Política de Privacidad | Kluppy Mecanografía

1. ¿Quién es el responsable del tratamiento?

Kluppy S.L. CIF: B75131953 Domicilio: Mikeletegi pasealekua 65 (Planta Baja, Local 1), 20009, Donostia - San Sebastián, Gipuzkoa Email de contacto: info@kluppy.com Contacto en materia de protección de datos: dpo@kluppy.com

En adelante, "Kluppy", "nosotros" o "la Plataforma".

Esta política se aplica a https://kluppy.com y sus subdominios (incluidos play.kluppy.com y old.kluppy.com mientras siga activo) y a las aplicaciones móviles oficiales de Kluppy.

¿Responsable o encargado?

El papel de Kluppy depende de cómo llegues a la Plataforma:

Situación	Responsable del tratamiento	Papel de Kluppy
Te registras por tu cuenta o creas una cuenta familiar (B2C)	Kluppy	Responsable
Tu centro educativo, empresa o entidad te da de alta (B2B)	El centro o la entidad	Encargado (Art. 28 RGPD), según el DPA firmado
Te apuntas a una actividad extraescolar organizada por un centro	El centro	Encargado, según el DPA firmado

Cuando Kluppy actúa como encargado, tus derechos se ejercen ante el centro o la entidad; nosotros te derivaremos a quien corresponda y le prestaremos asistencia.

2. ¿Qué datos tratamos?

2.1. Datos que nos proporcionas directamente

Dato	¿Es obligatorio?	Finalidad
Email	Sí	Crear tu cuenta y poder contactarte
Nombre completo	Sí	Identificarte en el aula y en la plataforma
Nombre de usuario	Sí	Tu nombre público en rankings y ligas
Contraseña	Sí	Proteger tu cuenta
Avatar / foto de perfil	No	Personalización
Datos de facturación (nombre fiscal, NIF, dirección)	Solo si contratas un plan de pago	Emitir la factura

2.2. Datos que se generan con tu actividad

Cuando usas Kluppy, generamos automáticamente datos sobre tu progreso educativo:

Velocidad de escritura (palabras por minuto)
Precisión (porcentaje de acierto)
Nivel actual y progreso
Puntos de experiencia (XP) y logros
Historial de textos practicados
Resultados de pruebas y certificaciones de velocidad, junto con las señales técnicas necesarias para detectar intentos de falsear un resultado

Estos datos son necesarios para que el servicio funcione correctamente y para que tú (o tu profesorado) podáis ver tu evolución.

2.3. Cámara en el Nivel 0 (colocación de manos)

En el Nivel 0 puedes activar la cámara para que la Plataforma te indique si colocas bien las manos sobre el teclado.

Es siempre opcional. Si no das permiso o lo revocas, el nivel se completa en modo manual.
El vídeo nunca sale de tu dispositivo. El análisis de la posición de las manos se ejecuta íntegramente en tu navegador (biblioteca MediaPipe Hands). No grabamos, no transmitimos y no almacenamos ninguna imagen ni fotograma. Al servidor solo llega el resultado del nivel (completado o no).
No es un tratamiento de datos biométricos en el sentido del Art. 4.14 RGPD: los puntos de la mano se calculan en memoria para dibujar la guía visual, se descartan al instante y nunca se usan para identificarte.
Los ficheros del modelo de análisis se descargan de la red de distribución pública jsDelivr, que por el hecho de la descarga conoce tu dirección IP.

2.4. Datos de pago (solo usuarios de pago)

Si contratas un plan de pago, Stripe (nuestra pasarela de pagos) procesará tus datos de tarjeta. Kluppy nunca almacena los datos de tu tarjeta — Stripe cumple con PCI-DSS Level 1, el máximo estándar de seguridad en pagos.

2.5. Registros técnicos y de errores

Para mantener el servicio en pie y poder diagnosticar fallos, registramos incidencias técnicas. Estos registros pueden incluir el identificador de tu cuenta, la operación que falló y el mensaje de error. No se usan con fines comerciales ni para perfilarte, y se eliminan por rotación automática (ver sección 6).

2.6. Origen de la visita (al crear la cuenta)

Al crear tu cuenta registramos de dónde procedía tu visita (página de origen o referrer y etiquetas de campaña UTM de nuestros propios enlaces) con fines estadísticos de marketing. No incluye tu IP ni identificadores de terceros, y se elimina junto con tu cuenta.

