YourPoste — Política de Privacidad
Última actualización: 29 de septiembre de 2026 · Esta versión en vigor desde: 29 de septiembre de 2026 · Primera publicación: 4 de mayo de 2026
Política de privacidad, explicada con claridad
Solo recopilamos lo necesario para que la plataforma funcione. No vendemos tus datos. No los usamos para publicidad de terceros. Puedes acceder, corregir o eliminar tus datos en cualquier momento. Cumplimos con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica española 3/2018 (LOPDGDD) y la Directiva ePrivacy según su transposición en España.
1. Quiénes somos (responsable del tratamiento)
- Responsable: POSTRAVELER, S.L.
- NIF: B-26947879
- Dirección: Calle Pintor Maella 11, 2º, puerta 8ª, 46023 Valencia, España
- Contacto: contact@yourposte.com (incluye `[GDPR]` en el asunto para solicitudes de protección de datos)
Delegado de Protección de Datos (DPD): no designado. Hemos evaluado los criterios del Art. 37 RGPD y el Art. 34 LOPDGDD y concluido que la designación formal no es obligatoria en nuestra escala actual. Si esto cambia, designaremos un DPD y lo notificaremos a la Agencia Española de Protección de Datos (AEPD).
2. Qué datos personales tratamos
2.1 Datos que nos facilitas
- Cuenta: nombre completo, email, contraseña (con hash bcrypt / argon2)
- Perfil: idioma preferido, foto de perfil (opcional), biografía ("about"), teléfono (opcional), código de referido
- Pedidos: descripción del artículo, ciudades de recogida y entrega, fechas, tamaño y peso, recompensa propuesta
- Viajes: ciudades de origen y destino, fechas de viaje, capacidad
- Ofertas: recompensa propuesta, mensaje al remitente
- Mensajes de chat: contenido textual intercambiado con los participantes del trato
- Códigos OTP: códigos de un solo uso para confirmar la entrega
- Reseñas: valoraciones y reseñas escritas sobre otros usuarios
- Comunicaciones de soporte: mensajes y adjuntos enviados al soporte
- Verificación de identidad (opcional): tipo e imagen del documento, imagen de selfie, estado, motivo de rechazo — revisados manualmente por nuestros administradores
2.2 Datos recopilados automáticamente
- Dispositivo y técnicos: navegador, sistema operativo, tamaño de pantalla, versión de app
- Uso (analítica de primera parte): eventos in-app (por ejemplo whatsapp_share, whatsapp_contact, copy_share, facebook_share), marcas de tiempo
- Autenticación: marcas de tiempo de login, tokens de sesión
- Diagnóstico de errores: mensajes de error, stack traces, URL, user-agent — limitados y deduplicados, usados para detectar y corregir errores
- Dirección IP: almacenada en logs del servidor; usada para seguridad, prevención de fraude y geolocalización aproximada
- Tokens de notificaciones push: external-id de OneSignal + tokens de dispositivo cuando activas las notificaciones
- Asistente de chat con IA (solo en la web, opcional): si inicias un chat con nuestro asistente — los mensajes que escribes, la página en la que estás, tu idioma y un identificador aleatorio de sesión de chat
- Cookies y tecnologías similares: ver Sección 11 y nuestra Política de Cookies separada
2.3 Datos de terceros
- Google (OAuth, opcional): nombre, email, Google ID, avatar, si eliges iniciar sesión con Google
- Tiendas de aplicaciones (Apple App Store, Google Play): recibos de instalación y reportes de fallos cuando están disponibles
- Otros usuarios: valoraciones y reseñas sobre ti, reportes sobre tu conducta, mensajes que te envían
2.4 Datos de no-usuarios desde fuentes públicas (contacto B2B profesional)
Para identificar socios comerciales para contacto profesional en el corredor España ↔ Marruecos (restaurantes, agencias de viaje, transportistas), podemos tratar información de contacto profesional disponible públicamente (emails genéricos de empresa como info@restaurante.com, teléfonos publicados, enlaces de contacto en páginas públicas). Este tratamiento:
- Se limita a datos de contacto profesional que las empresas han hecho públicos
- Se usa para presentaciones profesionales únicas bajo la excepción B2B del Art. 21.2 LSSI-CE, con opción de baja en cada mensaje
- No se dirige a personas físicas individuales cuyos datos no estén públicamente asociados a un rol profesional
- Está sujeto a los derechos del Art. 9; cualquier persona contactada puede pedirnos que eliminemos su registro respondiendo al mensaje o escribiendo a contact@yourposte.com
2.5 Datos que no tratamos
No tratamos categorías especiales de datos según el Art. 9 RGPD (salud, religión, opiniones políticas, datos biométricos para identificación única, etc.). La verificación de identidad la realiza un revisor humano y no involucra comparación facial automatizada.
3. Fines y bases legales
Tratamos los datos personales conforme a los siguientes fines y bases legales (Art. 6 RGPD):
| Fin | Datos | Base legal |
|---|---|---|
| Crear y gestionar tu cuenta | Cuenta, auth | Art. 6(1)(b) Contrato |
| Publicar pedidos y viajes | Datos de pedido/viaje | Art. 6(1)(b) Contrato |
| Emparejamiento por proximidad (≈380 km) | Ciudades y fechas | Art. 6(1)(b) Contrato |
| Chat in-app | Mensajes | Art. 6(1)(b) Contrato |
| Verificación OTP de entrega | Códigos OTP | Art. 6(1)(b) Contrato |
| Notificaciones transaccionales del trato | Email, push token | Art. 6(1)(b) Contrato |
| Foto de perfil | Foto | Art. 6(1)(b) Contrato (opcional) |
| Teléfono opcional | Teléfono | Art. 6(1)(a) Consentimiento |
| Emails de marketing (bienvenida, nudges, re-engagement) | Email, perfil básico | Art. 6(1)(a) Consentimiento |
| Analítica de primera parte | Eventos de uso | Art. 6(1)(a) Consentimiento (banner) |
| Facebook Pixel | Datos de navegación | Art. 6(1)(a) Consentimiento (banner) |
| Registro OneSignal para push web | Token | Art. 6(1)(a) Consentimiento, otorgado mediante el permiso de notificaciones de tu navegador (no el banner de cookies) |
| Asistente de chat con IA en la web (solo si inicias un chat) | Mensajes del chat, ruta de la página, idioma, id de sesión de chat, eventos de uso del chat | Art. 6(1)(a) Consentimiento (categoría Análisis del banner de cookies y, después, iniciar tú el chat) |
| Prevención de fraude, detección de abuso, seguridad | Cuenta, IP, logs | Art. 6(1)(f) Interés legítimo (LIA documentado) |
| Moderación de chat por seguridad, disputas | Mensajes | Art. 6(1)(f) Interés legítimo (LIA documentado) |
| Aplicar los Términos, gestionar reclamaciones | Según sea necesario | Art. 6(1)(f) Interés legítimo |
| Responder al soporte | Comunicaciones de soporte | Art. 6(1)(b) / (f) |
| Contacto profesional B2B (no-usuarios) | Contactos de empresa | Art. 6(1)(f) Interés legítimo + LSSI-CE Art. 21.2 |
| Verificación de identidad | Documento, selfie | Art. 6(1)(b) Contrato |
| Obligaciones legales (fiscal, DSA, policía) | Según sea necesario | Art. 6(1)(c) Obligación legal |
| Defender reclamaciones legales | Según sea necesario | Art. 6(1)(f) Interés legítimo |
Retirada del consentimiento
Cuando la base sea el consentimiento, puedes retirarlo en cualquier momento:
- Emails de marketing: Ajustes → Emails → Emails de marketing, o el enlace Darme de baja de cualquier email de marketing
- Cookies / rastreadores: el enlace "Preferencias de cookies" en el pie de página
- Notificaciones push: Ajustes → Notificaciones
- Teléfono opcional: elimínalo de tu perfil
La retirada no afecta a la licitud del tratamiento previo.
Decisiones automatizadas
No tomamos decisiones con efectos jurídicos o similarmente significativos por medios únicamente automatizados (Art. 22 RGPD). El emparejamiento por proximidad es una ayuda de clasificación; tú controlas cada oferta, aceptación y finalización.
4. Destinatarios de tus datos
4.1 Otros usuarios de la Plataforma
- Los remitentes ven el nombre, foto, valoración, ruta y fechas del viajero
- Los viajeros ven el nombre, foto, valoración, datos del pedido y ciudades de recogida/entrega del remitente
- Dentro de un trato, ambas partes intercambian mensajes por el chat
Nunca compartimos tu email, IP, credenciales ni teléfono con otros usuarios salvo que tú decidas revelarlos en el chat.
4.2 Proveedores de servicios (encargados o responsables independientes)
| Proveedor | Rol | Datos | Ubicación | Garantías de transferencia |
|---|---|---|---|---|
| Supabase Inc. | Base de datos, Auth, Storage | Datos de cuenta, perfil, pedidos, viajes, chat, verificación | UE (Frankfurt, AWS eu-central-1) | Intra-UE; SCC para subencargados fuera de UE |
| Netlify Inc. | Hosting, funciones serverless, CDN | IP, logs, app bundle | UE y EE. UU. | SCC + EU-US Data Privacy Framework |
| OneSignal Inc. | Notificaciones push web / móvil | external-id OneSignal, token del dispositivo, payload | EE. UU. | SCC + EU-US Data Privacy Framework |
| Awareto – Manuel Hey (Colonia, Alemania) | Asistente de chat con IA en la web pública, usado solo cuando un visitante sin sesión que aceptó las cookies de Análisis inicia un chat; sus subencargados de IA son Anthropic PBC y Google (API Gemini) | Mensajes que escribes al asistente, ruta de la página, idioma, id aleatorio de sesión de chat, eventos de uso del chat (por ejemplo «chat abierto») | UE (Alemania); subencargados de IA en EE. UU. | CCT + EU-US Data Privacy Framework |
| Resend, Inc. | Email transaccional y marketing | Email, contenido del mensaje | EE. UU. | SCC + EU-US Data Privacy Framework |
| Anthropic, PBC | Análisis interno de contenido: (a) scoring de relevancia de posts de Facebook para contacto B2B, y (b) detección automatizada de intentos de compartir contactos fuera de la plataforma en los mensajes entre usuarios, para proteger los pagos y la identidad en la plataforma | Contenido del post, nombre del grupo; cuerpos y metadatos de los mensajes usuario-a-usuario previos al acuerdo | EE. UU. | SCC + EU-US Data Privacy Framework |
| Google LLC (Maps, Places, OAuth) | Autocompletar direcciones, login opcional | IP, consultas, Google ID + email si usas Google OAuth | EE. UU. | SCC + EU-US Data Privacy Framework |
| Google LLC (Firebase, vía APNs) | Subencargado de push iOS cuando aplica | Tokens APNs / FCM | EE. UU. | SCC + EU-US Data Privacy Framework |
| Apple Inc. (Maps, APNs) | Proxy Maps iOS y entrega push iOS | Consultas de mapas, token APNs | EE. UU. | SCC + EU-US Data Privacy Framework |
| Meta Platforms Ireland Ltd. / Meta Platforms, Inc. (Facebook Pixel) | Analítica web y medición publicitaria — solo si has aceptado cookies de Marketing | Datos de navegación, IP, Pixel ID | UE + EE. UU. | SCC + EU-US Data Privacy Framework |
| Stripe Payments Europe Ltd. / Stripe, Inc. | Pagos (previsto, no activo en la fecha de entrada en vigor de esta política) | Datos de pago y payouts — ninguno tratado hasta activar | Irlanda y EE. UU. | SCC + EU-US Data Privacy Framework (al activarse) |
Todos los proveedores están vinculados por contratos de encargado conformes al Art. 28 RGPD. Puedes solicitar copia de las SCC aplicables en contact@yourposte.com.
4.3 Administradores
El personal autorizado de YourPoste puede acceder a los datos de chat y cuenta para investigar incidentes de seguridad, resolver disputas, prevenir fraude, responder a requerimientos legales o aplicar los Términos. El acceso se registra y está limitado por rol.
4.4 Autoridades
Divulgaremos datos a tribunales, policía, aduanas o autoridades fiscales cuando lo exija la ley o para proteger la vida o la seguridad. Te notificaremos salvo que la ley lo prohíba.
4.5 Lo que nunca hacemos
- Vender tus datos personales
- Compartir tus datos con anunciantes fuera de los rastreadores de terceros consentidos
- Usar tus datos para perfilado publicitario de terceros más allá del consentimiento del banner
- Proporcionar tus datos a data brokers
5. Transferencias internacionales (Arts. 44–49 RGPD)
Tus datos se almacenan principalmente en la UE (Frankfurt). Algunos proveedores están establecidos en EE. UU. Para cada transferencia nos basamos en:
- Cláusulas Contractuales Tipo (SCC) de la UE (Decisión de Ejecución 2021/914 de la Comisión), y
- EU-US Data Privacy Framework cuando el receptor está certificado
El DPF sigue vigente en el momento de redacción. Si una sentencia lo invalidara, seguiríamos basándonos en las SCC y aplicando salvaguardas adicionales. Puedes solicitar detalles en contact@yourposte.com.
6. Conservación
| Datos | Plazo |
|---|---|
| Perfil | Hasta la eliminación de la cuenta + hasta 30 días para rotación de copias de seguridad |
| Pedidos, viajes, ofertas | 2 años desde la finalización o cancelación del trato |
| Registros de tratos (fiscal / legal) | 5 años — Art. 30 del Código de Comercio español |
| Mensajes de chat | 1 año desde el último mensaje del trato, luego se eliminan o anonimizan |
| Códigos OTP | Eliminados en 24 horas tras su uso o caducidad |
| Reseñas | Hasta la eliminación de la cuenta; luego seudonimizadas como "Usuario antiguo" |
| Tickets de soporte | 2 años tras la resolución |
| Logs de servidor / acceso | 90 días |
| Logs de autenticación | 1 año |
| Diagnóstico de errores | 90 días |
| Documentos y selfies de verificación | Durante la vida de la cuenta + hasta 5 años para defensa legal y obligaciones regulatorias |
| Tokens push OneSignal | Hasta que desactives las notificaciones o elimines la app |
| Conversaciones con el asistente de chat con IA | Hasta 90 días en nuestro proveedor de chat; después se anonimizan o eliminan |
| Registros de consentimiento de marketing | 3 años tras la retirada (prueba) |
| Registro del consentimiento de cookies (`yp_consent_v1` en localStorage) | En tu dispositivo hasta que lo limpies |
| Contactos B2B de outreach | Hasta que la persona responda con una baja, o 24 meses sin respuesta, lo que ocurra primero |
7. Seguridad
Medidas incluidas:
- Cifrado TLS 1.2+ en tránsito
- Cifrado en reposo (AES-256 mediante Supabase / AWS)
- Row-Level Security — cada consulta a la base de datos está limitada a los permisos del usuario autenticado
- Gestión segura de sesión vía Supabase Auth con sesiones cortas y rotación de refresh
- Contraseñas hasheadas con algoritmo moderno (bcrypt / argon2); sin texto plano
- Control de acceso basado en roles con registro de accesos
- Revisión periódica de seguridad contra OWASP Top 10
- Redacción automática de contactos fuera de la plataforma en las previsualizaciones push del chat pre-trato — los números de teléfono, emails, WhatsApp, Instagram y Telegram se redactan antes del envío del push, una medida de privacidad por diseño del Art. 25 RGPD
- No almacenamos datos sensibles del usuario en local / session storage del navegador más allá del token de sesión
- Plan documentado de respuesta a incidentes
Ningún sistema es completamente seguro. Si detectas un problema de seguridad, escribe a contact@yourposte.com con `[Security]` en el asunto.
8. Violaciones de seguridad de datos personales (Arts. 33–34 RGPD)
Si ocurre una violación:
- Evaluaremos el riesgo a derechos y libertades en 24 horas desde la detección
- Notificaremos a la AEPD en 72 horas si la violación conlleva riesgo
- Notificaremos a los usuarios afectados sin dilación indebida cuando la violación conlleve alto riesgo, incluyendo descripción sencilla, consecuencias probables, medidas de mitigación y nuestro contacto
9. Tus derechos
Tienes derecho a:
- Acceder a una copia de tus datos personales (Art. 15)
- Rectificar datos inexactos o incompletos (Art. 16)
- Suprimir ("derecho al olvido"), sujeto a nuestras obligaciones legales (Art. 17)
- Limitar el tratamiento (Art. 18)
- Portabilidad en formato estructurado y legible por máquina (Art. 20)
- Oponerte a tratamientos basados en interés legítimo (Art. 21)
- Retirar el consentimiento cuando el tratamiento se base en él (Art. 7(3))
- No ser objeto de decisiones únicamente automatizadas con efectos jurídicos o similares (Art. 22). No realizamos este tipo de decisiones.
- Derechos post mortem: según el Art. 3 LOPDGDD, las personas vinculadas a un usuario fallecido pueden ejercer derechos en su nombre salvo que el fallecido lo hubiera prohibido.
Cómo ejercer tus derechos
- Escribe a contact@yourposte.com con `[GDPR]` en el asunto desde la dirección asociada a tu cuenta; o
- Usa los ajustes in-app (eliminar cuenta, toggle de marketing, gestión de cookies)
Podemos pedir verificación razonable de identidad si hay dudas. Ejercer tus derechos es gratuito salvo que las solicitudes sean manifiestamente infundadas o excesivas.
Respondemos en un mes. Para solicitudes complejas o numerosas podemos ampliar hasta dos meses adicionales, informándote en el primer mes.
Reclamaciones
Si no estás satisfecho con nuestra respuesta, puedes presentar una reclamación ante:
- La Agencia Española de Protección de Datos (AEPD) — <https://www.aepd.es> — C/ Jorge Juan 6, 28001 Madrid
- La autoridad de control de tu país de residencia en la UE / EEE
10. Eliminación de cuenta
Puedes eliminar tu cuenta en cualquier momento desde Ajustes o escribiendo a contact@yourposte.com.
Al eliminar:
- Tu perfil, pedidos, viajes, ofertas y tokens push se eliminan de la base de datos activa
- Los mensajes de chat se eliminan en 30 días, salvo que se requieran para una disputa u obligación legal
- Las reseñas permanecen como "Usuario antiguo" para preservar la integridad del sistema de valoraciones
- Los registros de tratos se conservan hasta 5 años por razones fiscales/legales
- Las copias de seguridad se sobrescriben en 30 días
- Los archivos de verificación de identidad se eliminan o destruyen según la Sección 6
11. Cookies y tecnologías similares
Usamos cookies, localStorage y tecnologías similares en tres categorías:
1. Estrictamente necesarias (no requieren consentimiento): sesión de autenticación Supabase, preferencia de idioma, token CSRF y el propio `yp_consent_v1` donde se guarda tu elección de cookies
2. Analítica y rendimiento (requieren consentimiento): analítica de uso de primera parte escrita en nuestra propia base de datos
3. Marketing (requieren consentimiento): Facebook Pixel
Las notificaciones push web (OneSignal) no se rigen por el banner de cookies: el script se carga con la página, pero tu navegador solo se registra para push — y se vincula a tu cuenta — después de que permitas las notificaciones en el aviso de permiso del navegador. Consulta la Política de cookies, sección 4.3.
El asistente de chat con IA de la web (Awareto) pertenece a la categoría Análisis: nunca se carga si rechazaste las cookies de Análisis y, aunque las aceptes, solo se carga cuando pulsas el botón del chat. Nunca está disponible con la sesión iniciada ni en las apps de iOS / Android. Consulta la Política de cookies, sección 4.2.
Un banner de cookies aparece en la primera visita con botones Aceptar / Rechazar / Personalizar con igual prominencia, según la Guía AEPD 2024 sobre cookies. Nada de Analítica ni Marketing se carga antes de tu elección. Puedes cambiar tu elección en cualquier momento con el enlace "Preferencias de cookies" en el pie.
Detalles completos en nuestra Política de Cookies.
12. Emails de marketing
Con tu registro aceptas recibir emails de servicio (bienvenida, onboarding, noticias ocasionales del producto). Puedes darte de baja en cualquier momento de tres formas:
- Ajustes → Emails → Emails de marketing
- Enlace Darme de baja de un clic en el pie de cada email de marketing (RFC 8058), también expuesto como el botón nativo "Unsubscribe" en Gmail, Apple Mail y Outlook
- Responde a cualquier email con "unsubscribe" o escribe a contact@yourposte.com
La baja se aplica en 24 horas como máximo. Las notificaciones de los tratos (ofertas, mensajes, OTP, recordatorios de recogida) son transaccionales y no se ven afectadas por la baja de marketing.
13. Verificación de identidad
La Plataforma ofrece un paso opcional de verificación donde puedes subir un documento de identidad y una selfie. La revisión la realiza manualmente nuestro equipo administrador. No usamos comparación biométrica automatizada, por lo que los datos no se tratan como categoría especial biométrica bajo el Art. 9 RGPD.
Conservación: ver Sección 6. Puedes solicitar la supresión en cualquier momento bajo tu Art. 17, sujeto a necesidades de defensa legal en curso.
14. Menores
YourPoste no está destinada a menores de 18 años. Confiamos en las declaraciones realizadas al registrar la cuenta. Según la ley española (Art. 7 LOPDGDD), la edad de consentimiento digital es de 14 años, pero el umbral contractual de YourPoste es 18. Si crees que un menor está usando la Plataforma, escribe a contact@yourposte.com y lo investigaremos y eliminaremos los datos.
15. Cambios en esta política
Los cambios materiales se comunicarán con al menos 30 días de antelación por email o aviso in-app. La línea "Última actualización" arriba muestra la revisión más reciente. Las versiones históricas están disponibles bajo petición.
16. Contacto
- Protección de datos: contact@yourposte.com (incluye `[GDPR]` en el asunto)
- Soporte general: contact@yourposte.com
- Reportes de seguridad: contact@yourposte.com (incluye `[Security]` en el asunto)
POSTRAVELER, S.L.
NIF: B-26947879
Calle Pintor Maella 11, 2º, puerta 8ª
46023 Valencia, España
17. Datos del método de cobro
Si recibes pagos como viajero, puedes guardar tu método de cobro preferido en tu perfil. Solo recopilamos los datos mínimos necesarios para realizar el pago.
17.1 Qué almacenamos
- Elección del método de cobro: transferencia bancaria o PayPal.
- Nombre del titular de la cuenta: el nombre legal de la cuenta receptora.
- Para transferencias bancarias: IBAN y (opcionalmente) BIC / SWIFT.
- Para PayPal: la dirección de email de PayPal.
- País (ISO-2) de la cuenta receptora.
- La fecha y hora en que se configuró el método de cobro por última vez.
17.2 Dónde se almacena y quién puede leerlo
Estos datos se almacenan en nuestra base de datos gestionada (Supabase) y están cifrados en reposo. El registro completo solo es legible por ti (titular de la cuenta) y por los administradores de YourPoste actuando en su función operativa para operar la funcionalidad de pagos y resolver disputas. Otros usuarios nunca ven tu IBAN o email de PayPal completos — las vistas internas de administración muestran valores enmascarados (ej. `ES...1234`).
17.3 Base legal
Ejecución de un contrato (Art. 6(1)(b) RGPD) — para enviarte los pagos que te correspondan según nuestros Términos — y nuestro interés legítimo en mantener registros precisos para contabilidad y resolución de disputas.
17.4 Conservación
Conservamos los datos de tu método de cobro mientras tu cuenta esté activa. Puedes actualizarlos en cualquier momento desde la página Mis ganancias. Si eliminas tu método o tu cuenta, eliminamos el registro activo pero podemos conservar el historial de pagos pasados (referencia de transacción, importe, fecha) durante el periodo contable legalmente exigido (hasta 6 años según la legislación española).
17.5 Tus derechos
Se aplican los derechos estándar del RGPD descritos en la sección 9 — incluyendo acceso, rectificación, supresión y portabilidad de datos. Escríbenos a contact@yourposte.com para ejercerlos.
*YourPoste — Tus datos, tus derechos, nuestra responsabilidad.*
