1. Responsable del tratamiento
El responsable del tratamiento de tus datos personales es Jérémy Aurélien BODIN, empresario individual (entrepreneur individuel, EI) con el nombre comercial ARLOAD y editor del servicio Evora, con establecimiento en 41 rue Coëtquen, 22100 Dinan, Francia, inscrito en el Registro nacional de empresas de Francia (RNE) con el número SIREN 944 753 979 (SIRET 944 753 979 00011).
Puedes escribirnos por correo postal a nuestra dirección profesional, o por correo electrónico a [email protected] para cualquier consulta general, o a [email protected] para cualquier cuestión relativa a la protección de tus datos personales.
2. Delegado de protección de datos (DPO)
Evora ha designado un Delegado de Protección de Datos (DPO) cuya misión es velar por el cumplimiento de la normativa aplicable en materia de datos personales y ser tu interlocutor principal para cualquier cuestión relacionada con tus derechos.
Puedes contactar con nuestro DPO:
- Por correo electrónico: [email protected]
- Por correo postal: ARLOAD (Evora) — A la atención del DPO, 41 rue Coëtquen, 22100 Dinan, Francia
El DPO se compromete a responder a cualquier solicitud en el plazo máximo de un mes (prorrogable dos meses en caso de solicitud compleja, conforme al artículo 12.3 del RGPD).
3. Finalidades del tratamiento
Tus datos personales se recogen y tratan para las siguientes finalidades:
3.1 Creación y gestión de tu cuenta
Permitir tu registro en el servicio, la autenticación, la modificación de tu perfil y el ejercicio de tus derechos sobre el servicio (condiciones de uso).
3.2 Descubrimiento e inscripción a eventos
Proponerte eventos relevantes en función de tu ubicación (con tu consentimiento), tus intereses y tu historial de uso, y permitirte inscribirte en un evento organizado por un tercero.
3.3 Comunicación con los organizadores
Transmitir a los organizadores de los eventos en los que te inscribes únicamente la información estrictamente necesaria (tu identidad, correo, asistencia) para la ejecución del contrato que celebras con ellos.
3.4 Pago y facturación (solo organizadores)
Permitir a las organizaciones contratar una suscripción o comprar un evento suelto a través de Stripe, y recibir sus facturas con fines contables.
3.5 Notificaciones push y correos transaccionales
Notificarte los hechos importantes (recordatorio del día anterior, mensaje del organizador, solicitud de amistad, confirmación de inscripción) mediante notificación push (Apple APNs, Google FCM) o correo electrónico (Brevo).
3.6 Analítica de producto (con tu consentimiento)
Medir el uso agregado del servicio para mejorar la aplicación y corregir errores (PostHog). Puedes retirar este consentimiento en cualquier momento desde tu apartado Mis datos.
3.7 Compartir tu ubicación con tus amigos (opcional)
Si lo activas, tu ubicación se comparte con las personas que tú elijas, una a una. Nunca se guarda un historial: cada lectura sobrescribe la anterior, por lo que no existe registro de tus desplazamientos, ni para ti, ni para nosotros, ni para un requerimiento judicial. Una ubicación deja de compartirse automáticamente al cabo de 3 horas. El modo fantasma interrumpe el envío de inmediato y borra la ubicación almacenada.
3.8 Puntos de referencia compartidos (opcional)
Puedes guardar un lugar (un vehículo, un punto de encuentro, lo que quieras: la etiqueta es libre) y elegir con quién compartirlo. Un punto es privado por defecto y tú fijas su duración al crearlo. Se le puede adjuntar una foto.
3.9 Signal: avisar a tus personas de confianza (opcional)
Signal permite avisar a las personas que has designado de antemano, enviarles tu ubicación e intercambiar mensajes con ellas hasta que declares cerrada la situación. A diferencia del envío de ubicación ordinario, la ubicación transmitida en un Signal se conserva durante toda su duración: es el relato de lo ocurrido, para ti y para tus allegados.
Evora no contacta con ningún servicio de emergencia ni activa ninguna escalada automática. Signal avisa a las personas que hayas elegido, y solo a ellas. En caso de urgencia, llama al 112.
3.10 Seguridad y lucha contra el fraude
Detectar intentos de acceso no autorizado, comportamientos abusivos (spam, acoso) y fraudes en el pago. Estos tratamientos se basan en nuestro interés legítimo en proteger a nuestros usuarios y nuestro servicio.
