Política de Privacidad

1. Quiénes somos

Qrious Technologies Inc. es una Delaware C-Corporation con sede en 251 Little Falls Drive, Wilmington, DE 19808, USA. Operamos la aplicación móvil QRIOUS, el sitio web qrious.social y los servicios relacionados.

Para consultas relacionadas con la privacidad, escríbanos a privacy@qrious.social.

2. Qué cubre esta política

Esta política se aplica tanto a la aplicación móvil QRIOUS como al sitio web qrious.social (en conjunto, el «Servicio»). qrious.social es el espacio público de nuestra app: comparte las mismas prácticas de privacidad y es el lugar de referencia para los documentos legales relacionados con la aplicación.

Se aplica a todos los usuarios del Servicio con independencia de su ubicación, aunque pueden corresponderle derechos adicionales según su jurisdicción (véase Sus derechos más abajo).

3. Requisito de edad

QRIOUS está diseñado para usuarios de 18 años en adelante. No recopilamos a sabiendas datos personales de menores de 18 años. Si tenemos conocimiento de que un usuario es menor de 18 años, eliminaremos sin demora su cuenta y los datos asociados. Si cree que un menor nos ha facilitado datos personales, póngase en contacto con nosotros en privacy@qrious.social.

4. Qué datos recopilamos

Información de la cuenta

Cuando crea una cuenta, recopilamos su dirección de correo electrónico, número de teléfono, nombre, fecha de nacimiento y género. Estos datos son necesarios para prestar el Servicio y verificar su elegibilidad.

Contenido del perfil

Usted decide qué compartir en su perfil. Esto incluye fotos, texto biográfico y los detalles de la persona que crea para cada uno de los siete contextos de QRIOUS (Romance, Community, Career, Adventure, Learn, Create y Family). Cada persona la configura usted de manera independiente.

Datos de ubicación

Recopilamos datos de ubicación para impulsar el matching, el descubrimiento y las recomendaciones de lugares. La ubicación se recopila mientras la aplicación se está usando activamente. El seguimiento de ubicación en segundo plano no está activado salvo que usted lo autorice expresamente desde los ajustes de su dispositivo. Puede revocar los permisos de ubicación en cualquier momento.

Datos de encuentros

QRIOUS utiliza confirmaciones mediante código QR (IRL Bridge) para verificar los encuentros presenciales entre usuarios. Recopilamos los datos de confirmación del encuentro (marcas de tiempo y usuarios participantes) para calcular niveles de confianza y mejorar la calidad de las coincidencias.

Información del dispositivo y técnica

Recopilamos automáticamente identificadores del dispositivo, versión del sistema operativo, versión de la app, dirección IP y registros de fallos y diagnóstico. Estos datos nos permiten mantener, solucionar problemas y mejorar el Servicio.

Datos de uso

Recopilamos información sobre cómo interactúa con el Servicio: patrones de uso de funciones, cambios de contexto, interacciones de matching y datos de sesión. Estos datos se utilizan con fines analíticos y de mejora del producto.

Comunicaciones

Los mensajes que envía a otros usuarios a través del Servicio se almacenan para entregarlos y poder ofrecer un historial de mensajes. Las solicitudes de soporte y las comunicaciones con nuestro equipo también se conservan.

Información de pago

Si realiza compras a través del Servicio, las transacciones de pago las procesan Apple, Google o Stripe. Nunca vemos ni almacenamos su número de tarjeta, su fecha de caducidad ni las credenciales de pago completas. Recibimos información limitada de la transacción por parte de nuestros procesadores de pago (confirmación del pago, nivel de suscripción, fecha de renovación, plataforma de compra).

5. Qué no recopilamos

Algunas cosas que hemos decidido deliberadamente no recopilar ni almacenar:

• El número de su tarjeta. Los pagos se procesan a través de Apple, Google o Stripe. Nunca vemos la tarjeta en sí, solo la confirmación de que se ha realizado una compra.
• Sus contactos, su calendario o su biblioteca de fotos completa. No importamos su lista de contactos, no leemos su calendario ni escaneamos su biblioteca de fotos. Las únicas fotos que llegan a nosotros son las que usted decide subir explícitamente a su perfil.
• Datos biométricos. Nunca recibimos su Face ID ni su huella dactilar. La biometría del dispositivo permanece en su dispositivo y desbloquea la app de forma local: nunca se nos transmite.
• Datos de salud o estado físico. No solicitamos ni leemos Apple Health, Google Fit, HealthKit ni ningún almacén de datos de salud en su dispositivo.
• Navegación entre apps o identificadores publicitarios. No utilizamos el iOS Advertising Identifier (IDFA) ni el Android Advertising ID para el seguimiento entre aplicaciones. No vendemos ni compartimos datos personales con redes publicitarias.
• El contenido de sus mensajes con fines publicitarios. No analizamos el contenido de sus conversaciones para segmentar anuncios ni para crear un perfil de sus intereses con destino a anunciantes.

6. Cómo usamos su información

• Matching y descubrimiento: Para conectarle con otros usuarios en los distintos contextos de QRIOUS en función de sus personas, preferencias y ubicación.
• Cálculo del nivel de confianza: Para determinar niveles de confianza a partir de encuentros presenciales confirmados mediante IRL Bridge, mejorando la calidad y seguridad de las conexiones.
• Recomendaciones de lugares: Para sugerir sitios y lugares relevantes en función de su ubicación y preferencias.
• Seguridad y moderación: Para detectar y prevenir el fraude, el abuso, el acoso y otras infracciones de nuestros términos de servicio.
• Analítica y mejora: Para entender cómo se usa el Servicio y mejorar las funcionalidades, el rendimiento y la experiencia de usuario.
• Comunicaciones: Para enviarle notificaciones relacionadas con el Servicio, responder a sus solicitudes de soporte y comunicarle actualizaciones del Servicio.
• Cumplimiento legal: Para cumplir con las leyes, reglamentos, procesos legales o requerimientos gubernamentales aplicables.

7. Base jurídica del tratamiento (RGPD)

Para los usuarios del Espacio Económico Europeo, del Reino Unido y de otras jurisdicciones que exigen una base jurídica para el tratamiento de datos personales, nos basamos en:

• Consentimiento (art. 6, apartado 1, letra a) RGPD): Usted otorga su consentimiento al crear su cuenta y al activar funciones opcionales como el seguimiento de ubicación en segundo plano o determinadas formas de compartir datos.
• Necesidad contractual (art. 6, apartado 1, letra b) RGPD): Tratamiento necesario para prestar el Servicio que usted ha solicitado: gestión de la cuenta, matching, mensajería y recomendaciones de lugares.
• Interés legítimo (art. 6, apartado 1, letra f) RGPD): Tratamiento necesario para nuestros intereses legítimos, incluidas la seguridad de la plataforma, la prevención del fraude, la detección de abusos y la analítica del servicio, siempre que esos intereses no se vean superados por sus derechos.
• Obligación legal (art. 6, apartado 1, letra c) RGPD): Tratamiento necesario para cumplir con las leyes aplicables, incluidas las respuestas a solicitudes válidas de las autoridades policiales o reguladoras.

8. Servicios que utilizamos

Somos transparentes sobre quién más toca sus datos. Cada uno de los proveedores que se enumeran a continuación tiene una función concreta, recibe únicamente lo que necesita y está sujeto a un contrato de tratamiento de datos que le prohíbe usar sus datos para cualquier otra finalidad.

