Política de Privacidad

Última actualización: 23 de mayo de 2026 Versión: 2026-05-23-pending-lawyer

> Aviso: esta versión incorpora los extremos del art. 13 RGPD y la guía AEPD del deber de informar y sustituye a la versión preliminar 2026-05-16. Está pendiente de validación por abogado/a especialista en RGPD (acción AR-6 del audit interno). Hasta esa validación, los datos registrales del responsable se publican parcialmente; en caso de duda escríbenos a hola@jumosol.com.

En JUMOSOL FRUITS, S.L. nos tomamos en serio la privacidad de las personas que usan Jumosol's Tour. Esta política explica quién trata tus datos, qué datos recogemos, para qué, con qué base legal, cuánto tiempo los guardamos, con quién los compartimos y cómo puedes ejercer tus derechos.

Está escrita en formato de dos capas según recomienda la AEPD: un resumen rápido en el formulario de registro y este documento completo aquí.

1. Responsable del tratamiento

• Razón social: JUMOSOL FRUITS, S.L.
• NIF: B50826593
• Domicilio social: C/ Andrés Segovia, 17 · 50740 Fuentes de Ebro, Zaragoza, España
• Teléfono: +34 976 161 040
• Email de contacto en materia de privacidad: hola@jumosol.com
• Datos de inscripción registral: disponibles previa solicitud a hola@jumosol.com; se completarán en esta política tras la finalización de la revisión legal externa en curso.

Delegado de Protección de Datos (DPO)

JUMOSOL FRUITS, S.L. no está obligada a designar un Delegado de Protección de Datos (DPO) conforme al art. 37 RGPD y art. 34 LOPDGDD, dado que no realiza tratamientos a gran escala de categorías especiales ni observación sistemática a gran escala. No obstante, todas las consultas sobre privacidad se atienden directamente a través del email hola@jumosol.com.

2. Qué datos tratamos

2.1 Datos que tú nos das

• Datos de cuenta: email, nombre, contraseña (que almacenamos hasheada con bcrypt vía Supabase Auth — no podemos recuperarla, solo verificarla).
• Datos de perfil: teléfono (opcional), avatar (opcional).
• Dirección de envío: línea 1, línea 2, código postal, ciudad, provincia, país — solo si reclamas un premio físico.
• Confirmación de mayoría de edad: indicador booleano (no almacenamos tu fecha de nacimiento).
• Decisión sobre comunicaciones comerciales: opt-in revocable.

2.2 Datos generados al usar el servicio

• Retos completados, puntos acumulados, premios reclamados.
• Escaneos de códigos QR físicos (ID del QR + timestamp; no geolocalización GPS).
• Contenido generado al participar en retos (fotos, texto que envíes en challenge submissions).
• Histórico de logins, refresh tokens (gestionados por Supabase Auth).

2.3 Datos técnicos automáticos

• Dirección IP de tus interacciones de seguridad (registro, cambio de email, revocación de consentimientos) — para auditoría forense.
• User-Agent del navegador — para auditoría forense.
• Cookies estrictamente necesarias (ver Política de Cookies).

2.4 Datos de comunicación

• Logs de los emails que te enviamos (estado: entregado, rebote, queja por spam) — para diagnosticar fallos de entregabilidad y respetar listas de exclusión.

2.5 Datos que NO recogemos

• No tratamos categorías especiales (art. 9 RGPD: salud, ideología, religión, orientación sexual, datos biométricos, etc.).
• No hacemos perfilado automatizado que produzca efectos jurídicos (art. 22 RGPD).
• No tratamos datos de menores de edad conscientemente. El servicio se reserva exclusivamente para personas mayores de edad y declaras serlo al registrarte.

3. Finalidades y base legal

| Finalidad | Datos involucrados | Base legal (RGPD) | |---|---|---| | Crear y mantener tu cuenta | Email, nombre, contraseña hasheada | Art. 6.1.b — ejecución del contrato | | Funcionamiento del juego (retos, puntos, premios) | Actividad en plataforma, QR scans, submissions | Art. 6.1.b — ejecución del contrato | | Entrega de premios físicos | Dirección de envío | Art. 6.1.b — ejecución del contrato | | Comunicaciones transaccionales (confirmación de cuenta, recuperación de contraseña, aviso de premio) | Email, plantillas | Art. 6.1.b — ejecución del contrato | | Comunicaciones comerciales (newsletter, novedades) | Email + indicador opt-in | Art. 6.1.a — consentimiento expreso revocable | | Cookies no esenciales (cuando se activen analíticas) | Cookies | Art. 6.1.a — consentimiento expreso revocable | | Cumplimiento obligaciones fiscales (premios > 300 €) | Identificación ganador, valor premio | Art. 6.1.c — obligación legal | | Prevención del fraude y seguridad (intentos de login, cuentas múltiples, scraping de QR) | IP, User-Agent, logs admin | Art. 6.1.f — interés legítimo (test de ponderación a favor del responsable) | | Atención de tus derechos como interesado | Datos de la solicitud + identificación | Art. 6.1.c — obligación legal |

4. Cuánto tiempo guardamos tus datos

| Categoría | Plazo de conservación activa | Tras tu baja (anonimización) | |---|---|---| | Email, contraseña hasheada, perfil | Vida de la cuenta | Borrado inmediato; el ID interno se mantiene anonimizado | | Actividad de juego (retos, puntos) | Vida de la cuenta | Pseudonimizado: se conserva el registro sin asociarlo a tu identidad | | Direcciones de envío | Vida de la cuenta + 6 años desde el último canje | Borrado tras 6 años (obligación fiscal art. 30 Código de Comercio) | | Submissions (fotos, texto del usuario) | Vida de la cuenta | Pseudonimizado durante 5 años (integridad del concurso) | | Logs de emails transaccionales | 24 meses rolling | Conservados para forense entregabilidad | | Consentimientos prestados / revocados | 5 años post-baja | Conservados (prueba forense del art. 7 RGPD) | | Logs de auditoría administrativa | 5 años | Conservados |

