Política de privacidad

1. Quién es el responsable y cómo contactarnos

• Responsable del tratamiento: Falafy, proyecto independiente mantenido por Erick Torres. [A COMPLETAR POR EL RESPONSABLE: nombre completo o razón social, CPF/CNPJ (número de identificación fiscal brasileño) y dirección postal del responsable]
• Encargado de protección de datos (DPO, "encarregado"): [A COMPLETAR POR EL RESPONSABLE: nombre del encargado y correo dedicado, por ejemplo privacidade@falafy.com.br]. Mientras ese correo no esté publicado, las solicitudes sobre datos personales pueden hacerse por el contacto "Suporte Falafy" dentro de la app.
• Autoridad: si no quedas satisfecho con la respuesta, puedes presentar una reclamación ante la Autoridade Nacional de Proteção de Dados (ANPD, la Autoridad Nacional de Protección de Datos de Brasil).

2. Qué datos tratamos

Datos que nos das

• Registro: correo, nombre de usuario, nombre visible, contraseña y fecha de nacimiento. La contraseña se guarda solo como hash argon2, nunca en texto plano. La fecha de nacimiento sirve para aplicar la edad mínima y las protecciones para menores de 18 años (sección 9); no aparece en el perfil y no se puede cambiar desde la app después del registro.
• Aceptación de los términos: la versión de los Términos de uso y de esta política que aceptaste y la fecha de la aceptación.
• Denuncias: cuando denuncias un mensaje o a una persona, guardamos el motivo, los detalles que escribiste y una copia del texto del mensaje denunciado.
• Perfil (opcional): foto, biografía, pronombres, colores, marco, estado personalizado, enlaces de perfil, zona horaria y horario de trabajo, si decides completarlos.
• Contenido: mensajes de texto, mensajes de voz, archivos adjuntos (imágenes, vídeos y archivos), reacciones, encuestas, eventos, notas, historias y los servidores, canales y roles que creas.
• Relaciones: lista de amigos, solicitudes de amistad, bloqueos y participación en servidores y conversaciones.

Datos generados por el uso

• Sesiones: nombre del dispositivo, fecha de creación, último uso y caducidad de cada sesión, para que puedas ver y cerrar dónde estás conectado.
• Seguridad de la cuenta: secreto de la autenticación en dos pasos (cifrado con AES-256-GCM), códigos de respaldo (solo el hash) y contadores de intentos.
• Dirección IP: se usa en el momento, en memoria, para limitar los intentos de inicio de sesión y el exceso de solicitudes (protección contra abusos). En el registro guardamos también un hash con sal de la IP, usado para evitar fraudes en el programa de invitaciones. Además, guardamos los registros de acceso que exige el Marco Civil da Internet (IP, puerto, fecha y hora de cada inicio de sesión, renovación de sesión y conexión de la app) durante 6 meses; consulta la sección 6.
• Presencia y actividad: el estado (en línea, ausente, etc.) se mantiene en memoria mientras estás conectado. "Jugando a X" solo se activa si enciendes la opción y no se guarda en la base de datos.
• Notificaciones push: si permites las notificaciones del navegador, guardamos la dirección técnica de la suscripción (endpoint y claves) que proporciona tu navegador.
• Preferencias: ajustes de notificaciones, privacidad, apariencia y diseño.

Lo que no recopilamos

• No usamos herramientas de analítica, píxeles publicitarios ni rastreadores en el sitio ni en la app.
• No vendemos datos y no mostramos anuncios.
• No grabamos llamadas de voz o vídeo ni transmisiones de pantalla en el servidor. Los clips, cuando activas la función, se quedan solo en tu ordenador.
• La supresión de ruido se ejecuta en tu dispositivo; el audio no va a un servicio externo.
• No pedimos teléfono, lista de contactos ni documento de identidad.

