Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es Pixel Solution, S.L., la sociedad que opera el servicio HolaNolis, con domicilio en Barcelona, España. Para cualquier consulta relacionada con la protección de datos, puedes contactarnos en privacy@holanolis.com.

2. Datos que recopilamos

Recopilamos únicamente los datos necesarios para el funcionamiento del servicio:

• Tutores: nombre, email, datos de pago (procesados por Stripe).
• Menores: nombre (o alias), edad, email, conversaciones con Nolis.
• Datos técnicos: tipo de dispositivo, navegador, idioma (sin rastreo de terceros).

3. Base legal del tratamiento

La base legal para el tratamiento de datos es el consentimiento del tutor (artículo 6.1.a del RGPD) y la ejecución del contrato de servicio (artículo 6.1.b del RGPD). Para menores de 16 años en España, el consentimiento debe ser otorgado por el titular de la patria potestad, de conformidad con la LOPDGDD.

4. Datos de menores

Prestamos especial atención a la protección de datos de menores. Todas las conversaciones se encriptan con AES-256-GCM con claves individuales por usuario (DEK). Solo el tutor asignado puede acceder a los datos del menor según el nivel de supervisión configurado. Cumplimos con COPPA (EE.UU.) y con la normativa europea de protección de menores.

5. Comparticion de datos

No vendemos datos personales. No compartimos datos con terceros salvo los estrictamente necesarios para prestar el servicio: Stripe para pagos y Google Workspace (Gmail) para los emails transaccionales. El procesamiento de las conversaciones se realiza con modelos Claude (Anthropic) a través de AWS Bedrock en regiones de la Unión Europea (perfiles de inferencia «eu.*», Fráncfort). Por defecto, AWS Bedrock no almacena los mensajes ni las respuestas tras procesarlos, no los utiliza para entrenar modelos y no los comparte con el proveedor del modelo; además, mantenemos desactivado el registro (logging) de invocaciones. Los embeddings se calculan en infraestructura propia dentro de la UE y no se envían a proveedores externos. El alojamiento del servicio se realiza en Hetzner (UE). No usamos datos de los usuarios para entrenar modelos de IA.

6. Transferencias internacionales

La inferencia de IA y el alojamiento del servicio se ejecutan en centros de datos situados en la Unión Europea. No obstante, algunos de nuestros proveedores (como AWS, Stripe o Google) tienen matriz estadounidense, por lo que pueden producirse transferencias internacionales limitadas de datos, por ejemplo en tareas de soporte o administración. Estas transferencias se amparan en el acuerdo de tratamiento de datos (DPA) de cada proveedor y en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Seguridad

Implementamos medidas de seguridad técnicas y organizativas: encriptación AES-256-GCM en reposo, HTTPS en tránsito, autenticación JWT con tokens de corta duración, auditorías con cadena hash SHA-256 y acceso basado en roles. Nuestro sistema está diseñado siguiendo principios de Privacy by Design.

8. Derechos del usuario

Como usuario, tienes derecho a:

• Acceder a tus datos personales.
• Rectificar datos inexactos.
• Solicitar la supresión de tus datos (derecho al olvido).
• Solicitar la portabilidad de tus datos.
• Oponerte al tratamiento o solicitar su limitación.
• Presentar una reclamación ante la AEPD (agpd.es).

9. Retención de datos

Los datos personales se conservan mientras la cuenta esté activa. Al eliminar una cuenta, los datos se borran de forma permanente en un plazo máximo de 30 días. Los datos de alertas de crisis pueden conservarse de forma seudonimizada para mejorar los algoritmos de detección, con medidas técnicas y organizativas orientadas a minimizar el riesgo de reidentificación.

10. Contacto del Delegado de Protección de Datos

Para ejercer tus derechos o cualquier consulta sobre protección de datos, contacta con nuestro Delegado de Protección de Datos (DPO) en: