Política de Privacidad
Qué datos trata De Vuelta a Casa, con qué finalidad, con qué base jurídica y con qué proveedores.
1. Identidad del proyecto y del responsable del tratamiento
Proyecto: De Vuelta a Casa.
Responsable del tratamiento: Pelayo Madrid F-.Velasco.
Naturaleza: persona física, responsable de una iniciativa ciudadana independiente de protección animal, sin entidad jurídica constituida.
Contacto: contacto@devueltaacasa.es.
Web: www.devueltaacasa.es.
El responsable del tratamiento es una persona física que actúa como promotor de una iniciativa ciudadana independiente. Cualquier persona puede ejercer sus derechos, pedir información o reclamar escribiendo a contacto@devueltaacasa.es.
Esta identificación no equivale por sí sola a un cumplimiento completo de las obligaciones del RGPD: se mantienen pendientes los demás requisitos legales aplicables, que esta política no presenta como resueltos.
2. Principios que aplican a todos los tratamientos
- Minimización: solo se recogen los datos que son necesarios para la finalidad que motivó la petición. No se piden categorías especiales de datos (salud, religión, orientación sexual, biometría, opinión política) ni datos de menores.
- Finalidad: cada dato se utiliza para el motivo indicado en el apartado 3. No se reutilizan los datos para finalidades distintas ni se ceden a terceros con fines comerciales.
- Sin publicidad ni perfiles: no hay tratamiento con fines publicitarios, no se elaboran perfiles de navegación y no se venden ni se ceden bases de datos.
- Responsabilidad de quien publica: quien publica un aviso, una entidad o una aportación es responsable de la veracidad de lo que publica y de tener autorización para los datos y las imágenes que incorpora, incluidas las de terceros.
3. Tratamientos y bases jurídicas
La tabla siguiente recoge, por finalidad, los datos tratados, la base jurídica del artículo 6 del RGPD que corresponde a cada tratamiento y si esos datos se hacen públicos. No se atribuye consentimiento a finalidades que no lo requieren: la autorización para publicar un aviso, la aceptación de las condiciones de uso y el consentimiento específico para mostrar un teléfono son figuras distintas, con efectos distintos.
| Finalidad | Datos tratados | Base jurídica (art. 6 RGPD) | ¿Se publica? |
|---|---|---|---|
| Prestar el sitio y mantener su seguridad | Datos técnicos de la conexión (dirección IP, navegador, dispositivo, páginas solicitadas, cabeceras de la petición) y registros de error del servidor | Art. 6.1.b (prestación del servicio solicitado) y art. 6.1.f (interés legítimo en la seguridad y el funcionamiento del sitio) | No |
| Cuentas y sesión de entidades colaboradoras y del equipo | Correo de la cuenta, identificadores de sesión y de acceso, actividad de la cuenta y credenciales | Art. 6.1.b (gestión de la cuenta y del acceso que la entidad ha solicitado) | No |
| Publicar y difundir avisos de animales perdidos, encontrados y avistados | Tipo de aviso, especie, nombre del animal, raza, color, tamaño, descripción, señas particulares, fecha del suceso, zona aproximada, fotografía y datos de contacto del autor | Art. 6.1.b (aceptación de las condiciones de uso al publicar el aviso) y art. 6.1.f (interés legítimo del proyecto en ofrecer y moderar el tablón de avisos) | Sí: los datos del animal, la zona aproximada, la descripción, la fecha y la fotografía. El teléfono solo si el autor lo autoriza expresamente (art. 6.1.a) |
| Mostrar el teléfono de contacto en el aviso | Teléfono y, en ese caso, nombre del autor del aviso | Art. 6.1.a (consentimiento expreso y específico, recogido en una casilla propia del formulario) | Sí, únicamente en ese caso |
| Gestionar el aviso mediante el enlace privado (editar, renovar, resolver, retirar) | Datos del aviso, token de gestión (almacenado solo como hash) y correo de contacto del autor | Art. 6.1.b (gestión del aviso que el autor ha solicitado al publicarlo) | No |
| Recuperar y renovar el enlace de gestión por correo | Referencia del aviso, correo con el que se publicó y datos técnicos de la petición | Art. 6.1.b (recuperación del enlace de gestión del aviso) y art. 6.1.f (prevención de abuso) | No |
| Reenviar a los responsables de los avisos los mensajes enviados desde su ficha | Texto del mensaje, correo opcional del remitente, referencia del aviso y zona | Art. 6.1.b (canal de contacto previsto para el aviso) y art. 6.1.f (prevención de abuso) | No |
| Moderar avisos, perfiles, animales, aportaciones y contenidos | Contenido publicado, datos de contacto de quien lo publicó y anotaciones internas de revisión | Art. 6.1.f (interés legítimo en mantener un tablón fiable) y art. 6.1.b (cumplimiento de las condiciones aceptadas) | No |
| Perfiles de entidades y animales en adopción | Datos que cada entidad facilita para su perfil (nombre, tipo, descripción, servicios, animales atendidos, ubicación, teléfono, correo, web, redes sociales, IBAN, logotipo y portada) y datos de los animales (fichas, fotos, estado, descripción, necesidades) | Art. 6.1.b (publicación del perfil y de los animales que la entidad decide publicar) y art. 6.1.f (mantener el directorio de entidades) | Sí, por decisión de la entidad |
| Recibir propuestas de plataformas y reportes de incidencias | Correo de contacto, nombre y URLs de la plataforma, cobertura, relación con la plataforma, tipo de incidencia y descripción del problema | Art. 6.1.f (revisión de las entradas del directorio y respuesta a la persona que escribe) | No |
| Blog: aportaciones al blog y artículos publicados | Tipo de aportación, nombre que se desea mostrar (opcional), correo de contacto (opcional), tema, texto y enlaces; en los artículos, la autoría | Art. 6.1.f (revisión editorial y mantenimiento del blog) | Solo el nombre y el texto de las aportaciones que se aprueban, y la autoría de los artículos |
| Sistema de «me gusta» del blog | Identificador aleatorio guardado en una cookie propia y su hash en la base de datos | Art. 6.1.f (evitar votos duplicados en los artículos) | No |
| Analítica agregada de uso | Páginas públicas visitadas, tipo de dispositivo y de navegador y datos equivalentes de forma agregada | Art. 6.1.f (medir el uso del sitio y mejorarlo) sin publicidad ni perfilado comercial | No |
| Prevención de abuso y spam en los formularios | Token antispam de un solo uso, dirección IP de la conexión, respuesta al captcha y momento de la petición | Art. 6.1.f (seguridad y disponibilidad del servicio) y art. 6.1.b (envío del formulario solicitado) | No |
| Almacenamiento local en el navegador | Estado de la aplicación (catálogo de plataformas), metadatos mínimos de propuestas y reportes (identificador, fecha, estado y datos públicos) y registros de verificación | Art. 6.1.f (funcionamiento de la aplicación). Los datos no se envían al servidor ni se guardan en una copia local | No |
En los tratamientos que se apoyan en el consentimiento (como la publicación del teléfono en un aviso), la persona puede retirarlo en cualquier momento y sin que ello afecte a la licitud del tratamiento efectuado hasta ese momento. La evidencia de esas autorizaciones se conserva en el propio registro del aviso (por ejemplo, la marca de que el teléfono está autorizado), no en un registro centralizado de consentimientos.
4. Qué se publica y qué permanece privado
Información pública
- En los avisos: tipo de aviso, especie, nombre del animal, raza, color, tamaño, descripción, señas particulares, fecha del suceso, zona aproximada (localidad, barrio o término municipal, comunidad autónoma y provincia) y fotografía.
- En los avisos, y solo cuando el autor lo autoriza expresamente: el teléfono de contacto y el nombre indicado.
- En el directorio de entidades: los datos que cada entidad facilita para su perfil (nombre, descripción, servicios, animales atendidos, ubicación, teléfono, correo, web, redes sociales, IBAN, logotipo y portada) y las fichas de los animales en adopción.
- En el blog: los artículos con su autoría y las aportaciones que se aprueban.
Información privada
- El correo de contacto de los avisos: nunca aparece en las fichas ni en los listados. Se usa solo en el servidor para avisar al autor y para reenviarle los mensajes.
- Los tokens de gestión y de recuperación: en la base de datos solo se guarda su hash, y los enlaces son personales e intransferibles.
- El correo de la cuenta de las entidades, los identificadores de sesión y los datos de acceso al panel.
- El correo y las descripciones libres de las propuestas de plataformas, los reportes de incidencias y las aportaciones al blog, así como el correo del remitente de los mensajes de un aviso.
- Las anotaciones internas de moderación y las trazas de administración.
5. Avisos de animales: publicación, moderación y gestión
- Publicación inmediata y moderación posterior. El envío del formulario supera comprobaciones técnicas (campos obligatorios, captcha, verificación antispam y control de la vigencia), que no constituyen una revisión previa del contenido. Superadas esas comprobaciones, el aviso se publica de inmediato y aparece en el tablón público. Después, el equipo del proyecto puede revisar, editar, ocultar o retirar cualquier aviso cuando concurran las causas previstas en los Términos y Condiciones.
- Vigencia y caducidad. La vigencia inicial de un aviso es de 30 días desde su publicación y es renovable desde el enlace privado de gestión. Un aviso caducado deja de exponerse: su ficha, su fotografía, su contacto, su presencia en los listados y en el sitemap dejan de servirse. La caducidad no significa que el animal haya sido recuperado.
- Gestión por enlace privado. Al publicar se envía al correo de contacto un enlace personal e intransferible, con vigencia limitada, que permite consultar el aviso, editar sus datos (incluida la fotografía), renovarlo 30 días más, marcarlo como resuelto o solicitar su retirada. Un aviso resuelto deja de estar activo y se conserva visible como histórico; un aviso retirado deja de aparecer públicamente y su fotografía se elimina.
- Recuperación del enlace. Si se pierde el enlace o caduca, se puede pedir uno nuevo indicando la referencia del aviso y el correo con el que se publicó. La respuesta es siempre la misma y no confirma si el aviso existe ni si el correo coincide. Al solicitar un enlace nuevo, el anterior deja de funcionar. El equipo del proyecto también puede reenviar el enlace desde el panel de administración.
- Mensajes al responsable. Cuando el teléfono no está autorizado, las personas pueden escribir desde la ficha del aviso. El sitio reenvía el mensaje al correo del responsable sin mostrarle el correo del remitente, salvo que la persona lo indique expresamente para poder recibir respuesta.
6. Cuentas de entidades, perfiles y animales
Las entidades de protección animal, refugios y albergues pueden abrir una cuenta en el área autenticada y gestionar su perfil, sus animales en adopción, sus fotografías y sus textos. El acceso es personal e intransferible y se realiza con autenticación gestionada por Supabase, mediante cookies técnicas de sesión. Los datos de la cuenta (correo, sesión, actividad) no se publican.
Los datos que aparecen en el perfil público y en las fichas de los animales son los que la propia entidad facilita y decide publicar. La entidad es responsable de su exactitud, de mantenerlos actualizados y de contar con autorización para las imágenes y los datos que incluye. De Vuelta a Casa ofrece el espacio y las herramientas de publicación, pero no gestiona ni sustituye a la entidad.
7. Propuestas, reportes, blog y «me gusta»
- Propuestas de plataformas y reportes de incidencias: se envían por correo electrónico a contacto@devueltaacasa.es para su revisión. Los datos personales que llegan por esta vía no se publican y se conservan mientras sean necesarios para revisar la propuesta o el reporte y atender el seguimiento derivado.
- Aportaciones al blog: se guardan pendientes de revisión editorial. Si se aprueban y se publican, pueden aparecer con el nombre que la persona ha indicado; el correo de contacto no se publica. El contenido publicado en los artículos es responsabilidad de quien lo firma.
- «Me gusta»: para evitar votos duplicados, el sitio escribe una cookie propia con un identificador aleatorio y guarda en la base de datos únicamente su hash. Ese identificador no contiene datos personales ni se asocia a un nombre, un correo o una cuenta.
8. Seguridad, antispam y analítica
El sitio aplica, entre otras, estas medidas:
- Verificación antispam con Cloudflare Turnstile en los formularios públicos: el token es de un solo uso y se valida siempre en el servidor, comprobando además el dominio y la acción esperada. En producción, si falta la clave de verificación del servidor, la solicitud se rechaza.
- Captcha aritmético en los formularios y límites de uso por conexión y por aviso.
- Enlaces de gestión con token aleatorio, almacenado únicamente como hash y con vigencia limitada.
- Sesiones de las áreas autenticadas mediante cookies técnicas y cabeceras de seguridad del sitio.
- Minimización del almacenamiento local: en el navegador no queda ninguna copia del correo, de las descripciones libres, de la respuesta al captcha ni del token antispam de los envíos.
- Exclusión de las rutas privadas de la analítica: la gestión de avisos por token, las áreas de administración y de entidades y las herramientas internas no se miden. Además, esas rutas responden sin enviar información de referencia a otros sitios.
- Moderación posterior de los contenidos y procedimiento de retirada a petición de quien los publicó.
Ninguna medida técnica garantiza una protección absoluta: el sitio depende también del uso responsable que hacen las personas y de las medidas que aplican los proveedores que intervienen.
La analítica de uso es agregada (por ejemplo, páginas visitadas o tipo de dispositivo) y no se utiliza con fines publicitarios ni para elaborar perfiles comerciales. Su detalle, junto con el de las cookies y el del almacenamiento del navegador, está en la Política de Cookies.
9. Proveedores que intervienen
- Supabase — base de datos del proyecto, autenticación de las cuentas de entidades y del equipo, y almacenamiento de archivos (logotipos, portadas, fotografías de animales y fotografías de los avisos).
- Vercel — alojamiento del sitio y Vercel Web Analytics, que aporta las métricas agregadas de uso.
- Resend — envío del correo transaccional: enlaces privados de gestión de los avisos, reenvío de mensajes al responsable de un aviso, propuestas de plataformas, reportes de incidencias e invitaciones a las entidades.
- Cloudflare — verificación antispam (Turnstile) de los formularios públicos.
- OpenStreetMap — teselas del mapa del directorio de entidades y enlace al mapa público. OpenFreeMap — estilo de mapa vectorial experimental. El motor de mapa (MapLibre) se sirve desde el propio sitio.
- CartoCiudad — cálculo de coordenadas de municipio y provincia en la gestión de los perfiles de entidades; en ese proceso solo se envían esos dos datos.
La documentación de los roles que asumen estos proveedores, la ubicación de los servidores que utilizarían y los mecanismos aplicables a eventuales transferencias internacionales está pendiente de cierre antes del lanzamiento definitivo. El proyecto no afirma en esta política garantías sobre extremos que todavía no ha verificado.
10. Conservación de datos
Los datos se conservan durante el tiempo necesario para la finalidad que motivó su recogida. La tabla siguiente describe los criterios reales de conservación y su estado.
| Datos | Criterio de conservación | Estado |
|---|---|---|
| Datos públicos del aviso (animal, descripción, zona, fecha y fotografía) | Mientras el aviso está vigente (30 días, renovable). Al caducar dejan de exponerse en la ficha, en la fotografía, en el contacto y en los listados. En los casos resueltos se conservan como histórico visible. | En vigor |
| Datos de trazabilidad del aviso (estado, fechas de creación, publicación, vigencia, revisión y cierre) | Se conservan para explicar el ciclo de vida del aviso y atender incidencias. No contienen datos de contacto del autor. | En vigor |
| Token de gestión del aviso | Se guarda solo su hash, con una vigencia de 7 días que se amplía al renovar el aviso. Tras resolver o retirar el aviso, el enlace permite consultar el estado, pero no ejecutar nuevas acciones. Su eliminación definitiva del registro forma parte del proceso de conservación descrito más abajo, que todavía no está activo. | En vigor |
| Correo, nombre y teléfono del autor, fotografías y tokens de avisos caducados, retirados, archivados o no publicados | El proyecto ha desarrollado un proceso por lotes que anonimiza el contacto, invalida los tokens y elimina las fotografías cuando el aviso deja de necesitar esos datos. Está sujeto a migración y autorización, y no se está ejecutando. | Preparado, no activo |
| Propuestas, reportes, aportaciones al blog y mensajes de contacto | Mientras sean necesarios para revisar la petición y atender el seguimiento derivado, sin un plazo automático publicado. | Criterio general |
| Cuentas de entidades | Mientras la cuenta esté activa o sea necesaria para gestionar el acceso, sin un plazo automático publicado. | Criterio general |
| Cookies y almacenamiento del navegador | La cookie propia del «me gusta» dura un año; las cookies técnicas de sesión se mantienen mientras la sesión esté activa y se refrescan en cada renovación; el almacenamiento local no tiene caducidad automática y permanece hasta que la persona borra los datos del sitio; el almacenamiento de sesión dura hasta cerrar la sesión o la pestaña. | En vigor |
Consecuencias prácticas del estado actual: la caducidad de un aviso impide que se vuelva a ver en el sitio, pero no elimina por sí sola los datos almacenados ni implica que el animal haya sido recuperado. Mientras el proceso de conservación descrito no esté activo, un aviso resuelto sigue visible como histórico con su fotografía y su descripción, y los datos de contacto del autor permanecen almacenados hasta que ese proceso se habilite.
