Política de privacidad — Step Swap

Versión: 2.4 · Fecha de entrada en vigor: 2026-11-02

Step Swap ayuda a las personas con números de calzado desparejados a encontrar una coincidencia e intercambiar zapatos. Esta política explica qué datos personales tratamos y sus derechos sobre ellos.

Responsable del tratamiento: Vitalii Bartashchuk (empresario individual, živnostník), con domicilio profesional en Za vodou 161/2, 032 03 Liptovský Ján, República Eslovaca, IČO 54225337 (registro de empresarios individuales: Živnostenský register Okresného úradu Liptovský Mikuláš, n.º 540-24297). Contacto: info@vaet.sk, teléfono: +421 952 681 072. No hemos designado un delegado de protección de datos; para cualquier cuestión de privacidad, escriba a info@vaet.sk.

1. Datos que recogemos

No vendemos sus datos personales.

Indicar sus números de calzado es necesario para emparejarle; su dirección y teléfono son necesarios para enviar un intercambio. Sin ellos puede usar la app, pero no completar un intercambio.

2. Cómo los usamos

• Crear su cuenta y autenticarle (inicio de sesión de Google o Apple, o un enlace o código de un solo uso que le enviamos a su dirección de correo electrónico).
• Emparejarle con otros miembros por número de calzado (el estilo es una señal de ordenación).
• Habilitar el chat y el flujo de intercambio de zapatos.
• Generar etiquetas de envío para un intercambio (dirección + teléfono se comparten con nuestro socio de envíos solo para el intercambio que usted inicia).
• Cobrar la tarifa de envío por intercambio cuando proceda (los datos de tarjeta se introducen en el checkout alojado de Stripe y nunca llegan a nuestros servidores; solo guardamos el estado del pago, el importe y los identificadores de Stripe).
• Diagnosticar fallos (los informes se limpian de direcciones, teléfonos, nombres y texto de mensajes).
• Mantener seguro el sitio: los informes de seguridad automáticos de su navegador, reducidos como se describe en §10, se envían a Sentry para que podamos encontrar y corregir lo que bloquea nuestra política de seguridad.
• Atender solicitudes de soporte, disputas y revisiones de confianza y seguridad. Para ello, nuestros administradores de confianza y seguridad pueden consultar su cuenta en modo de solo lectura (véase §6).
• Entender el uso agregado para mejorar la app.
• Antes de iniciar sesión, permitirle explorar la página de inicio, buscar por número de calzado y ver recuentos y ejemplos de coincidencias anonimizados, además de las tarifas de envío públicas. Las búsquedas por número se envían a nuestros servidores solo para calcular las vistas previas y no se guardan hasta que inicia sesión; los números pendientes pueden conservarse en el sessionStorage del navegador hasta entonces. Los ejemplos nunca incluyen nombres, fotos, correo, dirección ni teléfono.
• Si se apunta a la lista de espera por número, escribirle una sola vez cuando se registre un miembro con un número compatible. No enviamos nada más a esa dirección — ni boletines ni publicidad — y cada correo incluye un enlace para darse de baja.
• Si le invitamos a la pregunta de precio sobre pares mixtos, preguntarle si querría que le preparáramos un par mixto y con qué tarifa de servicio, para poder valorar la demanda antes de crear u ofrecer un servicio así. A través de ella no se vende, encarga ni cobra nada. Para elegir a quién invitar usamos datos que ya figuran en su perfil: sus números de calzado y en qué pie lleva zapato, los modelos que marcó como propios o deseados, y nuestras comprobaciones de bloqueos, fraude (sybil) y cuentas vinculadas, de modo que solo invitamos a dos miembros cuyos números son simétricos entre sí. Sus respuestas nunca se muestran a otros miembros.
• Mostrar una pista de tarifa típica de intercambio a partir de la región del idioma de su navegador — no usamos GPS ni ubicación precisa.
• No usamos decisiones automatizadas que produzcan efectos jurídicos o igualmente significativos sobre usted — el emparejamiento por número es una sugerencia no vinculante que usted decide seguir.

