Política de privacidad — Colocation

Versión 2.0 — en vigor el 12 de noviembre de 2026. Esta política explica qué datos personales trata la aplicación Colocation (también llamada «ColocApp», antes «Colocataire»), por qué, con quién, durante cuánto tiempo y cómo ejercer sus derechos, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la ley francesa n.º 78-17 de 6 de enero de 1978 («Informatique et Libertés»).

1. Responsable del tratamiento

Elisée Nelson BANGYA NOUPET, empresario individual (nombre comercial «Nelson Apps»), RCS Versalles 934 617 119, 17 avenue de Savoie, 78140 Vélizy-Villacoublay, Francia. Contacto para cualquier pregunta sobre sus datos: nelson.apps.dev@gmail.com. No se ha designado un delegado de protección de datos, al no ser obligatorio.

2. Datos tratados

2.1 Cuenta

• Dirección de correo electrónico, nombre visible, nombre y apellidos, foto de perfil (opcional), identificador de cuenta.
• Si inicia sesión con Apple o Google: el identificador, el correo (posiblemente ocultado por Apple) y el nombre facilitados por ese servicio. Nunca recibimos su contraseña de Apple o Google.
• Estado de la suscripción, contadores de uso de la inteligencia artificial, puntos.

2.2 Datos del piso compartido

• Tareas, listas de la compra, menús, recetas y favoritos.
• Gastos, repartos, saldos y liquidaciones registrados entre miembros.
• Medios de reembolso que decida indicar (IBAN, nombre PayPal.me, identificador Revolut, enlace de pago https): opcionales, visibles y copiables por los miembros de su piso compartido (el IBAN se muestra enmascarado y se copia completo para pagar), nunca enviados a nuestra herramienta de análisis. Declaraciones «He pagado» y confirmaciones de liquidación.
• Puntos y clasificación.
• Códigos y enlaces de invitación, enlaces públicos para compartir (y su fecha de caducidad).

Estos datos, así como su nombre visible y su foto de perfil, son visibles para los demás miembros de su piso. Los contenidos compartidos mediante enlace son visibles para cualquier persona que tenga el enlace, hasta su caducidad.

2.3 Fotos

• Foto de perfil.
• Foto de sobras de comida, cuando solicita una sugerencia de receta a partir de una foto (transmitida al servicio de inteligencia artificial, véase 2.5).
• Foto de un tique de caja, cuando utiliza «Escanear un tique»: transmitida al servicio de inteligencia artificial (véase 2.5) para extraer la tienda, la fecha, el total, la moneda, la categoría y las líneas, y después adjuntada al gasto y visible para los miembros del piso compartido. Un tique puede contener datos personales (últimos dígitos de una tarjeta bancaria, nombre, tarjeta de fidelidad): puede ocultarlos antes de la foto.
• Imágenes enviadas al soporte.

La Aplicación solo accede a la cámara o a su galería cuando usted lo decide y con la autorización de su dispositivo.

2.4 Régimen alimentario y alergias (datos de salud)

Si indica un régimen alimentario, alergias o intolerancias, esta información puede revelar datos relativos a su salud en el sentido del artículo 9 del RGPD. Es opcional y solo se trata con su consentimiento explícito, que usted otorga al introducirla y confirmar su envío durante una solicitud de inteligencia artificial. Puede retirar este consentimiento en cualquier momento eliminándola de la Aplicación; la retirada no afecta a los tratamientos ya realizados. Introduzca información de salud sobre otras personas solo si estas le han autorizado.

2.5 Solicitudes de inteligencia artificial

Cuando utiliza una funcionalidad de inteligencia artificial, y tras su confirmación en la ventana informativa mostrada antes de cada solicitud, transmitimos a Google (Gemini, a través de Vertex AI) únicamente los datos necesarios para la solicitud: el texto de su petición, el régimen y las alergias indicados, el número de raciones, los nombres o nombres visibles de los miembros del piso, las tareas existentes y, en su caso, la foto. Se conservan los resultados generados, sus denuncias de contenidos generados y un contador de uso. Según los compromisos contractuales de Google Cloud, estos datos no se utilizan para entrenar los modelos de Google.

2.6 Soporte

Si contacta con el soporte a través del chat integrado (Crisp) o por correo electrónico: correo, nombre visible, foto de perfil, contenido de los mensajes, imágenes y, en su caso, llamadas de audio. Si responde a la encuesta de satisfacción: sus respuestas y comentarios.

2.7 Notificaciones y correos electrónicos

Identificadores de notificación del dispositivo (push y Live Activities), identificador de cuenta asociado, idioma y etiquetas técnicas (nivel de suscripción, consentimiento de marketing). Su dirección de correo se registra en nuestro proveedor de envíos para los correos de servicio; los correos de marketing solo se envían con su consentimiento.

