Política de Privacidad

Última actualización: 13 de agosto de 2026

Este documento se publica en español e inglés. En caso de discrepancia entre ambas versiones, prevalece la española.

Tus conversaciones no pasan por nosotros. Lo poco que guardamos es lo justo para que tus amigos te encuentren y para avisarte de que tienes mensajes.

1. Quién trata tus datos

El responsable es Eric Pérez Olías. Contacto: privacy arroba holapp.eu, que es la vía para ejercer cualquiera de los derechos de la sección 7.

No tenemos delegado de protección de datos porque no lo exige el artículo 37 del RGPD: no hacemos observación sistemática a gran escala ni tratamos categorías especiales de datos.

2. Qué datos tratamos, para qué y con qué base legal

2.1 Lo que se queda en tu móvil y nosotros no vemos

Tus mensajes, llamadas, fotos, audios, documentos, contactos, grupos, notas, encuestas, gastos compartidos, tu foto de perfil, tu apodo, tu estado, tu saldo de holapp coins y tu historial de transacciones se guardan solo en tu dispositivo. No hay copia en la nube ni cuenta de servidor con tus datos.

La única excepción es la copia de seguridad de tu propio móvil, que no gestionamos nosotros. Para que no pierdas la cuenta si reinstalas la app, en Android la clave de tu cuenta y tu saldo de holapp coins entran en la copia de seguridad del sistema, que se guarda en tu cuenta de Google; en iPhone se guardan en el llavero del propio iPhone, sin sincronizarse con el llavero de iCloud. Tus chats y lo que recibes en ellos quedan fuera de las copias de seguridad del móvil, también de la de iCloud. Lo que guardes tú en tu galería o en tus archivos sigue las reglas de tu móvil.

Que estén en tu móvil no nos convierte en responsables de ellos: no podemos acceder a ellos ni recuperarlos.

2.2 Datos de conexión (nuestro servidor)

Para que dos móviles se encuentren hace falta un intermediario que los presente. Ese es todo el papel de nuestro servidor.

Dato	Para qué	Base legal
Identificador de dispositivo	Que tus amigos puedan conectar contigo	Ejecución del contrato (art. 6.1.b RGPD)
Clave secreta del dispositivo	Impedir que otro se haga pasar por ti	Ejecución del contrato
Idioma	Enviarte los avisos en tu idioma	Ejecución del contrato
Fecha de alta y de última actividad	Mantener el servicio y detectar abusos	Interés legítimo (art. 6.1.f)
Registro de cambios de aparato	Detectar cuentas compartidas o robadas	Interés legítimo
Dirección IP	Establecer la conexión y frenar ataques por saturación	Interés legítimo

Este identificador es seudónimo: por sí solo no dice quién eres. No lleva tu nombre, ni tu correo, ni tu teléfono, porque holapp no te los pide nunca.

La IP no se guarda en ninguna base de datos. Se usa en el momento y queda, como mucho, en una lista de últimos eventos en la memoria del servidor que se borra en cada actualización.

2.3 Avisos de mensajes (notificaciones push)

Si aceptas las notificaciones, guardamos el token que tu móvil nos da y lo usamos para mandarte un aviso cuando alguien te escribe estando la app cerrada. El aviso no lleva el contenido del mensaje, solo quién te escribe.

Base legal: tu consentimiento (art. 6.1.a). Puedes retirarlo desde los ajustes del móvil.
Se lo damos a: Google (Firebase Cloud Messaging), que es quien lo entrega. En iPhone, Google lo hace llegar a través del servicio de notificaciones de Apple (Apple Push Notification service), así que Apple también lo recibe.
Si deniegas las notificaciones, la app funciona igual: verás los mensajes al abrirla.

2.4 Denuncias

Es el único caso en el que contenido de tus conversaciones sale de tu móvil, y solo si tú decides denunciar.

Cuando denuncias a alguien recibimos: tu identificador y tu apodo, el suyo, el motivo, tu comentario, la versión de la app y hasta 20 mensajes de esa conversación recortados a 500 caracteres. De fotos, audios y documentos va solo una etiqueta que dice de qué tipo era; el fichero nunca sale.

