Política de Privacidad

1. Quiénes somos (responsable del tratamiento)

Plumakids ("nosotros") opera plumakids.com, una plataforma de escritura creativa asistida por IA para niños. El responsable del tratamiento de tus datos personales es Fernando Angulo, 43004 Tarragona, España, con contacto en privacy@plumakids.com. El piloto privado está limitado actualmente a familias en España y se rige por el Reglamento General de Protección de Datos (RGPD) de la UE y la Ley Orgánica 3/2018 (LOPDGDD) española.

2. Información que recopilamos

Recopilamos la información mínima necesaria para prestar nuestro servicio:

• Cuenta del padre/madre: dirección de email y nombre (mediante la autenticación de Clerk).
• Perfil del niño: nombre de pila y rango de edad — se recopilan solo después de que un padre, madre o tutor legal dé su consentimiento durante el onboarding.
• Contenido de las historias: historias y escenas escritas por los niños, almacenadas de forma segura y nunca compartidas públicamente sin la aprobación de los padres.
• Medios creativos: dibujos opcionales del héroe y cualquier retrato, portada o ilustración anterior conservado por compatibilidad. La generación de nuevas imágenes con IA está desactivada durante este piloto.
• Escritura por voz opcional: el navegador puede enviar el audio del micrófono a su propio proveedor de reconocimiento de voz. Plumakids recibe sólo la transcripción final, la guarda como texto del cuento y no recibe ni conserva el audio del micrófono.
• Datos de uso: progreso, XP, logros — usados únicamente para el funcionamiento de la app.
• Control de abuso de IA: un contador de solicitudes vinculado a la cuenta parental por cada ventana de 10 minutos — usado solo para prevenir abusos y controlar costes.
• Operaciones limitadas de la beta: momento del alta, código de país y un prefijo de red enmascarado para diagnósticos breves de fiabilidad y abuso. Nunca guardamos la dirección IP completa.

El email y los datos de autenticación de la persona adulta son obligatorios para abrir y proteger la cuenta parental. El nombre de pila, rango de edad y texto del cuento son necesarios para crear ese perfil infantil y su cuento; sin ellos no podemos prestar esas partes del servicio. Los dibujos y el dictado son opcionales. No pedimos ubicación precisa, números de teléfono, apellidos ni fotografías de los niños. Durante este piloto no se generan nuevos retratos de personajes. Los cuentos y dibujos son contenido libre, por lo que pedimos a las familias que eviten incluir información real sensible o identificativa.

3. Base jurídica del tratamiento

Conforme al RGPD, necesitamos una base jurídica para cada uso de tus datos. Nos apoyamos en:

• Contrato (art. 6.1.b) — para crear y gestionar tu cuenta y prestar el servicio de Plumakids que contrataste.
• Consentimiento (art. 6.1.a y art. 8) — para tratar los datos personales de tu hijo, lo que hacemos solo después de que tú, como padre, madre o tutor, des tu consentimiento. Puedes retirarlo en cualquier momento eliminando el perfil del niño o tu cuenta.
• Interés legítimo (art. 6.1.f) — para mantener el servicio seguro, prevenir abusos y entender el uso agregado y no identificable. Nunca usamos esta base para publicidad.

No solicitamos categorías especiales de datos (art. 9). Como las historias son escritura creativa libre, pedimos a las familias que no incluyan en ellas información personal sensible real. No tomamos decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos.

4. Niños, edad y consentimiento parental

El piloto privado en España está limitado a niños de 9 a 14 años, y las cuentas siempre las crea un padre, madre o tutor legal en nombre del niño. Según la LOPDGDD española, los niños de 14 años o más pueden consentir el tratamiento de sus propios datos; por debajo de esa edad, el consentimiento debe darlo quien ostente la patria potestad o tutela. Exigimos que la persona adulta titular de la cuenta confirme su autoridad parental o de tutela y dé su consentimiento durante el onboarding antes de crear un perfil infantil. Esta confirmación no comprueba de forma independiente la identidad de la persona adulta, y el método de consentimiento sigue bajo revisión legal para este piloto. Los padres pueden revisar, corregir o eliminar los datos de su hijo en cualquier momento (ver "Tus derechos") o escribiendo a privacy@plumakids.com.

5. Cómo usamos tu información

• Para prestar y mejorar el servicio de Plumakids.
• Para prestar las funciones de escritura y seguridad que solicite la familia. Estás interactuando con IA cuando responde un Espíritu de Historia u otra guía de IA. La edición del libro creada con ayuda de IA se identifica en la experiencia, y el resultado de IA puede contener errores. Las nuevas imágenes y narraciones con IA están desactivadas durante este piloto.
• Para moderar el contenido de las historias por seguridad antes de cualquier publicación.
• Nunca vendemos datos personales. Nunca usamos los datos de los niños para publicidad.

6. Con quién compartimos datos y transferencias internacionales

Solo compartimos datos con los proveedores necesarios para operar Plumakids, y únicamente con ese fin:

• Clerk — autenticación de cuentas.
• Supabase — base de datos y almacenamiento seguro de archivos.
• Anthropic (Claude) — asistencia de escritura con IA.
• fal.ai — desactivado durante este piloto; no recibe nuevos prompts ni medios infantiles.
• Proveedor de voz del navegador — el dictado opcional lo controla el navegador y puede usar el servicio de su fabricante; Plumakids recibe sólo el texto final y no almacena el audio del micrófono.

Nuestro registro de encargados y transferencias recoge el contrato, las condiciones de tratamiento, la ubicación y la garantía aplicable de cada proveedor. El responsable ha documentado los términos incorporados y las garantías de transferencia para este programa solo por invitación en España. No hay un límite fijo de familias. La revisión independiente sigue siendo obligatoria antes de cualquier cambio material de territorio, edades, acceso público, proveedores o uso de datos.

Transferencias internacionales. Los registros de base de datos y archivos de tu hijo se alojan en la Unión Europea. Algunos proveedores habilitados (por ejemplo Clerk y Anthropic) operan desde Estados Unidos o pueden tratar datos allí, por lo que usar una función puede implicar una transferencia fuera del Espacio Económico Europeo. Sus términos de tratamiento y garantías de transferencia incorporados constan en el registro de este piloto limitado. Google Gemini y fal.ai están desactivados. Puedes pedirnos el registro vigente usando los datos de contacto de abajo.

7. Cuánto tiempo conservamos tus datos

Conservamos tu cuenta, los cuentos canónicos y los medios creativos mientras la cuenta esté activa. Los registros completos de solicitud/respuesta de IA y la telemetría de escritura/guardado basada solo en conteos caducan en un máximo de 30 días. Durante la beta limitada, el prefijo de red enmascarado y su hash de diagnóstico rotatorio caducan en un máximo de siete días, y el código de país en un máximo de 30 días. Nunca conservamos la dirección IP completa. Para prevenir abusos y controlar el coste de la IA, mantenemos un contador vinculado a la cuenta parental por cada ventana de 10 minutos; estos contadores caducan en un máximo de un día. Cuando solicitas la eliminación o cierras tu cuenta, borramos inmediatamente los registros de la base principal, eliminamos los vínculos operativos de cuenta, invitación y red, solicitamos la eliminación de identidad y borramos los medios almacenados asociados. Una limpieza autenticada diaria reintenta y verifica medios huérfanos para mantener los fallos del proveedor dentro del máximo de 30 días. Supabase Free no proporciona a Plumakids una copia de recuperación gestionada de la base de datos ni de los archivos almacenados, por lo que un fallo grave del proveedor o de la operación podría perder permanentemente cuentos o medios; no uses Plumakids como la única copia de algo que quieras conservar. Las copias de respaldo de otros proveedores siguen el calendario revisado del registro de encargados. Las estadísticas agregadas y no identificables pueden conservarse más tiempo, ya que no pueden vincularse a ti ni a tu hijo.

8. Tus derechos

Como padre, madre o tutor que actúa por tu hijo — y respecto de tus propios datos — tienes derecho a:

• Acceso — obtener una copia de los datos personales que tenemos.
• Rectificación — corregir datos incorrectos o incompletos.
• Supresión — eliminar tu cuenta y todos los datos asociados (ver abajo).
• Limitación y oposición — limitar u oponerte a determinados tratamientos.
• Portabilidad — recibir tus datos en un formato portable.
• Retirar el consentimiento — en cualquier momento, sin afectar al tratamiento ya realizado.

Para ejercer cualquiera de ellos, escribe a privacy@plumakids.com. También tienes derecho a presentar una reclamación ante una autoridad de protección de datos. En España es la Agencia Española de Protección de Datos (AEPD, www.aepd.es); también puedes reclamar ante la autoridad de tu país de residencia.

9. Eliminar tu cuenta y tus datos

Puedes eliminar tu cuenta y todos los datos asociados (perfil del padre/madre, cada perfil de niño, cada historia y escena, XP, logros y tu acceso a Plumakids) en cualquier momento desde la configuración de tu cuenta. La eliminación es permanente e irreversible. Se propaga por los registros infantiles relacionados y anonimiza inmediatamente el alta beta, la invitación y los diagnósticos de red antes de eliminar la identidad de acceso. Si prefieres una eliminación por email, escribe a privacy@plumakids.com.

10. Seguridad

Usamos prácticas de seguridad estándar de la industria: conexiones cifradas (HTTPS), credenciales con hash y controles de acceso. Ningún sistema es perfectamente seguro — si crees que tu cuenta ha sido comprometida, contáctanos de inmediato.

11. Contacto

No hemos designado un delegado de protección de datos. Las preguntas sobre esta política y las solicitudes para ejercer derechos deben dirigirse a nuestro contacto de privacidad: privacy@plumakids.com