Política de privacidad de Polpo

1. Disposiciones generales

1.1. La presente Política de privacidad (en adelante, la "Política") establece cómo se tratan los datos personales de las personas que utilizan el servicio Polpo, que comprende el sitio web polpo.by y la aplicación disponible en él (en adelante, el "Servicio"): las categorías de datos personales tratados, los fines del tratamiento, los destinatarios, el lugar y los plazos de conservación, así como los derechos de los interesados y la forma de ejercerlos.

1.2. Responsable del tratamiento de los datos personales: Pavel Senko, persona física, República de Belarús (en adelante, el "Operador"). El Operador determina los fines y los medios del tratamiento de los datos personales y es responsable de él. Dirección de correo electrónico para consultas sobre el tratamiento de los datos personales: polpo.site@gmail.com.

1.3. La Política se aplica a todas las personas que utilizan el Servicio, visitan el sitio web y el blog, se dirigen al Operador o hacen donaciones (en adelante, los "Usuarios"). La Política no es un contrato y no requiere aceptación. Las normas de uso del Servicio se establecen en los Términos de uso, y los registros guardados en el navegador se describen en la Política de cookies.

1.4. Los datos personales se tratan de conformidad con la Ley de la República de Belarús n.º 99-Z, de 7 de mayo de 2021, "Sobre la protección de los datos personales" y, respecto de los Usuarios en la Unión Europea, también de conformidad con el Reglamento General de Protección de Datos (RGPD).

2. Datos personales tratados

2.1. El Operador trata los siguientes datos personales:

• datos de la cuenta: dirección de correo electrónico, nombre (por defecto, la parte de la dirección de correo electrónico anterior al signo "@"; el Usuario puede cambiarlo), PIN en forma de hash, idioma materno e idioma de estudio, nivel e intereses. Si el Usuario inicia sesión con Google, el Operador recibe de Google la dirección de correo electrónico, el nombre, un enlace a la foto de perfil y el identificador de la cuenta de Google;
• datos de aprendizaje: palabras y traducciones del Usuario, conjuntos de palabras y sus nombres, respuestas en las prácticas con fecha y hora, progreso de las palabras, historias del día, el arrecife y los premios;
• fotos del cuaderno y grabaciones de voz, si el Usuario utiliza el reconocimiento de fotos o el ejercicio de pronunciación. No se conservan en el servidor del Operador;
• datos técnicos: dirección IP, información sobre el navegador, direcciones y horas de las solicitudes. Son necesarios para el funcionamiento y la protección del Servicio;
• estadísticas de visitas al sitio web: si el Usuario ha hecho clic en "Aceptar todas" en el banner de cookies de la página principal o del blog, Yandex Metrica recopila información sobre las visitas (más detalles en la Política de cookies);
• mensajes al Operador: dirección de correo electrónico y texto del mensaje. A un mensaje enviado con la función "Informar de un problema", la aplicación añade automáticamente la versión de la aplicación, los idiomas y la información sobre el navegador;
• datos sobre las donaciones: nombre o apodo, importe y fecha y, en las donaciones a través de Boosty y Patreon, también la dirección de correo electrónico. El Operador no recibe los datos de la tarjeta de pago.

2.2. Solo es obligatoria la dirección de correo electrónico: sin ella no se puede crear una cuenta. Los demás datos se generan a medida que el Usuario utiliza las funciones del Servicio.

3. Fines y bases jurídicas del tratamiento

3.1. El Operador trata los datos personales con los siguientes fines:

• crear la cuenta y dar acceso a ella;
• guardar el diccionario del Usuario, realizar las prácticas y registrar el progreso;
• crear ejemplos, propuestas de traducción, selecciones de palabras e historias del día, reconocer las fotos del cuaderno y la pronunciación, locutar las palabras;
• enviar correos electrónicos con códigos de inicio de sesión y avisos de cambios sustanciales;
• atender los mensajes y solicitudes de los Usuarios;
• proteger el Servicio frente a fallos y abusos y restablecerlo tras las averías;
• contabilizar las visitas a la página principal y al blog.

