Política de Privacidad

01Introducción y responsable del tratamiento

Le damos la bienvenida a Odyssey Journal («nosotros», «nuestro» o la «Aplicación»). Respetamos su privacidad y nos comprometemos a proteger sus datos personales en pleno cumplimiento de la Ley turca de Protección de Datos Personales (KVKK, Ley n.º 6698), el Reglamento General de Protección de Datos (RGPD - UE 2016/679) y la Ley de Privacidad del Consumidor de California (CCPA).

Esta Política de Privacidad explica cómo recopilamos, usamos, almacenamos, tratamos y protegemos su información cuando utiliza nuestra aplicación móvil y los servicios web asociados en odysseyjournal.app.

• Responsable del tratamiento: Arif Gültaş
• Contacto de protección de datos y privacidad: privacy@odysseyjournal.app
• Soporte general: support@odysseyjournal.app
• Sitio web oficial: odysseyjournal.app

Esta Política de Privacidad tiene por objeto informarle; no es un contrato y no se le pide que la acepte. Cuando nos basamos en su consentimiento, se lo pedimos por separado en la Aplicación (véase la sección 4), y puede retirarlo en cualquier momento.

02Información que recopilamos

Recogemos datos personales por medios electrónicos a través de la Aplicación y del sitio web: en parte directamente de usted, cuando los introduce, y en parte de forma automática mientras los utiliza (sección 2B).

A. Información que usted facilita voluntariamente

• Credenciales y perfil de la cuenta: dirección de correo electrónico, contraseña (cifrada con hash y sal mediante Supabase Auth), nombre de usuario, nombre completo, biografía del perfil, imagen de avatar, un enlace opcional a un sitio web, su idioma preferido en la aplicación y sus preferencias de notificación.
• Ubicación de su casa (opcional): si acepta el aviso que aparece tras su primer inicio de sesión, las coordenadas, la ciudad y el país de su casa se guardan en su cuenta, donde solo usted puede leerlos. Solo se utilizan para calcular la distancia de su tarjeta de embarque. Los demás usuarios nunca los ven; solo ven esa cifra de distancia, que para ellos se calcula a partir de una versión aproximada (redondeada) de la ubicación de su casa. Puede omitir el aviso.
• Contenido generado por el usuario (UGC): publicaciones de viaje, historias, fotografías y sus pies de foto, categorías, el tiempo registrado con cada publicación, comentarios, marcadores, colecciones, reacciones (me gusta), fechas de viaje y, opcionalmente, ubicaciones. Las publicaciones son públicas: cualquier usuario con sesión iniciada en la Aplicación puede verlas junto con su ubicación. Las colecciones pueden marcarse como privadas.
• Actividad social: las cuentas que sigue y las que le siguen, los usuarios que bloquea, las denuncias que envía (con el motivo, el texto que añada y la cuenta a la que se refieren) y su historial de búsqueda, que se guarda en su cuenta para poder mostrarle sus búsquedas recientes.
• Comunicaciones directas: mensajes privados dentro de la aplicación entre viajeros («Cartas»), solicitudes de mensaje y su aceptación, y las comunicaciones de soporte enviadas a nuestras direcciones de correo.

B. Datos técnicos recopilados automáticamente

• Información del dispositivo: sistema operativo y versión, versión de la aplicación y, solo si permite las notificaciones, el token de notificaciones push de su dispositivo. Los informes de fallos incluyen además el modelo del dispositivo, que Sentry registra automáticamente.
• Datos de diagnóstico y fallos: registros de fallos, trazas de pila y mediciones de rendimiento de una muestra de sesiones, recopilados mediante Sentry. Las direcciones de correo se enmascaran antes de que el informe salga de su dispositivo; los informes se vinculan a su ID de cuenta (un identificador aleatorio), no a su nombre.
• Datos de red y sesión: su dirección IP, que todo servidor al que se conecta la aplicación recibe necesariamente, y la hora de sus solicitudes. Nuestro proveedor de infraestructura, Supabase, los conserva en sus registros de servicio durante un máximo de siete (7) días.
• Registro de actividad (Ley turca n.º 5651): cuando crea, edita o elimina una publicación, un comentario, un mensaje, una colección que otros pueden ver, o su nombre de usuario, nombre, biografía o avatar, registramos su ID de cuenta, su dirección IP, la hora, el tipo de acción (creación, edición o eliminación), el elemento afectado y la versión de la aplicación y el sistema operativo enviados con la solicitud (user agent). El contenido en sí no se guarda en este registro. La sección 8 explica cuánto tiempo se conserva.

