Política de Privacidad de BagOut
Última actualización: 16 de octubre de 2026
1. Responsable del tratamiento
- Titular
- Andres Khawam (autónomo)
- NIF
- 18479784C
- Domicilio fiscal
- Calle Oeste 13, 26005 Logroño, La Rioja, España
- Email de contacto
- soporte@bagout.es
- Web
- https://bagout.es
2. Qué datos recogemos y por qué
2.1 Datos de cuenta (todos los usuarios)
| Dato | Finalidad | Base legal |
|---|---|---|
| Identificación, recuperación de contraseña, comunicaciones esenciales | Ejecución del contrato (art. 6.1.b GDPR) | |
| Contraseña (hasheada) | Autenticación | Ejecución del contrato |
| Nombre y apellido | Identificación entre clientes y trashers, generación de tickets fiscales | Ejecución del contrato |
| Teléfono | Coordinación entre cliente y trasher durante la recogida | Ejecución del contrato |
| Dirección | Asignar trashers cercanos, recogida de basura en domicilio | Ejecución del contrato |
| Foto de perfil (opcional) | Identificación visual entre cliente y trasher | Consentimiento (art. 6.1.a GDPR) |
| Geolocalización (solo cuando pulsas «usar mi ubicación» o, si eres trasher, abres el mapa de recogidas) | Rellenar tu dirección a partir de tu posición. Si eres trasher, además, centrar el mapa de recogidas y calcular la distancia a los pedidos en tu propio móvil (tu posición no se guarda) | Ejecución del contrato (art. 6.1.b GDPR), solo cuando pulsas «usar mi ubicación» (o, si eres trasher, cuando abres el mapa de recogidas). Puedes negar o quitar el permiso de ubicación en los ajustes del móvil y escribir la dirección a mano |
| Versión de los Términos que aceptas y de la Política de privacidad que te mostramos, con la fecha | Poder acreditar qué versión aceptaste y cuándo | Ejecución del contrato e interés legítimo en poder acreditar la aceptación (art. 6.1.f GDPR) |
2.2 Datos de pago
| Dato | Finalidad | Base legal |
|---|---|---|
| Últimos 4 dígitos de tarjeta | Identificar la tarjeta guardada en pantalla | Ejecución del contrato |
| ID de método de pago de Stripe | Cobrar recogidas en futuras compras sin re-introducir datos | Ejecución del contrato |
| Historial de transacciones | Generar tickets, gestión de devoluciones, contabilidad | Obligación legal (art. 6.1.c GDPR — facturación) |
El número completo de la tarjeta, fecha de caducidad y CVV NO se almacenan en nuestros servidores. Son procesados directamente por Stripe (PCI-DSS Level 1).
2.3 Datos específicos de trashers
| Dato | Finalidad | Base legal |
|---|---|---|
| Foto del DNI/NIE y selfie | Verificación de identidad antes de activar el rol trasher | Ejecución del contrato e interés legítimo en prevenir el fraude (art. 6.1.b y 6.1.f GDPR). La comparación automática de tu selfie con el documento (dato biométrico) solo se hace con tu consentimiento expreso (art. 9.2.a GDPR); si no lo das, revisa tu solicitud una persona (ver § 5 bis) |
| IBAN | Abonar los importes ganados por las recogidas | Ejecución del contrato |
| Declaración alta RETA / autónomos | Cumplimiento normativa fiscal española | Obligación legal |
| Valoraciones recibidas | Mostrar reputación a clientes | Interés legítimo |
2.4 Datos generados por uso
| Dato | Finalidad |
|---|---|
| Foto de bolsas (subida por el cliente) | Identificar las bolsas para que el trasher las reconozca. Si nos das permiso en la app, además las contamos automáticamente para proponerte el precio (ver § 5 ter) |
| Foto de confirmación (subida por el trasher tras tirar) | Prueba de entrega para el cliente |
| Hora de creación, aceptación y completado | Trazabilidad del servicio |
| Valoraciones (1-5 estrellas) | Reputación cruzada cliente↔trasher |
| Token de notificaciones push (FCM) | Avisos del servicio (estado de tus pedidos y, si eres trasher, recogidas nuevas) y, solo si los activas, avisos de promoción (ver § 5 quater) |
| Tus preferencias de avisos y tus permisos para usar la IA, con la fecha | Respetar lo que has elegido y poder acreditar cuándo diste o retiraste tu permiso |
2.5 Formulario web «Apúntate» para interesados en ser trasher
Si rellenas el formulario de bagout.es/trashers sin tener todavía cuenta en la app:
- Qué datos: nombre y apellidos, email, teléfono, la zona por la que te mueves, cómo te desplazas y cuándo sueles tener tiempo. Por seguridad guardamos también el tipo de navegador y una huella cifrada (no reversible) de tu dirección IP, que solo sirve para frenar envíos masivos; tu IP no se guarda.
- Para qué: escribirte o llamarte para ayudarte a darte de alta como trasher. No lo usamos para publicidad ni lo cedemos a nadie.
- Base legal: aplicar, a petición tuya, medidas previas a un posible contrato (art. 6.1.b GDPR).
- Cuánto tiempo: hasta 12 meses desde tu envío. Si antes te das de alta en la app, se aplican los plazos de tu cuenta. Puedes pedirnos que lo borremos cuando quieras.
- Quién lo trata: se guarda en Google Firebase (Google Ireland Ltd.; el envío pasa por servidores de Google en EE. UU., con las garantías del § 4). El equipo de BagOut recibe un aviso con tu nombre, tu zona y cómo te mueves.
3. Quién accede a tus datos
Compartimos datos estrictamente con los siguientes proveedores que actúan como encargados de tratamiento:
| Proveedor | Servicio | Sede | Garantías |
|---|---|---|---|
| Google Ireland Ltd. | Firebase Auth, Firestore (base de datos), FCM (push notifications), Crashlytics, App Check | Irlanda (datos en Bélgica / EE.UU.) | Cláusulas Contractuales Tipo (SCC) + Acuerdo de Tratamiento de Datos (DPA) firmado |
| Stripe Payments Europe Ltd. | Procesamiento de pagos con tarjeta | Irlanda | PCI-DSS Level 1, SCC, DPA |
| Resend (Resend, Inc.) | Envío de emails transaccionales (verificación, recuperación de contraseña) | EE.UU. | SCC + DPA |
| Google LLC (Google Maps API) | Autocompletar direcciones, mapas, cálculo de rutas | EE.UU. | SCC + DPA |
| Anthropic Ireland, Limited | Verificación automatizada de identidad de Trashers (análisis de documento + selfie) y conteo automático de bolsas en la foto del pedido, mediante el modelo de inteligencia artificial Claude. Solo cuando nos das tu permiso en la app. Anthropic borra lo que recibe en un máximo de 30 días | Irlanda (tratamiento en EE.UU.) | Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) + DPA |
Búsqueda de direcciones (Nominatim / OpenStreetMap Foundation). Cuando buscas o fijas una dirección en la app (al registrarte, completar tu perfil, editar tus datos o pedir una recogida), la dirección que escribes o, si pulsas «usar mi ubicación», las coordenadas de tu posición pueden enviarse, como respaldo de Google Maps, al servicio Nominatim de la OpenStreetMap Foundation (Reino Unido), que las convierte en una dirección postal y las trata conforme a su propia política de privacidad. No le enviamos tu nombre, email ni teléfono, pero, como cualquier servidor web, recibe la dirección IP de tu móvil. El Reino Unido cuenta con una decisión de adecuación de la Comisión Europea.
Entre clientes y trashers compartimos sólo los datos necesarios para la recogida:
- El trasher ve: nombre + inicial apellido, dirección de recogida, número y foto de bolsas, valoración del cliente
- El cliente ve: nombre + inicial apellido del trasher, valoración del trasher, foto de perfil (si la tiene)
4. Transferencias internacionales
Algunos proveedores (Google, Stripe, Resend, Anthropic) procesan datos fuera del Espacio Económico Europeo. Estas transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914); en el caso de Anthropic, suscritas con Anthropic Ireland, Limited, que solo recibe las fotos cuando das tu permiso y las borra en un máximo de 30 días. Las direcciones y coordenadas que se envían a Nominatim (OpenStreetMap Foundation) se tratan en el Reino Unido, país con decisión de adecuación de la Comisión Europea.
