Política de privacidad

1. Quiénes somos

[Company legal name], Külbstr. 20, 55131 Mainz, Germany («Last Seen», «nosotros») es el responsable del tratamiento de tus datos personales.

• Preguntas y solicitudes de privacidad: privacy@lastseen.help
• Contacto de protección de datos: privacy@lastseen.help
• Representante en la UE:
• Representante en el Reino Unido: [UK representative - required under UK GDPR Art. 27 if you offer the app to people in the UK]

2. Qué datos recogemos

Cuenta y ajustes

• Un identificador de cuenta aleatorio y un token de acceso para tu dispositivo (solo guardamos su hash)
• El nombre visible que elijas. Es obligatorio antes de añadir contactos de emergencia, compartir una invitación o unirte a un círculo, porque así saben que los mensajes tratan de ti
• Tu intervalo de confirmación, periodo de gracia, fechas de pausa, idioma, preferencias de notificación y el país que eliges para el número de emergencia
• Tu número de teléfono y correo electrónico, solo si decides verificarlos
• El token de notificaciones push de tu dispositivo

Confirmaciones y bienestar

• Cuándo confirmas y si fue con el botón o con una respuesta
• Las respuestas que envías cuando alguien pregunta por ti (por ejemplo «estoy bien» o «no me encuentro bien»)
• Si vas al día o tienes un aviso pendiente, y los recordatorios y alertas enviados sobre ti

Tu círculo

• Nombres, teléfonos y (opcionalmente) correos de los contactos de emergencia que añadas
• Qué usuarios de la app te siguen y a quién sigues, y los toques y mensajes entre vosotros

Tu nota final

• La nota, cifrada; un hash scrypt de tu PIN; y un registro de cada vez que se vio, modificó, solicitó o entregó

Registros que debemos conservar

• Qué aceptaste, qué versión y cuándo, con la dirección IP y el tipo de dispositivo en ese momento
• Registros de seguridad de corta duración, como contadores de límite de solicitudes

No recogemos tu ubicación, tu agenda (si importas un contacto, el resto nunca sale de tu dispositivo), identificadores publicitarios ni perfiles de analítica.

3. Datos relacionados con la salud

Algunos de estos datos pueden revelar algo sobre tu salud o bienestar (por ejemplo, que no confirmaste o que respondiste que no te encuentras bien), y tu nota final puede contener lo que decidas escribir.

Los tratamos como categoría especial de datos según el RGPD (artículo 9) y como datos de salud del consumidor según leyes estatales de EE. UU. como la My Health My Data Act de Washington y la SB 370 de Nevada. Solo los recogemos y compartimos con tu consentimiento explícito, dado al configurar la app, y solo para prestar el servicio. Puedes retirarlo en cualquier momento eliminando tu cuenta; sin él no podemos prestarte el servicio.

4. Para qué usamos tus datos y base jurídica

• Prestar el servicio: registrar confirmaciones, recordártelas, avisar a tu círculo y guardar y entregar tu nota final. Base: nuestro contrato contigo (art. 6.1.b RGPD) y tu consentimiento explícito para los datos de salud (art. 9.2.a).
• Mantener seguras las cuentas y el servicio: verificación de teléfono y correo, límites de solicitudes, bloqueos del PIN y prevención de abusos. Base: nuestro interés legítimo en protegerte a ti y a otros usuarios (art. 6.1.f).
• Registrar consentimientos y atender tus solicitudes. Base: obligación legal (art. 6.1.c).
• Enviar correos a quienes se apuntan a la lista de espera en nuestra web. Base: consentimiento confirmado por correo (art. 6.1.a).

No usamos tus datos para publicidad ni para elaborar perfiles. La única decisión automatizada es cuándo enviar un recordatorio o alerta, y sigue el calendario que tú fijas.

5. Quién ve tus datos

Las personas que eliges

• Las personas de tu círculo en la app ven tu nombre visible, la hora de tu última confirmación y si vas al día, tienes un aviso pendiente o estás en pausa. Si lo permites en Ajustes, también ven la respuesta que enviaste.
• Si respondes "Necesito ayuda", se avisa de inmediato a todas las personas de tu círculo, sea cual sea tu ajuste para compartir respuestas, y queda señalado hasta que confirmes normalmente o pasen 24 horas.
• Si tienes un aviso pendiente, tus contactos de emergencia reciben un SMS o correo con tu nombre visible y el tiempo transcurrido desde tu última confirmación.
• Tu nota final solo se entrega como se describe en la sección 7.

Proveedores de servicios, que tratan los datos solo siguiendo nuestras instrucciones y con contratos que exigen confidencialidad y seguridad (art. 28 RGPD):

• Hosting and database provider [e.g. Google Cloud / Neon] — running the service and storing account data ([EU / US])
• Expo (650 Industries, Inc.) — delivering push notifications (United States)
• Twilio Inc. — sending SMS alerts and verification codes (United States)
• Twilio SendGrid — sending email alerts and verification codes (United States)

Otros

• Autoridades, solo cuando la ley lo exija. Te lo diremos salvo que la ley nos lo impida.
• Un sucesor, si el servicio se transfiere, que quedará obligado por esta política.

No vendemos tu información personal ni la compartimos para publicidad conductual entre contextos, tal como se definen en la ley de California. Nunca contactamos con los servicios de emergencia en tu nombre.

6. Contactos de emergencia que no usan la app

Cuando añades a alguien, le enviamos un único mensaje indicando quién le ha añadido, qué puede recibir y cómo darse de baja, con un enlace a esta política. Si se da de baja (respondiendo STOP o con el enlace), dejamos de escribirle y recordamos su decisión aunque se le vuelva a añadir.

Al añadir a alguien confirmas que ha aceptado ser tu contacto de emergencia.