C. Información de ubicación

• Ubicación precisa (GPS): solo se lee mientras la Aplicación está abierta y solo cuando usa una función que la necesita: etiquetar una publicación con su ubicación actual, fijar la ubicación de su casa o mostrar su propia posición en el mapa. Nunca rastreamos su ubicación en segundo plano ni de forma continua. Puede revocar los permisos de ubicación en cualquier momento desde los ajustes de su dispositivo y buscar el lugar por su nombre.
• Metadatos de las fotos: las fotos se vuelven a codificar como JPEG antes de subirse, lo que elimina sus metadatos incrustados, incluida la posición GPS que haya guardado la cámara.

03Infraestructura y arquitectura de datos en Supabase

Odyssey Journal utiliza Supabase (supabase.com) como su backend en la nube, base de datos, motor de autenticación y proveedor de almacenamiento de medios.

Especificaciones de seguridad y almacenamiento de Supabase:

• Región de los servidores: nuestra base de datos de producción principal y el almacenamiento de medios se alojan en la infraestructura de Supabase (región AWS UE - Fráncfort, Alemania).
• Cifrado en tránsito: todas las comunicaciones entre la aplicación móvil, los clientes web y los servidores de Supabase se cifran con TLS 1.3 / HTTPS.
• Cifrado en reposo: todas las tablas de la base de datos, los registros de usuario y los archivos multimedia subidos se cifran en reposo con AES-256, un estándar del sector.
• Seguridad a nivel de fila (RLS): unas políticas de base de datos estrictas y granulares imponen el aislamiento de accesos. Los usuarios solo pueden leer, insertar, actualizar o eliminar los datos que permiten sus tokens de autenticación criptográficos verificados (JWT).
• Almacenamiento de la sesión: su sesión se guarda en su dispositivo, en el almacenamiento privado de la Aplicación (AsyncStorage), que el sistema operativo mantiene separado de otras aplicaciones. Se elimina cuando cierra sesión o borra su cuenta.
• Copias de seguridad automáticas: la base de datos se copia automáticamente una vez al día en nuestro plan Supabase Pro, y cada copia se conserva siete (7) días.

04Cómo usamos su información y bases jurídicas

Tratamos los datos personales conforme a las bases lícitas definidas en los artículos 5 y 6 de la KVKK y el artículo 6 del RGPD:

Cuando nos basamos en su consentimiento, puede retirarlo en cualquier momento: la verificación de contenido con IA en los ajustes de la Aplicación, los permisos de ubicación y notificaciones en los ajustes de su dispositivo, o escribiendo a privacy@odysseyjournal.app. La retirada del consentimiento no afecta al tratamiento realizado antes de ella.

05Subencargados del tratamiento

Solo colaboramos con proveedores de servicios de terceros acreditados que mantienen estrictos estándares de seguridad y privacidad:

1. Supabase, Inc.: base de datos en la nube, autenticación de usuarios y almacenamiento de objetos para fotos. (Servidores: AWS Fráncfort, Alemania - UE).
2. Sentry (Functional Software, Inc.): supervisión de errores y diagnóstico de fallos, alojado en la región de la UE de Sentry (Fráncfort, Alemania). Las direcciones de correo se enmascaran en el dispositivo; los informes contienen su ID de cuenta, datos del dispositivo y de la aplicación, y el contexto técnico del error.
3. Google LLC (Google Maps Platform): teselas de mapa en la aplicación para Android; cargarlas transmite la zona visible del mapa y su dirección IP. Cuando el mapa interactivo no está disponible, el perfil muestra en su lugar una imagen de mapa estático de Google, y esa solicitud incluye las coordenadas de sus publicaciones.
4. Google LLC (Google Workspace): alojamiento de correo corporativo para atención al cliente y consultas de privacidad.
5. Expo / 650 Industries, Inc.: marco de la aplicación y pasarela de notificaciones push (Expo Push Service). Cuando corresponde enviar una notificación, nuestro servidor envía a Expo el token push de su dispositivo, el texto de la notificación (incluido el nombre visible de la persona que dio me gusta, comentó o empezó a seguirle) y los ID de los elementos relacionados. Expo la entrega mediante Firebase Cloud Messaging (Google LLC) en Android y el Apple Push Notification service (Apple Inc.) en iPhone.
6. Open-Meteo (Zúrich, Suiza): el tiempo actual en el lugar de una entrada, registrado al crearla. La aplicación envía únicamente las coordenadas de esa entrada; no se adjunta identificador de cuenta, nombre ni correo electrónico.
7. Wikimedia Foundation, Inc. (Wikidata): nombres de ciudades y países en los doce idiomas de la aplicación. La aplicación envía únicamente el nombre del lugar consultado; los nombres obtenidos se guardan en una tabla compartida para no tener que consultarlos de nuevo.
8. OpenAI, L.L.C.: moderación automática de contenido. Con su permiso, el texto y las fotos de sus publicaciones y el texto de sus comentarios se envían a la Moderation API de OpenAI para comprobar que cumplen nuestras Normas de la comunidad. El texto y las fotos se comprueban antes de publicarse; el contenido señalado no llega a publicarse. Si la comprobación no está disponible temporalmente, el contenido puede publicarse sin ella y sigue sujeto a denuncias y revisión. OpenAI no utiliza los datos enviados a través de su API para entrenar sus modelos y los conserva hasta 30 días para vigilar abusos. Usted concede o retira este permiso en la Aplicación, en Configuración > Legal y comunidad > Control de contenido con IA; sin él puede seguir navegando, pero no publicar ni comentar. Si cree que un contenido se marcó por error, escriba a support@odysseyjournal.app y una persona lo revisará.
9. Unsplash, Inc.: fotografías de archivo utilizadas como imágenes de reserva en la aplicación, por ejemplo en la pantalla Explorar y en colecciones sin portada. Cargarlas transmite su dirección IP.
10. Apple Inc.: en iPhone, los mapas se dibujan con Apple Maps y el nombre del lugar de una ubicación se obtiene con el servicio de geocodificación integrado del teléfono; ambos reciben las coordenadas correspondientes y su dirección IP. El botón «Apple Maps» del mapa de una publicación envía sus coordenadas a la app Mapas.

NO vendemos, alquilamos ni intercambiamos sus datos personales con intermediarios de datos, anunciantes ni ningún tercero comercial.

06Contenido del usuario y privacidad de terceros (responsabilidad del usuario)

07Transferencias internacionales de datos

Sus datos son tratados por nuestros encargados del tratamiento en la Unión Europea (Fráncfort, Alemania: Supabase, Sentry), en Estados Unidos (Google, Expo, OpenAI, Apple, Wikimedia, Unsplash) y en Suiza (Open-Meteo), únicamente para los fines y con los datos descritos en la sección 5.

• Conforme a la KVKK (artículo 9): La Junta de Protección de Datos Personales de Turquía aún no ha adoptado ninguna decisión de adecuación para ningún país, por lo que estas transferencias requieren las garantías adecuadas previstas en el artículo 9, es decir, contratos tipo con los destinatarios notificados a la Autoridad de Protección de Datos Personales. Usar la Aplicación no significa que usted consienta las transferencias al extranjero, y no condicionamos el servicio a dicho consentimiento. Puede preguntar en privacy@odysseyjournal.app qué garantía se aplica a un destinatario concreto.
• Conforme al RGPD (capítulo V): Las transferencias a encargados fuera del EEE se rigen por las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea y por decisiones de adecuación.

