Política de privacidad

01Quién es el responsable

El responsable del tratamiento de tus datos personales es:

Esta política se rige por el Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La usa gente que reparte una cuenta con sus amigos, pero quien decide cómo funciona la aplicación —y por tanto responde de ella— es el titular, no quienes la usan.

02Cómo funciona y quién ve qué

comparTICKET no tiene cuentas de usuario. En su lugar funciona con enlaces:

1. Una persona fotografía el ticket. La foto se envía a una inteligencia artificial de un proveedor externo, que devuelve las líneas, los importes, el nombre y la dirección del local, la fecha y la hora.
2. Se crea un enlace (por ejemplo comparticket.com/t/AbC12xYz) que esa persona comparte, normalmente por WhatsApp.
3. Cada persona que abre el enlace escribe un nombre —el que quiera, no tiene por qué ser el real— y marca lo que ha tomado.
4. La aplicación calcula cuánto debe cada uno. El dinero no pasa por comparTICKET: el pago lo hacéis vosotros, fuera de la aplicación.

Los grupos (un viaje, un piso compartido) funcionan igual pero acumulan varios tickets, gastos anotados a mano y pagos entre miembros. Quien crea el grupo escribe los nombres de sus miembros.

Algunas acciones sí están reservadas a quien creó el ticket o el grupo, que tiene una clave guardada en su navegador: cerrar el ticket, añadir miembros a un grupo, liberar el nombre de otra persona y borrar el grupo entero.

03Qué datos se tratan, según quién seas

Los datos cambian según tu papel. Puedes estar en varios a la vez.

Si fotografías un ticket

• La foto del ticket. Tu móvil la reduce antes de enviarla y, si puede, le quita los metadatos (como la ubicación GPS de la cámara). Si tu móvil no sabe reducir el formato de la foto, se envía el archivo original, con sus metadatos, a la IA para leerlo; ese original no se guarda.
• Lo que la IA lee en ella: nombre y dirección del local, fecha, hora, cada línea con su cantidad y precio, y el total.
• Una copia reducida de la foto (unos 1000 píxeles de lado, sin metadatos), solo si el ticket pertenece a un grupo, para que los miembros puedan comprobar la lectura en el historial. En los tickets sueltos la foto no se guarda en nuestros servidores; solo queda, mientras tengas abierta la pestaña, una copia en tu propio navegador (apartado 10).
• Quién pagó la cuenta (el nombre que tú indiques).
• Una clave de creador aleatoria, guardada en el servidor y en tu navegador, que te permite gestionar ese ticket.

Una foto de ticket puede mostrar más de lo necesario: los últimos dígitos de una tarjeta, el nombre de quien atendió o un número de socio. comparTICKET no los pide ni los usa, pero pueden aparecer en la copia de la foto. Si te preocupa, tapa esa parte antes de fotografiar.

Si abres un enlace y marcas lo tuyo

• El nombre que escribes (puede ser un apodo).
• Lo que marcas y en qué cantidad. Se va guardando mientras marcas, aunque todavía no hayas confirmado, para que no lo pierdas si se cierra la página.
• Si pulsas «Ya he pagado», la fecha y la hora en que lo dices y el importe que te tocaba pagar, guardados junto a tu selección en ese ticket. Solo se puede decir con la cuenta cerrada. Es solo tu aviso de que has pagado: la aplicación no mueve dinero. Lo ve quien pagó la cuenta y cualquiera que tenga el enlace del ticket. Se borra si pulsas «Todavía no he pagado» o si cambias lo que marcaste.
• En los grupos, un código de identidad aleatorio que te reconoce la próxima vez. Se guarda en tu navegador y también en el servidor, asociado a tu nombre dentro de ese grupo.

Si eres miembro de un grupo

Además de lo anterior, y aunque no hayas abierto nunca la aplicación:

• Tu nombre, tal como lo escribió quien creó el grupo o quien te añadió.
• Gastos anotados (concepto, importe, quién pagó y entre quién se reparte) y pagos registrados entre miembros.
• Datos derivados que calcula la aplicación: el saldo de cada persona, el reparto de deudas, cuántos días tardó cada pago en anotarse y estadísticas del grupo (por ejemplo, quién ha adelantado más dinero o quién tarda más en pagar). Todos los miembros las ven.
• Un diario de actividad del grupo (por ejemplo, «Ana ha pagado 12 € a Luis») y los recordatorios de pago enviados.

Si tus datos los ha introducido otra persona, su origen es esa persona (quien creó el grupo, quien te añadió o quien anotó el gasto) y el propio ticket. Tienes los mismos derechos que cualquier usuario: puedes pedir que se rectifiquen o se borren (ver apartado 11).

Si solo visitas la web

• Datos técnicos de la conexión: dirección IP, tipo de navegador, página pedida y hora. Los tratan el servidor y el proveedor de alojamiento para servir la página, evitar abusos y diagnosticar errores (ver plazos).

Lo que comparTICKET no trata nunca

• Correos, teléfonos ni contraseñas: no hay registro.
• Datos de pago: no pide tarjetas ni cuentas y no mueve dinero.
• Tu ubicación: no la pide. La dirección que aparece es la del local impresa en el ticket.
• Tus contactos, tu cámara o tu galería: solo accede a la foto concreta que eliges tú.
• Perfiles publicitarios: no hay anuncios ni se venden o ceden datos con fines comerciales.

04Para qué y con qué base legal

Cada uso de los datos necesita una base legal del artículo 6 del RGPD:

Cuando la base es el interés legítimo, se ha comprobado que no prevalece sobre tus derechos: son datos que cualquiera espera al repartir una cuenta entre amigos, se limitan a lo imprescindible, solo los ve quien tiene el enlace y puedes oponerte en cualquier momento.

No es obligatorio darnos ningún dato, pero sin una foto no se puede leer el ticket y sin un nombre no se puede saber qué es de quién.

05La inteligencia artificial

La lectura del ticket la hace un modelo de inteligencia artificial de un proveedor externo, a través de su servicio de pago para empresas y desarrolladores. Esto es lo que conviene saber:

• Qué recibe: solo la imagen del ticket y las instrucciones para leerlo. No recibe tu nombre, ni el de nadie del grupo, ni el enlace.
• Qué hace el proveedor con ella: en el servicio de pago, actúa como encargado del tratamiento y no usa las imágenes ni las respuestas para entrenar ni mejorar sus modelos. Las conserva durante 55 días solo para detectar usos abusivos del servicio, y en ese caso pueden ser revisadas por personal autorizado. Después las elimina.
• Puede equivocarse. La IA propone una lectura: tú la revisas y la corriges antes de compartirla. Si algo no cuadra, cualquiera lo ve en el ticket.
• No decide nada sobre ti. No hay decisiones automatizadas ni perfiles con efectos sobre ti en el sentido del artículo 22 del RGPD. El reparto es una suma de lo que cada persona marca.
• Reintentos: si el servicio está saturado, la misma imagen puede enviarse varias veces seguidas, o a un segundo modelo del mismo proveedor, hasta obtener la lectura.

La aplicación indica que la lectura la hace una IA en el momento de escanear, conforme al deber de transparencia del Reglamento (UE) 2024/1689 de Inteligencia Artificial.

06Datos sensibles que puede revelar un ticket

Un ticket parece inofensivo, pero lo que se compra puede decir cosas íntimas: un medicamento o un producto sin gluten apuntan a la salud; ciertos alimentos, a creencias religiosas. El Tribunal de Justicia de la UE considera que estos datos deducidos también son categorías especiales de datos (asuntos C-184/20, C-252/21 y C-21/23), que la ley protege más.

Por eso:

• Antes del primer escaneo, la aplicación te pide que aceptes expresamente que la foto se envíe a la IA y se comparta con las personas del enlace. Ese consentimiento es la base legal de cualquier dato sensible que el ticket pudiera contener, y puedes retirarlo cuando quieras dejando de usar la aplicación y pidiendo que se borre lo ya subido. Si quieres que se quite una línea concreta de un ticket, escríbenos.
• comparTICKET intenta detectar y rechazar los tickets de farmacia y de salud, y no los guarda: si el local parece de salud, el ticket no se crea y no queda nada en nuestros servidores. Como la detección ocurre al leer la foto, esa foto sí llega un instante a la IA externa, pero no se guarda.
• Te recomendamos no subir tickets de farmacias, clínicas u otros comercios cuyos productos revelen información de salud o íntima, sobre todo si otras personas van a marcar en ellos.
• comparTICKET no analiza, clasifica ni usa estos datos para nada: solo muestra lo que pone el ticket a quien tiene el enlace.

