Política de Privacidad

Última actualización: 29 de septiembre de 2026

Esta Política de Privacidad describe cómo CORRR ("la aplicación", "nosotros") recoge, utiliza, almacena y protege la información personal de los usuarios que hacen uso de la aplicación móvil CORRR.

1. Responsable del tratamiento

Iván García-Castrillón Cerdá
España
Contacto: hola@corrr.es

2. Datos que recogemos

Recogemos únicamente los datos necesarios para el funcionamiento de la aplicación:

2.1 Datos obligatorios (al registrarte)

• Dirección de correo electrónico — usado para identificarte, enviarte la verificación y la recuperación de contraseña y, de vez en cuando, algún email sobre CORRR (ver apartado 3).
• Nombre de usuario público (display name) — visible para otros corredores en rankings y al tocar tus zonas.
• Contraseña — nunca se almacena en claro (ver sección 10).
• Confirmación de edad mínima — al registrarte declaras tener 14 años o más (ver sección 11). Guardamos únicamente esa confirmación y su fecha, no tu fecha de nacimiento.

2.2 Datos opcionales de tu perfil de corredor

Estos datos son opcionales. Si decides rellenarlos otorgamos un pequeño bonus de puntos:

• Nombre y apellido.
• Grito de guerra (frase corta visible al tocar tus zonas).
• Marca de zapatillas que usas para correr.
• Año de nacimiento.
• Sexo (Hombre / Mujer / Prefiero no decir).
• Distancia habitual de carrera y frecuencia semanal.
• Ciudad (autodetectada por GPS o introducida manualmente).
• Avatar / foto de perfil (si decides añadirla).

2.3 Datos generados al usar la aplicación

• Ubicación durante la carrera: el GPS se procesa en tu móvil para medir la distancia y saber qué celdas pisas. No guardamos tu recorrido punto a punto: al servidor llegan las celdas conquistadas y, si cierras un circuito, su contorno.
• Celdas conquistadas en el mapa (cuadrados de 10×10 m que tu carrera ha cubierto), con la fecha y la carrera en que las conseguiste.
• Estadísticas: distancia total, número de carreras, zonas conquistadas, robos, puntos, parciales por km.
• Identificador de dispositivo para notificaciones push (Expo push token).
• Fecha de tu último acceso — solo la fecha más reciente en que la aplicación se conectó al servidor, que se sobrescribe cada vez. No guardamos un historial de cuándo abres la app. Sirve para saber si CORRR se está usando y a quién conviene recordarle que vuelva; no se muestra a otros usuarios.
• Sistema de tu teléfono (iPhone o Android) — para no mandarte avisos de funciones que tu móvil no tiene.

2.4 Datos de comunicación con otros usuarios

CORRR incluye una función de "taunts" (mensajes-emote) que se intercambian entre rivales tras un robo de territorio. Estos mensajes son imágenes predefinidas seleccionadas de un catálogo — no permitimos texto libre. Almacenamos el identificador del mensaje enviado, el destinatario y el remitente.

2.5 Datos de Strava (opcional)

Si conectas tu cuenta de Strava voluntariamente, almacenamos:

• Tu Strava athlete ID.
• Tokens de acceso y refresco para llamar a la API de Strava en tu nombre.
• Las rutas GPS de tus actividades de Strava (al conectar importamos las últimas, y si activas el webhook se importan las nuevas que registres).

Puedes revocar el acceso a Strava en cualquier momento desde tu perfil de Strava.

2.6 Datos de Salud de Apple (opcional, solo iPhone)

Si conectas tu Apple Watch desde tu perfil y das permiso en iOS, CORRR lee de la app Salud solo tus entrenos de correr y caminar y sus rutas GPS, y solo los que hagas después de conectar. No leemos pulso, calorías ni ningún otro dato de salud.

La ruta se procesa en tu iPhone para convertirla en celdas. A nuestro servidor llegan las celdas, la distancia, la duración, la hora de inicio y de fin, y un identificador del entreno para no importarlo dos veces. La ruta punto a punto no sale de tu móvil.

Los datos de Salud no se usan para publicidad, no se ceden a terceros y no se guardan en iCloud. Puedes dejar de importar desde tu perfil ("Desconectar") y retirar el permiso en Ajustes → Salud → Acceso a datos y dispositivos → CORRR.

NO recogemos: datos de pago, lista de contactos, fotos de tu galería (salvo la que tú elijas como avatar), acceso a tu micrófono o cámara fuera del flujo de avatar, datos biométricos, ni datos de salud más allá de los entrenos del apartado 2.6.

