Política de privacidad.

1. Quiénes somos

Trail-Safe (el «Servicio») está desarrollado y operado por 2552 BV, una empresa con sede en los Países Bajos. En el App Store de Apple, la aplicación la publica Devidee B.V., titular de nuestra cuenta de desarrollador de Apple. Devidee B.V. no trata datos por su cuenta: es el mismo equipo, el mismo backend y la misma política. Para cualquier consulta sobre privacidad puedes escribirnos a privacy@paceguard.io.

2. Qué recogemos

Trail-Safe solo recoge lo que necesita para hacer su trabajo:

• Puntos de posición. Latitud, longitud, altitud y precisión, enviados por tu reloj mientras grabas una ruta.
• Frecuencia cardíaca. Pulsaciones por minuto, asociadas a cada punto mientras el sensor tenga permiso y esté midiendo. En el Apple Watch solo se lee de HealthKit mientras se graba una ruta — se muestra en tu mapa y se incluye en los avisos de SOS, pero nunca se escribe en iCloud ni se usa para publicidad. En Wear OS la aporta el sensor de muñeca del propio reloj.
• Identidad de la cuenta. Lo que recibimos depende de cómo inicies sesión: el ID de Google, la dirección de correo y el nombre visible que devuelve Google Sign-In (Wear OS y web); o, con Sign in with Apple (Apple Watch e iPhone), el nombre que Apple nos envía una sola vez en tu primer inicio de sesión y una dirección de correo — una dirección de retransmisión privada si elegiste Hide My Email. Con el inicio de sesión por código de correo, solo la dirección de correo; los códigos familiares solo guardan a qué familia perteneces y el nombre visible que elijas.
• Identificadores de dispositivo y sesión. Un ID de sesión aleatorio que genera tu reloj y el modelo del dispositivo, para poder agrupar los puntos en una sola ruta.
• Tokens de notificaciones. El token push de tu dispositivo — Firebase Cloud Messaging (FCM) en dispositivos Android, Apple Push Notification service (APNs) en dispositivos Apple — para poder entregar los avisos familiares.
• Mensajes de estado. Breves mensajes de «ping» (sin coordenadas) para que el panel sepa si tu reloj está conectado en este momento.
• Señales de SOS. Si activas el SOS en el reloj, registramos ese hecho junto con tu última posición conocida. El número de tu contacto de emergencia se queda en tu dispositivo — nuestro backend nunca lo recibe. El único ajuste de SOS que sí guardamos es si has aceptado alertar a usuarios de Trail-Safe cercanos (SOS comunitario); el resto permanece en el dispositivo.
• Enlaces para compartir en directo. Si creas un enlace para compartir tu ubicación en directo, guardamos el propio enlace, los dispositivos que eliges mostrar, su título y cuándo caduca. De quien abre el enlace solo guardamos un número de espectador aleatorio y cuándo se conectó su página por última vez — sin nombre, sin cuenta, sin cookie —, para poder limitar cuántas personas lo ven a la vez. Su dirección IP se usa durante unos segundos para limitar abusos y no se guarda — salvo que esa dirección abra una y otra vez enlaces que no existen (véase datos de seguridad más abajo).
• Datos de seguridad. Para proteger a las familias frente a abusos, contamos señales como códigos de familia o de excursión erróneos, tokens de inicio de sesión no válidos, enlaces que no existen y avalanchas de mensajes de SOS o de check-in. Solo cuando una red (dirección IP) o una cuenta supera un límite que el uso normal nunca alcanza registramos esa dirección o cuenta, qué límite fue y cuándo. Entonces podemos bloquearla durante un tiempo limitado. Estos datos no se usan para nada más. Cuando se crea una cuenta o se registra un reloj o un teléfono, también guardamos la dirección IP y la versión de la app o del navegador desde la que se hizo, y asignamos a la cuenta nueva una puntuación de riesgo. Así reconocemos oleadas de registros automatizados repartidas entre muchas direcciones. Una cuenta creada durante una oleada así se puede usar con normalidad, pero no puede compartir el acceso con otras personas hasta que se haya usado con un dispositivo o un plan, o hasta que la hayamos revisado. Estos datos se borran junto con la cuenta o el dispositivo.
• Claves y webhooks que creas. Si creas una clave de API (Home Assistant) o una clave SDK, guardamos un hash unidireccional de ella (nunca la clave en sí), el nombre que le diste, cuándo se creó y se usó por última vez y, en una clave SDK, las direcciones IP desde las que se puede usar. De un webhook guardamos su URL, su secreto de firma y un registro de entregas de los últimos 7 días.

