Política de Privacidad de MOVA

1. Quiénes somos y cómo contactarnos

MOVA es una aplicación para iPhone, con servidor propio, creada para que profesionales independientes que trabajan viajando organicen su agenda, sus clientes, sus viajes, sus finanzas y su seguridad.

Responsable del tratamiento de los datos (quien decide cómo se tratan tus datos — LGPD (Ley General de Protección de Datos de Brasil), art. 9º, III):

• Responsable: MOVA es operada por un desarrollador independiente (persona física). El contacto es solo por los correos de abajo.
• Correo de soporte: [email protected]
• Correo para asuntos de privacidad: [email protected]
• Encargado del tratamiento de datos (LGPD): Bruno, responsable de MOVA — [email protected]

Esta política explica, en lenguaje simple, qué datos guarda MOVA, por qué, con quién los comparte, por cuánto tiempo, qué es lo que nunca hacemos y cuáles son tus derechos.

2. Resumen en un minuto

• Guardamos en nuestro servidor lo que escribes en la app para trabajar: tu cuenta, tus clientes, tu agenda, tus viajes y tus finanzas. En el uso normal, solo tú (y quien tú autorices) ve esos datos.
• Las fotos de clientes y las fotos adjuntas a reportes nunca van a nuestro servidor. Quedan solo en tu iPhone y en tu propio iCloud.
• Nuestro servidor y la base de datos están en Estados Unidos. Si usas MOVA en Brasil, tus datos se envían fuera del país (sección 7).
• El registro, el inicio de sesión, el cambio de contraseña y el envío de reportes guardan tu dirección IP y la hora por 6 meses y después se borran solos (sección 3.2).
• El historial de los números que consultas queda solo en tu iPhone y en tu iCloud. Nuestro servidor no guarda qué números consultas.
• El bloqueo de llamadas y SMS usa una lista que queda dentro de tu iPhone.
• No vendemos datos, no mostramos anuncios y no te rastreamos en otras apps ni sitios.
• Los reportes de la comunidad son anónimos para quien consulta. Por dentro, sabemos qué cuenta escribió cada reporte, solo para combatir el abuso y para la moderación (y para cumplir una orden judicial). La autora no borra el reporte por sí sola, pero puede pedir su retiro (la moderación decide); y todo reporte se revisa después de 2 años.
• El Owner (dueño de la plataforma) puede abrir tu cuenta para ver, sin pedir tu autorización antes, cuando lo necesite (seguridad, soporte, abuso). Tú ves después, en la pantalla "Actividad", que el soporte accedió. Cambiar datos solo con un ticket tuyo abierto. El Owner también tiene un panel donde ve, de una usuaria, los nombres y teléfonos de los clientes que ella anotó, siempre con un motivo escrito y registrado en cada acceso (sección 11). Todo queda registrado y el registro no se puede borrar.
• Puedes eliminar la cuenta dentro de la app: clientes, agenda, viajes, hoteles, finanzas, foto de perfil, sesiones y enlaces de restablecimiento de contraseña se borran del servidor al instante (sección 13). El registro de IP sigue el plazo de 6 meses, porque la ley manda guardarlo.

3. Qué datos guardamos y para qué

3.1 Datos de tu cuenta (los entregas al crear la cuenta y en el perfil)

3.2 Datos de tu sesión y registros de acceso (automáticos)

Registros de acceso. El Marco Civil de Internet de Brasil (art. 15) manda guardar IP, fecha y hora de acceso por 6 meses, bajo reserva. Por eso el servidor guarda IP y horario (en UTC) solo en los cuatro eventos anteriores, por 6 meses, y los borra después. Esos registros no se usan para publicidad, para perfiles ni para ninguna otra finalidad, y solo se entregan a una autoridad con orden judicial (art. 15, § 3º). No guardamos la IP en cada uso de la app. "Inicio de sesión" incluye correo y contraseña e "Iniciar sesión con Apple"; la renovación automática de la sesión no graba la IP. El registro se graba junto con el propio evento, queda en una tabla que el sistema de MOVA solo puede escribir (no lee, no modifica y no borra; quien borra es una rutina separada, después de 6 meses) y no se borra cuando eliminas la cuenta, porque la obligación legal es guardarlo por 6 meses. Base legal: obligación legal (LGPD, art. 7º, II) y ejercicio regular de derechos (art. 7º, VI). Los proveedores de alojamiento (sección 6) mantienen registros técnicos propios de acceso al servidor, según sus políticas.

