Privacidad

La versión corta

Adopt a Plant lo gestiona una sola persona, no una empresa con un departamento de datos. En esta app no hay analítica, ni publicidad, ni informes de fallos, ni código de seguimiento de ningún tipo. Nada sobre ti se vende ni se cede a nadie con fines de marketing, porque aquí no hay nadie a quien vendérselo.

Lo único que te pedimos es una dirección de correo electrónico para que puedas iniciar sesión. Un nombre visible, para que la gente sepa con quién habla, se crea para ti a partir de esa dirección, y puedes cambiarlo cuando quieras. Una ubicación, para que las plantas encuentren a alguien cerca, es opcional. Tu ubicación exacta nunca se publica. Una dirección postal solo la ve la persona que te envía una planta.

El resto de esta página es el detalle: qué se guarda, dónde está, quién más llega a tocarlo y qué puedes pedirnos que hagamos con ello.

Quién es responsable

Adopt a Plant lo gestiona dev24, Pepermuntstraat 12, Utrecht, Países Bajos. Según el RGPD, eso convierte a dev24 en responsable del tratamiento de los datos personales que se describen aquí.

Para cualquier cuestión de esta página, escribe a hello@adoptaplant.eu. Lo lee una persona de verdad.

Qué guardamos sobre ti

Tu dirección de correo electrónico. Es la forma de iniciar sesión y de avisarte de solicitudes, mensajes y envíos. Nunca guardamos una contraseña, porque no hay contraseña: un correo te trae un enlace de acceso de un solo uso y un código de seis dígitos, y ambos se guardan solo como hash, junto con el recuento de intentos fallidos con el código. Además de la dirección tal como la escribiste, guardamos una forma identificativa de ella, en minúsculas y sin espacios al principio ni al final, y en el caso de una dirección de gmail también sin puntos y sin lo que vaya detrás de un signo más, porque todas esas variantes llegan al mismo buzón y, sin que nadie se diera cuenta, se estaban convirtiendo en cuentas distintas.

Tu perfil: un nombre visible y, si quieres, una breve biografía y una foto de perfil. Otros miembros los ven, y con ellos la localidad que hayas indicado, la puntuación y el número de valoraciones que te han dejado otros miembros, el día en que te uniste y tu última conexión. A nadie se le pide que se invente un nombre al registrarse, así que el primero se crea con la parte de tu dirección de correo que va antes de la arroba, lo que significa que una dirección que empieza por «lucia.garcia» empieza su andadura con el nombre «lucia garcia». Cámbialo en tus ajustes cuando quieras. La dirección en sí nunca se muestra a otro miembro. Los demás miembros también ven cuántas plantas has dado en adopción, contadas una por cada adopción que confirmó la persona que recibió la planta.

Tu ubicación, por partida doble, y además el nombre del lugar. El punto exacto que indicas se guarda en privado y nunca se muestra a nadie más. A partir de él calculamos un segundo punto, desplazado hasta un kilómetro, y ese punto desplazado es el único que llega al mapa, a la API o a un buscador. La localidad que lo acompaña, tu ciudad o tu barrio, se guarda como texto sin más, y ese texto se muestra en tu perfil y en tus anuncios.

Tus anuncios: título, descripción, especie, cantidad, formato, opciones de entrega, notas de envío, lo que te gustaría a cambio y las fotos que subes.

Un anuncio también lleva un contador de visitas. Cuenta visitas a la página de ese anuncio y nada más. No es una medida de interés ni un número de personas esperando la planta: el mismo visitante que vuelve mañana suma otra, y una visita no dice nada sobre si alguien quería lo que miró. Algunas visitas no se cuentan en absoluto. Las tuyas a tu propio anuncio no, mientras tengas la sesión iniciada; con la sesión cerrada, en una ventana privada o en un dispositivo en el que nunca la iniciaste, no hay nada con lo que reconocerte y la visita cuenta como cualquier otra. Tampoco cuentan las que hacemos nosotros mismos: la cuenta de administración, las cuentas que existen para que Apple pueda revisar la aplicación, los rastreadores y las vistas previas de enlaces que piden una página para un buscador o una aplicación de chat, y la comprobación automática que abre un anuncio después de cada despliegue.

