Política de privacidad de Sorawa
Última actualización: 27 de octubre de 2026.
1. Responsable del tratamiento
Alberto Mendoza Aguilera, persona física, que desarrolla y mantiene Sorawa con la marca Mendozillabs, sin actividad comercial: la app es gratuita y no tiene publicidad.
Contacto para cualquier cuestión de privacidad: privacidad@mendozillabs.com.
2. Ámbito
Esta política aplica a la app Android Sorawa y al backend que la sirve. Sorawa es un intercomunicador automático por proximidad para moteros: mientras tienes Ride Mode activo, la app comparte tu ubicación con nuestro servidor para detectar riders cercanos y conectaros por voz automáticamente.
Sorawa no muestra tu ubicación a otros usuarios, no tiene mapa y no guarda un historial de tus rutas.
3. Qué datos recopilamos y para qué
Cuenta e identidad
Al iniciar sesión con Google recibimos tu email, nombre y un identificador único de tu cuenta de Google. Los usamos para crear y reconocer tu cuenta. No usamos ningún otro método de login.
Perfil
El nombre de usuario, el casco que llevas y los colores con los que has pintado cada casco se guardan asociados a tu cuenta. El nombre y el casco puesto, con sus colores, los ven los demás riders cuando estáis en el mismo grupo, y tus amigos en su lista de amigos.
Amigos
Si añades a alguien como amigo (escaneando el código QR del otro, que lleva tu identificador de cuenta), guardamos esa amistad en tu cuenta y en la suya. Sirve para que podáis elegir rodar solo con amigos y para que cada uno vea al otro en su lista. Puedes quitar a un amigo cuando quieras.
El código QR lo lee el escáner de Google Play services: Sorawa no tiene permiso de cámara ni ve la imagen, sólo recibe el texto del código.
Ubicación
Mientras Ride Mode está activo, tu ubicación GPS precisa se envía continuamente a nuestro servidor. La usamos exclusivamente para calcular si hay otro rider cerca y formar el grupo de voz. Tu ubicación:
- Nunca se envía a otros usuarios, ni exacta ni aproximada.
- No se guarda como historial de ruta.
- Vive en el servidor, sólo en memoria, el tiempo mínimo para calcular proximidad en tiempo real (90 segundos sin recibir otra) y después se descarta. Nunca se escribe en la base de datos.
Si la ubicación del móvil viene de una app de ubicación simulada, Sorawa no la usa ni la envía, y la ruta se detiene. El servidor tampoco acepta posiciones imposibles (saltos que ninguna moto podría hacer).
Audio / micrófono
Mientras estás en un grupo, el micrófono transmite audio en tiempo real a los demás a través de Cloudflare. No grabamos ni almacenamos audio en ningún momento.
Datos técnicos de uso
Registramos eventos técnicos —inicio y fin de ruta, formación de grupos, qué tipo de conexión de audio se usó— para medir estabilidad y coste del servicio.
Esos eventos no llevan tu identidad. Cada rider tiene un seudónimo aleatorio, generado una vez y sin ninguna relación con tu email ni con tu identificador de cuenta, y es lo único que se escribe en esos registros. La correspondencia entre tu cuenta y tu seudónimo existe en un solo sitio: la fila de tu cuenta. Cuando borras la cuenta, esa fila desaparece y con ella la única forma de saber de quién eran esos registros.
Los eventos no incluyen coordenadas, tokens de sesión, contenido de audio o de señalización, ni tu email.
Honestamente: seudonimizado no es lo mismo que anónimo. Con pocos usuarios, «el rider que rodó el martes a las 19:04» puede ser una sola persona aunque sólo figure un seudónimo.
Tus números
Guardamos en tu cuenta cuántas rutas has completado, cuánto tiempo has rodado en total, la ruta más larga y la fecha de la primera. Son tuyos, se te muestran, y se borran con la cuenta.
Bluetooth
Si tienes un casco o intercomunicador Bluetooth conectado, el audio va por él. No recopilamos ni guardamos identificadores de dispositivos Bluetooth.
Direcciones IP
Como cualquier servicio de internet, nuestros servidores y los proveedores que usamos reciben la dirección IP desde la que te conectas: es lo que hace que una conexión funcione. No la guardamos ni la asociamos a tu cuenta.
Sentry, nuestro servicio de detección de errores, no almacena tu dirección IP, pero sí deduce de ella tu país y tu ciudad aproximada, y eso queda asociado al informe de error mientras ese informe exista. Lo hemos comprobado enviando un evento y leyéndolo: desactivar el almacenamiento de IP no elimina esa deducción.
Sesión local
Guardamos en el teléfono un token de sesión propio (JWT) y una copia de tu perfil, cifrados con AES-256 con una clave que se genera en el almacén seguro del teléfono (Android Keystore) y no sale nunca de él, para no pedirte login cada vez que abres la app. Nada de la app va en las copias de seguridad en la nube ni pasa a otro teléfono.
4. Por qué podemos usarlos
- Para darte el servicio que pides al usar la app: tu cuenta, tu perfil, tus amistades, tu ubicación durante la ruta y tu voz en el grupo. Sin ellos Sorawa no puede funcionar.
- Por nuestro interés legítimo en que el servicio funcione bien, sea seguro y sostenible: los datos técnicos seudonimizados y los informes de errores.
