Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

Razón social: NaturCode Smart Label SL
CIF: B01590595
Domicilio: C/ Silencio 2, 21290 Jabugo, Huelva, España
Correo electrónico: admon@naturcode.eu

2. Datos personales que recopilamos

En función de cómo interactúe con Foodfulness, podemos recopilar los siguientes datos personales:

2.1. Datos proporcionados por el usuario

Datos de registro: nombre, dirección de correo electrónico y contraseña (almacenada cifrada).
Inicio de sesión con Google: si elige entrar con Google, recibimos su nombre, su correo electrónico y su identificador de Google. No accedemos a ningún otro dato de su cuenta de Google.
Su Hogar: el nombre que dé a su Hogar y, por cada Miembro, un nombre o alias, el sexo, el rango de edad y el nivel de actividad física. Los tres últimos son opcionales y sirven para calcular las ingestas de referencia de cada Miembro. No pedimos fecha de nacimiento, peso ni talla.
Perfiles de compra: las preferencias que marque por Miembro (por ejemplo, «Bajo en sal» o «Rico en fibra»). Son preferencias de compra: no las tratamos como datos de salud y no deducimos ninguna condición a partir de ellas.
Datos de salud: los alérgenos que cada Miembro debe evitar y, en su caso, la declaración de que no tiene alergias conocidas. Solo los guardamos con su consentimiento explícito (apartado 2.3).
Tarjeta de fidelización: si introduce el número de su tarjeta de un supermercado asociado, lo usamos para recibir automáticamente sus tickets de ese supermercado.
Tickets de compra: por cada compra, la tienda, la fecha, el importe total y cada línea del ticket: producto, cantidad, precio y familia de producto.
Valoraciones: las estrellas y el comentario libre que escriba sobre un producto que ha comprado.
Propuestas de productos: información nutricional, ingredientes, alérgenos e imágenes de envases que envíe para completar el catálogo.

2.2. Datos recopilados automáticamente

Datos de sesión: dirección IP, tipo de navegador (user agent) y marca de tiempo de última actividad. Estos datos se almacenan en la base de datos de sesiones y se eliminan periódicamente.
Datos de actividad en la plataforma: registramos el tipo de acción realizada (por ejemplo, ver un producto, registrar un ticket, valorar un producto), la fecha y hora, el tipo de dispositivo (móvil o escritorio) y la página desde la que llegó. El tipo de dispositivo se deduce de información técnica de su navegador sin almacenar esa información. No registramos su dirección IP ni identificadores de sesión en estos datos. Los datos de actividad nunca incluyen qué alérgenos ha marcado.
Datos técnicos: información necesaria para el funcionamiento seguro de la plataforma, como tokens CSRF.
Registro de inicios de sesión fallidos: cuando un intento de inicio de sesión falla o se bloquea por exceso de intentos, registramos la dirección IP de origen y la fecha y hora. No registramos el email introducido. Usamos este registro para bloquear temporalmente las direcciones IP que intentan adivinar contraseñas.

2.3. Su Hogar y los datos de salud

Los alérgenos de los Miembros de su Hogar y la declaración «sin alergias conocidas» son datos de salud (artículo 9 del RGPD). Los tratamos únicamente con su consentimiento explícito, que le pedimos en el momento de introducirlos, Miembro a Miembro, y que queda registrado con la fecha y la versión de esta política que aceptó.

Finalidad: el aviso Seguro: comparar los alérgenos que declaran los productos de sus compras con los que cada Miembro debe evitar.
Destinatarios: ninguno. Los datos de salud no se envían a proveedores externos, tampoco a los servicios de inteligencia artificial descritos en el apartado 5.1. De forma agregada y anonimizada, sin que pueda saberse de qué Hogar proceden, pueden formar parte de nuestras estadísticas internas.
Conservación: hasta que retire el consentimiento, elimine al Miembro o elimine su cuenta.
Retirada: puede retirar el consentimiento en cualquier momento desde la pantalla de alérgenos de su Hogar. Al retirarlo borramos de inmediato los alérgenos y la declaración de ese Miembro; el aviso Seguro deja de tenerlo en cuenta. Retirar el consentimiento no afecta al resto del servicio.
Otros Miembros y menores: cuando introduce datos de otro Miembro de su Hogar, declara que está legitimado para hacerlo: porque esa persona se lo ha pedido o porque es su padre, madre o tutor legal. Los datos de salud de menores de 14 años solo pueden introducirlos sus padres o tutores.

Conservamos el registro de sus consentimientos, incluidos los retirados, mientras su cuenta exista, para poder demostrarle qué consintió y cuándo dejó de estar vigente. Al eliminar la cuenta ese registro se borra con ella.

3. Finalidades del tratamiento

Tratamos sus datos personales para las siguientes finalidades:

Gestión de su cuenta: registro, autenticación, verificación de correo electrónico y recuperación de contraseña.
Prestación del servicio: permitirle registrar productos alimentarios, enviar propuestas de datos nutricionales, gestionar tickets de compra y participar en sesiones de canje.
Comunicaciones transaccionales: envío de correos electrónicos de verificación de cuenta y notificaciones sobre el estado de sus propuestas de productos (aprobación o rechazo).
Seguridad: protección frente a accesos no autorizados, prevención de fraude y limitación de intentos de inicio de sesión.
Análisis nutricional de su Hogar: calcular las ingestas de referencia de cada Miembro a partir de su sexo, rango de edad y nivel de actividad, y contrastar con ellas sus compras.
Mejora del servicio y análisis de uso: análisis interno de la actividad en la plataforma para mejorar la experiencia del usuario y la calidad del servicio. A partir de estos datos, generamos métricas agregadas y anonimizadas sobre el uso de la plataforma (por ejemplo, volumen de interacciones con información nutricional o de alérgenos) que pueden compartirse con productores y distribuidores colaboradores. Estas métricas nunca contienen datos que permitan identificar a usuarios individuales.

4. Bases legales del tratamiento

El tratamiento de sus datos se fundamenta en las siguientes bases legales conforme al artículo 6 del Reglamento General de Protección de Datos (RGPD):

Ejecución de contrato (art. 6.1.b RGPD): el tratamiento es necesario para prestarle el servicio de Foodfulness, incluyendo la gestión de su cuenta, de su Hogar y de sus Miembros, el registro de productos, la gestión de tickets y las valoraciones.
Consentimiento explícito (art. 9.2.a y 6.1.a RGPD): para los datos de salud de los Miembros de su Hogar, en los términos del apartado 2.3.
Interés legítimo (art. 6.1.f RGPD): para el análisis de uso de la plataforma, la generación de métricas agregadas, la mejora del servicio, la seguridad de la plataforma y la integración con el programa de fidelización de tiendas asociadas.
Obligación legal (art. 6.1.c RGPD): cuando sea necesario para cumplir con obligaciones legales aplicables.

5. Destinatarios de los datos

Sus datos personales no se venden ni se comparten con terceros con fines comerciales. Exclusivamente para el correcto funcionamiento del servicio, utilizamos los siguientes proveedores:

Google (OAuth 2.0): si elige iniciar sesión con Google, sus datos de autenticación se intercambian con los servidores de Google. Política de privacidad de Google.
Hetzner Online GmbH: almacenamiento de las imágenes de productos y de las copias de seguridad cifradas, en centros de datos de la Unión Europea.
Supermercado asociado: si vincula su tarjeta de fidelización, el supermercado nos comunica, a petición suya, los tickets identificados con ese número de tarjeta. Cada parte es responsable de su propio tratamiento: el supermercado, de su programa de fidelización; Foodfulness, de los tickets que recibe.
Servicios de correo electrónico: utilizamos proveedores de email transaccional para el envío de correos de verificación y notificaciones.
Productores y distribuidores colaboradores: compartimos métricas agregadas y anonimizadas sobre el uso de la plataforma (por ejemplo, volumen de interacciones con información nutricional o de alérgenos por producto). Estas métricas no contienen datos personales ni permiten identificar a usuarios individuales, y solo se generan cuando existe un volumen mínimo de usuarios que garantice el anonimato.

5.1. Procesamiento de imágenes mediante inteligencia artificial

Las imágenes de productos que los usuarios suben a la plataforma pueden ser procesadas mediante servicios de inteligencia artificial para extraer automáticamente información nutricional e ingredientes. Este procesamiento se aplica exclusivamente a imágenes de productos alimentarios y no implica el tratamiento de datos personales, ya que las imágenes contienen únicamente etiquetas de productos.

6. Transferencias internacionales de datos

Los servidores de Foodfulness están ubicados en la Unión Europea. Los datos personales de los usuarios se almacenan y procesan dentro del Espacio Económico Europeo (EEE).

Las integraciones con servicios externos (Google OAuth, Google Gemini) pueden implicar la transferencia de datos a servidores fuera del EEE. En el caso de Google, estas transferencias están amparadas por las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea y, en su caso, por decisiones de adecuación vigentes. En todo caso, los únicos datos que se transfieren a estos servicios son datos de autenticación (en el caso de Google OAuth) o imágenes y datos de productos alimentarios (apartado 5.1). Los servicios de inteligencia artificial nunca reciben datos de su Hogar ni de sus Miembros.

7. Cookies y tecnologías similares

Foodfulness utiliza únicamente cookies técnicas estrictamente necesarias para el funcionamiento de la plataforma:

Cookie de sesión : permite mantener su sesión iniciada mientras navega por la plataforma. Expira a los 120 minutos de inactividad o al cerrar sesión.
Token CSRF (XSRF-TOKEN): protege contra ataques de falsificación de peticiones. Se genera automáticamente en cada sesión.