No recogemos contactos, fotos, audio del micrófono, actividad del reloj fuera de Trail-Safe, ni dato alguno mientras la aplicación está cerrada. El nombre y el número de un contacto de emergencia se eligen o se teclean en tu propio dispositivo, y allí se quedan.

3. Por qué lo recogemos

• Para mostrarte tus rutas — la función central del panel.
• Para que el indicador de presencia en directo sea fiable — para que tú y tus contactos veáis si el reloj está conectado ahora mismo.
• Para entregar los avisos de SOS — para que tu última posición esté disponible cuando haga falta ayuda.
• Para mantener el Servicio en marcha — registros técnicos mínimos (errores, número de peticiones) que nos permiten corregir fallos.
• Para protegerte a ti y al Servicio frente a abusos — detectar y detener el adivinado de códigos, los registros automatizados, el abuso de tokens de inicio de sesión y las pruebas con tarjetas robadas.

Conforme al RGPD, nuestra base jurídica es la ejecución del contrato (artículo 6.1.b) para las funciones de mapa y SOS, y el interés legítimo (artículo 6.1.f) para corregir fallos y prevenir abusos. Las integraciones que configuras tú (claves de API, claves SDK, webhooks) también se basan en la ejecución del contrato: las pides tú y solo funcionan mientras las mantengas activadas.

3a. Qué no recogemos deliberadamente

La forma más rápida de mantener tus datos a salvo es no almacenarlos. Trail-Safe nunca recoge:

• Credenciales de acceso. Trail-Safe no mantiene ningún almacén de contraseñas. La verificación de identidad está delegada en Google Sign-In (Wear OS y web) o en Sign in with Apple (dispositivos Apple); nuestro backend solo recibe el token de identidad firmado que el proveedor emite tras un inicio de sesión correcto. Nunca vemos ni guardamos tu contraseña de Google o de Apple.
• Datos de pago o de tarjeta. Las suscripciones las cobra Google Play; cuando se introduzcan compras en el App Store, Apple las cobrará de la misma manera. Nuestro backend conserva únicamente el token de compra necesario para validar la suscripción — ningún dato de tarjeta, jamás.
• Contactos, fotos, micrófono o archivos. La aplicación del reloj no solicita estos permisos, y nuestro backend no expone ninguna interfaz para recibirlos.
• Analítica de comportamiento. Nada de Google Analytics, píxel de Meta, Mixpanel, perfilado de Sentry ni SDK publicitarios. El panel no incluye ni un solo rastreador de terceros. Las visitas a nuestra web pública las contamos nosotros mismos, sin cookies (interés legítimo: saber qué páginas ayudan a la gente): por día guardamos solo cuántas veces se vio cada página, qué sitio enlazó a ella, y el país, el tipo de dispositivo y el idioma. Para estimar cuántas personas distintas nos visitaron, tu dirección IP y tu navegador se cifran con un hash usando una clave que cambia cada día y luego se descarta; no guardamos ninguno de los dos y no podemos reconocerte otro día. No contamos los navegadores que envían Do Not Track o Global Privacy Control, ni las páginas con sesión iniciada ni los enlaces para compartir en directo.
• Huellas digitales de dispositivo. Ni IMEI, ni identificador publicitario, ni sondeo de resolución de pantalla, ni inventario de aplicaciones instaladas. El único identificador de dispositivo que consta es el UUID emitido en el primer registro.

Exposición ante una brecha. Los datos que guarda Trail-Safe son limitados por diseño. Ante un compromiso de la base de datos, el material expuesto sería el historial de ubicaciones, el nombre visible y el correo devueltos al iniciar sesión (una dirección de retransmisión privada de Apple si usas Hide My Email), y un token de compra. No quedarían expuestas credenciales, ni instrumentos de pago, ni medio alguno de acceder a tu cuenta de Google o Apple, porque Trail-Safe nunca guarda ese material.

4. Dónde se almacena

Todos los puntos, sesiones y datos de cuenta se almacenan en una base de datos PostgreSQL operada por Trail-Safe dentro del Espacio Económico Europeo. La comunicación entre el reloj, el panel y nuestro backend va cifrada con TLS.

También tenemos un servidor en Estados Unidos para que Trail-Safe responda rápido a las personas de América. Es solo un servidor de aplicación: no tiene base de datos ni almacenamiento de archivos, y lee y escribe tus datos directamente en nuestra base de datos de la UE mediante una conexión cifrada. Allí no se guarda nada sobre ti más allá de los registros operativos mínimos que mantiene cualquier servidor (consulta Cuánto tiempo lo conservamos). Tus datos se almacenan siempre en la UE y están protegidos por el RGPD dondequiera que uses Trail-Safe.

