Política de privacidad

1. Quién trata tus datos

El responsable del tratamiento es QALI-T, empresa constituida en Honduras, con domicilio en Tegucigalpa, Honduras. Puedes contactar en hola@getdailyme.com o a través de qali-t.com.

El servicio se presta desde Honduras y está pensado para Latinoamérica y para quien lo encuentre. No lo dirigimos específicamente al Espacio Económico Europeo: no hacemos publicidad allí, no hay precios en euros —no hay precios de ninguna clase— ni una versión adaptada a ningún país europeo, y no tenemos designado un representante en la Unión.

Aun así, esta política está escrita con el estándar del Reglamento (UE) 2016/679 (RGPD), que es el más exigente que conocemos, y aplicamos sus reglas a todo el mundo por decisión propia. No hacemos dos niveles de privacidad según dónde vivas: los derechos de la sección 10 puedes ejercerlos desde donde estés, y te responderemos igual.

2. Qué datos tratamos

Los que nos das al crear la cuenta

• Correo electrónico. Es el identificador de la cuenta y el canal para el enlace mágico y el restablecimiento de contraseña.
• Nombre visible y usuario. El usuario es cómo te encuentran tus amistades. Puedes poner lo que quieras: no comprobamos que sea tu nombre real.
• Zona horaria e idioma. La zona horaria decide a qué día pertenece cada registro, que es lo que hace que las rachas cuadren.
• Foto de perfil, si subes una o si entras con Google y decides usar la suya.
• Credenciales. Si entras con contraseña, se guarda cifrada y nunca en claro. Si usas una passkey, se guarda la clave pública; tu huella o tu cara no salen nunca de tu dispositivo. Si entras con Google, recibimos tu correo y tu nombre, no tu contraseña.
• La constancia de lo que aceptaste: la fecha y hora en que marcaste la casilla del registro y la edad mínima que declaraste. No guardamos tu fecha de nacimiento —no la pedimos— y esto es lo único que queda de esa declaración.

Los que generas usando la app

• Actividades: nombre, icono, color, unidad, modo de registro, meta y visibilidad.
• Registros: cantidad, fecha y hora, y opcionalmente una nota y una foto.
• Relaciones: amistades, solicitudes, invitaciones, toques y con quién compartes cada actividad de visibilidad personalizada.
• Interacciones: reacciones y comentarios sobre lo de tus amistades.
• Eventos y sus fotos, con el pie de foto que les pongas.
• Retos: a qué reto está inscrita cada actividad tuya y tu total.

Los que se generan solos

• Dirección IP. Cada petición al servidor llega con la suya, y queda en los registros técnicos junto con la fecha y el tipo de navegador. Sirve para sostener el servicio y frenar abusos —intentos de acceso en cadena, sobre todo—, no para saber dónde estás.
• Suscripción a notificaciones push, si las activas: un identificador que da tu navegador y que solo sirve para entregarte la notificación. Se borra al desactivarlos.
• Informes de error: si algo falla, se guarda el mensaje, la traza, la dirección de la pantalla donde ocurrió y el identificador de tu navegador, para poder arreglarlo.
• Registros técnicos del servidor y de la base de datos, que conservan nuestros proveedores durante periodos cortos.

Lo que no tratamos: no pedimos permiso de ubicación ni leemos el GPS de tu dispositivo —de tu IP se deduce como mucho la ciudad, y no la usamos para eso—, no leemos tus contactos, no accedemos a tu galería más allá de la foto concreta que elijas subir, y no hay analítica de comportamiento ni perfilado publicitario.

3. Para qué y con qué base legal

No tratamos tus datos con fines publicitarios ni tomamos decisiones automatizadas con efectos jurídicos sobre ti.

4. Quién ve lo que registras

Esta es la parte que define el producto, así que conviene ser explícitos. Cada actividad tuya tiene una visibilidad, y todos sus registros la heredan:

• Privada — solo tú. No aparece en ningún feed, no suma a ninguna racha compartida y no se puede obtener por la API.
• Amistades — las personas con las que has conectado, y nadie más.
• Personalizada — únicamente quienes elijas para esa actividad concreta.

