Política de privacidad
Titular: Spareya s. r. o. En vigor desde: 13 de octubre de 2026
Esta Política explica qué datos personales suyos tratamos, para qué, sobre qué base jurídica, a quién se los comunicamos, durante cuánto tiempo los conservamos y qué derechos le asisten. Se aplica al Servicio Spareya, tanto a la Aplicación como al Sitio web (spareya.eu).
Usuarios del Reino Unido (UK). Para los usuarios residentes en el Reino Unido esta Política se aplica en el ámbito del UK GDPR y de la Data Protection Act 2018; las referencias al «RGPD» y a la «autoridad de control» se entienden para ellos como UK GDPR e Information Commissioner's Office (ICO).
1. Titular y contacto
El responsable del tratamiento de los datos personales en el sentido del Reglamento (UE) 2016/679 («RGPD») es:
- Spareya s. r. o., Lermontovova 911/3, 811 05 Bratislava-Staré Mesto, Eslovaquia
- IČO: 57 718 768; inscrita en el Registro Mercantil del Tribunal Municipal Bratislava III, sección Sro, expediente n.º 201128/B
- Administrador: Marek Jankech · Sitio web: https://spareya.eu
- Contacto en materia de protección de datos: support@spareya.eu
Delegado de protección de datos (DPD): Hemos valorado la obligación de designar un delegado de protección de datos conforme al art. 37 del RGPD; dada nuestra dimensión actual, dicha obligación no nos resulta exigible. Si esto cambiara, designaríamos un delegado y añadiríamos sus datos de contacto.
Usuarios del Reino Unido: en materia de protección de datos puede contactarnos directamente en support@spareya.eu o dirigirse a la ICO (art. 13). Designaremos un representante para el Reino Unido conforme al art. 27 del UK GDPR antes de poner la Aplicación a disposición de los usuarios del Reino Unido.
2. Qué datos tratamos
A continuación figura un resumen de las categorías de datos personales que tratamos, siempre con su finalidad, su base jurídica conforme al art. 6 del RGPD y su plazo de conservación. Los datos de la Cuenta (correo electrónico, contraseña, apodo, año de nacimiento) son necesarios para celebrar y ejecutar el contrato de prestación del Servicio: sin ellos no podemos crearle una Cuenta. Los datos señalados como opcionales se facilitan voluntariamente.
2.1 Datos de la Cuenta (Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Correo electrónico | Creación y gestión de la Cuenta, inicio de sesión, correos transaccionales | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta; tras la eliminación de la Cuenta, hasta 30 días |
| Contraseña (con hash, Supabase Auth) | Seguridad del acceso | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Apodo | Identificación frente a otros usuarios | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Año de nacimiento | Verificación del requisito 18+ | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Sexo (opcional) | Preferencias en el emparejamiento; Quedadas solo para mujeres o solo para hombres | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta o hasta su eliminación |
| Historial de cambios de sexo (valor anterior y nuevo, hora) | Protección de las Quedadas solo para mujeres o solo para hombres frente a abusos | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Idioma | Localización del Servicio | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
2.2 Datos del Perfil (Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Deportes y nivel | Emparejamiento y búsqueda de Quedadas | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Biografía | Presentarse a los demás | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Nacionalidad (opcional) e idiomas que habla | Presentarse a los demás, entenderse en la Quedada | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta o hasta su eliminación |
| Avatar (icono y color) e insignias (p. ej., Miembro fundador, embajador, nivel) | Presentarse a los demás, reconocimiento de la actividad | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Disponibilidad (días y horas en que puede hacer deporte) | Propuestas de compañeros de deporte y de Quedadas | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta o hasta su eliminación |
| Casa: el municipio (o el código postal) que busca, su punto central, el distrito o zona derivado de él y una zona aproximada (de unos 5 × 5 km) | Mostrar Quedadas, clubes y lugares relevantes en los alrededores; cómputo para el umbral del distrito o zona | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta |
| Fiabilidad (valoración) | Confianza y seguridad de la comunidad | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
2.3 Verificación de persona real y de edad (Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Resultado de la verificación de persona real (sí/no y fecha) | Seguridad de las Quedadas: todas las personas con las que queda son personas reales verificadas | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Registro de un intento de verificación (tipo de comprobación, estado, horas, número de registro en Didit) | Desarrollo de la verificación, límite de intentos, control de que el registro en Didit se ha borrado | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Verificación de edad cuando hay un motivo (estado, motivo, quién decidió) | Cumplimiento del requisito 18+ | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
La foto, el vídeo y la edad estimada NO SE CONSERVAN. De la verificación guardamos solo los datos de la tabla anterior. Detalles en el artículo 3.
