Política de privacidad
Esta política explica qué datos personales trata Onda, para qué, con qué base jurídica, durante cuánto tiempo y qué derechos tienes. Se aplica a la aplicación de Onda, a la aplicación para negocios, a las páginas para compartir eventos y al sitio web pendiente: domain.
Resumen
| Responsable | pendiente: betreiber name, pendiente: anschrift, NIF pendiente: nif, pendiente: email kontakt |
| Finalidades | Prestar el servicio (cuenta, eventos, comunidades, chats, ambiente en vivo, ofertas, entradas), seguridad y moderación, recomendaciones personalizadas si las activas, notificaciones si las permites, estadísticas agregadas para negocios y comunidades |
| Bases jurídicas | Contrato, consentimiento, obligación legal e interés legítimo, según la finalidad (apartado 3) |
| Destinatarios | Proveedores que tratan datos por encargo nuestro (alojamiento, correo), servicios de notificaciones push de tu navegador, organizadores y negocios en la medida necesaria, autoridades si la ley lo exige |
| Ubicación | Solo cuando la usas y la permites; se comprueba y no se guarda |
| Perfiles | Solo para la sección “Para ti” y solo si la activas; sin decisiones automatizadas con efectos jurídicos |
| Derechos | Acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento; reclamación ante la AEPD |
| Edad mínima | 18 años |
1. Responsable y contacto
Responsable del tratamiento: pendiente: betreiber name, pendiente: anschrift, NIF pendiente: nif.
Contacto para privacidad: pendiente: email kontakt o el formulario de contacto del sitio web. Te responde una persona.
Delegado de protección de datos: pendiente: dpd kontakt
2. Qué datos tratamos y para qué
2.1 Cuenta y perfil
Al registrarte tratamos tu nombre, correo electrónico, contraseña (solo guardamos una huella cifrada, nunca la contraseña), año de nacimiento, idioma y la confirmación de que aceptas las condiciones. De forma voluntaria puedes añadir nombre de usuario, foto, biografía corta, zona de la isla, intereses e idiomas.
Públicamente solo se ven tu nombre visible, tu nombre de usuario, tu foto, tu biografía y tu nivel de reputación. Tu correo nunca se muestra a otras personas, tampoco a quien administra una comunidad.
Finalidad: crear y gestionar tu cuenta y prestarte el servicio. Base: contrato (art. 6.1.b RGPD).
2.2 Participar sin cuenta
Puedes confirmar asistencia a un evento o unirte a una comunidad sin crear cuenta. Para ello tratamos el nombre que indiques (2 a 40 caracteres), si vienes con acompañante y un código aleatorio que se guarda en tu dispositivo para reconocer tu confirmación. En nuestros servidores solo guardamos una huella cifrada de ese código. En la lista de asistentes apareces con la marca “Invitado”. Si después creas una cuenta en el mismo dispositivo, tus confirmaciones pasan a tu cuenta.
Para evitar abusos limitamos el número de confirmaciones por dirección IP. Base: contrato (art. 6.1.b RGPD) y nuestro interés legítimo en proteger el servicio (art. 6.1.f RGPD).
2.3 Eventos, confirmaciones e invitaciones
Tratamos los eventos que creas, tus confirmaciones (“Voy”, “Me interesa”), listas de espera, invitaciones, listas de cosas que llevar y eventos guardados. Según la visibilidad del evento, otras personas ven que asistes: quien organiza ve la lista de asistentes; tus amistades ven tus confirmaciones si no lo desactivas en Ajustes. Los eventos privados solo los ven las personas invitadas.
Ten en cuenta que una confirmación revela dónde vas a estar. Por eso tú decides la visibilidad y puedes cancelar tu confirmación en cualquier momento.
Base: contrato (art. 6.1.b RGPD).
2.4 Chats, comentarios, fotos y reseñas
Tratamos los mensajes, comentarios, fotos y reseñas (de 1 a 5 estrellas con texto) que publicas. Los chats de un evento o comunidad solo los ven sus miembros; los mensajes directos, las personas participantes. Los chats no tienen cifrado de extremo a extremo: técnicamente son accesibles para Onda, que solo accede a ellos cuando es necesario para tramitar una denuncia o por obligación legal.
