Cómo cuidamos tus datos

Lista de espera del sitio

Si te anotás en la landing, guardamos el email y que vino de la landing. Lo usamos para avisarte cuando la app abra: un mail, sin una cadena de novedades. El alta está en la base de Huellita, en San Pablo (Brasil). Podés pedir el borrado escribiendo a hola@huellita.pet.

La landing carga tipografías desde Google Fonts, animaciones desde cdnjs (GSAP) y un efecto desde jsDelivr (canvas-confetti). Esas cargas las hace tu navegador directo con esos sitios. La página de la chapita no usa esos servicios: las letras salen de huellita.pet.

Chapita y aviso de búsqueda

Borrador pendiente de revisión legal. [Texto legal pendiente: sección de la chapita]

Qué se muestra. Quien escanea el QR entra a una página de huellita.pet. Ahí se ve solo lo que la familia dejó público: el nombre de la mascota, la palabra de la especie, la palabra de la raza, la nota pública y la foto si hay una versión publicada. Si está perdida, también la zona, desde cuándo y el mensaje del aviso. El teléfono de la familia aparece como botón de WhatsApp o de llamada solo si hay un aviso de modo perdido activo, la familia prendió «Mostrar mi número» y hay un número guardado con al menos un botón. Esa página no muestra el nombre, el mail ni la dirección de la familia, ni el sexo de la mascota, ni identificadores internos.

Qué guardamos de quien encuentra. El mensaje (de 3 a 500 caracteres), el tipo («está conmigo», «la vi» u «otra cosa») y el teléfono o el mail si lo escribe (hasta 80 caracteres). Eso le llega solo a la familia y no se publica en la página. La zona, si la comparte: se pide solo con un toque y con el permiso del navegador, nunca por IP; se redondea a dos decimales en el navegador y otra vez en el servidor, y la precisión se guarda redondeada a 100 metros. Una por visita.

Quien visita se reconoce con un número al azar que la página guarda en ese navegador. No es una cuenta. La misma persona, en menos de 30 minutos, sigue en la misma visita. Cada visita a la ficha tiene un código de 4 números, para que la familia pueda pedirlo y buscarlo en sus avisos. La página del afiche no avisa al abrirse: suma una vista, una por visitante cada 30 minutos. La visita del afiche se crea cuando alguien escribe o comparte la zona.

En esta versión provisoria del sitio, ese número al azar viaja al servidor para agrupar la visita. El límite anti-abuso mira la IP un rato, en memoria del servidor, y no la guarda en la base. La versión prevista guarda solo una firma de ese número, con una clave propia, y no guarda la IP ni el navegador. [Texto legal pendiente: la firma del navegador]

Para qué. Para avisarle a la familia que escanearon la chapita, que le escribieron o que compartieron una zona, y para el código de visita. Los avisos de la app no llevan el texto del mensaje, la zona, el contacto ni los códigos.

Quién lo ve. La familia de esa mascota. Quien está bloqueado no deja visita ni mensaje guardado. Si denuncian un mensaje, deja de verse para la familia en el momento. El equipo de Huellita ve las denuncias para revisarlas.

Vista previa. «Ver la ficha» y «Ver la página del aviso» piden un pase de 15 minutos y abren la dirección con ?vista=. Con un pase válido, la visita no se cuenta y el formulario no manda nada. Un ?vista= que no valida se trata como una visita común.

El número de la familia. Cada vez que se prende «Mostrar mi número» queda un consentimiento (propósito public_contact, con la mascota, la versión del texto y la fecha). El texto de ese consentimiento es un borrador, versión borrador-1, hasta la revisión legal. Apagarlo, terminar el modo perdido o cambiar el número mientras se muestra anota el retiro y el número se oculta.

Por cuánto tiempo. Es una propuesta, la confirma el abogado:

• Visita sin zona ni mensaje (fecha, chapita, código de visita): 90 días.
• Zona compartida, mensaje, contacto y firma del visitante: 30 días; si la mascota estaba perdida, hasta 7 días después de que aparece, lo que pase último.
• Aviso de modo perdido: la zona y el mensaje se borran 30 días después de terminado; quedan las fechas y el resultado.
• Bloqueos de visitantes: 180 días.
• Pases de vista previa: 15 minutos.
• Denuncias: 12 meses desde que se resuelven.
• Consentimientos de la familia: con la cuenta.

La limpieza diaria corre a las 4:00 de Argentina. [Texto legal pendiente: la tabla de plazos]

Turnstile. La spec prevé una verificación de Cloudflare para comprobar que quien manda un mensaje es una persona. En este sitio todavía no está activa: hace falta una cuenta de Cloudflare. Hoy el anti-abuso es un campo trampa y un límite de pedidos. [Texto legal pendiente: Turnstile y los registros de los proveedores]

Dónde. En la base de Huellita, en San Pablo (Brasil), y en el sitio hospedado en Vercel. Brasil no figura entre los países con protección adecuada. [Texto legal pendiente: base de la transferencia a Brasil y a Estados Unidos, con Supabase, Vercel, Cloudflare, Google y Apple]

Junto al formulario y a la ubicación, la ficha muestra un aviso corto con el mismo marcador: el mensaje y el contacto le llegan solo a la familia y se borran a los 30 días, y la zona también.

Paseos

Borrador pendiente de revisión legal. [Texto legal pendiente: sección de paseos]

Qué guardamos: de cada paseo grabado con mapa, el recorrido (los puntos del GPS, simplificados), el horario, la duración, la distancia y el huso horario del teléfono; de todos los paseos, las mascotas que fueron; y la meta diaria de cada mascota.

Para qué: para mostrarte el historial, la meta y la racha de cada mascota. El aviso de las 19, si ese día no salió, se calcula en el teléfono.

Quién lo ve: solo vos, con tu cuenta. Nadie más puede ver tus paseos, y nunca se publican ni se comparten solos. No se comparten con el Parque ni con el asistente. Los nombres de los paseos salen de la hora: no se manda la ubicación a un servicio de geocodificación.

Por cuánto tiempo: hasta que borres el paseo o tu cuenta, desde la app. Borrar una mascota borra los paseos en que fue sola; los que hizo con otra mascota quedan.

Dónde: en los servidores de Huellita, en San Pablo (Brasil), como el resto de los datos desde la tanda 1. Brasil no figura entre los países con protección adecuada. [Texto legal pendiente: consentimiento expreso o cláusulas modelo]

El mapa: lo dibuja OpenFreeMap (Hungría), que recibe la dirección IP de tu teléfono y la zona del mapa que mirás. Según su política, los registros de acceso no guardan la IP, los de errores sí, se borran a los 7 días y los pedidos pueden pasar por Cloudflare. La pantalla «Datos de mapas y lugares» también nombra a OpenMapTiles.

Cómo se borra: desde la app, en el detalle del paseo, «Borrar paseo», o en Perfil, «Eliminar cuenta». Antes de pedir la ubicación, la app muestra una hoja que dice qué usa, cuándo y quién lo ve. [Texto legal pendiente: si ese consentimiento se registra con un propósito]

En la etiqueta de privacidad de Apple, la ubicación precisa de los paseos va como recolectada, vinculada a la persona y para el funcionamiento de la app.

Parque

Borrador pendiente de revisión legal. [Texto legal pendiente: sección de Parque]

Qué guardamos. Si entrás al Parque: que aceptaste sus normas y que tenés 18 años o más; tus plazas (de 1 a 3); los avisos de «voy» y «estoy» con la plaza y el horario; el perfil público de cada perro que decidas mostrar (nombre, foto, tamaño, rasgos, «Sobre» y, si lo elegís, raza, edad, sexo, vacunas al día y tus plazas); los saludos, las amistades entre perros y las juntadas que armás o a las que te sumás; y las denuncias, los bloqueos y lo que ocultes.

Qué no guardamos ni mostramos. Tu ubicación exacta ni la del teléfono: la app usa una posición redondeada a unos 1 km solo para buscar plazas cerca, y no la guarda. Tu nombre, tu mail ni dónde vivís no se muestran nunca a otras personas.

Para qué. Para que las familias con perros de tu barrio sepan quién está en la plaza, se saluden y armen juntadas, y para cuidar que el Parque sea un lugar seguro.

Quién lo ve. La cantidad de perros en una plaza, cualquier persona del Parque. Los nombres y las fotos de tus perros, solo quienes tienen perfil público y plazas a 5 km de las tuyas (o amigos y perros que se saludaron). Nadie ve nada de una cuenta que lo bloqueó o que bloqueó.

Quién más lo procesa. Antes de mostrar una foto, Anthropic, PBC, en Estados Unidos, revisa por cuenta de Huellita que sea de un perro y que no tenga personas. Guarda la foto hasta 30 días y no la usa para entrenar sus modelos. Si la revisión duda, la mira una persona del equipo de Huellita.

Cuánto tiempo. Los avisos, 24 horas después de terminar (queda solo una cuenta anónima por hora, 8 semanas). Los saludos, 90 días. Las juntadas, 30 días después de la fecha. El perfil, su foto y las amistades, hasta que lo apagues, salgas del Parque o borres la mascota o la cuenta. Una foto rechazada se borra enseguida. Las denuncias y sus copias, 12 meses después de resueltas. Son plazos provisorios.

Dónde. En la base de datos de Huellita, en Brasil, y en Anthropic, en Estados Unidos (solo las fotos que se revisan).

Cómo borrarlo. En Perfil › «Parque» › «Salir del Parque» se apagan los perfiles de tus perros y se borran tus avisos, saludos, amistades y plazas. Cada perfil se apaga en «Perfil en el Parque» de su perro.

[Texto legal pendiente: responsable de la base, derechos y leyenda de la AAIP]

Asistente con IA

Borrador pendiente de revisión legal. [Texto legal pendiente: sección del asistente]

Qué guardamos. Los mensajes de cada consulta, las fotos que mandás, las respuestas del asistente y la copia del carnet de tu mascota con la que empezó la consulta. Además, cuántos mensajes y fotos usó cada cuenta por día, sin su contenido.

Para qué. Para orientarte sobre la salud de tu mascota. El Asistente Huellita es una inteligencia artificial, no un veterinario: no diagnostica ni receta.

Quién lo ve. Solo tu cuenta. El equipo de Huellita ve una copia de la consulta únicamente cuando reportás una respuesta, para revisarla.

Quién más lo procesa. Anthropic, PBC, en Estados Unidos, por cuenta de Huellita y solo si antes aceptaste «Antes de empezar». No lo usa para entrenar sus modelos y lo borra dentro de los 30 días, o hasta 2 años si su sistema lo marca por un posible abuso.

Cuánto tiempo. Las consultas, hasta que las borres o elimines la mascota o la cuenta. Las fotos, 30 días. El uso por día, 13 meses. Las denuncias, 12 meses desde que se resuelven, o hasta que se elimina la cuenta de quien denunció.

Dónde. En la base de datos de Huellita, en Brasil, y en Anthropic, en Estados Unidos.

Cómo retirar el permiso y borrar todo. En Perfil › «Asistente con IA»: «Dejar de usar el asistente» y «Borrar todas mis consultas».

En la etiqueta de Apple, las fotos y los textos de la consulta van como contenido del usuario, para el funcionamiento de la app. No se marcan como salud de la persona.

[Texto legal pendiente: responsable de la base, derechos y leyenda de la AAIP]

Cerca: lugares, reseñas y beneficios

Borrador pendiente de revisión legal. [Texto legal pendiente: sección de Cerca y de la tienda]

Los lugares y las plazas salen de OpenStreetMap. Si un lugar es de un partner, la fila queda marcada para que el importador no la pise. El WhatsApp de un partner no se importa de OpenStreetMap: es del partner. No hay compra dentro de la app. Los beneficios son descuentos en servicios físicos, y la tienda abre el sitio del comercio.

