Traducción asistida por máquina. Esta página se ha traducido con ayuda de una máquina y aún no la ha revisado un hablante nativo. Leer en inglés
Aviso de privacidad
Esta es una traducción asistida por máquina, ofrecida para su comodidad. La versión en inglés es la que se aplica. Si ambas difieren, prevalece la versión en inglés.
Última actualización: 3 de noviembre de 2026
Este aviso se aplica a rootfood.app y a la app Root para iPhone. Explica qué datos personales recogemos, por qué, quién nos ayuda a tratarlos, cuánto tiempo los conservamos y qué derechos tiene usted. Está redactado para cumplir el UK GDPR, el Reglamento General de Protección de Datos (RGPD) de la UE, el Reglamento británico sobre privacidad y comunicaciones electrónicas (PECR) y las normas de privacidad electrónica de la UE tal como las aplica cada país.
Quiénes somos
El responsable del tratamiento de sus datos personales es SPR Labs Ltd, que opera como Root (rootfood.app), una sociedad registrada en Inglaterra y Gales. Para cualquier cuestión sobre sus datos, escriba a hello@rootfood.app.
Número de sociedad: 16814378
Domicilio social: 3 Winkford Grange, Church Lane, Godalming, Surrey, GU8 5PR, United Kingdom
No necesita una cuenta
Puede usar el mapa, la búsqueda, las páginas de lugares, las guías y la app sin registrarse ni decirnos quién es. Solo necesita una cuenta si gestiona una granja o una tienda y quiere administrar su ficha, o si paga por Root Pro o por una colocación patrocinada.
En la app, su ubicación se usa en su iPhone para mostrarle lugares cercanos, y solo mientras usa la app, salvo que active los avisos de granjas guardadas. Su posición exacta no se nos envía. Para cargar lugares, la app pide a nuestros servidores y a la API Overpass de OpenStreetMap la zona del mapa que aparece en pantalla, por lo que ven esa zona y su dirección IP.
Qué recogemos, por qué y durante cuánto tiempo
| Finalidad | Datos | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Mostrar el mapa, la búsqueda y las páginas de lugares | Dirección IP, tipo de navegador, la zona del mapa o la búsqueda que solicita. No hace falta cuenta. | Interés legítimo: prestar el servicio que ha solicitado. | No se guarda vinculado a su identidad. Registros de alojamiento: véase Alojamiento más abajo. |
| Asistentes de IA que usan el conector público de Root (MCP) y la API de datos | El lugar, la ciudad o la búsqueda que pide el asistente, la hora y la dirección IP del servidor del asistente. Nunca recibimos tu conversación, tu nombre ni tu cuenta con la empresa de IA. | Intereses legítimos: responder a la solicitud y prevenir abusos. | No se guarda con tu identidad. Los límites de uso se guardan en memoria durante un minuto. Registros de alojamiento: ver Alojamiento más abajo. |
| Mantener la seguridad del servicio y evitar abusos | Un hash con sal de su dirección IP que cambia cada mes, los resultados de Cloudflare Turnstile en los formularios y un identificador aleatorio del dispositivo creado cuando envía una corrección o un informe de visita. | Interés legítimo: prevenir el spam, el fraude y los ataques. | Los hashes de limitación de frecuencia dejan de poder vincularse cuando la sal cambia cada mes. Los identificadores de dispositivo permanecen en el registro con el que se enviaron. |
| Supervisión de errores (Sentry) | Mensajes de error, trazas de pila, la ruta de la página, el tipo de navegador y de dispositivo. Sin dirección IP, cookies, cabeceras, parámetros de consulta ni datos del usuario. | Interés legítimo: detectar y corregir fallos. No guarda nada en su dispositivo, por lo que no necesita consentimiento de cookies. | Hasta 90 días, según nuestro plan de Sentry. |
| Analítica de producto (PostHog), solo si la permite | Un identificador aleatorio, las páginas vistas y eventos como mapa cargado, lugar abierto, búsqueda realizada y filtro cambiado. No enviamos su correo electrónico ni su nombre. | Consentimiento. Puede retirarlo en cualquier momento en Configuración de cookies. | Hasta 12 meses; después se eliminan. |
| Estadísticas del sitio (Vercel Web Analytics y Speed Insights), solo si las permite | Dirección de la página, página de procedencia, país aproximado, tipo de dispositivo y tiempos de carga. Sin cookies; las visitas se cuentan con un hash que se renueva cada día. | Consentimiento. | Agregadas por Vercel; ningún registro remite a usted. |
| Boletín (Field & Table by Root) | Dirección de correo electrónico, los condados o temas que elija, dónde se suscribió y la confirmación que da al hacer clic en el enlace que le enviamos (doble opt-in). | Consentimiento. Puede darse de baja desde cualquier correo. | Hasta que se dé de baja. Después eliminamos su dirección en un plazo de 30 días. |
| Registro de consentimientos del boletín | Un hash unidireccional de su dirección de correo electrónico, lo que hizo (solicitar, confirmar, darse de baja), el texto que aceptó, dónde se suscribió, una dirección IP en forma de hash, el tipo de navegador y la hora. | Obligación legal: debemos poder demostrar que dio su consentimiento (art. 7, apartado 1, del UK GDPR y del RGPD, PECR y las normas de privacidad electrónica). | Mientras esté suscrito y 3 años después de darse de baja. |
| Correcciones e informes de visita | Lo que envía, el lugar al que se refiere, la hora, una dirección IP en forma de hash, un identificador aleatorio del dispositivo y su identificador de cuenta si ha iniciado sesión. | Interés legítimo: mantener las fichas exactas. | Las correcciones que aplicamos pasan a formar parte de la ficha. El resto, junto con los hashes y los identificadores, se elimina 2 años después de que decidamos sobre ellos. |
| Cuentas de productores y reclamaciones de fichas | Su nombre y correo electrónico, su función en la empresa, la denominación social de la empresa, su nombre comercial, dirección, números de registro y de IVA, el correo de facturación y cualquier prueba que suba para demostrar que gestiona la empresa. | Contrato: prestar la cuenta y la reclamación que ha solicitado. Obligación legal respecto a los datos del comerciante que debemos comprobar y mostrar (art. 30 del Reglamento de Servicios Digitales, cuando sea aplicable). | Mientras la cuenta esté abierta. Las pruebas se eliminan 90 días después de que decidamos la reclamación. Las reclamaciones sin terminar caducan a los 30 días. |
| Root Pro, Supporter y colocaciones patrocinadas (pagos) | Plan, precio, estado del pago, facturas y datos de IVA. Los datos de la tarjeta van directamente a Stripe o a Apple; nunca los vemos. | Contrato y obligación legal en materia de registros fiscales y contables. | Registros contables: 6 años desde el final del ejercicio al que se refieren, como exige la ley del Reino Unido. |
| Notificaciones de contenido ilícito y recursos | Su nombre y correo electrónico, el contenido que notifica, por qué cree que es ilícito, y nuestra decisión y sus motivos. | Obligación legal cuando se aplica el Reglamento de Servicios Digitales de la UE; interés legítimo en los demás casos. | 3 años desde el cierre del caso. |
| Mensajes que nos envía | Su dirección de correo electrónico y lo que escribe. | Interés legítimo: responderle. | 2 años desde el final de la conversación, salvo que esté relacionada con una reclamación legal. |
Cuando nos basamos en el interés legítimo, lo hemos ponderado frente a sus derechos y hemos limitado los datos al mínimo que requiere la finalidad. Puede oponerse en cualquier momento (véase Sus derechos). No vendemos datos personales, no mostramos publicidad comportamental ni usamos píxeles de seguimiento publicitarios o de redes sociales. No tomamos decisiones sobre usted por medios automatizados que produzcan efectos jurídicos o le afecten de forma similarmente significativa.
Alojamiento, teselas del mapa y enlaces externos
Cuando carga una página, Vercel recibe su dirección IP y los datos de su navegador para entregarla, y conserva registros de solicitudes hasta 30 días para hacer funcionar y proteger el servicio. Las teselas de fondo del mapa proceden de OpenFreeMap, que recibe su dirección IP y la zona del mapa para poder enviarlas. OpenFreeMap actúa por cuenta propia, no siguiendo nuestras instrucciones.
Las páginas de lugares pueden enlazar al sitio web, las redes sociales o Google Maps de una empresa. No cargamos nada de esos servicios hasta que sigue el enlace, y a partir de ahí se aplican sus propios avisos de privacidad.
Cookies y tecnologías similares
Usamos cookies y almacenamiento local solo cuando el sitio los necesita, y para dos finalidades opcionales que puede activar o desactivar. Nada opcional se ejecuta hasta que dice que sí, y decir que no es tan fácil como decir que sí. Si su navegador envía una señal Global Privacy Control, la tratamos como un no y no mostramos el aviso. Puede cambiar su elección en cualquier momento: .
Necesarias para el sitio (siempre activas)
| Nombre | Finalidad | Duración |
|---|---|---|
| root_consent (almacenamiento local) | Recuerda sus preferencias de cookies, cuándo las eligió y la versión del aviso. | Hasta que las cambie, o hasta que cambiemos el aviso y volvamos a preguntar |
| root_saved_places, root_saved_lists (almacenamiento local) | Los lugares y listas que guarda en este dispositivo. | Hasta que los elimine o borre los datos del sitio |
| root.recentSearches (almacenamiento local) | Sus búsquedas recientes, visibles solo para usted. | Hasta que las borre o borre los datos del sitio |
| root_newsletter_dismissed_until (almacenamiento local) | Recuerda que cerró el aviso del boletín. | 30 días |
| root_device_hash (almacenamiento local) | Un identificador aleatorio, creado solo cuando envía una corrección o un informe de visita, para que podamos limitar los abusos. | Hasta que borre los datos del sitio |
| sb-…-auth-token (cookies) | Mantiene su sesión iniciada. Solo se crea si inicia sesión. | Hasta que cierre la sesión o esta caduque |
Los formularios (correcciones, informes de visita, reclamaciones, inicio de sesión y denuncias) usan Cloudflare Turnstile, que lee señales de su navegador para distinguir personas de bots. Solo se ejecuta en páginas con formulario y es necesario para mantener esos formularios libres de spam.
Opcionales
- Analítica de producto: PostHog crea una cookie y entradas de almacenamiento local cuyos nombres empiezan por
ph_, con un identificador aleatorio, durante un máximo de 12 meses. Cuando retira su consentimiento, las eliminamos y dejamos de enviar eventos. - Estadísticas del sitio: Vercel Web Analytics y Speed Insights no crean cookies, pero ejecutan un script en su navegador que lee datos de la página y tiempos de carga, por eso le preguntamos antes.
La supervisión de errores con Sentry no figura en el aviso porque no guarda nada en su dispositivo ni envía datos personales. Véase la tabla anterior.
Quién trata datos por nuestra cuenta
Estas empresas tratan datos personales siguiendo nuestras instrucciones en virtud de contratos de encargo del tratamiento. Cuando los datos salen del Reino Unido o del EEE, la transferencia está cubierta por la garantía indicada.
| Empresa | Qué hace para nosotros | Dónde | Garantía de transferencia |
|---|---|---|---|
| Supabase Inc. | Base de datos, inicio de sesión y almacenamiento de archivos | Londres, Reino Unido (eu-west-2) | Los datos permanecen en el Reino Unido, que la UE reconoce como país con un nivel de protección adecuado. |
| Vercel Inc. | Alojamiento y entrega del sitio web; Web Analytics y Speed Insights si los permite | Red perimetral global, empresa en EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y su extensión al Reino Unido, y cláusulas contractuales tipo con el Anexo del Reino Unido |
| Functional Software Inc. (Sentry) | Supervisión de errores | EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y su extensión al Reino Unido, y cláusulas contractuales tipo con el Anexo del Reino Unido |
| PostHog Inc. (EU Cloud) | Analítica de producto si la permite | Fráncfort, Alemania | Datos almacenados en la UE. Cualquier acceso de soporte desde EE. UU. está cubierto por cláusulas contractuales tipo. |
| Cloudflare Inc. | Comprobaciones antispam Turnstile en formularios | Red global, empresa en EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y su extensión al Reino Unido, y cláusulas contractuales tipo |
| Kit (ConvertKit LLC) o Resend Inc. | Envío del boletín y de los correos de la cuenta. Estamos eligiendo un proveedor; esta línea indicará cuál. | EE. UU. | Cláusulas contractuales tipo con el Anexo del Reino Unido, o el Marco de Privacidad de Datos si el proveedor está certificado |
| Stripe (Stripe Payments Europe Ltd y Stripe Payments UK Ltd) | Pagos con tarjeta y facturas en la web | Irlanda y Reino Unido; Stripe Inc. en EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y su extensión al Reino Unido, y cláusulas contractuales tipo |
| RevenueCat Inc. | Saber qué suscripción tiene en la app y en la web | EE. UU. | Cláusulas contractuales tipo con el Anexo del Reino Unido |
Apple gestiona las compras en la App Store como responsable del tratamiento independiente, conforme a su propia política de privacidad. Solo nos comunica, a través de RevenueCat, que una suscripción está activa. Stripe también actúa como responsable independiente para su propia prevención del fraude y sus obligaciones legales. Podemos comunicar datos cuando la ley lo exija, por ejemplo a un tribunal o a una autoridad de control, y a asesores profesionales sujetos a un deber de confidencialidad.
Pedidos anticipados y pagos
Cuando haces un pedido anticipado a una granja recogemos tu nombre, correo, y opcionalmente teléfono y una nota, los productos, el día de recogida y el importe. Los usamos para cobrar, enviarte la confirmación y que el vendedor prepare y entregue tu pedido (contrato, artículo 6.1.b del RGPD). Los compartimos con el vendedor, responsable independiente de cumplir tu pedido, y con Stripe, que procesa el pago. Conservamos los registros de pedidos 6 años por obligaciones fiscales y contables y después los borramos. Nunca vemos los datos de tu tarjeta.
Sus derechos
Conforme al UK GDPR y al RGPD de la UE, usted tiene derecho a:
- obtener una copia de sus datos personales;
- que se rectifiquen si son inexactos;
- que se supriman;
- limitar su uso;
- oponerse al tratamiento basado en el interés legítimo y, en cualquier momento, a la mercadotecnia directa;
- recibir en un formato portable los datos que nos facilitó, cuando el tratamiento se base en el consentimiento o en un contrato;
- retirar su consentimiento en cualquier momento, sin que ello afecte a lo realizado antes.
Para ejercer cualquiera de estos derechos, escriba a hello@rootfood.app. Le responderemos en el plazo de un mes, o le indicaremos dentro de ese mes si necesitamos hasta dos meses más por tratarse de una solicitud compleja. Es gratuito. Puede que le pidamos antes que confirme su identidad, normalmente respondiendo desde la dirección de correo electrónico a la que están vinculados los datos. Para retirar el consentimiento de cookies, use Configuración de cookies al pie de cualquier página. Para darse de baja, use el enlace de cualquier boletín. Los datos que la app guarda en su iPhone, como los lugares guardados, se eliminan cuando borra la app.
Reclamaciones
Si no está satisfecho, díganoslo primero e intentaremos solucionarlo. También tiene derecho a presentar una reclamación ante una autoridad de protección de datos en cualquier momento:
- en el Reino Unido, la Information Commissioner's Office (ico.org.uk/make-a-complaint, 0303 123 1113);
- en la UE o el EEE, la autoridad del lugar donde vive o trabaja, o donde cree que se produjo el problema. El Comité Europeo de Protección de Datos las enumera todas en edpb.europa.eu. Como no tenemos establecimiento en la UE, puede dirigirse directamente a cualquiera de ellas.
Menores
Root es un servicio para el público general y no está dirigido a menores. Debe tener 16 años o más para suscribirse al boletín o crear una cuenta. Si cree que un menor nos ha facilitado sus datos, escríbanos y los eliminaremos.
Seguridad
Los datos se cifran en tránsito y en reposo. El acceso a la base de datos está limitado mediante seguridad a nivel de fila, el acceso del personal se limita a lo que requiere cada tarea y las pruebas de las reclamaciones se guardan en un contenedor de almacenamiento privado.
Datos abiertos
Las fichas se elaboran a partir de datos abiertos como OpenStreetMap (© colaboradores de OpenStreetMap, bajo la Open Database Licence) y datos de la Food Standards Agency. Describen empresas, no a particulares. Si una ficha muestra datos sobre usted como persona, por ejemplo el domicilio particular de un empresario individual, díganoslo y la revisaremos. Las fuentes figuran en Datos y licencias.
Cambios en este aviso
Actualizamos este aviso cuando cambia lo que hacemos y modificamos la fecha de arriba. Si un cambio afecta a lo que aceptó en el aviso de cookies, el aviso volverá a preguntarle. Si tiene una cuenta o está suscrito al boletín, le informaremos por correo electrónico de los cambios importantes.
Consulte también las Condiciones de uso, Política de publicidad y Información sobre el Reglamento de Servicios Digitales.