3.11 Cumplimiento legal
Cumplir nuestras obligaciones legales (conservación de las facturas durante 10 años, respuesta a requerimientos judiciales, moderación de contenidos conforme al Reglamento DSA).
4. Bases jurídicas
Conforme al artículo 6 del RGPD, cada tratamiento se basa en una base jurídica específica:
| Finalidad | Base jurídica |
|---|---|
| Creación y gestión de la cuenta | Ejecución del contrato (art. 6.1.b: condiciones de uso) |
| Geolocalización | Consentimiento (art. 6.1.a) |
| Compartir la ubicación con amigos | Consentimiento (art. 6.1.a), revocable en cualquier momento |
| Puntos de referencia compartidos | Consentimiento (art. 6.1.a) |
| Signal (personas de confianza) | Consentimiento (art. 6.1.a) |
| Inscripción a un evento | Ejecución del contrato (art. 6.1.b) |
| Pago y facturación | Ejecución del contrato (condiciones de venta) + obligación legal (art. 6.1.b y 6.1.c) |
| Notificaciones transaccionales esenciales | Ejecución del contrato (art. 6.1.b) |
| Analítica de producto | Consentimiento (art. 6.1.a) |
| Marketing directo (boletín, ofertas) | Consentimiento (art. 6.1.a) |
| Recomendaciones personalizadas | Consentimiento (art. 6.1.a) |
| Seguridad y lucha contra el fraude | Interés legítimo (art. 6.1.f) |
| Conservación contable | Obligación legal (art. 6.1.c: Código de Comercio francés) |
Los consentimientos otorgados pueden retirarse en cualquier momento desde tu apartado Mis datos, sin que ello afecte a la licitud de los tratamientos realizados antes de la retirada.
5. Categorías de datos recogidos
5.1 Datos de identidad
Dirección de correo, contraseña (cifrada con bcrypt), nombre, apellidos, fecha de nacimiento, sexo (opcional), foto de perfil, foto de portada y biografía breve. En los registros mediante OAuth (Google, Apple, Facebook) recibimos tu identificador del proveedor y tu correo.
5.2 Datos de ubicación
Coordenadas GPS (latitud/longitud) cuando activas la geolocalización y posición aproximada basada en la dirección IP cuando la desactivas. La geolocalización precisa solo se recoge con tu consentimiento explícito y puede revocarse en cualquier momento desde los ajustes de tu dispositivo.
5.3 Datos de ubicación compartida, puntos de referencia y Signal
Última ubicación conocida (nunca historizada), los puntos de referencia que creas con su etiqueta, su duración y su foto opcional, la lista de tus personas de confianza y —durante un Signal— la ubicación transmitida, los mensajes intercambiados y las marcas de tiempo de apertura, confirmación de recepción y cierre.
5.4 Datos de comportamiento
Historial de los eventos consultados, de las inscripciones, de los favoritos, de las búsquedas y de los organizadores que sigues. Estos datos alimentan las recomendaciones de la pestaña Descubrir (con tu consentimiento).
5.5 Datos de pago (solo organizadores)
Identificador de cliente de Stripe, IBAN parcial (4 últimos dígitos) e historial de facturas. El número completo de la tarjeta nunca se almacena en Evora: circula exclusivamente a través de Stripe (PCI-DSS nivel 1).
5.6 Datos técnicos
Dirección IP, tipo de dispositivo, versión del sistema operativo, versión de la aplicación, idioma, identificador de sesión y token de notificaciones push (APNs/FCM).
5.7 Datos de contenido
Mensajes publicados (preguntas sobre eventos, anuncios de los organizadores), fotos añadidas a tu galería de evento y denuncias de contenido.
6. Destinatarios de los datos
Tus datos pueden transmitirse a los siguientes destinatarios:
6.1 Organizadores de eventos
Cuando te inscribes en un evento, el organizador recibe tu identidad (nombre, apellidos, correo y foto si está disponible) y puede ponerse en contacto contigo en el marco de ese evento. Dicho organizador actúa entonces como responsable del tratamiento distinto y está vinculado a Evora por un contrato de encargo de tratamiento (DPA, ver /legal/dpa).
