Política de privacidad

Resumen

• Recogemos lo que necesitamos para organizar eventos seguros y verificados, y lo mínimo posible de todo lo demás.
• La verificación de identidad la hace nuestro proveedor, Didit. Solo conservamos el resultado (como «verificado» y «mayor de 18 años») y un hash con clave que usamos para hacer cumplir las expulsiones; nunca tu documento de identidad ni tu selfi.
• Nunca grabamos audio ni vídeo.
• Los mensajes se eliminan a los 30 días (1 año si forman parte de una denuncia). Los registros del servidor se conservan 14 días.
• Los mensajes directos y las llamadas entre contactos solo están disponibles cuando ambas personas han aceptado el control de seguridad automatizado de los mensajes directos.
• No vendemos tus datos. En la app no hay rastreadores publicitarios.
• Puedes exportar o eliminar tus datos en la app y escribirnos a privacy@spareachair.com.

Quién es responsable de tus datos

El responsable del tratamiento de tus datos personales es SUPPORT BULGARIA OOD, Hipodruma, bloque 133, portal B, planta 4, apto. 82, Sofía, Bulgaria, número de registro 200232189 (UIC, Registro Mercantil de la Agencia de Registro de Bulgaria), teléfono +359 888 886 008 («spareachair», «nosotros»).

Contacto para todas las preguntas y solicitudes sobre privacidad: privacy@spareachair.com.

No hemos designado un delegado de protección de datos; escribe a privacy@spareachair.com.

Esta política abarca la app móvil spareachair y su backend (el «Servicio»), el sitio web spareachair.com y la lista de espera previa al lanzamiento.

Qué datos recogemos

Cuenta

Dirección de correo electrónico, contraseña (almacenada solo como hash seguro), estado de verificación del correo, sesiones iniciadas (con el agente de usuario de tu dispositivo y, por seguridad, solo el prefijo de red de tu dirección IP —IPv4 /24, IPv6 /48—, nunca la dirección completa), el idioma de tu app (para enviarte los correos y las notificaciones en ese idioma), preferencias de notificaciones y un registro de qué versión de nuestros documentos legales aceptaste y cuándo (con la dirección IP en forma de hash —no en claro— y el agente de usuario de tu dispositivo).

Resultado de la verificación de identidad

Cuando verificas tu identidad, el proveedor de verificación (Didit) comprueba tu documento de identidad o de residencia —incluida la dirección que figura en él, si el documento la incluye— y lo coteja con un selfi, con un breve vídeo de prueba de vida que demuestra que hay una persona real. Didit trata las imágenes del documento y los datos que contiene (incluida esa dirección), el selfi, el vídeo de prueba de vida y los datos biométricos necesarios para el cotejo como nuestro encargado del tratamiento —por nuestra cuenta, siguiendo nuestras instrucciones y solo para esta comprobación— y los elimina 30 días después de la decisión de verificación. Nosotros solo recibimos y almacenamos:

• el estado de la verificación (por ejemplo, aprobada, rechazada, caducada) y una referencia a la sesión de verificación;
• si eres mayor de 18 años y el país cuya autoridad expidió tu documento (para confirmar que lo expidió una autoridad de la UE/EEE);
• un hash con clave (HMAC) calculado a partir del número de tu documento, el país de expedición y tu fecha de nacimiento con una clave secreta que solo tenemos nosotros. A partir del hash no se pueden reconstruir esos datos. Lo usamos para impedir que una misma persona tenga varias cuentas y que las personas expulsadas vuelvan a registrarse.

Descartamos tu fecha de nacimiento, el número de documento y todos los demás datos del documento inmediatamente después de calcular el resultado y el hash.

Perfil

Nombre visible, avatar generado (no puedes subir fotos), biografía breve, categoría profesional, franja de edad (por ejemplo, 25–34) y tus respuestas a las «preguntas de perspectiva» (por ejemplo, ciudad o campo) que se usan para formar las mesas. Tu biografía se revisa mediante moderación automática (consulta Mensajes); tu nombre visible solo se revisa con nuestras propias reglas.