3. Finalidad del tratamiento

Usamos tus datos exclusivamente para:

• Gestionar tu cuenta y autenticación.
• Registrar tus carreras y mostrar tus celdas conquistadas en el mapa.
• Detectar robos de territorio entre usuarios (cuando una carrera tuya pasa por celdas de otro corredor).
• Enviarte notificaciones push relevantes (te han robado, has recibido un taunt, hay una nueva versión de la app).
• Calcular estadísticas personales y rankings (locales y globales).
• Mostrar tu nombre y grito de guerra a otros usuarios cuando tocan tus zonas.
• Importar carreras desde Strava si lo solicitas expresamente.
• Importar tus carreras y caminatas del Apple Watch si lo conectas.
• Enviarte de vez en cuando algún email sobre CORRR: por ejemplo, un recordatorio si te registraste y apenas has salido, o una novedad importante de la app. Solo sobre CORRR, nunca de otras empresas, y cada uno lleva un enlace para darte de baja con un clic.

4. Base legal

Tratamos tus datos para prestarte el servicio que pides al registrarte: tu cuenta, el registro de carreras, el mapa y los rankings. Es la ejecución del contrato que aceptas al crear la cuenta (art. 6.1.b RGPD).

Los datos opcionales del perfil, las notificaciones y la conexión con Strava y la importación desde el Apple Watch se basan en tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras desde la app o desde los ajustes de tu móvil. Las medidas contra trampas y abusos se basan en nuestro interés legítimo en que el juego sea justo y seguro (art. 6.1.f).

Los emails sobre CORRR se basan en nuestro interés legítimo en contarte cosas del servicio en el que te has registrado (art. 6.1.f RGPD y art. 21.2 de la Ley 34/2002, LSSI). Puedes oponerte cuando quieras con el enlace de baja que lleva cada uno o escribiendo a hola@corrr.es. Darte de baja no afecta a tu cuenta ni a los correos imprescindibles para usarla (verificación y recuperación de contraseña).

5. Localización GPS y seguimiento en segundo plano

La aplicación solicita acceso a tu ubicación GPS únicamente durante una carrera activa:

• Cuando inicias una carrera, comenzamos a registrar tu posición.
• Si bloqueas la pantalla o cambias a otra aplicación durante la carrera, CORRR mantiene el seguimiento mediante un servicio en primer plano con una notificación visible. Esto es necesario para que la ruta se grabe correctamente.
• Cuando finalizas o pausas la carrera, el seguimiento GPS se detiene completamente.
• CORRR no rastrea tu ubicación cuando no hay una carrera activa.

Puedes revocar el permiso de ubicación en cualquier momento desde los ajustes de tu dispositivo.

6. Dónde se almacenan tus datos

Tus datos se almacenan en proveedores que cumplen con el Reglamento General de Protección de Datos (RGPD):

Proveedor	Servicio	Ubicación física
Supabase	Base de datos PostgreSQL, incluida tu foto de perfil	AWS, Irlanda (UE)
Railway	Servidor backend de la API	Países Bajos (UE)
GitHub Pages	Sitio web público (corrr.es) — sin datos de usuario	Microsoft, CDN global
Expo (Expo Application Services)	Envío de notificaciones push (las entrega a tu móvil a través de Apple o Google)	Estados Unidos
Resend	Envío de los correos de verificación, de recuperación de contraseña y de los emails sobre CORRR (tu dirección de email y tu nombre de usuario)	Estados Unidos
Google Maps	Mapa dentro de la app. Google recibe la zona del mapa que se muestra y datos técnicos del dispositivo, según su propia política	Estados Unidos
Strava	Si conectas Strava, sus datos los gestiona Strava según su política	Estados Unidos

Transferencia internacional: Expo, Resend, Google y Strava son proveedores con sede en EE.UU. Solo reciben lo necesario para su función: un identificador opaco de dispositivo (Expo), tu email (Resend) o la zona del mapa que estás viendo (Google). Estas transferencias están amparadas por las Cláusulas Contractuales Tipo de la Comisión Europea y/o por el EU-US Data Privacy Framework.

7. Compartición de datos con otros usuarios

Algunos datos son visibles para otros usuarios de CORRR por la naturaleza del juego:

• Tu nombre de usuario público, tu foto de perfil y tu grito de guerra aparecen al tocar zonas que has conquistado, en rankings y en notificaciones de robo.
• Tus celdas conquistadas son visibles en el mapa para cualquier usuario de CORRR que mire esa zona. Ten en cuenta que dibujan por dónde sueles correr, y eso puede incluir los alrededores de tu casa.
• Tu ciudad se usa en el ranking local.
• Tus estadísticas agregadas (km totales, zonas, puntos) aparecen en rankings.

Nunca compartimos con otros usuarios: tu email, nombre real, apellido, año de nacimiento, sexo, marca de zapatillas, distancia/frecuencia habitual, tokens de Strava ni tu contraseña.

No vendemos ni cedemos tus datos a terceros con fines comerciales.

8. Conservación de datos

Conservamos tus datos mientras mantengas una cuenta activa en CORRR. Si eliminas tu cuenta (desde "Perfil → Eliminar cuenta" o escribiéndonos), todos tus datos personales se borran de nuestros sistemas en un plazo máximo de 30 días, incluyendo:

• Tu registro de usuario y datos del perfil.
• Todas tus carreras, celdas, zonas conquistadas y estadísticas.
• Tus tokens de Strava (también deberías revocar el acceso desde Strava).
• Tu push token y mensajes intercambiados con otros usuarios.

Hacemos una copia de seguridad cifrada de la base de datos cada semana y guardamos solo las cuatro últimas. Si eliminas tu cuenta, tus datos desaparecen también de esas copias en un máximo de cuatro semanas.

9. Tus derechos (RGPD)

Como usuario residente en la Unión Europea, tienes derecho a:

• Acceso: solicitar una copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos (puedes hacerlo desde "Editar perfil" en la app).
• Supresión: solicitar la eliminación de tus datos ("derecho al olvido").
• Portabilidad: recibir tus datos en un formato estructurado y comúnmente usado.
• Oposición: oponerte al tratamiento de tus datos; por ejemplo, dejar de recibir emails sobre CORRR con el enlace de baja que lleva cada uno.
• Limitación: solicitar que limitemos el tratamiento mientras se resuelve una reclamación.

Para los derechos de acceso y portabilidad no hace falta que esperes: desde la app puedes descargar al instante una copia completa de tus datos en formato JSON. Para ejercer cualquiera de estos derechos, o cualquier otro, escríbenos a hola@corrr.es. Responderemos en un plazo máximo de 30 días. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

10. Seguridad

Aplicamos las siguientes medidas técnicas para proteger tus datos:

• Contraseñas cifradas con Argon2 — nunca se almacenan en texto plano.
• HTTPS obligatorio en todas las comunicaciones entre la app y el servidor.
• Conexión cifrada y verificada (TLS, comprobando el certificado) entre nuestro servidor y la base de datos.
• Encriptación en reposo en la base de datos (Supabase encripta los discos por defecto).
• Row-Level Security (RLS) activado en las tablas con datos de usuarios: la base de datos no es accesible desde fuera sin pasar por nuestro servidor.
• Tokens de sesión con validez limitada y firmados criptográficamente (JWT).
• Verificación de correo para evitar registros falsos.
• Copias de seguridad semanales cifradas (AES-256), guardadas en España en un equipo con el disco cifrado y conservadas un máximo de cuatro semanas.

11. Menores de edad

CORRR no está dirigida a menores de 14 años, que es la edad de consentimiento digital establecida en España (art. 7 de la LOPDGDD, que concreta el art. 8 del RGPD). Al registrarte tienes que confirmar expresamente que tienes 14 años o más, y sin esa confirmación no se crea la cuenta. Se trata de una declaración por tu parte: no verificamos documentación, ya que sería desproporcionado para el tipo de servicio. Guardamos solo esa confirmación y su fecha — no tu fecha de nacimiento — aplicando el principio de minimización de datos. Si detectamos que un menor de 14 años se ha registrado, eliminaremos su cuenta. Si eres tutor legal de un menor y crees que ha proporcionado datos a CORRR, contáctanos para gestionar la eliminación.

12. Cookies y rastreo en la web pública

El sitio web público corrr.es es estático y no usa cookies de rastreo. La aplicación móvil tampoco utiliza herramientas de analítica de terceros (Google Analytics, Facebook Pixel, etc.).

13. Cambios en esta política

Podemos actualizar esta política ocasionalmente. Si los cambios afectan a la forma en que tratamos tus datos, te lo notificaremos dentro de la aplicación y por correo. La fecha de la última actualización siempre aparece al inicio de este documento.

---

Contacto