Lo que esa cuenta te cuesta en privacidad: de una visita no se escribe nada en la base de datos, y el contador no guarda ninguna dirección. Para distinguir a un visitante de otro durante un solo día, el programa en marcha mantiene un hash en su propia memoria, calculado a partir de un número aleatorio que se descarta y se vuelve a crear cada medianoche, junto con el identificador de tu cuenta o, cuando no has iniciado sesión, tu dirección de red. Ninguno de los dos puede recuperarse del hash, nada de eso se escribe en disco, y un reinicio del servidor pierde los hashes de ese día. Por eso un visitante cuenta aproximadamente una vez al día en un anuncio y no exactamente una vez. Los registros corrientes del servidor web que aparecen más abajo en esta lista son otra cosa, y no son donde mira el contador.

Los mensajes de chat entre tú y otro miembro, incluidas las fotos que adjuntes.

Los registros de adopción: quién dio qué a quién, cuándo se solicitó, aceptó, envió, recogió o completó, cualquier número de seguimiento introducido, y las valoraciones y puntuaciones que os dejéis después.

Una dirección de envío, pero solo en las adopciones que van por correo, solo después de que quien da la planta haya aceptado, y legible solo para vosotros dos: nombre, calle, código postal, localidad, región, país y un número de teléfono opcional. Las adopciones con recogida no guardan ninguna dirección, ni tampoco un lugar ni una hora de encuentro. Eso queda en vuestro chat.

Los favoritos que guardas y las denuncias que nos envías sobre un anuncio, un mensaje o un miembro. Una denuncia registra qué denunciaste y por qué. Cuando la denuncia es sobre un mensaje, el administrador que la gestiona ve el principio de ese mensaje.

Los registros de moderación. Cada decisión que toma un moderador se anota en el momento: quién la tomó, en qué consistió, a qué cuenta, anuncio o denuncia se refería, cuándo y el motivo que escribió el moderador. Ese motivo es lo que una persona escribe sobre otra, así que puede nombrarte y describir lo que hiciste. Nunca se muestra a otro miembro.

Lo que ve una administración. Para mantener el sitio seguro, una administración puede revisar cualquier cuenta. De cada una se muestran el nombre visible, la dirección de correo, el país, el día en que se registró, cuántos anuncios tiene, cuántas denuncias sobre ella están abiertas o acabaron en una medida, y si está vetada o eliminada. No se muestran tu ubicación exacta, una dirección de envío ni tus conversaciones con otros miembros. Si una administración necesita localizarte, te escribe en el chat de la propia aplicación, desde una cuenta marcada como equipo de Adopt a Plant, y allí puedes responder, denunciar o bloquear como en cualquier otra conversación.

Las personas que bloqueas. Un bloqueo guarda quién bloqueó a quién y cuándo, para que dejéis de veros y ya no podáis escribiros. Tu propia lista está en tus ajustes, y desde ahí puedes deshacer cualquier bloqueo.

Las notificaciones que te muestra la app: qué ha pasado, de qué miembro viene y, en el caso de un mensaje nuevo, una breve vista previa. Se guardan para que la lista siga ahí cuando vuelvas.

El residuo técnico de tener una web en marcha: un registro por cada sesión iniciada (un hash del token de sesión, el navegador o la app desde la que se creó y marcas de tiempo), la dirección IP asociada a una petición de enlace de acceso y los registros de acceso habituales del servidor web. Si usas la app de iOS o Android y permites las notificaciones, también un token push de ese dispositivo.

Lo que no hacemos

Nada de analítica, publicidad, informes de fallos o de rendimiento, píxeles de seguimiento, cookies de terceros, huella digital del dispositivo, elaboración de perfiles ni decisiones automatizadas sobre ti.

La web instala cuatro cookies, y cada una de ellas hace algo que tú has pedido. aap_session mantiene tu sesión iniciada y solo la puede leer el servidor, nunca los scripts de la página. aap_locale recuerda si lees en inglés o en neerlandés. aap_browse_country recuerda qué país estabas explorando, para que un visitante sin cuenta no tenga que volver a elegirlo en cada visita. aap_scheme recuerda si este dispositivo se mostró en modo claro u oscuro, para que la primera página que dibuja el servidor no salga en el modo equivocado. Ninguna de las cuatro te sigue a ninguna otra parte, y por eso no hay ningún aviso de cookies que cerrar. Tu navegador también guarda tu idioma, tu preferencia de modo claro u oscuro y qué tarjetas has cerrado en la página Explorar, como una tarjeta del equipo, en su propio almacenamiento de tu dispositivo, y la app móvil guarda su token de sesión en el almacenamiento propio de la app en ese dispositivo.

