Política de privacidad

1. Introducción

Este texto es una traducción facilitada por comodidad. En caso de discrepancia, prevalece la versión en inglés disponible en studpulse.com/privacy.html.

StudPulse («nosotros», «nuestro») opera la plataforma StudPulse: un sistema de gestión equina nativo de IA para cría, pupilaje y gestión de yeguadas.

Esta Política de privacidad explica qué datos personales recopilamos, por qué los recopilamos y cómo los protegemos. Está diseñada para cumplir el Reglamento General de Protección de Datos (RGPD), el Reglamento de Inteligencia Artificial de la Unión Europea (AI Act) y la legislación estadounidense aplicable en materia de privacidad, incluidas la California Consumer Privacy Act (CCPA/CPRA), la CAN-SPAM Act, COPPA y la Nevada Privacy Law (SB 220).

Los servidores de aplicación y las bases de datos de StudPulse están alojados dentro de la Unión Europea. Algunos servicios de apoyo —incluidos el procesamiento de IA, la analítica del sitio web y el envío de correo— se operan desde centros de datos en los Estados Unidos. La sección 5a describe con exactitud qué se envía a los servicios de IA y quién lo recibe, y la sección 7 detalla dónde opera cada servicio y qué salvaguardas se aplican.

Contacto de protección de datos: StudPulse es una empresa emergente y, por la naturaleza y la escala de nuestro tratamiento, no está obligada a designar un delegado de protección de datos (DPD) formal conforme al art. 37 del RGPD. Nuestra persona de contacto designada para privacidad atiende todas las consultas sobre protección de datos y está disponible en support@studpulse.com.

2. Funciones de responsable y encargado del tratamiento

A efectos del RGPD, StudPulse actúa como responsable del tratamiento respecto de la información de tu cuenta. Respecto de los datos equinos y de explotación que introduces en la plataforma sobre tus clientes, pupilos o personal, tú actúas como responsable del tratamiento y StudPulse actúa como encargado del tratamiento.

3. Datos que recopilamos

Recopilamos las siguientes categorías de información:

Datos de cuenta: tu nombre, dirección de correo electrónico, contraseña (cifrada con bcrypt) y nombre de la organización facilitado durante el registro.
Número de teléfono móvil — opcional. Puedes indicarlo al crear una cuenta o más adelante en tu perfil. Si lo indicas, lo confirmamos con un código de un solo uso enviado por SMS. Se utiliza para que una cuadra pueda ponerse en contacto contigo sobre tus reservas y para limitar el número de cuentas que pueden registrarse con un mismo número, lo que evita cuentas falsas en la plataforma. El número no se utiliza con fines de marketing, y facilitarlo no supone consentimiento para llamadas ni SMS comerciales. Puedes cambiarlo en tu perfil.
Registros de caballos y explotación: todos los datos que introduces en la plataforma: perfiles de caballos, historiales médicos, registros de cría, diarios de entrenamiento, asignaciones de cuadra y box, planes de alimentación e historial de eventos.
Datos de uso: páginas visitadas, funciones utilizadas, consultas al agente de IA y marcas de tiempo de las acciones dentro de la aplicación.
Datos técnicos y del dispositivo: tipo de navegador, sistema operativo, dirección IP y estado del service worker para el funcionamiento de la PWA.
Tokens de notificaciones push: una dirección de entrega para tu dispositivo, almacenada para enviar confirmaciones de reserva y recordatorios de cuidados. En un navegador web es un objeto de suscripción push VAPID; en las aplicaciones de Android e iOS es un token de registro de Firebase Cloud Messaging, que constituye un identificador de dispositivo.
Grabaciones de voz y transcripciones: cuando dictas una nota o hablas con el agente de IA, la propia grabación de audio se transmite a un servicio de IA (Microsoft Azure, a través de OpenRouter; véase la sección 5a) para convertirla en texto; almacenamos la transcripción resultante, no el audio. La función de voz solo está disponible después de que hayas aceptado las funciones de IA en la aplicación (sección 5a) y permitido a tu dispositivo usar el micrófono, y el micrófono solo se utiliza mientras grabas. Tus conversaciones con el asistente de IA, incluidas sus transcripciones de voz, se eliminan cuando eliminas tu cuenta. La transcripción de una nota de voz que se convirtió en un registro de la cuadra (por ejemplo, una anotación de cuidados) sigue formando parte de los registros de esa cuadra y deja de llevar tu nombre una vez eliminada tu cuenta.
Fotografías y archivos: imágenes y documentos que adjuntas a los registros: fotografías de caballos, recibos, documentos veterinarios, ecografías y similares. En las aplicaciones móviles pueden tomarse con la cámara o elegirse de tu galería, en ambos casos solo después de que concedas el permiso y selecciones algo para adjuntar. No analizamos tu galería de fotos ni accedemos a fotografías que no hayas adjuntado.
Rutas de monta (ubicación) — cuando grabas una monta con la aplicación móvil o importas un archivo de monta (GPX o TCX, por ejemplo exportado desde un reloj Garmin) a una sesión de entrenamiento: la ruta como serie de puntos (hora, latitud, longitud, altitud y velocidad), el nombre del dispositivo guardado en el archivo y un resumen calculado a partir de ella (distancia, duración, velocidades y un reparto estimado por aires). Consulta la sección 3c.
Frecuencia cardíaca — solo si un archivo de monta que importas contiene mediciones de frecuencia cardíaca y marcas la opción de conservarlas. La frecuencia cardíaca es un dato de salud, categoría especial según el art. 9 del RGPD; sin esa marca se descarta durante la importación y nunca se guarda.

Solo recopilamos la ubicación para las rutas de monta. La aplicación móvil usa la ubicación de tu dispositivo únicamente mientras grabas una monta que has iniciado tú, y deja de usarla cuando detienes la grabación. Las aplicaciones no usan la ubicación en ningún otro momento, no la utilizamos para publicidad y nunca la vendemos.

3a. Aplicaciones móviles (Android e iOS)

Las aplicaciones móviles de StudPulse tratan los mismos datos que la aplicación web, descritos arriba. Además solicitan a tu dispositivo los siguientes permisos. Cada uno es opcional, cada uno se solicita únicamente en el momento en que la función se utiliza por primera vez, y la aplicación sigue siendo utilizable si los rechazas:

Permiso	Por qué se solicita	Qué sale de tu dispositivo
Micrófono	Dictar notas y hablar con el agente de IA	La grabación, enviada para su transcripción a Microsoft Azure a través de OpenRouter (sección 5a), y solo después de que hayas aceptado las funciones de IA. Conservamos el texto, no el audio.
Cámara y galería de fotos	Adjuntar fotografías a registros de caballos, gastos y eventos	Únicamente las imágenes que elijas adjuntar de forma expresa.
Notificaciones	Recordatorios de clases, solicitudes de reserva y avisos de cuidado de caballos	Un token de registro del dispositivo, utilizado únicamente como dirección de entrega.
Ubicación	Grabar la ruta de una monta que inicias tú, también con la pantalla bloqueada. Mientras dura la grabación, el teléfono indica que la ubicación está en uso.	Los puntos de la monta (hora, posición, altitud, velocidad), enviados a nuestros servidores por partes durante la monta y guardados en la sesión de entrenamiento al terminarla. Cuando no estás grabando no se envía nada.

Las aplicaciones no se financian con publicidad. No utilizamos identificadores publicitarios, no te rastreamos en aplicaciones o sitios web de otras empresas y no vendemos ni compartimos datos personales con fines publicitarios.

Eliminar tu cuenta desde la aplicación: menú de perfil → Configuración de la cuenta → Eliminar cuenta (o menú de perfil → Seguridad → pestaña Eliminar cuenta) → Eliminar mi cuenta, y confirma con tu contraseña y escribiendo la palabra de confirmación. La cuenta se anonimiza de inmediato. Se eliminan de forma permanente tu nombre, dirección de correo electrónico, número de teléfono, contraseña y foto de perfil, tus dispositivos y tokens de notificaciones push, tus datos de verificación en dos pasos, todas tus conversaciones con el asistente de IA (incluido su texto completo y tus transcripciones de voz), tu registro personal de actividad y tu acceso a todas las cuadras. Las facturas y los registros de pago, los registros operativos propios de la cuadra y los contadores técnicos de uso de la IA (número de tokens y coste, sin contenido) se conservan sin tu nombre. Si eres la única persona administradora de una cuadra, al eliminar tu cuenta también se cierra esa cuadra: nadie podrá volver a iniciar sesión en ella y sus registros se conservan (por ejemplo, las facturas, que la ley nos obliga a conservar). Para que la cuadra siga funcionando, nombra antes a otra persona administradora. Los detalles completos de qué se elimina y qué se conserva están en la página de eliminación de cuenta.

3b. Fichas informativas en el directorio

Nuestro directorio público de centros ecuestres en studpulse.com incluye también fichas informativas: perfiles que hemos preparado nosotros para centros que no utilizan StudPulse, para que los jinetes puedan encontrar cuadras, escuelas de equitación y yeguadas en un solo lugar. Cada una de estas fichas está claramente identificada en su página como ficha informativa.

Fuente — el sitio web público del propio centro. No compramos datos ni recopilamos nada de redes sociales ni de plataformas de opiniones.
Finalidad — un directorio de centros ecuestres para jinetes.
Base jurídica — nuestro interés legítimo en mantener ese directorio y el interés de los jinetes en encontrar un centro (art. 6.1.f del RGPD). Solo publicamos datos de contacto profesionales que el propio centro hace públicos.
Qué se muestra — el nombre del centro, la localidad, una breve descripción redactada con nuestras propias palabras a partir del contenido de su sitio web y sus datos de contacto profesionales públicos: teléfono, correo electrónico y sitio web.
Qué no se muestra — ni valoraciones ni opiniones, ni fotografías ni logotipos, ni nombres de personas concretas.
Reclamar una ficha — el centro puede reclamar la ficha con el enlace «Es mi cuadra» de su perfil. Confirmamos la solicitud con un código enviado únicamente al teléfono o al correo electrónico que figuran en la ficha, y nuestro equipo aprueba cada solicitud. Los datos facilitados en la solicitud se usan solo para tramitarla (y, una vez aprobada, para crear la cuenta); se eliminan del registro de la solicitud 180 días después de resolverla.
Eliminación — el centro puede pedir en cualquier momento que se elimine la ficha con el enlace «Informar de un error o eliminar la ficha» de su perfil o escribiendo a support@studpulse.com. Una ficha eliminada desaparece del directorio de inmediato; solo conservamos el nombre del centro y una referencia interna para no volver a publicarla.