Base legal: interés legítimo en mantener el servicio seguro y cumplir con las obligaciones de las tiendas de aplicaciones. Si hay delito de por medio, cumplimiento de una obligación legal (art. 6.1.c).
Se borran automáticamente a los 180 días.
Si te denuncian, tus mensajes en esa conversación estarán en esa denuncia. Es inevitable: sin contexto no se puede moderar nada.

2.5 Expulsiones

Si expulsamos una cuenta guardamos el identificador, el motivo y la fecha, para que la expulsión se pueda aplicar. Base legal: interés legítimo.

2.6 Anuncios

Todavía no está activo. holapp no muestra anuncios y no incluye ningún SDK de publicidad. No se recoge tu identificador de publicidad ni se comparte nada con ninguna red publicitaria. Lo que sigue describe lo que ocurrirá cuando los anuncios se activen, y te lo avisaremos antes.

Cuando se activen: si decides ver un anuncio para ganar holapp coins, Google AdMob recibirá el identificador de publicidad de tu dispositivo, tu IP y datos técnicos del móvil.

Base legal: tu consentimiento, que te pedimos antes del primer anuncio y puedes cambiar cuando quieras.
Si no consientes los anuncios personalizados, verás anuncios no personalizados.
Nosotros no recibimos ningún dato tuyo de AdMob: solo si el anuncio se vio entero.
Puedes borrar o restringir tu identificador de publicidad en los ajustes del móvil. En iPhone, además, la app tendrá que pedirte permiso antes de usarlo.

2.7 Compras

Todavía no está activo. Los paquetes de holapp coins no están a la venta, y la app no se conecta con la facturación de Google Play ni con la de la App Store.

Cuando se activen, las gestionará de principio a fin la tienda de tu móvil: Google Play en Android y la App Store en iPhone. Nosotros recibiremos únicamente la confirmación de que la compra fue correcta, para abonarte los holapp coins. Nunca veremos tu tarjeta ni tus datos de pago. Base legal: ejecución del contrato.

2.8 Llamadas

Para que una llamada atraviese tu router, la app consulta un servidor STUN de Google, que ve tu IP pública durante la negociación. El audio y el vídeo van directos al otro móvil y no pasan por ningún servidor.

2.9 Vista previa de enlaces

Si pegas en el chat un enlace de Spotify, YouTube, Vimeo, SoundCloud o Deezer, la app pide a esos servicios el título y la miniatura para enseñar una tarjeta. Eso significa que esa URL y tu IP llegan a ese proveedor. Solo pasa con enlaces de esos sitios y solo cuando aparecen en la conversación.

2.10 Fecha de nacimiento

Se te pide al crear la cuenta solo para comprobar que tienes 16 años. Se comprueba en el propio móvil y no se guarda ni se envía a ningún sitio.

2.11 Traducción y transcripción

Traducir un mensaje y pasar a texto una nota de voz se hace en tu propio móvil: ni el texto ni el audio salen de él.

Traducción: usa la librería de traducción de Google (ML Kit), que funciona dentro del móvil. La primera vez que traduces un idioma, la app descarga de Google el modelo de ese idioma. Además, la librería envía a Google datos técnicos de uso: modelo y sistema del móvil, versión de la app, los idiomas elegidos y los errores, con un identificador de instalación que no te identifica. Nunca el texto de tus mensajes. Google los usa para diagnóstico y estadísticas de uso de la librería, y no los cede a terceros.
Transcripción: usa el reconocimiento de voz del propio sistema (Android o iOS) en modo sin conexión.
Base legal: ejecución del contrato. Solo ocurre si usas estas funciones.

3. Lo que NO hacemos

No leemos tus mensajes ni escuchamos tus llamadas. Técnicamente no podemos: no pasan por nosotros.
No vendemos ni cedemos tus datos a nadie.
Dentro de la app no usamos analítica, ni SDK de seguimiento, ni herramientas de perfilado. Aparte de las notificaciones (2.3), la única librería que envía datos técnicos a su fabricante es la de traducción (2.11), y solo si la usas.
No accedemos a tu agenda de contactos ni a tu ubicación. La app no pide esos permisos.
No tomamos decisiones automatizadas con efectos jurídicos sobre ti. Las denuncias las revisa una persona.

4. Permisos del móvil

Permiso	Para qué
Cámara	Tu foto de perfil, enviar fotos, videollamadas y escanear códigos QR
Micrófono	Notas de voz y llamadas
Fotos y multimedia	Elegir imágenes y vídeos para enviar, y guardar los que recibes
Notificaciones	Avisarte de mensajes y llamadas
Datos biométricos	Solo si activas la huella o el reconocimiento facial (Face ID en iPhone) para abrir un chat protegido. Lo comprueba tu móvil: nosotros nunca recibimos tu huella ni tu cara
Red local (solo iPhone)	Conectar directamente con los móviles de tus amigos que están en tu misma red wifi
Reconocimiento de voz (solo iPhone)	Pasar a texto tus notas de voz en el propio iPhone

Todos son opcionales y se piden en el momento en que hacen falta. Puedes revocarlos desde los ajustes del móvil; solo dejará de funcionar la parte que dependa de ellos.

5. Cuánto tiempo guardamos las cosas

Qué	Cuánto
Identificador, secreto, token e idioma	Mientras tengas la cuenta. Se borran cuando la eliminas
Denuncias	180 días, con borrado automático diario
Expulsiones	Mientras dure la expulsión; las permanentes, indefinidamente
Dirección IP	No se almacena
Copias de seguridad cifradas del servidor	30 días de rotación

6. Dónde están tus datos

En servidores propios, alojados en proveedores de la Unión Europea con sus centros de datos en la Unión Europea o en Suiza. Las copias de seguridad van cifradas y se guardan en esos mismos países. No llevamos tus datos a ningún otro sitio.

Suiza no forma parte de la Unión Europea, pero la Comisión Europea la reconoce como país con un nivel de protección de datos adecuado, así que tus datos siguen amparados por las mismas garantías y no hacen falta salvaguardas adicionales.

Google (notificaciones, STUN, traducción y, en la web, Analytics) y Apple (notificaciones en iPhone) pueden tratar datos fuera de la UE amparándose en las cláusulas contractuales tipo de la Comisión Europea y en el marco de adecuación UE-EE. UU. Los anuncios y los pagos no están activos, así que hoy no hay ningún dato tuyo yendo a AdMob ni a la facturación de Google Play o de la App Store.

7. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, y retirar los consentimientos que hayas dado.

Escríbenos a privacy arroba holapp.eu indicando el derecho que ejerces. Necesitaremos tu identificador de holapp (lo tienes en Cuenta) para saber a qué registro te refieres: es lo único que nos vincula contigo. Responderemos en el plazo máximo de un mes.

La forma más rápida de borrarlo todo es Cuenta → Eliminar cuenta dentro de la app: borra lo local y pide al servidor que elimine tu registro, sin esperas ni correos.

Si crees que no hemos hecho bien nuestro trabajo, puedes reclamar ante la autoridad de protección de datos de tu país de residencia, la de tu lugar de trabajo o la del lugar donde creas que se cometió la infracción. Como estamos establecidos en España, nuestra autoridad principal es la Agencia Española de Protección de Datos (www.aepd.es), pero no estás obligado a acudir a ella: la lista de las 27 autoridades está en edpb.europa.eu.

8. Menores

holapp no está dirigida a menores de 16 años y no recogemos datos de ellos a sabiendas.

El RGPD deja que cada país fije esa edad entre los 13 y los 16 (España la tiene en 14). Hemos elegido 16 en todos los países, que es el máximo: así el requisito vale igual en los 27 y nunca nos quedamos cortos en ninguno.

Si nos consta que una cuenta pertenece a un menor de esa edad, la cerraremos y borraremos sus datos. Si eres madre, padre o tutor y crees que esto ha ocurrido, escríbenos.

9. Seguridad

Ciframos las comunicaciones de extremo a extremo, ciframos las copias de seguridad, autenticamos cada dispositivo con su secreto y limitamos el número de conexiones para frenar ataques. La app puede bloquear las capturas de pantalla (solo en Android; en iPhone avisa a quien las hace) y proteger chats con un código de 6 dígitos.

Aun así, ningún sistema es infalible. Si ocurriera una brecha que suponga un riesgo para tus derechos, te lo comunicaríamos y lo notificaríamos a la autoridad de control en el plazo de 72 horas.

10. Cambios en esta política

Si la cambiamos, publicaremos la nueva versión con su fecha y, si el cambio es relevante, te avisaremos dentro de la app. La versión vigente estará siempre en esta página.

11. Cookies en la web holapp.eu

Esta sección es solo de la página web. La aplicación no usa cookies de ningún tipo.

Cookies técnicas

Guardamos tu elección sobre las cookies y el idioma que has escogido. Son imprescindibles para que la web funcione como esperas y no necesitan tu permiso. No identifican a nadie.

Nombre	Para qué	Duración
`holapp_consent`	Recordar qué has aceptado o rechazado	6 meses
`holapp-lang` (almacenamiento local, no cookie)	Recordar el idioma que elegiste	Hasta que borres los datos del navegador

Cookies de análisis (Google Analytics)

Usamos Google Analytics para saber cuánta gente visita la web, por dónde entra y qué secciones mira. Nos sirve para decidir qué mejorar, no para perseguir a nadie.

Nombre	Quién la pone	Para qué	Duración
`_ga`	Google	Distinguir visitantes	2 años
`_ga_<ID>`	Google	Mantener el estado de la sesión	2 años

No se cargan hasta que tú lo aceptas. Si rechazas o no eliges, Google Analytics no llega a ejecutarse. Ni una cookie.
Rechazar es tan fácil como aceptar: los dos botones están al mismo nivel en el aviso.
Puedes cambiar de opinión cuando quieras desde el enlace Cookies del pie de página.

Base legal: tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI-CE). Al retirarlo dejamos de usarlas, sin que eso afecte a lo hecho antes.

Destinatario: Google Ireland Limited. Tenemos activada la anonimización de IP. También puedes bloquear las cookies desde tu navegador o instalar el complemento de inhabilitación de Google Analytics (tools.google.com/dlpage/gaoptout).

← Volver a la portada

Privacy Policy

Last updated: 13 August 2026

This document is published in Spanish and English. The Spanish version is the binding one: if the two disagree, the Spanish text prevails.

Your conversations do not go through us. The little we do store is just enough for your friends to find you and to let you know you have messages.

1. Who processes your data

The controller is Eric Pérez Olías. Contact: privacy at holapp.eu, which is the channel for exercising any of the rights in section 7.

We have no data protection officer because Article 37 GDPR does not require one: we carry out no large-scale systematic monitoring and process no special categories of data.

2. What data we process, why, and on what legal basis

2.1 What stays on your phone and we never see

Your messages, calls, photos, audio, documents, contacts, groups, notes, surveys, shared expenses, profile picture, nickname, status, holapp coins balance and transaction history are stored only on your device. There is no cloud copy and no server account holding your data.

The only exception is your own phone's backup, which we do not manage. So you don't lose your account if you reinstall the app, on Android your account key and your holapp coins balance are included in the system backup, which is stored in your Google account; on iPhone they are kept in the iPhone's own keychain, without syncing to iCloud Keychain. Your chats and what you receive in them are left out of your phone's backups, iCloud included. Anything you save yourself to your gallery or your files follows your phone's own rules.

Their being on your phone does not make us the controller of them: we can neither access nor recover them.

2.2 Connection data (our server)

For two phones to find each other, something has to introduce them. That is the whole job of our server.

Data	Purpose	Legal basis
Device identifier	So your friends can connect to you	Performance of the contract (Art. 6(1)(b) GDPR)
Device secret key	Stop anyone else impersonating you	Performance of the contract
Language	Send you notifications in your language	Performance of the contract
Sign-up and last-activity dates	Keep the service running and detect abuse	Legitimate interest (Art. 6(1)(f))
Device-change log	Detect shared or stolen accounts	Legitimate interest
IP address	Establish the connection and stop flooding attacks	Legitimate interest

That identifier is pseudonymous: on its own it does not say who you are. It carries no name, no email and no phone number, because holapp never asks for them.

The IP address is not stored in any database. It is used in the moment and at most appears in a recent-events list held in the server's memory, which is wiped on every update.

2.3 Message alerts (push notifications)

If you allow notifications, we store the token your phone gives us and use it to alert you when someone writes to you while the app is closed. The alert does not carry the message content, only who wrote to you.

