Política de privacidad — Step Swap

Versión: 1.6 · Fecha de entrada en vigor: 2026-08-31

Step Swap ayuda a las personas con números de calzado desparejados a encontrar una coincidencia e intercambiar zapatos. Esta política explica qué datos personales tratamos y sus derechos sobre ellos.

Responsable del tratamiento: Vitalii Bartashchuk (empresario individual), con domicilio profesional en Za vodou 161/2, 032 03 Liptovský Ján, República Eslovaca, IČO 54225337 (Registro Mercantil de la Oficina de Distrito de Liptovský Mikuláš). Contacto: info@vaet.sk. No hemos designado un delegado de protección de datos; para cualquier cuestión de privacidad, escriba a info@vaet.sk.

1. Datos que recogemos

Datos	Ejemplos	Origen
Cuenta / identidad	Correo de la cuenta de Google, nombre, foto de perfil (de Google o subida opcional)	Inicio de sesión de Google (OAuth) / usted
Perfil de calzado	Números EU izquierdo/derecho, en qué pie lleva zapato, estilos preferidos	Usted
Contacto y envío	Dirección postal, número de teléfono	Usted
Comunicaciones	Mensajes de chat con otros miembros	Usted
Confianza y seguridad	Lista de bloqueos (a quién ha bloqueado) y denuncias que presenta (categoría, detalles opcionales, ids de mensajes)	Usted
Datos del intercambio	Instantáneas de direcciones y registros de etiquetas de envío de un intercambio	Usted / socio de envíos
Pago	Que pagó la tarifa por intercambio, el importe, la divisa y los identificadores de transacción de Stripe — sin números de tarjeta (se introducen en el checkout de Stripe y nunca los vemos)	Usted / Stripe
Diagnósticos	Informes de fallos y errores, más (solo en la versión web) reproducciones de sesión enmascaradas de las sesiones que sufrieron un error — el texto, los campos y los medios se enmascaran, así que no hay contenido de mensajes, dirección ni teléfono	Sentry
Analíticas de uso	Vistas de pantalla y acciones clave en la app — solo recuentos, sin contenido de mensajes, dirección ni teléfono	Vercel Analytics

No vendemos sus datos personales.

Indicar sus números de calzado es necesario para emparejarle; su dirección y teléfono son necesarios para enviar un intercambio. Sin ellos puede usar la app, pero no completar un intercambio.

2. Cómo los usamos

Crear su cuenta y autenticarle (inicio de sesión de Google).
Emparejarle con otros miembros por número de calzado (el estilo es una señal de ordenación).
Habilitar el chat y el flujo de intercambio de zapatos.
Generar etiquetas de envío para un intercambio (dirección + teléfono se comparten con nuestro socio de envíos solo para el intercambio que usted inicia).
Cobrar la tarifa de envío por intercambio cuando proceda (los datos de tarjeta se introducen en el checkout alojado de Stripe y nunca llegan a nuestros servidores; solo guardamos el estado del pago, el importe y los identificadores de Stripe).
Diagnosticar fallos (los informes se limpian de direcciones, teléfonos, nombres y texto de mensajes).
Entender el uso agregado para mejorar la app.
Antes de iniciar sesión, permitirle explorar la página de inicio, buscar por número de calzado y ver recuentos y ejemplos de coincidencias anonimizados, además de las tarifas de envío públicas. Las búsquedas por número se envían a nuestros servidores solo para calcular las vistas previas y no se guardan hasta que inicia sesión; los números pendientes pueden conservarse en el sessionStorage del navegador hasta entonces. Los ejemplos nunca incluyen nombres, fotos, correo, dirección ni teléfono.
Mostrar una pista de tarifa típica de intercambio a partir de la región del idioma de su navegador — no usamos GPS ni ubicación precisa.
No usamos decisiones automatizadas que produzcan efectos jurídicos o igualmente significativos sobre usted — el emparejamiento por número es una sugerencia no vinculante que usted decide seguir.

