Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Titular: David Torres Rial (persona física, NIF 35602692A)
• País: España
• Domicilio / Notificaciones: Domicilio a efectos de notificaciones: pendiente de actualización. Para cualquier comunicación legal escríbenos a legal@lebbo.es
• Email para asuntos de privacidad: privacidad@lebbo.es

Cuando reservas una actividad, la empresa organizadora de esa actividad es responsable del tratamiento de tus datos para la prestación de la experiencia; LEBBO actúa como encargado del tratamiento (su proveedor tecnológico) para gestionar la reserva, el aforo, los cobros y, cuando proceda, la tramitación de autorizaciones. Para todo lo relativo a tu cuenta de usuario en la plataforma, el responsable es LEBBO.

2. Datos que tratamos

Tratamos distintas categorías de datos según cómo interactúes con el servicio. Incluimos también los datos temporales (que se guardan solo unos minutos) y los datos técnicos para que tengas la imagen completa:

2.1. Datos de registro y cuenta

• Nombre y apellidos.
• Correo electrónico.
• Datos de autenticación necesarios para el acceso sin contraseña (códigos OTP).
• Si eliges entrar con Google, Google nos facilita el nombre, el correo electrónico y la foto de perfil de tu cuenta. No recibimos tu contraseña ni ningún otro dato de tu cuenta de Google.
• Idioma preferido y rol de usuario, empresa o afiliado.

2.2. Datos de reserva

• Fecha, actividad reservada y número de participantes (adultos, menores, bebés y mascotas).
• Teléfono de contacto (obligatorio): lo solicitamos siempre porque la empresa organizadora lo necesita para comunicarse contigo sobre tu reserva (cambios de horario, meteorología, punto de encuentro, incidencias) por teléfono o mensajería.
• Nombre y apellidos del comprador y de cada participante; edad de los participantes.
• Contacto de emergencia (nombre y teléfono) y notas que aportes para la actividad.
• Material asignado (tallas de kayak, plazas, etc.) y notas operativas.
• Datos de pago procesados directamente por Stripe (identificadores de cliente y de pago). No almacenamos números de tarjeta en nuestros sistemas.
• Garantía de tarjeta / no presentación: si la actividad lo requiere, Stripe guarda un método de pago para una posible penalización por no presentarte, junto con tu consentimiento expreso (fecha y texto aceptado).
• LEBBO Club: si te suscribes, el estado de la suscripción, sus fechas y los identificadores de cliente y de suscripción de Stripe.

Si reservas para otras personas, nos facilitas sus datos como participantes. Al hacerlo, te comprometes a haberles informado de esta política y a contar con su autorización (o con la de su representante legal, si son menores).

2.3. Datos de participación, seguridad y check-in

• Registro de check-in (asistencia) y, si procede, cobros realizados en el sitio.
• Aceptación de la exención de responsabilidad (waiver) cuando la actividad la exige: la firma manuscrita digitalizada que trazas en pantalla durante el check-in, el texto exacto de los puntos que aceptas y una huella criptográfica de la firma como prueba de integridad.
• Incidencias durante la actividad: descripción y, en su caso, fotografías del material o del incidente que registre el personal.

2.4. Reseñas y valoraciones

• Puntuación y texto de la reseña tras la actividad.
• Comentarios privados dirigidos a la empresa (no publicados).
• Si eliges dejar la reseña de forma anónima, no mostramos tu nombre públicamente.

2.5. Datos para autorizaciones ambientales

Algunas actividades se desarrollan en espacios naturales protegidos y exigen una autorización previa de la administración competente. Solo en esos casos, y solo para tramitarla, recogemos los datos que la autoridad exige por persona. Lo detallamos en el apartado 6.

2.6. Datos de empresa

• Nombre legal, NIF, dirección fiscal y datos bancarios.
• Actividades publicadas, precios y calendario.
• Si la empresa lo activa, la cuenta de Google que conecta para sincronizar contactos (ver apartado 7).

2.7. Datos de afiliados

• Información del solicitante: nombre, email, audiencia y canal principal.
• Clics, conversiones y comisiones generadas.
• Cuenta bancaria o medio de pago para liquidaciones.

