Política de privacidad
Última actualización: 26 de septiembre de 2026.
Esta política explica qué datos recogemos, por qué, con quién se comparten y qué puedes hacer al respecto. Está escrita para que se entienda leyéndola una vez.
Quién trata tus datos
Vexxy la opera Carlos Gonzalo Hernández Laurencio, persona física, con cédula de identidad y electoral 402-2611241-1 y domicilio en Calle 2 #12, San Felipe, Santo Domingo 11201, República Dominicana.
Esa es la persona responsable de los datos que se describen aquí, y a quien puedes dirigirte para cualquiera de los derechos que se explican más abajo. El correo es privacidad@vexxyapp.com y se contesta desde ahí.
Qué recogemos
Tu número de teléfono. Es lo único que hace falta para entrar. Se guarda en el sistema de autenticación y no se copia a tu perfil: es el dato más identificable que manejamos y no hay motivo para tenerlo en dos sitios. Ninguna otra persona lo ve nunca.
Lo que pones en el perfil. Nombre visible, fecha de nacimiento, género, a quién te interesa conocer y tu descripción. La fecha de nacimiento se usa para comprobar que tienes 18 años y para calcular la edad que se muestra; el día concreto no se enseña a nadie.
Tu orientación sexual, si decides ponerla. Es opcional de verdad: nace vacía, nadie la rellena por ti ni se deduce de a quién buscas, y dejarla vacía no cambia nada —el mazo no la usa para ordenar ni para filtrar—. Se elige de una lista cerrada, sin texto libre, y se quita cuando quieras desde Editar perfil. Es un dato especialmente protegido y lo tratamos como tal. Si la pones, viaja con tu ficha a los móviles de quien te ve en Descubrir, Cerca y Destacados, y la ve el personal con permiso para consultar fichas, que deja apuntada cada consulta.
Tus fotos. Las de perfil, las que envías por el chat y las de tus ascuas.
Tus ascuas, si publicas alguna. Lo que subes al carril —un texto, una nota de voz, una foto o un vídeo—, que se enseña con tu nombre visible y tu edad. Y lo que haces en las de los demás: tus "me gusta", tus comentarios, qué ascuas se te han enseñado y cuáles has visto. De quién ha dado "me gusta" a un ascua o la ha visto solo llega un número, nunca quién. Tus comentarios pasan por el mismo filtro que los mensajes; los ve con tu nombre y tu foto quien publicó el ascua, que además puede abrir tu ficha como en Descubrir. Los demás ven tu primer nombre y una mancha de cuatro colores sacados de otra de tus fotos, nunca de la principal, en la que no se te reconoce; si solo tienes una foto, ven tu inicial. Cómo se modera cada cosa y cuánto se conserva está más abajo.
Tu ubicación. La pedimos para ordenar el deck por cercanía y mostrar una distancia. Además, el equipo de administración la ve en un mapa interno para moderar, redondeada a unos 200 metros y dejando rastro: lo contamos en «Ubicación: qué ve el equipo». A otro usuario nunca le llega más que kilómetros enteros — nunca tus coordenadas, ni la calle, ni el barrio.
En Android pedimos el permiso aproximado (COARSE), que es el que da el sistema. En iPhone ese permiso no existe: iOS entrega la ubicación con más detalle del que necesitamos, y la guardamos tal cual llega. Por eso en la ficha de la App Store verás declarada «ubicación precisa»: es lo honesto, aunque a ningún otro usuario se la enseñemos.
Puedes negar el permiso: seguirás pudiendo usar la app, aunque el deck será peor.
Tu actividad dentro de la app. Tus swipes, tus matches, tus mensajes, a quién bloqueas y qué reportas. También la última vez que estuviste activo, que se usa para no enseñar perfiles abandonados. Y unas estadísticas por foto —cuántas veces se ha enseñado, cuántos "me gusta" y cuántas veces se ha abierto—, que existen para poder decirte qué foto tuya funciona mejor: son un recuento agregado y nunca dicen quién. Se pueden apagar desde los ajustes.
Tu dirección de correo, si decides añadirla. Es opcional y no es una forma de darse de alta: el teléfono sigue siendo la raíz de la cuenta. Tiene su propio apartado más abajo.
El selfie de verificación, de forma temporal. Verificarte es el último paso del alta. Ver más abajo, porque es un dato especial y merece su propio apartado.
Tu música de Spotify, si conectas tu cuenta. Es opcional. Tiene su propio apartado más abajo.
El comprobante de tu suscripción, si compras Vexxy Plus o Vexxy Ultra. La tienda nos devuelve un token de compra —un identificador largo y opaco de esa compra concreta—, el producto comprado y la fecha en que caduca. Tiene su propio apartado más abajo.
Una huella de tu dispositivo. La app obtiene un identificador del móvil —en Android lo da el sistema; en iPhone lo crea la propia app y lo guarda en el llavero de ese teléfono— y lo envía al servidor, donde se convierte en una huella irreversible antes de guardarse; en nuestros servidores el identificador original no se almacena en ninguna parte. Sirve para detectar cuentas múltiples y abuso, y para nada más. Tiene su propio apartado más abajo.
Los teléfonos de tu agenda, si enciendes el bloqueo de contactos. Viene apagado y no se enciende solo. Los números se convierten en un código irreversible antes de guardarse y los originales no se almacenan. Tiene su propio apartado más abajo, porque trata datos de gente que no usa Vexxy.
Datos técnicos mínimos de conexión y errores, los que genera cualquier servicio al recibir una petición. Entre ellos hay un freno para que nadie pueda pedir códigos SMS en masa contra un número ajeno: de cada intento se guarda un código irreversible de tu teléfono y de la dirección IP desde la que llegó la petición, calculado con una clave secreta nuestra. Ese freno no guarda los valores originales: solo el código, y de él no se puede volver atrás.
Tu dirección IP. Nunca la usamos para publicidad ni para analítica. El único uso para el que está prevista es detectar cuentas creadas en masa desde una misma conexión y aplicar medidas de moderación.
Desde el 22 de septiembre de 2026 esa dirección se guarda, ligada a tu cuenta y con la primera y la última vez que la vimos y cuántas veces. Se borra a los 180 días de la última vez que la viéramos, y antes si borras tu cuenta; la única excepción es una dirección que alguien del equipo ha marcado a mano —como bloqueada, a vigilar o de confianza—, que se conserva sin ninguna cuenta detrás para que esa marca, un bloqueo por ejemplo, no se deshaga sola.
