Política de privacidad

Borrador de trabajo 0.1 para revisión jurídica, todavía no vigente. Los puntos pendientes se señalan con [POR CONFIRMAR].

Esta política explica qué datos personales recoge Brotelo sobre los padres y los niños, por qué los recogemos, quién los recibe, durante cuánto tiempo los conservamos y qué derechos tienes. Los niños pueden leer una versión breve escrita para ellos en nuestra página «Privacidad para niños».

1 Resumen

• Solo las personas adultas tienen cuenta. Los niños usan un perfil que crea su padre o su madre, con un apodo, una edad y un avatar predefinido.
• Los niños nunca nos facilitan una dirección de correo electrónico, una foto, un número de teléfono ni su ubicación.
• Usamos los datos para hacer funcionar los cursos, guardar el progreso, emitir certificados, cobrar los pagos y mantener la seguridad de Brotelo.
• Sin publicidad, sin rastreadores publicitarios, sin venta de datos, sin chat y sin perfiles públicos.
• Nuestras estadísticas de visitas no usan cookies y nunca se activan en el área infantil.
• Puedes ver, corregir, descargar y eliminar tus datos y los de tus hijos.

2 Quién es responsable de tus datos

El responsable del tratamiento de tus datos personales es TOPFED WEB S.R.L., una sociedad registrada en la República de Moldavia, con IDNO 1026023125543 y domicilio social en s. Pepeni, r-nul Sîngerei, MD-6234, República de Moldavia. Puedes escribirnos a [email protected] sobre cualquier cuestión de esta política.

2.1 Representante en la Unión Europea

Como estamos establecidos fuera de la Unión Europea, debemos designar un representante en la UE (artículo 27 del RGPD). [POR CONFIRMAR: el nombre y los datos de contacto del representante en la UE.]

2.2 Representante en el Reino Unido

[POR CONFIRMAR: si Brotelo se ofrece en el Reino Unido, el nombre y los datos de contacto del representante en el Reino Unido conforme al artículo 27 del UK GDPR.]

2.3 Delegado de protección de datos

[POR CONFIRMAR: si debe designarse un delegado de protección de datos conforme al artículo 37 del RGPD o a la Ley moldava n.º 195/2024; mientras tanto, escribe a [email protected].]

3 Qué datos recogemos

3.1 Sobre ti, como madre o padre

• Datos de la cuenta: tu dirección de correo electrónico y la forma en que inicias sesión. Si inicias sesión con Google, recibimos los identificadores que nos envía Google. [POR CONFIRMAR: qué datos del perfil de Google se guardan; recomendamos solo el identificador de la cuenta y la dirección de correo electrónico.] Tu contraseña la gestiona Firebase Authentication, un servicio de Google, y nosotros nunca la vemos.
• Datos de los pedidos: tu nombre completo, tu país, la confirmación de que tienes 18 años o más, los cursos que compras, los precios, los impuestos, la moneda, la fecha y el número del pedido, el estado del pago y la referencia de la transacción de nuestro banco. No recibimos ni guardamos el número completo de tu tarjeta. [POR CONFIRMAR: si el banco nos envía datos enmascarados de la tarjeta, como los cuatro últimos dígitos.]
• Registros de tus decisiones: tus consentimientos (perfiles infantiles, certificados públicos, newsletter), tu consentimiento para que el acceso empiece de inmediato y tu reconocimiento, tus desistimientos y tus solicitudes de garantía, con sus fechas.
• Mensajes: lo que nos escribes (preguntas, reclamaciones, avisos de seguridad, solicitudes sobre tus derechos) y nuestras respuestas.
• Newsletter y lista de espera: tu dirección de correo electrónico, tu idioma, y la fecha y la prueba de tu consentimiento y de tu confirmación (doble confirmación o double opt-in).
• Datos técnicos: dirección IP, tipo de navegador y de dispositivo, páginas solicitadas, y la fecha y la hora, en los registros de seguridad de nuestros servidores y de Cloudflare.