3. Bases jurídicas (RGPD)

Nos apoyamos en distintas bases para distintos fines (art. 6 RGPD):

• Ejecución de un contrato (art. 6.1.b) — su cuenta, el inicio de sesión (con Google, Apple o un enlace o código de un solo uso enviado a su dirección de correo electrónico), el emparejamiento, el chat, el flujo de intercambio, las etiquetas de envío y la tarifa por intercambio. El inicio de sesión es la forma en que prestamos el servicio, por lo que se basa en el contrato, no en el consentimiento.
• Consentimiento (art. 6.1.a) — diagnósticos opcionales de fallos/errores, cualquier analítica o almacenamiento no esenciales (véase §10) y el correo de la lista de espera por número al que se apunte (darse de baja equivale a retirarlo). Puede retirarlo en cualquier momento.
• Consentimiento explícito para datos de categoría especial (art. 9(2)(a)) — Si llevas zapato en un solo pie, usamos ese hecho para emparejarte solo después de un consentimiento explícito en la app. Solo te invitamos a la pregunta de precio sobre pares mixtos si antes has aceptado en Perfil → Ajustes que usemos para ello la diferencia entre tu talla izquierda y derecha; guardamos tu respuesta (y tus tallas con ella) solo con ese consentimiento. Puedes rechazar o retirar cualquier consentimiento en cualquier momento en Perfil → Ajustes: entonces dejamos de usarlo y, en la pregunta de precio, borramos tu fila incluidas las tallas guardadas.
• Interés legítimo (art. 6.1.f) — mantener el servicio seguro, prevenir abusos y fraudes, y depurar errores; ponderado frente a sus derechos. Esto incluye los informes de seguridad reducidos descritos en §10. Esto incluye que nuestros administradores de confianza y seguridad consulten la cuenta de un miembro en modo de solo lectura para atender solicitudes de soporte, disputas y revisiones de confianza y seguridad, así como el registro que llevamos de esas consultas (véase §5 y §6). Esto incluye también la pregunta de precio sobre pares mixtos (§2): nuestro interés en saber si los miembros quieren que se les prepare un par mixto, y con qué tarifa de servicio, antes de crear u ofrecer ese servicio. Responder es opcional, y puede ignorar u ocultar la pregunta. Puede oponerse en cualquier momento en la app (« No me lo preguntéis más ») o escribiendo a info@vaet.sk, y entonces eliminaremos sus respuestas.
• Obligación legal (art. 6.1.c) — conservar registros de pagos y envíos por motivos fiscales y contables (véase §5).

4. Con quién los compartimos

Encargados que actúan siguiendo nuestras instrucciones: Supabase (autenticación, base de datos, almacenamiento de avatares, alojamiento), Sightengine (análisis automático de las subidas opcionales de avatar para detectar contenido explícito u ofensivo antes de guardarlas; las imágenes se envían a Sightengine para su análisis y, según su política, no las conserva más allá de la llamada a la API), Google (inicio de sesión), Apple (inicio de sesión con Apple (OAuth); con Ocultar mi correo, la retransmisión de Apple reenvía nuestros correos a su dirección real), Sentry (diagnósticos de errores/fallos depurados de datos personales; solo en la versión web se graban reproducciones de sesión enmascaradas de las sesiones que sufrieron un error — todo el texto, los campos y los medios se enmascaran; la app instalada no graba reproducciones de sesión; en la web, también informes reducidos sobre la política de seguridad, que no requieren consentimiento (véase §10)), el transportista de su ruta (actualmente Packeta/Zásielkovňa para Eslovaquia/Europa Central; Sendcloud con su transportista, p. ej. Österreichische Post, para Austria/Europa Occidental; Packlink para paquetes enviados desde Alemania, Posti desde Finlandia, Hrvatska pošta desde Croacia y Econt desde Bulgaria) (nombre del destinatario, dirección, teléfono y, para la entrega a domicilio, correo — para generar la etiqueta y entregar el paquete), Resend (envío de correos electrónicos: enlaces y códigos de inicio de sesión, notificaciones de intercambio, correos de coincidencia de la lista de espera por número, confirmaciones de desistimiento y alertas operativas a nuestro propio equipo; Resend trata la dirección de correo electrónico del destinatario y el contenido de cada mensaje, y almacena los mensajes y los registros de entrega en Estados Unidos) y Vercel (alojamiento web y analíticas respetuosas con la privacidad).

Responsables independientes. Stripe procesa la tarifa de envío por intercambio y trata sus datos de tarjeta como responsable propio, conforme a su propia política de privacidad — nunca vemos el número de su tarjeta y solo recibimos el estado del pago, el importe y los identificadores de la transacción. Para ese pago, es Stripe — y no Step Swap — quien decide cómo se utilizan los datos de su tarjeta.

Los demás miembros solo ven su nombre visible, su avatar, sus números y sus estilos. Su dirección postal y su número de teléfono no se muestran a otros miembros — se usan únicamente para generar la etiqueta de envío y se comparten con el transportista para entregar el paquete.

5. Conservación de los datos

• Token de revocación de Apple — se conserva únicamente para poder pedir a Apple que revoque el acceso de Step Swap cuando elimine su cuenta (Apple lo exige); nunca se usa para leer datos, no es legible por otros miembros ni por la aplicación, y se elimina junto con su cuenta.
• Perfil y datos generales de la cuenta — su perfil (nombre, avatar, números de calzado, estilo), datos de contacto y tokens push, y cualquier chat que no formara parte de un intercambio que alcanzó la fase de pago o de etiqueta de envío — se conservan mientras su cuenta está activa y se eliminan sin demora cuando elimina su cuenta (véase §7), aparte del vínculo de identidad limitado que mantenemos con los registros de abajo.
• Registros de pagos, envíos e intercambios — debemos conservar los registros de facturación y transacciones conforme a la legislación fiscal y contable eslovaca, generalmente hasta 10 años, incluso después de que elimine su cuenta. Como ese registro tiene que identificar a quién se refiere — para que un pago pueda vincularse a la persona que lo hizo, por contabilidad, devoluciones de cargo y fraude — los conservamos con un vínculo restringido a su identidad durante ese periodo; el acceso se limita a esos fines. Bases jurídicas: obligación legal (art. 6.1.c) y nuestro interés legítimo en un servicio seguro y sin fraude (art. 6.1.f).
• Chat de intercambios pagados/enviados — para un intercambio que alcanzó la fase de pago o envío conservamos también los mensajes de chat intercambiados para él, con el vínculo de identidad restringido, hasta 3 años (el plazo general de prescripción del derecho eslovaco) tras la eliminación de la cuenta — y más tiempo solo mientras esté abierta una disputa concreta, una reclamación legal o una solicitud de una autoridad — y después se eliminan. Se mantienen bajo acceso restringido y se usan únicamente para gestionar denuncias, disputas, fraudes y reclamaciones legales. Base jurídica: interés legítimo en un servicio seguro y sin fraude y en la formulación, el ejercicio o la defensa de reclamaciones (art. 6.1.f RGPD). El art. 17.3.e RGPD no es una base jurídica para el tratamiento; es la excepción que nos permite conservar estos datos a pesar de una solicitud de supresión, para esas mismas reclamaciones.
• Registro de mensajes de soporte — cuando un miembro de nuestro equipo de soporte envía un mensaje a un chat para ayudar a resolver un problema, conservamos un registro de qué empleado lo hizo y cuándo — un registro de rendición de cuentas de las acciones de soporte (no añade ningún dato personal nuevo sobre usted más allá del propio chat). Este registro se conserva hasta 3 años, no es legible por los miembros y — dado que registra una acción de un empleado — se conserva aunque ese empleado se marche posteriormente. Base jurídica: nuestro interés legítimo en un servicio responsable y resistente a los abusos (art. 6.1.f RGPD).
• Registro de accesos del personal — cuando uno de nuestros administradores de confianza y seguridad busca miembros o abre la cuenta de un miembro (véase §6), registramos qué administrador lo hizo, cuándo, de qué cuenta se trata, qué parte de ella consultó, el motivo que indicó y los términos de búsqueda que utilizó. El registro se conserva hasta 3 años, no es legible por los miembros y se conserva aunque ese administrador se marche posteriormente. Si solicita una copia de sus datos (art. 15 RGPD), incluimos las entradas del registro relativas a su cuenta. Base jurídica: nuestro interés legítimo en un servicio responsable que pueda demostrar quién consultó los datos de los miembros y por qué (art. 6.1.f RGPD).
• Diagnósticos — los informes de errores se conservan durante un periodo limitado (normalmente hasta 90 días) y no contienen direcciones, teléfonos, nombres ni texto de mensajes.
• Lista de espera por número — se elimina en el plazo de un día después de que se dé de baja, 30 días después de que se haya encontrado una coincidencia y se le haya enviado por correo, y como máximo 12 meses después de que se apuntara.
• Pregunta de precio sobre pares mixtos — sus respuestas, junto con el modelo, los números y las tarifas que se le mostraron, se eliminan 12 meses después del cierre de la pregunta (se cierra 14 días después de que se la enviemos), haya respondido o no, o antes si elimina su cuenta. Base jurídica: nuestro interés legítimo (art. 6.1.f RGPD, véase §3).
• Contadores antiabuso — para limitar el spam y los abusos, contamos cuántas veces se realizan determinadas acciones (por ejemplo mensajes, denuncias, búsquedas o inscripciones en la lista de espera) en un breve intervalo de tiempo y rechazamos nuevos intentos una vez alcanzado un límite. Un contador contiene la acción, el número y el inicio del intervalo, junto con el ID de su cuenta — o, si no ha iniciado sesión, un hash de su dirección IP en lugar de la propia dirección (en el formulario de desistimiento en línea: el ID de su cuenta o la dirección de correo electrónico que introdujo). Cada contador se elimina automáticamente como máximo 3 días después del inicio de su intervalo. Base jurídica: nuestro interés legítimo en un servicio seguro y libre de abusos (art. 6.1.f RGPD).

