Política de Privacidad

2Quiénes somos (Responsable del tratamiento)

3A TECH, CNPJ 55.668.091/0001-20, con sede en São Paulo, Brasil, es la responsable del tratamiento de los datos personales tratados en el Servicio, salvo en el Modo Clase en escuelas, en el que la Escuela Asociada actúa como responsable y Pupilu como encargada (LGPD, art. 5, VI y VII).

Encargado de Protección de Datos (Data Protection Officer / DPO): contato@pupilu.com.br.

3A quién se aplica esta Política

• Responsables y usuarios adultos que crean una Cuenta para uso propio o de sus dependientes.
• Niños, niñas y adolescentes vinculados a una Cuenta de Responsable (Modo Completo).
• Alumnos registrados por Escuelas Asociadas (Modo Clase).
• Docentes vinculados a Escuelas Asociadas.
• Escuelas Asociadas (personas jurídicas), en cuanto a los datos de contacto y gestión.
• Visitantes del sitio web pupilu.com.br.

4Qué datos recopilamos

• De Responsables y adultos: nombre completo, correo electrónico, contraseña (almacenada como hash argon2id), fecha y hora de aceptación de los términos, IP de registro, modelo del dispositivo, sistema operativo, idioma, datos de cobro (procesados por una pasarela de pago, sin almacenar el número completo de la tarjeta).
• De niños, niñas y adolescentes en Modo Completo: nombre (informado por el Responsable), fecha de nacimiento, avatar (opcional), área de estudio elegida, progreso pedagógico (lecciones completadas, aciertos, errores, XP, racha), logros, mensajes enviados al Tutor IA.
• De alumnos en Modo Clase: nombre (escrito por el alumno en clase), clase y curso (vinculados por el docente), progreso pedagógico, logros. En este modo no recopilamos correo electrónico, teléfono, dirección, foto, documentos ni datos de pago de menores.
• De docentes: nombre, correo institucional, contraseña (hash), escuela y clases que administran, registros de acceso al panel.
• De escuelas: razón social, CNPJ, dirección, correo de contacto, datos del contrato (puestos contratados, vigencia, plan), datos agregados de uso.
• Datos de uso y del dispositivo: dirección IP y la ubicación aproximada obtenida a partir de ella (país, estado y ciudad, nunca la ubicación exacta del aparato), zona horaria, modelo del aparato y sistema operativo, registros de acceso, telemetría de errores y acciones en la aplicación (aperturas, lecciones iniciadas y completadas, ejercicios hechos y fallados, horario de estudio).

5Cómo los recopilamos

• Directamente de ti al crear una Cuenta, completar el perfil, usar funciones o contratar un Plan.
• Automáticamente por el uso del Servicio (registros, métricas, telemetría), incluso mediante la herramienta de análisis de uso descrita en la sección 9.
• De la Escuela Asociada, en el caso de alumnos en Modo Clase (nombre, clase, curso).
• De terceros esenciales: tiendas de aplicaciones (en el caso de suscripciones dentro de la app), pasarela de pago, proveedor de correo transaccional.

6Bases legales (LGPD art. 7 y 11)

• Ejecución de contrato: operar la Cuenta, procesar pagos, ofrecer recorridos y progreso.
• Consentimiento: tratamiento de datos de niños, niñas y adolescentes (Modo Completo), envío de comunicaciones de marketing (opt-in), uso opcional de IA.
• Cumplimiento de una obligación legal o regulatoria: emisión de facturas, atención a autoridades (LGPD, ANPD, CGI.br, Marco Civil de Internet de Brasil).
• Interés legítimo: prevención de fraude, seguridad de la plataforma, mejora continua del Servicio, con evaluación de impacto siempre que corresponda.
• Fines educativos: tratamiento de datos de alumnos en Modo Clase con base en el interés legítimo de la Escuela Asociada en el ejercicio de su actividad educativa, con salvaguardas reforzadas para menores.

7Niños, niñas y adolescentes (LGPD art. 14 y ECA)

El tratamiento de datos de niños, niñas y adolescentes se realiza siempre en su interés superior y con salvaguardas reforzadas.

En Modo Completo, el consentimiento lo otorga el Responsable al aceptar estos Términos y la Política de Privacidad, y puede revocarse en cualquier momento sin perjuicio de la relación contractual ya establecida.

