Kylala · Política de privacidad

La letra pequeña, en palabras claras

Política de privacidad

En vigor desde el ⟨fecha de esta versión⟩ · versión anterior del 5 de agosto de 2026 · se aplica a la app en app.kylala.com y a este sitio web.

Kylala existe para que los vecinos puedan ayudarse sin entregar su vida a una máquina de anuncios. Esta página dice exactamente qué guardamos, qué no llega nunca a nuestros servidores, con qué servicios habla tu navegador y cómo llevártelo todo de vuelta. Está escrita para leerse.

Esta es una traducción de cortesía de la política de privacidad en inglés, publicada en https://kylala.com/privacy/. Si alguna vez difieren, prevalece la versión en inglés.

La versión corta

• Sin nombres reales: un apodo y una cara generada; el perfil no tiene campo para el nombre real; el nombre de pila se comparte por conversación, o nunca.
• Sin anuncios, sin analítica, sin rastreadores, sin cookies, sin venta de datos, ni en el sitio web ni en la app.
• Sin feed que recorrer y sin archivo: un mapa de pedidos abiertos y la lista debajo; nada se ordena para engancharte; los pedidos desaparecen a los 14 días.
• Sin sección de crímenes y miedo: un aviso a la calle es una noticia práctica, nunca una alerta sobre personas.
• Sin número de teléfono, correo nunca compartido: los vecinos ven un apodo y una cara generada, nunca tu correo ni tu número. Tu correo nunca se guarda en los servidores de Kylala; de un inicio de sesión con Google o correo solo guardamos un identificador opaco del proveedor, nada más.
• Sin precios, valoraciones, insignias de profesional ni posiciones de pago en ninguna parte, tampoco en las ofertas («Tus ofertas»).
• Sin avisos que no pediste: solo suena cuando alguien te está esperando, o cuando salta un aviso de interés que tú activaste, dos al día como mucho.
• Sin tienda de aplicaciones: se instala desde el navegador.

Eliminar tu cuenta es inmediato, y hace lo que dice.

Quién es el responsable

El servicio lo opera Kylala (el «nosotros» de esta página), responsable del tratamiento de todo lo que aquí se describe: un proyecto incipiente, llevado por su fundador, que se presenta en la página Equipo. Para cualquier asunto de privacidad (preguntas, solicitudes, reclamaciones), escribe a [email protected].

Qué guardamos cuando te unes

Al entrar se te pide un inicio de sesión (Google o una dirección de correo) y un apodo; ni número de teléfono ni nombre real. El servidor guarda un ID de cuenta aleatorio, tu apodo, dos números que generan tu retrato y, del inicio de sesión, un identificador opaco del proveedor: nunca tu correo, que se lee del token de inicio de sesión en tu dispositivo y solo se te muestra a ti, en tu perfil. Una cuenta de invitado (una calle que funciona sin proveedor de inicio de sesión) guarda en su lugar un hash del secreto de dispositivo que hace de llave: el secreto se emite exactamente una vez, a tu dispositivo; solo se guarda su hash, así que no podríamos recuperarlo ni reutilizarlo por ti (para eso está la clave de recuperación).

Tu pin de casa. Se guarda exactamente como lo envía tu dispositivo: exacto por defecto, o difuminado unos 50 m en tu móvil antes de enviarse, cuando activas el difuminado. Los demás vecinos nunca ven tu pin de casa: ninguna respuesta de la API lleva la casa de otro vecino. Lo que ven son los pines de tus pedidos, colocados con la misma elección de precisión, y rangos de distancia aproximados en Manos cerca, calculados sobre una copia de tu casa degradada a propósito.

Tu dirección. Al entrar se te pide una dirección real (calle, número, código postal, ciudad). Se comprueba con el geocodificador de OpenStreetMap al entrar, se guarda tal como la escribiste si el mapa aún no la conoce, y la devuelve exactamente una respuesta de la API: tu propio perfil. Ningún otro endpoint incluye la dirección de ningún vecino, y el centro de control tampoco la muestra.

Dispositivos vinculados. Cada dispositivo que vinculas guarda su propio secreto con hash; el servidor conserva ese hash y el día en que se unió. Los códigos de vinculación se guardan con hash, valen diez minutos, sirven una sola vez y se pueden cancelar. La lista Dispositivos, en Ajustes, muestra un identificador y un día, nunca una dirección IP, un navegador, un nombre o una ubicación. Quitar un dispositivo lo desconecta la próxima vez que se conecte.

Si inicias sesión con Google o con correo. Esas identidades las gestiona Auth0 (Okta Inc.), nuestro proveedor de inicio de sesión. Nuestro servidor recibe el token de sesión firmado, verifica su firma, guarda la cadena de sujeto opaca (como google-oauth2|…) y, en el primer registro, lee una sola vez el dato del nombre para sugerirte un apodo. Nada más del token se analiza, se registra ni se guarda: el correo que viaja dentro pasa por la verificación y se descarta; no existe columna para él. El que ves en tu Perfil se lee del token en tu dispositivo.

Una calle de demostración con vecinos inventados; algunas pantallas siguen en inglés.

Qué guardamos mientras la usas

• Pedidos: categoría, título, texto, el pin que colocaste (misma regla de precisión que tu pin de casa), foto opcional y, para cuidar la casa, fechas de ausencia opcionales (en la calle, visibles solo para el vecino que aceptas y los vecinos avalados; en un círculo, para sus miembros).
• Manos alzadas en los pedidos: dos identificadores y tres relojes por mano alzada (quién, en qué pedido, cuándo se alzó, cuándo se aceptó, cuándo se dio por hecho); nunca una nota, un motivo o una puntuación. Una mano que termina se borra, no se marca. Quién puso fin a un compromiso queda escrito solo en las filas que las personas implicadas leen en Notificaciones.
• Conversaciones: mensajes, fotos opcionales y las marcas de tiempo de lectura, visibles solo para la persona con la que hablas. Si eliges firmar una conversación con tu nombre real, ese nombre vive solo en esa conversación, y solo porque tú lo escribiste. Es el único lugar de Kylala donde puede existir un nombre real, y se borra si tu cuenta desaparece.

  

• Ofertas: hasta tres etiquetas cortas y una línea, el único texto público que escribes sobre ti, a propósito. Manos cerca se calcula a partir de casas ajustadas a una cuadrícula, nunca de coordenadas exactas, y las distancias salen del servidor en rangos aproximados. Una oferta que nadie confirma se duerme tras 90 días de silencio.
• Registro de notificaciones: una fila por evento: identificadores, un tipo, parámetros enumerados y relojes. Nunca un título, una nota, un nombre, un pin, una dirección, un motivo o un moderador: las palabras se unen cuando lees la fila, y solo para las personas que pueden verlas. Las filas desaparecen a los 30 días.
• Origen de las conversaciones: si una conversación empezó desde una oferta, una sola columna opcional, usada solo para recuentos agregados.
• Fotos: comprimidas en tu dispositivo hasta unos 350 KB antes de subirse, guardadas junto al contenido al que pertenecen y borradas cuando eliminas ese contenido (o tu cuenta). Se sirven desde enlaces imposibles de adivinar; las descargas nuevas se cortan en cuanto el contenido se elimina o se modera, y las cachés caducan en menos de una hora.
• Presencias: la verificación amable. Tu dispositivo envía una posición GPS; el servidor la compara con tu pin y guarda como evidencia solo un punto ajustado a una cuadrícula (~55 m) más el radio de precisión que declaraba la señal, como mucho una al día. La posición en bruto se descarta, y los puntos de presencia no se muestran nunca en ninguna parte.
• Push: si activas las notificaciones, guardamos el endpoint push de tu navegador, sus claves de cifrado y tu franja de horas de silencio. El contenido de los mensajes va cifrado hacia tu navegador; el servicio push que hay en medio no puede leerlo.
• Bloqueos, denuncias, apelaciones: a quién bloqueaste (visible solo para ti), qué denunciaste y por qué (visible para moderación), y lo que escribiste si apelas una expulsión.
• Gracias: un contador de los agradecimientos recibidos.
• Una marca aproximada de última actividad: actualizada como mucho una vez cada cinco minutos, visible solo para quien administra la calle (nunca para los vecinos) y puesta a cero cuando tu cuenta desaparece.

