Política de privacidad
2026-10-25-privacy-v201Responsable y alcance
La responsable del tratamiento de datos de Echoris es Belen Cuenca Avellan, con NIF 48643590Q y domicilio en C. Vicente Savall 15, 03690 San Vicente del Raspeig, Alicante, España. Para consultas de privacidad o ejercer tus derechos puedes escribir a soporte@echorisapp.com. Algunos detalles de esta política siguen en proceso de comprobación. El carácter gratuito del servicio no elimina las obligaciones de protección de datos.
Esta política se aplica a la web, la aplicación móvil, el marketplace de audioguías, la biblioteca de compras, las herramientas de creadores y el modo live local. Los servicios externos que se abren fuera de Echoris pueden aplicar sus propias políticas; indicaremos su identidad cuando intervengan como responsables independientes.
02Datos que tratamos
Podemos tratar datos de cuenta como uid, email, nombre, foto, idioma, roles y estado de acceso al marketplace. También tratamos datos de guías y tours, como perfil público, bio, idiomas, redes, imágenes, audio, ciudad, precio, publicaciones y estado de revisión.
Para compras guardamos identificadores de compra, tour, publicación, importe, divisa, estado, identificadores de Stripe y entitlements de biblioteca. En reviews guardamos la puntuación, texto, estado de moderación y relación con el tour adquirido o reclamado.
La app móvil usa Firebase Auth para gestionar la identidad, incluida una identidad invitada con identificador propio aunque no inicies sesión con Google. Si eliges Google, se utilizan datos de cuenta como identificador, email, nombre y referencia a la imagen de perfil que facilite el proveedor. Una identidad invitada no significa ausencia de datos personales ni anonimato garantizado.
La app móvil usa Firebase Analytics para eventos de uso y estadísticas técnicas, y Firebase Crashlytics para errores y diagnóstico. Estos servicios pueden tratar identificadores técnicos, información del dispositivo, versión de app, eventos, errores y trazas. El inventario completo de campos automáticos y la configuración efectiva por plataforma están pendientes de verificar.
En el modo live se transmite la voz del guía a los participantes y, cuando está habilitado, se intercambian mensajes de chat. Las estadísticas técnicas son un tratamiento distinto del audio y los mensajes; describir Analytics o Crashlytics no describe por sí solo el recorrido ni la conservación de ese contenido. La app también utiliza red local, WiFi/hotspot y permisos del dispositivo según la función.
Si contactas con soporte tratamos el contenido de la consulta, adjuntos y comunicaciones necesarias para resolverla. Para creadores podemos tratar identidad, residencia fiscal, NIF, cuenta de pagos, actividad económica, documentación de verificación, contratos, ventas y liquidaciones. No solicitamos datos completos de tarjeta: los recibe directamente el proveedor de pagos.
03Finalidades del tratamiento
Usamos los datos para autenticar usuarios, crear y mantener cuentas, mostrar perfiles, publicar tours, procesar compras, conceder acceso a la biblioteca, gestionar reembolsos y liquidaciones, moderar reseñas y contenidos, atender soporte, enviar comunicaciones transaccionales, pedirte una valoración de un tour que has comprado y conservar evidencia de aceptaciones y consentimientos.
La petición de valoración se envía una sola vez por compra, se ampara en el interés legítimo de mostrar opiniones reales en el marketplace y puedes oponerte en cualquier momento: cada mensaje incluye una dirección de baja y basta con escribirnos para dejar de recibirlas, sin afectar al resto del servicio.
También podemos tratar información para proteger cuentas, prevenir fraude y abuso, investigar incidentes, depurar errores, mantener la continuidad del servicio, responder a autoridades, cumplir obligaciones fiscales y contables y defender reclamaciones. En móvil, la autenticación permite gestionar la identidad; Analytics aporta estadísticas de uso y Crashlytics ayuda a diagnosticar fallos. La voz y el chat live sirven para la comunicación entre participantes, no deben confundirse con esas estadísticas técnicas.
04Bases jurídicas
La ejecución del contrato ampara los tratamientos necesarios para autenticar, mantener la cuenta, entregar contenido, gestionar compras y prestar soporte. El cumplimiento de obligaciones legales ampara facturación, fiscalidad y respuesta a requerimientos. El interés legítimo puede amparar seguridad, prevención de fraude, diagnóstico y mejora proporcionada, previa ponderación y respetando el derecho de oposición.
Las bases jurídicas de cada tratamiento móvil, incluida la identidad invitada, las estadísticas y el diagnóstico, están pendientes de validar por finalidad. Este borrador no da por justificados todos los SDK por ejecución del contrato o interés legítimo. Cuando sea necesario consentimiento, deberán validarse tanto su obtención como su retirada; no se ha verificado un control en la app para desactivar Analytics o Crashlytics. Aceptar los términos no equivale a consentir marketing, tracking opcional, permisos del dispositivo ni cualquier finalidad distinta.
05Proveedores y destinatarios
Trabajamos con proveedores necesarios para prestar el servicio: Firebase/Google para autenticación, base de datos y storage; Stripe para pagos y checkout; Resend para emails transaccionales; y proveedores de hosting, seguridad y observabilidad. En la aplicación móvil usamos Firebase Auth, Firebase Analytics y Firebase Crashlytics para las funciones descritas; la web no carga analytics ni trackers de terceros. La relación definitiva de entidades proveedoras, su función, configuración y datos recibidos está pendiente de validar.
