Política de privacidad
Esta política explica qué datos trata Ephemeria, por qué, con quién, durante cuánto tiempo y cómo ejercer tus derechos. Describe lo que la aplicación hace realmente.
1. Quién es responsable
El responsable del tratamiento es EPHEMERIA, 148 rue de la Pompe, 75116 Paris, France (detalles en el aviso legal).
- Para cualquier pregunta sobre tus datos o para ejercer tus derechos: privacy@ephemeria.app
- Para todo lo demás: support@ephemeria.app
No hemos designado un delegado de protección de datos, ya que no es obligatorio para nuestra actividad. privacy@ephemeria.app es nuestro punto de contacto único en materia de protección de datos.
2. Lo esencial
- Ephemeria es solo para estudiantes de 18 años o más con una dirección de correo universitario.
- Sin publicidad, sin venta ni alquiler de datos, sin perfiles publicitarios, sin SDK de analítica ni rastreadores de terceros.
- Todo está limitado a tu universidad: los estudiantes de otros centros no pueden verte.
- Una sola medida de uso: una línea por cada día que abres la app (tu identificador de cuenta y la fecha). Sin identificador publicitario, sin dirección IP, sin duración de sesión, sin pantallas vistas.
- Tu fototeca se lee en tu teléfono: una foto solo se envía si tú decides enviarla.
- Puedes descargar tus datos y eliminar tu cuenta desde la app en cualquier momento.
3. Datos, finalidades y bases jurídicas
Las bases jurídicas son las del artículo 6 del RGPD: contrato (necesario para prestarte el servicio que pides), obligación legal, interés legítimo (ponderado con tus derechos; puedes oponerte) y consentimiento (que puedes retirar en cualquier momento).
| Datos | Para qué | Base jurídica |
|---|---|---|
| Cuenta: correo universitario, identificador de cuenta, universidad (deducida del dominio de tu correo), estado de la cuenta, fecha de registro. Un código de acceso de 8 cifras enviado por correo, válido durante 1 hora. | Crear tu cuenta, permitirte entrar sin contraseña, comprobar que eres estudiante de un centro incluido. | Contrato |
| Edad: fecha de nacimiento. | Comprobar que tienes 18 años o más. Es una declaración: no pedimos documentos de identidad. | Contrato (condición de acceso) e interés legítimo |
| Perfil: nombre y apellidos, nivel de estudios, programa o especialidad, año previsto de graduación, intereses, sectores profesionales, biografía, tema e idioma. | Mostrar tu perfil a los estudiantes de tu campus; proponer comunidades y eventos relacionados con tus elecciones. | Contrato |
| Aceptación de las condiciones: versión aceptada y fecha (hora del servidor). | Probar qué aceptaste y cuándo. | Obligación legal e interés legítimo |
| Eventos: eventos que creas (incluida la ubicación en el mapa), respuestas «Voy» públicas o privadas, invitaciones, recordatorios. | Hacer funcionar los eventos de tu campus. | Contrato |
| Asistencia: o bien el escaneo de tu entrada (cuenta que escanea, hora del servidor), o bien tu autoconfirmación (hora de tu declaración). La fuente siempre se conserva: una declaración nunca se registra como un escaneo. | Crear tus estrellas y abrir el acceso a los recuerdos de un evento. | Contrato |
| Entradas y pagos: pedido (evento, tipo de entrada, precio y moneda fijados al hacer el pedido, estados de pago, reembolso y disputa, identificadores técnicos de Stripe), entrada y su código QR, transferencias (de quién, a quién, cuándo), respuestas pedidas por el organizador (por ejemplo, un menú) y documentos solicitados. Los datos de tu tarjeta se introducen en la página de pago de Stripe: nunca los recibimos. | Vender y entregar tu entrada por cuenta de la asociación, gestionar reembolsos, transferencias y disputas, llevar los registros contables. | Contrato; obligación legal (contabilidad) |
| Fotos y recuerdos: fotos que envías a una Nebulosa (la foto y su hora de captura), tu foto de La Minute (hecha en la app, con la hora de la sesión de captura), resúmenes de eventos, tus solicitudes «soy yo, ocultar». | Construir el álbum del evento, publicado a las 11:00, una vez terminado el evento; proteger a las personas fotografiadas. | Contrato; obligación legal para las solicitudes de retirada |
| Tu Cielo, el Cielo de promoción, En común: calculados a partir de tus asistencias confirmadas. La copia que se deposita en el Cielo de promoción no contiene ninguna identidad. | Mostrar tu Cielo, el cielo anónimo de tu promoción y, en un perfil, el número de eventos compartidos. | Contrato |
| Mensajes: mensajes privados (texto, imágenes, lugares que decides compartir), chats de eventos y de comunidades. | Permitirte hablar con otros estudiantes. | Contrato |
