Política de privacidad

1. Disposiciones generales

Esta Política de privacidad (la «Política») establece cómo se tratan y protegen los datos personales de los usuarios del sitio web Wombato (el «Servicio»). Cumple con la legislación aplicable, en particular:

• el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD),
• la Ley polaca de protección de datos personales de 10 de mayo de 2018,
• la Ley polaca de telecomunicaciones de 16 de julio de 2004.

2. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Kamil Grabowski, con actividad en: ul. Bydgoska 6, 30-056 Kraków, Polonia, NIP: 6612220368, REGON: 260231175.

Dirige cualquier consulta sobre el tratamiento de datos personales a: support@wombato.com.

3. Categorías de datos que tratamos

En la prestación del servicio tratamos las siguientes categorías de datos:

3.1. Datos que nos facilitas

Datos obligatorios al registrar una cuenta:

• nombre visible (seudónimo),
• dirección de correo electrónico,
• contraseña (almacenada únicamente como resumen criptográfico).

Datos que facilitas voluntariamente durante el uso del servicio:

• foto de perfil (avatar) y descripción del perfil,
• lugares, reseñas, comentarios y registros de visita que añades,
• fotografías.

Al publicar en el Servicio también nos facilitas: el contenido de tus publicaciones en el feed de la comunidad (incluidas fotos y enlaces), las encuestas que creas y los votos que emites en ellas (los votos son públicos - véanse las condiciones del servicio), las menciones de otros usuarios en tus publicaciones y la lista de personas, tags y regiones que sigues. La lista de cuentas que sigues es visible en tu perfil público.

No exigimos ni recopilamos tu número de teléfono ni tu fecha de nacimiento.

3.2. Datos recopilados automáticamente

• dirección IP,
• tipo de navegador y sistema operativo, información del dispositivo,
• fecha y hora de la visita, páginas consultadas, origen del tráfico (referrer),
• ubicación aproximada basada en la dirección IP (véase la sección 4.8),
• coordenadas GPS - únicamente tras tu acción y consentimiento expresos (véase la sección 4.7),
• datos mínimos de verificación antibots (protección de los formularios frente a bots) y diagnósticos de errores de la aplicación tratados en nuestro propio servidor.

En las cuentas bloqueadas de forma permanente por incumplir las condiciones del servicio conservamos además resúmenes irreversibles de identificadores técnicos (véase la sección 4.16).

3.3. Datos obtenidos mediante cookies

De acuerdo con la Política de cookies independiente, tratamos datos de cookies para mantener tu sesión, para la seguridad y - solo con tu consentimiento - para la analítica.

No ofrecemos inicio de sesión mediante cuentas sociales (Google, Facebook). El registro y el inicio de sesión se realizan únicamente por dirección de correo electrónico, por lo que no obtenemos datos de proveedores de identidad externos.

4. Finalidades y bases jurídicas del tratamiento

4.1. Prestación del servicio

Datos: nombre, correo electrónico, contenido, datos de suscripción. Base: art. 6, apdo. 1, letra b) del RGPD (ejecución de un contrato). Finalidad: gestionar tu cuenta, publicar tu contenido y gestionar el plan Pro.

4.2. Comunicación con los usuarios

Datos: correo electrónico. Base: art. 6, apdo. 1, letra b) del RGPD. Finalidad: responder consultas, soporte técnico, notificaciones sobre cambios importantes.

4.3. Boletín informativo

Datos: correo electrónico. Base: art. 6, apdo. 1, letra a) del RGPD (consentimiento). Finalidad: enviar el boletín (novedades, consejos, lugares destacados), enviado en nuestro nombre por un proveedor de servicios de correo electrónico. Puedes suscribirte sin tener cuenta. Puedes retirar tu consentimiento en los ajustes o mediante el enlace incluido en cada mensaje.

4.4. Analítica y optimización

Datos: IP, datos del navegador, estadísticas de uso. Base: art. 6, apdo. 1, letra a) del RGPD (consentimiento a las cookies analíticas). Finalidad: análisis del tráfico y mejora del servicio. Herramientas: Google Analytics (EE. UU., SCC) y PostHog (región de la UE). Se activan únicamente tras tu consentimiento.

4.5. Cumplimiento de obligaciones legales

Base: art. 6, apdo. 1, letra c) del RGPD. Finalidad: contabilidad fiscal, conservación de registros, gestión de las notificaciones de contenido ilícito (DSA).

4.6. Ejercicio de reclamaciones

Base: art. 6, apdo. 1, letra f) del RGPD. Finalidad: ejercer reclamaciones y hacer cumplir las condiciones del servicio.