Con carácter transitorio: activamos la verificación ante la cámara a través de Didit antes del desbloqueo del primer distrito o zona. Hasta entonces no se celebran Quedadas con otras personas; la excepción son los entrenamientos solo para socios de un Club verificado, en los que el Club conoce a sus socios.
2.4 Datos de actividad (Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Quedadas y eventos (participación, organización, confirmación de que la Quedada se celebró, interés por un evento) | Función principal del Servicio | Ejecución del contrato (art. 6, apdo. 1, letra b) | Mientras exista la Cuenta; de forma agregada, más tiempo |
| Solicitudes de «busco compañero» (deporte, franja horaria, zona aproximada) | Propuestas de compañeros de deporte y sustitución en caso de cancelación | Ejecución del contrato (art. 6, apdo. 1, letra b) | Hasta que caduca la solicitud; las solicitudes caducadas, hasta que se eliminan en la Aplicación o se elimina la Cuenta |
| Mensajes del chat (en el marco de una Quedada, de un Club o de una conversación) | Comunicación entre participantes; seguridad y moderación | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | 90 días desde el envío; los mensajes marcados automáticamente para revisión, como máximo 365 días, y los mensajes objeto de una denuncia, hasta su resolución |
| Valoraciones | Confianza y calidad de la comunidad | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Denuncias y bloqueos | Seguridad, moderación, protección frente a abusos (DSA) | Interés legítimo (art. 6, apdo. 1, letra f); obligación legal (art. 6, apdo. 1, letra c) | Durante la tramitación y, después, por regla general 12 meses |
| Clubes: pertenencia (función, estado, fecha de alta), asistencia a los entrenamientos del club, solicitud de administración de un Club incluida la prueba (p. ej., enlace a la web o a una red social) | Funcionamiento de los Clubes, verificación del Club | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | Hasta salir del Club o eliminar la Cuenta; tras eliminar la Cuenta, en la lista de asistencia del Club queda solo un registro sin vínculo con usted |
| Perfil de entrenador (descripción, deportes, distrito o zona de actividad, instalaciones deportivas, enlace a la web, cualificación acreditada) y valoraciones de entrenadores (estrellas, comentario, respuesta del entrenador) | Lista de entrenadores y su fiabilidad | Ejecución del contrato (art. 6, apdo. 1, letra b); interés legítimo (art. 6, apdo. 1, letra f) | Hasta la eliminación del perfil de entrenador, de la valoración o de la Cuenta |
| Propuestas de nuevas instalaciones deportivas (nombre, nota, ubicación del lugar propuesto) | Completar el mapa de instalaciones deportivas | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta; una propuesta no tramitada caduca a los 90 días |
| Avisos de problemas (su texto, nuestra respuesta, contexto técnico: versión, idioma, plataforma, pantalla) | Asistencia y corrección de errores | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta |
| Invitaciones (su código de invitación, quién invitó a quién) | Invitar a amigos, créditos e insignia de embajador | Interés legítimo (art. 6, apdo. 1, letra f) | Mientras exista la Cuenta; los créditos no se guardan, se calculan de forma continua |
| Notificaciones en la Aplicación (tipo, contenido, hora, lectura) | Información sobre lo que ocurre en el Servicio | Ejecución del contrato (art. 6, apdo. 1, letra b) | 180 días |
| Token del dispositivo para la entrega de notificaciones (push) | Entrega de notificaciones en el teléfono o en el navegador | Ejecución del contrato (art. 6, apdo. 1, letra b) | Hasta que se desactivan las notificaciones, se cierra la sesión en el dispositivo o se elimina la Cuenta |
| Enlace «Compartir con alguien de confianza» de una Quedada concreta | Seguridad: una persona cercana sabe dónde y cuándo hace deporte | Interés legítimo (art. 6, apdo. 1, letra f) | Válido hasta 6 horas después del inicio de la Quedada o hasta su cancelación |