3. Para qué los usamos y con qué base legal

4. Con quién los compartimos

No vendemos ni alquilamos datos. Algunos servicios de terceros intervienen en el funcionamiento:

• Alojamiento: servidores en Oracle Cloud, región São Paulo (Brasil), donde están la base de datos y los archivos subidos.
• Notificaciones push: el servicio push de tu navegador (por ejemplo Google, Mozilla, Apple o Microsoft) recibe la notificación cifrada para entregarla en tu dispositivo. Puedes ocultar el contenido de las notificaciones por dispositivo.
• GIF: las búsquedas y las imágenes de GIF pasan por un proxy del propio Falafy; el proveedor (KLIPY) ve el término buscado y el servidor de Falafy, no tu IP ni tu cuenta.
• Vistas previas de enlaces: cuando un mensaje contiene un enlace, el servidor de Falafy consulta la página para generar la vista previa; el sitio visitado ve el servidor de Falafy, no a ti. Puedes desactivar las vistas previas.
• Ver juntos (YouTube): el vídeo se reproduce en el reproductor de YouTube (youtube-nocookie.com), cargado directamente en tu dispositivo; Google recibe tu IP y los datos técnicos del reproductor, según su propia política.
• Fuentes del sitio: las páginas de falafy.com.br cargan fuentes de Google Fonts, lo que expone tu IP a Google.
• Otros usuarios: lo que publicas en servidores y conversaciones es visible para quienes participan en ellos, según los permisos.
• Autoridades: mediante orden judicial o requerimiento legal válido.

Algunos de estos servicios (push, YouTube, Google Fonts) pueden tratar datos fuera de Brasil. Esta transferencia internacional se produce para prestar el servicio que solicitaste, en los términos del art. 33 de la LGPD.

5. Durante cuánto tiempo los conservamos

• Cuenta y perfil: mientras exista la cuenta.
• Eliminación de la cuenta: al eliminarla, borramos el correo, el perfil, la foto, las amistades, la participación en servidores, las sesiones, la 2FA, las suscripciones push, las notas, las historias, las insignias, los favoritos y las preferencias. Por defecto, los mensajes que enviaste en servidores y conversaciones permanecen para no romper el historial de los demás participantes, pero pasan a aparecer como de "Usuario eliminado". En la pantalla de eliminación puedes marcar "Borrar también todos los mensajes que envié" para que se borren junto con la cuenta; los archivos adjuntos de esos mensajes se eliminan del servidor en un plazo de 24 horas.
• Registros de acceso (Marco Civil): 6 meses, incluso después de eliminar la cuenta (la ley lo exige), y se borran automáticamente después.
• Denuncias: [A COMPLETAR POR EL RESPONSABLE: plazo de conservación de las denuncias, por ejemplo mientras sea necesario para la moderación y hasta 5 años para la defensa en procesos]
• Mensajes y archivos adjuntos: hasta que los borres, hasta que se elimine el servidor o el canal, o hasta que la moderación los retire.
• Historias: 24 horas.
• Sesiones: hasta 30 días sin uso o hasta que las cierres.
• Archivo de exportación de datos: disponible para descargar durante 24 horas.
• Registros técnicos del servidor: solo errores y advertencias, sin registrar cada solicitud, conservados el tiempo necesario para el diagnóstico.

6. Registros de acceso (Marco Civil da Internet)

El art. 15 del Marco Civil da Internet (Marco Civil de Internet de Brasil, Ley 12.965/2014) obliga a los proveedores de aplicaciones constituidos como persona jurídica con fines económicos a conservar registros de acceso (fecha, hora e IP) durante 6 meses, de forma confidencial y en un entorno seguro. Falafy ya conserva estos registros. [A COMPLETAR POR EL RESPONSABLE: confirmar con asesoramiento jurídico si el proyecto está comprendido en el art. 15]

• Qué guardamos: la dirección IP y el puerto de origen, la fecha y la hora (con zona horaria, en UTC) y la cuenta y la sesión de cada inicio de sesión, renovación de sesión y conexión de la app al servidor. No registramos cada mensaje ni cada página que abres.
• Durante cuánto tiempo: 6 meses. Una rutina diaria borra automáticamente los registros más antiguos. Las autoridades pueden exigir, por orden judicial, que un registro concreto se conserve durante más tiempo (art. 15, § 2).
• Seguridad y confidencialidad: la IP se guarda cifrada (AES-256-GCM) en la base de datos, no aparece en ninguna pantalla de la app ni en la API, y solo la puede leer en el servidor el responsable, con cada consulta registrada (Decreto 8.771/2016, art. 13).
• Cuándo los entregamos: solo mediante orden judicial o requerimiento de una autoridad con competencia legal para exigir esos datos (arts. 10 y 22 del Marco Civil).

7. Tus derechos

Según el art. 18 de la LGPD (Lei Geral de Proteção de Dados, Ley General de Protección de Datos de Brasil, Ley 13.709/2018), puedes solicitar: la confirmación de que tratamos tus datos; el acceso; la corrección; la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados de forma no conforme; la portabilidad; la eliminación de los datos tratados con consentimiento; información sobre con quién los compartimos; información sobre la posibilidad de no dar el consentimiento; y la revocación del consentimiento. También puedes oponerte a los tratamientos basados en el interés legítimo.

