Privacidad
Política de Privacidad
Tus datos, con límites claros.
Esta política explica qué información trata Vapai, para qué la utiliza, con quién puede compartirla y qué opciones tienes.
1. Responsable y representante en la UE
Raftell S.A.S., con domicilio en Gaviotas M48 S11, Parque Solymar, Canelones, Uruguay, es responsable del tratamiento de los datos de Vapai. Contacto de privacidad: privacy@vapai.me.
Su representante en la Unión Europea conforme al artículo 27 del RGPD es Alejandro Gelos Pomi, establecido en España. Contacto: privacy@vapai.me.
2. Datos que tratamos
- Cuenta y autenticación: email, identificadores de Apple, Google y Firebase, número telefónico cuya confirmación por SMS es obligatoria para todas las cuentas durante el registro, fechas y señales de seguridad.
- Perfil: nombre elegido, fecha de nacimiento declarada, edad calculada, fotos, biografía, idiomas, intereses y antigüedad como Host.
- Preferencias sensibles de matching: una opción sobre cómo te identificas —Hombres, Mujeres o Más allá del binario— y una o varias opciones sobre a quién buscas dentro de esas mismas categorías. “Todos” equivale a seleccionar las tres. Estas elecciones pueden revelar o permitir inferir orientación sexual, vida sexual o identidad de género.
- Filtros de matching y Discovery: rango de edad y distancia máxima de búsqueda. Por defecto, el rango es de 18 a 99 años y la distancia es de 50 km. En Ajustes puedes elegir otro rango de edad dentro de esos límites y una distancia entre 1 y 200 km.
- Ubicación aproximada: ciudad, región, país y coordenadas redondeadas a dos decimales, con fecha de obtención.
- Actividad social: perfiles vistos, intereses, rechazos, conexiones, chats, propuestas, experiencias creadas, guardadas, solicitadas o alojadas.
- Seguridad y soporte: reportes, bloqueos, apelaciones, solicitudes, registros técnicos, señales de fraude y evidencia mínima necesaria.
- Dispositivo: tokens APNs/FCM, permisos, configuración de comunicaciones, fallos y diagnósticos.
- Analítica opcional: eventos y parámetros permitidos de uso del producto, solo tras el consentimiento y los controles técnicos aplicables.
La opción sobre cómo te identificas es única; la opción sobre a quién buscas admite una o varias categorías. El rango de edad y la distancia máxima se aplican para limitar las personas que puedes explorar o con las que puedes hacer match. Estas preferencias y filtros no se muestran en tu perfil público.
El teléfono, email, fecha de nacimiento completa, ubicación, coordenadas, identificadores técnicos y preferencias de identidad o conexión no forman parte del perfil público. Vapai no realiza verificación documental, biométrica ni independiente de identidad o edad. Apple, Google y la confirmación telefónica no son pruebas de identidad. La confirmación SMS obligatoria no activa ningún tick, badge ni estado público de “usuario verificado”.
3. Finalidades y bases jurídicas
| Finalidad | Datos principales | Base |
|---|---|---|
| Crear la cuenta, autenticar, mostrar el perfil, conectar y prestar chat/Host/Guest | Cuenta, perfil, actividad y contenido | Ejecución del contrato |
| Configurar la compatibilidad mutua y ofrecer matching y Discovery | Cómo te identificas y a quién buscas entre Hombres, Mujeres y Más allá del binario | Consentimiento explícito separado; puede retirarse |
| Aplicar los filtros privados elegidos para mostrar personas compatibles | Edad calculada, rango de edad elegido, ubicación aproximada y distancia máxima | Ejecución del contrato y prestación solicitada por la persona |
| Priorizar experiencias cercanas | Ubicación aproximada elegida por la persona | Consentimiento/permiso y prestación solicitada |
| Prevenir cuentas duplicadas, spam, fraude y abuso | Teléfono, autenticación y señales técnicas | Interés legítimo en la seguridad; consentimiento previo al envío del teléfono a Firebase |
| Moderar, investigar reportes, bloquear y proteger a la comunidad | Contenido, reportes y evidencia | Contrato, interés legítimo y obligación legal cuando corresponda |
| Enviar comunicaciones necesarias | Cuenta, email, push y contexto operativo | Contrato u obligación legal |
| Enviar promociones o novedades opcionales | Email, push y preferencia | Consentimiento separado |
| Medir el producto y corregir fallos | Analítica o diagnóstico minimizado | Consentimiento cuando sea exigible; interés legítimo solo para seguridad técnica estrictamente necesaria y documentada |
El ranking y matching pueden usar intereses, preferencias, edad calculada, rango de edad, ubicación aproximada, distancia máxima y actividad dentro del servicio. No se usan para decisiones con efectos legales o equivalentes.
4. Ubicación
En iOS la ubicación se solicita cuando la persona elige usarla, con precisión orientada a kilómetros y una lectura puntual. Vapai conserva ciudad, región, país y coordenadas redondeadas a dos decimales para ordenar experiencias por cercanía y aplicar la distancia máxima elegida. La distancia predeterminada es de 50 km y puede cambiarse en Ajustes por un valor entre 1 y 200 km. No mostramos la ubicación ni la distancia elegida en el perfil de otras personas.
Puedes revocar el permiso desde Ajustes del dispositivo y cambiar la ubicación desde Vapai. Revocar el permiso no borra automáticamente la última ubicación guardada; para eliminarla o ejercer oposición escribe a privacy@vapai.me o elimina la cuenta. No existe una app Android en este repositorio y esta descripción no atribuye comportamiento a Android.
5. Proveedores y transferencias
Vapai utiliza, según el entorno y la función activa, Firebase Authentication y Phone Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Firebase App Check, Cloud Messaging, Crashlytics, Google Analytics for Firebase y Firebase Hosting; Google Sign-In; Sign in with Apple y Apple Push Notification Service; y BigQuery para el pipeline de analítica cuando esté habilitado.
La app también solicita imágenes decorativas y Demo fijas a Unsplash. Un fallback de compatibilidad puede solicitar a DiceBear un avatar genérico con el seed fijo VAPAI. Esas cargas son automáticas cuando aparece la imagen correspondiente y pueden comunicar al proveedor o a su CDN la dirección IP y metadatos técnicos ordinarios de la solicitud o dispositivo, pero la URL no contiene el UID de la cuenta, nombre, email, teléfono, ubicación, preferencias ni chats. Raftell no ha verificado un plazo máximo específico del proveedor para esos logs de entrega y está evaluando autoalojar los assets.
“Añadir a Google Calendar” y “Abrir en Maps” son handoffs iniciados por el usuario: el servicio externo solo se abre cuando tocas el enlace correspondiente. Calendar recibe los campos precompletados del evento que se muestran; los enlaces actuales de Maps contienen solo direcciones de fixtures Demo.
Google actúa como encargado para servicios cubiertos por sus términos de tratamiento y puede tratar datos como responsable independiente para finalidades propias expresamente descritas en sus términos, por ejemplo determinadas señales antifraude. Apple trata los datos de sus servicios conforme a sus propias condiciones. Las ubicaciones de tratamiento dependen del producto: Firebase Authentication funciona en Estados Unidos y otros servicios utilizan infraestructura global o regiones configuradas.
Uruguay cuenta con una decisión de adecuación de la UE. Las transferencias posteriores a Estados Unidos u otros países requieren el mecanismo aplicable, como decisión de adecuación, Data Privacy Framework o cláusulas contractuales, además de las obligaciones uruguayas. Raftell no transmite hoy datos automáticamente a proveedores de experiencias. Si sales de Vapai hacia un tercero, ese tercero recoge directamente los datos que decidas darle bajo su propia política.
