Política de privacidad

Versión 2026-10-22 · 22 de octubre de 2026

BORRADOR PENDIENTE DE REVISIÓN JURÍDICA. Este texto no debe usarse con comercios o usuarios reales hasta su aprobación por un profesional del derecho.

Huella SHA-256: ca9890da729b9802718b9f09b60f4999507f76bec4870b03733432f52d637d52

El responsable del tratamiento de los datos personales de ZAS es KAISO SOLUTIONS SL, NIF B22473664, con domicilio en Avenida de Barcelona, 19, 14010 Córdoba (España).

Para cualquier cuestión de privacidad o para ejercer tus derechos puedes escribir a contato@soyzas.com.

Algunas funciones de ZAS se activan de forma progresiva y pueden no estar disponibles todavía en tu app. Cada apartado marcado como «función progresiva» solo se aplica cuando esa función aparece en tu app; mientras no está activa, no se usa ni se tratan los datos asociados.

Cuenta: nombre, correo electrónico, teléfono de contacto y contraseña, que guardamos solo como huella criptográfica. Si entras con Google o Apple, recibimos tu nombre, tu correo y un identificador de esa cuenta.

Uso del servicio: cupones reservados y usados, pedidos (modalidad de recogida o entrega, forma de pago en línea mediante Stripe Connect, importe, estado) y, en las entregas, la dirección que indiques y, si la función de mapa de entrega está activa, la posición aproximada de esa dirección (latitud y longitud) y su distancia al comercio, que se guardan en el pedido. Ofertas guardadas como favoritas.

Perfil (función progresiva): la dirección que guardes para tus entregas y la foto de perfil que subas, que se guarda en un almacenamiento privado.

Avisos del servicio: un registro de los correos y, como función progresiva, de los mensajes de WhatsApp que te enviamos sobre tus cupones y pedidos (tipo de aviso, canal, estado del envío e intentos). El texto del mensaje no se guarda en la cola de envío: se reconstruye en el momento del envío a partir de tu cuenta.

Avisos push (app Android e iOS, función progresiva y opcional): el identificador de notificaciones de tu teléfono (en Android, el que asigna Firebase Cloud Messaging; en iPhone, el token que asigna Apple Push Notification service, APNs, que nuestro servidor usa directamente, sin Firebase), solo si aceptas el permiso de notificaciones, la versión de la app, los tipos de aviso comercial que has activado y, por cada aviso enviado, si el servicio de Google (Android) o de Apple (iPhone) lo aceptó y si lo abriste. En el propio teléfono, la app guarda además si ya te pidió el permiso y si desactivaste los avisos, para no volver a pedirlo ni reactivarlos sin ti.

Valoraciones (función progresiva): la puntuación de 1 a 5 y el comentario opcional que dejes sobre el servicio de un comercio o sobre tu experiencia con ZAS.

Asistente de ZAS (chat de atención, función progresiva): las preguntas que escribes en el chat de la app y sus respuestas. La conversación no se guarda en nuestros servidores: solo existe en tu pantalla mientras el chat está abierto. Por cada pregunta guardamos un registro técnico vinculado a tu cuenta (proveedor y modelo usados, herramientas consultadas, tiempo, consumo, pantalla e idioma), sin el texto de la pregunta ni de la respuesta. Si pides ayuda a una persona o el asistente no puede responder, se abre una incidencia con un número de protocolo.

Recomendaciones de establecimientos (función progresiva): el nombre, la dirección o zona y el comentario que escribas al recomendar un comercio para ZAS, guardados como una incidencia de soporte con número de protocolo vinculada a tu cuenta.

Ubicación: solo si das permiso en tu dispositivo, para ordenar las ofertas por cercanía. Se usa en tu dispositivo y no la guardamos en nuestros servidores.

Mapa y distancia de entrega con OpenStreetMap (función progresiva): cuando eliges entrega a domicilio y escribes una dirección, nuestro servidor envía el texto de esa dirección, junto con «Córdoba» y el código de país (España) como contexto de búsqueda, al servicio de búsqueda Nominatim de OpenStreetMap para obtener su posición aproximada. Con ella calculamos la distancia hasta el comercio y la app dibuja un mapa con el comercio y esa posición. No enviamos tu nombre, correo, teléfono, identificador de cuenta ni datos del pedido, y la consulta sale de nuestro servidor, por lo que OpenStreetMap recibe la dirección IP del servidor y no la tuya. Para dibujar el mapa, tu dispositivo carga las imágenes del mapa directamente de tile.openstreetmap.org: OpenStreetMap recibe así tu dirección IP, los datos técnicos de tu navegador y las zonas del mapa que se piden, que permiten deducir la zona aproximada de la dirección y del comercio. La estimación es orientativa: el comercio confirma si entrega en esa dirección.

Entrar con huella (app Android, opcional): tu huella la gestiona Android y nunca sale del teléfono ni llega a ZAS. Guardamos en el teléfono una clave aleatoria protegida por tu huella y, en nuestros servidores, solo una huella criptográfica de esa clave, sin tu contraseña.

Datos técnicos y de seguridad: sesiones iniciadas, registros de actividad de la cuenta (qué acción se hizo y cuándo) y contadores de intentos de acceso calculados a partir de la dirección IP sin guardarla en claro.

El pago de las ofertas adquiridas en la Plataforma se realiza en línea mediante Stripe Connect. ZAS no guarda el número completo de la tarjeta: lo custodia Stripe.

Razón social, nombre comercial, NIF/CIF, domicilio fiscal y dirección de recogida, datos del representante (nombre, documento, cargo, correo y teléfono), correo de facturación, logotipo y fotos de las ofertas, identificadores técnicos del proveedor de pagos y últimos cuatro dígitos de la tarjeta, y el registro de evidencias de la firma del contrato (fecha y hora, dirección IP cifrada, agente de usuario, idioma y verificación del código de un solo uso).

Revisión de ofertas: el contenido de cada oferta (título, descripción, categoría, precios, unidades, horarios, condiciones de recogida o entrega y foto) y el resultado de su revisión: versión analizada, decisión, motivos, reglas aplicadas, proveedor y modelo de inteligencia artificial utilizados y, si interviene una persona de ZAS, quién decidió y con qué justificación.

Promociones: las solicitudes de difusión de ofertas mediante avisos patrocinados, su estado y su historial.

ZAS no almacena el número completo de la tarjeta ni su código de seguridad.

Crear y gestionar tu cuenta, reservar cupones, enviar el pedido al comercio, permitir su validación y enviarte los avisos del servicio sobre tus cupones y pedidos (también por push, como la confirmación de la reserva y el recordatorio de recogida, si aceptas el permiso de notificaciones del teléfono): ejecución del contrato (art. 6.1.b RGPD).

Enviarte avisos push comerciales (ofertas, novedades y últimos cupones), incluidos los patrocinados por comercios: tu consentimiento, que das por cada tipo, está desactivado por defecto y puedes retirar en cualquier momento en Cuenta o en los ajustes del teléfono (art. 6.1.a RGPD).

Ordenar ofertas por cercanía con la ubicación del dispositivo y activar Entrar con huella: tu consentimiento, que puedes retirar en cualquier momento desde los ajustes del teléfono o en Cuenta (art. 6.1.a RGPD).

Localizar la dirección de entrega con OpenStreetMap, calcular la distancia al comercio y mostrar el mapa de la entrega: ejecución del contrato (art. 6.1.b RGPD), porque lo necesitas para saber si el comercio entrega en tu dirección y qué distancia recorre el pedido. No es obligatorio: puedes elegir la recogida en el local, que no envía ninguna dirección a OpenStreetMap (el mapa del punto de recogida solo carga las imágenes del mapa).

Responder tus dudas en el chat de la app con el asistente de ZAS, abrir incidencias de soporte y recibir tus recomendaciones de establecimientos: ejecución del contrato, porque lo pides tú para usar el servicio (art. 6.1.b RGPD). Usarlo no es obligatorio: siempre puedes escribir a contato@soyzas.com.

Guardar tu dirección y tu foto de perfil: ejecución del contrato, porque lo pides tú para usar el servicio (art. 6.1.b RGPD).

Recoger valoraciones, mostrar la media de cada comercio y usarla para ordenar las ofertas: interés legítimo en ofrecer información útil y fiable sobre los comercios (art. 6.1.f RGPD).

Revisar las ofertas antes de publicarlas para detectar contenido prohibido, riesgos para los clientes e incoherencias entre texto, precios y foto: ejecución del contrato con el comercio e interés legítimo en ofrecer un catálogo seguro y fiable (arts. 6.1.b y 6.1.f RGPD).

Atención de incidencias y gestión interna de la plataforma por personal autorizado de ZAS, seguridad, prevención del fraude y del abuso (límites de intentos, un cupón por persona y oferta, límites de frecuencia de los avisos, registros de actividad) y copias de seguridad: interés legítimo en proteger el servicio y a sus usuarios (art. 6.1.f RGPD).

Contrato, facturación y cobro a los comercios, y conservación de facturas y contratos: ejecución del contrato y obligaciones legales (arts. 6.1.b y 6.1.c RGPD).

ZAS no elabora perfiles publicitarios ni toma decisiones automatizadas con efectos jurídicos sobre los clientes. Los avisos push se envían a quienes han activado ese tipo de aviso, sin segmentar por comportamiento.

Asistente de ZAS: las respuestas del chat las genera un modelo de inteligencia artificial de Anthropic a partir de tu pregunta, de hasta seis mensajes anteriores de la misma conversación, de la pantalla en la que estás (la oferta o el cupón abiertos y el nombre del comercio) y de los datos que el asistente consulta en ZAS: las ofertas publicadas y los datos públicos de los comercios (incluidos horarios, cierres y contacto de su ficha), tus propios cupones y pedidos (estado, fechas, modalidad de recogida o entrega, forma de pago e importe, sin el código del cupón ni la dirección de entrega) y, si preguntas por ello, si tienes un bloqueo de reservas por no recoger un pedido (motivo, fecha de fin y estado de la revisión). Lo que tú escribas en el chat también se envía tal cual: no incluyas datos sensibles. No se envían a Anthropic tu nombre, tu correo, tu teléfono ni tu identificador de cliente. El asistente solo informa: no reserva, no cobra ni cambia nada por su cuenta, y una anulación solo se hace si la confirmas tú. Puede equivocarse; lo que vale es lo que muestra la app en la oferta y en tu cupón.

Los avisos del servicio (confirmación de reserva, uso o caducidad del cupón y estado de los pedidos a domicilio) se envían porque son necesarios para prestarte el servicio; no contienen publicidad y no puedes desactivarlos mientras uses el servicio, salvo eliminando la cuenta.

Los avisos push comerciales solo se envían si los activas por tipo en Cuenta y aceptas el permiso del teléfono. Puedes desactivarlos en cualquier momento en Cuenta o en los ajustes del teléfono; al desactivar todos los tipos dejas de recibir avisos comerciales (los avisos del servicio sobre tus reservas siguen llegando mientras no los desactives en el teléfono) y, al cerrar sesión, tu teléfono deja de recibir cualquier aviso push. Como máximo recibirás 1 aviso comercial cada 24 horas y 3 cada 7 días, entre las 9:00 y las 21:00 (hora de Madrid).

Recordatorio de recogida y confirmación de la reserva (función progresiva): si aceptas el permiso de notificaciones del teléfono —la app te lo pide una sola vez, al entrar en tu cuenta o antes de tu primera reserva, y no insiste si lo rechazas—, tu teléfono queda registrado y recibes un aviso push «Reserva confirmada» al reservar y un único recordatorio durante los últimos 10 minutos de la recogida de cada cupón con horario de recogida. Son avisos del servicio, basados en la ejecución del contrato (art. 6.1.b RGPD): no contienen publicidad, no dependen de que actives ningún tipo de aviso comercial, no cuentan en el límite de avisos comerciales y pueden llegar fuera del horario de 9:00 a 21:00. El recordatorio se cancela al usar, anular o caducar el cupón. Dejan de enviarse si desactivas los avisos en Cuenta («Desactivar en este móvil») o en los ajustes del teléfono, o si cierras sesión; si los desactivaste, no se reactivan solos al volver a entrar y puedes reactivarlos en Cuenta. Guardamos solo su estado (pendiente, enviado, cancelado, omitido o fallido) junto al cupón.

En los comercios donde está activa, cuando el comercio publica o modifica una oferta, unas reglas objetivas y herramientas de inteligencia artificial (Anthropic y, solo si está activada, la moderación de OpenAI) analizan la oferta. A Anthropic se envían el título, la descripción, la categoría, los precios y el descuento calculado, las unidades, los horarios, las condiciones de recogida o entrega y la foto; a OpenAI, el título, la descripción y la foto.

No se envían los campos de cuenta ni de contacto del comercio o de su representante, ni identificadores internos, ni datos de clientes. Sin embargo, el texto, el logotipo o la foto que el comercio escribe o sube pueden incluir por sí mismos un nombre, una marca o un dato de contacto, y en ese caso también llegan al proveedor. Los envíos se hacen solo desde nuestro servidor y con un límite diario de revisiones. El registro de la revisión no guarda una copia adicional del texto ni de la foto enviados, solo el resultado y una huella del contenido analizado; la oferta original sigue guardada en ZAS como cualquier otra oferta.

El resultado puede publicar o bloquear la oferta sin intervención humana. Si hay dudas, un fallo técnico o se alcanza el límite diario de revisiones, decide una persona de ZAS. Una oferta nunca se publica por falta de respuesta del proveedor. El comercio recibe la decisión, el motivo y cómo corregirla, y puede corregir y volver a enviar la oferta, pedir que la revise una persona, expresar su punto de vista e impugnar la decisión escribiendo a contato@soyzas.com.

El comercio que publica la oferta recibe los datos necesarios para atenderte: tu nombre, el código del cupón y, en las entregas, la dirección y la forma de pago. Si el comercio conecta su sistema de cocina o de gestión, el pedido se envía a ese sistema con tu nombre, tu teléfono de contacto y el código del cupón. El comercio también ve las puntuaciones y comentarios que dejes sobre su servicio. Los comercios que contratan avisos patrocinados no reciben tus datos de contacto ni el identificador de tu teléfono.

Proveedores que tratan datos por encargo de ZAS (encargados del tratamiento): Cloudflare (alojamiento, base de datos, archivos y copias de seguridad), Resend (envío de correos), Google Firebase Cloud Messaging (entrega de los avisos push en Android), Apple Push Notification service (entrega de los avisos push en iPhone: recibe el identificador del teléfono y el contenido del aviso), Anthropic (asistente de atención de la app, revisión automática de ofertas y redacción asistida de publicaciones de los comercios) y OpenAI (moderación de seguridad de las ofertas, solo si está activada).

Servicios que intervienen con sus propias condiciones y su propia política de privacidad: Google y Apple, cuando eliges entrar con su cuenta; Google Maps, para direcciones y rutas; OpenStreetMap Foundation (Reino Unido), para localizar la dirección de entrega y mostrar los mapas; WhatsApp, cuando el aviso del servicio se envía por ese canal; y Stripe, en los pagos de los comercios, cuando esté activado.

No vendemos datos personales ni los cedemos con fines publicitarios. Solo los comunicamos a autoridades cuando una ley nos obligue.

Algunos de estos proveedores tratan datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Para esas transferencias, el RGPD exige una garantía como la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea. Puedes pedirnos en contato@soyzas.com la garantía que aplica a cada proveedor. OpenStreetMap Foundation tiene su sede en el Reino Unido, país que cuenta con una decisión de adecuación de la Comisión Europea.

Cuenta y perfil: mientras la cuenta esté activa. Al eliminarla borramos de nuestra base de datos, en ese momento, tu nombre, correo, teléfono, contraseña, identificadores de Google o Apple, sesiones, claves de Entrar con huella, favoritos, dirección guardada y foto de perfil (también el archivo), las direcciones de tus pedidos, las valoraciones de tu experiencia con ZAS, los comentarios sobre comercios y las preferencias de avisos; revocamos los identificadores de notificaciones de tus teléfonos, anulamos los avisos pendientes y quitamos tu dirección de los correos ya enviados.

Lo que se conserva tras eliminar la cuenta, vinculado solo a un identificador anonimizado: los cupones y pedidos ya realizados, que los comercios necesitan para su facturación y la de la comisión de ZAS (se conservan mientras dure esa obligación, con carácter general seis años); las puntuaciones de 1 a 5 dadas a comercios, sin comentario, como estadística del comercio, mientras el comercio siga en ZAS; los registros de actividad y de envío de avisos, como prueba de seguridad y del servicio prestado, hasta que prescriban las acciones relacionadas.

Mapa y distancia de entrega: no conservamos la respuesta de OpenStreetMap salvo la latitud, la longitud y la distancia aproximadas de la dirección, que se guardan en el pedido; la latitud y la longitud se borran al eliminar la cuenta. Una copia temporal de la posición de cada dirección consultada se guarda en la memoria de nuestro servidor, sin vincularla a tu cuenta, y no se reutiliza pasada una hora. OpenStreetMap trata los datos que recibe conforme a su propia política de privacidad.