2.4a Fotos de las Quedadas (opcionales, Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Fotos de una Quedada celebrada (opcionales) | Compartir la experiencia; publicación por Spareya solo con consentimiento | Consentimiento (art. 6, apdo. 1, letra a) de todas las personas que aparecen, para su publicación por Spareya | Hasta la revocación del consentimiento o la eliminación de la Cuenta |
Fotos y consentimiento. Las fotos son opcionales y solo están disponibles tras la celebración de una Quedada. Las almacena Supabase Storage y antes de guardarlas les retiramos los metadatos de ubicación (EXIF). Para que podamos publicar una foto nosotros (por ejemplo, en las redes sociales de Spareya) deben consentirlo todas las personas que aparecen en ella; cualquiera de ellas puede revocar el consentimiento en cualquier momento. Que la comparta usted mismo es una decisión propia, ajena a este tratamiento. Las fotos están sujetas a las Normas de la comunidad y a moderación (puede denunciarlas).
2.4b Contacto de emergencia (opcional, Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Contacto de emergencia: nombre y correo electrónico o teléfono de un tercero | Seguridad en las Quedadas; contacto únicamente en situaciones de emergencia o de seguridad | Interés legítimo (art. 6, apdo. 1, letra f): protección de la vida, la salud y la seguridad | Hasta la eliminación del contacto o de la Cuenta |
Contacto de emergencia (datos de un tercero). Si indica un contacto de emergencia, declara estar facultado para facilitarnos los datos de esa persona. Los utilizaremos exclusivamente en una situación de emergencia o de seguridad, no para comunicaciones ordinarias ni para marketing. La base jurídica es nuestro interés legítimo en la protección de la vida y la seguridad, no el consentimiento de la persona contactada. Dicha persona puede solicitar en cualquier momento la supresión de sus datos escribiendo a support@spareya.eu.
2.4c Foto de perfil (opcional, Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Foto de perfil (opcional) | Que los demás participantes puedan reconocerle en la Quedada | Ejecución del contrato (art. 6, apdo. 1, letra b) | Hasta la eliminación de la foto o de la Cuenta |
| Comprobación de la foto en busca de contenido inapropiado (hoy la hace una persona; tras activarse, también de forma automática) | Seguridad de la comunidad: protección frente a desnudos y violencia | Interés legítimo (art. 6, apdo. 1, letra f) | El resultado de la comprobación, junto con la foto; 30 días en el caso de una foto rechazada |
Quién ve su foto de perfil. Solo los participantes confirmados de la misma Quedada, y como máximo hasta dos días después de su inicio. No se muestra en el mapa, en las listas, en las propuestas de compañeros de deporte ni en el perfil público; allí aparece su avatar. Antes de guardar la foto le retiramos los metadatos, incluida la ubicación. Una vez activada la comprobación automática, la foto la comprueba el servicio Microsoft Azure AI Content Safety en la UE; el servicio no almacena la foto ni la utiliza para entrenamiento. Hoy la comprobación automática está desactivada y cada foto la revisa una persona antes de mostrarse. La foto tiene que ser suya y en ella se le tiene que ver la cara; los demás participantes pueden denunciarla y una persona moderadora puede ocultarla. No reconocemos su cara ni la comparamos con su documento de identidad: no se trata de un tratamiento biométrico.
2.4d Diario «Mi deporte» (opcional, Aplicación)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Actividades deportivas que anota: fecha, deporte, tipo (ocio, entrenamiento, competición), duración, distancia, tiempo, marcador y resultado, puesto, ejercicios (nombre, peso, repeticiones), nota, si hizo deporte solo, en su caso la asistencia importada de un entrenamiento del club | Su resumen privado de su propia actividad deportiva | Ejecución del contrato (art. 6, apdo. 1, letra b) | Hasta la eliminación de la actividad o de la Cuenta |
El diario solo lo ve usted. No mostramos sus actividades a nadie ni las utilizamos para el emparejamiento ni para publicidad. El diario funciona en cada distrito o zona también antes de su activación.
