Política de privacidad

El responsable del tratamiento de los datos personales relacionados con moinaki es:

GradeBuilder SL

C. Coronel Ivorra Ruiz 7, 1, 30720 San Javier, Murcia, España

Email: org@gradebuilder.tech

Contacto de privacidad: privacy@moinaki.life

Teléfono: +34 622 448 805

No hemos designado un Delegado de Protección de Datos (DPD) porque no superamos los umbrales obligatorios del artículo 37 RGPD. El contacto anterior es el punto único de comunicación en materia de protección de datos.

Recopilamos o generamos las siguientes categorías de datos personales:

(a) Datos de cuenta. Email, email normalizado (en minúsculas, sin puntos ni signo más para Gmail), nombre mostrado, opcionalmente nombre completo (para certificados), opcionalmente apodo, opcionalmente URL de avatar, contraseña (almacenada solo como hash bcrypt con factor de coste 12), idioma preferido, rol.

(b) Datos de perfil y onboarding. Intereses declarados, objetivos, perfil TDAH (tus patrones de foco y energía declarados, opcional), check-ins de ánimo y energía (chips de un toque), horario laboral preferido.

(c) Actividad de aprendizaje. Inscripciones, lecciones completadas, intentos y respuestas en cuestionarios, puntuaciones de dominio (calculadas mediante Bayesian Knowledge Tracing), XP, rachas, insignias, certificados.

(d) Datos de interacción con el mentor de IA (Lem). El texto completo de los mensajes que escribes a Lem y sus respuestas; «nodos de memoria» estructurados que el sistema extrae de las conversaciones para que Lem recuerde contexto entre sesiones (por ejemplo: un objetivo que mencionaste, un tema que te aburrió, una fecha de examen que citaste). Estos nodos están vinculados a tu cuenta y se pueden revisar o eliminar en /dashboard/mentor/memory.

(e) Datos del planificador y captura. Objetivos que creas, tareas que añades, notas de brain-dump del botón «catch a thought» y las clasificaciones generadas por IA (tarea / objetivo / nota).

(f) Datos de pago. NO almacenamos números de tarjeta, CVV ni números de cuenta. Stripe (nuestro procesador) nos da un customer ID y un subscription ID; guardamos esos identificadores, el plan elegido, las fechas de inicio y fin de la prueba y el estado de cualquier código promocional usado (p. ej. PROMO, PRODUCTHUNT).

(g) Datos de uso y técnicos. IP, user-agent, idioma y zona horaria aproximados, marcas de tiempo de inicio de sesión, identificadores de sesión, metadatos de los tokens de refresco. Los registros del servidor pueden mantener la IP en bruto hasta 30 días por motivos de seguridad; después, se elimina o agrega.

(h) Datos de analítica. Si no has rechazado en el banner, registramos páginas vistas anonimizadas y eventos agregados mediante Google Analytics 4 con anonimización de IP, sin Google Signals y sin personalización publicitaria.

(i) Datos de comunicación. Mensajes enviados a support@moinaki.life, comentarios enviados desde el formulario de feedback de la app y metadatos de los emails que te enviamos (entrega, rebote; el seguimiento de apertura solo se activa si lo habilitas explícitamente).

No recopilamos a sabiendas categorías especiales del artículo 9 RGPD (salud, biometría, origen étnico, etc.). Si decides revelar tal información en un chat con Lem, se tratará bajo los mismos términos que el resto de datos del mentor — puedes eliminarla en /dashboard/mentor/memory en cualquier momento.

Todos tus datos personales en nuestro poder provienen de una de tres fuentes:

(a) Directamente de ti, al registrarte, completar el onboarding, hacer lecciones, mensajear a Lem, capturar pensamientos o contactar con soporte.

(b) Generados automáticamente por la plataforma según la usas (por ejemplo, dominio calculado a partir de tus respuestas, nodos de memoria extraídos de tus chats con Lem).

(c) De nuestro procesador de pagos (Stripe) cuando inicias, cancelas o modificas una suscripción.

No compramos datos personales, no los extraemos de fuentes externas, no aceptamos listas de marketing.

Tratamos cada categoría con una o más de las finalidades siguientes, sobre las bases legales indicadas:

(a) Ejecución del contrato (art. 6(1)(b) RGPD) — el contrato son nuestros Términos de Servicio, que aceptas al registrarte. Cubre: mantener tu cuenta, prestar cursos y lecciones, ejecutar Lem, seguir el progreso, emitir certificados, procesar pagos, enviar emails transaccionales (verificación, restablecimiento, recibos).

(b) Intereses legítimos (art. 6(1)(f) RGPD) — cubre: analítica agregada con IP anonimizada, detección de fraude, prevención de abuso, monitoreo de seguridad, registro de errores, observabilidad de la infraestructura. Hemos hecho un test de equilibrio interno; si te opones, ver Sección 8.

(c) Consentimiento (art. 6(1)(a) RGPD) — cubre cookies no esenciales y analítica, emails de marketing (no enviamos por defecto) y futuras funciones explícitamente sujetas a un toggle de consentimiento. El consentimiento se puede retirar en cualquier momento sin afectar al tratamiento previo.

(d) Obligación legal (art. 6(1)(c) RGPD) — conservación de registros de pago y fiscales según la ley contable española (actualmente 6 años, Ley 58/2003 General Tributaria, artículo 70).

No tomamos decisiones automatizadas con efectos jurídicos o significativamente similares sobre ti. Lem adapta sus respuestas a tus entradas, pero no toma decisiones que te vinculen fuera de la plataforma.

Compartimos datos personales con las siguientes categorías de encargados externos. Cada uno está vinculado por un contrato escrito de tratamiento (art. 28 RGPD) y solo puede tratar tus datos según nuestras instrucciones documentadas.

(a) DeepSeek (杭州深度求索人工智能基础技术研究有限公司, China). Recibe el texto de tus mensajes a Lem y el contexto estructurado que el sistema arma para cada turno (tu nombre mostrado, idioma, contenido de los nodos de memoria relevantes y la lección o página en la que estás). DeepSeek lo procesa para generar la respuesta de Lem. Usamos DeepSeek como modelo principal del mentor por calidad y coste. DeepSeek tiene su sede en China continental, país que no cuenta con decisión de adecuación de la Comisión Europea; ver Sección 6 sobre la transferencia internacional (Capítulo V).

(b) OpenAI, L.L.C. (Estados Unidos). Recibe prompts cortos para tareas estructuradas concretas: clasificación del intent de tus mensajes, extracción de nodos de memoria, resúmenes self-narrative semanales y ciertos pasos de generación de cursos. Por defecto NO enviamos turnos completos del mentor a OpenAI. OpenAI declara contractualmente no entrenar sus modelos con datos enviados por API.

(c) Mistral AI (Francia). Fallback opcional para estudiantes de la UE si se solicita procesamiento solo en la UE. Mismo alcance que OpenAI.

(d) Stripe Payments Europe, Limited (Irlanda) y Stripe, Inc. (EE. UU.). Procesa pagos. Stripe recibe email, país de facturación, IP, plan elegido y datos de tarjeta que introduces en su página de checkout (no vemos números de tarjeta).

(e) Resend (Resend Inc., EE. UU.) o un proveedor SMTP equivalente. Envía emails transaccionales (verificación, restablecimiento, recibos, notificaciones opcionales si las activaste).

(f) Railway Corp. (EE. UU.) — la base de datos y la aplicación corren en la región UE «europe-west4» (Frankfurt). Hosting, Postgres gestionado, Redis gestionado.

(g) Cloudflare R2 (Cloudflare, Inc., EE. UU., región UE). Guarda archivos subidos por usuarios (avatares) e ilustraciones de lecciones generadas por IA.

(h) Sentry (Functional Software, Inc., EE. UU., región UE). Recibe trazas de errores. Configuramos Sentry para redactar campos PII obvios (email, contraseña, texto de mensajes) antes del envío, pero metadatos operativos (URLs, códigos de estado, a veces user IDs) sí van.

(i) Google Analytics 4 (Google Ireland Limited). Si aceptaste cookies analíticas, enviamos páginas vistas y eventos anonimizados con IP anonimizada, Google Signals desactivado y personalización publicitaria desactivada.

(j) GitHub, Inc. (EE. UU.) y Sentry. Como equipo de ingeniería podemos acceder temporalmente a logs y trazas de Sentry para depurar — esto puede incluir incidentalmente IDs de usuario sin identificadores. El acceso de ingeniería se registra.

No compartimos datos personales con anunciantes, brokers de datos ni agregadores de marketing. No vendemos datos personales. La lista anterior es exhaustiva a la fecha de «última actualización»; cualquier adición se notificará con antelación y la Política se actualizará.

Algunos encargados de la Sección 5 están establecidos fuera del Espacio Económico Europeo (EEE). Las transferencias y las garantías son:

Estados Unidos (OpenAI, Stripe, Resend, Railway, Cloudflare R2, Sentry, Google LLC). Las transferencias se basan en la decisión de adecuación de la Comisión Europea sobre el EU–U.S. Data Privacy Framework (EU–U.S. DPF) cuando el destinatario está certificado, y en Cláusulas Contractuales Tipo (SCC, Decisión de Ejecución (UE) 2021/914) complementadas por una evaluación de impacto de la transferencia (TIA) cuando no lo está. Copias de las SCC disponibles a petición.

China continental (DeepSeek). China NO está cubierta por una decisión de adecuación y no cuenta con un régimen equivalente al RGPD. Las transferencias a DeepSeek se basan en SCC firmadas con el procesador, complementadas por medidas contractuales adicionales (separación lógica, compromiso de no entrenamiento, regla de contenido mínimo necesario). Reconocemos que, pese a esas garantías contractuales, el nivel de protección en China puede no ser equivalente al del RGPD. Al usar la función de mentor IA («Lem»), nos prestas tu consentimiento informado específico, conforme al artículo 49(1)(a) RGPD, para esta transferencia. Si no deseas que tus mensajes al mentor sean tratados por DeepSeek, puedes desactivar la función desde tus ajustes y la cuenta seguirá funcionando (reproducción de cursos, seguimiento de progreso, planificador) sin tutor de IA. Cuando el toggle correspondiente esté disponible, podrás solicitar el cambio a Mistral (solo UE).

Reino Unido — adecuado conforme a la normativa británica de adecuación.

Realizamos una evaluación de impacto de la transferencia (TIA) por cada encargado fuera del EEE antes de incorporarlo. Las TIA no se publican, pero se puede solicitar un resumen.

Conservamos los datos personales solo durante el tiempo necesario para los fines del tratamiento:

(a) Datos de cuenta, perfil, aprendizaje y mentor — mientras tu cuenta esté activa. «Activa» significa que has iniciado sesión en los últimos 24 meses O tienes una suscripción activa. Después la cuenta queda como inactiva, recibes un email de reconfirmación; sin respuesta, se anonimiza en 6 meses.

(b) Nodos de memoria del mentor — indefinidamente mientras la cuenta esté activa, sometidos a un decaimiento interno de relevancia: las memorias no consultadas hace tiempo se ponderan a la baja; el texto en bruto no se borra solo por el decaimiento. Puedes eliminar memorias sueltas o borrar toda la memoria del mentor en /dashboard/mentor/memory.

(c) Copias de seguridad — copias cifradas de la base de datos hasta 90 días, luego rotadas. Una solicitud de eliminación se propaga por las copias en hasta 90 días.

(d) Logs del servidor con IP y user-agent — hasta 30 días por motivos de seguridad, luego se eliminan o agregan.

(e) Registros de pago — 6 años desde el cierre del ejercicio fiscal, según la Ley 58/2003 General Tributaria, art. 70. Después se eliminan o anonimizan.

(f) Logs de email (entrega, rebote) — hasta 90 días en el proveedor SMTP.

(g) Datos de analítica — Google Analytics 4 con la retención por defecto de 14 meses.

(h) Cuentas eliminadas — al ejercer el derecho de supresión (Sección 8), eliminamos en cascada: tokens de refresco, sesiones, conversaciones del mentor, mensajes del mentor, nodos de memoria, objetivos y tareas del planificador, bandeja de capturas, check-ins de ánimo, progreso de lecciones, inscripciones, XP, insignias, el propio registro de usuario. La cascada está configurada en Prisma con `onDelete: Cascade`; auditamos trimestralmente. Eliminación completa en 30 días; las copias caducan en hasta 90 días más.

Conforme a los artículos 15–22 RGPD tienes los siguientes derechos:

(a) Derecho de acceso (art. 15) — obtener copia de todos los datos personales que tenemos. Usa /dashboard/privacy → «Exportar mis datos» o escribe a privacy@moinaki.life.

(b) Derecho de rectificación (art. 16) — corregir datos inexactos o incompletos. La mayoría son editables en /dashboard/settings; el resto, por email.

(c) Derecho de supresión / «derecho al olvido» (art. 17) — eliminar la cuenta y los datos en cascada (Sección 7). Usa /dashboard/privacy → «Eliminar cuenta» o escribe. Algún plazo de retención puede continuar según ley (ver Sección 7(e)).

(d) Derecho a la limitación (art. 18) — pedirnos detener parte del tratamiento mientras se resuelve una disputa. Escríbenos con detalle.

(e) Derecho a la portabilidad (art. 20) — recibir tus datos en formato estructurado, de uso común y legible por máquina. La exportación de /dashboard/privacy devuelve JSON.

(f) Derecho de oposición (art. 21) — oponerte al tratamiento basado en interés legítimo (Sección 4(b)). Reevaluaremos y, salvo motivos imperiosos, lo detendremos.

(g) Derecho a retirar el consentimiento (art. 7(3)) — para tratamientos basados en consentimiento (Sección 4(c)). La retirada no afecta al tratamiento previo.

(h) Derechos relacionados con decisiones automatizadas (art. 22) — no tomamos tales decisiones (ver final de la Sección 4).

(i) Derecho a presentar una reclamación ante una autoridad de control. La autoridad española es la Agencia Española de Protección de Datos (AEPD) — C/Jorge Juan, 6, 28001 Madrid; +34 901 100 099; https://www.aepd.es. También puedes reclamar ante la autoridad de tu país de residencia.

Respondemos en 30 días. Podemos extender hasta 60 días más en casos complejos (avisaremos en los primeros 30). Podemos cobrar tasa razonable o denegar las solicitudes manifiestamente infundadas o excesivas; explicaremos por qué.

Usamos un conjunto mínimo de cookies y almacenamiento similar:

(a) Estrictamente necesarias (sin consentimiento): cookie httpOnly `refreshToken` para mantener la sesión, cookie `session` que lee el middleware de borde, cookie `NEXT_LOCALE` para recordar tu idioma, token CSRF anti-falsificación en flujos OAuth. No se pueden desactivar sin romper el servicio.

(b) Analítica (con consentimiento): cookies de Google Analytics (`_ga`, `_ga_*`) si aceptas en el banner. Configuradas con IP anonimizada, sin Google Signals, sin personalización publicitaria. Retira el consentimiento desde el enlace del banner en el pie.

No usamos cookies publicitarias, píxeles de retargeting ni píxeles de redes sociales. Lista completa y TTL en /legal/cookies.

Implementamos medidas técnicas y organizativas apropiadas (art. 32 RGPD), incluyendo:

(a) HTTPS-only, HSTS, cookies seguras, SameSite=strict en el refresh token, secretos de firma separados para tokens de acceso y refresco, rotación de tokens con invalidación frente a ataques de repetición.

(b) Hash de contraseñas con bcrypt (factor 12), sin contraseñas en texto plano en ninguna parte.

(c) Base de datos en reposo cifrada por Railway. Copias cifradas.

(d) Privilegios mínimos — los accesos de ingeniería a datos en producción se registran; no se permite SQL analítico sobre filas con datos personales.

(e) Limitación de tasa en endpoints de autenticación, bloqueos por intentos repetidos.

(f) Divulgación de vulnerabilidades: security@moinaki.life. No tenemos un programa de bug bounty pagado.

(g) Notificación de brechas: avisaremos a la AEPD en 72 horas tras conocerla (art. 33), y a los usuarios afectados sin demora indebida cuando exista alto riesgo para sus derechos y libertades (art. 34).

moinaki está pensada para adultos (18+). No recopilamos a sabiendas datos personales de menores de 16 años en el EEE ni de menores de 13 en jurisdicciones con ese mínimo. Si crees que un menor nos ha facilitado datos, escribe a privacy@moinaki.life y eliminaremos la cuenta.

Podemos actualizar la Política puntualmente. La fecha de «última actualización» refleja el último cambio.

Para cambios sustantivos —añadir un encargado, cambiar una base jurídica, ampliar las categorías de datos, alargar plazos— avisaremos al menos 30 días antes por email y banner. Continuar usando moinaki tras la fecha de entrada en vigor implica aceptar la nueva Política. Si no la aceptas, puedes eliminar la cuenta antes.

No mantenemos un archivo público de versiones anteriores, pero la versión previa se entrega a petición a privacy@moinaki.life.

Dudas o inquietudes: privacy@moinaki.life. Dirección postal: Sección 1.

Si nuestra respuesta no te satisface, puedes reclamar ante la Agencia Española de Protección de Datos — C/Jorge Juan, 6, 28001 Madrid; +34 901 100 099; sedeagpd.gob.es — o ante la autoridad de control de tu país.

Plataforma de resolución de litigios en línea de la UE (cuestiones contractuales): https://ec.europa.eu/consumers/odr/