Política de privacidad

En resumen

1. Quiénes somos

Sebaway lo gestiona Mohamed Mohamed Atwa (AtwaLabs) («nosotros»), Al-Eglal Building, Al-Hoda wa Al-Nour, Mansoura, Dakahlia, Egipto. Datos registrales: ninguno (persona física, no una empresa registrada). Decidimos para qué y cómo se usan tus datos, por eso somos el «responsable del tratamiento» según el Reglamento General de Protección de Datos de la UE (RGPD).

Nuestro representante en la UE. No estamos establecidos en la UE, por eso hemos designado un representante en España (RGPD art. 27): en proceso de designación, dirección publicada aquí antes del 30 de noviembre de 2026, hasta entonces privacy@sebaway.app. Puedes contactar con nuestro representante sobre cualquier tema de esta política. La autoridad española de protección de datos también puede hacerlo.

Contacto de privacidad. Escríbenos a privacy@sebaway.app. Respondemos en árabe, inglés o español.

2. Qué hace Sebaway

Sebaway explica los trámites en España, te ayuda a preparar formularios que presentas por tu cuenta y lleva el control de tus trámites y fechas. Da información, no asesoramiento legal. Nunca presenta nada por ti y nunca actúa en tu nombre. Sebaway no es una app del Gobierno. Lo hemos creado para que la mayor parte posible se quede en tu móvil.

3. Qué datos usamos, para qué y con qué base jurídica

El RGPD dice que necesitamos una base jurídica para cada uso de tus datos. Usamos cuatro:

• Para prestarte el servicio que has pedido (RGPD art. 6(1)(b)).
• Tu consentimiento (art. 6(1)(a)) y tu consentimiento explícito para la información de salud (art. 9(2)(a)). Puedes retirar tu consentimiento en cualquier momento. Esto no afecta a lo que hicimos antes de que lo retiraras.
• Nuestros intereses legítimos (art. 6(1)(f)): mantener Sebaway seguro, en funcionamiento y con información correcta. Puedes oponerte a esto (sección 11).
• Una obligación legal (art. 6(1)(c)): por ejemplo, responder a tus solicitudes y guardar los registros que exige la ley.

No se usa en esta versión. Esta versión de Sebaway no tiene estadísticas de la app, ni herramienta de informes de fallos, ni publicidad, ni notificaciones push, ni fotos ni traducción de cartas, ni empresa de voz a texto, ni «Iniciar sesión con Apple» o «Iniciar sesión con Google». Las compras (el Sebaway Pro y los formularios sueltos) se explican en esta política para que sepas cómo funcionan antes de que se abran en la app. Si añadimos algo más, antes actualizaremos esta política y te pediremos tu consentimiento cuando la ley lo exija.

4. Dónde se guardan tus datos

Tus datos se guardan en cuatro sitios.

1. En tu móvil. Todo lo que Sebaway sabe de ti está en tu móvil, protegido por el cifrado del propio móvil y por el de Sebaway. Mis documentos, tu historial de chat, tus respuestas de los formularios y tu ubicación nunca salen de él. Si pierdes el móvil o borras la app sin tener copia de seguridad, tus datos se pierden.
2. En nuestros servidores de Fráncfort (Alemania). Los gestiona Supabase sobre Amazon Web Services. Solo si inicias sesión: tu cuenta, la copia cifrada de tu configuración y de Trámites, y tu copia de seguridad cifrada si la guardaste allí. Para todos: los códigos de instalación codificados y los recuentos (2 días), los informes que decides enviar, los recuentos de «Avísame» y los registros de seguridad. Si has comprado algo: el registro de tus compras.
3. De camino a la IA. Cuando haces una pregunta, pasa por nuestro servidor hasta Anthropic, el proveedor de IA, y la respuesta vuelve. No se escribe en nuestra base de datos ni aparece en nuestros registros.
4. En RevenueCat, en Estados Unidos, solo si compras algo: el registro de tus compras (sección 7). Google Play guarda su propio registro del pago.

Sobre el cifrado de tus datos sincronizados. Tu móvil cifra cada elemento (con XChaCha20-Poly1305) antes de enviarlo. Nuestra base de datos solo ve elementos ilegibles con nombres codificados. La clave de tu cuenta la crea nuestro servidor a partir de una clave maestra secreta, que guardamos aparte de la base de datos, y solo te la da a ti después de que inicies sesión. Esto protege tus datos si hay una fuga de la base de datos, pero no es un cifrado de extremo a extremo: técnicamente, podríamos volver a crear tu clave y leer tus datos sincronizados. No lo hacemos, y nuestro equipo nunca los mira. La copia de seguridad protegida con tus 8 palabras de recuperación es distinta: solo tú puedes abrirla.

