Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de los datos personales es la persona o entidad identificada en el bloque «Datos del titular» de esta página.

Datos que recopilamos

En función del uso que hagas de ColePop, podemos tratar las siguientes categorías de datos:

• Datos de registro y cuenta: nombre para mostrar, nombre de usuario, dirección de correo electrónico, contraseña (almacenada de forma cifrada) y, si utilizas inicio de sesión social, identificadores asociados al proveedor OAuth elegido.
• Datos de perfil: avatar, idioma, zona horaria, ciudad y coordenadas geográficas aproximadas si decides facilitarlas, así como preferencias de visibilidad y canales de contacto.
• Datos de colecciones: colecciones vinculadas al catálogo, progreso, piezas obtenidas, pendientes y repetidas, y nombre personalizado de cada colección.
• Datos de intercambios: propuestas enviadas y recibidas, estado de las mismas y mensajes asociados entre usuarios.
• Datos de comunicaciones: contenido de los mensajes enviados a través del formulario de contacto y metadatos necesarios para gestionarlos.
• Datos técnicos: dirección IP, identificadores de sesión, registros de acceso, agente de usuario y cookies estrictamente necesarias para el funcionamiento del servicio.
• Datos de dispositivo (app móvil): token de notificaciones push, plataforma (Android o iOS), versión de la aplicación y, si la app falla, los datos técnicos del informe de error descritos más abajo, cuando usas las aplicaciones oficiales de ColePop.

Aplicaciones móviles

Esta política se aplica al sitio web de ColePop y a las aplicaciones móviles oficiales (Android e iOS). El tratamiento de la cuenta, el perfil, las colecciones y los intercambios es el mismo en todos los canales.

Si usas la aplicación, además podemos tratar los siguientes datos, solo en la medida necesaria para el servicio:

• Notificaciones push: el token del dispositivo, la plataforma y la versión de la app, para enviarte avisos operativos (por ejemplo, sobre intercambios o actividad de tu cuenta) a través de Firebase Cloud Messaging. Puedes desactivar las notificaciones en los ajustes del sistema.
• Ubicación aproximada: solo si concedes el permiso de ubicación y eliges fijarla (por ejemplo, con «Usar mi ubicación GPS»). Se usan coordenadas aproximadas para mostrarte coleccionistas compatibles cerca de ti. Otros usuarios no ven tu ubicación exacta, solo una distancia en kilómetros.
• Inicio de sesión social: si accedes con Google, Apple u otro proveedor habilitado, ese proveedor tratará datos conforme a su propia política de privacidad.
• Informes de fallos: cuando la aplicación se cierra de forma inesperada, enviamos a Firebase Crashlytics (Google) datos técnicos del error: la traza del fallo, la versión de la app, el modelo y el sistema operativo del dispositivo, y un identificador aleatorio de la instalación. Esos informes no incluyen tu nombre, tu correo ni el contenido de tus colecciones o mensajes. Sirven solo para detectar y corregir errores. Google los conserva unos 90 días. El detalle del tratamiento está en la información de privacidad de Firebase.

Finalidad y legitimación

Tratamos tus datos personales con las siguientes finalidades y bases legales:

• Gestión de la cuenta y prestación del servicio (ejecución del contrato o relación precontractual): registro, autenticación, administración del perfil y funcionamiento de las colecciones e intercambios.
• Comunicaciones relacionadas con el servicio (ejecución del contrato e interés legítimo): verificación de email, notificaciones operativas —incluidas las notificaciones push en la app—, y respuesta a consultas enviadas a través del formulario de contacto.
• Seguridad y prevención del fraude (interés legítimo): protección de cuentas, detección de usos indebidos y mantenimiento de la integridad de la plataforma.
• Estabilidad de las aplicaciones móviles (interés legítimo): diagnóstico de fallos de las apps oficiales para corregir errores y mantener el servicio.
• Cumplimiento legal (obligación legal): atención de requerimientos de autoridades competentes cuando resulte exigible.
• Cookies no esenciales (consentimiento): solo cuando aceptes expresamente su uso, conforme a la política de cookies.

Conservación de los datos

Conservaremos tus datos mientras mantengas una cuenta activa en ColePop y durante el tiempo necesario para cumplir las finalidades descritas.

• Los datos de cuenta y colecciones se conservan hasta que solicites la supresión de la cuenta o ejerzas el derecho de supresión, salvo obligación legal de conservación.
• Los datos de intercambios se conservan mientras sean necesarios para gestionar la relación entre usuarios y resolver incidencias razonables.
• Los mensajes de contacto se conservan el tiempo imprescindible para atender la consulta y, como máximo, doce meses desde su recepción, salvo obligación distinta.
• Los registros técnicos y de seguridad se conservan durante un plazo limitado, habitualmente no superior a doce meses.
• Los tokens de dispositivo se conservan mientras la cuenta esté activa y el dispositivo siga asociado a ella, o hasta que el token deje de ser válido.
• Los informes de fallos de la app se conservan el tiempo que Firebase Crashlytics los mantiene para prestar el servicio, habitualmente 90 días, antes de iniciar su eliminación.

Destinatarios y transferencias

No vendemos tus datos personales. Podemos comunicarlos a encargados de tratamiento que nos prestan servicios necesarios para operar ColePop, como proveedores de alojamiento, infraestructura, correo electrónico, autenticación OAuth, envío de notificaciones push (Firebase Cloud Messaging) y diagnóstico de fallos de las aplicaciones (Firebase Crashlytics), siempre con contratos que garanticen un nivel adecuado de protección.

El alojamiento del servicio se realiza en infraestructura ubicada en la Unión Europea o en países que ofrecen un nivel de protección adecuado conforme a la normativa aplicable.

Firebase (notificaciones push e informes de fallos) puede tratar datos en Estados Unidos y en otros países donde Google o sus encargados mantienen instalaciones. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que Google está certificado, u otras garantías previstas por el RGPD. La normativa de privacidad de algunos de esos países puede diferir de la del Espacio Económico Europeo.

Los proveedores de inicio de sesión social (Google, Apple, Microsoft u otros habilitados) tratarán datos conforme a sus propias políticas de privacidad cuando decidas utilizarlos.

Derechos de las personas usuarias

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad enviando un correo a info@colepop.com, adjuntando copia de tu documento de identidad.

También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Medidas de seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos personales, entre ellas el cifrado de contraseñas, uso de conexiones seguras (HTTPS), control de acceso basado en roles, protección frente a ataques CSRF en formularios web, limitación de peticiones en formularios sensibles y copias de seguridad periódicas de la información alojada.