La lee una persona, no un automatismo. Nada decide nada por sí solo a partir de tu dirección: sirve para que quien modera vea si muchas cuentas salen de la misma conexión.
Lo que todavía NO hacemos. Existe construida, y sin encender, la parte que averiguaría de qué país, ciudad y proveedor es esa dirección y si viene de una VPN o de un centro de datos. Eso lo diría IPQualityScore, un servicio de reputación al que se le mandaría la dirección IP y nada más. Hoy no está activada: IPQualityScore no recibe nada, y tu dirección no sale de nuestros servidores. Si algún día se activa, lo diremos aquí.
Y hay publicidad. La app lleva el kit de anuncios de Google AdMob. Tiene su propio apartado, que es el siguiente, porque es lo primero que la gente quiere saber y merece contarse entero.
Publicidad: qué formatos hay y qué se manda a AdMob
Hay dos formatos de anuncio y ninguno más. No hay banners.
Los anuncios recompensados los pides tú. Están en la pantalla de créditos: ves un anuncio porque decides verlo a cambio de créditos, y si no lo pides no aparece nunca. Nada te obliga a ver ninguno; los créditos también se consiguen sin verlos.
Y la recompensa la concede el servidor, no tu móvil. Cuando terminas el anuncio, AdMob llama a nuestro servidor por su cuenta con una petición firmada criptográficamente, nosotros comprobamos esa firma contra las claves públicas de Google y solo entonces se abonan los créditos. Si la app dijera "ya lo he visto", no la creeríamos: cualquiera que modifique la aplicación podría acuñarse créditos.
Lo que viaja a AdMob en esa verificación es el identificador de tu perfil. Exactamente eso y nada más: el identificador interno de tu perfil, una cadena aleatoria que no contiene tu nombre ni tu teléfono ni nada legible, y que es lo que hace posible saber a quién abonar los créditos cuando la llamada firmada llega a nuestro servidor. Sin él, la recompensa llegaría sin destinatario y se descartaría.
No hay ningún anuncio que no hayas pedido. Lo hubo —a pantalla completa, entre tarjetas del deck— y se retiró el 3 de septiembre de 2026. Hoy, dentro del mazo, lo que puede aparecer es una tarjeta de Vexxy que te ofrece ver un anuncio a cambio de créditos. Pasarla de largo no cuesta nada y ni siquiera arranca el kit de anuncios: eso solo ocurre si la tocas.
Con Ultra no sale ninguna. Con Plus salen la mitad de veces que sin pagar. Eso lo decide el servidor leyendo tu plan, no una casilla guardada en el móvil.
El kit de anuncios no arranca hasta que hay un anuncio que enseñar. No se inicializa al abrir la app: mientras nadie pida un anuncio ni toque un hueco, no abre conexiones ni recoge identificadores.
Qué NO le mandamos a AdMob. Ni tu nombre, ni tus fotos, ni tu descripción, ni tu ubicación, ni tu edad, ni tus intereses, ni tus mensajes, ni con quién haces match. La petición del anuncio va sin ningún dato de segmentación puesto por nosotros.
Qué recoge Google por su cuenta. El kit de AdMob usa el identificador de publicidad de tu móvil y datos técnicos del dispositivo para elegir qué anuncio enseñarte y para medir. Eso lo hace Google bajo su propia política de privacidad, no bajo esta, y nosotros no lo vemos.
En iPhone eso no ocurre solo: te lo preguntamos. Antes del primer anuncio sale el diálogo de Apple que pide permiso para seguir tu actividad, y si dices que no, no se sigue.
Ese diálogo es el de App Tracking Transparency, y lo que autoriza si dices que sí es que Google pueda cruzar tu identificador de publicidad (IDFA) con datos que recoge en otras apps y webs, para elegir anuncios. Por eso la ficha de la App Store declara que la app hace seguimiento: lo hace, y solo si tú lo autorizaste. Decir que no no te quita nada dentro de Vexxy — los anuncios siguen estando ahí, solo dejan de estar personalizados.
En Android puedes borrar el identificador de publicidad o pedir que no se use para personalizar anuncios desde los ajustes de tu móvil.
Nosotros no construimos ningún perfil publicitario tuyo y no vendemos tus datos. Nada de lo que hay en tu perfil, en tus mensajes o en tu ubicación alimenta la publicidad.
Y no hay rastreadores de analítica de terceros aparte del kit de anuncios descrito arriba. Ni Google Analytics, ni herramientas de producto, ni ningún SDK de medición aparte: fuera de la medición que AdMob hace de sus propios anuncios, la app no lleva ninguno. Si algún día entra alguno, esta política lo dirá antes.
Para qué lo usamos
Para que la app funcione: crear tu cuenta, mostrar tu perfil a quien corresponde, servirte el deck y el carril de ascuas, entregar tus mensajes.
Para cumplir el requisito legal de que solo entren personas mayores de edad.
Para mantener el sitio seguro: moderar imágenes, audio y vídeo, atender reportes, aplicar bloqueos y expulsiones, y detectar cuentas múltiples creadas para saltarse un bloqueo o una suspensión.
Para cobrar la suscripción y los extras, si compras algo.
Para enseñarte anuncios, en los dos formatos y con los límites del apartado anterior.
Para escribirte por correo, si nos has dado una dirección: los avisos que hacen falta y, solo si lo enciendes tú, alguna novedad del producto.
Para recordarte las ascuas con una notificación: cuando la última que encendiste está a punto de apagarse —a veces con cuántos me gusta y comentarios suman tus ascuas encendidas—, y si llevas un día, una semana, dos semanas o un mes sin encender ninguna. Para decidir a quién y cuándo miramos la fecha de tu última ascua (o la de tu alta, si no has encendido ninguna) y tu zona horaria. Se apagan con su propio interruptor, «Recordatorios de ascuas», en Ajustes → Notificaciones.
Y para nada más. No vendemos tus datos a nadie.
Ubicación: qué ve la otra gente
No compartimos tus coordenadas con otros usuarios. El servidor calcula la distancia y solo entrega ese número redondeado a kilómetros enteros; las coordenadas en crudo no salen nunca a la aplicación de nadie, ni siquiera de tus matches.
Y una excepción que conviene saber: el carril de ascuas no va por distancia. El mazo solo te enseña gente dentro de tu radio; el carril de ascuas es global por defecto, así que lo que publicas ahí puede verlo cualquiera, esté donde esté, y no solo quien tengas cerca. Acotarlo a tu radio es un ajuste de Ultra, y cambia lo que tú ves, no quién te ve a ti.
Ubicación: qué ve el equipo
Hay un mapa interno que solo puede abrir el equipo de administración: ningún otro cargo puede tener ese permiso. Lo usamos para moderar, y en él cada persona sale como un punto en una cuadrícula de unos 200 metros, con su nombre y su primera foto aprobada.
Ese punto es donde abriste la app por última vez, no donde vives. Se sobrescribe cada vez que la abres, así que el mapa no guarda un recorrido.
No salen en el mapa las cuentas suspendidas o expulsadas, quien tiene el perfil pausado y quien tiene activo el modo viaje.
Cada vez que alguien del equipo abre el mapa o mira sus caras, queda apuntado quién lo hizo y a qué personas vio. Ese apunte va al mismo libro de registro que las lecturas de conversaciones, y no se puede editar ni borrar.
Fotos y moderación
Toda foto se sube primero y queda pendiente: invisible para los demás. Después se envía a un servicio automático de análisis de imagen (Google Cloud Vision SafeSearch) que devuelve una valoración de contenido sexual, violento o inapropiado. Con esa respuesta pasa a aprobada, a rechazada o a retenida para que la mire una persona. Y si la primera foto de ascua de cada persona sale limpia, no se publica sin que la mire alguien del equipo.
Desde el 26 de septiembre de 2026, antes de aprobar una foto le quitamos la ubicación que el móvil guarda dentro del fichero. Muchas cámaras apuntan dentro de la foto dónde se hizo; el servidor borra ese dato, y los que identifican el aparato, de toda foto de perfil, de chat o de ascua antes de aprobarla. La imagen no cambia, y una foto que no sabe limpiar no se publica.
Qué se guarda de ese análisis, además del veredicto. Un sí o un no a la pregunta de si en la imagen hay alguna cara —no quién, no dónde, no ninguna medida facial: un solo booleano, que sirve para elegir contra qué foto compara la verificación—, y unas medidas técnicas del fichero: tamaño, nitidez, grano, colores dominantes. Son propiedades de la imagen, no tuyas, y sirven para rechazar fotos ilegibles y para sospechar de imágenes generadas.
Y si una foto de perfil o de ascua lleva texto escrito encima, se lee —por si alguien intenta colar un teléfono o una cuenta de otra red— y se pasa por el mismo filtro de palabras que los mensajes. De ese texto no se guarda nada: solo qué regla saltó, si saltó alguna.
Y una miniatura destruida. Al aprobarse una foto se genera en el servidor una miniatura de 24 por 30 píxeles, guardada en un almacén privado aparte. Es una mancha de color en la que no se reconoce a nadie, y es lo único que se enseña de tu cara en el carrusel de Actividad de quien no paga. Está explicado más abajo, en "Lo que sale y lo que no".
Las imágenes que envías por el chat viven en un almacenamiento privado. Nunca se genera una dirección pública para ellas: se entregan mediante enlaces firmados de vida corta, para que reenviar una foto fuera de la app no sea tan sencillo como copiar un enlace. Llegan difuminadas y quedan registradas la hora en que el receptor decide verlas, porque esa marca es la prueba si más tarde hay un reporte.
Cuando se deshace un match, las imágenes de esa conversación se borran del almacenamiento de verdad, no solo de la vista.
Si alguien hace una captura de pantalla de vuestra conversación, lo registramos y se lo decimos a la otra persona. Guardamos quién la hizo, en qué conversación y cuándo — no la captura, que nunca la vemos ni podríamos verla. Lo escribe el servidor, no el móvil de quien captura, porque si lo decidiera su aparato también podría decidir no escribirlo.
Esto solo ocurre en iPhone, y no por elección: en Android el sistema nos deja impedir la captura directamente, así que allí no hay nada que registrar. En iOS no existe forma de impedirla, y preferimos avisarte a que ocurra en silencio.
Los textos y las fotos de un ascua
Un texto pasa por el mismo filtro de palabras que los mensajes, y una foto por el mismo análisis de imagen que las de perfil. La primera de cada tipo que publica cada persona no llega al carril sin que la mire alguien del equipo, aunque el filtro no encuentre nada.
Después, un texto en el que el filtro encuentra algo no se rechaza: se retiene y lo decide una persona. Una foto que el análisis da por inapropiada sí se rechaza sola; si tiene dudas, se retiene para que la mire alguien.
Las notas de voz de un ascua
Una nota de voz se sube igual que una foto, y los demás no pueden oírla hasta que hay veredicto. La tuya la oyes siempre tú, esté aprobada o no: tienes que poder saber qué está esperando.
El audio se envía a un servicio automático de transcripción, Google Cloud Speech-to-Text, en el mismo proyecto de Google que el análisis de imagen. Se manda para saber qué dice, no para guardarlo allí.
La transcripción no se guarda ni se le devuelve a nadie. Vive en memoria el tiempo justo de preguntarle al filtro de palabras qué ha saltado, y se va con la respuesta. Guardarla sería almacenar exactamente el teléfono que se acaba de decidir no transmitir.
Lo que sí queda escrito es qué regla saltó, no lo que dijiste. Se guarda el nombre de la regla y el veredicto. Tus palabras no.
Nadie más oye la primera nota de voz de cada persona antes que alguien del equipo. Después, si el filtro no encuentra nada, la nota se aprueba sola; si encuentra algo —o si el audio no se ha podido transcribir—, la decide una persona del equipo con el audio delante: llega a una tarjeta de moderación que lleva el audio dentro, y alguien lo oye. Nada se rechaza por su cuenta.
El audio vive en un almacenamiento privado y se entrega con enlaces firmados de vida corta. Cuando el ascua caduca, el audio se borra, salvo que haya una denuncia abierta sobre ella o un caso de moderación abierto sobre tu cuenta que no sea de rutina —está más abajo, en "Cuánto se conserva"—.
Los vídeos de un ascua
Un vídeo se sube igual que una foto, y los demás no pueden verlo hasta que hay veredicto. Se graba sin sonido, salvo que al grabarlo elijas que lo lleve. No lo analiza ningún servicio automático ni sale a ningún tercero: todo vídeo lo mira una persona del equipo —y si lleva sonido, también lo escucha— antes de que llegue al carril. Vive en un almacenamiento privado y se entrega con enlaces firmados de vida corta.
El selfie de verificación es un dato biométrico
Si te verificas, el selfie se compara con tu foto de perfil para comprobar que eres la misma persona. Esa comparación la hace un servicio externo de reconocimiento facial (Amazon Rekognition).
Es un dato biométrico y lo tratamos como tal:
Solo se usa para esa comparación concreta. No se usa para identificarte en ninguna otra parte, ni se cruza con nada.
El selfie se borra del servidor en cuanto termina la comparación, salga bien o mal. No se guarda una copia, ni una plantilla facial, ni una huella biométrica derivada. Además, un barrido automático cada hora limpia cualquier selfie que hubiera quedado atrás.
Lo único que queda en tu perfil es un sí o un no: si estás verificado o no. Del intento se guarda además, en nuestra base y sin salir de ella, el resultado, la fecha y un número que resume cuánto se parecían las dos caras. Ni una imagen.
La verificación es el último paso del alta. Y aunque ya estés verificado, la app puede volver a pedírtela antes de dejarte seguir: está explicado en «Decisiones automáticas sobre tu cuenta».
Tu correo y las formas de entrar en la cuenta
El teléfono es la raíz y no se puede quitar. Una cuenta de Vexxy nace con un número de teléfono verificado por SMS, y no hay ninguna otra forma de crear una. El correo y la cuenta de Google son puertas añadidas a una casa que ya existe, nunca vías de alta. Esto no es una promesa de intenciones: hay una comprobación en la propia base de datos que impide que exista una cuenta sin teléfono.
Correo y contraseña. Puedes añadir a tu cuenta una dirección de correo y una contraseña. Se guardan en el sistema de autenticación, igual que el teléfono. Es opcional y se puede quitar.
Entrar con Google. Puedes conectar tu cuenta de Google. El flujo se abre en el navegador y es Google quien te pide permiso. Lo que Google nos devuelve —tu dirección, tu nombre y la foto de esa cuenta— queda guardado en el sistema de autenticación. De todo eso, lo único que usamos es la dirección, para poder enseñarte qué cuenta tienes conectada. No la publicamos en tu perfil, no la enseñamos a nadie y no la cruzamos con nada.
Y el mismo matiz que con Spotify, porque aquí vale igual. Puede que estas dos puertas no estén encendidas en tu versión de la app, y hoy ninguna de las dos es una forma de *entrar*: en Vexxy se entra por SMS y solo por SMS. Lo que añades aquí queda guardado en tu cuenta; lo que todavía no hace es abrirte la puerta. El apartado se escribe antes que el interruptor, no después.
Qué correos te mandamos. Siete son de servicio y llegan porque ha pasado algo: la bienvenida, el recibo de una compra, el aviso de que un cobro ha fallado, el aviso de que tu plan se ha terminado, una advertencia sobre tu cuenta, el aviso de una suspensión y la confirmación de que tu cuenta se ha cerrado. Y hay un octavo, promocional, con novedades del producto: viene apagado de fábrica y solo se enciende si tú lo enciendes, momento en el que se guarda la fecha en que diste ese permiso.
Siempre hay salida. Todo correo promocional lleva su enlace de baja, y la página que lo atiende funciona sin sesión: no hace falta entrar en la app ni tenerla instalada para dejar de recibirlos.
Lo manda nuestro propio servidor. El correo sale del servidor de correo del dominio vexxyapp.com, alojado en nuestro proveedor de hosting. No hay ningún intermediario de envío masivo en el camino: ni SendGrid, ni Mailchimp, ni nada parecido.
Cuánto vive un correo en la cola. Para poder enviarlo, la dirección se guarda dentro de la fila del mensaje. Esa fila se borra 7 días después de enviarse, y a los 30 días si el envío falló. Hay una consecuencia honesta de esto en el apartado "Cuánto se conserva": léelo, porque afecta al borrado de cuenta.
Conectar Spotify
Es opcional. Sirve para enseñar en tu ficha qué estás escuchando, y no hace falta para nada más.
Cómo se conecta. Se abre Spotify en el navegador y es Spotify quien te pide permiso, con su propia pantalla. Nosotros pedimos un solo permiso, el de leer tus artistas y canciones más escuchados, y ninguno más.
Qué nos traemos. Hasta cinco artistas —nombre, imagen, enlace y como mucho dos géneros— y una canción —nombre, artista, imagen y enlace—. Eso es todo.
Qué NO nos traemos, a propósito. Ni tu correo de Spotify, ni tu país, ni el nombre de tu cuenta, ni tus listas, ni tu historial de escucha. No guardamos nada histórico: la instantánea se reescribe entera cada semana y no se acumula. No hay una base de datos de lo que escuchas.
Los permisos que guardamos. Para poder refrescar esa instantánea guardamos dos credenciales que Spotify nos da para tu cuenta. Nadie las puede leer desde la aplicación, tampoco la tuya: viven en una tabla a la que la app no tiene concedida ni una sola columna. Solo se usan para preguntarle a Spotify por tus artistas más escuchados.
Quién ve tu música. Tus matches, y quien esté a menos de 100 kilómetros de ti aunque no haya match. Con las mismas exclusiones de siempre: no la ven las cuentas expulsadas, ni quien te haya bloqueado, ni quien tú hayas bloqueado, y si estás en modo incógnito no la ve nadie que no sea ya match.
No influye en el deck. Tu música no cambia el orden en que sales, ni a quién le sales. Es decoración de la ficha, no una señal del emparejamiento.
Desvincular borra, en el acto y del todo: las credenciales y la instantánea desaparecen en la misma operación, sin ningún estado de "apagado pero guardado". Borrar la cuenta hace lo mismo.
Y un matiz honesto que hay que decir. Spotify no ofrece ninguna forma de que nosotros revoquemos el permiso desde aquí. Al desvincular, las credenciales se borran de nuestro lado y ya no se pueden usar, pero el permiso seguirá figurando en la lista de aplicaciones de tu cuenta de Spotify (spotify.com/account/apps) hasta que lo retires tú ahí. Decirte que "desvincular lo borra todo" sería más cómodo y no sería exacto.
Si en tu versión de la app no encuentras esta función, es que todavía no está disponible: el apartado se escribe antes que el interruptor, no después.
El token de compra de tu suscripción
Si te suscribes, quien te cobra es la tienda desde la que instalaste Vexxy: Google Play en Android, la App Store en iPhone. Los datos de pago no pasan por aquí: no vemos tu tarjeta, ni tu nombre de facturación, ni tu dirección, ni el correo de tu cuenta de Google o de Apple. La tienda no nos los da y no los pedimos.
Lo que sí manejamos es el token de compra: una cadena opaca que la tienda genera para esa compra y que no dice nada por sí sola. Junto a él guardamos qué producto compraste, cuándo caduca, si está en renovación automática y en qué estado lo tiene la tienda, más la respuesta que nos devuelve al preguntar.
Para qué lo usamos, y para nada más: para preguntarle a la tienda si esa suscripción es real y sigue vigente, y así encender tu plan solo a quien ha pagado. Sin comprobarlo contra la tienda, cualquiera podría decir que ha pagado. Se vuelve a comprobar cuando la tienda nos avisa de que algo ha cambiado —una renovación, una cancelación, un reembolso—.
Con quién se comparte: con la tienda que lo emitió —Google o Apple—, y con nadie más. El token es suyo de origen y se lo devolvemos a ella para preguntar por su estado. No sale hacia otros usuarios ni hacia ningún tercero.
El token no sale nunca hacia la aplicación, ni siquiera hacia la tuya: en la base de datos está restringido por columna, igual que las coordenadas en crudo. Tu móvil puede leer cuándo caduca tu plan, pero no el comprobante que lo prueba.
Cuánto se conserva: mientras exista la suscripción y su historial en tu cuenta. Al borrar la cuenta, ese registro se borra con ella. El registro fiscal del cobro se queda en la tienda, que es quien lo hizo, y no depende de nosotros.
La huella de tu dispositivo
Una parte del abuso en una app de citas no la hace una cuenta: la hace una persona que abre cuentas nuevas cada vez que le cierran una. Para verlo hace falta poder reconocer que el móvil es el mismo, y eso es lo que hace esta huella.
Cómo se guarda. La app envía un identificador del dispositivo. El servidor lo pasa por una función criptográfica junto con una clave secreta nuestra y guarda solo el resultado: una cadena que no se puede deshacer para recuperar el identificador de partida. El identificador original no se escribe en ninguna columna, ni siquiera de forma temporal.
En iPhone, ese identificador lo guarda la app en el llavero del propio teléfono. No se copia a otros aparatos ni a iCloud, y se queda en el teléfono aunque desinstales la app o borres tu cuenta: solo desaparece al borrar el iPhone entero. Es un valor aleatorio que no sale de nada tuyo, y ninguna otra app lo ve.
Aun así lo tratamos como dato personal. Que sea una huella y no el número original no cambia lo que hace: identifica igual, que es exactamente para lo que sirve. Llamarlo "anónimo" porque lleva un hash encima sería falso, y preferimos decirlo.
La clave secreta es nuestra, así que la huella solo significa algo dentro de Vexxy. No coincide con la que calcularía cualquier otra aplicación sobre el mismo móvil, no sirve para reconocerte fuera de aquí y nadie de fuera puede cruzarla con nada suyo.
Para qué se usa: para detectar que una misma persona mantiene varias cuentas a la vez, y para reconocer que alguien vuelve a darse de alta desde un dispositivo que ya tuvo una cuenta expulsada.
Para qué no se usa, y no se va a usar: publicidad, medición, perfilado comercial o cualquier forma de seguimiento de lo que haces. No se comparte con nadie: no sale hacia otros usuarios, ni hacia anunciantes —tampoco hacia AdMob—, ni hacia corredores de datos, ni hacia ningún proveedor externo. Vive en nuestra base de datos y no la lee ninguna aplicación, tampoco la tuya.
Qué se guarda junto a ella: cuándo se vio ese dispositivo por primera y por última vez, qué cuentas se han usado en él y, si tiene historial, hasta cuándo está marcado.
Un dispositivo marcado no expulsa a nadie. Un móvil se hereda, se vende, se comparte en familia y se usa en sitios públicos, y castigar a quien lo tenga después sería castigar a alguien que no hizo nada. Por eso una cuenta nueva abierta desde un dispositivo con historial no se bloquea: se pone en revisión, y la mira una persona. Puedes usar la app mientras tanto.
Cuánto dura. El enlace entre tu cuenta y el dispositivo se borra cuando borras la cuenta, junto con el resto de tus datos. La marca de un dispositivo caduca sola a los 180 días. Puede quedar el registro del dispositivo en sí —la huella suelta, sin ninguna cuenta asociada—; sin cuentas enlazadas no dice nada de ti, y pasada esa fecha no produce ningún efecto.
Bloquear contactos: esconderte de tu agenda
Es opcional, viene apagado y solo pasa algo si tú lo enciendes.
Qué hace. Sirve para que la gente que tienes guardada en el móvil no te encuentre aquí. Si alguien de tu agenda tiene cuenta en Vexxy, desaparecéis el uno para el otro: no sale en tu deck ni tú en el suyo, ni en la lista de likes, ni en Actividad, ni en Cerca, ni en Destacados, ni en el carril de ascuas, y ninguno de los dos puede dar like al otro.
Qué leemos. Únicamente los números de teléfono de tu agenda. Ni nombres, ni fotos, ni correos, ni notas, ni grupos, ni con qué frecuencia llamas a nadie. La app pide permiso de lectura de contactos y nada más: nunca escribe en tu agenda, ni puede. Tu móvil te pide permiso antes, y la app te explica para qué es antes de que salga ese diálogo.
Qué se guarda, y esto es lo importante. Los números viajan a nuestro servidor, que los pasa por una función criptográfica junto con una clave secreta nuestra y guarda solo el resultado: una cadena que no se puede deshacer para recuperar el número. Los números originales no se escriben en ninguna tabla, ni en ningún registro, ni en ningún fichero, ni siquiera de forma temporal: existen mientras dura esa única petición y desaparecen con ella. Tampoco se guardan en tu móvil.
Por qué la clave secreta no está en la app. Un número de teléfono son diez u once cifras. Un código sin clave se puede deshacer probando todas las combinaciones, así que guardarlo sería casi lo mismo que guardar el número. Por eso el código lo calcula el servidor con una clave que no sale de ahí, y por eso los números tienen que salir de tu móvil: si la clave estuviera dentro de la aplicación, cualquiera podría sacarla.
Datos de terceros. Somos conscientes de que esto trata datos de personas que no han usado Vexxy y no nos han dicho que sí. Es la razón de que la función sea opcional, de que solo se lean números, de que no se guarde ninguno y de que lo que queda no se pueda leer como un número de teléfono, tampoco por nosotros. No usamos tu agenda para nada más: ni para sugerirte gente, ni para invitar a nadie, ni para publicidad, ni para medir nada. No se comparte con nadie.
Tu propio número también se convierte en un código. Hace falta para poder comparar: sin él, alguien que te tenga en su agenda no podría esconderse de ti. Se calcula igual, con la misma clave, y no sustituye a nada — tu teléfono sigue viviendo únicamente en el sistema de autenticación, como siempre.