De las fotos eliminamos automáticamente los metadatos (por ejemplo, la ubicación GPS) y guardamos una copia reducida; el original no se conserva. Las reseñas solo las pueden publicar personas que asistieron a un evento; el negocio correspondiente las ve en su panel.
Base: contrato (art. 6.1.b RGPD).
2.5 Ambiente en vivo y reputación
Cuando cuentas el ambiente de un local (cuánta gente hay, cola, música, ambiente, entrada y, opcionalmente, un texto corto), guardamos tu aviso con el local, la hora, tu nivel de reputación en ese momento y el peso de tu aviso. Públicamente se muestra el resultado agregado (“confirmado”, “sin confirmar”, número de personas que han avisado), no quién avisó. El texto libre solo se publica después de que una persona del equipo lo revise.
Tus votos (“Así es”, “No estoy seguro”, “No es así”) y tus avisos alimentan tu reputación: una puntuación y un nivel (nuevo, habitual, de confianza) que determinan cuánto pesan tus avisos. La reputación no tiene efectos fuera del ambiente en vivo.
Base: contrato (art. 6.1.b RGPD) y nuestro interés legítimo en ofrecer información fiable y evitar manipulaciones (art. 6.1.f RGPD).
2.6 Ubicación
Onda solo usa tu ubicación cuando tú lo pides y tu navegador o sistema lo permite:
- Mapa: para centrar el mapa en tu posición después de tocar el botón de ubicación. Para cargar los eventos solo enviamos al servidor la zona visible del mapa, no tu posición exacta, y no la registramos.
- Contar el ambiente: al enviar un aviso, tu posición se envía una sola vez para comprobar que estás cerca del local (a menos de 500 metros). El servidor calcula la distancia y descarta las coordenadas. No guardamos tu ubicación ni la escribimos en registros.
Nunca usamos la ubicación en segundo plano. Base: tu consentimiento (art. 6.1.a RGPD), que das en el aviso de permiso del navegador o del sistema y puedes retirar en sus ajustes. Sin él, puedes usar Onda, pero no podrás contar el ambiente in situ.
2.7 Recomendaciones personalizadas (perfiles)
Si activas las recomendaciones personalizadas, usamos tus intereses y tus interacciones con Onda (eventos vistos, guardados, confirmaciones, “No me interesa”, seguimientos) para ordenar la sección “Para ti”. Los criterios principales son la coincidencia con tus intereses, la cercanía en el tiempo, la distancia a la zona elegida y la popularidad reciente. Esto es una elaboración de perfiles en el sentido del RGPD.
Base: tu consentimiento (art. 6.1.a RGPD), con un interruptor propio en el registro y en Ajustes, que puedes desactivar cuando quieras. Sin consentimiento, no personalizamos nada y el orden se basa en fecha, zona y popularidad general.
No tomamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma similarmente significativa (art. 22 RGPD).
2.8 Estadísticas para negocios y comunidades
Registramos interacciones (vistas, clics, guardados, confirmaciones, canjes de ofertas, seguimientos, compras de entradas) con un identificador seudónimo. Con ellas calculamos estadísticas agregadas para los negocios y las comunidades: por ejemplo, visitas por día de la semana, embudo de un evento o distribución por idioma. Los negocios nunca ven datos de personas concretas en estas estadísticas, y las distribuciones (por ejemplo, por idioma o por residentes y visitantes) solo se muestran a partir de 20 registros. Si no has iniciado sesión, usamos una huella diaria cifrada de la dirección IP y del navegador, que cambia cada día.
Base: nuestro interés legítimo y el de los negocios y comunidades en conocer el alcance de sus eventos de forma agregada (art. 6.1.f RGPD). Puedes oponerte en cualquier momento (apartado 9).
