Privacidad en la aplicación

No se cuenta nada

El sitio web cuenta unas cuantas cosas sobre cómo se usa el mapa, y su propia página de privacidad las enumera. La aplicación no cuenta ninguna de ellas. No lleva analítica: no envía eventos a ninguna parte, no usa identificador publicitario, y no hay código de terceros ejecutándose en segundo plano para informar de lo que haces.

Los fallos sí se informan. Van a Bugsink, un software de seguimiento de errores que corre en nuestros propios servidores, el mismo al que informa el sitio web. Un informe dice qué fue mal y en qué parte del código, y nada sobre quién eres: sin identificador de dispositivo, sin dirección de red y sin el contenido de petición alguna.

Lo que podría contener un lugar se limpia a la salida: la dirección de una petición pierde su cadena de consulta y las partes numéricas de su ruta, que son las que nombran una búsqueda, una tesela o una posición. No hay grabación de sesión ni nada que reproduzca lo que hiciste, y un informe de fallo nunca dibuja una imagen de tu pantalla. Una sola cosa en la aplicación sí lo hace, y solo cuando se lo pides: mira «Escribirnos» más abajo.

Nada de esto es una promesa para siempre. Las cuentas son posibles en algún momento.

La ubicación, solo cuando la pides

La aplicación puede mostrar dónde estás en el mapa: un punto, con el mapa teniéndolo a la vista hasta que muevas el mapa tú. El permiso para eso se pide cuando pulsas el botón que lo hace, nunca al abrir la aplicación, y rechazarlo no cuesta nada: todo lo demás de Mappily funciona sin él.

Lo que el permiso permite es leer tu posición mientras la aplicación está abierta, y nada más. No se escribe nada: no se guarda ningún recorrido de por dónde has estado en ninguna parte, y la posición se dibuja y se suelta. No hay ubicación en segundo plano en absoluto: la aplicación no puede leer dónde estás mientras está cerrada.

De esto responde Android y no nuestra palabra: la petición llega en el propio diálogo del sistema, y un permiso concedido se puede retirar en Ajustes. Grabar recorridos en segundo plano es para lo que con el tiempo existirá una aplicación nativa; el día que llegue, esta página lo dirá.

Qué le pide la aplicación a tu dispositivo

La cámara, y solo para escanear el código con el que se comparte una excursión. El escáner lee un código y se cierra. No se fotografía, guarda ni sube nada, y rechazar el permiso no te cuesta más que tener que pegar el enlace a mano.

El selector de archivos, cuando importas un archivo GPX o KML. Android entrega el archivo que has elegido y ninguno más, se lee en el dispositivo, y lo que hay dentro es tuyo para conservarlo o descartarlo antes de que se guarde nada.

El portapapeles, cuando copias unas coordenadas o el enlace de una excursión. Eso es todo: el texto va a tu portapapeles y a ningún otro sitio.

Tu ubicación, cuando pulsas el botón que muestra dónde estás. Qué significa eso, y qué no significa nunca, es la sección de arriba.

Lo que dibujas es tuyo

Las excursiones, y los puntos, rutas, recorridos y áreas que contienen, se guardan en la base de datos propia de la aplicación, en tu dispositivo. Esa copia es con la que trabaja la aplicación, también sin conexión, y es la que prevalece cuando dos dispositivos no coinciden.

También se guarda una copia en nuestro servidor, de todas las excursiones y no solo de las que compartes. Eso es lo que hace que un enlace se abra en el dispositivo de otra persona, y lo que conserva una excursión si se pierde el móvil. No hay cuentas, así que a una excursión se llega por un enlace imposible de adivinar: quien tenga el enlace de consulta puede verla, y quien tenga el de edición puede modificarla.

Si desinstalas la aplicación desaparece lo que hay en el dispositivo. La copia del servidor se queda, y puede llegar a ella quien tenga un enlace.

Qué más se queda en el dispositivo

Unas pocas cosas, para que la aplicación se abra donde la dejaste: la posición y el zoom en los que estabas, las capas que tenías activadas, las búsquedas que has hecho hace poco, y el contorno de cualquier región que hayas mirado.

Y el identificador aleatorio que la aplicación se inventó para sí misma, que es con el que se piden los mensajes de más abajo, y lo que acompaña a cualquier cosa que nos escribas. Nada del resto de esto sale del dispositivo.

Y un correo electrónico, si alguna vez has dejado uno para que te respondamos al escribirnos. Se guarda para que no tengas que volver a escribirlo, y solo se envía cuando marcas la casilla que lo pide.

Las imágenes del mapa vienen de otras fuentes

El mapa se dibuja a partir de teselas servidas por OpenStreetMap, OpenTopoMap, Esri, el IGN de España, el ICGC de Cataluña, el IGN de Francia y otros, que aparecen bajo el mapa a medida que los usas. La aplicación las descarga directamente, así que esas organizaciones ven tu dirección de red y qué cuadrados del mundo has pedido, lo que les indica aproximadamente dónde estás mirando.

Esto es inevitable en cualquier mapa que no aloje sus propias imágenes, y es lo más importante del uso de Mappily que queda fuera de nuestro control. Cada proveedor tiene su propia política de privacidad.

Las teselas que ya has mirado se guardan en el dispositivo para que sigan estando ahí sin cobertura, y se van descartando las más antiguas cuando ese almacén llega a su tamaño. La aplicación nunca descarga una región por adelantado: la descarga masiva va contra las condiciones de los servicios de arriba, y no hay ningún botón para hacerla.

