Política de privacidad

Esta es una traducción de cortesía; la versión alemana es la vinculante.

Última actualización: octubre de 2026

KindChat, un mensajero cifrado de extremo a extremo con protección de IA en el dispositivo. Alojado en la UE, sin rastreo, sin elaboración de perfiles.

Responsable del tratamiento: sonrisa ventures GmbH, Kleiststraße 35, 10787 Berlín, Alemania · hi@kindchat.app

Delegado de protección de datos: MIRUS Aktiengesellschaft, Unternehmensberatung, Ziegelfichtenweg 44, 14974 Ludwigsfelde, Alemania, tel. +49 3378 2080727; correo electrónico a través de hi@kindchat.app (asunto «Datenschutzbeauftragter»)

1. Principios generales

Nuestro tratamiento sigue estos principios:

• Primero en el dispositivo: la moderación por IA se ejecuta primero en tu dispositivo, al enviar y al recibir. Si el dispositivo no está seguro, y en algunos idiomas (por ejemplo, el francés y el turco) con la mayoría de los mensajes, envía además el texto a nuestro segundo nivel de comprobación en nuestro propio servidor en la UE (2.3), sin tu identificador de cuenta; solo se guarda con tu consentimiento (2.2).
• Cifrado de extremo a extremo (E2EE): los mensajes y los archivos están cifrados de extremo a extremo, y las llamadas, cuando ambas personas tienen KindChat 1.1.14 o posterior (con una versión anterior, cifradas sin confirmación de claves). Qué datos podemos leer a pesar de ello se indica sobre todo en 2.1, 2.2, 2.3, 2.6 y 2.8.
• Sin rastreo, sin perfiles.
• Transparencia y minimización de datos.
• Alojamiento en la UE.

Esta política se refiere a los arts. 13/14 del RGPD, al art. 50 del Reglamento de IA y a la Ley de Servicios Digitales (DSA).

2. Qué datos tratamos y por qué

2.1 Registro y cuenta (datos obligatorios)

• Número de teléfono (identificación y E2EE con el protocolo de Signal)
• Token del dispositivo para notificaciones push (APNs/FCM, contrato estándar de encargo)
• Versión de la app, sistema operativo, modelo de dispositivo
• Datos de perfil y de grupo: guardamos actualmente de forma legible tu nombre visible, la elección de tu avatar predefinido, tu texto de «Información», el nombre, la descripción, el texto de bienvenida y la imagen de un grupo, así como las reacciones a mensajes. La app guarda el texto de «Información» solo en tu dispositivo a partir de la versión 1.1.14. Los demás datos los ciframos de extremo a extremo, cada uno en cuanto lo activemos. Después ya no los leemos, con tres excepciones: el nombre de un grupo lo mantenemos legible hasta que todas las versiones compatibles de la app puedan leerlo cifrado, y los datos que aún no haya cifrado ninguna app actual, hasta entonces; un nombre que alguien entrega con una denuncia lo vemos en esa denuncia; si un dispositivo no está seguro de un nombre, lo revisa nuestro segundo nivel de comprobación sin identificador (véase 2.3). Siguen siendo legibles para nosotros quién está en qué grupo, con qué rol, desde cuándo y quién lo añadió, el número de miembros y los ajustes de un grupo.

Finalidad: prestación del servicio, autenticación, entrega. Base jurídica: art. 6.1.b del RGPD. Conservación: hasta la eliminación de la cuenta, más los plazos legales.

2.2 Moderación por IA en el dispositivo (función principal)

El texto y (a partir de la versión 1.1.14) los documentos se comprueban en tu dispositivo, también el texto que aparece en una imagen, un fotograma de vídeo o un documento. Las imágenes y los vídeos se comprueban en el dispositivo en busca de desnudos, al enviar y al recibir; en los vídeos, fotogramas sueltos, no el sonido. El contenido de las llamadas no se comprueba. Los mensajes de voz están en pausa (véase 2.4). Los modelos residen en el dispositivo. Si no está seguro, y en algunos idiomas (por ejemplo, el francés y el turco) para la mayoría de los mensajes, tu dispositivo consulta el segundo nivel de comprobación (véase 2.3).

Solo con tu consentimiento: contribuciones a la mejora de la moderación. En los ajustes de la app, en Privacidad, puedes activar «Ayudar a mejorar la moderación». Con el interruptor activado, guardamos, para las decisiones del segundo nivel de comprobación, el texto comprobado de forma seudonimizada, junto con el idioma, la categoría y la decisión. Estos registros no contienen ningún identificador de tu cuenta. Los nombres, números de teléfono y direcciones de correo se sustituyen antes de guardarlos, en la medida en que nuestro procedimiento los reconoce. Los registros están seudonimizados, no anonimizados. Sirven para evaluar y seguir desarrollando nuestro propio modelo de moderación. El interruptor está desactivado por defecto y puedes desactivarlo de nuevo en cualquier momento; a partir de entonces no se guarda nada más sobre tus mensajes. Sin este consentimiento, el texto comprobado se descarta tras la decisión.

Finalidad: evaluación y desarrollo de la calidad de la moderación. Base jurídica: art. 6.1.a del RGPD (consentimiento), revocable. Conservación: 36 meses; después, eliminación automática. Lugar de almacenamiento: exclusivamente la UE.

Avisar de que una retención es errónea. Si crees que es un error que la app retenga tu propio mensaje, tu publicación o tu comentario, en la mayoría de los casos puedes avisarnos de ello, pero no en el caso de fotos, vídeos y documentos ni cuando se trata de seguridad infantil o autolesiones. La app solo envía el aviso si «Ayudar a mejorar la moderación» está activado. Si el interruptor está desactivado, puedes activarlo al enviar el aviso; después se queda activado (véase arriba). En el caso de los miembros protegidos, la app no envía ningún aviso (véase 2.8).

Con el aviso recibimos las palabras retenidas que escribiste, ya seudonimizadas en tu dispositivo. En el caso de un mensaje de chat se añaden hasta cinco de tus propias líneas anteriores de este chat; en el caso de una publicación de Pulse, texto de las descripciones de sus fotos y vídeos, si las hay. Además recibimos datos sobre qué regla y qué nivel de comprobación retuvo las palabras y cómo las valoró el modelo de comprobación, en qué idioma están escritas y qué versión de la app, qué reglas de comprobación y qué paquetes de idioma usa tu dispositivo. Nuestro servidor vuelve a seudonimizar los textos. No añadimos tu nombre ni tu número; los nombres, números de teléfono y direcciones de correo que aparecen en tus palabras los sustituimos en la medida en que nuestro procedimiento los reconoce. El aviso está seudonimizado, no anonimizado. No se incluyen las fotos y los vídeos en sí ni nada que hayan escrito otras personas. El aviso se guarda sin ningún identificador de tu cuenta; al recibirlo, comprobamos tu cuenta solo para limitar los abusos y fijar el plazo de conservación. Las personas encargadas de la revisión en KindChat ven el aviso.

Finalidad: detección y corrección de decisiones erróneas de la moderación, ajustando reglas o usando el aviso como ejemplo para entrenar nuestro propio modelo de moderación. Base jurídica: art. 6.1.a del RGPD (tu aviso expreso en cada caso concreto). Conservación: 36 meses; después, eliminación automática. Si aun así nos llega el aviso de un miembro protegido, lo eliminamos a los 12 meses. Como el aviso no lleva ningún identificador de tu cuenta, después ya no podemos asociarlo a ti; se conserva hasta que termina el plazo, aunque desactives el interruptor o elimines tu cuenta. Lugar de almacenamiento: exclusivamente la UE.

Finalidad: protección frente a contenido dañino. Base jurídica: art. 6.1.f del RGPD, así como art. 6.1.a (consentimiento para el Círculo de protección). Véase Transparencia de la IA.

2.3 Segundo nivel de comprobación en infraestructura de la UE (caso de duda y, en algunos idiomas como el francés y el turco, la mayoría de los mensajes)

