Aviso de Tratamiento de Datos

Entrada en vigor: 14 de mayo de 2026 · v1.0 · RGPD art. 13 · LOPDGDD

1. Responsable del Tratamiento

Gökhan Camcı (empresario individual bajo la marca SOU) — Estambul, Türkiye
Contacto: kvkk@souprivate.com

Modelo operativo: SOU no almacena datos personales de categorías especiales (plantillas biométricas, certificados de antecedentes penales) en sus propios sistemas. Las verificaciones de identidad y de antecedentes son realizadas por terceros autorizados (Persona KYC, sistema QR E-Devlet del Ministerio de Justicia turco); SOU únicamente conserva el resultado de la verificación («verificado / no verificado»). Si el modelo de almacenamiento cambia, este aviso se actualizará en consecuencia.

2. Datos Personales Tratados

Categoría	Tipo de dato	Base jurídica
Identidad	Nombre y apellidos, fecha de nacimiento	RGPD art. 6.1.b · ejecución de contrato
Contacto	Correo electrónico, teléfono	RGPD art. 6.1.b · ejecución de contrato
Ubicación (aproximada)	Ciudad, barrio (declaración del usuario). Además, cuando las funciones de «miembros cercanos» y registro automático están activas, se utiliza la ubicación aproximada de su dispositivo: en el servidor no se almacena la coordenada GPS exacta; se conserva de forma temporal (máximo 5 min) una ubicación redondeada a una precisión de ~111 m. La ubicación que introduce al añadir un lugar se envía a OpenStreetMap Nominatim (UE) para la conversión de dirección.	RGPD art. 6.1.a · consentimiento
Imagen	Fotografías de perfil (metadatos EXIF eliminados)	RGPD art. 6.1.a · consentimiento
Resultado de verificación de identidad	Salida Persona KYC: bandera verified=true/false. El documento de identidad, el número oficial y el selfie biométrico no se almacenan en los sistemas SOU — procesado por Persona, se devuelve el resultado.	RGPD art. 6.1.b · ejecución de contrato
Resultado de verificación de antecedentes	El usuario sube un documento QR E-Devlet; el sistema QR del Ministerio de Justicia turco realiza la verificación. SOU solo conserva el resultado clean=true/false; el documento en sí no se almacena.	RGPD art. 6.1.b · ejecución de contrato
Preferencias de intención	Intención (conocer / amistad / profesional / conversación), respuestas a prompts	RGPD art. 6.1.a · consentimiento
Comportamental	Reacciones de drop, métricas de fiabilidad, grafo de avales	RGPD art. 6.1.f · interés legítimo
Inferido (perfilado)	Categorías (valores, intereses, estilo de comunicación) inferidas de su texto de perfil y de sus preferencias dentro de la aplicación, e indicador de fiabilidad calculado a partir de sus decisiones de drop — utilizados únicamente para el emparejamiento. Un editor humano interviene en el proceso (no se trata de una decisión exclusivamente automatizada).	RGPD art. 6.1.f · interés legítimo
Transaccional	Metadatos de suscripción de Apple, estado de pago (no se almacenan datos de tarjeta)	RGPD art. 6.1.b · ejecución de contrato
Técnico	Tipo de dispositivo, versión de SO, versión de app, IP, token de push	RGPD art. 6.1.f · interés legítimo

Nota: SOU no almacena documentos de identidad, plantillas biométricas, certificados de antecedentes penales ni otros datos brutos de categorías especiales. La verificación se realiza con el consentimiento del usuario mediante encargados autorizados (Persona, sistema QR del Ministerio de Justicia turco); SOU solo procesa la bandera de resultado. Base jurídica: RGPD art. 13.

3. Finalidades del Tratamiento

Evaluación y aprobación de la solicitud de membresía
Preparación del encuentro curado (Drop)
Apertura del canal de match y mensajería
Trust & Safety (verificación de identidad, gestión de denuncias, expulsiones)
Cumplimiento de obligaciones legales
Respuesta a solicitudes de derechos de consumidores

4. Transferencias Internacionales (RGPD arts. 44-49)

Utilizamos los siguientes proveedores de servicios como encargados del tratamiento en el extranjero. Las transferencias se realizan mediante consentimiento expreso y cláusulas contractuales tipo (CCT):

Proveedor	Ubicación	Datos	Base jurídica
Firebase / Google Cloud	europe-west3 (Fráncfort)	Todo Firestore + Storage	CCT + residencia en UE
OpenAI	EE. UU.	Contenido de los mensajes (moderación de seguridad + análisis de salud de la conversación), texto de bio/prompts del perfil (embedding de emparejamiento), grabación de presentación de voz (transcripción Whisper), categorías de perfil agrupadas en buckets (texto editorial del Drop)	Consentimiento expreso (pantalla de Consentimiento IA) + DPA/CCT
Google Cloud Vision	EE. UU. / global	Fotografías subidas (análisis de seguridad de contenido inapropiado / NSFW + detección de rostros)	Consentimiento expreso + DPA/CCT
OpenStreetMap Nominatim	UE	Texto de ubicación/búsqueda que introduce al añadir un lugar (conversión de coordenadas → dirección)	Interés legítimo + condiciones de uso públicas de la API
Persona (KYC)	EE. UU.	Documento de identidad, selfie biométrico	Consentimiento expreso + SOC2 Type II + DPA
RevenueCat	EE. UU.	UID, metadatos de suscripción	CCT + contrato
Resend (email)	UE	Correo electrónico de contacto	DPA de UE
Sentry	UE (región DE de sentry.io)	Registros de errores (PII eliminada)	DPA de UE
Apple App Store	EE. UU./UE	Apple ID, recibos de compra	Apple Developer Agreement
Twilio (SMS, opcional)	UE/RU	OTP de teléfono	DPA + CCT

5. Plazos de Conservación (RGPD arts. 5 y 17)

Datos de lista de espera web: se conservan desde la fecha de solicitud hasta el lanzamiento de la app + 6 meses. Si el lanzamiento no se produce, se eliminan a más tardar el 31 de diciembre de 2027. Las solicitudes rechazadas se eliminan 90 días después de la decisión.
Datos de miembros activos: durante la vigencia de la membresía
Tras el cierre de la cuenta: 30 días de período de gracia en soft-delete
Transcurridos 30 días: destrucción permanente (anonimización de mensajes, drops/avales anonimizados)
Informes de Trust & Safety: 3 años anonimizados (obligación legal)
Registros de auditoría: 3 años (carga de la prueba conforme al RGPD art. 5.2)

6. Derechos del Interesado (RGPD arts. 15-22)

Puede ejercer los siguientes derechos escribiendo a kvkk@souprivate.com o a través de Ajustes → Solicitud RGPD en la aplicación:

Saber si sus datos personales están siendo tratados
Solicitar información sobre el tratamiento
Conocer la finalidad del tratamiento
Conocer las transferencias nacionales e internacionales realizadas
Solicitar la rectificación de datos incompletos o incorrectos
Solicitar la supresión o destrucción (Ajustes → Cerrar Cuenta)
Portabilidad de datos en formato legible por máquina (Ajustes → Descargar Mis Datos, RGPD art. 20)
Oponerse a una decisión automatizada (RGPD art. 22 — oposición a la lógica de selección de Drop: kvkk@souprivate.com)

Su solicitud recibirá respuesta en el plazo de 30 días.

7. Uso de Inteligencia Artificial

Nuestro proveedor principal de inteligencia artificial es OpenAI (EE. UU.). Para la seguridad del servicio y la calidad del emparejamiento se tratan los siguientes datos:

Mensajes de chat: los mensajes de texto que envía se transmiten a OpenAI para la seguridad de la comunidad (moderación) y el análisis de salud/riesgo de la conversación.
Bio del perfil / respuestas a prompts: se convierten en un embedding (vector numérico) mediante el modelo de OpenAI para calcular la afinidad de emparejamiento. Este tratamiento solo se realiza si existe su consentimiento expreso; si no lo otorga o lo retira, su texto no se envía a OpenAI.
Presentación de voz: la grabación de presentación de voz que realiza se envía a OpenAI Whisper para su transcripción.
Fotografías: las fotografías que sube se transmiten a Google Cloud Vision para el análisis de contenido inapropiado (NSFW).
Texto editorial del Drop: para el texto "por qué has sido seleccionado" se transmiten a OpenAI categorías agrupadas en buckets, sin nombre ni fotografía (tramo de edad, grupo profesional, barrio).

Con estos proveedores se aplican un contrato de tratamiento de datos (DPA) y cláusulas contractuales tipo (CCT). La decisión final de emparejamiento la toma un editor humano (House Council); la IA no produce decisiones automatizadas de forma autónoma (conformidad con el RGPD art. 22). Puede rechazar el tratamiento por IA desde la pantalla de Consentimiento IA dentro de la aplicación.

8. Medidas de Seguridad (RGPD art. 32)

Los tokens de autenticación se almacenan en iOS Keychain / Android Keystore
Los metadatos EXIF de las fotografías se eliminan antes de la carga
El acceso a las fotos se realiza mediante URL firmada con TTL de 5 minutos
No se envían PII a Sentry (lista de redacción de 45 claves)
Comunicación dispositivo-servidor mediante TLS 1.3
Whitelist a nivel de campo mediante Firestore Security Rules
Póliza de seguro de responsabilidad cibernética (cobertura de ₺1M)

9. Protección de Menores

SOU está destinado a usuarios mayores de 21 años. La verificación de edad es obligatoria mediante el KYC de Persona. Las solicitudes de menores de 21 años son rechazadas y sus datos, eliminados.

10. Contacto y Reclamaciones

Solicitudes de protección de datos: kvkk@souprivate.com · Plazo de respuesta: 30 días
Si no recibe respuesta, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) u otra autoridad de control competente (RGPD arts. 77-79).