3.2. El tratamiento con estos fines, salvo la contabilización de las visitas al sitio web, se basa en el contrato con el Usuario, constituido por los Términos de uso: sin dicho tratamiento el Servicio no puede funcionar. Las visitas al sitio web solo se contabilizan con el consentimiento del Usuario otorgado en el banner de cookies. Las copias de seguridad y los registros de seguridad se mantienen también en cumplimiento de la obligación legal de proteger la información. Respecto de los Usuarios en la Unión Europea, las copias de seguridad, los registros y las respuestas a personas sin cuenta se basan en el interés legítimo del Operador en la fiabilidad del Servicio y en mantener el contacto con quienes se dirigen a él.

3.3. El Operador no vende datos personales, no muestra publicidad ni adopta decisiones basadas únicamente en el tratamiento automatizado que afecten a los derechos del Usuario. El Servicio elige las palabras para las prácticas según las respuestas del Usuario; el Usuario puede cambiar manualmente la etapa de aprendizaje de cualquier palabra.

4. Comunicación de datos personales a terceros

4.1. Para el funcionamiento del Servicio, el Operador recurre a proveedores. Los proveedores solo reciben los datos necesarios para desempeñar sus funciones; la dirección de correo electrónico, el nombre y el número de cuenta del Usuario no se transmiten a los servicios de inteligencia artificial. La información que el Usuario introduce por sí mismo (palabras, intereses, nombres de los conjuntos) y todo lo que aparece en una foto se transmiten sin cambios, por lo que el Usuario no debería incluir en ellos información de carácter personal.

4.2. Destinatarios de los datos personales:

4.3. Si el ejercicio de pronunciación lo reconoce el propio navegador (cuando el servidor del Operador no ha respondido), el navegador transmite el sonido a su proveedor: Google, Apple o Microsoft (EE. UU.).

4.4. Los datos personales no se comunican a otros destinatarios. Los datos personales solo se comunican a las autoridades públicas en los casos previstos por la legislación de la República de Belarús. Los nombres de los proveedores y el Estado en el que se encuentra el servidor los comunica el Operador a petición del interesado sobre sus datos.

5. Conservación y transferencia transfronteriza de datos personales

5.1. Los datos personales de los Usuarios de todos los Estados y sus copias de seguridad se conservan en un servidor situado en el territorio de un Estado extranjero incluido en la lista de Estados extranjeros que garantizan un nivel adecuado de protección de los derechos de los interesados, aprobada por el Centro Nacional de Protección de Datos Personales de la República de Belarús (en adelante, la "Lista"). El Operador trata los datos personales desde el territorio de la República de Belarús.

5.2. EE. UU., China, Singapur, los EAU y Hong Kong no están incluidos en la Lista. La transferencia de datos personales a su territorio conlleva los siguientes riesgos: la legislación de protección de datos ofrece un nivel de protección inferior o no se aplica a las autoridades públicas; no existe una autoridad independiente ante la que presentar una reclamación; los derechos de los interesados están limitados y son más difíciles de ejercer; las autoridades públicas y los servicios de inteligencia tienen un amplio acceso a los datos. Además, la legislación china obliga a las organizaciones a colaborar con las autoridades públicas.

5.3. Para los Usuarios en la Unión Europea: casi todos los destinatarios en EE. UU. están certificados en el marco del EU-U.S. Data Privacy Framework; para el servicio de reconocimiento de fotos de reserva en EE. UU., así como para las transferencias a China y Singapur, no existen mecanismos previstos por el RGPD.

6. Plazos de conservación de los datos personales

6.1. Los datos personales se conservan durante los siguientes plazos:

6.2. Las copias de seguridad se utilizan exclusivamente para restablecer el Servicio tras las averías. Los ejemplos, las traducciones y las locuciones de las palabras se guardan en un almacén común sin vinculación con el Usuario y se mantienen tras la eliminación de la cuenta. Los plazos de conservación de los datos por parte de los proveedores que los tratan según sus propias normas se determinan por dichas normas.

7. Derechos del interesado

7.1. El Usuario tiene derecho a:

• obtener información sobre el tratamiento de sus datos personales: qué datos se tratan, de qué fuentes se obtuvieron, con qué fines y a quién se comunican, así como obtener una copia de ellos;
• solicitar la modificación de sus datos personales si son incompletos, están desactualizados o son inexactos;
• obtener información sobre la comunicación de sus datos personales a terceros durante el último año;
• retirar el consentimiento al tratamiento de los datos personales (para las estadísticas de visitas al sitio web: el botón "Configuración de cookies" en la página de la Política de cookies);
• solicitar el cese del tratamiento de sus datos personales y su supresión;
• en el caso de los Usuarios en la Unión Europea, también solicitar la limitación del tratamiento, recibir sus datos en un formato de lectura mecánica y oponerse al tratamiento basado en el interés legítimo del Operador.

7.2. El Usuario ejerce parte de estos derechos por sí mismo en el perfil: cambiar el nombre, el idioma y el nivel, descargar sus palabras, salir de todos los dispositivos, eliminar la cuenta.

7.3. Para ejercer los demás derechos, el Usuario envía una solicitud a polpo.site@gmail.com desde la dirección de correo electrónico de su cuenta: así se puede comprobar que la solicitud procede del propio Usuario. Para enviar una solicitud por escrito o como documento electrónico firmado con firma digital electrónica, el Usuario puede pedir al Operador su dirección postal por correo electrónico. La información sobre el tratamiento de los datos personales se facilita en un plazo de 5 días hábiles; las demás solicitudes se resuelven en un plazo de 15 días, de forma gratuita. Si una solicitud no puede atenderse (en particular, si la ley obliga a conservar los datos), el Operador comunica los motivos de la denegación.

7.4. El Usuario puede presentar una reclamación contra las actuaciones del Operador: en la República de Belarús, ante el Centro Nacional de Protección de Datos Personales (ul. K. Tsetkin 24-3, 220004 Minsk, cpd.by), por escrito o como documento electrónico firmado con una firma digital electrónica bielorrusa, en un plazo de 3 meses desde el día en que el Usuario tuvo conocimiento de la infracción; en la Unión Europea, ante la autoridad de control de su Estado; en el Reino Unido, ante la ICO; en Suiza, ante el Comisionado Federal de Protección de Datos y Transparencia (FDPIC); en Ucrania, ante el Comisionado de Derechos Humanos de la Rada Suprema de Ucrania.

8. Datos personales de menores

8.1. El Servicio puede utilizarse a partir de los 16 años, y de los 14 a los 16 años con el permiso de los padres (u otros representantes legales); las personas menores de 14 años no pueden utilizar el Servicio. El Operador no pregunta la fecha de nacimiento. El reconocimiento de las fotos del cuaderno solo puede utilizarse a partir de los 16 años.

8.2. Si el Operador tiene conocimiento de que una cuenta la utiliza una persona menor de 14 años o una persona de entre 14 y 16 años sin el permiso de sus padres (u otros representantes legales), el Operador elimina la cuenta. Un progenitor (u otro representante legal) puede dirigirse al Operador indicando la dirección de correo electrónico de la cuenta.

9. Medidas de protección de los datos personales

9.1. La conexión con el sitio web está cifrada. El PIN se conserva solo en forma de hash, y el número de intentos de introducción del PIN y del código de inicio de sesión está limitado. Solo el Operador tiene acceso al servidor y a las copias de seguridad. En el perfil está disponible la función "Salir de todos los dispositivos".

9.2. Las medidas adoptadas no excluyen por completo una violación de la seguridad de los datos. En caso de violación, el Operador lo notifica al Centro Nacional de Protección de Datos Personales en un plazo de 3 días hábiles, a la autoridad de control de la Unión Europea en un plazo de 72 horas si la violación afecta a personas en la Unión Europea y a las personas afectadas si la violación supone una amenaza para sus derechos.

10. Modificaciones de la Política

10.1. La fecha de la versión vigente figura al principio de la Política, y las versiones anteriores se enumeran al final de la página. El Operador informa a los Usuarios con antelación de los cambios sustanciales mediante un correo electrónico a la dirección de la cuenta.

11. Idioma de la Política y datos de contacto

11.1. El texto principal de la Política está redactado en ruso; las traducciones a otros idiomas se realizan a partir de él. Las preguntas sobre el tratamiento de los datos personales deben enviarse a polpo.site@gmail.com.