Si la comprobación en el dispositivo no puede decidir con seguridad, y en algunos idiomas (por ejemplo, el francés y el turco) para la mayoría de los mensajes, tu dispositivo envía el texto en cuestión (también el texto que tu dispositivo ha reconocido en una imagen, un fotograma de vídeo o (a partir de la versión 1.1.14) un documento, nunca la imagen ni el archivo en sí) y hasta cinco mensajes anteriores de la conversación a nuestro propio servicio de moderación en infraestructura de la UE. Esto ocurre antes del cifrado y lo hace tu propio dispositivo. No desciframos ningún mensaje en tránsito ni almacenado; las claves necesarias para ello residen en los dispositivos. Hay dos excepciones. Los mensajes que tú escribes al soporte de KindChat los descifra nuestro servidor, y nuestro equipo de soporte los lee para ayudarte. Y si denuncias un mensaje y das tu consentimiento en el diálogo de denuncia, tu dispositivo nos entrega el contenido o la clave de exactamente ese único mensaje; con esa clave abrimos como máximo ese único mensaje. La solicitud al segundo nivel de comprobación está autenticada para proteger frente a abusos; al llegar, nuestro servidor reconoce tu cuenta, pero al modelo de comprobación solo le pasa el texto y los mensajes anteriores, sin ningún identificador de las personas implicadas. El texto y la cuenta no se almacenan juntos, y el texto transmitido se descarta tras la decisión.

Finalidad: protección frente a daños graves; obligaciones de denuncia de delitos. Base jurídica: art. 6.1.f y, en su caso, 6.1.c. Plazo de eliminación: el texto comprobado se descarta tras la decisión. Solo con tu consentimiento se conserva una versión seudonimizada (véase 2.2). Registros técnicos de nuestro servidor de la app, sin contenido de mensajes: 30 días como máximo, salvo que exista una obligación legal de conservación; en algunos servicios auxiliares estamos implantando el límite de 30 días, hasta entonces se sobrescriben por tamaño. El registro de nuestro servidor de la app no contiene ni tu dirección IP ni tu cuenta, con dos excepciones que también se eliminan como máximo a los 30 días: si activas un diagnóstico para nuestro equipo de soporte, incluye el identificador de tu cuenta, sin dirección, para que el equipo de soporte pueda asignarlo a tu cuenta; y si una comunicación a una autoridad no puede anotarse en nuestro registro de responsabilidad, el registro deja constancia de que tuvo lugar, con el identificador de cuenta de la persona afectada, para que una solicitud de acceso de esa persona la encuentre igualmente. Sin cesiones, salvo a encargados del tratamiento con contrato de encargo, solo en la UE.

2.4 Mensajes de voz / transcripción de voz

Los mensajes de voz están actualmente en pausa: las versiones actuales de la app (1.1.1 y posteriores) ya no pueden grabar, enviar ni reproducir mensajes de voz. Mientras versiones anteriores de la app aún incluyan la función, se les aplica lo siguiente: transcripción automatizada exclusivamente en el dispositivo; en caso de escalada, solo el texto transcrito se comprueba en infraestructura de la UE para clasificar el contenido, nunca el archivo de audio. Solo reconocimiento de contenido, sin reconocimiento de emociones (art. 50.3 del Reglamento de IA); no se almacenan datos biométricos. Base jurídica como en 2.2/2.3.

2.5 Función Círculo de protección (opcional)

• Consentimiento de la persona protegida
• Ajustes y metadatos de la relación de protección (¡no el contenido!)
• Notificaciones sobre medidas de protección

Finalidad: ayuda en la gestión de contactos y medidas de protección. Base jurídica: art. 6.1.a (consentimiento, revocable). Las personas del Círculo Protector no obtienen acceso al contenido de los mensajes; lo que podemos leer se indica en 2.1.

2.6 Datos técnicos y de seguridad

• Dirección IP (a corto plazo, para seguridad y prevención de abusos)
• Informes de fallos y errores a nuestro propio sistema de seguimiento de errores en Alemania, sin contenido de mensajes. Una excepción afecta a las versiones 1.1.1 a 1.1.10 de la app: podían incluir en un informe el texto de lo que se había pulsado, es decir, en un mensaje de chat su texto y, en los grupos, también el nombre visible de la persona remitente. Además podían incluir identificadores técnicos de interlocutores y de mensajes que figuraban en solicitudes a nuestro servidor. Desde el 22 de septiembre de 2026 nuestro servidor ya no acepta informes de esas versiones; los ya recibidos siguen almacenados. A partir de la versión 1.1.11 la app no envía ni texto pulsado ni esos identificadores. En el iPhone, en el primer inicio y antes de enviar nada, elimina una vez todos los informes de versiones anteriores que aún no se habían enviado.
• estadísticas de uso agregadas

Base jurídica: art. 6.1.f.