Gestionamos Sebaway desde Egipto. Cuando hacemos el mantenimiento del servicio o respondemos a tu solicitud, podemos acceder desde Egipto a los datos de nuestros servidores (sección 8).

5. Información sensible

Salud. La información de salud es una «categoría especial de datos» según el RGPD. Antes de que una pregunta sobre tu salud vaya a la IA, la app te pide un permiso aparte y te explica qué pasa con ella. La casilla nunca está marcada de antemano. Si dices que no, puedes seguir usando todo lo demás. Puedes retirar tu consentimiento en Perfil y ajustes › Centro de privacidad en cualquier momento. Los documentos que marcas como de salud en Mis documentos se quedan en tu móvil.

Tu situación de residencia. Tu permiso y el motivo por el que estás en España no son una «categoría especial» según la ley. Aun así, los tratamos como muy sensibles. Sin cuenta, nunca salen de tu móvil. Con cuenta, solo se sincronizan cifrados (sección 4), nunca los incluimos en registros ni en estadísticas, y la IA solo recibe tu pregunta, no tus respuestas de configuración.

Certificados de antecedentes penales. Algunos trámites piden uno. Si guardas uno en Mis documentos, se queda en tu móvil y, si haces una, en tu copia de seguridad. Nunca se envía a la IA.

Lo que escribes en Pregunta a Sebaway. Por favor, no escribas sobre tu salud, religión, vida sexual, opiniones políticas o asuntos penales, salvo que lo necesites para tu pregunta. Si lo haces, solo lo usamos para responderte y no lo guardamos. Si informas de una respuesta y marcas «Incluir mi pregunta», esa pregunta se guarda con el informe durante 90 días (sección 9), así que deja la casilla sin marcar si tu pregunta es personal.

Información sobre otras personas. Si añades a tu pareja, tus hijos o tus padres a tu hogar, nos das información sobre esas personas. Por favor, cuéntaselo. No pedimos sus nombres: solo una edad y si un hijo o hija vive en el extranjero.

6. La IA en Sebaway

• Pregunta a Sebaway usa inteligencia artificial (IA): Claude, de Anthropic. Cada respuesta de la IA lleva la etiqueta «IA», para que siempre sepas que hablas con una IA (Reglamento de Inteligencia Artificial de la UE, art. 50). También lleva la nota «Información, no asesoramiento legal».
• Las respuestas se basan en las guías de Sebaway. Hay personas que revisan las guías con las fuentes oficiales, y cada respuesta muestra las guías que ha usado. Aun así, la IA puede equivocarse. Comprueba siempre la fuente oficial antes de actuar.
• Antes de que tu pregunta llegue a la IA por primera vez, la app te explica qué se envía y a quién, y te pide permiso. Si dices que no, puedes seguir usando las guías, Trámites, los formularios y Mis documentos. Puedes cambiarlo en el Centro de privacidad.
• Qué se envía: tu pregunta, el texto de las guías necesario, tu idioma y, si elegiste un municipio, tu comunidad autónoma y tu provincia. Nunca tu municipio, tus respuestas de configuración, tus documentos ni tu cuenta.
• Nuestro proveedor de IA es Anthropic PBC, en Estados Unidos. Según sus condiciones comerciales, no usa tus datos para entrenar sus modelos. Le hemos pedido que no conserve nuestros datos en absoluto («retención cero de datos»). Hasta que lo apruebe, borra nuestros datos en un plazo de 30 días, salvo que deba conservarlos más tiempo para investigar un uso indebido de su servicio.
• No usamos tus datos para entrenar ninguna IA.
• La IA no toma decisiones sobre ti. No decide si cumples los requisitos de nada, y no produce efectos jurídicos sobre ti ni te afecta de forma parecida (RGPD art. 22). Las preguntas sobre recursos, denegaciones, expulsiones o decisiones de asilo abren una pantalla que te indica dónde encontrar ayuda legal gratuita.
• Si una respuesta es ofensiva, dañina o incorrecta, toca «Informar de esta respuesta». El informe llega a nuestro equipo sin salir de la app. Tu pregunta solo va con él si marcas «Incluir mi pregunta». «¿Te ha servido?» se queda en tu móvil.

7. Con quién compartimos datos

Solo compartimos lo que cada proveedor necesita para hacer su trabajo para nosotros. Cada uno trabaja con un contrato con nosotros (un contrato de encargo del tratamiento) que le impide usar tus datos para cualquier otra cosa.

Empresas que deciden por su cuenta. Apple y Google gestionan las tiendas de apps. El servicio de voz del sistema de tu móvil (Google o Apple) puede tratar tu voz si tu móvil no tiene un modelo de voz en el propio dispositivo (sección 3). Tu proveedor de calendario (por ejemplo, Google, Apple, Samsung o Microsoft) trata los eventos que añades a tu calendario, y también acceden a ellos las personas con las que compartes ese calendario. Por eso los títulos de los eventos son neutros («Cita»), salvo que cambies ese ajuste. Cada una de estas empresas sigue su propia política de privacidad.

Google Play. Google gestiona Google Play y cobra el pago cuando compras el Sebaway Pro o un formulario, según sus propias condiciones y su política de privacidad. Google nos dice qué se compró, cuándo, por cuánto y desde qué país, pero nunca los datos de tu tarjeta. Cuando Google nos pide que revisemos una solicitud de reembolso, podemos decirle qué formularios se hicieron con esa compra y cuándo, nunca lo que contenían.

Nuestro representante y asesores. Nuestro representante en la UE, y abogados o auditores obligados a guardar confidencialidad, cuando lo necesitan para ayudarnos a cumplir la ley.

Autoridades. No compartimos tus datos con las autoridades de inmigración, la policía ni ningún otro organismo público, salvo que la ley lo exija, por ejemplo por una orden judicial válida. Si ocurre, revisamos el requerimiento con un abogado, damos solo lo mínimo y te avisamos, salvo que la ley lo prohíba. Casi todo lo que guardas en Sebaway está en tu móvil, así que no lo tenemos para darlo.

Si Sebaway cambia de propietario. Si Sebaway pasa a una empresa creada por su propietario, o se vende, tus datos pasan con él conforme a esta política. Te avisaremos antes de que ocurra.

Una futura plataforma de abogados. Más adelante pensamos ofrecer un servicio de pago que te ponga en contacto con abogados y gestorías. Hoy no forma parte de Sebaway y esta política no lo cubre. Antes de que empiece, actualizaremos esta política, y nunca compartiremos tu caso con un profesional sin tu permiso claro.

Nunca vendemos tus datos. No mostramos anuncios, no compartimos tus datos con anunciantes ni con empresas que compran y venden datos, y no te seguimos en otras apps o sitios web.

8. Datos fuera de la UE

• Estados Unidos. Anthropic (IA) y RevenueCat (registro de compras) están en Estados Unidos. El personal de soporte de Supabase también puede acceder a datos desde fuera de la UE. Cada contrato incluye las cláusulas contractuales tipo de la Comisión Europea (Decision (EU) 2021/914). Si un proveedor está certificado en el Marco de Privacidad de Datos UE-EE. UU., eso también se aplica.
• Egipto. Gestionamos Sebaway desde Egipto, que no tiene una «decisión de adecuación» de la UE. Cuando accedemos desde Egipto a los datos que se guardan para nosotros en Fráncfort, nos basamos en cláusulas contractuales tipo y en las medidas de protección de la sección 10: cifrado, límites estrictos de acceso y guardar solo los datos mínimos.
• Hemos hecho por escrito una evaluación de riesgos de cada una de estas transferencias. Puedes pedir una copia de las garantías en privacy@sebaway.app.

9. Cuánto tiempo guardamos los datos

Cuando borras tu cuenta, tu cuenta, los elementos sincronizados, la copia de seguridad de la cuenta y tu historial de compras se borran en el acto, y desaparecen de nuestras copias de seguridad del servidor en un máximo de 7 días más. Si la ley nos obliga a conservar algo, por ejemplo el registro de una solicitud que hiciste o de un pago, lo mantenemos bloqueado y solo lo usamos para ese fin. Borrar tu cuenta no cancela el Sebaway Pro: cancélalo antes en Google Play.

10. Cómo protegemos tus datos

• Mis documentos y tus respuestas de los formularios se quedan en tu móvil, cifrados con una clave guardada en el almacenamiento seguro de tu móvil.
• Si inicias sesión, tu configuración, Trámites, tu permiso y tus fechas se cifran en tu móvil antes de enviarse (sección 4). Nunca lo llamamos «de extremo a extremo», porque la clave la crea nuestro servidor.
• La copia de seguridad opcional se cifra en tu móvil con una clave creada a partir de 8 palabras de recuperación que solo tienes tú. No podemos leerla, y no podemos recuperarla si pierdes las palabras.
• Nuestros servidores están en Fráncfort. Los datos están cifrados en tránsito y en reposo.
• Cada tabla de nuestra base de datos tiene reglas para que cada persona solo pueda acceder a sus propios datos. Los informes y los recuentos no se pueden leer desde la app en absoluto.
• Nuestras llamadas a la IA pasan solo por nuestras propias funciones de servidor. La app no contiene claves secretas.
• Nuestro equipo usa llaves de seguridad físicas para iniciar sesión en todos los sistemas que contienen datos. No guardamos datos reales de usuarios en portátiles.
• Ninguna pregunta, respuesta ni contenido de documentos entra en nuestros registros. No tenemos herramientas de estadísticas ni de informes de fallos.
• Una empresa de seguridad independiente prueba la app y los servidores antes de la versión beta.
• Si sufrimos una brecha de datos personales, la notificamos a la AEPD en un plazo de 72 horas desde que la conocemos, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo para ti es alto, también te la comunicamos sin dilación indebida, en tu idioma, y te decimos qué debes hacer.

