Dónde están tus datos
Tu cuenta y las fichas de tus clientes se guardan en la Unión Europea. La base de datos está en Irlanda. Las funciones de la aplicación que leen y escriben en ella se ejecutan en Dublín. Ninguna de las dos es una opción heredada por defecto: las dos están fijadas en la configuración.
Algunos proveedores tratan datos fuera de ahí para tareas concretas: enviar correo, monitorizar errores, emitir tarjetas de wallet y lanzar nuestras tareas programadas. Todos están en la página de subencargados, con dónde tratan los datos y qué ampara la transferencia.
- Base de datos: Irlanda (eu-west-1)
- Funciones de la aplicación: Dublín (dub1)
- Todos los subencargados publicados, con ubicación y garantía
- Una lista publicada vale más que una prometida: compara la nuestra con la de cualquier competidor
Qué pueden pedirte tus clientes, y qué puedes hacer tú
Tus clientes tienen derechos sobre sus datos, y eres tú quien tiene que responder. Responder no debería significar abrir un ticket con tu proveedor de software y esperar.
Cada derecho de abajo es un botón en tu panel, no un formulario que nos mandas.
- Exportar la ficha completa de un cliente
- Corregir datos erróneos, con el cambio registrado en el historial
- Limitar el tratamiento mientras hay una reclamación abierta (art. 18)
- Suprimir o anonimizar, lo que además revoca sus tarjetas de wallet, da de baja el dispositivo de las notificaciones y limpia los registros de pago
- Una lista de supresión, para que una importación de CSV no recree sin querer a un cliente suprimido
- La conservación la eliges tú —nunca, 12, 24 o 36 meses— y se aplica cada noche, automáticamente
Cookies y seguimiento: no hay
Sin Google Analytics. Sin píxel de Meta. Sin Hotjar. Sin redes publicitarias. Sin perfilado entre sitios. Las visitas a las páginas públicas se cuentan con Vercel Web Analytics, sin cookies y sin guardar nada en tu dispositivo. Lee nuestra política de cookies y cuéntalas: la lista que requiere consentimiento tiene un solo elemento, y existe para que el colaborador que te recomendó cobre su comisión.
Nuestro banner da a «Aceptar» y «Rechazar» el mismo tamaño y peso, porque rechazar no debería costar más que aceptar. La mayoría no lo hace, y eso ya te dice algo.
Quién ve tus datos, nosotros incluidos
La mayoría de las fugas de datos no son intrusiones. Son demasiado personal con demasiado acceso, contraseñas compartidas, una exportación que nadie recuerda, o un exempleado al que nunca se le quitó el acceso.
Por eso los controles que importan son los aburridos:
- Aislamiento por filas en la base de datos entre negocios, con pruebas automáticas entre inquilinos en cada build
- Permisos granulares por persona: ajustar un saldo y tocar la facturación son permisos distintos
- Verificación en dos pasos: cualquier acceso, salvo los del personal, puede añadir una app de autenticación y, desde entonces, cada entrada pide su código. El propietario puede exigirla a todos los propietarios, administradores y gerentes de local
- Un registro de actividad de solo adición que puedes leer, filtrar y exportar a CSV
- Cuando te damos soporte, nuestro acceso es de solo lectura. No entramos como si fuéramos tú.
- Ese acceso exige doble factor con una comprobación nueva en cada pantalla que muestra datos, y cada consulta queda registrada
- Una pantalla de revisión de accesos del equipo, para ver quién tiene qué y quitárselo
El dinero
Cuando tu cliente recarga saldo o compra una tarjeta regalo, el cobro se hace en tu propia cuenta de Stripe conectada. El dinero es tuyo y nunca pasa por la nuestra.
