Política de privacidad de refeer

Versión de 5 de octubre de 2026.

refeer es una app que conecta a comercios con personas que les recomiendan clientes, a las que llamamos captadores. Los comercios publican sus productos o servicios y las comisiones que ofrecen. Los captadores eligen con quién colaborar y presentan a personas interesadas en esas ofertas. La app reúne esa colaboración, el seguimiento de cada oportunidad y la gestión de los pagos asociados.

En esa actividad se comparte información entre las personas que colaboran: datos de los perfiles y comercios, los datos de contacto del cliente recomendado y la información necesaria para tramitar cada oportunidad. refeer también utiliza datos para mantener la cuenta, gestionar los pagos y las suscripciones, atender consultas y proteger el servicio.

Esta política explica qué información tratamos, de dónde procede, para qué la usamos y quién puede recibirla. También recoge los plazos de conservación y cómo ejercer tus derechos. Se aplica tanto a quienes tienen una cuenta en refeer como a los clientes cuyos datos se comparten en una oportunidad, aunque no utilicen la app.

1. Responsable y contacto

El responsable es REFEER APP SL, NIF B88907720, con domicilio en Calle Licenciado Poza 11 Bajo, 48011 Bilbao, Bizkaia, España. Para consultas de privacidad o para ejercer tus derechos, escribe a [email protected].

2. Datos que tratamos y su origen

Recibimos los datos que introduces al registrarte, crear un perfil o comercio, publicar una oferta, enviar una oportunidad, usar el chat, valorar o contactar con soporte. Incluyen nombre, correo, teléfono, imagen de perfil, país, idioma, información del comercio y el contenido que compartes. La autenticación se gestiona mediante Firebase y, cuando los eliges, Apple o Google. La cuenta está reservada a personas mayores de 18 años.

Si un captador te recomienda a un comercio, recibimos de él tu nombre, teléfono y los datos de la oportunidad. El captador debe informarte y obtener tu autorización antes de compartirlos. El comercio destinatario los recibe para atender la solicitud indicada. Puedes preguntarnos por su origen y ejercer tus derechos aunque no tengas una cuenta.

También registramos propuestas, oportunidades, identificadores QR, cambios de estado, confirmaciones, movimientos económicos, justificantes y referencias del proveedor. Para operar y proteger la app tratamos datos técnicos como IP, versión de la app y del sistema, errores, marcas de tiempo, identificadores de sesión y tokens de notificación. Los permisos de cámara, fotos o ubicación se solicitan cuando una función los necesita; la medición no utiliza la ubicación precisa.

3. Pagos, tarjeta e identidad

Whop presta los servicios de pago y verificación habilitados en la app. Compartimos los datos de contacto, facturación, país, identidad y operación necesarios para prestar esos servicios. Whop puede recurrir a sus proveedores de verificación y procesamiento, incluida una sesión alojada de verificación cuando corresponda.

Si autorizas guardar una tarjeta, los campos protegidos la envían a Enigma. Nuestro backend y nuestra base de datos no reciben ni guardan el número completo ni el código de seguridad. Conservamos un token o referencia, la marca, los últimos cuatro dígitos, la caducidad y el registro de tu autorización para mostrarla y permitir su uso. El código de seguridad no se conserva como parte de la tarjeta guardada. Al retirarla revocamos su uso en refeer y solicitamos su eliminación al proveedor; si este no está disponible, la solicitud se reintenta.

La verificación puede pedir datos personales, domicilio, información fiscal, documento de identidad o imágenes. En el flujo nativo, la app mantiene esos datos en memoria durante el trámite y el backend los transmite al proveedor sin guardarlos en Firestore, Storage o registros de diagnóstico. La app limpia los archivos temporales que genera para ese trámite. El proveedor trata y conserva lo que recibe según sus funciones y obligaciones. Si una sesión alojada requiere selfie, prueba de presencia u otro tratamiento de imagen, consulta el aviso específico del proveedor antes de continuar.

Conservamos identificadores del perfil de pagos, estados de verificación y registros de las operaciones, pero no copias de los documentos de identidad. Los movimientos históricos pueden seguir vinculados a Stripe cuando sea necesario para consultarlos, resolver una disputa o cumplir una obligación legal. Apple y Google gestionan las compras y suscripciones efectuadas a través de sus tiendas.

4. Para qué usamos los datos

Cuenta y servicio. Para registrarte, autenticarte, gestionar comercios y colaboraciones, tramitar oportunidades y prestar soporte. La base es la ejecución del contrato o las medidas que solicitas antes de contratar (artículo 6.1.b del RGPD).
Datos de clientes recomendados. Para trasladar la solicitud al comercio indicado, basándonos en la autorización informada del cliente (artículo 6.1.a). La relación contractual con un captador no sustituye la autorización de ese cliente. El comercio debe informar sobre el tratamiento que realice después.
Pagos y verificaciones. Para ejecutar la operación que solicitas y gestionar su confirmación, retirada o incidencia (artículo 6.1.b). Los registros fiscales o los requerimientos de autoridades se atienden cuando exista una obligación aplicable (artículo 6.1.c). Los proveedores de pago determinan la base de sus propios controles legales.
Seguridad y diagnóstico. Para detectar accesos indebidos, abuso, fraude y errores, y mantener el servicio (interés legítimo en protegerlo, artículo 6.1.f). Usamos Firebase Crashlytics y registros operativos. Los diagnósticos de pago utilizan códigos, proveedor, tipo de operación, tiempo y estado técnico; excluyen los campos de tarjeta, documentos de identidad y contenido de los formularios.
Avisos y soporte. Para comunicar estados de propuestas, pagos, incidencias y cambios del servicio (artículos 6.1.b y, cuando corresponda, 6.1.c). Las comunicaciones promocionales sujetas a consentimiento dependen de tu elección y puedes desactivarlas.
Medición opcional. Para analizar el uso y medir campañas con Google/Firebase y Meta, solo con tu consentimiento (artículo 6.1.a), según se explica a continuación.

5. Medición y permisos opcionales

La medición parte desactivada. Puedes elegirla al iniciar la app y cambiar tu decisión en Preferencias. Rechazarla o retirarla no impide usar refeer. En iOS, el seguimiento sujeto a App Tracking Transparency también requiere el permiso de Apple.

Con tu consentimiento enviamos identificadores seudónimos, datos técnicos y eventos de uso, primera apertura, registro, pruebas y suscripciones. Estos últimos pueden incluir producto, importe y moneda. Los identificadores publicitarios se utilizan solo cuando los permisos lo permiten. Google puede obtener una ubicación aproximada a partir de la IP. La integración no crea audiencias de remarketing ni activa publicidad personalizada.

No enviamos nombres, correos, teléfonos, datos de clientes recomendados, documentos de identidad, recibos ni tokens de compra para medir conversiones. Al retirar el consentimiento detenemos los nuevos envíos de medición y cancelamos los pendientes. Esto no elimina los registros necesarios para operar una suscripción, resolver una incidencia o cumplir una obligación legal.

6. Quién recibe los datos

Los comercios y captadores reciben la información necesaria para su colaboración y las oportunidades en las que participan, según los permisos de la app. El comercio destinatario recibe los datos de contacto del cliente en el flujo de aceptación; no se publican en el catálogo.

Google Firebase y Google Cloud proporcionan autenticación, alojamiento, base de datos, archivos, notificaciones y diagnóstico. Whop y los proveedores que intervienen en sus operaciones reciben los datos necesarios de pagos y verificación; Enigma gestiona la tarjeta guardada. Stripe puede intervenir en operaciones anteriores. Apple y Google reciben los datos de las compras de sus tiendas. El personal autorizado de soporte accede a la información necesaria para atender incidencias y revisar abusos.

Con tu consentimiento, Google Analytics for Firebase y Meta reciben los datos de medición descritos. Podemos comunicar información a autoridades, juzgados y administraciones cuando lo exija la ley. Cada proveedor puede actuar como encargado o como responsable de tratamientos propios, según el servicio que preste. Puedes consultar, entre otras, las políticas de Whop, Stripe, Google y Meta.

7. Transferencias internacionales

Algunos proveedores operan fuera del Espacio Económico Europeo. Cuando se produce una transferencia, debe basarse en una decisión de adecuación aplicable o en garantías como las cláusulas contractuales tipo y las medidas adicionales necesarias. El Marco de Privacidad de Datos UE-EE. UU. solo puede utilizarse para entidades certificadas y tratamientos cubiertos por esa certificación. Puedes solicitar información sobre los destinatarios y las garantías aplicables a tus datos en [email protected].

8. Cuánto tiempo conservamos los datos

Mantenemos los datos de cuenta mientras esté activa y los necesarios de cada colaboración u oportunidad mientras se gestionan. Finalizar una oportunidad no borra automáticamente todo su historial. La información necesaria para resolver reclamaciones queda limitada a ese fin durante el plazo aplicable; después debe eliminarse o anonimizarse.

La documentación mercantil que deba conservar refeer se mantiene durante los 6 años previstos en el Código de Comercio, y la información fiscal durante los plazos de la Ley General Tributaria, con carácter general 4 años, que pueden ampliarse por interrupciones de la prescripción u otras obligaciones. Los proveedores de pago aplican además los plazos legales que les correspondan. No conservamos todos los datos de una cuenta por el mero hecho de que un justificante deba mantenerse.

La retención configurada para datos analíticos es de 14 meses y para los registros de entrega de eventos de medición, 30 días. Los registros de seguridad y soporte se mantienen mientras sean necesarios para investigar la incidencia o defender una reclamación, con acceso restringido y sin reutilizarlos para publicidad.

Al solicitar la baja desde la app, la eliminación queda programada con un plazo de 7 días para cancelarla. Puede ser necesario resolver antes operaciones económicas pendientes. La baja elimina o desidentifica los datos operativos previstos por el proceso y no suprime los registros sujetos a conservación legal. Las copias de seguridad se sustituyen según su ciclo de retención; las copias programadas de la base principal tienen un máximo configurado de 28 días y la recuperación a un punto anterior cubre hasta 7 días. No se usan como archivos comerciales.

9. Tus derechos

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan, y retirar tus consentimientos sin afectar a la licitud del tratamiento anterior. Escribe a [email protected], indica el derecho que quieres ejercer y los datos mínimos para localizar tu cuenta u oportunidad. Solo pediremos información adicional de identidad cuando sea necesaria.

Responderemos, con carácter general, en un mes; si la complejidad permite ampliar el plazo, te lo comunicaremos y explicaremos el motivo. También puedes reclamar ante la Agencia Española de Protección de Datos o la autoridad de control competente. La eliminación de tu cuenta puede solicitarse desde Seguridad o mediante el formulario público de eliminación.

10. Cambios en esta política

Publicamos la fecha y versión de cada actualización. Cuando el cambio sea relevante, te avisaremos dentro de refeer. Registramos por separado que se ha mostrado el aviso y que has aceptado los términos y reconocido esta política. Abrir el popup no cambia tus permisos de medición, tu autorización para guardar tarjetas ni otros consentimientos específicos.