ES
Iniciar sesión

Información legal

Política de privacidad

Traducción no vinculante. La versión vinculante es la alemana: Datenschutzerklärung (alemán).

Fecha: noviembre de 2026 | Versión: 1.0
Responsable del tratamiento: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main

Ámbito de aplicación: Esta política de privacidad se aplica conjuntamente a: (1) el sitio web tapcoat.com, (2) el dashboard SaaS de Tapcoat y (3) la app de Tapcoat (iOS y Android). Se dirige a las personas que visitan el sitio web, a las organizaciones clientes registradas y a las personas interesadas, no a los clientes finales ni a los asistentes, cuyos datos trata Tapcoat por encargo de las organizaciones clientes (véase el apartado 11).

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del RGPD es:

Tapcoat GmbH
Hanauer Landstraße 204, 60314 Frankfurt am Main
Representación legal: Tim Hoh, Lutz Bischoff (dirección)
Tribunal de registro: Amtsgericht Frankfurt am Main, HRB 141281
Correo electrónico de protección de datos: datenschutz@tapcoat.com
Contacto general: hello@tapcoat.com

Tapcoat no ha designado un delegado de protección de datos; actualmente no existe una obligación legal de designarlo según el art. 37 RGPD y el § 38 BDSG. Para consultas sobre protección de datos, escribe directamente a datenschutz@tapcoat.com.

2. Qué datos tratamos y por qué: resumen

Solo tratamos datos personales si existe una base jurídica según el art. 6 RGPD:

  • Art. 6, apdo. 1, letra a — consentimiento: p. ej., cookies de seguimiento, Hotjar, newsletter (salvo que se trate de publicidad a clientes existentes)
  • Art. 6, apdo. 1, letra b — ejecución o preparación de un contrato: p. ej., registro, gestión de la cuenta, facturación
  • Art. 6, apdo. 1, letra c — obligación legal: p. ej., obligaciones de conservación según HGB/AO
  • Art. 6, apdo. 1, letra f — interés legítimo: p. ej., registros del servidor, prevención del fraude, comunicaciones de servicio, HubSpot CRM

3. Personas que visitan el sitio web (tapcoat.com)

3.1 Registros del servidor y datos de conexión de Cloudflare

Al acceder a tapcoat.com se registran automáticamente los siguientes datos y se guardan en los registros del servidor:

  • Dirección IP (se anonimiza como máximo a los 7 días)
  • Fecha y hora del acceso
  • URL solicitada
  • Volumen de datos transferido
  • Tipo de navegador y sistema operativo (user agent)
  • Código de estado HTTP

Base jurídica: art. 6, apdo. 1, letra f RGPD (funcionamiento y seguridad del sitio web).
Proveedores de servicios: Mittwald CM Service GmbH & Co. KG (alojamiento, Espelkamp) y Cloudflare, Inc. (CDN/protección DDoS, PoP de Fráncfort). Se ha firmado un contrato de encargo del tratamiento con ambos.
Plazo de conservación: 30 días; después, eliminación automática.

3.2 Contacto mediante formulario de HubSpot o correo electrónico

Si nos contactas mediante el formulario de contacto de tapcoat.com (proporcionado por HubSpot Ireland Limited) o por correo electrónico a hello@tapcoat.com, tratamos:

  • Nombre
  • Dirección de correo electrónico
  • Empresa (si la indicas)
  • Contenido de tu consulta
  • Momento del contacto

El formulario de contacto solo se carga cuando haces clic en «Cargar formulario» (solo para esta visita a la página) o automáticamente si en el banner de cookies has permitido «Contenidos externos». Antes no se transmite ningún dato a HubSpot. Al cargarlo se transmiten a HubSpot, en particular, tu dirección IP, información del navegador y del dispositivo y la página visitada. HubSpot puede utilizar cookies o tecnologías similares. La base jurídica para cargar el formulario es tu consentimiento (art. 6, apdo. 1, letra a RGPD, § 25, apdo. 1, TDDDG). Puedes retirarlo en cualquier momento con efecto para el futuro a través de «Ajustes de cookies» en el pie de página.

Para el tratamiento de tu consulta se aplica lo siguiente:

Base jurídica: art. 6, apdo. 1, letra b RGPD (medidas precontractuales) o letra f RGPD (interés legítimo en la gestión de consultas).
Proveedor de servicios: HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Irlanda (contrato de encargo del tratamiento según el art. 28 RGPD, transferencia a terceros países mediante SCC + EU-US Data Privacy Framework).
Plazo de conservación: Los datos de las consultas se conservan durante su tramitación y 3 años después (plazos de prescripción del BGB). Los datos de los que surge una relación con una organización cliente se tratan en el apartado 6.

3.3 HubSpot Chat

En tapcoat.com utilizamos un chat en directo mediante HubSpot. Si abres o usas el chat, se transmiten a HubSpot cookies y datos de conexión (dirección IP, contenido del chat, marcas de tiempo).

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento mediante el banner de cookies para funciones de seguimiento); art. 6, apdo. 1, letra f RGPD para la mera función de comunicación.
Proveedor de servicios: HubSpot Ireland Limited (como arriba). Las conversaciones del chat pueden guardarse en el CRM de HubSpot.
Oposición: Puedes cerrar el chat en cualquier momento sin usarlo. El consentimiento puede retirarse en cualquier momento en tapcoat.com/datenschutz.

3.4 Reserva de citas mediante HubSpot Meetings

En nuestra página «Demo» puedes reservar una cita para una demostración del producto. Para ello utilizamos HubSpot Meetings, un servicio de HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Irlanda. El calendario de citas solo se carga cuando haces clic en «Cargar calendario» (solo para esta visita a la página) o automáticamente si en el banner de cookies has permitido «Contenidos externos». Antes no se transmite ningún dato a HubSpot. Al cargarlo se transmiten a HubSpot, en particular, tu dirección IP, información del navegador y del dispositivo y la página visitada. HubSpot puede utilizar cookies o tecnologías similares.

Si reservas una cita, tratamos en HubSpot los datos que introduces (p. ej., nombre, dirección de correo electrónico, cita elegida y, en su caso, otros datos) para concertar y realizar la cita.

Base jurídica: Para cargar el calendario y acceder a tu dispositivo, tu consentimiento (art. 6, apdo. 1, letra a RGPD, § 25, apdo. 1, TDDDG). El consentimiento mediante clic solo vale para la respectiva visita a la página. Puedes retirar tu consentimiento en cualquier momento con efecto para el futuro a través de «Ajustes de cookies» en el pie de página. La retirada no afecta a la licitud del tratamiento realizado hasta ese momento. Puedes solicitar la supresión de los datos ya transmitidos o información sobre ellos en datenschutz@tapcoat.com (apartado 14). Para el tratamiento de tus datos de reserva, art. 6, apdo. 1, letra b RGPD (medidas precontractuales) o letra f RGPD (interés legítimo en la coordinación de citas).
Proveedor de servicios: HubSpot Ireland Limited (como arriba). HubSpot trata los datos por nuestro encargo sobre la base de un contrato de encargo del tratamiento (art. 28 RGPD). Transferencia a terceros países mediante SCC + EU-US Data Privacy Framework.
Plazo de conservación: Conservamos tus datos de reserva para la coordinación de la cita y después durante 3 años (plazos de prescripción del BGB). Si se celebra un contrato, se aplica el apartado 6.

3.5 Indicador de estado de Better Stack

En nuestra página «System status» (en inglés) mostramos el estado actual de tapcoat con un indicador de estado de Better Stack (Better Stack s.r.o., Praga, CZ). El indicador solo se carga cuando haces clic en «Load status» (solo para esta visita a la página) o automáticamente si en el banner de cookies has permitido «Contenidos externos». Antes no se transmite ningún dato a Better Stack. Al cargarlo se transmiten a Better Stack, en particular, tu dirección IP, información del navegador y del dispositivo y la página visitada.

Base jurídica: tu consentimiento (art. 6, apdo. 1, letra a RGPD, § 25, apdo. 1, TDDDG). El consentimiento mediante clic solo vale para la respectiva visita a la página. Puedes retirar tu consentimiento en cualquier momento con efecto para el futuro a través de «Ajustes de cookies» en el pie de página.
Proveedor de servicios: Better Stack s.r.o., Praga, CZ (UE, sin transferencia a terceros países).

4. Cookies y tecnologías similares — TDDDG y RGPD

Según el § 25 TDDDG (Telekommunikation-Telemedien-Datenschutz-Gesetz), instalar cookies o leer información del dispositivo solo está permitido con consentimiento expreso, salvo que se trate de cookies técnicamente imprescindibles. Las cookies técnicamente no necesarias (p. ej., de análisis, marketing o chat) solo las instalamos tras tu consentimiento activo mediante nuestro banner de cookies.

4.1 Cookies técnicamente necesarias

Las siguientes cookies las instalamos sin consentimiento, porque son imprescindibles para el funcionamiento del sitio web:

  • Cookie de sesión (estado de inicio de sesión en el dashboard, vigente durante la sesión)
  • Token de protección CSRF (seguridad frente a cross-site request forgery)
  • Decisión sobre el consentimiento de cookies (guarda tu consentimiento o rechazo)

Base jurídica: § 25, apdo. 2, n.º 2 TDDDG, art. 6, apdo. 1, letra f RGPD.

4.2 Cookies de análisis y marketing (solo con consentimiento)

Las cookies y tecnologías de seguimiento siguientes solo se activan si has dado tu consentimiento en el banner de cookies. Puedes retirar tu consentimiento en cualquier momento con efecto para el futuro (apartado 15.1).

Los contenidos externos, como el calendario de citas (apartado 3.4), también los cargamos solo con tu consentimiento: mediante un clic o a través de la categoría «Contenidos externos» del banner de cookies.

5. Herramientas de análisis y marketing

5.1 Google Analytics 4 (GA4)

Utilizamos Google Analytics 4 (GA4) para analizar el comportamiento de uso en tapcoat.com. GA4 utiliza cookies y tecnologías similares para recopilar datos de usuario seudonimizados.

Datos tratados: ID de dispositivo seudonimizado, datos de sesión, páginas vistas, eventos (p. ej., clics en botones, envíos de formularios), dirección IP (se acorta en el servidor).

Si utilizas la búsqueda de nuestro Centro de ayuda, tras tu consentimiento transmitimos además a GA4 el término de búsqueda introducido, junto con el idioma de la página, el número de resultados y, en su caso, la posición del resultado en el que hiciste clic. El término de búsqueda se acorta a un máximo de 60 caracteres. No transmitimos términos que parezcan una dirección de correo electrónico, un número de teléfono o de cliente, una dirección web o datos bancarios. Por favor, no introduzcas datos personales en el campo de búsqueda. Analizamos los términos de búsqueda para detectar contenidos de ayuda que faltan.

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento), § 25, apdo. 1, TDDDG.
Corresponsabilidad: Tapcoat y Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) son corresponsables del tratamiento según el art. 26 RGPD. El contenido esencial del acuerdo de corresponsabilidad está disponible en https://business.safety.google/adscontrollerterms.
Transferencia a terceros países: Google LLC, EE. UU. Garantía: SCC según el art. 46 RGPD + EU-US Data Privacy Framework (decisión de adecuación de 10.07.2023).
Plazo de conservación: datos sin procesar 14 meses (ajuste estándar de GA4). Puedes desactivar la recopilación de forma permanente con el complemento de navegador de Google: https://tools.google.com/dlpage/gaoptout
Oposición: consentimiento revocable en cualquier momento en el banner de cookies.

5.2 Google Ads y seguimiento de conversiones

Utilizamos Google Ads para mostrar anuncios en servicios de Google, así como el seguimiento de conversiones de Google para medir el éxito de nuestras campañas publicitarias.

Datos tratados: ID de cookie, ID de clic (gclid), evento de conversión (p. ej., registro), información del dispositivo seudonimizada.

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento), § 25, apdo. 1, TDDDG.
Corresponsabilidad: Tapcoat y Google Ireland Limited, corresponsables según el art. 26 RGPD. Política de privacidad de Google: https://policies.google.com/privacy
Transferencia a terceros países: Google LLC, EE. UU. — como arriba (SCC + EU-US DPF).
Oposición: consentimiento revocable en cualquier momento en el banner de cookies. Alternativa: desactivar la publicidad personalizada en https://adssettings.google.com/.

5.3 Meta Pixel y Meta Conversion API

Utilizamos el Meta Pixel y la Meta Conversion API (CAPI) para medir la eficacia de nuestros anuncios en Facebook e Instagram y dirigirlos a públicos concretos.

Datos tratados: dirección de correo electrónico con hash (solo en conversiones mediante CAPI), cookie del navegador (_fbp, _fbc), dirección IP, datos de comportamiento en tapcoat.com, datos de eventos (p. ej., página vista, registro).

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento), § 25, apdo. 1, TDDDG.
Corresponsabilidad: Tapcoat y Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlanda) son corresponsables según el art. 26 RGPD conforme al Meta Controller Addendum (https://www.facebook.com/legal/controller_addendum).
Transferencia a terceros países: Meta Platforms, Inc., EE. UU. — SCC + EU-US Data Privacy Framework.
Oposición: consentimiento revocable en cualquier momento en el banner de cookies. Es posible excluirse de la publicidad personalizada de Facebook en la configuración de Facebook.

5.4 LinkedIn Insight Tag

Utilizamos el LinkedIn Insight Tag para medir las conversiones de las campañas de LinkedIn y crear públicos para el remarketing en LinkedIn.

Datos tratados: ID de cookie (li_fat_id), dirección IP, metadatos del dispositivo, URL visitadas, eventos de conversión.

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento), § 25, apdo. 1, TDDDG.
Corresponsabilidad: Tapcoat y LinkedIn Ireland Unlimited Company (Wilton Place, Dublin 2, Irlanda) son corresponsables según el art. 26 RGPD conforme al acuerdo de corresponsabilidad de LinkedIn.
Transferencia a terceros países: LinkedIn Corporation, EE. UU. — SCC + EU-US Data Privacy Framework.
Oposición: consentimiento revocable en cualquier momento en el banner de cookies. Los miembros de LinkedIn pueden desactivar el seguimiento en la configuración de su cuenta de LinkedIn.

5.5 Hotjar (grabación de sesiones y mapas de calor)

Hotjar registra movimientos del ratón anonimizados, clics, profundidad de desplazamiento y, en casos excepcionales, también grabaciones de pantalla. Todos los campos de contraseña y los campos con datos sensibles se enmascaran técnicamente y no llegan a Hotjar.

Utilizamos Hotjar de Hotjar Ltd. (Level 2, St Julian’s Business Centre, 3 Elia Zammit Street, St Julian’s STJ 3155, Malta) para mejorar la facilidad de uso de tapcoat.com.

Datos tratados: movimientos del ratón anonimizados, comportamiento de clic y desplazamiento, tipo de dispositivo, tipo de navegador, marcas de tiempo, URL visitadas. Sin tratamiento previsto de nombres, direcciones de correo electrónico ni campos de contraseña.

Base jurídica: art. 6, apdo. 1, letra a RGPD (consentimiento), § 25, apdo. 1, TDDDG.
Transferencia a terceros países: almacenamiento de datos en la UE (Hotjar es una empresa maltesa). Los posibles subproveedores en terceros países están regulados en el DPA de Hotjar.
Oposición: consentimiento revocable en cualquier momento en el banner de cookies. Exclusión también en: https://www.hotjar.com/legal/compliance/opt-out

5.6 Analítica web propia sin cookies (phpAnalytics)

Para una medición básica del alcance utilizamos el software de analítica web phpAnalytics. formwandler interactive (Molchkragen Media GmbH) lo gestiona para nosotros como encargado del tratamiento en servidores en Alemania. El script se carga desde analytics.formwandler-interactive.com.

La analítica web no instala cookies. Al abrir una página, el script lee datos técnicos de tu navegador y los transmite al servidor de análisis. Tu dirección IP solo se trata brevemente para la transmisión y para determinar el país, y no se guarda. Si en tu navegador está activado «Do Not Track», no se realiza ningún registro.

Datos tratados: página visitada, página de referencia (referrer), navegador, sistema operativo, tipo de dispositivo, resolución de pantalla, configuración de idioma y el país derivado de la conexión. Si usas la búsqueda de nuestro Centro de ayuda, con tu consentimiento registramos además el término de búsqueda (acortado a un máximo de 60 caracteres; no registramos términos que parezcan una dirección de correo electrónico, un número de teléfono o de cliente, una dirección web o datos bancarios), el número de resultados y, en su caso, la posición del resultado en el que se hizo clic. No introduzcas datos personales en el campo de búsqueda. Evaluamos los datos solo de forma resumida, sin relación con personas concretas.

Base jurídica: para la medición del alcance, art. 6, apdo. 1, letra f RGPD (interés legítimo en medir y mejorar nuestra oferta web) y § 25, apdo. 2, n.º 2 TDDDG; para los términos de búsqueda, art. 6, apdo. 1, letra a RGPD (consentimiento) y § 25, apdo. 1 TDDDG.
Lugar de almacenamiento: servidores en Alemania, sin transferencia a terceros países.
Plazo de conservación: eliminamos los datos individuales a los 14 meses para poder comparar las cifras con el año anterior. Después solo conservamos estadísticas resumidas sin datos personales.
Oposición y retirada: puedes oponerte a la medición del alcance en cualquier momento activando «Do Not Track» en tu navegador o comunicándonoslo de manera informal a través de los datos de contacto indicados en esta política de privacidad. Puedes retirar en cualquier momento tu consentimiento para los términos de búsqueda a través del enlace ‘Ajustes de cookies’ en el pie de página.

6. Registro y uso del dashboard de Tapcoat

6.1 Proceso de registro (sign-up)

Al registrar una cuenta de Tapcoat recopilamos los siguientes datos:

  • Nombre, apellidos
  • Dirección de correo electrónico (se usa como identificador de inicio de sesión)
  • Nombre de la empresa / del espacio
  • Función / cargo en la empresa
  • Contraseña (se guarda exclusivamente como hash bcrypt; Tapcoat no tiene acceso a la contraseña en texto claro)
  • Dirección IP y marca de tiempo del registro (seguridad / prevención del fraude)

Base jurídica: art. 6, apdo. 1, letra b RGPD (ejecución del contrato: puesta a disposición de la cuenta de Tapcoat).
Datos obligatorios: correo electrónico, contraseña, nombre de la empresa. Todos los demás campos son voluntarios.

6.2 Datos de uso en el dashboard

Durante el uso del dashboard de Tapcoat se recopilan datos técnicos de uso:

  • Horas de inicio de sesión y duración de la sesión
  • Acciones realizadas (p. ej., creación de pases, configuración de organizaciones clientes), anonimizadas como registro de auditoría
  • Mensajes de error y métricas de rendimiento (mediante Sentry, anonimizados)
  • Registros del servidor de las solicitudes a la API (IP, marca de tiempo, endpoint), conservados 30 días

Base jurídica: art. 6, apdo. 1, letra b RGPD (ejecución del contrato), letra f RGPD (interés legítimo en la seguridad y el funcionamiento).

6.3 Procesamiento de pagos y facturación mediante Frisbii

La facturación de las suscripciones de Tapcoat se realiza a través de Frisbii Germany GmbH (Mainzer Landstraße 51, 60329 Frankfurt am Main) como encargado del tratamiento. Tapcoat no trata por sí misma números de tarjetas de crédito ni datos bancarios completos.

Datos tratados: nombre, nombre de la empresa, dirección de facturación, método de pago (tokenizado), datos del contrato, historial de facturas, datos de identificación KYC (si lo exigen requisitos de supervisión).

Base jurídica: art. 6, apdo. 1, letra b RGPD (ejecución del contrato), letra c RGPD (obligaciones fiscales de conservación).
Plazo de conservación de los datos de facturación: 10 años (§ 147 AO, § 257 HGB).

Si activas las funciones de pago opcionales en los guardarropas, el proveedor de servicios de pago realiza una única verificación de identidad (KYC). Para ello transmitimos al proveedor de servicios de pago los datos necesarios de la empresa, de sus representantes y de la cuenta. Base jurídica: art. 6, apdo. 1, letras b y c RGPD.

6.4 Supervisión de errores mediante Sentry

Para el control de calidad y la corrección de errores utilizamos Sentry (Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, San Francisco, CA 94105, USA; representante en la UE: Sentry Software Netherlands B.V., Ámsterdam).

Datos tratados: ID de usuario seudónimo, stack trace (líneas de código del error), tipo de dispositivo, versión del navegador, versión de la app, dirección IP (acortada en el servidor; IP masking activado).

Base jurídica: art. 6, apdo. 1, letra f RGPD (interés legítimo en la estabilidad del funcionamiento y la corrección de errores).
Transferencia a terceros países: EE. UU., DPA de Sentry + cláusulas contractuales tipo (art. 46 RGPD).
Plazo de conservación: 90 días (estándar de Sentry).

7. App de Tapcoat (iOS y Android)

7.1 Notificaciones push

La app de Tapcoat envía notificaciones push (p. ej., actualizaciones de pases, avisos de seguridad) a través de la infraestructura de Apple (APNs) y Google (FCM).

  • Apple APNs: device token de APNs, pass type identifier, dirección IP; tratados por Apple Distribution International Limited, Cork, Irlanda.
  • Google FCM: registration token de FCM, instance ID, dirección IP; tratados por Google Ireland Limited, Dublín.

Base jurídica: art. 6, apdo. 1, letra b RGPD (ejecución del contrato: puesta a disposición de las funciones de la app).
Transferencia a terceros países: Apple Inc. y Google LLC, EE. UU. — SCC + EU-US Data Privacy Framework.

7.2 Actualizaciones over-the-air mediante Capawesome

Las actualizaciones de la app se distribuyen a través de Capawesome Cloud (Genz IT Solutions GmbH, Brückengasse 1b, 78462 Konstanz). En ese proceso se transmiten el ID del dispositivo, la versión de la app y la dirección IP.

Base jurídica: art. 6, apdo. 1, letra b RGPD (puesta a disposición de la versión actual de la app).
Transferencia a terceros países: ninguna; almacenamiento en Alemania/UE.

7.3 Creación de pases Wallet (Apple Wallet y Google Wallet)

Por instrucción de las organizaciones clientes, Tapcoat crea resguardos digitales de guardarropa como pases Wallet (Apple Wallet mediante PassKit, Google Wallet mediante Google Wallet API). En la creación de los pases Wallet, Tapcoat es encargada del tratamiento de la organización cliente, no responsable independiente. La información sobre protección de datos dirigida a los asistentes corresponde a la organización cliente.

Base jurídica: art. 6, apdo. 1, letra b RGPD (ejecución del contrato con la organización cliente).

8. Alojamiento e infraestructura

Los datos principales y de uso de la plataforma Tapcoat (base de datos, object storage) se tratan en servidores en Alemania. Algunos servicios de apoyo, en particular la supervisión de errores, la CDN y las herramientas de análisis y marketing, pueden tratar datos personales en terceros países, en particular en EE. UU. (véase el apartado 12). Para el alojamiento y la infraestructura recurrimos a los siguientes proveedores de servicios:

  • DigitalOcean, LLC (contrato de encargo): alojamiento del backend (compute, base de datos, object storage) junto con Hetzner Online GmbH — ubicación: FRA1, Frankfurt am Main / Falkenstein/Núremberg, Alemania
  • Mittwald CM Service GmbH & Co. KG (contrato de encargo): alojamiento del sitio web de marketing tapcoat.com — ubicación: Espelkamp, Alemania
  • Cloudflare, Inc. (contrato de encargo): DNS, CDN, protección DDoS, WAF — ubicación: PoP de Fráncfort (enrutamiento UE)

Todos los proveedores están vinculados contractualmente como encargados del tratamiento según el art. 28 RGPD. En el caso de proveedores estadounidenses, la garantía se basa en cláusulas contractuales tipo (SCC, módulo 2) y el EU-US Data Privacy Framework.

9. Comunicación y marketing

9.1 Correos electrónicos transaccionales

En el marco de la relación contractual te enviamos los correos de servicio necesarios (p. ej., confirmación de la cuenta, facturas, avisos de seguridad, actualizaciones de pases). Estos correos son necesarios para la ejecución del contrato y no se pueden dar de baja.

Base jurídica: art. 6, apdo. 1, letra b RGPD.

9.2 Correos de marketing y newsletter

Si ya eres organización cliente, podemos enviarte ocasionalmente información sobre nuevas funciones, mejoras u ofertas relevantes de Tapcoat. Esto se basa en el § 7, apdo. 3, UWG (publicidad directa a clientes existentes). Puedes oponerte a este uso en cualquier momento.

A las personas interesadas sin relación contractual vigente solo les enviamos correos de marketing sobre la base de un consentimiento expreso.

Base jurídica: § 7, apdo. 3, UWG en relación con el art. 6, apdo. 1, letra f RGPD (clientes existentes) o art. 6, apdo. 1, letra a RGPD (consentimiento de las personas interesadas).
Proveedor de servicios: ActiveCampaign LLC, 1 N Dearborn Street, 5th Floor, Chicago, IL 60602, USA (contrato de encargo + SCC + EU-US Data Privacy Framework).
Baja: Cada correo de marketing contiene un enlace para darse de baja. También puedes oponerte en cualquier momento por correo electrónico a datenschutz@tapcoat.com.

9.3 Sistema CRM (HubSpot)

Los datos de contacto de personas interesadas y organizaciones clientes se guardan y gestionan en HubSpot CRM para posibilitar los procesos de venta y la comunicación con la clientela.

Base jurídica: art. 6, apdo. 1, letra f RGPD (interés legítimo en una gestión estructurada de la clientela) o letra b (preparación y ejecución de un contrato).
Proveedor de servicios: HubSpot Ireland Limited, Dublin 2, Irlanda (contrato de encargo + SCC + EU-US DPF).
Plazo de conservación: duración del contrato más 3 años (plazos de prescripción). Se puede solicitar una supresión anterior.

10. Funcionamiento, supervisión y disponibilidad

Para garantizar un funcionamiento sin incidencias utilizamos los siguientes servicios de supervisión:

  • Better Stack (Better Stack s.r.o., Praga, CZ): gestión de registros, supervisión del uptime; trata registros del servidor, ID de cuenta, direcciones IP, metadatos de solicitudes; base jurídica: art. 6, apdo. 1, letra f RGPD
  • Oh Dear (Immutable VOF, Berlaar, Bélgica): supervisión externa de la disponibilidad; trata URL de endpoints, tiempos de respuesta; base jurídica: art. 6, apdo. 1, letra f RGPD

11. Delimitación: datos de los asistentes y pases Wallet de las organizaciones clientes

Los datos de los clientes finales y de los asistentes que usan pases Wallet de organizaciones clientes de Tapcoat no se tratan sobre la base de esta política de privacidad. En este ámbito, Tapcoat actúa exclusivamente como encargada del tratamiento en el sentido del art. 28 RGPD. La responsable del tratamiento es en cada caso el espacio / la entidad organizadora como organización cliente. La información sobre protección de datos dirigida a los asistentes debe facilitarla la organización cliente (p. ej., como aviso en el guardarropa o en la venta de entradas).

Para ello, Tapcoat pone a disposición de las organizaciones clientes una plantilla de aviso.