7. Tu nota final

• Se cifra en nuestros servidores con AES-256-GCM usando una clave exclusiva de tu cuenta. Esa clave está a su vez cifrada con una clave maestra guardada fuera de nuestra base de datos.
• Para verla o modificarla necesitas tu PIN. Solo guardamos un hash scrypt del PIN. Tras 5 intentos fallidos la caja fuerte se bloquea, cada vez durante más tiempo.
• Un desbloqueo dura 5 minutos y solo en ese dispositivo.
• Solo se entrega cuando (1) la única persona que elegiste para custodiarla la solicita, (2) han pasado al menos 6 horas desde el límite de tu confirmación y (3) no confirmas en las 24 horas siguientes. Si no has elegido a nadie, nadie puede solicitarla. Te avisamos cuando se solicita y de nuevo si se entrega, y el resto de tu círculo recibe aviso cuando esa persona la solicita y cuando la abre. Confirmar que estás bien cancela la solicitud.
• Cada visualización, cambio, solicitud y entrega queda registrada y se te muestra.
• Si olvidas tu PIN puedes restablecerlo, lo que borra la nota para siempre.

Ten en cuenta que, como nuestros servidores hacen posible la entrega, la nota la ciframos nosotros y no es cifrado de extremo a extremo. El acceso a los sistemas de producción está restringido y registrado, y no leemos las notas salvo obligación legal.

8. Transferencias internacionales

Algunos de nuestros proveedores están en Estados Unidos. Cuando tus datos salen del EEE, el Reino Unido o Suiza, nos basamos en el Marco de Privacidad de Datos UE-EE. UU. (y sus extensiones para el Reino Unido y Suiza) si el proveedor está certificado, o en las Cláusulas Contractuales Tipo de la Comisión Europea y el Anexo del Reino Unido, con garantías adicionales. Puedes pedirnos una copia.

9. Cuánto tiempo los conservamos

• Cuenta, ajustes, círculo, contactos de emergencia y nota final: hasta que elimines tu cuenta.
• Historial de confirmaciones, respuestas y alertas: 24 meses, después se eliminan.
• Notificaciones en la app y registros de entrega: 90 días.
• Códigos de verificación y contadores de seguridad: hasta 30 días.
• Registro de accesos a la nota final: 24 meses, o hasta que elimines tu cuenta.
• Registros de consentimiento: mientras exista tu cuenta.
• Inscripciones en la lista de espera no confirmadas: 30 días.

Cuando eliminas tu cuenta, tus datos se borran de nuestros sistemas activos de inmediato y de las copias de seguridad en un plazo de 35 días.

10. Tus derechos

Vivas donde vivas, puedes ver, corregir, exportar y eliminar tus datos y retirar tu consentimiento. Usa Ajustes > Tus datos o escribe a privacy@lastseen.help. Respondemos en un mes (UE/Reino Unido) o 45 días (EE. UU.) y te avisaremos si necesitamos más tiempo cuando la ley lo permita. Comprobamos que la solicitud es tuya verificando que llega desde tu app con sesión iniciada o desde un teléfono o correo verificado.

UE, EEE, Reino Unido y Suiza: también tienes derecho a la limitación del tratamiento, a oponerte y a la portabilidad, y puedes reclamar ante tu autoridad de protección de datos (en España, la AEPD en aepd.es; en la UE, consulta edpb.europa.eu; en el Reino Unido, el ICO en ico.org.uk). Agradeceríamos poder resolver tu consulta antes.

California: según la CCPA/CPRA puedes pedir saber qué información personal recogimos, usamos y comunicamos en los últimos 12 meses, y pedirnos que la eliminemos o corrijamos. En ese periodo recogimos identificadores, datos de contacto, información personal sensible (datos de bienestar relacionados con la salud y el contenido de tu nota final) e información del dispositivo, de ti y de personas de tu círculo, con los fines de la sección 4, y la comunicamos a los proveedores y personas de la sección 5. No vendemos ni compartimos información personal y usamos la información sensible solo para prestar el servicio, así que no hay nada que excluir o limitar. No te trataremos de forma distinta por ejercer tus derechos. Un agente autorizado puede actuar por ti con tu permiso firmado.

Otros estados de EE. UU. (como Virginia, Colorado, Connecticut, Utah, Texas, Oregón y otros con leyes de privacidad): tienes derechos similares. Si rechazamos una solicitud, puedes recurrir respondiendo con «Appeal»; si no estás de acuerdo con el resultado, puedes contactar con el fiscal general de tu estado.

Washington, Nevada y otras leyes de datos de salud del consumidor: recogemos y compartimos estos datos solo como aquí se describe y con tu consentimiento, puedes acceder a ellos, eliminarlos y retirar tu consentimiento, y nunca los vendemos.

11. Seguridad

Las conexiones van cifradas. Los tokens de acceso y los PIN se guardan solo como hash, la nota final está cifrada en reposo, las solicitudes tienen límites y el acceso a los sistemas de producción está restringido. Ningún sistema es perfectamente seguro; si una brecha te pone en riesgo te lo diremos sin demora indebida y lo notificaremos a las autoridades según exija la ley.

12. Menores

Last Seen no está destinada a menores de 16 años. No recogemos datos de menores a sabiendas. Si crees que un menor ha creado una cuenta, escribe a privacy@lastseen.help y la eliminaremos.

13. Cambios en esta política

Si hacemos cambios importantes, te lo diremos en la app antes de que entren en vigor y te pediremos que los revises. Si un cambio requiere tu consentimiento, volveremos a pedírtelo. Las versiones anteriores están disponibles si las solicitas.

14. Contacto

[Company legal name]

Külbstr. 20, 55131 Mainz, Germany

Teléfono: +49 6131 9011160

Correo: privacy@lastseen.help