3. Privacy Policy
3.1 Responsable del tratamiento
El responsable del tratamiento de los datos personales recopilados a través de On-Pulse es el proyecto/empresa que opera la aplicación (el “Responsable”). Los datos formales del Responsable—razón social, domicilio y representante legal—deben completarse antes de publicar esta política en las tiendas de aplicaciones.
3.2 Datos que recopilamos
| Dato | ¿Obligatorio? | Finalidad | Base legal / justificación |
|---|---|---|---|
| Dirección de correo electrónico | Sí | Identificar la cuenta, enviar códigos de un solo uso (OTP), recuperar el historial de encuestas | Ejecución del servicio solicitado por el usuario (creación de cuenta) |
| Alias de visualización | Sí en el registro | Personalizar el saludo dentro de la app; editable en Mis datos (no es único; no es un nombre legal) | Ejecución del servicio / consentimiento explícito en el registro |
| Foto de perfil | Opcional | Mostrar el avatar en Mis datos | Consentimiento explícito cuando el usuario elige subirla |
| Edad | Sí | Segmentación agregada por rango de edad; aplicar reglas reforzadas si el usuario es menor | Consentimiento explícito en el registro |
| Género | Sí | Segmentación agregada por género en los resultados | Consentimiento explícito en el registro |
| Ubicación aproximada (país, ciudad, cantón/zona) | Opcional, mediante permiso del dispositivo | Asociar cada respuesta con una zona geográfica amplia para análisis agregado; crear/unirse/responder funciona sin ella | Consentimiento explícito y específico mediante el permiso de ubicación del SO |
| Coordenadas GPS exactas | No se almacenan | Se usan solo de forma transitoria en el dispositivo (o una llamada puntual de geocodificación inversa) para resolver país/ciudad/zona; no se guardan ni se conservan como coordenadas vinculadas a la identidad | N/A — no se recopilan ni se conservan |
| Contenido de la encuesta (título, preguntas y opciones) | Sí (generado por el usuario) | Funcionalidad principal de crear / publicar / responder | Ejecución del servicio solicitado |
| Respuestas y selecciones | Sí (generado por el usuario) | Calcular resultados agregados para el creador | Ejecución del servicio solicitado |
| Respuesta en texto libre | Opcional | Comentarios cualitativos en los resultados | Consentimiento explícito (campo opcional) |
| Token de sesión | Sí (técnico) | Mantener al usuario autenticado sin contraseñas | Interés legítimo en seguridad y continuidad del servicio |
| Marca de tiempo del consentimiento explícito | Sí en el registro | Registrar la aceptación alineada con LOPDP de Privacidad/Términos | Consentimiento explícito en el registro |
| Preferencia de idioma de la interfaz | Opcional | Campo de cuenta reservado; la interfaz de la app sigue el idioma del SO / por aplicación | Ejecución del servicio / localización futura |
| Token de notificaciones push | Opcional | Entregar avisos de vencimiento y umbral de respuestas al creador cuando se activa el consentimiento | Consentimiento explícito mediante Ajustes + permiso del SO |
| Metadatos de pago (exportación) | Cuando el propietario paga por la exportación | Confirmar el pago único de Stripe; entregar CSV/Excel | Ejecución del servicio de pago solicitado |
| Membresía de organización | Al usar la web de la organización | Listar encuestas y resultados de la organización en el panel web complementario | Ejecución del servicio solicitado |
| Traducciones de encuestas | Cuando el creador habilita la traducción | Almacenar traducciones por IA del contenido de la encuesta para los idiomas seleccionados | Ejecución del servicio solicitado |
| Insights de texto abierto | Cuando existen respuestas en texto libre | Agrupar respuestas abiertas similares y generar un resumen/puntos clave por IA para los resultados (solo textos anónimos) | Ejecución del servicio solicitado |
3.3 Datos que no recopilamos
Para respetar la minimización de datos y las revisiones de privacidad de las tiendas, On-Pulse no solicita ni almacena:
- Nombre legal completo o apellidos (un alias de visualización corto es opcional/obligatorio en el registro solo para el saludo — no es un nombre de usuario único ni una identidad legal)
- Documento de identidad nacional, pasaporte u otros documentos de identidad
- Número de teléfono
- Dirección exacta o coordenadas GPS almacenadas de forma permanente
- Contactos de la agenda del dispositivo
- Fotos, video o grabaciones de voz distintas de una foto de perfil opcional que el usuario elija subir
- Datos biométricos (huella dactilar, reconocimiento facial)
- Datos de salud, orientación sexual, creencias religiosas, afiliación sindical o antecedentes penales
- Historial de navegación fuera de la app o datos de otras aplicaciones instaladas
- Contraseñas (el acceso es solo por OTP; no hay contraseña que almacenar)
Cualquier función futura que necesite alguno de estos tipos de datos requiere una actualización explícita de la política y, cuando corresponda, un nuevo consentimiento del usuario.
3.4 Uso de inteligencia artificial
Cuando un usuario solicita mejorar una pregunta o generar opciones de respuesta, On-Pulse envía únicamente el texto de la pregunta redactado por el usuario a un proveedor externo de IA (principal: Google Gemini; respaldo: Anthropic Claude cuando está configurado). Los datos de identidad (correo electrónico, edad, género) y la ubicación no se incluyen en esas llamadas. En Mejorar pregunta, las sugerencias de IA nunca se publican automáticamente; el usuario debe aceptar explícitamente o conservar su texto original en el flujo de creación.
Cuando un creador habilita la traducción de encuestas, On-Pulse puede enviar el título, la descripción, las preguntas y las opciones de la encuesta (aún sin identidad ni ubicación) al proveedor de IA después de la publicación para generar traducciones que se almacenan y reutilizan. Esas traducciones se aplican automáticamente a los participantes (sin un paso separado de aceptación humana). Editar el contenido fuente invalida las traducciones almacenadas para que se regeneren.
Cuando los participantes envían respuestas en texto libre, On-Pulse puede enviar el texto de la pregunta y esas cadenas anónimas de texto libre (y conteos) al proveedor de IA para producir un resumen breve y puntos clave en los resultados. La identidad y la ubicación no se incluyen. Esos insights se almacenan por pregunta, se aplican automáticamente cuando están listos y DEBEN marcarse visualmente en la UI de resultados (sin paso de aceptación humana). Nuevas respuestas en texto libre invalidan los insights previos para regenerarlos.
3.5 Bases legales y consentimiento
El tratamiento descrito en la sección 3.2 se basa en (a) el consentimiento explícito en el registro (casilla/aceptación de la Política de Privacidad y los Términos de Uso, con enlaces a las páginas alojadas), (b) los diálogos de permiso del SO para ubicación y push cuando corresponda, y/o (c) la necesidad de prestar el servicio solicitado por el usuario (crear una cuenta, publicar una encuesta, responder, exportación de pago). Los usuarios pueden retirar el consentimiento en cualquier momento conforme a la sección 3.9 sin afectar la licitud del tratamiento previo.
3.6 Compartición con terceros (encargados del tratamiento)
On-Pulse no vende ni alquila datos personales con fines publicitarios. Los datos se comparten únicamente con proveedores estrictamente necesarios para operar el servicio, bajo contratos que exigen confidencialidad y seguridad adecuada:
| Proveedor / servicio | Rol | Datos tratados | Ubicación / transferencia |
|---|---|---|---|
| Alojamiento en la nube y base de datos | Almacenar datos y ejecutar el backend | Datos de la sección 3.2 | Según el proveedor elegido; usar cláusulas contractuales tipo si el tratamiento es fuera de Ecuador |
| Proveedores de IA (Gemini; Anthropic opcional) | Mejorar preguntas / sugerir opciones / traducir contenido de encuestas / resumir textos abiertos | Solo texto de la encuesta y respuestas anónimas en texto libre — sin correo electrónico, edad, género ni ubicación | Proveedores internacionales; transferencia justificada por la función solicitada por el usuario |
| Geocodificación inversa | Resolver coordenadas a país/ciudad/zona | Coordenadas GPS transitorias (no almacenadas vinculadas a la identidad) | Según el proveedor de geocodificación |
| Correo transaccional (OTP) | Enviar códigos de un solo uso | Dirección de correo electrónico y código temporal | Resend (confirmar antes de la publicación legal) |
| Stripe | Procesar pagos únicos para exportaciones de resultados | Metadatos de pago necesarios para completar el checkout; datos de tarjeta gestionados por Stripe | Proveedor internacional; cláusulas contractuales tipo cuando corresponda |
| Proveedor de notificaciones push | Entregar notificaciones al creador con consentimiento | Token push del dispositivo; sin identidad del encuestado en la carga útil más allá de lo necesario para notificar al creador | Según el proveedor |
| Monitoreo de errores (Sentry) | Diagnosticar errores de la aplicación | Solo diagnósticos técnicos — sin correo electrónico, identidad, ubicación, organización ni PII de pago en las cargas útiles de eventos | Proveedor internacional |
| Caché compartida / cola de trabajos (Redis) | Caché de resultados y trabajos en segundo plano de OTP/IA | Resultados agregados y metadatos de trabajos; sin PII en cargas útiles de cola ni agregados en caché más allá de estadísticas seguras para el creador | Según el proveedor de alojamiento |
Regla operativa: los registros estructurados de la aplicación, los eventos de Sentry, las cargas útiles de BullMQ/cola y las exportaciones CSV/Excel NO DEBEN incluir correo electrónico, identidad del participante, ubicación exacta o aproximada vinculada a un individuo, secretos de organización ni datos de tarjetas de pago. Las exportaciones contienen solo agregados.
3.7 Transferencias internacionales
Algunos proveedores de la sección 3.6 pueden tratar datos fuera de Ecuador. Cuando eso ocurra, On-Pulse adopta las salvaguardas contractuales disponibles (p. ej. cláusulas contractuales tipo o mecanismos equivalentes reconocidos por la legislación aplicable).
3.8 Conservación
On-Pulse conserva los datos personales mientras la cuenta permanece activa. Tras una solicitud de eliminación de cuenta, los datos de identidad (correo electrónico, edad, género, locale, registro de consentimiento, opt-in de push) se eliminan en un plazo de 30 días, salvo que aplique un deber legal de conservación más largo. Los resultados de encuestas agregados y anonimizados (no vinculados a la identidad del participante) pueden conservarse más tiempo con fines estadísticos, según se resume en la sección 6.
Cascada de eliminación (funcionalidad 002): Dentro de la misma ventana, On-Pulse DEBE además:
- Eliminar todos los tokens de suscripción push del usuario
- Eliminar o desvincular las traducciones de encuestas, los insights de texto abierto y el contenido personal de encuestas propiedad del usuario según las reglas de eliminación del producto
- Purgar resultados en caché de Redis y trabajos en cola que contengan datos personales del usuario
- Gestionar la titularidad de Organization (organizaciones sembradas por operaciones): limpiar
owner_user_ido soft-orphan según el procedimiento operativo para que el usuario eliminado ya no esté vinculado - Registros de ExportPayment: anonimizar y conservar para contabilidad — eliminar el vínculo con el usuario (
owner_user_idnulo o equivalente), conservar el id de pago de Stripe, el monto, el formato, la referencia de la encuesta si se necesita para la contabilidad, y las marcas de tiempo, durante la ventana de retención contable/legal
3.9 Derechos del usuario
De conformidad con la LOPDP de Ecuador y estándares internacionales comunes, los usuarios pueden ejercer:
| Derecho | Significado | Cómo ejercerlo |
|---|---|---|
| Acceso | Copia de los datos personales que On-Pulse conserva, incluidos los campos 002 (locale, consentimiento + versión de política, tokens push, membresía de organización, metadatos de traducciones) | “Mis datos” en la app (o equivalente) o correo de contacto de privacidad |
| Rectificación | Corregir datos inexactos (p. ej. edad, género) | Desde el perfil en la app |
| Supresión / cancelación | Eliminar la cuenta y los datos personales asociados, sujeto a la retención legal (cascada de la sección 3.8) | “Eliminar cuenta” en la app o por correo electrónico |
| Oposición | Oponerse a un uso específico cuando no sea legalmente obligatorio | Correo de contacto de privacidad (sección 3.14) |
| Portabilidad | Formato estructurado y de uso común para la transferencia | Correo de contacto de privacidad |
| Retirar el consentimiento | Retirar el consentimiento sin afectar el tratamiento lícito previo | En 002: eliminación de cuenta (o contacto de privacidad); sin interruptor parcial de consentimiento en la app más allá del opt-out de push |
“Mis datos” y “Eliminar cuenta” DEBEN cubrir todas las categorías de datos personales 002 listadas en la sección 3.2 y la cascada de la sección 3.8.
3.10 Menores
Las cuentas de On-Pulse requieren edad de 18 años o más en el registro. Las personas menores de 18 años no pueden completar el registro.
Para uso educativo / institucional (p. ej. escuelas): la institución—no On-Pulse—es responsable de obtener cualquier consentimiento parental o del tutor legal requerido por la legislación aplicable y por sus propias políticas cuando menores participen fuera de las cuentas de On-Pulse o cuando apliquen reglas institucionales. On-Pulse no crea cuentas de menores de 18 años y no ofrece un flujo de OTP parental dentro de la app.
Reglas adicionales:
- Sin mensajería directa entre usuarios y sin publicación de datos de contacto dentro del contenido de las encuestas
- Los datos de menores, cuando se traten lícitamente fuera del modelo de cuentas de este producto, DEBEN recibir el mismo tratamiento minimizado de la sección 3.2—sin categorías adicionales
- La mensajería del vertical educativo en el producto refuerza la responsabilidad institucional sin relajar el requisito de cuenta de 18+
3.11 Seguridad de la información
Las medidas técnicas y organizativas razonables incluyen:
| Medida | Descripción |
|---|---|
| Cifrado en tránsito | App ↔ backend mediante HTTPS/TLS |
| Cifrado en reposo | Base de datos y copias de seguridad cifradas en el proveedor de infraestructura; cifrado adicional para campos de zona aproximada (país/ciudad/cantón) |
| Autenticación sin contraseña | OTP por correo con tiempo limitado; límites de tasa y bloqueo de dominios desechables para reducir abusos |
| Acceso basado en tokens | Tokens de sesión firmados y con caducidad requeridos para rutas sensibles |
| Minimización de datos | Solo correo electrónico, edad, género y ubicación aproximada según sea necesario |
| Sin PII en canales operativos | Registros, Sentry, cargas útiles de cola y exportaciones excluyen correo electrónico, identidad, ubicación, organización y PII de pago (solo agregados en exportaciones) |
| Agregación geográfica | Las coordenadas exactas no se almacenan con la identidad; resultados por zona |
| Separación de identidad y contenido | Los campos de identidad se almacenan por separado de las respuestas de encuesta cuando sea practicable |
| Revisión humana del contenido de IA | Aceptación explícita del usuario antes de publicar (Mejorar pregunta); la autoaplicación de traducción de encuestas e insights de texto abierto son las excepciones documentadas (los insights DEBEN marcarse) |
| Respuesta a incidentes | Proceso interno; notificar a los usuarios afectados y a la autoridad competente cuando lo exija la ley |
| Privacidad desde el diseño | La arquitectura prioriza la minimización y la agregación desde el momento del diseño |
Ninguna medida de seguridad es perfecta. On-Pulse notificará a los usuarios afectados y, cuando se requiera, a la autoridad competente de protección de datos sobre las violaciones de datos personales dentro de los plazos legalmente exigidos.
3.12 Identificadores técnicos y analítica
On-Pulse puede usar identificadores técnicos necesarios para operar la app (p. ej. tokens de sesión) y métricas de uso agregadas y anonimizadas (usuarios activos, encuestas creadas, tasa de respuesta) para medir la adopción del producto. On-Pulse no usa identificadores publicitarios ni comparte datos de uso individualizados con redes publicitarias.
3.13 Cambios a esta política
On-Pulse puede actualizar esta Política de Privacidad por cambios de producto o legales. Cada versión publicada lleva un consent_policy_version (entero o etiqueta con fecha) reflejado en las páginas alojadas de Privacidad/Términos.
- En el registro, On-Pulse registra el
consent_policy_versionaceptado por el usuario junto conconsent_at. - Ante cambios materiales, On-Pulse incrementa la versión de la política y notifica a los usuarios en la app o por correo electrónico con un aviso razonable anticipado.
- En el siguiente inicio de sesión/sesión tras un aumento de versión, On-Pulse DEBE exigir al usuario que vuelva a aceptar Privacidad/Términos antes de continuar (re-consentimiento forzado). El tratamiento previo permanece lícito bajo el consentimiento anterior.
3.14 Contacto
Derechos de privacidad y consultas: privacy@on-pulse.app (dirección de referencia—confirmar y formalizar antes del lanzamiento).