Política de privacidad

Resumen en 30 segundos

• Nunca escribimos a nadie que no se haya registrado. Ni SMS, ni email, ni nada.
• Del número de tu crush solo guardamos una huella cifrada (HMAC). Sin nuestra clave secreta no sirve para saber de quién es.
• Nadie sabe que le has dado crush salvo que también te lo dé. Solo ve un número total, que se actualiza una vez al día.
• No vendemos tus datos ni los usamos para publicidad.
• Puedes borrar tu cuenta cuando quieras desde Ajustes, y se borra todo al momento.

Responsable

Adrian Ramirez. Para cualquier tema de privacidad: privacy@crushback.app.

Qué datos tratamos

Tuyos, si te registras:

• Tu número de móvil, que verificamos por SMS, y tu contraseña (guardada con hash, nunca en claro).
• Tu nombre visible, tu @usuario y la confirmación de que tienes 18 años o más. No pedimos fecha de nacimiento, fotos ni acceso a tu agenda.
• Tus crushes: la huella cifrada del número de cada persona, el apodo privado que le pongas, los gustos (tags) y lo que buscas.
• Tus matches y los mensajes del chat.
• Si los das: tu email y tus preferencias de avisos.
• Si compras crushes: el pack, el importe y el identificador del pago. Los datos de tu tarjeta los gestiona el procesador de pagos, nunca nosotros.
• Datos técnicos mínimos para la seguridad del servicio (por ejemplo, la IP en los registros de acceso) y las señales técnicas que usa la comprobación anti-bots al registrarte.

De personas que no usan Crushback: si alguien da crush a tu número, solo guardamos su huella cifrada (HMAC). No guardamos tu número en claro, no sabemos quién eres y nunca te contactamos. El nombre con el que te guarda quien te da crush solo lo ve esa persona y se borra con el crush.

Para qué y con qué base legal

• Darte el servicio (tu cuenta, tus crushes, el matching y el chat): ejecución del contrato que aceptas al registrarte.
• A quién te gusta, tus gustos, tus matches y tus mensajes pueden revelar tu orientación sexual o tu vida sentimental. Solo los tratamos con tu consentimiento explícito, que das al registrarte. Puedes retirarlo borrando tus crushes o tu cuenta.
• La huella cifrada del número de personas no registradas: interés legítimo, porque sin ella el servicio no puede funcionar. Está seudonimizada, caduca a los 60 días, salvo que quien dio el crush lo renueve, y no se usa para nada más.
• Seguridad, prevención del acoso y moderación del chat: interés legítimo en mantener un servicio seguro.
• Avisos por email: tu consentimiento, con una casilla que viene desmarcada.
• Conservar los datos de las compras: obligación legal (contabilidad y fiscalidad).

No tomamos decisiones automatizadas con efectos legales sobre ti. El matching solo comprueba si dos personas se han dado crush mutuamente.

Cuánto tiempo los guardamos

• Tu cuenta: hasta que la borres. El borrado es inmediato y en cascada (perfil, crushes, matches y mensajes).
• Crushes sin match: caducan a los 60 días, salvo que quien dio el crush lo renueve, y se eliminan definitivamente 30 días después.
• Mensajes: se borran al deshacer el match, al bloquear o al borrar la cuenta.
• Reportes: el tiempo necesario para gestionarlos y, como máximo, un año después de resolverlos.
• Compras: 6 años, por obligación legal.

Quién más los trata

Proveedores que nos prestan servicios y solo tratan los datos siguiendo nuestras instrucciones, con contrato de encargado del tratamiento:

• Supabase: base de datos y autenticación, alojada en la Unión Europea.
• Vercel: alojamiento de la web.
• Twilio: envío del SMS de verificación.
• Cloudflare Turnstile: comprobar que quien se registra o cambia la contraseña es una persona y no un bot. Usa señales técnicas como la IP, el navegador y la huella de la conexión, sin cookies de publicidad. Más información en el Anexo de privacidad de Turnstile: https://www.cloudflare.com/turnstile-privacy-policy/
• Cuando se activen: un servicio de envío de emails y un procesador de pagos.

Algunos de estos proveedores son de Estados Unidos. Las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo de la Comisión Europea. No cedemos datos a nadie más salvo obligación legal.

Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos, y retirar tu consentimiento, escribiendo a privacy@crushback.app. Te respondemos en un plazo máximo de un mes. También puedes borrar tu cuenta directamente desde Ajustes.

Si no tienes cuenta y crees que alguien ha dado crush a tu número, escríbenos y te explicamos qué podemos hacer: no podemos saber si alguien ha dado crush a tu número sin que nos lo des, y si nos lo das solo lo usaremos para atender tu petición.

Si no estás conforme, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Menores

Crushback es solo para mayores de 18 años. Si detectamos o nos reportan una cuenta de un menor, la suspendemos y la borramos.

Seguridad

Cifrado en tránsito (HTTPS), huellas cifradas con clave secreta para los números de terceros, contraseñas con hash, acceso a los datos restringido por reglas en la propia base de datos y registros sin teléfonos ni mensajes. Si hubiera una brecha de seguridad, avisaríamos a la AEPD y, si hay riesgo para ti, también a ti.

Cambios

Si cambiamos algo importante de esta política, te avisaremos dentro de la app antes de que se aplique.