Política de Privacidad

En XOOY tratamos datos especialmente sensibles: los que describen la vida sexual y las relaciones de las parejas usuarias. Por eso esta política explica, sin rodeos, qué datos recogemos, para qué, con qué base legal, quién puede verlos y cómo podéis borrarlos. Os pedimos que la leáis entera antes de crear una cuenta.

1. Quién es el responsable

• Responsable del tratamiento: XOOY S.L.
• NIF: [NIF de la sociedad]
• Domicilio social: [dirección completa]
• Datos registrales: [Registro Mercantil, tomo, folio, hoja]
• Correo de privacidad: [privacidad@dominio]
• Delegado de Protección de Datos (DPD): [nombre y correo del DPD, si se designa]

En adelante, «XOOY», «la plataforma» o «nosotros». Esta política se aplica a la web y a la aplicación de XOOY, y se complementa con las Condiciones de Uso.

2. La cuenta es de la pareja

XOOY está diseñada para parejas. Una cuenta representa a una pareja completa: los dos miembros comparten un mismo acceso y ambos son usuarios de la plataforma a efectos de esta política. Esto tiene tres consecuencias que conviene tener claras:

• Cualquiera de los dos miembros puede ver, publicar, modificar o borrar el contenido de la cuenta, incluidos los datos y las imágenes del otro.
• Al crear la cuenta, quien la registra declara que cuenta con el consentimiento del otro miembro para tratar sus datos personales y publicar su imagen en la plataforma.
• Cuando ejercéis un derecho (acceso, supresión, portabilidad…), la solicitud afecta a la cuenta entera. Si uno de los dos miembros quiere ejercer sus derechos por separado, puede escribirnos al correo de privacidad y lo gestionaremos de forma individual.

3. Qué datos tratamos

3.1. Datos que nos facilitáis vosotros

• Alta y cuenta: código de invitación, nombre de pareja (nombre visible y único), correo electrónico y contraseña (que se almacena cifrada mediante funciones hash, nunca en claro).
• Perfil de la pareja: datos de cada miembro (nombre o alias, fecha de nacimiento o edad, género, orientación, altura, complexión y demás campos del perfil), descripción, ubicación aproximada (provincia o zona), idiomas, intereses y preferencias de búsqueda.
• Contenido que publicáis: fotografías, vídeos, publicaciones del feed, comentarios y reacciones, foto de perfil y de portada.
• Comunicaciones: mensajes en chats individuales y de grupo, mensajes adjuntos a solicitudes de contacto y los archivos que enviáis por chat (véase el apartado 6 sobre cifrado).
• Relaciones dentro de la red: invitaciones enviadas y recibidas, contactos, favoritos, «me gusta», verificaciones de otras parejas y participación en juegos y actividades.
• Soporte y denuncias: lo que nos contáis al escribirnos o al denunciar contenido o a otra pareja.

3.2. Datos que se generan con el uso

• Datos técnicos y de conexión: dirección IP, tipo de dispositivo, navegador, sistema operativo, idioma, fechas y horas de acceso.
• Datos de actividad: fecha de alta, última conexión, estado de visibilidad (modo invisible), contadores de actividad y registros de seguridad y auditoría.
• Estado de la suscripción: plan contratado (gratuito o premium), fechas de alta, renovación y cancelación, y el identificador de la transacción en la pasarela de pago.

3.3. Datos que no tratamos

XOOY no almacena los datos completos de vuestra tarjeta bancaria. El pago lo procesa íntegramente nuestra pasarela (véase el apartado 8), que nos devuelve únicamente la confirmación de la operación y un identificador. Tampoco pedimos ni queremos documentos de identidad, datos de salud, ideología, religión ni afiliación sindical.

4. Datos de categoría especial y consentimiento explícito

5. Para qué los usamos y con qué base jurídica

Cuando invocamos el interés legítimo, hemos valorado previamente que nuestro interés en mantener una comunidad segura no prevalece indebidamente sobre vuestros derechos. Podéis pedirnos el resumen de esa ponderación escribiendo al correo de privacidad.