08Conservación y supresión de datos

• Cuentas activas: conservamos sus datos personales y sus entradas del diario mientras su cuenta permanezca activa.
• Eliminación de la cuenta: puede eliminar de forma permanente su cuenta y todas las publicaciones, fotos, comentarios y mensajes asociados directamente en la aplicación, en Configuración > Cuenta > Eliminar Cuenta.
• Plazo de borrado: al eliminar su cuenta, su perfil, publicaciones, comentarios, me gusta, colecciones, seguimientos, bloqueos, denuncias, historial de búsqueda, tokens de notificación y los mensajes que envió y recibió se borran de inmediato de nuestra base de datos; después, la aplicación elimina sus fotos del almacenamiento. Quedan copias en las copias de seguridad diarias durante un máximo de siete (7) días, hasta que caducan. Los registros que la ley nos obliga a conservar se guardan solo durante el plazo de prescripción aplicable. Qué se borra y los pocos registros que se conservan figuran en odysseyjournal.app/es/delete-account.
• Registro de actividad: como proveedor que aloja el contenido que publican los usuarios, la Ley turca n.º 5651 nos obliga a conservar el registro de actividad descrito en la sección 2B durante al menos un año. Conservamos cada entrada durante un (1) año desde la acción que registra y después la borramos automáticamente, aunque entretanto haya eliminado su cuenta. El registro no se ve en la Aplicación; solo nosotros podemos acceder a él y solo lo comunicamos a las autoridades legalmente facultadas para solicitarlo.
• Eliminar una conversación: eliminar una conversación en Cartas solo la oculta de su propia bandeja. Los mensajes siguen visibles para el otro viajero hasta que uno de los dos elimine su cuenta.

09Derechos conforme a la ley turca (artículo 11 de la KVKK)

Con arreglo al artículo 11 de la Ley n.º 6698 de Protección de Datos Personales de la República de Turquía («KVKK»), como titular de los datos usted tiene derecho a:

1. Saber si se tratan sus datos personales.
2. Solicitar información al respecto si se han tratado.
3. Conocer la finalidad del tratamiento y si los datos se utilizan conforme a dicha finalidad.
4. Conocer a los terceros, nacionales o extranjeros, a los que se transfieren sus datos.
5. Solicitar la rectificación de sus datos si son incompletos o inexactos.
6. Solicitar la supresión o destrucción de sus datos en las condiciones del artículo 7 de la KVKK.
7. Solicitar que la rectificación, supresión o destrucción se notifique a los terceros destinatarios.
8. Oponerse a que se produzca un resultado adverso para usted derivado del análisis exclusivamente automatizado de sus datos.
9. Reclamar la reparación del daño sufrido por un tratamiento ilícito de sus datos personales.

Cómo presentar una solicitud: Conforme al Comunicado sobre los Procedimientos y Principios de Solicitud al Responsable del Tratamiento, puede presentar su solicitud por escrito, por correo electrónico certificado (KEP), con firma electrónica segura o firma móvil, o por correo electrónico a privacy@odysseyjournal.app desde la dirección registrada en su cuenta. Indique su nombre y apellidos, su número de identidad turco (o, si no tiene la nacionalidad turca, su nacionalidad y número de pasaporte o documento de identidad), su dirección, cómo podemos contactarle y lo que solicita. Resolvemos las solicitudes de forma gratuita lo antes posible y, como máximo, en un plazo de treinta (30) días; solo si la respuesta supone un coste adicional podrá cobrarse la tarifa fijada por la Junta. Si su solicitud es rechazada, considera insuficiente nuestra respuesta o no respondemos a tiempo, puede presentar una reclamación ante la Junta de Protección de Datos Personales en un plazo de treinta (30) días desde que conozca nuestra respuesta y, en todo caso, de sesenta (60) días desde su solicitud (artículo 14 de la KVKK).