4.7. Geolocalización GPS (por acción tuya)

Datos: coordenadas GPS. Base: art. 6, apdo. 1, letra a) del RGPD (consentimiento). Finalidad: registrar tu visita en un lugar y encontrar sitios cercanos. El consentimiento lo recaba tu navegador o sistema durante la acción concreta. No te rastreamos en segundo plano ni conservamos un historial de ubicaciones - la posición se utiliza una sola vez para llevar a cabo tu acción.

4.8. Ubicación aproximada a partir de la dirección IP

Datos: dirección IP, región aproximada. Base: art. 6, apdo. 1, letra f) del RGPD. Finalidad: una adaptación inicial del idioma/región y una recomendación de lugares cercanos. Deducimos la región a partir de una base de datos de geolocalización local que se ejecuta en nuestro servidor - tu dirección IP no se envía a ningún proveedor externo. Tienes derecho a oponerte.

4.9. Protección frente a abusos

Datos: señales mínimas de verificación. Base: art. 6, apdo. 1, letra f) del RGPD. Finalidad: comprobar que el inicio de sesión, el registro o el restablecimiento de contraseña los realiza una persona y no un bot. Utilizamos una solución antibots respetuosa con la privacidad que no te rastrea entre sitios ni crea un perfil publicitario.

4.10. Mapas y búsqueda de direcciones

Base: art. 6, apdo. 1, letra b) del RGPD. Finalidad: mostrar mapas y buscar direcciones. Las solicitudes de geocodificación pasan por nuestro servidor (proxy), de modo que el proveedor externo de mapas no recibe tu dirección IP.

4.11. Supervisión de errores

Base: art. 6, apdo. 1, letra f) del RGPD. Finalidad: diagnosticar errores y mantener la estabilidad del servicio. La supervisión se ejecuta en nuestro propio servidor en la UE - los datos de errores no llegan a ningún proveedor externo.

4.12. Formulario de contacto

Datos: correo electrónico, asunto y contenido del mensaje. Base: art. 6, apdo. 1, letra a) del RGPD. Finalidad: responder a tu consulta.

4.13. Sugerencias de personas

En el feed y durante los primeros pasos podemos sugerirte perfiles de otros miembros de la comunidad. Las sugerencias se basan únicamente en información públicamente visible: lugares publicados (incluida su región), reseñas y actividad reciente en el servicio. Cada sugerencia muestra el motivo por el que la ves. No utilizamos la ubicación de tu dispositivo ni las direcciones IP de otros usuarios.

Puedes desactivar en cualquier momento que tu perfil aparezca en las sugerencias en Ajustes (Privacidad, "Mostrarme en sugerencias"); una sugerencia rechazada no vuelve. La base jurídica es nuestro interés legítimo (art. 6.1.f del RGPD) en facilitar el contacto dentro de la comunidad.

4.14. Enlaces cortos womba.to

Cuando publicamos contenido fuera del servicio utilizamos nuestros propios enlaces cortos en el dominio womba.to, que redirigen a wombato.com. Al hacer clic guardamos únicamente estadísticas agregadas: el código del enlace, el país, el dominio del sitio de referencia, el tipo de cliente (persona o robot) y la hora del clic. No guardamos tu dirección IP, un identificador completo del navegador ni cookies, y no vinculamos estos datos con tu cuenta. La base jurídica es nuestro interés legítimo (art. 6.1.f) del RGPD) en medir la eficacia de nuestras publicaciones.

4.15. Contenido a tu medida (personalización)

Para sugerirte lugares, tags y publicaciones cercanos a tus intereses, tratamos señales que proceden únicamente de tus acciones conscientes en el Servicio una vez iniciada la sesión: seguir a personas, tags y regiones, guardar y visitar lugares, publicar reseñas y comentarios, reacciones, votos en encuestas y determinados clics en el contenido (por ejemplo, abrir una publicación, hacer clic en un tag u ocultar un contenido con "No me interesa"). Sobre esa base mantenemos un perfil de intereses interno y agregado (por ejemplo, "le interesa la región de Bieszczady"). Esto constituye elaboración de perfiles en el sentido del RGPD; no produce efectos jurídicos sobre ti ni te afecta significativamente de modo similar - solo influye en el orden y la selección del contenido que se te muestra.

No recopilamos datos sobre el tiempo que dedicas a mirar el contenido, sobre el desplazamiento ni sobre los movimientos del cursor; no elaboramos perfiles de personas no registradas; las señales no contienen la dirección IP.

