1. Who is responsible

CityGuide XR (the "app") is published by its developer, who is established in Spain and is the data controller under the General Data Protection Regulation (GDPR). The developer's name and contact details are shown on the app's Google Play listing, as EU law requires. For anything in this policy, write to support@cityguidexr.com.

2. The short version

• No account, no email, no name. The app creates an anonymous identifier on first launch and that is all it knows about you.
• Your location stays on your phone. It is used on the device to start each story when you arrive. We never receive it. If you keep walking directions on, Google's Navigation SDK uses it to route you, under Google's terms.
• Your voice is sent only when you ask. When you ask the guide a question, your microphone audio goes to Google's Gemini in an EU region. Nothing is recorded before you ask, and nothing after you stop.
• Your photos reach Gemini only if you allow it. "Let Gemini see your photos" is off by default. With it on, when you ask a question at a stop, the last photo you took at that stop is sent with your question. Asking never turns the camera on.
• No analytics, no advertising, no advertising identifier, no data sold or shared for marketing.
• Crash reports, technical only. When the app fails, a technical report goes to Firebase Crashlytics so we can fix it: what went wrong and where in the app, the app version, the phone model and Android version, and a random installation identifier. Never your location, what you say, your photos or who you are. On by default; switch it off in Settings › On the walk.
• Your walks and photos stay on your phone. We never upload them to our servers.
• The app asks for settings and updates. It asks our server which versions of the app may still be used and which online features are on, with a random installation number and never your location.

3. What stays on your phone

The app keeps the following in its private storage, which other apps cannot read. None of it is sent to us.

• Downloaded cities: the walks, stops, texts and photographs of each city you download, and the guide's voice clips, kept on the phone as they are fetched.
• Your walks: for each walk you take, the city, the route, when it started and ended, which stops you reached, and the planned route line. The app does not record a GPS track of where you went.
• Photos you take during a walk: taken at a stop with the camera button, each one with the place it was taken and the time. They are stored only in the app, not in your phone's gallery, unless you share them yourself.
• Settings: language, theme, units, walking directions, "let Gemini see your photos", how Explore shows cities, and which introductions you have already seen.
• Saved places: the cities and walks you save.
• Subscription status: whether All Access is active, and until when an access code opens the walks, if you entered one.
• Notices you closed, so that they are not shown again.
• Reports waiting to be sent, if you reported content while offline.

You can delete any walk or photo from within the app, and remove a city to delete its files. Uninstalling the app, or clearing its data in Android settings, deletes everything above.

4. Your location

The app asks for precise location so that a story can start the moment you reach its place. Your position is compared, on the device, with the stops of the walk you chose. That comparison never leaves the phone and we never receive your location on any server.

Location is used only while the app is in use or a walk is running. While a walk is running the app keeps a visible notification, as Android requires for location use in the foreground service that keeps the guide talking with the screen off. The app does not request background location and cannot use it.

Walking directions. Turn-by-turn directions between stops are provided by the Google Navigation SDK, part of Google Maps Platform. When directions are on, that software receives your position and the stops of the walk to compute and follow the route, under Google's privacy policy. Google shows you its own terms the first time. You can turn directions off in Settings and the guide will still tell you where the next stop is.

Open in Maps. If you tap "Open in Maps" on a stop, the app hands that stop's coordinates, not yours, to your maps app.

5. Asking the guide: microphone and photos

When a story ends you can ask the guide a question. This feature uses Google's Gemini, a generative AI model, through Google Cloud in the European Union.

What is sent, and when

• Your voice. The microphone opens only when you ask, by pressing the button or the gesture, and closes after about a second of silence. What you say is streamed to Gemini and transcribed so that the guide can reply. About half a second of audio from just before the app detected speech is included so the first word is not lost.
• Your photo, if you allow it. With the setting "Let Gemini see your photos" turned on, when you ask a question at a stop, the last photo you took at that stop is sent with your question so the guide can answer about it. A photo from another stop is never sent, and asking never turns the camera on. This setting is off by default and the app explains it before you enable it.
• Context about the walk, so the answer makes sense: the city, the name of the walk and its storyline, the stop you are at and the text of its story, and the names of the other stops. Your coordinates are not sent.

