MindyCards:
Política de Privacidad

1. Responsable del tratamiento

MindyWorld OÜ es el responsable del tratamiento de los datos tratados en relación con MindyCards.

Domicilio social: Jõe tn 3-315, 10151 Tallin, Estonia

Número de registro: 17339961

Contacto: [email protected]

Autoridad de control: Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon), www.aki.ee/en

2. Resumen

MindyCards ofrece dos formas de utilizar la App: de forma anónima (sin cuenta) o con una cuenta que permite la sincronización del progreso y una suscripción Premium que elimina la publicidad. Los datos que tratamos dependen de la opción que elija.

En la modalidad gratuita, la App se financia mediante publicidad no personalizada. En MindyCards no se utiliza publicidad personalizada.

Recopilamos únicamente los datos personales mínimos necesarios para prestar la App, procesar las suscripciones Premium y hacer funcionar las funciones de cuenta.

3.1 Si utiliza MindyCards sin cuenta

Modelo del dispositivo y versión del sistema operativo.

Versión de la App e informes de fallos.

Métricas de sesión anonimizadas (inicios de partida, partidas completadas, tiempo en la aplicación, pantallas visitadas).

Preferencias de idioma y configuración regional.

Región aproximada derivada de la dirección IP (solo a nivel de país).

Datos de publicidad no personalizada (véase la Sección 7).

3.2 Si crea una cuenta en MindyCards

Datos adicionales tratados:

Identificador de cuenta (identificador de sujeto de Keycloak, identificador de Iniciar sesión con Apple, identificador de cuenta de Google o dirección de correo electrónico utilizada para el registro).

Nombre de usuario o nombre visible elegido por usted.

Imagen de perfil, si decide subir una.

Progreso de juego, logros, moneda virtual y opciones de personalización sincronizadas entre sus dispositivos.

Preferencias de la App y ajustes de accesibilidad vinculados a su cuenta (cuando opta por sincronizarlos entre dispositivos).

3.3 Si se suscribe a MindyCards Premium

Estado de la suscripción (activa, pausada, cancelada) y fecha de renovación.

País de la cuenta de la tienda de aplicaciones utilizada para adquirir la suscripción.

Identificador de transacción asociado a su compra.

Los datos completos de pago (número de tarjeta, código de seguridad, dirección de facturación) nunca son accesibles para MindyCore. Los gestionan directamente Apple, Google o nuestro procesador de pagos, según el método de compra que utilice. Véase la Sección 8.

3.4 Datos que NO recopilamos

No recopilamos datos biométricos.

No recopilamos datos de ubicación precisa en tiempo real.

No recopilamos sus contactos, fotos ni archivos ajenos a la App.

No recopilamos información sobre su perfil neurodivergente, diagnóstico o estado de salud. Los ajustes de accesibilidad, incluso cuando se sincronizan mediante la cuenta, se almacenan como preferencias de usuario y no se interpretan, infieren ni analizan como datos de salud.

No vendemos datos personales.

4. Por qué tratamos estos datos (finalidades)

Operar la App, mantener su cuenta y sincronizar su progreso entre dispositivos.

Procesar y verificar las suscripciones Premium.

Mostrar publicidad no personalizada en la modalidad gratuita (las personas usuarias Premium no ven anuncios).

Detectar, diagnosticar y corregir fallos y errores.

Analizar patrones de uso agregados y anonimizados para mejorar la jugabilidad y la accesibilidad.

Comunicarnos con usted sobre su cuenta, su suscripción o cambios sustanciales en la App.

Proteger frente al fraude, el abuso y las infracciones de nuestras políticas.

Cumplir las obligaciones legales que nos resultan aplicables, incluidas las fiscales y las de protección de los consumidores.

5. Base jurídica (RGPD)

Ejecución de un contrato (art. 6.1.b): para prestar la App, mantener su cuenta y gestionar la suscripción Premium.

Interés legítimo (art. 6.1.f): para detectar fallos, analizar métricas agregadas y prevenir el fraude, ponderado frente a sus derechos y libertades.

Consentimiento (art. 6.1.a): para las tecnologías de seguimiento que requieren consentimiento conforme a las normas ePrivacy de la UE y para cualquier función opcional (por ejemplo, comunicaciones de marketing, si se introdujeran).

Obligación legal (art. 6.1.c): para cumplir las leyes y reglamentos que nos son aplicables, incluidos los fiscales.

