Aviso Legal y Política de Privacidad

Responsable del tratamiento

• Responsable: Manuel Villanueva
• Contacto de privacidad: manuel.villanueva.dev@gmail.com

1. Introducción

En BuyBread nos tomamos muy en serio tu privacidad. Este documento describe cómo recopilamos, usamos, almacenamos y protegemos tu información personal cuando utilizas nuestra aplicación móvil.

Hemos diseñado BuyBread con un enfoque "privacidad por defecto":

• Puedes usar la app completamente en modo anónimo sin proporcionar ningún dato personal.
• Los datos se almacenan localmente en tu dispositivo a menos que decidas voluntariamente crear una cuenta.
• No vendemos, alquilamos ni compartimos tus datos con terceros con fines comerciales.

2. Datos que Recopilamos

2.1 En modo anónimo (por defecto)

Si usas la App sin crear cuenta, todo se guarda localmente en tu dispositivo (AsyncStorage) y no tenemos acceso a ello:

• Listas de compra, items y su estado — almacenamiento local
• Tiendas y lugares guardados — almacenamiento local
• Tarjetas de fidelidad — almacenamiento local
• Preferencias de la app (radio de geocerca, etc.) — almacenamiento local
• Nombre de perfil opcional — almacenamiento local
• Ubicación GPS (cuando la app está activa) — sólo en memoria del dispositivo

En modo anónimo, ningún dato sale de tu dispositivo. No tenemos acceso a tu información.

2.2 Si creas una cuenta

Si decides crear cuenta, los siguientes datos se procesan en nuestros sistemas:

• Dirección de email — Identificación y recuperación de cuenta · Base legal: ejecución del contrato (art. 6.1.b RGPD)
• Nombre para mostrar — Personalización del perfil · Base legal: consentimiento (art. 6.1.a RGPD)
• Foto de perfil (opcional) — Personalización · Base legal: consentimiento
• Listas, items, tiendas y tarjetas — Sincronización entre dispositivos y respaldo · Base legal: ejecución del contrato
• Coordenadas de lugares guardados — Sincronización de geocercas · Base legal: ejecución del contrato
• Metadatos de sesión (tokens JWT) — Mantener la sesión iniciada · Base legal: interés legítimo (art. 6.1.f RGPD)

Si inicias sesión con Google, también recibimos de Google tu email, nombre y foto de perfil públicos, según los permisos que aceptes en el flujo de OAuth.

2.3 Datos que NO recopilamos

• Historial de ubicación: No guardamos dónde has estado.
• Contactos: No accedemos a tu libreta de direcciones.
• Identificadores de publicidad: No usamos AdMob ni ningún SDK de anuncios.
• Datos de uso o analytics: No utilizamos Google Analytics, Firebase Analytics ni herramientas similares.

3. Cómo Usamos tus Datos

• Prestación del servicio — Gestionar tus listas, items, tiendas y tarjetas de fidelidad.
• Geofencing — El sistema operativo de tu dispositivo monitoriza las geocercas que tú configures. No recibimos eventos de ubicación en tiempo real.
• Notificaciones locales — Mostrarte recordatorios cuando entras en una tienda vinculada.
• Sincronización (sólo con cuenta) — Respaldar tus datos en Supabase y permitir acceso desde múltiples dispositivos.
• Comunicación — Enviarte emails de verificación, recuperación de contraseña o respuestas a consultas.
• Soporte técnico — Atender incidencias que nos comuniques.

4. Cómo Almacenamos y Protegemos tus Datos

4.1 Almacenamiento local (modo anónimo)

• Los datos se guardan en AsyncStorage, un almacenamiento local cifrado por el sistema operativo.
• El acceso está restringido al sistema operativo y a la propia app.
• Al desinstalar la app, estos datos se eliminan del dispositivo.

4.2 Almacenamiento en la nube (modo autenticado)

• Utilizamos Supabase como proveedor de backend y base de datos.
• Los datos se almacenan en servidores ubicados en la Unión Europea.
• Implementamos Row Level Security (RLS) en todas las tablas, de modo que sólo tú puedes acceder a tus datos.
• Las comunicaciones con Supabase se realizan mediante TLS/SSL (HTTPS).
• Las contraseñas nunca se almacenan en texto plano; Supabase utiliza bcrypt.

4.3 Medidas de seguridad

• Cifrado en tránsito (TLS 1.2+).
• Autenticación mediante JWT con expiración y refresco automático.
• Validación de permisos a nivel de fila (RLS) en la base de datos.
• No almacenamos información de tarjetas de pago ni datos bancarios.

