Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento es [CEIDG_LEGAL_NAME], con domicilio de actividad en [CEIDG_ADDRESS], NIP [CEIDG_NIP].

Contacto de privacidad: hello@flshcrds.app.

2. Ámbito

Esta Política se aplica a la app flshcrds (iOS/Android) y al sitio de marketing flshcrds.app, incluidas estas páginas de Política de privacidad y Términos.

No se aplica a sitios web, tiendas de apps, sistemas operativos ni servicios de terceros a los que enlazamos (Apple, Google, Facebook, Instagram, RevenueCat y similares actúan según sus propias políticas cuando tratan datos como responsables independientes). Un enlace no implica respaldo.

Si mantenemos presencia en una plataforma social, lo que publiques allí se rige por las condiciones de esa plataforma. No podemos controlar a otros usuarios ni a la plataforma misma.

3. Requisito de edad

El Servicio es un producto de aprendizaje de público general. No está dirigido a menores.

Debes tener al menos 16 años para crear una cuenta o usar el Servicio. Si descubrimos que mantenemos una cuenta de alguien menor de 16 años, la eliminaremos.

4. Datos que tratamos

Cuenta e identidad: dirección de correo electrónico e identificadores de autenticación al iniciar sesión (OAuth de Google y/o Facebook a través de nuestro proveedor de auth), y campos de perfil que configures (como un nombre visible).

Biblioteca de aprendizaje: mazos, notas, tarjetas, tipos de notas, estado de programación e historial de repaso que creas o importas — incluido el contenido que escribes o importas (CSV, paquetes Anki o mazos compartidos).

Dispositivo y sincronización: preferencias de la app almacenadas en el dispositivo; sincronización de tu biblioteca con nuestros servidores para que el Servicio funcione; tu zona horaria IANA y un token push cuando permites notificaciones, usados para el badge del icono de la app (cola de estudio de hoy), no para spam de marketing.

Compras: estado de suscripción / compra in-app a través de las tiendas de apps y RevenueCat (entitlements). No recibimos el número completo de tu tarjeta de pago.

Soporte y correspondencia: si escribes a hello@flshcrds.app o nos contactas de otro modo, tratamos la dirección que uses y el contenido de ese intercambio (incluidas capturas o registros que adjuntas).

Información de otras fuentes: cuando eliges iniciar sesión con Google o Facebook, esos proveedores nos envían identificadores de autenticación y normalmente tu correo porque se lo pediste. No recibimos la contraseña de esas cuentas.

Diagnósticos: si activamos una herramienta de informe de fallos, registros técnicos sobre crashes y estabilidad (versión de dispositivo/app, stack traces). Nombraremos al proveedor en esta Política antes de que esa función entre en producción.

Sitio web: el sitio público es una página de marketing. En esta versión no ejecutamos analítica de producto, píxeles publicitarios ni un banner de cookies no esenciales en el landing. Pueden existir registros esenciales de hosting/seguridad a nivel de infraestructura (por ejemplo dirección IP, hora y URL solicitada).

5. Finalidades y bases jurídicas (RGPD)

Prestar el Servicio (cuenta, sync, estudio, importación/exportación, badge): ejecución de un contrato (art. 6(1)(b) RGPD).

Compras y entitlements: contrato y, cuando proceda, intereses legítimos en prevenir fraude / restaurar compras (art. 6(1)(b) y (f)).

Comunicarnos contigo sobre el Servicio (respuestas a tus solicitudes, avisos de seguridad o disponibilidad, y cambios materiales del producto o de la Política): contrato (art. 6(1)(b)) y/o intereses legítimos en administrar el Servicio (art. 6(1)(f)). No enviamos marketing no solicitado.

Seguridad, prevención de abusos y diagnósticos de fallos: intereses legítimos en operar un Servicio estable y seguro (art. 6(1)(f)), ponderados frente a tus derechos.

Obligaciones legales (p. ej. contabilidad relacionada con funciones de pago, respuesta a solicitudes válidas de autoridades públicas): art. 6(1)(c).

Estadísticas agregadas o anonimizadas que ya no te identifican, para operar y mejorar el Servicio: intereses legítimos (art. 6(1)(f)). En esta versión no usamos píxeles publicitarios, anuncios basados en intereses ni herramientas de segmentación de audiencia.

Cuando se requiera consentimiento (por ejemplo ciertas notificaciones opcionales o un futuro SDK no esencial), pediremos antes de activarlo (art. 6(1)(a)). Puedes retirar el consentimiento en cualquier momento; la retirada no afecta al tratamiento lícito anterior.

6. Deck Share y contenido del usuario

Tus notas y tarjetas son privadas de tu cuenta hasta que las compartas.

Deck Share funciona mediante un enlace estable que incluye el id del mazo. Conocer ese enlace es la invitación — en el producto actual no hay un token de compartición separado, interruptor de revocación ni caducidad.

Antes de importar, los destinatarios solo ven metadatos (nombre del mazo y número de tarjetas). Tras confirmar Deck Import, reciben una copia independiente del contenido compartido en su propia cuenta.

No compartas mazos que contengan información sensible o confidencial. No garantizamos la confidencialidad de un mazo una vez conocido su enlace de compartición. Eliminar tu cuenta no elimina las copias ya importadas por otros usuarios.

7. Destinatarios y encargados del tratamiento

No vendemos tus datos personales. Usamos proveedores de servicios que tratan datos siguiendo nuestras instrucciones o en los roles descritos:

Supabase — autenticación y hosting de base de datos para cuentas y tu biblioteca de aprendizaje.

Google y Facebook — inicio de sesión (OAuth). Tratan datos según sus propios términos cuando usas su login.

Apple y Google Play — distribución de la app y compras in-app.

RevenueCat — gestión de suscripciones / entitlements para compras in-app.

Expo e infraestructura push de Apple/Google — entrega del token push relacionado con el badge del icono.

Proveedor de diagnósticos de fallos — a nombrar antes de la puesta en producción de esa función.

Además de esos proveedores, podemos comunicar datos: (a) a una autoridad pública competente, un tribunal u organismo similar cuando creamos que la comunicación es exigida por ley, necesaria para ejercer o defender derechos, o para proteger intereses vitales; (b) a un comprador y sus asesores en una venta, fusión o transacción similar — el adquirente debe respetar esta Política, o te notificaremos el cambio; (c) a cualquier otra persona con tu consentimiento.

Cuando un proveedor trata datos personales por nosotros, adoptamos medidas contractuales y organizativas conformes con la ley aplicable, incluido un acuerdo de encargo del tratamiento cuando se requiera.

Algunos proveedores pueden tratar datos fuera del EEE. Cuando se requiera, nos apoyamos en garantías adecuadas (como las cláusulas contractuales tipo) ofrecidas por esos proveedores.

8. Conservación

No conservamos datos personales más tiempo del necesario para las finalidades para las que se recogieron. El plazo depende de si existe una necesidad legal o contractual, de si los datos son necesarios para prestar el Servicio, y de que razonablemente esperarías que la biblioteca permanezca hasta que la elimines o cierres la cuenta.

Conservamos tu cuenta y biblioteca mientras tu cuenta esté activa.

Cuando eliminas tu cuenta en la app, eliminamos tu cuenta y los datos del Servicio de los sistemas de producción sin demora indebida. Las copias de seguridad pueden permanecer hasta 30 días, aisladas de uso posterior, y luego se eliminan o sobrescriben en el ciclo normal de backup.

Las tiendas de apps y RevenueCat pueden conservar registros de compra según sus propias normas. Las copias de contenido que otros usuarios importaron mediante Deck Share permanecen en las cuentas de esos usuarios.

9. Tus derechos

En virtud del RGPD puedes tener derecho a: acceso (saber qué datos personales tratamos); rectificación de datos inexactos; supresión («derecho al olvido»); limitación del tratamiento; oposición al tratamiento basado en intereses legítimos; recibir tus datos en un formato estructurado, de uso común y lectura mecánica (portabilidad); y retirar el consentimiento cuando el tratamiento se base en el consentimiento.

Puedes eliminar tu cuenta en la app móvil (Ajustes). Para otras solicitudes, escribe a hello@flshcrds.app. Podemos pedirte que verifiques tu identidad para responder de forma lícita y eficiente.

Estos derechos están sujetos a excepciones y límites legales — por ejemplo podemos conservar datos que estemos legalmente obligados a guardar, o rechazar una solicitud que perjudicara los derechos de terceros.

Puedes presentar una reclamación ante tu autoridad de control local. En Polonia es el Presidente de la Oficina de Protección de Datos Personales (UODO). Los datos de contacto de las autoridades de la UE/EEE los publica el Comité Europeo de Protección de Datos.

10. Seguridad

Usamos medidas técnicas y organizativas adecuadas a una pequeña app de aprendizaje de consumo (controles de acceso, transporte cifrado, funciones de seguridad de los proveedores). Ningún método de transmisión o almacenamiento es perfectamente seguro.

Debes mantener seguras tus credenciales de acceso y no compartirlas. No recibimos ni almacenamos tu contraseña de Google o Facebook.

11. Cambios

Podemos actualizar esta Política. La versión publicada en https://flshcrds.app/es/privacy es la vigente. Ante cambios materiales, tomaremos medidas razonables para notificarte (por ejemplo en la app o por correo) cuando se requiera.

12. Derecho aplicable

Esta Política está diseñada para el RGPD y la legislación polaca de protección de datos. El responsable está establecido en Polonia.

13. Contacto

[CEIDG_LEGAL_NAME], [CEIDG_ADDRESS], NIP [CEIDG_NIP].

Correo: hello@flshcrds.app.