No te decimos quién de tu agenda está aquí. La app nunca te dice cuántos de tus contactos tienen cuenta ni cuáles. Si lo hiciera, cualquiera podría subir un número suelto para averiguar si esa persona está en una aplicación de citas, y eso sería peor que no tener la función. Por lo mismo hay un mínimo de contactos por envío y un límite de actualizaciones al día.
Lo que no hace. No toca las conversaciones que ya tienes: si ya estabas hablando con alguien de tu agenda, ese chat sigue donde estaba. Para cortar con una persona concreta está el bloqueo normal, que además deshace el match. Y un contacto guardado sin el prefijo de su país no se puede comparar, así que no se esconde.
Apagarlo borra. Cuando lo apagas, se borran en el momento los códigos de tu agenda y los pares escondidos. No queda una copia "por si vuelves". Borrar la cuenta hace lo mismo.
Decisiones automáticas sobre tu cuenta
Esto hay que decirlo aunque no sea agradable de leer: parte de la moderación de Vexxy es automática, y en algún caso una decisión sobre tu cuenta puede tomarla el sistema sin que haya mirado antes una persona.
Cómo funciona. El sistema mantiene una valoración interna de cada cuenta que resume señales de seguridad que ya están en la base de datos y las decisiones de moderación que se han tomado sobre ella.
No la vas a ver, y tampoco vamos a explicar qué la mueve. Un marcador visible deja de medir comportamiento y pasa a medir la habilidad para subirlo; y publicar la lista de lo que suma y lo que resta sería, literalmente, el manual para esquivarla. Lo que sí ves son las consecuencias, que es lo único que puedes necesitar.
Las consecuencias son cuatro, y solo cuatro:
Revisión humana. La cuenta entra en una cola para que la mire una persona. Verás dentro de la app que tu cuenta está en revisión, salvo en las revisiones de rutina que se hacen al azar, que no se anuncian. No es un castigo: no te limita nada mientras tanto y la app sigue funcionando igual.
Suspensión. La cuenta deja de aparecer y deja de poder escribir. Toda suspensión lleva un motivo y una fecha de fin —30 días en el caso automático—, y se levanta sola al llegar esa fecha. Las únicas expulsiones sin fecha de fin son las de lo irreversible: cuentas de menores de edad y los casos graves que ya describen las normas de comunidad.
Verificarte de nuevo. Si tu perfil cambia mucho desde la última vez que se revisó —o si alguien del equipo lo decide al revisar tu cuenta—, la app te pide un selfie nuevo y no te deja seguir usándola hasta que te verifiques. Esto sí te lo decimos en cuanto pasa, y cuando lo decide el sistema se abre además una tarjeta para que lo mire una persona.
Dejar de enseñarte. Durante un tiempo, tu perfil puede dejar de enseñarse a los demás, y no se te avisa. Puede aplicarlo el sistema solo, con reglas que escribe el equipo.
La suspensión automática se reserva a lo inequívoco. Un falso positivo expulsa a una persona real, así que la máquina solo actúa sola cuando la señal no admite otra lectura y viene precedida de decisiones de moderación que ya tomó un humano. Todo lo dudoso —por dudoso que sea— va a la cola de revisión, que es reversible. Ante la duda, revisión.
Y toda suspensión acaba delante de una persona. Cuando se suspende una cuenta se abre automáticamente una tarjeta de revisión, sin que nadie tenga que pedirlo. Eso vale también para las suspensiones que aplicamos a mano.
Tus derechos sobre esto. Puedes pedir que una persona revise la decisión, contar tu versión y reclamar. Escríbenos a privacidad@vexxyapp.com o a hola@vexxyapp.com y lo miramos. Si crees que nos hemos equivocado y no lo resolvemos, puedes reclamar ante la autoridad de protección de datos de tu país.
Cuando una persona del equipo lee una conversación
Este apartado es el más incómodo de escribir y por eso está entero.
Tus mensajes no van cifrados de extremo a extremo. El servidor ve el cuerpo de lo que escribes, y tiene que verlo para filtrarlo y para poder atender un reporte. Todo va cifrado en tránsito, pero eso no es lo mismo y no vamos a insinuar que lo sea.
Y hay un caso en el que una persona del equipo lee una conversación privada: cuando una de las dos personas de esa conversación denuncia a la otra y el caso se abre para moderarlo. Sin eso no se puede juzgar un acoso, porque un mensaje suelto casi nunca dice lo que pasó.
Lo que acota ese acceso, punto por punto:
Hace falta un caso abierto y asignado a esa persona concreta. No es un permiso por cargo: quien no tenga ese caso reclamado no ve nada, y eso incluye al administrador y al dueño del proyecto. Resolver el caso cierra la ventana, y la asignación caduca sola.
Solo se lee la conversación entre quien denuncia y la persona denunciada. No existe ninguna forma de pedir "enséñame los chats de esta persona": ninguna otra conversación tuya entra en esa consulta.
Se empieza por el mensaje denunciado, y se puede llegar a la conversación entera. Si la denuncia señala un mensaje, la lectura arranca en él, con los de antes y los de después; si no señala ninguno, arranca por el final. Desde ahí se puede seguir leyendo hacia atrás y hacia delante, porque juzgar un acoso a veces exige ver cómo empezó. Pasados 200 mensajes leídos de esa conversación, hay que escribir el motivo para seguir, y ese motivo queda apuntado.
Cada lectura queda apuntada. Quién la hizo, en qué caso, qué mensajes exactos devolvió y cuándo. No "hubo un acceso": la lectura, con la lista.
Ese libro de registro no guarda el contenido de tus mensajes, solo identificadores, más el motivo cuando quien lee ha tenido que escribirlo. Si guardara los textos sería una segunda copia de tus conversaciones, con acceso más amplio que la primera.
Y no se puede editar ni borrar. Ni por el administrador, ni por quien mantiene la base de datos: la propia base rechaza cualquier modificación o borrado sobre ese registro.
Nadie puede abrir un caso sobre sí mismo, ni verlo en la cola, ni reclamarlo.
Quien lleva las nóminas o las facturas no tiene ni un solo permiso que toque datos de usuarios. No es una norma interna que alguien pueda saltarse: esos permisos no se les pueden conceder.
Con quién se comparte
Solo con los proveedores necesarios para que esto funcione, y cada uno recibe únicamente lo que necesita:
Supabase — alojamiento de la base de datos, del almacenamiento de ficheros y de la autenticación. Es donde vive todo.
