POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES

1. RESPONSABLE DEL TRATAMIENTO Y DATOS DE CONTACTO

1.1. Identificación del Responsable del Tratamiento:
El Responsable del tratamiento de los datos personales con arreglo al artículo 4, apartado 7, del RGPD y a la normativa española LOPDGDD (Ley Orgánica 3/2018) es:

• Responsable del Tratamiento: Emanuele Cresta, empresario individual / trabajador autónomo de derecho español, operando en nombre propio y bajo su propia identidad fiscal (Emanuele Cresta), con domicilio profesional en Santa Cruz de Tenerife (Islas Canarias, España), NIF/NIE: Y8922606T, titular exclusivo de la marca de la Unión Europea "SWOOPP" registrada ante la EUIPO (Oficina de Propiedad Intelectual de la Unión Europea).
• Correo electrónico oficial de privacidad: privacy@swooppapp.com | legal@swooppapp.com.

1.2. Evolución Societaria Prevista:
Se informa a los interesados de que está prevista la futura constitución de una sociedad de responsabilidad limitada de derecho español (S.L.) de la que será titular el mismo prestador. Dicha sociedad podrá asumir la titularidad de las relaciones contractuales y tratamientos correspondientes exclusivamente a partir del perfeccionamiento de los actos jurídicos necesarios y de conformidad con la normativa aplicable. Los interesados serán informados de cualquier modificación del Responsable o de sus datos identificativos mediante la actualización de la presente Política y, cuando así lo exija la ley, mediante comunicación en soporte duradero para usuarios registrados.

2. ENLACE DE PRIVACIDAD Y DELEGADO DE PROTECCIÓN DE DATOS (DPO)

SWOOPP cuenta con un interlocutor interno para asuntos de protección de datos personales, contactable en: privacy@swooppapp.com.

Dicho interlocutor coordina las medidas de seguridad y la atención a usuarios, pero no ostenta la condición de Delegado de Protección de Datos (DPO) formal conforme a los artículos 37 a 39 del RGPD: en base a la evaluación preliminar actual y el volumen previsto, el Responsable concluye que no concurren los requisitos para la designación preceptiva de un DPO conforme al RGPD y al artículo 34 de la LOPDGDD. Dicha circunstancia se revisará periódicamente, especialmente si se implantase una monitorización sistemática a gran escala.

3. TAXONOMÍA DE LOS DATOS: PERSONALES, SEUDONIMIZADOS Y ANONIMIZADOS

De conformidad con el principio de transparencia (art. 12 RGPD) y los criterios del Comité Europeo de Protección de Datos (CEPD) y de la Agencia Española de Protección de Datos (AEPD), SWOOPP aplica una distinción rigurosa en tres niveles:

1. Datos Directamente Identificativos: Información que identifica directamente a una persona física (correo electrónico, nombre, apellidos o teléfono facilitados voluntariamente al registrarse o solicitar soporte).
2. Datos Seudonimizados (Art. 4.5 RGPD): Datos que no pueden atribuirse a un interesado sin información adicional conservada de forma independiente y segura (identificadores de instalación, IDs de publicidad IDFA/GAID, hashes criptográficos de IP, telemetría). Los datos seudonimizados constituyen plenamente datos personales bajo el RGPD.
3. Datos Realmente Anonimizados: Datos sometidos a un proceso de anonimización y análisis de riesgo de reidentificación que garantiza que el interesado no resulte razonablemente identificable por ningún medio viable, neutralizando riesgos de singularización, correlación e inferencia.

4. CATEGORÍAS DE DATOS PERSONALES TRATADOS

SWOOPP trata las siguientes categorías de datos:

• (a) Datos de Registro (Opcionales): Correo electrónico y credenciales almacenadas mediante hashing criptográfico robusto con sal (salt). La Plataforma es plenamente accesible para consultar tipos y mapas sin necesidad de registro.
• (b) Datos de Geolocalización (GPS): Coordenadas de latitud y longitud captadas por el módulo GPS del dispositivo, limitadas al radio de búsqueda y previa autorización del sistema operativo móvil.
• (c) Datos de Búsqueda y Telemetría en la App: Pares de divisas seleccionados (ej. EUR/USD), importes teóricos introducidos para cálculo orientativo, marcas temporales, visualización de fichas comerciales y clics en botones de acción ("Llamar", "WhatsApp", "Ruta").
• (d) Datos Técnicos de Red y Dispositivo: Dirección IP, modelo de hardware, versión de sistema operativo (iOS/Android), idioma, resolución de pantalla, tokens de sesión técnica (JWT) y registros de diagnóstico de errores.
• (e) Datos Comerciales B2B (Comercios y Gestores ATM): Razón social, NIF/CIF o identificador fiscal equivalente, licencia de cambio o autorización administrativa, dirección física del establecimiento, datos de contacto profesionales y tipos de cambio aplicados en ventanilla.

5. DATOS NO RECOPILADOS (PRIVACIDAD DESDE EL DISEÑO Y MINIMIZACIÓN)

En aplicación de los principios de Privacidad desde el Diseño y Minimización de Datos (art. 25 RGPD):

• SWOOPP no solicita, no procesa ni almacena números de tarjetas bancarias, claves de banca electrónica, códigos de seguridad CVV/CVC ni justificantes de transacciones de cambio físico o reintegros en cajeros.
• SWOOPP no requiere ni pretende recabar categorías especiales de datos con arreglo al artículo 9 del RGPD. Se insta a los usuarios a no incluir datos de salud, ideología o religión en campos de texto libre. Cualquier dato de esta índole remitido por error será suprimido.

6. MATRIZ DE FINALIDADES, BASES JURÍDICAS Y PLAZOS DE CONSERVACIÓN

7. RÉGIMEN ESPECÍFICO DE GEOLOCALIZACIÓN (GPS)

7.1. Minimización Funcional: La ubicación se utiliza únicamente para calcular las casas de cambio y cajeros más próximos y mostrar la distancia estimada.

7.2. Permiso del Sistema Operativo vs. Base Jurídica: La autorización del GPS en iOS/Android constituye un requisito técnico de acceso. El tratamiento bajo el RGPD se basa en la ejecución contractual (art. 6.1.b) o el consentimiento (art. 6.1.a). El usuario puede revocar el permiso en cualquier momento y realizar búsquedas manuales.

7.3. Inexistencia de Rastreo en Segundo Plano: SWOOPP nunca recaba la ubicación en segundo plano cuando la aplicación está cerrada.

7.4. Tratamiento Volátil en Memoria: Las coordenadas se procesan en la memoria RAM del servidor para responder a la consulta y se descartan inmediatamente, sin almacenarse en perfiles de usuario.

8. ANALÍTICA, TELEMETRÍA Y MONITORIZACIÓN

8.1. SWOOPP puede registrar métricas técnicas con identificadores seudonimizados para evaluar el rendimiento de la plataforma.

8.2. Marco Jurídico (AEPD / CEPD):

• Web: Las cookies analíticas no esenciales requieren consentimiento previo mediante el banner de cookies.
• App Móvil: Las IPs se truncan/anonimizan. Las herramientas analíticas de primera parte orientadas a la privacidad basadas en interés legítimo (art. 6.1.f) requieren una validación técnica previa documentada antes del pase a producción. Si se requiere consentimiento legal, se recabará con carácter previo.

9. PERFILADO Y DECISIONES AUTOMATIZADAS

SWOOPP no adopta decisiones automatizadas que produzcan efectos jurídicos significativos con arreglo al artículo 22 del RGPD. El orden de los resultados en el mapa responde a criterios objetivos declarados (distancia, tipo informado, completitud de la ficha), sin perfilado económico conductual.

10. COMUNICACIONES COMERCIALES Y "SOFT SPAM"

10.1. El envío de boletines promocionales se basa en el consentimiento libre y previo (art. 6.1.a RGPD).
10.2. La aceptación comercial es voluntaria y no condiciona el uso del comparador.
10.3. Comunicaciones a Clientes (Art. 21.2 LSSI-CE): SWOOPP podrá remitir comunicaciones comerciales sobre productos o servicios propios análogos a usuarios con relación contractual previa, ofreciendo siempre un mecanismo sencillo y gratuito de baja en cada mensaje.

11. COMUNICACIÓN DE DATOS A TERCEROS Y "LEAD GENERATION"

11.1. Relación con Comercios Colaboradores (Responsables Independientes):

• Cuando el usuario solicita contacto o bloqueo de tipo de cambio, SWOOPP transmite los datos al comercio seleccionado.
• Tras la remisión, el Comercio trata los datos como Responsable del Tratamiento independiente en la medida en que determine autónomamente los fines y medios del tratamiento posterior.
• SWOOPP no responde de los tratamientos efectuados por el Comercio al margen de los servicios de la Plataforma.