3.3 Datos de tu trabajo

Todo lo que anotas para trabajar queda en nuestro servidor, vinculado solo a tu cuenta, para que puedas usarlo en más de un dispositivo y no pierdas nada si cambias de iPhone:

• Clientes: nombre o apodo, teléfono (opcional), ciudad/región/país, origen (sitio web, Instagram, asistente, recomendación, etc.; la lista de orígenes es tuya y puedes crear y renombrar), fecha del primer contacto, estado (activo o bloqueado), observaciones. La foto del cliente no va al servidor (sección 5).
• Agenda (citas): cliente, fecha y hora, zona horaria, duración, ciudad, valor, propina, comisión, origen, estado (agendada, confirmada, concluida, cancelada, no se presentó), recordatorio y observaciones.
• Viajes: ciudad/región/país, fechas, zona horaria, hotel (nombre, dirección y observación), check-in y check-out, transporte, comisión predeterminada y observaciones. Los hoteles donde ya te alojaste quedan en una lista tuya para que la app los sugiera en el próximo viaje.
• Finanzas: gastos y otros ingresos (cada uno con descripción, valor, moneda y fecha), categorías de gasto que tú misma creas, e inversiones en publicidad por origen.
• Notas en la cita: textos cortos que tú y tu asistente intercambian dentro de una cita agendada en la colaboración (sección 8).
• Exportación: puedes exportar una hoja de cálculo (CSV) de tus citas y movimientos, con el teléfono de los clientes solo si lo marcas. El archivo se genera en tu dispositivo y va a donde tú lo envíes; a partir de ahí es responsabilidad tuya.

Estos datos se usan solo para que la app funcione para ti: mostrar tu agenda, tus totales por moneda, tus informes y tu resumen del día. MOVA no analiza estos datos para otros fines, no los cruza con otras cuentas y no crea una base global de clientes: el mismo teléfono en dos cuentas son dos registros separados e invisibles entre sí. Las excepciones están descritas en esta política: lo que compartes con una asistente (sección 8), los reportes (sección 9) y el acceso administrativo (sección 11).

No escribas datos sensibles de tus clientes en las observaciones, en las descripciones ni en los nombres de categorías (salud, orientación sexual, religión, origen racial, opinión política, etc.). La ley da protección reforzada a esos datos (LGPD, art. 5º, II, y art. 11) y MOVA no fue hecha para guardarlos.

3.4 Datos que quedan solo en tu iPhone (no van al servidor)

• Foto del cliente y foto adjunta a un reporte (sección 5).
• Historial de los números que consultas: queda solo en tu iPhone y en tu iCloud, hasta que borres un número o todo. La app usa este historial para avisar "ya consultaste este número el <fecha>", mostrar cuántos reportes nuevos aparecieron desde entonces e indicar cuándo el número es de un cliente tuyo. El servidor de MOVA recibe el número (en código) solo para responder la consulta y no guarda qué números consultaste; guarda solo contadores de uso (sección 9). La asistente no ve tu historial.
• Bloqueo de llamadas y SMS: los números que marcas como "Bloqueado" entran en una lista que el iPhone usa para no sonar y para enviar los SMS a la basura. Esa lista queda en el propio iPhone (en las extensiones de iOS de la app) y no se envía a nadie. La marca "Bloqueado" es privada tuya y no es un reporte a la comunidad. La app no bloquea WhatsApp: abre la conversación para que bloquees allí.
• Recordatorios de citas: son notificaciones locales, programadas en el propio iPhone; el texto en la pantalla bloqueada es solo "Reunión a las 13:00", sin nombre de cliente y sin la palabra "cita".
• Copia de lectura de tus datos (caché) y cola de cambios hechos sin internet, para que la app abra y funcione sin red. El servidor es siempre la fuente de la verdad.
• Clave de sesión en la bóveda del iPhone (Keychain), solo en este dispositivo.
• Bloqueo de la app con Face ID, Touch ID o código (opcional; viene desactivado, tú lo activas): usa el sistema del iPhone; MOVA nunca recibe ni guarda datos biométricos.
• Ubicación al crear un viaje ("Usar mi ubicación"): se usa en el iPhone solo para sugerir ciudad, región y país en texto. Las coordenadas nunca salen del dispositivo.

3.5 Datos que MOVA no recopila

• Lista de contactos de tu iPhone.
• Fotos de tu galería además de la que elijas como foto de perfil (y las fotos de cliente y de reporte, que quedan solo en el dispositivo).
• Contenido de mensajes, llamadas o correos que intercambias con clientes (la app solo abre la otra aplicación para ti).
• Datos de pago o de tarjeta: MOVA no cobra nada y no procesa pagos.
• Datos de uso para publicidad, perfil de comportamiento o rastreo entre apps.
• Informes de fallos y rendimiento de terceros: la app no usa ningún servicio de análisis ni de fallos de terceros. Si se agrega uno, esta sección cambia antes.

3.6 Visitas a este sitio

Este sitio (movapro.app) cuenta las visitas de forma agregada: la página visitada, la ciudad, el estado y el país (aproximados por la red, a partir de la dirección de internet, que no se guarda), el dominio de origen y si el dispositivo es un celular o una computadora. No usamos cookies para visitantes, no guardamos la dirección IP, no creamos un perfil de nadie y no compartimos estos números con terceros, salvo Cloudflare, que aloja el sitio. Estos registros se eliminan después de 400 días. Esto vale solo para el sitio; la app no envía estos datos.