6. Creación de cuenta y autenticación

La autenticación en MindyCards se gestiona a través de Keycloak, un sistema de gestión de identidades y accesos operado por MindyWorld OÜ sobre infraestructura alojada en la Unión Europea, en combinación con Firebase Authentication. Sus credenciales y tokens de identidad son gestionados por estos sistemas.

Para crear una cuenta en MindyCards puede utilizar uno de estos métodos:

Iniciar sesión con Apple: Apple comparte con nosotros un identificador estable y, si usted lo desea, su correo electrónico (o un correo de retransmisión privada). Su contraseña de Apple ID nunca se comparte con nosotros.

Iniciar sesión con Google: Google comparte con nosotros un identificador estable y su dirección de correo electrónico. Su contraseña de Google nunca se comparte con nosotros.

Registro con correo electrónico y contraseña: solicitamos una dirección de correo electrónico y una contraseña. Las contraseñas se almacenan mediante funciones criptográficas de hash estándar del sector y nunca se guardan en texto plano.

Puede eliminar su cuenta de MindyCards en cualquier momento desde el menú de Ajustes dentro de la App, o escribiendo a [email protected]. Tras la eliminación, sus datos personales se suprimen en un plazo de 30 días, salvo los registros que estamos legalmente obligados a conservar (como los registros de transacciones conforme a la legislación fiscal estonia y de la UE, conservados hasta 7 años).

7. Publicidad y consentimiento

La modalidad gratuita de MindyCards muestra únicamente publicidad no personalizada. La suscripción Premium elimina toda la publicidad.

Cuando la legislación de la UE y del Reino Unido así lo exige, utilizamos la User Messaging Platform (UMP) de Google para solicitar su consentimiento para el uso de identificadores publicitarios antes de mostrar cualquier anuncio. Puede modificar su decisión sobre el consentimiento en cualquier momento desde las opciones de privacidad disponibles en los ajustes de la App.

En iOS se aplica App Tracking Transparency (ATT) de Apple. Dado que MindyCards no utiliza seguimiento entre aplicaciones, el aviso de ATT no se muestra.

En Android, el Identificador de Publicidad de Android puede utilizarse de forma limitada para la prevención del fraude y la limitación de frecuencia, tal como se describe en las políticas de Google AdMob para publicidad no personalizada.

8. Suscripciones Premium y pagos

Las suscripciones Premium adquiridas dentro de la App se facturan a través de Apple In-App Purchase o Google Play Billing, de acuerdo con sus respectivas reglas. Los datos de pago de estas compras son tratados directamente por Apple o Google.

Utilizamos RevenueCat como servicio de gestión de suscripciones. RevenueCat recibe el identificador de transacción, su identificador de usuario de la aplicación, el estado de la suscripción, el identificador de producto, la plataforma y las fechas de renovación o de vencimiento. No recibe los datos de su tarjeta de pago. RevenueCat actúa como encargado del tratamiento por cuenta nuestra en virtud de un contrato de encargo de tratamiento.

Para las compras realizadas fuera de las tiendas de aplicaciones, cuando se ofrezcan, los pagos son procesados por Stripe. Stripe recibe los datos de pago necesarios para completar la transacción y actúa como responsable independiente respecto de los datos de pago que trata, además de ser nuestro encargado del tratamiento para los registros de transacciones. MindyCore no almacena en ningún momento los datos completos de su tarjeta.

Las suscripciones se renuevan automáticamente hasta su cancelación. Puede gestionar o cancelar su suscripción en cualquier momento desde los ajustes de su cuenta de Apple ID o de Google Play, o mediante el mecanismo indicado en el momento de la compra. Las solicitudes de reembolso de compras en tiendas de aplicaciones son gestionadas por la tienda correspondiente.

9. Niños y menores

MindyCards está destinada a personas usuarias de 13 años o más, según se establece en nuestros Términos de Servicio.

Si tiene entre 13 años y la edad de consentimiento digital de su país (16 años por defecto conforme al RGPD de la UE, con variaciones nacionales), usted confirma que cuenta con el consentimiento explícito de un progenitor o tutor legal para crear una cuenta y utilizar la App.

No recopilamos conscientemente datos personales de menores de 13 años. Si tenemos conocimiento de que una persona usuaria es menor de 13 años, cerraremos la cuenta y eliminaremos los datos personales asociados sin dilación indebida. Si es usted progenitor o tutor legal y cree que su hijo o hija menor de 13 años ha creado una cuenta, póngase en contacto con nosotros en [email protected].