• Supabase: base de datos, autenticación, almacenamiento de archivos. Almacena su cuenta, los datos de su perfil, sus fotos y el contenido de sus mensajes. Nuestro proyecto Supabase está alojado en AWS us-east-1 (Virginia del Norte, Estados Unidos).
• Firebase Cloud Messaging (Google): notificaciones push. Entrega notificaciones push a su dispositivo. Recibe un token de dispositivo, la carga útil de la notificación y metadatos de tiempo. Operado por Google en la infraestructura de Google Cloud.
• PostHog: analítica de producto. Registra eventos de uso anonimizados para ayudarnos a entender qué funciones se usan y dónde se atascan los usuarios. No enviamos a PostHog el contenido de sus mensajes, sus fotos ni los datos de su perfil.
• Sentry: informes de fallos y errores. Cuando la aplicación falla o se produce un error inesperado, Sentry recibe una traza de pila, el estado de la app e información del dispositivo (versión del sistema operativo, modelo, versión de la app) para ayudarnos a diagnosticar el problema. Eliminamos los datos personales (correos electrónicos, contenido de mensajes, campos de perfil) de los informes de error antes de enviarlos. Sentry está alojado en los Estados Unidos.
• RevenueCat: gestión de suscripciones. Gestiona el estado de su suscripción Flash, Glow y Aura a través de iOS, Android y la web. Recibe un identificador anonimizado de usuario, su nivel de suscripción, la fecha de renovación y la plataforma de compra. Nunca recibe el número de su tarjeta de pago: eso queda en manos de Apple, Google o Stripe. RevenueCat está alojado en los Estados Unidos.
• Apple App Store, Google Play, Stripe: procesamiento de pagos. Todas las compras se realizan a través de uno de estos tres. Ellos gestionan el número de tarjeta, la dirección de facturación y los impuestos. Nosotros solo recibimos una confirmación de que la compra se ha realizado, el nivel adquirido y la fecha de renovación.
• Nominatim (OpenStreetMap): búsquedas de ubicación. Convierte coordenadas en nombres de lugares legibles. Recibe únicamente una solicitud anonimizada con las coordenadas.
• Google Places API: datos de lugares. Se utiliza para mostrar bares, restaurantes y otros lugares en la función Places. Recibe únicamente la consulta de ubicación, no su cuenta ni su identidad.
• Klipy: biblioteca de GIF. Proporciona el selector de GIF dentro del chat. Recibe el término de búsqueda que usted escribe, no su cuenta ni el contexto del mensaje.
• Brevo: correos transaccionales. Envía correos transaccionales (confirmación de cuenta, restablecimiento de contraseña, avisos importantes). Recibe tu dirección de correo y el contenido del mensaje. Operado por Sendinblue SAS en Francia. Base jurídica: art. 6, ap. 1, letra b (ejecución del contrato).
• Brevo: lista de marketing. Cuando te registras en qrious.social para recibir novedades, añadimos tu correo a una lista de Brevo con doble opt-in. Base jurídica: art. 6, ap. 1, letra a (consentimiento). Puedes darte de baja en cualquier momento desde cualquier correo.
• AWS Amplify (Amazon Web Services): alojamiento web. qrious.social está alojado en AWS Amplify en la región ap-southeast-1 (Singapur). Solo recibe lo necesario para servir el sitio: URL de la solicitud, dirección IP, user-agent. Base jurídica: art. 6, ap. 1, letra f (interés legítimo en entregar y proteger el sitio).
• Cloudflare: red de distribución de contenido (CDN). Utilizamos Cloudflare, Inc. (EE. UU.) como CDN delante de nuestro alojamiento web para la entrega de activos estáticos, el enrutamiento en el borde y la protección frente a DDoS. Cloudflare ve la URL solicitada, su dirección IP y los encabezados estándar de la petición, pero no tiene acceso a su cuenta ni al contenido de sus mensajes. Base jurídica: art. 6, ap. 1, letra f, interés legítimo en la prestación y seguridad del sitio.
• Cambios en los subencargados. Cuando añadimos, retiramos o sustituimos un subencargado que trata datos personales, actualizamos esta lista. Cuando lo exija la normativa, daremos a los clientes de la UE/Reino Unido un preaviso razonable.

