Política de privacidad

Quién es el responsable de tus datos

El responsable del tratamiento es Rupo, trabajador autónomo en España, que gestiona Breakfast Always Wins.

Responsable: Ruben Benarroch Esayag
NIF: 50905553k
Domicilio: Calle Sanchez Pacheco 101
Contacto de privacidad: privacidad@breakfastalwayswins.com

Qué datos usamos, para qué y con qué base legal

Puedes navegar por el mapa, las rutas y las fichas sin darnos ningún dato personal. Solo los tratamos en estos casos:

Solicitudes de tour

Datos: Nombre, email, número de WhatsApp, fecha preferida, número de personas, idioma y lo que nos cuentes sobre el tour (por ejemplo, alergias o necesidades alimentarias, si decides compartirlas).
Para qué: Responderte, comprobar disponibilidad, acordar los detalles y hacer el tour. La solicitud se reenvía también al bot privado de Telegram de Rupo para que pueda contestar rápido.
Base legal: Aplicación de medidas precontractuales a petición tuya (art. 6.1.b RGPD). Los datos de salud, como alergias, solo se tratan con tu consentimiento explícito (art. 9.2.a), que das al escribirlos en el formulario.

Datos: Email, idioma, desde dónde te suscribiste, versión del texto de consentimiento que aceptaste y fechas. También medimos aperturas y clics de forma agregada.
Para qué: Enviarte la newsletter con sitios y rutas nuevas.
Base legal: Tu consentimiento (art. 6.1.a RGPD), confirmado con doble opt-in: solo te la enviamos cuando pulsas el enlace del email de confirmación. En el formulario de tours la casilla está desmarcada por defecto. Todos los emails llevan un enlace para darte de baja en un clic.

Sugerencias de sitios

Datos: El sitio, tu nota, el nombre con el que quieres aparecer y, si quieres, un email de contacto.
Para qué: Revisar la sugerencia, publicarla en el tablón de sugerencias y, si dejaste email, darte las gracias y avisarte si llega al mapa.
Base legal: Tu consentimiento (art. 6.1.a RGPD).

Reseñas de tours

Datos: Nombre visible, texto, puntuación, mes del tour, una foto opcional y, si quieres, un email solo para darte las gracias.
Para qué: Moderar y publicar tu reseña en la web.
Base legal: Tu consentimiento (art. 6.1.a RGPD), con una casilla específica para autorizar la publicación. Si envías una foto en la que salen otras personas, necesitas su permiso.

Votos a sugerencias

Datos: Un hash no reversible calculado con una sal que cambia cada día, más un identificador aleatorio guardado en tu navegador. Con eso no podemos saber quién eres.
Para qué: Evitar que una misma persona vote varias veces.
Base legal: Interés legítimo en que las votaciones sean justas (art. 6.1.f RGPD).

Analítica propia (sin cookies)

Datos: Eventos anónimos (páginas vistas, filtros del mapa, búsquedas, clics en «Cómo llegar»…), con un identificador de sesión aleatorio guardado en la pestaña de tu navegador, tipo de dispositivo, idioma y país y ciudad aproximados que se deducen en el momento de las cabeceras de nuestro proveedor de alojamiento. Sin cookies y sin guardar la IP.
Para qué: Entender qué sitios y funciones son útiles y mejorar la guía.
Base legal: Interés legítimo en medir y mejorar el servicio con datos mínimos que no te identifican (art. 6.1.f RGPD).

Google Analytics 4 y Microsoft Clarity

Datos: Datos de navegación, identificadores guardados en cookies y, en el caso de Clarity, grabaciones de cómo usas la página (con los campos de los formularios ocultos).
Para qué: Estadísticas más detalladas, mapas de calor y detectar problemas de uso.
Base legal: Solo con tu consentimiento (art. 6.1.a RGPD), a través del banner de cookies. Consulta la política de cookies.

Protección contra bots

Datos: Señales técnicas de tu navegador y dispositivo que evalúa Cloudflare Turnstile cuando envías un formulario o votas. No guardamos tu IP: los límites de uso se calculan con un hash que cambia cada día.
Para qué: Frenar el spam y el abuso de los formularios.
Base legal: Interés legítimo en mantener la web segura (art. 6.1.f RGPD).

Emails que nos envías

Datos: Lo que incluyas en tu mensaje.
Para qué: Contestarte.
Base legal: Tu consentimiento al escribirnos y, si es sobre un tour, las medidas precontractuales que nos pides (art. 6.1.a y 6.1.b RGPD).

Cuánto tiempo los guardamos

Borramos los datos en cuanto dejamos de necesitarlos. La mayoría de borrados se hacen solos cada día.

Plazos de conservación
Dato	Qué	Plazo
Solicitudes de tour	Nombre, email, WhatsApp, detalles del tour	Se borran 6 meses después del tour (o de la solicitud, si el tour no se celebra).
Suscriptores de la newsletter	Email, idioma, origen, versión del texto de consentimiento, fechas	Mientras sigas suscrito. Al darte de baja se borran y solo queda un hash de tu email en una lista de exclusión, para no volver a escribirte por error. Las altas sin confirmar se borran a los 7 días.
Sugerencias	Nombre de quien sugiere, nota, contacto opcional	Publicadas: mientras estén visibles. Descartadas: se borran a los 3 meses. El email de contacto se borra después de enviarte el aviso de «¡Lo probé y está en el mapa!».
Reseñas de tours	Nombre visible, texto, puntuación, mes, foto opcional; email opcional solo para agradecer	Mientras estén publicadas. El email se borra al moderar la reseña. Las rechazadas se borran a los 30 días.
Votos	Hash no reversible (sal diaria)	Permanentes, como dato anónimo.
Analítica propia	Eventos sin cookies ni IP	Detallados 90 días; después, solo cifras agregadas.
Google Analytics 4	Según Google	Retención mínima (2 meses).

Desliza para ver toda la tabla

No guardamos direcciones IP en claro en ninguna tabla. Cuando necesitamos distinguir peticiones (votos, límites de uso) usamos un hash no reversible con una sal que cambia cada día.

Quién nos ayuda (encargados del tratamiento)

No vendemos ni cedemos tus datos a nadie para sus propios fines. Para que la web funcione nos apoyamos en estos proveedores, que solo tratan datos por cuenta nuestra y bajo contrato:

Proveedores de servicios
Proveedor	Para qué	Notas
Supabase	Base de datos y almacenamiento de archivos (por ejemplo, fotos de reseñas)	Alojado en la UE (Irlanda, eu-west-1).
Vercel	Alojamiento y entrega de la web, ubicación aproximada por cabeceras	Empresa de EE. UU.; red global.
Resend	Envío de emails (confirmaciones, newsletter)	Empresa de EE. UU.
Google	Maps, Places (datos de los sitios en directo), Google Analytics 4, Google Tag Manager, Search Console	GA4 y Tag Manager, solo con consentimiento.
Microsoft	Clarity (mapas de calor y grabaciones de sesión)	Solo con consentimiento.
Cloudflare	Turnstile (protección contra bots en formularios y votos)	—
Telegram	Avisos privados a Rupo	Tu solicitud de tour, sugerencia o reseña se reenvía al bot privado de Rupo para que pueda responderte.
Meta	Feed de Instagram y publicaciones incrustadas	Se cargan desde Instagram.
Proveedor del AI Gateway (Vercel AI Gateway y el proveedor del modelo)	Redactar y traducir los textos propios de la web desde el panel	Solo contenido de Breakfast Always Wins; nunca tus datos personales.
OpenStreetMap Nominatim	Saber el país, la ciudad y el barrio de cada sitio a partir de sus coordenadas	Solo recibe coordenadas de los sitios; ningún dato personal.

Desliza para ver toda la tabla

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija.

Transferencias internacionales

Algunos de estos proveedores están, o usan subcontratistas, en países fuera del Espacio Económico Europeo (principalmente Estados Unidos). Cuando ocurre, la transferencia se ampara en una decisión de adecuación —como el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas— o en las cláusulas contractuales tipo de la Comisión Europea, junto con las medidas adicionales que hagan falta.

Tus derechos

Puedes pedirnos en cualquier momento:

acceder a los datos que tenemos sobre ti;
rectificarlos si son incorrectos;
suprimirlos;
oponerte a los tratamientos basados en interés legítimo;
limitar el tratamiento mientras se resuelve una solicitud;
recibirlos en un formato portable (portabilidad);
retirar tu consentimiento cuando quieras, sin que afecte a lo hecho antes.

Basta con escribir a privacidad@breakfastalwayswins.com diciendo qué quieres. Si tenemos dudas razonables sobre tu identidad, podemos pedirte que la confirmes. Es gratis y te respondemos en el plazo de un mes. Puedes darte de baja de la newsletter con el enlace de cualquier email y cambiar tu elección de cookies desde el pie de cualquier página.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es). Te agradeceremos que nos lo digas antes para poder arreglarlo.

Edad mínima

Para enviar cualquier formulario de esta web debes tener al menos 14 años. Las solicitudes de tour las debe hacer una persona adulta, que responde de los datos que facilite sobre el resto del grupo.

Decisiones automatizadas y seguridad

No tomamos decisiones automatizadas ni elaboramos perfiles que produzcan efectos jurídicos o te afecten de forma significativa.

La web usa HTTPS, la base de datos tiene reglas de acceso por fila y solo Rupo entra al panel de administración. Los formularios están protegidos contra bots y abusos.

Cambios en esta política

Si cambiamos la forma de tratar los datos, actualizaremos esta página y la fecha de arriba. Si el cambio es importante y afecta a los suscriptores de la newsletter, se lo contaremos por email.