Plazos operativos propuestos, pendientes de validación final: 30 días de margen de recuperación tras la caducidad; 60 días hasta la supresión de los datos de un aviso caducado; 90 días hasta anonimizar el contacto de un aviso resuelto; y 30 días tras la retirada, el archivado o el rechazo de un aviso. Estos plazos se han definido a partir del funcionamiento real del servicio y deben validarse con el volumen real de avisos antes de fijarse definitivamente.
11. Derechos de las personas
Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad cuando esta última proceda, así como retirar el consentimiento en cualquier momento, escribiendo a contacto@devueltaacasa.es e indicando el derecho que desea ejercer, la referencia del aviso o el contenido afectado (por ejemplo, la dirección de la página) y, si es posible, una forma de contacto. Para sus propios avisos, puede usar además el enlace privado de gestión.
- Plazo de respuesta: el proyecto responde en el plazo máximo de un mes desde la recepción de la solicitud. Cuando la normativa lo permita, ese plazo puede prolongarse por un mes adicional, informing de ello y del motivo.
- Eliminación de una fotografía o de un contenido de terceros: si considera que una fotografía, un aviso o cualquier otro contenido publicado incluye sus datos, vulnera sus derechos o debe dejar de estar visible, escriba a contacto@devueltaacasa.es indicando la URL exacta, el motivo y una forma de contacto. La solicitud se revisa y, si procede, se retira el contenido y se eliminan la fotografía y los datos de contacto asociados. No es necesario que sea la persona quien publicó el contenido para solicitarlo.
- Reclamación: si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), a través de su sitio oficial: www.aepd.es.
12. Menores
El sitio no está pensado para recoger datos de menores ni para facilitar su contacto directo con terceros. Queda prohibido publicar información que permita identificar o localizar a un menor, sus fotografías o datos sobre su salud, su familia o su entorno. Los avisos y las aportaciones se entienden realizados por personas mayores de edad. Si un caso implica a un menor o a un animal en peligro grave, la vía adecuada son las autoridades y los servicios oficiales (112 en España), no este sitio.
13. Decisiones automatizadas
No se adoptan decisiones automatizadas que produzcan efectos jurídicos sobre las personas ni se elaboran perfiles con fines comerciales. Las revisiones y moderaciones de los contenidos las realiza el equipo del proyecto. Sí existen reglas automáticas de funcionamiento que no adoptan decisiones sobre personas: la caducidad de la vigencia de un aviso, la invisibilidad de los avisos caducados o retirados, el control de los votos duplicados del blog y la exclusión de las rutas privadas de la analítica.
14. Cambios en esta política y contacto
Esta política se actualiza cuando cambian las funcionalidades del sitio o los proveedores utilizados. La versión vigente es la publicada en esta página con su fecha de actualización, que es la que corresponde al servicio en ese momento. La incorporación de nuevas tecnologías de analítica o seguimiento no implica que estén activas: cualquier tecnología nueva de ese tipo se revisará en esta política antes de activarse.
Para cualquier consulta sobre esta política, sobre el tratamiento de sus datos o para ejercer los derechos que correspondan, puede escribir a contacto@devueltaacasa.es. El proyecto también revisa las reclamaciones y las solicitudes de retirada de contenidos que se reciba por esa vía.