Política de privacidad

1. Responsable del tratamiento y contacto

Responsable del tratamiento

Fasaha es el responsable del tratamiento de los datos personales en nuestros servicios para consumidores. Cuando el servicio se presta a través de un centro educativo o de un empleador, esa organización puede actuar como corresponsable del tratamiento.

Cómo contactarnos

Escribe a fasaha.app@gmail.com para cualquier consulta sobre privacidad. Si te encuentras en el EEE o en el Reino Unido, incluye «GDPR» en el asunto. Respondemos en un plazo de 30 días.

2. Datos que recopilamos

Recopilamos solo lo necesario para impartir las lecciones, cumplir obligaciones legales o mejorar el producto. Puedes rechazar la recopilación opcional desde los ajustes de la app o los permisos del dispositivo.

Datos de la cuenta

Nombre, correo electrónico, tokens de autenticación, preferencias de idioma, zona horaria y foto de perfil. Las contraseñas se guardan en forma de hash, nunca en texto plano.

Actividad de aprendizaje

Progreso en las lecciones, rachas, puntuaciones de los cuestionarios, búsquedas en el diccionario, traducciones e instrucciones (prompts) enviadas a los tutores de IA.

Grabaciones de audio, transcripciones de voz o imágenes de la cámara cuando usas las funciones de pronunciación o de escaneo. Las grabaciones permanecen en el dispositivo siempre que es posible; solo se suben cuando inicias la evaluación o la sincronización.

Datos sensibles (CCPA 2026)

Los datos biométricos de voz derivados de la práctica de pronunciación se tratan como información personal sensible. No recopilamos datos neuronales (señales de ondas cerebrales o del sistema nervioso). Si algún día lo hacemos, antes obtendremos tu consentimiento explícito (opt-in).

Compras

Nivel de suscripción, fechas del periodo de prueba, recibos de la tienda e identificadores anonimizados de RevenueCat. Apple y Google procesan los pagos; nosotros solo recibimos tokens de transacción.

Dispositivo y diagnóstico

Modelo, sistema operativo, versión de la app, configuración regional, registros de fallos y (si están activados) identificadores publicitarios, con fines de depuración y de cumplimiento de los requisitos de las plataformas.

Ubicación aproximada a partir de la dirección IP o la zona horaria, para adaptar el contenido a tu región y mostrar las condiciones legales que correspondan.

Analítica en la app

Nuestras apps para iOS y Android envían analítica de producto a Firebase Analytics (Google) y a PostHog. Los eventos describen lo que ha ocurrido (se abre una lección, se consulta una palabra, se muestra la pantalla de suscripción), junto con el modelo del dispositivo, el sistema operativo, la versión de la app, el idioma y la ubicación aproximada derivada de tu dirección IP.

No enviamos tu nombre, tu correo electrónico ni tu ID de cuenta, ni tampoco texto en árabe, traducciones, notas guardadas ni nada de lo que escribes en la búsqueda. Los eventos llegan a PostHog con un identificador aleatorio por instalación que nunca se vincula a tu cuenta, y PostHog los almacena en la Unión Europea. No grabamos tu pantalla: la reproducción de sesiones está desactivada.

Cookies

Cookies esenciales para las preferencias de idioma y, de forma opcional, Vercel Web Analytics, que por defecto funciona sin cookies (sin anuncios de terceros). No lo cargamos cuando tu navegador envía la señal Global Privacy Control o Do Not Track.

3. Cómo usamos los datos

Prestar y personalizar el servicio

Sincronizamos las lecciones y el progreso entre dispositivos mediante Supabase/Firebase. Destacamos el vocabulario que más te cuesta. Ofrecemos tutoría con IA y valoraciones de tu expresión oral a través de API verificadas (p. ej., Google Cloud Speech). Las instrucciones se seudonimizan y se excluyen del entrenamiento de modelos públicos, salvo que lo aceptes expresamente (opt-in).

Comunicarnos contigo

Mensajes del servicio, alertas de seguridad, recordatorios de estudio y comunicaciones comerciales (puedes darte de baja en cualquier momento). Las notificaciones push solo se envían si las activas en los ajustes del dispositivo.

Mejorar y proteger el servicio

Métricas agregadas y desidentificadas para tomar decisiones de producto, realizar pruebas A/B y detectar fraudes.

Cumplimiento legal

Hacer cumplir los Términos del servicio, atender los requerimientos legales y mantener los registros de auditoría que exige la normativa educativa y de protección de los consumidores.

4. Decisiones automatizadas

Desde enero de 2026, California exige informar sobre el uso de tecnología de toma de decisiones automatizada (ADMT, por sus siglas en inglés). Así la utiliza Fasaha:

Aprendizaje adaptativo

Los algoritmos ajustan la dificultad de las lecciones según tus resultados en los cuestionarios y el tiempo que dedicas. Puedes restablecer los ajustes adaptativos en Ajustes → Aprendizaje.

Evaluación de la pronunciación

Modelos de IA califican la pronunciación. Las puntuaciones influyen en las recomendaciones de práctica, pero no restringen el acceso al contenido.

Detección de fraudes

Sistemas automatizados señalan la actividad sospechosa en las cuentas (p. ej., rachas anómalas). Una persona revisa las cuentas señaladas antes de adoptar cualquier medida.

Tus derechos

Los residentes en California pueden solicitar información sobre la lógica de la ADMT, oponerse a determinadas actividades de elaboración de perfiles y acceder a los resultados. Escribe a fasaha.app@gmail.com con el asunto «ADMT Request».

5. Bases jurídicas (EEE y Reino Unido)

Ejecución de un contrato: datos de la cuenta, del progreso y de pago necesarios para prestar el servicio.

Interés legítimo: diagnóstico, analítica, supervisión de la seguridad y comunicaciones comerciales limitadas a usuarios existentes.

Consentimiento: notificaciones push, correos electrónicos comerciales, cookies no esenciales y programas de investigación.

Obligación legal: registros fiscales, registros antifraude e informes a las plataformas.

6. Cuándo compartimos datos

Proveedores de servicios

Infraestructura (Supabase, AWS, Google Cloud), autenticación y contenido multimedia (Firebase, Expo), analítica (Vercel Web Analytics y Speed Insights, sin cookies ni datos personales identificables; PostHog para la analítica de producto en la app, alojado en la UE), pagos (RevenueCat, Apple, Google) y comunicaciones (Expo Push, buzón de soporte).

Todos ellos han firmado contratos de encargo del tratamiento (DPA); la subcontratación del tratamiento está restringida y su seguridad se audita cada año.

Funciones de comunidad

Si te unes a retos o compartes listas de vocabulario, tu nombre visible, tu avatar y el contenido que compartas serán visibles para los demás participantes. Puedes eliminarlos en cualquier momento desde la pantalla correspondiente.

Operaciones societarias

En caso de fusión, adquisición o quiebra, los datos se transmitirán a la entidad sucesora conforme a esta política. También podemos divulgarlos para cumplir la ley o proteger a los usuarios.

Con tu consentimiento

Te pedimos permiso expreso antes de compartir datos con socios de investigación, publicar testimonios o activar integraciones de inicio de sesión único (SSO).

Servicios de la API de YouTube

Usamos los Servicios de la API de YouTube en dos ámbitos. Nuestro sitio web puede reproducir vídeos de YouTube en un reproductor integrado, y una herramienta interna gestiona el canal de YouTube propio de Fasaha (los títulos, descripciones, miniaturas, subtítulos y listas de reproducción de los vídeos que publicamos). Solo el personal de Fasaha usa esa herramienta, y únicamente inicia sesión en el canal propio de Fasaha. No accede a información sobre usuarios de la app, visitantes del sitio web ni otros usuarios de YouTube, ni la recopila, almacena o comparte; lo único que almacena es la autorización para nuestro propio canal, que se guarda en nuestro propio dispositivo.

Los servicios de YouTube se rigen por los Términos del Servicio de YouTube (https://www.youtube.com/t/terms) y la Política de Privacidad de Google (https://www.google.com/policies/privacy). Cuando reproduces un vídeo integrado, YouTube puede recopilar datos conforme a esos términos. El acceso concedido a una app mediante una cuenta de Google puede revisarse y revocarse en la página de configuración de seguridad de Google (https://security.google.com/settings/security/permissions).

7. Transferencias internacionales

Los datos se almacenan principalmente en Estados Unidos. Las transferencias internacionales se basan en cláusulas contractuales tipo o en mecanismos equivalentes. Los datos se cifran en tránsito y en reposo.

8. Conservación y eliminación

Datos de la cuenta: se conservan mientras la cuenta esté activa y se eliminan tras 24 meses de inactividad (antes te enviamos dos correos electrónicos de recordatorio).

Materiales de aprendizaje (audio, transcripciones, historial del diccionario): puedes borrarlos en cualquier momento en Ajustes → Privacidad.

Registros del servidor: hasta 12 meses. Registros de compras: durante el plazo que exija la legislación fiscal.

9. Seguridad

Cifrado TLS, control de acceso basado en roles, detección de secretos expuestos y pruebas de penetración periódicas. Mantenemos protocolos de respuesta a incidentes y notificamos las brechas de seguridad a las autoridades de control y a los usuarios cuando así se exige.

10. Tus derechos

Acceso, portabilidad, rectificación y supresión

Descarga tu historial de aprendizaje, actualiza tu perfil o elimina tu cuenta en Ajustes → Cuenta. ¿Necesitas ayuda? Escribe a fasaha.app@gmail.com.

Comunicaciones comerciales y cookies

Todos los correos electrónicos comerciales incluyen un enlace para darte de baja. Actualmente solo usamos cookies esenciales y respetamos las señales Global Privacy Control (GPC).

Derechos de privacidad en los estados de EE. UU. (actualización de 2026)

Los residentes de California, Colorado, Connecticut, Delaware, Indiana, Iowa, Kentucky, Montana, Nuevo Hampshire, Nueva Jersey, Oregón, Rhode Island, Tennessee, Texas, Utah y Virginia tienen derecho a: saber qué datos tenemos sobre ellos, rectificarlos, eliminarlos, obtener una copia y oponerse a su «venta» o a que se «compartan» con fines de publicidad dirigida.

Fasaha no vende datos personales. Para presentar una solicitud o recurrir la respuesta, escribe a fasaha.app@gmail.com. Verificaremos tu identidad y responderemos dentro del plazo legal (normalmente, 45 días).

Exclusión voluntaria universal

Nuestras apps y nuestro sitio web detectan la señal GPC del navegador. Cuando la detectamos, la tratamos automáticamente como una oposición a que se compartan tus datos para publicidad conductual en contextos cruzados.

11. Información para las tiendas de apps

Nuestra etiqueta de privacidad del App Store y el formulario de seguridad de los datos de Google Play indican cada tipo de dato, su finalidad y su vinculación con tu identidad, y se sincronizan con esta política antes de cada versión.

La app incluye un enlace a esta política en Ajustes → Privacidad (obligatorio para las apps móviles según la CCPA 2026).

Los permisos (micrófono, cámara, reconocimiento de voz, notificaciones, biblioteca multimedia, movimiento) se solicitan solo en el momento en que se necesitan y puedes revocarlos en los ajustes del dispositivo.

12. Menores y verificación de la edad

Edad mínima

Fasaha está dirigida a estudiantes de 13 años o más. No recopilamos a sabiendas datos de menores de 13 años sin el consentimiento verificable de sus padres. Si detectamos datos de este tipo, los eliminamos de inmediato.

Protecciones para menores de 16 años (CCPA 2026)

En el caso de usuarios menores de 16 años, obtenemos su consentimiento expreso (opt-in) antes de «vender» o «compartir» su información personal. En la práctica, Fasaha no vende datos, pero aplicamos esta salvaguarda tal como exige la ley.

Señales de edad

Podemos usar las API de señales de edad que ofrecen las plataformas (Apple/Google) para aplicar las protecciones adecuadas conforme a las leyes de responsabilidad de las tiendas de apps (App Store Accountability Acts) de Texas, California, Luisiana y Utah.

13. Cambios en esta política

Actualizamos esta política cuando incorporamos nuevas funciones o nuevos encargados del tratamiento, o cuando cambia la normativa. Anunciamos los cambios sustanciales mediante un aviso en la app o por correo electrónico al menos 15 días antes de que entren en vigor.