Legal

Legal

Privacy Policy & Terms

Política de Privacidad y Términos

Sanctuary Alert is a personal safety tool. This page explains exactly what we store on our servers, what never leaves your device, how long we keep it, and how to delete it.

Sanctuary Alert es una herramienta de seguridad personal. Esta página explica exactamente qué almacenamos en nuestros servidores, qué nunca sale de tu dispositivo, cuánto tiempo lo conservamos y cómo eliminarlo.

Last updated: August 2026 · Empowered Recordings

Última actualización: agosto de 2026 · Empowered Recordings

Terms of ServiceTérminos de Servicio

About This Service

Acerca de Este Servicio

Sanctuary is a personal safety tool that helps you create emergency plans, alert contacts, and document encounters. It is provided as-is for informational and personal safety purposes.

Sanctuary es una herramienta de seguridad personal que te ayuda a crear planes de emergencia, alertar contactos y documentar encuentros. Se proporciona tal cual con fines informativos y de seguridad personal.

Not an Emergency ServiceNo Es un Servicio de Emergencia

Sanctuary is NOT an emergency response service and is NOT a substitute for 911 or any professional emergency, police, medical, or fire service. Sanctuary does not contact, dispatch, or transmit your information to 911, emergency dispatchers, public-safety answering points (PSAPs), law enforcement, or any government or professional emergency responder. When you send an alert, Sanctuary notifies only (1) the personal emergency contacts you have chosen and linked, and (2), if you opt in, nearby Sanctuary community members — all through Sanctuary's own servers. Message and location delivery depends on network and device conditions and is not guaranteed. In any emergency or situation involving immediate danger, call 911 or your local emergency number directly.

Sanctuary NO es un servicio de respuesta a emergencias y NO sustituye al 911 ni a ningún servicio profesional de emergencia, policía, médico o bomberos. Sanctuary no contacta, despacha ni transmite tu información al 911, a operadores de emergencia, a puntos de respuesta de seguridad pública (PSAP), a las fuerzas del orden ni a ningún organismo gubernamental o socorrista profesional. Cuando envías una alerta, Sanctuary notifica únicamente a (1) los contactos de emergencia personales que has elegido y vinculado, y (2), si lo autorizas, a miembros cercanos de la comunidad Sanctuary — todo a través de los propios servidores de Sanctuary. La entrega de mensajes y ubicación depende de las condiciones de la red y del dispositivo y no está garantizada. En cualquier emergencia o situación de peligro inmediato, llama directamente al 911 o a tu número de emergencia local.

No Guarantee of Safety

Sin Garantía de Seguridad

Sanctuary is a tool to assist with personal safety planning, but it cannot guarantee your safety. Push notifications, emergency alerts, and community broadcasts are delivered on a best-effort basis and may fail due to network conditions, device settings, or service outages. Do not rely solely on this app in emergency situations — always call 911 or local emergency services when in immediate danger.

Sanctuary es una herramienta para asistir con la planificación de seguridad personal, pero no puede garantizar tu seguridad. Las notificaciones push, alertas de emergencia y transmisiones comunitarias se entregan con el mejor esfuerzo y pueden fallar debido a condiciones de red, configuración del dispositivo o interrupciones del servicio. No dependas únicamente de esta app en situaciones de emergencia — siempre llama al 911 o a los servicios de emergencia locales cuando estés en peligro inmediato.

Not Legal Advice

No Es Asesoría Legal

The "Know Your Rights" section contains general educational information only. It does not constitute legal advice. Laws vary by state and jurisdiction and can change at any time. Consult a licensed attorney for guidance specific to your situation.

La sección "Conoce Tus Derechos" contiene información educativa general solamente. No constituye asesoría legal. Las leyes varían según el estado y la jurisdicción y pueden cambiar en cualquier momento. Consulta a un abogado licenciado para orientación específica a tu situación.

Your Responsibilities

Tus Responsabilidades

You are responsible for complying with all applicable laws when using this app, including recording consent laws in your jurisdiction. Some states and countries require all parties to consent to being recorded. You are responsible for knowing and following the laws that apply to you.

Eres responsable de cumplir con todas las leyes aplicables al usar esta app, incluyendo las leyes de consentimiento de grabación en tu jurisdicción. Algunos estados y países requieren que todas las partes consientan ser grabadas. Eres responsable de conocer y seguir las leyes que te aplican.

Community Conduct & Objectionable Content

Conducta Comunitaria y Contenido Objetable

Sanctuary has zero tolerance for objectionable content or abusive behavior. When you use the community alert feature, you agree not to send false, harassing, threatening, or abusive alerts, or to use alerts for any purpose other than genuine safety awareness. Community alert messages are limited to predefined safety templates — you cannot send custom free-text or media to other users. You can report an abusive or false community alert directly from the alert screen. We review reports and may remove content and suspend or permanently terminate the account of any user who violates this policy.

Sanctuary tiene tolerancia cero con el contenido objetable o el comportamiento abusivo. Al usar la función de alertas comunitarias, aceptas no enviar alertas falsas, acosadoras, amenazantes o abusivas, ni usar las alertas para ningún fin que no sea la concienciación genuina sobre seguridad. Los mensajes de alerta comunitaria se limitan a plantillas de seguridad predefinidas — no puedes enviar texto libre ni contenido multimedia a otros usuarios. Puedes reportar una alerta comunitaria abusiva o falsa directamente desde la pantalla de alerta. Revisamos los reportes y podemos eliminar contenido y suspender o cancelar permanentemente la cuenta de cualquier usuario que infrinja esta política.

Limitation of Liability

Limitación de Responsabilidad

To the maximum extent permitted by law, the creators of Sanctuary shall not be liable for any damages arising from the use or inability to use this app, including but not limited to failure to deliver notifications, loss of data, or reliance on information provided within the app.

En la máxima medida permitida por la ley, los creadores de Sanctuary no serán responsables de ningún daño derivado del uso o la imposibilidad de usar esta app, incluyendo pero no limitado a la falla en la entrega de notificaciones, pérdida de datos o dependencia de la información proporcionada dentro de la app.

Privacy PolicyPolítica de Privacidad

What We Store on Our ServersQué Almacenamos en Nuestros Servidores

Account information (username, hashed password, email/phone), push notification tokens, emergency contact links, and live recording footage and GPS trails (kept until you delete them). Alert records come in two kinds and are not kept the same way: a record of any alert you raise from an alert button is kept for 30 days with no coordinates, while a check-in timer or recording-session alert is kept for 90 days and does include your last known position and a map link, alongside your username. Travel Buddy trips hold each member’s approximate position — rounded to roughly 110 metres — while the trip is running, together with any safety plan details you explicitly choose to share with that trip, which are stored in plain text on our servers. Community alert subscriptions include approximate location, rounded before it is stored. When you SEND a community alert, your location is shared with nearby opted-in users: for "I Feel Unsafe", "Potential ICE Activity" and "Community Check-In" your exact coordinates are sent so people can reach you; for "Police Encounter" alerts, which are reported by bystanders, the location is coarsened to an area of roughly one kilometre. Your own emergency contacts always receive exact location. If a recording was attached to a check-in timer, the alert also carries a share link to it. That link opens the recording without signing in, for your contacts and for anyone they forward it to, and it stops working 90 days after the alert. The recording itself is not deleted then; only the link stops opening it. If you report an alert as abusive, we store your username, the reported username, and the reason you give, for moderation review. If you send feedback, we store your username and your message. We keep a security audit log — sign-ins, alert triggers, rate-limit blocks — for 30 days. Those entries record a truncated IP address, with the last part removed, so it identifies a network rather than your device; we do not store your full IP address in that log. If you subscribe to Sanctuary Protector, we store your subscription status and the customer ID our payment processor issues. If you choose to send an error report, we store the diagnostic details you submit — together with your username if you are signed in — for 90 days.

Información de la cuenta (usuario, el hash de tu contraseña, correo/teléfono), tokens de notificaciones push, vínculos de contactos de emergencia, y grabaciones en vivo y rutas GPS (se conservan hasta que las elimines). Los registros de alertas son de dos tipos y no se conservan igual: el registro de cualquier alerta que envíes desde un botón de alerta se guarda 30 días y sin coordenadas, mientras que una alerta de temporizador de confirmación o de sesión de grabación se guarda 90 días y sí incluye tu última ubicación conocida y un enlace al mapa, junto a tu usuario. Los viajes de Travel Buddy conservan la posición aproximada de cada integrante — redondeada a unos 110 metros — mientras el viaje está activo, junto con los datos del plan de seguridad que decidas compartir explícitamente con ese viaje, que se almacenan en texto plano en nuestros servidores. Las suscripciones a alertas comunitarias incluyen la ubicación aproximada, redondeada antes de guardarse. Cuando ENVÍAS una alerta comunitaria, tu ubicación se comparte con usuarios cercanos que hayan dado su consentimiento: para "Me Siento en Peligro", "Posible Actividad de ICE" y "Revisión Comunitaria" se envían tus coordenadas exactas para que la gente pueda llegar a ti; para las alertas de "Encuentro Policial", que reportan testigos, la ubicación se generaliza a un área de aproximadamente un kilómetro. Tus propios contactos de emergencia siempre reciben la ubicación exacta. Si había una grabación adjunta a un temporizador de confirmación, la alerta también lleva un enlace para compartirla. Ese enlace abre la grabación sin iniciar sesión, tanto para tus contactos como para cualquier persona a quien se lo reenvíen, y deja de funcionar 90 días después de la alerta. La grabación en sí no se elimina entonces; solo el enlace deja de abrirla. Si reportas una alerta como abusiva, guardamos tu usuario, el usuario reportado y el motivo que indiques, para revisión de moderación. Si envías comentarios, guardamos tu usuario y tu mensaje. Mantenemos un registro de auditoría de seguridad — inicios de sesión, activaciones de alertas, bloqueos por límite de uso — durante 30 días. Esas entradas guardan una dirección IP truncada, sin su última parte, de modo que identifica una red y no tu dispositivo; no guardamos tu dirección IP completa en ese registro. Si te suscribes a Sanctuary Protector, guardamos el estado de tu suscripción y el identificador de cliente que emite nuestro procesador de pagos. Si eliges enviar un informe de error, guardamos los detalles de diagnóstico que envías — junto con tu usuario si has iniciado sesión — durante 90 días.

How Your Location Is UsedCómo Se Usa Tu Ubicación

Sanctuary reads your location when you act: when you send an alert, when you send a community alert, while you are recording, or when you update your position on a Travel Buddy trip. There is one reading you do not start each time, and you switch it on yourself. If you turn on Community Alerts, the app uploads your position automatically when you open the app, so we know which nearby alerts to send you. That automatic position is rounded to roughly 110 metres before it is stored, it is refreshed when you open the app, when you sign in, when you change these settings, and each time you send a community alert — and at most once an hour while the app simply stays open — and it is deleted after 7 days. Turn Community Alerts off and the automatic reading stops. There is no background location in either case — while the app is closed it cannot read your position at all.

When you send an alert, your position is delivered to your linked emergency contacts. If the community broadcast is on for that alert type, it also goes to nearby opted-in strangers within about 8 kilometres — and for "I Feel Unsafe", "Potential ICE Activity" and "Community Check-In" those neighbours receive your exact coordinates, because someone may need to reach you. "Police Encounter" alerts are the exception: the position is coarsened to an area of roughly one kilometre before it goes out, because the person sending one is usually reporting something they saw rather than asking for help. You can turn the community broadcast off for any alert type in Settings; your emergency contacts still receive the alert. There is no live location screen for your emergency contacts, for nearby users, or for us. Travel Buddy is the one exception, and it is one you set up yourself: while a trip is running, the members of that trip can see each other’s last shared position on a map, and it ends when the trip does.

What stays on our servers depends on which alert you sent. Every alert you raise from an alert button leaves a record with us that carries no coordinates at all — only your username, which button you pressed, how many contacts it reached, and whether a location was attached. A check-in timer that runs out, or a recording session that raises an alert, does store your last known position for 90 days, and the person who runs Sanctuary can see that point on a map next to your username. We keep it because that alert is the start of an evidence trail you may need — if you lose your phone, or a lawyer asks for it on your behalf, that record is the reason we can answer. A recording session also saves its own GPS trail, and Travel Buddy holds your approximate position while a trip is running, for the other members of that trip to see. We do not build a location history out of ordinary use of the app, we never tie your location to who you are for our own purposes apart from the places named here — the 90-day timer-or-recording record above, which sits next to your username; the GPS trail saved alongside a recording, which is part of that evidence and is kept for as long as you keep the recording; your position on a Travel Buddy trip, which you post yourself; and the approximate community position, which is stored against your device’s notification token and can be traced back to your account — and we never use your location for anything except delivering the alert you sent and keeping the evidence you asked us to keep.

Sanctuary lee tu ubicación cuando actúas: cuando envías una alerta, cuando envías una alerta comunitaria, mientras estás grabando, o cuando actualizas tu posición en un viaje de Travel Buddy. Hay una lectura que no inicias cada vez, y la activas tú. Si activas las Alertas Comunitarias, la app envía tu posición automáticamente cuando abres la aplicación, para saber qué alertas cercanas enviarte. Esa posición se redondea a unos 110 metros antes de guardarse, se actualiza cuando abres la aplicación, cuando inicias sesión, cuando cambias estos ajustes y cada vez que envías una alerta comunitaria — y como máximo una vez por hora mientras la app simplemente permanece abierta — y se elimina a los 7 días. Desactiva las Alertas Comunitarias y esa lectura se detiene. En ningún caso hay ubicación en segundo plano — con la app cerrada no puede leer tu posición en absoluto.

Cuando envías una alerta, tu posición se entrega a tus contactos de emergencia vinculados. Si la difusión comunitaria está activada para ese tipo de alerta, también llega a personas desconocidas cercanas que la hayan aceptado, dentro de unos 8 kilómetros — y para "Me Siento en Peligro", "Posible Actividad de ICE" y "Revisión Comunitaria" reciben tus coordenadas exactas, porque alguien podría necesitar llegar hasta ti. Las alertas de "Encuentro Policial" son la excepción: la ubicación se generaliza a un área de aproximadamente un kilómetro antes de enviarse, porque quien las envía suele estar reportando algo que vio y no pidiendo ayuda. Puedes desactivar la difusión comunitaria para cualquier tipo de alerta en Ajustes; tus contactos de emergencia seguirán recibiendo la alerta. No existe ninguna pantalla de ubicación en vivo para tus contactos de emergencia, para los usuarios cercanos ni para nosotros. Compañeros de Viaje (Travel Buddy) es la única excepción, y eres tú quien la crea: mientras un viaje está en curso, sus miembros pueden ver en un mapa la última ubicación que cada uno compartió, y termina cuando termina el viaje.

Lo que permanece en nuestros servidores depende de qué alerta enviaste. Cualquier alerta que envíes desde un botón de alerta nos deja un registro sin ninguna coordenada — solo tu usuario, qué botón pulsaste, a cuántos contactos llegó y si llevaba ubicación. Un temporizador de confirmación que se agota, o una sesión de grabación que genera una alerta, sí guarda tu última ubicación conocida durante 90 días, y la persona que opera Sanctuary puede ver ese punto en un mapa junto a tu usuario. Lo conservamos porque esa alerta es el inicio de un rastro de evidencia que quizá necesites — si pierdes tu teléfono, o si un abogado lo solicita en tu nombre, ese registro es la razón por la que podemos responder. Una sesión de grabación también guarda su propia ruta GPS, y Travel Buddy conserva tu posición aproximada mientras un viaje está activo, para que los demás miembros de ese viaje la vean. No construimos un historial de ubicación a partir del uso normal de la app, nunca vinculamos tu ubicación con tu identidad para nuestros propios fines salvo en los casos nombrados aquí — el registro de 90 días de temporizador o grabación mencionado arriba, que se guarda junto a tu nombre de usuario; el rastro de GPS guardado junto a una grabación, que forma parte de esa evidencia y se conserva mientras conserves la grabación; tu posición en un viaje de Compañeros de Viaje, que publicas tú mismo; y la posición comunitaria aproximada, que se guarda contra el token de notificaciones de tu dispositivo y puede rastrearse hasta tu cuenta — y nunca usamos tu ubicación para nada que no sea entregar la alerta que enviaste y conservar la evidencia que nos pediste conservar.

What Stays on Your DeviceQué Permanece en Tu Dispositivo

Your safety plan (attorney, medical, dependents, custom messages) is encrypted on your device using AES-256-GCM. Only you can access it. Local evidence and alert history are also stored on-device.

Tu plan de seguridad (abogado, médico, dependientes, mensajes personalizados) está encriptado en tu dispositivo usando AES-256-GCM. Solo tú puedes acceder a él. Las evidencias locales y el historial de alertas también se almacenan en el dispositivo.

Data RetentionRetención de Datos

Alert records from any alert button — "I Feel Unsafe", "Police Encounter", "Potential ICE Activity", "Community Check-In" — and from a check-in timer running out, none of which carry coordinates: 30 days. Check-in timer and recording alert records, including the coordinates they carry: 90 days. Recording session metadata, GPS trails, and uploaded recording files are kept until you delete them from the Evidence screen. We do not delete your evidence on a timer, because a legal case can take months or years. Each account has a storage allowance; when it is full, new recordings stay on your device only until you delete some evidence or upgrade. Push subscriptions: 400 days after the subscription was last used or refreshed, and immediately whenever Apple or your browser tells us the device is gone. This is longer than most of the retention periods here on purpose: a push subscription is how an emergency contact’s phone gets woken up, and someone who installed Sanctuary to be reachable for another person may not open the app for months. Community alert subscriptions: 7 days. Invite codes: 24 hours. Travel Buddy trips, including shared positions and any shared plan details: until 7 days after the trip’s end date. Evidence share links: 90 days, after which the link stops opening — the recording itself stays until you delete it. Security audit log: 30 days. Abuse reports: 180 days. Feedback submissions: 90 days. Diagnostic events: 7 days. Daily device-open counts: 8 days. The all-time device-open total is a single number that is never deleted, because it is a count and holds no identifiers. Account data persists until you delete your account.

Registros de alertas de cualquier botón de alerta — "Me Siento en Peligro", "Encuentro Policial", "Posible Actividad de ICE", "Revisión Comunitaria" — y del vencimiento de un temporizador de confirmación, ninguno de los cuales lleva coordenadas: 30 días. Registros de alertas de temporizador de confirmación y de grabación, incluidas las coordenadas que llevan: 90 días. Los metadatos de las sesiones de grabación, las rutas GPS y los archivos de grabación subidos se conservan hasta que los elimines desde la pantalla de Evidencia. No borramos tu evidencia por tiempo, porque un caso legal puede tardar meses o años. Cada cuenta tiene un límite de almacenamiento; cuando se llena, las grabaciones nuevas permanecen solo en tu dispositivo hasta que elimines evidencia o amplíes tu plan. Suscripciones push: 400 días desde la última vez que la suscripción se usó o se actualizó, y de inmediato cuando Apple o tu navegador nos indican que el dispositivo ya no existe. Es más tiempo que la mayoría de los plazos de esta lista a propósito: la suscripción push es lo que despierta el teléfono de un contacto de emergencia, y quien instaló Sanctuary para estar disponible para otra persona puede pasar meses sin abrir la aplicación. Suscripciones de alertas comunitarias: 7 días. Códigos de invitación: 24 horas. Viajes de Travel Buddy, incluidas las posiciones compartidas y cualquier dato del plan compartido: hasta 7 días después de la fecha de fin del viaje. Enlaces para compartir evidencia: 90 días, tras los cuales el enlace deja de abrir — la grabación en sí se conserva hasta que la elimines. Registro de auditoría de seguridad: 30 días. Reportes de abuso: 180 días. Comentarios enviados: 90 días. Eventos de diagnóstico: 7 días. Recuentos diarios de aperturas de la app: 8 días. El total histórico de aperturas es un único número que nunca se elimina, porque es un recuento y no contiene identificadores. Los datos de la cuenta persisten hasta que elimines tu cuenta.

Subscriptions & Purchases

Suscripciones y Compras

Sanctuary's core safety features, including emergency alerts, are free. Sanctuary Protector is an optional auto-renewing subscription. On iPhone and iPad, purchases are processed by Apple. On the web, purchases and donations are processed by Stripe. In both cases we never receive or store your payment card details. We use RevenueCat to manage subscription status, associated with your Sanctuary username, so we can unlock Protector features on your account.

Las funciones de seguridad esenciales de Sanctuary, incluidas las alertas de emergencia, son gratuitas. Sanctuary Protector es una suscripción opcional de renovación automática. En iPhone y iPad, las compras las procesa Apple. En la web, las compras y donaciones las procesa Stripe. En ambos casos nunca recibimos ni almacenamos los datos de tu tarjeta de pago. Usamos RevenueCat para gestionar el estado de la suscripción, asociado a tu usuario de Sanctuary, para poder desbloquear las funciones de Protector en tu cuenta.

Crash & Error Reports

Informes de Fallos y Errores

If something goes wrong, you can choose to send us an error report. These reports contain diagnostic information (such as the error and app state) to help us fix bugs. They are used only to improve the app and are never used for advertising or tracking. We keep a report for 90 days and it is then deleted automatically. If you are signed in, your username is stored with it so we can follow up on what went wrong; if you are signed out, the report is stored without one.

Si algo falla, puedes elegir enviarnos un informe de error. Estos informes contienen información de diagnóstico (como el error y el estado de la app) para ayudarnos a corregir fallos. Se usan únicamente para mejorar la app y nunca para publicidad ni rastreo. Conservamos cada informe 90 días y después se elimina automáticamente. Si has iniciado sesión, tu usuario se guarda con él para poder dar seguimiento a lo que falló; si no has iniciado sesión, el informe se guarda sin usuario.

Automatic Diagnostics

Diagnósticos Automáticos

The app also sends a small stream of technical events automatically — an event name, related values such as the approximate area used for a community alert, a device-type label, and a timestamp — so we can diagnose alert-delivery failures. These are not linked to your username and are deleted after 7 days.

La app también envía automáticamente un pequeño flujo de eventos técnicos — el nombre del evento, valores relacionados como el área aproximada usada para una alerta comunitaria, una etiqueta del tipo de dispositivo y una marca de tiempo — para que podamos diagnosticar fallos en la entrega de alertas. No están vinculados a tu usuario y se eliminan después de 7 días.

App Opens

Aperturas de la App

When the app checks for an update, we add that check to a count of how many devices open the app — a running total for all time, and one for each of the last 8 days. It is a count, not a list: your device’s identifier is not stored, the count cannot be turned back into a list of the devices that opened the app, and it cannot tell us how many times yours did. Know the limit of that, because we would rather state it than overstate the protection: someone who already holds your device’s identifier — which in practice means someone who has your phone — could test it against these counts to learn whether that device is among them. Each daily count is deleted 8 days after the day it covers; the all-time total is a single number. We use it only to know roughly how many people the app is reaching.

Cuando la app busca una actualización, sumamos esa comprobación a un recuento de cuántos dispositivos abren la aplicación — un total histórico y uno por cada uno de los últimos 8 días. Es un recuento, no una lista: no guardamos el identificador de tu dispositivo, el recuento no puede convertirse de nuevo en una lista de los dispositivos que abrieron la app, y no puede decirnos cuántas veces lo hizo el tuyo. Ten en cuenta el límite de eso, porque preferimos decirlo a exagerar la protección: alguien que ya tenga el identificador de tu dispositivo — lo que en la práctica significa alguien que tenga tu teléfono — podría comprobarlo contra estos recuentos para saber si ese dispositivo está entre ellos. Cada recuento diario se elimina 8 días después del día que cubre; el total histórico es un único número. Solo lo usamos para saber aproximadamente a cuánta gente está llegando la app.

No Tracking or AdsSin Rastreo ni Anuncios

We do not use third-party analytics or advertising SDKs, we do not track you across apps or websites, and we never sell your data. We do not monetize your personal information. We do collect our own basic diagnostic events to keep alert delivery working — and an aggregate count of how many devices open the app — see Automatic Diagnostics and App Opens above.

No usamos SDK de análisis ni de publicidad de terceros, no te rastreamos entre apps o sitios web, y nunca vendemos tus datos. No monetizamos tu información personal. Sí recopilamos nuestros propios eventos básicos de diagnóstico para mantener funcionando la entrega de alertas, y un recuento agregado de cuántos dispositivos abren la aplicación — consulta Diagnósticos Automáticos y Aperturas de la App más arriba.

Service Providers

Proveedores de Servicios

We use the following service providers to operate the app: Upstash (database), Cloudflare (evidence storage), Vercel (hosting), Apple (App Store purchases and push notification delivery), RevenueCat (subscription management), Stripe (web payments and donations), Resend (transactional email such as password resets), and Google Fonts (webfont delivery, which receives your IP address when the app loads). These providers process data only to provide their service to us.

Usamos los siguientes proveedores de servicios para operar la app: Upstash (base de datos), Cloudflare (almacenamiento de evidencia), Vercel (alojamiento), Apple (compras en la App Store y entrega de notificaciones push), RevenueCat (gestión de suscripciones), Stripe (pagos y donaciones en la web), Resend (correo transaccional, como el restablecimiento de contraseñas) y Google Fonts (entrega de tipografías web, que recibe tu dirección IP cuando se carga la app). Estos proveedores procesan datos únicamente para prestarnos su servicio.

Legal RequestsSolicitudes Legales

Sanctuary is a small independent project, not a company with a legal department. If we receive a subpoena, court order, or other legally binding demand, we can only produce what we actually hold: your username, your hashed password, the email or phone number you gave us, your push notification tokens, which usernames you are linked to as emergency contacts, alert records (30 days for alert-button records, which carry no coordinates; 90 days for check-in timer and recording alerts, which do include your last known position), any recordings and GPS trails you chose to back up to our servers, an approximate location if you subscribed to community alerts, abuse reports involving you, feedback and error reports you sent — feedback carries your username and whatever text you typed, and an error report carries that plus what your device was doing when it failed: the app version, your device and browser, and for each fault its time, the screen you were on and the technical detail of the error, which can show that you were recording, running a check-in timer, or receiving an alert at that moment — a security audit log of account events, and your subscription status and payment processor customer ID if you subscribe. Your safety plan is encrypted on your device with a key we never receive, so it is not ours to hand over — with one exception, which you control: any plan details you explicitly share with a Travel Buddy trip are stored on our servers in plain text, and those we could be compelled to produce. Unshare them, or leave the trip, and they are deleted from our servers — though anyone who already read them in the app may have kept their own copy. We do not build a location history from your ordinary movement. A Travel Buddy trip is the closest thing to one: while it runs it holds each member’s approximate position, and it is deleted 7 days after the trip’s end date. We do not hand your data to law enforcement or immigration authorities voluntarily, and we do not act on an informal request. We will push back on a demand that looks overbroad or defective. But we are a small independent project without a legal department: if a demand is valid on its face we will most likely have to comply with it, and we cannot promise to fight one in court on your behalf. Where the law permits it, we will try to tell you before we respond so you have a chance to object. We would reach you at the email address on your account, so if you signed up with a phone number or with neither, we may have no way to contact you. A court can also forbid us from telling you at all, and we will not promise notice we are not allowed to give. If you want to reduce what could ever be produced about you, turn off server backup for recordings, leave location sharing off when you create a Travel Buddy trip, unshare your plan, leave trips you have finished — leaving deletes your position and your shared plan from that trip — and delete evidence you no longer need.

Sanctuary es un proyecto independiente pequeño, no una empresa con departamento legal. Si recibimos una citación, orden judicial u otra exigencia legalmente vinculante, solo podemos entregar lo que realmente tenemos: tu usuario, el hash de tu contraseña, el correo o teléfono que nos diste, tus tokens de notificaciones push, con qué usuarios estás vinculada/o como contactos de emergencia, registros de alertas (30 días para los registros de botón de alerta, sin coordenadas; 90 días para las alertas de temporizador de confirmación y de grabación, que sí incluyen tu última ubicación conocida), las grabaciones y rutas GPS que elegiste respaldar en nuestros servidores, una ubicación aproximada si te suscribiste a las alertas comunitarias, los reportes de abuso que te involucren, los comentarios y los informes de error que enviaste — los comentarios llevan tu nombre de usuario y el texto que escribiste, y un informe de error lleva eso más lo que tu dispositivo estaba haciendo cuando falló: la versión de la app, tu dispositivo y navegador, y para cada fallo su hora, la pantalla en la que estabas y el detalle técnico del error, lo que puede revelar que estabas grabando, con un temporizador de confirmación en marcha, o recibiendo una alerta en ese momento — un registro de auditoría de seguridad de eventos de la cuenta, y el estado de tu suscripción y el identificador de cliente del procesador de pagos si te suscribes. Tu plan de seguridad está cifrado en tu dispositivo con una clave que nunca recibimos, así que no es nuestro para entregarlo — con una excepción, que tú controlas: los datos del plan que compartas explícitamente con un viaje de Travel Buddy se almacenan en nuestros servidores en texto plano, y esos sí se nos podría obligar a entregarlos. Deja de compartirlos, o sal del viaje, y se eliminan de nuestros servidores — aunque quien ya los haya leído en la app puede haberse quedado con su propia copia. No construimos un historial de ubicación a partir de tu movimiento normal. Un viaje de Travel Buddy es lo más parecido a uno: mientras está activo conserva la posición aproximada de cada integrante, y se elimina 7 días después de la fecha de fin del viaje. No entregamos tus datos a autoridades policiales o de inmigración de forma voluntaria, y no actuamos ante una solicitud informal. Nos opondremos a un requerimiento que parezca excesivo o defectuoso. Pero somos un proyecto independiente pequeño sin departamento legal: si un requerimiento legal es válido en apariencia, lo más probable es que tengamos que cumplirlo, y no podemos prometerte que lo litigaremos en tu nombre. Cuando la ley lo permita, intentaremos avisarte antes de responder para que tengas oportunidad de oponerte. Te escribiríamos al correo de tu cuenta, así que si te registraste con un teléfono o sin ninguno de los dos, puede que no tengamos forma de contactarte. Un tribunal también puede prohibirnos avisarte, y no prometeremos un aviso que no se nos permite dar. Si quieres reducir lo que alguna vez podría entregarse sobre ti, desactiva el respaldo en servidor de las grabaciones, deja el uso compartido de ubicación desactivado al crear un viaje de Travel Buddy, deja de compartir tu plan, sal de los viajes que hayas terminado — salir elimina tu posición y el plan que compartiste con ese viaje — y elimina la evidencia que ya no necesites.

Preservation DemandsÓrdenes de Conservación

Every retention period on this page describes what we delete in the ordinary course of running the app. None of them is a promise that data will be gone by a certain date no matter what. If we are served with a preservation request or order before something expires, the law can require us to hold that data instead of deleting it on schedule, and it can require us not to tell you that it happened. We cannot opt out of that, and neither can you. The only data this cannot reach is data we never had: your safety plan is encrypted on your device with a key we never receive, and the exact coordinates from an alert-button press pass through our servers to reach your contacts but are never kept — only the coarse diagnostic area described under Automatic Diagnostics, for 7 days.

Cada plazo de conservación de esta página describe lo que eliminamos en el curso normal de operar la app. Ninguno es una promesa de que los datos habrán desaparecido en una fecha determinada pase lo que pase. Si nos notifican una solicitud u orden de conservación antes de que algo expire, la ley puede obligarnos a retener esos datos en lugar de eliminarlos en el plazo previsto, y puede obligarnos a no decírtelo. Nosotros no podemos negarnos, y tú tampoco. Lo único que esto no alcanza son los datos que nunca tuvimos: tu plan de seguridad está cifrado en tu dispositivo con una clave que nunca recibimos, y las coordenadas exactas de la pulsación de un botón de alerta pasan por nuestros servidores para llegar a tus contactos pero nunca se conservan — solo el área aproximada de diagnóstico descrita en Diagnósticos Automáticos, durante 7 días.

Deleting Your DataEliminación de Tus Datos

You can export your account data and delete your account from the Account screen at any time. Deleting your account removes your login, emergency-contact links, push registrations, alert history and recording index from our servers. Deleting your account also permanently deletes the recording and evidence files you uploaded to our evidence storage. It removes you from any Travel Buddy trip you are on, taking your shared position and any plan details you shared with that trip with you; if you were the only member left, the trip itself is deleted. Local data can be erased separately from Settings. Deleting your account does not cancel a Protector subscription. On iPhone and iPad, Apple bills the subscription and only you can cancel it, from your Apple ID subscription settings. On the web, cancel from the Subscription screen before you delete your account — afterwards you can no longer sign in to manage billing.

Puedes exportar los datos de tu cuenta y eliminarla desde la pantalla de Cuenta en cualquier momento. Eliminar tu cuenta borra de nuestros servidores tu inicio de sesión, los vínculos de contactos de emergencia, los registros de notificaciones push, el historial de alertas y el índice de grabaciones. Eliminar tu cuenta también borra de forma permanente los archivos de grabación y evidencia que subiste a nuestro almacenamiento de evidencia. Te saca de cualquier viaje de Travel Buddy en el que estés, llevándose tu posición compartida y los datos del plan que compartiste con ese viaje; si eras la única persona que quedaba, el viaje también se elimina. Los datos locales se pueden borrar por separado desde Configuración. Eliminar tu cuenta no cancela una suscripción a Protector. En iPhone y iPad, Apple cobra la suscripción y solo tú puedes cancelarla, desde los ajustes de suscripciones de tu Apple ID. En la web, cancélala desde la pantalla de Suscripción antes de eliminar tu cuenta — después ya no podrás iniciar sesión para gestionar la facturación.

ContactContacto

Questions about this policy? Contact us at support@empoweredsanctuary.com.

¿Tienes preguntas sobre esta política? Escríbenos a support@empoweredsanctuary.com.