Última actualización : 2026-07-14 — Versión anterior : 2026-06-11
OneForAll Distribution es el responsable del tratamiento de sus datos personales recogidos a través de GeoTag.
Contacto de datos personales: contact@oneforall-distribution.fr
| Dato | Obligatorio | Finalidad | Base jurídica | Conservación |
|---|---|---|---|---|
| Dirección de correo electrónico | Sí | Identificación, comunicación | Ejecución del contrato | Duración de la cuenta + 36 meses |
| Contraseña (con hash bcrypt, 12 rondas) | Sí | Autenticación | Ejecución del contrato | Duración de la cuenta |
| Nombre / Seudónimo | Sí | Visualización en la aplicación | Ejecución del contrato | Duración de la cuenta |
| Foto de perfil | No | Personalización | Ejecución del contrato | Duración de la cuenta |
| Preferencias (intereses) | No | Personalización de los contenidos | Consentimiento | Duración de la cuenta |
| Dato | Finalidad | Base jurídica | Conservación |
|---|---|---|---|
| Geolocalización (etiquetas/trazas) | Situar contenido en el mapa | Ejecución del contrato | Duración del contenido |
| Mensajes privados | Comunicación entre usuarios | Ejecución del contrato | 24 meses (purga automática) |
| Contenido publicado (texto, fotos, audio) | Compartir con la comunidad según 4 modos de visibilidad | Ejecución del contrato | Duración de la cuenta o eliminación por el usuario |
| Lista de contactos recíproca | Selección de los destinatarios de contenidos privados | Ejecución del contrato | Duración de la cuenta |
| Suscripciones (usuarios y administraciones seguidos) | Recibir los nuevos contenidos de las cuentas a las que está suscrito | Ejecución del contrato | Duración de la suscripción (hasta la baja) |
| Datos profesionales (SIREN, horarios) | Perfil profesional | Ejecución del contrato | Duración del perfil profesional |
| Preferencias de notificaciones | Personalización de las alertas | Consentimiento (opt-in u opt-out según el tipo) | Duración de la cuenta |
| Dato | Finalidad | Base jurídica | Conservación |
|---|---|---|---|
| Token de acceso (JWT, en memoria) | Autenticación en cada solicitud | Ejecución del contrato | 15 minutos |
Token de actualización (cookie geotag_refresh, con hash en base de datos) | Mantenimiento de la sesión sin volver a iniciar sesión | Ejecución del contrato | 7 días (rotación en cada uso) |
| Token de actualización revocado | Detección de reutilizaciones (seguridad) | Interés legítimo (forense) | 30 días tras la revocación, luego purga |
| Dirección IP | Seguridad, antiabuso | Interés legítimo | 12 meses |
| Registros de conexión | Seguridad, diagnóstico | Interés legítimo | 12 meses |
| IP y User-Agent asociados a una solicitud de cambio de ciudad gestionada (administraciones) | Trazabilidad antiabuso en una acción sensible (transferencia de gestión de una ciudad) | Interés legítimo | 12 meses tras la resolución de la solicitud |
En caso de restablecimiento de contraseña, cambio de rol o cierre de sesión, todas sus sesiones activas se revocan en menos de 10 segundos en todos los dispositivos.
Recurrimos a encargados del tratamiento para prestar el servicio. Cada uno está sujeto a un Acuerdo de Tratamiento de Datos (DPA) conforme al artículo 28 del RGPD, complementado en su caso por Cláusulas Contractuales Tipo (CCT) o por el Data Privacy Framework (DPF) para las transferencias a Estados Unidos.
| Destinatario | Función | País | Garantías |
|---|---|---|---|
| Render.com | Alojamiento de servidor + base de datos | EE. UU. (servidores UE — Fráncfort) | DPA firmado + CCT + DPF |
| Cloudflare R2 | Almacenamiento multimedia (fotos, audios) | UE (región WEUR) | DPA firmado |
| Google Maps Platform (Google LLC) | Visualización cartográfica, detalle de puntos de interés clicados, búsqueda de direcciones para las rutas, cálculo de rutas | EE. UU. | DPA (Google Cloud) + CCT + DPF |
| OpenAI | Moderación por IA + traducción de texto + síntesis de voz estándar + transcripción | EE. UU. | DPA firmado + DPF (datos no utilizados para el entrenamiento, ZDR) |
| ElevenLabs | Síntesis de voz premium (opción activable por las administraciones) | EE. UU. | DPA (mediante adhesión a las Condiciones del Servicio) + CCT + DPF |
| IONOS | Envío de correos electrónicos transaccionales | Alemania (UE) | DPA firmado — sin transferencia fuera de la UE |
| OpenStreetMap Foundation (Nominatim) | Validación de la existencia de un nombre de ciudad en Francia — principal | Reino Unido | Decisión de adecuación del Reino Unido; solo transita el nombre de ciudad introducido (dato público, ningún dato personal) |
| Komoot GmbH (Photon) | Validación de la existencia de un nombre de ciudad en Francia — respaldo automático si Nominatim no está disponible | Alemania (UE) | Sin transferencia fuera de la UE; solo transita el nombre de ciudad introducido (dato público) |
| Stripe Payments Europe, Ltd. | Cobro con tarjeta bancaria y emisión de facturas para las ofertas Pro / PYME. No afecta a las administraciones (facturación clásica por transferencia / mandato administrativo). Ningún dato de tarjeta bancaria transita por GeoTag (introducción directa en la interfaz segura de Stripe). | Irlanda (UE) | DPA integrado en el Stripe Services Agreement — entidad contratante europea; Stripe cuenta con la certificación PCI-DSS nivel 1 |
Nunca vendemos sus datos personales a terceros. No se muestra publicidad en el servicio. No se despliega ningún seguimiento analítico de terceros (Google Analytics, Facebook Pixel, etc.).