No contactamos por iniciativa propia con los centros que figuran en el directorio: solo se envía un mensaje cuando alguien utiliza el formulario de reclamación o eliminación. También puedes oponerte a este tratamiento conforme al art. 21 del RGPD escribiendo a la dirección indicada.

3c. Rutas de monta y seguimiento en directo

Una ruta de monta muestra por dónde ha montado una persona, por lo que la tratamos como dato personal del jinete, aunque se guarde en los registros de entrenamiento del caballo.

Origen — un archivo de monta que importas (GPX o TCX; lo leemos una vez y no conservamos el archivo original) o una grabación con el GPS de tu teléfono en la aplicación StudPulse. Durante la grabación, cada posición se guarda primero en el teléfono, de modo que perder la cobertura o cerrar la aplicación no hace perder nada; esa copia se elimina del teléfono cuando la monta se ha guardado o descartado. Las posiciones con una precisión peor de 25 metros se descartan.
Quién ve la ruta — los administradores y el personal de la cuadra, la persona que grabó o importó la monta, el jinete, la persona que creó la sesión de entrenamiento o tiene asignada la sesión, y el propietario del caballo (un cliente que paga su pupilaje). Todas las demás personas que pueden ver la sesión ven solo el resumen (distancia, duración y aires), sin mapa y sin frecuencia cardíaca.
Seguimiento en directo — desactivado por defecto. Si el jinete lo activa antes de empezar a grabar, las personas indicadas arriba pueden seguir la posición actual mientras dura la monta. Termina al terminar la grabación y nunca se muestra a nadie ajeno a la cuadra.
Frecuencia cardíaca — se guarda solo con tu consentimiento explícito, dado al marcar la opción durante la importación (art. 9.2.a del RGPD), y solo se muestra a quienes ven la ruta. Puedes retirar el consentimiento eliminando la ruta de la sesión de entrenamiento.
Eliminación — la persona que añadió una ruta y cualquiera que pueda editar la sesión de entrenamiento (como el personal de la cuadra) pueden eliminarla en cualquier momento. Cuando eliminas tu cuenta, borramos la ruta y la frecuencia cardíaca de cada monta que subiste o montaste, y cualquier monta que aún estuvieras grabando; el resumen permanece en el registro de entrenamiento del caballo sin ellas.

4. Cómo usamos tus datos y base jurídica (art. 6 del RGPD)

Conforme al RGPD, tratamos tus datos personales únicamente cuando contamos con una base jurídica válida. La siguiente tabla asigna a cada actividad de tratamiento su base jurídica concreta:

Actividad de tratamiento	Base jurídica (art. 6)
Prestar y operar la plataforma StudPulse (creación de cuenta, autenticación, funciones principales)	Ejecución del contrato — art. 6.1.b
Hacer funcionar el agente de IA (tus mensajes, el historial de conversación y los registros de la cuadra enviados a los servicios de IA descritos en la sección 5a)	Consentimiento — art. 6.1.a (otorgado en la pantalla de consentimiento de IA de la aplicación antes de enviar nada; puedes retirarlo en cualquier momento con el interruptor «Funciones de IA» de la configuración de tu cuenta)
Enviar notificaciones push de reservas, recordatorios y avisos de cuidados	Consentimiento — art. 6.1.a (activas las notificaciones push de forma expresa)
Transcripción y almacenamiento de voz para las órdenes al agente de IA	Consentimiento — art. 6.1.a (el mismo consentimiento de IA, más el permiso de micrófono de tu dispositivo; no se graba nada hasta que pulsas grabar)
Generar resúmenes y análisis del panel con IA	Consentimiento — art. 6.1.a (solo se generan para los usuarios que han otorgado el consentimiento de IA; el resumen que el panel de una cuadra prepara durante la noche solo se genera si una de las personas administradoras de la cuadra lo ha otorgado)
Enviar correos transaccionales (restablecimiento de contraseña, enlaces de invitación, avisos de cuenta)	Ejecución del contrato — art. 6.1.b
Enviar correos comerciales o promocionales (si los hubiera)	Consentimiento — art. 6.1.a (se requiere consentimiento previo; cada correo comercial incluye un enlace de baja conforme a la CAN-SPAM Act)
Detectar y prevenir usos fraudulentos o abusivos	Interés legítimo — art. 6.1.f (proteger la plataforma y a sus usuarios)
Mejorar y desarrollar nuevas funciones	Interés legítimo — art. 6.1.f (para el análisis solo se usan datos anonimizados y agregados)
Analítica del sitio web mediante Google Analytics 4	Consentimiento — art. 6.1.a (banner de consentimiento de cookies mostrado a visitantes de la UE/EEE; GA solo se carga tras otorgarse el consentimiento)
Verificación de un número de teléfono móvil, si lo indicas, mediante un código SMS de un solo uso; los registros asociados de los intentos de verificación (hora, dirección IP, número de intentos); limitación del número de cuentas por número de teléfono	Interés legítimo — art. 6.1.f (seguridad del servicio y prevención de cuentas falsas). El número no se utiliza con fines de marketing
Grabar e importar rutas de monta y mostrarlas a las personas descritas en la sección 3c	Ejecución del contrato — art. 6.1.b (inicias tú la grabación o la importación)
Seguimiento en directo (compartir dentro de la cuadra la posición actual de una monta en curso)	Consentimiento — art. 6.1.a (desactivado por defecto; el jinete lo activa antes de una monta y puede dejarlo desactivado en la siguiente)
Guardar la frecuencia cardíaca de un archivo de monta importado	Consentimiento explícito — art. 9.2.a y art. 6.1.a (la opción está desmarcada por defecto)

