Política de Privacidad
Versión 2.0 · 5 de agosto de 2026
1. ¿Quién es el responsable del tratamiento?
Kluppy S.L. CIF: B75131953 Domicilio: Mikeletegi pasealekua 56, 20009, Donostia - San Sebastián, Gipuzkoa Email de contacto: info@kluppy.com Contacto en materia de protección de datos: dpo@kluppy.com
En adelante, "Kluppy", "nosotros" o "la Plataforma".
Esta política se aplica a https://kluppy.com y sus subdominios (incluidos play.kluppy.com y old.kluppy.com mientras siga activo) y a las aplicaciones móviles oficiales de Kluppy.
¿Responsable o encargado?
El papel de Kluppy depende de cómo llegues a la Plataforma:
| Situación | Responsable del tratamiento | Papel de Kluppy |
|---|---|---|
| Te registras por tu cuenta o creas una cuenta familiar (B2C) | Kluppy | Responsable |
| Tu centro educativo, empresa o entidad te da de alta (B2B) | El centro o la entidad | Encargado (Art. 28 RGPD), según el DPA firmado |
| Te apuntas a una actividad extraescolar organizada por un centro | El centro | Encargado, según el DPA firmado |
Cuando Kluppy actúa como encargado, tus derechos se ejercen ante el centro o la entidad; nosotros te derivaremos a quien corresponda y le prestaremos asistencia.
2. ¿Qué datos tratamos?
2.1. Datos que nos proporcionas directamente
| Dato | ¿Es obligatorio? | Finalidad |
|---|---|---|
| Sí | Crear tu cuenta y poder contactarte | |
| Nombre completo | Sí | Identificarte en el aula y en la plataforma |
| Nombre de usuario | Sí | Tu nombre público en rankings y ligas |
| Contraseña | Sí | Proteger tu cuenta |
| Avatar / foto de perfil | No | Personalización |
| Datos de facturación (nombre fiscal, NIF, dirección) | Solo si contratas un plan de pago | Emitir la factura |
2.2. Datos que se generan con tu actividad
Cuando usas Kluppy, generamos automáticamente datos sobre tu progreso educativo:
- Velocidad de escritura (palabras por minuto)
- Precisión (porcentaje de acierto)
- Nivel actual y progreso
- Puntos de experiencia (XP) y logros
- Historial de textos practicados
- Resultados de pruebas y certificaciones de velocidad, junto con las señales técnicas necesarias para detectar intentos de falsear un resultado
Estos datos son necesarios para que el servicio funcione correctamente y para que tú (o tu profesorado) podáis ver tu evolución.
2.3. Cámara en el Nivel 0 (colocación de manos)
En el Nivel 0 puedes activar la cámara para que la Plataforma te indique si colocas bien las manos sobre el teclado.
- Es siempre opcional. Si no das permiso o lo revocas, el nivel se completa en modo manual.
- El vídeo nunca sale de tu dispositivo. El análisis de la posición de las manos se ejecuta íntegramente en tu navegador (biblioteca MediaPipe Hands). No grabamos, no transmitimos y no almacenamos ninguna imagen ni fotograma. Al servidor solo llega el resultado del nivel (completado o no).
- No es un tratamiento de datos biométricos en el sentido del Art. 4.14 RGPD: los puntos de la mano se calculan en memoria para dibujar la guía visual, se descartan al instante y nunca se usan para identificarte.
- Los ficheros del modelo de análisis se descargan de la red de distribución pública jsDelivr, que por el hecho de la descarga conoce tu dirección IP.
2.4. Datos de pago (solo usuarios de pago)
Si contratas un plan de pago, Stripe (nuestra pasarela de pagos) procesará tus datos de tarjeta. Kluppy nunca almacena los datos de tu tarjeta — Stripe cumple con PCI-DSS Level 1, el máximo estándar de seguridad en pagos.
2.5. Registros técnicos y de errores
Para mantener el servicio en pie y poder diagnosticar fallos, registramos incidencias técnicas. Estos registros pueden incluir el identificador de tu cuenta, la operación que falló y el mensaje de error. No se usan con fines comerciales ni para perfilarte, y se eliminan por rotación automática (ver sección 6).