4. Para qué usamos los datos y en qué base legal (LGPD)

La LGPD (Ley 13.709/2018, art. 7º) exige que cada uso de un dato tenga una "base legal". Cada finalidad a continuación tiene la suya.

Interés legítimo, en resumen: (1) legitimidad — proteger las cuentas, impedir intrusiones y estafas y mantener un espacio de reportes sin abuso; (2) necesidad — guardamos solo el hash de IP/correo para limitar intentos, acciones sin datos personales además del código de la cuenta y, en los reportes, solo el comentario y la autoría interna; (3) expectativas y derechos — describimos todo en esta política antes del uso, y nada de esto se usa para publicidad ni para otra finalidad; (4) salvaguardas — registro de solo agregado, acceso restringido, aviso a la usuaria después del acceso del Owner y derecho de oposición.

Datos de salud, vida sexual y otros datos sensibles. MOVA no pide esos datos. El contenido que escribes en las observaciones y en los comentarios es libre, y por eso te pedimos que no registres datos sensibles de nadie (sección 3.3).

5. Fotos de clientes y de reportes: solo contigo

Por decisión de producto, la foto de un cliente y la foto adjunta a un reporte nunca se envían al servidor de MOVA y nunca son visibles para la comunidad, para asistentes ni para la administración. Quedan:

• en el espacio privado de la app en tu iPhone (fuera de la galería de fotos), con protección de archivo de iOS; y
• en el espacio privado de la app en tu iCloud, para que vuelvan cuando reinstales la app o cambies de iPhone. iCloud es un servicio de Apple, en tu cuenta Apple, regido por los términos de Apple.

La foto se reduce y pierde los metadatos (ubicación GPS, dispositivo, fecha) antes de guardarse. Cerrar sesión mantiene las fotos de clientes en el dispositivo; eliminar la cuenta borra las fotos de clientes del iPhone, y también las fotos de reportes, del iPhone y de tu iCloud.

Como la foto de un cliente es un dato de un tercero, tú respondes por tener motivo para guardarla (Términos de Uso, sección 4). Recuerda que iCloud es tuyo: MOVA no puede borrar, ver ni recuperar esas fotos.

6. Con quién compartimos

Nunca vendemos ni alquilamos tus datos. Compartimos solo con quien es necesario para que la app funcione:

No hay otros terceros: ninguna red de anuncios, ningún servicio de análisis, ningún corredor de datos. Los proveedores anteriores son "operadores" y, en el lenguaje de las leyes de EE. UU., "proveedores de servicios" o "subprocesadores": solo tratan los datos para prestarnos el servicio, bajo contrato con protección de datos. Si cambiamos o agregamos un proveedor, esta lista y el aviso de la sección 19 cambian antes.

7. Transferencia internacional de datos

Dónde están los datos. El servidor, la base de datos, el almacenamiento de fotos de perfil y el envío de correos están en proveedores en Estados Unidos (sección 6). La razón es que el público que más usa MOVA está en el exterior. MOVA comienza disponible solo en Brasil y Estados Unidos.

• Si estás en Estados Unidos: tus datos quedan en tu propio país.
• Si estás en Brasil: tus datos se envían fuera de Brasil. Esto es una transferencia internacional de datos (LGPD, arts. 33 a 36, y Resolución CD/ANPD nº 19/2024).

En qué base hacemos la transferencia. La transferencia es necesaria para ejecutar el contrato que pediste (art. 33, IX, combinado con el art. 7º, V): guardar tu agenda y tus clientes para que la app funcione. Además, al crear la cuenta, recibes un aviso claro de que los datos quedan en Estados Unidos y das tu consentimiento específico y destacado para ello (art. 33, VIII). En los contratos con los proveedores, adoptamos las cláusulas de protección de datos que ellos ofrecen, conforme a los mecanismos del art. 33 de la LGPD: cláusulas contractuales estándar, cuando los proveedores las ofrecen, ejecución de contrato y consentimiento específico y destacado.

• País a donde van los datos: Estados Unidos.
• Qué va: todo lo que la app guarda en el servidor (sección 3), la foto de perfil y los correos de la app. No van las fotos de clientes ni de reportes (quedan en tu iPhone y en tu iCloud).
• Puedes pedir información sobre la transferencia y ejercer los derechos de la sección 14 con normalidad.
• Para usuarias en Estados Unidos y otras leyes, ver sección 17.

8. Colaboración con asistentes

Cada persona tiene su propia cuenta; el inicio de sesión nunca se comparte. Tú decides si invitas a alguien, con qué permisos, y puedes terminar el acceso cuando quieras. Una profesional puede tener varias asistentes, y una asistente puede trabajar para varias profesionales.

Lo que la asistente ve de la profesional que la invitó:

• La agenda de la profesional solo en el período habilitado ("solo este viaje" o "sin plazo"). Las citas que la profesional agendó por sí sola aparecen para la asistente solo como "Ocupado 15:00–16:00", sin nombre de cliente y sin valor. Ella ve y edita los detalles solo de las que ella agendó.
• Del viaje: ciudad y fechas; hotel, dirección y transporte vienen habilitados por defecto (permiso "Viaje"), y la profesional puede desactivar ese permiso en la invitación.
• Dinero: los valores de las citas que ella agendó (precio, propina, comisión) y lo que sale de ellos. El resto de lo financiero (gastos generales, informes) solo con el permiso que la profesional active.
• La lista de clientes de la profesional solo con el permiso "Tus clientes", que viene desactivado.
• Cuando el acceso termina (la profesional termina el acceso, o vence el plazo "solo este viaje"), la asistente sigue viendo, solo en lectura, lo que ella misma agendó (y el hotel de esos viajes, si tenía el permiso), para poder cobrar la comisión.
• Si la profesional elimina la cuenta: sus datos se borran al instante, como en la sección 13, y la asistente deja de ver la agenda, los viajes y el hotel. A la asistente le queda solo un extracto de las comisiones, con: fecha, ciudad, su cliente (los clientes agendados por la asistente son de la asistente) y los valores. Nada más de la profesional (otras citas, otros clientes, observaciones, hoteles, finanzas) queda con la asistente. El extracto no identifica a la profesional por nombre, @ ni teléfono. El extracto es de la asistente, que es la titular de esos registros y responde por ellos; existe solo para que ella pueda cobrar lo que se le debe.
• Si la asistente elimina la cuenta: sus clientes y datos se borran; las citas que ella agendó siguen en la agenda de la profesional (son de la profesional), vinculadas a una cuenta anónima y al nombre del cliente que ya aparecía ("João (via asistente)"), sin el teléfono oculto.

Lo que la profesional ve de la asistente:

• Los clientes que la asistente agenda son de la asistente (las llamadas llegan a su número). En la agenda de la profesional, el cliente aparece solo con el nombre ("João (via Mariana)"), sin teléfono y sin observaciones. La asistente puede mostrar el teléfono en una cita específica, si quiere; la profesional puede entonces guardar a ese cliente en su propia lista (se vuelve una copia suya).
• La cita agendada por la asistente no le muestra a la profesional nada sobre reportes.

Para quien trabaja como asistente: la profesional ve lo que agendaste para ella. Cada profesional tiene un color en tu pantalla (puedes cambiar el color; las iniciales y el nombre siempre aparecen). Ves solo a las profesionales que te invitaron, y cada una no ve a las otras.

Invitaciones: por el @nombre exacto, o la asistente lo pide y la profesional aprueba; la búsqueda nunca revela el correo ni el teléfono de nadie. Invitar y aceptar exigen correo confirmado; la invitación y el pedido vencen en 7 días. Hay una sola alianza por dupla.

Avisos: la profesional recibe una notificación cuando la asistente agenda, cambia horario/valor/cliente, cancela o marca "no se presentó"; la asistente recibe un aviso cuando la profesional cambia lo que ella agendó. En la pantalla bloqueada el aviso usa un texto neutro ("Mariana agendó una reunión a las 13:00"), sin cliente y sin valor. Las demás acciones quedan en una pantalla "Actividad" de los últimos 90 días.

Notas en la cita. Dentro de cada cita agendada en la colaboración, la profesional y la asistente pueden dejar notas cortas. No es un chat libre.

• Qué se guarda: el texto de la nota, quién la escribió y la hora. En la pantalla "Actividad" aparece que se dejó una nota, pero el registro de acciones no copia el texto (sección 12).
• Quién la ve: la profesional y la asistente de esa cita, mientras la colaboración rige para ella. Otras asistentes de la misma profesional, administradores comunes y la comunidad no la ven. El Owner solo la ve mediante el acceso a la cuenta, con motivo registrado (sección 11).
• Aviso: la notificación en la pantalla bloqueada usa un texto neutro ("Mariana dejó una nota"), sin el texto, sin nombre de cliente y sin valor.
• Cuándo se borra: con la cita a la que pertenece y, al eliminar la cuenta, junto con los datos de la cuenta eliminada (sección 13).
• Cuidado: no escribas datos sensibles de clientes en las notas (sección 3.3). Las notas abusivas pueden denunciarse y llevar a la suspensión de la cuenta (sección 9, "Moderación").

Quién responde por qué: cada persona responde por los datos que ingresa (Términos, sección 6). Al invitar a una asistente, la profesional pasa a compartir datos suyos y de clientes con esa persona; la profesional debe tener motivo para ello.

9. Reportes de la comunidad

El módulo de seguridad permite consultar si hay reportes sobre un número de teléfono y enviar un reporte. Los reportes hablan de personas que, en general, no usan MOVA — por eso esta sección también es importante para ellas.