| Contenidos: publicaciones, comentarios, kudos, anuncios del mercado y sus fotos, anuncios de alojamiento y declaraciones, entregas en mano y disputas, canales, apuntes y fechas límite de clase, comunidades, asociaciones (membresías, funciones). | Hacer funcionar estas funciones. | Contrato |
| Pasaporte (registro de confianza): asistencias, entregas realizadas, disputas y nivel de prueba. | Permitir a los estudiantes saber si alguien acudió realmente o completó un intercambio. | Interés legítimo |
| Seguridad y moderación: denuncias, bloqueos, decisiones de moderación y sus motivos, recursos. Un texto rechazado por el filtro automático no se conserva. | Proteger a la comunidad, tramitar denuncias, cumplir nuestras obligaciones como prestador de alojamiento. | Obligación legal (ley francesa LCEN, Reglamento de Servicios Digitales de la UE) e interés legítimo |
| Medida de uso: una línea por cada día que abres la app con la sesión iniciada (identificador de cuenta y fecha, zona horaria Europa/París). Al registrarte, una línea «se creó una cuenta en tal universidad, tal día», anonimizada si eliminas tu cuenta. | Saber si los estudiantes vuelven. No se mide nada más. | Interés legítimo |
| Notificaciones: el token de notificaciones de tu dispositivo, si las autorizas. | La señal de La Minute, la notificación única cuando alguien nombra una constelación que contiene un evento en el que estuviste, y los recordatorios de eventos programados en tu teléfono. | Consentimiento (en tu teléfono, revocable en sus ajustes) |
| Actualizaciones de la app: cada vez que se abre, la app pregunta a Expo si existe una actualización correctiva. Esta petición transmite la dirección IP, la plataforma, la versión de la app y un identificador técnico aleatorio propio de la instalación. | Entregar rápidamente correcciones de seguridad y de errores. No usamos estos datos para medir el uso. | Interés legítimo |
| Soporte: los correos que nos envías. | Responderte y tramitar tus solicitudes. | Interés legítimo; obligación legal para las solicitudes RGPD |
| Universidades aún no incluidas: el dominio del correo y el número de intentos. Ninguna dirección, ningún nombre. | Saber dónde abrir a continuación. | Interés legítimo (sin datos personales) |
| Registros técnicos: dirección IP, fecha y hora, petición, en nuestro proveedor de alojamiento. | Seguridad, prevención de abusos, diagnóstico. | Interés legítimo |
4. Lo que se queda en tu teléfono
- Fototeca: después de un evento, la app puede localizar en tu teléfono las fotos hechas durante el evento (por la hora y, si está disponible, la ubicación de la foto). Esta selección se hace en tu dispositivo. No se envía nada hasta que pulsas «enviar», y puedes deseleccionar fotos. Las fotos se recodifican antes del envío: sus metadatos, incluida la ubicación GPS, no se transmiten; solo se transmite la hora de captura.
- Ubicación: se usa solo con la app abierta, para centrar el mapa en ti. Solo se guarda si decides compartir un lugar en un chat o poner un marcador en un evento. Nunca en segundo plano.
- Cámara: se usa solo cuando haces tu foto de La Minute o escaneas un código (entrada, entrega del mercado).
- Respuestas del registro: tus respuestas a las preguntas del registro se quedan en la memoria de la app hasta que se verifica tu correo universitario.
- Sesión: tu sesión se guarda en el almacenamiento seguro de tu teléfono.
5. Quién ve qué
- Los estudiantes de tu universidad: tu nombre, los campos de tu perfil (programa, nivel, año de graduación, intereses, sectores, biografía), tus publicaciones, anuncios y eventos, tus respuestas «Voy» públicas y tu insignia de Pasaporte. En el perfil de un estudiante con quien hayas compartido al menos un evento verificado, el número de eventos en común. Nunca tu correo ni tu fecha de nacimiento.
- Los estudiantes de otras universidades: nada. Lo impone la base de datos, no solo se oculta en pantalla.
- Las personas presentes en un evento: las fotos de la Nebulosa, publicadas a las 11:00, una vez terminado el evento, para las personas autorizadas a abrir el álbum. Cada foto lleva el nombre de su autor.
- La asociación organizadora de un evento en el que te inscribes: tu nombre, tu entrada, tu asistencia, las respuestas que pidió y el estado del pago o reembolso. Su panel (L’Observatoire) solo muestra cifras agregadas, nunca nombres.
- El Cielo de promoción: anónimo por construcción; nadie puede encontrarse ni encontrar a otra persona en él.
- El equipo de Ephemeria: solo cuando es necesario (soporte, moderación, seguridad, obligación legal).
- Las autoridades: ante una solicitud legal, dentro de los límites de la ley.
Cuando compras una entrada, la asociación organizadora es el vendedor. A través de su cuenta de Stripe recibe la información necesaria para el pago y para sus obligaciones contables, y es responsable del uso que hace de ella. Stripe trata tus datos de pago según su propia política de privacidad (stripe.com/es/privacy).
6. Proveedores y transferencias
Recurrimos a proveedores que tratan datos por nuestra cuenta, siguiendo nuestras instrucciones y bajo contrato (artículo 28 del RGPD).
| Proveedor | Función | Datos | Ubicación y garantías |
|---|---|---|---|
| Supabase, Inc. | Base de datos, autenticación, almacenamiento de archivos, funciones de servidor | Todos los datos del servicio | Datos alojados en la Unión Europea (Irlanda, Amazon Web Services, región eu-west-1). Empresa estadounidense: cualquier acceso está cubierto por las garantías indicadas abajo. |
| Resend, Inc. | Envío de los correos de acceso | Dirección de correo, contenido del correo (el código) | Envío desde la Unión Europea (eu-west-1). Empresa estadounidense. |
| Expo (650 Industries, Inc.) | Encaminamiento de notificaciones; actualizaciones correctivas de la app | Token de notificaciones, contenido de la notificación; dirección IP, plataforma, versión de la app, identificador técnico de instalación | Estados Unidos |
| Apple (APNs) y Google (Firebase Cloud Messaging) | Entrega de notificaciones a tu teléfono | Token del dispositivo, contenido de la notificación | Según sus condiciones |
| Stripe | Pago de entradas por cuenta de la asociación | Datos introducidos en la página de pago, importe, dirección de correo | Stripe Payments Europe (Irlanda); responsable independiente para sus propias obligaciones |
| Google Maps (Android) y Apple Mapas (iOS) | Mostrar mapas | Dirección IP, zona del mapa mostrada; tu ubicación si la muestras en el mapa | Según sus condiciones |
| Proveedor de alojamiento del sitio ephemeria.app | Alojar este sitio | Registros técnicos (dirección IP) | Ver el aviso legal |
Cuando un proveedor pueda acceder a datos desde fuera de la Unión Europea, la transferencia está cubierta por la decisión de adecuación de la Comisión Europea (Marco de Privacidad de Datos UE-EE. UU.) si el proveedor está certificado y, si no, por las cláusulas contractuales tipo de la Comisión Europea. Puedes pedir una copia en privacy@ephemeria.app.
7. Fotos y derecho a la propia imagen
- Publica la foto de una persona identificable solo si está de acuerdo. Esto también vale para las fotos de anuncios, publicaciones y mensajes.
- Las fotos de una Nebulosa y de La Minute permanecen selladas, también para su autor, hasta las 11:00, una vez terminado el evento. Solo las ven las personas autorizadas a abrir el álbum.
- ¿Te reconoces en una foto? En el álbum, un solo gesto «soy yo, ocultar» la oculta inmediatamente en tu teléfono y bloquea su visualización en el servidor mientras se revisa la solicitud. No podemos borrar una imagen que otro dispositivo ya haya mostrado o copiado.
- ¿No tienes acceso al álbum? Escribe a privacy@ephemeria.app indicando el evento, la fecha y lo que permite reconocer la foto. Revisamos la solicitud en un plazo de 72 horas, sin mostrarte otras fotos ni la lista de asistentes.
- No usamos ningún reconocimiento facial ni ninguna identificación automática de personas en las fotos.
- Capturas de pantalla: en Android, la captura está bloqueada en las pantallas de álbum. En iOS no se puede impedir; las fotos se difuminan durante una grabación de pantalla y, cuando esta función está activa, una captura hecha en una Nebulosa inscribe en ella tu nombre y la hora, visibles para las personas que estuvieron allí.
- Las fotos de anuncios y publicaciones se guardan en una dirección imposible de adivinar pero pública: cualquiera que tenga el enlace puede abrirla. Eliminar un anuncio o una publicación no borra inmediatamente la foto de nuestros servidores; se borra con tu cuenta, o antes si lo pides en privacy@ephemeria.app. Las imágenes de los mensajes privados solo son accesibles para los miembros de la conversación, mediante enlaces que caducan al cabo de una hora.
8. Plazos de conservación
| Datos | Plazo |
|---|---|
| Cuenta y perfil | Hasta que elimines tu cuenta. Una cuenta inactiva durante 3 años se elimina, tras un correo de aviso. |
| Fecha de nacimiento | Mientras exista la cuenta |
| Código de acceso | 1 hora |
| Mensajes privados | Hasta que se eliminen ellos o tu cuenta |
| Chats de eventos | Se eliminan automáticamente 24 horas después del final del evento |
| Fotos de Nebulosa, de La Minute y resúmenes | Mientras exista el álbum; tus fotos se eliminan con tu cuenta |
| Fotos de anuncios y publicaciones | Hasta que se elimine tu cuenta, o antes si lo pides |
| Apuntes de clase retirados por moderación | El acceso se corta de inmediato; los archivos se eliminan a los 30 días (plazo de recurso) |
| Asistencias | Mientras exista la cuenta. Tras eliminar la cuenta, los eventos en los que estuviste quedan registrados con un identificador anónimo, con tu campus y, si alguno se escaneó, tu año de promoción; no son visibles para nadie y solo sirven para los recuentos anónimos del Cielo de promoción |
| Pedidos, pagos, reembolsos | 10 años (obligación contable francesa, artículo L123-22 del Código de Comercio). Tras eliminar la cuenta, quedan vinculados a una clave anónima y ya no a ti. |
| Medida de uso (una línea por día de apertura) | 13 meses, después se elimina; se elimina inmediatamente con tu cuenta |
| Denuncias y decisiones de moderación | Mientras exista la cuenta; después se conservan sin tu identidad |
| Pasaporte (registro de confianza) | Mientras exista la cuenta; después se conserva sin tu identidad, para no reescribir el historial de la otra parte |
| Tokens de notificaciones | Hasta que cierres sesión, elimines tu cuenta o tu teléfono los invalide |
| Correos de soporte | 3 años desde el último intercambio |
| Registros técnicos | Como máximo 28 días |
| Dominios de universidades aún no incluidas | Sin límite: no contienen datos personales |
9. Eliminación de la cuenta y exportación
Puedes eliminar tu cuenta en cualquier momento desde la app (Ajustes → Eliminar mi cuenta), o por correo si ya no tienes la app. La solicitud surte efecto de inmediato (sesión cerrada, perfil oculto, accesos revocados) y el borrado termina en un plazo de 30 días, normalmente en pocos minutos. Todos los detalles están en la página Eliminar tu cuenta.
También puedes descargar una copia de tus datos en un archivo estructurado (Ajustes → Tus datos → Descargar mis datos).
10. Tus derechos
Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición (en particular a los tratamientos basados en el interés legítimo), derecho a retirar tu consentimiento en cualquier momento y derecho a dar instrucciones sobre el destino de tus datos tras tu fallecimiento.
Para ejercerlos, escribe a privacy@ephemeria.app desde la dirección de tu cuenta. Podemos pedirte que confirmes tu identidad. Respondemos en el plazo de un mes, prorrogable dos meses para una solicitud compleja (te lo diríamos).
Puedes presentar una reclamación ante la autoridad francesa de protección de datos (CNIL) en cualquier momento: www.cnil.fr/fr/plaintes, o 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia; o ante la autoridad del país de la UE en el que vivas (en España, la AEPD).
11. Seguridad
- Los derechos de acceso los aplica la propia base de datos (seguridad a nivel de fila): una app modificada no puede ver más.
- Sin contraseñas: accedes con un código enviado a tu correo universitario.
- Las comunicaciones están cifradas (HTTPS). Los archivos privados (imágenes de mensajes, apuntes, álbumes) solo son accesibles mediante enlaces temporales.
- El acceso del equipo a los datos se limita a lo necesario.
Si una violación de datos supone un riesgo para ti, la notificamos a la CNIL y, si el riesgo es alto, te avisamos.
12. Cookies y rastreadores
Este sitio no usa ninguna cookie y no carga ningún recurso externo (incluso las tipografías se alojan aquí). La app no usa identificador publicitario, rastreadores ni SDK de analítica. Solo guarda en tu teléfono lo necesario para funcionar (tu sesión, tus preferencias). La página de pago de Stripe, abierta en tu navegador, puede instalar sus propias cookies necesarias para la seguridad de los pagos, según la política de Stripe.
13. Edad mínima
Ephemeria es solo para personas de 18 años o más. El registro rechaza una fecha de nacimiento de menos de 18 años. Si sabemos que una cuenta pertenece a un menor, la eliminamos. Puedes avisarnos en privacy@ephemeria.app.
14. Decisiones automatizadas
Ephemeria no toma ninguna decisión totalmente automatizada que produzca efectos jurídicos o te afecte de forma significativa. Un filtro bloquea ciertas palabras al publicar; si crees que se ha equivocado, escribe a support@ephemeria.app. Sin elaboración de perfiles publicitarios.
15. Cambios
Si esta política cambia de forma importante, te avisamos en la app antes de que el cambio entre en vigor. La fecha de la versión figura al principio de esta página.