Política de privacidad
Versión 1 · En vigor desde el 14 de noviembre de 2026 · Se aplica a las apps Rev1sa y Taqu1lla, a sus servicios en rev1sa.com y al buzón de email @rev1sa.com.
Las apps están en fase provisional y pueden tener fallos. Te pedimos que no añadas en ellas nada delicado ni personal (datos médicos, documentos confidenciales, contraseñas de otros servicios…) y que compruebes siempre la información importante en las fuentes oficiales.
1. Normas que cumplimos y cómo
Este texto explica, de forma clara y completa, qué datos personales tratamos, para qué, con qué base legal, durante cuánto tiempo, con quién se comparten y qué derechos tienes. Lo hacemos para cumplir con:
- El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), en especial sus artículos 5 (principios: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva), 6 (bases legales), 7 (condiciones del consentimiento), 9 (categorías especiales de datos), 12 a 22 (información y derechos), 25 (protección de datos desde el diseño y por defecto), 28 (encargados del tratamiento), 30 (registro de actividades), 32 (seguridad), 33 y 34 (brechas de seguridad), 35 (evaluación de impacto) y 44 a 46 (transferencias internacionales).
- La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en especial sus artículos 11 (transparencia por capas), 12 a 18 (ejercicio de derechos) y su título X (derechos digitales).
- La Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI), en lo que se refiere a la información sobre quién presta el servicio y a las comunicaciones electrónicas.
- Las políticas para desarrolladores de Google Play, incluida la de «Datos de usuario» y la obligación de permitir borrar la cuenta desde la app y desde la web.
Cómo lo cumplimos, en resumen: guardamos solo lo imprescindible (minimización); lo que no hace falta en el servidor se queda en tu móvil; el buzón guarda tus correos cifrados con una clave que solo tiene tu móvil; nunca guardamos tu ubicación; los emails que te enviamos no llevan tus datos; cada dato tiene un plazo de borrado; puedes pedir tus datos y borrar tu cuenta cuando quieras; y las decisiones con efectos importantes sobre ti (bloquear tu acceso) las revisa siempre una persona.
2. Quién es el responsable
El responsable del tratamiento de tus datos es José Alejandro Rodríguez Dopico, que desarrolla y mantiene Rev1sa y Taqu1lla a título particular. Para cualquier asunto de privacidad o para ejercer tus derechos puedes escribir a privacidad@rev1sa.com. No hay delegado de protección de datos porque, por su tamaño y su actividad, no es obligatorio (art. 37 RGPD y art. 34 LOPDGDD).
Rev1sa y Taqu1lla no son apps oficiales de ninguna empresa ferroviaria ni de ningún organismo, y no tienen relación con ellas.
3. Qué datos tratamos, para qué y con qué base legal
| Datos | Para qué | Base legal (RGPD) | Cuánto tiempo |
|---|---|---|---|
| Cuenta: usuario, nombre (para tu dirección del buzón), email principal, contraseña (guardada solo como «hash», nunca en claro), app (OCN1 u OCN2), residencia o estación, nivel de permisos, fecha de alta y de caducidad del usuario | Darte acceso, identificarte, enviarte los códigos de verificación y avisos de tu cuenta | Ejecución del servicio que pides (art. 6.1.b) | Mientras exista tu cuenta |
| Solicitud de acceso desde rev1sa.com: email, residencia o estación, teléfono, nombre de contacto (solo cómo llamarte), quién te acredita y, si quieres, alias | Que un admin compruebe que eres personal ferroviario y enviarte el acceso (por email y, si hace falta, por WhatsApp) | Medidas previas a petición tuya (6.1.b) | El teléfono, el nombre de contacto y quién te acredita se borran automáticamente en cuanto se te envía el acceso o se rechaza la solicitud (si se rechaza, se borra todo). Si el acceso se envía por WhatsApp, ese mensaje pasa por WhatsApp (Meta) |
| Alias y etiqueta fija (p. ej. «Pepe · OCN1 - A Coruña») | Que se vea quién publica mensajes, notas e incidencias compartidas | Ejecución del servicio (6.1.b) | Mientras exista tu cuenta |
| Lo que publicas (mensajes, notas, incidencias compartidas), reportes y solicitudes (cambio de alias, de residencia, mensajes a los admins) | Funcionamiento de la comunidad y su moderación | Ejecución del servicio (6.1.b) e interés legítimo en una comunidad segura (6.1.f) | Mientras exista tu cuenta o hasta que se borre lo publicado |
| Móviles (identificador de instalación generado por la app, modelo, versión de la app, última conexión) | Limitar el usuario a dos móviles, cerrar sesiones, avisarte de entradas desde un móvil nuevo | Ejecución del servicio (6.1.b) e interés legítimo en la seguridad de las cuentas (6.1.f) | Mientras el móvil esté vinculado |
| Horas a las que abres y cierras la app en cada móvil, residencia o estación configurada en cada móvil y una huella del turno del día (un código irreversible: no sabemos cuál es tu turno) | Comprobar que cada usuario lo usa una sola persona | Interés legítimo en que el servicio no se use de forma compartida (6.1.f), con la valoración documentada en nuestro registro de actividades | 30 días |
| Buzón de email: tu dirección @rev1sa.com, tus remitentes autorizados, la clave pública de tu móvil y los correos recibidos (cifrados), y la lista de correos rechazados (solo quién y cuándo, sin contenido) | Que puedas reenviar billetes, convocatorias, cartas de servicios mínimos o gráficos y la app los lea | Ejecución del servicio (6.1.b) | Correos: hasta que tu móvil los recoge, como mucho 7 días. Rechazados: 30 días |
| Aceptaciones de las condiciones y de esta política (versión, fecha y hora del servidor, versión de la app e identificador de instalación) | Poder demostrar que las aceptaste | Cumplimiento de una obligación legal (6.1.c, art. 7.1) | Incluso después de borrar la cuenta, durante los plazos de prescripción de las posibles responsabilidades |
| Códigos de verificación por email e intentos fallidos de entrar | Seguridad (cambiar la contraseña, confirmar que eres tú) | Interés legítimo en la seguridad (6.1.f) | Códigos: 15 minutos. Intentos: 1 día |
| Votos en encuestas de los comunicadores | Contar los resultados | Tu consentimiento al votar (6.1.a) | Se guardan separados de quién votó: nadie puede saber qué votaste |
| Informes de fallos (solo si los activas) | Arreglar errores de la app | Tu consentimiento (6.1.a), que puedes retirar en Ajustes → Cuenta | Hasta corregir el fallo. No llevan tu usuario |
| Historial de lo que pasa con tu cuenta (altas, cambios, bloqueos…) | Responsabilidad proactiva y resolver dudas | Interés legítimo (6.1.f) | Mientras exista tu cuenta |
Lo que NO guardamos nunca en el servidor
Tu calendario, tus turnos, tus servicios, tu gráfico, tus notas propias, los PDF de billetes o gráficos que guardas, tus ajustes y el contenido de tus correos una vez recogidos se quedan solo en tu móvil. Nunca guardamos tu ubicación ni datos de GPS. No usamos tus datos para publicidad, no hacemos perfiles comerciales y no vendemos ni cedemos datos.
Datos especialmente protegidos (art. 9 RGPD)
Las cartas de designación de servicios mínimos son datos laborales normales. Aun así, todo lo que llega al buzón se guarda cifrado. Algunos comunicadores son sindicatos: para que nunca se pueda deducir tu afiliación, el servidor no sabe a qué comunicadores silencias (se guarda solo en tu móvil), no enlaza tus votos contigo y en los eventos solo cuenta cuántas personas asistirán.
4. Comprobación de uso compartido y decisiones sobre tu acceso
Cada usuario es para una sola persona, que puede usarlo en dos móviles suyos como máximo. Para comprobarlo se comparan, entre los móviles de un mismo usuario, la residencia o estación, la huella del turno del día y las horas de uso. Si parece que lo usan dos personas: primero recibes un aviso y un código por email para confirmar que eres tú (si no lo confirmas en 24 horas se cierra la sesión de ese móvil). El aviso permanente y el bloqueo de la app solo se aplican si una persona (un admin) revisa el caso y lo confirma, como exige el artículo 22 del RGPD. Siempre puedes dar tu versión con el botón «Enviar mensaje a un admin», y el admin puede marcar el caso como error o autorizarlo.
5. Con quién se comparten tus datos
- Cloudflare, Inc., que aloja el servidor, la base de datos, el buzón de email y el envío de emails, como encargado del tratamiento (art. 28 RGPD) con su contrato de protección de datos. Sus servidores pueden estar en la Unión Europea y en Estados Unidos; las transferencias a EE. UU. se amparan en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023), en el que Cloudflare está certificada, y en sus cláusulas contractuales tipo (arts. 45 y 46 RGPD).
- GitHub (Microsoft) solo aloja el código y las versiones de la app; no recibe tus datos.
- Los demás usuarios ven tu alias y tu etiqueta en lo que publicas. Los admins ven los datos de las cuentas de su ámbito que necesitan para aprobar solicitudes o moderar. Los comunicadores nunca ven la lista de usuarios ni sus datos: solo cifras totales.
- Autoridades, solo si una ley lo exige.
6. Emails que te enviamos
Solo enviamos emails necesarios para tu cuenta (códigos, aviso de móvil nuevo, contraseña cambiada, caducidad del usuario, bienvenida, tus datos si los pides). Son mensajes «inertes»: no llevan tu nombre, tu alias, tu residencia ni otros datos tuyos, para que no haya nada que filtrar si alguien los ve. Se envían desde no-responder@rev1sa.com.
7. Seguridad (art. 32 RGPD)
Conexiones siempre cifradas (HTTPS); contraseñas con PBKDF2-SHA256; correos del buzón cifrados con X25519 y AES-256-GCM con una clave privada que nunca sale de tu móvil; sesión guardada en el almacén seguro del móvil; verificación en dos pasos para los admins; límite de intentos de entrar; remitentes del buzón comprobados con su firma (DKIM/SPF); y el panel de administración solo funciona con una clave guardada en el ordenador del responsable. Si hubiera una brecha de seguridad que suponga un riesgo, se notificará a la Agencia Española de Protección de Datos en 72 horas y, si el riesgo es alto, a las personas afectadas (arts. 33 y 34 RGPD).
8. Tus derechos y cómo ejercerlos
Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición, a no ser objeto de decisiones solo automatizadas y a retirar tu consentimiento en cualquier momento (arts. 15 a 22 RGPD; arts. 12 a 18 LOPDGDD):
- Acceso y portabilidad: en la app, Ajustes → Cuenta → «Pedir mis datos». Por seguridad te pide un código y que escribas tu email principal; recibirás un archivo con todo lo que guarda el servidor en tu email principal, normalmente a los 15 días y siempre dentro del plazo legal de un mes (ampliable dos meses más en casos complejos, avisándote; art. 12.3 RGPD). Una petición al mes.
- Supresión: Ajustes → Cuenta → «Borrar mi cuenta», o en rev1sa.com/borrar-cuenta.
- Rectificación: cambia tus datos en la app o pídelo a un admin; el alias y la residencia se cambian por solicitud.
- Oposición, limitación y cualquier duda: escribe a privacidad@rev1sa.com.
Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
9. Menores
Las apps son para personal ferroviario adulto. No están dirigidas a menores de 18 años.
10. Cambios en esta política
Si cambiamos esta política, subiremos su número de versión y la app te pedirá aceptarla de nuevo antes de seguir. Guardamos todas las versiones aceptadas.