2.5 Datos del Sitio web y de la Campaña «El Gran Desbloqueo» (Sitio web)
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Lista de espera: correo electrónico, distrito o zona, hora, estado de la verificación (double opt-in), código de invitación y quién le invitó | Participación en la campaña, desbloqueo de distritos y zonas, confirmación del correo electrónico, envío de su enlace de invitación, información sobre el desbloqueo | Consentimiento (art. 6, apdo. 1, letra a) / medidas precontractuales (art. 6, apdo. 1, letra b) | Hasta el lanzamiento o la finalización de la campaña o la revocación del consentimiento |
| Interés de un club: nombre del club, deporte, ciudad, correo electrónico | Captación y activación de clubes | Consentimiento (art. 6, apdo. 1, letra a) / medidas precontractuales (art. 6, apdo. 1, letra b) | Hasta la tramitación de la solicitud o la revocación del consentimiento |
| Salón de la Fama (Wall of Fame): nombre o apodo, grupo, enlace a la publicación, país o ciudad (opcional), correo electrónico, foto (opcional) | Agradecer a quienes difunden Spareya; publicación en el Sitio web y en las redes de Spareya | Consentimiento (art. 6, apdo. 1, letra a) | Solicitud no aprobada, como máximo 48 horas; la rechazada se elimina en el acto; la aprobada, hasta la revocación del consentimiento |
2.6 Datos técnicos
| Dato | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| Dirección IP (temporalmente; al inscribirse en la Lista de espera y al registrarse guardamos solo una versión acortada: IPv4 sin el último número, IPv6 solo la primera mitad) | Limitación de la frecuencia de solicitudes, seguridad, protección antibots (Cloudflare Turnstile) | Interés legítimo (art. 6, apdo. 1, letra f) | Un máximo de 30 días |
| Dispositivo y navegador (registros) | Diagnóstico, seguridad, funcionamiento | Interés legítimo (art. 6, apdo. 1, letra f) | Un máximo de 90 días |
| Analítica de producto (Vercel Analytics, sin cookies y anonimizada) | Mejora del Servicio | Interés legítimo (art. 6, apdo. 1, letra f) | De forma agregada |
3. Verificación de persona real y de edad (Didit)
Spareya es una plataforma para Quedadas físicas en persona y es estrictamente 18+. La verificación la realiza el proveedor Didit (Didit Identity Spain, S.L., Barcelona, España) como encargado del tratamiento. Nunca pedimos un documento de identidad.
Con carácter transitorio: activamos la verificación ante la cámara a través de Didit antes del desbloqueo del primer distrito o zona. Hasta entonces no se celebran Quedadas con otras personas; la excepción son los entrenamientos solo para socios de un Club verificado, en los que el Club conoce a sus socios.
- Verificación de persona real. Antes de su primera Quedada se verifica una vez: mira un momento a la cámara frontal moviendo la cabeza. Una comprobación automática de persona viva (liveness) confirma con un vídeo corto que delante de la cámara hay una persona viva, no una foto ni una grabación. En esta comprobación no se estima la edad. Quien no participa en Quedadas nunca pasa por esta comprobación.
- Requisito 18+. Al registrarse indica su año de nacimiento. Pedimos una estimación de la edad a partir de la cara solo cuando hay un motivo: una edad de 18 a 20 años en el Perfil, una denuncia de que puede ser menor de 18 años o una solicitud de un moderador. Hasta que se supere la verificación de edad no son posibles nuevas Quedadas; todas las demás funciones siguen funcionando.
- La estimación de la edad es una estimación automática a partir de la cara. Se lo indicamos en la Aplicación antes de que se encienda la cámara. El sistema no decide por sí solo en su perjuicio: si la estimación sale baja, una persona de nuestro equipo revisa el registro en Didit, incluida la imagen de la cara, y decide.
