Política de privacidad

0. Cómo funciona este documento

Esta Política de Privacidad tiene dos niveles:

Condiciones base (este documento): se aplican a todos los usuarios de Mapotas, en todos los municipios, y son la garantía mínima de protección de datos que Mapotas ofrece siempre.
Anexo municipal (documento adicional, uno por cada Ayuntamiento cliente): puede añadir o precisar condiciones específicas de ese municipio (por ejemplo, canal de contacto local del Ayuntamiento, o particularidades del tratamiento de datos que el Ayuntamiento requiera como responsable en su territorio), pero nunca puede reducir las garantías mínimas fijadas en las condiciones base.

En caso de conflicto entre las condiciones base y un anexo municipal, prevalecerá siempre la disposición más favorable o protectora para el usuario, salvo obligación legal en sentido contrario.

1. Responsable del tratamiento

Alejandro, titular de Mapotas, con domicilio en Paterna (Valencia), España, en adelante “Mapotas”, es el responsable del tratamiento de los datos personales recogidos a través de la aplicación móvil y sitio web Mapotas (en adelante, “la Plataforma”), salvo en aquellos tratamientos en los que actúe como encargado del tratamiento por cuenta de un Ayuntamiento, según se detalla en la sección 6.

Contacto para cuestiones de privacidad: info@mapotas.com

Mapotas no está obligado a designar un Delegado de Protección de Datos conforme al art. 37 RGPD (persona física sin las condiciones que imponen dicha designación).

2. Principios que rigen el tratamiento

Licitud, lealtad y transparencia.
Limitación de la finalidad: los datos solo se usan para los fines aquí descritos.
Minimización: solo se piden los datos necesarios para el funcionamiento del servicio.
Exactitud, con mecanismos para que el usuario corrija sus datos.
Limitación del plazo de conservación, conforme a la tabla de la sección 4.
Integridad y confidencialidad, con medidas técnicas y organizativas adecuadas.

3. Datos que se recogen y para qué

Mapotas trata, como máximo, las siguientes categorías de datos:

Datos de cuenta: nombre de usuario (público, único y elegido por el usuario), correo electrónico, teléfono de contacto. Mapotas no utiliza contraseñas: el acceso se realiza mediante cuenta de Google o un enlace de verificación por correo, gestionado por el proveedor de identidad.
Identificador del dispositivo (device_id): identificador único del dispositivo, generado al instalar la aplicación.
Datos de mascotas: nombre, especie, raza, fotografías, características distintivas, estado (perdida/encontrada/en tablón).
Geolocalización: ubicación aproximada o exacta del dispositivo, únicamente mientras el usuario tenga la función activada, para generar zonas de búsqueda y notificaciones de proximidad.
Contenido de mensajes: comunicaciones entre usuarios a través del chat integrado de la Plataforma.
Datos de verificación: verificación de la cuenta mediante Google o enlace de correo (no se solicita documentación adicional).
Datos de moderación: denuncias de otros usuarios, evidencias de la conversación o del anuncio denunciado, y suspensiones aplicadas.
Datos técnicos: identificador del dispositivo, datos de uso de la aplicación, registros de errores.

