Aviso de Tratamiento de Datos

Entrada en vigor: 14 de julio de 2026 · v2.1 · RGPD art. 13 · LOPDGDD

1. Responsable del Tratamiento

Gökhan Camcı (empresario individual bajo la marca SOU) — Estambul, Türkiye
Contacto: kvkk@souprivate.com

Modelo operativo: El flujo actual de identidad dentro de la aplicación trata transitoriamente la imagen del documento y no la conserva. SOU almacena tres selfies privados de verificación y, con consentimiento separado, puede almacenar una plantilla facial cifrada en un área accesible solo por el servidor. La integración heredada/condicional de Persona seguirá declarada hasta que se demuestre su desactivación o uso en producción.

2. Datos Personales Tratados

Categoría	Tipo de dato	Base jurídica
Identidad	Nombre y apellidos, fecha de nacimiento	RGPD art. 6.1.b · ejecución de contrato
Contacto	Correo electrónico, teléfono	RGPD art. 6.1.b · ejecución de contrato
Ubicación (aproximada)	Ciudad, barrio (declaración del usuario). Además, cuando las funciones de «miembros cercanos» y registro automático están activas, se utiliza la ubicación aproximada de su dispositivo: en el servidor no se almacena la coordenada GPS exacta; se conserva de forma temporal (máximo 5 min) una ubicación redondeada a una precisión de ~111 m. La ubicación que introduce al añadir un lugar se envía a OpenStreetMap Nominatim (UE) para la conversión de dirección.	RGPD art. 6.1.a · consentimiento
Imagen	Fotografías de perfil (metadatos EXIF eliminados)	RGPD art. 6.1.a · consentimiento
Verificación de identidad	La imagen del documento se trata transitoriamente y SOU no la conserva. Se almacenan tres selfies privados de verificación y, con consentimiento separado, puede almacenarse una plantilla facial cifrada; también se conservan resultados y señales de revisión.	RGPD art. 6.1.b · ejecución del contrato; consentimiento separado para datos biométricos
Resultado de verificación de antecedentes	El usuario sube un documento QR E-Devlet; el sistema QR del Ministerio de Justicia turco realiza la verificación. SOU solo conserva el resultado clean=true/false; el documento en sí no se almacena.	RGPD art. 6.1.b · ejecución de contrato
Preferencias de intención	Intención (conocer / amistad / profesional / conversación), respuestas a prompts	RGPD art. 6.1.a · consentimiento
Comportamental	Reacciones de drop, métricas de fiabilidad, grafo de avales	RGPD art. 6.1.f · interés legítimo
Inferido (perfilado)	Categorías inferidas del perfil y preferencias e indicador de fiabilidad calculado a partir de decisiones de Drop. HOUSE crea una presentación directa seleccionada por el sistema o por un editor autorizado, sin aprobación mutua; la revisión humana solo interviene cuando el caso es derivado a ella.	RGPD art. 6.1.f · interés legítimo
Transaccional	Metadatos de suscripción de Apple, estado de pago (no se almacenan datos de tarjeta)	RGPD art. 6.1.b · ejecución de contrato
Técnico	Tipo de dispositivo, versión de SO, versión de app, IP, token de push	RGPD art. 6.1.f · interés legítimo

Nota: SOU no conserva la imagen del documento de identidad, pero sí tres selfies privados de verificación y puede conservar una plantilla facial cifrada con consentimiento separado. Estos elementos se eliminan al retirar el consentimiento o borrar la cuenta mediante un flujo de eliminación reintentable. La vía heredada/condicional de Persona permanece sujeta a prueba de desactivación o uso en producción.

3. Finalidades del Tratamiento

Evaluación y aprobación de la solicitud de membresía
Preparación del encuentro curado (Drop)
Apertura del canal de match y mensajería
Trust & Safety (verificación de identidad, gestión de denuncias, expulsiones)
Cumplimiento de obligaciones legales
Respuesta a solicitudes de derechos de consumidores

4. Transferencias Internacionales (RGPD arts. 44-49)

Utilizamos los siguientes proveedores de servicios como encargados del tratamiento en el extranjero. Las transferencias se realizan mediante consentimiento expreso y cláusulas contractuales tipo (CCT):

Proveedor	Ubicación	Datos	Base jurídica
Firebase / Google Cloud	EE. UU. y Europa (Firestore actual: nam5; Functions: europe-west1)	Auth, Firestore, Storage, Functions, gestión de claves y seguridad de imágenes, incluidos selfies privados de verificación	Mecanismo de transferencia y DPA aplicables; sin afirmación de residencia exclusiva en la UE
OpenAI	EE. UU.	Contenido de los mensajes (moderación de seguridad + análisis de salud de la conversación), texto de bio/prompts del perfil (embedding de emparejamiento), grabación de presentación de voz (transcripción Whisper), categorías de perfil agrupadas en buckets (texto editorial del Drop)	Consentimiento expreso (pantalla de Consentimiento IA) + DPA/CCT
Google Cloud Vision	EE. UU. / global	Fotografías subidas (análisis de seguridad de contenido inapropiado / NSFW + detección de rostros)	Consentimiento expreso + DPA/CCT
OpenStreetMap Nominatim	UE	Texto de ubicación/búsqueda que introduce al añadir un lugar (conversión de coordenadas → dirección)	Interés legítimo + condiciones de uso públicas de la API
Persona (heredada/condicional)	EE. UU.	Datos de consultas KYC heredadas solo si la integración restante sigue configurada	Consentimiento expreso si está activa + DPA/mecanismo de transferencia; en caso contrario, prueba de desactivación
RevenueCat	EE. UU.	UID, metadatos de suscripción	CCT + contrato
Resend (email)	UE	Correo electrónico de contacto	DPA de UE
Sentry	UE (región DE de sentry.io)	Registros de errores (PII eliminada)	DPA de UE
Apple App Store	EE. UU./UE	Apple ID, recibos de compra	Apple Developer Agreement
Twilio (SMS, opcional)	UE/RU	OTP de teléfono	DPA + CCT

