Política de Privacidad

1. Quiénes somos

Toxicode es un grupo de desarrolladores independientes que lleva adelante FunTicket como proyecto hobby. Como autores y operadores de la app (iOS y Android) y del sitio funticket.musme.app, somos quienes determinamos las finalidades del tratamiento de los datos personales recogidos — por lo tanto, según el RGPD, somos el responsable del tratamiento. Escríbenos a it.funticket@gmail.com para cualquier duda sobre esta política o para ejercer tus derechos.

No hay ninguna empresa detrás de FunTicket: el proyecto no tiene ánimo de lucro, no vendemos datos y no cobramos a los usuarios.

2. En corto: lo que NO hacemos

Antes del lenguaje legal, los compromisos concretos:

• OCR en el dispositivo. Textos y códigos se reconocen localmente. Con una cuenta, boletos y archivos pueden cargarse en los servicios FunTicket para sincronización, copia y recuperación.
• No vendemos tus datos a nadie. Nunca. No es nuestro modelo de negocio.
• Sin trackers publicitarios de terceros en la app. Sin Google Analytics, Facebook Pixel, AppsFlyer, etc.
• Sin cuenta obligatoria. Puedes usar FunTicket en modo invitado: los boletos se quedan solo en tu dispositivo.

3. Qué datos recogemos

3.1 Cuenta (solo si te registras o inicias sesión con SSO)

Cuando creas una cuenta, manualmente o con Iniciar sesión con Apple / Google Sign-In (vía idToken nativo, sin redirect web), recibimos:

• Correo electrónico (necesario para acceso y recuperación de contraseña)
• Nombre / display name (opcional, modificable en Ajustes)
• Proveedor SSO (apple/google, si se usa)
• Identificador único de usuario (UUID generado por nosotros al primer acceso)

Para usuarios migrados desde el viejo Firebase también mantenemos el firebase_uid original para preservar la continuidad de sus boletos.

3.2 Contenido que creas

• Boletos (título, fecha, recinto, sector, asiento, campos específicos para vuelos/cine)
• Personalizaciones (colores, fuentes elegidas, template seleccionado)
• Contenido sincronizado: imágenes y, en las versiones con originales, PDF/fotos y notas pueden guardarse en Storage privado y recuperarse con URL firmadas temporales.
• Notificaciones y recordatorios programados
• Fotos de recuerdo y notas que añades a un boleto: se quedan en tu teléfono y, con una cuenta, se sincronizan como el resto del contenido.

3.3 Datos técnicos

Cuando la app habla con nuestro backend para sync y descarga de templates, registramos — por seguridad y debug:

• Dirección IP (enmascarada después de 30 días)
• User-Agent del dispositivo
• Timestamp de las peticiones
• Errores (código, ruta, request id correlado con nuestro logger interno)

Estos logs duran máximo 30 días antes de la rotación.

3.4 Invitaciones y premios

Si invitas a un amigo o aceptas una invitación, registramos quién invitó a quién, cuándo se aceptó la invitación y cuándo el amigo sincronizó su primer boleto. Usamos estos datos solo para asignar los premios (estilos Pareja, Revela y Oro, incluido tu número personal de Oro). Tu nombre visible, si lo has configurado, solo lo ve la otra persona de tu pareja. El enlace de invitación no contiene boletos, códigos de acceso ni otros datos personales.

3.5 Búsqueda de eventos

Cuando buscas un evento en la app, el texto que escribes pasa por nuestro backend al servicio de búsqueda de Ticketmaster, sin tu cuenta, tu email ni otros identificadores. El país del teléfono se queda en nuestro servidor y solo sirve para ordenar los resultados. Las imágenes de los resultados (fotos de artistas y eventos) la app las carga directamente desde los servidores de Ticketmaster, que por tanto ven la dirección IP de tu teléfono. Ticketmaster trata estos datos según su propia política de privacidad.

3.6 Eventos gratuitos

Si reservas un evento publicado por un organizador:

• registramos la reserva (evento, plaza, fecha), el pase con su código y, cuando entras, la hora de acceso;
• si reservas desde la web sin la app, usamos tu email para enviarte un código de acceso y el pase. Si el código no se usa, la cuenta creada se elimina sola a las 24 horas. La página usa Cloudflare Turnstile para bloquear bots: Cloudflare ve la dirección IP y algunos datos técnicos del navegador;
• si activas los avisos del evento, guardamos el identificador del dispositivo para las notificaciones, que pasan por el servicio push de Expo y luego por Apple o Google.

El organizador no recibe tu nombre ni tu email: solo ve recuentos y, en el escáner, si un pase es válido, ya usado o no válido.

Si organizas un evento, conservamos tu solicitud (nombre de la organización, tipo de eventos, contacto, enlace opcional), la versión de las condiciones aceptada y los datos de los eventos que publicas, incluidas las imágenes. El título, la fecha, el lugar y las imágenes del evento son visibles para cualquiera con el enlace. Para encontrar la dirección del evento la app usa el servicio de mapas del teléfono (Apple o Google); si eliges usar tu ubicación, la lee una sola vez y la guarda solo como lugar del evento.