4. Base legal y plazos de conservación por tratamiento

Tratamiento	Base legal (art. 6 RGPD)	Conservación
Registro y gestión de la cuenta	Ejecución de contrato (art. 6.1.b)	Mientras la cuenta esté activa; borrado completo e inmediato al eliminarla (sección 16bis)
Publicación de alertas de mascota perdida/encontrada	Ejecución de contrato (art. 6.1.b)	Mientras la alerta esté activa; al resolverse o cancelarse, los datos identificativos se anonimizan y los datos no personales del caso se conservan para estadística y calibración del motor de búsqueda
Geolocalización para zonas de búsqueda y avisos de proximidad	Consentimiento explícito y revocable (art. 6.1.a)	La posición de avisos cercanos deja de usarse a los 30 días sin uso y se borra a los 180 días; desactivar la función borra la posición de forma inmediata
Notificaciones push de alertas del municipio	Consentimiento (art. 6.1.a) — opt-in	Mientras la suscripción esté activa; revocable en cualquier momento
Contenido del chat entre usuarios	Ejecución de contrato (art. 6.1.b)	Mientras la conversación exista; al eliminar la cuenta, los mensajes se anonimizan (“Usuario eliminado”) conservando el contexto de moderación
Moderación (denuncias, evidencias, suspensiones)	Interés legítimo en la seguridad de la Plataforma y prevención del fraude, ponderado frente a los derechos del usuario (art. 6.1.f); LSSI art. 16 y DSA 2022/2065	Las denuncias puntúan 90 días para las reglas automáticas; el historial de moderación se conserva como auditoría mientras exista interés legítimo (sección 16bis)
Comunicación de suspensión por correo electrónico	Interés legítimo (art. 6.1.f) — informar al usuario de una medida que le afecta	El registro del envío sigue la conservación de la moderación
Verificación de usuario	Ejecución de contrato / consentimiento (art. 6.1.b / 6.1.a)	Mientras la verificación esté vigente
Comunicaciones del Ayuntamiento a vecinos sobre mascotas	Cumplimiento de una misión de interés público (art. 6.1.e)	Según política de conservación del Ayuntamiento correspondiente (ver anexo municipal)
Datos técnicos y de uso	Interés legítimo en el correcto funcionamiento del servicio (art. 6.1.f)	Logs de aplicación: rotación cada 30 días
Entrenamiento y mejora de los algoritmos internos de Mapotas (ej. motor SIZB de zonas de búsqueda)	Interés legítimo en la mejora continua del servicio (art. 6.1.f)	Datos usados en forma anonimizada o seudonimizada; conservación del histórico de entrenamiento: se revisa anualmente y solo se conserva mientras sea útil y no permita identificar

Mapotas nunca usará una base legal genérica de ‘interés legítimo’ para justificar todos los tratamientos: cada finalidad tiene su propia base legal explícita, siguiendo el criterio del art. 13 RGPD sobre información clara en el momento de la recogida.

5. Geolocalización: garantías específicas

La geolocalización es siempre opt-in: desactivada por defecto salvo acción expresa del usuario.
El usuario puede desactivarla en cualquier momento desde los ajustes de la aplicación.
No te rastreamos: la posición se obtiene solo en primer plano (con la app abierta) y únicamente cuando hace falta (mapa, avistamiento, crear alerta). Nunca hay GPS en segundo plano con la app cerrada.
La “postal” de los avisos cercanos (si el usuario activa el toggle) se envía solo al abrir la app, como mucho una vez cada 30 minutos, y deja de usarse a los 30 días sin uso; a los 180 días se borra.
Desactivar el toggle borra la posición del servidor de forma inmediata: retirar el consentimiento es tan fácil como darlo.
No se conserva un histórico de ubicaciones más allá de lo estrictamente necesario para el servicio activo (búsqueda de la mascota en curso).
La precisión de la ubicación mostrada a otros usuarios puede reducirse (zona aproximada) frente a la usada internamente para el cálculo de zonas de búsqueda.

6. Relación con los Ayuntamientos: encargado del tratamiento

Cuando un Ayuntamiento contrata la Plataforma para sus vecinos, Mapotas puede actuar de dos formas distintas según el tratamiento:

Como responsable del tratamiento: para los datos necesarios para el funcionamiento general de la app (cuenta, chat, alertas), Mapotas decide los medios y fines del tratamiento.
Como encargado del tratamiento por cuenta del Ayuntamiento: cuando el Ayuntamiento use datos agregados o estadísticos de su municipio, o cuando el Ayuntamiento sea quien determine finalidades adicionales sobre los datos de sus vecinos (por ejemplo, comunicaciones oficiales o estadísticas de bienestar animal).

En este segundo caso, existe un contrato de encargado de tratamiento conforme al artículo 28 RGPD, firmado entre Mapotas y cada Ayuntamiento, que detalla el objeto, duración, naturaleza y finalidad del tratamiento, así como las medidas de seguridad aplicables. Este contrato es independiente de la presente Política y no altera los derechos que el usuario puede ejercer conforme a la sección 16.