2.9 Notificaciones y push
En la aplicación ves avisos (invitaciones, confirmaciones en tus eventos, lista de espera, ambiente confirmado o retirado, anuncios de comunidad, recordatorios, mensajes). Si además permites las notificaciones push, guardamos la dirección de suscripción que genera tu navegador, sus claves técnicas y el tipo de navegador. Los mensajes se entregan a través del servicio push de tu navegador (por ejemplo, Google para Chrome, Apple para Safari, Mozilla para Firefox). El contenido se limita al título y al enlace, sin textos de mensajes.
Base: tu consentimiento (art. 6.1.a RGPD) mediante el permiso del navegador y los interruptores por tipo en Ajustes.
2.10 Correo electrónico
Te enviamos correos necesarios para el servicio: confirmación de la dirección, restablecimiento de contraseña, invitaciones, justificantes y decisiones de moderación. No enviamos boletines ni publicidad sin tu consentimiento previo. Base: contrato (art. 6.1.b RGPD) y, para decisiones de moderación, obligación legal (art. 6.1.c RGPD en relación con el art. 17 del Reglamento de Servicios Digitales).
2.11 Entradas, ofertas y acceso
Si consigues una entrada, tratamos el pedido, el nombre del titular, el código de la entrada y su estado (válida, usada). En el acceso, el personal del local ve si la entrada es válida, el nombre del titular y el tipo de entrada. Si canjeas una oferta, tratamos el código de un solo uso (válido 90 segundos), la hora del canje y qué miembro del equipo del local lo registró.
Durante la fase de prueba los pagos son simulados: no introduces datos de pago y no se cobra dinero. Antes de activar pagos reales actualizaremos esta política (proveedor de pago previsto: Stripe).
Base: contrato (art. 6.1.b RGPD). Cuando haya pagos reales, también obligación legal de conservar justificantes (art. 6.1.c RGPD).
2.12 Cuentas de negocio y reclamación de locales
Para las cuentas de negocio tratamos los datos de la empresa y de las personas del equipo (nombre, correo, función). Para reclamar un local pedimos pruebas (sitio web, Instagram, correo de empresa y, opcionalmente, una foto de la licencia), que revisa una persona del equipo de Onda. Base: contrato (art. 6.1.b RGPD) e interés legítimo en evitar suplantaciones (art. 6.1.f RGPD).
2.13 Denuncias y moderación
Si denuncias un contenido, tratamos tu explicación, la referencia al contenido y, si no tienes cuenta, tu nombre y correo. La persona afectada recibe nuestra decisión motivada, pero nunca tus datos, salvo que sea estrictamente necesario y lo permita la ley. Guardamos cada decisión de moderación de forma inalterable, con el motivo y la base, como prueba frente a las personas afectadas y las autoridades.
Base: obligación legal (art. 6.1.c RGPD en relación con los artículos 16 y 17 del Reglamento (UE) 2022/2065) e interés legítimo en un servicio seguro (art. 6.1.f RGPD).
2.14 Traducción automática
Si tocas “Traducir” en una descripción, enviamos ese texto (sin tu nombre ni otros datos de cuenta) al servicio de traducción pendiente: uebersetzungsdienst y guardamos el resultado para no traducirlo dos veces. Base: contrato (art. 6.1.b RGPD).
2.15 Mapa
Para mostrar el mapa, tu dispositivo descarga teselas de OpenFreeMap (Hyperknot Software Kft., Hungría), que puede usar la red de distribución de Cloudflare. Para ello se transmite tu dirección IP y la zona del mapa que se carga, no tu cuenta. Base: interés legítimo en mostrar el mapa (art. 6.1.f RGPD). Está previsto servir las teselas desde nuestro propio servidor.
2.16 Seguridad, registros y copias de seguridad
Para proteger el servicio tratamos la dirección IP, el navegador y la hora de cada sesión (puedes ver y cerrar tus sesiones en Ajustes), así como registros técnicos sin coordenadas, sin códigos de acceso y sin correos en texto claro. Hacemos copias de seguridad cifradas. Base: interés legítimo en la seguridad del servicio (art. 6.1.f RGPD) y obligación de seguridad (art. 32 RGPD).