No utilizamos cookies de terceros, cookies publicitarias ni herramientas de analítica web externas. El análisis de uso descrito en la sección 3 se realiza exclusivamente del lado del servidor, sin emplear cookies adicionales ni tecnologías de rastreo en su navegador. Al tratarse exclusivamente de cookies técnicas necesarias, no se requiere consentimiento previo conforme al artículo 22.2 de la LSSI-CE.

8. Plazos de conservación

Conservamos sus datos personales durante los siguientes períodos:

Datos de cuenta: mientras su cuenta permanezca activa. Si desea eliminar su cuenta, puede solicitarlo en cualquier momento.
Datos de sesión: se eliminan automáticamente tras 120 minutos de inactividad.
Datos de actividad en la plataforma: se conservan durante un máximo de 24 meses desde su registro, transcurridos los cuales se eliminan automáticamente.
Propuestas de productos: se conservan de forma indefinida como parte de la base de datos de productos alimentarios, dado que contribuyen al interés público de la información nutricional.
Tickets de compra: se conservan mientras su cuenta esté activa.
Datos de salud de los Miembros: hasta que retire el consentimiento, elimine al Miembro o elimine la cuenta. Se borran en el acto.
Registro de consentimientos: mientras exista la cuenta.
Datos de webhooks externos: se eliminan automáticamente tras 30 días.
Registro de inicios de sesión fallidos: se elimina automáticamente tras 14 días.

Una vez eliminada su cuenta, sus datos personales se suprimirán o anonimizarán en un plazo razonable, salvo que exista una obligación legal de conservación.

9. Derechos del usuario

De conformidad con el RGPD y la LOPDGDD, usted tiene derecho a:

Acceso: conocer qué datos personales tratamos sobre usted.
Rectificación: corregir datos inexactos o incompletos.
Supresión: solicitar la eliminación de sus datos personales.
Oposición: oponerse al tratamiento de sus datos en determinadas circunstancias. El registro de su actividad en la plataforma se desactiva desde su Cuenta, sin necesidad de escribirnos: al desactivarlo dejamos de registrarla y borramos la que ya teníamos.
Limitación: solicitar la limitación del tratamiento de sus datos.
Portabilidad: recibir sus datos personales en un formato estructurado y de uso común.
Retirada del consentimiento: para los datos de salud, desde la pantalla de alérgenos de su Hogar, sin necesidad de escribirnos.

Para ejercer cualquiera de estos derechos, envíe un correo electrónico a admon@naturcode.eu indicando el derecho que desea ejercer y adjuntando una copia de su documento de identidad. Responderemos a su solicitud en un plazo máximo de 30 días.

Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

10. Edad mínima

De acuerdo con el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales de menores de edad solo será lícito si son mayores de 14 años. Si usted es menor de 14 años, no deberá registrarse en Foodfulness sin el consentimiento de su padre, madre o tutor legal.

Si tenemos conocimiento de que hemos recopilado datos de un menor de 14 años sin el consentimiento adecuado, procederemos a eliminar dichos datos lo antes posible.

11. Seguridad de los datos

Aplicamos medidas técnicas y organizativas adecuadas para proteger sus datos personales frente a accesos no autorizados, pérdida, alteración o destrucción. Entre estas medidas se incluyen:

Cifrado de contraseñas mediante algoritmos seguros (bcrypt).
Comunicaciones cifradas mediante protocolo HTTPS/TLS.
Protección contra ataques CSRF en todos los formularios.
Limitación de intentos de inicio de sesión para prevenir ataques de fuerza bruta.
Almacenamiento de sesiones en base de datos con acceso restringido.
Control de acceso basado en roles para la gestión interna de la plataforma.

12. Modificaciones de esta política

Nos reservamos el derecho a modificar esta Política de Privacidad en cualquier momento. Cualquier cambio será publicado en esta misma página con la fecha de última actualización. Le recomendamos revisarla periódicamente.

En caso de cambios sustanciales que afecten al tratamiento de sus datos personales, le notificaremos a través del correo electrónico asociado a su cuenta.

Historial de versiones:

2026-09-v2 (17 de septiembre de 2026): incorpora el registro de inicios de sesión fallidos con la dirección IP, para la seguridad de la plataforma, y su plazo de conservación.
2026-09-v1 (10 de septiembre de 2026): incorpora el Hogar, los Miembros, los datos de salud con consentimiento explícito, los Perfiles, la tarjeta de fidelización, las líneas del ticket y las valoraciones. Corrige el proveedor de almacenamiento.
15 de abril de 2026: versión anterior.

13. Contacto

Si tiene alguna pregunta o duda sobre esta Política de Privacidad o sobre el tratamiento de sus datos personales, puede contactarnos en:

Correo electrónico: admon@naturcode.eu
Dirección postal: NaturCode Smart Label SL, C/ Silencio 2, 21290 Jabugo, Huelva, España