Este es el documento que un despacho especializado en RGPD + contratación pública debe revisar con más detalle, ya que su contenido puede variar según el pliego de cada Ayuntamiento.

7. Destinatarios de los datos

Otros usuarios de la Plataforma, únicamente los datos necesarios para facilitar el reencuentro con la mascota (no se muestran datos de contacto completos sin consentimiento del usuario; el nombre de usuario es público y elegido por el propio usuario).
El Ayuntamiento correspondiente, en los términos del contrato de encargado de tratamiento o de su condición de responsable, según el caso.
Proveedores tecnológicos que prestan servicios a Mapotas (alojamiento, notificaciones push, mensajería), actuando siempre como encargados del tratamiento de Mapotas y bajo contrato conforme al art. 28 RGPD (sección 12).
Autoridades públicas, cuando exista obligación legal.

Mapotas no vende ni cede datos personales con fines publicitarios a terceros.

8. Menores de edad

Mapotas está dirigida a personas mayores de 14 años (LOPDGDD, art. 7). Los menores de 14 años no pueden utilizar la Plataforma: si Mapotas tiene conocimiento de una cuenta creada por un menor de 14 años, la eliminará de forma proactiva. Para los usuarios entre 14 y 18 años, se recomienda el uso supervisado por un adulto.

9. Datos agregados y estadísticos

Mapotas puede elaborar y compartir con terceros (por ejemplo, entidades colaboradoras, aseguradoras, ONGs de bienestar animal o los propios Ayuntamientos) estadísticas agregadas y anonimizadas, tales como número de mascotas perdidas por zona, especie, franja de edad o época del año.

Estos datos no permiten identificar, directa ni indirectamente, a ningún usuario ni mascota concretos.
Al no ser datos personales una vez anonimizados de forma irreversible, su uso no requiere el consentimiento individual del usuario ni se rige por el RGPD.
Mapotas aplicará técnicas de anonimización y umbrales mínimos de agregación (por ejemplo, no publicar estadísticas de grupos con menos de 5 casos) para evitar la reidentificación.

Esta es, hoy, la única vía por la que datos relacionados con los usuarios pueden tener valor comercial para un tercero (p. ej. una aseguradora). No implica ceder ningún dato personal ni identificable.

9bis. Uso de datos para mejorar los algoritmos internos de Mapotas

Mapotas trata de mejorar continuamente sus funcionalidades, en particular el motor de cálculo de zonas de búsqueda probables (SIZB) y otras funciones basadas en modelos estadísticos o de aprendizaje automático. Para ello, Mapotas puede utilizar el histórico de datos generado por el uso de la Plataforma, incluyendo: ubicaciones de pérdida y de hallazgo, tiempo transcurrido entre ambos eventos, y características de la mascota (especie, raza, comportamiento).

Siempre que sea técnicamente posible sin perjudicar la calidad del modelo, estos datos se anonimizarán o seudonimizarán antes de utilizarse para entrenar o mejorar los algoritmos, de forma que no puedan asociarse directamente a un usuario o alerta concretos.
Esta finalidad se basa en el interés legítimo de Mapotas y de sus usuarios en disponer de un servicio que mejora con el tiempo, ponderado frente a los derechos del interesado conforme al art. 6.1.f RGPD.
Este tratamiento es distinto y no debe confundirse con la cesión de datos a terceros con fines comerciales, prevista y limitada en la sección 10: los datos usados para mejorar los algoritmos de Mapotas no se comparten con anunciantes, aseguradoras ni otros terceros como datos identificables.
El usuario puede oponerse a que sus datos concretos se utilicen con esta finalidad, sin que ello afecte a su capacidad de seguir usando la Plataforma con normalidad, escribiendo a info@mapotas.com.

Este tratamiento es imprescindible para el propio funcionamiento y mejora del servicio principal de Mapotas (sugerencia de zonas de búsqueda), y por eso se separa conceptualmente de cualquier uso comercial con terceros.

10. Comunicaciones comerciales de terceros — previsión a futuro

Actualmente Mapotas no comparte datos personales de usuarios con terceros con fines comerciales o publicitarios, ni permite que terceros envíen ofertas a los usuarios a través de la Plataforma.

Si en el futuro Mapotas ofreciera esta posibilidad (por ejemplo, permitir que una aseguradora de mascotas colaboradora ofrezca sus productos a usuarios interesados), se aplicarán siempre las siguientes garantías, sin excepción:

Consentimiento explícito, informado y específico, obtenido de forma independiente del resto de permisos de la app — nunca premarcado ni agrupado con la aceptación de los Términos.
El usuario sabrá en el momento de dar el consentimiento qué empresa concreta recibirá sus datos y para qué los usará, no una autorización genérica para “partners futuros”.
Posibilidad de revocar el consentimiento en cualquier momento, con el mismo nivel de facilidad con que se otorgó, sin que ello afecte al uso del resto de funciones de la Plataforma.
Esta Política se actualizará y se notificará a los usuarios antes de activar cualquier tratamiento de este tipo, incorporando el nombre del tercero y el detalle del tratamiento a la tabla de la sección 4.

11. Cookies y tecnologías similares

La web de Mapotas no instala cookies (ni propias ni de terceros): es una página estática sin analítica ni publicidad en esta versión. La aplicación móvil tampoco utiliza cookies. Si en el futuro se incorpora analítica sin cookies (por ejemplo, Plausible) o cualquier tecnología de rastreo, esta sección se actualizará con su descripción, finalidad y plazo de conservación.

12. Terceros proveedores con acceso a datos

Mapotas trabaja con los siguientes proveedores tecnológicos, que actúan como encargados del tratamiento bajo contrato conforme al art. 28 RGPD:

Proveedor	Servicio	Datos tratados	Ubicación
Google (Firebase)	Notificaciones push (FCM), autenticación (Google Sign-In), hosting de la web	Token FCM, identificador de identidad, perfil de Google (si el usuario accede con Google)	Estados Unidos (transferencia internacional, ver sección 13)
Brevo	Envío de correos de moderación (notificación de suspensión)	Email del usuario, motivo y duración de la suspensión	Unión Europea
OpenFreeMap	Proveedor de tiles del mapa	Punto GPS (en cada petición de tile)	Servicio open source, sin tracking
Cloudflare	DNS, CDN y enrutado de correo del dominio mapotas.com	Dirección IP, cabeceras HTTP	Red global (transferencia internacional, ver sección 13)
Proveedor de hosting del backend	Alojamiento de la base de datos y del backend	Todos los datos del servicio	Por definir en la release oficial (previsto en la UE)

13. Transferencias internacionales de datos

Google (Firebase) trata datos en los Estados Unidos: la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea adoptadas por Google, conforme al Capítulo V RGPD.
Cloudflare opera una red global: la transferencia se ampara en sus condiciones contractuales (DPA con SCC cuando proceda).
El resto de proveedores (Brevo, hosting previsto, OpenFreeMap) tratan los datos dentro del Espacio Económico Europeo.
Mapotas puede trasladar los datos a proveedores dentro del EEE en el futuro, en cuyo caso esta sección se actualizará.

14. Decisiones automatizadas

Mapotas puede utilizar procesos automatizados para dos finalidades:

Sugerencia de zonas de búsqueda (motor SIZB): procesos puramente orientativos y de asistencia, sin efectos jurídicos ni impacto significativo sobre el usuario. No constituyen decisiones automatizadas en el sentido del artículo 22 RGPD.
Moderación automática (consenso de denuncias): cuando un número suficiente de usuarios distintos denuncia el mismo contenido o el mismo emisor, las reglas automáticas pueden retirar contenidos o suspender la cuenta, conforme a la sección 9 de los Términos. Estas decisiones están amparadas por la ejecución del contrato (art. 22.2.b RGPD) y toda suspensión es revisable por una persona: el usuario puede solicitar la revisión y la intervención humana escribiendo a info@mapotas.com.