6. Mensajes cifrados de extremo a extremo

Los mensajes de los chats se cifran en vuestro propio dispositivo antes de enviarse y solo se descifran en el dispositivo de la pareja destinataria. Esto significa que XOOY no puede leer el contenido de vuestros mensajes: en nuestros servidores solo hay texto cifrado.

Consecuencias prácticas que debéis conocer:

• No podemos recuperar mensajes si perdéis el acceso, ni moderar de oficio su contenido.
• Sí tratamos los metadatos asociados (quién habla con quién, cuándo y el tamaño o tipo de archivo adjunto), necesarios para que el servicio funcione.
• Si nos denunciáis un mensaje, para revisarlo necesitamos que nos aportéis su contenido, porque nosotros no tenemos acceso a él.
• Los archivos que enviáis por chat se guardan en nuestro almacenamiento y solo son accesibles mediante enlaces temporales firmados, de validez muy breve.

7. Quién ve vuestros datos dentro de XOOY

XOOY es una plataforma cerrada: solo se entra con invitación de una pareja ya verificada, y el contenido no es accesible desde buscadores ni para el público general. Dentro de la plataforma, vosotros controláis la visibilidad:

• Control campo a campo: cada dato del perfil y cada publicación, foto o vídeo puede marcarse como privado, visible solo para vuestros contactos o visible para toda la comunidad.
• Modo invisible: permite dejar de aparecer en los listados y en el feed de actividad.
• Contactos: los chats requieren una solicitud de contacto aceptada.

8. Proveedores y destinatarios

No vendemos vuestros datos ni los cedemos con fines publicitarios. Sí trabajamos con un número reducido de proveedores tecnológicos de primer nivel que actúan como encargados del tratamiento, con contrato firmado conforme al artículo 28 del RGPD. Se trata de servicios de última generación con infraestructura alojada en centros de datos de la Unión Europea y con las máximas garantías de calidad, disponibilidad y seguridad (certificaciones del tipo ISO/IEC 27001 y SOC 2, cifrado en tránsito y en reposo y auditorías independientes periódicas). Estas son las categorías de destinatarios con las que trabajamos:

Por motivos de seguridad no publicamos la identidad concreta de cada proveedor, pero podéis solicitárnosla en cualquier momento escribiendo al correo de privacidad: os facilitaremos la relación actualizada de encargados del tratamiento y las garantías contractuales aplicables.

Además, podemos comunicar datos a Fuerzas y Cuerpos de Seguridad, juzgados, tribunales y administraciones públicas cuando exista una obligación legal o un requerimiento válido, y a nuestros asesores legales o contables cuando sea necesario para defender nuestros derechos.

9. Transferencias internacionales

Vuestros datos se alojan con carácter general en centros de datos situados en la Unión Europea. No obstante, alguno de nuestros proveedores —señaladamente la pasarela de pago y determinados servicios de soporte— puede estar establecido fuera del Espacio Económico Europeo o tratar datos desde allí. En esos casos, la transferencia se ampara en alguna de estas garantías del capítulo V del RGPD:

• Decisión de adecuación de la Comisión Europea, incluido el EU–US Data Privacy Framework cuando el proveedor esté certificado.
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto con las medidas técnicas adicionales que procedan.

Podéis solicitarnos copia de estas garantías escribiendo al correo de privacidad.

10. Cuánto tiempo conservamos los datos

• Mientras la cuenta esté activa: conservamos vuestros datos para prestaros el servicio.
• Al solicitar la baja: la cuenta y su contenido se eliminan tras un periodo de gracia de 30 días, pensado para que podáis recuperarla si la baja fue un error o un tercero accedió a vuestra cuenta. Pasado ese plazo, el borrado es definitivo e irreversible.
• Registros de auditoría y seguridad: hasta 12 meses, para investigar incidentes y abusos.
• Datos de facturación: 6 años, por exigencia de la normativa mercantil y fiscal.
• Denuncias y sanciones: el tiempo necesario para gestionarlas y, después, hasta la prescripción de las posibles responsabilidades.
• Bloqueos por infracción grave: podemos conservar un identificador mínimo del correo o de la cuenta bloqueada para impedir que se registre de nuevo.

Las copias de respaldo se sobrescriben cíclicamente, por lo que un dato borrado puede persistir en ellas unos días adicionales antes de desaparecer.

11. Vuestros derechos

Podéis ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas, así como retirar el consentimiento que nos hayáis dado.

La forma más rápida de ejercerlos es desde la propia aplicación: podéis editar vuestro perfil, cambiar la visibilidad de cada dato, borrar contenido y eliminar la cuenta desde los ajustes. También podéis escribirnos a [privacidad@dominio] indicando qué derecho queréis ejercer; responderemos en el plazo máximo de un mes, ampliable a dos si la solicitud es compleja. Podemos pediros que acreditéis vuestra identidad si tenemos dudas razonables sobre quién solicita.

Si consideráis que no hemos atendido correctamente vuestra solicitud, podéis reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es).

12. Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas a la sensibilidad de los datos:

• Cifrado de extremo a extremo en los mensajes y cifrado en tránsito (HTTPS/TLS) en toda la plataforma.
• Contraseñas almacenadas mediante funciones hash, nunca en texto claro.
• Control de acceso a nivel de fila en la base de datos: cada cuenta solo puede leer lo que le corresponde.
• Acceso a fotos y vídeos únicamente mediante enlaces firmados de validez temporal muy corta.
• Acceso interno restringido al personal imprescindible y sujeto a deber de confidencialidad.
• Registro de eventos de seguridad y copias de respaldo periódicas.

Si se produjera una violación de seguridad con riesgo para vuestros derechos, lo notificaremos a la autoridad de control en 72 horas y a vosotros sin dilación indebida cuando el riesgo sea alto.

13. Cookies y almacenamiento en el dispositivo

XOOY no utiliza cookies publicitarias ni de seguimiento de terceros. Usamos exclusivamente almacenamiento técnico necesario en vuestro dispositivo (localStorage y cookies de sesión) para mantener la sesión iniciada, recordar vuestras preferencias de la aplicación y conservar las claves de cifrado de los mensajes. Al ser estrictamente necesarios para prestaros el servicio que solicitáis, no requieren consentimiento previo conforme al artículo 22.2 de la LSSI. Si en el futuro incorporamos analítica o cookies no necesarias, os pediremos consentimiento antes de instalarlas.

14. Decisiones automatizadas y moderación

Antes de publicarse, las fotos y vídeos pueden analizarse de forma automática para detectar contenido ilícito o contrario a las Condiciones de Uso (por ejemplo, material que implique a menores o contenido violento). Ese análisis puede bloquear automáticamente un archivo.

No adoptamos decisiones que produzcan efectos jurídicos basadas únicamente en tratamiento automatizado: la suspensión o cancelación de una cuenta siempre pasa por una revisión humana. Tenéis derecho a obtener intervención humana, expresar vuestro punto de vista e impugnar cualquier decisión de moderación escribiendo al correo de contacto.

15. Menores de edad

16. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios legales, técnicos o del servicio. Publicaremos siempre la versión vigente en esta página con su fecha. Si el cambio es sustancial —por ejemplo, una nueva finalidad o un nuevo destinatario— os avisaremos por correo electrónico o dentro de la aplicación con antelación razonable y, cuando la nueva finalidad se base en el consentimiento, os lo pediremos de nuevo.

17. Contacto

Para cualquier cuestión relacionada con vuestros datos personales:

• XOOY S.L. — [dirección completa]
• Privacidad y ejercicio de derechos: [privacidad@dominio]
• Consultas generales: [contacto@dominio]