07Quién más recibe datos

Los datos no se venden ni se ceden a nadie. Para funcionar, comparTICKET usa estos proveedores, que tratan los datos solo para prestar el servicio. El proveedor de inteligencia artificial y Google (base de datos) lo hacen como encargados del tratamiento, bajo contrato (art. 28 RGPD). Vercel presta el alojamiento según sus condiciones de servicio y su política de privacidad:

Condiciones y subencargados de cada uno: anexo de tratamiento de datos de Google Cloud, términos de tratamiento de Firebase, subencargados de Google, política de privacidad de Vercel. Si quieres conocer la identidad de cada proveedor, escríbenos y te la indicamos.

Otras personas y servicios que ven datos porque tú lo decides

• Las personas con el enlace, como se explica en el apartado 2.
• WhatsApp u otra aplicación con la que compartas el enlace. Al pegarlo, esa aplicación descarga una vista previa con el nombre del local o del grupo y el importe total, sin nombres de personas. Y si pulsas «Recordar» o «Compartir», el texto del mensaje (nombres e importes) lo envías tú a través de esa aplicación. Lo que haga con ello se rige por su propia política de privacidad; comparTICKET no le envía nada por su cuenta.
• Autoridades, solo si una ley lo exige mediante un requerimiento válido.

La web no carga recursos de terceros: las tipografías, los iconos y el código se sirven desde el propio dominio de comparTICKET, así que visitarla no avisa a ninguna otra empresa.

08Transferencias fuera del Espacio Económico Europeo

La base de datos está en España y el servidor en Francia. Aun así, puede haber transferencias internacionales de datos, principalmente a Estados Unidos, en dos casos:

• Proveedor de inteligencia artificial: la lectura de la foto puede procesarse en centros de datos de ese proveedor, de cualquier país.
• Vercel y Google son empresas estadounidenses: su personal de soporte y seguridad, y algunos de sus subencargados, pueden acceder a los datos desde fuera del EEE.

Estas transferencias están amparadas por:

• La decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795), en la que están certificadas Google LLC y Vercel Inc.
• Para Google, además, las cláusulas contractuales tipo de la Comisión Europea (Decisión (UE) 2021/914), incluidas en su contrato de tratamiento de datos.

Puedes pedir una copia de estas garantías escribiendo al correo de contacto.

09Cuánto tiempo se guardan

Los datos se guardan solo mientras sirven para repartir la cuenta. Después se borran automáticamente:

«Actividad» es cualquier cambio: una marca nueva, un gasto o un pago. Tras un borrado, la base de datos puede conservar una versión técnica anterior durante 1 hora, que después desaparece definitivamente.

10Lo que se guarda en tu dispositivo

comparTICKET no usa cookies. Guarda algunos datos en el almacenamiento local de tu navegador (localStorage), solo para que la aplicación funcione sin cuentas. Son estrictamente necesarios para el servicio que pides, así que no requieren consentimiento (art. 22.2 de la Ley 34/2002, LSSI), pero te contamos cuáles son:

Mientras tienes abierta la pestaña, la aplicación guarda también una copia temporal del resumen del grupo (sessionStorage) para que el historial cargue rápido. Se borra al cerrar la pestaña. Con el mismo almacenamiento temporal (ct_twa) se recuerda si has entrado desde la aplicación de Android, para no proponerte instalarla dentro de ella.

Y, en la pantalla en la que revisas el ticket que acabas de escanear, la aplicación deja en ese mismo almacenamiento temporal (ct_fotos_…) una copia reducida de la foto, solo para que puedas darle la vuelta al ticket y verla. Esa copia vive únicamente en tu navegador: no se envía a ningún sitio, no llega a nuestros servidores (salvo en los tickets de grupo, apartado 3) y se borra al cerrar la pestaña.

La aplicación instala además un pequeño programa (service worker) que solo guarda la página que se muestra cuando no hay conexión. No guarda importes ni datos de tickets.

El «enlace para otro móvil» que ofrece un grupo lleva tu código de identidad: quien lo abra entrará como tú. No lo compartas.

11Tus derechos y cómo ejercerlos

En cualquier momento, y sin coste, puedes:

Acceso

Saber qué datos tuyos hay y obtener una copia.

Rectificación

Corregir un nombre u otro dato inexacto.

Supresión

Que se borren tus datos.

Oposición

Oponerte a un tratamiento basado en interés legítimo, por ejemplo que tu nombre figure en un grupo.

Limitación

Que se congelen tus datos mientras se resuelve una reclamación.

Portabilidad

Recibir tus datos en un formato estructurado (JSON).

Retirar el consentimiento

Sin que afecte a lo tratado antes de retirarlo.