5. Plazos de Conservación (RGPD arts. 5 y 17)

Datos de lista de espera web: se conservan desde la fecha de solicitud hasta el lanzamiento de la app + 6 meses. Si el lanzamiento no se produce, se eliminan a más tardar el 31 de diciembre de 2027. Las solicitudes rechazadas se eliminan 90 días después de la decisión.
Datos de miembros activos: durante la vigencia de la membresía
Tras el cierre de la cuenta: 30 días de período de gracia en soft-delete
Transcurridos 30 días: destrucción permanente (anonimización de mensajes, drops/avales anonimizados)
Informes de Trust & Safety: 3 años anonimizados (obligación legal)
Registros de auditoría: 3 años (carga de la prueba conforme al RGPD art. 5.2)

6. Derechos del Interesado (RGPD arts. 15-22)

Puede ejercer los siguientes derechos escribiendo a kvkk@souprivate.com o a través de Ajustes → Solicitud RGPD en la aplicación:

Saber si sus datos personales están siendo tratados
Solicitar información sobre el tratamiento
Conocer la finalidad del tratamiento
Conocer las transferencias nacionales e internacionales realizadas
Solicitar la rectificación de datos incompletos o incorrectos
Solicitar la supresión o destrucción (Ajustes → Cerrar Cuenta)
Portabilidad de datos en formato legible por máquina (Ajustes → Descargar Mis Datos, RGPD art. 20)
Oponerse a una decisión automatizada (RGPD art. 22 — oposición a la lógica de selección de Drop: kvkk@souprivate.com)

Su solicitud recibirá respuesta en el plazo de 30 días.

7. Uso de Inteligencia Artificial

Nuestro proveedor principal de inteligencia artificial es OpenAI (EE. UU.). Para la seguridad del servicio y la calidad del emparejamiento se tratan los siguientes datos:

Mensajes de chat: los mensajes de texto que envía se transmiten a OpenAI para la seguridad de la comunidad (moderación) y el análisis de salud/riesgo de la conversación.
Bio del perfil / respuestas a prompts: se convierten en un embedding (vector numérico) mediante el modelo de OpenAI para calcular la afinidad de emparejamiento. Este tratamiento solo se realiza si existe su consentimiento expreso; si no lo otorga o lo retira, su texto no se envía a OpenAI.
Presentación de voz: la grabación de presentación de voz que realiza se envía a OpenAI Whisper para su transcripción.
Fotografías: las fotografías que sube se transmiten a Google Cloud Vision para el análisis de contenido inapropiado (NSFW).
Texto editorial del Drop: para el texto "por qué has sido seleccionado" se transmiten a OpenAI categorías agrupadas en buckets, sin nombre ni fotografía (tramo de edad, grupo profesional, barrio).

Con estos proveedores se aplican el contrato de tratamiento y el mecanismo de transferencia correspondientes. HOUSE crea una presentación directa: el sistema de SOU o un editor autorizado selecciona a una pareja elegible sin likes ni aceptación mutua. La revisión humana es condicional, no obligatoria para cada selección. Puede rechazar el tratamiento por IA y solicitar una explicación o revisión humana por el canal de derechos de datos.

8. Medidas de Seguridad (RGPD art. 32)

Los tokens de autenticación se almacenan en iOS Keychain / Android Keystore
Los metadatos EXIF de las fotografías se eliminan antes de la carga
El acceso a las fotos se realiza mediante URL firmada con TTL de 5 minutos
No se envían PII a Sentry (lista de redacción de 45 claves)
Comunicación dispositivo-servidor mediante TLS 1.3
Whitelist a nivel de campo mediante Firestore Security Rules
Póliza de seguro de responsabilidad cibernética (cobertura de ₺1M)

9. Protección de Menores

SOU está destinado a usuarios mayores de 18 años. La verificación actual de identidad y edad se realiza dentro de la aplicación. La integración heredada/condicional de Persona solo trata datos si se demuestra que sigue activa. Las solicitudes de menores de 18 años se rechazan y sus datos se eliminan.

10. Contacto y Reclamaciones

Solicitudes de protección de datos: kvkk@souprivate.com · Plazo de respuesta: 30 días
Si no recibe respuesta, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) u otra autoridad de control competente (RGPD arts. 77-79).