Base: art. 6, apdo. 1, letra f) del RGPD (interés legítimo - ofrecer contenido relevante dentro del Servicio). Puedes oponerte en cualquier momento (art. 21 del RGPD) con el interruptor "Contenido a tu medida" en Ajustes (Privacidad y datos) - con efecto inmediato: dejamos de recopilar señales, el perfil de intereses se elimina y el contenido se presenta según la actualidad y los alrededores. Detalles del plazo de conservación: sección 5.6.

4.16. Seguridad y prevención de abusos

Datos: dirección IP, información del dispositivo y del navegador, historial de inicios de sesión y, en caso de bloqueo permanente de la cuenta, resúmenes irreversibles (con sal) de la dirección IP y del identificador del dispositivo. Base: art. 6, apdo. 1, letra f) del RGPD (interés legítimo - proteger el Servicio y a la comunidad frente a los abusos, incluida la elusión de bloqueos). Finalidad: detectar intentos de acceso no autorizado, hacer cumplir los bloqueos de cuenta e impedir la creación de cuentas destinadas a eludir sanciones.

Los resúmenes no permiten reconstruir el valor original y no se utilizan con ninguna otra finalidad. Hemos realizado una prueba de ponderación (LIA) para este tratamiento - ponemos su síntesis a disposición previa solicitud.

4.17. Notificaciones push

Datos: identificador de la suscripción a las notificaciones en el navegador o token del dispositivo, tipo de plataforma, idioma elegido y zona horaria del dispositivo. Base: art. 6, apdo. 1, letra a) del RGPD (consentimiento) - activas tú mismo las notificaciones en el Servicio y confirmas además el permiso en el navegador o en el sistema del dispositivo. Para las notificaciones relativas a tu cuenta, a los pagos y a las decisiones de moderación, enviadas una vez activadas las notificaciones, la base es el art. 6, apdo. 1, letra b) del RGPD (ejecución de un contrato). Finalidad: entregar la notificación en tu dispositivo, en tu idioma y a una hora que tiene en cuenta la zona horaria del dispositivo.

Puedes desactivar las notificaciones en cualquier momento en los ajustes del Servicio o en los ajustes del navegador o del sistema; ahí también eliges sobre qué quieres recibir avisos. Tras la desactivación o la expiración de la suscripción dejamos de usar el identificador y lo marcamos como inactivo; lo eliminamos de forma definitiva junto con la cuenta.

La notificación llega a tu dispositivo a través del servicio push del proveedor de tu navegador o de tu sistema operativo - sin ese intermediario la tecnología push no funciona. Este recibe únicamente el contenido de la notificación y el identificador de la suscripción, sin tu dirección de correo electrónico ni los datos de la cuenta. No usamos el identificador con fines de marketing ni para seguirte fuera del Servicio.

5. Plazo de conservación de los datos

5.1. Datos de la cuenta

• Cuenta activa: durante todo el tiempo que la mantengas.
• Cuenta eliminada: los datos personales se borran y la autoría del contenido publicado (lugares, reseñas, fotos) se anonimiza inmediatamente tras la eliminación. El contenido anonimizado permanece en el Servicio como recurso de la comunidad.

5.2. Datos de marketing y boletín

Se conservan hasta que retires tu consentimiento; tras la retirada se borran o anonimizan sin dilación indebida.

5.3. Datos analíticos (con consentimiento)

• Google Analytics: 26 meses desde la última interacción,
• PostHog (UE): hasta 12 meses,
• registros de seguridad del servidor: 12 meses.

5.4. Datos legales

• facturas y documentos contables: durante el periodo exigido por la legislación fiscal,
• correspondencia: hasta 3 años tras el cierre del asunto.

5.5. Datos de seguridad

• historial de inicios de sesión y dispositivos conocidos: hasta 90 días en las cuentas activas y hasta 12 meses en las cuentas bloqueadas,
• resúmenes de identificadores vinculados al bloqueo de una cuenta: hasta 12 meses desde su registro (los bloqueos de direcciones IP caducan además automáticamente antes),
• registros de las decisiones de moderación (incluida su motivación): durante el periodo exigido por la normativa sobre servicios digitales y para la defensa frente a reclamaciones.

5.6. Datos de personalización de contenido

Conservamos las señales de interés en bruto un máximo de 90 días (las más antiguas se eliminan de forma definitiva) y el perfil de intereses agregado hasta que te opongas o elimines tu cuenta. Cuando desactivas la personalización, eliminamos el perfil de inmediato y conservamos las señales en bruto durante 30 días más con el único fin de que, si vuelves a activarla en ese plazo, recupere su calidad (durante ese periodo las señales no se utilizan); pasados 30 días se eliminan de forma definitiva. La eliminación de la cuenta borra todos estos datos.