- Qué se trata y dónde. La comprobación de persona viva y la estimación de la edad trabajan con una imagen de su cara (foto y vídeo corto). Didit los trata en sus servidores, según su documentación en la UE. La cámara solo se enciende después de que usted dé su consentimiento explícito en la Aplicación.
- Qué guardamos nosotros. La foto y el vídeo no se transfieren a nuestros sistemas. Solo nos llega el resultado (sí/no) y la fecha; la edad estimada no la guardamos.
- Durante cuánto tiempo. Al recibir el resultado, pedimos a Didit que borre el registro (si lo revisa una persona, justo después de la decisión). Además, en Didit se configurará un plazo de conservación de 1 mes como máximo.
Nuestro proveedor de reserva para la verificación es Persona; hoy no se utiliza. Si lo activáramos, actualizaríamos antes esta Política.
4. Ubicación y mapa
- La Aplicación no solicita ni almacena la ubicación de su dispositivo (GPS). La ubicación exacta de una persona no se recoge ni se almacena en ningún punto del sistema.
- Como casa busca un municipio (o el código postal). Guardamos su nombre y el punto central del municipio (no su dirección), el distrito o zona derivado de él y una zona aproximada (geohash con una precisión de unos 5 × 5 km), según la cual le proponemos Quedadas en los alrededores.
- De su casa, los demás usuarios solo ven el distrito o zona.
- El mapa nunca muestra personas: solo lugares y Quedadas. (Los clubes y las instalaciones deportivas, como entidades y lugares públicos, pueden tener publicada una dirección exacta; no se trata de la ubicación de un usuario. Los entrenadores solo aparecen en el mapa con el distrito o zona donde trabajan o, en su caso, con la instalación deportiva donde entrenan; nunca publicamos la dirección de su domicilio.)
La representación del mapa, la búsqueda de lugares y la previsión del tiempo para el lugar de la Quedada las prestan proveedores externos (véase el art. 6.1a), a los que al cargarse puede transmitirse su dirección IP. Este planteamiento forma parte del diseño del Servicio (privacy by design, art. 25 del RGPD).
5. Bases jurídicas del tratamiento (art. 6 del RGPD)
- Ejecución del contrato (art. 6, apdo. 1, letra b): creación y gestión de la Cuenta, funciones principales del Servicio (Perfil, emparejamiento, Quedadas, chat).
- Consentimiento (art. 6, apdo. 1, letra a): datos opcionales, Lista de espera y Campaña, marketing. Puede revocar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a la revocación.
- Interés legítimo (art. 6, apdo. 1, letra f): seguridad de la comunidad y del Servicio, prevención del fraude y del abuso, moderación, valoraciones y fiabilidad, diagnóstico. Puede oponerse al tratamiento basado en esta base jurídica.
- Obligación legal (art. 6, apdo. 1, letra c): cumplimiento del requisito 18+, obligaciones derivadas del DSA, colaboración con las autoridades y obligaciones contables (si surgieran).
6. A quién comunicamos los datos
6.1 Encargados del tratamiento (subencargados)
Recurrimos a proveedores de confianza que tratan los datos por cuenta nuestra en virtud de un contrato de encargo (DPA) y únicamente conforme a nuestras instrucciones:
| Encargado del tratamiento | Finalidad | Ubicación / transferencia |
|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento, realtime | UE (Fráncfort) |
| Vercel | Alojamiento del Sitio web y la Aplicación, analítica sin cookies | EE. UU./UE (CCT/DPF) |
| Didit (Didit Identity Spain, S.L.) | Verificación de persona real (liveness) y, cuando hay un motivo, estimación de la edad a partir de la cara | UE (España) |
| Persona | Proveedor de reserva para la verificación (hoy no se utiliza) | EE. UU. (CCT/DPF) |
| Resend | Correos transaccionales | EE. UU. (CCT/DPF) |
| Microsoft (Azure AI Content Safety) | Comprobación automática de las fotos de perfil en busca de contenido inapropiado (una vez activada; hoy no se utiliza) | UE |
| Cloudflare | Turnstile antibots (protección de formularios) | Global (CCT) |
| Sentry | Supervisión de errores (IP, diagnóstico) | UE |
| Google (Firebase Cloud Messaging) | Entrega de notificaciones en la Aplicación en Android y iPhone (en iPhone, después a través de Apple) | EE. UU. (CCT/DPF) |
| Apple (APNs) | Entrega de notificaciones en la Aplicación en iPhone | EE. UU. (CCT/DPF) |
| Servicio push de su navegador (p. ej., Google, Mozilla, Apple) | Entrega de notificaciones en la Aplicación en el navegador | según el navegador, también EE. UU. |
| GitHub (Microsoft) | Copias de seguridad cifradas de la base de datos (como máximo 30 días) | EE. UU. (CCT/DPF) |
| Websupport | DNS de los dominios y buzón de correo support@spareya.eu | UE (Eslovaquia) |
6.1a Servicios externos que carga su dispositivo
Al usar la Aplicación o el Sitio web, su dispositivo se conecta también a estos servicios; reciben sobre todo su dirección IP y la solicitud (p. ej., el fragmento del mapa, el texto buscado, las coordenadas del lugar de la Quedada). En ellos no se guardan datos de su Cuenta.
