Política de privacidad

Fenzly se basa en una promesa sencilla: las personas con las que compartes tu ubicación deberían ser las únicas que pueden verla. Esta política explica los pocos datos que tratamos, lo que deliberadamente no podemos ver y los derechos que tienes.

1. Quién es el responsable

El responsable del tratamiento de Fenzly es Logil Sàrl («nosotros»), Chemin de l’Eglise 4, 1233 Bernex, Suiza (número de empresa CHE-435.741.642).

Para cualquier pregunta sobre privacidad, escríbenos a [email protected].

2. Nuestro principio fundamental: cifrado de extremo a extremo y un servidor «ciego»

Fenzly cifra tus ubicaciones, tus lugares y tus mensajes en tu dispositivo mediante el protocolo Double Ratchet (Olm), de forma individual para cada destinatario. Nuestros servidores solo retransmiten datos cifrados opacos. Por ello, no podemos leer:

tus coordenadas GPS ni tus desplazamientos;
los nombres, las coordenadas ni el radio de tus lugares;
el contenido de tus mensajes;
quién forma parte de tus círculos, ni tu libreta de direcciones.

Es así por diseño, no por una simple política: incluso si se nos obligara, no podríamos entregar datos que técnicamente no somos capaces de leer.

3. Datos que tratamos

Datos de la cuenta. Para crear una cuenta, proporcionas una dirección de correo electrónico o un número de teléfono (basta con uno). Fenzly no usa contraseñas: cada inicio de sesión se verifica con un código de un solo uso enviado por correo electrónico o SMS, así que no tenemos ninguna contraseña que almacenar, ni ninguna que perder. También almacenamos un nombre visible y tu preferencia de idioma (que usamos para enviarte en tu idioma los correos electrónicos y SMS que te mandamos). Los números de teléfono se almacenan en formato internacional y se verifican con un código de un solo uso. Para la búsqueda opcional de contactos, almacenamos hashes SHA-256 unidireccionales de las direcciones de correo electrónico/números de teléfono, nunca los valores en claro.

Última conexión. Registramos el momento en que tu dispositivo contactó por última vez con nuestros servidores, como una única marca de tiempo que cada nuevo contacto sustituye. Las personas que ya conocen el identificador técnico de tu cuenta, en la práctica tus contactos y los miembros de tus círculos, pueden leerla: su aplicación la usa para avisarles cuando tu teléfono lleva varias horas sin conexión. Es una señal de seguridad: ocultar tu estado en línea en los chats no la oculta.

Datos de conexión y datos técnicos. Como cualquier servicio en línea, nuestros servidores ven la dirección IP de cada conexión. La usamos, junto con el identificador de tu cuenta, para limitar los abusos (por ejemplo, el número de códigos que se pueden pedir por hora). Los registros de nuestros servidores anotan eventos técnicos (hora, ruta de la solicitud, estado de la respuesta, errores, identificadores de cuenta, direcciones IP) para mantener el servicio en funcionamiento y seguro; las solicitudes se registran sin sus parámetros, y los registros nunca contienen una posición, un lugar, una búsqueda de direcciones ni el contenido de un mensaje. La aplicación también comunica a nuestros servidores su plataforma y su número de versión, para que podamos avisarte cuando sea necesaria una actualización; solo contamos cuántos usuarios usan cada versión, nunca qué versión es la tuya.

Datos del dispositivo. Un token de notificaciones push (Firebase Cloud Messaging) e información básica del dispositivo, usados únicamente para entregar notificaciones. Las notificaciones llegan a tu teléfono a través de Google Firebase Cloud Messaging y, en iPhone, del servicio de notificaciones push de Apple: una notificación de mensaje lleva el nombre visible de quien lo envía y un texto genérico, una notificación SOS el nombre visible de quien emite la alerta; las posiciones y el contenido de los mensajes nunca viajan sin cifrar en una notificación. Si activas las notificaciones de llegada/salida de un lugar compartido, almacenamos además una preferencia de notificación poco detallada (qué lugar, y si quieres las llegadas o las salidas) para poder despertar tu dispositivo, nunca a qué miembro sigues; ese filtro permanece en tu dispositivo.

Material criptográfico. Tus claves públicas de cifrado (clave de identidad Curve25519, clave de firma Ed25519, claves firmadas y claves de un solo uso), necesarias para que otras personas puedan iniciar contigo una sesión cifrada. Son públicas por diseño y no revelan nada sobre tu actividad.