2.7 Ningún dato más

Tu agenda de contactos no se sube. Si quieres invitar a amistades mediante la función de invitación, la app puede, a petición tuya, leer tu lista de contactos, exclusivamente de forma local en tu dispositivo y solo para que elijas a las personas que quieres invitar. La agenda nunca se sube ni se almacena; únicamente los números de los destinatarios que confirmas expresamente se envían a nuestro servidor en Alemania y se utilizan solo para enviar el SMS de invitación; el número en sí no se guarda. Para proteger frente a abusos (como máximo tres invitaciones tuyas al mismo número al día), conservamos valores de comprobación del número, formados con una clave secreta, uno de ellos junto con tu cuenta, durante 24 horas como máximo. Base jurídica: art. 6.1.f del RGPD. Sin datos de ubicación, sin contenido para publicidad ni para entrenar modelos externos.

2.8 Niños, niñas y adolescentes en un Círculo Protector

Las personas menores de 16 años pueden usar KindChat como miembro protegido de un Círculo Protector; en qué países, lo regula la cláusula 1.4 de las Condiciones del servicio. La base jurídica de la cuenta es el contrato de uso del miembro protegido, que la persona adulta titular del Círculo Protector celebra en nombre del miembro protegido (art. 6.1.b RGPD). Las funciones de cuidado, es decir, la aprobación de contactos nuevos e incorporaciones a grupos, forman parte de ese contrato (art. 6.1.b RGPD). Cuando un tratamiento se basa en el consentimiento, la persona titular lo presta en nombre del miembro protegido y lo declara expresamente al crear el código (art. 6.1.a en relación con el art. 8 RGPD). Se pregunta por una franja de edad, no por una fecha de nacimiento: en el registro y en un inicio de sesión en un dispositivo nuevo, siempre que la franja de edad de la cuenta no esté ya guardada. Solo se guardan la franja de edad resultante, el momento y el país. En el caso de miembros protegidos se guardan además el momento y la versión de la declaración de la persona titular, los identificadores del Círculo Protector y de su titular, el estado de la aprobación obligatoria y, en su caso, la fecha de inactivación. Franja de edad del sistema operativo: en las cuentas de EE. UU. (rige el número de teléfono o la residencia declarada), la app consulta además la franja de edad que facilita el sistema operativo o la tienda de aplicaciones del dispositivo, cuando exista; varios estados de EE. UU. exigen esa consulta desde 2026. A nosotros se nos transmite únicamente la franja de edad: ninguna fecha de nacimiento, ningún nombre de una persona responsable y ningún identificador de la plataforma. No se almacena por separado, sino que se incorpora a la franja de edad de la cuenta y solo surte efecto cuando es inferior a la declaración propia; nunca puede elevar una franja de edad. La finalidad es la protección de menores. La base jurídica es el art. 6.1.f del RGPD (interés legítimo en una protección eficaz de menores) y, cuando exista una obligación legal de consulta, el art. 6.1.c del RGPD. La persona titular aprueba los contactos nuevos y las incorporaciones a grupos. Al hacerlo ve el nombre visible de quien solicita el contacto; en el caso de grupos, el nombre del grupo, quien invita y el número de miembros. No tiene acceso a mensajes, llamadas ni ubicación. El miembro protegido ve en todo momento en la aplicación que la aprobación obligatoria está activa y qué funciones de cuidado ha concedido la persona titular; no existe supervisión encubierta. Quien envíe una solicitud de contacto a un miembro protegido o lo invite a un grupo debe saber: su nombre visible, y en los grupos el nombre del grupo y el número de miembros, se muestran a la persona titular del círculo de protección para su aprobación; la persona titular no sabe nada más sobre quien solicita. Las solicitudes de aprobación resueltas se eliminan 90 días después de la decisión. Si la persona titular rechaza una solicitud, el nombre del grupo o de la comunidad se elimina de inmediato. La base jurídica para mostrar los datos de quien solicita es el art. 6.1.f del RGPD (interés legítimo en proteger al miembro protegido). El consentimiento voluntario "Ayudar a mejorar la moderación" no está disponible para miembros protegidos. En el primer inicio, los miembros protegidos reciben un resumen adaptado de esta política (art. 12 RGPD).

