Política de privacidad

En simvix nos tomamos en serio la privacidad de todos los lectores que usan nuestro servicio, ya sean adultos, adolescentes o perfiles kid gestionados por un tutor. Esta política explica qué datos tratamos, con qué base legal, durante cuánto tiempo los conservamos y qué derechos tienes. El tratamiento se rige por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

1. Responsable del tratamiento

El responsable del tratamiento es simvix. Para cualquier consulta relacionada con privacidad o con el ejercicio de tus derechos, puedes escribirnos a privacidad@simvix.com.

2. Datos que tratamos

Solo tratamos los datos estrictamente necesarios para prestar el servicio:

Datos de cuenta: correo electrónico y nombre público, obtenidos mediante Google OAuth. No almacenamos contraseñas.
Tipo de cuenta y año de nacimiento: declarados en el onboarding para verificar la mayoría de edad digital (≥14 años en España) y configurar los permisos de audiencia/rating.
Perfiles kid creados por un tutor: sólo “nickname”, rango de edad y rating máximo. Sin PII del menor (no nombre completo, no edad exacta, no dirección).
Datos de uso: libros que generas, ediciones, estadísticas agregadas de lectura (tiempo total por libro), preferencias de la biblioteca, tema preferido (kids/adult).
Datos técnicos: dirección IP, tipo de dispositivo y logs de errores, usados exclusivamente para seguridad, prevención de abuso y diagnóstico.

No pedimos, ni recogemos, ni tratamos PII de menores. El tema y el rango de edad del niño se utilizan únicamente para generar la historia y no se vinculan a ninguna identidad.

3. Menores de edad y perfiles kid

En España, la edad mínima para prestar consentimiento en servicios digitales es 14 años (art. 7 LOPDGDD). simvix permite dos caminos:

Menores de 14 años: acceden únicamente como perfiles kid bajo la cuenta de un tutor adulto (padre, madre, tutor legal o educador). El tutor consiente en su nombre. El perfil kid sólo permite generar y ver contenido con rating ≤ PG.
Entre 14 y 17 años: pueden crear cuenta propia (audiencia YOUNG_ADULT), que accede a contenido rating ≤ PG-13. Sin acceso a contenido adulto.
Mayores de 18 años: cuenta adulta completa, puede generar para cualquier audiencia y opcionalmente crear perfiles kid para los menores a su cargo.

La segregación entre cuentas kid y contenido adulto se aplica por diseño en tres capas independientes (middleware, endpoints y consultas a base de datos) y es no-derrotable.

4. Finalidades y base legal

Prestar el servicio (generar libros, mantener tu biblioteca): ejecución del contrato (art. 6.1.b RGPD).
Seguridad y prevención de abuso (rate limiting, detección de uso fraudulento): interés legítimo (art. 6.1.f RGPD).
Cumplimiento de obligaciones legales: conservación de registros cuando la ley lo exige (art. 6.1.c RGPD).

No utilizamos tus datos para publicidad ni los cedemos a terceros con fines comerciales.

5. Encargados del tratamiento

Para prestar el servicio confiamos en proveedores que actúan como encargados del tratamiento bajo contrato:

Google LLC — autenticación (Google OAuth).
Google Cloud (GCP) — alojamiento, base de datos y almacenamiento. Las cargas de trabajo se despliegan en la UE.
Anthropic PBC — modelo de IA Claude para generar el texto de las historias. Anthropic no utiliza los contenidos enviados por nuestra API para reentrenar sus modelos.
Proveedor de generación de imágenes — utilizado únicamente para ilustraciones solicitadas por el usuario.

Algunos proveedores tienen sedes fuera del EEE. En esos casos las transferencias se realizan al amparo de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otras garantías previstas en los artículos 46 y ss. del RGPD.

6. Conservación

Cuenta y libros generados: mientras la cuenta esté activa, o hasta que solicites su supresión.
Logs técnicos: un máximo de 90 días salvo investigación de seguridad en curso.
Datos necesarios para obligaciones legales: el tiempo legalmente exigido.

7. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento y no estar sometido a decisiones individuales automatizadas. Para ejercerlos, escríbenos a privacidad@simvix.comindicando el derecho que deseas ejercer. Responderemos en un plazo máximo de un mes.

Si consideras que no hemos atendido correctamente tu solicitud, tienes derecho a reclamar ante la Agencia Española de Protección de Datos.

8. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo: cifrado en tránsito (TLS 1.2+), control de accesos por rol, registro de auditoría, gestión de secretos en GCP Secret Manager, separación de entornos y revisiones de seguridad periódicas.

9. Cookies

Solo usamos cookies estrictamente necesarias para mantener la sesión tras iniciar sesión con Google. No utilizamos cookies de analítica ni de marketing.

10. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o en el servicio. La fecha de la última actualización aparece al inicio de la página. Si los cambios son sustanciales, te avisaremos por correo electrónico antes de que entren en vigor.

11. Usuarios en América Latina

México

El tratamiento de datos personales de usuarios en México se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento. El responsable del tratamiento es simvix. El usuario puede ejercer sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) mediante solicitud a privacy@simvix.com. La autoridad de supervisión competente es el INAI (inai.org.mx).

Argentina

Los usuarios en Argentina están protegidos por la Ley N.º 25.326 de Protección de Datos Personales y sus normas complementarias. El titular de los datos puede ejercer los derechos de acceso, rectificación, supresión y confidencialidad conforme al artículo 14 de la citada ley, dirigiendo su solicitud a privacy@simvix.com. La autoridad de aplicación es la AAIP (argentina.gob.ar/aaip).

Brasil

O tratamento de dados pessoais de usuários no Brasil está sujeito à Lei Geral de Proteção de Dados Pessoais (LGPD – Lei n.º 13.709/2018). O titular dos dados pode exercer os direitos previstos no art. 18 da LGPD mediante solicitação a privacy@simvix.com. A autoridade competente é a ANPD (gov.br/anpd).

Colombia, Chile, Perú y otros países

Los usuarios en Colombia (Ley 1581 de 2012), Chile (Ley 19.628) y Perú (Ley 29733) disponen de los derechos reconocidos en sus respectivas legislaciones nacionales de protección de datos. Para ejercerlos, diríjanse a privacy@simvix.com.

Transferencias internacionales de datos

Los datos se almacenan en servidores de Google Cloud Platform ubicados en la Unión Europea (región europe-west). Las transferencias internacionales se realizan bajo las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (art. 46 RGPD) y los marcos de adecuación aplicables. Los principales subencargados del tratamiento son: Anthropic (generación de texto IA), Google LLC (infraestructura cloud, síntesis de voz), Stripe Inc. (pagos) y SendGrid (correo transaccional).