6.2 Encargados técnicos del tratamiento
Evora se apoya en una lista limitada de encargados técnicos, enumerados exhaustivamente en la página /legal/subprocessors. Cada uno está vinculado por un contrato de encargo conforme al artículo 28 del RGPD (con cláusulas contractuales tipo de la Comisión Europea cuando procede).
6.3 Autoridades públicas
En caso de requerimiento judicial o administrativo obligatorio, podemos vernos obligados a transmitir tus datos a las autoridades competentes (policía, gendarmería, autoridad judicial). Solo respondemos a solicitudes formalmente válidas.
Evora nunca vende tus datos personales a terceros con fines comerciales.
7. Plazos de conservación
| Categoría de datos | Plazo de conservación |
|---|---|
| Cuenta activa (perfil, ajustes) | Mientras la cuenta esté activa |
| Cuenta inactiva (sin conexión) | Aviso de eliminación tras 3 años de inactividad y eliminación efectiva 3 meses después |
| Historial de eventos | 5 años tras el fin del evento (prueba de participación) |
| Datos de facturación (organizadores) | 10 años desde la emisión de la factura (obligación contable, art. L123-22 del Código de Comercio francés) |
| Registros técnicos (IP, sesiones) | 12 meses como máximo (LCEN francesa, art. 6.II) |
| Datos analíticos (PostHog) | 24 meses como máximo |
| Códigos OTP de registro no utilizados | 24 horas |
| Ubicación compartida con amigos | 3 horas tras la última lectura y después se borra. Sin historial: cada lectura sobrescribe la anterior |
| Punto de referencia compartido | La duración que fijas al crearlo y después se borra (foto incluida) |
| Historia de una organización (foto o vídeo, vistas, reacciones, votos) | Pública 24 horas, luego conservada 30 días, visible solo para la organización (solo cifras, nunca quién vio o votó), y después borrada — salvo denuncia en curso |
| Signal cerrado y sus mensajes | 30 días tras el cierre |
| Signal abierto | Se conserva hasta que se cierra, y eres tú quien lo cierra |
| Solicitudes RGPD (registro de auditoría) | 3 años (prueba de tramitación) |
| Eliminación de cuenta solicitada | Periodo de gracia de 30 días y después anonimización inmediata |
8. Tus derechos
Conforme a los artículos 15 a 22 del RGPD, dispones de los siguientes derechos sobre tus datos personales:
8.1 Derecho de acceso (art. 15)
Puedes obtener confirmación de que Evora trata tus datos y conseguir una copia. Para ello, ve a Mis datos.
8.2 Derecho de rectificación (art. 16)
Puedes corregir cualquier dato inexacto o incompleto sobre ti directamente desde tu perfil.
8.3 Derecho de supresión (art. 17)
Puedes solicitar la supresión de tu cuenta y de tus datos personales desde Mis datos › «Eliminar mi cuenta». Se aplica un periodo de gracia de 30 días durante el cual puedes anular la solicitud volviendo a iniciar sesión. Transcurrido ese plazo, tus datos se anonimizan de forma irreversible. Las obligaciones legales de conservación (facturación, registros) siguen vigentes.
¿Ya no puedes iniciar sesión? La página Eliminar tu cuenta explica cómo hacerlo, qué se borra y qué se conserva.
8.4 Derecho a la portabilidad (art. 20)
Puedes recibir una copia de tus datos en un formato estructurado, de uso común y legible por máquina (JSON + CSV en un archivo ZIP). Solicita tu exportación desde Mis datos › «Exportar mis datos». Recibirás un correo con un enlace de descarga válido durante 7 días.
8.5 Derecho de oposición (art. 21)
Puedes oponerte a determinados tratamientos opcionales (analítica, marketing, personalización) sin eliminar tu cuenta, desde Mis datos › «Tus consentimientos».
8.6 Derecho a la limitación del tratamiento (art. 18)
Puedes solicitar la congelación temporal del tratamiento de tus datos (por ejemplo, mientras se discute su exactitud) escribiendo a [email protected].
8.7 Directrices post mortem (Ley francesa de Protección de Datos, art. 85)
Puedes establecer directrices sobre el destino de tus datos tras tu fallecimiento contactando con el DPO. En su defecto, tus herederos pueden solicitar la supresión o la comunicación de tus datos.
8.8 Ejercicio de los derechos
La mayoría de los derechos pueden ejercerse de forma autónoma desde la aplicación. Para las demás solicitudes, contacta con el DPO en [email protected]. Nos comprometemos a responder en el plazo máximo de un mes.
