Aviso de privacidad de TwinOry
1. Responsable
1.1 El responsable de los datos personales tratados en twinory.net es SMARTEDTECH SL, B66970831, Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou, Barcelona, España (el Operador). Contacto de privacidad: privacy@twinory.net. Formulario de derechos: /legal/privacy-rights.
1.2 Los roles de protección de datos se atribuyen como sigue.
1.3 Datos de la plataforma. El Operador es el responsable de los datos personales tratados para operar la plataforma: cuenta, verificación de identidad, registros de aceptación, pagos, seguridad, soporte, comunicaciones y analítica.
1.4 Datos del suministro del prestador. Cuando un prestador suministra servicios a un cliente a través de la plataforma, el prestador es responsable independiente de los datos que necesita para ese suministro (reserva, pedido, historiales clínicos, educativos o profesionales), y el Operador es responsable del registro a nivel de plataforma de la transacción. Cada parte cumple sus propias obligaciones; ninguna actúa por la otra. En twinory.net este párrafo solo se aplica cuando un suministro de un tercero está habilitado e identificado en el resumen del pedido.
1.5 Servicios como encargado. Cuando el Operador trata datos personales por cuenta de un cliente empresarial siguiendo las instrucciones de este (por ejemplo, los datos de empleados de un inquilino empresarial), se aplica y rige el Acuerdo de encargo del tratamiento (DAT-01); se firma como parte del pedido.
1.6 Comunicación entre plataformas SET. Los datos personales no se comparten con ninguna otra plataforma operada por el Operador o por su grupo salvo que usted habilite el destino concreto en sus ajustes. Habilitar un destino no habilita los demás, y puede deshabilitarlo en cualquier momento.
1.7 Transferencias internacionales. Los datos personales se almacenan en el Espacio Económico Europeo. Cuando se utiliza un encargado situado fuera del EEE, la transferencia queda cubierta por las cláusulas contractuales tipo, indicadas en el anexo de subencargados (DAT-02).
2. Qué tratamos, para qué y con qué base
| Clase de datos | Finalidad | Base jurídica (RGPD) | Conservación |
|---|---|---|---|
| Datos de la cuenta: correo electrónico, nombre visible, fecha de nacimiento o franja de edad, hash de la contraseña, idioma, ajustes | Crear y operar su cuenta; control de edad; seguridad | Art. 6(1)(b) contrato | Vida de la cuenta + 90 días (cláusula 6) |
| Registros de aceptación: identificador del documento, versión, hash, hora, método, IP y user agent con hash | Acreditar qué términos aceptó | Art. 6(1)(c) y 6(1)(f), prueba del cumplimiento | 5 años desde el fin de la relación |
| Contenido del Twin: campos publicados, preguntas y respuestas de Ask Cards, seguimientos, ajustes de visibilidad | Operar su Twin y el servicio de descubrimiento social | Art. 6(1)(b) contrato | Vida de la cuenta + 90 días |
| Configuración privada del Twin: reglas Never-Do, memoria privada, ajustes de identidad protegida | Hacer cumplir los límites que usted fija a su Twin | Art. 6(1)(b) contrato; confidencialidad de la cláusula 4 | Vida de la cuenta + 90 días; nunca se publican ni se indexan |
| Material de voz, imagen y semejanza (solo si usted lo habilita) | Crear la representación de voz o visual de su Twin | Art. 6(1)(a) consentimiento, finalidad recording_voice / likeness_persona (ACC-02) | Hasta la retirada + 30 días (C25.3) |
| Datos del tutor de miembros de 16–17 años cuando la cláusula 3 exige la intervención del tutor | Verificar la identidad y la capacidad del tutor | Art. 6(1)(c) y 6(1)(f) | Vida de la cuenta del menor + 90 días |
| Datos de pago: plan, referencia de cliente del PSP, datos de factura (nunca números completos de tarjeta) | Facturación de los planes de pago una vez habilitados (CUS-01, sujeto a indicador de función) | Art. 6(1)(b) contrato; Art. 6(1)(c) fiscal | 6 años (fiscal y contable) |
| Correspondencia de soporte y de reclamaciones | Atender solicitudes, tramitar reclamaciones, revisión humana de interacciones con IA | Art. 6(1)(b) y 6(1)(f) | 12 meses desde el cierre del expediente |
| Registros de seguridad y de auditoría | Prevenir abusos, investigar incidentes, conservar la pista de auditoría de solo adición | Art. 6(1)(f) | 12 meses; eventos de auditoría conforme a la cláusula 6 |
| Analítica opcional | Medir el uso del sitio (solo después de que usted elija «Aceptar opcionales») | Art. 6(1)(a) consentimiento, finalidad analytics_optional (PUB-03) | Conforme al inventario de PUB-03 |
| Correo electrónico de marketing (solo si usted opta por recibirlo) | Enviar noticias del producto | Art. 6(1)(a) consentimiento, finalidad marketing_email | Hasta la baja |
| Elaboración de perfiles de recomendación (solo si usted opta por ella) | Sugerir Twins y Ask Cards pertinentes para usted | Art. 6(1)(a) consentimiento, finalidad profiling_recommendation | Hasta la retirada |
2.2 Los campos obligatorios están marcados en cada pantalla de recogida. Aceptar los Términos de la cuenta de miembro no es consentimiento para ninguna finalidad opcional; cada finalidad opcional tiene su propio control sin marcar y puede retirarse en Ajustes.