11. Tus derechos

Puedes:

• Ver tus datos y obtener una copia (acceso).
• Corregirlos.
• Borrarlos.
• Limitar cómo los usamos (limitación del tratamiento).
• Llevártelos en un formato de archivo común (portabilidad).
• Oponerte a los usos basados en nuestros intereses legítimos, por ejemplo los informes y los registros de seguridad.
• Retirar tu consentimiento en cualquier momento, por ejemplo el permiso para la información de salud. También puedes desactivar el permiso de IA en el Centro de privacidad, y el acceso a la ubicación y al calendario en los ajustes de tu móvil.
• No ser objeto de decisiones tomadas solo por una máquina que produzcan efectos jurídicos sobre ti o te afecten de forma parecida. Sebaway no toma decisiones de este tipo.

Cómo ejercer tus derechos

• En la app: Perfil y ajustes › Centro de privacidad. Allí puedes descargar una copia de tus datos («Descargar mis datos»), cambiar tus opciones y borrarlo todo («Eliminar todos mis datos»). Si has iniciado sesión, «Eliminar todos mis datos» también borra tu cuenta en nuestros servidores. Para corregir tus datos, cámbialos donde los escribiste (configuración, Trámites, Mis documentos).
• Sin la app: entra en https://sebaway.app/delete-account, escribe a privacy@sebaway.app o escribe a nuestro representante en la UE.
• Respondemos en un plazo de un mes. Si tu solicitud es compleja, podemos tardar hasta dos meses más, y te explicaremos por qué dentro del primer mes. Es gratuito.
• Para protegerte, comprobamos que la solicitud llega desde la dirección de correo electrónico de tu cuenta. Solo te pedimos algo más si no podemos confirmar así que eres tú.
• Los informes y los recuentos no están vinculados a ti, así que no podemos encontrarlos por ti. Los datos de tu móvil están bajo tu control: puedes verlos, exportarlos y borrarlos en la app cuando quieras.

Reclamaciones. Puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, o por internet en su sede electrónica, sede.aepd.es. Es gratuito. También puedes reclamar ante la autoridad de protección de datos del país de la UE donde vives o trabajas. Nos gustaría tener la oportunidad de resolver el problema antes, pero no tienes que contactar con nosotros antes de reclamar.

12. Tus opciones

Todas estas opciones están en Perfil y ajustes › Centro de privacidad, o en los ajustes de tu móvil, y puedes cambiarlas cuando quieras:

• Permiso de IA (necesario para Pregunta a Sebaway)
• Permiso para la información de salud
• Ubicación
• Acceso al calendario, y títulos neutros de los eventos («Cita»), activados por defecto
• Recordatorios
• Cuenta y sincronización (iniciar o cerrar sesión)
• Copia de seguridad

13. Edad

Para usar Sebaway tienes que tener 18 años o más. Si nos enteramos de que una persona menor de 18 años ha creado una cuenta, la borramos.

14. Modo invitado

Puedes usar Sebaway sin cuenta. En el modo invitado, tus respuestas de configuración y todo lo demás se quedan en tu móvil, y no nos llegan. Si usas Pregunta a Sebaway, tu pregunta va a la IA como se explica en la sección 6, junto con el código de instalación para el límite diario. Los informes que decides enviar funcionan como se explica más arriba. Si borras la app, tus datos de invitado se pierden y no podemos recuperarlos, salvo que hayas guardado un archivo de copia de seguridad.

15. Nuestra web

Nuestra web, sebaway.app, contiene esta política, nuestras condiciones de uso y la página sobre cómo borrar tu cuenta. No tiene cookies, ni estadísticas, ni rastreadores. Las fuentes tipográficas se cargan desde Google Fonts, así que tu navegador se conecta a Google para obtenerlas.

16. Cambios en esta política

Si hacemos un cambio importante, te avisaremos en la app al menos 30 días antes de que se aplique. Si un cambio necesita tu consentimiento, te lo volveremos a pedir. Las versiones anteriores están disponibles si las pides.

17. Idiomas

Esta política está en árabe, inglés y español. Las tres versiones dicen lo mismo.

18. Contacto

• Preguntas y solicitudes sobre privacidad: privacy@sebaway.app
• Nuestro representante en la UE: en proceso de designación, dirección publicada aquí antes del 30 de noviembre de 2026, hasta entonces privacy@sebaway.app
• Correo postal: Mohamed Mohamed Atwa (AtwaLabs), Al-Eglal Building, Al-Hoda wa Al-Nour, Mansoura, Dakahlia, Egipto