6. Analítica, publicidad y tecnologías del terminal
La analítica de la web y de la app es opcional y está desactivada por defecto hasta que exista una elección válida. Puedes rechazarla o retirarla sin perder el servicio principal. No enviamos a analítica ni Crashlytics nombres, emails, teléfonos, mensajes, fotos, coordenadas, preferencias sensibles ni texto libre de usuarios.
Vapai no utiliza Meta Pixel, TikTok Pixel, Hotjar, redes publicitarias ni anuncios conductuales de terceros. No vende datos personales ni los comparte para publicidad conductual entre servicios. Las experiencias destacadas o patrocinadas, cuando existan, se identificarán y su posición podrá responder a un acuerdo comercial, no a la venta de datos.
Consulta la Política de Cookies y cambia tu elección en “Configuración de cookies” del pie de página. En iOS puedes cambiar la preferencia de analítica en Ajustes → Privacidad.
7. Conservación y eliminación
- Cuenta, perfil, fotos, preferencias, ubicación y datos sociales: mientras la cuenta esté activa; al confirmar eliminación, dejan de estar disponibles y se inicia el borrado autoritativo.
- Datos operativos controlados por Raftell: objetivo de eliminación dentro de 30 días, salvo evidencia mínima aislada u obligación legal.
- Copias de seguridad controladas por Raftell: objetivo de sobrescritura o eliminación dentro de 90 días.
- Reportes cerrados y evidencia mínima de seguridad, fraude o abuso: hasta 12 meses desde el cierre, salvo retención legal documentada.
- Exportaciones: los enlaces caducan; los artefactos se eliminan según su ciclo operativo.
- Datos de proveedores: siguen sus ciclos después de que Raftell ejecute la solicitud; Firebase Authentication informa hasta 180 días para sistemas activos y copias de seguridad.
La versión actual no ofrece una ventana de recuperación de 30 días después de confirmar la eliminación: la confirmación inicia un proceso irreversible. Los mensajes de otras personas y la evidencia necesaria pueden conservarse de forma limitada cuando hacerlo sea necesario para sus derechos, seguridad o una obligación válida.
8. Tus derechos y opciones
Puedes solicitar acceso, copia/portabilidad, corrección, eliminación, limitación, oposición y retirada de consentimiento en privacy@vapai.me. También puedes gestionar perfil, ubicación, rango de edad, distancia máxima, marketing, analítica, preferencias sensibles, descarga y eliminación desde la app cuando la función esté disponible.
En la UE respondemos normalmente en un mes, prorrogable cuando la ley lo permita. Puedes reclamar ante la AEPD. En Uruguay puedes acudir a la URCDP. Ofrecemos vías razonables de acceso, corrección y eliminación a personas de Estados Unidos aunque una ley estatal concreta no resulte aplicable por sus umbrales.
Vapai no discrimina por ejercer derechos. Podemos pedir información razonable para verificar que la solicitud corresponde a la cuenta, sin recopilar más de lo necesario.
9. Información regional
España y Unión Europea
Se aplican el RGPD y las normas nacionales pertinentes. El consentimiento explícito sostiene el tratamiento de preferencias sensibles; la persona puede retirarlo y mantener la cuenta, aunque matching y Discovery quedan desactivados hasta un nuevo consentimiento.
Estados Unidos
Vapai no afirma que CCPA/CPRA u otra ley estatal resulte obligatoria sin verificar sus umbrales. Si corresponde, se reconocerán los derechos legales aplicables. En todo caso, Vapai no vende datos, no comparte datos para publicidad conductual entre servicios y no realiza profiling con efectos legales.
Uruguay
Raftell aplica la Ley 18.331 y facilita acceso, rectificación, actualización, supresión y oposición. La inscripción de bases y los mecanismos de transferencias internacionales se gestionan como obligaciones internas; esta política no afirma que un registro aún no verificado esté completado.
10. Cambios y contacto
Si un cambio es material, mostraremos la nueva versión y pediremos una nueva aceptación o consentimiento cuando corresponda. Contactos: privacidad privacy@vapai.me; legal legal@vapai.me; seguridad security@vapai.me; general contact@vapai.me.