Política de Privacidad

Esta Política de Privacidad explica cómo MAVK ANALYTICS LTD ("nosotros", "Duetto") recopila, utiliza, comparte y protege los datos personales cuando usted utiliza el servicio Duetto — el bot y la Mini App de Telegram, la app de Duetto para iOS y el sitio web theduetto.com (en conjunto, el "Servicio").

El Servicio se opera desde el Reino Unido. No está dirigido a personas del Espacio Económico Europeo ni se les ofrece: la app no se distribuye en las tiendas regionales de la App Store del EEE, no fijamos su precio en euros y no la promocionamos en el EEE. Esta Política aplica a usuarios de todo el mundo, con disposiciones específicas para residentes del Reino Unido y California. Si usted se encuentra en el EEE y aun así decide utilizar el Servicio, seguiremos respetando los derechos descritos en § 10.

1. Quiénes somos

Duetto es operado por MAVK ANALYTICS LTD, una sociedad de responsabilidad limitada privada registrada en Inglaterra y Gales.

• Número de empresa: 17024096
• Domicilio social: 20 Wenlock Road, London N1 7GU, Inglaterra
• Referencia de registro en la ICO: ZC186644
• Contacto de privacidad: privacy@theduetto.com
• Contacto general: support@theduetto.com

A efectos del UK GDPR, MAVK ANALYTICS LTD es el responsable del tratamiento (data controller) de sus datos personales.

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos personales. Cuáles se aplican depende de la plataforma que utilice.

a) Datos de la cuenta de Telegram (solo bot y Mini App de Telegram — recibidos automáticamente al abrir la Mini App):

• ID numérico de usuario de Telegram (tg_id)
• Nombre de usuario (si está configurado en su cuenta de Telegram)
• Nombre y apellido (tal como aparecen en su cuenta de Telegram)
• URL de la foto de perfil
• Código de idioma de Telegram (utilizado para establecer su idioma inicial en Duetto)

b) Datos de la cuenta de la app de iOS:

• Un identificador de dispositivo generado por la propia app (un valor aleatorio almacenado en el llavero (keychain) del dispositivo). Lo utilizamos para reconocer su cuenta de invitado. No es el identificador de publicidad de Apple (IDFA) y no solicitamos ninguno.
• Si utiliza Iniciar sesión con Apple (donde la app lo ofrezca): el identificador de usuario emitido por Apple. No almacenamos el nombre ni la dirección de correo electrónico que Apple pueda transmitirnos al iniciar sesión.
• Token de notificaciones push (APNs), si habilita las notificaciones

c) Datos de nacimiento (proporcionados por usted durante el onboarding):

• Su nombre (texto libre, que usted elige)
• Fecha de nacimiento
• Hora de nacimiento (opcional)
• Lugar de nacimiento (nombre de la ciudad y coordenadas geográficas obtenidas a partir de su selección)
• Zona horaria de nacimiento (derivada de las coordenadas)
• Un registro de los valores anteriores, si más adelante corrige su fecha o su hora de nacimiento. Lo conservamos para detectar abusos del límite de correcciones descrito en § 10; está cifrado igual que el resto de sus datos de nacimiento.

d) Datos de nacimiento del compañero/a (proporcionados por usted para lecturas de sinastría y cartas compuestas):

• Mismos campos que arriba, para cada compañero/a que cree

e) Contenido de lecturas (generado por nosotros):

• Cálculos astrológicos realizados por nuestro motor determinista (Swiss Ephemeris)
• Texto narrativo generado por un modelo de lenguaje de IA basado en sus datos
• Metadatos de la lectura (tipo, marca de tiempo, idioma)
• Si crea un enlace para compartir una lectura, el identificador del enlace y un recuento de cuántas veces se ha abierto. Un enlace para compartir es público por diseño: cualquiera que lo tenga puede leer esa lectura sin iniciar sesión.

f) Mensajes de soporte (solo si nos contacta desde la app):

• El mensaje de texto libre que nos envía, nuestra respuesta y las marcas de tiempo. Por favor, no incluya información de salud ni otros datos sensibles en un mensaje de soporte.

g) Datos de pago (cuando realiza una compra):

• Telegram Stars: el registro de pago que nos envía Telegram — ID de cargo, importe en Stars, código de producto, moneda, marca de tiempo y el resto del payload que Telegram incluye con él. Almacenamos ese payload tal como lo recibimos.
• App Store de Apple: el identificador de transacción de la App Store, el identificador de transacción original, el identificador de producto y el estado de la suscripción, recibidos de los servidores de Apple para poder concederle y mantener su derecho de acceso.
• En ninguno de los dos casos recibimos los datos de su tarjeta de pago ni de su cuenta bancaria.

h) Datos de uso y técnicos:

• Eventos analíticos de producto (p. ej. "reading_started", "paywall_viewed") con marcas de tiempo, plataforma (telegram / ios / web) y funcionalidad. Estos eventos están vinculados a su cuenta, por lo que son seudónimos y no anónimos.
• La zona horaria IANA que informa su dispositivo, utilizada para enviar las notificaciones diarias a la hora local correcta
• Marcas de tiempo de actividad que usamos para operar el producto — cuándo abrió la app por última vez, cuándo completó el onboarding, cuándo realizó su primera compra y similares
• Dirección IP, utilizada como contador efímero para limitar la tasa (rate limiting) del inicio de sesión y de otros endpoints, y registrada en los logs de nuestro servidor
• Identificadores de sesión: se almacena un hash de su token de refresco para poder revocar sesiones. Los tokens de acceso son de corta duración y no se almacenan.
• Diagnósticos de errores (informes de fallos y excepciones)

i) Datos de referidos:

• Su código de referido único (asignado automáticamente)
• El código de referido, si lo hubiera, que utilizó al registrarse
• Recuentos agregados de usuarios que ha referido

3. Por qué recopilamos estos datos y nuestra base legal

Cuando nos basamos en el consentimiento, puede retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

Cuando nos basamos en el interés legítimo, hemos ponderado nuestro interés en operar y asegurar el Servicio frente a sus derechos y libertades. Puede oponerse a dicho tratamiento — véase § 10.

4. Categorías especiales de datos

Los datos de nacimiento (fecha, hora, lugar) no son, por sí mismos, una "categoría especial" de datos personales según el UK GDPR. No obstante, los tratamos como sensibles y los protegemos en consecuencia — véase § 12. No recopilamos a sabiendas datos de salud, origen racial o étnico, creencias religiosas, opiniones políticas, orientación sexual o datos biométricos. No introduzca dicha información en campos de texto libre. Si lo hace, reconoce que la ha proporcionado voluntariamente y consiente su tratamiento como parte de su lectura.

5. Lo que no hacemos

• No le rastreamos a través de apps o sitios web de otras empresas.
• No utilizamos el identificador de publicidad de Apple (IDFA), y la app no muestra el aviso de App Tracking Transparency porque no rastrea.
• No utilizamos SDK de publicidad, retargeting o marketing.
• No vendemos ni "compartimos" (según la definición del CPRA) sus datos personales.
• No permitimos que nuestro proveedor de IA entrene modelos con sus datos.

6. IA y tratamiento automatizado

Utilizamos OpenAI como proveedor de modelos de lenguaje de IA para generar la parte narrativa de sus lecturas. Los cálculos astrológicos en sí son deterministas y los realiza nuestro propio motor mediante la Swiss Ephemeris.

Lo que enviamos al proveedor de IA es su nombre y las posiciones calculadas de su carta (signos, casas, aspectos). No enviamos su fecha de nacimiento, su hora de nacimiento ni su lugar de nacimiento en bruto. En una lectura de sinastría o de carta compuesta, lo mismo se aplica al compañero/a que haya introducido.

Usamos la API del proveedor con términos de tratamiento de datos que les prohíben entrenar sus modelos con sus datos. No tomamos decisiones sobre usted que produzcan efectos jurídicos o significativamente similares por medios automatizados.

Si se opone al tratamiento por IA de sus datos, no debería usar el Servicio, ya que es esencial para entregar lecturas.

7. Con quién compartimos los datos

Compartimos sus datos con las siguientes categorías de destinatarios ("subencargados"):

No vendemos sus datos personales. No los compartimos con anunciantes. Podemos divulgar datos a fuerzas del orden o reguladores si estamos legalmente obligados (p. ej. una orden de producción del Reino Unido) o para proteger los derechos, propiedad o seguridad de usuarios o terceros.