6. Destinatarios y transferencias de datos

6.1. Proveedores de infraestructura

Para operar el Servicio recurrimos a proveedores de confianza que tratan datos en nuestro nombre en virtud de contratos de encargo del tratamiento (art. 28 del RGPD):

• un proveedor de alojamiento - con centros de datos en la Unión Europea,
• un proveedor de CDN, protección y verificación antibots,
• un proveedor de servicios de correo electrónico - mensajes transaccionales y boletín (con consentimiento),
• proveedores de análisis automatizado de contenidos - OpenAI y Anthropic (EE. UU.) - comprobación de los contenidos publicados conforme a los Términos, traducciones bajo petición y sugerencias de descripciones y nombres de lugares; reciben únicamente el propio contenido (texto y fotos sin metadatos, incluida la ubicación), sin tu dirección de correo electrónico ni los datos de tu cuenta,
• Paddle - gestión de pagos como Merchant of Record; es el vendedor que aparece en tu extracto, y no recibimos los números de tu tarjeta.

Facilitamos la lista completa y actualizada de encargados del tratamiento a petición en support@wombato.com. La supervisión de errores y las estadísticas analíticas (estas últimas solo con consentimiento) se describen en las secciones 4.4 y 4.11.

6.2. Transferencias fuera del EEE

Los contenidos analizados por OpenAI y Anthropic (EE. UU.) se tratan fuera del EEE sobre la base de las Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 del RGPD) y no se utilizan para entrenar los modelos de estos proveedores. Con tu consentimiento, la herramienta analítica Google Analytics (EE. UU.) puede transferir datos fuera del Espacio Económico Europeo - sobre la base de las Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 del RGPD). PostHog y nuestra propia supervisión de errores se ejecutan en la UE - estos datos no salen del EEE.

6.3. Otras partes

Los datos pueden compartirse con organismos autorizados por la ley (por ejemplo, autoridades estatales). No hay redes publicitarias, ni píxeles sociales, ni intermediarios de datos. No vendemos ni alquilamos datos personales.

6.4. Visibilidad de tus contenidos para otras personas

Al publicar en el Servicio compartes contenidos con otras personas. El resto de usuarios ve: tu perfil (nombre mostrado, foto de perfil, descripción, número de seguidores y de cuentas seguidas), los lugares, reseñas, fotos y comentarios que añades, tus publicaciones en el feed de la comunidad, las encuestas que creas junto con los votos emitidos en ellas (los votos son públicos), las personas a las que mencionas y la lista de cuentas que sigues. Los contenidos públicos - lugares, reseñas y perfiles públicos - son visibles también para quien no ha iniciado sesión, y los buscadores pueden indexarlos y mostrarlos en sus resultados.

Un contenido publicado puede ser copiado o guardado por terceros, algo que escapa a nuestro control. Publica con criterio y no incluyas información que no quieras revelar, en particular la ubicación exacta de tu casa o los datos de otras personas.

Los mensajes privados solo los ven el remitente y el destinatario. La excepción es un mensaje denunciado por su destinatario - el mensaje denunciado pasa entonces al equipo de moderación para que la denuncia pueda tramitarse.

Puedes desactivar partes de tu perfil en Ajustes (entre otros, la lista de tags seguidos, el estado de actividad, tu presencia en la clasificación y en las sugerencias). Los lugares guardados son visibles solo para ti de forma predeterminada.

6.5. Sucesión legal

En caso de transformación, fusión o venta del Servicio o de una parte de él, los datos pueden pasar al sucesor legal, que asume el papel de responsable del tratamiento. Esto se produce en los términos descritos en esta Política - con la misma finalidad y el mismo alcance, sin ampliar el tratamiento. Te informaremos de dicho cambio con antelación en el Servicio y por correo electrónico, antes de que surta efecto, para que puedas ejercer previamente tus derechos, incluida la eliminación de la cuenta.