12. Transferencias a terceros países

Algunos de los proveedores de servicios que utilizamos transfieren datos personales a terceros países, en particular a EE. UU. La garantía se basa en todo caso en las cláusulas contractuales tipo de la UE (SCC, Decisión de Ejecución UE 2021/914, módulo 2) y, cuando procede, en la decisión de adecuación de la Comisión Europea sobre el EU-US Data Privacy Framework de 10 de julio de 2023.

  • Google (Analytics, Ads) — EE. UU. — SCC + EU-US DPF
  • Meta Platforms — EE. UU. — SCC + EU-US DPF
  • LinkedIn Corporation — EE. UU. — SCC + EU-US DPF
  • DigitalOcean, LLC — EE. UU. (los datos permanecen en FRA1) — SCC + EU-US DPF
  • Cloudflare, Inc. — EE. UU.; entrega a través de centros de datos en la UE (Fráncfort) — SCC + EU-US DPF
  • Sentry (Functional Software, Inc.) — EE. UU. — SCC (art. 46 RGPD)
  • ActiveCampaign LLC — EE. UU. — SCC + EU-US DPF
  • HubSpot Ireland Limited — Irlanda/EE. UU. — SCC + EU-US DPF
  • GitHub, Inc. — EE. UU. — SCC + EU-US DPF
  • GitLab Inc. (repositorio de código) — EE. UU. — SCC + EU-US DPF
  • Microsoft Ireland Operations Limited (Microsoft 365) — Irlanda/EE. UU. — SCC + EU-US DPF
  • Apple Inc. y Google LLC (notificaciones push, Wallet) — EE. UU. — SCC + EU-US DPF
  • Dropbox International — Irlanda/EE. UU. — SCC + EU-US DPF

Puedes comprobar el estado actual de certificación de los proveedores estadounidenses en el EU-US Data Privacy Framework en https://www.dataprivacyframework.gov/s/participant-search.

13. Plazo de conservación

Solo conservamos los datos personales durante el tiempo necesario para los respectivos fines del tratamiento o mientras existan obligaciones legales de conservación:

  • Registros del servidor (sitio web): 30 días
  • Consultas de contacto: duración de la tramitación + 3 años (prescripción BGB)
  • Datos de cuenta de organizaciones clientes activas: duración del contrato; tras la baja, de forma permanente como cuenta Free
  • Datos de cuenta con solicitud de supresión: anonimización inmediata + 30 días de plazo de exportación
  • Datos de facturación y pago: 10 años (§ 147 AO, § 257 HGB)
  • Consentimiento para correos de marketing: hasta su retirada (consentimiento) u oposición (§ 7, apdo. 3, UWG)
  • Informes de errores de Sentry: 90 días
  • Datos del CRM de HubSpot: duración del contrato + 3 años
  • Datos sin procesar de Google Analytics: 14 meses
  • Grabaciones de Hotjar: 365 días (estándar de Hotjar)

14. Tus derechos como persona interesada

Frente a Tapcoat como responsable del tratamiento tienes los siguientes derechos según el RGPD:

  • Derecho de acceso (art. 15 RGPD): Tienes derecho a saber qué datos tuyos tenemos guardados.
  • Derecho de rectificación (art. 16 RGPD): Tienes derecho a que se rectifiquen los datos inexactos.
  • Derecho de supresión (art. 17 RGPD): Tienes derecho a solicitar la supresión de tus datos, salvo que se oponga una obligación de conservación.
  • Derecho a la limitación del tratamiento (art. 18 RGPD): En determinadas circunstancias puedes solicitar que se limite el tratamiento.
  • Derecho a la portabilidad de los datos (art. 20 RGPD): Tienes derecho a recibir tus datos en un formato legible por máquina o a que se transmitan a otro proveedor.
  • Derecho de oposición (art. 21 RGPD): Tienes derecho a oponerte en cualquier momento al tratamiento basado en intereses legítimos. En caso de publicidad directa (§ 7, apdo. 3, UWG), la oposición surte efecto en cualquier momento.
  • Derecho a retirar el consentimiento (art. 7, apdo. 3, RGPD): Puedes retirar en cualquier momento un consentimiento otorgado, con efecto para el futuro.
  • Derecho a presentar una reclamación (art. 77 RGPD): Tienes derecho a presentar una reclamación ante la autoridad de control de protección de datos competente. Para Tapcoat GmbH, con sede en Frankfurt am Main, es el Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de

Para ejercer tus derechos, escribe a datenschutz@tapcoat.com o por correo postal a: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main. Tramitamos las solicitudes en el plazo de un mes (art. 12, apdo. 3, RGPD). En solicitudes complejas, este plazo puede prorrogarse otros dos meses.

15. Gestionar y retirar los consentimientos

15.1 Consentimientos de cookies

Puedes retirar en cualquier momento, con efecto para el futuro, tus consentimientos para cookies y herramientas de seguimiento. Para ello, haz clic en el enlace «Ajustes de cookies» del pie de página de tapcoat.com.

Desde el 1 de abril de 2025 está en vigor la Einwilligungsverwaltungsverordnung (EinwV). También puedes gestionar tus preferencias de forma centralizada mediante un Personal Information Management Service (PIMS) reconocido según el § 26 TDDDG, si utilizas un servicio de este tipo.

15.2 Correos de marketing

Cada correo de marketing contiene un enlace para darse de baja. También puedes darte de baja en cualquier momento por correo electrónico a datenschutz@tapcoat.com.

15.3 Supresión de la cuenta

En los ajustes de la cuenta del dashboard de Tapcoat puedes solicitar la supresión completa de tu cuenta. Tras la solicitud dispones de 30 días para exportar los datos. Después se suprimen los datos personales, salvo que se opongan obligaciones legales de conservación.

16. Seguridad de los datos

Tapcoat aplica medidas técnicas y organizativas para proteger tus datos frente a pérdida, alteración y acceso no autorizado. Entre ellas:

  • Cifrado de todas las conexiones con TLS 1.2 o superior (HTTPS obligatorio, HSTS activado)
  • Hash de contraseñas con un método seguro (bcrypt/argon2)
  • Cifrado de los datos almacenados en la base de datos
  • Acceso a los datos de producción limitado al mínimo necesario (least privilege)
  • Copias de seguridad periódicas con almacenamiento cifrado
  • Plan de respuesta a incidentes para violaciones de la seguridad de los datos (art. 33 RGPD)

La descripción completa de las medidas técnicas y organizativas (TOM) está documentada como anexo 1 del DPA (contrato de encargado del tratamiento) y las organizaciones clientes pueden consultarla si la solicitan.

17. Cambios en esta política de privacidad

Nos reservamos el derecho de actualizar esta política de privacidad cuando sea necesario, en particular en caso de cambios en nuestra plataforma, nuevos servicios utilizados o adaptaciones del marco legal. Comunicamos activamente los cambios sustanciales por correo electrónico a las organizaciones clientes registradas con una antelación mínima de 30 días.

La fecha de la última actualización figura al principio de este documento.

Anexo: encargados del tratamiento utilizados (resumen)

La lista completa de todos los encargados del tratamiento, corresponsables y responsables independientes está documentada en el anexo 2 del DPA de Tapcoat. Los principales encargados del tratamiento de un vistazo:

  • DigitalOcean, LLC — alojamiento del backend (FRA1 + Hetzner DE) — EE. UU. (datos en DE) + Hetzner DE
  • Hetzner Online GmbH — alojamiento del backend (Falkenstein/Núremberg) — Alemania
  • Molchkragen Media GmbH (formwandler) — desarrollo, operación, soporte — Alemania
  • Mittwald CM Service GmbH & Co. KG — alojamiento del sitio web — Alemania
  • Cloudflare, Inc. — CDN, protección DDoS — EE. UU.; entrega a través de centros de datos en la UE (Fráncfort)
  • Frisbii Germany GmbH — facturación, suscripciones, KYC — Alemania
  • Sentry (Functional Software, Inc.) — supervisión de errores — EE. UU.
  • Better Stack s.r.o. — gestión de registros, uptime — UE
  • Capawesome / Genz IT Solutions GmbH — actualizaciones OTA de la app — Alemania
  • HubSpot Ireland Limited — CRM, formulario de contacto, chat, reserva de citas — Irlanda/EE. UU.
  • ActiveCampaign LLC — email marketing — EE. UU.
  • Microsoft Ireland Operations Ltd. — correo electrónico, Teams, OneDrive — Irlanda/EE. UU.
  • Dropbox International — almacenamiento de documentos — Irlanda/EE. UU.
  • GitHub, Inc. — repositorio de código — EE. UU.
  • GitLab Inc. — repositorio de código — EE. UU.
  • Immutable VOF (Oh Dear) — supervisión externa de la disponibilidad — Bélgica
  • Symplion GmbH — administración de TI — Alemania
  • Apple Distribution International Limited — notificaciones push iOS, Apple Wallet — Irlanda/EE. UU.
  • Google Ireland Limited — notificaciones push Android, Google Wallet — Irlanda/EE. UU.
  • Hotjar Ltd. — grabación de sesiones, mapas de calor — Malta

Corresponsables (art. 26 RGPD): Google Ireland Ltd. (Analytics, Ads), Meta Platforms Ireland Ltd. (Pixel, Ads), LinkedIn Ireland Unlimited Company (Insight Tag).

Fecha: noviembre de 2026
Tapcoat GmbH | Hanauer Landstraße 204 | 60314 Frankfurt am Main | datenschutz@tapcoat.com