Idiomas que hablas (opcionales y privados): puedes añadir a tu perfil los idiomas que hablas. Solo los usamos para sentar en la misma mesa a personas que comparten un idioma en los eventos en varios idiomas y para mostrarte primero, en la lista de eventos, los eventos en tus idiomas. Nunca se muestran a otras personas usuarias. Si no añades ninguno, usamos en su lugar el idioma de tu app.

Participación y contactos

Los eventos a los que te apuntas y a los que asistes, las mesas en las que te sentaste, tus elecciones de «seguir en contacto», tus contactos y las personas que has bloqueado.

Mensajes

El texto de los mensajes que envías en las mesas y en los mensajes directos, y cualquier marca añadida por la moderación automática. El audio y el vídeo se transmiten en directo a través de nuestro propio servidor multimedia y nunca se graban ni se almacenan.

El chat de mesa se revisa mediante moderación automática como parte del Servicio. Los mensajes directos y las llamadas individuales entre contactos solo están disponibles cuando ambas personas han aceptado el control de seguridad automatizado de los mensajes directos; sus mensajes se revisan entonces de la misma forma antes de entregarse. Te pedimos esta aceptación por separado, en la app.

Cómo funciona la moderación automática. Primero revisamos el texto con nuestras propias reglas. Además, enviamos el texto de los mensajes de las mesas y de las biografías —y, solo cuando ambas personas han aceptado el control de seguridad automatizado de los mensajes directos, el texto de los mensajes directos— a un modelo de IA (Claude) de Anthropic PBC en EE. UU., que lo clasifica para detectar contenido dañino. El proveedor solo recibe el texto —nunca tu nombre, tu identificador de usuario ni otros datos de tu cuenta— y lo trata como encargado del tratamiento por nuestra cuenta. El proveedor no utiliza el texto para entrenar sus modelos de IA y solo lo conserva durante un periodo limitado conforme a sus condiciones, por ejemplo para detectar usos indebidos de su servicio. Consulta Transferencias internacionales para conocer las garantías de la transferencia.

Denuncias y medidas de cumplimiento

Las denuncias que haces o que se hacen sobre ti, incluida una copia de los últimos 50 mensajes de la conversación denunciada; las decisiones de moderación, las declaraciones de motivos y los recursos.

Datos del dispositivo y datos técnicos

Token de notificaciones push (que se entrega a Apple o a Google, consulta Con quién compartimos los datos), tipo de dispositivo, sistema operativo y versión de la app; direcciones IP y registros de solicitudes en nuestros servidores; informes de errores y fallos.

Sitio web y lista de espera

Si te apuntas a la lista de espera: tu dirección de correo electrónico y el registro de la confirmación (doble opt-in). En el sitio web: cookies y tecnologías similares, pero solo las que aceptes; consulta la Política de cookies.

No recogemos tu ubicación precisa, tus contactos ni tus fotos.

Para qué usamos tus datos y con qué base jurídica

Finalidad	Base jurídica (RGPD)
Crear tu cuenta, organizar eventos, asignarte a mesas (en los eventos en varios idiomas, con personas que comparten un idioma contigo), mensajes, llamadas, contactos, correos y notificaciones del servicio en el idioma de tu app	Ejecución de nuestro contrato contigo — art. 6(1)(b)
Comprobar que tienes 18 años o más y un documento expedido por una autoridad de la UE/EEE antes de participar	Ejecución de nuestro contrato (requisitos de participación) — art. 6(1)(b); interés legítimo en que el Servicio sea solo para adultos y seguro — art. 6(1)(f)
El cotejo biométrico del selfi que realiza Didit	Tu consentimiento explícito — art. 9(2)(a) en relación con el art. 6(1)(a). Te lo pedimos por separado, en la app, antes de que empiece la verificación
Moderación automática del chat de mesa y de las biografías, gestión de denuncias, aplicación de nuestras Condiciones y prevención de la elusión de expulsiones mediante el hash con clave	Interés legítimo en proteger a las personas usuarias y el Servicio — art. 6(1)(f); cumplimiento del Reglamento de Servicios Digitales cuando sea aplicable — art. 6(1)(c)
Control de seguridad automatizado de los mensajes directos entre contactos	Tu consentimiento — art. 6(1)(a) y la normativa de privacidad electrónica (ePrivacy) sobre la confidencialidad de las comunicaciones. Deben aceptarlo las dos personas de la conversación
Información sensible que decides incluir en tu biografía o tus mensajes	Tu consentimiento explícito, si lo das — art. 9(2)(a). Opcional
Declaraciones de motivos, tramitación de notificaciones de contenido ilícito y de recursos, respuesta a solicitudes legítimas de las autoridades	Obligación legal — art. 6(1)(c)
Registro de los documentos legales que aceptaste y en qué idioma	Interés legítimo en poder demostrar lo que aceptaste — art. 6(1)(f)
Seguridad, incluido el prefijo de red de la dirección IP de tus sesiones iniciadas, registros del servidor y supervisión de errores	Interés legítimo en mantener el Servicio seguro y en funcionamiento — art. 6(1)(f)
Correos de la lista de espera	Consentimiento — art. 6(1)(a)
Analítica del sitio web y medición publicitaria	Consentimiento — art. 6(1)(a) y la normativa de privacidad electrónica (ePrivacy) sobre cookies
Formulación, ejercicio o defensa de reclamaciones	Interés legítimo — art. 6(1)(f)