Twilio — envío del SMS con tu código de acceso. Recibe tu número.
Google Cloud Vision — moderación automática de imágenes. Recibe la imagen a analizar.
Google Cloud Speech-to-Text — transcripción automática de las notas de voz de las ascuas. Recibe el audio de la nota; la transcripción que devuelve no se guarda.
Amazon Rekognition — comparación facial de la verificación. Recibe el selfie y la foto de perfil, solo durante ese momento.
Google Gemini — una opinión previa en la revisión de perfiles. Cuando a tu perfil le toca una de las revisiones de rutina, recibe su texto: nombre visible, descripción, estudios, la etiqueta de viaje, tu usuario de red social si lo has puesto y tus respuestas a las preguntas del perfil. Ni fotos, ni teléfono, ni mensajes, ni el identificador de tu perfil. No decide nada: su opinión solo ordena la cola de quien revisa, y la decisión la toma una persona.
Google Play (Android) y la App Store (iPhone) — cobro y gestión de la suscripción, solo si te suscribes. La tienda recibe el token de compra cuando le preguntamos por su estado. Es la tienda quien tiene tus datos de pago, no nosotros.
Google AdMob — publicidad. Su kit recoge por su cuenta el identificador de publicidad de tu móvil, y cuando terminas un anuncio recompensado recibe además el identificador de tu perfil, que es lo que permite abonarte los créditos. Nada más.
Ferozo, el proveedor de hosting de vexxyapp.com — el correo saliente y las páginas web públicas. El servidor de correo recibe tu dirección y el contenido del mensaje que te mandamos.
Spotify — solo si conectas tu cuenta. Lo que viaja hacia allí son tus propias credenciales, para poder preguntarle por tus artistas más escuchados. No le mandamos ningún dato tuyo que Spotify no tuviera ya.
Firebase Cloud Messaging (Google) — las notificaciones. Recibe el identificador de notificaciones de tu móvil y el texto del aviso; en los avisos de match, de mensaje nuevo y de captura de pantalla, ese texto lleva el nombre de la otra persona. Nunca el contenido de un mensaje: el aviso dice de quién es, no qué dice. En iPhone, Firebase entrega el aviso a través del servicio de notificaciones de Apple.
Y dos que hoy no reciben absolutamente nada, escritos aquí porque se encienden con una configuración y preferimos decirlo antes y no después: IPQualityScore, que el día que se active recibiría la dirección IP y nada más —está contado arriba, en «Tu dirección IP»—; y Cloudflare Turnstile, que el día que se active la comprobación antirrobots de la página pública de borrado recibirá la dirección IP de quien la use.
La huella de tu dispositivo y la valoración interna de tu cuenta no salen hacia ninguno de ellos: son datos de seguridad, se calculan y se quedan en nuestra base de datos.
No vendemos datos a nadie, ni los cedemos a corredores de datos. Y a AdMob no le va ningún dato de tu ficha, ni tus mensajes, ni tu ubicación, ni tus intereses: solo el identificador de publicidad que recoge su propio kit y el identificador de tu perfil cuando hay una recompensa que abonarte.
Entregaremos datos a las autoridades cuando haya una obligación legal, y por iniciativa propia en casos de riesgo grave para alguien —sospecha de que hay un menor, amenazas creíbles, contenido sexual sin consentimiento—.
Lo que sale y lo que no
Tus swipes no salen del servidor. Quién ha pasado de ti no se comunica jamás, ni de forma indirecta, y a quién has dado tú "me gusta" no lo ve nadie hasta que hay match por ambas partes.
Lo que sí se ve sin pagar, y conviene que lo sepas. En la pantalla de Actividad hay un carrusel con gente que ha interactuado contigo, y ahí salen el nombre, la edad y la distancia de esas personas, más la miniatura destruida de la que habla el apartado de fotos. Eso se ve sin Vexxy Plus.
Y por qué eso no es "la lista de quién te ha dado me gusta". Porque ese carrusel mezcla en la misma bolsa a quien te dio "me gusta", a quien te mandó una Llamarada y a quien solo visitó tu perfil, y no dice cuál es cuál. Tampoco dice cuándo pasó: el orden no es por fecha, sino un revuelto estable para cada persona que mira, precisamente para que la posición no acabe siendo una marca de tiempo disfrazada.
Qué desbloquea Vexxy Plus, hoy: ver la cara sin destruir y poder responder —abrir la ficha, devolver el "me gusta", escribir—, y ver la lista completa. Sin suscripción vigente, la consulta de esa lista devuelve vacío en el servidor, no en la pantalla.
Lo que no sale por ahí en ningún caso:
Tu ubicación en crudo. Sale la distancia en kilómetros enteros, la misma precisión que en el deck, y ni un metro más fina.
Tu fecha de nacimiento. Sale la edad ya calculada.
Tu foto real. Solo la miniatura de 24 por 30 píxeles, destruida en el servidor: nunca se manda la foto buena para difuminarla en el móvil de la otra persona, porque eso sería pintura y quien mirase la respuesta de red se llevaría la cara intacta.
Y nadie que haya elegido no aparecer: no salen ahí las cuentas expulsadas, ni quien te haya bloqueado, ni quien tú hayas bloqueado, ni quien haya apagado su actividad, ni quien esté en modo incógnito.
Cuánto se conserva
Mientras tengas la cuenta. Al borrarla se borran primero tus ficheros del almacenamiento —tus fotos, sus miniaturas, las imágenes de tus chats, tus notas de voz, las fotos de tus ascuas y los vídeos de tus ascuas— y después tu fila de la base de datos, que arrastra en cascada el perfil, las fotos, los swipes, los matches, los mensajes, los bloqueos, los reportes y tus ascuas, con lo que hayas hecho en las de otros: tus "me gusta", tus comentarios, lo que se te ha enseñado y lo que has visto.
Cuando un ascua caduca deja de servirse a los demás: el servidor ya no se la devuelve a nadie más que a ti, y si tenía fichero —nota de voz, foto o vídeo— el permiso sobre ese fichero tampoco les deja abrirlo.
Si era una nota de voz, una foto o un vídeo, además se borra: el fichero y el ascua entera, poco después de caducar. Hay dos excepciones: si hay un caso de moderación abierto sobre tu cuenta que no sea una revisión de rutina, o si alguien denunció ese ascua o uno de sus comentarios y la denuncia sigue abierta. En los dos casos se conserva hasta que se resuelva, para que quien lo revise pueda verla u oírla. Y lo que está retenido esperando revisión no caduca: se conserva mientras se revisa.
