Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es Pixel Solution, S.L., la sociedad que opera el servicio HolaNolis, con domicilio en Casafranca, 35, 08017 Barcelona, España. Para cualquier consulta relacionada con la protección de datos, puedes contactarnos en info@holanolis.com.

2. Datos que recopilamos

Recopilamos únicamente los datos necesarios para el funcionamiento del servicio:

• Tutores: nombre, email, datos de pago (procesados por Stripe).
• Menores: nombre (o alias), edad, email, conversaciones con Nolis.
• Datos técnicos: tipo de dispositivo, navegador e idioma. En la web usamos Google Analytics con el modo de consentimiento: sin tu aceptación no se guardan cookies analíticas.

3. Base legal del tratamiento

La base legal para el tratamiento de datos es el consentimiento del tutor (artículo 6.1.a del RGPD) y la ejecución del contrato de servicio (artículo 6.1.b del RGPD). En España, la LOPDGDD (artículo 7) permite consentir el tratamiento de los propios datos a partir de los 14 años; por debajo de esa edad, el consentimiento lo otorga quien ejerce la patria potestad o la tutela (un proyecto de ley en tramitación propone elevar esa edad a 16). Otros países fijan edades distintas. Con independencia de esos umbrales legales, HolaNolis exige por política propia que una persona adulta responsable autorice y vincule la cuenta de todos los menores de 18 años.

4. Datos de menores

Prestamos especial atención a la protección de datos de menores. Todas las conversaciones se encriptan con AES-256-GCM con claves individuales por usuario (DEK). El tutor vinculado accede a la información que permite el nivel de supervisión acordado con el menor; consultar el historial de conversaciones requiere el nivel Completa y el plan Premium. Personal autorizado de HolaNolis solo accede a conversaciones cuando es necesario por seguridad, soporte o requerimiento legal. Si tienes 18 años o más, la supervisión solo puede mantenerse con tu consentimiento y puedes pedir que se retire escribiendo a info@holanolis.com. Hemos diseñado el servicio teniendo en cuenta la COPPA (EE. UU.) y la normativa europea de protección de menores; la revisión jurídica externa está pendiente.

5. Comparticion de datos

No vendemos datos personales. No compartimos datos con terceros salvo los estrictamente necesarios para prestar el servicio: Stripe para pagos, Google Workspace (Gmail) para los emails transaccionales, Google para el inicio de sesión con Google (si lo eliges) y para reCAPTCHA en los formularios de la web, los servicios de notificaciones push del navegador (Google, Apple o Mozilla) si activas las notificaciones, Google Analytics para la analítica de la web (en modo de consentimiento) y Brevo para enviar la guía descargable y los emails a quien se suscribe en la web. El procesamiento de las conversaciones se realiza con modelos Claude (Anthropic) a través de AWS Bedrock en regiones de la Unión Europea (perfiles de inferencia «eu.*», Fráncfort). Por defecto, AWS Bedrock no almacena los mensajes ni las respuestas tras procesarlos, no los utiliza para entrenar modelos y no los comparte con el proveedor del modelo; además, mantenemos desactivado el registro (logging) de invocaciones. Los embeddings se calculan en infraestructura propia dentro de la UE y no se envían a proveedores externos. El alojamiento del servicio se realiza en Hetzner (UE). No usamos datos de los usuarios para entrenar modelos de IA.

6. Transferencias internacionales

La inferencia de IA y el alojamiento del servicio se ejecutan en centros de datos situados en la Unión Europea. No obstante, algunos de nuestros proveedores (como AWS, Stripe o Google) tienen matriz estadounidense, por lo que pueden producirse transferencias internacionales limitadas de datos, por ejemplo en tareas de soporte o administración. Estas transferencias se amparan en el acuerdo de tratamiento de datos (DPA) de cada proveedor y en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Seguridad

Implementamos medidas de seguridad técnicas y organizativas: encriptación AES-256-GCM en reposo, HTTPS en tránsito, autenticación JWT con tokens de corta duración, auditorías con cadena hash SHA-256 y acceso basado en roles. Nuestro sistema está diseñado siguiendo principios de Privacy by Design.

8. Derechos del usuario

Como usuario, tienes derecho a:

• Acceder a tus datos personales.
• Rectificar datos inexactos.
• Solicitar la supresión de tus datos (derecho al olvido).
• Solicitar la portabilidad de tus datos.
• Oponerte al tratamiento o solicitar su limitación.
• Presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de protección de datos de tu país.

9. Retención de datos

Los datos personales se conservan mientras la cuenta esté activa. Al eliminar una cuenta, los datos se borran de forma permanente en un plazo máximo de 30 días. Los datos de alertas de crisis pueden conservarse de forma seudonimizada para mejorar los algoritmos de detección, con medidas técnicas y organizativas orientadas a minimizar el riesgo de reidentificación.

10. Contacto de privacidad

Para ejercer tus derechos o para cualquier consulta sobre protección de datos, escríbenos a: