Borrador pendiente de revisión legal

Política de privacidad

Última actualización: 2026-09-27 (borrador; la fecha real de publicación se fija cuando Legal lo apruebe y se suba a la URL pública) · Versión: v1.0

1. Quién es el responsable

Ruben Molina Delgado (autónomo), NIF 50118715J, domicilio Calle de los Yébenes 144, 3.º B, 28047 Madrid. Contacto de privacidad: rmolina26@gmail.com. Delegado de protección de datos: [si procede].

2. Qué datos tratamos y para qué

Datos	Para qué	Base jurídica	Dónde
Identificador de sesión anónima (Supabase Auth)	Que la app funcione sin registro y aplicar límites de uso	Ejecución del servicio	Supabase
Email (solo si lo das, tras crear el Gemelo Digital)	Enviarte el PDF y gestionar tu cuenta	Ejecución / consentimiento	Supabase; Brevo si aceptas correos comerciales
Aceptación del EULA (versión y fecha)	Acreditar que aceptaste las condiciones	Obligación legal / interés legítimo	Supabase (`profiles`)
Consentimiento de correos comerciales (versión y fecha)	Enviarte novedades y ofertas del comercio de accesorios	Consentimiento (retirable)	Supabase, Brevo
Consentimiento de telemetría (versión, fecha, también si lo rechazas)	Acreditar tu decisión	Obligación legal	Supabase
Datos del vehículo (medidas, MMA, tipo), mantenimiento, checklists, diario de viaje y gastos, recursos	Funciones de la app	Ejecución del servicio	Móvil (cifrado) y copia en Supabase
Documentos personales y partes de accidente (incl. fotos)	Guardarlos para ti	Ejecución del servicio	Solo en tu móvil, cifrados (AES-256); no se suben
Datos del conductor y del seguro (nombre, DNI, permiso de conducir, aseguradora, nº de póliza) y matrícula	Autorrellenar el parte de accidente	Ejecución del servicio	Solo en tu móvil, cifrados (AES-256); no se suben (desde 2026-10-08)
Composición familiar (solo número de adultos y menores)	Estimar consumo de recursos	Ejecución del servicio	Supabase. Nunca nombres ni datos de menores: quedan solo en tu móvil
Ubicación aproximada o precisa (con tu permiso)	Mostrar lo que hay cerca, avisos de gálibo/ZBE, contexto del copiloto	Consentimiento (permiso del sistema)	Se procesa en el móvil; se envían al servidor solo coordenadas o zona puntual para consultar POIs cercanos y cuando preguntas al copiloto
Conversaciones con el copiloto	Responder tus preguntas	Ejecución del servicio	Se envían a nuestro servidor y a un proveedor de IA (ver §4); historial guardado solo con Premium
Voz (micrófono)	Dictado y respuestas por voz	Consentimiento (permiso)	Reconocimiento de voz del sistema; no guardamos el audio
Compras (Premium)	Gestionar la suscripción	Ejecución del contrato	RevenueCat; nosotros no vemos tu tarjeta
Telemetría (si la aceptas): fallos, rendimiento y uso	Corregir errores y mejorar	Consentimiento (retirable)	Firebase (Google)
Notificaciones push (si las aceptas)	Avisos que hayas activado	Consentimiento	Firebase Cloud Messaging
Fotos que subas (p. ej. en el diario)	Guardarlas para ti	Ejecución del servicio	Storage de Supabase; se eliminan los datos de ubicación (EXIF) antes de subirlas
Avisos «Foto incorrecta» y denuncias de áreas	Moderar contenido	Interés legítimo	Supabase; no son visibles para otros usuarios
Contenido que publicas: alias público, reseñas, fotos de sitios (sin EXIF), avisos y propuestas de cambio, propuestas de áreas con fotos	Mostrarlo a la comunidad y moderarlo	Ejecución del servicio (condiciones de uso)	Supabase; reseñas y fotos aprobadas, visibles para todos solo con tu alias
Favoritos y listas de favoritos	Guardarlos y verlos en el mapa	Ejecución del servicio	Móvil (cifrado) y copia en Supabase
Planificación de rutas: coordenadas de origen, destino y paradas que elijas	Calcular la ruta y las etapas	Ejecución del servicio	Nuestro servidor y un proveedor de rutas (Geoapify, §4); el plan guardado queda solo en tu móvil y se borra con la cuenta. Caché de la ruta en el servidor, sin identificarte: 7 días
Recomendaciones de afiliados (si están activas): país, sitio que miras, intención de la pregunta y número de viajeros (nunca edades)	Enseñarte como mucho 3 enlaces de afiliado relevantes	Interés legítimo	Supabase guarda la recomendación mostrada con un identificador aleatorio, el sitio y el país, sin tu usuario, sin coordenadas y sin el texto de la pregunta
Huella cifrada de tu conexión (IP) al usar el copiloto	Que unas pocas cuentas desde un mismo sitio no agoten el copiloto para todos	Interés legítimo (seguridad y disponibilidad del servicio)	Supabase: solo la huella SHA-256 de la IP con una clave secreta del servidor, nunca la IP; se borra a los 2 días (desde 2026-10-08, migración 0181)
Días de uso (solo con telemetría aceptada)	Medir cuánta gente usa la app	Consentimiento	Supabase (`app_activity_days`), se purga a los 120 días

No vendemos tus datos ni los usamos para decidir sobre ti de forma automatizada con efectos legales.

3. Telemetría: qué es exactamente

Es opcional y está desactivada por defecto. Si la aceptas, Firebase (Google) recibe: un identificador de la instalación, modelo y versión del dispositivo, idioma, informes de fallos, tiempos de arranque y eventos de uso de pantallas. No incluye tu nombre ni tu email, pero el identificador de instalación es un dato personal seudonimizado. Puedes retirarla en Ajustes → Privacidad; a partir de ese momento se deja de recoger.

4. Con quién compartimos datos (encargados y terceros)

Supabase (base de datos, autenticación, almacenamiento, funciones).

Proveedores de IA del copiloto, a través de nuestro servidor (copilot-proxy): el texto de tu pregunta y el contexto necesario (por ejemplo medidas del vehículo, tu perfil de viaje en texto libre, ubicación redondeada y puntos cercanos). No enviamos tu email ni tu identidad. Cadena vigente (fijada 2026-10-08, PROVIDER_CHAIN_FREE/PROVIDER_CHAIN_PREMIUM): la petición se manda en orden a varios modelos hasta que uno responde; todos salvo el último pasan por OpenRouter, que la reenvía a la empresa que aloja realmente ese modelo — nosotros no elegimos ese reenvío petición a petición, lo decide OpenRouter según disponibilidad. Las peticiones a OpenRouter van con data_collection: "deny" y la cuenta tiene activada la retención cero (Zero Data Retention). El último eslabón de ambas cadenas es Groq directo.

Cadena	Orden	Modelo	Empresa que lo aloja	País/sede
Gratis	1	`google/gemma-4-31b-it`	Google (modelo abierto, servido por un proveedor de inferencia vía OpenRouter)	EEUU/UE según proveedor
Gratis	2	`cohere/north-mini-code`	Cohere	Canadá
Gratis	3	`z-ai/glm-5.3-flash`	Zhipu AI (Z.ai)	China
Gratis	4	`openai/gpt-oss-120b`	OpenAI (modelo abierto, reenviado vía OpenRouter)	EEUU
Gratis	5	`openai/gpt-oss-20b`	OpenAI (ídem)	EEUU
Gratis	6 (directo)	`openai/gpt-oss-120b`	Groq	EEUU
Premium	1	`openai/gpt-5.6-luna`	OpenAI (vía OpenRouter)	EEUU
Premium	2	`google/gemma-4-31b-it`	Google (ídem que en Gratis)	EEUU/UE según proveedor
Premium	3	`deepseek/deepseek-v4-pro`	DeepSeek	China
Premium	4 (directo)	`openai/gpt-oss-120b`	Groq	EEUU

Aviso para Legal, no es análisis jurídico: uno de los seis eslabones de la cadena Gratis (GLM) y uno de los cuatro de Premium (DeepSeek) son empresas chinas — dos en total, ambos de reserva (solo responden si fallan los anteriores). Una transferencia a China necesita una base distinta a la que suele valer para EEUU (p. ej. el marco EU-US Data Privacy Framework, cuando el proveedor estadounidense está certificado) — normalmente cláusulas contractuales tipo más medidas adicionales, y hay que valorar el riesgo de acceso por terceros en ese país. Esto es lo que hay que decidir con Legal antes de publicar, no algo que se pueda resolver solo con el texto genérico de «transferencia fuera del EEE» de más abajo. Alternativa sin China: quitar GLM y DeepSeek de las cadenas (decisión de producto).