El filtro no está en la interfaz: son reglas de Row Level Security de PostgreSQL que descartan las filas antes de que salgan del servidor. Las fotos siguen la misma regla y solo se sirven si la actividad a la que pertenecen es visible para quien las pide.

Tu perfil también es privado. Solo lo ve quien tenga amistad contigo —aceptada o pendiente— o comparta un evento contigo. La búsqueda funciona por usuario exacto, de forma que no existe un directorio por el que navegar.

En los retos, quienes participan ven tu total, nunca tus registros. Una actividad privada puede competir sin dejar de ser privada.

Lo que compartes con otra persona queda en su pantalla mientras tenga acceso. Nada impide que alguien haga una captura, igual que en cualquier conversación. Comparte con esa idea en mente.

5. Si registras cosas de salud

Una actividad puede ser cualquier cosa, y algunas de las más comunes —horas de sueño, medicación, sesiones de terapia, peso, ciclo menstrual, alcohol— revelan datos de salud. El artículo 9 del RGPD los trata como una categoría especial, con una regla más estricta que el resto, así que conviene decir exactamente cómo funciona:

• Nunca te pedimos ese tipo de dato. No hay campo de salud ni una categoría que te lo sugiera: aparece solo si tú creas la actividad y le pones ese nombre.
• La base legal es tu consentimiento explícito (art. 9.2.a), que das al crear esa actividad concreta sabiendo lo que contiene. No se extiende al resto de tus datos ni a ninguna otra finalidad.
• Puedes retirarlo cuando quieras borrando la actividad, lo que se lleva todos sus registros por delante. Eso no afecta a lo que hicimos antes de retirarlo, que era lícito.
• No reciben trato distinto por dentro: no se analizan, no se agregan, no se cruzan con nada y no se usan para deducir nada sobre ti. Para el sistema son filas iguales a las demás, con la misma regla de visibilidad.

Si vas a registrar algo sensible, la recomendación práctica es dejar esa actividad en privada. Es el ajuste por defecto de cualquier actividad nueva, y con él el dato no sale del servidor para nadie que no seas tú.

6. Proveedores que intervienen

No vendemos ni cedemos tus datos. Para que el servicio funcione intervienen estos encargados del tratamiento, cada uno con su contrato y sus garantías:

Ninguno de ellos puede usar tus datos para sus propios fines: solo los tratan siguiendo nuestras instrucciones y para lo que dice esa tabla.

7. Dónde viven tus datos

Tus datos se almacenan en servidores de la Unión Europea. Cuando alguno de los proveedores de arriba los procesa fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación.

Hay una transferencia más que tienes derecho a conocer, y preferimos decirla con todas las letras: el equipo de QALI-T accede desde Honduras para operar el servicio y atender el soporte. Honduras no cuenta con una decisión de adecuación de la Comisión Europea, de modo que ese acceso es una transferencia internacional sin ese respaldo.

Qué significa en la práctica: las autoridades de Honduras podrían, en teoría, dirigirse a nosotros con requerimientos que no tienen el mismo control judicial que los europeos, y desde allí el ejercicio de tus derechos depende de nuestra respuesta más que de un regulador cercano. Al crear la cuenta consientes esa transferencia con esta información delante, que es la vía del artículo 49.1.a del RGPD. Puedes retirar ese consentimiento borrando la cuenta.

El acceso desde Honduras está limitado a lo necesario para mantener el servicio, va por conexiones cifradas y con cuentas propias, y las reglas de visibilidad de la sección 4 también se aplican a él: nadie del equipo ve tus registros privados por el hecho de trabajar aquí.

8. Cuánto tiempo se guardan

• Mientras tengas la cuenta abierta, todo lo que has registrado sigue ahí. Es el punto de la app.
• Al eliminar la cuenta, se borra todo: perfil, actividades, registros, notas, fotos, relaciones, comentarios, reacciones y suscripciones a notificaciones. Sin periodo de gracia.
• Lo que dejaste en sitios compartidos —un comentario en la entrada de otra persona, una foto en el álbum de un evento— se borra también al eliminar la cuenta.
• Los informes de error se conservan como máximo 90 días y luego se eliminan.
• Los registros técnicos, con la IP entre ellos, se conservan como máximo 30 días y luego se rotan solos.
• Las copias de seguridad de nuestros proveedores pueden retener datos unos días más por rotación técnica, hasta que el ciclo las sobrescribe.