Tu consentimiento para la comprobación biométrica puede retirarse en cualquier momento escribiendo a privacy@spareachair.com. La retirada solo surte efecto hacia el futuro: la comprobación que ya completaste sigue siendo válida, y conservamos su resultado (estado de la verificación, mayor de 18 años, país de expedición, franja de edad) y el hash con clave, que no son datos biométricos, sobre la base de nuestro contrato contigo y de nuestro interés legítimo. Pediremos a Didit que suprima lo que aún conserve. Si alguna vez tienes que verificarte de nuevo, se te volverá a pedir el consentimiento; sin él, no podemos verificarte por medios biométricos.

La formación de mesas usa tus respuestas a las preguntas, tu categoría profesional y tu franja de edad para sentar juntas a personas con perspectivas distintas. Se trata de una forma de elaboración de perfiles, pero no produce efectos jurídicos en ti ni te afecta de modo similar de forma significativa. En los eventos en varios idiomas, la formación de mesas también se asegura de que todas las personas de una mesa compartan un idioma, usando los idiomas que hablas (o, si no has añadido ninguno, el idioma de tu app), solo como esa condición y nunca para valorar tus perspectivas.

Decisiones automatizadas. La moderación automática puede bloquear un mensaje concreto. No tomamos decisiones que produzcan efectos jurídicos en ti o te afecten de modo similar de forma significativa —como suspender o expulsar tu cuenta— basadas únicamente en medios automatizados, y siempre puedes pedir que una persona revise una decisión.

Información sensible. Aparte de la comprobación biométrica, no pedimos categorías especiales de datos (como la salud, la religión o las opiniones políticas) y nunca las usamos para formar las mesas. Los idiomas que hablas son opcionales; como los idiomas pueden dar pistas sobre el origen de una persona, solo los usamos como se describe en Perfil y nunca se los mostramos a nadie más. Aun así, esa información puede aparecer en lo que decides escribir. Durante el registro te preguntamos si consientes que tratemos la información sensible que decidas incluir en tu biografía o en tus mensajes. Es opcional: si no das tu consentimiento, la app te recuerda que no compartas ese tipo de información allí donde escribes. Puedes retirar este consentimiento en cualquier momento escribiendo a privacy@spareachair.com; después, deja de compartir esa información y edita tu biografía; los mensajes restantes se eliminan a los 30 días. En cualquier caso, piénsalo bien antes de compartir este tipo de información.

Control de los mensajes directos. Puedes retirar en cualquier momento tu aceptación del control de seguridad automatizado de los mensajes directos escribiendo a privacy@spareachair.com. Sin ella, puedes seguir participando en eventos y en el chat de mesa, pero no puedes enviar ni recibir mensajes directos ni llamadas.

Cuando nos basamos en el interés legítimo, lo hemos ponderado con tus derechos, y puedes oponerte (consulta Tus derechos).