El saldo prepago es dinero real que alguien te ha entregado, así que se trata como tal:
- Las tablas de saldo son de solo lectura para las sesiones normales; toda escritura pasa por una ruta de servidor revisada
- Los contracargos y los avisos de fraude revierten el saldo y congelan la tarjeta automáticamente
- Los ajustes manuales están topados, exigen un motivo escrito y cada uno queda en el registro de actividad
- Si cierras un programa, se cierra sin fecha límite: los clientes gastan lo que pagaron sin plazo, y el programa se cierra solo cuando todos los saldos están a cero
- El trabajo de seguridad detrás de esto empezó con un modelo de amenazas escrito, con 25 hallazgos. Las correcciones se probaron contra una copia del esquema de producción antes de desplegar nada.
Con quién estás tratando realmente
Algunos proveedores de fidelización revenden la plataforma de otra empresa con su propia marca. No es necesariamente malo, pero significa que hay otra compañía, de la que nunca te hablaron, tratando los datos de tus clientes, y es esa compañía la que decide con qué rapidez se arregla un fallo de seguridad.
TAPPI lo construimos y lo operamos nosotros. No hay plataforma de marca blanca detrás ni encargados ocultos en la cadena. La lista de subencargados es la lista completa.
Qué todavía no hemos construido
Esta es la sección que casi ningún proveedor publica, que es justo la razón de que esté aquí. Si un proveedor no sabe decirte cuáles son sus carencias, o no las conoce o no las va a contar.
- La verificación en dos pasos no cubre los accesos del personal. El personal entra con el usuario y la contraseña que le da el propietario, así que dale a cada persona solo los permisos que necesita.
- La base de datos todavía no comprueba la verificación en dos pasos. El panel y nuestra API piden el código; las reglas de acceso de la propia base de datos aún no, así que si se filtra una contraseña, cámbiala enseguida.
- La app TAPPI Business, con la que se configuran los chips, todavía no pide el código de la verificación en dos pasos.
- Sin test de intrusión independiente. Hemos modelado las amenazas de nuestras rutas de dinero y corregido lo encontrado; nadie de fuera ha cobrado por intentar entrar.
- Sin ISO 27001 ni SOC 2 propias. Nuestros proveedores de infraestructura tienen las suyas: son suyas, no nuestras, y no las vamos a presentar como si lo fueran.
- Algunos tokens de conexión con terceros no están cifrados a nivel de aplicación más allá del cifrado de la propia base de datos.
- Los chips NFC desplegados todavía no están protegidos contra escritura. Alguien con un móvil NFC y acceso físico puede reescribir un chip para que apunte a otro sitio. No puede leer tus datos ni entrar en tu cuenta.
- Sin compromiso contractual de disponibilidad. Hay página de estado; todavía no hay SLA.
- Sin registro ante la autoridad de protección de datos del Reino Unido (ICO) ni alta de IVA todavía. La sociedad, TAPPI Technologies Ltd, se constituyó el 24 de septiembre de 2026 (Inglaterra y Gales, n.º 17478870); el registro ante la ICO es el siguiente trámite, y esta línea se mueve cuando esté hecho.
Los documentos
No un resumen comercial de los documentos: los documentos. Todos están publicados, fechados y enlazados entre sí.
- Privacy policyWhat we do with personal data, our lawful basis for each use, how long we keep it and your rights.
- Cookie policyEvery cookie and storage item we set, itemised. No advertising cookies, no tracking pixels, no cross-site tracking; page views counted without cookies.
- Terms of serviceThe agreement between TAPPI and the business using it. Plans, billing, cancellation, liability.
- Data processing agreementOur Article 28 agreement. Applies automatically from signup — nothing to sign, countersigned copy on request.
- Sub-processorsEvery third party that can touch your data, what it does, where it processes and under what safeguard.
- SecurityWhat protects your data, what we have not built yet, and how to report a vulnerability.
- Acceptable use policyWhat you may not do with TAPPI, and what happens if you do it anyway.
- Website terms of useThe terms for browsing thetappi.com, separate from the service agreement.
- AccessibilityWhat we do, what is known to fall short, and how to tell us about a barrier.
