Política de Privacidad
Última actualización: 19 de octubre de 2026 · Versión 2.1
Esta Política de Privacidad describe cómo se tratan los datos personales de las personas usuarias de la aplicación móvil El Chivatazo y de este sitio web, de conformidad con el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD») y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).
En resumen
- Solo tratamos los datos imprescindibles para que la app funcione: su cuenta, el contenido que publica y, únicamente si usted lo autoriza, su ubicación.
- Los chivatazos se muestran de forma anónima frente a otros usuarios.
- No vendemos sus datos, no mostramos publicidad de terceros, no enviamos correos comerciales y no utilizamos herramientas de analítica.
- Nuestra base de datos está alojada en la Unión Europea (Supabase, región UE).
- Puede eliminar su cuenta y sus datos en cualquier momento (vea cómo).
Este resumen es meramente orientativo; el texto completo que figura a continuación es el que resulta jurídicamente vinculante.
1. Responsable del tratamiento
El responsable del tratamiento de sus datos personales, en nombre del proyecto El Chivatazo, es:
- Nombre: Héctor Maestre Almiñana
- DNI: 24439421N
- Domicilio: Calle Hilarión Eslava, 3, 4.º F, Elda (Alicante), España
- Correo electrónico de contacto: info@elchivatazo.es
El correo electrónico indicado es el punto de contacto para cualquier cuestión relativa a sus datos personales y para el ejercicio de sus derechos. El responsable no está obligado a designar un Delegado de Protección de Datos conforme al artículo 37 del RGPD y al artículo 34 de la LOPDGDD, si bien atiende cualquier cuestión relativa a la protección de datos a través de la dirección de correo indicada.
2. Ámbito de aplicación
Esta Política se aplica al tratamiento de datos personales realizado a través de:
- La aplicación móvil El Chivatazo, disponible para iOS a través del App Store de Apple.
- El sitio web elchivatazo.es (incluido este centro legal).
- Las comunicaciones que usted mantenga con nosotros por correo electrónico.
El uso de cookies y tecnologías de almacenamiento en el sitio web se regula en la Política de Cookies. Las condiciones de uso del servicio se recogen en el Aviso Legal.
3. Categorías de datos que tratamos
3.1. Datos de cuenta y perfil
Al registrarse mediante correo electrónico y contraseña tratamos: su dirección de correo electrónico, su contraseña (que nunca se almacena en claro, sino en forma de resumen criptográfico —hash— generado por nuestro proveedor de autenticación), su nombre y apellidos, el género que usted indique al crear su perfil y los metadatos de la cuenta (fecha de alta, fecha del último acceso e identificador interno de usuario). El dato de género se utiliza exclusivamente para elaborar estadísticas agregadas y anónimas de ambiente por local (por ejemplo, la proporción aproximada de asistentes por género); nunca se muestra individualmente a otros usuarios ni se publica asociado a su identidad.
3.2. Contenido generado por usted
Los chivatazos (reportes en tiempo real sobre colas, aforo o ambiente de locales), las valoraciones y reseñas de locales y los votos de confirmación o desmentido, los locales favoritos que guarde y su voto diario opcional sobre dónde piensa salir de reportes de otros usuarios. Este contenido se asocia internamente a su cuenta a efectos de moderación y prevención de abuso, pero se muestra de forma anónima al resto de usuarios: su nombre o correo nunca se publican junto a un chivatazo.
3.3. Datos de ubicación (opcionales)
Si usted concede el permiso de localización en su dispositivo, tratamos la ubicación GPS de este con el único fin de mostrarle locales cercanos en el mapa, calcular distancias y contextualizar los chivatazos por zona. Este permiso es voluntario: puede denegarlo o revocarlo en cualquier momento desde los ajustes de su dispositivo (Ajustes > Privacidad y seguridad > Localización), y la app seguirá funcionando con las funciones que no dependen de la ubicación. No construimos historiales de movimientos ni perfiles de localización de los usuarios.
3.4. Datos de presencia agregada y anónima
La app puede mostrar indicadores agregados de presencia o actividad en locales (por ejemplo, nivel de afluencia). Estos indicadores se elaboran a partir de datos agregados y anonimizados, de manera que no permiten identificarle individualmente. Los datos anónimos, en la medida en que no se refieren a una persona identificada o identificable, quedan fuera del ámbito del RGPD.