4. Qué NO recogemos

• Ubicación en segundo plano. La app pide la ubicación solo a quien organiza, cuando elige buscar o fijar el lugar de un evento (ver 3.6).
• Contactos, calendario, fotos de otros álbumes (solo las imágenes que tú decides importar).
• Audio / micrófono (los permisos están declarados en el manifest solo porque el SDK de cámara los pide, pero el micrófono nunca se activa).
• Historial de navegación web.

5. Por qué tratamos tus datos (base legal GDPR)

Finalidad	Base legal
Prestación del servicio (login, sync de boletos, notificaciones)	Ejecución del contrato (art. 6.1.b GDPR)
Seguridad, anti-fraude, log de errores	Interés legítimo (art. 6.1.f GDPR)
Invitaciones y premios (quién invitó a quién, premios asignados)	Ejecución del contrato (art. 6.1.b GDPR): el programa de premios en el que participas al invitar o aceptar
Búsqueda de eventos con Ticketmaster	Ejecución del contrato (art. 6.1.b GDPR), solo cuando usas la búsqueda
Eventos gratuitos: reservas, pases, accesos, avisos, solicitudes y eventos de organizadores	Ejecución del contrato (art. 6.1.b GDPR)
Protección anti-bots de las reservas web (Cloudflare Turnstile)	Interés legítimo (art. 6.1.f GDPR)
Cumplimiento legal (ej. requerimientos de autoridades)	Obligación legal (art. 6.1.c GDPR)
Comunicaciones promocionales (hoy no enviamos)	Consentimiento expreso (art. 6.1.a GDPR)

6. Dónde viven tus datos

Todos los datos están alojados en Supabase self-hosted en servidores en la Unión Europea. Sin transferencias extra-UE para contenido de usuario. Las únicas excepciones:

• SSO Apple / Google: el flujo inicial de autenticación toca sus servidores (Estados Unidos), pero nosotros solo recibimos el idToken y el email verificado.
• Apple Push Notification Service / Firebase Cloud Messaging: indispensables para notificaciones push, gestionados por Apple/Google bajo sus estándares.
• Ticketmaster (búsqueda de eventos, ver 3.5): recibe el texto buscado a través de nuestro backend y, cuando la app muestra las imágenes de los resultados, la dirección IP del teléfono. Es un servicio con sede en Estados Unidos.
• Cloudflare Turnstile (reservas web, ver 3.6): ve la dirección IP y datos técnicos del navegador para distinguir personas de bots. Es un servicio con sede en Estados Unidos.
• Expo (avisos de eventos, ver 3.6): reenvía las notificaciones push a Apple y Google. Es un servicio con sede en Estados Unidos.

7. Cuánto tiempo

Tipo de dato	Conservación
Perfil de usuario activo	Mientras mantengas la cuenta
Boletos y personalizaciones	Hasta que los elimines
Invitaciones y premios (quién invitó a quién, premios asignados)	Mientras mantengas la cuenta; los premios ya desbloqueados siguen siendo tuyos aunque el amigo borre la suya
Reservas, pases y accesos	Mientras existan tu cuenta y el evento; se eliminan con la cuenta
Cuentas creadas desde la web y nunca confirmadas	Eliminadas automáticamente a las 24 horas
Solicitud de organizador y eventos publicados	Mientras mantengas la cuenta
Cuenta después de eliminar	Borrada en 30 días (los boletos cloud al instante)
Logs técnicos (IP, UA)	30 días
Backups de seguridad	Máximo 90 días tras la eliminación

8. Tus derechos

Según los arts. 15-22 GDPR puedes en cualquier momento:

• Acceso a tus datos personales
• Rectificación de datos inexactos
• Supresión (“derecho al olvido”)
• Limitación del tratamiento
• Portabilidad (exporta tus boletos en JSON desde la app, Ajustes → Exportar datos)
• Oposición al tratamiento basado en interés legítimo
• Reclamación ante la AEPD (www.aepd.es) o tu autoridad de control local

Escribe a it.funticket@gmail.com para ejercer cualquiera de estos derechos. Respondemos en 30 días.

9. Seguridad

• Transporte HTTPS cifrado entre la app y los servicios en la nube.
• JWT HS256 con rotación de access/refresh tokens, almacenamiento seguro nativo (Keychain en iOS / EncryptedSharedPreferences en Android)
• Acceso a los datos: la base aplica RLS a las solicitudes sujetas a sus políticas; el backend comprueba la propiedad en operaciones administrativas con service role. RLS no protege frente a un backend comprometido que tenga esa clave.
• OCR y parsing on-device: las imágenes nunca dejan tu teléfono para ser interpretadas
• Verificaciones técnicas: pruebas automáticas y comprobaciones de los flujos sensibles; ninguna garantía absoluta de ausencia de defectos.

10. Cambios

Actualizamos esta política cuando cambian las prácticas. La fecha de “Última actualización” arriba es la autoritativa. Cambios sustanciales se comunican por email (si tienes cuenta) y banner in-app.

11. Contacto

Toxicode (grupo de desarrolladores independientes) — para cualquier duda sobre el tratamiento de datos personales: it.funticket@gmail.com

No hemos designado un DPO obligatorio (los criterios del art. 37 GDPR no aplican), pero el email arriba es el canal oficial para cualquier solicitud de privacidad.