Para la visualización del mapa, GeoTag utiliza el SDK de Google Maps Platform. Cuando utiliza el mapa, su navegador se comunica directamente con los servidores de Google y transmite la siguiente información técnica:
Google actúa como encargado del tratamiento en el sentido del artículo 28 del RGPD. Los datos no son utilizados por Google para el seguimiento publicitario en el marco de nuestro uso (Google Maps Platform, a diferencia de Google Analytics o Google Ads, no reinyecta estos datos en los perfiles publicitarios de los usuarios).
Base jurídica: este tratamiento se basa en la ejecución del contrato (art. 6.1.b del RGPD). GeoTag es una aplicación de cartografía geolocalizada; la visualización de un mapa interactivo es la función principal del servicio que usted ha venido a utilizar. Google Maps es la tecnología que hace posible este servicio. No se requiere ningún consentimiento separado, ya que este tratamiento es estrictamente necesario para la prestación del servicio solicitado.
La transferencia a Estados Unidos está regulada por el DPA de Google Cloud, las Cláusulas Contractuales Tipo de la Comisión Europea y la certificación de Google en el Data Privacy Framework (DPF).
Ningún dato almacenado de su cuenta (etiquetas, contactos, mensajes, preferencias) se transmite nunca a Google. Solo el contexto de visualización del mapa transita por Google.
Cuando introduce un nombre de ciudad (registro como administración, solicitud de cambio de ciudad gestionada, autocompletado en los formularios), GeoTag verifica su existencia real en Francia mediante servicios de geocodificación públicos:
Solo se transmite el nombre de ciudad que escribe a estos servicios. No se envía ningún dato personal (correo electrónico, nombre, dirección IP): las solicitudes parten de nuestros servidores, no de su navegador. Los nombres de ciudades son, por naturaleza, información pública.
Si ambos servicios no están disponibles simultáneamente (situación muy poco frecuente), GeoTag pasa a un modo degradado: su ciudad se acepta a condición de respetar el formato estricto (letras, guiones, apóstrofos). El administrador es alertado automáticamente por correo electrónico para restablecer el servicio.
GeoTag ofrece suscripciones de pago para los usuarios profesionales y las administraciones territoriales. Coexisten dos modos de pago:
Las facturas y referencias de facturación (importe, fecha, identificador de transacción, número de factura) se conservan durante 10 años de conformidad con el artículo L123-22 del Código de Comercio francés (obligación legal contable). Si elimina su cuenta antes de que expire este plazo, sus facturas no se destruyen, sino que se anonimizan: su nombre y su correo electrónico se sustituyen por la única información de prueba contable estrictamente necesaria, y se rompe el vínculo con su cuenta. Las facturas así anonimizadas se purgan definitivamente una vez transcurrido el plazo legal de 10 años. Este mecanismo concilia su derecho de supresión (art. 17 del RGPD) con la obligación legal de conservación contable (art. 17 §3-b del RGPD).
Algunos encargados del tratamiento se encuentran fuera de la Unión Europea:
Los datos almacenados (cuentas, contenidos, mensajes) se guardan exclusivamente en la Unión Europea (Fráncfort). Los tratamientos realizados fuera de la UE se refieren únicamente a operaciones puntuales (moderación por IA, síntesis de voz, validación de nombres de ciudades) sin almacenamiento duradero por parte del proveedor. El cobro de los pagos y la facturación corren a cargo de Stripe Payments Europe (Irlanda), entidad contratante situada en la Unión Europea.
Solo enviamos correos electrónicos transaccionales relacionados con su cuenta o sus elecciones. Ningún correo de marketing.
| Tipo de correo | Opt-in u opt-out | Por defecto |
|---|---|---|
| Verificación de cuenta | Obligatorio (contrato) | Enviado |
| Restablecimiento de contraseña | Obligatorio (seguridad) | Enviado a petición |
| Solicitud de contacto recibida | Opt-out (desactivable en la configuración) | Activado |
| Nueva etiqueta en un lugar que gestiona | Opt-in | Desactivado |
| Comentario en una de sus etiquetas | Opt-in | Desactivado |
| Resumen diario de actividad | Opt-in | Desactivado |
| Resumen de los nuevos contenidos de las cuentas que sigue | Opt-in, frecuencia configurable (tiempo real, diario o semanal) y filtrable por tipo de contenido | Según preferencias |
| Notificaciones de grupos y eventos | Opt-in, frecuencia configurable | Según preferencias |
| Cancelación de un evento en el que está inscrito | Opt-out | Activado |
| Correo de bienvenida / primeros pasos (envío único en D+7 si no hay actividad, solo cuentas verificadas — enlace de baja incluido) | Opt-out | Enviado una vez |
Los plazos de conservación se indican en las tablas anteriores. Al expirar estos plazos, sus datos se eliminan o anonimizan de forma irreversible mediante tareas programadas automáticas:
De conformidad con el RGPD, usted dispone de los siguientes derechos:
Para ejercer estos derechos: contact@oneforall-distribution.fr
Responderemos en un plazo máximo de un mes.
Tiene derecho a presentar una reclamación ante la autoridad francesa de protección de datos (CNIL), o ante la autoridad de protección de datos de su propio país:
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia
www.cnil.fr
Aplicamos medidas técnicas y organizativas adecuadas:
Podemos actualizar esta política. En caso de modificación sustancial, se le informará por correo electrónico o notificación en la aplicación al menos 30 días antes de su entrada en vigor.