categorías de datos tratados: identificativos (nombre y apellidos) y de contacto (correo electrónico y/o teléfono).
• Categorías de Interesados: Usuarios que formulen la consulta.
• Método de obtención: directamente de los Usuarios o a través de proveedores subcontratados para ello.
• Bases de legitimación: consentimiento del Usuario o interés legítimo del Responsable en responder tras recibir la solicitud.
• Periodo de retención: máximo 24 meses desde el cumplimiento de la finalidad, salvo conservación superior por interés legítimo o plazos de prescripción legales.

4.8. Análisis interno y desarrollo

• Finalidad: recopilar y tratar datos estadísticos y anonimizados de uso para analizar comportamiento y uso de la Plataforma, patrones de navegación y funcionalidades empleadas, con el fin de mejorar la experiencia, optimizar funcionalidades, analizar tendencias y desarrollar nuevas herramientas o servicios.
• Categorías de datos: datos anónimos sobre uso de la Plataforma, patrones de navegación y funcionalidades utilizadas.
• Categorías de Interesados: Usuarios registrados y visitantes (en formato anonimizado).
• Bases de legitimación: interés legítimo en analizar información anónima, estadística y agregada para ofrecer y desarrollar mejores productos y servicios.
• Método de obtención: datos compartidos por el Usuario en relación con el uso de los Servicios.
• Periodo de retención: para la finalidad indicada, conservación indefinida en formato disociado o anónimo, de modo que no sea posible identificar a los Interesados.

5. ¿De dónde provienen sus datos?

Por norma general, salvo que se haya indicado otra cosa en apartados específicos de la presente Política, todos los datos proceden del Interesado, ya sea por medio de la navegación o uso de la Plataforma o mediante una comunicación realizada por el Usuario por cualquiera de los medios puestos a su disposición.

6. ¿A quién comunicamos sus datos?

Con carácter general, el Responsable no comunicará los Datos personales del Usuario a terceros, salvo cuando la prestación de un servicio implique la necesidad de una relación contractual y dicha comunicación resulte estrictamente necesaria para la gestión y el mantenimiento de la relación entre el Usuario y el Responsable y/o para el cumplimiento de las finalidades descritas en la presente Política.

En tales casos, la comunicación se llevará a cabo únicamente durante el tiempo estrictamente necesario para permitir la consecución de dichas finalidades, y siempre conforme a los principios del Reglamento General de Protección de Datos, mediante la aplicación de las medidas técnicas y organizativas adecuadas para garantizar la seguridad y confidencialidad de los Datos personales. Entre dichas medidas se incluye la suscripción de los correspondientes contratos de encargo del tratamiento con cada proveedor, en los que se establecen obligaciones equivalentes a las que asume el Responsable en materia de protección de datos. Finalizada la prestación del servicio, los proveedores deberán devolver o eliminar los Datos personales conforme a lo estipulado en dichos contratos.

En este sentido, y exclusivamente para hacer posible el funcionamiento de la Plataforma y el cumplimiento de las finalidades descritas, el Responsable podrá comunicar los Datos personales a los siguientes destinatarios:

• Proveedores tecnológicos y de servicios esenciales: se podrán compartir datos personales con proveedores de servicios esenciales, incluyendo servicios informáticos y tecnológicos (por ejemplo, pasarelas de pago, almacenamiento en la nube, envío de comunicaciones, autenticación y seguridad, analíticas y otros necesarios para garantizar las finalidades). Algunos de nuestros proveedores son:
  • Hetzner Online GmbH, con sede en Núremberg, Alemania, que presta servicios de almacenamiento en la nube, microservicios y alojamiento web. Los datos tratados incluyen información necesaria para la prestación de los servicios de la Plataforma, tales como datos de usuarios, comunicaciones, contenidos publicados y otros datos técnicos asociados.
  • Google LLC y Google Ireland Ltd, para servicios de autenticación y analíticas. La autenticación implica el tratamiento de datos relacionados con el Usuario; las analíticas pueden incluir localización aproximada, comportamiento de uso, tipo de dispositivo, logs y errores. El tratamiento puede implicar transferencias internacionales a EE. UU. amparadas, en la UE/EEE, por el EU-U.S. Data Privacy Framework (DPF) o, en su defecto, por las Cláusulas Contractuales Tipo de la UE; y, en el Reino Unido, por el UK-U.S. Data Bridge (UK Extension al DPF) o, en su defecto, por el IDTA o el UK Addendum a las SCC de la UE.
  • Mailgun Technologies, Inc.: para servicios de correos masivos y comunicaciones. Aunque los servidores puedan estar en Europa, la matriz está en EE. UU., por lo que podrían producirse transferencias internacionales. En la UE/EEE se ampararán en el EU-U.S. DPF o, en su defecto, en las SCC de la UE; y, en el Reino Unido, en el UK-U.S. Data Bridge o, en su defecto, en el IDTA o el UK Addendum a las SCC.
• Empresas y consultores profesionales que prestan servicios al Responsable para facilitar la gestión de la Plataforma y el cumplimiento de sus obligaciones legales, contractuales o administrativas, tales como asesoramiento legal, servicios contables, técnicos o de seguridad informática.

Asimismo, los datos del Usuario podrán ser compartidos a Autoridades públicas, si estamos obligados por requerimiento judicial o por imperativo legal. En ningún caso se comunicarán datos personales a terceros para finalidades comerciales sin el consentimiento previo, libre, específico e informado del Usuario. Puede solicitar información adicional sobre las comunicaciones realizadas al Responsable a través de cualquiera de los puntos de contacto que se indican en la presente Política.

7. ¿Realizamos transferencias de datos a terceros países u organismos internacionales?

En el marco de la prestación de sus servicios, la Plataforma podrá realizar transferencias internacionales de datos personales desde el Reino Unido hacia la Unión Europea/EEE.

Dichas transferencias se encuentran amparadas por la Decisión de Adecuación adoptada por la Comisión Europea el 28 de junio de 2021, en virtud del artículo 45 del Reglamento (UE) 2016/679 (RGPD). Esta decisión reconoce que el Reino Unido garantiza un nivel de protección sustancialmente equivalente al exigido en la Unión Europea, permitiendo la libre circulación de datos entre ambas jurisdicciones sin necesidad de garantías adicionales.

En caso de que en el futuro esta decisión no se renovará o se modificara, la Plataforma adoptará las medidas contractuales, técnicas y organizativas necesarias para garantizar un nivel adecuado de protección de los datos personales conforme a la normativa aplicable (incluyendo, en su caso, la suscripción de cláusulas contractuales tipo aprobadas por la Comisión Europea o mecanismos equivalentes).

Además, con objeto de garantizar las finalidades, se podrá realizar TTI a nuestros proveedores de servicios que sean esenciales para garantizar la/s finalidad/es para la/s que se recogieron. Asimismo, independientemente de que Ratingit no realice dichas TTI directamente, dichas TTI podrán ser realizadas por los proveedores de servicios.

En dicho caso, el Responsable contratará con proveedores que cumplan con el RGPD y, en su caso, con el UK GDPR, aplicando las garantías previstas en los arts. 44 y ss. RGPD y la normativa equivalente del Reino Unido. Esto incluye: decisiones de adecuación (UE ↔ UK y UK ↔ UE; listado de países basados en una decisión de adecuación, y el EU-U.S. Data Privacy Framework y el UK-U.S. Data Bridge para EE. UU.), así como el uso de Cláusulas Contractuales Tipo de la Comisión Europea (SCC) y, en el Reino Unido, el International Data Transfer Agreement (IDTA) o el UK Addendum a las SCC de la UE.

A continuación, indicamos el listado de proveedores a los que podría realizarse TTI, como se ha indicado:

• Google: Google LLC, ubicada en 1600 Amphitheatre Pkwy, Mountain View, California 94043 es la sociedad del grupo Google que presta servicios de autenticación y analíticas. Se tratarán datos relacionados con el Usuario. No obstante, los datos personales podrán estar alojados en los servidores de Google Ireland Ltd. es la sociedad del grupo Google que opera desde el EEE. En caso de llevarse a cabo TTI, según la política de privacidad de Google (enlace) se realizarán mediante la aplicación de garantías de seguridad adecuadas en cumplimiento del RGPD y/o UK GDPR, mediante su certificación y adhesión al Data Privacy Framework EU-US (enlace) (y, en el caso del Reino Unido, al UK-U.S. Data Bridge), así como mediante las CCT de la UE (enlace) o, en el Reino Unido, el International Data Transfer Agreement (IDTA) o el UK Addendum a las SCC de la UE.
• Mailgun Technologies, Inc.: Para servicios de correos masivos y telemarketing. Aunque el servidor se encuentra en Europa, dado que la sede principal se encuentra en Estados Unidos podrían realizarse transferencias internacionales de datos. En caso de llevarse a cabo TTI, según la política de privacidad de Mailgun (enlace) se realizarán mediante la aplicación de garantías de seguridad adecuadas en cumplimiento del RGPD y/o UK GDPR, mediante su certificación y adhesión al Data Privacy Framework EU-US (enlace) (y, en el caso del Reino Unido, al UK-U.S. Data Bridge), así como mediante las CCT de la UE (enlace) o, en el Reino Unido, el International Data Transfer Agreement (IDTA) o el UK Addendum a las SCC de la UE.

Podrá solicitar más información sobre las TTI que realizamos poniéndose en contacto con nosotros a través de las direcciones indicadas al principio de la presente Política.

8. ¿Tratamos categorías especiales de datos personales?

El Responsable no solicitará ni tratará datos de “categoría especiales de datos personales”, entendiendo como tales los datos que revelen ”el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”, de conformidad con los artículos 9 y 10 del Reglamento (UE) n. 2016/679.

No obstante, en caso de que el usuario decida compartir tal información, dicho tratamiento será realizado conforme al consentimiento del mismo.

9. Modalidad de tratamiento

El tratamiento de los datos proporcionados se basa en los principios de licitud, transparencia, limitación de la finalidad y conservación, minimización de datos, exactitud, integridad y confidencialidad, y se realizará, en todo caso, con sujeción a lo dispuesto al respecto en la Reglamento UE 2016/679 y de Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos personales y garantía de los derechos digitales.

En particular, el tratamiento se podrá llevar a cabo utilizando papel, herramientas informáticas y telemáticas, también de conformidad con lo dispuesto en el artículo 29 del Reglamento UE 2016/679 y, en todo caso, con medios adecuados para garantizar su seguridad y confidencialidad de conformidad con lo dispuesto en el artículo 32 del mismo Reglamento UE núm. 2016/679.

10. Decisiones automatizadas

En el marco de la participación del Usuario en los sorteos mensuales organizados por la Plataforma, se informa de que se aplica un proceso de decisión automatizada para la selección del ganador, conforme al artículo 22 del Reglamento (UE) 2016/679 (RGPD) y la normativa equivalente del UK GDPR.

Dicho proceso se realiza mediante un algoritmo informático que, de forma automática, asigna aleatoriamente un ganador entre los Usuarios que integran el Top 100 del Ranking Mensual de su región, otorgando a cada uno de ellos una probabilidad del 1 % de resultar premiado. La inclusión en el ranking se basa en la actividad del Usuario, en particular la publicación de reseñas y la puntuación obtenida conforme a criterios establecidos por la Plataforma.

Este tratamiento no produce efectos jurídicos significativos ni afecta de manera similar al Usuario, ya que su única consecuencia es de carácter promocional y lúdico, consistente en la posible obtención de un premio.

No obstante, en cumplimiento del RGPD, se informa al Usuario de que tiene derecho a: Obtener intervención humana por parte del Responsable; expresar su punto de vista; e impugnar la decisión automatizada adoptada por el sistema.

11. Cookies

Actualmente RatingIt no recaba cookies u otras tecnologías de seguimiento análogas o similares. Si en el futuro se hiciese uso de estas se informará debidamente a los interesados.

12. Retención de sus datos personales

Por norma general, el Responsable conservará sus Datos personales sólo durante el tiempo que sea necesario para el fin para el que se recogieron al inicio, y durante los plazos máximos señalados en cada uno de los tratamientos referidos en la presente Política.

Plazos de conservación según la tipología de datos, finalidades y normativa aplicable. En el Reino Unido, los plazos podrán ajustarse a lo previsto por el UK GDPR, la Data Protection Act 2018 y, en su caso, las PECR.