3.5. Datos técnicos
Datos estrictamente necesarios para el funcionamiento y la seguridad del servicio: registros técnicos de acceso (fecha, hora, dirección IP, resultado de la petición) generados por nuestra infraestructura, el identificador del dispositivo para el envío de notificaciones push (token de notificación, solo si usted acepta recibirlas) e información básica del dispositivo y de la versión de la app a efectos de compatibilidad y diagnóstico de errores.
3.6. Datos de soporte y contacto
Si nos escribe a info@elchivatazo.es, trataremos su dirección de correo y el contenido de su mensaje para atender su solicitud.
No tratamos categorías especiales de datos (art. 9 RGPD), ni datos de menores de 18 años, ni utilizamos herramientas de analítica, publicidad o seguimiento en la app o en este sitio web.
4. Finalidades y bases jurídicas (art. 6 RGPD)
Tratamos sus datos para las siguientes finalidades, cada una amparada en la base de licitud que se indica:
| Finalidad | Datos utilizados | Base jurídica |
|---|---|---|
| Crear y gestionar su cuenta; autenticarle; prestar las funciones esenciales del servicio (publicar y consultar chivatazos, valorar locales). | Datos de cuenta; contenido generado. | Art. 6.1.b) RGPD — ejecución del contrato de uso del servicio. |
| Mostrar locales cercanos, calcular distancias y contextualizar chivatazos por zona mediante la ubicación del dispositivo. | Datos de ubicación GPS (opcionales). | Art. 6.1.a) RGPD — su consentimiento, otorgado mediante el permiso de localización del sistema operativo y revocable en cualquier momento. |
| Enviarle notificaciones push relacionadas con el servicio. | Token de notificaciones del dispositivo. | Art. 6.1.a) RGPD — su consentimiento, otorgado mediante el permiso de notificaciones del sistema operativo y revocable en cualquier momento. |
| Elaborar indicadores agregados y anónimos de afluencia, actividad y ambiente por local (incluida la proporción aproximada de asistentes por género). | Datos agregados y anonimizados (sin identificación individual); género declarado en el perfil, únicamente como insumo del cálculo agregado. | Art. 6.1.f) RGPD — interés legítimo en mejorar el servicio; el resultado es información anónima. |
| Garantizar la seguridad del servicio: prevención de fraude, spam y abuso; moderación de contenido; registros técnicos. | Datos técnicos; contenido generado; datos de cuenta. | Art. 6.1.f) RGPD — interés legítimo en la seguridad e integridad de la plataforma y en la protección del resto de usuarios. |
| Atender sus solicitudes de soporte y el ejercicio de sus derechos. | Datos de soporte y contacto. | Art. 6.1.b) RGPD (soporte vinculado al servicio) y art. 6.1.c) RGPD (atención de derechos, obligación legal). |
| Cumplir obligaciones legales (fiscales, mercantiles, requerimientos de autoridades competentes). | Los datos mínimos exigidos en cada caso. | Art. 6.1.c) RGPD — cumplimiento de obligaciones legales. |
No utilizamos sus datos para publicidad ni para envíos comerciales. En el momento de esta versión no se realizan comunicaciones de marketing de ningún tipo. Si en el futuro quisiéramos enviarle comunicaciones comerciales, le solicitaremos previamente su consentimiento expreso conforme al artículo 21 de la Ley 34/2002 (LSSI-CE), y podrá retirarlo en cualquier momento.
Cuando la base jurídica sea el consentimiento, su retirada no afectará a la licitud del tratamiento realizado con anterioridad. Cuando la base sea el interés legítimo, hemos ponderado que este no prevalece sobre sus derechos y libertades; puede oponerse a estos tratamientos según se indica en el apartado 10.
5. Carácter necesario de los datos
Los datos de cuenta (correo electrónico y contraseña) son necesarios para registrarse y utilizar las funciones que requieren cuenta; sin ellos no es posible prestarle el servicio. Los datos de ubicación y el permiso de notificaciones son siempre opcionales: denegarlos únicamente limita las funciones que dependen de ellos (mapa de locales cercanos y avisos push, respectivamente).