- Aviso legalQuién es el titular de thetappi.com: datos identificativos de la sociedad conforme al artículo 10 de la LSSI. En español.
- Mobile app privacyThe TAPPI Business app for encoding NFC chips, and what it does and does not collect.
Preguntas que merece la pena hacerle a cualquier proveedor
Háznoslas a nosotros y al resto de los que estés valorando. Lo útil no son nuestras respuestas: es comparar con qué facilidad las da cada uno.
¿Ofrecéis contrato de encargo de tratamiento?
Sí, publicado, y se aplica desde el alta sin nada que firmar. Copia firmada si tu proceso la necesita.
¿Puedo ver vuestra lista de subencargados?
Sí, es una página viva, no un anexo dentro de un PDF. Comprueba que el enlace de cualquier proveedor realmente funcione.
¿Cuánto avisáis antes de añadir un subencargado?
30 días, con derecho a oponerte y a irte si no lo resolvemos.
¿Dónde se guardan los datos de mis clientes?
Irlanda, con las funciones en Dublín. Ambas fijadas, no por defecto.
¿Pueden salir de la UE?
Solo para los fines concretos de la página de subencargados, cada uno con su garantía indicada.
¿Cómo se registra el consentimiento?
Por canal, en un registro de solo adición, escrito en una sola sentencia atómica para que dos cambios simultáneos no pierdan una entrada.
¿Están separados el consentimiento de email, push y seguimiento?
Sí, y apuntarse a un programa no implica consentir publicidad.
¿Puedo exportar los datos de un cliente?
Sí, desde el panel, sin escribirnos.
¿Puedo suprimir a un cliente?
Sí, y eso revoca sus tarjetas de wallet, da de baja el push y limpia los registros de pago en lugar de dejar huérfanos.
¿Qué impide reimportar a un cliente suprimido?
Una lista de supresión con hash, limitada a tu negocio.
¿Cuánto tiempo se conservan los datos?
Lo eliges tú: nunca, 12, 24 o 36 meses. Una tarea nocturna lo aplica.
¿Puedo impedir que el personal lo vea todo?
Sí. Los permisos son granulares y hay una pantalla de revisión de accesos.
¿Se registran las acciones y exportaciones del personal?
Sí, en un registro de solo adición que puedes leer, filtrar y exportar.
¿Vuestro equipo puede ver mis datos?
Solo lectura, con doble factor y comprobación en cada pantalla, nunca suplantando tu sesión, y cada consulta queda registrada.
¿Qué pasa si cancelo?
Un periodo de gracia de 30 días en el que puedes exportarlo todo y reabrir, y después el borrado. El dinero de los clientes se devuelve o se agota antes.
¿Cuál es vuestro proceso ante una brecha?
Te avisamos en 48 horas desde que la conocemos. Tú decides, como responsable, sobre la notificación a la autoridad y a los afectados.
¿Habéis pasado un test de intrusión?
No, y deberías preguntárselo a todos, porque la respuesta honesta es más útil que la halagadora.
¿La plataforma es vuestra o revendéis la de otro?
La construimos y la operamos nosotros. Sin marca blanca ni encargados ocultos.
¿Qué no puedo hacer con vuestro producto?
Lee la política de uso aceptable. Prohíbe pagar por reseñas de cualquier forma, pedirlas solo a los clientes que esperas contentos, quedarte solo con las buenas y las reseñas falsas. Nuestra propia página de reseñas no pide ninguna valoración antes y no da nada a cambio de una reseña. Un proveedor sin límites claros a los incentivos por reseñas o a las tarjetas regalo no canjeadas ha pensado menos en esto que tú.
¿Qué no habéis construido todavía?
Mira la sección de arriba. Si un proveedor no tiene respuesta a esta pregunta, esa es la respuesta.
¿Algo de esto no te parece suficiente?
Dínoslo. Una carencia que nos señales vale más que un elogio. Los fallos de seguridad tienen su propia vía en la página de seguridad.