En tus dispositivos, los tokens de sesión se guardan en el Keychain en dispositivos Apple y con EncryptedSharedPreferences de Android (AES-256-GCM) en Wear OS, de modo que un dispositivo robado no puede leerlos en claro. Tus ajustes de SOS y el número de tu contacto de emergencia residen en el almacenamiento local de tu dispositivo y nunca lo dejan.

5. Cuánto tiempo lo conservamos

Dos relojes distintos. Los datos que describen dónde estuviste caducan solos; los que describen quién eres viven mientras viva la cuenta.

Borrado automático a los 90 días

• Historial de ubicaciones — cada punto de posición, cada migaja y cada ruta grabada.
• Datos de frecuencia cardíaca y actividad registrados junto a esos puntos.
• Registros de SOS y de detección de caídas — el aviso, la posición compartida con él y las respuestas recibidas.

Un proceso programado borra todo lo que queda fuera de esa ventana; nada anterior a 90 días la sobrevive, lo pidas o no. Por supuesto, también puedes borrar puntos, rutas y sesiones tú mismo antes de que llegue ese momento.

Conservado hasta que cierres tu cuenta

• Tu identidad — la cuenta de acceso, la dirección de correo y el nombre.
• Tus dispositivos, conexiones familiares, zonas de casa, rutas guardadas y waypoints.
• Datos de suscripción y compra, mientras exista la cuenta.

Estos no tienen plazo, porque borrarlos rompería el producto mientras sigues usándolo. Desaparecen cuando desaparece la cuenta.

Los otros dos relojes

• Cerrar tu cuenta: todo lo anterior se borra en un plazo de 30 días desde tu solicitud, copias de seguridad incluidas. Véase el apartado 6.
• Cuentas inactivas: si no inicias sesión (en el panel) ni conectas un reloj durante 90 días seguidos, la cuenta entera se elimina automáticamente. No te escribimos antes; la eliminación es precisamente el objetivo. Vuelve a iniciar sesión en cualquier momento antes de los 90 días y el reloj se pone a cero.
• Registros técnicos: rotados a los 30 días.
• Datos de seguridad: se borran a los 90 días; un bloqueo siempre termina solo (a más tardar a los 30 días).
• Enlaces para compartir en directo: un enlace deja de mostrar nada en cuanto caduca o lo detienes (solo un SOS en curso lo mantiene abierto hasta que termine). El registro del enlace se elimina 7 días después, y el de un espectador en menos de una hora tras cerrar la página.
• Claves revocadas: una clave de API o SDK que revocas deja de funcionar al momento y se elimina 30 días después.

Quien despliegue su propia instalación puede ajustar estos plazos desde la interfaz de administración. Para Trail-Safe, el plazo de conservación es de 90 días y el de eliminación, de 30 días.

6. Eliminar tu cuenta

Puedes cerrar tu cuenta tú mismo, en cualquier momento, desde https://trail-safe.app/delete-account/es. Inicia sesión ahí, confirma dos veces y nosotros hacemos el resto. Sin encuesta, sin llamada telefónica y sin ofertas para que te quedes.

Qué ocurre, y cuándo:

• De inmediato: se cierra la sesión de tus relojes y sales de todas las familias a las que pertenecías — tu nombre y tu posición desaparecen de su mapa al instante.
• En un plazo de 30 días: tu cuenta y todos los registros asociados se borran de forma permanente, incluidas nuestras copias de seguridad cifradas.
• Mientras tanto: la cuenta está cerrada pero es recuperable. Inicia sesión en esa misma página y cancela si cambias de opinión. Tus relojes y tus vínculos familiares no vuelven solos — hay que volver a vincularlos.

Qué se borra:

• Tu identidad: cuenta de acceso, dirección de correo, nombre y foto de perfil.
• Cada dispositivo, su sesión y su token de notificaciones.
• Cada punto de posición, ruta y migaja, en todos los dispositivos.
• Cada aviso de SOS y de caída, las posiciones compartidas con ellos y las respuestas.
• Zonas de casa, rutas guardadas, waypoints, áreas de mapa sin conexión, áreas de meteorología y enlaces para compartir en directo.
• Vínculos familiares en ambos sentidos, y cualquier invitación que hayas enviado o recibido.
• Notificaciones, claves de API, claves SDK y webhooks, datos de suscripción y compra, y registros de diagnóstico.