What happens to it

Google processes this data as our processor under the Google Cloud terms and does not use it to train its models. We do not keep your questions or the guide's answers on any server. The app keeps the last few questions and answers of a walk in memory only, so that you can report an answer, and forgets them when the walk ends.

Please do not say personal details about yourself or other people to the guide. Anything you say is processed by an AI model. When you take photos, be considerate of the people around you and follow local rules about recording in public and in private places such as churches and museums.

6. The guide's voice

The guide's speech is generated by Google Cloud Text-to-Speech. The app sends the sentence to be spoken, or its identifier, and receives the audio. Cues that name a street you are walking on are generated for your walk and not stored on the server.

Usage limits apply to each installation. To apply them we keep usage counters under your anonymous identifier (numbers only, never the content); the text itself is not stored against you.

7. Downloading cities

The catalogue, city previews, photographs and the base of each city are downloaded from our public website, and the app adds no identifier to those requests. The narrated parts of each city are downloaded from Google Cloud storage that is available only to the app, using your anonymous identity (see below). Like any web server, these servers see your IP address.

8. App settings and updates

When it opens, and while it is open, the app asks Firebase Remote Config for a few settings we control from our side: the oldest version of the app that may still be used, which online features are switched on, and any notice for everyone who uses the app, for example about a service interruption. To answer, Firebase receives the app's version, your phone's language, region setting and time zone, and a Firebase installation identifier: a random number created on first launch, separate from your anonymous identity, which we do not use for anything else. None of this contains your location, your walks or anything you say.

Updates. If your version of the app is too old to be used, the app asks you to update before it opens; a walk that is already running is never interrupted. The update itself is made by Google Play, under Google's privacy policy.

9. Your anonymous identity

On first launch the app creates an anonymous user with Firebase Authentication: a random identifier with no name, email or phone number attached. It lets our servers tell one installation from another so they can serve downloads and apply the security checks and usage limits that protect the service from abuse. When you subscribe or enter an access code, the date until which the walks are open is attached to this identity, so that our servers apply the right usage limits to the guide's voice. We do not link this identity to you and cannot work out who you are from it. Clearing the app's data creates a new one.

10. Reporting content

You can report a story, an introduction, a city text, a photograph or an answer from the guide. A report contains the kind of content, the reason you chose, your optional comment (up to 500 characters), and context to find the content: the city, language, app version, the stop or walk concerned, and the version of the city pack. For an answer from the guide, the question and the answer are included. Reports do not contain your location or any account.

Each report is linked to your anonymous identifier only to limit the number of reports one installation can send. Reports are read by the developer to fix content and are deleted after 90 days. A notification of a new report carries only its kind and reason.

11. Subscription and payments

All Access is a subscription sold and billed by Google Play. Google handles your payment method, invoices and refunds under its own privacy policy; we never see your payment details, name, email or address. When the app finds your subscription on Google Play, it sends the purchase token Google Play gave it to our server, which asks Google Play whether the subscription is valid and until when. Our server keeps a reference to the purchase, not the token itself, with a reference to each installation it has opened, not your anonymous identifier, and the end date, so that one subscription opens at most five installations. That record is deleted 30 days after the subscription ends. On your phone the app keeps only whether the subscription is active. You can manage or cancel the subscription in Google Play at any time.

An access code, which we give for example to app reviewers, opens every walk on one phone for a set number of days. When a code is entered, our server records that it was used on your installation, without storing your anonymous identifier, and until when, so that a code cannot open more phones than it was made for.

12. What we do not do

• No analytics or usage tracking. Crash reports are technical only, and you can switch them off.
• No advertising, no advertising identifier, no ad networks.
• No accounts, no email addresses, no contacts, no phone number.
• No selling, renting or sharing of personal data for marketing.
• No tracking across other apps or websites.
• No upload of your walks, photos or location to our servers.

13. Who processes data for us

Everything the app talks to runs on Google infrastructure. Google LLC and Google Ireland Limited act as our processors for the services below, under the Google Cloud and Firebase data processing terms. Where data leaves the European Economic Area, Google relies on the EU Standard Contractual Clauses and its certification under the EU-US Data Privacy Framework.

