Política de Privacidad
Esta política explica qué datos personales recopila Athenion, para qué, quién los recibe, cuánto tiempo los conservamos y cómo puedes controlarlos. La versión en español es la vinculante: si hay alguna diferencia entre las dos versiones, prevalece la versión en español, porque el operador está en Perú.
1. Quién es el responsable
El responsable del tratamiento de tus datos (titular del banco de datos personales) es:
- Nombre: Leonardo Jesus Ferreyra Canaval
- Documento: RUC 10728483844
- Domicilio: Av. Colombia 930, Pueblo Libre, Lima, Perú
- Contacto de privacidad: [email protected]
- Inscripción del banco de datos (ANPD, Perú): en trámite
Athenion es una aplicación web de tutoría con IA en https://athenionlearn.app, con un sitio de presentación en https://athenionlearn.com. El operador es una persona natural con domicilio en Perú.
2. Alcance y edad
Esta política se aplica a la aplicación, al sitio de presentación y a los correos de soporte. Debes tener 18 años o más para usar Athenion. No recopilamos a sabiendas datos de menores. Si nos enteramos de que un menor se registró, eliminamos sus datos (ver sección 14).
El acceso es actualmente solo por invitación (beta). Por ahora ofrecemos únicamente cuentas individuales. Si más adelante hay planes institucionales o para colegios, tendrán acuerdos aparte.
3. Qué datos tratamos
Datos de la cuenta. Correo electrónico, nombre, identificador del proveedor de inicio de sesión, idioma y zona horaria.
Contenido de aprendizaje. Los temas que estudias, tu hoja de ruta o plan, notas de conceptos (incluido lo que escribes con tus propias palabras), mensajes de chat con el tutor de IA, respuestas a cuestionarios y verificaciones, repasos de tarjetas, intentos de ejercicios y el código que escribes en los espacios de práctica, y proyectos de portafolio.
Perfil de aprendizaje medido. Estadísticas agregadas sobre qué intervenciones de enseñanza te funcionaron. Lo usamos solo para personalizar cómo te enseñamos. Es una forma de elaboración de perfiles. No genera decisiones con efectos jurídicos o similarmente significativos para ti (ver sección 6).
Medición de uso y costos. Cuántos tokens de IA usa tu cuenta cada mes, para aplicar los límites de uso razonable.
Registros técnicos. Direcciones IP y metadatos de las solicitudes en el borde de la red y en los registros del servidor, conservados por poco tiempo.
Solicitudes de invitación. Cuando pides una invitación en el sitio de presentación: correo, idioma, una nota opcional, una IP con hash y la hora de la solicitud.
Correos de soporte. Lo que nos envías y nuestras respuestas.
Datos de pago (a futuro). Cuando existan planes de pago, los cobros los gestionará un comercio registrado (merchant of record, ver sección 8). No veremos el número completo de tu tarjeta.
Por favor no escribas datos personales sensibles (salud, creencias, biometría y similares) en los chats ni en las notas. Athenion no los necesita.
4. Para qué usamos tus datos y con qué base
| Finalidad | Datos | Base |
|---|---|---|
| Iniciar tu sesión y gestionar tu cuenta | Datos de la cuenta | Ejecución del contrato; tu consentimiento |
| Prestar el servicio de tutoría y guardar tu progreso | Contenido de aprendizaje, perfil de aprendizaje | Ejecución del contrato |
| Personalizar la enseñanza | Perfil de aprendizaje | Ejecución del contrato; tu consentimiento |
| Aplicar límites de uso razonable y controlar costos | Medición de uso | Interés legítimo |
| Seguridad, prevención de abusos, depuración y calidad | Registros técnicos, trazas de llamadas a la IA | Interés legítimo |
| Atender solicitudes de invitación | Datos de la solicitud | Tu solicitud; interés legítimo |
| Responder soporte y solicitudes de derechos | Correos de soporte | Ejecución del contrato; obligación legal |
| Obligaciones tributarias y contables (a futuro) | Registros de facturación | Obligación legal |
Para usuarios en Perú, la base es tu consentimiento y la ejecución del servicio que solicitaste, conforme a la Ley 29733 y su reglamento. Para usuarios de la UE/EEE, las bases son las del artículo 6 del RGPD (contrato, interés legítimo, obligación legal, consentimiento).
Cuando nos basamos en tu consentimiento, puedes retirarlo en cualquier momento. Eso no afecta el tratamiento ya realizado.
No hacemos publicidad. No vendemos tus datos.
5. Inicio de sesión con Google o Microsoft
Puedes iniciar sesión con Google, Microsoft o con un código de 6 dígitos enviado a tu correo. El inicio de sesión lo gestiona Supabase Auth.
De Google o Microsoft recibimos solo datos básicos de perfil: tu correo, tu nombre y si tu correo está verificado (permisos openid, email y profile). Los usamos únicamente para iniciar tu sesión e identificar tu cuenta.
Datos de usuario de Google: no los vendemos, no los usamos para publicidad, no los usamos para entrenar modelos de IA y no los compartimos, salvo con los encargados necesarios para operar el servicio (sección 8).
El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Athenion cumplirá con la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. (Athenion's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)
6. Tratamiento con IA y elaboración de perfiles
Athenion funciona con modelos de IA. Para generar una lección, una respuesta o una retroalimentación, enviamos el texto relevante (lecciones, chats, respuestas, notas) a nuestro proveedor de IA, Anthropic, mediante su API.
- La IA puede equivocarse. Consulta nuestros Términos de Servicio.
- No entrenamos modelos de IA con tus datos. Según los términos comerciales de Anthropic, las entradas y salidas de la API no se usan para entrenar sus modelos por defecto.
- Usamos el perfil de aprendizaje solo para adaptar la enseñanza. No tomamos decisiones con efectos jurídicos o similarmente significativos para ti basadas únicamente en tratamiento automatizado. Si no estás de acuerdo con cómo se adapta el tutor, escríbenos a [email protected] y una persona lo revisará.
- Conservamos trazas de las llamadas a la IA (autoalojadas, con Phoenix) para depuración y calidad. Duran poco tiempo (sección 10).
7. Cookies y almacenamiento local
No usamos cookies publicitarias ni de seguimiento, ni herramientas de analítica de terceros. Usamos solo lo estrictamente necesario:
- tokens de sesión e inicio de sesión, guardados en el almacenamiento de tu navegador;
- una cookie con tu preferencia de idioma;
- una cookie de sesión del editor para los espacios de práctica;
- cookies de seguridad de Cloudflare.
Como son estrictamente necesarias, no mostramos un banner de cookies.
8. Quién recibe tus datos (encargados)
| Quién | Para qué | Datos | Ubicación |
|---|---|---|---|
| Supabase | Autenticación | Correo, metadatos de inicio de sesión | EE. UU. |
| Anthropic | Proveedor del modelo de IA (API de Claude) | Texto de lecciones, chats, respuestas y notas enviados para generar respuestas | EE. UU. |
| Resend | Envío de correos con el código de inicio de sesión | Correo electrónico | EE. UU. |
| Cloudflare | DNS, CDN, seguridad, protección anti-bots Turnstile, reenvío de correo de nuestras direcciones de soporte | Dirección IP, metadatos de solicitudes | Global |
| Contabo | Alojamiento del servidor: aquí corren nuestra base de datos y la aplicación | Todos los datos del servicio | Estados Unidos (región US-East) |
| Proveedor de pagos (merchant of record) | Cobros (a futuro) | Datos de facturación | Por nombrar |
Nombraremos aquí a nuestro proveedor de pagos antes de que empiecen los cobros. Además, alojamos por nuestra cuenta, sin terceros: la base de datos, los espacios de práctica y el seguimiento de llamadas a la IA (Phoenix).
Cloudflare Turnstile protege el formulario de invitación contra bots. Su tratamiento de datos se describe en el Anexo de Privacidad de Cloudflare Turnstile.