7. Tus derechos

• Acceso (art. 15 del RGPD) - confirmación y consulta de tus datos e información sobre el tratamiento.
• Rectificación (art. 16 del RGPD) - corrección de datos inexactos.
• Supresión (art. 17 del RGPD) - el «derecho al olvido».
• Limitación del tratamiento (art. 18 del RGPD).
• Portabilidad de los datos (art. 20 del RGPD) - en un formato legible por máquina.
• Oposición (art. 21 del RGPD) - al tratamiento basado en un interés legítimo o con fines de marketing.
• Retirada del consentimiento - en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

El derecho de supresión está sujeto a las excepciones previstas en el art. 17, apdo. 3, del RGPD: podemos conservar datos limitados cuando sea necesario para cumplir una obligación legal (art. 17, apdo. 3, letra b) del RGPD) o para la formulación, el ejercicio o la defensa de reclamaciones (art. 17, apdo. 3, letra e) del RGPD) - en particular los resúmenes irreversibles vinculados al bloqueo de una cuenta (para que eliminar la cuenta no sirva para eludir sanciones) y los registros de las decisiones de moderación.

La oposición a la personalización del contenido (art. 21 del RGPD) la ejerces tú mismo y al instante con el interruptor de Ajustes (Privacidad y datos, "Contenido a tu medida"); también puedes escribir a support@wombato.com. Recibirás una copia de tu perfil de intereses y de las señales en la exportación de datos (Ajustes, Privacidad y datos, "Exportar tus datos").

Para ejercer estos derechos, escribe a support@wombato.com. También tienes derecho a presentar una reclamación ante una autoridad de control - en Polonia es el Presidente de la Oficina de Protección de Datos Personales (UODO, uodo.gov.pl), y en otros países tu autoridad local de protección de datos.

8. Seguridad de los datos

8.1. Medidas técnicas

• conexiones cifradas (TLS),
• contraseñas almacenadas únicamente como resumen criptográfico,
• copias de seguridad periódicas,
• sistemas de supervisión de la seguridad,
• protección antibots en los formularios de inicio de sesión y registro.

8.2. Medidas organizativas

• acceso restringido a los datos según el principio de necesidad de conocer,
• procedimientos internos de seguridad y respuesta a incidentes,
• acuerdos de confidencialidad con cualquier subcontratista.

8.3. Violaciones de datos personales

Si, a pesar de estas medidas, se produce una violación de la seguridad de los datos personales, evaluamos sus consecuencias y el riesgo para tus derechos y libertades. Cuando la ley lo exige, lo notificamos al Presidente de la Oficina de Protección de Datos Personales (UODO) en un plazo de 72 horas desde que tenemos constancia de la violación y, si la violación puede suponer un riesgo alto para ti - te informamos directamente.

9. Cookies

Las cookies esenciales (sesión, seguridad, verificación antibots, recordar tu consentimiento) funcionan siempre y no requieren consentimiento. Las cookies analíticas (Google Analytics, PostHog) se activan únicamente tras tu consentimiento y puedes rechazarlas sin perder ninguna funcionalidad. No utilizamos cookies publicitarias. Consulta la Política de cookies para más detalles.

10. Decisiones automatizadas

No tomamos decisiones que produzcan efectos jurídicos o similarmente significativos sobre ti basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles (art. 22 del RGPD). Las sanciones de cuenta siempre las decide una persona; los sistemas automáticos solo pueden realizar una revisión previa del contenido publicado. Los resúmenes de identificadores vinculados al bloqueo permanente de una cuenta (sección 4.16) sirven únicamente para hacer cumplir una decisión adoptada previamente por una persona.

La selección y el orden del contenido en el feed de la comunidad pueden personalizarse a partir de tu perfil de intereses (sección 4.15). Se trata de una elaboración de perfiles que no produce efectos jurídicos sobre ti ni te afecta significativamente de modo similar - solo determina qué ves y en qué orden. Puedes desactivar la personalización en cualquier momento en Ajustes (Privacidad y datos, "Contenido a tu medida").

Cualquier elaboración de perfiles con fines de marketing requiere tu consentimiento expreso.

11. Datos de menores

El Servicio está destinado a personas de 16 años o más. No recopilamos conscientemente datos de personas más jóvenes. Si crees que un menor nos ha facilitado sus datos, escribe a support@wombato.com y los eliminaremos con prontitud.

12. Cambios en esta política

Esta política puede actualizarse a medida que el servicio evoluciona. Anunciaremos los cambios significativos mediante un aviso en el Servicio y, para los usuarios que hayan iniciado sesión, también por correo electrónico. La versión vigente siempre está disponible en esta página, y la fecha del último cambio se muestra más arriba.

13. Contacto y disposiciones finales

Contacto en materia de datos personales: support@wombato.com, dirección: ul. Bydgoska 6, 30-056 Kraków, Polonia.

Esta política se publica en varios idiomas. En caso de cualquier discrepancia, prevalece la versión polaca.