3. Bases jurídicas (RGPD)

Nos apoyamos en distintas bases para distintos fines (art. 6 RGPD):

Ejecución de un contrato (art. 6.1.b) — su cuenta, el inicio de sesión de Google, el emparejamiento, el chat, el flujo de intercambio, las etiquetas de envío y la tarifa por intercambio. El inicio de sesión de Google es la forma en que prestamos el servicio, por lo que se basa en el contrato, no en el consentimiento.
Consentimiento (art. 6.1.a) — diagnósticos opcionales de fallos/errores y cualquier analítica o almacenamiento no esenciales (véase §10). Puede retirarlo en cualquier momento.
Interés legítimo (art. 6.1.f) — mantener el servicio seguro, prevenir abusos y fraudes, y depurar errores; ponderado frente a sus derechos.
Obligación legal (art. 6.1.c) — conservar registros de pagos y envíos por motivos fiscales y contables (véase §5).

4. Con quién los compartimos

Encargados que actúan siguiendo nuestras instrucciones: Supabase (autenticación, base de datos, almacenamiento de avatares, alojamiento), Sightengine (análisis automático de las subidas opcionales de avatar para detectar contenido explícito u ofensivo antes de guardarlas; las imágenes se envían a Sightengine para su análisis y, según su política, no las conserva más allá de la llamada a la API), Google (inicio de sesión), Sentry (diagnósticos de errores/fallos depurados de datos personales; solo en la versión web se graban reproducciones de sesión enmascaradas de las sesiones que sufrieron un error — todo el texto, los campos y los medios se enmascaran; la app instalada no graba reproducciones de sesión), el transportista de su ruta (actualmente Packeta/Zásielkovňa para Eslovaquia/Europa Central; Sendcloud con su transportista, p. ej. Österreichische Post, para Austria/Europa Occidental; Packlink para paquetes enviados desde Alemania) (nombre del destinatario, dirección, teléfono y, para la entrega a domicilio, correo — para generar la etiqueta y entregar el paquete), Resend (entrega nuestros correos internos de alerta operativa — p. ej. una disputa de pago o un reembolso pendiente de revisión — a nuestro propio equipo; solo identificadores de transacción e importes, sin nombre, dirección, teléfono ni contenido de mensajes) y Vercel (alojamiento web y analíticas respetuosas con la privacidad).

Responsables independientes. Stripe procesa la tarifa de envío por intercambio y trata sus datos de tarjeta como responsable propio, conforme a su propia política de privacidad — nunca vemos el número de su tarjeta y solo recibimos el estado del pago, el importe y los identificadores de la transacción. Para ese pago, es Stripe — y no Step Swap — quien decide cómo se utilizan los datos de su tarjeta.

Los demás miembros solo ven su nombre visible, su avatar, sus números y sus estilos. Su dirección postal y su número de teléfono no se muestran a otros miembros — se usan únicamente para generar la etiqueta de envío y se comparten con el transportista para entregar el paquete.

5. Conservación de los datos

Perfil y datos generales de la cuenta — su perfil (nombre, avatar, números de calzado, estilo), datos de contacto y tokens push, y cualquier chat que no formara parte de un intercambio que alcanzó la fase de pago o de etiqueta de envío — se conservan mientras su cuenta está activa y se eliminan sin demora cuando elimina su cuenta (véase §7), aparte del vínculo de identidad limitado que mantenemos con los registros de abajo.
Registros de pagos, envíos e intercambios — debemos conservar los registros de facturación y transacciones conforme a la legislación fiscal y contable eslovaca, generalmente hasta 10 años, incluso después de que elimine su cuenta. Como ese registro tiene que identificar a quién se refiere — para que un pago pueda vincularse a la persona que lo hizo, por contabilidad, devoluciones de cargo y fraude — los conservamos con un vínculo restringido a su identidad durante ese periodo; el acceso se limita a esos fines. Bases jurídicas: obligación legal (art. 6.1.c) y nuestro interés legítimo en un servicio seguro y sin fraude (art. 6.1.f).
Chat de intercambios pagados/enviados — para un intercambio que alcanzó la fase de pago o envío conservamos también los mensajes de chat intercambiados para él, con el vínculo de identidad restringido, hasta 3 años (el plazo general de prescripción del derecho eslovaco) tras la eliminación de la cuenta — y más tiempo solo mientras esté abierta una disputa concreta, una reclamación legal o una solicitud de una autoridad — y después se eliminan. Se mantienen bajo acceso restringido y se usan únicamente para gestionar denuncias, disputas, fraudes y reclamaciones legales. Base jurídica: interés legítimo en un servicio seguro y sin fraude y en la formulación, el ejercicio o la defensa de reclamaciones (art. 6.1.f RGPD). El art. 17.3.e RGPD no es una base jurídica para el tratamiento; es la excepción que nos permite conservar estos datos a pesar de una solicitud de supresión, para esas mismas reclamaciones.
Diagnósticos — los informes de errores se conservan durante un periodo limitado (normalmente hasta 90 días) y no contienen direcciones, teléfonos, nombres ni texto de mensajes.