2.17 Sitio web
El sitio web no utiliza herramientas de análisis ni de publicidad. Los contenidos externos (por ejemplo, un mapa o un vídeo incrustado) solo se cargan si das tu consentimiento con un clic. Detalles en Cookies y almacenamiento.
2.18 Formulario de contacto y comprobación de seguridad
Si nos escribes con el formulario de contacto, tratamos tu papel (por ejemplo, bar o prensa), tu nombre, tu correo electrónico, la zona y tu mensaje para responderte. Base: tu consentimiento con la casilla del formulario (art. 6.1.a RGPD), que puedes retirar en cualquier momento. Borramos la conversación cuando ya no hace falta para responderte. Mientras Onda es un prototipo, el formulario no envía nada y no guardamos nada.
Para frenar el envío automático, el formulario usa la comprobación de seguridad Cloudflare Turnstile de Cloudflare, Inc. (EE. UU.). Solo se carga cuando marcas la casilla del consentimiento. Cloudflare recibe datos técnicos (dirección IP, huella TLS, identificación del navegador y la página desde la que se carga), no los datos que escribes en el formulario. Base: interés legítimo en proteger el formulario frente al abuso (art. 6.1.f RGPD).
3. Bases jurídicas (resumen)
| Tratamiento | Base jurídica (RGPD) |
|---|---|
| Cuenta, eventos, confirmaciones, chats, comunidades, reseñas, entradas, ofertas | Contrato, art. 6.1.b |
| Ubicación para el mapa y el ambiente en vivo | Consentimiento, art. 6.1.a |
| Recomendaciones personalizadas | Consentimiento, art. 6.1.a |
| Notificaciones push | Consentimiento, art. 6.1.a |
| Estadísticas agregadas para negocios y comunidades | Interés legítimo, art. 6.1.f |
| Ambiente en vivo: pesos y reputación | Contrato, art. 6.1.b, e interés legítimo, art. 6.1.f |
| Denuncias, moderación, decisiones motivadas | Obligación legal, art. 6.1.c (Reglamento (UE) 2022/2065), e interés legítimo, art. 6.1.f |
| Seguridad, registros, límites de uso, copias | Interés legítimo, art. 6.1.f, y art. 32 |
| Mapa (teselas) | Interés legítimo, art. 6.1.f |
| Formulario de contacto | Consentimiento, art. 6.1.a |
| Comprobación de seguridad del formulario (Turnstile) | Interés legítimo, art. 6.1.f |
Cuando la base es el consentimiento, puedes retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior.
4. Destinatarios
No vendemos tus datos ni los cedemos con fines publicitarios.
| Destinatario | Para qué | Función |
|---|---|---|
| IONOS SE, Montabaur (Alemania) | Alojamiento de servidores y copias en la UE | Encargado del tratamiento |
| Brevo (Sendinblue SAS, París, Francia) | Envío de correos | Encargado del tratamiento |
| pendiente: uebersetzungsdienst | Traducción automática a petición | Encargado del tratamiento |
| Servicio push de tu navegador (Google, Apple, Mozilla) | Entrega de notificaciones push | Elegido por tu navegador |
| OpenFreeMap (Hyperknot Software Kft., Hungría), Cloudflare | Teselas del mapa | Destinatario de la IP |
| Cloudflare, Inc. (EE. UU.) | Comprobación de seguridad Turnstile del formulario de contacto, solo después de marcar la casilla | Encargado del tratamiento; recibe la IP y datos técnicos del navegador |
| Organizadores y negocios | Lista de asistentes, validación de entradas y ofertas | Responsables independientes, solo con los datos necesarios |
| Autoridades y tribunales | Si una ley o una orden lo exige (por ejemplo, art. 9, 10 y 18 del Reglamento de Servicios Digitales) | Responsables independientes |
5. Transferencias internacionales
Alojamos los datos en centros de datos de la Unión Europea. Los servicios push de Google y Apple, y la red de Cloudflare (también Turnstile en el formulario de contacto), pueden tratar datos (dirección IP, dirección de suscripción) en Estados Unidos. Estas transferencias se basan, cuando el destinatario está adherido, en la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU. y, en su defecto, en cláusulas contractuales tipo (art. 45 y 46 RGPD).