Un ascua de texto no se borra al caducar: lo que escribiste sigue guardado y se va al borrar la cuenta, salvo que se rechace. Dejar de verse y borrarse son dos cosas distintas, y es fácil dar la segunda por hecha.
Un ascua que se rechaza se guarda 180 días y se borra, contados desde el rechazo: el fichero y el ascua entera, también si era de texto. Se guarda ese tiempo por si la misma persona vuelve a hacerlo. Si hay un caso de moderación abierto sobre tu cuenta que no sea de rutina, o una denuncia abierta sobre ese ascua o sus comentarios, se conserva hasta que se resuelva.
El equipo puede retirar un ascua ya publicada, por ejemplo después de una denuncia: deja de verse y cuenta como rechazada, así que se borra a los 180 días de retirarla, salvo que siga con una denuncia abierta, y entonces espera a que se resuelva. Un comentario retirado deja de verlo nadie, pero su texto se conserva como prueba de la denuncia: se borra con su ascua, o antes si quien lo escribió borra su cuenta.
Hay dos excepciones al borrado de la cuenta, y las dos tienen plazo.
La primera es tu dirección de correo. El mensaje que te confirma que la cuenta se ha cerrado tiene que poder enviarse después de que la cuenta ya no exista, así que esa dirección se queda dentro de la fila de la cola de correo. Esa fila se borra 7 días después de enviarse, y a los 30 días si el envío falló. Pasado ese plazo no queda ninguna dirección tuya en ninguna parte.
La segunda es un aviso que siga abierto. Si al borrar la cuenta hay una denuncia sin resolver en la que apareces —da igual si la pusiste tú o si te la pusieron a ti—, se guarda lo justo para poder revisarla: el motivo, en qué estado está, lo que escribió quien denunció y lo señalado —un mensaje, un ascua o un comentario—, con su texto. Existe por un motivo concreto: si el borrado se llevara la denuncia por delante, cerrar la cuenta sería la forma de destruirla, y le bastaría a cualquiera con hacerlo antes de que una persona la mirase.
Lo que se guarda ahí no es tu perfil: ni tu nombre, ni tu fecha de nacimiento, ni tu teléfono, ni tus fotos de perfil. Queda una referencia interna a la cuenta, y ya no lleva a ninguna parte porque el perfil al que apuntaba ha dejado de existir.
Y si lo señalado llevaba un fichero —una imagen de chat, o la foto, el vídeo o la nota de voz de un ascua—, ese fichero se queda también, por el mismo motivo: una denuncia sin la prueba no se puede juzgar, ni trasladar a una autoridad si hay que hacerlo. Dentro de la aplicación deja de estar al alcance de nadie —la conversación o el ascua ya no existen—; solo lo ve quien revisa el caso, y se borra poco después de que se borre el registro.
El registro se borra en cuanto una persona cierra el expediente y, en todo caso, a los 180 días, se haya mirado o no.
Las imágenes de chat se borran antes: al deshacer el match. La única que no, otra vez, es la que sostenga un aviso abierto.
El registro de tu suscripción vive lo que viva tu cuenta y se va con ella. Ten en cuenta que borrar la cuenta no cancela la suscripción: eso se hace desde la tienda —en Android desde Google Play, en iPhone desde Ajustes de tu cuenta de Apple—, y está explicado en los Términos de uso.
El vínculo con Spotify, si lo tienes, se borra con la cuenta, credenciales incluidas. Recuerda el matiz de su apartado: el permiso hay que retirarlo también desde tu cuenta de Spotify.
El enlace entre tu cuenta y los dispositivos desde los que la has usado se borra con la cuenta. La marca de un dispositivo con historial caduca a los 180 días; la huella suelta que queda no está asociada a ninguna persona.
Los códigos de tu agenda, si enciendes el bloqueo de contactos, viven mientras lo tengas encendido: al apagarlo se borran en el momento, y con la cuenta se van igual.
Los apuntes del freno de intentos de acceso —los códigos irreversibles del teléfono y de la dirección IP— no están colgados de ninguna cuenta, porque cuentan intentos de gente que aún no ha entrado, y no se pueden leer como un teléfono ni como una IP. Solo se consultan para mirar la última hora.
Aparte de lo que se acaba de contar —esas dos excepciones, la huella suelta del dispositivo, los apuntes del freno de acceso y, si alguien del equipo marcó a mano una dirección IP, esa dirección sin ninguna cuenta detrás—, lo único que se conserva más tiempo es lo que la ley nos obligue a guardar.
Tus derechos
Ver y corregir. Tus datos de perfil están en la app y los editas cuando quieras.
Borrar. Desde Ajustes → Borrar cuenta dentro de la app, y también desde una página web pública sin necesidad de instalar nada. El borrado es real: se eliminan primero los ficheros del almacenamiento y después la fila de la base de datos.
Oponerte, limitar el tratamiento o pedir una copia de tus datos. Escríbenos y lo gestionamos.
Retirar permisos por separado. El bloqueo de contactos, la conexión con Spotify, los correos promocionales y la ubicación se apagan cada uno por su lado, sin tocar el resto de la cuenta.
Pedir que una persona revise una decisión automática. Si el sistema ha suspendido tu cuenta o la ha puesto en revisión, tienes derecho a que lo mire un humano, a explicar tu versión y a reclamar la decisión. Está desarrollado más arriba, en el apartado "Decisiones automáticas sobre tu cuenta".
Si crees que tratamos tus datos mal, puedes reclamar ante la autoridad de protección de datos de tu país.
Menores
Vexxy es solo para mayores de 18 años y no recogemos datos de menores a sabiendas. Si detectamos o nos reportan una cuenta de un menor, se elimina.
Seguridad
Cada tabla de la base de datos tiene reglas de acceso a nivel de fila: aunque alguien consiguiera hablar con la base directamente, solo vería las filas que le corresponden. Las columnas sensibles —la ubicación en crudo, el token de compra y las credenciales de Spotify, entre ellas— están además restringidas por columna. Todos los almacenes de ficheros —imágenes, audio y vídeo— son privados y solo se sirven por enlace firmado. Todo viaja cifrado en tránsito.
Ningún sistema es infalible. Si ocurre una brecha que te afecte, te lo diremos.
Cambios
Si cambia algo, publicamos la versión nueva aquí con su fecha de actualización arriba. Si lo que cambia son los términos que aceptaste, la app te pedirá aceptarlos de nuevo al abrirla.
Contacto
Para cualquier cosa relacionada con tus datos: privacidad@vexxyapp.com.