3.2 Sobre tu hijo o hija

Solo guardamos lo que tú introduces y lo que el niño o la niña crea mientras aprende:

• Perfil: apodo, edad o año de nacimiento, y el avatar elegido de nuestra lista predefinida.
• PIN: el PIN opcional de 4 cifras, guardado de forma protegida (mediante hash). [POR CONFIRMAR: cómo se guarda el PIN.]
• Datos de aprendizaje: los cursos disponibles para el perfil, las diapositivas completadas, las respuestas a las preguntas de comprobación y al cuestionario final, los intentos y las puntuaciones de los cuestionarios, y las fechas de actividad. [POR CONFIRMAR: si se guardan las respuestas a las preguntas de comprobación que hay dentro de la presentación.]
• Certificados: el nombre que elegiste para el certificado (por defecto, el nombre de pila y la inicial del apellido), el curso, la fecha, el código del certificado y si hiciste que el certificado fuera verificable públicamente.

3.3 Lo que nunca recogemos de los niños

• Ninguna dirección de correo electrónico, número de teléfono ni dirección postal.
• Ninguna foto, vídeo, grabación de voz ni archivo subido de ningún tipo.
• Ningún mensaje ni chat.
• Ninguna ubicación.
• Ningún identificador publicitario, ningún seguimiento con fines publicitarios y ninguna estadística de visitas en el área infantil.

4 Para qué usamos los datos y con qué base jurídica

[POR CONFIRMAR: la base jurídica para los datos de los niños (consentimiento parental, nuestro contrato con el progenitor o interés legítimo) y la base para los registros que exige la legislación moldava, ya que el artículo 6, apartado 1, letra c), del RGPD solo abarca las obligaciones establecidas por el Derecho de la Unión o de los Estados miembros.]

No usamos ningún dato con fines publicitarios ni para crear perfiles de marketing, y no tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre ti o sobre tu hijo o hija, o que os afecten significativamente de modo similar. Cuando nos basamos en el interés legítimo, puedes oponerte (sección 9).

5 Datos de los niños y consentimiento parental

Brotelo está pensado para niños de 8 a 14 años, pero solo las personas adultas son titulares de cuentas, y los niños nunca se registran por sí mismos.

Según el RGPD, cuando un servicio en línea se basa en el consentimiento, un niño que no ha alcanzado la edad de consentimiento digital necesita el consentimiento del titular de la patria potestad o tutela. Esa edad está entre los 13 y los 16 años según el país, por ejemplo 16 en Rumanía. Como todos los niños de Brotelo tienen 14 años o menos y nunca se registran por sí mismos, siempre pedimos el consentimiento al padre o a la madre, sea cual sea la edad del niño y su país.

Al crear un perfil infantil, confirmas que eres el padre, la madre o el tutor del niño, o que cuentas con el permiso del titular de la patria potestad o tutela, y das tu consentimiento para que tratemos los datos del niño tal como se describe aquí. [POR CONFIRMAR: cómo hacemos esfuerzos razonables para verificar que el consentimiento procede del titular de la patria potestad o tutela (artículo 8, apartado 2, del RGPD) y, si se presta el servicio en Estados Unidos, el método de consentimiento parental verificable conforme a la COPPA.]

• Recogemos lo mínimo posible: un apodo en lugar del nombre completo, una edad o un año de nacimiento en lugar de la fecha de nacimiento, avatares predefinidos en lugar de fotos.
• Tienes toda la información: ves el progreso y los certificados de tu hijo o hija en el área de familias, y nuestra página «Privacidad para niños» le explica que tú puedes verlos.
• Puedes cambiar de opinión: retiras tu consentimiento eliminando el perfil infantil, lo que elimina los datos del niño (sección 8). Retirar el consentimiento no afecta a lo que hicimos antes.
• Nunca usamos los datos de los niños con fines de marketing, publicidad o elaboración de perfiles, y nunca los vendemos.
• Si un niño se ha registrado solo: si descubrimos que un niño ha creado una cuenta por sí mismo, la eliminamos.

Evaluamos los riesgos que nuestro tratamiento supone para los niños en una evaluación de impacto relativa a la protección de datos. [POR CONFIRMAR: completar la evaluación de impacto relativa a la protección de datos (EIPD) antes del lanzamiento.]

6 Quién recibe los datos

No vendemos datos personales. Solo los compartimos con proveedores de servicios que los tratan por cuenta nuestra, siguiendo nuestras instrucciones y en virtud de un contrato (artículo 28 del RGPD), y con los pocos destinatarios independientes que se indican a continuación.

[POR CONFIRMAR: la entidad contratante y el contrato de encargo del tratamiento de cada proveedor.]

Destinatarios independientes, sujetos a sus propias políticas de privacidad:

• MAIB (Moldova Agroindbank), República de Moldavia, que procesa los pagos con tarjeta y los datos de la tarjeta que introduces en su página de pago. [POR CONFIRMAR: si MAIB actúa como responsable del tratamiento independiente o como encargado del tratamiento por cuenta nuestra.]
• Google, si decides iniciar sesión con tu cuenta de Google, como proveedor de esa cuenta.
• Asesores profesionales, como abogados y contables, sujetos a un deber de confidencialidad.
• Autoridades y tribunales, solo cuando la ley lo exija, o para proteger a un niño que pueda estar en peligro.

Si alguna vez se vende nuestro negocio, o parte de él, el comprador podría recibir los datos necesarios para continuar el servicio, conforme a esta política. Te lo comunicaríamos con antelación.

7 Transferencias internacionales

Estamos establecidos en la República de Moldavia, y nuestro equipo accede a los datos desde allí. La Comisión Europea no ha adoptado una decisión de adecuación respecto de la República de Moldavia. [POR CONFIRMAR: las garantías para el acceso desde Moldavia, conforme a las Directrices 05/2021 del Comité Europeo de Protección de Datos (CEPD) sobre la interacción entre el artículo 3 y el capítulo V del RGPD.]

Nuestros servidores están en Alemania, y Brevo opera en la UE. Cloudflare y Google pueden tratar datos en Estados Unidos. Para estas transferencias nos basamos en el Marco de Privacidad de Datos UE-EE. UU. cuando la empresa está certificada conforme a él y, en caso contrario, en las cláusulas contractuales tipo de la Comisión Europea. Para los usuarios del Reino Unido, nos basamos en la extensión del Reino Unido a ese marco o en la adenda del Reino Unido a dichas cláusulas. [POR CONFIRMAR: la certificación y las garantías de cada proveedor en la fecha de publicación.]

Los pagos con tarjeta los procesa MAIB en la República de Moldavia.

Puedes pedirnos una copia de las garantías que utilizamos escribiendo a [email protected].

8 Durante cuánto tiempo conservamos los datos

Conservamos los datos solo durante el tiempo que los necesitamos. Los plazos que figuran a continuación son propuestas. [POR CONFIRMAR: cada uno de los plazos que figuran a continuación, a la luz de la legislación contable moldava, las normas del IVA de la UE y los plazos de prescripción.]

9 Tus derechos

Tienes derecho a:

• acceder a tus datos y obtener una copia;
• rectificar los datos inexactos o incompletos;
• suprimir tus datos;
• limitar el tratamiento de tus datos en algunos casos;
• recibir los datos que nos has facilitado en un formato de uso común y que se transmitan a otro servicio (portabilidad);
• oponerte al tratamiento de tus datos basado en el interés legítimo y, en cualquier momento, al tratamiento con fines de mercadotecnia directa;
• retirar tu consentimiento en cualquier momento, sin que ello afecte a lo que hicimos antes;
• no ser objeto de decisiones basadas únicamente en el tratamiento automatizado; no tomamos decisiones de este tipo.

Tú ejerces estos derechos en nombre de tu hijo o hija. Cuando un niño tiene edad suficiente para entenderlo, tenemos en cuenta su opinión y su interés superior.

9.1 Cómo ejercer tus derechos

En el área de familias puedes modificar o eliminar perfiles infantiles, activar o desactivar la verificación pública de un certificado, cambiar tus preferencias de correo electrónico y cerrar tu cuenta. [POR CONFIRMAR: las funciones de autoservicio disponibles en el lanzamiento, incluida la descarga de tus datos.]

También puedes escribir a [email protected] desde la dirección de correo electrónico de tu cuenta. Podemos pedirte que confirmes tu identidad. Respondemos en el plazo de un mes. Si las solicitudes son complejas o numerosas, podemos prorrogar este plazo otros dos meses, y te explicaremos el motivo. Ejercer tus derechos es gratuito, salvo que una solicitud sea manifiestamente infundada o excesiva.

10 Reclamaciones ante una autoridad de control

Puedes presentar una reclamación ante una autoridad de protección de datos:

• en la República de Moldavia, el Centro Nacional de Protección de Datos Personales (NCPDP), www.datepersonale.md;
• en la Unión Europea, la autoridad del país en el que resides, en el que trabajas o en el que se produjo el problema; el Comité Europeo de Protección de Datos las enumera todas en edpb.europa.eu; en Rumanía es la ANSPDCP, www.dataprotection.ro;
• en el Reino Unido, la Information Commissioner's Office (ICO), ico.org.uk.

Te agradeceríamos que nos dieras primero la oportunidad de ocuparnos de tu problema, así que escríbenos a [email protected].

11 Seguridad

Protegemos los datos con medidas técnicas y organizativas adecuadas a los riesgos, especialmente en el caso de los datos de los niños:

• todas las conexiones con Brotelo están cifradas (HTTPS);
• nuestros servidores están en Alemania, y solo tienen acceso las personas que lo necesitan;
• las contraseñas las gestiona Firebase Authentication y nosotros nunca las guardamos;
• los PIN se guardan de forma protegida (mediante hash);
• los datos de las tarjetas los gestiona el banco, nunca nosotros;
• mantenemos nuestros sistemas actualizados y hacemos copias de seguridad periódicas.

[POR CONFIRMAR: las medidas técnicas y organizativas, tal como se documenten en la EIPD y en el registro de las actividades de tratamiento.]

Si se produce una violación de la seguridad de los datos personales, la notificamos a la autoridad competente en un plazo de 72 horas cuando la ley lo exige, y te informamos sin dilación indebida si es probable que entrañe un alto riesgo para ti o para tu hijo o hija.

12 Correos electrónicos de marketing

Solo enviamos la newsletter y las novedades de la lista de espera a los padres que las solicitan. Para suscribirte se usa una casilla independiente que nunca está marcada de antemano, y confirmas haciendo clic en el enlace que te enviamos (doble confirmación o double opt-in). Nunca enviamos correos electrónicos de marketing a los niños. Todos los correos electrónicos incluyen un enlace para darte de baja, y hacerlo no afecta a tu cuenta ni a tus correos electrónicos de servicio. [POR CONFIRMAR: que el seguimiento de aperturas y clics está desactivado en Brevo.]

13 Cookies y tecnologías similares

Solo guardamos en tu dispositivo lo que Brotelo necesita para funcionar. No usamos cookies analíticas ni cookies publicitarias. Nuestra Política de cookies lo detalla todo.

14 Usuarios de determinados países

14.1 Reino Unido

Si vives en el Reino Unido, se aplican el UK GDPR y la Data Protection Act 2018. Seguimos el Age Appropriate Design Code de la ICO (el Children's Code): un alto nivel de privacidad por defecto, minimización de datos, ninguna elaboración de perfiles, ninguna técnica para incitar a compartir más datos e información sobre privacidad que los niños puedan entender.

14.2 Estados Unidos

[POR CONFIRMAR: si Brotelo se ofrece en Estados Unidos desde el lanzamiento. En tal caso, es necesario cumplir la COPPA antes del lanzamiento: aviso directo a los padres, consentimiento parental verificable antes de recoger información personal de menores de 13 años, una política escrita de conservación de datos, un programa de seguridad de la información y un aviso en línea que incluya un número de teléfono.] Los padres en Estados Unidos pueden revisar la información personal de su hijo o hija, pedirnos que la eliminemos y negarse a que se siga recogiendo o utilizando. No pedimos a ningún niño más información de la razonablemente necesaria para participar en una actividad.

14.3 República de Moldavia

Nuestro tratamiento también está sujeto a la Ley n.º 195/2024 de protección de datos personales de la República de Moldavia. [POR CONFIRMAR: las disposiciones aplicables, su entrada en vigor y cualquier obligación de registro o notificación ante el NCPDP.]

15 Cambios en esta política

Podemos actualizar esta política. La fecha que figura al principio indica la versión vigente. Te informaremos por correo electrónico antes de que entren en vigor los cambios importantes, y volveremos a pedirte el consentimiento si un cambio lo requiere.

16 Contacto

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, República de Moldavia. Correo electrónico: [email protected].