5. Cuánto conservamos tus datos
| Categoría | Plazo |
|---|---|
| Datos de cuenta y perfil | Mientras la cuenta esté activa. Al eliminarla se borran en ese momento; si te queda saldo, cuando te lo devolvemos por transferencia (máximo 30 días) |
| Importes, fechas y referencias de pedidos, recibos, propinas y retiradas (sin nombre, dirección ni teléfono tras eliminar la cuenta) | 6 años desde el ejercicio fiscal, por obligación legal (art. 30 Código de Comercio) |
| Datos fiscales de trashers que han cobrado (nombre, NIF/NIE, fecha de nacimiento, domicilio, IBAN, importes y comisiones por trimestre, número de recogidas y retiradas) | 10 años desde el final del año de la baja, por la normativa fiscal europea (Directiva (UE) 2021/514, DAC7). Solo para Hacienda; después se borran automáticamente |
| Fotos de recogida (bolsas, confirmación) | 1 año desde el completado del pedido, después se eliminan |
| Tokens de push notifications | Mientras la app esté instalada en el dispositivo |
| Datos para resolución de disputas | Hasta cierre de la disputa + 5 años |
| Imágenes de verificación de identidad de Trashers (documento + selfie) | BagOut las elimina inmediatamente tras la verificación automática. Si requiere revisión manual: hasta resolución por administrador, después se eliminan. Las copias que recibe Anthropic se borran en un máximo de 30 días. |
| Formulario web «Apúntate» (interesados en ser trasher) | Hasta 12 meses desde el envío, salvo que antes te des de alta en la app o nos pidas borrarlo |
| Datos extraídos de la verificación (tipo y número de documento, nombre, apellidos, fecha de nacimiento) | Mientras la cuenta esté activa. Se borran al eliminar la cuenta (salvo la copia fiscal DAC7 de quien ha cobrado) |
5 bis. Verificación de identidad de Trashers mediante inteligencia artificial
Para darte de alta como Trasher te pedimos una foto de tu documento de identidad (DNI, NIE o pasaporte) y una selfie hecha en el momento del registro.
Solo con tu permiso expreso. En la app aparece una casilla, sin marcar, para que elijas si quieres que comparemos automáticamente tu selfie con la foto de tu documento. Esa comparación usa un dato biométrico, así que solo la hacemos si marcas la casilla: la base legal es tu consentimiento explícito (art. 9.2.a RGPD). Guardamos la fecha y la versión del texto que aceptaste.
Si no marcas la casilla, no enviamos nada a la IA: una persona del equipo revisa tu solicitud en 24-72 h. No darnos permiso no te impide ser Trasher.
Quién hace el análisis. Lo hace Anthropic (proveedor del modelo de inteligencia artificial Claude), como encargado del tratamiento. El análisis se hace en EE. UU. y esa transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), con Anthropic Ireland, Limited. Anthropic solo recibe las imágenes para este fin y las borra en un máximo de 30 días.
Qué guardamos. Al terminar la verificación automática, BagOut borra las imágenes del documento y de la selfie. Conservamos únicamente los datos necesarios: tipo de documento, número, nombre y apellidos, fecha de nacimiento y fecha de verificación (principio de minimización, art. 5.1.c RGPD). Si la verificación automática no es concluyente, guardamos las imágenes solo hasta que una persona la revise y después las borramos.
Siempre hay una persona detrás. Tienes derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado (art. 22 RGPD). En BagOut toda denegación o caso dudoso lo revisa una persona del equipo antes de decidir.
Puedes retirar tu consentimiento en cualquier momento escribiendo a soporte@bagout.es. Retirarlo no afecta a la verificación ya hecha.
5 ter. Conteo de bolsas con inteligencia artificial
Cuando pides una recogida, subes una foto de tus bolsas. Antes de contarlas por primera vez, la app te pregunta si quieres que lo hagamos por ti con la IA de Anthropic (EE. UU.). Solo si respondes que sí enviamos la foto a Anthropic para contar las bolsas y proponerte el precio; Anthropic solo recibe la foto y la borra en un máximo de 30 días. La base legal es tu consentimiento (art. 6.1.a RGPD) y guardamos la fecha en que lo diste.
Si respondes que no, la foto no sale de BagOut y eliges tú el número de bolsas. Puedes retirar tu permiso cuando quieras escribiendo a soporte@bagout.es.
5 quater. Avisos de promoción
Los avisos de promoción (por ejemplo, ofertas o recordatorios para volver a usar BagOut) solo los enviamos si los activas en la app, en Perfil → Notificaciones. Vienen desactivados de serie. Puedes desactivarlos ahí cuando quieras, y guardamos la fecha en que los activaste. La base legal es tu consentimiento (art. 6.1.a RGPD y art. 21 LSSI).
En esa misma pantalla puedes apagar también los avisos sobre el estado de tus pedidos y, si eres Trasher, los de recogidas nuevas.
6. Tus derechos
Tienes derecho a:
- Acceder a tus datos personales que tratamos
- Rectificar datos incorrectos o incompletos
- Suprimir tus datos («derecho al olvido»), salvo obligaciones legales
- Limitar el tratamiento
- Portabilidad de los datos en formato estructurado (JSON)
- Oponerte al tratamiento basado en interés legítimo
- Retirar consentimiento en cualquier momento (para los tratamientos consentidos)
- Presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es)
Cómo ejercer estos derechos: escribe a soporte@bagout.es, a ser posible desde el email de tu cuenta, indicando el derecho que quieres ejercer. No hace falta que nos envíes copia de tu DNI: solo si tenemos dudas razonables sobre tu identidad te pediremos la información adicional imprescindible para confirmarla (art. 12.6 GDPR). Te responderemos en el plazo máximo de un mes.
Eliminación de cuenta: puedes eliminar tu cuenta y tus datos de dos formas. Si no te queda saldo ni tienes pedidos en curso, desde la app se elimina en ese momento. Si te queda saldo, te lo devolvemos por transferencia al IBAN que nos indiques y la cuenta se elimina al hacerla (máximo 30 días). Los pedidos en curso tienen que terminar antes:
- Desde la app: Perfil → «Eliminar cuenta».
- Desde la web: bagout.es/eliminar-cuenta
Consulta la página de eliminación de cuenta para más detalles sobre qué datos se borran y cuáles se conservan por obligación legal.
7. Seguridad
Aplicamos las medidas técnicas y organizativas razonables:
- Cifrado HTTPS/TLS en todas las comunicaciones
- Datos sensibles cifrados en reposo (Firebase Firestore con encriptación AES-256)
- Reglas de acceso por usuario en la base de datos (Firestore Security Rules)
- Autenticación multi-factor disponible en cuentas administrativas
- Monitorización continua de errores con Firebase Crashlytics
- Verificación de identidad de la app con Firebase App Check
8. Menores de edad
BagOut está dirigido exclusivamente a mayores de 18 años. No recogemos conscientemente datos de menores. Si crees que un menor nos ha proporcionado datos, contáctanos en soporte@bagout.es y los eliminaremos.
9. Cookies y tecnologías similares
Esta web (bagout.es) no usa cookies ni rastreadores. La app móvil tampoco usa cookies; usa los siguientes identificadores técnicos:
- Identificador de instalación de Firebase
- Token de Firebase Cloud Messaging (push)
- Token de App Check (anti-fraude)
Estos identificadores son técnicamente necesarios y no se utilizan con fines publicitarios.
10. Modificaciones de esta política
Podemos actualizar esta política. Las versiones materialmente diferentes serán notificadas en la app y por email. La fecha de «Última actualización» en la cabecera refleja la versión vigente.
Esta política cumple con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).