5. Servicios de Terceros

Supabase (supabase.com)

• Función: Backend como servicio (autenticación, base de datos PostgreSQL, almacenamiento).
• Datos compartidos: Email, nombre, listas, items, tiendas, tarjetas (sólo si creas cuenta).
• Privacidad: supabase.com/privacy

Google Sign-In (Google LLC)

• Función: Autenticación opcional mediante cuenta de Google.
• Datos compartidos: Email, nombre público, foto de perfil (según tu consentimiento en el flujo OAuth).
• Privacidad: policies.google.com/privacy

OpenStreetMap / Nominatim / Overpass API

• Función: Búsqueda e importación de establecimientos públicos.
• Datos compartidos: Consultas de búsqueda. No se envían datos personales.
• Licencia: Open Database License (ODbL).
• Privacidad: OSM Foundation

Expo (expo.dev)

• Función: Plataforma de desarrollo y compilación de la app.
• Datos compartidos: No enviamos datos de uso a Expo en tiempo de ejecución.
• Privacidad: expo.dev/privacy

6. Ubicación y Geofencing

6.1 Ubicación en primer plano

Se utiliza cuando la app está abierta para:

• Ordenar tus listas por distancia a tu posición actual.
• Buscar tiendas cercanas mediante importación por GPS.

6.2 Ubicación en segundo plano

Se utiliza exclusivamente para:

• Permitir que el sistema operativo de tu dispositivo detecte cuándo entras en una geocerca configurada por ti.
• Disparar una notificación local recordándote las listas pendientes de esa tienda.

6.3 Lo que NO hacemos con tu ubicación

• No rastreamos tu posición en tiempo real.
• No almacenamos un historial de tus movimientos.
• No compartimos tu ubicación con terceros.
• No la usamos para publicidad ni perfilado.

El procesamiento de geofencing ocurre en tu dispositivo. Nuestros servidores nunca reciben coordenadas GPS de tu ubicación actual.

7. Tus Derechos (RGPD)

Como residente de la Unión Europea (o jurisdicciones con normativas similares), tienes los siguientes derechos sobre tus datos personales:

• Acceso — Solicitar una copia de tus datos almacenados en Supabase.
• Rectificación — Modificar tu nombre o email desde los ajustes de la app.
• Supresión ("derecho al olvido") — Cerrar sesión y solicitar eliminación completa de cuenta por email.
• Limitación del tratamiento — Dejar de usar la sincronización y volver al modo anónimo.
• Portabilidad — Solicitar exportación de tus datos en formato legible.
• Oposición — Revocar permisos desde los ajustes del sistema.
• No ser objeto de decisiones automatizadas — No realizamos perfilado ni decisiones automatizadas.

Para ejercer cualquiera de estos derechos, escribe a manuel.villanueva.dev@gmail.com. Responderemos en un plazo máximo de 30 días.

8. Conservación de los Datos

• Datos locales (modo anónimo) — Hasta que desinstales la app o borres los datos manualmente.
• Datos en Supabase (con cuenta) — Mientras mantengas la cuenta activa.
• Tokens de sesión — Hasta que cierres sesión o expiren (máx. 1 semana de inactividad).
• Datos tras eliminación de cuenta — Eliminados en un plazo máximo de 30 días tras tu solicitud.

9. Menores de Edad

BuyBread no está dirigida específicamente a menores de 16 años. Si tienes entre 16 y 18 años, te recomendamos revisar este aviso con un padre, madre o tutor legal.

Si detectamos que hemos recopilado datos personales de un menor de 16 años sin el consentimiento verificable de sus padres, procederemos a eliminar dicha información de inmediato.

10. Cambios en esta Política

Podemos actualizar este Aviso Legal y Política de Privacidad ocasionalmente. Te notificaremos cambios sustanciales mediante:

• Un aviso dentro de la app.
• Un banner o popup en la siguiente actualización.

Te recomendamos revisar este documento periódicamente.

11. Cookies y Tecnologías Similares

BuyBread es una aplicación móvil nativa, no un sitio web. No utilizamos cookies ni tecnologías de seguimiento web dentro de la app. La única forma de identificación persistente en modo autenticado es el token de sesión JWT almacenado de forma segura en AsyncStorage.

Para la web informativa que estás visitando ahora, consulta la Política de Cookies.

12. Transferencias Internacionales de Datos

Si el servidor de Supabase utilizado está ubicado en la UE, tus datos permanecen dentro del Espacio Económico Europeo (EEE). Si en el futuro migramos a una región fuera del EEE, implementaremos las salvaguardas adecuadas (Cláusulas Contractuales Tipo de la Comisión Europea) y te lo notificaremos.

13. Aceptación

Al instalar y usar BuyBread, confirmas que has leído y comprendido este Aviso Legal y Política de Privacidad. Si no estás de acuerdo, no debes usar la app ni crear una cuenta.