Política de Privacidad

1. Responsable del Tratamiento

SimpleRead es el responsable del tratamiento encargado de procesar tus datos personales conforme a esta Política de Privacidad.

• SimpleRead (simpleread.foundation)
• Contacto: contact@simpleread.foundation

2. Datos Personales que Recopilamos

Recopilamos las siguientes categorías de datos personales:

• Datos de identidad: nombre completo, dirección de correo electrónico, foto de perfil
• Datos de autenticación: contraseña cifrada (hash), tokens de OAuth (al usar el inicio de sesión con Google)
• Datos educativos: inscripciones en aulas, materiales de lectura asignados, rol (estudiante/profesor)
• Preferencias: configuración de accesibilidad visual y de lectura
• Datos técnicos: tokens de sesión, dirección IP, tipo de navegador, a través de nuestro proveedor de hosting
• Datos de uso: visitas y interacciones con páginas (solo con tu consentimiento para analítica)
• Datos de contacto (opcional): el número de WhatsApp de un tutor, recopilado solo si decides recibir informes semanales de lectura, y verificado con un código de un solo uso
• Datos de pago (solo Brasil, del tutor que paga): una identificación fiscal brasileña (CPF), recopilada solo cuando un tutor facturado en Brasil elige pagar por Pix, porque su banco requiere identificar al titular de la cuenta para autorizar el cargo recurrente; pagar con tarjeta no lo requiere, y esto no aplica a la facturación en la UE, que aún no está disponible
• Fotos enviadas desde el móvil (opcional): si usas el código QR en la pantalla de envío de fotos, las fotos tomadas con el móvil pasan temporalmente por nuestro almacenamiento y se borran en los plazos descritos en la sección 15

3. Base Legal para el Tratamiento

Tratamos tus datos personales conforme a las siguientes bases legales (GDPR Artículo 6 / LGPD Artículo 7):

• Ejecución del contrato (Art. 6(1)(b)): tratamiento necesario para prestar los servicios de la plataforma educativa a la que te suscribiste
• Consentimiento (Art. 6(1)(a)): cookies y seguimiento de analítica (Microsoft Clarity, Vercel Analytics) - solo si aceptas en el aviso de cookies
• Obligación legal (Art. 6(1)(c)): conservación de datos exigida por la legislación aplicable
• Interés legítimo (Art. 6(1)(f)): seguridad de la plataforma, prevención de fraude y mejora del servicio

4. Cómo Usamos tus Datos

Usamos tus datos para:

• Proveer, operar y mantener la plataforma educativa
• Autenticar usuarios y gestionar sesiones
• Enviar correos transaccionales (verificación de correo, notificaciones de exámenes)
• Personalizar la experiencia de lectura según tus preferencias de accesibilidad
• Analizar el uso y el rendimiento de la plataforma (solo con consentimiento de analítica)

5. Encargados del Tratamiento (Terceros)

Compartimos datos con los siguientes subencargados para operar la plataforma. Todos los encargados están vinculados por acuerdos de tratamiento de datos (DPA):

Los servicios de analítica (Vercel Analytics y Microsoft Clarity) solo se cargan después de que aceptes explícitamente las cookies de analítica.

6. Cookies y Almacenamiento Local

Usamos tecnologías mínimas de almacenamiento local:

• Necesarias: cookies de autenticación de sesión (necesarias para que funcione el inicio de sesión)
• Necesarias: preferencia de inicio de sesión (clave de localStorage 'simpleread_remember') - almacena si seleccionaste 'Recordarme'
• Analítica (opt-in): cookies de Microsoft Clarity y Vercel Analytics - solo se establecen después de que aceptes en el aviso de consentimiento de cookies
• Necesarias: borradores de captura de fotos (base de datos IndexedDB 'simpleread-photo-drafts') - las fotos de una captura en curso se guardan en tu dispositivo para que la captura no se pierda, nunca se envían a ningún sitio hasta que confirmes el envío, se borran una vez enviadas, y se descartan automáticamente después de 7 días si se abandonan

Puedes gestionar tus preferencias de cookies en cualquier momento usando el aviso de cookies o la configuración de tu navegador.

7. Conservación de Datos

Conservamos los datos personales durante los siguientes períodos:

• Datos de la cuenta: se conservan mientras tu cuenta esté activa; se eliminan dentro de los 30 días posteriores a la solicitud de eliminación de la cuenta
• Tokens de sesión: caducan tras 30 días de inactividad o cuando cierras sesión
• Códigos de verificación por correo: caducan automáticamente tras 15 minutos
• Datos de analítica: según la configuración del proveedor de analítica (Microsoft Clarity, por defecto: 12 meses)
• Fotos enviadas desde el móvil por código QR: se borran en cuanto el ordenador las recibe; si eso no ocurre, el enlace caduca tras 15 minutos sin fotos nuevas o 60 minutos en total, y una rutina de limpieza cada hora borra lo que quedó (sección 15)

8. Datos de Analítica de Aprendizaje

Recopilamos datos de interacción de aprendizaje para mejorar la experiencia educativa. Estos datos se recopilan solo para estudiantes y solo cuando se ha otorgado el consentimiento de analítica.

Datos que recopilamos:

• Duración de la sesión de lectura
• Patrones de navegación por páginas
• Búsquedas de palabras en el diccionario
• Uso de reproducción de audio
• Progreso de finalización de texto
• Preferencias de lectura usadas

Propósito:

Mejorar los resultados educativos, ayudar a los profesores a identificar estudiantes que necesitan apoyo, y ofrecer información de lectura personalizada.

Base legal: Consentimiento (consentimiento de analítica mediante el aviso de cookies) e Interés educativo legítimo (GDPR Art. 6(1)(f) / LGPD Art. 7, IX).

Conservación: los datos de analítica de aprendizaje se conservan durante la duración de la inscripción del estudiante más 1 año.

Protecciones para menores: para estudiantes menores de 12 años (LGPD Art. 14), se requiere el consentimiento parental antes de recopilar datos de analítica de aprendizaje.

Solo se rastrea el comportamiento del estudiante. Los profesores y administradores no están sujetos a monitoreo de comportamiento.

Los estudiantes pueden desactivar la analítica de aprendizaje en cualquier momento mediante la configuración de consentimiento de cookies. Desactivar la analítica no afecta el acceso a la plataforma.

8. Tus Derechos

Conforme al GDPR y la LGPD, tienes los siguientes derechos respecto a tus datos personales:

• Derecho de Confirmación del Tratamiento (Art. 15 GDPR) — Confirmar si procesamos tus datos personales. Contacta a nuestro DPO en contact@simpleread.foundation.
• Derecho de Acceso (Art. 15 GDPR) — Solicitar una copia de todos los datos personales que tenemos sobre ti. Usa la función 'Exportar mis datos' en la configuración de tu perfil.
• Derecho de Rectificación (Art. 16 GDPR) — Corregir datos personales inexactos. Actualiza tu nombre y foto de perfil directamente en la configuración de tu perfil.
• Derecho de Supresión (Art. 17 GDPR) — Solicitar la eliminación de tu cuenta y datos personales usando la opción 'Eliminar cuenta' en la configuración de tu perfil.
• Derecho a la Portabilidad de Datos (Art. 20 GDPR) — Recibir tus datos personales en un formato estructurado y legible por máquina. Usa 'Exportar mis datos' en la configuración de tu perfil.
• Derecho de Supresión de Datos Basados en Consentimiento (Art. 17 GDPR) — Si retiras el consentimiento de analítica, la recopilación de datos por Microsoft Clarity y Vercel Analytics se detiene de inmediato. Revócalo en Perfil > Privacidad y Datos > Cookies.
• Derecho a Conocer los Destinatarios (Art. 15.1.c GDPR) — Consulta la Sección 5 de esta política ('Encargados del Tratamiento') para ver la lista completa de organizaciones con las que se comparten tus datos.
• Derecho de Oposición al Tratamiento (Art. 21 GDPR) — El consentimiento de analítica es opcional - la plataforma funciona sin él. También puedes oponerte al tratamiento por interés legítimo contactando a nuestro DPO.
• Derecho a Retirar el Consentimiento (Art. 7.3 GDPR) — Retira el consentimiento de analítica en cualquier momento en Perfil > Privacidad y Datos, o mediante el aviso de cookies. La retirada no afecta al tratamiento lícito previo.

Para ejercer tus derechos, contáctanos en contact@simpleread.foundation. Responderemos dentro de 30 días. También tienes derecho a presentar una reclamación ante tu autoridad local de protección de datos (Reino Unido: ICO; Alemania: BfDI; Francia: CNIL; Italia: Garante).

9. Datos de Menores

SimpleRead es una plataforma educativa usada en entornos escolares y puede procesar datos de usuarios menores de 18 años. Los estudiantes son inscritos por su escuela o profesor. Si eres padre, madre o tutor y crees que se han recopilado los datos de tu hijo/a sin el consentimiento adecuado, contáctanos de inmediato en contact@simpleread.foundation.

10. Seguridad

Implementamos medidas técnicas y organizativas apropiadas para proteger tus datos personales, incluyendo el cifrado de contraseñas (bcrypt), cifrado HTTPS en tránsito, caducidad de tokens de sesión y controles de acceso. Ningún sistema es completamente seguro; en caso de una brecha de datos que afecte tus derechos, te notificaremos a ti y a las autoridades pertinentes según lo exija la ley.

11. Transferencias Internacionales de Datos

Algunos de nuestros encargados del tratamiento están ubicados en EE. UU. Las transferencias fuera del EEE están protegidas por Cláusulas Contractuales Tipo (SCC) o garantías equivalentes proporcionadas por cada encargado. Para más detalles, consulta la política de privacidad de cada proveedor. Excepción: la entrega de informes por WhatsApp descrita en la tabla de la Sección 5 no está cubierta por cláusulas contractuales con Meta; se basa en el consentimiento explícito del tutor, otorgado también en nombre del menor, como excepción de transferencia (GDPR Art. 49(1)(a)).

12. Cambios en esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Los cambios materiales se comunicarán por correo electrónico o mediante un aviso destacado en nuestra plataforma. La fecha en la parte superior de esta página siempre refleja la versión más reciente.

13. Datos de Pago (Suscripción)

Para las suscripciones facturadas en Brasil, procesamos los siguientes datos adicionales. Esta sección no aplica a la facturación en la UE, que aún no está disponible.

CPF: recopilamos una identificación fiscal brasileña (CPF) solo del tutor que paga la suscripción, y solo cuando elige pagar por Pix. Esto es necesario porque el propio banco del pagador necesita identificar al titular de la cuenta para autorizar el cargo recurrente - sin esto, los pagos automáticos por Pix no pueden funcionar. A los tutores que pagan con tarjeta nunca se les pide un CPF. Nunca pedimos un CPF a un menor, a un dependiente, ni a un usuario de una escuela.

Base legal: ejecución de un contrato (LGPD Art. 7 V) - identificar al pagador forma parte del cumplimiento de la suscripción - y obligación legal (LGPD Art. 7 II), por las reglas de identificación de Pix y las propias obligaciones fiscales de la fundación. No nos basamos en el consentimiento para esto: el consentimiento debe ser libremente revocable, y un pagador no puede revocar su CPF y seguir pagando por Pix.

Qué hacemos con el CPF: se envía a Asaas, nuestro procesador de pagos brasileño, para crear el registro de cliente del pagador. No almacenamos el CPF en nuestra propia base de datos - conservamos solo el identificador de cliente que devuelve Asaas, que es suficiente para todas las operaciones que necesitamos.

Los datos de la tarjeta de crédito nunca pasan por nuestros sistemas: los pagos con tarjeta ocurren en una página alojada por el propio Asaas. Para que no tengas que escribirlos de nuevo, enviamos a esa página el nombre y el correo electrónico de tu cuenta; nunca tu CPF ni tu teléfono.

14. Acceso Asistido: cuándo el soporte entra en tu cuenta

En algunos casos, alguien de nuestro equipo puede entrar temporalmente en tu cuenta para ayudarte a resolver un problema — sin que tengas que darnos tu contraseña. A esto lo llamamos Acceso Asistido. Esta sección explica cuándo ocurre, qué puede y qué no puede hacer esa persona, y cómo queda registrado.

Quién puede hacerlo, y en qué cuentas

• Solo un administrador de SimpleRead puede abrir una sesión de Acceso Asistido. Ningún otro profesor, coordinador o tutor puede entrar en tu cuenta de esta forma.
• Esto solo es posible en cuentas de profesor, coordinador o tutor. Las cuentas de estudiante y de dependiente (el perfil de un niño dentro de una familia) están fuera del alcance de esta fase: todavía no contamos con la base legal específica que exige el GDPR (Art. 8) para este tipo de soporte en la propia cuenta de un menor. Esa decisión está en manos de nuestro DPO y queda registrada como pendiente antes de extender la función a esas cuentas.
• Un administrador no puede abrir una sesión en la cuenta de otro administrador, y una sesión asistida nunca puede abrir otra desde dentro de sí misma.

Cuánto dura

Cada sesión dura como máximo 1 hora y expira por sí sola, incluso si nadie la termina antes. Un administrador solo puede tener una sesión asistida abierta a la vez.

Cómo sabes que está ocurriendo

Cuando se abre una sesión en tu cuenta, recibes un correo que te avisa de que ocurrió, cuándo, y cómo contactarnos — sin el motivo interno y sin el nombre de quien la abrió. Mientras la sesión está activa, aparece una barra fija en la parte superior de toda la pantalla de quien usa el acceso, recordándole que esa es la cuenta de otra persona, con un botón para terminarla en cualquier momento.

Qué sigue bloqueado, incluso durante el Acceso Asistido

Quien te está ayudando no puede: cambiar tu contraseña, tocar tus cuentas vinculadas (como el inicio de sesión de Google), eliminar tu cuenta, tocar tu suscripción o pago, cambiar ningún consentimiento de privacidad — ni el tuyo, ni el de un hijo o dependiente —, restablecer el PIN de un niño, añadir o quitar personas de tu familia, registrar o cambiar tu teléfono y WhatsApp, empezar a recibir tus notificaciones en su navegador, ni descargar todos tus datos. Cualquier intento de hacer algo de esto es rechazado automáticamente por el sistema.

Fuera de esa lista, la persona ve y hace lo que tu propia cuenta ya ve y hace — por ejemplo, si eres profesor, ve las aulas y los estudiantes que ya ves tú; si eres tutor, ve los datos de tu hijo que ya ves tú. El Acceso Asistido no amplía lo que es visible: toma prestada, por hasta 1 hora, la vista que tu propia cuenta ya tiene.

Qué queda registrado

Cada apertura y cada cierre de una sesión asistida queda registrado: qué administrador, qué cuenta fue accedida, el motivo que escribió, la hora, la dirección IP y el navegador usado. Cualquier acción que cambie datos durante la sesión también se registra.

Ver una pantalla también queda registrado, de forma resumida: como máximo una línea cada 5 minutos por cada página o consulta accedida durante la sesión — el registro dice qué se accedió, no el contenido que apareció. Y el registro de que una sesión fue abierta, por quién y por cuánto tiempo, siempre existe, y eso es lo que responde "quién entró en mi cuenta, y cuándo".

Hoy, este registro lo lee nuestro equipo interno — administradores y auditores. Si quieres saber si tu cuenta fue accedida así, y cuándo, además del correo que recibes, pídeselo directamente a nuestro DPO: contact@simpleread.foundation.

Base legal: procesamos este registro como parte de la ejecución del servicio al que te suscribiste (Art. 6(1)(b)) y de nuestro interés legítimo en mantener segura la plataforma (Art. 6(1)(f)).

Cuánto tiempo guardamos este registro: todavía no hemos definido un plazo. Esto es un tema pendiente con nuestro DPO, y actualizaremos esta página en cuanto se decida.

15. Fotos enviadas desde el móvil (código QR)

En la pantalla donde se añaden fotos de páginas de libro, quien usa un ordenador puede mostrar un código QR. Al escanearlo con el móvil se abre una página que solo abre la cámara y no pide iniciar sesión: las fotos tomadas con el móvil aparecen en la pantalla del ordenador. Esta sección explica qué pasa con esas fotos y con ese enlace.

Qué recopilamos por este camino

Las fotos tomadas y enviadas desde el móvil mediante ese enlace. Son fotos de páginas de libro, pero pueden mostrar sin querer la mano, la cara o el entorno de un niño. Mientras el enlace existe, también guardamos un pequeño registro técnico: qué cuenta abrió el enlace, la hora y cuántas fotos se enviaron. El enlace en sí no se guarda: solo conservamos una versión irreconocible de él (un hash), a partir de la cual nadie puede reconstruir el enlace.

A dónde van las fotos

El móvil envía cada foto directamente a nuestro almacenamiento en la nube, Google Cloud Storage (la sección 5 dice dónde está y la sección 11 trata las transferencias internacionales), a una carpeta temporal, mediante una dirección que funciona 10 minutos como máximo. Por eso la dirección IP del móvil llega también a Google y a nuestro proveedor de alojamiento, como en cualquier visita a un sitio web. El ordenador descarga las fotos de esa carpeta. Por este camino, ningún otro servicio recibe las fotos.

Cuánto tiempo se conservan las fotos

Cada foto se borra de nuestro almacenamiento cuando el ordenador confirma que la ha recibido y la ha colocado en la pantalla de envío. Esto ocurre mientras la pantalla del ordenador está abierta y visible: pregunta por fotos nuevas cada pocos segundos.

Si esa confirmación no ocurre (por ejemplo, si cierras el ordenador antes), el enlace deja de funcionar tras 15 minutos sin ninguna foto nueva (cada foto enviada reinicia esos 15 minutos) o tras 60 minutos en total, lo que ocurra primero. Una rutina automática se ejecuta cada hora y borra lo que quedó de los enlaces cerrados, junto con el registro técnico. En esos casos, una foto puede quedar guardada hasta unas dos horas. Si el almacenamiento rechaza un borrado, la rutina lo intenta de nuevo una hora después y el plazo se alarga hasta que el borrado se logre.

Cuando sales de la pantalla de envío, el ordenador nos pide cerrar el enlace y borrar las fotos que aún estén allí (si esa petición no llega, valen los plazos anteriores). Y si eliminas tu cuenta, borramos también cualquier foto de este tipo que aún exista.

Quién puede enviar y quién puede ver

El enlace no pide iniciar sesión. Quien tenga el enlace, o fotografíe el código QR mientras está en pantalla, puede enviar fotos a esa sesión hasta que el enlace se cierre, con un máximo de 50 fotos por enlace. Esa persona solo puede enviar: no puede ver ni descargar ninguna foto. Por eso, muestra el código QR solo a quien quieras y revisa las fotos en pantalla antes de crear el contenido.

Las fotos las ve la cuenta que abrió el enlace, después de iniciar sesión. Nuestro sistema no tiene ninguna pantalla en la que nuestro equipo vea estas fotos y, ni siquiera durante el Acceso Asistido (sección 14), el soporte puede abrir este enlace ni ver estas fotos. El acceso técnico al almacenamiento corresponde a quien administra nuestra cuenta en la nube.

Datos de ubicación en las fotos

Antes de enviarla, la página del móvil redibuja cada foto y la guarda de nuevo como JPEG. Así, los datos ocultos dentro del archivo de la foto, como la ubicación (GPS), no viajan con ella. Este paso ocurre en tu móvil; nuestro servidor no inspecciona el contenido del archivo que recibe. La foto en sí, por supuesto, sigue mostrando lo que aparece en ella.

Después de crear el contenido

Las fotos que elijas usar siguen el camino normal de cualquier foto que subes a la plataforma, descrito en las secciones 5, 7 y 11. Por sí sola, esta función no conserva ninguna copia de las fotos ni del enlace pasados los plazos anteriores: las fotos se borran y el registro técnico se elimina junto con el enlace.

Niños y adolescentes

Como las fotos pueden mostrar a un menor, tratamos este camino con el cuidado que la LGPD exige para los datos de niños y adolescentes (Art. 14): siempre en su mejor interés y con el tutor al mando. El enlace lo abre la cuenta del tutor o la del propio niño, y esta última solo si el tutor ha permitido que el niño envíe fotos. El tutor puede cambiar ese permiso.

En el caso de niños menores de 12 años (o sin edad indicada en el registro), el envío de un niño solo pasa al procesamiento cuando el tutor lo aprueba. De los 12 a los 17 años, el envío es directo, bajo la supervisión del tutor. Si eres tutor y tienes dudas sobre este camino, escribe a nuestro DPO: contact@simpleread.foundation.

16. Contacto

Para cualquier pregunta o solicitud relacionada con esta Política de Privacidad o tus datos personales, contáctanos:

contact@simpleread.foundation