Qué guardamos de un reporte: un código (hash, hecho con un secreto del servidor) del número de teléfono, la categoría (estafa, comportamiento sospechoso, inconsistencia de identidad, no se presentó, información falsa, otro), el comentario (obligatorio: de 10 a 300 caracteres), la fecha de creación y, por dentro, qué cuenta lo escribió. El código del número sigue siendo un dato personal (LGPD, art. 13, § 4º: dato seudonimizado), porque con el secreto y el número alguien puede rehacer el código; por eso se trata con seguridad máxima y el secreto queda fuera de la base de datos.

Lo que ve quien consulta: solo el comentario y la fecha (fijada en UTC al crearse; nunca "hace 3 días", para no revelar la región de quien escribió). La categoría queda solo para la moderación. Quien escribió nunca aparece para la comunidad, ni para asistentes, ni para administradores comunes. La app presenta los reportes con lenguaje neutro ("existen reportes asociados a este número") y nunca como prueba de nada.

Consulta: solo ocurre cuando tocas "Consultar número" (en la pestaña Consultar, en la ficha del cliente o en el atajo del ícono de la app). La app nunca envía tu lista de clientes al servidor. La consulta es solo por número exacto; no existe listado, búsqueda parcial ni exportación. El servidor guarda solo contadores de uso para limitar el abuso (alrededor de 30 consultas por hora y 100 por día, ajustables) y no guarda qué números consultaste (el historial queda solo en tu dispositivo — sección 3.4). El número consultado no aparece en los registros (logs) del servidor.

Quién puede reportar: cuenta con correo confirmado y al menos 7 días, hasta 5 reportes por día; un reporte por autora por número. Los reportes de autoras diferentes sobre el mismo número quedan independientes y se acumulan.

Permanencia y retiro. Una vez enviado, el reporte no puede ser editado ni borrado por la autora por sí sola. Pero: (a) la autora puede pedir el retiro de su propio reporte mediante el soporte, y la moderación decide (lo retira, por ejemplo, si el reporte fue un error o ya no tiene sentido); (b) todo reporte se revisa después de 2 años: la moderación comprueba si todavía tiene sentido y, si no, sale; (c) cualquier persona puede pedir la eliminación (abajo). Si eliminas la cuenta, tus reportes siguen visibles (ya son anónimos) y, por dentro, quedan vinculados solo a un código anónimo para el control contra el abuso. Si la cuenta se suspende, los reportes quedan ocultos mientras dure la suspensión.

Moderación y denuncia: cualquier usuaria puede marcar un reporte como "Reporte inapropiado"; también hay una alerta automática para lo que parece contener nombre, dirección, contacto, ofensa o amenaza. El administrador ve el comentario, la categoría, la fecha, cuántos reportes hizo la autora y el estado de la cuenta, sin nombre ni correo. Solo el Owner puede descubrir quién escribió, y cada consulta de ese tipo queda registrada. Las cuentas que abusan se suspenden o se cierran. Respondemos a las denuncias en hasta 72 horas cuando haya amenaza, exposición de datos u ofensa grave, y en hasta 7 días en los demás casos.

Para la persona reportada (o cualquier persona mencionada): el número de teléfono es un dato personal tuyo. Puedes, en cualquier momento, pedir información, corrección o eliminación de los reportes sobre tu número escribiendo a [email protected], indicando el número. Para evitar que otra persona lo pida en tu nombre, vamos a confirmar que el número es tuyo: el soporte envía un código al propio número (por SMS o WhatsApp) y tú respondes por correo. Lo analizamos en hasta 15 días y eliminamos lo que sea falso, ofensivo, ilegal, que identifique a alguien además del número o que viole los Términos. No le informamos a quien reportó que pediste la eliminación, y no revelamos quién escribió, salvo orden de la Justicia.

Responsabilidad por contenido de terceros. El reporte es contenido de otra usuaria. MOVA no verifica la veracidad de los reportes. Conforme al Marco Civil de Internet de Brasil (art. 19) y a la interpretación del Supremo Tribunal Federal, la plataforma puede ser responsabilizada si, después de ser avisada, no elimina contenido ilícito; por eso el canal anterior existe y se toma en serio.

La autora es anónima para la comunidad, no para la Justicia. Si un juez lo ordena, MOVA entrega los datos de la cuenta que escribió el reporte y los registros de acceso que tenga (sección 3.2).

10. Registro de seguridad

Función opcional. Al ir a una cita, activas un temporizador y eliges un contacto de confianza, que también debe usar MOVA y aceptar esta función. Si no confirmas "estoy bien" a la hora indicada, MOVA avisa a ese contacto por la propia app (sin SMS) y el aviso lleva la ubicación de inicio (el lugar desde donde saliste hacia la cita). La ubicación de inicio se borra cuando confirmas que estás bien.