2.8 Compras

Historial y estado de las compras y suscripciones (producto, fechas, renovación, país del store), vinculados a su identificador de cuenta. No recibimos ningún dato bancario: el pago lo procesa Apple o Google.

2.9 Datos técnicos

• Informes de errores y mediciones de rendimiento (modelo y sistema del dispositivo, versión de la Aplicación, trazas técnicas), mediante Firebase Crashlytics y Firebase Performance.
• Parámetros de configuración remota y datos de seguridad necesarios para el funcionamiento.
• Preferencias guardadas localmente en su dispositivo.

2.10 Medición de audiencia (opcional)

Solo si lo acepta en la Aplicación: eventos de uso (pantallas vistas, funcionalidades utilizadas, pasos de compra) vinculados a un identificador seudonimizado, almacenados en nuestra propia herramienta de análisis alojada por Google Cloud en la Unión Europea (Bélgica, europe-west1). Puede retirar este consentimiento en cualquier momento en los ajustes de la Aplicación.

2.11 Búsqueda de recetas

Los términos de búsqueda de recetas se envían a TheMealDB, sin identificador de cuenta.

No recopilamos su ubicación, sus contactos, su número de teléfono ni sus datos bancarios, y no utilizamos ningún rastreador publicitario.

3. Finalidades y bases jurídicas

• Prestar la Aplicación (cuenta, piso, tareas, gastos, compartir, sincronización, notificaciones de servicio, correos de servicio, soporte): ejecución del contrato (art. 6.1.b RGPD).
• Funcionalidades de inteligencia artificial: ejecución del contrato; para los datos de régimen y alergias, consentimiento explícito (art. 9.2.a).
• Gestionar suscripciones y cuotas: ejecución del contrato; conservación de las pruebas de transacción: obligación legal (art. 6.1.c).
• Seguridad, prevención de abusos y fraude, estabilidad (informes de errores, rendimiento): interés legítimo en prestar un servicio fiable y seguro (art. 6.1.f).
• Medición de audiencia: consentimiento (art. 6.1.a).
• Notificaciones y correos de marketing: consentimiento (art. 6.1.a), revocable en cualquier momento.
• Encuesta de satisfacción y mejora del servicio: interés legítimo; la participación es opcional.
• Moderación y respuesta a las autoridades: obligación legal e interés legítimo.
• Gestión de reclamaciones y litigios: interés legítimo en defender nuestros derechos.

No se toma ninguna decisión que produzca efectos jurídicos o le afecte significativamente basada únicamente en un tratamiento automatizado. No vendemos ni alquilamos sus datos.

4. Destinatarios y encargados del tratamiento

Sus datos son accesibles para el Editor y, dentro de los límites de sus funciones, para los siguientes proveedores, sujetos a compromisos de confidencialidad y seguridad:

• Google Ireland Ltd / Google LLC (Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Remote Config, Crashlytics, Performance, Hosting; Vertex AI Gemini; Google Cloud para la medición de audiencia) — Unión Europea y Estados Unidos.
• OneSignal, Inc. (notificaciones push, Live Activities, correos) — Estados Unidos.
• RevenueCat, Inc. (gestión de suscripciones) — Estados Unidos.
• Crisp IM SAS (chat de soporte) — Francia / Unión Europea.
• TheMealDB (búsqueda de recetas, sin identificador) — Reino Unido.
• Apple y Google, como stores y proveedores de inicio de sesión, que tratan los pagos y los identificadores de inicio de sesión según sus propias políticas, como responsables independientes.

Los demás miembros de su piso y los titulares de un enlace para compartir ven los datos descritos en el artículo 2.2. Podemos comunicar datos a las autoridades cuando la ley lo exija.

5. Transferencias fuera de la Unión Europea

Algunos proveedores (Google LLC, OneSignal, RevenueCat) están establecidos en Estados Unidos o pueden acceder allí a los datos; algunos tratamientos técnicos de la Aplicación (funciones de servidor relacionadas con las tareas y los perfiles) se ejecutan en Estados Unidos, y el servicio Gemini se invoca a través de un punto de acceso global de Google. Estas transferencias se amparan en la decisión de adecuación «EU-U.S. Data Privacy Framework» cuando el destinatario está certificado y, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea. El Reino Unido se beneficia de una decisión de adecuación. Puede obtener una copia de las garantías escribiéndonos.