6. Seguridad

Los datos se cifran en tránsito y en reposo. El acceso a la base de datos usa seguridad a nivel de fila, de modo que un miembro solo puede leer sus propios datos y los de las personas con las que comparte un chat, y el acceso a nuestros sistemas se limita a lo necesario para operar el servicio. Si una violación de datos personales pudiera suponer un riesgo para sus derechos, se lo notificaremos a usted y a la autoridad eslovaca de protección de datos (Úrad na ochranu osobných údajov SR), como exige el RGPD.

El acceso del personal a las cuentas de los miembros se limita a nuestros administradores de confianza y seguridad. Para abrir la cuenta de un miembro, un administrador debe iniciar sesión con un segundo factor (un código de una aplicación de autenticación) e indicar un motivo. La consulta es de solo lectura: no permite iniciar sesión en su cuenta, actuar en su nombre ni modificar sus datos. Muestra su perfil (incluidos su dirección, su número de teléfono y su dirección de correo electrónico), cuándo se registró y cuándo inició sesión por última vez, sus números de calzado, los zapatos sueltos que ofrece, los zapatos que marcó en el catálogo (como su lista de deseos), sus intercambios y su estado, y una lista de sus chats sin el contenido de los mensajes. Cada búsqueda y cada consulta quedan registradas (véase §5), y cada administrador solo puede hacer un número limitado de consultas por hora.

Para la pregunta de precio sobre pares mixtos, un administrador que haya iniciado sesión con un segundo factor también puede ver las respuestas que dio cada miembro invitado, listadas por ID de miembro con los números y las tarifas que se mostraron a ese miembro, sin nombres ni datos de contacto. Esa lista no forma parte de la consulta de la cuenta, por lo que no queda anotada en el registro de accesos del personal.