2.8. Avisos de reapertura

Si una actividad está cerrada por temporada y nos pides que te avisemos, guardamos tu correo electrónico y la actividad para escribirte una sola vez, cuando se pueda reservar.

2.9. Datos temporales, técnicos y de seguridad

• Reservas temporales (holds): mientras completas el pago, guardamos durante unos minutos los datos de la reserva en curso (participantes, contacto y, si aplica, datos del permiso). Si no se confirma, esa retención temporal caduca y se libera automáticamente.
• Cookies de sesión y técnicas: autenticación de tu sesión y un identificador temporal de seguridad (estado anti-CSRF) durante la conexión con Google. Consulta la Política de cookies.
• Registros de consentimiento: cuando aceptas un documento (p. ej. el acuerdo de tratamiento o la garantía de tarjeta), guardamos la versión aceptada, la fecha y la dirección IP como prueba.
• Eventos de email: estado de entrega de los correos transaccionales (entregado, rebotado, marcado como spam) para no seguir escribiendo a direcciones que fallan.
• Dirección IP, usada para rate limiting, prevención de abuso y, en su caso, bloqueos de seguridad temporales.
• Verificación anti-bots (Cloudflare Turnstile) al entrar y en algunos formularios: tu dirección IP y señales técnicas del navegador, solo para comprobar que no eres un programa automático.
• Analítica (Google Analytics) mediante cookies, que solo se activan con tu consentimiento. Si lo das, cuando confirmas o cancelas una reserva, o te das de alta en LEBBO Club, nuestro servidor lo comunica a Google Analytics con ese mismo identificador (referencia e importe; nunca tu nombre, correo ni teléfono). Una copia de estos datos se guarda en BigQuery (Google Cloud, UE) para análisis interno.
• Estadística de visitas sin cookies (Vercel Web Analytics): la página que visitas (sin tokens ni identificadores de reservas o pagos), la página de la que vienes, el país, el tipo de dispositivo, el navegador y el sistema operativo. No usa cookies ni guarda nada en tu dispositivo, no se aplica al panel de las empresas y, para no contar dos veces una visita, se apoya en un identificador que se descarta a las 24 horas y que no permite identificarte.
• Eventos de error y rendimiento (a través de Sentry) para detectar y resolver problemas técnicos.

3. Finalidades y base legal

4. Plazos de conservación

• Datos de cuenta: mientras mantengas la cuenta activa. Tras su eliminación, conservamos datos mínimos durante 6 años si han existido transacciones, por obligaciones contables y fiscales.
• Reservas y facturas: 6 años, conforme al Código de Comercio y plazos fiscales aplicables.
• Firma del check-in: la imagen de la firma se conserva 5 años (plazo de prescripción de las acciones contractuales, art. 1964 del Código Civil) y después se elimina automáticamente; la constancia de la aceptación (huella criptográfica y puntos aceptados) se conserva junto al registro de la reserva.
• Reservas temporales (holds): se liberan y eliminan automáticamente a los pocos minutos si la reserva no se confirma.
• Reseñas e incidencias: mientras la reseña esté disponible y durante la gestión de la incidencia; las fotos de incidencias se conservan los plazos legales aplicables.
• Datos de autorizaciones ambientales: los datos identificativos de cada participante (documento, sexo, año de nacimiento, residencia…) se conservan hasta que se resuelve la autorización y, como máximo, 90 días después del día de la actividad, para atender posibles comprobaciones de la administración o incidencias; después se eliminan automáticamente. No los conservamos en tu perfil de usuario.
• Contactos en Google de la empresa: LEBBO solo crea el contacto; una vez creado, queda bajo el control de la empresa en su propia cuenta de Google y se rige por la conservación que esta aplique.
• Comunicaciones transaccionales: mientras dure la relación contractual y los plazos legales aplicables. El registro de entrega de cada correo (entregado, rebotado, spam) se borra a los 2 años.
• Avisos de reapertura: se borran 30 días después de enviarte el aviso o, si la actividad no llega a reabrir, a los 400 días.
• Analítica: 14 meses en Google Analytics; la copia en BigQuery no se conserva más de 26 meses. Las estadísticas de Vercel Web Analytics son agregadas y su identificador de visita se descarta a las 24 horas.
• Logs de seguridad e IPs: máximo 12 meses, salvo necesidad de conservarlos para investigar abusos o incidencias.
• Cookies: consulta la Política de cookies.