2.7. Datos que NO recogemos

❌ Dirección postal (salvo la de facturación, si contratas un plan de pago)
❌ Número de teléfono (salvo en el registro de centros educativos, opcional)
❌ Fecha de nacimiento en la plataforma de aprendizaje. Excepción: Kluppy Academy y el proceso de selección de monitores sí la solicitan, por ser obligatorio verificar la mayoría de edad; se rigen por sus políticas específicas.
❌ Datos biométricos (ver sección 2.3)
❌ Geolocalización
❌ Historial de navegación fuera de Kluppy
❌ Datos de salud
❌ Datos de redes sociales (el login con Google o Microsoft solo recoge email y nombre)

3. ¿Para qué usamos tus datos?

Finalidad	Base jurídica	Datos utilizados
Crear y gestionar tu cuenta	Ejecución del contrato (Art. 6.1.b RGPD)	Email, nombre, contraseña
Autenticación social (Google/Microsoft)	Ejecución del contrato (Art. 6.1.b RGPD)	Email, nombre (proporcionados por el proveedor OAuth)
Prestar el servicio educativo	Ejecución del contrato (Art. 6.1.b RGPD)	Métricas de escritura, progreso, nivel
Informe de evidencias para la evaluación del centro (solo centros educativos y entidades)	Ejecución del contrato suscrito por el centro (Art. 6.1.b RGPD). El centro es el Responsable y Kluppy actúa como Encargado (Art. 28 RGPD)	Métricas de escritura del periodo, nivel alcanzado, pulsaciones acumuladas y sesiones trabajadas
Importación de directorio	Consentimiento del admin (Art. 6.1.a RGPD)	Email, nombre (desde Google Workspace/Classroom o Microsoft 365)
Facturación	Obligación legal (Art. 6.1.c RGPD)	Email, nombre, datos fiscales y de pago
Enviar emails de invitación y avisos del servicio	Ejecución del contrato (Art. 6.1.b RGPD)	Email
Guía de colocación de manos con cámara	Consentimiento, revocable (Art. 6.1.a RGPD)	Imagen procesada solo en tu dispositivo, sin almacenamiento
Seguridad, prevención de fraude en resultados y certificaciones	Interés legítimo (Art. 6.1.f RGPD)	Señales técnicas de la sesión de escritura
Diagnóstico de errores y estabilidad del servicio	Interés legítimo (Art. 6.1.f RGPD)	Registros técnicos (sección 2.5)
Analítica web (Google Analytics)	Consentimiento (Art. 6.1.a RGPD)	Datos anónimos de navegación
Soporte técnico (tickets)	Ejecución del contrato (Art. 6.1.b RGPD)	Email, contenido del mensaje

Cuando la base es el interés legítimo, hemos ponderado ese interés frente a tus derechos y puedes oponerte en cualquier momento escribiendo a dpo@kluppy.com.

Nunca vendemos tus datos a terceros ni los utilizamos para publicidad.

Decisiones automatizadas

No tomamos decisiones automatizadas con efectos jurídicos o similarmente significativos sobre ti (Art. 22 RGPD), ni elaboramos perfiles con esa finalidad. Las métricas de mecanografía son mediciones objetivas de lo que escribes: registran lo que haces en la Plataforma, no describen quién eres.

Informes de evidencias en centros educativos y entidades

Si practicas con Kluppy dentro de un centro educativo o de una actividad organizada, ese centro puede solicitar un informe de evidencias: un documento que ordena esas mismas mediciones por periodo y las sitúa en tramos de logro, para ayudar a su profesorado a evaluar el bloque de escritura con teclado. Te explicamos exactamente qué es y qué no es:

Es una propuesta, no una nota. El informe no produce por sí mismo ningún efecto: no cambia tu nivel, tu acceso ni tu progreso en Kluppy, y no se convierte en calificación por el hecho de emitirse.
La calificación la pone siempre una persona. El profesorado del centro puede modificar o descartar cualquier tramo propuesto antes de trasladarlo a un boletín, y es quien decide.
Kluppy no puede ser la base única ni principal de tu calificación. El contrato con el centro se lo prohíbe expresamente, y la herramienta obliga al centro a fijar y documentar qué peso da a este bloque dentro de la asignatura.
Los tramos no los decide la IA. Se calculan con reglas aritméticas fijas, aplicadas a tus mediciones y a cortes que el centro acuerda y publica. Los sistemas de inteligencia artificial descritos en la sección 4 no intervienen en el informe.
Se dice lo que se mide. El informe distingue siempre entre lo medido (velocidad, precisión, nivel alcanzado, pulsaciones) y su interpretación (el tramo), e imprime el tramo junto a los datos que lo sustentan, nunca solo.
Cobertura de la señal de trabajo en clase. Para dar contexto, Kluppy deduce cuándo trabajó tu grupo a partir de la actividad agregada del propio grupo, y refleja en cuántas de esas sesiones trabajaste. No es un control de asistencia, no se comunica a nadie como tal y no puntúa.

Por eso este tratamiento no constituye una decisión automatizada del Art. 22 RGPD: no es únicamente automatizado —decide una persona— ni produce por sí mismo un efecto jurídico o similarmente significativo. Si quieres saber cómo se calculó un tramo concreto, puedes pedírselo a tu centro o escribirnos a dpo@kluppy.com: los cortes y la fórmula son públicos y explicables.

Este informe solo existe en el canal de centros y entidades. Si usas Kluppy a título particular (B2C), no se genera.

4. Uso de Inteligencia Artificial (Reglamento (UE) 2024/1689 — AI Act)

Kluppy utiliza inteligencia artificial (IA) para mejorar la experiencia educativa. Esta sección explica cómo se usa la IA, en cumplimiento del Reglamento Europeo de IA (AI Act) y del RGPD.

4.1. Sistemas de IA utilizados

Sistema de IA	Proveedor	Finalidad	¿Se envían datos personales?
Generación de textos de ejercicios	Google Vertex AI (Gemini)	Crear textos de práctica de mecanografía personalizados y adaptados a tu nivel	❌ No — Solo parámetros técnicos (caracteres permitidos, idioma, longitud del texto)
Guiones de tutoriales	Google Vertex AI (Gemini)	Generar guiones de audio instructivos para aprender cada tecla	❌ No — Solo el carácter de la tecla y el idioma
Textos de referencia (benchmark)	Google Vertex AI (Gemini)	Generar párrafos para las pruebas de velocidad de mecanografía	❌ No — Solo idioma y parámetros técnicos
Análisis de documentos (solo administradores)	Google Vertex AI (Gemini)	Extraer nombres y emails de documentos subidos (p. ej. listados de alumnos)	⚠️ Sí — El contenido del documento es procesado por la IA

La detección de la colocación de las manos (sección 2.3) también emplea un modelo de visión, pero se ejecuta en tu propio dispositivo y no envía nada a ningún proveedor.

4.2. Cómo se identifica el contenido generado por IA

Cuando practicas con un texto generado por IA, verás una etiqueta "✨ Generado por IA" en la interfaz del ejercicio. Así garantizamos la transparencia sobre el origen del contenido con el que interactúas.

4.3. Información importante sobre la IA en Kluppy

Sin perfilado: La IA no se utiliza para perfilar, puntuar ni clasificar a los usuarios. Solo genera contenido educativo.
Sin decisiones automatizadas: La IA no toma ninguna decisión que afecte a tus derechos, tu acceso o tus resultados educativos.
Supervisión humana: Todo el contenido generado por IA está sujeto a revisión por administradores y puede desactivarse en cualquier momento. Si un texto te parece inapropiado, puedes reportarlo desde la propia Plataforma.
Minimización de datos: Enviamos a los sistemas de IA el mínimo imprescindible de datos — en la mayoría de los casos, cero datos personales.
Procesamiento en la UE: El procesamiento de IA se realiza en Europa (región de Vertex AI: multi-región eu de la UE). Los datos de usuario se almacenan en Europa (región de Firestore: eur3, Bélgica/Países Bajos).
Sin entrenamiento con tus datos: Tus datos personales no se utilizan para entrenar modelos de IA. Google Vertex AI procesa las peticiones sin retener datos de usuario para entrenamiento, según la configuración de nuestro proyecto de Google Cloud (Data Logging desactivado, multi-región eu de la UE para el procesamiento de IA). Más detalles en la documentación de Data Governance de Google Cloud.

4.4. Análisis de documentos (solo administradores)

Cuando un administrador sube un documento (PDF o imagen) para extraer emails, el documento se envía a Google Vertex AI para su procesamiento. Esto implica el tratamiento de datos personales (nombres y emails contenidos en el documento).

Para usuarios particulares (B2C): Este tratamiento se realiza sobre la base jurídica de la ejecución del contrato (Art. 6.1.b RGPD).
Para centros educativos (B2B): Kluppy actúa como Encargado del Tratamiento (Art. 28 RGPD). La base jurídica es el Contrato de Encargo de Tratamiento (DPA) firmado con el centro, que autoriza expresamente a Google Vertex AI como subencargado.

El contenido del documento se procesa en memoria y se elimina explícitamente tras el procesamiento. No se guarda en ninguna base de datos, bucket ni log. El proveedor de IA no retiene los datos de las peticiones para entrenamiento (Data Logging desactivado en nuestra configuración de Google Cloud).

4.5. Tus derechos respecto a la IA

Tienes derecho a saber cuándo un contenido está generado por IA (etiquetas de transparencia en la interfaz).
Puedes contactarnos en info@kluppy.com para más información sobre el uso de la IA.
Si consideras que un contenido generado por IA es inapropiado, puedes comunicarlo desde la Plataforma o a través del sistema de soporte.

5. ¿Con quién compartimos tus datos?

Solo compartimos datos con los proveedores necesarios para que el servicio funcione:

Proveedor	Servicio	Datos compartidos	Ubicación	DPA
Google Cloud / Firebase	Almacenamiento, procesamiento, autenticación (Google login)	Todos los datos de la cuenta	UE 🇪🇺 (Bélgica/Países Bajos — eur3)	Ver DPA
Google Vertex AI	Generación de textos educativos	Ningún dato personal (solo parámetros técnicos)	UE 🇪🇺 (multi-región `eu`)	Incluido en DPA Google Cloud
Google Workspace / Classroom	Importación de directorio (opcional, iniciada por admin)	Email, nombre de alumnos	UE 🇪🇺	Incluido en DPA Google Cloud
Microsoft (Azure AD / Entra ID)	Autenticación (Microsoft login), importación de directorio	Email, nombre	Irlanda 🇮🇪	Ver DPA
Stripe	Pasarela de pagos	Email, datos de tarjeta	Irlanda 🇮🇪	Ver DPA
Holded	Facturación	Email, nombre, NIF (solo clientes de pago)	España 🇪🇸	Ver DPA
Mailjet	Emails transaccionales	Email del destinatario	UE 🇪🇺	Ver DPA

Además, si tu cuenta la gestiona un centro educativo o una entidad, el personal autorizado de esa organización puede consultar tu progreso educativo dentro de la Plataforma. Esa organización es la responsable del tratamiento en ese caso (ver sección 1).

También podemos comunicar datos cuando exista una obligación legal (por ejemplo, a la Administración tributaria o a las Fuerzas y Cuerpos de Seguridad a requerimiento válido).

¿Se transfieren datos fuera de la UE?

Todos los datos principales se almacenan y procesan en la UE (multi-región Europa: Bélgica/Países Bajos — eur3). Las únicas salidas posibles son:

Google Analytics, y solo si das tu consentimiento: procesamiento en EE. UU., amparado por el EU-US Data Privacy Framework.
jsDelivr, la red pública desde la que tu navegador descarga el modelo de colocación de manos si activas la cámara: recibe tu dirección IP por el hecho técnico de la descarga, y ningún otro dato.

6. ¿Cuánto tiempo guardamos tus datos?