5. Inteligencia artificial y cumplimiento del Reglamento de IA

StudPulse es una plataforma nativa de IA. Cumplimos los requisitos de transparencia y seguridad del Reglamento de IA de la UE:

Primero, el consentimiento: no se envía ningún dato a ningún servicio de IA hasta que hayas aceptado las funciones de IA en la aplicación. La sección 5a indica qué se envía, a quién y por qué.
Dónde se realiza el procesamiento de IA: las solicitudes de IA las procesan OpenRouter, Inc. y los proveedores de modelos a los que las reenvía, en los Estados Unidos. Estas transferencias fuera del EEE quedan cubiertas por las salvaguardas descritas en la sección 7.
Sin almacenamiento ni entrenamiento de modelos fundacionales: cada solicitud de IA se dirige únicamente a endpoints con retención cero de datos (Zero Data Retention): el proveedor no almacena la solicitud ni la respuesta después de devolverla y no las utiliza para entrenar sus modelos. Tus transcripciones de voz, registros de explotación y datos personales se utilizan exclusivamente para responder a las solicitudes de tu propia organización.
Clasificación de riesgo: el agente de IA de StudPulse se considera un sistema de IA de «riesgo mínimo/limitado» conforme al Reglamento de IA de la UE. Asiste en la administración de la explotación y la estructuración de datos: no realiza identificación biométrica, no afecta a derechos legales ni produce decisiones jurídicamente vinculantes.
Supervisión humana: la IA no toma decisiones médicas, jurídicas ni financieras autónomas. Todas las sugerencias generadas por IA (p. ej., fechas de cubrición, alertas de salud) requieren validación humana. Conservas plena capacidad para editar, ignorar o eliminar cualquier dato generado por la IA.
Contratos de encargo de tratamiento: todo proveedor de IA que utilizamos está vinculado por un contrato de encargo conforme al art. 28 del RGPD, que lo limita a tratar tus datos únicamente para prestarnos el servicio.

5a. Servicios de IA: qué enviamos, a quién y por qué

Las funciones de IA de StudPulse —el asistente de IA (agente de IA), las notas de voz, las respuestas habladas y los resúmenes del panel redactados por la IA— las prestan servicios de IA de terceros. No se les envía nada hasta que das tu consentimiento en la pantalla de consentimiento que la aplicación muestra antes de que uses por primera vez una función de IA; esa pantalla explica qué se envía y a quién. Tu consentimiento es personal, va ligado a tu cuenta y queda registrado en ella junto con su fecha. Puedes retirarlo en cualquier momento con el interruptor Funciones de IA de la configuración de tu cuenta; a partir de ese momento no se realiza ninguna solicitud de IA en tu nombre. El resumen que el panel de una cuadra prepara durante la noche solo se genera si una de las personas administradoras de la cuadra ha dado su consentimiento.

Quién recibe los datos. Cada solicitud de IA va desde nuestros servidores a OpenRouter, Inc. (Estados Unidos), una pasarela de IA que la reenvía al proveedor que ejecuta el modelo:

Función de IA	Para qué se utiliza	Proveedor que recibe los datos
Chat con el asistente de IA (agente de IA)	Responder a tus preguntas y, cuando lo pides, añadir o actualizar registros de la cuadra	Modelos de pesos abiertos (código abierto) ejecutados por Baseten, DeepInfra, Fireworks o Novita; si no están disponibles, un modelo de respaldo de Google (Gemini) o de Microsoft (Azure, que ofrece modelos de OpenAI)
Resúmenes del panel redactados por la IA	Resumir lo que requiere atención en la cuadra	Los mismos que para el asistente de IA
Control de seguridad de cada mensaje del chat	Comprobar que un mensaje es una solicitud real de gestión de la cuadra antes de responderlo	Google (Gemini)
Voz a texto	Convertir tus grabaciones de voz en texto	Microsoft (modelo de voz de Azure AI)
Texto a voz	Leer en voz alta las respuestas del asistente	Google (Gemini)
Embeddings de búsqueda	Encontrar una conversación anterior cuando pides al asistente que la recuerde, y buscar en la base de conocimiento	Google (Gemini)

Qué se envía. Solo lo que la función necesita:

tus preguntas y mensajes, y el historial de la conversación;
grabaciones de voz (audio), cuando hablas con el asistente o dictas una nota;
los registros de la cuadra que el asistente necesita para responderte: caballos, salud y cuidados, cría, alimentación, el calendario y las reservas, y las finanzas (las finanzas solo si tu rol en la cuadra permite verlas);
nombres y roles de los miembros de la cuadra (con un identificador interno aleatorio que distingue a las personas con el mismo nombre), cuando una pregunta trata sobre ellos; sus direcciones de correo electrónico y números de teléfono nunca se envían a los servicios de IA, salvo que tú mismo escribas alguno en tu pregunta;
para los resúmenes del panel: cifras agregadas de la cuadra, por ejemplo cuidados vencidos con los nombres de los caballos, reservas pendientes, fechas de parto, ingresos, gastos y costes por caballo (solo para los roles que pueden ver las finanzas), actividad de entrenamiento y nombres de servicios.

Retención cero de datos. Cada solicitud de IA —al modelo de chat, al control de seguridad, a los embeddings de búsqueda, a la conversión de voz a texto y a la de texto a voz— se dirige únicamente a endpoints con retención cero de datos (Zero Data Retention): el proveedor no almacena la solicitud ni la respuesta después de devolverla y no las utiliza para entrenar modelos. Los proveedores pueden conservar metadatos técnicos que no incluyen el contenido de la solicitud, como marcas de tiempo y datos de uso, con fines de facturación y seguridad. OpenRouter y los proveedores de modelos reciben los datos únicamente para generar la respuesta a esa solicitud.

Proveedores auditados. Baseten, DeepInfra, Fireworks y Novita cuentan cada uno con una auditoría SOC 2. Google y Microsoft operan con sus propias certificaciones de seguridad, entre ellas SOC 2 para Google Cloud y Microsoft Azure.

Protección equivalente. OpenRouter y los proveedores de modelos tratan los datos en los Estados Unidos, fuera del EEE. Estas transferencias están amparadas por condiciones de tratamiento de datos y por las cláusulas contractuales tipo de la Comisión Europea (arts. 28 y 46 del RGPD), que obligan a los destinatarios a proteger tus datos con un nivel equivalente a la protección descrita en esta política. Véase la sección 7.

6. Cookies y analítica

Utilizamos Google Analytics 4 (identificador de propiedad: G-G9WWE3TGC6) en nuestro sitio web de marketing para comprender el comportamiento de las visitas. En cumplimiento de la Directiva ePrivacy y del RGPD, se muestra un banner de consentimiento de cookies a las visitas de la UE/EEE en su primera visita. Google Analytics solo se carga después de que otorgues tu consentimiento expreso. Puedes retirar el consentimiento u oponerte en cualquier momento mediante el complemento de inhabilitación de Google Analytics para navegadores.

También instalamos cookies funcionales estrictamente necesarias para la autenticación (gestión de sesión JWT) y para tu preferencia de idioma (studpulse_lang). Estas cookies no te rastrean en otros sitios web y se instalan sobre la base jurídica de la ejecución del contrato; no pueden desactivarse sin romper el servicio.

Nuestra página de inicio incorpora un vídeo promocional alojado en YouTube (Google Ireland Limited). El vídeo no se carga al abrir la página: verás una imagen fija servida desde nuestros propios servidores y no se envía ninguna petición a Google hasta que pulses reproducir. Al pulsar reproducir se carga el reproductor de YouTube desde youtube-nocookie.com, lo que transmite tu dirección IP a Google y puede almacenar información en tu dispositivo; la base jurídica es tu consentimiento (art. 6.1.a del RGPD), otorgado con ese clic. Si nunca pulsas reproducir, ningún dato llega a YouTube. Consulta la Política de Privacidad de Google.

El directorio de cuadras y los perfiles de las cuadras de nuestro sitio web muestran un mapa. Sus teselas se cargan desde tile.openstreetmap.org, gestionado por la OpenStreetMap Foundation (St John’s Innovation Centre, Cambridge, Reino Unido), en cuanto se abre una de esas páginas. Cada petición de tesela transmite a la OpenStreetMap Foundation tu dirección IP, la tesela solicitada y las cabeceras User-Agent y Referer de tu navegador, que la fundación utiliza para entregar las teselas y proteger su servicio frente a abusos. El mapa no instala cookies ni solicita consentimiento: mostrar dónde se encuentra una cuadra forma parte de la página que has abierto, por lo que la base jurídica es nuestro interés legítimo (art. 6.1.f) del RGPD). El Reino Unido cuenta con una decisión de adecuación de la UE. Consulta la Política de privacidad de la OpenStreetMap Foundation.

El mapa de la ruta en la aplicación web y en las aplicaciones móviles usa las mismas teselas de OpenStreetMap. Abrir el mapa de una monta envía a la OpenStreetMap Foundation tu dirección IP y las solicitudes de las teselas que cubren la ruta y, con ellas, la zona en la que tuvo lugar la monta. La ruta en sí se dibuja en tu dispositivo y nunca se envía a la OpenStreetMap Foundation. Aquí la base jurídica es la ejecución del contrato (art. 6.1.b del RGPD): el mapa es la función que has abierto.

7. Comunicación de datos y subencargados

No vendemos tus datos personales. Solo los compartimos con los subencargados y destinatarios enumerados a continuación y únicamente en la medida necesaria para operar el servicio. Todos los subencargados están vinculados contractualmente por contratos de encargo de tratamiento conforme al art. 28 del RGPD.

Categoría	Finalidad	Datos tratados	Lugar de tratamiento
Alojamiento en la nube y base de datos	Servidores de aplicación y almacenamiento de datos	Todos los datos de la aplicación	Unión Europea
Pasarela de IA	OpenRouter, Inc.: recibe cada solicitud de IA y la reenvía al proveedor del modelo (sección 5a); solo después de que hayas aceptado las funciones de IA	El contenido de las solicitudes de IA descrito en la sección 5a: mensajes, historial de conversación, grabaciones de voz, registros de la cuadra, nombres y roles de los miembros de la cuadra (nunca sus direcciones de correo electrónico ni números de teléfono)	Estados Unidos
Alojamiento de modelos de IA	Baseten, DeepInfra, Fireworks o Novita (cada uno con auditoría SOC 2): ejecutan los modelos de pesos abiertos (código abierto) del asistente de IA y de los resúmenes del panel redactados por la IA	El contenido de las solicitudes al asistente de IA y de los resúmenes del panel (sección 5a)	Estados Unidos
Modelos de IA (Google)	Google LLC (Gemini): control de seguridad de los mensajes del chat, texto a voz, embeddings de búsqueda y modelo de respaldo para el asistente de IA y los resúmenes	Mensajes del chat, respuestas del asistente, contenido de las conversaciones y textos de la base de conocimiento (sección 5a)	Estados Unidos
Modelos de IA (Microsoft)	Microsoft Corporation (Azure): conversión de voz a texto de las grabaciones y modelo de respaldo para el asistente de IA y los resúmenes (modelos de OpenAI ofrecidos a través de Azure)	Grabaciones de voz; el contenido de las solicitudes al asistente de IA y de los resúmenes cuando actúa como respaldo (sección 5a)	Estados Unidos
Analítica del sitio web	Estadísticas del sitio de marketing (sujetas a consentimiento)	Estadísticas de uso anonimizadas, dirección IP truncada	Estados Unidos
Envío de correo	Correo transaccional (restablecimiento de contraseña, invitaciones)	Dirección de correo electrónico, contenido del mensaje	Unión Europea o Estados Unidos
Entrega de notificaciones push	Entrega de notificaciones a dispositivos móviles (Google Firebase Cloud Messaging; en iOS, a continuación al Apple Push Notification service)	Token de registro del dispositivo, título y texto de la notificación	Estados Unidos
Procesamiento de pagos	Suscripciones, pagos de clientes y liquidaciones (Stripe)	Nombre, dirección de correo electrónico, datos de pago. Los números de tarjeta los gestiona el proveedor de pagos y nunca llegan a nuestros servidores.	Unión Europea o Estados Unidos
Protección contra bots	Cloudflare, Inc.: protección contra bots Turnstile en los formularios de inicio de sesión y de registro	Dirección IP y datos técnicos sobre el navegador y el dispositivo	Estados Unidos
Envío de SMS	Envío del código de un solo uso que verifica un número de teléfono móvil, si lo indicas (SMSAPI, LINK Mobility Poland sp. z o.o.)	Número de teléfono, texto del mensaje con el código	Unión Europea (Polonia)
Teselas de mapa	Mostrar mapas en el directorio de cuadras y en los perfiles de las cuadras (OpenStreetMap Foundation, destinatario independiente; política de privacidad)	Dirección IP, tesela de mapa solicitada, cabeceras User-Agent y Referer del navegador	Reino Unido

Dónde se tratan tus datos: nuestros servidores de aplicación y nuestra base de datos se encuentran en la Unión Europea. Algunos servicios de apoyo —en particular el procesamiento de IA, la analítica del sitio web y el envío de correo— se operan desde centros de datos en los Estados Unidos. La ubicación aplicable depende de la función concreta que se utilice.

