Skip to content
Comitio

Privacy Policy

Política de Privacidad de Comitio

DRAFT v1 — NO PUBLICAR SIN REVISIÓN LEGAL. Documento preparado como base para revisión por abogados habilitados en protección de datos en EU (FR, DE, ES, IT) y UK. No constituye asesoramiento legal. Última actualización: 2026-05-14.

Esta Política de Privacidad describe cómo [razón social LLC] (la "Compañía" o "Comitio") trata los datos personales de los Usuarios de la plataforma Comitio. Se aplica conjuntamente con los Términos y Condiciones.

1. Identidad del controlador

  • Controlador de datos (data controller): [razón social LLC], sociedad constituida en Delaware (Estados Unidos), con domicilio registrado en [dirección registrada].
  • Representante en la Unión Europea (GDPR Art. 27): [pendiente designación]. Una vez designado, se publicará aquí su denominación, dirección postal y correo electrónico de contacto.
  • Representante en el Reino Unido (UK-GDPR): [pendiente designación].
  • Delegado de Protección de Datos (DPO): no designado en V1. La Compañía evaluará la designación de un DPO si el volumen o naturaleza del tratamiento lo exige conforme al art. 37 GDPR.
  • Contacto para asuntos de privacidad: privacy@comitio.com

2. Datos que recolectamos

La Compañía aplica el principio de minimización de datos. La siguiente tabla detalla, campo por campo, qué datos recolecta la Plataforma, con qué finalidad, sobre qué base legal del GDPR/UK-GDPR y durante cuánto tiempo se conservan.

| Dato | Finalidad | Base legal | Conservación | | ------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------- | | Correo electrónico | Autenticación, comunicaciones transaccionales (confirmaciones de reserva, recordatorios, notificaciones de seguridad) | Ejecución del contrato (art. 6.1.b) | Mientras la cuenta esté activa; se elimina al cerrar la cuenta | | Hash de contraseña (si el Usuario elige contraseña en lugar de magic link) | Autenticación | Ejecución del contrato | Mientras la cuenta esté activa | | Nombre visible o alias | Identificación pública en la Plataforma | Consentimiento (art. 6.1.a) | Hasta que el Usuario lo modifique o cierre cuenta | | Rol (Acompañante / Solicitante) | Funcionalidad de la Plataforma | Ejecución del contrato | Mientras la cuenta esté activa | | Idiomas hablados, intereses, etiquetas de personalidad | Búsqueda y descubrimiento | Consentimiento | Hasta retirada o cierre de cuenta | | Ciudad y prefijo de código postal | Matching geográfico aproximado | Ejecución del contrato | Mientras la cuenta esté activa | | Foto de perfil (opcional) | Confianza visual entre Usuarios | Consentimiento explícito | Hasta retirada o cierre de cuenta | | Bio / descripción breve | Perfil público | Consentimiento | Hasta retirada o cierre de cuenta | | Categorías de actividad y disponibilidad (solo Acompañantes) | Búsqueda y descubrimiento | Ejecución del contrato | Mientras la cuenta esté activa | | Datos del perfil de Beneficiario (alias, rango de edad, idiomas, intereses, nivel de movilidad básico, ciudad/prefijo postal) | Coordinar Actividades Sociales adecuadas | Ejecución del contrato + consentimiento del Beneficiario obtenido por el Solicitante | Mientras el perfil exista | | Reservas (booking): fechas, lugar de encuentro genérico, contraparte, estado | Funcionalidad de coordinación | Ejecución del contrato | Mientras la cuenta exista; se anonimizan al cerrar cuenta si la contraparte conserva un interés legítimo en mantener el historial | | Mensajes intercambiados a través de la Plataforma (si la mensajería interna está habilitada) | Comunicación entre Usuarios; seguridad y resolución de disputas | Ejecución del contrato + interés legítimo (art. 6.1.f) | Mientras la cuenta exista; al cerrar cuenta se eliminan o anonimizan | | Reseñas (reviews) | Confianza y reputación | Ejecución del contrato + interés legítimo | Mientras la cuenta del reseñado exista; al cerrar cuenta, la reseña se anonimiza para preservar el contexto histórico del otro Usuario | | Aceptación de Términos y Privacy (timestamp) | Prueba de consentimiento y cumplimiento | Obligación legal (art. 6.1.c) + interés legítimo | Hasta cierre de cuenta + plazo de prescripción aplicable | | Consentimiento de marketing (opt-in separado) | Envío de comunicaciones no transaccionales | Consentimiento | Hasta retirada | | Locale e idioma preferidos, zona horaria | Personalización funcional | Ejecución del contrato | Mientras la cuenta exista | | Eventos de auditoría mínima (login, cambios de perfil, solicitudes de baja) | Seguridad e investigación de abuso | Interés legítimo | Hasta 180 días | | Errores y trazas de monitoreo (Sentry, sin PII) | Estabilidad técnica | Interés legítimo | Retención por defecto del proveedor en región EU | | Direcciones IP y user-agent procesados por proveedores de infraestructura (Cloudflare, Supabase) para seguridad, anti-abuso y rate-limiting | Seguridad de la Plataforma | Interés legítimo | Retención por defecto de cada proveedor (Cloudflare/Supabase); Comitio no mantiene logs propios adicionales en V1 |

3. Datos que NO recolectamos

Para reducir riesgos y respetar el principio de minimización, la Plataforma no recolecta en V1:

  • Datos de salud o categorías especiales del Beneficiario (diagnósticos, medicación, historia clínica, dependencia, discapacidades médicas). Los formularios de la Plataforma no contienen estos campos y, si un Usuario incluye dicha información en texto libre, se solicita su retirada.
  • Direcciones postales exactas. La Plataforma solo trabaja con ciudad y prefijo de código postal. La dirección concreta del encuentro, si la hay, se intercambia entre Usuarios fuera del repositorio público del perfil, una vez aceptada la reserva.
  • Datos de proveedores de identidad externos (Google, Apple, Facebook u otros). La Plataforma no ofrece registro mediante OAuth de terceros en V1.
  • Datos de pago, tarjetas de crédito, IBAN o cuentas bancarias. La Plataforma no procesa pagos en V1.
  • Datos biométricos.
  • Documentos de identidad oficiales. La Plataforma no exige verificación documental de identidad en V1.
  • Contacto de emergencia del Beneficiario. En V1 este campo no se recolecta. Se recomienda al Solicitante mantener dicha información por canales propios fuera de la Plataforma.

4. Cookies y tecnologías similares

4.1. En V1 la Plataforma utiliza únicamente cookies técnicas estrictamente necesarias para la autenticación, la persistencia de la sesión y la protección frente a ataques (anti-CSRF). Estas cookies no requieren consentimiento previo conforme a la Directiva ePrivacy y al TTDSG alemán.

4.2. La Plataforma no utiliza cookies de publicidad, cookies de rastreo de terceros, Google Analytics, Meta Pixel ni herramientas equivalentes en V1.

4.3. Si en el futuro se incorpora analítica, será un proveedor con tratamiento en EU y sin recolección de identificadores únicos (por ejemplo, Plausible self-hosted), y se publicará el cambio en esta Política con antelación.

5. Sub-procesadores

La Compañía utiliza los siguientes sub-procesadores. Todos los sub-procesadores que tratan datos personales lo hacen bajo un Data Processing Agreement (DPA) que cumple los art. 28 GDPR / 28 UK-GDPR.

| Sub-procesador | Función | País de tratamiento | | ---------------------------------- | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------ | | Supabase (Supabase, Inc.) | Base de datos (PostgreSQL), autenticación, almacenamiento de archivos | Frankfurt, Alemania (región EU) | | Mailgun (Sinch Email) | Envío de correos electrónicos transaccionales | Unión Europea (región EU del servicio) | | Cloudflare, Inc. | CDN, DNS, protección DDoS, hosting de la aplicación web (Workers/Pages) | Configurado en regiones EU cuando aplique; tráfico de borde global con minimización de PII | | Sentry (Functional Software, Inc.) | Monitoreo de errores y rendimiento, sin PII | Región EU |

La lista actualizada de sub-procesadores se publicará en esta Política. Cualquier cambio se notificará con al menos 30 días de antelación.

6. Transferencias internacionales

6.1. La Compañía es una sociedad constituida en Delaware (Estados Unidos). En consecuencia, determinada información (por ejemplo, accesos administrativos a la base de datos por parte de personal autorizado de la Compañía) puede implicar acceso desde fuera del Espacio Económico Europeo y del Reino Unido.

6.2. Estos tratamientos se cubren mediante Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (decisión 2021/914) y, para usuarios UK, mediante el UK International Data Transfer Addendum (IDTA) o el International Data Transfer Agreement del ICO, según corresponda.

6.3. El almacenamiento primario de datos personales de Usuarios permanece en la Unión Europea (Frankfurt) a través de Supabase. La Compañía no realiza transferencias rutinarias de datos personales fuera de EU/UK.

7. Derechos del Usuario

7.1. De acuerdo con los art. 15 a 22 del GDPR y los art. equivalentes del UK-GDPR, el Usuario tiene derecho a:

  • Acceso a los datos personales que le conciernen.

  • Rectificación de datos inexactos.

  • Supresión ("derecho al olvido"), salvo obligaciones legales de conservación.

  • Limitación del tratamiento.

  • Oposición al tratamiento basado en interés legítimo.

  • Portabilidad de los datos en formato estructurado, de uso común y lectura mecánica.

  • Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

  • No ser objeto de decisiones automatizadas con efectos jurídicos significativos. La Compañía no realiza decisiones automatizadas en este sentido en V1 (la búsqueda y sugerencia de perfiles es orientativa y no produce efectos legales por sí misma).

    7.2. Derecho a presentar reclamación ante la autoridad de control competente:

  • Francia: CNIL — https://www.cnil.fr

  • Reino Unido: ICO — https://ico.org.uk

  • Alemania: BfDI federal — https://www.bfdi.bund.de — y autoridades estatales (Landesbeauftragte) según el Estado federado de residencia

  • España: AEPD — https://www.aepd.es

  • Italia: Garante per la Protezione dei Dati Personali — https://www.garanteprivacy.it

  • Otros Estados EU: autoridad nacional de protección de datos correspondiente.

8. Cómo ejercer los derechos

8.1. El Usuario puede ejercer cualquiera de los derechos descritos enviando un correo electrónico a privacy@comitio.com desde la dirección de correo asociada a su cuenta, o mediante el panel de configuración de la cuenta cuando la funcionalidad esté disponible.

8.2. La Compañía responderá sin dilación indebida y, en cualquier caso, en el plazo de un (1) mes desde la recepción de la solicitud. Este plazo puede prorrogarse otros dos (2) meses cuando la complejidad o el número de solicitudes lo justifique, conforme al art. 12.3 GDPR.

8.3. La Compañía podrá solicitar información adicional razonable para verificar la identidad del solicitante antes de actuar.

8.4. El ejercicio de derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

9. Eliminación de cuenta

9.1. El Usuario puede eliminar su cuenta desde el panel Ajustes > Privacidad > Eliminar cuenta. La acción requiere confirmación.

9.2. Al ejecutarse la eliminación:

  • Se elimina el perfil público y los datos del Usuario en las tablas principales.

  • Se anonimizan las reseñas emitidas por el Usuario y los mensajes intercambiados, de modo que la contraparte conserve el contexto sin que sea posible re-identificar al Usuario eliminado.

  • Se eliminan las fotos de perfil del almacenamiento.

  • Se cancelan las reservas futuras y se notifica a la contraparte.

  • Se revocan las sesiones activas.

  • Se cancela cualquier consentimiento de marketing.

    9.3. Determinados datos pueden conservarse por obligación legal o por interés legítimo acotado, durante el tiempo estrictamente necesario y aislados del uso operativo:

  • Registros de aceptación de Términos y Privacy: hasta el plazo de prescripción aplicable.

  • Eventos de auditoría de seguridad (sin contenido personal recuperable): hasta 180 días.

  • Información necesaria para defender o ejercer reclamaciones legales.

    9.4. La Compañía envía una confirmación por correo electrónico una vez completada la eliminación.

10. Datos de menores

10.1. La Plataforma está dirigida exclusivamente a personas mayores de 18 años. La Compañía no recolecta conscientemente datos de menores de edad.

10.2. Si la Compañía toma conocimiento de que ha recolectado datos de un menor, procederá a eliminar la cuenta y los datos asociados sin dilación, salvo obligación legal en contrario.

11. Brechas de seguridad

11.1. En caso de violación de la seguridad de los datos personales, la Compañía notificará a la autoridad de control competente en el plazo de 72 horas desde que tenga constancia de la brecha, conforme al art. 33 GDPR / UK-GDPR.

11.2. Cuando la brecha implique un alto riesgo para los derechos y libertades de los Usuarios, se notificará también a los Usuarios afectados sin dilación indebida, conforme al art. 34.

12. Cambios a esta Política

12.1. La Compañía puede actualizar esta Política. Los cambios materiales serán notificados por correo electrónico con al menos 30 días de antelación y mediante aviso visible en la Plataforma.

12.2. La fecha de "última actualización" en el encabezado refleja la versión vigente.

13. Contacto

  • Controlador: [razón social LLC]
  • Domicilio: [dirección registrada], Delaware, Estados Unidos
  • Correo de privacidad: privacy@comitio.com
  • Correo legal: legal@comitio.com
  • Representante GDPR (Art. 27): [pendiente designación]
  • Representante UK-GDPR: [pendiente designación]

PENDIENTE REVISIÓN LEGAL

Esta sección lista cuestiones a revisar con abogado especializado en protección de datos antes de publicar.

EU global (GDPR)

  • Designación efectiva del representante Art. 27 (proveedores candidatos: Prighter, EDPO, VeraSafe, DataRep). Coste anual y alcance.
  • Designación del representante UK-GDPR.
  • Necesidad o no de DPO formal conforme al art. 37 (no obligatorio para esta escala según interpretación preliminar; validar).
  • Adecuación de las bases legales asignadas campo por campo en la tabla del apartado 2. En particular, evaluar si "matching geográfico" cabe mejor como "interés legítimo" o "ejecución del contrato".
  • DPA con cada sub-procesador firmado antes del lanzamiento (Supabase, Mailgun, Cloudflare, Sentry).
  • SCCs / IDTA firmadas como controlador → controlador (Delaware ↔ representante EU/UK) o resolver la arquitectura legal de forma alternativa.
  • Conservación de mensajes y reseñas: validar que la anonimización propuesta (no eliminación total) cumple el derecho al olvido cuando la contraparte invoca interés legítimo (ver guidance EDPB sobre right to erasure).
  • Necesidad de DPIA (art. 35) para el tratamiento dirigido a personas potencialmente vulnerables (adultos mayores) aun cuando la Plataforma no procese datos médicos.

Francia (CNIL)

  • Versión francesa obligatoria para usuarios residentes en Francia (ley Toubon).
  • Análisis de la cláusula sobre cookies frente a la doctrina CNIL "cookies y otros traceurs" (2020).
  • Designación de un punto de contacto local si el volumen lo amerita.

Reino Unido (ICO)

  • Registro y pago de la tasa de protección de datos ante el ICO (£40-£2,900 según facturación).
  • Cumplimiento del PECR para comunicaciones electrónicas y cookies.
  • IDTA o Addendum a SCCs UE.

Alemania (BfDI / autoridades estatales)

  • Lenguaje claro alemán; las DSGVO-Hinweise deben ser comprensibles para el consumidor medio.
  • Verificar si la naturaleza del tratamiento exige designación de DPO según § 38 BDSG (umbral de empleados con tratamiento automatizado).
  • Cumplimiento del TTDSG para cookies y tecnologías similares.

España (AEPD)

  • Particularidades de la LOPDGDD (Ley Orgánica 3/2018), especialmente arts. 11-13 sobre transparencia y derecho de información.
  • Procedimientos del derecho al olvido frente a buscadores.

Italia (Garante)

  • Provvedimenti del Garante sobre cookie e analítica.
  • Eventual obligación de versión italiana.

Específico de Comitio

  • Tratamiento de los datos del Beneficiario cuando no es Usuario directo de la Plataforma: ¿quién es el "interesado"? ¿Quién recibe la información sobre el tratamiento? Recomendación inicial: que el Solicitante reciba un texto-modelo para informar al Beneficiario, y que la Política exija al Solicitante haberlo informado antes de crear el perfil.
  • Eventual reintroducción del campo "contacto de emergencia" en V1.5: requiere base legal específica para tratar datos de un tercero (el propio contacto), idealmente consentimiento informado previo verificable.
  • Política de retención de mensajes y reseñas tras inactividad prolongada (más allá del cierre voluntario de cuenta).
  • Procedimiento documentado de respuesta a solicitudes de autoridades policiales/judiciales (data request policy interna; no publicarla pero tenerla lista).
  • Revisión de la cláusula 9.2 sobre anonimización de reseñas: ¿la anonimización propuesta es suficientemente irreversible? ¿O exige hash + supresión de metadata?
  • Necesidad de cookie banner y consent management platform (CMP) en cuanto se incorpore cualquier analítica, incluso self-hosted.