Compartimos datos con estos proveedores solo en la medida necesaria para operar el servicio y bajo acuerdos que les exigen protegerlos. También podemos divulgar datos cuando una autoridad competente lo exija legalmente.
9. Transferencias internacionales
Nuestros proveedores están principalmente en Estados Unidos y nuestro servidor está en Estados Unidos (región US-East). Esto significa que tus datos salen de Perú y, para usuarios de la UE/EEE, salen de la UE/EEE.
Nos apoyamos en garantías como acuerdos de encargo de tratamiento, cláusulas contractuales tipo y, para proveedores de EE. UU., su certificación en el Marco de Privacidad de Datos UE-EE. UU. cuando exista.
10. Cuánto tiempo conservamos los datos
- Datos de la cuenta y de aprendizaje: mientras exista tu cuenta. Tras eliminarla, los borramos en un plazo de 30 días. Las copias de seguridad se eliminan en los 14 días siguientes.
- Registros del servidor y del seguimiento de IA: hasta 30 días.
- Solicitudes de invitación: hasta que se atiendan y, como máximo, 12 meses.
- Registros de facturación: el tiempo que exija la ley tributaria. Los conserva nuestro proveedor de pagos.
- Correos de soporte: el tiempo necesario para resolver tu solicitud; luego se eliminan.
11. Seguridad
Usamos TLS en todas las conexiones, limitamos el acceso solo al operador, aplicamos el principio de mínimo privilegio y mantenemos copias de seguridad. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos.
Si un incidente de seguridad afecta tus datos, notificaremos a la Autoridad Nacional de Protección de Datos Personales (ANPD) y a los usuarios afectados dentro de las 48 horas de haber tomado conocimiento, como exige la ley.
12. Tus derechos
Tienes derecho a:
- acceder a tus datos;
- rectificar datos inexactos;
- cancelar/eliminar tus datos;
- oponerte al tratamiento;
- portabilidad: puedes exportar tus notas como Markdown (una bóveda de Obsidian) en cualquier momento desde la aplicación;
- retirar tu consentimiento en cualquier momento;
- ser informado sobre el tratamiento automatizado y la elaboración de perfiles.
Los usuarios de la UE/EEE también tienen derecho a la limitación del tratamiento y a presentar una reclamación ante su autoridad de control.
Cómo ejercerlos: escribe a [email protected] desde el correo de tu cuenta. Podemos pedirte que confirmes tu identidad. También puedes eliminar tu cuenta desde la aplicación.
Plazos: respondemos dentro de los plazos de la ley peruana: 8 días hábiles para solicitudes de información, 20 días hábiles para solicitudes de acceso y 10 días hábiles para solicitudes de rectificación, cancelación y oposición.
Reclamos: puedes presentar un reclamo ante la Autoridad Nacional de Protección de Datos Personales (ANPD) de Perú, a través del Ministerio de Justicia, o, si estás en la UE/EEE, ante tu autoridad de control local. Agradeceríamos la oportunidad de resolver el problema primero.
13. Datos que debes proporcionar
Para usar Athenion necesitamos tu correo y una forma de iniciar sesión. Sin ellos no podemos crear tu cuenta. Todo lo demás (como notas o tu contenido de aprendizaje) se genera al usar el servicio. Para la lista de invitaciones se requiere tu correo; la nota es opcional.
14. Menores de edad
Athenion es para personas de 18 años o más. Si nos enteramos de que alguien menor de 18 se registró, eliminaremos su cuenta y sus datos. Si crees que un menor usa Athenion, escribe a [email protected].
15. Cambios en esta política
Si hacemos un cambio importante, te avisaremos por correo o en la aplicación con al menos 15 días de anticipación a su entrada en vigor. Si el cambio afecta el precio, te avisaremos antes de tu próximo cobro. La fecha al inicio indica la última actualización.
16. Contacto
Privacidad y solicitudes de derechos: [email protected] Soporte general: [email protected] Operador: Leonardo Jesus Ferreyra Canaval, Av. Colombia 930, Pueblo Libre, Lima, Perú