En Modo Clase, la Escuela Asociada es la responsable del tratamiento y responde por su encuadre legal dentro de su actividad educativa. Pupilu, como encargada, sigue las instrucciones de la Escuela, aplica los filtros de seguridad y mantiene los datos restringidos al entorno escolar hasta una eventual Adopción por parte del Responsable.

No elaboramos perfiles con fines publicitarios, no dirigimos anuncios a menores y no compartimos datos de menores para fines ajenos al servicio educativo.

8Para qué usamos los datos

• Autenticar a los usuarios y mantener las sesiones activas.
• Registrar el progreso pedagógico y calcular XP, racha, vidas, logros y clasificación.
• Personalizar la recomendación de recorridos, dificultad y repasos.
• Operar el Tutor IA con filtros adecuados al perfil del usuario.
• Enviar comunicaciones operativas (cobros, alertas de seguridad, cambios en los términos).
• Enviar comunicaciones de marketing solo con opt-in explícito y nunca a menores de edad.
• Medir el uso de la aplicación (pantallas, aperturas, lecciones, errores, región aproximada) para mejorar el Servicio y corregir problemas.
• Elegir el horario y la cantidad de recordatorios de estudio, según el horario en que el alumno suele estudiar.
• Mostrar resultados pedagógicos a las Escuelas Asociadas, solo con métricas agregadas y anónimas.
• Prevenir fraudes, abusos e incumplimientos de estos Términos.
• Cumplir obligaciones legales, fiscales y regulatorias.

9Con quién compartimos

• Proveedores de alojamiento en la nube y de bases de datos gestionadas, bajo contrato de encargado, con servidores en Brasil o en el exterior.
• Proveedor de correo transaccional, para enviar mensajes de la Cuenta.
• Herramienta de análisis de uso (PostHog, con servidores en Estados Unidos), que recibe los eventos de uso de la aplicación, la dirección IP y la ubicación aproximada. Los eventos se vinculan a un código cifrado del perfil, sin nombre, correo ni otros datos de contacto.
• Red de anuncios (Google AdMob), solo en el plan gratuito. Para menores de 13 años, los anuncios siguen el modo infantil; de 13 a 17 años, siempre son sin personalización; para adultos, solo se personalizan con permiso.
• Pasarela de pago y tiendas de aplicaciones (App Store, Google Play), para procesar las suscripciones; no almacenamos el número completo de la tarjeta.
• Proveedor de IA (modelo de lenguaje), solo con el contenido necesario para responder a la pregunta del usuario; cuando corresponda, bajo un contrato corporativo que prohíbe su uso para entrenar modelos.
• Escuela Asociada, exclusivamente para ver el progreso de sus propios alumnos (Modo Clase) y de los alumnos cuyo Responsable los adoptó mediante un código de adopción (Modo Completo vinculado a la escuela).
• Autoridades públicas, mediante orden judicial, requerimiento administrativo fundamentado o cumplimiento de una obligación legal.
• En caso de reorganización societaria (fusión, adquisición, venta de activos), con comunicación previa a los titulares y manteniendo las mismas garantías.
• No comercializamos datos personales de ninguna forma.

10Tutor IA — tratamiento específico

Los mensajes enviados al Tutor IA son procesados por el Proveedor de IA contratado y se almacenan en nuestros servidores con fines de seguridad, soporte y mejora.

No enviamos al Proveedor de IA datos personales identificables más allá del contenido de la pregunta. Identificadores como nombre, correo y datos sensibles se eliminan o sustituyen antes del envío.

Las conversaciones pueden revisarse, de forma agregada y anonimizada, para auditorías de calidad y seguridad. El acceso individual a una conversación específica solo ocurre por una necesidad fundamentada (p. ej., investigación de un incidente, orden judicial) y queda registrado.

11Cookies, identificadores y almacenamiento local

• En el sitio web: cookies estrictamente necesarias (sesión, seguridad), cookies funcionales (preferencias) y, de forma opcional, cookies analíticas anónimas.
• En la aplicación: almacenamiento local seguro (AsyncStorage) para el token de sesión, el perfil activo y las preferencias de la interfaz.
• Para menores de 18 años, no usamos identificadores de publicidad ni seguimiento entre aplicaciones (IDFA, AAID).
• Para adultos en el plan gratuito, el identificador de publicidad solo se usa para anuncios personalizados si la persona lo permite: en el iPhone, mediante la solicitud de seguimiento del sistema (ATT); en Android, según los ajustes de anuncios del aparato.
• Puedes borrar los datos locales en cualquier momento desinstalando la aplicación o cerrando la sesión con el botón Salir.