Lo que puedes hacer tú mismo

• Borrar un gasto o un pago anotado en un grupo.
• Quitar un ticket de un grupo: se borra con su foto y las selecciones de todos, y las cuentas del grupo se recalculan sin él. Si el ticket tiene candado, solo puede quitarlo quien lo escaneó.
• Si creaste el grupo, borrarlo entero con todo su contenido: tickets, fotos, gastos, pagos y diario.

Por correo

Para todo lo demás, escribe a comparticketapp@gmail.com con el asunto «Protección de datos» e indica:

1. Qué derecho quieres ejercer.
2. El enlace del ticket o grupo (o varios).
3. El nombre con el que apareces en él.

Como no hay cuentas, el enlace y el nombre son la forma de encontrar tus datos. Si hubiera dudas razonables sobre si eres tú —por ejemplo, porque en el grupo hay otra persona con el mismo nombre— se te podrá pedir algún detalle adicional, como qué gastos anotaste, y nunca un documento de identidad salvo que sea imprescindible (art. 12.6 RGPD). Si con lo que nos das no se pueden identificar tus datos, te lo diremos (art. 11.2 RGPD).

Plazo: se responderá en un máximo de un mes, que puede ampliarse dos meses más en casos complejos, avisándote dentro del primer mes (art. 12.3 RGPD).

Borrar tus datos de un ticket compartido significa borrar tu nombre y tus selecciones. El resto del ticket sigue existiendo para las demás personas del reparto, salvo que quien lo creó pida borrarlo entero.

Reclamar ante la autoridad

Si crees que no se han respetado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, sedeaepd.gob.es) o ante la autoridad de protección de datos del país de la UE donde vivas. Te agradeceremos que antes nos escribas, por si podemos resolverlo.

12Edad mínima

comparTICKET es solo para mayores de 18 años. Esta edad la exigen las condiciones del proveedor de inteligencia artificial que lee los tickets, y es superior a los 14 años que fija la ley española para consentir el tratamiento de datos (art. 7 LOPDGDD).

Si en un grupo figuran menores (por ejemplo, en un viaje familiar), la persona adulta que los añade es responsable de hacerlo y te pedimos que uses solo su nombre de pila o un apodo. Si sabes que un menor ha usado la aplicación, escríbenos y borraremos sus datos.

13Seguridad y brechas

Se aplican medidas técnicas y organizativas proporcionadas al riesgo (art. 32 RGPD):

• Todas las comunicaciones van cifradas (HTTPS/TLS).
• La base de datos está cifrada en reposo y no admite acceso directo desde la aplicación: solo el servidor puede leerla y escribir en ella, con credenciales restringidas.
• Los enlaces y las claves son aleatorios y difíciles de adivinar.
• Límites de uso para frenar abusos y ataques automatizados.
• Minimización: la foto original no se guarda y la IA no recibe nombres.

Ningún sistema es completamente seguro. La principal limitación de este diseño es la del apartado 2: quien tenga un enlace, lo ve.

Si se produjera una brecha de seguridad que afectase a datos personales, se notificará a la AEPD en un máximo de 72 horas cuando sea probable que suponga un riesgo. Si el riesgo fuera alto, se avisará también a los afectados. Como la aplicación no tiene vuestros correos, ese aviso se hará de forma visible en la propia aplicación y en esta web (art. 34.3.c RGPD).

14Reportar contenido

Si encuentras en comparTICKET contenido ilícito, ofensivo o datos tuyos que alguien ha subido sin tu permiso, escribe a comparticketapp@gmail.com con el asunto «Reportar contenido», el enlace y una explicación breve. Se revisará lo antes posible. Si procede, se retirará el contenido y se informará a quien lo denunció y, cuando sea posible, a quien lo subió, explicando el motivo.

15Aplicación en Google Play y App Store

Las aplicaciones de comparTICKET para Android e iOS abren esta misma web dentro de la aplicación. Tratan exactamente los mismos datos, del mismo modo, y esta política se aplica a ellas por igual. No piden permisos al sistema: ni ubicación, ni contactos, ni micrófono. La cámara o la galería solo se abren cuando tú eliges una foto.

Al descargarlas, Google y Apple tratan tus datos como responsables independientes (tu cuenta, la descarga, estadísticas de la tienda), según sus propias políticas de privacidad. comparTICKET no recibe de ellos ningún dato que te identifique.

16Cambios en esta política

Esta política cambiará cuando cambie lo que hace la aplicación. La versión y la fecha de arriba indican la vigente. Si un cambio fuera importante —por ejemplo, un proveedor nuevo o un uso distinto de los datos—, se avisará en la aplicación antes de que entre en vigor.