Política de privacidad de Tokenz

1. Responsable y alcance

Esta política se refiere a la app móvil Tokenz y a sus funciones para que las familias organicen en casa las rutinas de sus propios hijos o de menores bajo su responsabilidad. La cuenta la gestiona una persona adulta; los perfiles infantiles no son cuentas de acceso independientes. Los tableros se pueden compartir con adultos de confianza como parte de ese uso familiar. Tokenz no es un servicio para profesionales o centros que gestionan información de menores de distintas familias. La web y su demo tienen una información de privacidad propia.

Responsable del tratamiento: Carlos Cáceres González, España. Contacto para soporte, privacidad y ejercicio de derechos: tokenz.support@proton.me.

No publiques información personal, datos de niños ni pruebas de compra en las incidencias públicas de GitHub. Ese espacio sirve únicamente para problemas generales de la web.

2. Qué datos utiliza la app y para qué

Cuenta y acceso

Al registrarte facilitas un correo y una contraseña. El servicio de autenticación verifica el correo, permite recuperar el acceso y gestiona el identificador de cuenta, las sesiones y las fechas necesarias para mantenerla. La app utiliza credenciales de sesión para recordar el acceso; no necesita guardar tu contraseña en texto legible en el dispositivo.

Perfiles y tableros de los niños

La persona adulta introduce el nombre o apodo del niño y elige una ilustración de avatar. La app no solicita su fecha de nacimiento ni permite subir una fotografía. También guarda las normas y recompensas que configures, sus textos, iconos y valores en puntos, las asignaciones a cada niño y los tableros a los que pertenecen.

Puntos y actividad

Para mostrar el progreso y evitar duplicados se conservan los completados diarios, saldos, canjes, cambios de puntos y las fechas e identificadores de las acciones y de sus autores. Es información necesaria para mantener el tablero y sincronizar cambios entre dispositivos y personas con acceso.

Invitaciones y acceso compartido

Si invitas a alguien, facilitas su correo. Se guarda la relación con el tablero, las fechas, el estado de la invitación y la información técnica necesaria para validarla. Si recibes una invitación, esos datos proceden de la persona que te invita; aceptar o rechazar queda registrado para gestionar el acceso.

Recordatorios y datos en el dispositivo

Los días, horas y preferencias de recordatorio se guardan localmente por cuenta y dispositivo. Las notificaciones no incluyen nombres ni datos de los niños. El dispositivo conserva también una copia de los tableros autorizados, cambios pendientes de sincronizar y el último estado confirmado del plan para continuar trabajando tras el primer acceso. Esta copia local no sustituye el registro del servicio.

Compras de Premium en Android

Cuando se habilite la compra, Google Play procesará el pago. Tokenz utilizará el token de compra, el producto, su estado, la confirmación de entrega y un identificador opaco derivado de la cuenta para verificar, restaurar o revocar la licencia. Los eventos de Google sobre compras y anulaciones se usarán para mantenerla actualizada. Tokenz no recibe el número completo de tu tarjeta ni sus credenciales de pago. La compra real todavía no está habilitada.

Información técnica del servicio

El servicio genera identificadores de sincronización y registros técnicos de operaciones. Nuestros eventos de diagnóstico incluyen el resultado, código de respuesta, duración y una referencia aleatoria; no añaden los nombres de niños, correos, contraseñas ni contenido de los tableros. Los servicios de alojamiento y autenticación pueden conservar además información de conexión, como IP, fecha y datos técnicos de las solicitudes, para operar y proteger la infraestructura.

Sin correo y autenticación no se puede crear una cuenta. Puedes elegir qué normas, recompensas e invitaciones crear y si habilitas los recordatorios o compras Premium. La app no incorpora publicidad, rastreo comercial ni uso de los datos familiares para entrenar modelos de IA.

3. Información sobre los niños

Tokenz está destinada a personas adultas que acompañan a los niños. El adulto controla la cuenta y las acciones; no se ofrece registro independiente para menores. Introduce únicamente datos para cuyo tratamiento y eventual comunicación tengas facultades, y usa un apodo si no necesitas guardar el nombre completo.

Las rutinas pueden revelar información personal del niño. No se piden diagnósticos, documentos de identidad, información médica ni otros datos sensibles: evita introducirlos en los textos libres. Los avatares son ilustraciones incluidas en la app.

Antes del lanzamiento se concretarán la base jurídica para estos datos y, cuando corresponda, la información y autorización de sus representantes legales. Este borrador no afirma que exista ya una verificación de edad ni un mecanismo de consentimiento implementado.

4. Finalidades y base jurídica

La propuesta para gestionar la cuenta adulta, la sincronización solicitada y la licencia es la prestación del servicio. Para prevenir abusos, proteger accesos y resolver incidencias se prevé un interés legítimo de seguridad, que debe documentarse y ponderarse. Las obligaciones legales aplicables podrán justificar conservar determinados justificantes.

El tratamiento de datos de los niños requiere una justificación específica; no se considera automáticamente cubierto por el contrato de la cuenta adulta. Esta base y las garantías correspondientes deben quedar confirmadas antes del lanzamiento. Permitir notificaciones en el sistema operativo controla ese permiso técnico y no equivale por sí solo a consentir otros tratamientos.

5. Quién puede ver un tablero compartido

Los tableros no son públicos. Si decides compartir uno con otro adulto de confianza para apoyar el uso familiar, los invitados autorizados pueden ver el perfil del niño de ese tablero, las normas, recompensas, puntos y actividad, y realizar las acciones que su acceso permita. No reciben acceso automático a otros tableros tuyos. Esta función no convierte Tokenz en un servicio para que profesionales o centros gestionen datos de menores de distintas familias.

El propietario puede revocar el acceso. La app deja de autorizarlo y retira la copia del invitado al detectar la revocación. No podemos retirar una captura o una copia externa que una persona haya hecho mientras tenía acceso; comparte solo con personas en quienes confíes.

Una invitación pendiente no concede acceso de uso al tablero. Revisar una invitación válida puede mostrar su nombre o el del niño para que el destinatario sepa qué va a aceptar. Los enlaces de invitación caducan a las 72 horas; su caducidad no significa que el registro técnico de la invitación se elimine en ese momento.

Solo se comunican datos a las personas invitadas para las funciones compartidas, a proveedores necesarios para prestar el servicio y, si existe una obligación válida, a las autoridades competentes. No se venden los datos ni se ceden con fines de publicidad.

6. Proveedores y ubicación del tratamiento

• Supabase: cuentas, base de datos, sincronización, autorización y funciones del servidor. La región actualmente configurada para la base de datos de beta es eu-west-1, en la UE. Esa elección no implica que todos los servicios auxiliares, soporte o subproveedores traten datos exclusivamente en la UE.
• Correo de servicio: confirmaciones, recuperación e invitaciones pasan por el proveedor de envío y el servicio de correo del destinatario. Se procesan el correo, el mensaje y su enlace. La configuración documentada para beta utiliza Gmail/Google; el proveedor transaccional del lanzamiento y sus condiciones se confirmarán antes de abrir el servicio al público.
• Google Play y servicios de Google asociados a la compra: cuando se habiliten, procesarán los pagos, la verificación y los eventos de la licencia Android. No recibirán el contenido de los tableros a través de esta integración.
• Sistema operativo del dispositivo: protege las credenciales de sesión y gestiona las notificaciones locales según los permisos que elijas.

Puede haber tratamiento internacional mediante estos proveedores. Antes del lanzamiento deben confirmarse los acuerdos de tratamiento, los destinatarios y, cuando proceda, la decisión de adecuación o las garantías aplicables, así como cómo obtener información sobre ellas. Este borrador no afirma que los contratos o las garantías ya hayan sido formalizados.

Información de los proveedores: acuerdo de tratamiento de Supabase, sus subproveedores y privacidad de Google. Esos documentos no sustituyen los compromisos de Tokenz ni describen por sí solos tu configuración concreta.

7. Medidas de seguridad y permisos

Las comunicaciones con el servicio utilizan HTTPS. El servidor verifica la identidad y limita el acceso según el propietario y las autorizaciones del tablero. Las credenciales de sesión se guardan en el almacenamiento protegido de la plataforma; la copia local de los tableros debe protegerse también mediante el bloqueo del dispositivo. Las copias de recuperación del servicio se cifran y se guardan en almacenamiento externo controlado por Tokenz, con la clave de cifrado protegida por separado. No se ofrece cifrado de extremo a extremo de los tableros.

La app puede pedir permiso para las notificaciones y, en Android, reprogramarlas tras reiniciar el dispositivo. Puedes desactivarlas en los ajustes. Tokenz no solicita acceso a la ubicación precisa, cámara, micrófono, fotografías, contactos ni identificadores de publicidad. Los proveedores pueden registrar una IP para gestionar conexiones, lo que no equivale a usar el GPS del dispositivo.

Los puntos y las reglas los configuran los adultos. No se elaboran perfiles publicitarios ni se adoptan decisiones automatizadas con efectos jurídicos o similares sobre los niños a partir de sus logros.

8. Conservación de la información

Los datos de cuenta y los tableros se conservan mientras se utiliza el servicio, salvo eliminación solicitada. Los cambios antiguos de sincronización se retiran por prefijos consecutivos del registro cuando alcanzan una antigüedad mínima de 30 días. Si un dispositivo vuelve a conectarse con cambios anteriores a ese tramo conservado, recibe una copia completa y actualizada del tablero para ponerse al día. Este proceso conserva los datos necesarios para el uso actual: membresías activas, niños, normas, recompensas, puntos e historial diario de los usuarios.

Las invitaciones resueltas o caducadas se conservan durante un mínimo de siete días desde su resolución o caducidad y la tarea diaria activada está configurada para eliminarlas después. Los cambios de sincronización y las invitaciones no se eliminan necesariamente en el instante exacto en que cumplen esos plazos: la tarea diaria establece una edad mínima, no una hora límite garantizada de borrado. Borrar o desasignar un elemento puede mantener su referencia en el historial y los registros de sincronización hasta que se aplique esta conservación; no equivale a borrar la cuenta. Esta conservación no aplaza la retirada de las referencias personales atribuibles cuando se elimina una cuenta.

La prueba mínima de compra, los registros de anulaciones y los identificadores técnicos de eventos de licencia pueden sobrevivir a la eliminación de la cuenta para restaurar una compra válida y evitar su reutilización o una revocación incorrecta. Se conservan desvinculados del perfil; un token o un hash sigue pudiendo ser un dato personal y no se presenta como información anónima. Actualmente no tienen un plazo automático de eliminación fijado.

Para recuperación ante fallos se realizan copias cifradas de forma manual, con una cadencia prevista de una vez por semana. Se conservan las dos copias semanales más recientes y una copia adicional tomada antes de una operación relevante. No hay una tarea automática ni un servicio de pago que garantice la ejecución; una copia puede faltar o quedar más antigua si la operación semanal se retrasa u omite. Esta regla de conservación por número de copias no promete que todas se eliminen exactamente a los 14 días.

Una solicitud de eliminación de cuenta no modifica instantáneamente las copias ya creadas. Si se restaura una copia, antes de volver a habilitar el servicio se deben aplicar las eliminaciones y revocaciones registradas después de esa copia. La comprobación operativa de esas eliminaciones y revocaciones posteriores sigue pendiente; si no hay evidencia autoritativa suficiente, el servicio restaurado debe permanecer cerrado hasta resolverlo. Los registros de compra/anulación, los logs de proveedores y otras copias siguen sujetos a sus propios criterios pendientes.

9. Eliminar tu cuenta y sus datos

Desde la sección Cuenta de la app puedes iniciar Eliminar cuenta y confirmar la operación. Se elimina la identidad de acceso, los tableros de los que eres propietario y su contenido asociado, las invitaciones creadas en esos tableros y tus accesos como miembro. La app retira sus copias locales y los recordatorios de esa cuenta del dispositivo en el que se realiza el borrado.

Si actuaste como invitado en tableros de otras personas, sus puntos y canjes se mantienen para conservar el saldo y el historial del propietario, pero se retiran las referencias directas a tu cuenta de los registros activos y de sus versiones históricas de sincronización. También se eliminan las invitaciones recibidas que estén vinculadas a tu cuenta o a tu correo actual confirmado. Las réplicas afectadas recuperan una copia actualizada al conectarse. No se deduce la titularidad de direcciones antiguas sin un vínculo comprobable ni se trata una dirección no confirmada como si fuera tuya.

La prueba mínima de compra y los registros técnicos de licencia descritos antes se conservan separadamente. Las copias cifradas de recuperación existentes pueden seguir conteniendo los datos de la cuenta hasta que esas copias salgan del conjunto conservado; el borrado de la cuenta no las edita en el momento. La eliminación y cualquier revocación posterior se reaplicarán si se restaura una copia, antes de reabrir el servicio. Las excepciones no conservan tus propios tableros familiares en el servicio activo, pero deben tener una finalidad, base jurídica y conservación justificadas antes del lanzamiento.

Desinstalar la app o cerrar sesión no elimina la cuenta del servidor. Cerrar sesión cancela los avisos activos y retira las copias de tableros de esa sesión; las preferencias locales de recordatorio permanecen para un acceso posterior. Los demás dispositivos aplican la pérdida de acceso cuando se conectan y la detectan; no pueden limpiarse a distancia mientras estén desconectados.

10. Tus derechos y los de los niños

Puedes solicitar acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad cuando correspondan. También puedes actuar como representante legitimado de un menor y retirar un consentimiento cuando sea la base aplicable. Los datos que puedas editar o eliminar desde la app no sustituyen los demás medios de ejercicio de derechos.

Para ejercer estos derechos, escribe a tokenz.support@proton.me. Indica el correo de la cuenta y el derecho que quieres ejercer; no envíes contraseñas, códigos o enlaces de acceso, nombres o identificadores de niños, ni tu DNI. Se podrá verificar lo necesario de forma proporcionada para proteger la cuenta y, cuando corresponda, confirmar la representación del menor, sin pedir documentos indiscriminadamente. Como regla general las solicitudes deben contestarse en un mes, con la posible ampliación legal que se comunique y justifique.

También puedes reclamar ante la Agencia Española de Protección de Datos o la autoridad competente de tu lugar de residencia. Consulta la información de la AEPD sobre tus derechos.

11. Cambios en esta política

La fecha y la versión de esta página identificarán cada actualización. Antes del lanzamiento se completarán los campos pendientes y se comprobará su coherencia con el servicio, la información dentro de la app y las declaraciones de Google Play. Los cambios relevantes en datos, usos o destinatarios requerirán una información adecuada y, cuando corresponda, una nueva autorización; no se incorporan a esta versión servicios de publicidad futuros.