2.3 Ninguna decisión de IA en esta plataforma produce efectos jurídicos ni efectos significativos de similar naturaleza para usted sin revisión humana (cláusula 2 de ACC-02; C07.2).
3. Edad y tutores
3.1 Las cuentas de TwinOry están disponibles para personas de 16 años o más. Las cuentas de personas menores de 16 años se deniegan en el alta y, si se descubren con posterioridad, se cierran.
3.2 Los miembros de 16 o 17 años pueden utilizar el servicio con los siguientes límites: no pueden monetizar un Twin, no pueden contratar un plan de pago y solo pueden publicar un Twin después de la revisión de publicación adicional indicada en Ajustes. Estos límites los hace cumplir el control de edad y no pueden eliminarse mediante autodeclaración.
3.3 La plataforma solo puede ser utilizada por personas menores de 18 años cuando el servicio concreto así lo establezca. En España, una persona de 14 años o más puede prestar por sí misma el consentimiento para el tratamiento de sus datos personales; respecto de las personas menores de 14 años, el titular de la patria potestad o de la tutela debe prestar el consentimiento y aceptar los términos. En el Reino Unido la edad correspondiente es de 13 años. En twinory.net la edad mínima del servicio es de 16 años; en consecuencia, un miembro de 16 o 17 años presta por sí mismo el consentimiento de protección de datos, y las cláusulas 3.4 a 3.6 se aplican cuando interviene un tutor.
3.4 Cuando un tutor actúa por un miembro de 16 o 17 años (por ejemplo, para cerrar la cuenta o ejercer derechos), la identidad y la capacidad del tutor se verifican antes de ejecutar la solicitud. El tutor puede acceder a los datos del menor, rectificarlos y suprimirlos, y puede cerrar la cuenta en cualquier momento.
3.5 Los adultos en contacto con menores a través de la plataforma quedan sujetos a las normas de uso aceptable de ACC-01; las comunicaciones con menores mediante Ask Cards se registran y pueden revisarse. La grabación de la voz o la imagen de un menor para un Twin requiere el consentimiento del tutor además del acto de habilitación del propio menor.
3.6 El pago del servicio de un menor lo efectúa el tutor; la cuenta del menor no puede generar cargos.
4. Confidencialidad de las reglas privadas del Twin (reglas Never-Do)
4.1 Las reglas Never-Do, la memoria privada y los ajustes de identidad protegida que usted configura para su Twin (Reglas privadas) son información confidencial del miembro. El Operador trata las Reglas privadas como sigue:
(a) Las Reglas privadas se almacenan separadas de los campos publicados del Twin y nunca se incluyen en páginas públicas, índices de búsqueda, mapas del sitio, respuestas de API a otros miembros, exportaciones a otras plataformas ni material de marketing;
(b) Las Reglas privadas no se escriben en registros de aceptación, cargas de eventos de auditoría, registros de prueba ni ningún registro de solo adición; solo se registra una referencia minimizada (id del conjunto de reglas, versión, hash);
(c) Las Reglas privadas solo son accesibles para el personal del Operador a través de la función auditada de acceso privilegiado conforme a INT-01, por un motivo declarado, durante un tiempo limitado, y nunca en beneficio de otro miembro;
(d) Las Reglas privadas no se utilizan para entrenar modelos y no se comunican a ningún encargado más allá de los servicios de alojamiento e inferencia necesarios para hacerlas cumplir, cada uno sujeto a la confidencialidad de DAT-01;
(e) un Twin no revela, parafrasea ni confirma la existencia de una Regla privada concreta a ninguna persona distinta de su titular.
4.2 Esta cláusula subsiste tras el cierre de la cuenta mientras exista cualquier copia de las Reglas privadas, y el Operador suprime las Reglas privadas dentro del plazo de la cláusula 6.1.
5. Destinatarios
5.1 Los datos personales solo se comunican a: (a) los encargados indicados en el anexo de subencargados (DAT-02) para el alojamiento, la autenticación, el envío de correo electrónico, la inferencia de IA, el procesamiento de pagos (una vez habilitados los planes de pago) y las herramientas de soporte, cada uno en virtud de un acuerdo de encargo del tratamiento; (b) otros miembros, limitados a los campos del Twin que usted haya publicado y a la audiencia que usted seleccionó; (c) las autoridades públicas cuando se aplique una obligación legal; (d) un sucesor en una fusión o adquisición, con las mismas obligaciones.
5.2 El Operador no vende datos personales y no los comparte con anunciantes.
5.3 La comunicación entre plataformas SET está desactivada por defecto y se controla por destino en Ajustes (cláusula 1.6).
6. Conservación y supresión
6.1 Los datos de la cuenta se conservan durante la vida de la cuenta y se suprimen o anonimizan en un plazo de 90 días tras el cierre, salvo cuando la ley exija un plazo mayor (registros fiscales y contables: 6 años; registros de aceptación y de consentimiento: 5 años desde el fin de la relación, como prueba del cumplimiento; registros sujetos a retención legal: hasta que la retención finalice).
6.2 Los registros de conversaciones, las grabaciones y las cargas no vinculados a un contrato vigente se suprimen a más tardar 12 meses después de la última interacción, y antes si usted lo solicita, salvo que se aplique una retención legal.
6.3 Las copias de seguridad se rotan en un ciclo que no supera los 35 días; los datos suprimidos de producción se eliminan de las copias de seguridad al final del ciclo.
6.4 Cuando un prestador es responsable independiente del tratamiento, se aplican a sus registros sus propias normas de conservación.
7. Sus derechos
7.1 Puede solicitar el acceso, la rectificación, la supresión, la limitación y la portabilidad, y oponerse al tratamiento, y puede retirar cualquier consentimiento en cualquier momento con efectos para el futuro, a través de /legal/privacy-rights o de privacy@twinory.net.
7.2 El Operador verifica la identidad de forma proporcionada (normalmente mediante confirmación desde el correo electrónico de la cuenta) y responde en el plazo de un mes; cuando se requiera lícitamente una prórroga, el Operador le informa del motivo dentro del primer mes.
7.3 La supresión puede limitarse respecto de los registros enumerados en la cláusula 6.1; el Operador le indica el alcance y la duración de cualquier límite de ese tipo.
7.4 Puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de su residencia habitual.
7.5 Contacto de protección de datos: privacy@twinory.net. El Operador no ha designado un delegado de protección de datos; el contacto de privacidad es el contacto de protección de datos del Operador.
8. Seguridad
El Operador aplica aislamiento de inquilinos con seguridad en el nivel de fila, mínimo privilegio y acceso multifactor para los roles privilegiados, cifrado en tránsito y en reposo del contenido almacenado, almacenamiento separado de las Reglas privadas, eventos de auditoría de solo adición y procedimientos de restauración probados, según se documenta en el anexo de medidas técnicas y organizativas de DAT-01. Las violaciones de datos personales se evalúan y, cuando procede, se notifican a la AEPD en un plazo de 72 horas y a las personas afectadas sin dilación indebida (DAT-03).
9. Cambios
9.1 El Operador puede modificar este aviso por motivos legítimos: cambios en la ley, en el servicio, en la seguridad o la prevención del fraude, en el proveedor de pagos, o para aclarar la redacción. El Operador le notifica los cambios sustanciales por correo electrónico y en el producto con al menos 30 días de antelación a su entrada en vigor (de inmediato cuando lo exijan la ley o la seguridad).
9.2 Una finalidad nueva o una categoría nueva de destinatario solo se habilita tras el aviso y, cuando el consentimiento sea la base jurídica, tras su aceptación separada.
9.3 Cada versión se archiva con su fecha y el hash del contenido en /legal/privacy/v/.