9. Dónde residen sus datos

Qrious Technologies Inc. tiene su sede en los Estados Unidos, pero el Servicio funciona sobre infraestructura en varias regiones. Nuestros centros de datos principales están en la Unión Europea (Frankfurt) y en la región Asia-Pacífico (Singapur), con algunos proveedores operando en los Estados Unidos.

Para usuarios del Espacio Económico Europeo, el Reino Unido y Suiza, garantizamos que las transferencias internacionales de datos personales se realizan conforme a la normativa aplicable, con salvaguardias adecuadas: cláusulas contractuales tipo de la Comisión Europea (SCC), el International Data Transfer Addendum del Reino Unido (IDTA) y, para transferencias a EE. UU., recurriendo a proveedores certificados bajo el Data Privacy Framework UE-EE. UU. (DPF) y sus extensiones para Reino Unido y Suiza, cuando estén disponibles. Se aplican medidas técnicas y organizativas adicionales cuando es necesario.

10. Sus derechos

EEE, Reino Unido y Suiza (RGPD y UK GDPR)

En función de su jurisdicción, le asisten los siguientes derechos en relación con sus datos personales:

• Acceso: Solicitar una copia de los datos personales que conservamos sobre usted.
• Rectificación: Solicitar la corrección de datos personales inexactos o incompletos.
• Supresión: Solicitar la supresión de sus datos personales, con sujeción a las obligaciones legales de conservación.
• Portabilidad: Solicitar sus datos en un formato estructurado, de uso común y legible por máquina.
• Retirada del consentimiento: Cuando el tratamiento se base en el consentimiento, puede retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.
• Oposición al tratamiento: Oponerse al tratamiento basado en intereses legítimos, incluida la elaboración de perfiles.
• Limitación del tratamiento: Solicitar que limitemos el tratamiento de sus datos en determinadas circunstancias.
• Decisiones automatizadas: No ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en usted o le afecte significativamente de modo similar (art. 22 RGPD). Véase la sección 11 para su aplicación a QRIOUS.
• Presentar una reclamación: Presentar una reclamación ante su autoridad local de protección de datos. Los usuarios del Reino Unido pueden contactar con la Information Commissioner’s Office (ICO) en ico.org.uk.

California (CCPA / CPRA)

Si reside en California, la California Consumer Privacy Act le otorga derechos adicionales:

• Categorías recopiladas: Identificadores, datos de la cuenta, geolocalización, actividad en internet e inferencias derivadas de lo anterior.
• Fuentes: Directamente de usted, de forma automática desde su dispositivo y de los proveedores de servicios indicados arriba.
• Finalidades: Operar el Servicio, comunicarnos con usted, protegernos frente al fraude y los abusos y cumplir con la ley.
• Destinatarios: Únicamente los proveedores de servicios enumerados en la sección 8. No vendemos ni compartimos datos personales para publicidad conductual entre contextos.
• Sus derechos: Derecho a saber, derecho a suprimir, derecho a corregir, derecho a oponerse a la venta o la compartición (no vendemos) y derecho a no sufrir discriminación por ejercer estos derechos.
• Información personal sensible (Cal. Civ. Code §1798.121): Tratamos geolocalización precisa e inferencias sobre tus preferencias en el contexto Romance. Tienes derecho a limitar nuestro uso de esta información sensible a lo necesario para prestar el Servicio. Escribe a privacy@qrious.social con el asunto «Limit SPI» para ejercer este derecho.
• Revisión de los últimos 12 meses (§1798.130(a)(5)): Las categorías de información personal descritas arriba reflejan lo que hemos recopilado, utilizado y divulgado con fines comerciales en los doce meses anteriores a la fecha de entrada en vigor de esta política. Durante ese período, no hemos vendido ni compartido información personal con fines de publicidad conductual intercontextual.
• Global Privacy Control (GPC): Tratamos una señal Global Privacy Control enviada por su navegador como una solicitud válida de exclusión de cualquier venta o intercambio de información personal con fines de publicidad conductual intercontextual, conforme a las directrices del Fiscal General de California. Actualmente no vendemos ni compartimos, pero la señal queda registrada en su sesión.