6. Plazos de conservación
| Datos | Plazo |
|---|---|
| Cuenta y perfil | Mientras tengas cuenta; al eliminarla se borran de inmediato |
| Tus contenidos al eliminar la cuenta | Se anonimizan (“Cuenta eliminada”) y después se aplican los plazos de abajo; las imágenes subidas que ya no se usan en ningún sitio se borran |
| Participación sin cuenta | 90 días desde el último uso; confirmar asistencia a un evento cuenta como uso hasta que termina, y ser miembro de una comunidad, hasta que la abandones |
| Interacciones (estadísticas y recomendaciones) | 180 días; después solo quedan cifras agregadas sin datos personales |
| Avisos y votos de ambiente en vivo | 90 días desde que caducan o, si hay una denuncia abierta ante nosotros, tras nuestra decisión; después solo quedan tus puntos de reputación |
| Mensajes de chat | 12 meses desde el fin del evento; en chats sin evento, 12 meses desde el envío; los mensajes denunciados, solo tras nuestra decisión. Las imágenes de los mensajes se borran con ellos |
| Notificaciones en la aplicación | 90 días |
| Suscripciones push | Hasta que el navegador las anule o tras 12 meses sin entrega correcta |
| Denuncias y decisiones de moderación | 3 años desde la decisión y, en caso de suspensión, 3 años desde que termina; seudonimizadas si eliminas la cuenta |
| Registros técnicos | 14 días |
| Copias de seguridad | 30 días, en rotación |
| Justificantes de pagos reales (cuando existan) | Los plazos legales mercantiles y fiscales |
7. Decisiones automatizadas
Onda usa reglas automáticas en dos casos, sin efectos jurídicos para ti:
- Ambiente en vivo: el estado de un local se calcula sumando los pesos de los avisos; un valor se oculta automáticamente si al menos tres personas votan “No es así” y hay más votos en contra que a favor.
- Filtro de palabras: antes de guardar un texto libre de ambiente comprobamos si contiene nombres de personas, acusaciones o insultos; si es así, no se guarda y te lo explicamos.
Las demás decisiones de moderación las toma una persona. Puedes pedir siempre una revisión humana (ver Servicios digitales).
8. Edad mínima
Onda es solo para mayores de 18 años. Al registrarte indicas tu año de nacimiento; si indica menos de 18 años, no se crea la cuenta. Si sabemos que una cuenta pertenece a una persona menor, la suspendemos y borramos sus datos.
9. Tus derechos
Tienes derecho a:
- acceder a tus datos y obtener una copia (Ajustes, Exportar mis datos, en formato JSON);
- rectificar datos inexactos (en tu perfil o escribiéndonos);
- suprimir tus datos (Ajustes, Eliminar cuenta);
- limitar el tratamiento;
- portabilidad de los datos que nos has facilitado;
- oponerte a los tratamientos basados en interés legítimo, en particular a las estadísticas para negocios (apartado 2.8);
- retirar tu consentimiento en cualquier momento (ubicación, recomendaciones, push), en Ajustes o en tu navegador.
Para ejercerlos escribe a pendiente: email kontakt. Responderemos en el plazo de un mes. Si crees que no tratamos bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, sede electrónica sedeagpd.gob.es) o ante la autoridad de control de tu país de residencia en la UE.
10. Datos obligatorios
Nombre, correo, contraseña y año de nacimiento son necesarios para crear una cuenta; para participar sin cuenta basta un nombre. Todo lo demás es voluntario. Sin los datos obligatorios no podemos prestarte el servicio.
11. Seguridad
Conexiones cifradas (HTTPS), contraseñas guardadas como huella cifrada, sesiones separadas por aplicación, fotos sin metadatos, comprobación de ubicación sin almacenamiento, acceso restringido para el equipo de moderación con registro de cada acción y copias de seguridad cifradas.
12. Cambios
Si cambiamos esta política de forma significativa, te avisaremos en la aplicación antes de que se aplique. La fecha de la versión vigente aparece arriba.