5. Con quién compartimos datos
Sorawa no vende datos ni los usa con fines publicitarios. Los compartimos únicamente con los proveedores necesarios para que el servicio funcione:
| Proveedor | Qué recibe | Para qué |
|---|---|---|
| Tu identidad de Google (login) | Autenticación | |
| Cloudflare (Realtime SFU y TURN) | Tu audio en tiempo real mientras estás en un grupo y la dirección IP de tu móvil. No recibe tu identidad, tu seudónimo ni tu email: las sesiones de audio no llevan ningún dato que te identifique | Infraestructura de voz en grupo |
| Neon (Postgres) | Tu cuenta (nombre, cascos y colores, email, tus números, tus amistades) y los registros técnicos seudonimizados | Almacenamiento |
| Google Cloud Run | Todo el tráfico hacia el backend | Alojamiento |
| Sentry | Errores y trazas del programa, con el modelo del móvil, la versión del sistema, el estado de los permisos y un identificador aleatorio de instalación. No lleva tu identidad, tu email ni coordenadas. Ver «Direcciones IP» más arriba | Detectar fallos |
| Otros riders de tu grupo | Tu nombre, casco y colores; tu audio mientras hablas. No reciben tu identificador de cuenta: para ellos eres un identificador que sólo vale durante esa ruta | Para saber con quién están hablando |
| Tus amigos | Tu nombre, casco y colores | Para verte en su lista |
Cada uno trata estos datos sólo por cuenta de Sorawa y para prestar su servicio, con el contrato de encargado del tratamiento que forma parte de sus condiciones (Google Cloud, Neon, Cloudflare y Sentry).
Algunos de estos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando ocurre, lo hacen con las garantías que exige el RGPD: las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos entre la UE y EE. UU.
6. Retención de datos
- Ubicación / presencia en tiempo real: se descarta automáticamente a los 90 segundos si dejas de enviar actualizaciones. No hay histórico.
- Cuenta (email, nombre, cascos y colores, tus números, tus amistades): mientras tu cuenta exista.
- Eventos técnicos seudonimizados: 90 días. El servidor los borra solo, en tandas, y el plazo es configurable sin necesidad de publicar una versión nueva.
- Sesión (JWT): caduca a los 30 días, y se renueva cada vez que abres la app. En la práctica sólo tendrás que volver a iniciar sesión si pasas más de un mes sin abrirla.
7. Permisos del dispositivo
Cada permiso se pide en el momento en que hace falta, explicando antes para qué, nunca todos de golpe al instalar.
| Permiso | Por qué lo pedimos | ¿Imprescindible? |
|---|---|---|
| Micrófono | Hablar con otros riders durante una ruta | Sí: sin él no hay ruta |
| Ubicación precisa | Detectar riders cercanos y formar grupos | Sí: sin ella no hay ruta |
| Notificaciones | El aviso permanente de que hay una ruta activa | Sí, en Android 13 o más |
| Servicio en primer plano | Mantener la ruta con la pantalla bloqueada | Sí |
No pedimos permiso de cámara (el escáner de QR es de Google Play services), ni de ubicación en segundo plano, contactos, almacenamiento, SMS ni llamadas. En Android 11 o anterior el sistema concede al instalar los permisos de Bluetooth para usar el casco; desde Android 12 no hace falta ninguno.
Nunca activamos el micrófono ni la ubicación fuera de una ruta iniciada explícitamente por ti.
8. Seguridad
- Las conexiones con el servidor usan TLS/WSS.
- El token de sesión se cifra en el dispositivo con una clave que no sale de él.
- Los secretos de infraestructura viven sólo en el servidor; la app nunca los contiene.
- Los registros técnicos llevan seudónimo, nunca identidad, y se filtran para no incluir coordenadas, tokens ni señalización.
9. Tus derechos
Tienes derecho a acceder, rectificar y solicitar la supresión de tus datos.
Borrar tu cuenta está dentro de la app, en Ajustes → Eliminar la cuenta y todos mis datos. También puedes hacerlo sin la app, en mendozillabs.com/sorawa/cuenta, o pedirlo por email (ver cómo borrar tu cuenta). Antes de confirmarlo verás la lista de lo que desaparece. Al confirmar se borra:
- Tu cuenta, tu nombre, tu email y tu identificador de Google.
- Tus cascos y todos los colores que hayas pintado.
- Tus números de rutas y tus amistades.
- Tu sesión y todo lo demás guardado en el teléfono.
Qué se conserva: los registros técnicos seudonimizados, que a partir de ese momento no se pueden vincular con ninguna persona.
Y una limitación que debes conocer: el token que está en tu teléfono es una firma con fecha, no algo que el servidor guarde, así que no se puede invalidar a distancia. En la práctica deja de servir de inmediato para todo lo que necesita tu cuenta —renovarse y conectarse a una ruta lo comprueban— pero no desaparece hasta que caduca.
Puedes editar tu nombre y tu casco en cualquier momento desde el perfil.
10. Menores de edad
La edad mínima para usar Sorawa son 16 años.
Es la edad elegida por una razón concreta: el RGPD deja que cada país fije entre 13 y 16 la edad a partir de la cual una persona puede consentir por sí misma el tratamiento de sus datos. España la puso en 14, pero otros países de la Unión la pusieron en 16. A partir de los 16, el consentimiento es válido en cualquier país de la Unión sin que haga falta el de un padre o tutor.
Si llegamos a saber que una cuenta pertenece a alguien de menos de 16 años, la borraremos junto con todos sus datos. Si eres madre, padre o tutor y crees que ha ocurrido, escríbenos a la dirección de la sección 12.
11. Cambios en esta política
Si cambiamos esta política, cambia la fecha de «Última actualización» de arriba. Si el cambio es importante —recoger un dato nuevo, o usar uno para algo distinto—, te avisaremos dentro de la app antes de que se aplique.
12. Contacto
Escríbenos a privacidad@mendozillabs.com para cualquier consulta, para ejercer tus derechos o para pedir que borremos tu cuenta si ya no tienes la app.
Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).