Cuánto tiempo conservamos tus datos

Datos	Plazo
Mensajes de las mesas y mensajes directos	30 días; después se eliminan automáticamente
Mensajes copiados en una denuncia	1 año
Denuncias y marcas de moderación	1 año después del cierre de la denuncia
Decisiones de moderación (registros de medidas de cumplimiento)	Mientras exista tu cuenta; tras su eliminación, 1 año, o 3 años si la cuenta fue expulsada de forma permanente
Registro de las acciones del equipo de moderación (registro de auditoría)	3 años
Hash de identidad con clave	Mientras exista tu cuenta. Si tu cuenta fue expulsada de forma permanente, se conserva tras la eliminación 5 años, o mientras la expulsión siga vigente, sin fecha fija de fin, en caso de expulsión por abuso sexual infantil, amenazas creíbles o elusión de una expulsión
Resultado de la verificación de identidad	Mientras exista tu cuenta
Imágenes y datos del documento de identidad, selfi y vídeo de prueba de vida (en poder de Didit, no nuestro)	30 días después de la decisión de verificación
Cuenta, perfil, participación y contactos	Hasta que elimines tu cuenta; un contacto eliminado y sus mensajes, 30 días después de eliminarlo
Sesiones iniciadas (datos del dispositivo y de la app, prefijo de red de tu dirección IP)	Hasta que cierres sesión, o 30 días después de la última vez que usaste la app
Registro de llamadas (quién llamó a quién y cuándo, sin contenido)	1 año
Cuentas que nunca completan el registro	Se eliminan 7 días después del registro si no se verifica el correo y 30 días después del registro si no se verifica la identidad
Registros de aceptación de documentos legales	Mientras exista tu cuenta; si tras la eliminación se conserva un registro de medidas de cumplimiento o el hash con clave, durante el mismo plazo (sin tu correo electrónico)
Registros del servidor e informes de errores	14 días
Archivos de exportación de datos	7 días
Copias de seguridad cifradas de la base de datos	Hasta 11 días; los datos que eliminas desaparecen de las copias de seguridad en ese plazo
Lista de espera	Hasta que te des de baja o hasta el lanzamiento; las inscripciones sin confirmar se eliminan a los 14 días

Cuando eliminas tu cuenta, eliminamos tus datos de forma definitiva, salvo los elementos anteriores que debemos o podemos conservar tras la eliminación (el hash con clave de una cuenta expulsada, y las denuncias y los registros de medidas de cumplimiento necesarios para gestionar problemas de seguridad o reclamaciones). Tus conversaciones de mensajes directos se eliminan enteras: si tú o un contacto elimináis vuestra cuenta, se elimina toda la conversación, incluidos los mensajes de la otra persona.

Si debemos conservar datos para un procedimiento judicial (una conservación por motivos legales), no podemos eliminarlos hasta que esta termine. Si nos pides que los eliminemos, te diremos que estamos obligados a conservarlos para un procedimiento judicial, salvo que una autoridad nos haya ordenado no hacerlo.

Con quién compartimos los datos

• Otras personas usuarias ven tu nombre visible, tu avatar, tu biografía, tu categoría profesional y tu franja de edad, así como los mensajes que envías en las conversaciones de las que forman parte. Nunca ven tu correo electrónico, los idiomas que hablas ni los datos de tu verificación.
• Proveedores de servicios (encargados del tratamiento) que alojan y gestionan el Servicio por nuestra cuenta en virtud de contratos de encargo del tratamiento; por ejemplo, alojamiento (DigitalOcean), correo electrónico (Resend), verificación de identidad (Didit), supervisión de errores (Sentry), actualizaciones de la app (Expo), notificaciones push en Android (Google Firebase Cloud Messaging) y moderación automática (Anthropic PBC). La lista completa y actualizada está en nuestra página de Subencargados del tratamiento.
• Apple y Google entregan las notificaciones push en tu dispositivo: nuestros servidores las envían directamente al servicio de notificaciones push de Apple (iPhone) o a Google Firebase Cloud Messaging (Android). Reciben el token push de tu dispositivo y la notificación (por ejemplo, el nombre visible de un contacto que te ha escrito, nunca el texto del mensaje). Apple las recibe como destinatario independiente conforme a sus propias condiciones.
• Autoridades, cuando la ley nos obliga, por ejemplo en respuesta a una orden válida o para comunicar una amenaza para la vida o la seguridad de alguien.