Contenido cifrado que retransmitimos (pero no podemos leer). Las actualizaciones de ubicación, las definiciones de lugares, los eventos de llegada y salida de los lugares y los mensajes, todos ellos cifrados, transitan temporalmente por nuestros servidores (p. ej., mediante colas de corta duración) para poder entregarse cuando un destinatario se conecta. Se almacenan cifrados y caducan automáticamente (consulta Conservación). Las fotos de perfil (de usuarios, círculos y lugares), las fotos enviadas en un chat y los detalles de un trayecto compartido (recorrido, velocidades, altitud) se almacenan como blobs cifrados opacos: la clave de descifrado viaja cifrada de extremo a extremo entre tus dispositivos y tus contactos, por lo que no podemos verlos. Cuando invitas a alguien con un código de círculo, guardamos el código, quién lo creó, su fecha de caducidad y cuántas veces se ha usado, nunca qué círculo abre.

Copias de seguridad. Si activas las copias de seguridad, tus datos se cifran en tu dispositivo antes de salir de él, de una de estas dos formas:

En tu propia nube (Google Drive o Apple iCloud): usamos un esquema de clave dividida. Solo guardamos una parte aleatoria de la clave; tu nube guarda la copia cifrada y la otra parte: ninguna de las dos partes puede descifrar nada por sí sola. Si guardar en tu nube falla repetidamente, también se conserva en nuestro almacenamiento una pequeña copia cifrada de la parte esencial, que nuestra parte de la clave por sí sola sigue sin poder abrir.
En el almacenamiento de Fenzly, en Suiza: la clave se obtiene de un código de recuperación generado en tu dispositivo y que solo se te muestra a ti. Solo almacenamos datos cifrados y nunca recibimos el código. Si lo permites, la aplicación también guarda el código en tu cuenta de Apple iCloud o de Google, para que un teléfono nuevo pueda encontrarlo.

Datos de licencias. Si te suscribes a un plan, conservamos comprobantes mínimos: el plan, su estado y su periodo de validez, y a quién has asignado licencias (identificadores técnicos). Las suscripciones se compran a través de la App Store o Google Play, que se encargan del pago: nunca vemos los datos de tu tarjeta ni de tu cuenta bancaria. Para activar tu plan comprobamos la compra con Apple o Google y conservamos los identificadores que nos facilitan (identificadores de la transacción y del producto, fechas, estado de la renovación), vinculados a tu cuenta para que la suscripción te acompañe de un teléfono a otro. Estos comprobantes nunca se vinculan con posiciones ni con círculos. Para una cuenta de niño conservamos un comprobante de consentimiento parental (identificadores del tutor y del niño, método, fecha), la prueba legal del consentimiento, nada más.

Alertas SOS. Cuando envías una alerta SOS, los miembros a los que llega reciben tu posición y luego la siguen en directo, cifrada de extremo a extremo como cualquier posición. Este uso compartido en directo se impone a tus ajustes de uso compartido («Compartir posición» desactivado, un círculo configurado en «Nada», «Geolocalización» desactivada) y desactiva el modo sin conexión, que sigue desactivado después. Se detiene cuando cancelas la alerta, 30 minutos después de que alguien se haga cargo, o 4 horas después de la alerta si nadie se hace cargo; salvo cancelando la alerta, nadie puede detenerlo antes. Para que la alerta siga sonando hasta que alguien se haga cargo, nuestro servidor conserva una sesión SOS durante 30 minutos como máximo: el identificador de la alerta, tu identificador y los de los miembros alertados, las horas, y quién la vio, se hizo cargo de ella o la canceló; nunca la ubicación. Si un miembro alertado aún no ha visto la alerta al cabo de unos dos minutos y tiene un número de teléfono verificado, le enviamos un SMS a través de nuestro proveedor de SMS (consulta la sección 6): lleva tu nombre visible e indica que tu posición está en la aplicación, nunca la posición en sí.

Datos de diagnóstico. Informes de fallos y registros técnicos (mediante Firebase Crashlytics) para detectar y corregir errores. No contienen tu ubicación ni el contenido de tus mensajes.

Solicitudes de asistencia. Cuando nos escribes a través del formulario de contacto de help.fenzly.app o de «Informar de un problema» en la aplicación, recibimos lo que escribes y tu dirección de correo electrónico. Un informe desde la aplicación añade el identificador de tu cuenta si has iniciado sesión, una descripción técnica de tu dispositivo (modelo, versiones del sistema y de la aplicación, idioma, conectividad, estado de los permisos), el registro reciente de la aplicación si dejas activada esa opción, después de que la aplicación haya enmascarado las direcciones de correo electrónico y los números de teléfono, sustituido los nombres de lugares y miembros y eliminado las coordenadas, y las capturas de pantalla que decidas adjuntar (una captura puede mostrar tu mapa). Nuestros servidores lo reenvían todo como un único correo electrónico a nuestro buzón de asistencia y no conservan ninguna copia. Ese correo, con sus archivos adjuntos, permanece en el buzón durante 12 meses después del cierre de tu solicitud y luego se elimina.

4. Datos que no tenemos

Nunca recibimos tu libreta de direcciones, tus coordenadas ni los nombres de tus lugares: permanecen en tu dispositivo o se cifran de extremo a extremo. No conocemos la composición de tus círculos: para entregar un mensaje, nuestros servidores solo ven los identificadores de quien lo envía y de sus destinatarios, mientras dura la entrega.

5. Bases jurídicas

Cuando se aplica el RGPD, nos basamos en: la ejecución de un contrato (art. 6.1.b) para prestar el servicio; tu consentimiento (art. 6.1.a) para funciones opcionales como la búsqueda de contactos o la posibilidad de que te encuentren por tu número de teléfono; la protección de intereses vitales (art. 6.1.d) de la persona que envía una alerta SOS, para el uso compartido en directo y el SMS que la siguen; y nuestros intereses legítimos (art. 6.1.f) en mantener el servicio seguro y en funcionamiento. Cuando se aplica el Derecho suizo, el tratamiento se realiza de conformidad con la Ley Federal suiza de Protección de Datos (nLPD).

6. Proveedores de servicios (encargados del tratamiento)

Recurrimos a un pequeño número de proveedores, elegidos teniendo en cuenta la privacidad:

Infomaniak (Suiza): alojamiento de nuestros servidores, bases de datos, almacenamiento del contenido multimedia y de las copias de seguridad cifrados, y de sus copias técnicas; envío de nuestros correos electrónicos (códigos de inicio de sesión y de verificación, avisos sobre la cuenta); nuestro buzón de asistencia. Datos alojados en Suiza.
mailomat (mailXpert GmbH, Zúrich, Suiza): envío de correo electrónico de reserva, usado solo cuando falla el envío a través de Infomaniak; recibe entonces la dirección del destinatario y el contenido del correo.
ASPSMS (Suiza) y Twilio (Estados Unidos): envío de SMS. Reciben el número de teléfono y el texto: un código de inicio de sesión o de verificación, o el SMS de alerta SOS descrito en la sección 3. ASPSMS envía a los números de Suiza y de la mayoría de los países europeos, Twilio al resto del mundo; cada uno toma el relevo cuando el otro no consigue entregar un mensaje.
Google Firebase (Cloud Messaging y Crashlytics) y, en iPhone, el servicio de notificaciones push de Apple: notificaciones push e informes de fallos.
MapTiler (Suiza): mapas y búsqueda de direcciones. Tu dispositivo carga las teselas del mapa directamente desde la red de distribución de MapTiler, que ve por tanto tu dirección IP y la zona mostrada; MapTiler nos ha confirmado por escrito que la dirección IP permanece como máximo 20 minutos en la memoria de esa red y no se transmite a sus servidores. Las búsquedas de direcciones pasan por nuestros servidores: MapTiler recibe el texto o las coordenadas que hay que buscar, nunca tu dirección IP ni tu cuenta, y ni nosotros ni MapTiler las conservamos.
Grafana Labs (Grafana Cloud, datos almacenados en Suiza): registros técnicos y métricas de nuestros servidores (consulta «Datos de conexión y datos técnicos» en la sección 3).
Apple (App Store) y Google (Google Play): venta y facturación de las suscripciones; tratan tu pago según sus propias condiciones.
Google Drive / Apple iCloud: solo si activas las copias de seguridad; tu copia de seguridad cifrada, o el código de recuperación si lo has permitido, se almacena en tu propia cuenta en la nube.
Cloudflare (Estados Unidos): alojamiento de nuestros sitios fenzly.app y help.fenzly.app y del dominio fenzly.app; ve la dirección IP de quienes visitan los sitios. Nuestros sitios no instalan cookies ni usan herramientas de medición de audiencia.

7. Transferencias internacionales

Nuestra infraestructura principal (servidores, bases de datos, almacenamiento, registros técnicos) está alojada en Suiza. Algunos proveedores tratan datos limitados fuera de Suiza y de la UE, principalmente en Estados Unidos: Twilio (SMS a números fuera de Europa, o de reserva), Google (notificaciones, informes de fallos, Google Drive, Google Play), Apple (notificaciones, iCloud, App Store) y Cloudflare (sitios web); Grafana Labs, empresa estadounidense, almacena nuestros registros en Suiza. Estas transferencias están sujetas a garantías adecuadas (p. ej., las cláusulas contractuales tipo de la UE).

8. Conservación

Mensajes cifrados en cola para su entrega diferida: hasta 30 días, después se eliminan automáticamente. Eventos cifrados de llegada y salida de los lugares y confirmaciones de entrega/lectura: hasta 7 días.
Actualizaciones de ubicación cifradas, incluida la posición en directo de una alerta SOS: se conservan solo durante el tiempo que dura el uso compartido, después caducan.
Sesión SOS: 30 minutos como máximo.
Búsquedas de direcciones: no se conservan, ni por nuestra parte ni por la de MapTiler.
Fotos cifradas enviadas en un chat: 90 días en nuestros servidores. Detalles cifrados de un trayecto compartido: 30 días. Las copias ya recibidas permanecen en los dispositivos de los destinatarios.
Fotos de perfil cifradas: se conservan hasta que las sustituyas o las elimines, o hasta que elimines tu cuenta.
Códigos de invitación a un círculo: se eliminan como muy tarde 30 días después de su caducidad.
Copias de seguridad: se conservan las versiones más recientes; las versiones anteriores se depuran automáticamente.
Registros técnicos y métricas de nuestros servidores: 14 días.
Solicitudes de asistencia (formulario de contacto e informes desde la aplicación, con sus archivos adjuntos: registro, descripción del dispositivo, capturas de pantalla): se conservan en nuestro buzón de asistencia durante 12 meses después del cierre de la solicitud y luego se eliminan.
Datos de la cuenta: se conservan hasta que eliminas tu cuenta: la eliminación es inmediata y definitiva, y las copias que contienen nuestras copias de seguridad técnicas desaparecen en un plazo de 30 días. Después conservamos, durante 12 meses, un registro mínimo de la eliminación (identificador técnico + fecha, nada más): permite que tus dispositivos detecten la eliminación y se limpien solos, y después se depura a su vez.

9. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento y oposición al tratamiento de tus datos personales, así como derecho a la portabilidad de los datos. Estos derechos se ejercen directamente en la aplicación, sin intervención humana y con efecto inmediato:

Exportar tus datos (Ajustes → Datos personales → Descargar mis datos): una copia legible de tus datos locales (perfil, lugares, trayectos, historial, ajustes, solo tus datos, nunca los de los miembros de tus círculos), además de la parte del servidor, casi vacía por diseño, la demostración de nuestra arquitectura.
Eliminar tu cuenta (Ajustes → Datos personales): la eliminación se verifica con un código de un solo uso y borra de inmediato y de forma definitiva tus datos de nuestros servidores y de tu dispositivo; tus otros dispositivos se limpian solos la próxima vez que se abre Fenzly. También puedes eliminar tu cuenta sin la aplicación, en fenzly.app/es/delete-account. Eliminar una cuenta de niño requiere la aprobación de un tutor (el código se envía a su canal verificado).

Nota: los datos que ya has compartido con tus contactos (p. ej., tus posiciones anteriores en su aplicación) se encuentran en sus dispositivos, fuera de nuestro alcance, algo inherente al cifrado de extremo a extremo, como un mensaje ya entregado. Puedes retirar tu consentimiento para las funciones opcionales en cualquier momento. También tienes derecho a presentar una reclamación ante una autoridad de control: en Suiza, el Comisionado Federal de Protección de Datos y Transparencia (FDPIC); en la UE, tu autoridad nacional de protección de datos.

Para ejercer tus derechos, escribe a [email protected].

10. Seguridad

Protegemos tus datos con cifrado de extremo a extremo (Double Ratchet, Olm), almacenamiento de claves vinculado al dispositivo (Keychain/Keystore), TLS en tránsito y alojamiento en Suiza. Ningún sistema es perfectamente seguro, pero nuestra arquitectura está diseñada para que, de entrada, los datos más sensibles nunca sean legibles para nosotros.

11. Niños

Fenzly no está dirigido a niños menores de 13 años fuera del modo familia. Cuando la ley lo exige, en virtud del RGPD para las personas que no han alcanzado la edad de consentimiento digital de su país (que varía entre 13 y 16 años), y en virtud de la ley estadounidense COPPA para los niños menores de 13 años, el tratamiento de los datos personales de un menor requiere un consentimiento parental verificable. Fenzly ofrece un modo familia gestionado por tutores: un miembro solo puede ser designado como niño tras un consentimiento parental verificable (un código enviado por SMS al número verificado del tutor), del que conservamos un comprobante mínimo (identificadores, método, fecha). Los tutores pueden consultar y retirar este consentimiento en cualquier momento en la aplicación, y eliminar una cuenta de niño requiere su aprobación. Si crees que un niño nos ha proporcionado datos personales sin el consentimiento requerido, escríbenos a [email protected] y los eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política periódicamente. Los cambios importantes se anunciarán en la aplicación o por correo electrónico. La fecha de «última actualización» que figura arriba refleja siempre la versión vigente.

Esta política está disponible en varios idiomas. En caso de discrepancia entre las versiones, prevalecerá la versión francesa.

13. Contacto

Logil Sàrl · Suiza · [email protected]