• Mientras corre el temporizador, la ubicación de inicio queda en el servidor (en Estados Unidos), solo hasta el fin del registro de seguridad. Si no confirmas, la ubicación se borra 7 días después del aviso; el contacto no ve nada más después de que confirmes o venza el plazo. El contacto es solo uno, debe tener correo confirmado y aceptar antes.
• El contacto de confianza recibe tu nombre/@ y la ubicación; por eso debe aceptar la función y tú debes avisarle. Puedes cambiar de contacto o desactivar la función cuando quieras.
• Esta función no sustituye a los servicios de emergencia y puede fallar (Términos, sección 7).

11. Acceso administrativo: qué pueden ver el Owner y los administradores

Esta sección existe porque creemos que necesitas saberlo antes de confiar tus datos a MOVA.

El Owner (dueño de la plataforma). El Owner puede abrir cualquier cuenta cuando lo necesite, sin pedir tu autorización antes, para ver datos: perfil, agenda, viajes, clientes, finanzas, colaboraciones, notas, reportes y actividad. La finalidad es soporte y seguridad: resolver un problema que reportaste, investigar abuso o fraude, o actuar ante un riesgo para tu seguridad.

• Tú ves después: cada acceso aparece en tu pantalla "Actividad" ("el soporte accedió a tu cuenta el <fecha>"). Solo si el aviso inmediato puede perjudicar la investigación de un delito u orden de una autoridad, el aviso puede aplazarse; esto será una excepción y quedará registrada.
• Cambiar datos: solo con un ticket tuyo abierto.
• Registro: cada apertura queda registrada (quién abrió, cuándo y por qué), en una sesión de acceso identificada, y todas las acciones dentro de ella entran en el registro de acciones, que no se puede borrar ni alterar (sección 12).
• Panel del Owner: solo el Owner ve, de una usuaria, un resumen y los nombres y teléfonos de los clientes que ella anotó en la agenda, para poder saber quién la visitó en caso de que le ocurra algo. En cada acceso el Owner debe escribir un motivo, y el motivo queda registrado (quién, cuándo, qué cuenta, por qué), sin posibilidad de borrarlo. Los administradores comunes no tienen este acceso.

Por qué esto exige cuidado (aviso honesto). Los clientes de una usuaria son personas que no saben que están en MOVA. Ver su nombre y teléfono es un uso diferente de solo guardar los datos para ella, y la ley y las reglas de Apple le prestan atención especial (LGPD: finalidad y necesidad, art. 6º; Apple 5.1.2(ii)). Por eso:

1. En el uso de rutina (soporte), el Owner no necesita ver nombre y teléfono de clientes y no los abre. El panel solo muestra clientes después del motivo registrado.
2. La base legal es el interés legítimo en seguridad y prevención de abuso (LGPD, art. 7º, IX) y, ante un riesgo concreto para la vida o la integridad física, la protección de la vida (art. 7º, VII).
3. Cada acceso es un "tratamiento" tuyo y de MOVA: el motivo registrado sirve para probar, después, que había finalidad. Los accesos sin motivo concreto serían abuso.

El Owner es una sola persona, definida en el servidor (nunca por el panel); crea y elimina a los administradores, y un administrador no suspende a otro. El panel exige segunda verificación (código de app autenticadora) además de la contraseña. Al crear la cuenta hay una aceptación destacada de este acceso (Términos, sección 9).

Administradores comunes. Se ocupan de soporte, moderación y tickets. Ven los conteos generales (usuarias activas, nuevas, citas, viajes, reportes, tickets) y, de cada usuaria, solo: @nombre, nombre para mostrar, estado de la cuenta, fecha de registro y última actividad. No ven correo, teléfono, foto, clientes, valores, notas, ni nada de su trabajo. En la moderación, ven el reporte sin la identidad de la autora. Pueden suspender una cuenta, siempre con motivo registrado; la reactivación devuelve todo.

Soporte. Desde la pantalla "Ayuda" (en "Más"), escribes y las respuestas aparecen allí. El contenido del ticket queda en el servidor y lo ve el equipo de soporte. Sin adjuntos.

12. Registro de acciones (audit log)

MOVA registra acciones relevantes: quién actuó (tú, una asistente o un administrador), qué hizo (ej.: "inició sesión", "cambió el idioma", "creó una cita", "eliminó la cuenta", "falló un intento de inicio de sesión"), sobre qué, cuándo y un contexto breve, con códigos y nombres de campos, sin copiar el contenido (nombres, teléfonos, valores). El registro se graba junto con la propia acción y es de solo agregado: el sistema de MOVA no tiene permiso para borrar ni alterar sus filas.

Sirve para: seguridad, soporte, moderación y comprobar lo que se hizo en las sesiones de acceso del Owner. La pantalla "Actividad" te muestra las acciones de la colaboración de los últimos 90 días y los accesos del soporte a tu cuenta. Plazo de conservación: ver sección 13.

