Política de privacidad

0. Identificación del responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de la plataforma WayFy (en adelante, "WayFy", "la Plataforma" o "el Servicio") es:

• Denominación: WayFy [razón social / persona titular del proyecto]
• NIF/CIF: [a cumplimentar por el titular]
• Domicilio a efectos de notificaciones: [a cumplimentar por el titular]
• Correo electrónico de contacto: soporte@wayfy.es

Dada la naturaleza y el volumen de tratamiento actual del Servicio, no resulta legalmente exigible la designación de un Delegado de Protección de Datos (DPO) conforme al artículo 37 RGPD. Cualquier consulta en materia de protección de datos puede dirigirse a la dirección de contacto indicada.

1. Objeto y ámbito de aplicación

La presente Política de Privacidad tiene por objeto informar a las personas usuarias (en adelante, "el Usuario" o "los Usuarios") del tratamiento que WayFy realiza de sus datos personales al registrarse y utilizar la Plataforma, sea a través del sitio web, de aplicaciones asociadas o de cualquier otro medio habilitado al efecto.

El uso del Servicio implica la aceptación de esta política. Si el Usuario no está de acuerdo con su contenido, deberá abstenerse de registrarse o de facilitar datos personales a través de la Plataforma.

2. Definiciones

• Dato personal: toda información sobre una persona física identificada o identificable.
• Tratamiento: cualquier operación realizada sobre datos personales (recogida, registro, conservación, uso, comunicación, supresión, etc.).
• Encargado del tratamiento: tercero que trata datos personales por cuenta y bajo instrucciones del responsable.
• Contenido generado por el Usuario: reseñas, fotografías, viajes, comentarios, mensajes y demás aportaciones publicadas voluntariamente en la Plataforma.

3. Categorías de datos que tratamos

WayFy trata las siguientes categorías de datos, siempre limitadas a lo estrictamente necesario para prestar el Servicio (principio de minimización, art. 5.1.c RGPD):

• Datos de registro e identificación: nombre, apellidos, correo electrónico y contraseña (almacenada mediante la función de hash bcrypt, nunca en texto plano).
• Datos de perfil y accesibilidad: preferencias y condiciones de movilidad seleccionadas por el propio Usuario (silla de ruedas, muletas, andador u otras), avatar y biografía de perfil.
• Datos de seguridad de la cuenta: secreto TOTP y códigos de respaldo cuando el Usuario activa la verificación en dos pasos; historial de intentos de acceso fallidos, a efectos de bloqueo temporal de la cuenta.
• Contenido generado por el Usuario: reseñas y fotografías de accesibilidad, lugares propuestos al mapa, viajes e itinerarios, comentarios en viajes públicos, mensajes de chat directo y de grupo, y etiquetas de organización de favoritos.
• Datos de relaciones sociales: solicitudes de amistad, listado de amistades y preferencias de privacidad asociadas a cada Usuario (visibilidad de perfil, de amistades, de viajes, permiso para recibir mensajes, etc.).
• Datos de geolocalización: si el Usuario lo autoriza a través del propio navegador, WayFy accede puntualmente a su ubicación aproximada para centrar el mapa y mostrar resultados cercanos. Este dato se procesa en el dispositivo del Usuario y no se almacena de forma asociada a su cuenta.
• Datos técnicos y de conexión: dirección IP, identificadores de sesión (cookies), estado de conexión (en línea / ausente / desconectado) y registros técnicos necesarios para la seguridad y el correcto funcionamiento del Servicio.

4. Finalidades del tratamiento y base jurídica

Tratamos los datos anteriores para las siguientes finalidades, cada una amparada en la base jurídica que se indica conforme al artículo 6.1 RGPD:

• Gestión de la cuenta y autenticación (verificación de correo, inicio de sesión, doble factor, recuperación de contraseña): ejecución del contrato de prestación del Servicio (art. 6.1.b).
• Prestación de las funcionalidades del Servicio (mapa de accesibilidad, planificador de viajes, favoritos, reseñas, chat, sistema de amistades, notificaciones): ejecución del contrato (art. 6.1.b).
• Moderación del contenido comunitario (revisión de lugares propuestos por la comunidad antes de su publicación general): interés legítimo en garantizar la veracidad de la información de accesibilidad (art. 6.1.f).
• Personalización de la experiencia en función del perfil de movilidad indicado: consentimiento del Usuario (art. 6.1.a), revocable en cualquier momento desde su perfil.
• Comunicaciones del Servicio (verificación de cuenta, avisos de seguridad, notificaciones de actividad social que el Usuario haya activado): ejecución del contrato e interés legítimo en mantener informado al Usuario (arts. 6.1.b y 6.1.f).
• Seguridad de la Plataforma (bloqueo de intentos de acceso fraudulentos, limitación de peticiones, prevención de abusos): interés legítimo (art. 6.1.f) y cumplimiento de obligaciones legales en materia de seguridad de la información (art. 6.1.c).

5. Destinatarios y encargados del tratamiento

WayFy no vende ni cede datos personales a terceros con fines comerciales o publicitarios. Para poder prestar el Servicio, determinados datos se comunican a los siguientes proveedores, que actúan como encargados del tratamiento o, en su caso, como responsables autónomos de los datos que reciben directamente del navegador del Usuario:

• Mapbox, Inc. — renderizado del mapa interactivo. Recibe las coordenadas del área visualizada y la dirección IP del Usuario.
• Geoapify — autocompletado de direcciones y geocodificación de búsquedas.
• OpenStreetMap (Nominatim) y Photon / Komoot GmbH — resolución de direcciones y puntos de interés a partir de las búsquedas realizadas por el Usuario.
• Groq, Inc. — procesamiento del texto introducido en el asistente de inteligencia artificial. Solo se envía el contenido de la conversación, sin datos identificativos de la cuenta.

