Índice
- 1. Responsable
- 2. Qué datos tratamos y para qué
- 3. Bases jurídicas
- 4. Destinatarios y encargados
- 5. Transferencias internacionales
- 6. Cuánto tiempo guardamos los datos
- 7. Tus derechos y cómo ejercerlos
- 8. Reclamar ante la AEPD
- 9. Menores
- 10. Seguridad y secreto del voto
- 11. Decisiones automatizadas e IA
- 12. Cookies y almacenamiento local
- 13. Cambios en esta política
1. Responsable del tratamiento
- Titular: LA GARRIDA EMOTIONS S.L. · NIF B09776816
- Domicilio: C/ Ortega y Gasset 34, 28006 Madrid (España)
- Servicio: Sfera Civitas (sferacivitas.org, app.sferacivitas.org y apps iOS/Android)
- Contacto de protección de datos: hola@sferacivitas.org (asunto «Protección de datos»)
- Delegado de protección de datos (DPO): no hemos designado DPO porque, a nuestra escala, no es obligatorio. Lo revisaremos si el tratamiento crece. Mientras tanto, escríbenos a la dirección anterior.
2. Qué datos tratamos y para qué
2.1 Cuenta
Para crear tu cuenta y entrar tratamos tu dirección de email y tu contraseña. La contraseña nunca se guarda en claro: se guarda transformada con scrypt, un algoritmo que no permite recuperarla. También guardamos un identificador interno de usuario y el registro de lo que aceptaste al registrarte (condiciones, consentimiento y declaración de edad) con su fecha. Finalidad: darte acceso y prestarte el servicio.
2.2 Participación (datos que pueden revelar opiniones políticas)
Cuando participas en un asunto tratamos tus apoyos, argumentos, propuestas, los documentos o enlaces que subes y tu voto. Esta información puede revelar tus opiniones políticas, que son una categoría especial de datos (art. 9 RGPD). Por eso solo la tratamos con tu consentimiento explícito (art. 9.2.a RGPD), que das al registrarte marcando una casilla específica.
- Los argumentos, propuestas y documentos que publicas son visibles para el resto de participantes y quedan asociados a tu cuenta mientras exista.
- Del voto, el sistema guarda que has votado en una votación concreta (para que nadie vote dos veces) y, por separado, la papeleta cifrada sin tu identidad. Ver el apartado 10.
- Puedes retirar el consentimiento en cualquier momento borrando tu cuenta o escribiendo a hola@sferacivitas.org. Retirarlo no afecta a lo tratado antes, pero sin él no puedes participar.
2.3 Verificación de identidad con certificado digital o DNIe
Si eliges verificar tu identidad con certificado digital o DNIe, comprobamos el certificado y guardamos solo una huella cifrada (HMAC) de tu NIF, que sirve para evitar cuentas duplicadas. No guardamos tu NIF, tu nombre ni el certificado. La verificación es voluntaria y se basa en tu consentimiento explícito.
2.4 Organizaciones e invitaciones
Una organización (asociación, comunidad de vecinos, colegio, etc.) puede crear un espacio privado e invitar a personas. Para ello tratamos el email de la persona invitada, que nos facilita la organización, y su pertenencia y rol en ese espacio. Si te han invitado y no aceptas, la invitación se borra 30 días después de caducar.
2.5 Pagos
Si una organización contrata un espacio privado, el cobro lo gestiona un proveedor de pagos que actúa como vendedor (merchant of record: Lemon Squeezy o Paddle) y es responsable independiente de ese cobro. Nosotros recibimos los datos de la operación (importe, fecha, concepto e identificadores del pago) y los conservamos por obligación mercantil y fiscal. No vemos ni guardamos los datos de tu tarjeta.
2.6 Soporte
Si nos escribes a hola@sferacivitas.org o abres una consulta desde la app, tratamos tu email y lo que nos cuentes para responderte.
2.7 Moderación y denuncias
Si denuncias un contenido o bloqueas a un usuario, tratamos la denuncia (quién denuncia, qué contenido y por qué) y las decisiones de moderación que se tomen. Finalidad: mantener la plataforma libre de contenido ilegal o abusivo y cumplir el Reglamento de Servicios Digitales (DSA).
