Política de Privacidad

Última actualización: 16 de abril de 2026 · Versión 3.0

En Refugio en la Palabra (en adelante, «la Aplicación» o «el Servicio») nos tomamos la privacidad de nuestros usuarios con la máxima seriedad. La presente Política de Privacidad describe, de forma clara y transparente, cómo recopilamos, usamos, almacenamos, protegemos y compartimos tus datos personales, así como los derechos que te asisten en virtud del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (Reglamento General de Protección de Datos, «RGPD») y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).

1. Responsable del tratamiento

A los efectos de lo dispuesto en el artículo 13 del RGPD, los datos tratados en Refugio en la Palabra están bajo la responsabilidad del titular de la Aplicación. Puedes consultar la identidad completa y los datos de contacto en el pie de página de este documento o dirigirte al canal de soporte para cualquier gestión relacionada con tus datos.

Dada la naturaleza y el volumen del tratamiento, no se ha designado un Delegado de Protección de Datos (DPO) por no concurrir las circunstancias del artículo 37 RGPD. No obstante, para cualquier consulta relacionada con la privacidad puedes dirigirte al canal de soporte indicado en el pie de página, donde serás atendido por la persona responsable.

2. Datos que recogemos

Recopilamos únicamente los datos estrictamente necesarios para el funcionamiento de la Aplicación y para prestarte el servicio solicitado. Los clasificamos en las siguientes categorías:

2.1 Datos de identificación y cuenta

• Nombre y apellidos: para personalizar tu experiencia y para emisión de facturas cuando corresponda.
• Apodo (nickname): identificador público mostrado en la comunidad.
• Dirección de correo electrónico: para registro, inicio de sesión, recuperación de contraseña y comunicaciones esenciales del servicio.
• Contraseña: almacenada en forma de hash criptográfico (bcrypt). Nunca tenemos acceso a la contraseña en texto plano.
• Fecha de nacimiento: exclusivamente para verificar que cumples la edad mínima legal (14 años) y, opcionalmente, para personalización.
• Foto de perfil (opcional): avatar que subes voluntariamente; almacenado en Supabase Storage con validación estricta MIME + extensión.

2.2 Datos de navegación y técnicos

• Dirección IP: recogida temporalmente por nuestro proveedor de hosting (Netlify) y por Supabase para protección frente a abusos y cumplimiento de obligaciones legales.
• User-Agent: tipo y versión de navegador, sistema operativo y dispositivo, empleado para garantizar compatibilidad y diagnóstico.
• Logs de acceso: fecha, hora, endpoint accedido y código de respuesta, con finalidad de seguridad.
• Identificador de sesión: token JWT firmado por Supabase con caducidad limitada.
• Token de notificaciones push (FCM): identificador anónimo del dispositivo, vinculado a tu cuenta si has aceptado notificaciones.

2.3 Datos religiosos y espirituales Categoría especial · Art. 9 RGPD

• Intenciones de oración: peticiones personales o para terceros que redactas en la Aplicación.
• Conversaciones con el Compañero en Fe (chat IA): mensajes intercambiados con el asistente espiritual basado en Gemini AI.
• Diario espiritual y reflexiones del Evangelio: entradas personales del usuario, cifradas en reposo en la base de datos.
• Rosarios, novenas y devociones completadas: historial de actividad espiritual.
• Interacciones comunitarias: comentarios, oraciones por otros, publicaciones en comunidades católicas de la Aplicación.

2.4 Datos de pago

• No almacenamos datos de tarjetas bancarias. El pago se procesa íntegramente en los servidores de Stripe Payments Europe Ltd. (Irlanda), entidad certificada PCI-DSS nivel 1.
• Únicamente conservamos: identificador de cliente de Stripe, identificador de suscripción, estado (activa / cancelada / en periodo de prueba), fechas relevantes y moneda.
• Datos de facturación: nombre, apellidos, dirección postal y, en caso de autónomos o empresas, NIF/CIF cuando sean necesarios para la factura.