3. Destinatarios / encargados del tratamiento

• Alojamiento: Hetzner Online GmbH en Alemania, con contrato de encargo del tratamiento; sin transferencias a terceros países para datos de contenido
• Push: Apple/Google (contrato de encargo estándar, minimización de datos). Se transmite una señal de aviso a la dirección push del dispositivo. Según el tipo, lleva un texto fijo como «Nuevo mensaje», el número de mensajes no leídos, identificadores que solo KindChat puede asociar y, en una llamada entrante, el tipo de llamada (audio o vídeo) y su hora de inicio. Si se cierra la sesión de un dispositivo, la señal indica el motivo solo como categoría (seguridad, inactividad o cierre de sesión o nuevo inicio de sesión en otro dispositivo). Si en un chat individual te escribe un contacto que has marcado con una estrella, la señal lo lleva como indicación (tres estrellas en el texto del aviso o, cuando Android despierta la app, un distintivo); la indicación en sí no nombra a nadie. Apple o Google reciben estos datos y saben que un dispositivo se ha despertado y cuándo. No reciben el contenido de los mensajes.
• Comprobación del dispositivo al iniciar sesión y en los SMS de invitación (a partir de la versión 1.1.11 de la app; en los SMS de invitación, a partir de la 1.1.13 y solo cuando la activemos): cuando solicitas un código de inicio de sesión, la app pide a Apple (App Attest) o a Google (Play Integrity) que confirme que la solicitud procede de la app auténtica de KindChat en un dispositivo real. En iOS, si todavía no tiene una, la app genera para ello una clave del dispositivo al comenzar el inicio de sesión y hace que Apple la confirme una vez. Una clave con más de 80 días se sustituye en el siguiente inicio de sesión; hasta que la nueva esté confirmada, la anterior sigue siendo válida. Con ello, Apple sabe que en el dispositivo se ha generado una clave para KindChat, y cuándo, y recibe un valor de comprobación derivado de un número aleatorio de nuestro servidor, sin tu número de teléfono. En Android, cada vez que se solicita un código de inicio de sesión, Google comprueba el dispositivo, la app y su estado de licencia para las cuentas de Google con sesión iniciada en el dispositivo, y recibe un valor de comprobación derivado de un número aleatorio de nuestro servidor, el tipo de solicitud y tu número de teléfono. Como Google nunca recibe el número aleatorio, tu número de teléfono no puede deducirse de ese valor. Si tu cuenta aún no tiene una prueba de dispositivo, por ejemplo porque no has vuelto a iniciar sesión desde que se introdujo la comprobación del dispositivo, la app comprueba el dispositivo de la misma manera cuando invitas a alguien por SMS; en iOS genera para ello una clave del dispositivo si todavía no existe ninguna. En Android, Google recibe entonces un valor de comprobación que se forma de nuevo en cada solicitud a partir del número aleatorio de nuestro servidor y que no contiene ningún número de teléfono, tampoco el de la persona invitada; este valor no puede vincularse con tu cuenta ni relacionarse con otras solicitudes. Google conserva durante un plazo fijo los datos recogidos en el proceso, también el valor de comprobación, según sus propias indicaciones. Apple y Google no reciben el contenido de los mensajes ni identificadores de tu cuenta de KindChat. El tratamiento por parte de Apple y Google puede tener lugar en EE. UU.; la respuesta la comprueba nuestro propio servidor, en la UE. La base jurídica es el art. 6.1.f del RGPD (interés legítimo en combatir el abuso de los SMS de inicio de sesión y de invitación).
• en el caso de escalada, solo personal interno formado o proveedores especializados de la UE con contrato de encargo del tratamiento
• sin cesiones a redes publicitarias ni intermediarios de datos, ni para entrenar IA generativa
• SMS: los números de móvil y el consentimiento para recibir SMS nunca se ceden a terceros ni a empresas vinculadas con fines de marketing o publicidad, y tu consentimiento para recibir SMS no se transmite a nadie. KindChat solo envía a tu número SMS con códigos de inicio de sesión y avisos del servicio; los proveedores que los entregan actúan por cuenta nuestra con contrato de encargo del tratamiento. Por lo general se trata de seven.io (Kiel, Alemania); recibe el número de móvil y el texto del SMS para los códigos de inicio de sesión, los avisos del servicio y los SMS de invitación, y conserva los registros de envío según sus propios plazos. Para algunos países (inicialmente Turquía), el SMS lo entrega Twilio Inc., con sede en EE. UU., que recibe para ello el número de móvil y el texto del SMS; esto se aplica también a los SMS de invitación a números de esos países. La transferencia a EE. UU. se basa en el Marco de Privacidad de Datos entre la UE y EE. UU., en el que Twilio está certificada, y en su defecto en las cláusulas contractuales tipo de la UE; puedes solicitar una copia en hi@kindchat.app.

Cuando exista una obligación legal (p. ej. una orden judicial), la comunicación se realiza solo en la medida permitida.

4. Conservación y eliminación

• Cuenta/perfil hasta la eliminación, más 30 días
• Avisos de que una retención es errónea (véase 2.2): 36 meses; avisos de miembros protegidos que aun así nos llegan: 12 meses
• El contenido de los mensajes está en nuestros servidores cifrado de extremo a extremo (excepciones: el chat de soporte y las denuncias, véase 2.3). Lo eliminamos allí, junto con sus archivos adjuntos, 30 días después del envío; si en un chat individual uno de los lados, o en un grupo un miembro actual, es miembro de Plus o del Círculo Protector, permanece allí mientras eso se cumpla, salvo en chats con organizaciones. Un mensaje de un chat individual que no se haya podido entregar en 30 días lo eliminamos, junto con sus archivos adjuntos, 30 días después del envío, aunque uno de los lados sea miembro de Plus o del Círculo Protector; se exceptúan los mensajes que una denuncia conserva como prueba y los mensajes al soporte de KindChat hasta que nuestro equipo los haya recibido. Una copia de seguridad cifrada del historial ya está desarrollada, pero aún no está disponible; por ahora no guardamos ninguna copia de seguridad de tu historial en nuestros servidores. Completaremos esta política antes de activar la copia de seguridad
• El texto enviado al segundo nivel de comprobación se descarta tras la decisión; solo con consentimiento se conserva una versión seudonimizada durante 36 meses (véase 2.2)
• Clave de la comprobación del dispositivo al iniciar sesión (iOS): se guardan su identificador, su clave pública, un contador, el entorno (desarrollo o producción) y tres fechas sin hora, sin identificador de cuenta ni dirección IP; sobre el vínculo con el número de teléfono, véase el punto siguiente. Una clave que nunca se ha usado se elimina 7 días después de que la hayamos guardado, y una usada, 90 días después de su último uso; como solo guardamos días y eliminamos una vez al día, puede tardar hasta unos dos días más. En Android, la respuesta de Google se comprueba y no se guarda.
• Vínculo entre la clave del dispositivo y el número de teléfono (iOS, solo cuando lo activemos): cuando se solicita en iOS un código de inicio de sesión o de recuperación, guardamos un valor de comprobación del identificador de la clave del dispositivo, un valor de comprobación del número de teléfono para el que se solicita el código, el tipo de solicitud (inicio de sesión o recuperación), si se admitió o se remitió a un cupo limitado y el día (sin hora). Formamos los valores de comprobación con una clave secreta propia. Se trata de una seudonimización, no de una anonimización: quien tuviera estas entradas junto con esa clave podría deducir los números, por lo que la clave se guarda solo en nuestro almacén de secretos, nunca en la base de datos ni en sus copias de seguridad. No guardamos el número en texto claro, ninguna dirección IP ni ningún identificador de tu cuenta. Usamos las entradas solo para prevenir el abuso de los SMS y las cuentas falsas: limitamos para cuántos números puede solicitar códigos un dispositivo al día. Por encima de ese límite, un número sin cuenta de KindChat solo recibe su código de un cupo muy limitado, es decir, quizá más tarde o ese día ya no; un número con cuenta sigue recibiendo su código. Lo mismo ocurre con un número sin cuenta si falla nuestra propia comprobación. En un caso de abuso confirmado, podemos someter una clave de dispositivo a ese cupo durante un máximo de 180 días y encontrar los números afectados; esta asignación (valor de comprobación de la clave, día, fin y una referencia del caso) la eliminamos cuando termina. Cualquier medida contra una cuenta la decide siempre una persona. Las entradas se eliminan a los 30 días; como solo guardamos días, puede tardar hasta aproximadamente un día más. Si una entrada pertenece a un caso de abuso que hemos confirmado, la conservamos como prueba hasta 180 días. Si eliminas tu cuenta, eliminamos las entradas del número de tu cuenta, salvo que pertenezcan a un caso así. En Android no se crea ningún vínculo de este tipo. Base jurídica: art. 6.1.f del RGPD (prevención del abuso de los SMS de inicio de sesión y de las cuentas falsas).
• Prueba de dispositivo de tu cuenta: guardamos en tu cuenta el momento en que aportó por primera vez una prueba de dispositivo válida, al iniciar sesión o, a partir de la versión 1.1.13 de la app, en un SMS de invitación. Los SMS de invitación de cuentas sin esta prueba se retienen; las invitaciones por enlace o desde el menú de compartir no se ven afectadas. El momento se borra junto con tu cuenta, y la información que recibes al ejercer tu derecho de acceso (art. 15 del RGPD) lo incluye. Base jurídica: art. 6.1.f del RGPD (prevención del abuso de los SMS de invitación).
• Solicitudes de contacto: una solicitud sin respuesta se borra 30 días después de su envío. Una solicitud aceptada se borra 30 días después de su aceptación si la persona está entonces entre tus contactos. Si rechazaste una solicitud o eliminaste un contacto, o si una solicitud aceptada no dio lugar a un contacto, se conserva una nota mientras existan ambas cuentas, para que la misma persona no pueda volver a enviarte una solicitud (art. 6.1.f del RGPD, protección frente a intentos de contacto no deseados y repetidos). El texto que acompaña a la solicitud y la indicación del grupo a través del cual se envió los eliminamos 30 días después de la decisión. Los registros de quién envió una solicitud a quién y de cómo decidió la persona que la recibió, sin ningún contenido, se borran a los 12 meses.
• Bloqueos: si bloqueas a alguien, guardamos también el momento del bloqueo. Sirve para decirte, antes de que te unas a un grupo de una comunidad, si en él hay alguien a quien bloqueaste antes de tu solicitud; esta función aún no está activada. Si desbloqueas a la persona, borramos ese momento, pero conservamos el periodo terminado (inicio y fin) mientras existan ambas cuentas, también después de que vuelvas a añadir a una persona eliminada. Con él queda oculto para ti lo que la persona comentó o marcó en Pulse durante ese tiempo, y para la persona lo que tú leíste durante ese tiempo. Si eliminas de tus contactos a una persona bloqueada, la nota sobre la eliminación conserva el momento y se mantiene como se describe arriba (art. 6.1.f del RGPD, protección frente a contactos no deseados). La información que recibes al ejercer tu derecho de acceso (art. 15 del RGPD) lo incluye, junto con tus propios periodos terminados.
• Mensajes a personas a las que ya no puedes contactar: si un mensaje no puede entregarse, por ejemplo porque la otra persona no te tiene (o ya no te tiene) como contacto o porque ya no puedes contactar con ella, solo guardamos lo que tú ves de ese mensaje: a quién iba, cuándo y si llevaba un archivo adjunto. No guardamos su contenido y la otra persona no recibe nada de él; para ti se ve como cualquier otro mensaje que aún no se ha entregado. Borramos estos datos a los 30 días, a más tardar a los 12 meses si una de las partes es miembro Plus, e inmediatamente si se elimina cualquiera de las dos cuentas. Hasta entonces, un archivo adjunto se guarda cifrado de extremo a extremo; no podemos leerlo y la otra persona no puede descargarlo (art. 6.1.f del RGPD, interés legítimo de ambas partes en que no se reconozca un bloqueo o una eliminación).
• Mensajes eliminados para todos: si alguien elimina un mensaje propio para todos o nuestro equipo retira un mensaje, eliminamos su contenido del servidor, salvo que una denuncia lo conserve como prueba. Conservamos una prueba sin contenido: sumas de verificación de un mensaje de grupo cifrado y de un archivo adjunto, sus etiquetas de autenticación, los datos de entrega (quién lo envió a quién y cuándo, y quién lo recibió o leyó y cuándo) y quién lo eliminó y cuándo (la propia persona o nuestro equipo). Con ello se puede comprobar si una denuncia muestra realmente este mensaje. Sin denuncia eliminamos la prueba al final del día 90 posterior al día de la eliminación (UTC), normalmente en el plazo de un día; con denuncia se aplica la conservación de la denuncia. Si el historial de un chat permanece en el servidor por Plus o por el Círculo Protector (véase arriba), allí solo permanece en el historial el mensaje eliminado con sus datos de entrega. En cuanto la app ofrezca denunciar mensajes eliminados, en un mensaje que el propio remitente eliminó, el dispositivo de cada persona a la que se le mostró conserva una copia oculta durante esos mismos 90 días; «Eliminar para mí» la borra definitivamente. Una denuncia que no se pueda comprobar no la atribuimos a nadie. Si el remitente elimina su cuenta, eliminamos sus mensajes junto con la prueba; durante 90 días, contados desde la eliminación del mensaje o de la cuenta, solo queda una anotación de a quién se enviaron, y una denuncia ya no se puede atribuir entonces a nadie. La base jurídica es el art. 6.1.f del RGPD (protección de los destinatarios y tramitación de denuncias conforme al art. 16 de la DSA).
• Registros técnicos de nuestro servidor de la app: 30 días como máximo, sin contenido de mensajes; en algunos servicios auxiliares estamos implantando el límite de 30 días, hasta entonces se sobrescriben por tamaño.

La cuenta puede eliminarse en cualquier momento en los ajustes de la app; la eliminación se produce entonces en un plazo de 30 días, salvo que lo impidan obligaciones legales.

5. Transparencia de la IA conforme al art. 50 del Reglamento de IA

La IA se usa exclusivamente para clasificar, no para generar; principalmente en el dispositivo. Te informamos durante el registro, en cada decisión de moderación (aviso «Comprobación automatizada» más un enlace a la reclamación), y en el sitio web y la app. Como no se crea contenido sintético, no existe obligación de etiquetado conforme al art. 50.2.

Detalles: página de Transparencia de la IA y Condiciones del servicio, cláusula 3.

6. Tus derechos (arts. 15 a 22 del RGPD)

Tienes derecho de acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento. También puedes presentar una reclamación ante una autoridad de control, p. ej. el Comisionado de Protección de Datos y Libertad de Información de Berlín (https://www.datenschutz-berlin.de).

Contacto: hi@kindchat.app; respuesta en el plazo de un mes (ampliable en 2 meses).

7. Seguridad del tratamiento

Aplicamos medidas técnicas y organizativas conforme al estado de la técnica (E2EE con el protocolo de Signal, IA en el dispositivo, copia externa cifrada de la base de datos, cifrado de los campos especialmente sensibles con claves propias, controles de acceso). No puede excluirse por completo un riesgo residual.

8. Cambios en esta política de privacidad

Adaptamos esta política cuando es necesario. Te informamos de los cambios sustanciales mediante notificación en la app o por correo, con antelación razonable. La versión vigente está siempre disponible en esta página (/es/privacidad/).

9. Tratamiento de datos en este sitio web (kindchat.app)

Lista de espera (finalizada): la lista de espera de la fase beta ya no se mantiene y a través de este sitio web ya no es posible apuntarse. Las direcciones que aún conservamos se tratan exclusivamente para atender el enlace de baja de los correos ya enviados. Base jurídica: consentimiento (art. 6.1.a del RGPD). Puedes retirarlo en cualquier momento mediante ese enlace; la dirección se elimina entonces.

Alojamiento del sitio web: Hetzner Online GmbH en Alemania (Falkenstein), con contrato de encargo del tratamiento.

Correo electrónico: nuestros buzones en kindchat.app, como hi@kindchat.app, y los correos que enviamos pasan por united-domains AG.

Analítica: usamos Umami, autoalojado en la UE y respetuoso con la privacidad. No pone cookies, no almacena nada en tu dispositivo, no crea perfiles personales y no permite rastreo entre sitios. Solo se registran recuentos de visitas agregados y anónimos. No se usa Google Analytics. Base jurídica: interés legítimo (art. 6.1.f del RGPD).

Autoridad de control: Comisionado de Protección de Datos y Libertad de Información de Berlín, Friedrichstraße 219, 10969 Berlín.

10. Contacto

sonrisa ventures GmbH, Protección de datos, correo hi@kindchat.app.