11.2. Enlaces a Plataformas Externas: Los accesos a Google Maps, Apple Maps o WhatsApp redirigen a plataformas ajenas regidas por sus propias políticas de privacidad.

12. CONJUNTOS DE DATOS ESTADÍSTICOS ANONIMIZADOS

SWOOPP podrá elaborar informes estadísticos macroeconómicos agregados sobre flujos de búsqueda de divisas. La información solo se comercializa o difunde tras una estricta evaluación técnica que certifique su efectiva anonimización irreversible.

13. COOKIES, SDKS E IDENTIFICADORES DE PUBLICIDAD

La aplicación móvil no utiliza cookies HTTP ordinarias, sino almacenamiento local y librerías SDK. El acceso a identificadores IDFA (Apple) o GAID (Google) exige el cumplimiento de los frameworks de permisos del sistema operativo (ATT en iOS) y un consentimiento válido previo bajo el artículo 6.1.a del RGPD y el artículo 22.2 de la LSSI-CE.

14. DESTINATARIOS DE LOS DATOS (ENCARGADOS DEL TRATAMIENTO EX ART. 28 RGPD)

Los datos podrán comunicarse a:

• Proveedores de infraestructura cloud y hosting (Encargados del Tratamiento bajo DPA con servidores principales en el EEE);
• Proveedores de notificaciones push y correo electrónico transaccional;
• Asesores legales, fiscales y contables sujetos a secreto profesional;
• Fuerzas y Cuerpos de Seguridad y Autoridades Judiciales en cumplimiento de mandatos legales.

15. TRANSFERENCIAS INTERNACIONALES DE DATOS

15.1. Los servidores principales radican en la Unión Europea / Espacio Económico Europeo (EEE).
15.2. Las transferencias a terceros países se realizan conforme al Capítulo V del RGPD:

• Países con Decisión de Adecuación (Art. 45 RGPD), incluido el Marco de Privacidad de Datos UE-EE.UU.;
• Cláusulas Contractuales Tipo (CCT / SCC, Art. 46 RGPD) acompañadas de Evaluaciones de Impacto de Transferencia (TIA);
• Excepciones específicas del artículo 49 del RGPD.

16. MEDIDAS DE SEGURIDAD TÉCNICAS Y ORGANIZATIVAS (ART. 32 RGPD)

• Cifrado robusto en tránsito (HTTPS / TLS 1.3) y en reposo (AES-256 para bases de datos);
• Hashing unidireccional de contraseñas con sal criptográfica;
• Control de acceso por roles (RBAC), autenticación multifactor (MFA) y principio de mínimo privilegio;
• Segregación lógica de bases de datos y copias de seguridad automáticas diarias cifradas.

17. DERECHOS DEL INTERESADO (ARTÍCULOS 15 A 22 RGPD)

El interesado puede ejercitar los derechos de Acceso (art. 15), Rectificación (art. 16), Supresión / Olvido (art. 17), Limitación (art. 18), Portabilidad (art. 20), Oposición (art. 21) y Revocación del Consentimiento (art. 7.3).

18. PROCEDIMIENTO DE EJERCICIO DE DERECHOS

18.1. El ejercicio de derechos es gratuito (art. 12.5 RGPD).
18.2. Las solicitudes pueden remitirse en la app o por email a: privacy@swooppapp.com | legal@swooppapp.com.
18.3. Se responderá en el plazo máximo de un (1) mes, prorrogable por dos (2) meses adicionales en supuestos complejos.

19. RECLAMACIÓN ANTE LA AUTORIDAD DE CONTROL

Sin perjuicio de cualquier otro recurso, el interesado puede presentar una reclamación ante la autoridad de control de su país de residencia en la UE o ante la autoridad de control principal:
Agencia Española de Protección de Datos (AEPD)
C/ Jorge Juan, 6 – 28001 Madrid (España)
Sitio web: https://www.aepd.es

20. MODIFICACIONES DE LA PRESENTE POLÍTICA

SWOOPP se reserva la facultad de modificar la presente Política para adaptarla a novedades legales o técnicas. Cualquier modificación sustancial será notificada a los usuarios a través de la Aplicación o en soporte duradero cuando proceda.