Política de privacidad

Vaeli es un planificador de viajes urbanos. Este documento explica qué datos recoge el servicio sobre ti, para qué, a quién se los da y qué puedes hacer al respecto.

Para cualquier cuestión sobre tus datos, escribe a:

El servicio está dirigido a usuarios de Europa, así que está redactado conforme al Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y teniendo en cuenta la Ley de Georgia de Protección de Datos Personales n.º 3144-XIმს.

Datos que introduces tú:

• el nombre que se muestra en la interfaz;
• tu correo electrónico, que es también tu usuario;
• la contraseña: se guarda solo como hash, del que no puede recuperarse la contraseña;
• los viajes: ciudades, fechas, ritmo, lugares elegidos y el orden de la ruta;
• los parámetros del viaje: intereses, nivel de presupuesto, composición del grupo y, si los indicas, las edades de los niños;
• el texto de tu petición, si pides una ruta con tus propias palabras;
• valoraciones y reseñas de viajes, si las dejas.

Datos que aparecen por sí solos:

• dirección IP, tipo de navegador y dispositivo, hora de acceso;
• eventos dentro del servicio —crear un viaje, generar una ruta, errores— para ver qué se rompe y qué se usa;
• cookies y almacenamiento local del navegador, véase la sección 8.

El servicio no recoge datos de categorías especiales: salud, creencias, opiniones políticas, origen, vida sexual. Tampoco los pongas en las peticiones de texto: el texto libre va al proveedor de modelos lingüísticos.

El servicio todavía no acepta pagos, así que no existen datos de pago.

El RGPD exige una base para cada tratamiento. Aquí hay tres.

Ejecución de un contrato (art. 6.1.b): aquello que es el servicio en sí: registro e inicio de sesión, guardar y mostrar tus viajes, construir rutas, generar una ruta, el enlace público a un viaje y responder a lo que nos escribes.

Interés legítimo (art. 6.1.f): seguridad y funcionamiento: protección frente a adivinación de contraseñas y abuso automatizado, limitación de peticiones, diagnóstico de errores y estadísticas anónimas de uso. El interés es que el servicio siga en pie y sin brechas, y el efecto sobre tus derechos es mínimo.

Obligación legal (art. 6.1.c): si hay que conservar o entregar datos por un requerimiento vinculante.

El servicio no vende tus datos ni los cede para la publicidad de otros. Para que funcionen ciertas funciones, los servicios externos reciben el mínimo necesario:

• los servicios de mapas y geocodificación de OpenStreetMap (Nominatim, Overpass) y MapTiler: nombres de lugares y coordenadas de ciudades;
• el servicio de rutas OSRM: coordenadas de los puntos de una ruta;
• el servicio meteorológico Open-Meteo: coordenadas de la ciudad y fechas del viaje;
• el proveedor de modelos lingüísticos OpenRouter (EE. UU.): ciudad, fechas, ritmo, intereses, presupuesto y composición del grupo; en la generación a partir de texto, el propio texto;
• Wikidata y Wikipedia: identificadores y nombres de lugares, para mostrar una foto y un resumen;
• la comprobación de contraseñas Have I Been Pwned: los cinco primeros caracteres del hash SHA-1 de la contraseña; no se envía ni la contraseña ni su hash completo;
• servicios asociados de viajes y reservas: solo al seguir un enlace; el servicio no se entera de lo que compraste allí.

Las cuentas, los viajes y todo el resto del contenido del servicio se almacenan en servidores de Fráncfort (Alemania, Unión Europea). Algunos de los proveedores indicados arriba operan fuera del Espacio Económico Europeo; reciben solo lo que necesita la función concreta: al proveedor de modelos lingüísticos, por ejemplo, se le envían la ciudad, las fechas, el ritmo y los intereses elegidos, pero no tu nombre, tu correo ni el identificador de tu cuenta.

La cuenta y su contenido: mientras exista la cuenta. La eliminas tú, desde los ajustes, y con ella se van los viajes, los lugares, las rutas, las reseñas, las reacciones y todas las sesiones activas.

Sesiones: el token de acceso vive unos 30 minutos y el de refresco 30 días. Ambos se revocan al salir y al cambiar la contraseña.

Los eventos internos del servicio no se borran al eliminar la cuenta, pero se desvinculan de ti: la referencia al usuario se anula y queda una línea anónima del tipo «ese día se generó una ruta por Roma».

Los registros técnicos del servidor duran poco y se sobrescriben a medida que llegan otros.

Según el RGPD puedes:

• saber qué datos hay sobre ti y obtener una copia (art. 15);
• corregir lo inexacto: el nombre y el correo se editan en los ajustes (art. 16);
• suprimir los datos (art. 17): el botón «Eliminar la cuenta y todos los datos» de los ajustes actúa de inmediato, sin correspondencia;
• limitar el tratamiento (art. 18);
• recibir tus datos en un formato legible por máquina (art. 20);
• oponerte al tratamiento basado en el interés legítimo (art. 21);
• retirar el consentimiento donde se haya pedido (art. 7.3); ahora mismo nada funciona con consentimiento: el servicio usa solo lo imprescindible.

Todo lo que no tiene botón se hace escribiendo a info@vaeli.app. Respondemos en el plazo de un mes, como exige el art. 12.3.

Si nuestra respuesta no te satisface, puedes reclamar ante una autoridad de control (art. 77): en tu país de residencia en la UE o el EEE, o ante el Servicio de Protección de Datos Personales de Georgia.

El servicio no está pensado para menores de 16 años y no se crean cuentas para ellos. Las edades de los niños en los parámetros del viaje son información sobre tu grupo, facilitada por ti como usuario adulto, y sirven solo para elegir lugares adecuados.

El servicio solo pone las cookies sin las que no funciona: inicio de sesión, protección contra falsificación de peticiones y el idioma elegido. No hay analítica ni scripts de terceros, así que no hay nada que consentir.

Puedes bloquearlas en el navegador, pero entonces el inicio de sesión deja de funcionar.

La conexión va cifrada (HTTPS). Las contraseñas se guardan como hash con sal. Los tokens de sesión no son legibles por JavaScript, las peticiones que modifican datos están protegidas contra falsificación y los intentos de inicio de sesión están limitados. La base de datos está cerrada a la red externa.

Eso reduce el riesgo, no lo elimina. No reutilices tu contraseña de Vaeli en otros sitios.

Este documento cambiará con el servicio. La versión vigente está siempre en https://vaeli.app/privacy. Los cambios sustanciales no se aplican con efecto retroactivo: lo ya ocurrido se juzga por la versión en vigor entonces.

Última actualización: 26.08.2026