6. Plazos de conservación
| Categoría | Plazo de conservación |
|---|---|
| Datos de cuenta | Mientras la cuenta permanezca activa. Tras la solicitud de eliminación, se suprimen en un plazo máximo de 30 días (véase el apartado siguiente sobre copias de seguridad). |
| Chivatazos publicados | Dejan de mostrarse automáticamente poco después de su publicación por su propia naturaleza efímera; los registros internos asociados se conservan como máximo 12 meses a efectos de moderación y prevención de abuso, y después se suprimen o anonimizan. |
| Valoraciones y reseñas | Mientras la cuenta permanezca activa o hasta que usted las elimine; al eliminar la cuenta se suprimen o se anonimizan de forma irreversible. |
| Datos de ubicación | Se utilizan en tiempo real para las funciones descritas; no se almacenan historiales de localización asociados a su identidad. |
| Registros técnicos y de seguridad | Máximo 12 meses desde su generación, salvo que sean necesarios para investigar incidentes de seguridad o atender requerimientos legales. |
| Correspondencia de soporte y de ejercicio de derechos | Hasta 3 años desde el cierre de la solicitud, a efectos de acreditar su atención (art. 5 y considerando 82 RGPD; prescripción de acciones). |
| Datos exigidos por obligaciones legales | Durante los plazos de prescripción aplicables (con carácter general, hasta 6 años conforme al art. 30 del Código de Comercio y 4 años a efectos tributarios). |
Las copias de seguridad de la base de datos se sobrescriben en ciclos cortos; los datos suprimidos pueden persistir temporalmente en ellas hasta un máximo de 90 días adicionales, tras lo cual desaparecen de forma definitiva. Las copias de seguridad no se utilizan para restaurar datos de cuentas eliminadas salvo necesidad técnica de recuperación general del sistema, en cuyo caso se volvería a aplicar la supresión.
7. Destinatarios y encargados del tratamiento
No vendemos ni cedemos sus datos personales a terceros con fines comerciales. Para operar el servicio nos apoyamos en los siguientes proveedores, que actúan como encargados del tratamiento (art. 28 RGPD) o como terceros prestadores con los que existe la correspondiente relación contractual:
| Proveedor | Servicio | Ubicación del tratamiento |
|---|---|---|
| Supabase, Inc. | Alojamiento de la base de datos, autenticación de usuarios y backend del servicio. | Proyecto alojado en la Unión Europea (región UE). Entidad matriz en EE. UU.; véanse las garantías del apartado 8. |
| Expo (650 Industries, Inc.) | Infraestructura de la aplicación móvil y servicio de entrega de notificaciones push. | Estados Unidos; véanse las garantías del apartado 8. |
| Apple Inc. / Apple Distribution International Ltd. | Distribución de la app (App Store) y servicio de notificaciones push de Apple (APNs). | Irlanda (UE) y Estados Unidos; véanse las garantías del apartado 8. |
Con cada encargado del tratamiento existe un contrato de encargo conforme al artículo 28 RGPD que le obliga a tratar los datos únicamente siguiendo nuestras instrucciones, con medidas de seguridad adecuadas y con deber de confidencialidad.
Además, podremos comunicar datos a las autoridades públicas competentes (jueces, tribunales, fuerzas y cuerpos de seguridad, Administración tributaria, Agencia Española de Protección de Datos) cuando exista una obligación legal que así lo exija.
8. Transferencias internacionales de datos
Los datos del servicio se alojan en la Unión Europea. No obstante, algunos de nuestros proveedores tienen su matriz en Estados Unidos o pueden acceder a datos desde fuera del Espacio Económico Europeo (EEE) para prestar soporte técnico o servicios auxiliares (por ejemplo, la entrega de notificaciones push). Para estos supuestos aplicamos las garantías previstas en el Capítulo V del RGPD:
- Decisión de adecuación (art. 45 RGPD): cuando el proveedor estadounidense está certificado en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), como es el caso de Apple Inc., la transferencia se ampara en la Decisión de Ejecución (UE) 2023/1795 de la Comisión Europea.
- Cláusulas Contractuales Tipo (art. 46.2.c RGPD): con los proveedores no certificados en dicho marco, o de forma adicional, se aplican las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, junto con las medidas suplementarias que resulten necesarias. Es el mecanismo aplicable, entre otros, a los servicios de Supabase, Inc. y de Expo (650 Industries, Inc.) cuando implican acceso desde fuera del EEE.
Puede solicitar más información sobre estas garantías, o una copia de las mismas, escribiendo a info@elchivatazo.es.
9. Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo del tratamiento (art. 32 RGPD), entre ellas:
- Cifrado de las comunicaciones entre la app y los servidores mediante TLS.
- Almacenamiento de contraseñas exclusivamente en forma de resumen criptográfico (hash con sal).
- Control de acceso a la base de datos a nivel de fila (Row Level Security), de modo que cada usuario solo puede acceder a los datos que le corresponden.
- Cifrado de los datos en reposo en la infraestructura del proveedor de alojamiento.
- Principio de minimización: solo se recogen los datos necesarios para cada finalidad.