• Directamente en la app: en Ajustes editas tu perfil; en Ajustes > Privacidad y seguridad exportas una copia de tus datos (archivo ZIP con tu perfil, los mensajes que enviaste, amistades, servidores, sesiones, aceptación de los términos y denuncias realizadas, hasta 3 solicitudes al día), cierras sesiones, desactivas notificaciones, vistas previas de enlaces y "Jugando a X", y eliminas tu cuenta (con la opción de borrar también tus mensajes).
• Otras solicitudes: por el contacto del encargado indicado arriba o por "Suporte Falafy" en la app. Respondemos en un plazo de 15 días.

8. Seguridad

Usamos cifrado en tránsito (HTTPS/TLS) en el sitio, en la app, en la API y en las llamadas; contraseñas con argon2; autenticación en dos pasos opcional; y control de sesiones. El cifrado de extremo a extremo de los mensajes todavía está en desarrollo: hoy los mensajes se almacenan en el servidor de Falafy sin ese tipo de cifrado. Ningún sistema es infalible; en caso de un incidente de seguridad con riesgo relevante, avisaremos a los afectados y a la ANPD, como exige la LGPD. Más detalles en Seguridad y privacidad.

9. Niños y adolescentes

Falafy no está dirigido a niños. Para crear una cuenta hay que tener al menos 13 años. [A COMPLETAR POR EL RESPONSABLE: confirmar la edad mínima con asesoramiento jurídico; si cambia, ajustar también MIN_SIGNUP_AGE en el servidor]

• Cómo lo comprobamos hoy: el registro pide la fecha de nacimiento sin decir antes cuál es la edad mínima; una respuesta por debajo de ella termina el registro y bloquea nuevos intentos desde ese dispositivo y esa red durante 24 horas; la fecha no se puede cambiar desde la app después; y cualquier persona puede denunciar una cuenta que parezca ser de alguien por debajo de la edad mínima, que el equipo analiza. [A COMPLETAR POR EL RESPONSABLE: el ECA Digital (Estatuto Digital del Niño y del Adolescente de Brasil, Ley 15.211/2025) exige mecanismos fiables de verificación de edad, y la autodeclaración por sí sola no basta; describir aquí el mecanismo adicional adoptado tras la evaluación jurídica y técnica]
• Protecciones para menores de 18 años: la cuenta empieza con mensajes directos solo de amigos, solicitudes de amistad solo de amigos de amigos, biografía, estadísticas, actividad y hora local visibles solo para amigos, imágenes y vídeos de quien no es amigo siempre difuminados (también en servidores) y el perfil fuera de las búsquedas por nombre de usuario que hagan desconocidos. No es posible abrir los mensajes directos ni las solicitudes de amistad a cualquier persona. Falafy no muestra anuncios ni crea perfiles publicitarios de nadie.
• Padres y tutores: [A COMPLETAR POR EL RESPONSABLE: mecanismo de supervisión parental y de vinculación de la cuenta de menores de 16 años con la cuenta de un responsable, según el ECA Digital] Los padres o tutores que identifiquen una cuenta de un niño, o que quieran pedir la eliminación de la cuenta de un adolescente a su cargo, pueden contactar con el encargado o con Suporte Falafy.

10. Cookies y almacenamiento local

El sitio y la app no usan cookies de seguimiento ni de publicidad. Solo usamos lo estrictamente necesario para que el servicio funcione, por eso no pedimos consentimiento para ello; solo te informamos:

• Versión web (falafy.com.br/app): una cookie de sesión llamada falafy_rt (HttpOnly, Secure, SameSite=Strict, válida hasta 30 días) que mantiene tu sesión iniciada, y el almacenamiento local del navegador para preferencias, borradores y si ya viste el aviso de almacenamiento.
• App para Windows: el token de sesión se guarda protegido por el sistema operativo, y las preferencias y los borradores en el almacenamiento local de la app.

Borrar los datos de la app o del navegador, o cerrar sesión, elimina esta información.

11. Cambios en esta política

Cuando esta política cambie de forma relevante, te avisaremos en la app antes de que el cambio entre en vigor: la app muestra la nueva versión y te pide que la aceptes para continuar. La fecha de la última actualización figura en la parte superior de la página, y la versión que aceptaste aparece en Ajustes > Acerca de.