7. Sus derechos y la eliminación de cuenta

Puede acceder a sus datos y corregirlos en la app, y eliminar su cuenta en cualquier momento — eliminamos sus datos asociados sin demora, aparte de los registros limitados que debemos o podemos conservar según el §5 (registros fiscales/contables y registros necesarios por seguridad, prevención del fraude o reclamaciones legales): en la app mediante Perfil → Ajustes → Eliminar cuenta, o por solicitud — véase eliminación de cuenta. Según dónde viva, puede tener también derechos de portabilidad, oposición/limitación, retirada del consentimiento y a presentar una reclamación ante su autoridad de protección de datos. Nuestra autoridad de control principal bajo el mecanismo de ventanilla única del RGPD es la Úrad na ochranu osobných údajov SR eslovaca (dataprotection.gov.sk). Si vive en España, puede dirigirse también a la Agencia Española de Protección de Datos (AEPD, aepd.es). Si vive en otro país de la UE o del EEE, puede presentar una reclamación ante su autoridad nacional — el Comité Europeo de Protección de Datos mantiene un directorio de todas ellas (edpb.europa.eu).

8. Transferencias internacionales

Algunos de los proveedores anteriores (p. ej. Google, Stripe, Sentry, Vercel, Resend) pueden tratar datos fuera del EEE, incluido Estados Unidos. Resend almacena en Estados Unidos los correos que entrega por nuestra cuenta, así como sus registros de entrega. Esas transferencias se apoyan en garantías adecuadas — las cláusulas contractuales tipo de la UE y/o el Marco de Privacidad de Datos UE–EE. UU. cuando el proveedor está certificado. Puede solicitar detalles escribiendo a info@vaet.sk.

9. Menores

Step Swap no está dirigido a menores de 18 años y no recogemos sus datos a sabiendas.

10. Cookies y almacenamiento local

Reducimos las cookies y el almacenamiento local al mínimo:

• Estrictamente necesarios — Supabase establece almacenamiento/cookies para mantener su sesión iniciada y proteger la app. Son imprescindibles para que el servicio funcione y no requieren consentimiento.
• Informes de seguridad (estrictamente necesarios) — cuando su navegador encuentra en el sitio un contenido que nuestra política de seguridad no permite, envía automáticamente un informe a nuestro servidor. Solo conservamos la regla que se activó, el origen del contenido bloqueado (p. ej. https://example.com, sin el resto de la dirección) y la ruta de nuestra página, sin consulta ni fragmento. Descartamos su dirección IP, los datos del navegador, las cookies y la página de procedencia, y enviamos ese registro reducido a Sentry para poder corregir el sitio; Sentry lo conserva el mismo tiempo que los informes de errores (§5). No se guarda nada en su dispositivo ni se lee nada de él, por lo que no se necesita consentimiento.
• Navegación como invitado (comodidad) — si busca números antes de iniciar sesión, los números pendientes pueden conservarse en el sessionStorage del navegador hasta que inicie sesión o cierre la pestaña; la preferencia de idioma puede guardarse en localStorage. No se crea ninguna cuenta hasta que inicia sesión con Google, Apple o un enlace o código de un solo uso que le enviamos a su dirección de correo electrónico.
• Tarjeta de la pregunta de precio (comodidad) — si oculta la pregunta de precio sobre pares mixtos, la app lo recuerda en su dispositivo en localStorage (stepswap-price-question-dismissed, los ID de las preguntas que ocultó) y no nos envía nada. Solo sirve para mantener la tarjeta oculta, por lo que no requiere consentimiento.
• Diagnósticos y analíticas (consentimiento) — los informes de fallos/errores (Sentry) y las analíticas de producto (Vercel Analytics) se usan solo con su consentimiento, conforme a la Ley eslovaca de comunicaciones electrónicas (Ley n.º 452/2021 Rec.). Cuando se requiere, preguntamos antes de establecer cualquier almacenamiento no esencial, y puede cambiar o retirar su elección en cualquier momento: en «Analíticas de uso y diagnósticos», en el pie de la página de inicio, o en Perfil → Ajustes cuando haya iniciado sesión. No usamos cookies publicitarias ni de seguimiento entre sitios.

11. Cambios

Podemos actualizar esta política. El número de versión vigente y la fecha de entrada en vigor figuran en la parte superior, y conservamos las versiones anteriores disponibles a petición. Anunciaremos los cambios sustanciales en la app o en nuestro sitio web antes de que surtan efecto. El uso continuado después de la fecha de entrada en vigor supone la aceptación de la política actualizada.

12. Contacto

Consultas o solicitudes: info@vaet.sk.