Asistente de ZAS e incidencias: no guardamos las conversaciones del chat. Los registros técnicos de cada pregunta se conservan como el resto de registros de actividad de la cuenta. Las incidencias y recomendaciones conservan su protocolo, tipo, estado y fechas; el comentario y los datos de contexto se borran al cerrarse la incidencia, pasado el plazo de conservación, o al eliminar tu cuenta.

Avisos push: el identificador de tu teléfono deja de usarse al cerrar sesión o al desactivar los avisos en ese teléfono, y se retira definitivamente si Google o Apple indican que ya no es válido. Los registros de cada campaña (a qué teléfonos se envió, si se aceptó y si se abrió) se conservan mientras sean necesarios para sus estadísticas y, en las campañas patrocinadas, para acreditar al comercio el servicio prestado hasta que prescriban las acciones relacionadas.

Copias de seguridad: antes de cada cambio en la base de datos guardamos una copia completa cifrada en un almacenamiento privado, solo para poder restaurar el servicio, y se borra automáticamente a los 30 días. Nuestro proveedor de base de datos mantiene además un historial técnico de recuperación de 30 días como máximo. Solo puede acceder a ellas el personal técnico autorizado y no se usan para ningún otro fin. Si alguna vez restauramos una copia, volvemos a aplicar las eliminaciones de cuenta registradas, de modo que una cuenta eliminada no se reactiva; ese registro solo contiene un identificador interno y la fecha, y se borra a los 60 días.

Sesiones: caducan a los 30 días del inicio de sesión. Clave de Entrar con huella: caduca a los 90 días o cuando la desactives. Las sesiones y claves caducadas se borran automáticamente en los siguientes inicios de sesión. Contadores de intentos de acceso: caducan al terminar su ventana (como máximo, una hora) y se borran en las siguientes operaciones de acceso. Registros técnicos del servidor (Cloudflare): como máximo 7 días.

Comercios: facturas y documentación fiscal, seis años desde su emisión (art. 30 del Código de Comercio y normativa fiscal); contratos y evidencias de su firma, diez años desde la firma; revisiones de ofertas, durante la relación con el comercio y hasta que prescriban las acciones derivadas de ella.

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento, escribiendo a contato@soyzas.com. Respondemos en el plazo de un mes.

Desde la app o la web: Cuenta → Descargar mis datos te entrega una copia de los datos de tu cuenta en formato JSON (incluidos tu perfil, tus valoraciones y tus preferencias de avisos push), y Cuenta → Eliminar cuenta la elimina con el alcance descrito en el apartado de conservación, salvo que tengas un pedido en curso (podrás hacerlo cuando se entregue o se anule). Si no puedes entrar, sigue las instrucciones de soyzas.com/eliminar-cuenta. Los avisos push se activan y desactivan en Cuenta o en los ajustes del teléfono.

Si consideras que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

ZAS está dirigido exclusivamente a personas mayores de 18 años. Al crear la cuenta confirmas que tienes 18 años o más. No creamos cuentas de menores a sabiendas y, si detectamos una, la eliminamos junto con sus datos.

Toda la comunicación viaja cifrada (HTTPS). Las contraseñas se guardan solo como huella criptográfica; los contratos, evidencias y facturas se guardan cifrados y aislados por comercio, y su descarga usa enlaces temporales firmados y queda registrada. Las claves de los proveedores de inteligencia artificial, notificaciones y mensajería solo existen en el servidor.

ZAS usa cookies técnicas necesarias para mantener tu sesión y la seguridad del acceso y, solo si las aceptas, cookies de analítica de Google Analytics en las páginas públicas de soyzas.com (nunca en la app ni en los paneles). Base jurídica: tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), que puedes retirar en cualquier momento con «Preferencias de cookies». Google Ireland Limited actúa como encargado y puede tratar datos técnicos (dirección IP, navegador, páginas visitadas) fuera del Espacio Económico Europeo con las garantías del capítulo V del RGPD. No enviamos a Analytics nombre, correo, teléfono ni el contenido de formularios. Los detalles están en soyzas.com/cookies.

Cada versión de esta política queda registrada. Si hay cambios relevantes, te avisaremos en la app o por correo antes de que se apliquen.