2.6. Origen de la visita (al crear la cuenta)
Al crear tu cuenta registramos de dónde procedía tu visita (página de origen o referrer y etiquetas de campaña UTM de nuestros propios enlaces) con fines estadísticos de marketing. No incluye tu IP ni identificadores de terceros, y se elimina junto con tu cuenta.
2.7. Datos que NO recogemos
- ❌ Dirección postal (salvo la de facturación, si contratas un plan de pago)
- ❌ Número de teléfono (salvo en el registro de centros educativos, opcional)
- ❌ Fecha de nacimiento en la plataforma de aprendizaje. Excepción: Kluppy Academy y el proceso de selección de monitores sí la solicitan, por ser obligatorio verificar la mayoría de edad; se rigen por sus políticas específicas.
- ❌ Datos biométricos (ver sección 2.3)
- ❌ Geolocalización
- ❌ Historial de navegación fuera de Kluppy
- ❌ Datos de salud
- ❌ Datos de redes sociales (el login con Google o Microsoft solo recoge email y nombre)
3. ¿Para qué usamos tus datos?
| Finalidad | Base jurídica | Datos utilizados |
|---|---|---|
| Crear y gestionar tu cuenta | Ejecución del contrato (Art. 6.1.b RGPD) | Email, nombre, contraseña |
| Autenticación social (Google/Microsoft) | Ejecución del contrato (Art. 6.1.b RGPD) | Email, nombre (proporcionados por el proveedor OAuth) |
| Prestar el servicio educativo | Ejecución del contrato (Art. 6.1.b RGPD) | Métricas de escritura, progreso, nivel |
| Importación de directorio | Consentimiento del admin (Art. 6.1.a RGPD) | Email, nombre (desde Google Workspace/Classroom o Microsoft 365) |
| Facturación | Obligación legal (Art. 6.1.c RGPD) | Email, nombre, datos fiscales y de pago |
| Enviar emails de invitación y avisos del servicio | Ejecución del contrato (Art. 6.1.b RGPD) | |
| Guía de colocación de manos con cámara | Consentimiento, revocable (Art. 6.1.a RGPD) | Imagen procesada solo en tu dispositivo, sin almacenamiento |
| Seguridad, prevención de fraude en resultados y certificaciones | Interés legítimo (Art. 6.1.f RGPD) | Señales técnicas de la sesión de escritura |
| Diagnóstico de errores y estabilidad del servicio | Interés legítimo (Art. 6.1.f RGPD) | Registros técnicos (sección 2.5) |
| Analítica web (Google Analytics) | Consentimiento (Art. 6.1.a RGPD) | Datos anónimos de navegación |
| Soporte técnico (tickets) | Ejecución del contrato (Art. 6.1.b RGPD) | Email, contenido del mensaje |
Cuando la base es el interés legítimo, hemos ponderado ese interés frente a tus derechos y puedes oponerte en cualquier momento escribiendo a dpo@kluppy.com.
Nunca vendemos tus datos a terceros ni los utilizamos para publicidad.
Decisiones automatizadas
No tomamos decisiones automatizadas con efectos jurídicos o similarmente significativos sobre ti (Art. 22 RGPD), ni elaboramos perfiles con esa finalidad. Las métricas de mecanografía son mediciones objetivas de lo que escribes, no evaluaciones sobre tu persona.
4. Uso de Inteligencia Artificial (Reglamento (UE) 2024/1689 — AI Act)
Kluppy utiliza inteligencia artificial (IA) para mejorar la experiencia educativa. Esta sección explica cómo se usa la IA, en cumplimiento del Reglamento Europeo de IA (AI Act) y del RGPD.
4.1. Sistemas de IA utilizados
| Sistema de IA | Proveedor | Finalidad | ¿Se envían datos personales? |
|---|---|---|---|
| Generación de textos de ejercicios | Google Vertex AI (Gemini) | Crear textos de práctica de mecanografía personalizados y adaptados a tu nivel | ❌ No — Solo parámetros técnicos (caracteres permitidos, idioma, longitud del texto) |
| Guiones de tutoriales | Google Vertex AI (Gemini) | Generar guiones de audio instructivos para aprender cada tecla | ❌ No — Solo el carácter de la tecla y el idioma |
| Textos de referencia (benchmark) | Google Vertex AI (Gemini) | Generar párrafos para las pruebas de velocidad de mecanografía | ❌ No — Solo idioma y parámetros técnicos |
| Análisis de documentos (solo administradores) | Google Vertex AI (Gemini) | Extraer nombres y emails de documentos subidos (p. ej. listados de alumnos) | ⚠️ Sí — El contenido del documento es procesado por la IA |
La detección de la colocación de las manos (sección 2.3) también emplea un modelo de visión, pero se ejecuta en tu propio dispositivo y no envía nada a ningún proveedor.
4.2. Cómo se identifica el contenido generado por IA
Cuando practicas con un texto generado por IA, verás una etiqueta "✨ Generado por IA" en la interfaz del ejercicio. Así garantizamos la transparencia sobre el origen del contenido con el que interactúas.
4.3. Información importante sobre la IA en Kluppy
- Sin perfilado: La IA no se utiliza para perfilar, puntuar ni clasificar a los usuarios. Solo genera contenido educativo.
- Sin decisiones automatizadas: La IA no toma ninguna decisión que afecte a tus derechos, tu acceso o tus resultados educativos.
- Supervisión humana: Todo el contenido generado por IA está sujeto a revisión por administradores y puede desactivarse en cualquier momento. Si un texto te parece inapropiado, puedes reportarlo desde la propia Plataforma.
- Minimización de datos: Enviamos a los sistemas de IA el mínimo imprescindible de datos — en la mayoría de los casos, cero datos personales.
- Procesamiento en la UE: El procesamiento de IA se realiza en Europa (región de Vertex AI: multi-región
eude la UE). Los datos de usuario se almacenan en Europa (región de Firestore: eur3, Bélgica/Países Bajos). - Sin entrenamiento con tus datos: Tus datos personales no se utilizan para entrenar modelos de IA. Google Vertex AI procesa las peticiones sin retener datos de usuario para entrenamiento, según la configuración de nuestro proyecto de Google Cloud (Data Logging desactivado, multi-región
eude la UE para el procesamiento de IA). Más detalles en la documentación de Data Governance de Google Cloud.
4.4. Análisis de documentos (solo administradores)
Cuando un administrador sube un documento (PDF o imagen) para extraer emails, el documento se envía a Google Vertex AI para su procesamiento. Esto implica el tratamiento de datos personales (nombres y emails contenidos en el documento).
- Para usuarios particulares (B2C): Este tratamiento se realiza sobre la base jurídica de la ejecución del contrato (Art. 6.1.b RGPD).
- Para centros educativos (B2B): Kluppy actúa como Encargado del Tratamiento (Art. 28 RGPD). La base jurídica es el Contrato de Encargo de Tratamiento (DPA) firmado con el centro, que autoriza expresamente a Google Vertex AI como subencargado.
El contenido del documento se procesa en memoria y se elimina explícitamente tras el procesamiento. No se guarda en ninguna base de datos, bucket ni log. El proveedor de IA no retiene los datos de las peticiones para entrenamiento (Data Logging desactivado en nuestra configuración de Google Cloud).
4.5. Tus derechos respecto a la IA
- Tienes derecho a saber cuándo un contenido está generado por IA (etiquetas de transparencia en la interfaz).
- Puedes contactarnos en info@kluppy.com para más información sobre el uso de la IA.
- Si consideras que un contenido generado por IA es inapropiado, puedes comunicarlo desde la Plataforma o a través del sistema de soporte.
5. ¿Con quién compartimos tus datos?
Solo compartimos datos con los proveedores necesarios para que el servicio funcione:
| Proveedor | Servicio | Datos compartidos | Ubicación | DPA |
|---|---|---|---|---|
| Google Cloud / Firebase | Almacenamiento, procesamiento, autenticación (Google login) | Todos los datos de la cuenta | UE 🇪🇺 (Bélgica/Países Bajos — eur3) | Ver DPA |
| Google Vertex AI | Generación de textos educativos | Ningún dato personal (solo parámetros técnicos) | UE 🇪🇺 (multi-región eu) | Incluido en DPA Google Cloud |
| Google Workspace / Classroom | Importación de directorio (opcional, iniciada por admin) | Email, nombre de alumnos | UE 🇪🇺 | Incluido en DPA Google Cloud |
| Microsoft (Azure AD / Entra ID) | Autenticación (Microsoft login), importación de directorio | Email, nombre | Irlanda 🇮🇪 | Ver DPA |
| Stripe | Pasarela de pagos | Email, datos de tarjeta | Irlanda 🇮🇪 | Ver DPA |
| Holded | Facturación | Email, nombre, NIF (solo clientes de pago) | España 🇪🇸 | Ver DPA |
| Mailjet | Emails transaccionales | Email del destinatario | UE 🇪🇺 | Ver DPA |
Además, si tu cuenta la gestiona un centro educativo o una entidad, el personal autorizado de esa organización puede consultar tu progreso educativo dentro de la Plataforma. Esa organización es la responsable del tratamiento en ese caso (ver sección 1).