Podemos comunicar datos a administraciones, autoridades fiscales, juzgados, fuerzas de seguridad, asesores profesionales o adquirentes de una operación societaria cuando exista una base válida, deber de confidencialidad y garantías adecuadas. No vendemos datos personales ni permitimos que proveedores los utilicen para fines propios incompatibles.
06Transferencias internacionales
Algunos proveedores pueden tratar datos desde países situados fuera del Espacio Económico Europeo. Antes de habilitar esas transferencias se verificará el mecanismo aplicable, como una decisión de adecuación, cláusulas contractuales tipo u otra garantía admitida, y se evaluarán medidas complementarias cuando sean necesarias.
Puedes solicitar información sobre las garantías aplicables escribiendo a soporte@echorisapp.com. La lista final de proveedores, ubicaciones y mecanismos está pendiente de validación dentro del registro de actividades y los contratos RGPD antes de producción; este borrador no sustituye esa revisión.
07Plazos de conservación
Los plazos concretos de conservación y su aplicación efectiva están pendientes de verificar por categoría: cuentas registradas e identidades invitadas, estadísticas, errores, mensajes, audio live, datos locales y copias. Este borrador no confirma borrado periódico, anonimización automática ni un plazo único para todos los datos. También debe comprobarse qué conserva cada proveedor y cómo se tramitan las solicitudes de supresión.
Las compras, facturación, entitlements, contratos, consentimientos, liquidaciones y registros de auditoría pueden requerir conservación para operar el servicio, resolver reclamaciones y cumplir obligaciones legales. Los plazos y excepciones aplicables deberán concretarse con asesoramiento profesional; esta descripción no acredita que exista ya un proceso automático de eliminación al vencer cada plazo.
08Seguridad y límites internos
Las operaciones sensibles se validan en servidor. Compras, entitlements, eventos de Stripe, aceptaciones legales, flags de autorización y logs de auditoría son datos server-only. Aplicamos autenticación, autorización por roles, cifrado en tránsito, gestión de secretos, copias, trazabilidad y revisión de operaciones críticas.
Los webhooks de Stripe se verifican con firma y se procesan con idempotencia. Los logs minimizan datos personales y redactan secretos, tokens, contraseñas, emails o identificadores sensibles cuando no son imprescindibles. Ningún sistema es infalible; evaluaremos y notificaremos brechas cuando la normativa lo exija.
Estas medidas del servidor no acreditan por sí solas las garantías de todos los recorridos móviles. La verificación completa del transporte de voz, chat, diagnósticos y conexiones con proveedores sigue pendiente; este borrador no promete cifrado de extremo a extremo para el modo live.
09Menores de edad
Echoris no está dirigido a menores que no puedan contratar o consentir válidamente según la normativa aplicable. No solicitamos deliberadamente datos de menores fuera de los supuestos permitidos. Los responsables parentales deben supervisar el uso y no facilitar cuentas o medios de pago sin autorización.
Si crees que hemos recibido datos de un menor sin base válida, escribe a soporte@echorisapp.com con información suficiente para localizar la cuenta y sin enviar documentación sensible no solicitada. Revisaremos la situación y aplicaremos la supresión, restricción o autorización que corresponda.
10Tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad, así como la retirada de consentimientos cuando aplique, escribiendo a soporte@echorisapp.com. El proceso técnico completo para eliminar una cuenta desde la app o la web está pendiente de habilitarse; por ahora, solicita la supresión por correo y tramitaremos la solicitud dentro del plazo legal aplicable. Identifica el derecho y la cuenta sin aportar más datos de los imprescindibles ni documentación sensible no solicitada. Cerrar sesión o desinstalar la app no elimina los datos remotos.
Responderemos dentro del plazo legal y podremos pedir aclaraciones cuando la solicitud sea compleja o afecte a terceros. Ciertos datos no podrán eliminarse inmediatamente si existe obligación de conservación, una reclamación pendiente o una excepción legal; explicaremos la razón y, cuando proceda, limitaremos su uso.
11Reclamaciones y autoridad de control
Si consideras que no hemos tratado correctamente tus datos, contacta con nosotros para que podamos investigarlo. La reclamación interna no limita tu derecho a acudir a la autoridad competente, incluida la Agencia Española de Protección de Datos cuando resulte aplicable, ni a ejercitar acciones ante los tribunales.
No sufrirás represalias por ejercer derechos de buena fe. Conservaremos únicamente la información necesaria para tramitar la solicitud, demostrar la respuesta y cumplir los deberes de responsabilidad proactiva.
13Cambios de esta política
Actualizaremos esta política cuando cambien tratamientos, proveedores, derechos o requisitos legales. Publicaremos fecha y versión y, si el cambio es material, ofreceremos un aviso destacado antes de que surta efecto. Una política de privacidad informa; solo pediremos aceptación o consentimiento cuando exista una razón jurídica específica.
Las versiones anteriores y la evidencia de cambios materiales se conservarán durante el tiempo necesario para demostrar transparencia. Para preguntas sobre una actualización, escribe a soporte@echorisapp.com.
Otros documentos legales
¿Una duda que estas páginas no resuelven?
Escríbenos a soporte