El almacenamiento de avatares, fotografías de accesibilidad, portadas de viaje y avatares de grupo se realiza en servidores propios de WayFy, sin recurrir a servicios externos de almacenamiento de imágenes.

El envío de correos electrónicos transaccionales (verificación de cuenta, recuperación de contraseña, avisos de moderación) se realiza a través de cuentas de correo configuradas y gestionadas por el propio responsable, sin intervención de plataformas de envío masivo de terceros.

6. Transferencias internacionales

Algunos de los proveedores citados en el apartado anterior (Mapbox y Groq) tienen su sede en Estados Unidos, lo que puede implicar una transferencia internacional de datos fuera del Espacio Económico Europeo. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en el mecanismo de adecuación vigente aplicable a cada proveedor (Data Privacy Framework UE-EE. UU., en su caso).

7. Cookies y tecnologías similares

WayFy utiliza exclusivamente cookies y almacenamiento local de carácter técnico o esencial, necesarios para el funcionamiento del Servicio y exentos, por tanto, del deber de obtener consentimiento conforme al artículo 22.2 LSSI-CE:

• wayfy_access_token / wayfy_refresh_token — cookies HttpOnly que mantienen la sesión iniciada. No son accesibles mediante JavaScript.
• wayfy_csrf_token / wayfy_refresh_csrf_token — cookies de protección frente a ataques de falsificación de petición (CSRF).
• localStorage — recuerda el tema visual elegido (claro, oscuro o alto contraste) y la decisión del Usuario sobre este mismo aviso de cookies. No contiene información identificativa.

WayFy no utiliza cookies de analítica, publicidad ni seguimiento de terceros. El panel de gestión de cookies permite rechazar, aceptar solo las esenciales o aceptar todas las categorías disponibles; a fecha de esta política, la experiencia del Servicio es idéntica en cualquiera de las tres opciones, ya que no existen cookies no esenciales activas.

8. Plazo de conservación

• Los datos de la cuenta se conservan mientras el Usuario mantenga su perfil activo en la Plataforma.
• Los tokens de verificación de correo caducan a las 24 horas y los de recuperación de contraseña a los 30 minutos de su emisión.
• El token de sesión (acceso) caduca a los 15 minutos y el de renovación a los 7 días, transcurridos los cuales es necesario volver a autenticarse.
• Tras solicitar la eliminación de la cuenta, los datos personales identificativos se suprimen de forma permanente. El contenido de valor comunitario (reseñas, fotografías de accesibilidad y lugares aprobados) se conserva de forma disociada de la identidad del Usuario, para no mermar la utilidad del mapa colaborativo.

9. Derechos de las personas usuarias

Conforme a los artículos 15 a 22 RGPD, el Usuario puede ejercer en cualquier momento los siguientes derechos:

• Acceso: conocer qué datos personales suyos tratamos.
• Rectificación: corregir datos inexactos, directamente desde su perfil o solicitándolo por escrito.
• Supresión ("derecho al olvido"): solicitar la eliminación de su cuenta y datos asociados.
• Oposición y limitación: oponerse a un tratamiento concreto o solicitar la limitación del mismo en los supuestos previstos por la normativa.
• Portabilidad: recibir sus viajes y reseñas en un formato estructurado y de uso común.
• Retirada del consentimiento: cuando el tratamiento se base en el consentimiento, sin que ello afecte a la licitud de los tratamientos anteriores a su retirada.

Estos derechos pueden ejercerse escribiendo a soporte@wayfy.es, indicando el derecho que se desea ejercer y acompañando copia de un documento que acredite la identidad del solicitante. WayFy responderá en el plazo máximo de un mes, prorrogable por dos meses adicionales en casos de especial complejidad.

Si el Usuario considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) a través de www.aepd.es.

10. Medidas de seguridad

WayFy aplica medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre las que se incluyen:

• Cifrado de contraseñas mediante la función de hash bcrypt.
• Autenticación mediante tokens JWT servidos en cookies HttpOnly con protección CSRF, de vida corta y renovación controlada.
• Verificación en dos pasos (2FA) mediante aplicación TOTP y códigos de respaldo de un solo uso, de activación voluntaria.
• Bloqueo temporal de la cuenta tras varios intentos fallidos de acceso.
• Cifrado en base de datos de las credenciales de los buzones de correo utilizados por el Servicio.
• Limitación del número de peticiones por usuario e IP para prevenir abusos automatizados.
• Control de acceso basado en roles para el personal con funciones de administración o moderación, restringido a lo necesario para el desempeño de sus funciones.

11. Menores de edad

El Servicio está dirigido a personas mayores de 16 años, edad mínima para prestar consentimiento al tratamiento de datos personales conforme al artículo 8 RGPD y a la disposición adicional primera de la LOPDGDD. WayFy no recaba de forma consciente datos de menores de dicha edad. Si tuviera constancia de que se han recabado datos de un menor sin la autorización requerida, procederá a su eliminación.

12. Modificaciones de esta política

WayFy podrá modificar esta Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o a cambios en el Servicio. Toda modificación sustancial se notificará al Usuario por correo electrónico o mediante aviso destacado en la Plataforma con una antelación mínima de 15 días a su entrada en vigor.