5. Destinatarios

Compartimos datos con los siguientes encargados de tratamiento, con contratos conforme al art. 28 RGPD cuando aplica:

Además, cuando reservas una actividad, tus datos de reserva se ponen a disposición de la empresa organizadora correspondiente, que los necesita para prestarte el servicio. Y comunicamos datos a administraciones públicas cuando exista obligación legal (Hacienda, Seguridad Social, autoridades ambientales o judiciales).

6. Tramitación de autorizaciones (DNI y datos sensibles)

Algunas actividades (por ejemplo, rutas en espacios naturales protegidos como el islote de Areoso) requieren una autorización de acceso que emite la administración ambiental competente (por ejemplo, la Xunta de Galicia). Para tramitarla en tu nombre, la autoridad exige identificar a cada participante.

Únicamente cuando la actividad lo requiere, y solo para ese fin, tratamos:

• Nombre y apellidos.
• Tipo y número de documento de identidad (DNI, NIE o pasaporte).
• Fecha o año de nacimiento.
• Sexo (en el formato que exige el formulario oficial).
• Nacionalidad / país, dirección, provincia y localidad de residencia.

Estos datos no son «categorías especiales» del art. 9 RGPD, pero los tratamos con especial cuidado:

• Minimización: solo se solicitan si la actividad necesita permiso, y solo los campos que la administración exige.
• Finalidad limitada: se usan exclusivamente para tramitar la autorización ante la administración y no para ninguna otra cosa.
• Destinatario: se transmiten a la administración competente, que actúa como responsable independiente en el ejercicio de sus competencias. La transmisión se realiza por canales oficiales y cifrados.
• Conservación: se eliminan automáticamente 90 días después del día de la actividad (ver apartado 4).
• No se guardan en tu perfil: estos datos de identidad no se almacenan para reutilizarlos; se solicitan de nuevo en cada reserva que requiera autorización. Solo reutilizamos, si procede, tus datos de contacto (nombre, email y teléfono).
• Copia de la autorización: no guardamos una copia del documento de autorización emitido (que incluiría los datos de todos los participantes). Conservamos únicamente un registro mínimo de la tramitación (referencia y fechas), asociado a la reserva, como prueba de que la autorización se solicitó y, en su caso, se concedió.

7. Acceso a las APIs de Google

Las empresas organizadoras pueden, de forma opcional, conectar su cuenta de Google para que el contacto de cada reserva se añada automáticamente a su agenda y poder comunicarse contigo más rápido. Esta conexión la realiza y autoriza la empresa.

• Solicitamos el permiso mínimo imprescindible de Google (gestión de contactos) y lo usamos solo para crear el contacto de la reserva (nombre, teléfono, email y una nota con la referencia y la fecha) en la cuenta de la empresa.
• No leemos, exportamos ni modificamos los contactos existentes de la empresa, ni compartimos esa información con terceros.
• Las credenciales de acceso a Google de la empresa se guardan cifradas y solo se usan en servidor.

El uso por parte de LEBBO de la información recibida de las APIs de Google se ajusta a la Google API Services User Data Policy, incluidos sus requisitos de Uso Limitado (Limited Use).

8. Transferencias internacionales

La práctica totalidad de los datos personales se procesa en infraestructura ubicada físicamente dentro del Espacio Económico Europeo (EEE). Concretamente: Supabase y Upstash en AWS Irlanda (eu-west-1), los servidores de Vercel en Dublín (dub1), Sentry en Frankfurt (región europea .de) y Stripe en Dublín.

Excepciones (Google y Cloudflare): si la empresa organizadora activa la sincronización de contactos, los datos de contacto de la reserva se transfieren a Google (infraestructura global, EE. UU.). Asimismo, implican tratamiento por Google la analítica de uso (Google Analytics), si la aceptas, y el acceso con tu cuenta de Google, si lo eliges. La verificación anti-bots se hace en la red global de Cloudflare. Estas transferencias se amparan en el EU-U.S. Data Privacy Framework y en Cláusulas Contractuales Tipo.

Correo electrónico (Resend): los correos que te enviamos (códigos de acceso, confirmaciones, recordatorios y avisos) salen de servidores de AWS en Irlanda (eu-west-1) a través de Resend (Plus Five Five, Inc.), que guarda un registro de los envíos en infraestructura de EE. UU. Esta transferencia se ampara en el EU-U.S. Data Privacy Framework y en Cláusulas Contractuales Tipo.

Además, varios de los proveedores anteriores son sociedades con sede en EE. UU.; aunque los datos no salen del EEE de forma rutinaria, puede existir acceso puntual desde fuera del EEE por parte de las matrices para soporte, seguridad o ingeniería. Como garantías:

• Los proveedores estadounidenses con los que trabajamos (Supabase, Vercel, Upstash, Resend, Sentry, Stripe, Cloudflare y Google) están adheridos al EU-U.S. Data Privacy Framework (DPF), reconocido por la Comisión Europea como mecanismo de adecuación.
• Se firman Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea como salvaguarda contractual adicional.

Puedes solicitar información adicional sobre estas garantías escribiendo a privacidad@lebbo.es.

9. Tus derechos

Tienes derecho a:

• Acceso: saber qué datos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar la eliminación de tus datos cuando proceda.
• Oposición: oponerte a tratamientos basados en interés legítimo o marketing.
• Limitación: solicitar que restrinjamos el tratamiento.
• Portabilidad: recibir tus datos en formato estructurado.
• Revocar consentimientos otorgados, sin efecto retroactivo.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos.

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma significativa, ni elaboramos perfiles con ese fin.

Para ejercerlos, escribe a privacidad@lebbo.es, a ser posible desde el correo de tu cuenta. Solo si tenemos dudas razonables sobre tu identidad te pediremos que la acredites. Es gratuito, y responderemos en el plazo máximo legal de un mes. Si tus datos los trata una empresa organizadora como responsable (por ejemplo, los contactos sincronizados en su Google), te ayudaremos a dirigir tu solicitud a quien corresponda.

Si consideras que hemos tratado tus datos de forma indebida, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en C/ Jorge Juan 6, 28001 Madrid, teléfono 901 100 099 / 912 663 517.

10. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos, incluyendo cifrado en tránsito (TLS) y en reposo (AES-256) cuando procede, control de acceso basado en roles, políticas de seguridad a nivel de fila que aíslan los datos de cada empresa, rate limiting, monitorización de errores y copias de seguridad en la UE. Las credenciales de Google de las empresas se almacenan cifradas a nivel de aplicación. Los pagos se procesan a través de Stripe, con certificación PCI-DSS nivel 1.

11. Menores de edad

Nuestros servicios de registro y creación de cuenta no están dirigidos a menores de 14 años, por lo que no permitimos el registro directo de usuarios menores de dicha edad. No obstante, las actividades de turismo activo y experiencias ofertadas a través de la plataforma pueden ir dirigidas a o permitir la participación de menores de edad. En estos casos, la participación del menor está condicionada a que vaya siempre acompañado por un adulto responsable (padre, madre, tutor legal o adulto debidamente autorizado), quien se encargará de realizar la reserva en su nombre y de proporcionar los datos estrictamente necesarios para la gestión operativa, logística y de seguridad de la actividad (como tallas de material, edad, nombres o datos para la tramitación de permisos ambientales obligatorios).

Al proporcionar dichos datos, el adulto responsable declara poseer la patria potestad, tutela o autorización legal para facilitar la información del menor y consentir su tratamiento en nombre del mismo. Si detectamos la recogida de datos de un menor de 14 años sin la debida autorización parental o del tutor, eliminaremos dicha información de nuestros sistemas con la mayor brevedad.

12. Cambios en la política

Podemos actualizar esta política para reflejar cambios legales u operativos. La fecha de última revisión aparece al inicio del documento. Si los cambios son sustanciales, te lo notificaremos por email o mediante aviso destacado antes de que entren en vigor.