6. Seguridad

Los datos se cifran en tránsito y en reposo. El acceso a la base de datos usa seguridad a nivel de fila, de modo que un miembro solo puede leer sus propios datos y los de las personas con las que comparte un chat, y el acceso a nuestros sistemas se limita a lo necesario para operar el servicio. Si una violación de datos personales pudiera suponer un riesgo para sus derechos, se lo notificaremos a usted y a la autoridad eslovaca de protección de datos (Úrad na ochranu osobných údajov SR), como exige el RGPD.

7. Sus derechos y la eliminación de cuenta

Puede acceder a sus datos y corregirlos en la app, y eliminar su cuenta en cualquier momento — eliminamos sus datos asociados sin demora, aparte de los registros limitados que debemos o podemos conservar según el §5 (registros fiscales/contables y registros necesarios por seguridad, prevención del fraude o reclamaciones legales): en la app mediante Perfil → Ajustes → Eliminar cuenta, o por solicitud — véase eliminación de cuenta. Según dónde viva, puede tener también derechos de portabilidad, oposición/limitación, retirada del consentimiento y a presentar una reclamación ante su autoridad de protección de datos. Nuestra autoridad de control principal bajo el mecanismo de ventanilla única del RGPD es la Úrad na ochranu osobných údajov SR eslovaca (dataprotection.gov.sk). Si vive en España, puede dirigirse también a la Agencia Española de Protección de Datos (AEPD, aepd.es). Si vive en otro país de la UE o del EEE, puede presentar una reclamación ante su autoridad nacional — el Comité Europeo de Protección de Datos mantiene un directorio de todas ellas (edpb.europa.eu).

8. Transferencias internacionales

Algunos de los proveedores anteriores (p. ej. Google, Stripe, Sentry, Vercel, Resend) pueden tratar datos fuera del EEE, incluido Estados Unidos. Esas transferencias se apoyan en garantías adecuadas — las cláusulas contractuales tipo de la UE y/o el Marco de Privacidad de Datos UE–EE. UU. cuando el proveedor está certificado. Puede solicitar detalles escribiendo a info@vaet.sk.

9. Menores

Step Swap no está dirigido a menores de 18 años y no recogemos sus datos a sabiendas.

10. Cookies y almacenamiento local

Reducimos las cookies y el almacenamiento local al mínimo:

Estrictamente necesarios — Supabase establece almacenamiento/cookies para mantener su sesión iniciada y proteger la app. Son imprescindibles para que el servicio funcione y no requieren consentimiento.
Navegación como invitado (comodidad) — si busca números antes de iniciar sesión, los números pendientes pueden conservarse en el sessionStorage del navegador hasta que inicie sesión o cierre la pestaña; la preferencia de idioma puede guardarse en localStorage. No se crea ninguna cuenta hasta que inicia sesión con Google.
Diagnósticos y analíticas (consentimiento) — los informes de fallos/errores (Sentry) y las analíticas de producto (Vercel Analytics) se usan solo con su consentimiento, conforme a la Ley eslovaca de comunicaciones electrónicas (Ley n.º 452/2021 Rec.). Cuando se requiere, preguntamos antes de establecer cualquier almacenamiento no esencial, y puede cambiar su elección en cualquier momento. No usamos cookies publicitarias ni de seguimiento entre sitios.

11. Cambios

Podemos actualizar esta política. El número de versión vigente y la fecha de entrada en vigor figuran en la parte superior, y conservamos las versiones anteriores disponibles a petición. Anunciaremos los cambios sustanciales en la app o en nuestro sitio web antes de que surtan efecto. El uso continuado después de la fecha de entrada en vigor supone la aceptación de la política actualizada.

12. Contacto

Consultas o solicitudes: info@vaet.sk.