8. Cuánto tiempo conservamos sus datos

Registro de eliminación. Cuando elimina su cuenta, borramos su nombre, nombre de usuario, foto de perfil, datos de nacimiento, datos de compañeros, contenido de lecturas y otra información identificativa.

Lo que queda es un registro de que existió una cuenta para su ID de usuario en la plataforma, junto con los registros de pago y de referidos vinculados a él. Lo conservamos por una razón: una compra tiene que seguir siendo atribuible. La legislación fiscal y contable nos obliga a conservar los registros de pago durante siete años, un reembolso tiene que poder rastrearse hasta la transacción que revierte, y el programa de referidos tiene que mantenerse coherente para la persona que le refirió. Base legal: obligación legal (Art. 6(1)(c) UK GDPR) para los registros fiscales, y contrato (Art. 6(1)(b)) para el resto.

No lo utilizamos para elaborar perfiles sobre usted ni para limitar lo que puede hacer si se registra de nuevo. Si se opone a este tratamiento por motivos relacionados con su situación particular, contacte a privacy@theduetto.com.

Copias de seguridad. Nuestra base de datos se respalda conforme a un calendario rotativo. Los datos que elimine dejan de ser accesibles a través del Servicio de inmediato, pero una copia permanece dentro de las instantáneas de respaldo existentes hasta que estas caduquen, y no editamos las copias de seguridad. Lo mismo se aplica a los logs del servidor que nuestros proveedores de hosting y de monitorización de errores conservan durante los períodos indicados arriba.

9. Transferencias internacionales de datos

Sus datos principales de cuenta y de nacimiento se almacenan en nuestra base de datos principal, alojada dentro del EEE (Ámsterdam, Países Bajos). No obstante, algunos de nuestros subencargados se encuentran fuera del Reino Unido y el EEE, principalmente en Estados Unidos — por ejemplo, nuestro proveedor de IA y nuestro proveedor de monitorización de errores. Cuando transferimos sus datos personales fuera del UK/EEE, nos basamos en una de las siguientes garantías:

• UK International Data Transfer Agreement / Cláusulas Contractuales Estándar de la UE firmadas con el destinatario
• UK Extension to the EU-US Data Privacy Framework cuando aplica (p. ej. destinatarios certificados bajo el DPF)
• Decisiones de adecuación del Gobierno del Reino Unido o de la Comisión Europea para ciertos países

Puede solicitar una copia de las garantías de transferencia que utilizamos contactando a privacy@theduetto.com.

10. Sus derechos

El UK GDPR le reconoce los derechos que se enumeran a continuación. Extendemos todos y cada uno de ellos a cualquier persona que utilice el Servicio, viva donde viva — no es necesario encontrarse en el Reino Unido para ejercerlos:

• Acceder a los datos personales que tenemos sobre usted y recibir una copia
• Rectificar datos inexactos o incompletos (también disponible en la app a través del editor de perfil). Para evitar abusos del nivel gratuito, la app permite un número limitado de cambios en sus datos de nacimiento por mes natural; si alcanza ese límite y aún necesita una corrección, escriba a privacy@theduetto.com y la haremos por usted.
• Suprimir sus datos ("derecho al olvido") — también disponible en la app a través de "Eliminar cuenta"
• Limitar el tratamiento en determinadas circunstancias
• Portabilidad de datos — recibir sus datos en un formato estructurado y legible por máquina
• Oponerse al tratamiento basado en interés legítimo
• Retirar el consentimiento para cualquier tratamiento basado en el consentimiento (p. ej. notificaciones diarias de tránsitos)
• Presentar una reclamación ante la UK Information Commissioner's Office (ico.org.uk), nuestra autoridad de control. Si vive en otro país, su autoridad nacional de protección de datos también puede admitir una reclamación.

Si es residente de California, tiene derechos bajo CCPA/CPRA, incluidos el derecho a conocer, suprimir, corregir y limitar el uso de información personal sensible, así como el derecho a no sufrir discriminación por ejercer estos derechos. No vendemos ni "compartimos" (según la definición del CPRA) su información personal.

Para ejercer cualquier derecho, escriba a privacy@theduetto.com desde una dirección de correo que pueda verificar, o utilice el autoservicio en la app cuando esté disponible. Responderemos en un plazo de 30 días (o 45 días para solicitudes complejas, con aviso). No hay tarifa por ejercer sus derechos salvo que la solicitud sea manifiestamente infundada o excesiva.

Eliminar su cuenta borra sus datos como se describe en § 8. Tenga en cuenta que eliminar su cuenta no cancela una suscripción de renovación automática de la App Store — cancélela en los ajustes de su cuenta de Apple, como se explica en nuestra página de Soporte.

11. Niños

El Servicio está destinado a usuarios mayores de 18 años. No recopilamos a sabiendas datos de menores de 18 años. Si descubre que un menor de 18 años nos ha proporcionado datos personales, contacte a privacy@theduetto.com y los eliminaremos.

12. Seguridad

Utilizamos medidas técnicas y organizativas estándar de la industria para proteger sus datos, incluyendo cifrado TLS en tránsito; cifrado a nivel de campo (capa de aplicación) de los campos sensibles de su perfil — su nombre y todos los datos de nacimiento (fecha, hora y lugar de nacimiento, coordenadas y la carta natal calculada), y los mismos campos de cualquier compañero/a que añada — mediante cifrado autenticado que admite rotación de claves; cifrado en reposo a nivel de almacenamiento; controles de acceso y registros de auditoría. Las claves de cifrado se guardan como secretos de despliegue, separadas de la base de datos.

El texto narrativo de sus lecturas se almacena actualmente sin esa capa adicional a nivel de campo, protegido únicamente por el cifrado a nivel de almacenamiento y los controles de acceso. Como una lectura se dirige a usted por su nombre, puede contener el nombre que haya introducido. Estamos ampliando el cifrado a nivel de campo para que cubra el contenido de las lecturas.

Ningún método de transmisión o almacenamiento es 100 % seguro; no podemos garantizar seguridad absoluta. Si tenemos conocimiento de una brecha de datos personales que afecte a sus derechos, lo notificaremos a la UK ICO en un plazo de 72 horas y se lo notificaremos sin demora indebida si así lo exige la ley.

13. Cookies y almacenamiento en el dispositivo

Nuestro sitio web theduetto.com utiliza cookies — véase nuestra Política de Cookies para más detalles y cómo controlarlas.

La Mini App de Telegram y la app de iOS no utilizan cookies con fines publicitarios ni de rastreo entre sitios. Almacenan lo siguiente en su dispositivo para que siga con la sesión iniciada y no pierda el trabajo en curso:

• su token de sesión y, en iOS, el identificador de dispositivo, en el llavero (keychain) del dispositivo
• el borrador del onboarding: el nombre, la fecha de nacimiento, la hora de nacimiento y la ciudad de nacimiento que ha introducido pero aún no ha enviado
• el borrador de compañero/a que está rellenando para una lectura de sinastría
• las preferencias de interfaz y el identificador de su lectura natal más reciente

Dentro de Telegram, el cliente de Telegram puede sincronizar algunos de estos valores a través del propio almacenamiento en la nube de Telegram en lugar de mantenerlos solo en el dispositivo; estamos cambiándolo para que todo lo anterior permanezca en su dispositivo. Puede borrar estos datos eliminando la app o los datos de la Mini App.

14. Cambios en esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Actualizaremos la fecha de "Última actualización" en la parte superior. Para cambios sustanciales, le notificaremos en la app o por mensaje antes de que el cambio entre en vigor, y cuando lo exija la ley obtendremos nuevo consentimiento.

15. Contacto

Para cualquier pregunta, solicitud o reclamación sobre privacidad:

• Email: privacy@theduetto.com
• Postal: MAVK ANALYTICS LTD, 20 Wenlock Road, London N1 7GU, Inglaterra

Si no está satisfecho con nuestra respuesta, tiene derecho a presentar una reclamación ante:

• Nuestra autoridad de control: la UK Information Commissioner's Office (ICO) — ico.org.uk — 0303 123 1113
• En otros países: su autoridad nacional de protección de datos también puede admitir una reclamación
• California: California Privacy Protection Agency — cppa.ca.gov

Esta es una traducción. La versión inglesa es la jurídicamente vinculante. En caso de conflicto, prevalece la versión inglesa.