MallPath1. Responsables del tratamiento
Responsables: Izan Quiles Jiménez y Juan Camús Robledillo.
Ubicación: Alicante, España.
Contacto: [email protected].
Esta política se aplica al sitio web y a la aplicación MallPath. Puedes utilizar el correo de contacto para consultas de privacidad o para ejercer tus derechos frente a cualquiera de los responsables.
2. Qué datos se utilizan
- Consultas y presupuestos: nombre, email, mensaje y características del centro; empresa, organización, cargo y teléfono cuando se facilitan. La gestión puede generar referencias, documentos de presupuesto y comunicaciones relacionadas.
- Cuenta y favoritos: email, nombre si se aporta, identificador, proveedor de acceso, permisos y establecimientos guardados. En las cuentas locales se utiliza un hash de contraseña. Si accedes con Google se reciben los datos de identificación autorizados, no tu contraseña de Google.
- Navegación: origen y destino seleccionados o resueltos mediante QR, opciones de ruta, itinerario, identificador del recorrido, fechas, tiempos, progreso, estado y valoración.
- Interacciones y estadísticas: consultas de productos, ofertas y eventos, escaneos QR y solicitudes de ruta, con referencias a recursos, fechas e identificadores. Algunos registros permiten relacionar una interacción con un recorrido.
- Gestión y seguridad: identidad y permisos de las personas gestoras, cambios administrativos, registros de auditoría, archivos y datos de conexión, como IP e información técnica de las peticiones, según el servicio.
- Asistencia, si esa función se habilita y utiliza: mensajes, conversación, identificadores y contexto necesario para responder. Su presencia en una herramienta restringida no significa que esté disponible para todos los visitantes.
3. Finalidades, fundamentos y conservación
La tabla distingue las funciones solicitadas de los usos adicionales de los datos. Los campos identificados como necesarios permiten tramitar la solicitud o prestar la función correspondiente; los opcionales pueden dejarse sin completar.
| Finalidad | Datos utilizados | Fundamento y límites | Conservación |
|---|---|---|---|
| Responder consultas y preparar presupuestos solicitados | Datos de contacto, mensaje y características del centro. | Medidas precontractuales a petición de la persona interesada. Para otros contactos profesionales, interés legítimo en atender la solicitud y mantener la relación con la organización representada, limitado a ese contexto. | Sin contratación: máximo seis meses desde el último contacto relacionado, con supresión manual. Si se contrata, los datos necesarios se conservan para el servicio y las obligaciones de esa relación. |
| Prestar las funciones de cuenta y favoritos | Identidad de cuenta, credencial protegida o acceso Google, permisos y favoritos. | Prestación del servicio solicitado, limitada a los datos necesarios. No autoriza por sí sola publicidad o medición adicional. | Mientras sean necesarios para mantener las funciones solicitadas y gestionar la cuenta. No hay una caducidad automática general de cuentas acreditada; las solicitudes de supresión se atienden por correo. |
| Calcular y reproducir el recorrido solicitado | Origen, destino, opciones, itinerario, identificador, progreso, estado y tiempos. | Prestación de la función de navegación expresamente solicitada. La conservación o utilización adicional para estadísticas no queda automáticamente cubierta por ese fundamento. | Cerrar, cancelar o completar el recorrido no borra su registro del servidor. No se ha acreditado una eliminación periódica general de sesiones; puede solicitarse información o supresión por el canal de privacidad. |
| Elaborar estadísticas de rutas, QR y recursos comerciales | Registros individuales con identificadores y fechas, atribución entre interacción y ruta e informes agregados. | La revisión técnica no permite atribuir una base jurídica única a todos los usos estadísticos. Navegar no constituye autorización para usos opcionales; cuando se requiera consentimiento, debe obtenerse de forma específica. | No se ha acreditado un plazo general ni una tarea periódica de eliminación de sesiones e interacciones. El borrado de una cuenta no elimina automáticamente esos registros independientes. |
| Proteger el servicio y gestionar permisos y auditoría | Datos de conexión, identidad y permisos, cambios administrativos, fechas y registro de actuaciones. | Interés legítimo en proteger el servicio, prevenir accesos indebidos y poder revisar las actuaciones administrativas, limitado a lo necesario y a los derechos de las personas afectadas. | Según la necesidad de seguridad, revisión de actuaciones y posibles responsabilidades. No se ha acreditado un borrado temporal general de auditoría o logs; el apartado 7 explica qué puede permanecer tras borrar una cuenta. |
| Gestionar contenidos y archivos del centro | Modelos, imágenes, archivos y referencias a las personas que los aportan o publican. | Prestación de las herramientas de gestión solicitadas. Quien introduce datos de terceros debe contar con legitimación para hacerlo. | Durante su uso y la necesidad justificada de conservar versiones o responsabilidades. Retirar un contenido de la interfaz no elimina necesariamente sus archivos o versiones. |
| Atender mediante asistencia, cuando esté habilitada | Texto, conversación e identificadores o contexto de la consulta. | Prestación de esa función solicitada, dentro de su finalidad informada. Un envío a un proveedor externo debe informarse específicamente y contar con el fundamento y las garantías correspondientes. | Depende de la función y configuración utilizadas. No se ha acreditado una eliminación general de conversaciones; ocultar la interfaz no borra historiales existentes. |
El interés legítimo requiere valorar la necesidad y el efecto del tratamiento sobre las personas, especialmente cuando afecta a menores. La tabla no acredita por sí sola una evaluación ni una autorización para usos opcionales. No se ofrece un plazo automático de borrado donde la implementación revisada no lo contempla.
4. Seguimiento y comunicaciones comerciales
Responder o continuar una conversación relacionada con tu consulta o presupuesto forma parte de la gestión de esa solicitud. No te suscribe a campañas promocionales ajenas a ella.
Las campañas de publicidad y novedades están pospuestas. Los formularios actuales no recogen una autorización comercial ni se utilizan para suscribirte a esos envíos. Si en el futuro se ofrece esa posibilidad, se informará de forma específica y la autorización será opcional y separada de la gestión de consultas y presupuestos.
5. Rutas, estadísticas y cámara
El origen seleccionado en el mapa o resuelto mediante QR es una referencia dentro del modelo. La reproducción es virtual: no representa necesariamente tu movimiento físico ni se ha identificado un seguimiento GPS continuo en las funciones revisadas.
El escáner solicita cámara, sin audio, y procesa las imágenes para leer el QR en el dispositivo. En ese componente no se ha identificado una subida de vídeo al servidor. El código leído puede utilizarse después para resolver la posición o solicitar una ruta.
Los paneles revisados muestran conteos, distribuciones y otras métricas agregadas. Sin embargo, el servidor también conserva sesiones e interacciones individuales con identificadores y fechas, y puede relacionarlas entre sí. No se afirma que el conjunto sea anónimo ni que borrar la cuenta suprima automáticamente esos registros.
El detalle de una ruta puede consultarse con su identificador y el centro correspondiente, sin iniciar sesión. Esa representación no muestra nombre o email, pero contiene información del recorrido. Evita compartir el identificador si no quieres facilitar acceso a ese detalle.
El permiso de cámara se gestiona en el navegador y puede revocarse. No equivale a consentir estadísticas, almacenamiento opcional o el tratamiento de datos de un menor.
6. Quién puede acceder y servicios externos
El equipo autorizado puede consultar y responder los correos recibidos. El acceso a las herramientas de administración depende de la función y los permisos de cada persona.
La administración autorizada de plataforma puede acceder a identidad de cuentas, permisos y auditoría. Las personas gestoras de centros, marcas o establecimientos acceden a los informes y miembros relacionados con su ámbito conforme a sus permisos. Tener acceso a un centro no concede por sí solo un listado general de visitantes ni acceso a todo el proyecto.
Los informes estadísticos revisados se entregan agregados. Los informes descargados pueden generar copias fuera del servidor. Esto es distinto de los datos individuales originales y del acceso al detalle de una ruta mediante su identificador.
Los siguientes servicios están identificados en el código, la documentación o el funcionamiento organizativo descrito. Su uso depende del entorno y de la función:
| Servicio | Función | Información y alcance |
|---|---|---|
| Google / Gmail | Buzón compartido para consultas, presupuestos y derechos. | Mensajes, contacto y adjuntos enviados por correo, accesibles al equipo autorizado. La solicitud también puede conservarse en el servicio de gestión comercial. |
| Infraestructura de servidor y PostgreSQL; OVH y Neon según el entorno documentado | Alojamiento y base de datos de los servicios. | Datos que cada API guarda o recibe. La base de datos de navegación y la comercial son sistemas distintos; no se atribuye a Neon toda la producción. |
| Cloudflare y almacenamiento de archivos Cloudflare R2 o Neon según configuración | Entrega web y archivos, modelos e imágenes. | Peticiones y datos de conexión; archivos y sus metadatos cuando se suben o descargan. Un archivo puede incluir datos personales si su contenido los contiene. |
| Google, acceso opcional | Identificar la cuenta mediante inicio de sesión con Google. | Identificador, email y nombre autorizados en el acceso, además de las peticiones y datos de conexión propios de ese servicio. MallPath no recibe la contraseña de Google. |
| Google Fonts, cdnjs y jsDelivr, según página o función | Descargar fuentes, estilos, iconos y recursos del escáner. | Solicitudes del navegador y datos de conexión. No se atribuyen automáticamente todos estos servicios a la landing ni se presupone que cada solicitud instale cookies. |
| Servicio comercial de MallPath, CRM, documentos y correo | Gestionar solicitudes de contacto y presupuesto. | Datos del formulario, referencias y documentos relacionados. El backend comercial y sus proveedores no se han revisado con el mismo alcance que la aplicación de navegación. |
| Proveedor de asistencia externo, solo si se habilita ese modo | Procesar mensajes y contexto para generar respuestas. | El código contempla un adaptador externo, incluido Groq, pero no se ha acreditado que esté activo en el servicio público ni su configuración efectiva. |
No se han acreditado las regiones, contratos y garantías de transferencia de todas las cuentas e infraestructuras efectivas. No se afirma que todos los datos permanezcan exclusivamente en el Espacio Económico Europeo. La región técnica «auto» de un adaptador no identifica un país de almacenamiento.