10Derechos conforme al RGPD (usuarios del EEE y el Reino Unido)

Si reside en el Espacio Económico Europeo (EEE) o en el Reino Unido, el RGPD le reconoce los siguientes derechos:

• Derecho de acceso (artículo 15)
• Derecho de rectificación (artículo 16)
• Derecho de supresión o al olvido (artículo 17)
• Derecho a la limitación del tratamiento (artículo 18)
• Derecho a la portabilidad de los datos (artículo 20)
• Derecho de oposición (artículo 21)
• Derecho a retirar el consentimiento (artículo 7, apartado 3) en cualquier momento, sin que ello afecte al tratamiento realizado antes
• Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (artículo 22); la sección 5, punto 8, explica cómo pedir que una persona revise una decisión de moderación
• Derecho a presentar una reclamación ante su autoridad de control de protección de datos.

Para ejercer estos derechos, escriba a privacy@odysseyjournal.app.

11Derechos de privacidad de California (CCPA / CPRA)

Los residentes en California tienen derecho a solicitar la divulgación de la información personal recopilada, a pedir su eliminación, a rechazar la venta de información personal (no vendemos información personal) y a no sufrir discriminación por ejercer estos derechos. Las consultas deben dirigirse a privacy@odysseyjournal.app. No vendemos ni compartimos información personal para publicidad conductual entre contextos, y usamos la ubicación precisa solo para las funciones que usted decide utilizar.

12Privacidad de los menores

Odyssey Journal está destinada únicamente a adultos: no está destinada ni dirigida a menores de 18 años, ni a menores de la mayoría de edad de su país si esta es superior. Durante el registro, usted confirma por separado que tiene 18 años o más; al aceptar los Términos del Servicio, también confirma que cumple este requisito de edad. No recopilamos conscientemente datos personales de menores. Si detectamos que un menor nos ha facilitado datos personales, los eliminaremos de inmediato de nuestros servidores. Los padres o tutores que crean que se han recopilado datos de su hijo pueden escribir a privacy@odysseyjournal.app.

13Cookies y almacenamiento local

Odyssey Journal no utiliza cookies publicitarias, analíticas, de elaboración de perfiles ni de seguimiento entre sitios, ni en la aplicación móvil ni en odysseyjournal.app. No empleamos redes publicitarias de terceros ni scripts de analítica de comportamiento, y por eso no verá un aviso de consentimiento de cookies.

El único almacenamiento del navegador que usa este sitio es estrictamente necesario y permanece en su propio dispositivo:

• oj-theme: recuerda si eligió el tema de lectura claro (Pergamino) u oscuro (Noche sepia).

Este valor se escribe en el localStorage de su navegador, nunca se transmite a nuestros servidores ni a terceros y puede borrarlo en cualquier momento eliminando los datos del sitio en su navegador.

Dentro de la aplicación móvil, lo siguiente se guarda en el almacenamiento privado de la Aplicación en su dispositivo y no se comparte con otras aplicaciones:

• su sesión (sección 3);
• su elección de idioma y tema, y si ya ha visto las pantallas de introducción;
• si ha dado permiso para el control de contenido con IA en este dispositivo (sección 5);
• si ya se le ha preguntado por la ubicación de su casa;
• una caché de nombres de lugares y una copia del contenido cargado recientemente, conservada hasta 24 horas para que la aplicación se abra rápido y eliminada al cerrar sesión.

14Cambios en esta Política de Privacidad

Podemos actualizar esta Política de Privacidad ocasionalmente para reflejar cambios en nuestros servicios, tecnologías u obligaciones legales. Cuando se produzcan cambios significativos, se lo comunicaremos por correo electrónico y actualizaremos la fecha de «Última actualización» al principio de este documento. Si un cambio requiere su consentimiento, se lo volveremos a pedir en la Aplicación.

15Información de contacto

Para cualquier consulta, pregunta o solicitud relativa a esta Política de Privacidad o a sus datos personales:

• Privacidad y solicitudes KVKK: privacy@odysseyjournal.app
• Atención al cliente: support@odysseyjournal.app
• Consultas generales: hello@odysseyjournal.app
• Verificación postal y digital: Arif Gültaş, Estambul, Turquía
• Sitio web: odysseyjournal.app/privacy-policy