Mapotas no adopta decisiones que produzcan efectos jurídicos sobre los usuarios basadas exclusivamente en tratamiento automatizado con perfilado, fuera de los supuestos anteriores.

15. Notificación de incidentes de seguridad

Ante una violación de seguridad de los datos personales que suponga un riesgo para los derechos y libertades de los usuarios, Mapotas lo notificará a la Agencia Española de Protección de Datos en el plazo de 72 horas desde que tenga constancia de ella, conforme al art. 33 RGPD, y a los usuarios afectados sin dilación indebida cuando el riesgo sea alto, conforme al art. 34 RGPD.

16. Derechos del usuario

El usuario puede ejercer en cualquier momento los siguientes derechos, escribiendo a info@mapotas.com o a través de los ajustes de la aplicación:

Acceso a sus datos personales (inmediato desde el Perfil).
Rectificación de datos inexactos.
Supresión (“derecho al olvido”) — ver sección 16bis.
Oposición al tratamiento basado en interés legítimo.
Limitación del tratamiento.
Portabilidad de los datos facilitados (exportación JSON por solicitud).
Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, si el usuario considera que el tratamiento no se ajusta a la normativa.

Mapotas responderá a las solicitudes en el plazo máximo de un mes, prorrogable conforme a lo previsto en el RGPD.

16bis. Supresión de la cuenta y moderación

“Eliminar mi cuenta” borra de la base de datos operativa, en una sola transacción y de forma inmediata, todos los datos del usuario: perfil, email, teléfono, nombre, identificador del dispositivo, mascotas, alertas, avistamientos, fotos, suscripciones e historial de notificaciones. No hay período de gracia. Las copias de seguridad pueden conservar datos hasta 90 días (sección 4).
Los mensajes del chat no se pierden: se anonimizan (“Usuario eliminado”) para conservar el contexto de las conversaciones y de la moderación.
Excepción de moderación (art. 17.3.e RGPD): los registros de moderación (denuncias, evidencias de la conversación o del anuncio denunciado) y las suspensiones aplicadas se conservan pese al borrado de la cuenta, por interés legítimo de seguridad y defensa frente a reclamaciones, mientras exista dicho interés. Estos registros no se muestran públicamente y se limitan a lo necesario para la moderación.

17. Seguridad

Comunicaciones: HTTPS obligatorio en producción (el entorno de desarrollo local puede usar HTTP para pruebas en dispositivo).
Acceso: Mapotas no almacena contraseñas (acceso con cuenta de Google o enlace de correo). El acceso a los sistemas que almacenan datos personales está restringido por credenciales.
Archivos físicos: las fotos subidas se almacenan con nombres UUID aleatorios, no con el nombre original.
Logs: no se registran datos personales en logs (ni emails, ni teléfonos, ni coordenadas exactas).
Copias de seguridad periódicas.
Procedimiento de notificación de brechas de seguridad a la AEPD y a los usuarios afectados, conforme a los arts. 33 y 34 RGPD, cuando proceda.

18. Modificaciones de la Política

Mapotas podrá actualizar esta Política para adaptarla a novedades legislativas o del servicio. Los cambios sustanciales — y en particular cualquier activación de las previsiones descritas en la sección 10 — se notificarán a los usuarios con antelación razonable a través de la propia aplicación y de las release notes. Los cambios se aplicarán también a los datos ya recogidos cuando el tratamiento lo exija (por ejemplo, plazos de conservación o condiciones de moderación), y nunca se aplicarán retroactivamente sin nuevo consentimiento cuando este sea la base legal del tratamiento. El uso continuado de la Plataforma tras el cambio implica la aceptación de la nueva Política; si el usuario no está de acuerdo, puede eliminar su cuenta.

19. Histórico de versiones

v0.1 — 2026-08-14: primera versión de trabajo (esbozo).
v0.2 — 2026-08-29: versión rellenada contra la realidad del producto (plazos de conservación reales, proveedores, moderación automática, supresión y moderación, cookies, contactos unificados en info@mapotas.com).