2.8 Perfiles públicos de expertos
Si figuras como experto verificado en una materia, tratamos los datos de tu perfil de experto: nombre que se muestra, especialidad, credenciales y organización y, si se facilita, un email de contacto. El nombre, la especialidad, las credenciales y la organización se publican con una insignia de experto verificado, porque su finalidad es precisamente informar el debate de forma pública. Puedes pedir que se corrija o retire tu perfil escribiendo a hola@sferacivitas.org.
2.9 Notificaciones
Te enviamos avisos dentro de la app y, cuando corresponde, por email (por ejemplo, códigos de verificación o avisos sobre tu cuenta).
2.10 Datos técnicos y seguridad
Al usar el servicio, nuestros proveedores de alojamiento registran datos técnicos como la dirección IP y la fecha de la petición. Los usamos para la seguridad, limitar intentos de acceso y prevenir abusos.
2.11 Analítica de la web (solo con tu consentimiento)
En la web sferacivitas.org usamos Google Analytics 4 y Metricool para medir visitas de forma agregada, solo si las aceptas en el aviso de cookies. Si no las aceptas, no se cargan. Puedes cambiar de opinión en Preferencias de cookies. Más detalle en la Política de cookies.
Lo que no hacemos: no vendemos tus datos, no los usamos para publicidad, no recogemos tu ubicación precisa y no hacemos perfiles comerciales.
¿Es obligatorio darnos tus datos? El email y la contraseña son necesarios para tener cuenta. El consentimiento para tratar tu participación es necesario para participar. La verificación con certificado y la analítica web son voluntarias.
3. Bases jurídicas
| Tratamiento | Base jurídica |
|---|---|
| Cuenta y uso del servicio | Ejecución del contrato: las Condiciones de uso (art. 6.1.b RGPD) |
| Participación (apoyos, argumentos, propuestas, votos), que puede revelar opiniones políticas | Consentimiento explícito (art. 9.2.a RGPD), recogido en el registro con casilla específica y retirable en cualquier momento |
| Verificación de identidad con certificado digital o DNIe | Consentimiento explícito (art. 6.1.a y, cuando aplique, 9.2.a RGPD) |
| Seguridad, prevención de abusos, moderación y límites de intentos | Interés legítimo (art. 6.1.f RGPD) y obligaciones del Reglamento de Servicios Digitales (DSA) |
| Pagos y facturación | Ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c RGPD) |
| Soporte | Interés legítimo en atenderte y ejecución del contrato |
| Analítica de la web (Google Analytics 4, Metricool) | Consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), retirable en «Preferencias de cookies» |
4. Destinatarios y encargados del tratamiento
No cedemos tus datos a terceros salvo obligación legal (por ejemplo, un requerimiento judicial). Para prestar el servicio usamos estos proveedores, con los que tenemos contrato de encargo de tratamiento (DPA) o que actúan como responsables independientes:
| Proveedor | Función | Dónde están los datos | Garantías |
|---|---|---|---|
| Supabase | Base de datos | UE (Irlanda) | Supabase Inc. (EE. UU.): DPA + cláusulas contractuales tipo (SCC) / Marco de Privacidad de Datos UE-EE. UU. (DPF) |
| Render | Servidor de la API | UE (Fráncfort) | Render Services Inc. (EE. UU.): DPA + SCC / DPF |
| Netlify | Alojamiento web y paso de las peticiones a la API (ve tu IP) | Red global (CDN) | Netlify Inc. (EE. UU.): DPA + SCC / DPF |
| Zoho Corporation (Zoho Mail EU) | Correo de la cuenta y de soporte | UE (centros de Zoho en la UE) | Zoho Corp. B.V. / India: DPA + SCC |
| Google (Google Analytics 4) | Analítica de la web, solo con consentimiento | EE. UU. / UE | Google Ireland Ltd. / Google LLC: DPF |
| Metricool | Medición de la web, solo con consentimiento | UE (España) | Metricool Software S.L. |
| Lemon Squeezy / Paddle | Cobro de espacios privados (si se contratan) | EE. UU. / Reino Unido | Responsable independiente del cobro; SCC / DPF |
| Apple / Google | Tiendas de aplicaciones | — | Responsables independientes de sus tiendas |
La lista de municipios se sirve desde nuestro propio dominio, sin redes de terceros. Lo que publicas en un asunto (argumentos, propuestas, documentos) lo ven el resto de participantes; tu voto no.