Transferencias internacionales de datos: cuando los datos se transfieren fuera del Espacio Económico Europeo (EEE), garantizamos un nivel de protección adecuado mediante cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea o, cuando resulte aplicable, amparándonos en el Marco de Privacidad de Datos UE-EE. UU. (DPF) (arts. 44 a 49 del RGPD). Esto incluye a los destinatarios de IA indicados arriba: OpenRouter y los proveedores de modelos a los que reenvía las solicitudes están obligados a proteger tus datos con un nivel equivalente al garantizado en el EEE.

Los destinatarios de IA se identifican individualmente arriba y en la sección 5a. Puedes solicitar una lista actualizada de los demás subencargados concretos que utilizamos escribiendo a support@studpulse.com.

8. Conservación de los datos

Conservamos los datos solo durante el tiempo necesario para los fines descritos en esta política:

Categoría de datos	Plazo de conservación
Datos de cuenta (nombre, correo electrónico, organización)	Hasta la eliminación de la cuenta + hasta 90 días para tramitar la eliminación
Registros de caballos y explotación, registros de eventos	Hasta la eliminación de la cuenta + hasta 90 días
Historial de conversaciones con la IA (hilos del agente)	Se elimina cuando eliminas tu cuenta; puedes eliminar hilos concretos en cualquier momento
Transcripciones de voz	Las transcripciones de las conversaciones con la IA se eliminan con tu cuenta. La transcripción de una nota de voz que se convirtió en un registro de la cuadra sigue formando parte de los registros de la cuadra, sin tu nombre una vez eliminada tu cuenta
Tu consentimiento a las funciones de IA (y su fecha)	Hasta que lo retires o elimines tu cuenta
Tokens de notificaciones push	Hasta que la suscripción sea revocada por ti o por el navegador, o hasta la eliminación de la cuenta
Registros técnicos y del dispositivo (direcciones IP, registros de errores)	Ventana móvil de 90 días
Datos de Google Analytics	14 meses (según la configuración de conservación de GA); sujetos a la Política de privacidad de Google
Estadísticas agregadas anonimizadas	Indefinido (no pueden vincularse a ninguna persona)
Número de teléfono móvil	Hasta la eliminación de la cuenta
Códigos de verificación SMS y registro de códigos enviados	Un código es válido 10 minutos y solo se almacena como hash cifrado; el registro de códigos enviados (número, dirección IP, hora, intentos) se conserva hasta 30 días
Rutas de monta y frecuencia cardíaca	Se conservan con la sesión de entrenamiento, como el resto de registros de caballos y explotación; se borran antes si la ruta se elimina de la sesión o cuando se elimina la cuenta de la persona que la subió o montó
Posiciones enviadas durante la grabación de una monta	Se eliminan al guardar la monta. Una grabación sin señal durante 12 horas se cierra y se elimina junto con sus posiciones 7 días después del cierre
Posiciones guardadas en tu teléfono durante la grabación de una monta	Se eliminan del teléfono cuando la monta se ha guardado en nuestros servidores o se ha descartado

9. Tus derechos (RGPD)

Si te encuentras en el Espacio Económico Europeo, el Reino Unido u otra jurisdicción con legislación de protección de datos similar, tienes derecho a:

Acceso (art. 15): solicitar una copia de los datos personales que tenemos sobre ti.
Rectificación (art. 16): pedirnos que corrijamos datos inexactos o incompletos.
Supresión (art. 17): solicitar que eliminemos tus datos personales («derecho al olvido»). No hace falta que lo pidas: puedes eliminar tu propia cuenta en cualquier momento desde menú de perfil → Configuración de la cuenta → Eliminar cuenta (o Seguridad → Eliminar cuenta) en la aplicación o en la aplicación web. Consulta la página de eliminación de cuenta para saber exactamente qué se elimina y qué estamos legalmente obligados a conservar.
Portabilidad (art. 20): recibir tus datos en un formato estructurado y legible por máquina (JSON o CSV).
Oposición (art. 21): oponerte al tratamiento basado en intereses legítimos (art. 6.1.f).
Limitación (art. 18): solicitar que limitemos el tratamiento en determinadas circunstancias.
Retirar el consentimiento: cuando el tratamiento se base en el consentimiento (p. ej., funciones de IA, notificaciones push, transcripción de voz, cookies de GA), puedes retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento previo. El consentimiento a las funciones de IA se retira con el interruptor Funciones de IA de la configuración de tu cuenta.
Decisiones automatizadas (art. 22): tienes derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o similarmente significativos. El agente de IA de StudPulse únicamente ofrece sugerencias y nunca toma decisiones automatizadas vinculantes; siempre hay una persona en el proceso.
Presentar una reclamación (art. 77): tienes derecho a presentar una reclamación ante tu autoridad nacional de control en materia de protección de datos. El Comité Europeo de Protección de Datos mantiene una lista de las autoridades de control de la UE en edpb.europa.eu.

Para ejercer cualquiera de estos derechos, escríbenos a support@studpulse.com. Responderemos en un plazo de 30 días y, en casos complejos, en un plazo de 90 días, avisando previamente de la prórroga.