También podemos comunicar datos cuando exista una obligación legal (por ejemplo, a la Administración tributaria o a las Fuerzas y Cuerpos de Seguridad a requerimiento válido).
¿Se transfieren datos fuera de la UE?
Todos los datos principales se almacenan y procesan en la UE (multi-región Europa: Bélgica/Países Bajos — eur3). Las únicas salidas posibles son:
- Google Analytics, y solo si das tu consentimiento: procesamiento en EE. UU., amparado por el EU-US Data Privacy Framework.
- jsDelivr, la red pública desde la que tu navegador descarga el modelo de colocación de manos si activas la cámara: recibe tu dirección IP por el hecho técnico de la descarga, y ningún otro dato.
6. ¿Cuánto tiempo guardamos tus datos?
| Tipo de dato | Período de retención |
|---|---|
| Datos de cuenta y progreso | Mientras tu cuenta esté activa |
| Cuenta que tú mismo has eliminado | 14 días de gracia y después borrado definitivo (ver sección 8) |
| Cuenta dada de baja por tu centro o entidad | 180 días desde la baja, y después borrado definitivo |
| Alumnado retirado de una actividad extraescolar | 180 días desde la retirada, y después borrado definitivo |
| Datos de facturación | 5 años tras la última factura (obligación fiscal española) |
| Registros técnicos y de errores | 30 días (rotación automática) |
| Google Analytics | 14 meses |
| Tickets de soporte | 2 años tras su resolución |
Los plazos de 180 días permiten que vuelvas al curso siguiente sin perder tu progreso. Si te reincorporas antes de que venza el plazo, el reloj se detiene y tu cuenta se reactiva.
7. Cookies
Kluppy utiliza cookies esenciales para funcionar y cookies analíticas opcionales. Consulta nuestra Política de Cookies para más información.
Puedes gestionar tus preferencias de cookies en cualquier momento desde Perfil → Privacidad → Cambiar preferencias de cookies.
8. Tus derechos
Tienes los siguientes derechos sobre tus datos personales:
| Derecho | Cómo ejercerlo |
|---|---|
| Acceso (Art. 15 RGPD) | Desde tu perfil puedes ver todos tus datos y estadísticas |
| Rectificación (Art. 16 RGPD) | Edita tu nombre, email o avatar desde tu perfil |
| Supresión (Art. 17 RGPD) | Botón "Eliminar mi cuenta" en Perfil → Privacidad |
| Portabilidad (Art. 20 RGPD) | Botón "Descargar mis datos" en Perfil → Privacidad (descarga en formato JSON) |
| Oposición (Art. 21 RGPD) | Escríbenos a dpo@kluppy.com |
| Limitación (Art. 18 RGPD) | Escríbenos a dpo@kluppy.com |
| Retirar el consentimiento | Desde la propia función (cookies, cámara) o escribiéndonos, sin que afecte a la licitud del tratamiento anterior |
Responderemos en el plazo de un mes desde la solicitud, ampliable en dos meses más si la petición es especialmente compleja.
Si tu cuenta la gestiona un centro o una entidad, dirige tu solicitud a esa organización: es la responsable del tratamiento y nosotros le prestamos asistencia.
¿Qué ocurre al eliminar tu cuenta?
Al pulsar "Eliminar mi cuenta" y confirmar escribiendo "ELIMINAR":
- De inmediato se desactiva el acceso: se cierra tu sesión, se revocan tus credenciales y se cancela cualquier suscripción de pago activa. Desde ese momento cesa el tratamiento y no se te vuelve a cobrar.
- Durante 14 días conservamos la cuenta desactivada por si te arrepientes. Te enviamos un email con la fecha exacta de borrado y con la vía para recuperarla.