Eliminar tu cuenta no cancela una suscripción de Google Play. Esa la gestiona Google, no nosotros, y solo tú puedes cancelarla — en Play Store, en Pagos y suscripciones. Cancélala allí primero o seguirás pagando por una cuenta que ya no existe.

Solo conservamos lo que la ley nos obliga a conservar, y únicamente durante el tiempo que exige. En la práctica se trata de las facturas, que están en poder de nuestros proveedores de pago (Google Play, Mollie) bajo sus propias obligaciones fiscales de conservación; nuestras propias copias se borran con todo lo demás. Ningún dato de ubicación, frecuencia cardíaca o SOS se conserva jamás por ese motivo.

Si has perdido el acceso a la cuenta y no puedes iniciar sesión, escribe a privacy@paceguard.io desde la dirección asociada a la cuenta y lo haremos a mano, en un plazo de 30 días.

7. Tus derechos (RGPD)

Puedes, gratuitamente y en cualquier momento:

• Ver todo lo que tenemos sobre ti — el panel muestra cada punto y cada sesión.
• Exportar tus datos — con el botón de exportación de cada dispositivo.
• Borrar puntos sueltos, sesiones enteras o tu cuenta completa — en la app de iPhone en Ajustes → Eliminar cuenta, desde el panel, o escribiéndonos.
• Retirar el consentimiento para la frecuencia cardíaca o las notificaciones (en los ajustes del sistema del reloj).
• Presentar una reclamación ante tu autoridad nacional de protección de datos (en España, la AEPD).

Para ejercer cualquiera de estos derechos, escribe a privacy@paceguard.io. Respondemos en un plazo de 30 días.

8. Con quién compartimos datos

Compartimos datos con:

• Google — únicamente el token de identidad que tu reloj presenta al iniciar sesión, para que podamos comprobar que eres tú; Firebase Cloud Messaging entrega las notificaciones en dispositivos Android. A esa parte se le aplica la política de privacidad de Google.
• Apple — en dispositivos Apple, Sign in with Apple verifica tu identidad, Apple Maps (MapKit) carga las teselas de mapa que solicita tu dispositivo, APNs entrega las notificaciones y Apple opera la retransmisión privada de correo si usas Hide My Email. A esa parte se le aplica la política de privacidad de Apple.
• Mapbox — para dibujar las teselas del mapa en el reloj. Mapbox ve la zona que estás mirando, pero no tu identidad.
• Nuestros proveedores de infraestructura — proveedores de alojamiento y de bases de datos, vinculados contractualmente por contratos de encargo de tratamiento. Todo el almacenamiento está dentro del EEE; nuestro servidor en Estados Unidos no almacena ninguno de tus datos (consulta Dónde se almacena).
• Las personas a las que envías un enlace para compartir en directo — solo si creas uno. Quien tenga el enlace ve los dispositivos que elegiste: su posición actual, la ruta desde que se creó el enlace, los nombres de los dispositivos y cualquier SOS activo, hasta que el enlace caduque o lo detengas. No ve nada anterior al enlace ni ningún otro dato sobre ti. Un enlace funciona para cualquiera que lo tenga, así que compártelo solo con personas de confianza; puedes detenerlo en cualquier momento desde el panel.
• Herramientas que conectas tú — solo si configuras una. Una clave de API (Home Assistant), una clave SDK (Family Plus) o un webhook permite que un sistema de tu elección lea tus posiciones y tu actividad; en una familia, eso incluye la ubicación de los miembros de tu familia. Reciben un aviso cuando se crea uno que puede ver su ubicación, y pueden verlo en Who sees me. El SDK nunca transmite direcciones IP. Lo que ocurra con los datos allí es responsabilidad de quien gestione ese sistema. Puedes revocar una clave o un webhook en cualquier momento; deja de funcionar en menos de un minuto.

Nunca vendemos tus datos, y nunca los compartimos con redes publicitarias, intermediarios de datos ni herramientas de analítica que te perfilen.

9. Cookies

El panel usa una única cookie necesaria para mantener tu sesión iniciada. Sin píxeles de rastreo, sin cookies de terceros y sin cookie para contar las visitas a la web (ver analítica de comportamiento más arriba).

10. Menores

Trail-Safe no está destinado a personas menores de 13 años. No recogemos datos de menores a sabiendas. Si crees que un menor se ha registrado, escríbenos y eliminaremos la cuenta.

11. Cambios en esta política

Publicaremos aquí cualquier cambio y actualizaremos la fecha que aparece arriba. Los cambios sustanciales se anunciarán además dentro del panel.

12. Contacto

2552 BV (responsable del tratamiento)
Fichas del App Store publicadas por Devidee B.V.
privacy@paceguard.io