Cumplimiento legal

La plataforma está diseñada para cumplir la normativa siguiente, con independencia del país desde el que se consulte:

• RGPD (Reglamento UE 2016/679), con los principios de licitud, minimización, exactitud, limitación de la conservación, integridad y confidencialidad, y responsabilidad proactiva.
• LOPDGDD (Ley Orgánica 3/2018), incluida la protección reforzada de datos de salud y de ubicación.
• LSSI-CE (Ley 34/2002) para la información general de la web y las comunicaciones electrónicas.
• Ley 17/2015 del Sistema Nacional de Protección Civil, como marco del uso previsto de la herramienta.
• Reglamento europeo de inteligencia artificial (UE 2024/1689), en lo relativo a la transparencia sobre los contenidos generados por sistemas de IA.
• Ley 37/2007 de reutilización de la información del sector público, para el uso de datos de fuentes oficiales.

Esta página resume las medidas aplicadas y no constituye una certificación, una auditoría ni asesoramiento jurídico. El detalle del tratamiento está en la política de privacidad, y los datos identificativos del responsable en el aviso legal.

El responsable del tratamiento de los datos personales que se recogen en esta plataforma es el operador titular del servicio, con los datos identificativos siguientes:

Delegado de protección de datos: no se ha designado delegado, porque no concurre ninguno de los supuestos obligatorios del artículo 37 del RGPD. Las funciones de asesoramiento y control se asumen directamente desde el responsable, y cualquier cuestión de privacidad se atiende en el correo indicado arriba.

Cómo ejercer tus derechos: desde Mis datos y derechos o escribiendo al correo de contacto. Las solicitudes se contestan en un plazo máximo de 30 días (RGPD).

También puedes comunicar por ese correo una incidencia de seguridad, una brecha de datos o una barrera de accesibilidad.

• Minimización: cada formulario pide solo lo imprescindible y avisa para qué se usa. Las consultas públicas muestran el mínimo (por ejemplo, en la consulta de ingresos solo el hospital, sin estado clínico).
• Exactitud y trazabilidad: los datos operativos (farmacias de guardia, puntos de agua, planes, zonas de riesgo) guardan su fuente oficial y la fecha de verificación.
• Limitación de la conservación: cada tipo de dato tiene un plazo (apartado 8) y hay una purga automática nocturna de los datos caducados.
• Integridad y confidencialidad: reglas de acceso por registro y almacenamiento privado de los ficheros sensibles.
• Transparencia: avisos de protección de datos en todos los formularios que recogen datos personales.
• Privacidad desde el diseño: los módulos nuevos se diseñan desde el principio con minimización, plazos de conservación y permisos por registro, no como un añadido posterior.
• Responsabilidad proactiva: revisión periódica de las medidas, del registro de tratamientos, de la evaluación de impacto (apartado 17) y de los documentos de encargados.

Cada finalidad se apoya en una base jurídica concreta del artículo 6 del RGPD y, cuando hay datos de salud, del artículo 9:

Cuando la base es el consentimiento, puedes retirarlo en cualquier momento: para la analítica desde el pie de página, y para el resto eliminando el dato correspondiente o tu cuenta desde Mis datos y derechos. Retirarlo no afecta a lo hecho antes.

• Acceso por registro: contactos de emergencia, personas protegidas, rastro de ubicación, ingresos, preferencias de alerta, avisos de voluntariado y solicitudes de derechos solo los ve su propietario y los administradores de emergencias. Las escrituras de datos operativos están reservadas al centro de operaciones.
• Ficheros sensibles en almacenamiento privado: audios de SOS, fotos de incidentes e informes médicos se guardan privados y se sirven mediante enlaces temporales firmados, nunca con una URL pública permanente (stored privately).
• Credenciales: las contraseñas las gestiona el proveedor de identidad con hash; la plataforma nunca las almacena ni accede a ellas. El registro exige una contraseña con requisitos mínimos y aceptar términos y privacidad.
• Verificación y control de acceso: las consultas sensibles (por ejemplo, la búsqueda de un ingreso hospitalario) exigen un código aleatorio de un solo uso, y las labores de gestión requieren una cuenta con permisos.
• Cifrado en tránsito: todo el tráfico se sirve por HTTPS (TLS).
• Trazabilidad: las operaciones sensibles del servidor (envío de alertas, ingesta de sensores, altas de emergencia) quedan registradas para poder auditar qué pasó y cuándo.
• Límites de uso: las funciones expuestas a terceros aplican límites de frecuencia y validación de datos para evitar abusos e inyecciones de información falsa.
• Encargados y subencargados: los proveedores que tratan datos por cuenta del responsable lo hacen bajo contrato de encargado del tratamiento o condiciones equivalentes (art. 28 RGPD). Puedes solicitar la relación de proveedores en el contacto del apartado 2.
• Gestión de brechas: si se produce una violación de seguridad con riesgo para tus derechos, se notifica a la Agencia Española de Protección de Datos en 72 horas y a las personas afectadas sin dilación cuando el riesgo sea alto (arts. 33 y 34 RGPD), dejando constancia interna de la incidencia y de las medidas correctoras.
• Sin comercialización: los datos no se venden, no se ceden para publicidad y no se usan para elaborar perfiles.
• Sin rastreadores de terceros por defecto: no se cargan fuentes tipográficas ni scripts externos de seguimiento.

Son las categorías más protegidas y llevan un tratamiento específico:

• Finalidad: localizar a personas trasladadas durante una emergencia, coordinar su cuidado y permitir que una familia sepa dónde está su familiar.
• Base jurídica: protección de intereses vitales y coordinación de la emergencia sanitaria (art. 6.1.d y 6.1.e, y art. 9.2.c RGPD).
• Quién accede: el personal autorizado del centro de operaciones, el propio paciente o su familia mediante un código aleatorio de un solo uso, y el cuidador propietario en el caso del rastreo de personas vulnerables.
• Qué se muestra a la familia: únicamente el hospital; nunca el estado clínico ni datos personales.
• Ubicación: se comparte solo mientras el enlace de rastreo está abierto y, en el botón de emergencia, con los contactos que la propia persona haya configurado. El rastro se purga automáticamente.
• Consentimiento del rastreo: al registrar a una persona vulnerable, quien lo hace debe declarar expresamente que es su representante legal o que cuenta con su consentimiento. La plataforma exige esa declaración y no la comprueba documentalmente, por lo que responder de su veracidad corresponde a quien la realiza.
• No es vigilancia encubierta: el rastreo se limita a la finalidad de cuidado y localización; no se usa para control laboral, evaluación de comportamiento ni perfilado de la persona.
• Nadie vigila permanentemente: no existe un servicio de monitorización constante de estos datos; el aviso llega a los contactos y al centro de operaciones según la configuración de cada usuario.

La plataforma no está dirigida a menores de 16 años y no recoge deliberadamente sus datos. Cuando se registra el rastreo de una persona vulnerable menor de edad o con capacidad modificada judicialmente, debe hacerlo su representante legal, que asume esa condición en la declaración del formulario. Si detectas que se han facilitado datos de un menor sin autorización, comunícalo en el contacto del apartado 2 para proceder a su supresión.

Estos son los plazos vigentes. La plataforma los aplica con una purga automática diaria que elimina definitivamente los datos caducados:

Los registros operativos de una emergencia (incidente, alerta, zona de riesgo o recurso movilizado) se conservan durante el plazo legalmente exigible para el organismo de protección civil correspondiente. La analítica solo se recoge si aceptas esa finalidad y no incluye datos identificativos.

Puedes borrar tu cuenta y tus datos cuando quieras desde Mis datos y derechos, que elimina además contactos de emergencia, personas protegidas y su rastro, avisos de voluntariado y los reportes que hayas enviado, salvo que exista una obligación legal de conservación.

Tus datos se alojan en la infraestructura del proveedor tecnológico que presta la plataforma (alojamiento, base de datos y ficheros privados). No se venden ni se ceden con fines comerciales. Para prestar el servicio intervienen estos proveedores, que reciben únicamente los datos técnicos necesarios para su función y, donde se indica, las coordenadas del punto que consultas:

• Proveedor de infraestructura cloud: alojamiento, base de datos, identidad y ficheros privados cifrados.
• Esri / ArcGIS, Instituto Geográfico Nacional (PNOA), NASA GIBS, Copernicus (EFFIS), RainViewer, MITECO (zonas inundables) y AEMET: reciben el área del mapa o las coordenadas consultadas para devolver las teselas, las imágenes satelitales, el radar y los avisos meteorológicos; no reciben tu identidad.
• OpenStreetMap (Nominatim y Overpass) y BigDataCloud: reciben las coordenadas que consultas para traducirlas a municipio y buscar recursos cercanos, sin datos de tu cuenta.
• Open-Meteo: recibe las coordenadas consultadas para devolver la previsión meteorológica y marina.
• Medios de prensa y organismos oficiales: se consultan sus fuentes públicas (RSS y avisos) desde los servidores de la plataforma, sin datos de usuarios.
• Google: si inicias sesión con Google (autenticación OAuth), si activas expresamente el traductor o si pulsas un enlace «cómo llegar» a Google Maps, que envía a Google la ubicación de partida y el destino elegido; en esos casos se aplica su propia política de privacidad.
• YouTube (youtube-nocookie.com): solo al reproducir un vídeo, y siempre por tu acción.
• Proveedor de inteligencia artificial: recibe únicamente el texto o los datos del fenómeno que se van a resumir o valorar (por ejemplo, la consulta que escribes en la sección de trámites), sin tu identidad ni los datos de tu cuenta.
• Wikimedia Commons: sirve algunas de las imágenes ilustrativas de las guías.

Algunos de estos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En esos casos se aplican las garantías del capítulo V del RGPD: decisiones de adecuación de la Comisión Europea, el marco de privacidad de datos UE-EE. UU. o cláusulas contractuales tipo, junto con medidas adicionales cuando procede.

Algunas partes de la plataforma usan sistemas de inteligencia artificial. Lo decimos de forma expresa, como exige el reglamento europeo de IA, y siempre se indica la fuente de los datos que se analizan:

• Qué se genera automáticamente: resúmenes de noticias y avisos, análisis de patrones históricos, valoraciones de riesgo meteorológico o de incendio, informes de episodios de inundación y la orientación general de la sección de trámites.
• Qué no se hace: no hay decisiones automatizadas con efectos jurídicos ni perfilado de personas (art. 22 RGPD). Las valoraciones se refieren a zonas, fenómenos y datos operativos, no a la valoración individual de una persona.
• Intervención humana: los avisos y alertas que se difunden a los usuarios los revisa y envía el centro de operaciones; los reportes ciudadanos los verifica una persona antes de darlos por confirmados.
• Carácter orientativo: el contenido generado puede contener errores o imprecisiones y no sustituye a las fuentes oficiales ni a las indicaciones de las autoridades. Contrasta siempre lo crítico con el organismo competente y, ante una urgencia, llama al 112.
• No es asesoramiento profesional: la orientación de trámites es información general, no un dictamen jurídico, y el contenido de primeros auxilios es formativo, no atención médica.
• Finalidad limitada: los datos de los usuarios no se utilizan para entrenar modelos propios ni para mejorar sistemas de terceros con fines comerciales.
• Proveedor externo: los textos que se resumen o analizan se procesan con el servicio de inteligencia artificial del proveedor tecnológico de la plataforma (apartado 9); solo se envía lo necesario para esa tarea, nunca tus credenciales ni los datos de tu cuenta.

• Almacenamiento local: preferencias de idioma, tema, modo lectura, contenido guardado sin conexión y tu decisión sobre cookies. Todo es funcional, no publicitario.
• Analítica: desactivada hasta que la aceptas y revocable en cualquier momento con la misma facilidad, desde el pie de página ("Preferencias de cookies").
• Terceros solo si los activas: el traductor de Google y los vídeos de YouTube no se cargan hasta que pulsas su botón, y se indica en el propio botón.
• Sin cookies publicitarias ni redes de seguimiento.

La información operativa procede de fuentes oficiales o de licencia abierta, y cada capa del mapa muestra su atribución:

• AEMET: avisos CAP, radar, satélite y red de pluviómetros, reutilizados con atribución.
• IGN / PNOA y Esri World Imagery: cartografía e imágenes de satélite.
• Copernicus EFFIS: perímetros de incendios forestales.
• MITECO: zonas de riesgo de inundación (ARPSI).
• DGT y CNDES (Ministerio del Interior): tráfico y registro público de personas desaparecidas (solo recuento agregado por provincia, sin datos personales).
• OpenStreetMap (ODbL) y sus servicios derivados (Nominatim, Overpass): puntos, vías y caminos.
• Open-Meteo, RainViewer, NASA EONET y MeteoAlarm: meteorología, radar de lluvia y eventos globales.
• Medios de comunicación: los titulares de actualidad se muestran con el nombre del medio y enlace a la noticia original; el texto y las imágenes son de sus titulares y no se reproducen íntegros.

Los datos se muestran con finalidad informativa y con su fuente y fecha de verificación cuando corresponde.

No afiliación: EmergenciaSync es una iniciativa privada independiente. No está afiliada, patrocinada ni respaldada por AEMET, el IGN, la DGT, el Ministerio del Interior, el MITECO, Copernicus, Esri, OpenStreetMap, ningún servicio de emergencia ni ninguna administración pública, y no actúa como emisor oficial de sus avisos. Los nombres, logotipos y marcas citados se usan únicamente para identificar el origen del dato (uso nominativo) y pertenecen a sus respectivos titulares.

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar tu consentimiento, desde Mis datos y derechos o escribiendo al correo indicado en el apartado 2. Respondemos en un plazo máximo de 30 días.

Si no quedas satisfecho con la respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de control del país donde residas.

El objetivo es cumplir las pautas WCAG 2.1 nivel AA y los criterios de la norma EN 301 549, referencia del Real Decreto 1112/2018 para los servicios del sector público: contrastes suficientes, controles táctiles amplios, modo lectura para personas mayores o con dificultades de visión, texto ampliable, navegación por teclado y cinco idiomas. Las funciones esenciales (teléfonos de emergencia, primeros auxilios, guía de evacuación) no requieren registro.

No existe todavía una declaración formal de accesibilidad firmada. Si encuentras una barrera, comunícala en el correo del apartado 2 indicando la pantalla y el dispositivo: se corregirá y se te informará de la solución.

Para que no haya dudas, esto es lo que esta plataforma no es:

• No es un canal oficial de emergencia. No sustituye al 112 ni a los servicios públicos: ante una urgencia real, llama al 112.
• No prevalece sobre las autoridades. Las órdenes de Protección Civil, bomberos, policía o emergencias sanitarias siempre están por encima de cualquier indicación de la app.
• No es un servicio de atención permanente. No hay una central que vigile la aplicación las 24 horas: el botón de emergencia registra el aviso y lo comunica a tus contactos y al centro de operaciones, pero no garantiza una respuesta inmediata.
• No es un producto sanitario ni un dispositivo médico conforme al Reglamento (UE) 2017/745: no diagnostica, no prescribe ni trata.
• No es asesoramiento jurídico ni fiscal: la información de trámites es orientativa y puede no estar actualizada.
• Está en fase de pruebas y pilotos: es una herramienta de apoyo a la coordinación, no un sistema oficial de gestión de emergencias.
• No tiene certificaciones declaradas (ni ISO 27001 ni ENS). Si tu organismo necesita el Esquema Nacional de Seguridad o una declaración formal de accesibilidad, lo abordamos durante el piloto.
• Los datos de fuentes oficiales pueden tener retardo respecto al fenómeno real y pueden contener errores propios de la fuente.
• No garantiza el resultado de un rescate: ninguna funcionalidad de esta plataforma asegura que una persona sea localizada o atendida a tiempo.

Estas cláusulas concretan el descargo de responsabilidad del titular de la plataforma. Se aplican junto con el resto de condiciones del aviso legal y de los términos de uso:

• Uso bajo tu responsabilidad. La plataforma es una herramienta de apoyo a la decisión. El uso que hagas de ella, de las rutas sugeridas y de la información mostrada es tuyo, y la decisión final corresponde siempre a ti y a las autoridades competentes.
• Exactitud y actualización de los datos. La información se ofrece tal cual, sin garantía de exactitud, exhaustividad, actualidad ni adecuación a un fin concreto. Puede contener errores, omisiones o retardos, especialmente cuando la fuente oficial los tiene.
• Disponibilidad del servicio. No se garantiza un funcionamiento ininterrumpido ni libre de errores. La plataforma puede quedar fuera de servicio, precisamente, en el escenario para el que se usa: cortes de energía, caídas de telecomunicaciones, saturación de los proveedores de datos o fallos de la infraestructura cloud. Existe un modo sin conexión limitado, pero no cobertura total.
• Rutas y recomendaciones de evacuación. Las rutas, tiempos estimados y alternativas son orientativos y se calculan con datos que pueden haber cambiado. Una vía sugerida puede estar cortada, inundada, en obras o ser peligrosa. Antes de desplazarte, sigue las indicaciones oficiales y valora el terreno.
• Salud y primeros auxilios. El contenido de primeros auxilios y las guías sanitarias son formativos y no sustituyen la valoración de un profesional ni la llamada al 112. No se responde de decisiones tomadas a partir de ellos.
• Orientación jurídica y administrativa. La información de trámites y derechos es general y no constituye asesoramiento jurídico personalizado ni garantiza el resultado de una reclamación.
• Contenidos de terceros y enlaces externos. Los datos de organismos, medios de prensa, mapas y vídeos provienen de terceros; no se responde de su contenido, de su disponibilidad ni de los cambios que introduzcan. Los enlaces externos se ofrecen como referencia.
• Contenido aportado por usuarios. Los reportes ciudadanos, avisos de voluntariado y publicaciones de farmacias o seguros los introduce quien los envía. No se verifica la veracidad de cada aportación ni se responde de su contenido; los avisos urgentes los contrasta el centro de operaciones antes de darlos por confirmados. El uso indebido (reportes falsos o alarmas simuladas) puede ser constitutivo de delito y es responsabilidad exclusiva de su autor.
• Funciones de emergencia. El botón SOS, el aviso de "estoy a salvo" y las notificaciones a contactos dependen de la red, del dispositivo y de la configuración del usuario. No garantizan que el mensaje llegue ni que alguien pueda acudir.
• Límite de responsabilidad. En la medida máxima permitida por la ley, el titular no responde de daños indirectos, lucro cesante, pérdida de datos, interrupción de actividad ni de los daños derivados del uso o de la imposibilidad de usar la plataforma.
• Derechos que no se pueden limitar. Nada de esta sección excluye ni limita la responsabilidad que legalmente no puede excluirse (dolo, culpa grave, daños personales o a la salud) ni los derechos que la normativa de consumo y de protección de datos reconoce al usuario. Si alguna cláusula se declarara nula, el resto seguirá siendo válido.
• Fuerza mayor. No se responde de incumplimientos causados por catástrofes, fallos generalizados de telecomunicaciones o energía, decisiones de la administración, ciberataques de terceros o cualquier circunstancia ajena y razonablemente imprevisible.
• Responsabilidad del usuario. Quien use la plataforma se compromete a no introducir datos falsos, a no vulnerar derechos de terceros y a no emplear la herramienta para fines distintos de la seguridad y la coordinación de emergencias, respondiendo de los daños que cause su uso contrario a estas condiciones.

El tratamiento de datos de salud y de ubicación a escala, con uso de tecnología que permite localizar personas, obliga a realizar una evaluación de impacto relativa a la protección de datos (EIPD) conforme al artículo 35 del RGPD. El responsable declara lo siguiente:

• Motivo: concurren varios criterios de riesgo del artículo 35.3 y de los listados de la AEPD: datos de categorías especiales (salud), datos de ubicación tratados a gran escala, personas vulnerables, evaluación sistemática de zonas y fenómenos y uso de tecnologías de análisis automático.
• Alcance evaluado: los tratamientos de ingresos hospitalarios, personas vulnerables y su rastro de ubicación, avisos de emergencia con audio y foto, consultas por código, reportes ciudadanos y análisis de riesgo generados automáticamente.
• Análisis realizado: descripción sistemática de cada tratamiento y sus finalidades, juicio de necesidad y proporcionalidad, identificación de riesgos para los derechos y libertades de las personas y definición de las medidas para mitigarlos.
• Riesgos identificados: acceso o divulgación no autorizada, reidentificación de personas a partir de datos de localización, uso indebido del rastreo de una persona vulnerable, conservación más larga de la necesaria, interceptación en tránsito y error o suplantación en un reporte.
• Medidas adoptadas frente a esos riesgos: minimización de datos en cada formulario, acceso por registro con el propietario y los administradores de emergencias, ficheros sensibles en almacenamiento privado con enlaces temporales firmados, códigos aleatorios de un solo uso para consultas, ocultación del estado clínico en las consultas públicas, plazos de conservación con purga automática diaria, cifrado en tránsito, límites de uso y registro de actividad en las operaciones sensibles.
• Necesidad y proporcionalidad: se concluye que los datos tratados son los mínimos para la finalidad de coordinación de la emergencia y que no existen alternativas menos intrusivas que permitan prestar el servicio (por ejemplo, sin conocer la ubicación de la persona a localizar).
• Conclusión del responsable: con las medidas anteriores, el riesgo residual para los derechos y libertades se considera aceptable, por lo que el tratamiento puede llevarse a cabo. No ha sido necesaria la consulta previa a la autoridad de control del artículo 36 del RGPD.
• Revisión: la evaluación se revisa al menos cada dos años y siempre que cambie un tratamiento, se añada una funcionalidad que trate datos de salud o ubicación, se modifiquen los proveedores implicados o cambie la normativa aplicable.

El documento de la evaluación, con la identificación del responsable y su fecha, se conserva como registro de responsabilidad proactiva (art. 5.2 y 24 RGPD) y se facilita a la autoridad de control que lo solicite. Puedes pedir información sobre su contenido y sus conclusiones en el correo del apartado 2.

Idioma y versión aplicable: los documentos legales de la plataforma están redactados en español, que es la versión de referencia: si existe una traducción o un resumen en otro idioma y hay alguna discrepancia, prevalece el texto español. Las referencias informativas a marcos de otros países no implican sometimiento a otra jurisdicción cuando el RGPD resulte de aplicación.

Derecho aplicable: se aplica la legislación española, sin perjuicio de los derechos imperativos de protección de datos y de consumo que la ley reconozca a los residentes en otros países.

Revisión: estas medidas, el registro de actividades de tratamiento y la documentación con los proveedores que actúan como encargados se revisan periódicamente, y la evaluación de impacto conforme al apartado 17. Si cambia algo relevante, se actualiza esta página y la fecha de la parte superior.

Para cualquier duda sobre cumplimiento, ejercicio de derechos, incidencia de seguridad o barrera de accesibilidad, escribe a alffermun@gmail.com.