Qué guardamos de la cuenta. El nombre con el que firmás una reseña de Cerca. Los eventos de un lugar: si apareció en la lista, si abriste la ficha, y si tocaste WhatsApp, llamada, cómo llegar, la web o Instagram. Los eventos de la tienda: si viste un producto y si saliste al sitio. Van unidos a la cuenta unos 13 meses; al eliminar la cuenta, el id queda vacío. El partner ve totales, no nombres. La tienda no guarda la URL, el precio ni la ubicación.

Qué no guardamos. La ubicación de Cerca se usa redondeada para buscar y no se guarda en el servidor. El último punto de búsqueda queda en el teléfono, redondeado. La app no lee la agenda: «contacto con un partner» abre WhatsApp, el teléfono o el mapa, y el evento guarda el tipo de toque, no un contacto. No pedimos domicilio. La zona de un paseador es del local, no de la cuenta.

Las reseñas se pueden denunciar. [Texto legal pendiente: plazos de reseñas, beneficios y datos del partner]

Avisos y notificaciones

Borrador pendiente de revisión legal. [Texto legal pendiente: sección de avisos]

La app guarda un token de push por teléfono, con la plataforma (iOS o Android) y la versión de la app, para entregarle avisos a esa cuenta. No es para publicidad. Si el token estaba en otra cuenta, pasa a esta. Hay hasta 10 por cuenta: el más viejo sale. Se borra al cerrar sesión, con la cuenta, o a los 270 días sin uso.

Cada aviso queda en la bandeja aunque la push no salga. La bandeja se conserva 90 días. El envío lo hace Firebase Cloud Messaging (Google), con una cuenta de servicio que solo puede mandar mensajes. No usamos Crashlytics ni Firebase Analytics. El SDK de mensajería puede declarar, además del token, un identificador del dispositivo, datos de diagnóstico y otros datos: eso se copia de la página de Firebase el día de cargar la etiqueta, y nada más.

Hay un horario de silencio de 22:00 a 8:00, hora argentina, para los tipos que lo usan. Los de la chapita y el modo perdido no esperan ese horario. Los textos son genéricos: puede ir el nombre de la mascota; no van nombres de personas, mensajes de desconocidos, zonas ni teléfonos. Cerrar sesión borra el token de ese teléfono en el servidor y en Firebase. El sitio de la chapita no junta este token: lo junta la app.

La cuenta

La cuenta entra con Apple. Guardamos el identificador de la cuenta, el nombre que da Sign in with Apple una sola vez, y el mail de Apple (puede ser Ocultar mi correo) o el de una cuenta de prueba que entra con mail. El mail no se usa para marketing. El refresh token de Apple se guarda solo para revocar Sign in with Apple al eliminar la cuenta, y se borra con ella.

Escribir a hola@huellita.pet abre el mail del teléfono. La app no guarda ese correo.

Mapas y datos abiertos

El mapa de la app usa el estilo Positron de OpenFreeMap. Los lugares y las plazas son una base derivada de OpenStreetMap, bajo la Open Database License (ODbL). En la app, el pie dice «Datos © colaboradores de OpenStreetMap, bajo la licencia ODbL» y abre openstreetmap.org/copyright. «Datos de mapas y lugares» nombra a OpenFreeMap y a OpenMapTiles, y ofrece «Descargar los datos de lugares y plazas (ODbL)».

La descarga publica lugares y plazas (nombre, categoría o tipo, coordenadas o polígono, dirección, origen y la referencia de OpenStreetMap, entre otros campos de esa exportación). No incluye paseadores, lugares de prueba, lugares ocultos o dados de baja, plazas inactivas, ni lo de Huellita: partners, WhatsApp de partners, fotos, beneficios, canjes, reseñas, puntajes, eventos y números.

OpenFreeMap, al mirar el mapa, recibe la IP del teléfono y la zona que se está viendo. Según su política, los registros de acceso no guardan la IP y los de error se borran a los 7 días. No se declara como una ubicación recolectada por la app.