9. Cómo borrar tu cuenta

Hay un botón en Perfil → Eliminar cuenta que lo hace al momento, sin pasar por nosotros y sin periodo de gracia. Si perdiste el acceso, escribe a hola@getdailyme.com desde el correo de la cuenta y lo hacemos nosotros.

El detalle completo —qué desaparece, qué sobrevive unos días en copias de seguridad y qué hacer si solo quieres borrar una parte— está en una página aparte: cómo eliminar tu cuenta y tus datos.

10. Tus derechos

Puedes ejercer en cualquier momento los derechos que te reconoce el RGPD:

• Acceso: saber qué datos tenemos sobre ti.
• Rectificación: corregir lo que esté mal, cosa que además puedes hacer tú desde Perfil.
• Supresión: hay un botón en Perfil que la ejecuta al momento. También puedes pedirlo por correo.
• Portabilidad: recibir tus datos en un formato legible por máquina. La exportación en JSON desde la app está en camino; hasta entonces, pídenosla por correo.
• Limitación y oposición al tratamiento basado en interés legítimo.
• Retirar el consentimiento de las notificaciones, de las actividades de salud o de la transferencia de la sección 7, sin que afecte al tratamiento anterior.

Escribe a hola@getdailyme.com. Respondemos en el plazo máximo de un mes y no cobramos por ello.

Si crees que no lo hemos hecho bien, puedes reclamar ante la autoridad de control de tu país de residencia. En el Espacio Económico Europeo, el listado está en la web del Comité Europeo de Protección de Datos —en España es la AEPD—; en el Reino Unido, ante la ICO. Si resides en Honduras, puedes acudir a la vía de habeas data que reconoce la Constitución.

11. Seguridad

• Todo el tráfico va cifrado con TLS, y los datos se cifran en reposo.
• El aislamiento entre cuentas se aplica en la propia base de datos, y hay pruebas automáticas que verifican en cada cambio que una cuenta no puede leer lo que no le corresponde.
• Las contraseñas se guardan con funciones de derivación diseñadas para ello.
• El acceso del equipo a los sistemas de producción va con doble factor y se limita a quien lo necesita para su trabajo.
• Si ocurriera una brecha con riesgo para tus derechos, te avisaremos y lo notificaremos a la autoridad de control en un plazo de 72 horas.

Ningún sistema es infalible. Lo que sí podemos prometer es que las decisiones de diseño van en la dirección de guardar lo mínimo y mostrarlo a lo mínimo.

12. Edad mínima

Necesitas 16 años para tener cuenta. Es el techo que fija el artículo 8 del RGPD, y lo aplicamos igual en todo el mundo en lugar de ir país por país: así ninguna cuenta depende de una edad que no podríamos verificar.

No pedimos documentos para comprobarlo —hacerlo obligaría a recoger bastante más de lo que queremos—, pero si detectamos o nos avisan de una cuenta por debajo de esa edad, la eliminamos. Si eres madre, padre o tutor y crees que hay una, escríbenos a hola@getdailyme.com y la cerramos.

13. Cookies y almacenamiento local

No usamos cookies de análisis, de publicidad ni de terceros, así que no verás un banner de consentimiento: no hay nada que consentir. Lo que sí usamos es estrictamente necesario para que la app funcione, y por eso está exento del deber de consentimiento previo:

• Cookies de sesión, para mantenerte identificado entre pantallas.
• IndexedDB, donde se guarda una copia de tus datos para que la app funcione sin conexión y para encolar lo que registres sin señal.
• Almacenamiento local, para recordar preferencias como la paleta y el idioma.

Todo eso vive en tu dispositivo y desaparece al cerrar sesión o al borrar los datos del navegador. Las tipografías se sirven desde nuestro propio dominio, así que ni siquiera cargar esta página le cuenta nada a nadie más.

14. Cambios en esta política

Si cambia algo relevante, actualizaremos esta página y la fecha de arriba. Cuando el cambio afecte de forma sustancial a cómo tratamos tus datos, te avisaremos dentro de la app o por correo antes de que entre en vigor.