La lista de modelos puede cambiar sin publicar nueva versión de la app (es un secreto de servidor, PROVIDER_CHAIN_FREE/_PREMIUM): revisar esta tabla cada vez que cambien esos secretos.

Google / Firebase: Crashlytics, Analytics y Performance solo si aceptas el consentimiento de telemetría (ver §3; los tres SDK arrancan apagados y se activan únicamente con tu consentimiento expreso), Cloud Messaging (notificaciones push, si las activas) y Remote Config (no procesa datos personales, solo decide qué configuración de la app te llega).
RevenueCat (suscripciones).
Brevo (correo comercial, solo si lo aceptas).
Cloudflare (alojamiento de mapas e imágenes).
Servicios que consultan datos abiertos desde tu móvil o nuestro servidor, que reciben tu dirección IP y, en algunos casos, unas coordenadas: Wikimedia/Commons y Wikipedia (fotos y textos), Instituto Geográfico Nacional / IGN Francia / DGT Portugal (vista aérea), NASA FIRMS (incendios) y Mangrove Reviews (reseñas abiertas de cada sitio: recibe las coordenadas del sitio, no las tuyas). La app pide tu consentimiento antes de descargar fotos de terceros. Las fotos de calle de Mapillary y Panoramax las descarga nuestro servidor y se sirven desde nuestro alojamiento: no reciben ningún dato tuyo. La previsión del tiempo la pide nuestro servidor a MET Norway (Instituto Meteorológico de Noruega) con las coordenadas redondeadas a ~1 km y sin tu IP; la búsqueda de lugares se resuelve en nuestra propia base de datos (GeoNames). Google Places ya no se usa (retirado el 2026-10-07).
Proveedores de rutas (solo cuando planificas un viaje), desde nuestro servidor, sin tu identidad: reciben las coordenadas de origen, destino y paradas. Geoapify (KEPTAGO LTD, Chipre, como encargado del tratamiento con su contrato del art. 28 RGPD; usamos su servidor de la UE, que trata los datos en Alemania y Finlandia). Si Geoapify no responde, la ruta se calcula de forma aproximada en nuestro servidor, sin ningún otro proveedor. (LocationIQ, de India, se quitó de la cadena el 2026-10-07 por no tener decisión de adecuación.)
Awin y los anunciantes de afiliación: solo si tocas un enlace de afiliado. Te llevamos a su web pasando por Awin con un identificador aleatorio de la recomendación (clickref), sin datos tuyos; a partir de ahí aplican su política y sus cookies.
Traducción de reseñas: en tu móvil (Google ML Kit). Solo se descarga el modelo del idioma; el texto no sale del dispositivo.

Nota para Legal (2026-10-07): las preguntas al copiloto que pasan por OpenRouter van con data_collection: "deny". Según la documentación de OpenRouter (Provider Routing), con eso solo se enruta a proveedores que no recogen datos; antes iban con el valor por defecto («allow»: proveedores que pueden guardar y entrenar con los datos). Lo que dice el texto de esta política sobre los proveedores de IA debe reflejarlo. La cadena se ha comprobado en copilot_provider_log (posiciones 1–5 de la gratuita coinciden con la tabla; la 6, Groq, no se ha usado en 14 días: confirmar si sigue).

Cuando el proveedor esté fuera del Espacio Económico Europeo (arts. 44-49 RGPD y LOPDGDD 3/2018), la transferencia se ampara en, según el caso:

Decisión de adecuación de la Comisión Europea, cuando exista para ese país (hoy no es el caso de EEUU en general ni de China).
EU-US Data Privacy Framework, para los proveedores estadounidenses (OpenAI, Google, Groq, Cohere aunque su sede sea canadiense) que estén certificados en el marco vigente — confirmar el certificado concreto de cada uno en https://www.dataprivacyframework.gov/list antes de publicar, puede cambiar.
Cláusulas contractuales tipo (CCT) de la Comisión Europea más una evaluación de impacto de la transferencia (transfer impact assessment), para cualquier proveedor sin de las dos bases anteriores — es el caso, como mínimo, de los tres eslabones alojados en China de la tabla de arriba (Qwen/Alibaba, Z.ai, DeepSeek): la CCT por sí sola puede no bastar si el marco legal de China permite el acceso de las autoridades a los datos sin garantías equivalentes al RGPD, y esa valoración es la que Legal tiene que hacer explícitamente antes de publicar.

Confirmar con cada proveedor su base concreta (su propia política de privacidad y, si la ofrece, su Data Processing Addendum) antes de la versión final de este documento.

5. Cuánto tiempo los conservamos

Tus datos de cuenta y de uso: mientras tengas la cuenta.
Al borrar tu cuenta eliminamos todo lo asociado (perfil, vehículo, checklists, mantenimiento, diario y sus fotos, recursos, conversaciones, perfil familiar, reseñas y fotos que hayas publicado) y la sesión. Los reportes de áreas y las valoraciones con estrellas de áreas y sitios se conservan anonimizadas: se desvinculan de tu cuenta y ya no se pueden relacionar contigo, para no alterar la puntuación que ven los demás usuarios.
Conversaciones con el copiloto (solo Premium): 12 meses; después se borran automáticamente. Reportes de ocupación de áreas: 24 meses, anonimizados si borras tu cuenta. (Fijado 2026-09-26, migración 0118; Legal debe confirmarlo.)
Toques en la web o el teléfono de un colaborador (seguros, talleres, abogados): la estadística se guarda sin dato personal; para contar solo uno por persona y día se guarda tu identificador de cuenta junto al colaborador durante 2 días y después se borra (interés legítimo: evitar estadísticas infladas). (Fijado 2026-10-08, migración 0172.)
Cuentas anónimas abandonadas: si una cuenta sin email no tiene ningún dato guardado en la nube y lleva 120 días sin usarse, se borra automáticamente. Si vuelves a abrir la app, se crea una cuenta nueva. (Fijado 2026-10-08, migración 0182.)
Huella cifrada de la conexión (IP) del copiloto: 2 días. (Fijado 2026-10-08, migración 0181.)
Registros de la solicitud de borrado: 3 años desde que se completa (prueba de que se cumplió); después se borran automáticamente. (Fijado 2026-09-26, migración 0119; Legal debe confirmarlo.)
Telemetría: Firebase Analytics conserva los datos de eventos a nivel de usuario 2 meses por defecto (configurable hasta 14 meses en la consola de Firebase → Analytics → Configuración de datos); Crashlytics conserva los informes de fallo 90 días; Performance Monitoring, 90 días. Ninguno se ha cambiado del valor por defecto de Google todavía — coherente con el principio de minimización del art. 5.1.e RGPD, se recomienda no ampliarlo sin motivo. Confirmar estos valores en la consola antes de publicar (Google puede cambiar sus defaults).

6. Tus derechos

Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirar el consentimiento en cualquier momento (sin afectar a lo hecho antes). Puedes borrar tu cuenta desde la app (Ajustes) o con el formulario web [ACCOUNT_DELETION_URL]. Para lo demás, escribe a rmolina26@gmail.com. Si no quedas conforme, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

7. Menores

La app no está dirigida a menores. Los datos de menores de tu familia no salen de tu móvil (solo un contador de menores, sin identificarlos).

8. Seguridad

Cifrado local AES-256, comunicaciones cifradas, control de acceso por usuario en la base de datos y claves de servicio solo en el servidor. Ningún sistema es 100 % seguro; avísanos si detectas un problema.

9. Cambios

Si cambiamos esta política de forma relevante, te lo diremos en la app y, si hace falta, volveremos a pedir tu consentimiento.