Qué le pide la aplicación a nuestro servidor

La búsqueda de lugares la responde Photon, un geocodificador de OpenStreetMap. La aplicación nunca contacta con él: la petición pasa por nuestro servidor, de modo que Photon nos ve preguntar a nosotros y no a ti. Las respuestas se guardan allí, así que una búsqueda que ya haya hecho otra persona no cuesta ninguna petición.

Los perfiles de elevación, el horizonte a lo largo de una línea de visión, las lecturas de ríos y embalses y los datos de los eclipses también se le piden a nuestro servidor. Cada una de esas peticiones lleva el lugar del que trata, porque es la pregunta que se está haciendo: un perfil no significa nada sin la línea que lo recorre. Nada de eso se cuenta, nada de eso se asocia a ti, y nada enlaza una petición con la siguiente.

Lo que sí deja una petición es una línea en un registro de servidor web corriente, como la deja cualquier petición a cualquier sitio. Eso viene con tener un servidor, no es algo que decida la aplicación.

Mensajes nuestros

Cuando la aplicación se abre, pregunta a nuestro servidor si hay algún mensaje que mostrar: por ejemplo, notas de versión, o un aviso de que un proveedor de mapas no funciona. Casi siempre no hay ninguno, y la aplicación no dice nada.

Para que un mensaje que ya has descartado no vuelva a aparecer, la aplicación se inventa un identificador aleatorio para sí misma la primera vez que pregunta, y lo envía con la pregunta. No se deriva de tu dispositivo ni de tu dirección de red, no puede convertirse en nada sobre ti, y solo se envía con esta petición y con ninguna otra. Si desinstalas la aplicación, se olvida.

La pregunta también lleva qué versión de la aplicación tienes, en qué plataforma se está ejecutando y en qué idioma la lees, para que un mensaje dirigido a versiones antiguas, o escrito en catalán, llegue a quien corresponde. No se envía nada sobre dónde estás, y este identificador nunca se asocia a nada que contenga un lugar.

Escribirnos

Hay un botón en el mapa para enviarnos un mensaje: de qué tipo es, lo que quieras decir, y Enviar. Aquí no pasa nada si no lo pulsas, y nada de ello se cuenta.

Debajo del mensaje hay dos casillas, ambas desmarcadas hasta que las marques. Una adjunta una imagen de la pantalla tal como estaba al pulsar el botón, que es sobre todo mapa, así que muestra dónde estabas mirando. La otra te deja dejar un correo electrónico para que podamos responder. La aplicación recuerda la dirección para que no tengas que volver a escribirla, y la casilla sigue empezando desmarcada cada vez: que te escribamos es algo que aceptas en cada mensaje y no una sola vez.

Dos cosas van con cada mensaje sin que ninguna casilla lo pregunte. La primera es dónde estaba el mapa — la posición, el zoom y qué capas estaban activadas. Es lo que hace que la función valga la pena: casi todo lo que alguien escribe sobre un mapa es sobre un sitio concreto, y «el sendero del collado no está» no se puede responder sin eso. No incluye qué excursión tenías abierta.

La segunda es el identificador aleatorio que la aplicación se inventó para sí misma, junto con qué versión de la aplicación tienes, en qué plataforma se ejecuta y en qué idioma la lees. El identificador es lo que permite leer varios mensajes de una misma persona como de una misma persona y no como quejas sin relación. Este es el único sitio donde queda junto a una posición, y se conserva mientras se conserve el mensaje.

Un mensaje se guarda un año y luego se borra, y la captura y la dirección se van con él. No se publica nada, no se le pasa a nadie más, y no hay ninguna página en ningún sitio que lo muestre.

De dónde viene la aplicación

La aplicación se instala desde Google Play, que registra la instalación bajo su propia política y no bajo la nuestra. Lo que nosotros vemos de eso es lo que Play le muestra a cualquier desarrollador: recuentos por país, dispositivo y versión, y nada sobre una persona.

Las actualizaciones pequeñas llegan sin pasar por la tienda. Al abrirse, la aplicación pregunta al servicio de actualizaciones de Expo si la versión que ejecuta ha sido sustituida, y lo pregunta haya algo que enviarle de vuelta o no. Esa petición le dice a Expo tu dirección de red, qué compilación tienes y en qué plataforma, junto con un identificador de instalación aleatorio propio de Expo, que guarda su código y no el nuestro. No va con ella nada sobre el mapa ni nada de lo que hayas dibujado.

Cuánto tiempo se conserva todo esto

No se cuenta nada, así que no hay eventos contados que borrar periódicamente. Los informes de fallos se borran a los 90 días.

El registro de que has descartado un mensaje se conserva hasta que ese mensaje se borra.

Un mensaje que nos hayas enviado se conserva un año, y la captura y el correo electrónico, si dejaste uno, se borran con él.

La copia de una excursión en el servidor se conserva mientras exista la excursión. Al borrar un elemento queda una marca que dice que se borró, para que un dispositivo que estuviera sin conexión en ese momento se entere del borrado en lugar de volver a añadirlo.

Preguntar sobre todo esto

Las preguntas sobre esta página, o sobre cualquier cosa que la aplicación registre, pueden dirigirse a privacy [at] mappily.com.