No guardamos contraseñas, ni datos de pago, ni documentos de identidad, porque la app nunca te pide ninguno de ellos.

Cómo se protege tu ubicación

Cuando indicas una ubicación, guardamos tu punto exacto y enseguida calculamos uno difuminado. El desplazamiento es aleatorio dentro de un círculo de hasta un kilómetro y se deriva del identificador de tu cuenta, o del identificador del anuncio en el caso de un anuncio, así que sale igual cada vez. Esto último importa: un marcador que saltara a un sitio nuevo cada vez que se carga la página podría promediarse hasta dar con la puerta de tu casa. El tuyo se queda donde cayó.

La búsqueda, la ordenación por distancia y todo lo que se dibuja en el mapa usan el punto difuminado. Tu punto exacto se queda en el servidor, donde se usa para mantener tu propio marcador donde lo pusiste y para calcular el punto difuminado.

La ubicación es opcional. Puedes dejarla vacía, ponerla a mano en la esquina de tu calle en lugar de en tu puerta, o borrarla más adelante en tus ajustes.

También hay un botón «usar mi ubicación», en el selector de ubicación y en el mapa de exploración, y es lo único de la app que lee el sensor de posición de tu dispositivo. Tu navegador o tu teléfono te pide permiso antes de responder. Si nunca lo pulsas, la app nunca le pregunta a tu dispositivo dónde estás. Si lo pulsas, la lectura se usa para tres cosas: buscar el nombre del lugar en el que estás, centrar el mapa y ordenar los anuncios según lo lejos que estén. Esto último pone las coordenadas en la dirección de la página, así que sí llegan a nuestro servidor y quedan en su registro de accesos. No se guardan en tu cuenta: lo que se guarda como tu ubicación es el lugar que confirmes después, y se difumina como cualquier otro.

Las fotos se redimensionan y se vuelven a codificar en tu propio dispositivo antes de subirse, lo que elimina lo que la cámara escribió en el archivo, incluida cualquier etiqueta GPS. La imagen llega aquí sin ella. En un teléfono, la app pide acceso a la cámara o a tu fototeca solo en el momento en que añades una foto, y solo recibe la imagen que elegiste.

Dónde están tus datos

Todo lo que contiene tus datos funciona en un único ordenador pequeño en casa de la persona que mantiene el proyecto, en los Países Bajos: la base de datos, la API, la web y cada foto subida. Delante hay una máquina virtual alquilada en Ámsterdam cuya única función es terminar la conexión HTTPS de tu navegador y reenviarla, a través de un enlace privado cifrado, a ese ordenador. Ninguna red de distribución de contenidos, ningún proxy de terceros, y nadie ajeno al proyecto descifra tu tráfico por el camino. Conviene decir claramente cuál es la contrapartida: tus datos no están repartidos por los centros de datos de un proveedor de nube, pero sí están en un equipo instalado en una casa y no en unas instalaciones con vigilancia y generadores.

Es una decisión deliberada y nos costó renunciar a la opción fácil. El primer plan era poner Cloudflare delante del sitio: gratis y listo en una tarde. Se descartó en cuanto se puso por escrito el flujo de datos, porque un túnel o una CDN descifra el tráfico al pasar, lo que habría dado a una empresa de fuera de la UE el texto legible de los mensajes de chat, las direcciones de correo electrónico y las direcciones postales de todo el mundo. Aquí nadie puede leer tu tráfico por el camino, porque no hay nadie en medio.

Cada noche se hace una copia de seguridad de la base de datos en la misma máquina, y las copias de más de catorce días se eliminan.

Los pocos servicios externos

Correo electrónico. Nuestro proveedor de correo transaccional, Brevo, con sede en Francia, entrega los enlaces de acceso y los correos de notificación. Ve tu dirección de correo electrónico y el contenido de esos correos, que puede incluir el título de un anuncio, el nombre visible de la otra persona, el mensaje que alguien envió con una solicitud o un número de seguimiento. Si suspendemos tu cuenta, el aviso que te explica el motivo va por la misma vía, con el motivo del moderador incluido. Las direcciones postales nunca se ponen en un correo.

Teselas del mapa. El mapa se dibuja con teselas de OpenFreeMap, creadas a partir de datos de OpenStreetMap. Tu navegador o tu app descarga esas teselas directamente, así que OpenFreeMap ve tu dirección IP y, aproximadamente, qué zona estás mirando. Si nunca abres el mapa, nunca se contacta con ese servicio. Las fotos de referencia de las especies proceden de Wikimedia Commons, pero servimos nuestras propias copias, así que Wikimedia no ve nada mientras navegas.

Búsqueda de lugares. Cuando escribes el nombre de un lugar para indicar tu ubicación, esas palabras van a Photon, un geocodificador abierto que gestiona Komoot en Alemania, para convertirlas en coordenadas. También funciona al revés: si pulsas «usar mi ubicación», lo que va a Photon son las coordenadas que ha dado tu dispositivo, para obtener a cambio el nombre de un lugar. En los dos sentidos, nuestro servidor hace la consulta en tu nombre, así que tu dirección IP no viaja con la pregunta, y la respuesta se guarda en caché durante treinta días.

Seguimiento de paquetes. Cuando quien da la planta introduce un número de seguimiento, la app puede consultar el estado de ese paquete a un servicio de seguimiento, 17TRACK. Solo salen el número de seguimiento y el transportista. Tu nombre y tu dirección se quedan aquí.

Notificaciones push. Si usas la app móvil y permites las notificaciones, estas llegan a tu dispositivo a través de los servicios push de Apple y Google, como ocurre con las notificaciones de cualquier app de tu teléfono.

Oracle. Oracle nos alquila la pequeña máquina de Ámsterdam que responde a tu navegador y reenvía la petición. Ellos gestionan el hardware que hay debajo; el software y el certificado TLS son nuestros. Tus datos no se almacenan ahí, y no se entrega nada a Oracle para que lo trate en nuestro nombre.

Esa es la lista completa. Si alguna vez crece, antes cambiará esta página.

Por qué podemos guardarlo

La mayor parte, porque nos pediste que te prestáramos el servicio. Una cuenta, un anuncio, un chat, una solicitud y una adopción no pueden funcionar sin los datos que hay detrás, y según el RGPD eso es un contrato, artículo 6, apartado 1, letra b.

Tu ubicación y tus notificaciones push se basan en el consentimiento, artículo 6, apartado 1, letra a. Ambas son opcionales, y puedes retirar cualquiera de ellas cuando quieras borrando tu ubicación o desactivando las notificaciones.

Mantener a raya los abusos se basa en el interés legítimo, artículo 6, apartado 1, letra f: los límites de frecuencia, la dirección IP guardada junto a una petición de acceso, el registro de quién bloqueó a quién, y las denuncias y los registros de moderación que nos permiten actuar cuando alguien se comporta mal.

Los registros de moderación se basan en ese mismo fundamento. Un lugar que la gente comparte tiene que ser seguro, y de una decisión que tomamos sobre alguien tenemos que poder seguir rindiendo cuentas después. Eso limita lo que puede hacer aquí el derecho de supresión: eliminar tu cuenta no elimina el registro de una decisión tomada sobre ti.

Cuánto tiempo lo guardamos

Los enlaces de acceso caducan a los quince minutos, y el código de seis dígitos del mismo correo, a los diez. Cinco intentos fallidos con el código lo invalidan, y el enlace con él. Una tarea programada borra el registro un día después de que caduque o se use.

Las sesiones duran treinta días, contados desde la última vez que usaste la app y no desde que iniciaste sesión, así que, mientras sigas abriendo la app, no se te cerrará la sesión. Al cerrar sesión, esa sesión se borra al instante.

Los anuncios dejan de estar publicados sesenta días después de publicarse. El anuncio en sí se conserva para que puedas volver a publicarlo, y mientras tanto nadie lo ve.

Las búsquedas de nombres de lugares guardadas en caché se borran a los treinta días. Las copias de seguridad nocturnas de la base de datos se conservan catorce.

Los mensajes de chat, los registros de adopción y las valoraciones no tienen ningún plazo de caducidad. Son el registro de algo que ocurrió entre dos personas, así que sobreviven a la cuenta que se va: al eliminar la tuya se quita tu nombre de ellos, y lo que escribiste se queda donde la otra persona puede seguir leyéndolo.

Una dirección de envío se queda en su adopción mientras esa adopción exista, es decir, indefinidamente. Al eliminar tu cuenta se borran las que compartiste tú; una dirección que otra persona compartió contigo es suya, y se queda hasta que esa persona elimine la suya.

Las denuncias se conservan después de gestionarse, incluidas las denuncias sobre ti. Un registro de moderación que desaparece no es ningún registro.

Los registros de moderación se conservan indefinidamente, y eliminar tu cuenta no hace que desaparezcan. Si el moderador que escribió uno elimina después su propia cuenta, la fila sigue apuntando a esa cuenta, pero ya no queda en ella ningún nombre ni dirección. La decisión, su fecha y el motivo escrito en su momento se conservan.

Tus derechos

Puedes pedir una copia de tus datos, que se corrijan, que se borren, que se limite su uso, recibirlos en un archivo portable u oponerte a que los tratemos. Escribe a hello@adoptaplant.eu y te responderemos en un plazo de treinta días.

Algunas cosas puedes hacerlas por tu cuenta ahora mismo: cambiar o borrar tu nombre, biografía, foto de perfil y ubicación en tus ajustes, eliminar un anuncio, cerrar una sesión.

Eliminar la cuenta es algo que haces tú: Ajustes, luego Eliminar cuenta, y luego escribe la palabra que se te pide. Ocurre al instante y no se puede deshacer. Lo único que lo impide es una adopción que siga en curso, porque alguien al otro lado está esperando una planta o te debe una; termínala o cancélala primero y vuelve. Antes de que confirmes, la pantalla muestra qué se elimina y qué se conserva, y la sección de abajo es la versión larga de esa lista.

Si crees que hemos tratado mal tus datos, puedes presentar una reclamación ante la autoridad neerlandesa de protección de datos, la Autoriteit Persoonsgegevens, o ante la autoridad del país de la UE en el que vivas.

La parte delicada: registros que pertenecen a dos personas

Una adopción completada pertenece a dos personas. También la conversación que la rodea, y también una valoración. Si nos pides que borremos tu cuenta, no podemos borrar el registro que tiene la otra persona de algo que ocurrió entre vosotros, igual que esa persona tampoco podría borrar el tuyo.

Lo que hacemos en su lugar: tu dirección de correo electrónico, nombre, biografía, país y ubicación se borran de la cuenta, y el archivo de tu foto de perfil se elimina del servidor. Tus favoritos, las notificaciones de tu lista, tu lista de bloqueos, todas las sesiones y tokens push y cualquier enlace de acceso aún pendiente se eliminan por completo. Cualquier dirección de envío que compartieras como adoptante se borra. Tus anuncios se retiran, a quienes esperaban en la cola de esos anuncios se les avisa de que la planta ya no está disponible, y tus propias solicitudes abiertas se retiran.

Después, tu nombre se quita de las adopciones y valoraciones que quedan, de modo que lo que queda es el simple hecho de que la adopción tuvo lugar y el relato de la otra persona. Los mensajes que enviaste se quedan en su conversación, mostrados con un nombre eliminado en lugar del tuyo, y las fotos que ya iban adjuntas se quedan con la conversación. Un anuncio tuyo que alguien adoptó conserva su foto en el registro que esa persona tiene de la adopción, por el mismo motivo que la conversación, y eso se mantiene incluso si la adopción se canceló después, porque su registro se queda con esa persona. Todas las demás fotos de anuncios se eliminan del servidor por completo: el archivo original y cada tamaño que generamos a partir de él, incluidas las fotos de anuncios que ya habías eliminado tú.

Si eso no te parece suficiente, dilo cuando nos escribas. Te diremos exactamente qué quedaría en tu caso antes de tocar nada.

Cambios

Si esta política cambia en algo importante, lo anunciaremos en la app antes de que el cambio entre en vigor. La fecha de arriba indica la última vez que cambió.