Legal basis: your consent (Art. 6(1)(a)). You can withdraw it in your phone's settings.
Shared with: Google (Firebase Cloud Messaging), which delivers it. On iPhone, Google delivers it through Apple's notification service (Apple Push Notification service), so Apple receives it too.
If you deny notifications, the app works the same: you will see messages when you open it.

2.4 Reports

This is the only case in which content from your conversations leaves your phone, and only if you choose to report someone.

When you report someone we receive: your identifier and nickname, theirs, the reason, your comment, the app version and up to 20 messages from that conversation, truncated to 500 characters. For photos, audio and documents only a label saying what type it was is sent; the file never leaves.

Legal basis: legitimate interest in keeping the service safe and meeting app-store obligations. Where a crime is involved, compliance with a legal obligation (Art. 6(1)(c)).
They are deleted automatically after 180 days.
If someone reports you, your messages in that conversation will be in that report. It is unavoidable: without context nothing can be moderated.

2.5 Bans

If we ban an account we store the identifier, the reason and the date, so the ban can be enforced. Legal basis: legitimate interest.

2.6 Advertising

Not active yet. holapp shows no ads and ships no advertising SDK. Your advertising identifier is not collected and nothing is shared with any ad network. What follows describes what will happen once ads are switched on, and we will tell you beforehand.

Once switched on: if you choose to watch an ad to earn holapp coins, Google AdMob will receive your device's advertising identifier, your IP and technical device data.

Legal basis: your consent, which we ask for before the first ad and which you can change at any time.
If you do not consent to personalised ads, you will see non-personalised ones.
We receive no data about you from AdMob: only whether the ad was watched in full.
You can reset or restrict your advertising identifier in your phone's settings. On iPhone, the app will also have to ask for your permission before using it.

2.7 Purchases

Not active yet. holapp coin packs are not on sale, and the app does not connect to Google Play or App Store billing.

Once switched on, they will be handled end to end by your phone's store: Google Play on Android and the App Store on iPhone. We will receive only the confirmation that the purchase succeeded, so we can credit your holapp Coins. We will never see your card or your payment details. Legal basis: performance of the contract.

2.8 Calls

So a call can get through your router, the app queries a Google STUN server, which sees your public IP during negotiation. Audio and video go straight to the other phone and pass through no server.

2.9 Link previews

If you paste a Spotify, YouTube, Vimeo, SoundCloud or Deezer link into a chat, the app asks those services for the title and thumbnail to show a card. That means that URL and your IP reach that provider. It happens only with links from those sites and only when they appear in the conversation.

2.10 Date of birth

Asked for when you create your account solely to check that you are 16. It is checked on the phone itself and is neither stored nor sent anywhere.

2.11 Translation and transcription

Translating a message and turning a voice note into text happen on your own phone: neither the text nor the audio leaves it.

Translation: uses Google's translation library (ML Kit), which runs inside the phone. The first time you translate a language, the app downloads that language's model from Google. The library also sends Google technical usage data: phone model and system, app version, the chosen languages and any errors, with an installation identifier that does not identify you. Never the text of your messages. Google uses it for diagnostics and usage statistics of the library, and does not pass it on to third parties.
Transcription: uses the system's own speech recognition (Android or iOS) in offline mode.
Legal basis: performance of the contract. It only happens if you use these features.

3. What we do NOT do

We do not read your messages or listen to your calls. Technically we cannot: they do not go through us.
We do not sell or hand your data to anyone.
Inside the app we use no analytics, no tracking SDKs and no profiling tools. Apart from notifications (2.3), the only library that sends technical data to its maker is the translation one (2.11), and only if you use it.
We do not access your contacts list or your location. The app does not request those permissions.
We take no automated decisions with legal effects on you. Reports are reviewed by a person.

4. Phone permissions

Permission	What for
Camera	Your profile picture, sending photos, video calls and scanning QR codes
Microphone	Voice notes and calls
Photos and media	Picking images and videos to send, and saving the ones you receive
Notifications	Alerting you to messages and calls
Biometrics	Only if you enable fingerprint or face unlocking (Face ID on iPhone) for a locked chat. Your phone checks it: we never receive your fingerprint or your face
Local network (iPhone only)	Connecting directly to your friends' phones on the same Wi-Fi network
Speech recognition (iPhone only)	Turning your voice notes into text on the iPhone itself

All of them are optional and are requested when they are actually needed. You can revoke them in your phone's settings; only the part that depends on them will stop working.

5. How long we keep things

What	How long
Identifier, secret, token and language	While you have the account. Deleted when you delete it
Reports	180 days, deleted automatically every day
Bans	For the length of the ban; permanent ones, indefinitely
IP address	Not stored
Encrypted server backups	30-day rotation

6. Where your data is

On our own servers, hosted with European Union providers whose data centres are in the European Union or in Switzerland. Backups are encrypted and kept in those same countries. We take your data nowhere else.

Switzerland is not part of the European Union, but the European Commission recognises it as offering an adequate level of data protection, so your data keeps the same guarantees and no additional safeguards are needed.

Google (notifications, STUN, translation and, on the website, Analytics) and Apple (notifications on iPhone) may process data outside the EU under the European Commission's standard contractual clauses and the EU-US Data Privacy Framework. Ads and payments are not active, so today no data of yours goes to AdMob or to Google Play or App Store billing.

7. Your rights

You may exercise at any time your rights of access, rectification, erasure, restriction, objection and portability, and withdraw any consent you have given.

Write to privacy at holapp.eu telling us which right you are exercising. We will need your holapp identifier (you have it under Account) to know which record you mean: it is the only thing linking us to you. We will reply within one month at most.

The fastest way to erase everything is Account → Delete account in the app: it wipes what is local and asks the server to remove your record, with no waiting and no emails.

If you think we have not done our job properly, you can complain to the data protection authority of your country of residence, of your place of work, or of the place where you believe the infringement took place. As we are established in Spain, our lead authority is the Spanish Data Protection Agency (www.aepd.es), but you are not obliged to go to it: the list of all 27 authorities is at edpb.europa.eu.

8. Minors

holapp is not aimed at anyone under 16 and we do not knowingly collect their data.

The GDPR lets each country set that age between 13 and 16 (Spain sets it at 14). We have chosen 16 in every country, the maximum: that way the requirement holds equally across all 27 and we are never short in any of them.

If we learn that an account belongs to someone under that age, we will close it and delete their data. If you are a parent or guardian and believe this has happened, write to us.

9. Security

We encrypt communications end to end, encrypt backups, authenticate every device with its secret and rate-limit connections to stop attacks. The app can block screenshots (Android only; on iPhone it warns whoever takes one) and lock chats with a 6-digit code.

Even so, no system is infallible. Should a breach occur that poses a risk to your rights, we would tell you and notify the supervisory authority within 72 hours.

10. Changes to this policy

If we change it, we will publish the new version with its date and, if the change is significant, we will let you know inside the app. The version in force will always be on this page.

11. Cookies on holapp.eu

This section covers the website only. The app uses no cookies of any kind.

Strictly necessary cookies

We store your cookie choice and the language you picked. They are essential for the site to work as you expect and need no permission. They identify nobody.

Name	What for	Lifetime
`holapp_consent`	Remember what you accepted or rejected	6 months
`holapp-lang` (local storage, not a cookie)	Remember the language you chose	Until you clear your browser data

Analytics cookies (Google Analytics)

We use Google Analytics to see how many people visit the site, where they come from and which sections they look at. It helps us decide what to improve, not to follow anyone around.

Name	Set by	What for	Lifetime
`_ga`	Google	Distinguish visitors	2 years
`_ga_<ID>`	Google	Keep session state	2 years

They do not load until you accept. If you reject or make no choice, Google Analytics never runs. Not one cookie.
Rejecting is as easy as accepting: both buttons carry the same weight in the notice.
You can change your mind at any time via the Cookies link in the footer.

Legal basis: your consent (Art. 6(1)(a) GDPR and Art. 5(3) of the ePrivacy Directive). When you withdraw it we stop using them, without affecting what was done before.

Recipient: Google Ireland Limited. We have IP anonymisation enabled. You can also block cookies in your browser or install the Google Analytics opt-out add-on (tools.google.com/dlpage/gaoptout).

← Back to home