| Servicio | Finalidad | Ubicación / transferencia |
|---|---|---|
| OpenFreeMap | Representación del mapa | UE |
| Photon (komoot GmbH) | Búsqueda de lugares y municipios (geocodificación) | UE (Alemania) |
| Open-Meteo | Previsión del tiempo para el lugar y la hora de la Quedada | Europa |
| Google Fonts (Google) | Carga de tipografías en la Aplicación | EE. UU. (CCT/DPF) |
6.2 Otros usuarios
Algunos datos son, por su propia naturaleza, visibles para los demás usuarios: del Perfil, el apodo, el avatar y las insignias, los deportes y el nivel, la biografía, la edad (calculada a partir del año de nacimiento), la nacionalidad, los idiomas, el distrito o zona de residencia, el indicador de fiabilidad y el estado de la verificación; la foto de perfil según el art. 2.4c; en una Quedada, su participación u organización y los mensajes del chat de esa Quedada; en un Club, su pertenencia a él; en el caso de un entrenador, su perfil y sus valoraciones. Sin iniciar sesión, quien visita el mapa ve en una Quedada el apodo y el avatar de quien la organiza, y la persona a la que envíe el enlace «Compartir con alguien de confianza» ve el deporte, el lugar y la hora de la Quedada y su apodo (hasta 6 horas después del inicio). A los demás no les mostramos su correo electrónico, su año de nacimiento, su diario Mi deporte ni su ubicación exacta.
6.3 Autoridades públicas
Comunicamos los datos a las autoridades (tribunal, policía, autoridad de control) únicamente cuando la ley nos lo impone o cuando es necesario para proteger derechos y seguridad y cumplir obligaciones (incluidas las derivadas del DSA).
7. Transferencias fuera de la UE
Algunos encargados del tratamiento tratan los datos también fuera del EEE (sobre todo en Estados Unidos). En tales transferencias garantizamos salvaguardas adecuadas conforme al capítulo V del RGPD: bien mediante una decisión de adecuación (EU-US Data Privacy Framework, DPF, para destinatarios certificados), bien mediante cláusulas contractuales tipo (CCT) complementadas con medidas técnicas y organizativas. Encargados y servicios con posible transferencia fuera de la UE: Vercel, Persona, Resend, Cloudflare, Google (Firebase Cloud Messaging, Google Fonts), Apple, los servicios push de los navegadores y GitHub. Puede solicitar información sobre las salvaguardas en support@spareya.eu.
8. Plazos de conservación
Conservamos los datos únicamente durante el tiempo necesario para las finalidades indicadas:
- Cuenta y Perfil: mientras exista la Cuenta; tras la eliminación de la Cuenta, supresión o anonimización por regla general en un plazo de 30 días.
- Actividad (Quedadas, valoraciones): mientras exista la Cuenta; después, de forma agregada o anonimizada.
- Mensajes del chat: 90 días desde el envío; los mensajes marcados automáticamente para revisión, como máximo 365 días, y los mensajes objeto de una denuncia, hasta su resolución. Puede eliminar el contenido de sus mensajes también antes, directamente en la Aplicación (art. 9).
- Diario Mi deporte: hasta la eliminación de la actividad o de la Cuenta.
- Notificaciones en la Aplicación: 180 días.
- Fotos de las Quedadas: hasta la revocación del consentimiento o la eliminación de la Cuenta.
- Foto de perfil: hasta su eliminación o la eliminación de la Cuenta. Una foto ocultada por una persona moderadora se conserva 30 días más por si se presenta una impugnación y después se elimina. Una foto rechazada por la comprobación automática se elimina de inmediato; el registro del rechazo (sin la foto) se conserva 30 días.
- Contacto de emergencia: hasta la eliminación del contacto o de la Cuenta.
- Denuncias y bloqueos: durante la tramitación y, después, por regla general 12 meses (más tiempo solo si hay un procedimiento en curso).
- Verificación: el resultado y los registros de la verificación mientras exista la Cuenta; la imagen de la cara (foto y vídeo) en Didit hasta su borrado tras el resultado, como máximo 1 mes (una vez activada la verificación a través de Didit, art. 3).
- Datos técnicos: IP (acortada en la Lista de espera y el registro), un máximo de 30 días; registros, un máximo de 90 días.
- Salón de la Fama: solicitud no aprobada, como máximo 48 horas; la rechazada se elimina en el acto; la aprobada, hasta la revocación del consentimiento.
- Copias de seguridad: conservamos las copias de seguridad cifradas de la base de datos como máximo 30 días; por eso, los datos eliminados del Servicio desaparecen de las copias como muy tarde en 30 días.
- Lista de espera / Campaña / Interés de un club: hasta el lanzamiento o la finalización de la campaña, la tramitación de la solicitud o la revocación del consentimiento.
9. Sus derechos
Como interesado tiene derecho a: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad (art. 20), oposición (art. 21), revocación del consentimiento (art. 7, apdo. 3) y al derecho específico del art. 22 (decisiones automatizadas; véase el art. 12).
En la Aplicación tiene directamente disponibles la eliminación de la Cuenta, la eliminación de una parte de los datos sin eliminar la Cuenta y la exportación de sus datos. La eliminación parcial (Perfil → Ajustes de la cuenta → Eliminar parte de tus datos) abarca el contenido de sus mensajes del chat, su foto de perfil y sus fotos de las Quedadas junto con la revocación del consentimiento para las fotos en las que aparece, el historial de Quedadas que no se confirmaron y los datos opcionales del Perfil (biografía, sexo, nacionalidad). El contenido de los mensajes se retira y en la conversación queda solo una nota sobre la eliminación, para que la otra parte conserve el contexto; los mensajes marcados automáticamente para revisión y los vinculados a una denuncia abierta se conservan conforme al art. 8, como máximo hasta la resolución del asunto (art. 17, apdo. 3, letra e, del RGPD), y las Quedadas confirmadas permanecen, ya que son un registro común de ambos participantes y la base del indicador de fiabilidad. Las demás solicitudes puede enviarlas a support@spareya.eu: las atenderemos en el plazo de un mes (en casos justificados prorrogable un máximo de dos meses, de lo que le informaremos). El ejercicio de los derechos es, por regla general, gratuito. Para comprobar la identidad de la persona solicitante podemos pedir información adicional.
10. Menores
El Servicio está destinado exclusivamente a personas mayores de 18 años. Los niños y jóvenes nunca tienen Cuenta; el cumplimiento del requisito 18+ se verifica (art. 3). La incorporación de menores al deporte se realiza exclusivamente a través de clubes verificados y se dirige a las familias: los niños no crean por sí mismos una Cuenta ni facilitan sus datos en la Aplicación. Si detectamos una Cuenta de una persona menor de 18 años, la eliminamos y suprimimos los datos.
11. Seguridad de los datos
Adoptamos medidas técnicas y organizativas adecuadas, en particular:
- Row-Level Security (RLS) en cada tabla: el acceso lo impone la base de datos, no solo la lógica de la aplicación.
- Cifrado en tránsito y en reposo, y contraseñas con hash (Supabase Auth).
