Términos y Condiciones
Última actualización: 3 de septiembre de 2026
1. Objeto y aceptación
Estos Términos regulan el uso de Zubup por parte de los negocios que se registran como clientes del servicio ("tú" o "el negocio"). Al crear una cuenta a través del proceso de onboarding, aceptas estos Términos y nuestra Política de Privacidad.
2. Descripción del servicio
Zubup ofrece una plataforma de fidelización de clientes basada en monedas, con promociones configurables y sistema de referidos. Incluye un panel de gestión para el negocio y una experiencia sin apps para el cliente final, accesible desde el navegador móvil.
3. Registro y cuenta
Para usar Zubup debes completar el registro con datos veraces y mantener la confidencialidad de tus credenciales de acceso. Eres responsable de toda actividad realizada desde tu cuenta y del personal al que des acceso al panel de mostrador.
4. Plan beta gratuito
Zubup se encuentra actualmente en fase beta y el servicio es gratuito. El acceso se concede por solicitud, mediante un código de acceso individual para completar el alta. Durante la beta no se recogen datos de tarjeta ni de ningún otro medio de pago, por lo que no es posible ningún cargo automático. Si en el futuro se introducen planes de pago, se te informará con una antelación razonable por email y la contratación será siempre voluntaria y expresa: ninguna cuenta pasará a un plan de pago sin que tú lo solicites y facilites entonces los datos de pago. Si al finalizar la beta decides no contratar un plan, podrás seguir usando las funciones que en ese momento se ofrezcan de forma gratuita o dar de baja la cuenta (apartado 8).
5. Datos de tus clientes (encargo de tratamiento)
Como negocio usuario de Zubup, sigues siendo el responsable del tratamiento de los datos personales de tus propios clientes (quienes se afilian a tu programa de fidelización). Zubup actúa como encargado del tratamiento respecto a esos datos, tratándolos únicamente para prestarte el servicio y siguiendo tus instrucciones documentadas. Las condiciones de ese encargo, exigidas por el artículo 28 del Reglamento (UE) 2016/679 (RGPD), se recogen en el Anexo I de estos Términos, que forma parte inseparable del contrato y que aceptas al darte de alta.
6. Uso aceptable
No está permitido usar Zubup para fines fraudulentos, manipular el sistema de monedas o referidos de forma artificial, ni intentar acceder a datos de otros negocios. Nos reservamos el derecho a suspender cuentas que incumplan estas condiciones.
7. Disponibilidad del servicio
Durante la fase beta no se garantiza un nivel de disponibilidad (SLA) formal. Trabajamos para mantener el servicio operativo de forma continua, pero puede haber interrupciones puntuales por mantenimiento o causas ajenas a nuestro control.
8. Cancelación y datos tras la baja
Puedes dejar de usar Zubup en cualquier momento escribiendo a soporte. Al darte de baja, tanto los datos de tu cuenta como los de tus clientes finales afiliados a tu programa se conservan 30 días (por si quieres reactivar la cuenta) y después se eliminan, salvo lo que debamos conservar por obligación legal.
9. Limitación de responsabilidad
Zubup no será responsable de pérdidas de ingresos u otros daños indirectos derivados del uso del servicio, salvo en los casos en que la legislación aplicable no permita limitar dicha responsabilidad.
10. Modificaciones
Podemos actualizar estos Términos para reflejar cambios en el servicio. Te avisaremos de cualquier cambio sustancial con antelación razonable por email.
11. Legislación y fuero
Estos Términos se rigen por la legislación española. Cualquier controversia se someterá a los juzgados y tribunales de Cádiz, salvo que la normativa de consumidores y usuarios establezca otro fuero.
Anexo I — Acuerdo de Encargo del Tratamiento (art. 28 RGPD)
Este Anexo regula el tratamiento de datos personales que Zubup (Bruno Villodres Balboa, NIF 77641326L, con domicilio en Avenida de la Bahía, 1 — 11012 Cádiz; en adelante, «el Encargado») realiza por cuenta del negocio que contrata el servicio (en adelante, «el Responsable»), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). En caso de contradicción entre este Anexo y el resto de los Términos, prevalece este Anexo en lo relativo a protección de datos.
1. Objeto, naturaleza y finalidad
El Encargado tratará datos personales por cuenta del Responsable con la única finalidad de prestar el servicio de fidelización, promociones y referidos descrito en estos Términos: alta y gestión de personas afiliadas al programa del Responsable, registro de consumos, cálculo y canje de monedas, gestión de referidos, prevención de fraude en el escaneo de tickets y envío de comunicaciones transaccionales relacionadas. El tratamiento incluye la recogida, registro, estructuración, conservación, consulta, comunicación a los subencargados enumerados en la cláusula 6 y supresión de dichos datos.
2. Duración
Este Anexo estará vigente mientras dure la relación contractual entre el Responsable y el Encargado. Una vez finalizada, se aplicará lo previsto en la cláusula 7.
3. Tipo de datos y categorías de interesados
- Categorías de interesados: clientes finales del Responsable que se afilian a su programa de fidelización.
- Categorías de datos: datos identificativos y de contacto (nombre, dirección de correo electrónico o identificador de cuenta de Google y, en su caso, número de teléfono), código de referido, e historial de actividad en el programa (consumos validados, importes, saldo y movimientos de monedas, canjes y, cuando aplique, imágenes de tickets e indicadores del sistema de prevención de fraude).
- No se tratan categorías especiales de datos del artículo 9 del RGPD.
4. Obligaciones del Encargado
El Encargado se obliga a:
- Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso lo comunicará al Responsable antes de tratar los datos si el Derecho aplicable no lo prohíbe.
- No destinar los datos a ninguna finalidad distinta ni conservarlos una vez cumplida la prestación, más allá de lo previsto en la cláusula 7.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a un deber de confidencialidad de naturaleza equivalente.
- Aplicar las medidas técnicas y organizativas apropiadas del artículo 32 del RGPD (cláusula 5).
- Asistir al Responsable, mediante medidas apropiadas, para que pueda atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad); si un interesado se dirige directamente al Encargado, este lo comunicará al Responsable a la mayor brevedad.
- Asistir al Responsable en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de seguridad a la autoridad de control y a los interesados, evaluaciones de impacto y consultas previas (artículos 32 a 36 del RGPD).
- Notificar al Responsable, sin dilación indebida y en todo caso antes de 72 horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información necesaria para que el Responsable cumpla, en su caso, con su deber de notificación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Responsable o por otro auditor autorizado por él.
5. Medidas de seguridad
El Encargado aplica, entre otras: cifrado de las comunicaciones en tránsito (TLS/HTTPS); alojamiento en proveedores de la Unión Europea con control de acceso; autenticación de las cuentas mediante credenciales cifradas gestionadas por Supabase Auth; segregación lógica de los datos por negocio; registro de accesos y eventos relevantes; copias de seguridad; y aplicación del principio de mínimo privilegio en el acceso del personal. El Responsable declara conocer y considerar suficientes estas medidas para los datos objeto del encargo.
6. Subencargados autorizados
El Responsable autoriza al Encargado a recurrir a los siguientes subencargados, con los que el Encargado tiene suscrito un contrato que impone las mismas obligaciones de protección de datos previstas en este Anexo:
- Supabase — base de datos y autenticación. Datos alojados en la Unión Europea.
- Hetzner Cloud (a través de Dokploy) — alojamiento de la aplicación. Datos alojados en la Unión Europea (Núremberg, Alemania).
- Stripe — procesamiento de pagos y suscripciones (aplicable cuando existan planes de pago). Transferencias a EE. UU. amparadas en Cláusulas Contractuales Tipo.
- Resend — envío de correos transaccionales. Transferencias a EE. UU. amparadas en Cláusulas Contractuales Tipo.
El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados con una antelación razonable, dando al Responsable la posibilidad de oponerse. La oposición que impida la prestación del servicio dará derecho a cualquiera de las partes a resolver el contrato.
7. Destino de los datos al finalizar
Finalizada la prestación, el Encargado suprimirá los datos personales tratados por cuenta del Responsable transcurridos 30 días desde la baja (plazo previsto para una eventual reactivación de la cuenta), salvo que deba conservar alguno por obligación legal, en cuyo caso lo bloqueará durante el plazo de prescripción de las responsabilidades correspondientes y lo suprimirá después. A petición del Responsable formulada antes de la supresión, el Encargado le devolverá los datos en un formato estructurado y de uso común.
8. Responsabilidad
Cada parte responde de los daños que cause a la otra o a terceros por el incumplimiento de sus propias obligaciones bajo la normativa de protección de datos. El Responsable garantiza que la recogida y comunicación de los datos al Encargado cuentan con una base jurídica válida y que ha informado adecuadamente a sus clientes finales.