5. Transferencias internacionales
Guardamos los datos de la plataforma en la UE. Aun así, algunos proveedores tienen su empresa matriz fuera del Espacio Económico Europeo (EE. UU., India o Reino Unido) y podrían acceder a datos en casos concretos (por ejemplo, soporte técnico), y Netlify y Google pueden tratar datos fuera de la UE. En esos casos la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. (DPF), cuando la empresa está adherida, o en las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea. Puedes pedirnos más información en hola@sferacivitas.org.
6. Cuánto tiempo guardamos los datos
| Dato | Plazo |
|---|---|
| Cuenta y aportaciones | Mientras la cuenta esté activa. Al borrarla se suprime tu identidad y el contenido queda anónimo (de inmediato). |
| Papeletas cifradas y tablón de votación | Permanentes, sin identidad: son necesarias para que cualquiera pueda verificar el resultado. |
| Registro de que has votado | Hasta el cierre de la votación + 90 días; después se agrega o anonimiza. |
| Notificaciones | 180 días |
| Códigos de verificación y desafíos de certificado | 24 horas |
| Invitaciones no aceptadas | 30 días después de caducar |
| Consultas de soporte | 12 meses desde que se cierran |
| Pagos | 6 años (obligación mercantil y fiscal, art. 30 del Código de Comercio). Los datos completos que envía el proveedor de pagos se reducen al mínimo a los 30 días. |
| Denuncias de moderación | 12 meses después de resolverse |
| Copias de seguridad del proveedor | Se purgan en 90 días como máximo |
| Registros técnicos de la plataforma (IP) | Los del proveedor, 30 días como máximo |
| Analítica web | Según la configuración de Google Analytics y Metricool; solo existe si la aceptaste |
7. Tus derechos y cómo ejercerlos
Tienes derecho de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y a retirar tu consentimiento en cualquier momento sin que afecte a lo tratado antes.
- En la app: «Tu sesión» → Descargar mis datos (te descargas un archivo JSON con tus datos) y «Tu sesión» → Eliminar mi cuenta (efecto inmediato). Más detalle en Eliminar tu cuenta.
- Por email: escribe a hola@sferacivitas.org con el asunto «Protección de datos», desde el email de tu cuenta. Si no podemos saber que eres tú, te pediremos lo mínimo para comprobarlo.
- Respondemos en un plazo máximo de 1 mes.
Ten en cuenta que no podemos darte ni borrar «tu voto», porque la papeleta no está ligada a tu identidad: no sabemos cuál es.
8. Reclamar ante la AEPD
Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Te agradeceremos que antes nos escribas para intentar resolverlo.
9. Menores
Para crear una cuenta debes tener al menos 14 años (art. 7 LOPDGDD) y así lo declaras al registrarte. Si tienes menos, no puedes usar la plataforma. Si sabemos que se ha registrado una persona menor de 14 años, borraremos su cuenta.
10. Seguridad y secreto del voto
- Todas las comunicaciones van cifradas en tránsito (HTTPS).
- Las contraseñas se guardan con scrypt, nunca en claro.
- Limitamos los intentos de acceso y restringimos el acceso interno a los datos a lo imprescindible.
- Si hubiera una brecha de seguridad que afecte a tus datos, lo notificaremos a la AEPD y, cuando lo exija la ley, a ti.
11. Decisiones automatizadas e inteligencia artificial
No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti ni te afecten de forma similar, ni elaboramos perfiles. La única regla automática es de seguridad: el contenido denunciado por varias personas se oculta provisionalmente hasta que una persona de moderación lo revisa.
Sfera Civitas no utiliza sistemas de inteligencia artificial para tratar tus datos ni en la plataforma.
12. Cookies y almacenamiento local
La app guarda en tu dispositivo lo necesario para funcionar (tu sesión, idioma, tema y tus comprobantes de voto). En la web solo usamos cookies de analítica si las aceptas. Todo el detalle está en la Política de cookies.
13. Cambios en esta política
Si cambiamos esta política, publicaremos la nueva versión en esta página con su número y fecha. Si el cambio es importante (por ejemplo, un nuevo uso de tus datos o un nuevo proveedor relevante), te avisaremos en la app o por email y, si hace falta, te pediremos de nuevo el consentimiento.