El papel de cada proveedor depende del producto y contrato utilizados; no se considera automáticamente a todos encargados del tratamiento. Los accesos técnicos y de soporte deben limitarse a su función y respetar las garantías aplicables.
7. Conservación y solicitudes de supresión
Para consultas y presupuestos que no den lugar a contratación, el plazo establecido por el equipo es de seis meses desde el último contacto relacionado con la solicitud. Una de las personas responsables debe gestionar la supresión manual al cumplirse ese plazo. Preparar un presupuesto o documento no equivale a formalizar una contratación.
Este plazo es una política organizativa: no existe una limpieza automática acreditada que abarque correo, servicio comercial, CRM, documentos y copias. Aplicarlo exige revisar esos sistemas y las comunicaciones relacionadas. No se extiende automáticamente a cuentas, sesiones de ruta, estadísticas, auditoría o archivos.
Si se contrata, los datos necesarios se conservan para prestar el servicio y atender las obligaciones de esa relación. Cualquier dato que deba mantenerse por una obligación legal o reclamación debe limitarse a esa finalidad y a los accesos necesarios.
Para solicitar la supresión, escribe a [email protected]. Actualmente se gestiona por este canal: no se ofrece un borrado completo desde el perfil de usuario. Retirar permisos de un centro o establecimiento no elimina la cuenta global.
El borrado administrativo de una cuenta puede conservar su identificador, nombre y correo en el registro de auditoría. En la implementación revisada no hay un plazo automático general para eliminar esa información. Las sesiones e interacciones independientes, archivos, documentos comerciales y copias también requieren una revisión propia; no debe entenderse que desaparecen todos al borrar la cuenta.
Cerrar sesión elimina las credenciales locales que gestiona esa función en ese navegador, pero no equivale a borrar datos del servidor ni a cerrar otras sesiones. No se promete eliminación inmediata de copias de seguridad o revocación global de todas las credenciales por ese solo acto. El resultado de una solicitud debe comunicarse según lo realmente eliminado y las excepciones que correspondan.
8. Tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y, cuando corresponda, portabilidad escribiendo a [email protected]. Indica la función o solicitud afectada y los datos mínimos que permitan localizarla. No envíes de entrada una copia completa del documento de identidad.
Cuando el tratamiento se base en tu consentimiento puedes retirarlo sin afectar a la licitud anterior. El plazo general de respuesta es un mes, con las excepciones previstas en el RGPD. Si un registro no está vinculado a tu cuenta, puede ser necesario concretar la referencia del recorrido o interacción para localizarlo, sin pedir información adicional innecesaria.
También puedes reclamar ante la Agencia Española de Protección de Datos.
9. Menores de edad
El proyecto contempla el uso por menores de edad, incluidos menores de 14 años. Cuando el tratamiento de sus datos se base en el consentimiento, el de quienes tengan menos de 14 años debe ser otorgado por sus padres o representantes legales. También deben respetarse las reglas de capacidad y representación aplicables al uso o contratación del servicio.
El registro revisado no incorpora comprobación de edad ni un procedimiento específico para obtener, verificar, registrar o retirar autorización parental. Esta política no acredita que ese mecanismo exista. Entrar con Google, marcar privacidad o conceder cámara no lo sustituye.
Para consultas o solicitudes relativas a los datos de un menor, escribe a [email protected]. No envíes de entrada documentos completos ni información del menor que no sea necesaria para explicar la solicitud.
10. Almacenamiento y actualizaciones
La página de Cookies y almacenamiento local distingue autenticación, preferencias, formularios y funciones condicionadas. El permiso de cámara, la información de privacidad y la elección sobre almacenamiento opcional cumplen funciones diferentes.
La descripción técnica incorpora la revisión de código y documentación del 2 de noviembre de 2026. Esa revisión no confirma por sí sola todas las versiones, configuraciones, contratos o regiones del despliegue publicado. Las funciones pueden variar según el centro y los permisos.
La política se actualizará si cambian datos, finalidades o servicios. Los cambios que requieran una nueva elección deberán informarse en el momento correspondiente.