Los controles parentales del sistema operativo (Apple Screen Time, Google Family Link o equivalentes) siguen siendo el mecanismo principal para que los progenitores supervisen el uso que sus hijos hacen de los servicios digitales. MindyCore ofrece el marco técnico y contractual, pero la supervisión parental es responsabilidad del progenitor o tutor legal.

Para todas las personas usuarias, con independencia de su edad, aplicamos en MindyCards unos ajustes de privacidad estrictos por defecto: únicamente publicidad no personalizada, ninguna comunicación de marketing sin consentimiento expreso y recopilación mínima de datos desde el diseño.

10. Comunicación de datos a terceros

No vendemos sus datos personales. Compartimos datos limitados con los proveedores de servicios que se enumeran a continuación, cada uno en virtud de contratos que exigen una protección equivalente al RGPD. Algunos de estos servicios ya están en uso; otros están integrados y se activarán en próximas versiones de la App, y se enumeran aquí por transparencia.

Identidad y autenticación

Keycloak: gestión de identidades y accesos, operada por MindyWorld OÜ sobre infraestructura alojada en la Unión Europea.

Hostinger International Ltd: proveedor de alojamiento de la infraestructura que ejecuta nuestros servicios de autenticación.

Firebase Authentication: Google Ireland Limited y Google LLC.

Iniciar sesión con Apple: Apple Inc.

Iniciar sesión con Google: Google Ireland Limited y Google LLC.

Almacenamiento de datos y backend

Firebase Cloud Firestore: almacenamiento del progreso de juego y de las preferencias de cuenta. Google Ireland Limited y Google LLC.

Firebase Storage: almacenamiento de contenido subido por las personas usuarias, como imágenes de perfil. Google Ireland Limited y Google LLC.

Firebase Cloud Functions: procesamiento en servidor de la lógica de la aplicación, incluidos los eventos de suscripción. Google Ireland Limited y Google LLC.

Analítica y diagnóstico

Firebase Analytics: analítica de uso agregada, cuando se presta consentimiento en los casos en que se requiere. Google Ireland Limited y Google LLC.

Publicidad

Google AdMob: publicidad no personalizada en la modalidad gratuita. Google Ireland Limited y Google LLC.

Pagos y suscripciones

Apple App Store: distribución, facturación y suscripciones. Apple Inc.

Google Play: distribución, facturación y suscripciones. Google LLC.

RevenueCat, Inc.: gestión de suscripciones y verificación de derechos.

Stripe Payments Europe, Ltd.: procesamiento de pagos para compras realizadas fuera de las tiendas de aplicaciones, cuando se ofrezcan.

Comunicaciones

Brevo (Sendinblue SAS): envío de correos transaccionales y newsletters, cuando proceda.

Zoho Corporation B.V.: servicios de correo electrónico.

Cada uno de estos servicios tiene su propia política de privacidad. Los enlaces pueden solicitarse en [email protected].

También podemos comunicar datos cuando así lo exija la ley, una orden judicial o un requerimiento vinculante de una autoridad competente, o para proteger nuestros derechos o los derechos de terceros.

11. Transferencias internacionales de datos

Algunos de nuestros proveedores de servicios tratan datos fuera del Espacio Económico Europeo (EEE), incluidos los Estados Unidos. Cuando los datos se transfieren internacionalmente, garantizamos una protección adecuada mediante:

Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, cuando resulten aplicables.

El Marco de Privacidad de Datos UE-EE. UU. (DPF), cuando el destinatario está certificado.

Otros mecanismos legales equivalentes reconocidos por el RGPD.

Nuestra infraestructura de autenticación está alojada dentro de la Unión Europea. El progreso de juego y los datos de cuenta almacenados en Firebase Cloud Firestore pueden alojarse en regiones fuera del EEE; cuando así sea, se aplican las garantías descritas anteriormente.

12. Conservación

Cuentas activas: los datos se conservan mientras su cuenta esté en uso.

Cuentas inactivas: las cuentas sin actividad durante 24 meses consecutivos pueden eliminarse, con aviso previo por correo electrónico cuando dispongamos de una dirección válida.

Tras la eliminación de la cuenta: los datos personales se suprimen en un plazo de 30 días, salvo los registros que estamos legalmente obligados a conservar.

Registros de transacciones (suscripciones Premium): se conservan hasta 7 años, según exige la legislación fiscal estonia y de la UE.

Registros de fallos y datos de diagnóstico: se conservan hasta 90 días.

Analítica agregada y anonimizada: puede conservarse indefinidamente con fines estadísticos.

13. Sus derechos

Conforme al RGPD de la UE y a normativas similares, usted dispone de los siguientes derechos:

Derecho de acceso: a conocer qué datos personales tratamos.

Derecho de rectificación: a corregir datos personales inexactos o incompletos.

Derecho de supresión (derecho al olvido): puede eliminar su cuenta desde el menú de Ajustes de la App o poniéndose en contacto con nosotros.

Derecho de limitación: a limitar el modo en que tratamos sus datos personales.

Derecho de oposición: a oponerse al tratamiento basado en el interés legítimo.

Derecho a la portabilidad de los datos: a recibir sus datos en un formato estructurado, de uso común y de lectura mecánica.

Derecho a retirar el consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.

Derecho a presentar una reclamación ante una autoridad de protección de datos: en particular en el Estado miembro de la UE de su residencia habitual.

Para ejercer estos derechos, póngase en contacto con nosotros en [email protected]. Respondemos en un plazo de 30 días, con una posible ampliación de 60 días adicionales para solicitudes complejas.

14. Residentes en EE. UU. (CCPA / CPRA)

Si usted reside en California (EE. UU.), la California Consumer Privacy Act (CCPA) y la California Privacy Rights Act (CPRA) le otorgan derechos específicos, entre ellos:

Derecho a conocer qué categorías de información personal se han recopilado.

Derecho a eliminar la información personal que hayamos recopilado.

Derecho a oponerse a cualquier «venta» o «cesión» de información personal. No vendemos ni cedemos información personal en el sentido de la legislación de California.

Derecho a corregir información personal inexacta.

Derecho a no sufrir discriminación por ejercer sus derechos.

Para ejercer los derechos específicos de California, póngase en contacto con nosotros en [email protected]. Pueden ser de aplicación derechos similares si reside en otros estados de EE. UU. con leyes comparables, y los atendemos cuando así se solicita.

15. Seguridad

Protegemos los datos con medidas de seguridad estándar del sector: cifrado en tránsito (TLS), cifrado en reposo cuando resulta aplicable, hash de contraseñas con algoritmos estándar del sector, controles de acceso basados en el principio de mínimo privilegio, infraestructura en la nube segura y revisiones de seguridad periódicas.

En caso de una violación de la seguridad de los datos personales que pueda afectar a sus derechos, lo notificaremos a la autoridad de protección de datos competente en un plazo de 72 horas y, cuando la ley así lo exija, también informaremos a las personas usuarias afectadas sin dilación indebida.

16. Identificadores de dispositivo y tecnologías similares

Aunque MindyCards es una aplicación móvil y no utiliza cookies en sentido técnico, sí se apoya en tecnologías similares en su dispositivo, en particular:

Almacenamiento local en el dispositivo para recordar los ajustes de accesibilidad, el progreso de juego, el estado de sesión y las preferencias de consentimiento.

Tokens de autenticación para mantener su sesión iniciada entre sesiones.

Identificadores publicitarios (IDFA en iOS, Identificador de Publicidad de Android en Android) utilizados de forma limitada por Google AdMob en la modalidad gratuita para la prevención del fraude y la limitación de frecuencia en publicidad no personalizada.

Identificadores de sesión anonimizados utilizados por Firebase Analytics, cuando se presta consentimiento en los casos en que se requiere.

Puede restablecer los identificadores publicitarios, desactivar el seguimiento publicitario o configurar los permisos de seguimiento en los ajustes del sistema de su dispositivo (iOS: Privacidad → Seguimiento; Android: Ajustes → Privacidad → Anuncios).

17. Decisiones automatizadas

MindyCards no adopta decisiones sobre usted basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente de modo similar.

18. Cambios en esta Política de Privacidad

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios significativos se anunciarán a través de la App, por correo electrónico (a las personas titulares de una cuenta) y en mindycore.com con al menos 30 días de antelación, cuando resulte razonablemente posible. La fecha de versión que figura al inicio de esta Política se actualizará para reflejar cada cambio.

19. Contacto y reclamaciones

Para preguntas, solicitudes sobre sus datos o reclamaciones relacionadas con esta Política de Privacidad, escríbanos a: [email protected].

Si no queda satisfecho con nuestra respuesta, tiene derecho a presentar una reclamación ante la Inspección de Protección de Datos de Estonia (www.aki.ee/en) o ante su autoridad local de protección de datos.