Política de Privacidad

Última actualización: 27 de julio de 2026

Este documento es un borrador pendiente de revisión legal. Las secciones marcadas con [corchetes] todavía no están completas.

1. Qué datos recopilamos

Categoría	Datos específicos	Para qué se usa
Datos de cuenta	Email, teléfono verificado, contraseña (hasheada)	Autenticación
Datos de perfil	Nombre, fecha de nacimiento, género, orientación, fotos, respuestas a prompts, intereses	Mostrar tu perfil a otros usuarios
Datos biométricos	Embedding facial (vector, no imagen) generado durante verificación de identidad	Verificar que sos una persona real y que coincidís con tus fotos; detectar cuentas duplicadas
Ubicación	Coordenadas GPS (aproximadas para Discover, precisas para funciones de seguridad si las activás)	Mostrar distancia a otros perfiles; activar check-in/pánico
Contactos de confianza	Nombre y teléfono de las personas que designás	Notificarlos en caso de una alerta de seguridad
Comunicaciones	Mensajes de chat	Permitir comunicación entre matches; moderación de contenido
Datos de uso	Interacciones con la app (likes, matches, encuentros)	Funcionamiento del producto, mejora del servicio

Esta es la sección de mayor riesgo legal y requiere la mayor atención de un abogado.

El video de verificación se procesa y se elimina inmediatamente; no se almacena
Se retiene únicamente el embedding facial (una representación matemática, no una imagen reconstruible) mientras la cuenta esté activa
Se elimina dentro de los 30 días posteriores al cierre de la cuenta, salvo obligación legal de retención distinta
[Requiere: texto de consentimiento explícito compatible con BIPA para usuarios de Illinois; evaluar si se necesita opt-in separado y más granular para usuarios de la UE bajo GDPR Art. 9, dado que biometría es "categoría especial" de datos]

AWS (Rekognition, SNS, S3): procesamiento de verificación de identidad, moderación de contenido, envío de SMS — actúan como encargados de tratamiento (processors), no como terceros con uso propio de los datos
Contactos de confianza: reciben tu ubicación y detalles del encuentro únicamente si activás una alerta de seguridad
Venues partner: reciben los datos necesarios para procesar una reserva (nombre, cantidad de personas, fecha/hora) — no reciben acceso a tu perfil completo
Nunca vendemos datos personales a terceros con fines publicitarios

Acceder, corregir, o eliminar tus datos (vía Configuración o solicitud directa)
Usuarios en la UE/España: derechos adicionales bajo GDPR (portabilidad, oposición al tratamiento, derecho a presentar queja ante la autoridad de protección de datos correspondiente — AEPD en España)
Usuarios en California: derechos bajo CCPA/CPRA si aplica según el volumen de usuarios de la empresa
[Completar mecanismo concreto de ejercicio de derechos — email dedicado, formulario, plazo de respuesta]

Dado que operás en EEUU, España, y LATAM con infraestructura en distintas regiones de AWS, hay transferencia internacional de datos entre estas regiones
[Requiere: mecanismo legal de transferencia para datos de usuarios de la UE hacia fuera del EEE — cláusulas contractuales tipo (SCCs) u otro mecanismo válido, revisar con abogado]

Dato	Período de retención
Embedding biométrico	Mientras la cuenta esté activa + 30 días post-cierre
Mensajes de chat	[Definir — mientras el match esté activo, o con límite de tiempo]
Datos de cuenta	Hasta eliminación de cuenta
Registros de moderación (reportes)	[Definir período — considerar necesidad de retención más larga para investigaciones]

Zaffi no está dirigido a menores de 18 años. No recopilamos intencionalmente datos de menores. Si detectamos una cuenta de un menor, será eliminada.

Para preguntas sobre privacidad: [email de contacto/DPO — requerido específicamente en la UE si el volumen de tratamiento de datos lo amerita]