Los pedidos y los anuncios se desvanecen de la calle a los 14 días: el mapa no guarda ningún archivo del pasado de la calle que alguien pueda repasar. Al eliminar uno tuyo, su texto, su pin y su foto se borran en el acto; lo único que queda unido a tu cuenta hasta que la cuenta desaparece es la marca en blanco que los demás teléfonos necesitan para retirarlo.

Qué no llega nunca a nuestros servidores

• Tu correo y tu número de teléfono nunca se guardan: no existen columnas para ellos, y el token de sesión en el que viajan se descarta en cuanto su firma queda comprobada.
• Tu nombre real nunca se pide: solo puede existir donde tú mismo lo escribiste: una conversación que elegiste firmar, o la sugerencia de apodo de un solo uso de más arriba.
• La vista de tu casa para cualquier otra persona: ningún endpoint devuelve las coordenadas ni la dirección de otro usuario, y punto.
• Posiciones GPS en bruto: se comparan, se ajustan a una cuadrícula de ~55 m y solo se guarda el punto ajustado.
• Huellas de dispositivo, identificadores publicitarios, píxeles de rastreo: ninguno, en ninguna parte.

Las direcciones IP, en corto y con franqueza

Como todo sitio web, nuestra infraestructura ve tu dirección IP cuando tu dispositivo se conecta. La usamos en exactamente una forma almacenada: un contador de límite de intentos en los endpoints de inicio de sesión y registro, para que nadie pueda aporrear la puerta a base de intentos. Esos contadores se indexan por IP, se barren automáticamente y viven como mucho ~31 días. Nuestro registro de errores (que existe para poder arreglar los fallos) no guarda a propósito ni IP, ni ID de usuario, ni URL, ni contenido de mensajes: solo qué ruta falló y por qué. Kylala funciona sobre Cloudflare, que procesa datos de conexión (IPs incluidas) para entregar y proteger el servicio, como cualquier proveedor de alojamiento.

Los servicios con los que habla tu navegador

Mantenemos a los terceros en el mínimo que una app con mapa puede tener. Este sitio web sirve sus propias tipografías y no ejecuta ninguna analítica. Cuando usas Kylala, tu navegador habla directamente con:

• OpenFreeMap: el mapa en sí. Descargar las teselas revela tu IP y las zonas que miras (normalmente tu propia calle) al servidor de teselas. OpenFreeMap es un proyecto libre y abierto cuya política de privacidad declara que no almacena direcciones IP en sus registros habituales; la app además guarda teselas en tu dispositivo para reducir las consultas al servidor.
• Esri (ArcGIS World Imagery): solo si activas la capa satélite; misma mecánica de teselas.
• Nominatim (OpenStreetMap Foundation): comprobaciones puntuales de dirección: cuando confirmas tu dirección o mueves tu pin, la dirección que escribiste y la zona donde está el pin se envían para validarlas; nuestro servidor repite la misma comprobación puntual por su lado, sin tu IP. Nunca se usa mientras tecleas. La política de privacidad de la OSMF rige esas consultas.
• Photon (un geocodificador libre de komoot): el autocompletado de direcciones: mientras tecleas tu propia dirección durante el registro o una mudanza, se envían las letras escritas hasta el momento y un recuadro de búsqueda de unos kilómetros alrededor de tu pin para sugerirte cómo completarla. Photon no publica declaración de privacidad propia, así que a cambio te contamos exactamente qué recibe.
• Auth0: solo cuando eliges un método de inicio de sesión; en ese momento estás en su página, y en las de Google si eliges Google.
• El servicio push de tu navegador (Google, Apple o Mozilla, según el navegador): solo si activas las notificaciones; los contenidos van cifrados de extremo a extremo hasta tu navegador.

En la demo autocontenida (la app sin cuenta), nada sale de tu dispositivo salvo las teselas del mapa.