- Minimización de datos (privacy by design): no conservamos la ubicación exacta ni datos biométricos.
- Medidas antifraude y antibots (limitación de la frecuencia de solicitudes, Cloudflare Turnstile).
Dada la naturaleza del tratamiento (verificación de edad, ubicación generalizada, moderación de contenidos, protección de la infancia) hemos evaluado el impacto en la protección de datos y adoptado las medidas correspondientes; actualizamos la evaluación de forma continua. En caso de violación de la seguridad de los datos con riesgo para sus derechos, la notificaremos a la autoridad de control en un plazo de 72 horas (art. 33) y, si el riesgo es alto, también a usted (art. 34).
12. Tratamiento automatizado y elaboración de perfiles
- (a) Emparejamiento (elaboración de perfiles). Para proponer Quedadas y compañeros de deporte adecuados comparamos los datos del Perfil (deportes y nivel, distrito o zona de forma generalizada, preferencias). Cada propuesta va acompañada de motivos comprensibles de la coincidencia para que vea por qué se la mostramos. Sobre la participación en una Quedada decide usted, no el sistema.
- (b) Detección de intentos de intercambio de datos de contacto. En el chat evaluamos de forma automatizada si los mensajes contienen intentos de eludir las reglas de seguridad. Sirve para marcar el caso para una persona moderadora: la marca en sí misma no produce ningún efecto jurídico automático sobre usted.
- (c) Sin decisiones exclusivamente automatizadas. Las decisiones de impacto grave (en particular, la limitación o eliminación de la Cuenta) las adopta siempre una persona. Tiene derecho a la intervención humana, a expresar su punto de vista y a impugnar la decisión (arts. 21 y 22 del RGPD); los ejerce en support@spareya.eu.
- (d) Comprobación de las fotos de perfil. Hoy cada foto de perfil la revisa una persona antes de mostrarse. Una vez activada la comprobación automática, primero la comprobará el servicio Microsoft Azure AI Content Safety. Este rechazará una foto claramente inapropiada (desnudos, violencia); si el resultado es dudoso o el servicio no está disponible, la foto la revisará una persona. El rechazo afecta solo a la foto, no a la Cuenta: puede subir otra o escribir a support@spareya.eu.
- (e) Verificación de persona real y estimación de la edad. (Se aplica una vez activada la verificación a través de Didit, art. 3.) La comprobación de persona viva es automática; si no se supera, puede intentarlo de nuevo. En la estimación de la edad, el sistema no decide por sí solo en su perjuicio: una estimación baja la revisa una persona de nuestro equipo (artículo 3).
13. Cookies y almacenamiento
En el Sitio web y en la Aplicación utilizamos las cookies necesarias y tecnologías similares (almacenamiento local) imprescindibles para el funcionamiento del Servicio. La analítica de producto está diseñada para funcionar sin cookies y de forma anonimizada, por lo que en el Sitio web no utilizamos cookies de seguimiento ni banner de cookies. Si en el futuro introdujéramos tecnologías que requieran consentimiento, se lo pediremos.
14. Reclamación ante la autoridad de control
Si considera que con el tratamiento infringimos el RGPD, tiene derecho a presentar una reclamación ante la autoridad de control.
Eslovaquia: Autoridad de Protección de Datos Personales de la República Eslovaca, Galvaniho 7/B, 821 04 Bratislava; correo: statny.dozor@pdp.gov.sk; web: https://pdp.gov.sk. Como usuario de la UE también puede dirigirse a la autoridad de control de su país de residencia.
Reino Unido: Information Commissioner's Office (ICO), https://ico.org.uk.
Le agradeceremos que nos escriba primero a support@spareya.eu: la mayoría de las cuestiones las resolvemos directamente y con rapidez.
15. Cambios, entrada en vigor y versión
Podemos actualizar esta Política de forma continua (por ejemplo, ante cambios en las funciones, en los encargados del tratamiento o en los requisitos legales). Le informaremos de los cambios sustanciales por un medio adecuado (en la Aplicación o por correo electrónico). El texto actualizado está siempre disponible en el Sitio web.
En vigor desde: 13 de octubre de 2026