13. Por cuánto tiempo guardamos y qué pasa cuando eliminas la cuenta

Qué pasa cuando eliminas la cuenta (dentro de la app, en Más → Ajustes):

• Al instante: tu sesión en todos los dispositivos se cierra; correo, nombre de usuario, nombre, teléfono, foto de perfil (el archivo se borra del almacenamiento), contraseña, identificador Apple, país, región y ciudad se eliminan o se cambian por un código anónimo; la cuenta pasa a "eliminada". El correo queda libre al instante; el nombre de usuario queda reservado por 30 días.
• Al instante: clientes, citas, viajes, hoteles, finanzas, categorías y orígenes se borran del servidor. Las fotos de clientes se borran de tu iPhone.
• Cuentas creadas con "Iniciar sesión con Apple": se revoca el vínculo con Apple.
• Colaboraciones: terminan. Si quien elimina es la profesional, la asistente queda solo con el extracto de comisiones (fecha, ciudad, su cliente y valores); las notas y los demás datos de la profesional se borran (sección 8). Si quien elimina es la asistente, las citas que ella agendó quedan en la agenda de la profesional, vinculadas a una cuenta anónima.
• Las fotos de reportes se borran también de tu iPhone y de tu iCloud.
• Permanecen: los reportes de la comunidad (anónimos, vinculados a un código anónimo); el registro de acciones (códigos, sin contenido); la fila mínima de la cuenta con el código anónimo y las fechas, para que el registro de acciones siga apuntando a algo; y los datos que la ley nos obligue a guardar.
• También al instante: las sesiones antiguas (incluidas las ya revocadas, con identificador y descripción del dispositivo) y los enlaces de restablecimiento de contraseña se borran.
• Los registros de acceso (IP y hora) no se borran al eliminar la cuenta: salen solos después de 6 meses.
• La eliminación es inmediata y no se puede deshacer.

14. Tus derechos y cómo ejercerlos

14.1 Derechos (LGPD, art. 18)

Puedes, en cualquier momento: confirmar que tratamos tus datos y acceder a ellos; corregir datos incompletos o erróneos; pedir la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados fuera de la ley; la portabilidad; eliminar datos tratados con tu consentimiento; saber con quién los compartimos; saber que puedes negar el consentimiento y las consecuencias; retirar el consentimiento; oponerte a un tratamiento hecho con base en el interés legítimo; revisar una decisión tomada solo por tratamiento automatizado (MOVA no toma decisiones automáticas sobre ti, y la alerta automática de reportes solo lo deriva a la moderación humana); y reclamar ante la ANPD (autoridad de protección de datos de Brasil) (www.gov.br/anpd).

14.2 Cómo ejercerlos y en cuánto tiempo

Dentro de la app: perfil y ajustes (acceder y corregir); "Exportar mis datos" en Finanzas; eliminar cliente, cita, viaje, gasto o ingreso; eliminar la cuenta. Por el soporte: pantalla "Ayuda" o correo [email protected]. Confirmamos la existencia de tratamiento de forma inmediata cuando es por la app, y damos la respuesta completa en hasta 15 días (LGPD, art. 19). Podemos pedir prueba de que la cuenta es tuya para no entregar tus datos a otra persona. Es gratis.

Algunas solicitudes tienen límites que esta política ya explica: los reportes enviados solo salen por el canal de moderación (sección 9), el registro de acciones no se puede alterar (sección 12), y los datos compartidos con una asistente siguen la sección 8. Si la ley nos obliga a guardar algo, te avisamos.

14.3 Encargado de datos (DPO)

La LGPD (art. 41) pide la designación de un encargado y la publicación de un canal de contacto. Encargado: Bruno, responsable de MOVA — [email protected]. Contacto: [email protected].

14.4 Tus clientes y otras personas mencionadas

Si eres cliente de una usuaria de MOVA, o fuiste mencionada de otra forma, y quieres saber, corregir o borrar tus datos: habla primero con la profesional (ella es quien decidió anotar tus datos y responde por ellos — sección 15). También puedes escribir a [email protected] y te ayudamos a encaminarlo o, cuando el dato esté bajo nuestra responsabilidad (reportes, sección 9), te atendemos directamente.

15. Quién es responsable de los datos de tus clientes

• Los clientes que tú registras son personas de quienes tú decidiste guardar datos. En ese caso, tú eres la responsable del tratamiento de esos datos y MOVA es operador: guarda y organiza por ti, solo para ti, según tus instrucciones (LGPD, art. 5º, VI y VII, y art. 39). Si usas MOVA solo para fines personales y no profesionales, la LGPD ni siquiera se te aplica (art. 4º, I); pero MOVA fue hecha para uso profesional.
• MOVA es responsable del tratamiento (decide por sí sola) de lo que sea de interés de la plataforma: tu cuenta, la seguridad, los reportes, la moderación, los registros de acceso y el acceso administrativo de la sección 11.