Tipo de dato	Período de retención
Datos de cuenta y progreso	Mientras tu cuenta esté activa
Cuenta que tú mismo has eliminado	14 días de gracia y después borrado definitivo (ver sección 8)
Cuenta a la que tu centro le retira la licencia	Sin borrado: sales del centro y tu cuenta sigue como cuenta personal gratuita, con tu progreso
Cuenta cuyo borrado ordena tu centro	Borrado definitivo e inmediato, sin plazo de espera
Cuenta dada de baja por tu centro antes de septiembre de 2026	180 días desde la baja, y después borrado definitivo
Alumnado retirado de una actividad extraescolar	180 días desde la retirada, y después borrado definitivo
Datos de facturación	5 años tras la última factura (obligación fiscal española)
Registros técnicos y de errores	30 días (rotación automática)
Google Analytics	14 meses
Tickets de soporte	2 años tras su resolución

Si tu centro te retira la licencia, tu cuenta no se borra ni se bloquea: sales del centro, el centro deja de ver tus datos y tú sigues teniendo tu cuenta y tu progreso en la versión gratuita, sin plazo. Puedes seguir practicando por tu cuenta o entrar en otro centro con tu progreso.

Tu centro sí puede ordenar el borrado definitivo de tus datos, porque es el responsable de ellos mientras estudias con él: es lo que ocurre, por ejemplo, cuando una familia ejerce ante el centro su derecho de supresión. Ese borrado es inmediato e irreversible y lo ejecuta el propio centro desde su panel. No se aplica a las cuentas que tienen vida propia fuera del centro —las que pagan una suscripción propia, las que creó el propio alumno o las que se han seguido usando después de la baja—: en esos casos la solicitud pasa por Kluppy, que la atiende tras comprobarla.

Los plazos de 180 días que quedan en la tabla permiten volver al curso siguiente sin perder el progreso: si te reincorporas antes de que venza el plazo, el reloj se detiene y tu cuenta se reactiva.

7. Cookies

Kluppy utiliza cookies esenciales para funcionar y cookies analíticas opcionales. Consulta nuestra Política de Cookies para más información.

Puedes gestionar tus preferencias de cookies en cualquier momento desde Perfil → Privacidad → Cambiar preferencias de cookies.

8. Tus derechos

Tienes los siguientes derechos sobre tus datos personales:

Derecho	Cómo ejercerlo
Acceso (Art. 15 RGPD)	Desde tu perfil puedes ver todos tus datos y estadísticas
Rectificación (Art. 16 RGPD)	Edita tu nombre, email o avatar desde tu perfil
Supresión (Art. 17 RGPD)	Botón "Eliminar mi cuenta" en Perfil → Privacidad
Portabilidad (Art. 20 RGPD)	Botón "Descargar mis datos" en Perfil → Privacidad (descarga en formato JSON)
Oposición (Art. 21 RGPD)	Escríbenos a dpo@kluppy.com
Limitación (Art. 18 RGPD)	Escríbenos a dpo@kluppy.com
Retirar el consentimiento	Desde la propia función (cookies, cámara) o escribiéndonos, sin que afecte a la licitud del tratamiento anterior

Responderemos en el plazo de un mes desde la solicitud, ampliable en dos meses más si la petición es especialmente compleja.

Si tu cuenta la gestiona un centro o una entidad, dirige tu solicitud a esa organización: es la responsable del tratamiento y nosotros le prestamos asistencia.

¿Qué ocurre al eliminar tu cuenta?

Al pulsar "Eliminar mi cuenta" y confirmar escribiendo "ELIMINAR":

De inmediato se desactiva el acceso: se cierra tu sesión, se revocan tus credenciales y se cancela cualquier suscripción de pago activa. Desde ese momento cesa el tratamiento y no se te vuelve a cobrar.
Durante 14 días conservamos la cuenta desactivada por si te arrepientes. Te enviamos un email con la fecha exacta de borrado y con la vía para recuperarla.
Al vencer ese plazo, la purga es automática, completa e irreversible: perfil y datos personales, progreso, estadísticas y logros, avatar y archivos, historial de textos, amistades y repeticiones, certificados y cuenta de autenticación.

Este período de gracia existe porque el borrado inmediato hizo perder todo su progreso a una usuaria que se dio de baja por un problema de cobro. Si prefieres el borrado inmediato sin espera, escríbenos a dpo@kluppy.com.

9. Menores de edad

En centros educativos y entidades (B2B y extraescolares)

Cuando un centro educativo o una entidad contrata Kluppy, el centro es el Responsable del tratamiento de los datos de su alumnado y Kluppy actúa como Encargado del tratamiento (Art. 28 RGPD), en los términos del Contrato de Encargo (DPA) suscrito entre ambas partes. El centro garantiza disponer de una base jurídica válida para el tratamiento —por lo general, el ejercicio de su función educativa— e informar al alumnado y a sus familias del uso de la plataforma.