12Durante cuánto tiempo conservamos los datos

• Cuenta activa: mientras dure la relación contractual.
• Tras el cierre de la Cuenta a pedido del titular: hasta 90 días para una eventual reactivación; después, anonimización o eliminación definitiva, salvo los datos conservados por obligación legal.
• Modo Clase sin adopción: el Perfil puede marcarse como inactivo tras 60 días y eliminarse 90 días después de la desactivación, liberando el puesto de la Escuela.
• Registros de acceso y seguridad: hasta 6 meses, conforme al Marco Civil de Internet de Brasil (art. 15) y a las buenas prácticas de seguridad.
• Registro diario de uso de la aplicación (aperturas, lecciones y horario de estudio, usado en los recordatorios): se elimina junto con el Perfil.
• Documentos fiscales y contractuales: durante el plazo legal (hasta 5 años en materia fiscal y 5 años para reclamaciones de consumo).
• Copias de seguridad cifradas: rotadas en un plazo de hasta 30 días.

13Seguridad de la información

• Tráfico protegido por TLS (HTTPS) en todas las comunicaciones.
• Contraseñas almacenadas con un hash criptográfico seguro (argon2id), nunca en texto plano.
• Acceso interno restringido por función (principio de mínimo privilegio) y registrado en registros de auditoría.
• Monitoreo de incidentes y plan de respuesta documentado.
• En caso de un incidente de seguridad que pueda suponer un riesgo o daño relevante para los titulares, Pupilu lo comunicará a la ANPD (Autoridad Nacional de Protección de Datos de Brasil) y a los titulares afectados, conforme al art. 48 de la LGPD.

14Derechos del titular (LGPD art. 18)

• Confirmación de la existencia de tratamiento.
• Acceso a los datos personales.
• Corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en desacuerdo con la LGPD.
• Portabilidad de los datos a otro proveedor (mediante solicitud expresa).
• Eliminación de los datos tratados con base en el consentimiento.
• Información sobre las entidades públicas y privadas con las que Pupilu compartió tus datos.
• Información sobre la posibilidad de no dar el consentimiento y sus consecuencias.
• Revocación del consentimiento.
• En el caso de niños, niñas y adolescentes, los derechos los ejerce el Responsable; en Modo Clase, la Escuela Asociada en lo que respecta al tratamiento bajo su responsabilidad.

15Cómo ejercer tus derechos

Envía tu solicitud a contato@pupilu.com.br indicando: nombre del titular, correo de la Cuenta (si corresponde), descripción del pedido y, en el caso de menores, los datos del Responsable.

Responderemos en un plazo de hasta 15 días corridos, conforme al art. 19 de la LGPD. Podemos pedir una comprobación de identidad para evitar el acceso indebido a los datos.

Si la solicitud es denegada o la respuesta no es satisfactoria, puedes acudir a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) en www.gov.br/anpd.

16Transferencia internacional de datos

Algunos proveedores esenciales (por ejemplo, el alojamiento en la nube y el Proveedor de IA) pueden almacenar y procesar datos fuera de Brasil, en jurisdicciones reconocidas como adecuadas por la ANPD o amparadas por cláusulas contractuales estándar.

Se aplican las salvaguardas previstas en el art. 33 de la LGPD: necesidad para la ejecución del contrato, garantías contractuales de protección, certificaciones internacionales de seguridad y la obligación de notificar incidentes.

17Cambios en esta Política

Esta Política puede actualizarse para reflejar cambios en el Servicio, en la legislación o en las prácticas operativas. Los cambios relevantes se comunicarán por correo electrónico y/o aviso en la aplicación con al menos 15 días de antelación.

El historial de versiones está disponible a pedido del encargado de protección de datos.

18Contacto

Encargado de Protección de Datos (DPO): contato@pupilu.com.br.

Soporte general: contato@pupilu.com.br.

Dirección postal: São Paulo, Brasil.

Autoridad Nacional de Protección de Datos de Brasil (ANPD): www.gov.br/anpd.