Dónde viven los datos

La base de datos y los servidores propios de Kylala funcionan en la red de Cloudflare. Cloudflare, Inc. es una empresa estadounidense que procesa datos de conexión a escala global bajo su adenda de tratamiento de datos (cláusulas contractuales tipo de la UE; Cloudflare además está certificada bajo el Marco de Privacidad de Datos UE–EE. UU.). Las identidades de inicio de sesión viven en nuestro tenant de Auth0, alojado en Estados Unidos, un hecho que decimos a las claras en vez de enterrarlo: si usas Google o el inicio de sesión con correo, esa identidad (y los registros de seguridad de Auth0, que incluyen IPs) se procesa en EE. UU. bajo la certificación propia de Auth0 en el Marco de Privacidad de Datos UE–EE. UU. Las cuentas de invitado no pasan por Auth0 en absoluto.

Cuánto tiempo guardamos las cosas

Los pedidos desaparecen a los 14 días; las filas de notificaciones, a los 30; las ofertas se quedan hasta que las quitas y se duermen tras 90 días de silencio; los códigos de vinculación viven diez minutos y luego se barren; los contadores de límite de inicio de sesión viven como mucho unos 31 días. Los mensajes aún no pueden borrarse de uno en uno; eliminar tu cuenta los elimina.

• Tu cuenta y su contenido: hasta que los elimines.
• Pedidos y anuncios: se muestran 14 días y se conservan hasta que los borras tú, los borra moderación o se van con tu cuenta.
• Denuncias, apelaciones y el registro de moderación: mientras hagan falta para mantener la calle segura.
• Huellas de fallos (sin datos personales): hasta que el error se arregla y la fila se limpia.
• Fotos: mientras exista el contenido al que pertenecen, y ni un momento más.

Eliminar tu cuenta

Perfil, Ajustes, Eliminar la cuenta. Es inmediato y borra de verdad: tus pedidos, manos alzadas, ofertas, conversaciones, fotos, filas de notificaciones, dispositivos y códigos de vinculación se van con ella; tus círculos pasan al siguiente anfitrión o se cierran. Lo único que los demás vecinos conservan es la marca en blanco que sus móviles necesitan para retirar lo que era tuyo. Si prefieres que lo hagamos nosotros, o quieres que también se elimine tu registro de inicio de sesión en Auth0, escribe a [email protected].

Cuando nos escribes

El correo a [email protected] se reenvía mediante Cloudflare Email Routing a un buzón alojado por Google (en EE. UU., bajo el mismo Marco de Privacidad de Datos). Lo lee un humano, se usa solo para atender tu mensaje y nunca acaba en ninguna lista.

Tus derechos

Kylala se opera desde Ginebra, Suiza, así que la Ley federal suiza de protección de datos (LPD) rige el tratamiento de tus datos vivas donde vivas. Si vives en la Unión Europea, también se aplica el RGPD. Con cualquiera de las dos leyes puedes pedir acceso a tus datos, su corrección, su eliminación, la limitación del tratamiento, una copia portable, u oponerte al tratamiento: escribe a [email protected] y responderemos en el plazo de un mes. Casi todo es más rápido en la app: tu perfil muestra lo que tenemos, y la eliminación es autoservicio. También puedes reclamar ante una autoridad de control: en Suiza, el Comisionado federal de protección de datos y transparencia (PFPDT); en la UE, la autoridad de tu país.

Las bases legales en las que nos apoyamos: la ejecución del servicio que nos pediste (mantener tu cuenta y tu calle, incluidas las comprobaciones de dirección y las teselas de mapa que eso requiere), nuestro interés legítimo en mantener el servicio seguro (límites de intentos, moderación, registros de fallos) y tu consentimiento allí donde lo das (las notificaciones, el permiso de ubicación del navegador; ambos revocables en cualquier momento, en el mismo sitio, sin que nada más se vea afectado).

Cookies

No ponemos cookies, ni en este sitio web ni en la app. Si inicias sesión con Google o con correo, el proveedor de inicio de sesión (Auth0) pone las suyas en su dominio y envía sus propios correos de verificación y de restablecimiento.

Menores

Kylala no está dirigida a menores ni pensada para nadie de menos de 15 años.

Cuando esta página cambie

Fechamos cada revisión en la parte de arriba de esta página y dejamos la fecha anterior al lado. Un cambio que ampliara lo que guardamos se anunciaría dentro de la app antes de entrar en vigor.