Para ejercer cualquiera de estos derechos, escriba a privacy@qrious.social. Responderemos en un plazo de 30 días.

11. Categorías especiales de datos y decisiones automatizadas

Categorías especiales de datos (art. 9 RGPD)

QRIOUS incluye un contexto Romance. Tu decisión de compartir contenidos en este contexto puede, por inferencia, revelar información sobre tu orientación sexual, categoría especial conforme al art. 9 del RGPD. Solo tratamos estos datos con tu consentimiento explícito conforme al art. 9, ap. 2, letra a. Ese consentimiento se recoge mediante una ceremonia específica en la app cuando activas la persona Romance por primera vez: la pantalla explica qué se infiere, por qué lo pedimos y que puedes retirar el consentimiento en cualquier momento desactivando la persona o eliminando la cuenta. Sin ese consentimiento, el contexto Romance simplemente no se activa.

Decisiones automatizadas (art. 22 RGPD)

No tomamos decisiones exclusivamente automatizadas que produzcan efectos jurídicos o efectos significativos similares. Dos sistemas usan algoritmos como soporte a la decisión: (a) la puntuación Trust Tier, calculada a partir de encuentros confirmados vía IRL Bridge y unas pocas señales de comportamiento, y (b) el ranking de matches, que sugiere posibles conexiones dentro de un contexto. Ambos pueden ser revisados por un humano a petición. Las acciones de moderación (avisos, suspensiones, bans) son revisadas por un humano antes de hacerse definitivas. Puedes pedir revisión humana de cualquier decisión que te afecte escribiendo a privacy@qrious.social.

12. Conservación de datos

• Cuentas activas: Conservamos sus datos mientras su cuenta esté activa y durante el tiempo necesario para prestar el Servicio.
• Cuentas eliminadas: Cuando elimina su cuenta, suprimimos los datos de su perfil, sus personas y sus coincidencias en un plazo de 30 días. Algunos datos pueden conservarse durante más tiempo si así lo exige la ley o por motivos legítimos de seguridad (por ejemplo, registros relacionados con denuncias de abuso).
• Mensajes: Los mensajes se eliminan cuando ambos participantes han eliminado sus cuentas. Si solo uno de los participantes elimina su cuenta, el usuario restante conserva el acceso a la conversación.
• Datos anonimizados: Los datos agregados y anonimizados que no permiten identificarle pueden conservarse de forma indefinida con fines analíticos y de mejora del producto.

13. Seguridad de los datos

Aplicamos medidas de seguridad acordes con los estándares del sector para proteger sus datos personales frente al acceso, la alteración, la divulgación o la destrucción no autorizados:

• Cifrado de los datos en tránsito (TLS) y en reposo.
• Controles de acceso y autenticación para los sistemas internos.
• Evaluaciones de seguridad y supervisión periódicas.
• Procedimientos de respuesta ante posibles brechas de datos.

Ningún método de transmisión por internet o de almacenamiento electrónico es 100 % seguro. No podemos garantizar la seguridad absoluta, pero nos comprometemos a abordar sin demora cualquier incidente.

Violaciones de datos personales: cuando estemos obligados a notificar a una autoridad de control conforme al art. 33 del RGPD, lo haremos sin dilación indebida y, en lo posible, dentro de las 72 horas siguientes a tener conocimiento de la violación. Cuando la violación entrañe un alto riesgo para sus derechos y libertades, también se lo comunicaremos sin dilación indebida conforme al art. 34, describiendo la naturaleza de la violación, sus posibles consecuencias, las medidas adoptadas y un punto de contacto para más información. Se realizarán notificaciones equivalentes conforme al RGPD del Reino Unido, al PDPA tailandés y al art. 1798.82 del Cal. Civ. Code, cuando dichas leyes resulten aplicables.

