Política de Privacidad

Introducción

Luxfort Michal Mrotek, que opera como ReadyToSay ("nosotros" o "nuestro"), con domicilio social en ul. Malinowa 8a, Bydgoszcz, Polonia, es el responsable del tratamiento de tus datos personales. Esta Política de Privacidad explica cómo recopilamos, utilizamos, almacenamos y protegemos tu información cuando usas la aplicación móvil ReadyToSay, el sitio web (readytosay.com) y los servicios relacionados (conjuntamente, el "Servicio"). Nos comprometemos a proteger tu privacidad de conformidad con el Reglamento General de Protección de Datos (RGPD), la Ley de IA de la UE, la California Consumer Privacy Act modificada por la California Privacy Rights Act (CCPA/CPRA) y demás leyes de protección de datos aplicables.

Información que Recopilamos

Recopilamos las siguientes categorías de información para prestar y mejorar nuestro Servicio:

Información de la cuenta

Dirección de correo electrónico, nombre visible y foto de perfil cuando te registras o inicias sesión mediante acceso social (Google, Apple o Facebook).

Datos de conversación y sesión

Tus mensajes de práctica, respuestas generadas por IA, feedback de la sesión, puntuaciones y metadatos de la conversación (duración, tipo de escenario, estado de finalización).

Datos de gamificación y progreso

Insignias de logros, puntos de experiencia (XP), rachas, progresión de nivel y estadísticas de sesiones de práctica.

Datos de suscripción y pago

Plan de suscripción, ciclo de facturación y estado del pago. Los datos de tarjetas se procesan exclusivamente mediante Stripe y nunca se almacenan en nuestros servidores.

Datos técnicos y del dispositivo

Tipo de dispositivo, sistema operativo, versión de la app, tipo de navegador, informes de fallos y métricas de rendimiento. Las direcciones IP pueden aparecer en los registros de seguridad, pero la geolocalización basada en IP está desactivada en el SDK de análisis de nuestro sitio web.

Datos analíticos

Vistas de página, uso de funciones, patrones de navegación y eventos de interacción, recopilados mediante Mixpanel solo con tu consentimiento.

Nunca recopilamos datos de salud, biométricos, ubicación GPS precisa ni números de identificación emitidos por gobiernos.

Cómo Usamos Tu Información

Usamos tu información para los siguientes fines:

• Prestar el Servicio: facilitar la práctica de conversaciones con IA, generar feedback personalizado y hacer seguimiento de tu progreso.
• Personalización: adaptar la dificultad de las conversaciones, sugerir escenarios y personalizar tu ruta de aprendizaje según tu historial de práctica.
• Procesamiento con IA: enviar tus mensajes de conversación a proveedores externos de IA (OpenAI y Google Gemini) para generar respuestas realistas y feedback de coaching.
• Analítica y mejora: comprender cómo interactúan los usuarios con el Servicio para mejorar funciones, corregir errores y desarrollar nuevos escenarios.
• Gestión de la cuenta: autenticar tu identidad, gestionar tu suscripción y comunicarnos contigo sobre tu cuenta.
• Seguridad y prevención del fraude: detectar y prevenir accesos no autorizados, abusos y actividades fraudulentas.

Base Jurídica del Tratamiento (RGPD)

En virtud del Reglamento General de Protección de Datos, tratamos tus datos personales sobre las siguientes bases legales:

Consentimiento (Art. 6(1)(a))

Para seguimiento analítico (Mixpanel), comunicaciones de marketing y tratamientos opcionales cuando te pedimos permiso expresamente. Puedes retirar tu consentimiento en cualquier momento.

Ejecución del contrato (Art. 6(1)(b))

Tratamiento necesario para prestar el Servicio al que te has suscrito, incluida la creación de cuenta, la práctica de conversaciones, el feedback generado por IA y la gestión de la suscripción.

Interés legítimo (Art. 6(1)(f))

Para la monitorización de seguridad, prevención del fraude, mejora del servicio y analítica agregada que no prevalezca sobre tus derechos fundamentales.

Obligación legal (Art. 6(1)(c))

Cuando debamos conservar determinados datos por motivos fiscales, contables o regulatorios.

Procesamiento con IA y Transparencia

ReadyToSay utiliza inteligencia artificial para impulsar la práctica de conversaciones. En cumplimiento de la Ley de IA de la UE, proporcionamos la siguiente información de transparencia:

Qué datos se envían a la IA

Tus mensajes dentro de una sesión de práctica se envían a proveedores de IA para generar respuestas realistas. También enviamos el contexto del escenario y el nivel de dificultad seleccionado. No enviamos tu nombre, correo electrónico ni otros identificadores personales a los proveedores de IA.

Proveedores de IA

Utilizamos OpenAI (modelos GPT) y Google (modelos Gemini) como proveedores de IA. Estos proveedores procesan los datos bajo acuerdos de tratamiento de datos con nosotros.

Tus datos no entrenan modelos

Tus datos de conversación NO se utilizan para entrenar modelos de IA. Tanto OpenAI como Google procesan nuestras solicitudes de API bajo acuerdos de retención cero de datos cuando está técnicamente disponible, lo que significa que tus datos no se almacenan más allá de la respuesta inmediata de la API.

Divulgación de IA

Todos los interlocutores en ReadyToSay son generados por IA. No son personas reales. El feedback y las sugerencias generadas por IA se proporcionan únicamente con fines de práctica y no constituyen asesoramiento profesional.

Derecho a revisión humana

Conforme al artículo 22 del RGPD, tienes derecho a no quedar sujeto a decisiones basadas únicamente en tratamiento automatizado que te afecten de manera significativa. Puedes solicitar revisión humana de cualquier evaluación generada por IA escribiendo a contact@readytosay.com.

Conservación de Datos

Conservamos tus datos durante los siguientes periodos:

• Datos de sesiones de conversación: 12 meses desde su creación; después se anonimizan automáticamente y se agregan para mejorar el servicio.
• Datos de cuenta: mientras tu cuenta esté activa. Tras la eliminación de la cuenta, conservamos un registro mínimo durante 30 días (periodo de gracia) y luego lo eliminamos definitivamente.
• Datos analíticos: se conservan durante el período configurado en nuestro proyecto de Mixpanel. Mixpanel puede conservar los datos hasta 5 años por defecto, salvo que configuremos un período más corto.
• Logs del servidor: 90 días y luego se purgan automáticamente.
• Preferencia de consentimiento del sitio web: se guarda localmente en tu navegador hasta que la cambies o borres los datos del navegador.
• Registros de pago: según lo exija la legislación fiscal y contable (normalmente entre 5 y 7 años para registros de transacciones).

Puedes solicitar la eliminación de tus datos en cualquier momento. Consulta la sección de eliminación de cuenta a continuación.

Tus Derechos

Dependiendo de tu ubicación, tienes los siguientes derechos respecto a tus datos personales:

Derechos RGPD (residentes de la UE/EEE)

• Derecho de acceso (Art. 15): obtener una copia de tus datos personales.
• Derecho de rectificación (Art. 16): corregir datos inexactos o incompletos.
• Derecho de supresión (Art. 17): solicitar la eliminación de tus datos ("derecho al olvido").
• Derecho de limitación (Art. 18): limitar cómo tratamos tus datos.
• Derecho a la portabilidad (Art. 20): recibir tus datos en un formato estructurado y legible por máquina.
• Derecho de oposición (Art. 21): oponerte al tratamiento basado en interés legítimo.
• Derecho a retirar el consentimiento: en cualquier momento, sin afectar al tratamiento previo.
• Derecho a revisión humana (Art. 22): solicitar revisión humana de decisiones automatizadas.
• Derecho a presentar una reclamación ante tu autoridad local de protección de datos.

Derechos CCPA/CPRA (residentes de California)

• Derecho a saber qué información personal se recopila, utiliza y comparte.
• Derecho a eliminar tu información personal.
• Derecho a excluirte de la venta de información personal. Nota: NO vendemos tu información personal.
• Derecho a no sufrir discriminación por ejercer tus derechos de privacidad.

Para ejercer cualquiera de estos derechos, escríbenos a contact@readytosay.com. Responderemos en un plazo de 30 días.

Subencargados y Servicios de Terceros

Compartimos tus datos con los siguientes subencargados, cada uno operando bajo un acuerdo de tratamiento de datos:

Revisamos regularmente a nuestros subencargados y sus prácticas de protección de datos. Esta lista está actualizada a la fecha de última modificación indicada arriba.

Transferencias Internacionales de Datos

Algunos de nuestros subencargados están ubicados fuera del Espacio Económico Europeo (EEE). Cuando transferimos datos personales fuera del EEE, nos aseguramos de contar con garantías adecuadas: cláusulas contractuales tipo aprobadas por la Comisión Europea o el Marco de Privacidad de Datos UE-EE.UU. para empresas certificadas de EE.UU. Nuestra base de datos principal (Neon) y el almacenamiento de copias de seguridad (Backblaze B2) están alojados en la UE. Los datos analíticos (Mixpanel) se procesan a través del endpoint europeo de Mixpanel. Procuramos minimizar las transferencias fuera de la UE siempre que sea técnicamente posible.

Cookies y Seguimiento

Usamos cookies y tecnologías similares en nuestro sitio web:

Cookies esenciales

Necesarias para el funcionamiento básico del sitio, incluidas las preferencias de consentimiento y la gestión de sesión. No pueden desactivarse.

Almacenamiento analítico

Cookies o almacenamiento local utilizados solo con tu consentimiento explícito para comprender el uso del sitio mediante Mixpanel. Puedes desactivarlos en cualquier momento.

Puedes gestionar tus preferencias de cookies en cualquier momento usando Configuración de Cookies .

La app móvil ReadyToSay no usa cookies del navegador. La analítica dentro de la app se gestiona mediante el SDK de Mixpanel, que solo se activa después de que otorgues tu consentimiento en la pantalla correspondiente de la app, de conformidad con los requisitos de la Directiva ePrivacy.

Pagos y Suscripciones

El procesamiento de pagos de ReadyToSay se realiza mediante Stripe, un procesador de pagos certificado PCI DSS Nivel 1.

• Nunca almacenamos, procesamos ni tenemos acceso a tu número completo de tarjeta, CVV o datos bancarios.
• Stripe recopila y procesa la información de pago directamente. Nosotros solo recibimos una referencia tokenizada, el estado del pago y metadatos de facturación (tipo de plan, importe, moneda).
• En las compras dentro de la app en iOS o Android, los pagos se procesan respectivamente por Apple o Google conforme a sus propias políticas de privacidad.
• La gestión de suscripciones y la validación de recibos pueden procesarse mediante RevenueCat bajo su acuerdo de tratamiento de datos.

Política de Privacidad de Stripe →

Inicio de Sesión Social

ReadyToSay ofrece inicio de sesión mediante Google, Apple y Facebook. Cuando utilizas acceso social:

• Recibimos únicamente tu dirección de correo, nombre visible y foto de perfil del proveedor de acceso social.
• No accedemos a tus contactos, publicaciones, mensajes ni a ningún otro dato de tus cuentas en redes sociales.
• Puedes revocar el acceso de ReadyToSay en cualquier momento desde la configuración de tu cuenta de Google, Apple o Facebook.
• La función "Ocultar mi correo" de Apple es totalmente compatible: puedes iniciar sesión sin compartir tu dirección de correo real.

Privacidad de Menores

ReadyToSay está destinado a usuarios de 16 años o más. No recopilamos conscientemente información personal de menores de 16 años. Si descubrimos que hemos recopilado datos personales de una persona menor de 16 años, tomaremos medidas para eliminarlos sin demora. Si crees que un menor de 16 años nos ha proporcionado datos personales, contáctanos en contact@readytosay.com.

Eliminación de la Cuenta

Puedes solicitar la eliminación de tu cuenta y los datos asociados en cualquier momento:

• En la app ReadyToSay: ve a Ajustes → Cuenta → Eliminar cuenta.
• A través de nuestra web: visita readytosay.com/delete-account y sigue las instrucciones.
• Por correo electrónico: envía una solicitud a contact@readytosay.com con el asunto "Solicitud de Eliminación de Cuenta".

Qué se elimina

Tu información de perfil, historial de conversaciones, datos de sesiones de práctica, progreso y logros, y datos de suscripción (los registros de facturación se conservan según lo exija la ley).

Tras solicitar la eliminación, tu cuenta entra en un periodo de gracia de 30 días durante el cual puedes reactivarla. Después de 30 días, todos los datos se eliminan de forma permanente e irreversible.

Algunos datos anonimizados y agregados, por ejemplo el número total de sesiones o las puntuaciones medias, pueden conservarse con fines de mejora del servicio, pero no pueden vincularse contigo.

Seguridad de los Datos

Aplicamos medidas de seguridad estándar de la industria para proteger tus datos:

• Todos los datos en tránsito se cifran mediante TLS 1.2+ (HTTPS).
• Las contraseñas se hashéan con Argon2id y sal única por usuario.
• Las conexiones a la base de datos están cifradas y el acceso está restringido mediante listas blancas de IP.
• Los endpoints de API están protegidos con limitación de tasa, políticas CORS y cabeceras de seguridad (CSP, HSTS, X-Frame-Options).
• Realizamos revisiones periódicas de seguridad y análisis de vulnerabilidades en dependencias.
• El acceso a los sistemas de producción está limitado a personal autorizado con autenticación multifactor.

En caso de una brecha de datos que suponga un riesgo para tus derechos, notificaremos a los usuarios afectados y a la autoridad competente en un plazo de 72 horas, conforme al artículo 33 del RGPD.

Cambios en esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Para cambios significativos, te avisaremos mediante notificación en la app y/o correo electrónico con al menos 30 días de antelación antes de que entren en vigor. La fecha de "Última actualización" al inicio de esta página indica la revisión más reciente. Te animamos a revisar esta política periódicamente. El uso continuado del Servicio después de la entrada en vigor de los cambios constituye la aceptación de la política actualizada.

Contáctanos

Para preguntas relacionadas con privacidad, solicitudes de titulares de datos o para ejercer tus derechos, contáctanos:

Respondemos a todas las solicitudes en un plazo de 30 días. Para solicitudes RGPD complejas, podremos ampliar este plazo hasta 60 días adicionales; en ese caso te informaremos de la ampliación y de sus motivos dentro del período inicial de 30 días.

Si no quedas satisfecho con nuestra respuesta, tienes derecho a presentar una reclamación ante tu autoridad local de protección de datos. Para residentes en Polonia, esta autoridad es el Presidente de la Oficina de Protección de Datos Personales (UODO).