Política de Privacidad de Localia

Fecha de entrada en vigor: 3 de noviembre de 2026 · Aplicación: Localia (me.localia.app) · Responsable del Tratamiento: Bruno Sánchez-Andrade Nuño (support@localia.me)

1. Responsable del Tratamiento, Cero Cuentas y Encargados de Infraestructura

• Responsable del Tratamiento (Art. 13.1.a RGPD): Localia (publicada en https://localia.me con identificador de paquete Android me.localia.app) es publicada de forma gratuita y sin ánimo comercial por Bruno Sánchez-Andrade Nuño (desarrollador independiente, Unión Europea), contactable para cualquier cuestión de privacidad y protección de datos en support@localia.me.
• Cero Cuentas y Cero Cookies de Rastreo: Localia no requiere registro, correo electrónico ni teléfono. La web localia.me utiliza 0 cookies y no carga scripts ni fuentes de terceros; únicamente si seleccionas un idioma en el selector 🌐 tu navegador guarda la preferencia funcional localStorage["localia_lang"] (uno de los 9 códigos de 2 letras: en, es, ca, fr, de, it, pt, nl, pl), exenta conforme al art. 5.3 de la Directiva ePrivacy / art. 22.2 LSSI por ser una opción de interfaz solicitada expresamente por el usuario.
• Encargados del Tratamiento y Alcance Verificado de Alojamiento (Art. 28 RGPD):
  • Cloudflare, Inc. (bajo su Acuerdo de Encargo de Tratamiento RGPD, Marco de Privacidad de Datos UE-EE. UU. y Cláusulas Contractuales Tipo) sirve los archivos estáticos y procesa localia.me/api/* sobre la base de datos Cloudflare D1 localia_zero_pii. Los metadatos verificados de D1 registran running_in_region = "WEUR" (indicación de ubicación primaria en Europa Occidental), jurisdiction = null (sin bloqueo jurisdiccional explícito de Cloudflare) y read_replication = "disabled". Nuestro código desactiva los registros de invocación del Worker (observability.enabled = false) y nunca lee ni guarda CF-Connecting-IP; la gestión estándar de transporte y seguridad de red del borde de Cloudflare (TLS y cabeceras estándar de red) se rige por su DPA.
  • GitHub, Inc. (Solo réplica interna de Comentarios voluntarios): Cuando envías voluntariamente un reporte en 👎 Comentarios o en el formulario de soporte web, nuestro Worker crea además una incidencia interna en el repositorio privado Localia-me/localia alojado en GitHub, Inc. (sujeto al DPA RGPD de GitHub, Marco de Privacidad UE-EE. UU. y Cláusulas Contractuales Tipo) exclusivamente para corrección de errores. El webhook opcional previsto en código (FEEDBACK_WEBHOOK_URL) no está configurado en producción. Las estadísticas diarias nunca se envían a GitHub.

2. Datos Personales en el Dispositivo y Permisos de Android

Todos los conectores personales son 100 % opcionales, vienen desactivados por defecto y muestran un aviso destacado dentro de la app antes de solicitar cualquier permiso del sistema:

3. Tráfico de Red y Esclusa Interna (AirlockController)

Todo socket HTTP pasa por un único AirlockController auditable empleando el resolutor DNS del sistema (Dns.SYSTEM) y prohibiendo tráfico sin cifrar (cleartextTrafficPermitted="false"):

1. Sin conexión por defecto (Buscar en internet DESACTIVADO): Al instalar la app, el 100 % de las búsquedas web y URLs salientes están bloqueadas aunque tengas Wi-Fi o 5G activos.
2. Descarga de Modelos de IA Abiertos (solo HTTPS GET): Cuando confirmas descargar un modelo .gguf (y su proyector visual mmproj opcional), tu móvil descarga el archivo directamente por HTTPS desde Hugging Face CDN (huggingface.co / cdn-lfs.huggingface.co), verificando su suma SHA-256 de 64 caracteres. Hugging Face recibe las cabeceras estándar de red (IP, User-Agent) necesarias para servir el archivo.
3. Buscar en internet Opcional y Consulta Puntual en 1 Toque: Solo cuando activas Buscar en internet, pulsas buscar en internet para una pregunta concreta o compartes un enlace https:// con dicho modo activo, Localia realiza una petición HTTPS GET sin cookies (CookieJar.NO_COOKIES) e identificándose honestamente como Localia/1.1 (+https://localia.me) hacia APIs y fuentes públicas autorizadas — API MediaWiki de Wikipedia (*.wikipedia.org), API JSON de Respuesta Instantánea de DuckDuckGo (api.duckduckgo.com) y RSS de Google News (news.google.com) — o a la página https:// indicada (con protección SSRF contra IPs privadas). Tu memoria me.md, archivos, fotos y Apps conectadas jamás se adjuntan a las búsquedas.

4. Comentarios Voluntarios y Estadísticas Diarias Cero-ID Estrictamente Opt-In

4.1 Botón de Comentarios (👎 Comentarios — «Solo diagnóstico» por defecto)

Nada se envía salvo que pulses explícitamente 👎 en una respuesta, en el panel de Privacidad o en Ajustes → Comentarios y confirmes el envío. Está deshabilitado el envío de chats sin filtrar. Conforme al artículo 25 del RGPD (privacidad desde el diseño y por defecto), la opción preseleccionada por defecto es Solo diagnóstico:

• Solo diagnóstico (Por defecto): Envía 0 palabras del chat: únicamente tu nota opcional anonimizada (<= 500 caracteres), categoría del fallo (wrong_answer, too_slow, cut_off_or_format, search_online, unsafe_or_offensive, app_or_ui, other), versión de la app, grupo de fabricante (12 valores cerrados como "Google", "Samsung", "OnePlus" u "Other"), gama de procesador, tramo de RAM, SDK de Android, código de idioma de 2 letras, ID del modelo del catálogo (los modelos propios aparecen como "custom_gguf"), estado de Buscar en internet y velocidad de generación.
• Anonimizar y enviar (Elección opcional del usuario): Si cambias manualmente a esta opción para adjuntar el turno, LocalFeedbackAnonymizer oculta en tu móvil emails, teléfonos, enlaces con rutas o tokens privados, IBAN/tarjetas, códigos 2FA/OTP, claves API, @usuarios y nombres propios de tu me.md (Identidad y Personas clave), limitando cada fragmento a <= 800 caracteres. Como ningún filtro automático es infalible, mostramos una advertencia expresa sobre datos sensibles y cajas de texto editables para revisar cada palabra antes de enviarlo, aplicando un segundo filtrado antes de la transmisión HTTPS (máx. 4 KB).
• Borrado Automático a los 30 Días y Borrado Sincronizado (fb_...): Cada envío devuelve un código único de recibo (fb_..., guardado solo en el registro de privacidad local de tu teléfono; en D1 únicamente se guarda su hash SHA-256) que permite borrar ese reporte al instante y sin cuenta en localia.me/es/delete-data. Tanto el uso del recibo como la purga automática a los 30 días eliminan la fila en D1 y redactan/cierran de forma sincronizada la incidencia privada en GitHub mediante cola duradera de reintentos (feedback_mirror_outbox).

4.2 Estadísticas Diarias Opcionales (DESACTIVADAS por defecto · Supresión de Cohortes)

En cumplimiento del artículo 6.1.a) del RGPD, el Considerando 26 y el artículo 5.3 de la Directiva ePrivacy / artículo 22.2 LSSI, las Estadísticas de uso anónimas están desactivadas (false) por defecto tanto en la pantalla de bienvenida como en Ajustes → Avanzado. Cero paquetes se envían salvo que actives manualmente la opción.

• Cero IDs Persistentes, Atestación Efímera y Supresión de Cohortes Pequeñas: Localia nunca lee Android ID, GAID, IMEI, dirección MAC, modelo exacto del teléfono ni GPS, y no envía ningún hash persistente de dispositivo ni de cohorte. Cuando el hardware soporta atestación de Android Keystore, el envío adjunta una cadena efímera de un solo uso (borrada de Keystore antes del envío; 0 bytes de certificados guardados) para distinguir compilaciones verificadas por hardware (approved_hw) frente a envíos sin verificación hardware (unverified_fallback) en "play" o "sideload". Si activas la opción, la app envía como máximo un resumen al día (UTC) (<= 2.048 bytes) que incrementa telemetry_daily_rollup y descarta la petición individual. Dado que combinaciones poco frecuentes de versión, fabricante, SoC, RAM, SDK, idioma y modelo podrían formar grupos pequeños (Considerando 26 RGPD y criterios AEPD), las consultas estadísticas aplican un umbral mínimo k >= 5 envíos (agrupando celdas con menos de 5 envíos en un bloque suprimido) y conservan los agregados un máximo de 90 días sin afirmar anonimato matemático absoluto por la mera ausencia de ID.
• Revocación Instantánea: Al desactivar la opción en Ajustes → Avanzado se detienen los envíos de inmediato y se borran los contadores diarios locales.

5. Aplicación 100 % Gratuita y No Comercial (0 €)

Todas las funciones de Localia son 100 % gratuitas (0 €), sin niveles de pago, sin suscripciones, sin compras integradas, sin SDK de facturación en el binario publicado y sin recoger ningún dato financiero ni de pago.

6. Conservación, Borrado Instantáneo y Derechos RGPD / LOPDGDD / CCPA

• Borrado Local Instantáneo: Borra cualquier chat, nota en Guardados o dato de me.md en 1 toque, desconecta cualquier fuente en Ajustes → Apps conectadas o desinstala Localia para destruir todas las claves AES-256-GCM y datos locales.
• Borrado Instantáneo por Recibo y Plazos Breves: Elimina al instante cualquier comentario enviado introduciendo tu código fb_... en localia.me/es/delete-data (o escribiendo a support@localia.me), lo que suprime la fila en D1 y redacta/cierra cualquier incidencia privada asociada en GitHub. Los reportes de comentarios se purgan automáticamente a los 30 días y los contadores diarios agregados con supresión de cohortes caducan a los 90 días.
• Derechos de Protección de Datos: Puedes ejercer tus derechos de acceso, rectificación, supresión, limitación, portabilidad y retirada del consentimiento en cualquier momento en support@localia.me, así como presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en aepd.es o la autoridad de control de tu país en la Unión Europea. Nunca vendemos ni compartimos información personal con fines publicitarios.

7. Privacidad de Menores y Cambios

Localia no está dirigida a menores de 13 años (ni a menores de la edad mínima de consentimiento digital aplicable en cada jurisdicción, como 14 años en España conforme al art. 7 LOPDGDD). Cualquier cambio relevante se publicará en https://localia.me/es/privacy/ actualizando la fecha de vigor. Contacto: support@localia.me.