6. Plazos de conservación

• Cuenta y perfil: mientras la cuenta esté activa; se eliminan inmediatamente al eliminar la cuenta (artículo 7). Una cuenta inactiva durante 3 años puede eliminarse tras un aviso por correo electrónico.
• Contenidos publicados en un piso compartido: siguen siendo visibles para los demás miembros tras su salida o la eliminación de su cuenta, mientras el piso exista; un piso del que usted era el único miembro se elimina con su cuenta.
• Enlaces para compartir: hasta su caducidad; los registros técnicos correspondientes se purgan como máximo 12 meses después.
• Datos de régimen y alergias: hasta que usted los elimine o se elimine la cuenta.
• Solicitudes y resultados de IA, denuncias: hasta la eliminación de la cuenta; los contadores de uso se reinician periódicamente.
• Soporte (Crisp, correo): 3 años tras el último intercambio; se eliminan en 30 días previa solicitud.
• Encuesta de satisfacción: 3 años como máximo.
• Medición de audiencia seudonimizada: 25 meses como máximo.
• Informes de errores: 90 días.
• Identificadores de notificación: hasta la baja, la eliminación de la cuenta o la caducidad del token.
• Pruebas de compra y de transacción: durante el plazo legal de conservación de los documentos contables (10 años).
• Elementos necesarios para gestionar un litigio o probar sus consentimientos: 5 años tras el fin de la relación (plazo de prescripción general).
• Copias de seguridad técnicas: se borran por rotación en un plazo máximo de 35 días.

7. Eliminación de la cuenta

Puede eliminar su cuenta desde la Aplicación (Mi Perfil → Zona de peligro → Eliminar mi cuenta) o a través de la página «Eliminación de la cuenta» del sitio web. La eliminación borra su perfil, su foto, sus contadores, sus denuncias, los pisos de los que era el único miembro y sus perfiles en OneSignal y RevenueCat. Los contenidos publicados en un piso compartido se conservan para los demás miembros (artículo 6). Los datos en poder de Crisp y de nuestra herramienta de análisis se eliminan en 30 días previa simple solicitud a nelson.apps.dev@gmail.com. La eliminación de la cuenta no cancela su suscripción con Apple o Google.

8. Sus derechos

Usted dispone de los derechos de acceso, rectificación, supresión, limitación, oposición (en particular a cualquier tratamiento basado en el interés legítimo y, sin motivo, a la prospección comercial), portabilidad (recepción de sus datos en un formato estructurado, previa solicitud por correo), retirada de su consentimiento en cualquier momento y del derecho a establecer directrices sobre el destino de sus datos tras su fallecimiento (artículo 85 de la ley francesa de protección de datos).

Para ejercer estos derechos, escriba a nelson.apps.dev@gmail.com desde la dirección asociada a su cuenta. Respondemos en el plazo de un mes, prorrogable dos meses en caso de solicitud compleja. Podemos pedirle que acredite su identidad en caso de duda razonable.

Puede presentar una reclamación ante la autoridad francesa de protección de datos (Commission nationale de l’informatique et des libertés, CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, o ante la autoridad de control de su país de residencia.

9. Menores

La Aplicación no está destinada a personas menores de 15 años, que no pueden crear una cuenta. Si tenemos conocimiento de que se ha creado una cuenta así, la eliminamos. Un progenitor puede comunicárnoslo en la dirección indicada.

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: cifrado de las comunicaciones (HTTPS/TLS), reglas de acceso que limitan a cada usuario a los datos de sus pisos, autenticación reforzada para la eliminación de la cuenta, almacenamiento local seguro de secretos, acceso restringido a las consolas de administración. Como ningún sistema es totalmente seguro, no podemos garantizar una seguridad absoluta; en caso de violación de datos que suponga un riesgo para sus derechos, lo notificaremos a la CNIL y, si es necesario, a las personas afectadas, en las condiciones previstas por el RGPD.

11. Rastreadores y kits de desarrollo

La Aplicación no integra ningún kit publicitario ni seguimiento publicitario entre aplicaciones y no solicita la autorización de seguimiento (ATT) en iOS. Los kits utilizados (Firebase, OneSignal, RevenueCat, Crisp) sirven para el funcionamiento del servicio; la medición de audiencia y las comunicaciones de marketing solo se activan con su consentimiento. El sitio web no instala cookies de medición de audiencia ni publicitarias.

12. Modificaciones

Podemos actualizar esta política para reflejar la evolución de la Aplicación o de la ley. La fecha y la versión figuran al principio del documento. Cualquier modificación importante se le comunicará en la Aplicación o por correo antes de su entrada en vigor y, si requiere su consentimiento, se lo volveremos a solicitar.

13. Contacto

Elisée Nelson BANGYA NOUPET (Nelson Apps), 17 avenue de Savoie, 78140 Vélizy-Villacoublay, Francia — nelson.apps.dev@gmail.com