Cuando el centro utilice los informes de evidencias descritos en la sección 3 para apoyar su evaluación, corresponde al centro —como Responsable— informar de ello al alumnado y a las familias, fijar y documentar el peso que otorga a este bloque, y garantizar que la calificación la determina siempre su profesorado.

En uso particular (B2C)

Si tienes 14 años o más, puedes registrarte directamente aceptando esta política.
Si tienes menos de 14 años, la cuenta debe crearla y gestionarla tu padre, madre o tutor legal, conforme al Art. 7 de la LOPDGDD.

Cuentas familiares

Quien ostente la patria potestad o la tutela puede crear y gestionar los perfiles de menores a su cargo desde la cuenta familiar, manteniendo el control sobre sus datos y pudiendo eliminarlos en cualquier momento.

Protección de la infancia

Kluppy cuenta con un protocolo interno de protección de la infancia y la adolescencia conforme a la Ley Orgánica 8/2021 (LOPIVI). Cualquier situación que pueda afectar a la seguridad o al bienestar de una persona menor puede comunicarse a info@kluppy.com.

10. Seguridad

Protegemos tus datos con las siguientes medidas:

🔒 Cifrado en tránsito: HTTPS/TLS obligatorio
🔒 Cifrado en reposo: AES-256 (gestionado por Google Cloud)
🔒 Contraseñas: almacenadas mediante funciones de hash, nunca en texto plano
🔒 Control de acceso: sistema de roles (estudiante, profesorado, administración)
🔒 Aislamiento: reglas de seguridad en servidor que impiden ver datos de otras personas u organizaciones
🔒 Región: todos los datos en la UE (eur3: Bélgica/Países Bajos)

Brechas de seguridad

Si se produjera una violación de seguridad que suponga un alto riesgo para tus derechos, te lo comunicaremos sin dilación indebida, y la notificaremos a la autoridad de control en el plazo de 72 horas conforme a los Arts. 33 y 34 RGPD.

Si detectas una vulnerabilidad, comunícanosla de forma responsable a info@kluppy.com.

11. Cambios en esta política

Si modificamos esta política de forma sustancial, te lo comunicaremos mediante un aviso en la plataforma y/o por email antes de que los cambios sean efectivos. La versión y la fecha que encabezan este documento indican siempre cuál está vigente.

12. Reclamaciones

Si consideras que tus datos no se están tratando correctamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

Web: www.aepd.es
Sede electrónica: sedeagpd.gob.es

Antes de acudir a la AEPD, te animamos a contactarnos directamente en dpo@kluppy.com para resolver cualquier incidencia.

13. Contacto

Protección de datos: dpo@kluppy.com
Email general: info@kluppy.com
Dirección: Mikeletegi pasealekua 65 (Planta Baja, Local 1), 20009, Donostia - San Sebastián, Gipuzkoa

Historial de versiones

Versión	Fecha	Cambios
2.2	8 de septiembre de 2026	Retención real cuando un centro retira una licencia: la cuenta ya no se bloquea ni se borra a los 180 días, sino que continúa como cuenta personal gratuita con su progreso. El borrado definitivo pasa a ser una orden expresa del centro, que ejecuta desde su panel, con las excepciones de las cuentas con vida propia. Se conserva el ciclo de 180 días para las bajas anteriores a septiembre de 2026.
2.1	4 de septiembre de 2026	Informes de evidencias para la evaluación en centros y entidades: nueva finalidad en la sección 3, alcance y límites (propuesta no calificación, decisión humana, sin IA, no base única ni principal), y obligaciones del centro como Responsable en la sección 9.
2.0	5 de agosto de 2026	Responsable vs. encargado por segmento; cámara del Nivel 0 (procesamiento en dispositivo); registros técnicos; interés legítimo y derecho de oposición; decisiones automatizadas; retención real (gracia de 14 días y ciclos de 180 días); plazos de respuesta y notificación de brechas; contacto de protección de datos.
1.1	Julio de 2026	Rol de encargado en centros educativos; región de IA.
1.0	Junio de 2026	Versión inicial.

Esta política se rige por el Reglamento General de Protección de Datos (UE) 2016/679 y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).