16. Seguridad, incidentes y copias de seguridad

• Contraseñas guardadas solo como hash Argon2id; bloqueo de las 10 mil contraseñas más comunes; mínimo de 10 caracteres.
• Comunicación siempre cifrada (HTTPS, con HSTS).
• Sesión con clave de acceso corta (15 minutos), solo en la memoria de la app, y clave de renovación rotativa guardada en el Keychain del iPhone; el reúso de una clave antigua cierra la sesión del dispositivo.
• Límite de intentos de inicio de sesión, registro y recuperación por IP y por cuenta; registro de intentos fallidos con aviso interno cuando sobrepasa lo normal.
• Cada dato privado tiene dueña, y el servidor comprueba la dueña en todas las operaciones; cambiar un identificador en la solicitud nunca da acceso a datos de otra cuenta (probado automáticamente).
• Foto de perfil comprobada por el contenido real del archivo, no solo por la extensión.
• Registro de acciones de solo agregado, impuesto por la base de datos.
• En el iPhone: Keychain, protección de archivo y bloqueo opcional con Face ID/Touch ID/código, con la imagen de la app oculta en el selector de apps.
• El servidor se niega a ejecutarse contra una base de datos del entorno equivocado.
• Servidor y base en proveedores en Estados Unidos (sección 6), bajo contrato de protección de datos.
• Registros de acceso (IP): tabla que el sistema solo puede escribir; la lectura y el borrado quedan a cargo de una rutina separada y restringida.
• Copias de seguridad: diarias, en Estados Unidos; los datos eliminados salen de las copias en hasta 30 días (sección 13).

Ningún sistema es 100% seguro. Si hay un incidente de seguridad que pueda causar un riesgo o daño relevante para ti, te avisaremos a ti y a la ANPD en hasta 3 días hábiles después de que lo sepamos (Resolución CD/ANPD nº 15/2024), diciendo qué ocurrió, qué datos fueron afectados, los riesgos, qué hicimos y qué puedes hacer. También mantendremos un registro interno de todos los incidentes por 5 años. Para usuarias en EE. UU., también rigen las leyes estatales de aviso de violación de datos (sección 17).

17. Países y otras leyes

En la primera versión, MOVA se ofrece en la App Store solo en Brasil y Estados Unidos. La app tiene cinco idiomas (portugués, inglés, español, ruso y chino simplificado), pero el idioma no decide la ley: la decide el país donde se ofrece la app y donde están las usuarias.

• Brasil: LGPD, Marco Civil de Internet y, para los Términos, el Código de Defesa do Consumidor (Código de Defensa del Consumidor de Brasil).
• Estados Unidos: no hay una ley federal general de privacidad. Las leyes estatales de privacidad (como la CCPA/CPRA, de California) solo se aplican a empresas por encima de ciertos límites de ingresos o de número de consumidores, que MOVA hoy no alcanza; MOVA no se declara sujeta a ellas en este momento y lo reevalúa periódicamente. Aun así, damos a todas las usuarias, incluidas las de EE. UU., lo que esas leyes suelen pedir: saber qué datos guardamos y por qué, acceder y descargar (por la app y por el soporte), corregir, borrar (eliminar la cuenta en la app) y no sufrir discriminación por ejercer esos derechos. No vendemos datos personales, no los compartimos para publicidad entre contextos y no usamos "datos personales sensibles" para inferir características. Si una ley estatal pasa a regir para nosotros, esta política se actualizará con el procedimiento exigido. Para hacer una solicitud: el correo de la sección 20. Las leyes estatales de aviso de violación de datos y la ley federal contra prácticas engañosas (FTC) rigen para cualquier tamaño, y las cumplimos. Para usuarias en EE. UU., los datos quedan en su propio país (sección 7).
• Fuera de esa lista (Unión Europea, Reino Unido, Rusia, China, resto de América Latina y del mundo): no se ofrece en la primera versión. Una usuaria brasileña o estadounidense que viaje sigue pudiendo usar la app con la cuenta que ya tiene.

18. Menores de edad

MOVA es solo para mayores de 18 años. Los menores de 18 no pueden crear una cuenta (Términos de Uso). La app no está dirigida a niños ni adolescentes; por eso no recopilamos datos de ellos a propósito. Si descubrimos la cuenta de un menor, será suspendida y los datos borrados (LGPD, art. 14).

19. Cambios en esta política

Cuando cambiemos esta política, avisaremos en la app y por correo antes de que el cambio rija, con la fecha de la nueva versión. Los cambios que amplíen el uso de tus datos solo rigen después del aviso y, cuando la ley lo exija, de tu nuevo consentimiento. Las versiones anteriores están disponibles mediante solicitud al soporte.

20. Contacto

• Soporte: pantalla "Ayuda" en la app y correo [email protected].
• Privacidad y derechos, denuncia de reporte, solicitud de eliminación: [email protected].
• Esta política está publicada en https://movapro.app/es/privacidad/ y es accesible dentro de la app.