Google Maps, Navigation and Play act under Google's own privacy policy when you use them through the app. We do not use any other third-party service.

14. How long data is kept

15. Legal bases

• Performance of a contract (Art. 6(1)(b) GDPR): delivering the walks, the guide's voice, downloads and your subscription, including checking the subscription with Google Play.
• Your consent (Art. 6(1)(a)): using your location, microphone and camera, and sending your photos to Gemini, given through Android's permission prompts and the app's own switches. You can withdraw it at any time in Android settings or in the app.
• Our legitimate interests (Art. 6(1)(f)): keeping the service secure and working properly, and preventing abuse, which includes limiting one subscription to five installations, asking you to update a version that no longer works properly, and switching an online feature off when it fails or is abused; handling content reports; receiving crash reports so we can find and fix failures, which you can switch off in Settings › On the walk.

16. Your rights

Under the GDPR you can ask for access to your data, its correction or deletion, a restriction of processing, its portability, and you can object to processing based on legitimate interests. Write to support@cityguidexr.com and we will answer within a month.

Be aware of a practical limit: because the app holds no account, we cannot tell which anonymous identifier, report or counter is yours, and so we usually cannot find your data to hand it over. Everything that identifies you as a person is on your phone, where you can read, export and delete it yourself. If you want the server-side records tied to your installation removed, tell us the approximate date and content of your reports and we will do our best.

If you believe we have not respected your rights, you can complain to the Spanish data protection authority, the Agencia Española de Protección de Datos, or to the authority of the country where you live.

17. Children

CityGuide XR is not directed at children under 14 and we do not knowingly collect data from them. If you are a parent and believe a child has used the guide's question feature, write to us and we will help.

18. Changes to this policy

When the app changes what it does with data, this page changes with it and the date at the top moves. Material changes are also announced in the app. The current version is always at cityguidexr.com/privacy.

1. Quién es el responsable

CityGuide XR (la «app») la publica su desarrollador, establecido en España, que es el responsable del tratamiento a efectos del Reglamento General de Protección de Datos (RGPD). Su nombre y sus datos de contacto figuran en la ficha de la app en Google Play, como exige la ley de la UE. Para cualquier cuestión de esta política, escribe a support@cityguidexr.com.

2. La versión corta

• Sin cuenta, sin correo, sin nombre. La app crea un identificador anónimo al abrirse por primera vez y eso es todo lo que sabe de ti.
• Tu ubicación se queda en tu móvil. Se usa en el dispositivo para arrancar cada historia cuando llegas. Nosotros nunca la recibimos. Si dejas activadas las indicaciones para caminar, el Navigation SDK de Google la usa para guiarte, bajo las condiciones de Google.
• Tu voz solo se envía cuando preguntas. Cuando haces una pregunta a la guía, el audio del micrófono va a Gemini de Google en una región de la UE. No se graba nada antes de preguntar ni después de que termines.
• Tus fotos solo llegan a Gemini si lo permites. «Dejar que Gemini vea tus fotos» viene desactivado. Si lo activas, cuando haces una pregunta en una parada, la última foto que hiciste en esa parada se envía con tu pregunta. Preguntar nunca enciende la cámara.
• Sin analítica ni publicidad, sin identificador publicitario, sin venta ni cesión de datos con fines de marketing.
• Informes de fallos, solo técnicos. Cuando la app falla, se envía un informe técnico a Firebase Crashlytics para que podamos arreglarlo: qué falló y en qué parte de la app, la versión de la app, el modelo del móvil y la versión de Android, y un identificador de instalación aleatorio. Nunca tu ubicación, lo que dices, tus fotos ni quién eres. Activado por defecto; se desactiva en Ajustes › En el paseo.
• Tus paseos y fotos se quedan en tu móvil. Nunca los subimos a nuestros servidores.
• La app consulta ajustes y actualizaciones. Pregunta a nuestro servidor qué versiones de la app se pueden seguir usando y qué funciones en línea están activas, con un número de instalación aleatorio y nunca con tu ubicación.

3. Lo que se queda en tu móvil

La app guarda lo siguiente en su almacenamiento privado, que otras apps no pueden leer. Nada de esto se nos envía.

• Ciudades descargadas: los paseos, paradas, textos y fotografías de cada ciudad que descargas, y los clips de voz de la guía, que se guardan en el móvil a medida que se obtienen.
• Tus paseos: de cada paseo, la ciudad, la ruta, cuándo empezó y terminó, qué paradas alcanzaste y la línea de la ruta prevista. La app no graba un rastro GPS de por dónde fuiste.
• Fotos que haces durante un paseo: tomadas en una parada con el botón de la cámara, cada una con el lugar donde se tomó y la hora. Se guardan solo dentro de la app, no en la galería del móvil, salvo que las compartas tú.
• Ajustes: idioma, tema, unidades, indicaciones, «dejar que Gemini vea tus fotos», cómo muestra Explorar las ciudades y qué introducciones has visto ya.
• Sitios guardados: las ciudades y los paseos que guardas.
• Estado de la suscripción: si All Access está activa y, si introdujiste un código de acceso, hasta cuándo abre los paseos.
• Avisos que cerraste, para no volver a mostrarlos.
• Reportes pendientes de enviar, si reportaste contenido sin conexión.

Puedes borrar cualquier paseo o foto desde la app, y quitar una ciudad para borrar sus archivos. Desinstalar la app, o borrar sus datos en los ajustes de Android, elimina todo lo anterior.

4. Tu ubicación

La app pide ubicación precisa para que una historia arranque en el momento en que llegas a su lugar. Tu posición se compara, en el dispositivo, con las paradas del paseo que elegiste. Esa comparación nunca sale del móvil y nosotros nunca recibimos tu ubicación en ningún servidor.

La ubicación se usa solo mientras la app está en uso o hay un paseo en marcha. Durante un paseo la app mantiene una notificación visible, como exige Android para usar la ubicación en el servicio en primer plano que mantiene a la guía hablando con la pantalla apagada. La app no solicita ubicación en segundo plano y no puede usarla.

Indicaciones para caminar. Las indicaciones giro a giro entre paradas las proporciona el Navigation SDK de Google, parte de Google Maps Platform. Con las indicaciones activadas, ese software recibe tu posición y las paradas del paseo para calcular y seguir la ruta, bajo la política de privacidad de Google. Google te muestra sus propias condiciones la primera vez. Puedes desactivar las indicaciones en Ajustes y la guía seguirá diciéndote dónde está la siguiente parada.

Abrir en Maps. Si tocas «Abrir en Maps» en una parada, la app entrega a tu app de mapas las coordenadas de esa parada, no las tuyas.

5. Preguntar a la guía: micrófono y fotos

Cuando termina una historia puedes hacerle una pregunta a la guía. Esta función usa Gemini de Google, un modelo de IA generativa, a través de Google Cloud en la Unión Europea.

Qué se envía, y cuándo

• Tu voz. El micrófono se abre solo cuando preguntas, al pulsar el botón o hacer el gesto, y se cierra tras aproximadamente un segundo de silencio. Lo que dices se transmite a Gemini y se transcribe para que la guía pueda responder. Se incluye alrededor de medio segundo de audio anterior al momento en que la app detectó voz, para que no se pierda la primera palabra.
• Tu foto, si lo permites. Con el ajuste «Dejar que Gemini vea tus fotos» activado, cuando haces una pregunta en una parada, la última foto que hiciste en esa parada se envía con tu pregunta para que la guía pueda responder sobre ella. Nunca se envía una foto de otra parada, y preguntar nunca enciende la cámara. Este ajuste viene desactivado y la app te lo explica antes de activarlo.
• Contexto del paseo, para que la respuesta tenga sentido: la ciudad, el nombre del paseo y su hilo, la parada en la que estás y el texto de su historia, y los nombres de las demás paradas. Tus coordenadas no se envían.

Qué se hace con ello

Google trata estos datos como encargado nuestro bajo las condiciones de Google Cloud y no los usa para entrenar sus modelos. No conservamos tus preguntas ni las respuestas de la guía en ningún servidor. La app guarda las últimas preguntas y respuestas de un paseo solo en memoria, para que puedas reportar una respuesta, y las olvida al terminar el paseo.

Por favor, no cuentes a la guía datos personales tuyos ni de otras personas. Todo lo que digas lo procesa un modelo de IA. Cuando hagas fotos, ten consideración con la gente de alrededor y respeta las normas locales sobre grabación en espacios públicos y en lugares privados como iglesias y museos.

6. La voz de la guía

El habla de la guía la genera Google Cloud Text-to-Speech. La app envía la frase que se va a decir, o su identificador, y recibe el audio. Las indicaciones que nombran la calle por la que caminas se generan para tu paseo y no se almacenan en el servidor.

Se aplican límites de uso a cada instalación. Para aplicarlos guardamos contadores de uso vinculados a tu identificador anónimo (solo números, nunca el contenido); el texto en sí no se guarda asociado a ti.

7. Descargar ciudades

El catálogo, las vistas previas, las fotografías y la base de cada ciudad se descargan de nuestro sitio web público, y la app no añade ningún identificador a esas peticiones. Las partes narradas de cada ciudad se descargan de un almacenamiento de Google Cloud al que solo puede acceder la app, usando tu identidad anónima (ver más abajo). Como cualquier servidor web, estos servidores ven tu dirección IP.

8. Ajustes de la app y actualizaciones

Al abrirse, y mientras está abierta, la app pide a Firebase Remote Config unos pocos ajustes que controlamos desde nuestro lado: la versión más antigua de la app que se puede seguir usando, qué funciones en línea están activas y cualquier aviso para todas las personas que usan la app, por ejemplo sobre una interrupción del servicio. Para responder, Firebase recibe la versión de la app, el idioma, la región configurada y la zona horaria de tu móvil, y un identificador de instalación de Firebase: un número aleatorio creado al abrir la app por primera vez, distinto de tu identidad anónima, que no usamos para nada más. Nada de esto contiene tu ubicación, tus paseos ni nada de lo que digas.

Actualizaciones. Si tu versión de la app es demasiado antigua para usarse, la app te pide que la actualices antes de abrirse; un paseo que ya está en marcha nunca se interrumpe. La actualización la hace Google Play, bajo la política de privacidad de Google.

9. Tu identidad anónima

Al abrirse por primera vez, la app crea un usuario anónimo con Firebase Authentication: un identificador aleatorio sin nombre, correo ni teléfono asociados. Permite a nuestros servidores distinguir una instalación de otra para servir las descargas y aplicar las comprobaciones de seguridad y los límites de uso que protegen el servicio frente a abusos. Cuando te suscribes o introduces un código de acceso, a esta identidad se le añade la fecha hasta la que los paseos están abiertos, para que nuestros servidores apliquen los límites de uso adecuados a la voz de la guía. No vinculamos esta identidad contigo y no podemos averiguar quién eres a partir de ella. Borrar los datos de la app crea una nueva.

10. Reportar contenido

Puedes reportar una historia, una introducción, un texto de ciudad, una fotografía o una respuesta de la guía. Un reporte contiene el tipo de contenido, el motivo que eliges, tu comentario opcional (hasta 500 caracteres) y contexto para localizar el contenido: la ciudad, el idioma, la versión de la app, la parada o el paseo afectados y la versión del paquete de ciudad. Si reportas una respuesta de la guía, se incluyen la pregunta y la respuesta. Los reportes no contienen tu ubicación ni ninguna cuenta.

Cada reporte se vincula a tu identificador anónimo únicamente para limitar cuántos reportes puede enviar una instalación. Los reportes los lee el desarrollador para corregir el contenido y se borran a los 90 días. El aviso de un nuevo reporte lleva solo su tipo y motivo.

11. Suscripción y pagos

All Access es una suscripción que vende y cobra Google Play. Google gestiona tu método de pago, las facturas y los reembolsos bajo su propia política de privacidad; nosotros nunca vemos tus datos de pago, nombre, correo ni dirección. Cuando la app encuentra tu suscripción en Google Play, envía a nuestro servidor el token de compra que Google Play le dio, y el servidor pregunta a Google Play si la suscripción es válida y hasta cuándo. Nuestro servidor guarda una referencia a la compra, no el token en sí, junto con una referencia a cada instalación que ha abierto, no tu identificador anónimo, y la fecha de fin, para que una suscripción abra como máximo cinco instalaciones. Ese registro se borra 30 días después de que termine la suscripción. En tu móvil la app guarda solo si la suscripción está activa. Puedes gestionar o cancelar la suscripción en Google Play en cualquier momento.

Un código de acceso, que damos por ejemplo a quienes revisan la app, abre todos los paseos en un móvil durante un número de días. Al introducir un código, nuestro servidor registra que se usó en tu instalación, sin guardar tu identificador anónimo, y hasta cuándo, para que un código no abra más móviles de los previstos.

12. Lo que no hacemos

• Ni analítica ni seguimiento de uso. Los informes de fallos son solo técnicos y puedes desactivarlos.
• Ni publicidad, ni identificador publicitario, ni redes de anuncios.
• Ni cuentas, ni direcciones de correo, ni contactos, ni número de teléfono.
• Ni venta, alquiler ni cesión de datos personales con fines de marketing.
• Ni seguimiento a través de otras apps o sitios web.
• Ni subida de tus paseos, fotos o ubicación a nuestros servidores.

13. Quién trata datos por nosotros

Todo aquello con lo que habla la app funciona sobre infraestructura de Google. Google LLC y Google Ireland Limited actúan como encargados del tratamiento para los servicios de abajo, bajo las condiciones de tratamiento de datos de Google Cloud y Firebase. Cuando los datos salen del Espacio Económico Europeo, Google se apoya en las Cláusulas Contractuales Tipo de la UE y en su certificación en el Marco de Privacidad de Datos UE-EE. UU.

Google Maps, Navigation y Play actúan bajo la política de privacidad de Google cuando los usas a través de la app. No usamos ningún otro servicio de terceros.

14. Cuánto tiempo se conservan

15. Bases jurídicas

• Ejecución de un contrato (art. 6.1.b RGPD): prestarte los paseos, la voz de la guía, las descargas y tu suscripción, incluida la comprobación de la suscripción con Google Play.
• Tu consentimiento (art. 6.1.a): usar tu ubicación, micrófono y cámara, y enviar tus fotos a Gemini, otorgado mediante los permisos de Android y los interruptores de la propia app. Puedes retirarlo en cualquier momento en los ajustes de Android o en la app.
• Nuestro interés legítimo (art. 6.1.f): mantener el servicio seguro y funcionando correctamente, y prevenir abusos, lo que incluye limitar una suscripción a cinco instalaciones, pedirte que actualices una versión que ya no funciona bien y desactivar una función en línea cuando falla o se abusa de ella; gestionar los reportes de contenido; recibir informes de fallos para encontrar y arreglar errores, que puedes desactivar en Ajustes › En el paseo.

16. Tus derechos

Según el RGPD, puedes pedir acceso a tus datos, su rectificación o supresión, la limitación del tratamiento, su portabilidad, y oponerte al tratamiento basado en interés legítimo. Escribe a support@cityguidexr.com y te responderemos en el plazo de un mes.

Ten en cuenta un límite práctico: como la app no tiene cuentas, no podemos saber qué identificador anónimo, reporte o contador es el tuyo, así que normalmente no podemos localizar tus datos para entregártelos. Todo lo que te identifica como persona está en tu móvil, donde puedes leerlo, exportarlo y borrarlo tú. Si quieres que eliminemos los registros del servidor ligados a tu instalación, indícanos la fecha aproximada y el contenido de tus reportes y haremos lo posible.

Si crees que no hemos respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos o ante la autoridad del país en el que vivas.

17. Menores

CityGuide XR no está dirigida a menores de 14 años y no recogemos a sabiendas datos suyos. Si eres madre o padre y crees que un menor ha usado la función de preguntas de la guía, escríbenos y te ayudaremos.

18. Cambios en esta política

Cuando la app cambie lo que hace con los datos, esta página cambia con ella y se actualiza la fecha de arriba. Los cambios importantes se anuncian también en la app. La versión vigente está siempre en cityguidexr.com/privacy.