Nota para la puesta en marcha. Esta política está adaptada a los tratamientos de datos reales de HolaRuta y estructurada conforme al RGPD/TDDDG. Todos los campos [marcados entre corchetes] son específicos del operador y deben rellenarse antes de la publicación (responsable, contacto, concreción de los encargados del tratamiento, garantías para terceros países, autoridad de control competente, fecha de versión). No sustituye una revisión jurídica individual; antes de activar la obligación de cuenta debe recibir la aprobación final. Esta es la traducción al español de la Datenschutzerklärung alemana, que es la versión de referencia.
Versión: [mes AAAA] · Esta política se aplica a la web-app HolaRuta (PWA instalable) en [holaruta.com / otros dominios].
El responsable del tratamiento de datos personales en el sentido del art. 4 n.º 7 del RGPD es:
[Nombre / Empresa]
[Calle, C.P. Ciudad, País]
Correo electrónico: [datenschutz@…]
Delegado/a de protección de datos (si se ha designado): [nombre, contacto – en caso contrario, eliminar esta línea].
HolaRuta está construida «local primero»: tu progreso de aprendizaje nace y vive en principio exclusivamente en tu navegador (almacenamiento local de tu dispositivo). Los datos personales solo salen de tu dispositivo, en esencia, cuando inicias sesión (entonces cuenta y sincronización en la nube, secciones 4–5), usas voluntariamente las funciones sociales (sección 6), dejas activa la estadística de uso anónima, que viene activada por defecto y puede desactivarse en cualquier momento con un clic (sección 8), o das tu consentimiento expreso para Google Analytics (sección 9 – sin tu consentimiento no se instala ninguna cookie para ello).
La app y sus interfaces de programación (API) se operan con nuestro proveedor de alojamiento [Vercel Inc.]. Al acceder se tratan datos de conexión técnicamente necesarios (en particular dirección IP, fecha/hora, recurso solicitado, código de estado, user-agent). Para prevenir abusos (limitación de frecuencia de los endpoints de inicio de sesión y sincronización) la dirección IP se evalúa brevemente.
Base jurídica: art. 6, apdo. 1, letra f del RGPD (interés legítimo en un funcionamiento seguro y estable y en la prevención de abusos).
Para usar las funciones con sesión iniciada creas una cuenta. Hay dos vías disponibles:
En tu perfil de cuenta se guardan: la dirección de correo electrónico, con Google además el nombre visible, así como un identificador técnico de sesión (token de inicio de sesión). Para proteger el proceso de inicio de sesión usamos un valor de seguridad único y de corta duración en el almacenamiento local de tu navegador (protección CSRF); se elimina al concluir el inicio de sesión.
Base jurídica: art. 6, apdo. 1, letra b del RGPD (prestación de la cuenta y de las funciones con sesión iniciada a petición tuya).
Para que tu progreso quede guardado y esté disponible en todos tus dispositivos, para las personas con sesión iniciada guardamos en la cuenta los siguientes datos de aprendizaje y los sincronizamos con el dispositivo: estado de aprendizaje de las tarjetas, tarjetas creadas por ti, favoritos, tareas suscritas, estadísticas de juego/aprendizaje (p. ej. XP, rachas) así como ajustes de la app y del perfil (entre otros, un nombre elegido por ti y una forma de tratamiento gramatical elegida para dirigirnos a ti correctamente). Sin sesión iniciada, estos datos permanecen exclusivamente en tu dispositivo.
El almacenamiento local (localStorage/IndexedDB) se usa para el funcionamiento básico y para guardar tu progreso; este acceso es estrictamente necesario para prestar el servicio que solicitas (§ 25, apdo. 2, n.º 2 de la ley alemana TDDDG) y no requiere consentimiento adicional. Sobre el almacenamiento local para la estadística de uso, véase la sección 8; allí puede desactivarse en cualquier momento.
Base jurídica: art. 6, apdo. 1, letra b del RGPD (contrato/uso del servicio); para el almacenamiento local, adicionalmente § 25, apdo. 2, n.º 2 TDDDG.
Si usas las funciones sociales voluntarias, puedes conectarte con otras personas mediante códigos de amistad y publicar una instantánea diaria. Puedes compartir el código de amistad como enlace de invitación o código QR; el enlace contiene el mismo código y solo surte efecto cuando la persona invitada acepta la invitación expresamente. Para el ranking entre tus amistades confirmadas se hacen visibles tu nombre visible y cifras agregadas (p. ej. tarjetas aprendidas, racha, repasos). Si no usas estas funciones, no se publica ningún dato de este tipo.
Base jurídica: art. 6, apdo. 1, letra b del RGPD (función prestada a petición tuya); la participación es voluntaria y configurable en cualquier momento.
En ediciones proporcionadas específicamente para ello, el profesorado puede gestionar clases y tareas (p. ej. códigos de clase, asignación de tareas, estados de realización). En ese caso tratamos los datos correspondientes por encargo de la institución respectiva. [Si procede: encargo del tratamiento conforme al art. 28 del RGPD con la institución; en caso contrario, eliminar esta sección.]
Para mejorar el producto y diagnosticar errores enviamos una estadística diaria anónima y agregada, así como un flujo de datos de interacción seudonimizado. Esta estadística está activada por defecto y puede desactivarse en la app en cualquier momento con un clic (Ajustes → Compartir estadística de uso → Desactivado). Desde el momento de la desactivación, ningún dato estadístico vuelve a salir de tu dispositivo; el identificador seudónimo y el búfer local se eliminan al hacerlo. No se transmiten textos de búsqueda, contenidos/IDs de tarjetas ni nombres; además, el identificador estadístico seudónimo puede restablecerse en cualquier momento. Conservación de los datos de eventos: [90 días].
Base jurídica: art. 6, apdo. 1, letra f del RGPD (interés legítimo en la mejora y el correcto funcionamiento de la app). Puedes oponerte a este tratamiento en cualquier momento con efecto futuro (art. 21 del RGPD): basta el interruptor en la app. [Revisión jurídica necesaria: es controvertido si guardar el identificador estadístico seudónimo en el almacenamiento local sin consentimiento es lícito según § 25, apdo. 2, n.º 2 TDDDG. Aclarar con asesoría legal antes del lanzamiento; de lo contrario, volver al consentimiento (art. 6, apdo. 1, letra a del RGPD, § 25, apdo. 1 TDDDG) o dejar de persistir el identificador.]
Además de la estadística de uso anónima, utilizamos Google Analytics
(a través de Google Tag Manager) para entender mejor los canales de marketing y el embudo de
registro/aprendizaje. A diferencia de la estadística anónima, esto no está activado
por defecto: en tu primera visita mostramos un aviso de consentimiento (Aceptar/
Rechazar). Sin tu consentimiento expreso no se instalan cookies de Google
Analytics ni se transmiten datos de uso a Google. El navegador tampoco carga Google Tag
Manager desde Google antes de que aceptes (Consent Mode v2 básico). Solo al pulsar
„Aceptar" se carga el gestor de etiquetas, se instalan cookies y se transmiten eventos (p. ej.
vistas de página, registro, unidades de aprendizaje completadas) a Google Analytics. Puedes
revocar tu decisión en cualquier momento en los ajustes (Ajustes → Google Analytics →
Desactivado). Al retirarlo, se eliminan las cookies _ga,
_ga_* y _gid y se detienen los eventos posteriores.
Base jurídica: Art. 6.1.a RGPD (consentimiento). El consentimiento es voluntario y revocable en cualquier momento con efecto para el futuro (Art. 7.3 RGPD).
Algunos contenidos de aprendizaje incorporan imágenes de Wikimedia
(upload.wikimedia.org, commons.wikimedia.org). Al cargar estas imágenes
se transmite tu dirección IP a la Wikimedia Foundation. En el funcionamiento normal no se
producen otras conexiones externas.
Base jurídica: art. 6, apdo. 1, letra f del RGPD (interés legítimo en mostrar imágenes adecuadas de fuentes abiertas).
Utilizamos proveedores de servicios cuidadosamente seleccionados con los que — en la medida necesaria — existen contratos de encargo del tratamiento conforme al art. 28 del RGPD:
| Destinatario | Finalidad | Categorías de datos |
|---|---|---|
| [Supabase Inc.] | Cuenta, autenticación, base de datos y sincronización en la nube (región UE) | Correo, nombre visible, sesión, datos de aprendizaje/perfil |
| [Vercel Inc.] | Alojamiento de la app y la API, entrega, registros del servidor | Datos de conexión/registro, IP |
| Google [Ireland Ltd./LLC] | Inicio de sesión con Google (OAuth) | Correo, nombre visible |
| Google Ireland Limited (Google Analytics) | Medición de alcance/embudo, SOLO con consentimiento (sección 9) | Datos seudónimos de uso/eventos; dirección IP durante la transmisión y ubicación aproximada, descartada después según Google |
| [servicio de envío de correo, p. ej. Resend] | Envío de los códigos de inicio de sesión/enlaces mágicos | Dirección de correo electrónico |
| Wikimedia Foundation | Entrega de las imágenes culturales incorporadas | Dirección IP (responsable independiente) |
No se ceden datos con fines publicitarios ni se venden datos.
Algunos proveedores están establecidos o tratan datos en países fuera de la UE/del EEE (en particular EE. UU.). En la medida en que se transfieran datos personales a un tercer país, nos basamos en garantías adecuadas conforme a los arts. 44 y ss. del RGPD — en particular el EU-US Data Privacy Framework (si el destinatario está certificado) y/o las cláusulas contractuales tipo de la Comisión Europea (art. 46, apdo. 2, letra c del RGPD). [Completar la garantía concreta por proveedor; copia/justificante a petición.]
Conforme al RGPD te asisten los siguientes derechos: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) así como oposición a los tratamientos basados en intereses legítimos (art. 21). Puedes retirar un consentimiento otorgado en cualquier momento con efecto futuro (art. 7, apdo. 3).
Especialmente cómodo: puedes eliminar tu cuenta directamente en la app, junto con todos los datos asociados, y también exportar allí tus datos. Para cualquier otra consulta puedes escribirnos a [datenschutz@…].
Sin perjuicio de otros recursos, tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD), en particular en el Estado miembro de tu residencia habitual o del presunto incumplimiento. Autoridad competente para nosotros: [autoridad de control competente según la sede del responsable].
No se realizan decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos o similares significativos en el sentido del art. 22 del RGPD.
Adaptaremos esta política de privacidad cuando cambien los tratamientos o el marco legal. Se aplica la versión publicada aquí en cada momento; los cambios sustanciales se anunciarán en la app.