Política de privacidad

Última actualización: 14 de septiembre de 2026

Quién es responsable

HeyPlumi es un proyecto de Heliocentrium, que es quien decide cómo se tratan estos datos. Sus datos identificativos están en el aviso legal. Para cualquier asunto de privacidad, escribe a privacidad@heyplumi.app.

A qué se aplica esta política

A dos cosas distintas: este sitio web (heyplumi.app) y la aplicación móvil HeyPlumi para iOS y Android, con el servidor que la acompaña.

Este sitio web

Está alojado en Microsoft Azure, en la Unión Europea, que registra las peticiones HTTP en sus propios registros técnicos, como hace cualquier servidor web. Visitarlo no requiere darnos ningún dato.

La lista de espera

Si te apuntas a la lista de espera guardamos tu correo, el idioma de la página desde la que te apuntaste, qué móviles usas (iPhone, Android o los dos) y la fecha. No guardamos tu dirección IP: para frenar abusos usamos solo una huella irreversible de ella, que no permite saber cuál es.

Lo usamos únicamente para escribirte cuando HeyPlumi se pueda descargar (en App Store o en Google Play, según tu móvil). La base legal es tu consentimiento (art. 6.1.a del RGPD). Al apuntarte te enviamos un correo de confirmación, y cada correo lleva un enlace para darte de baja que borra tu apunte al momento. También puedes pedirlo en privacidad@heyplumi.app.

Los apuntes se guardan en Microsoft Azure, en la Unión Europea, y los correos se envían con Azure Communication Services, con los datos en Europa y sin seguimiento de aperturas ni de clics. Conservamos tu apunte mientras exista la lista de espera o hasta que te des de baja.

Cookies y analítica de la web

La web solo usa cookies si las aceptas en el aviso que aparece al entrar. Si aceptas, carga Google Analytics 4 (Google Ireland Limited) para saber, de forma agregada, cuántas personas la visitan, de dónde llegan y qué secciones leen. Google Analytics usa las cookies _ga y _ga_*, que duran hasta 2 años, y los datos se conservan 14 meses.

Si rechazas, no se carga nada de Google y no se instala ninguna cookie. Tu elección se guarda en el almacenamiento local del navegador para no volver a preguntarte, y puedes cambiarla cuando quieras desde «Cookies», en el pie de la web. Si cambias de idioma con el selector ES/EN, también guardamos ahí el idioma elegido; no es una cookie y no sale de tu navegador.

La cuenta: con Google o con Apple

La app necesita una cuenta, porque tu vocabulario se guarda también en nuestro servidor. Se entra con Google o con Apple; no hay contraseñas de HeyPlumi y no guardamos ninguna.

El inicio de sesión lo gestiona Auth0 (de Okta, Inc.), que hace de intermediario entre Google o Apple y nosotros. Auth0 recibe los datos básicos de perfil que Google o Apple le comparten al entrar —como tu nombre y tu correo— y nos pasa un identificador de tu cuenta, tu correo, si está verificado y, si viene, tu nombre. Si usas «Ocultar mi correo» de Apple, lo que recibimos es la dirección de reenvío de Apple, no la real.

Qué guardamos en nuestro servidor

• Tu cuenta: el identificador que da el proveedor de inicio de sesión, tu correo y si está verificado, el nombre que envía el proveedor y la fecha de alta.
• Tu perfil: el nombre con el que quieres que te llamemos (obligatorio), tus apellidos (opcional) y tu fecha de nacimiento (opcional).
• Tu vocabulario: tus idiomas y diccionarios, y cada palabra que guardas con sus acepciones, traducciones, ejemplos, sinónimos y tus notas personales, además del idioma en el que decidiste guardarla.
• Tu práctica: el estado del repaso de cada palabra (en qué punto está, cuándo vuelve a tocar, aciertos y fallos) y un resumen de cada día que practicas: cuántas repasaste y cuántas acertaste.
• Tus ajustes: idioma nativo, hora del recordatorio, tema, vibración, meta diaria y si ya has hecho la introducción de la app, entre otros.
• Tus dispositivos: un identificador aleatorio que genera la app, la plataforma (iOS o Android), la versión de la app y del sistema, la diferencia entre el reloj del teléfono y el del servidor, y la última vez que se conectó.
• Datos técnicos de sincronización: el historial de cambios y, cuando dos dispositivos editan lo mismo a la vez, las dos versiones en conflicto. Sirven para que todos tus dispositivos acaben con lo mismo.

Cuando buscas una palabra

Para darte la ficha de una palabra, la app la envía a nuestro servidor, que la busca en nuestro diccionario. Esa búsqueda no se guarda en tu cuenta: solo lo que decides guardar pasa a tu vocabulario. Los registros del servidor nunca incluyen la palabra buscada.

Si la palabra es de un idioma que estás aprendiendo y no está en nuestro diccionario, el servidor puede pedir la traducción a Azure AI Translator, un servicio de Microsoft que tenemos contratado en la región de Europa Occidental. Se le envían solo la palabra y el par de idiomas, nunca quién eres.

Cuando una palabra no aparece en ningún sitio, contamos cuántas veces se ha buscado —la palabra, el idioma, el número de veces y las fechas—, sin relacionarlo con ninguna persona, para decidir qué añadir al diccionario.

Lo que se queda en tu teléfono

• El historial de búsquedas. Es una decisión de arquitectura: esa tabla no se sincroniza y no tiene equivalente en el servidor. Las palabras que guardas dicen qué estás aprendiendo; las que buscas dicen qué no sabes, y eso puede revelar mucho de una persona. Si reinstalas la app, ese historial se pierde.
• El recordatorio diario. Es una notificación que se programa en el propio teléfono. No hay servidor de notificaciones ni token de push. El permiso lo pide el sistema, y puedes quitarlo cuando quieras.
• La pronunciación. La lee la voz del sistema de tu teléfono (iOS o Android). La app no envía ese texto a ningún servidor nuestro.

Actualizaciones de la app

La app puede descargar actualizaciones desde el servicio EAS Update de Expo (650 Industries, Inc., Estados Unidos). Esa petición lleva datos técnicos —la dirección IP, la plataforma y la versión de la app—, pero no tu cuenta ni tus palabras.

Lo que no hacemos

No recogemos tu ubicación, tus contactos ni identificadores de publicidad (IDFA/AAID). La app no lleva SDK de analítica, de publicidad ni de informes de errores de terceros. No vendemos ni cedemos tus datos a nadie para publicidad.

Para qué, y con qué base legal

• Darte el servicio —crear y mantener tu cuenta, guardar y sincronizar tu vocabulario, preparar las fichas de las palabras y atender tus peticiones—: es necesario para prestarte el servicio que pides al usar la app (art. 6.1.b del RGPD).
• Apellidos y fecha de nacimiento: son opcionales y los tratamos porque tú decides darlos (consentimiento, art. 6.1.a). Hoy la fecha de nacimiento solo se guarda en tu perfil; no se usa para decidir nada ni se comparte. Puedes dejarlos vacíos o pedirnos que los borremos.
• Seguridad y funcionamiento del servidor —registros técnicos, límites contra el abuso— y el recuento anónimo de palabras no encontradas: interés legítimo en mantener el servicio seguro y útil (art. 6.1.f).
• El recordatorio diario: solo si lo activas y das permiso en el sistema.
• La lista de espera y la analítica de la web: tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras.

Quién más trata tus datos

Solo proveedores que necesitamos para que la app y la web funcionen, cada uno con lo imprescindible:

• Google o Apple, según con cuál inicies sesión. Con ellos tienes tu propia relación y se rigen por sus políticas.
• Auth0 (Okta, Inc.), que gestiona el inicio de sesión. Su servicio para HeyPlumi está en Estados Unidos.
• Microsoft Azure, donde están nuestro servidor, la base de datos, los registros técnicos, Azure AI Translator, esta web con su lista de espera y el envío de correos (Azure Communication Services), en centros de datos de la Unión Europea.
• Google (Google Ireland Limited), solo en la web y solo si aceptas las cookies de analítica: Google Analytics.
• Expo (650 Industries, Inc.), para las actualizaciones de la app.

Transferencias fuera de la Unión Europea

Nuestro servidor y tu vocabulario están en la Unión Europea. Los datos de inicio de sesión que gestiona Auth0 y la petición de actualizaciones a Expo se tratan en Estados Unidos. Esas transferencias se hacen con las garantías que ofrece cada proveedor, como las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. Si aceptas la analítica de la web, Google puede tratar esos datos en Estados Unidos, al amparo del Marco de Privacidad de Datos UE-EE. UU.

Cuánto tiempo los guardamos

• Mientras tengas la cuenta.
• Si pides borrarla, hay un plazo de gracia de 30 días. Si vuelves a iniciar sesión dentro de ese plazo, el borrado se cancela. Pasados los 30 días, un proceso automático que se ejecuta cada día borra de forma definitiva todo lo que tu cuenta tiene en nuestro servidor. Los detalles, en Borrar tu cuenta.
• Copias de seguridad de la base de datos: se guardan 7 días, así que lo borrado puede seguir en ellas hasta 7 días más, hasta que se sustituyen solas.
• Registros técnicos del servidor (dirección IP, fecha, dirección pedida y resultado; sin las palabras que buscas ni tus credenciales): 30 días.
• Constancia del borrado: guardamos un identificador interno y las fechas de la solicitud y de su ejecución, sin tu correo ni tu contenido, como prueba de que lo atendimos.
• Tu registro en Auth0 (identificador, nombre y correo) no se borra con ese proceso automático. Si quieres que se elimine también, pídenoslo y lo borramos.
• En tu teléfono, lo guardado se borra al borrar la cuenta desde la app o al desinstalarla.

Seguridad

Todo el tráfico entre la app y el servidor va cifrado (HTTPS). La base de datos está cifrada en reposo y cada cuenta solo puede leer sus propios datos, algo que impone la propia base de datos y no solo el código. No guardamos contraseñas. En el teléfono, la sesión se guarda en el almacenamiento seguro del sistema (Keychain en iOS, Keystore en Android), y iOS y Android aíslan los datos de la app para que otras apps no puedan leerlos.

Tus derechos

Puedes pedirnos en cualquier momento acceso a tus datos, rectificarlos, borrarlos, limitar su tratamiento, oponerte a él y recibir una copia en un formato reutilizable (portabilidad). Si algo lo tratamos con tu consentimiento, puedes retirarlo cuando quieras.

Para borrar la cuenta tienes la opción dentro de la app. Para lo demás, escribe a privacidad@heyplumi.app desde el correo de tu cuenta, para que podamos comprobar que eres tú. Respondemos en un plazo máximo de un mes.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Menores

Para usar HeyPlumi tienes que tener al menos 14 años, la edad a partir de la cual la ley española permite dar el consentimiento por uno mismo. La fecha de nacimiento es opcional y no comprobamos la edad; si sabemos que una cuenta es de alguien menor de 14 años, la borramos. Si eres madre, padre o tutor y crees que es el caso, escríbenos.

Cambios

Cuando esta política cambie se actualizará la fecha del encabezado. Los cambios importantes se avisarán también dentro de la app, no solo aquí.

Contacto

Escríbenos a privacidad@heyplumi.app.