14. Cookies y almacenamiento local (solo sitio web)

Esta sección se aplica al sitio qrious.social. La aplicación móvil QRIOUS no utiliza cookies. En la primera visita aparece un banner de consentimiento con tres botones (Aceptar todo, Rechazar todo, Personalizar). Su elección se guarda únicamente en su navegador y puede modificarse en cualquier momento a través de «Gestionar cookies» en el pie de página.

Lo que se ejecuta hoy en qrious.social:

Las cuatro son estrictamente necesarias para el funcionamiento del sitio. Actualmente no se establecen cookies de análisis ni de marketing. Cuando se añada un proveedor, solo se cargará si usted ha dado su consentimiento.

Categorías de consentimiento mostradas en el banner:

• Estrictamente necesarias: Imprescindibles para el funcionamiento del sitio (las cuatro anteriores). No pueden desactivarse.
• Análisis, desactivadas por defecto: Nos permitirían entender qué páginas se cargan y cuáles fallan. Hoy no hay ningún proveedor de análisis instalado.
• Marketing, desactivadas por defecto: Nos permitirían medir el efecto de las campañas. Hoy no se ejecuta ningún script de marketing.
• Sin cookies publicitarias, sin seguimiento entre sitios. No utilizamos cookies publicitarias de terceros ni permitimos seguimiento conductual entre sitios. Esto es independiente de la elección anterior.

Cuando la ley lo exija (EEE, Reino Unido), solicitamos su consentimiento antes de establecer cookies no esenciales y no presumimos el consentimiento por continuar navegando. Puede retirar su consentimiento en cualquier momento mediante «Gestionar cookies» en el pie de página.

15. Representante en la UE (art. 27 RGPD)

Al estar establecidos fuera de la Unión Europea pero ofrecer el Servicio a personas en la UE, hemos designado un representante conforme al art. 27 del RGPD. Las personas interesadas en la UE y las autoridades de control pueden dirigirse a nuestro representante para cualquier cuestión relacionada con el tratamiento de datos personales.

Representante: Pablo Daniel Oba

Dirección: Berlín, Alemania

Correo electrónico: dpo@qrious.social

16. Contacto

Si tiene preguntas, inquietudes o solicitudes relacionadas con esta Política de Privacidad o con nuestras prácticas de datos, póngase en contacto con nosotros en:

Consultas de privacidad: privacy@qrious.social

Correo postal: Qrious Technologies Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA

17. Tailandia (PDPA)

Si accede al Servicio desde Tailandia, además de los derechos enumerados arriba se aplica la Personal Data Protection Act B.E. 2562 (2019). En su momento publicaremos una versión en tailandés de esta política; mientras tanto, esta sección resume los derechos y bases aplicables a los usuarios en Tailandia.

• Bases jurídicas (secs. 24 y 26). Tratamos los datos personales sobre la base de su consentimiento, necesidad contractual, nuestro interés legítimo u otra base reconocida por el PDPA.
• Sus derechos. Puede solicitar acceso, rectificación, supresión, limitación u oposición al tratamiento, portabilidad de datos y retirar el consentimiento. Puede presentar reclamación ante el Personal Data Protection Committee (PDPC) de Tailandia.
• Transferencias transfronterizas (sec. 28). Transferimos datos personales a proveedores en Estados Unidos, Singapur y la Unión Europea. Las transferencias se basan en la adecuación, su consentimiento, la necesidad contractual o garantías adecuadas conforme a la sección 28 del PDPA.
• Datos sensibles (sec. 26). La información que pueda inferirse sobre su orientación sexual a través de la persona Romance se trata únicamente sobre la base de su consentimiento explícito.

Contacto de privacidad: privacy@qrious.social