5. Con quién compartimos tus datos

5.1 Encargados del tratamiento

Tus datos los procesan por cuenta de JUMOSOL FRUITS, S.L. los siguientes proveedores (sub-encargados con DPA y ubicación en UE / SCCs cuando proceda):

| Proveedor | Función | Ubicación | DPA | |---|---|---|---| | Vercel Inc. | Hosting de la web | EU-West (Frankfurt) | https://vercel.com/legal/dpa | | Supabase Inc. | Base de datos, autenticación, almacenamiento | EU-West (Ireland) | https://supabase.com/dpa | | Resend.com | Envío de emails transaccionales | EU-West (Frankfurt vía AWS SES) | https://resend.com/legal/dpa | | Cloudflare Inc. | TLS, protección DDoS (capa edge vía Vercel) | Edge global con SCCs | https://www.cloudflare.com/cloudflare-customer-dpa/ |

5.2 No vendemos tus datos

No vendemos, alquilamos ni cedemos tus datos a terceros con fines publicitarios.

5.3 Cesiones legales

Solo cederemos tus datos a autoridades públicas (AEPD, FFCCSS, juzgados) cuando exista requerimiento legal motivado.

6. Transferencias internacionales

Todos los proveedores principales (Vercel, Supabase, Resend) procesan tus datos en territorio UE o cubiertos por Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea para garantizar un nivel de protección equivalente.

Si en el futuro un proveedor implicara transferencia fuera del Espacio Económico Europeo sin decisión de adecuación, actualizaremos esta política y, cuando proceda jurídicamente, pediremos tu consentimiento.

7. Tus derechos

Tienes derecho a:

• Acceso (art. 15) — saber qué datos tenemos sobre ti.

- Cómo ejercerlo: self-service en /account/profile (datos básicos) o solicitud por email.

• Rectificación (art. 16) — corregir datos inexactos.

- Cómo ejercerlo: self-service en /account/profile.

• Supresión (art. 17 — "derecho al olvido").

- Cómo ejercerlo: self-service en /account/danger-zone. Anonimizamos tu PII inmediatamente y revocamos tus sesiones en todos los dispositivos.

• Limitación (art. 18) — restringir el tratamiento en supuestos tasados.

- Cómo ejercerlo: solicitud por email.

• Portabilidad (art. 20) — recibir tus datos en formato estructurado.

- Cómo ejercerlo: self-service en /account/export-data. Descarga un JSON con todos tus datos.

• Oposición (art. 21) — oponerte a tratamientos basados en interés legítimo o a recibir marketing.

- Cómo ejercerlo: para marketing, desactiva el toggle en /account/profile; para otros, solicitud por email.

• No ser objeto de decisiones automatizadas (art. 22) — declaramos expresamente que no realizamos perfilado automatizado con efectos jurídicos.

Para cualquier solicitud no resoluble self-service, escribe a hola@jumosol.com desde el email asociado a tu cuenta (si no es posible verificar tu identidad por otra vía, podemos pedirte una identificación adicional según art. 12.6 RGPD).

Atenderemos tu solicitud en un plazo máximo de 1 mes (ampliable a 2 meses adicionales en casos complejos, comunicándotelo).

Derecho a reclamar

Si consideras que hemos tratado tus datos incorrectamente, puedes presentar reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web: https://www.aepd.es
• Dirección: C/ Jorge Juan, 6 – 28001 Madrid
• Teléfono: 901 100 099 / 912 663 517

Te animamos a contactarnos primero a hola@jumosol.com — habitualmente podemos resolver tu consulta antes de que necesites reclamar formalmente.

8. Medidas de seguridad

Aplicamos medidas técnicas y organizativas conforme al art. 32 RGPD:

• Cifrado en tránsito: HTTPS forzado (TLS 1.2+).
• Cifrado en reposo: cifrado at-rest a nivel de proveedor (Supabase/AWS RDS).
• Contraseñas: hashing bcrypt; nuestros sistemas no pueden recuperarla, solo verificarla.
• Control de acceso: Row-Level Security en PostgreSQL — un usuario solo puede leer/escribir sus propias filas.
• Rate-limits para prevenir abuso (login, reset de contraseña, borrado de cuenta).
• Logs de auditoría append-only para acciones administrativas.
• Procedimiento de notificación de brechas documentado (art. 33/34 RGPD): notificamos a AEPD en máximo 72h y a las personas afectadas si la brecha entraña alto riesgo.

9. Cambios en esta política

Si modificamos esta política de forma material, te lo comunicaremos por email (si tu cuenta está activa) y/o mediante aviso destacado en la web al menos 30 días antes de la entrada en vigor de los cambios.

Si los cambios afectan a una finalidad para la que prestaste consentimiento, te pediremos un nuevo consentimiento antes de aplicarlos.

Cada versión de esta política queda registrada en nuestra base de datos con su fecha de publicación.

10. Información adicional

• Política de Cookies: https://tour.jumosol.com/legal/cookies
• Términos y Condiciones: https://tour.jumosol.com/legal/terms
• Bases legales del concurso: https://tour.jumosol.com/legal/contest-rules