9. Transferencias fuera de la UE
Algunos de nuestros encargados técnicos están fuera de la Unión Europea (principalmente en Estados Unidos) o gestionan una infraestructura mundial. Las transferencias hacia ellos se rigen por:
- Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (decisión 2021/914) para Stripe Inc., Vercel Inc., PostHog Inc., Mapbox Inc., Apple Inc., Google LLC y Anthropic PBC (moderación automatizada de contenidos y análisis estadístico agregado; DPA con opción de no conservación de datos, «zero data retention»).
- Almacenamiento de datos en la UE para Supabase (región EU-Central-1, Fráncfort, Alemania) y Brevo (Francia).
- Alojamiento soberano en Francia para nuestra instancia de N8N (OVH Francia).
La lista exhaustiva de encargados y de la localización de los datos está disponible en /legal/subprocessors.
10. Origen de los datos
Casi todos los datos se recogen directamente de ti al registrarte, crear tu perfil y usar el servicio.
Cuando te registras mediante OAuth (Google, Apple, Facebook), los proveedores nos transmiten tu identificador y tu dirección de correo. No se recupera ningún otro dato de terceros (lista de amigos, fotos, contactos).
11. Elaboración de perfiles y decisiones automatizadas
Evora utiliza una elaboración de perfiles limitada para las recomendaciones de la pestaña Descubrir: el motor ordena los eventos según tu historial de interacciones, tu ubicación y los intereses que has declarado.
Evora no toma ninguna decisión jurídica o contractual automatizada (artículo 22 del RGPD) respecto a ti. Toda suspensión o cancelación de cuenta pasa por una revisión humana de nuestro equipo de moderación.
Moderación automatizada de los contenidos publicados. Las imágenes y textos que publicas (eventos, historias, recuerdos, fotos de perfil, anuncios, lugares) se analizan automáticamente con un modelo de inteligencia artificial (Anthropic, Estados Unidos) para detectar contenidos ilícitos o contrarios a nuestras normas. Un contenido puede ocultarse automáticamente: se te informa con el motivo y puedes impugnar la decisión durante 6 meses; la impugnación la revisa una persona (DSA, artículos 17 y 20). Este análisis nunca suspende una cuenta.
Puedes desactivar las recomendaciones personalizadas desde Mis datos › «Personalización».
12. Seguridad
Evora aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo:
- Cifrado TLS 1.3 en todos los flujos entre el cliente y nuestros servidores
- Cifrado en reposo de las bases de datos de Supabase (AES-256)
- Row Level Security (RLS) activada en el 100% de las tablas sensibles
- Hash bcrypt para las contraseñas (nunca se almacenan en claro)
- Autenticación en dos pasos (2FA) opcional mediante TOTP
- Registros de auditoría de todas las acciones administrativas
- Copias de seguridad automáticas de Supabase (PITR de 7 días en producción)
- Secretos almacenados en Supabase Vault (cifrado)
- Cabeceras HTTP de seguridad estrictas (CSP, HSTS, X-Frame-Options)
- Monitorización de errores anonimizada mediante PostHog
- Revisiones de código obligatorias antes de cualquier despliegue en producción
En caso de violación de datos personales que pueda suponer un riesgo para tus derechos y libertades, nos comprometemos a notificarlo a la CNIL en un plazo de 72 horas (artículo 33 del RGPD) y, en su caso, a informarte personalmente (artículo 34 del RGPD).
14. Modificaciones de la política
Evora se reserva el derecho de modificar esta política de privacidad en cualquier momento, en particular para reflejar cambios legales o técnicos. En caso de modificación sustancial, te informaremos por correo electrónico y mediante una notificación en la aplicación al menos 30 días antes de su entrada en vigor.
Podrás consultar en todo momento la versión vigente en esta página. Las versiones anteriores siguen disponibles previa solicitud al DPO.
15. Reclamación ante la CNIL
Si consideras, tras habernos contactado, que no se respetan tus derechos sobre tus datos, puedes presentar una reclamación ante la autoridad francesa de protección de datos, la Commission Nationale de l'Informatique et des Libertés (CNIL):
- En línea: https://www.cnil.fr/fr/plaintes
- Por correo postal: CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia
- Por teléfono: +33 1 53 73 22 22