No vendemos tus datos personales ni los compartimos con anunciantes.

Transferencias internacionales

Alojamos el Servicio en la UE. Algunos de nuestros proveedores están en EE. UU. Nos basamos en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado conforme a él y, en otro caso, en las cláusulas contractuales tipo de la Comisión Europea, junto con garantías adicionales cuando sea necesario. Esto incluye a nuestro proveedor de moderación, Anthropic PBC, que solo recibe el texto de los mensajes y de las biografías (consulta Mensajes). Puedes pedirnos una copia de las garantías correspondientes en privacy@spareachair.com.

Tus derechos

Conforme al RGPD, tienes derecho a:

• acceder a tus datos y obtener una copia;
• la rectificación: que se corrijan los datos inexactos;
• la supresión: que se eliminen tus datos;
• la limitación: pedirnos que limitemos el uso que hacemos de tus datos;
• la portabilidad de los datos: recibir los datos que nos diste en un formato legible por máquina (JSON);
• oponerte al tratamiento basado en el interés legítimo;
• retirar tu consentimiento en cualquier momento, cuando nos basemos en él, sin que ello afecte al tratamiento anterior;
• presentar una reclamación ante una autoridad de control: nuestra autoridad principal es la Comisión para la Protección de Datos Personales de Bulgaria (https://www.cpdp.bg), y también puedes reclamar ante la autoridad del país de la UE/EEE en el que vives o trabajas.

Puedes exportar tus datos y eliminar tu cuenta directamente desde los ajustes de la app. La exportación es un archivo legible por máquina (JSON) con los datos que tenemos sobre ti, junto con información sobre los fines, los destinatarios, los plazos de conservación, tus derechos y el origen de los datos. No incluye mensajes ni datos personales de otras personas participantes.

Para cualquier otra cosa, escribe a privacy@spareachair.com. Te responderemos en el plazo de un mes (prorrogable dos meses más en el caso de solicitudes complejas, en cuyo caso te lo comunicaremos). Es posible que te pidamos que confirmes tu identidad antes de atender una solicitud, mediante un enlace enviado a tu dirección de correo registrada o una confirmación en la app. Nunca te pedimos una copia de tu documento de identidad.

Cuando nos pides una copia de tus datos, omitimos la información cuya comunicación afectaría negativamente a los derechos y libertades de otras personas (art. 15(4) del RGPD). Por ejemplo, no revelamos quién te ha denunciado y podemos reservarnos detalles de una denuncia mientras su revisión esté pendiente.

Seguridad

Protegemos tus datos con cifrado en tránsito, controles de acceso, el principio de mínimo privilegio, identificadores seudonimizados cuando es posible y copias de seguridad periódicas. Ningún sistema es totalmente seguro; si es probable que una violación de la seguridad de los datos personales suponga un alto riesgo para ti, te lo comunicaremos.

Menores

spareachair es solo para adultos. No recogemos a sabiendas datos de ninguna persona menor de 18 años. Si descubrimos que una persona usuaria es menor de 18 años, cerraremos la cuenta y eliminaremos sus datos, salvo los registros de seguridad que debemos conservar —denuncias, registros de medidas de cumplimiento y, si la cuenta fue expulsada, el hash con clave que impide un nuevo registro— durante los plazos indicados en Cuánto tiempo conservamos tus datos. Si un menor puede estar en riesgo, lo comunicamos a las autoridades competentes. Si crees que un menor está usando el Servicio, denúncialo en la app o escribe a privacy@spareachair.com.

Cambios en esta política

Actualizaremos esta política cuando cambie nuestro tratamiento de datos. Cada versión tiene un número de versión y una fecha de entrada en vigor al principio de esta página. Te informaremos de los cambios sustanciales en la app o por correo electrónico antes de que entren en vigor.

Contacto

SUPPORT BULGARIA OOD, Hipodruma, bloque 133, portal B, planta 4, apto. 82, Sofía, Bulgaria, teléfono +359 888 886 008 — privacy@spareachair.com.