2.5 Datos de gamificación

• Logros desbloqueados, nivel espiritual, puntos, racha de días consecutivos de oración, estadísticas agregadas de uso.
• Estos datos se muestran únicamente al usuario y, en el caso de los logros públicos, a los amigos que hayas aceptado en la Aplicación.

2.6 Datos que NO recogemos

• Ubicación GPS o geolocalización precisa.
• Agenda de contactos del dispositivo.
• Historial de navegación externo a la Aplicación.
• Datos de otras aplicaciones instaladas.
• Grabaciones de audio o vídeo sin tu acción explícita.
• Información biométrica (huellas, reconocimiento facial).
• Identificadores publicitarios (AAID, IDFA).

3. Finalidades y bases jurídicas del tratamiento

Cada categoría de datos se trata para una finalidad legítima y concreta, amparada en una de las bases jurídicas previstas en el artículo 6 (y, en su caso, el artículo 9) del RGPD:

4. Servicios de terceros (encargados del tratamiento)

Para la prestación del servicio recurrimos a los siguientes proveedores, con los cuales mantenemos el correspondiente Acuerdo de Encargado del Tratamiento (Data Processing Agreement) conforme al artículo 28 del RGPD. Todos ellos cumplen garantías de protección de datos equivalentes a las europeas:

Estos proveedores actúan exclusivamente siguiendo nuestras instrucciones documentadas y no utilizan los datos para fines propios distintos de la prestación del servicio contratado. No vendemos datos a ningún tercero, ni compartimos datos con redes publicitarias, intermediarios o data brokers.

5. Derechos del interesado (RGPD)

Como titular de los datos personales, el RGPD y la LOPDGDD te reconocen los siguientes derechos, que puedes ejercer gratuitamente y en cualquier momento:

5.2 Cómo ejercer tus derechos

Puedes ejercer cualquiera de estos derechos por las siguientes vías:

• Directamente en la Aplicación: desde Ajustes puedes editar tu perfil, descargar tus datos o eliminar tu cuenta.
• Correo electrónico: escribe a nuestro equipo de soporte (dirección indicada en el pie de página) señalando el derecho que deseas ejercitar y adjuntando copia de un documento oficial que acredite tu identidad.
• Correo postal: a la dirección del Responsable indicada en el pie de página de este documento.

Responderemos a tu solicitud en un plazo máximo de un (1) mes desde su recepción, prorrogable por dos meses adicionales en casos de especial complejidad, de lo cual te informaríamos previamente (Art. 12.3 RGPD).

5.3 Autoridad de control

Si consideras que el tratamiento de tus datos personales no se ajusta a la normativa aplicable, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web: www.aepd.es
• Sede electrónica: sedeagpd.gob.es
• Dirección postal: C/ Jorge Juan, 6 · 28001 Madrid
• Teléfono: 901 100 099 / 912 663 517

6. Plazos de conservación

Conservamos tus datos personales únicamente durante el tiempo estrictamente necesario para las finalidades para las que fueron recogidos, y, en todo caso, conforme a los plazos de prescripción legalmente exigidos:

Transcurridos los plazos indicados, los datos serán suprimidos o anonimizados de forma irreversible.

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (Art. 32 RGPD), entre las que destacan:

7.1 Medidas técnicas

• Cifrado en tránsito: todas las comunicaciones se realizan sobre HTTPS con TLS 1.2 o superior, con HSTS activado.
• Cifrado en reposo: las bases de datos de Supabase cifran los datos en reposo con AES-256.
• Hashing de contraseñas: bcrypt con factor de coste adecuado. Nunca almacenamos contraseñas en claro.
• Autenticación por tokens JWT: firmados, con caducidad de 1 hora y renovación mediante refresh tokens seguros.
• Row Level Security (RLS): políticas de acceso a nivel de fila en Supabase PostgreSQL que impiden que un usuario acceda a datos ajenos.
• Rate limiting: limitación de peticiones por usuario e IP para prevenir abusos y ataques de fuerza bruta.
• Backups cifrados: copias de seguridad automáticas, cifradas y retenidas durante 7 días.
• Validación estricta de entradas: prevención de inyección SQL, XSS (sanitización con escapeHtml()) y CSRF.
• Control de acceso a archivos: validación doble MIME + extensión al subir avatares.

7.2 Medidas organizativas

• Acceso restringido a datos personales únicamente al responsable del tratamiento.
• Principio de mínimos privilegios en claves y tokens de API.
• Gestión segura de secretos mediante variables de entorno.
• Revisiones periódicas de seguridad y auditorías internas (última: marzo 2026).
• Procedimiento de notificación de brechas de seguridad conforme al Art. 33 RGPD (plazo máximo 72 horas a la AEPD).

8. Protección de menores

De conformidad con el artículo 8 del RGPD y el artículo 7 de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), la edad mínima para registrarse en la Aplicación es de 14 años.

• No recogemos conscientemente datos personales de menores de 14 años.
• Si detectamos que un usuario registrado es menor de 14 años, procederemos a eliminar su cuenta y todos sus datos personales sin dilación.
• Si eres padre, madre o tutor legal y sospechas que un menor de 14 años a tu cargo ha creado una cuenta sin autorización, rogamos contactar con nuestro equipo de soporte (dirección en el pie de página) para proceder a la supresión inmediata.
• Para usuarios entre 14 y 18 años, recomendamos la supervisión de padres o tutores, especialmente en el uso de funcionalidades comunitarias y de chat con inteligencia artificial.

9. Transferencias internacionales de datos

Parte de nuestros encargados del tratamiento (Google, ElevenLabs, Netlify, RevenueCat, Firebase) están establecidos en Estados Unidos. Dichas transferencias se amparan en los siguientes mecanismos legales, de conformidad con el Capítulo V del RGPD:

• Decisión de adecuación «EU-US Data Privacy Framework» (Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023): todos los proveedores estadounidenses mencionados están certificados bajo el marco transatlántico de privacidad de datos, considerado adecuado por la Comisión Europea desde julio de 2023.
• Cláusulas Contractuales Tipo (SCC): como mecanismo de respaldo, mantenemos Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 con todos los proveedores, que garantizan protección equivalente a la europea.
• Medidas suplementarias: cifrado extremo a extremo donde es técnicamente posible, minimización de datos transferidos (por ejemplo, a Sentry solo enviamos UUID sin PII).

Puedes solicitar una copia de las garantías aplicadas escribiendo a nuestro equipo de soporte (contacto en el pie de página). Puedes consultar la lista actualizada de organizaciones certificadas bajo el DPF en www.dataprivacyframework.gov.

10. Datos de categoría especial (convicciones religiosas)

El artículo 9.1 del RGPD prohíbe, con carácter general, el tratamiento de datos que revelen convicciones religiosas, salvo que concurra alguna de las excepciones del apartado 2. En nuestro caso, la base legitimadora es la prevista en la letra a): consentimiento explícito del interesado.

10.1 Consentimiento explícito

Al registrarte en la Aplicación y marcar la casilla correspondiente, otorgas tu consentimiento libre, específico, informado e inequívoco para que tratemos tus datos religiosos (intenciones de oración, conversaciones con el chat de fe, diario espiritual, actividades devocionales) con el fin de prestarte el servicio espiritual solicitado.

10.2 Finalidad estricta

Estos datos se tratan exclusivamente para:

• Guardar tus intenciones, reflexiones y progreso espiritual en tu cuenta.
• Generar respuestas personalizadas del Compañero en Fe (chat IA).
• Mostrarte estadísticas, logros y recordatorios en línea con tu camino de fe.
• Permitir, si así lo decides, compartir oraciones con la comunidad de la Aplicación.

Nunca utilizamos estos datos con fines comerciales, publicitarios ni los cedemos a terceros distintos de los encargados del tratamiento descritos en la sección 4.

10.3 Retirada del consentimiento

Puedes retirar tu consentimiento en cualquier momento eliminando tu cuenta desde Ajustes o escribiendo a nuestro equipo de soporte (dirección en el pie de página). La retirada del consentimiento no afecta a la licitud del tratamiento anterior, pero implicará la imposibilidad de seguir usando las funcionalidades espirituales de la Aplicación.

11. Inteligencia Artificial (Compañero en Fe y reflexiones)

La Aplicación integra el modelo Google Gemini (proporcionado por Google LLC) para ofrecer dos funcionalidades:

1. Un asistente conversacional espiritual denominado «Compañero en Fe».
2. La generación de reflexiones sobre el Evangelio del día.

11.1 Cómo funciona

Cuando envías un mensaje al Compañero en Fe o solicitas una reflexión, tu texto se envía de forma cifrada a los servidores de Google, que devuelven una respuesta generada por el modelo. Nosotros almacenamos la conversación en tu cuenta para que puedas consultarla más adelante.

11.2 Garantías

• No entrenamiento del modelo: conforme a las condiciones del uso comercial de la API de Gemini, Google no utiliza tus conversaciones para entrenar ni mejorar sus modelos de IA.
• Retención en Google: los datos enviados a la API se retienen temporalmente por Google con fines de seguridad y abuso (máximo 55 días) y después se eliminan.
• Sin elaboración de perfiles automatizados: las respuestas de la IA son orientativas y no producen efectos jurídicos ni significativos en el usuario (Art. 22 RGPD).
• Supervisión pastoral: la Aplicación advierte claramente de que el asistente es una herramienta técnica y no sustituye la dirección espiritual humana, la confesión sacramental ni el consejo de un sacerdote.

12. Cookies y almacenamiento local

La Aplicación utiliza exclusivamente cookies y almacenamiento local de carácter técnico o estrictamente necesario, que no requieren consentimiento previo conforme al artículo 22.2 de la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI-CE).

• No utilizamos cookies publicitarias.
• No utilizamos cookies de analítica de terceros (Google Analytics, Meta Pixel, etc.).
• No utilizamos cookies de tracking ni fingerprinting.

Puedes consultar el detalle completo de cookies y tecnologías similares en nuestra Política de Cookies.

13. Cambios en esta Política de Privacidad

Nos reservamos el derecho a modificar esta Política de Privacidad cuando sea necesario para adaptarla a novedades legislativas, jurisprudenciales o a nuevas funcionalidades de la Aplicación. En tales casos:

• Notificaremos los cambios sustanciales con una antelación mínima de 30 días naturales, mediante correo electrónico a la dirección facilitada y un aviso destacado dentro de la Aplicación.
• La fecha de última actualización figura al inicio del documento.
• Conservaremos versiones anteriores durante al menos 3 años para acreditar la trazabilidad del tratamiento.
• Si no estás de acuerdo con los cambios, podrás cancelar tu cuenta antes de su entrada en vigor.

14. Contacto y reclamaciones

15. Información sobre suscripciones Premium

La Aplicación ofrece una suscripción opcional denominada «Premium» con las siguientes características:

• Precio mensual: 4,99 € IVA incluido.
• Precio anual: 49,99 € IVA incluido.
• Derecho de desistimiento: conforme a los artículos 102 y ss. del Real Decreto Legislativo 1/2007 (TRLGDCU), dispones de 14 días naturales desde la contratación para desistir sin necesidad de justificación, salvo que hayas comenzado a disfrutar del contenido digital habiendo renunciado expresamente a este derecho.
• Cancelación: puedes cancelar la renovación automática en cualquier momento desde Ajustes → Suscripción, o directamente en el panel de cliente de Stripe.
• Reembolsos: los reembolsos fuera del plazo de 14 días se evalúan caso por caso según la normativa de consumo aplicable.

16. Legislación aplicable y jurisdicción

Esta Política de Privacidad se rige por:

• El Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos (RGPD).
• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
• El Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU).

Para la resolución de cualquier controversia serán competentes los Juzgados y Tribunales de Sevilla (España), salvo que la normativa tuitiva de consumidores disponga otro fuero. Los consumidores residentes en la UE también pueden recurrir a la plataforma europea de resolución de litigios en línea: ec.europa.eu/consumers/odr.