- Al vencer ese plazo, la purga es automática, completa e irreversible: perfil y datos personales, progreso, estadísticas y logros, avatar y archivos, historial de textos, amistades y repeticiones, certificados y cuenta de autenticación.
Este período de gracia existe porque el borrado inmediato hizo perder todo su progreso a una usuaria que se dio de baja por un problema de cobro. Si prefieres el borrado inmediato sin espera, escríbenos a dpo@kluppy.com.
9. Menores de edad
En centros educativos y entidades (B2B y extraescolares)
Cuando un centro educativo o una entidad contrata Kluppy, el centro es el Responsable del tratamiento de los datos de su alumnado y Kluppy actúa como Encargado del tratamiento (Art. 28 RGPD), en los términos del Contrato de Encargo (DPA) suscrito entre ambas partes. El centro garantiza disponer de una base jurídica válida para el tratamiento —por lo general, el ejercicio de su función educativa— e informar al alumnado y a sus familias del uso de la plataforma.
En uso particular (B2C)
- Si tienes 14 años o más, puedes registrarte directamente aceptando esta política.
- Si tienes menos de 14 años, la cuenta debe crearla y gestionarla tu padre, madre o tutor legal, conforme al Art. 7 de la LOPDGDD.
Cuentas familiares
Quien ostente la patria potestad o la tutela puede crear y gestionar los perfiles de menores a su cargo desde la cuenta familiar, manteniendo el control sobre sus datos y pudiendo eliminarlos en cualquier momento.
Protección de la infancia
Kluppy cuenta con un protocolo interno de protección de la infancia y la adolescencia conforme a la Ley Orgánica 8/2021 (LOPIVI). Cualquier situación que pueda afectar a la seguridad o al bienestar de una persona menor puede comunicarse a info@kluppy.com.
10. Seguridad
Protegemos tus datos con las siguientes medidas:
- 🔒 Cifrado en tránsito: HTTPS/TLS obligatorio
- 🔒 Cifrado en reposo: AES-256 (gestionado por Google Cloud)
- 🔒 Contraseñas: almacenadas mediante funciones de hash, nunca en texto plano
- 🔒 Control de acceso: sistema de roles (estudiante, profesorado, administración)
- 🔒 Aislamiento: reglas de seguridad en servidor que impiden ver datos de otras personas u organizaciones
- 🔒 Región: todos los datos en la UE (eur3: Bélgica/Países Bajos)
Brechas de seguridad
Si se produjera una violación de seguridad que suponga un alto riesgo para tus derechos, te lo comunicaremos sin dilación indebida, y la notificaremos a la autoridad de control en el plazo de 72 horas conforme a los Arts. 33 y 34 RGPD.
Si detectas una vulnerabilidad, comunícanosla de forma responsable a info@kluppy.com.
11. Cambios en esta política
Si modificamos esta política de forma sustancial, te lo comunicaremos mediante un aviso en la plataforma y/o por email antes de que los cambios sean efectivos. La versión y la fecha que encabezan este documento indican siempre cuál está vigente.
12. Reclamaciones
Si consideras que tus datos no se están tratando correctamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):
- Web: www.aepd.es
- Sede electrónica: sedeagpd.gob.es
Antes de acudir a la AEPD, te animamos a contactarnos directamente en dpo@kluppy.com para resolver cualquier incidencia.
13. Contacto
- Protección de datos: dpo@kluppy.com
- Email general: info@kluppy.com
- Dirección: Mikeletegi pasealekua 56, 20009, Donostia - San Sebastián, Gipuzkoa
Historial de versiones
| Versión | Fecha | Cambios |
|---|---|---|
| 2.0 | 5 de agosto de 2026 | Responsable vs. encargado por segmento; cámara del Nivel 0 (procesamiento en dispositivo); registros técnicos; interés legítimo y derecho de oposición; decisiones automatizadas; retención real (gracia de 14 días y ciclos de 180 días); plazos de respuesta y notificación de brechas; contacto de protección de datos. |
| 1.1 | Julio de 2026 | Rol de encargado en centros educativos; región de IA. |
| 1.0 | Junio de 2026 | Versión inicial. |
Esta política se rige por el Reglamento General de Protección de Datos (UE) 2016/679 y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).