10. Seguridad

Protegemos tus datos con medidas conformes a los estándares del sector:

Todos los datos se transmiten mediante HTTPS (TLS 1.2 o superior).
Las contraseñas se cifran con bcrypt y nunca se almacenan en texto claro.
El acceso a la API requiere tokens de acceso JWT de corta duración (30 minutos) y tokens de actualización rotatorios (7 días).
Un aislamiento estricto de los datos garantiza que cada persona solo pueda acceder a los datos de su propia organización.
Notificación de brechas de seguridad: en caso de violación de la seguridad de los datos personales, lo notificaremos a la autoridad de control competente en un plazo de 72 horas desde que tengamos constancia de ella (art. 33 del RGPD). Si la violación puede entrañar un alto riesgo para tus derechos y libertades, también te lo comunicaremos directamente sin dilación indebida (art. 34 del RGPD).

Ningún método de transmisión o almacenamiento es seguro al 100 %. Si descubres una vulnerabilidad de seguridad, comunícala de forma responsable a support@studpulse.com.

11. Privacidad de los menores

StudPulse es una herramienta profesional y B2B, no dirigida a menores. No recopilamos conscientemente datos personales de personas menores de edad.

UE/EEE (art. 8 del RGPD): quienes usen el servicio deben tener al menos 16 años (o contar con el consentimiento verificable de su madre, padre o tutor cuando la legislación nacional aplicable permita una edad inferior, con un mínimo de 13). Si tenemos conocimiento de que se han recopilado datos de un menor de 16 años sin el consentimiento adecuado, los eliminaremos de inmediato.
Estados Unidos (COPPA, 16 CFR parte 312): no recopilamos conscientemente información personal de menores de 13 años. Si crees que un menor de 13 años nos ha facilitado información personal, escríbenos a support@studpulse.com y la eliminaremos de inmediato.

12. Cambios en esta política

Podemos actualizar esta Política de privacidad de vez en cuando. Cuando lo hagamos, actualizaremos la fecha de «Última actualización» en la parte superior de esta página. En caso de cambios sustanciales, te avisaremos por correo electrónico o mediante un aviso en la aplicación al menos 30 días antes de que los cambios entren en vigor.

13. Contacto y legislación aplicable

Para cuestiones relacionadas con la privacidad, solicitudes sobre tus datos o el ejercicio de tus derechos, escríbenos a:
support@studpulse.com

Esta Política de privacidad y cualquier controversia derivada de ella se rigen por la legislación de la Unión Europea y de la República de Polonia (como jurisdicción del responsable del tratamiento). Ello no afecta a tu derecho a iniciar acciones ante tu autoridad de control o tus tribunales locales conforme a la legislación de protección de datos aplicable.

14. Residentes de California (CCPA / CPRA)

Si resides en California, la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA), te otorga los siguientes derechos:

Derecho a saber: solicitar la divulgación de las categorías y los elementos concretos de información personal que hemos recopilado sobre ti, las categorías de fuentes, los fines empresariales o comerciales de la recopilación y las categorías de terceros con quienes la compartimos.
Derecho de supresión: solicitar la eliminación de tu información personal, con sujeción a determinadas excepciones (p. ej., completar una transacción, fines de seguridad, obligaciones legales).
Derecho de rectificación: solicitar la corrección de información personal inexacta que mantengamos sobre ti.
Derecho a excluirse de la venta o comunicación: no vendemos tu información personal ni la comunicamos para publicidad conductual entre contextos. No necesitas excluirte, pero puedes escribirnos a support@studpulse.com para obtener confirmación por escrito.
Derecho a limitar el uso de información personal sensible: no usamos ni divulgamos información personal sensible más allá de los fines permitidos por la CPRA.
Derecho a no sufrir discriminación: no te discriminaremos por ejercer tus derechos conforme a la CCPA/CPRA. No recibirás un nivel de servicio distinto ni se te aplicarán precios diferentes.

Categorías de información personal recopilada (categorías de la CCPA): identificadores (nombre, dirección de correo electrónico, dirección IP); información comercial (plan de suscripción); actividad en internet u otras redes electrónicas (registros de uso, páginas visitadas); datos de audio o electrónicos (transcripciones de voz, si se consiente); inferencias extraídas (resúmenes de la explotación generados por IA).

Shine the Light (Código Civil de California § 1798.83): las personas residentes en California pueden solicitar una vez al año una lista de las categorías de información personal comunicadas a terceros con fines de marketing directo. StudPulse no comunica información personal para fines de marketing directo de terceros.

Para ejercer cualquiera de tus derechos en California, escríbenos a support@studpulse.com con el asunto «California Privacy Request». Responderemos en un plazo de 45 días (prorrogable otros 45 días previo aviso).

15. Residentes de Nevada

El capítulo 603A de los Nevada Revised Statutes otorga a las personas residentes en Nevada el derecho a excluirse de la «venta» de determinada información personal a terceros. StudPulse no vende información personal en el sentido de la legislación de Nevada. Si tienes dudas o deseas presentar una solicitud, escríbenos a support@studpulse.com.