Política de privacidad

1. Quiénes somos y marco regulatorio

1.1 Base legal y autoridad

Esta Política de privacidad es establecida por TraitTune, Inc. (“TraitTune”, “nosotros”) en cumplimiento de la normativa global de protección de datos. Aplicamos el estándar de la jurisdicción propia de cada usuario: protecciones de nivel RGPD en la UE, el EEE, el Reino Unido, Suiza y Brasil, y las leyes estatales de privacidad aplicables para los residentes en Estados Unidos.

1.2 Aviso sobre cumplimiento de sanciones

TraitTune no está disponible para personas o entidades ubicadas en jurisdicciones sujetas a (a) sanciones integrales de la Oficina de Control de Activos Extranjeros del Departamento del Tesoro de EE. UU. (OFAC): la región de Crimea en Ucrania, Cuba, Irán, Corea del Norte, Siria y las regiones de Donetsk (RPD) y Lugansk (RPL); (b) programas sectoriales de la OFAC y medidas restrictivas más amplias de EE. UU., la UE y el Reino Unido que aplicamos por decisión empresarial: Rusia y Bielorrusia; y (c) jurisdicciones donde las condiciones operativas sobre el terreno hacen inapropiada la disponibilidad de la plataforma: Afganistán y Myanmar. El acceso desde estas ubicaciones está bloqueado a nivel de red.

1.3 Representante en la UE y el Reino Unido (artículo 27 del RGPD / artículo 27 del RGPD del Reino Unido)

Dado que TraitTune está establecida fuera de la UE y el Reino Unido pero ofrece sus servicios a personas allí, estamos en proceso de designar representantes conforme al artículo 27 del RGPD de la UE y al artículo 27 del RGPD del Reino Unido. Hasta que esa designación se finalice, los interesados de la UE/EEE y del Reino Unido, así como las autoridades de control, pueden contactarnos directamente en privacy@traittune.com para cualquier asunto relacionado con el tratamiento de sus datos personales.

2. Información que recopilamos

2.1 Información proporcionada directamente por el usuario

2.2 Información recopilada automáticamente

3. Base legal para el tratamiento

3.1 Consentimiento explícito (artículo 9.2.a del RGPD)

• Obligatorio: el consentimiento explícito es la base legal para tratar datos psicométricos
• Granular: el consentimiento para la evaluación principal es obligatorio; el análisis con IA y la analítica son opcionales
• Revocable: puedes retirar el consentimiento en cualquier momento; detenemos el tratamiento y eliminamos los datos
• Auditado: cada acto de consentimiento se registra con marca temporal, IP y versión

3.2 Prestación del servicio principal

• Realizar evaluaciones de personalidad y habilidades
• Generar perspectivas y recomendaciones personalizadas
• Proporcionar resultados e informes de evaluación
• Dar soporte a tu cuenta y acceso técnico

3.3 Comunicaciones de marketing

Con tu permiso, te enviamos comunicaciones de marketing para que puedas aprovechar al máximo TraitTune. Esto incluye actualizaciones del producto y anuncios de nuevas funciones, nuestro boletín periódico y ofertas promocionales, como descuentos y códigos promocionales. Podemos contactarte por correo electrónico, notificaciones push (si están habilitadas) y mensajes dentro de la aplicación.

Usuarios fuera de la UE / EEE / Reino Unido / Suiza / Brasil

Al crear una cuenta y aceptar esta Política de Privacidad y nuestros Términos del Servicio, aceptas recibir comunicaciones de marketing por nuestra parte. Se trata de un régimen de exclusión voluntaria (opt-out): el marketing está activado por defecto y puedes desactivarlo en cualquier momento, sin que ello afecte a tu capacidad para utilizar el servicio.

Usuarios en la UE / EEE / Reino Unido / Suiza / Brasil

Solo te enviaremos comunicaciones de marketing si has otorgado un consentimiento separado, explícito y expreso (opt-in), solicitado de forma independiente respecto de la aceptación de nuestros Términos del Servicio (normalmente mediante un aviso de consentimiento específico). Si no otorgas tu consentimiento, seguirás recibiendo mensajes esenciales del servicio (por ejemplo, correos de seguridad, facturación y transaccionales), pero no comunicaciones de marketing. Puedes retirar este consentimiento en cualquier momento; retirarlo es tan sencillo como otorgarlo y no afecta a la licitud del tratamiento realizado con anterioridad a la retirada.

Cómo darse de baja o cancelar la suscripción

• Ajustes: Gestiona tus preferencias de comunicación en cualquier momento en Panel → Ajustes → Notificaciones.
• Baja con un solo clic: Cada correo de marketing incluye un enlace de baja con un solo clic en su pie de página.
• Push y en la aplicación: Desactiva las notificaciones push en los ajustes de tu dispositivo o navegador; el marketing dentro de la aplicación se rige por la misma preferencia.

Darse de baja del marketing no interrumpe los mensajes transaccionales ni de servicio (como alertas de seguridad, recibos de facturación y avisos importantes de la cuenta), que debemos enviar para operar tu cuenta. Nunca vendemos tus datos de contacto y no condicionamos el acceso al servicio a la recepción de comunicaciones de marketing.

4. Tus derechos de privacidad

4.1 Derechos universales

• Derecho de acceso: solicitar copias de tus datos personales
• Derecho de rectificación: actualizar datos inexactos o incompletos
• Derecho de supresión: solicitar la eliminación de tus datos personales
• Derecho a la portabilidad: recibir tus datos en un formato estructurado (JSON/CSV), de forma gratuita, en un plazo de 30 días

4.2 Derechos del RGPD (residentes en la UE/EEE)

• Derecho de supresión (“derecho al olvido”): solicitar la eliminación completa de tu cuenta y de todos los datos psicométricos asociados. Lo gestionaremos en un plazo de 30 días y te lo confirmaremos por escrito.
• Derecho a la limitación del tratamiento: pedirnos que pausemos el tratamiento mientras se resuelve una controversia
• Derecho de oposición: oponerte al tratamiento basado en intereses legítimos
• Derecho a no ser objeto de decisiones automatizadas: solicitar la revisión humana de cualquier resultado de la elaboración automatizada de perfiles de personalidad
• Derecho a retirar el consentimiento: retirarlo en cualquier momento; la retirada no afecta a la licitud del tratamiento anterior

Para ejercer tus derechos RGPD, escribe a privacy@traittune.com con el asunto “Solicitud de derechos RGPD”. Respondemos en un plazo de 30 días; las solicitudes complejas pueden ampliarse a 90 días previo aviso.

4.3 Derechos de la CCPA/CPRA (residentes en California)

Uso de información personal sensible

Usamos tu información personal sensible exclusivamente para prestar el servicio que has solicitado y para ningún otro fin; no la usamos ni divulgamos para inferir características sobre ti. Dado que nuestro uso está limitado de esta forma conforme al §1798.121(d) del Código Civil de California, el derecho de la CPRA a limitar el uso de información personal sensible no resulta aplicable y no proporcionamos un enlace independiente “Limitar el uso de mi información personal sensible”.

Global Privacy Control (GPC)

Respetamos las señales de Global Privacy Control en todas las regiones. Si tu navegador envía una señal GPC, la tratamos como una exclusión firme de la publicidad conductual entre contextos: nuestros píxeles de TikTok y Reddit permanecen desactivados, tanto si habías aceptado previamente las cookies de marketing como si la publicidad estaba activada por defecto en tu región. Comprobamos la señal antes de escribir nada, de modo que un navegador que emite GPC nunca recibe un píxel publicitario. La venta de información personal no se ve afectada porque no se produce ninguna venta.

Consulta No vender ni compartir mi información personal para la divulgación independiente.

Para enviar una solicitud CCPA, escribe a privacy@traittune.com con el asunto “Solicitud de derechos CCPA” o llama al +1 (347) 667-9624. Respondemos en un plazo de 45 días.

5. Seguridad de los datos

Cifrado de tu contenido

Protegemos el contenido más sensible que creas — tus mensajes del chat con la IA, tus respuestas abiertas de la evaluación y las notas que conservamos para personalizar tu experiencia — mediante cifrado de sobre a nivel de registro con AWS Key Management Service (AES-256-GCM), y estamos desplegando esta protección de forma progresiva en estos tipos de contenido. Cuando corresponde, cada registro se cifra bajo su propio contexto criptográfico, de modo que ninguna clave individual permite descifrar tus datos de forma masiva. El acceso para descifrar el contenido cifrado está limitado a los servicios automatizados de la aplicación que operan el producto, y cada uno de esos accesos queda registrado y se monitoriza de forma continua. Además, estamos retirando progresivamente el acceso administrativo permanente a tu contenido descifrado, con el objetivo de que leerlo en texto plano exija un procedimiento «break-glass» estrictamente limitado, de doble control y a nivel de registro — invocado únicamente cuando un proceso legal válido nos obliga a ello, y auditado de forma independiente en cada ocasión. Al margen de los proveedores de servicios (subencargados del tratamiento) de los que dependemos para operar el producto — descritos en la Sección 6, Encargados del tratamiento y subencargados —, divulgamos tu contenido a terceros externos exclusivamente en el marco de un proceso legal válido, tal como se describe en nuestras prácticas de Divulgación Legal.

5.1 Notificación de violaciones de datos personales

Si se produce una violación de datos personales, responderemos conforme a los artículos 33 y 34 del RGPD: cuando sea probable que la violación entrañe un riesgo para tus derechos y libertades, notificaremos a la autoridad de control competente sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que tengamos constancia de ella; y cuando sea probable que entrañe un alto riesgo para ti, notificaremos a los usuarios afectados sin dilación indebida. Nuestro objetivo interno es informar a los usuarios afectados en un plazo de 24 horas desde que se confirme que la violación les afecta, lo cual es compatible con —y nunca posterior a— el estándar “sin dilación indebida” del RGPD. Las notificaciones describen la naturaleza de la violación, sus posibles consecuencias y las medidas que hemos adoptado o proponemos adoptar.

6. Encargados del tratamiento y subencargados

No vendemos tus datos. TraitTune es el responsable del tratamiento de tus datos psicométricos y de cuenta. Los proveedores que figuran a continuación actúan como encargados del tratamiento siguiendo nuestras instrucciones (art. 28 del RGPD); cada uno está vinculado por un Acuerdo de Tratamiento de Datos con Cláusulas Contractuales Tipo. Stripe figura por separado porque, respecto a los datos de tarjeta de pago que recopila directamente durante el proceso de pago, actúa como responsable independiente conforme a su propia política de privacidad (art. 26 del RGPD). Los socios publicitarios figuran en un tercer grupo: mientras las cookies de publicidad están activadas — lo que en la UE, el EEE, el Reino Unido, Suiza y Brasil requiere tu consentimiento previo (opt-in), mientras que en el resto de jurisdicciones es el estado por defecto — reciben eventos de conversión (como página vista, registro, suscripción o compra) y, para la coincidencia, un hash unidireccional SHA-256 de tu correo electrónico — nunca tu correo electrónico legible ni ningún dato psicométrico — y los tratan como responsables independientes conforme a sus propias políticas de privacidad.

Encargados del tratamiento (actuando siguiendo las instrucciones de TraitTune):

Responsables independientes (actuando sobre su propia base legal):

Socios publicitarios (responsables independientes — activos mientras las cookies de publicidad estén activadas):

Para medir qué anuncios conducen a registros y suscripciones, reenviamos eventos de conversión (como un registro completado, un lead iniciado, una suscripción o una compra) a estos socios publicitarios a través de sus API de conversión de servidor a servidor. Para asociar una conversión con el clic correcto en el anuncio, podemos incluir un hash unidireccional SHA-256 de tu correo electrónico — un código de longitud fija que no podemos revertir para obtener tu dirección; el socio solo puede usarlo para asociarte con una cuenta que ya posee. Nunca enviamos tu correo electrónico legible. También transmitimos el nombre del evento de conversión y, en el caso de las compras, un valor aproximado y la moneda, junto con señales técnicas como la dirección IP y el agente de usuario. Nunca enviamos tus datos psicométricos (puntuaciones, theta, parámetros IRT o respuestas de la evaluación) ni el texto libre que escribes a ningún socio publicitario — este es el mismo identificador con hash que reciben, mientras que nuestro subencargado del tratamiento para la analítica (consulta PostHog más arriba) opera bajo un consentimiento de analítica independiente. Dado que estos socios publicitarios son responsables independientes, un identificador que ya hemos compartido queda sujeto a su propia conservación y eliminación: para que dejen de usarlo o lo eliminen, ejerce tus derechos de privacidad directamente con el socio. Este reenvío solo se produce mientras las cookies de publicidad están activadas y no has emitido una señal de Global Privacy Control. En la UE, el EEE, el Reino Unido, Suiza y Brasil, las cookies de publicidad permanecen desactivadas hasta que las aceptas; en el resto de jurisdicciones, incluido Estados Unidos, están activadas por defecto y puedes desactivarlas en cualquier momento en «Preferencias de cookies» — consulta «No vender ni compartir».

7. Cookies y tecnologías de seguimiento

8. Transferencias internacionales de datos

Algunos de nuestros encargados del tratamiento están ubicados en Estados Unidos. Cuando transferimos tus datos personales fuera del Espacio Económico Europeo, el Reino Unido o Suiza, aplicamos las siguientes garantías:

• Cláusulas Contractuales Tipo de la UE (SCC): Las transferencias a EE. UU. se basan en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incorporadas a nuestro Acuerdo de Tratamiento de Datos con cada encargado, junto con la Adenda de Transferencia Internacional de Datos del Reino Unido para las transferencias británicas.
• Marco de Privacidad de Datos UE-EE. UU. (DPF): Cuando un encargado está certificado conforme al Marco de Privacidad de Datos UE-EE. UU. (y su extensión para el Reino Unido), nos basamos adicionalmente en ese mecanismo de adecuación.
• Medidas técnicas complementarias: El cifrado en tránsito (TLS 1.3) y en reposo (AES-256), la seudonimización cuando es viable y los controles de acceso estrictos protegen los datos transferidos.
• Evaluación de Impacto de la Transferencia (TIA): Mantenemos y revisamos periódicamente una Evaluación de Impacto de la Transferencia que valora el régimen jurídico de cada país de destino y la eficacia de estas garantías.

Puedes solicitar una copia de las garantías de transferencia correspondientes escribiendo a privacy@traittune.com.

9. Conservación y eliminación de datos

Conservamos los datos personales únicamente durante el tiempo necesario para la finalidad para la que se recopilaron. El siguiente calendario constituye nuestro plan de conservación único y coherente:

• Cuentas activas: Durante toda la vigencia de tu cuenta, más 30 días tras su cierre.
• Datos psicométricos (categoría especial): Se conservan mientras tu consentimiento para tratarlos siga vigente, hasta un máximo de 5 años desde la fecha de recopilación. Si retiras tu consentimiento o solicitas la eliminación, borramos tus datos psicométricos en un plazo de 30 días, con independencia del tope de 5 años.
• Narrativas generadas por IA (Pro): Se conservan conforme a la sección 3.7 de nuestras Condiciones (se ocultan al bajar de plan; se eliminan tras 12 meses en un plan Free). Una solicitud de retirada del consentimiento o de eliminación prevalece sobre esto y desencadena el borrado en un plazo de 30 días.
• Registros de transacciones: 7 años para la información de pago, cuando lo exigen las obligaciones legales y fiscales (esta conservación legal se mantiene frente a una solicitud de eliminación en la medida en que la ley lo requiera).
• Registros del servidor: 90 días.

Para que quede claro: cuando retiras tu consentimiento del artículo 9, todos los datos de la evaluación psicométrica se borran en un plazo de 30 días, aunque algunos registros (como los registros de transacciones exigidos por la legislación fiscal) deban conservarse durante los plazos indicados arriba.

10. Privacidad de los menores (cumplimiento de COPPA)

TraitTune está diseñado para usuarios de 18 años o más.

• Menores de 13 años: No recopilamos datos a sabiendas. Escribe a privacy@traittune.com para solicitar la eliminación.
• Mayores de 18 años: Pueden usar TraitTune de forma independiente.

11. Actualizaciones de la política

Podemos actualizar esta Política de Privacidad de vez en cuando. Te notificaremos cualquier cambio sustancial con al menos 30 días de antelación mediante notificaciones por correo electrónico, avisos en la plataforma y actualizaciones en el sitio web.

12. Información de contacto