- Acceso interno restringido a los datos personales, limitado a lo necesario para operar el servicio.
- Copias de seguridad periódicas y procedimientos de recuperación.
En caso de una violación de la seguridad que entrañe un riesgo para sus derechos y libertades, la notificaremos a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas y, cuando el riesgo sea alto, también a las personas afectadas (arts. 33 y 34 RGPD).
10. Sus derechos
Usted puede ejercer en cualquier momento, de forma gratuita, los siguientes derechos reconocidos por los artículos 15 a 22 del RGPD y 12 a 18 de la LOPDGDD:
- Acceso: conocer si tratamos sus datos y obtener una copia de los mismos.
- Rectificación: corregir datos inexactos o completar datos incompletos.
- Supresión («derecho al olvido»): solicitar la eliminación de sus datos, incluida la eliminación completa de su cuenta.
- Limitación del tratamiento: pedir que suspendamos temporalmente el tratamiento de sus datos en los supuestos del art. 18 RGPD.
- Portabilidad: recibir los datos que nos haya facilitado en un formato estructurado, de uso común y lectura mecánica, o pedir su transmisión directa a otro responsable cuando sea técnicamente posible.
- Oposición: oponerse a los tratamientos basados en interés legítimo por motivos relacionados con su situación particular.
- Retirada del consentimiento: retirar en cualquier momento los consentimientos otorgados (por ejemplo, el permiso de ubicación o de notificaciones desde los ajustes del dispositivo), sin que ello afecte a la licitud del tratamiento previo.
Cómo ejercerlos: escribiendo a info@elchivatazo.es desde la dirección de correo asociada a su cuenta, indicando el derecho que desea ejercer. Si existieran dudas razonables sobre su identidad, podremos solicitarle información adicional para verificarla. Encontrará instrucciones detalladas, incluida la eliminación de cuenta, en la página Derechos y Eliminación de Cuenta.
Plazo de respuesta: un mes desde la recepción de la solicitud, prorrogable dos meses más en casos de especial complejidad, en cuyo caso le informaríamos de la prórroga y de sus motivos.
Derecho a reclamar ante la autoridad de control: si considera que el tratamiento de sus datos vulnera la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, teléfono 901 100 099 / 912 663 517, sede electrónica y más información en www.aepd.es. No obstante, le agradeceremos que se dirija primero a nosotros para intentar resolver la cuestión.
11. Menores de edad
El Chivatazo es un servicio relacionado con el ocio nocturno y está dirigido exclusivamente a personas mayores de 18 años. No está permitido el registro de menores de 18 años y no recabamos conscientemente datos de menores. Al crear una cuenta, usted declara ser mayor de edad. Si detectamos o se nos comunica de forma fehaciente que una cuenta pertenece a un menor, procederemos a su cancelación y a la supresión de los datos asociados. Si usted es padre, madre o tutor y tiene conocimiento de que un menor nos ha facilitado datos personales, contáctenos en info@elchivatazo.es.
12. Decisiones automatizadas y elaboración de perfiles
No adoptamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar (art. 22 RGPD), ni elaboramos perfiles de usuarios. Los únicos procesos automatizados existentes son mecanismos técnicos de prevención de abuso (por ejemplo, límites de frecuencia de publicación), que no producen efectos jurídicos ni de análoga relevancia sobre las personas usuarias.
No utilizamos sistemas de inteligencia artificial para tratar sus datos personales. El asistente de ayuda integrado en la app («Chivato») es un sistema de respuestas predefinidas basado en reglas que funciona íntegramente en su dispositivo: sus preguntas no se envían a nuestros servidores ni a proveedores de inteligencia artificial de terceros. Si en el futuro incorporásemos funcionalidades basadas en inteligencia artificial que impliquen el tratamiento de datos personales, actualizaremos esta Política y se lo comunicaremos antes de su activación.
13. Cambios en esta Política
Podremos actualizar esta Política para adaptarla a novedades legislativas, criterios de las autoridades de control o cambios en el servicio. Cada versión indica su fecha y número de versión en el encabezado. Si los cambios fueran sustanciales —en particular, si afectaran a finalidades, bases jurídicas o destinatarios—, se lo comunicaremos con antelación razonable a través de la app o del correo electrónico asociado a su cuenta y, cuando sea necesario, le solicitaremos de nuevo el consentimiento. La versión vigente estará siempre disponible en esta página.
14. Contacto
Para cualquier cuestión relativa a esta Política o al tratamiento de sus datos personales: