Legal
Política de privacidad
Qué datos tratamos, de dónde salen y qué puedes pedirnos que hagamos con ellos. Incluida la parte que casi ninguna política cuenta: qué pasa con los datos de los negocios que publicamos sin que nos los hayan dado.
Última revisión: agosto de 2026.
1. Quién trata tus datos
- Responsable: LMDM Consulting, S.L., que publica Top Rated en toprated.es.
- CIF: B13674924
- Domicilio: Calle Collado Villalba, 19 — 28914 Leganés (Madrid), España
- Correo: hola@toprated.es
No tenemos delegado de protección de datos, y no lo exige el artículo 37 del RGPD: ni somos una autoridad pública, ni observamos a nadie a gran escala, ni tratamos categorías especiales de datos.
2. Los datos que nos das tú
Son los de quien lleva un negocio y se acerca al sitio. Solo estos:
- Al reclamar una ficha: el correo, y opcionalmente tu nombre, tu cargo y un teléfono. Los tres últimos son opcionales de verdad: solo se leen si la solicitud cae a revisión manual, y sirven para resolverla con una llamada en vez de con cuatro correos.
- Al rellenar la ficha desde el panel: lo que decidas publicar del negocio (horarios, servicios, fotos, equipo, redes). Eso se publica: es el objeto de la ficha. Si metes ahí el nombre y la foto de una persona de tu equipo, el responsable de habérselo pedido eres tú.
- Al contratar: los datos de facturación. La tarjeta la recoge Stripe en su propia pantalla y no llega a nuestros servidores en ningún momento.
No pedimos DNI, ni datos de salud, ni ideología, ni nada de lo que el artículo 9 del RGPD llama categorías especiales.
3. Los datos que no nos das tú: las fichas de los rankings
El sitio publica fichas de negocios de Madrid que en su mayoría no nos han dado nada. Esto es lo que el artículo 14 del RGPD obliga a contarte, y es lo que faltaba entero en la política anterior.
- Qué publicamos: el nombre del negocio, su dirección, su teléfono, su web, su categoría y la valoración pública que tiene en Google con su número de opiniones.
- De dónde sale: de fuentes de acceso público. La web del propio negocio, su ficha pública de Google y registros y directorios abiertos. No compramos bases de datos ni las recibimos de terceros.
- Por qué es un dato personal: cuando el negocio es una sociedad, no lo es. Cuando es un autónomo, un profesional que ejerce con su nombre o una consulta a nombre de una persona, sí, y entonces se aplica todo lo de esta política.
- Con qué base legal: interés legítimo (artículo 6.1.f). Publicar un directorio de negocios con datos de contacto que el propio negocio ya difunde públicamente, y hacerlo en el ámbito profesional y no en el personal, es lo que la ponderación pesa a favor. La ponderación completa está publicada; también puedes pedirla por escrito al correo del responsable.
- Y tu derecho de oposición: con esa base legal, puedes oponerte y basta con pedirlo. Está en el §9.
4. Para qué, y con qué base legal
| Para qué | Base legal |
|---|---|
| Publicar la ficha de un negocio en un ranking | Interés legítimo (§3) |
| Comprobar que quien reclama una ficha es de ese negocio | Medidas precontractuales a petición del interesado |
| Dar acceso al panel y publicar lo que se edita ahí | Ejecución del contrato |
| Cobrar la suscripción y emitir la factura | Ejecución del contrato y obligación legal (contable y fiscal) |
| Escribir al negocio para ofrecerle el perfil pro de su ficha | Interés legítimo, con la salida del artículo 21 de la LSSI en cada envío (§6) |
| Contar visitas y clics de cada ficha | No aplica: el contador no guarda ni IP, ni cookie, ni nada de quien visita. Solo suma uno al total del día de esa ficha |
5. Cuánto tiempo los guardamos
- Solicitudes de reclamación: mientras esté abierta, y dos años después para poder demostrar por qué se aprobó o se rechazó una ficha.
- Clientes con suscripción: mientras dure, y seis años más los datos de facturación, que es lo que exige el Código de Comercio.
- Correos que hemos enviado: se guarda el registro del envío porque es lo que hace cumplir el tope de un comercial cada catorce días por negocio, y lo que permite demostrar que una baja se respetó.
- Fichas de negocios que no han reclamado: mientras el negocio siga abierto y en el ranking, o hasta que se oponga.
6. Correos comerciales, y cómo cortarlos
Si tu negocio tiene ficha, es posible que te escribamos para contarte que puedes reclamarla o activar su perfil pro. Tres cosas sobre eso, y las tres están en el código y no solo aquí:
- Todo correo comercial lleva su baja, en el cuerpo y en la cabecera
List-Unsubscribe. Se añade en el envío y no en la plantilla, justamente para que ninguna plantilla nueva pueda salir sin ella. Lo pide el artículo 21 de la LSSI. - Un comercial cada catorce días por negocio como máximo.
- Darse de baja corta los comerciales y no los demás. El enlace para entrar al panel, el aviso de un pago que ha fallado y la factura siguen saliendo: explican algo que ya ha pasado en tu cuenta y no se pueden no mandar.
7. Quién más ve estos datos
No vendemos datos, no los cedemos para que nadie haga marketing con ellos y no hay nadie más que los reciba salvo estos tres proveedores, que los tratan por cuenta nuestra y con un contrato de encargo firmado:
| Quién | Para qué | Dónde |
|---|---|---|
| Supabase | La base de datos donde vive todo el sitio. | Unión Europea (Fráncfort) |
| Resend | El envío de los correos: el enlace de acceso, los avisos de la cuenta y los comerciales. | Estados Unidos, con cláusulas contractuales tipo de la Comisión Europea |
| Stripe | El cobro de las suscripciones y la facturación. Los datos de la tarjeta los recoge Stripe en su propia pantalla y no pasan por este sitio. | Irlanda, con transferencias a Estados Unidos amparadas en cláusulas contractuales tipo |
| PostHog | Analítica de producto (páginas vistas, embudo de reclamo, errores del panel) y grabación de sesión con campos enmascarados. Solo si aceptas cookies de analítica. | Unión Europea (Fráncfort, PostHog Cloud EU) |
Aparte de eso, a la Administración cuando una norma lo exija: Agencia Tributaria, juzgados y poco más.
8. Decisiones automáticas
Hay una, y conviene decirla. Cuando alguien reclama una ficha con un correo del mismo dominio que la web que ese negocio publica, la solicitud se aprueba sola y sin que nadie la mire. Si el dominio no coincide, la revisa una persona. No produce efectos jurídicos sobre nadie -lo único que decide es quién puede editar una ficha- y en el caso lento siempre hay alguien detrás.
9. Tus derechos
Puedes ejercer estos derechos escribiendo a hola@toprated.es. Contamos un mes desde que llega el correo. Si no podemos identificarte con lo que nos escribes, te pediremos algo más; no pedimos el DNI por defecto.
- Acceso: saber qué tenemos tuyo y recibir una copia.
- Rectificación: corregir lo que esté mal. Si es un dato de tu ficha y ya has verificado el negocio, no hace falta pedírnoslo: lo cambias tú desde el panel y sale publicado al momento.
- Supresión: que lo borremos, cuando ya no haga falta para lo que se recogió.
- Oposición: el que importa en un directorio. Si tu negocio sale en un ranking y no quieres que salga, dilo y lo retiramos. No te vamos a pedir que justifiques nada ni te vamos a ofrecer un plan a cambio de quedarte.
- Limitación y portabilidad: también los tienes, en los supuestos del RGPD.
- Retirar el consentimiento cuando el tratamiento se basara en él, sin que eso afecte a lo que se hizo antes.
Y si crees que lo hemos hecho mal, puedes reclamar ante la Agencia Española de Protección de Datos. No hace falta que nos escribas antes, aunque suele ser más rápido.
10. Seguridad
- Todo el sitio va por HTTPS.
- Las contraseñas no existen: al panel se entra con un enlace que caduca y que llega al correo verificado del negocio.
- De los enlaces de reclamación no guardamos el enlace, sino su huella criptográfica. Un volcado de la base de datos no abre el panel de nadie.
- Los datos de tarjeta no pasan por aquí en ningún momento: los recoge Stripe en su propia pantalla.
Si alguna vez hay una brecha que pueda afectarte, te lo diremos en los plazos del artículo 34 del RGPD.
11. Menores
Este sitio va de negocios y se dirige a quien lleva uno. No pedimos ni queremos datos de menores de catorce años. Si nos llega uno, lo borramos.
12. Cookies
El sitio pone cookies técnicas de sesión (lmdm_panel, lmdm_admin y lmdm_coupon) y, solo si las aceptas, cookies de analítica de PostHog Cloud EU (ph_*). No hay píxeles de publicidad. El detalle está en la política de cookies.
13. Si esto cambia
Cuando cambie algo de fondo -un proveedor nuevo, una finalidad nueva- se actualiza esta página y se cambia la fecha de arriba. Si eres cliente, además te escribimos.