Política de privacidad
Versión revisada: 6 de octubre de 2026. Ámbito: beta web actual de RaiseLab.
Versión pública en revisión. La política de conservación y las bases de tratamiento descritas aquí han sido adoptadas por el responsable. Legal permanece IN PROGRESS: el DPA de Zoho está pendiente de firmas y de revisión de su documento final y anexos; no está ejecutado. El borrado de cuenta sí está disponible en la beta publicada y ha sido validado remotamente.
1. Responsable y contacto
El responsable del tratamiento es Pablo Gómez Jiménez, que actúa como persona física bajo el nombre RaiseLab. No existe actualmente una sociedad mercantil RaiseLab.
Privacidad y ejercicio de derechos: privacy@raiselab.app. Ayuda, feedback e incidencias: support@raiselab.app. Ambos contactos llegan al mismo buzón profesional administrado por el responsable; no hay reenvío automático al Gmail personal.
2. Datos que utiliza RaiseLab
- Cuenta: correo, identificador interno, proveedor de acceso, nombre facilitado por Google y nombre editado en RaiseLab. Auth puede guardar una URL de imagen del proveedor; la interfaz utiliza una inicial. Las credenciales de sesión mantienen el acceso.
- Entrenamiento: sesiones, ejercicios asignados, acciones elegidas, evaluación y feedback de esas respuestas, estado del recorrido y fechas.
- Eventos funcionales: inicio, presentación de ejercicios, envío de respuestas y tiempo empleado, resultados, reintentos, finalización y códigos de error, vinculados a la sesión.
- Learn y progreso: primeras finalizaciones, fechas, zona horaria, XP y datos para calcular días activos, racha y rango. El rango refleja recorrido en RaiseLab, no habilidad certificada de póker.
- Datos técnicos: autenticación y alojamiento pueden tratar IP, información del navegador, fechas y registros de solicitudes para prestar y proteger el servicio.
- Soporte: correo y contenido que decidas enviar. No envíes contraseñas, códigos, tokens ni datos innecesarios.
3. Finalidades y bases jurídicas
- Cuenta, acceso y servicio solicitado: identificarte, recuperar tus entrenamientos, evaluar las respuestas con el contenido revisado y mostrar Learn y progreso. Base: ejecución del servicio solicitado, artículo 6.1.b del RGPD. Sin los datos de identificación y actividad necesarios no podemos ofrecer el recorrido autenticado ni guardar tu progreso.
- Seguridad y fiabilidad: controlar el acceso a la beta, prevenir usos indebidos y diagnosticar fallos. Base: interés legítimo en proteger el servicio y a sus usuarios, artículo 6.1.f, ponderado frente a tus derechos y limitado a los datos necesarios.
- Soporte: atender el problema que nos comuniques y responderte. Base: artículo 6.1.b para la asistencia necesaria al servicio o las medidas precontractuales que solicites; artículo 6.1.f para responder una consulta esperada cuando no exista esa relación y proteger la integridad del servicio. No reutilizamos el correo para publicidad.
- Derechos de privacidad: atender las solicitudes, verificar de forma proporcionada su titularidad y conservar, cuando sea necesaria, prueba mínima bloqueada de la actuación y sus posibles responsabilidades. Base: cumplimiento de las obligaciones de protección de datos, artículo 6.1.c. El alcance de esa prueba y su supresión se explican en el apartado 6.
No usamos el hecho de utilizar RaiseLab como consentimiento genérico para otros fines. No hay actualmente anuncios, compras, SDK de analytics de terceros ni AI Coach implementados en el producto. Los eventos funcionales sí se guardan; la ausencia de un SDK de analytics no significa ausencia de datos de uso.
La evaluación automática de respuestas y el cálculo de XP/rango sirven para el entrenamiento y el progreso mostrado. No certifican habilidad ni se utilizan en el producto para decisiones con efectos jurídicos o de importancia similar.
4. Proveedores y destinatarios
- Supabase: autenticación, base de datos y funciones backend; recibe los datos de cuenta y actividad necesarios para prestar el servicio. El almacenamiento principal del proyecto actual está en Frankfurt, región eu-central-1.
- Google: proveedor del inicio de sesión. Facilita identidad, correo y metadatos del perfil autorizado; RaiseLab no recibe tu contraseña de Google. Google no es el buzón profesional de soporte de RaiseLab.
- Cloudflare: alojamiento web y protección de la beta con Access. Puede tratar correo autorizado y datos de acceso, IP y solicitudes. Esa puerta es distinta del login en RaiseLab.
- Zoho Mail EU: correo de soporte y privacidad, incluidos remitente, destinatario, asunto, contenido y adjuntos que envíes. Usamos un buzón principal y un alias, no dos equipos de atención separados. Su DPA está solicitado y pendiente de firmas; no se presenta como ejecutado.
No hay un formulario de Google de feedback configurado en el cliente publicado. Si se habilita en el futuro, deberá revisarse su tratamiento antes de utilizarlo; no se considerará automáticamente anónimo.
Pablo Gómez Jiménez es responsable de los tratamientos de RaiseLab; Supabase, Cloudflare y Zoho prestan sus servicios como encargados respecto de los datos que tratamos a través de ellos. Google realiza tratamientos propios como proveedor de identidad. Los DPA estándar de Supabase y Cloudflare están incorporados a sus condiciones de servicio; el de Zoho sigue pendiente de ejecución.
El almacenamiento principal en Europa no implica que todos los accesos y operaciones se limiten al Espacio Económico Europeo. La revisión de Supabase, Cloudflare y Google contempla los mecanismos documentados aplicables: decisiones de adecuación para destinatarios certificados cuando proceda y cláusulas contractuales tipo para las transferencias cubiertas por ellas. No son una garantía de localización exclusiva en Europa ni de ausencia de accesos internacionales. En Zoho queda pendiente completar la revisión del alcance y las garantías con su DPA final y anexos antes de cerrar Legal. Puedes solicitar información sobre los destinatarios y garantías a privacy@raiselab.app.
5. Almacenamiento local y navegación
En web se conserva la sesión de acceso, la recuperación del entrenamiento y una cola de finalizaciones vinculada a la cuenta. El punto de lectura de Learn se guarda en el navegador sin vincularlo a la cuenta. Puedes borrar los datos locales del sitio; hacerlo no elimina por sí solo la cuenta ni los datos guardados en el servidor.
Estas páginas de privacidad y soporte no incluyen scripts, formularios, fuentes externas ni herramientas de seguimiento. Esto no excluye los registros técnicos del alojamiento ni el almacenamiento necesario para autenticarte en la aplicación. Esta versión no certifica el futuro release nativo.
6. Conservación y eliminación
Cuenta y actividad
Los datos activos de cuenta, sesiones, respuestas y progreso se conservan mientras mantienes la cuenta y hasta su eliminación. La implementación actual no tiene una purga automática por inactividad. La expiración de una sesión controla su uso, pero no elimina su historial. No se ha aprobado una retención adicional de ese historial después de borrar la cuenta.
Puedes iniciar el borrado desde Perfil → Cuenta → Cuenta y seguridad → Eliminar cuenta, con confirmación explícita ELIMINAR. El flujo está publicado y validado remotamente. Es irreversible: elimina la cuenta Auth y sus accesos, el historial Postflop, respuestas y feedback, eventos funcionales, solicitudes de apertura, sesiones pendientes, finalizaciones y XP. Incluye los datos personales de recorridos históricos cuya pertenencia a tu cuenta esté demostrada. No borra infraestructura compartida ni datos de otras personas.
Tras la confirmación del servidor, el dispositivo solicitante cierra sesión y limpia la recuperación y cola de esa cuenta. No elimina tu cuenta de Google ni la lectura anónima del navegador. Otros dispositivos pueden conservar copias locales: cierra sesión y elimina los datos del sitio en ellos.
Consultas generales e incidencias técnicas
Conservamos solo la correspondencia y los adjuntos necesarios mientras atendemos el caso. Enviar una respuesta no lo cierra por sí solo. Puede cerrarse antes si confirmas expresamente que está resuelto. Para consultas e incidencias ordinarias, podemos considerar el cierre tras 30 días naturales sin nueva respuesta desde la última respuesta sustantiva enviada que resuelva el caso o solicite información necesaria para continuar, siempre que RaiseLab no tenga ninguna investigación, corrección, actuación o respuesta pendiente.
Una respuesta rebotada o un acuse automático no inicia ni completa el cierre. Una nueva respuesta o desacuerdo reabre o continúa la atención. Los 30 días son una política operativa interna, no un plazo legal obligatorio; no extinguen tus derechos. No aplicamos cierre automático por inactividad a solicitudes de derechos, supresión, reclamaciones o incidentes todavía pendientes. El cierre se revisa manualmente, sin reglas automáticas activadas.
Al cerrar, revisamos y suprimimos la correspondencia y los adjuntos personales que ya no sean necesarios, incluidos recibidos, enviados y duplicados. No añadimos un periodo general de archivo para todo el hilo. Si un incidente o procedimiento concreto exige evidencia, se separa únicamente la necesaria con finalidad, plazo y revisión propios, no se conserva indiscriminadamente todo el correo.
Privacidad, ejercicio de derechos y borrado
El caso permanece abierto hasta completar la actuación que corresponda y comunicar su resultado. Retiramos los documentos de verificación y adjuntos innecesarios cuando dejan de ser necesarios. Para acreditar la atención y posibles responsabilidades, conservamos únicamente la prueba mínima necesaria, bloqueada y separada del buzón operativo, cifrada y con acceso restringido: naturaleza de la solicitud, fechas relevantes, verificación proporcionada, actuación realizada y resultado o comunicación final.
Su horizonte es un máximo de tres años desde la última fecha entre actuación completada y comunicación final, sujeto a necesidad y revisión periódica. Es un máximo conservador ligado a posibles responsabilidades, no una obligación general de guardar toda la correspondencia tres años; puede ser menor y se destruye al finalizar el plazo aplicable. No guardamos por defecto el hilo completo, adjuntos innecesarios, documentos de identidad completos, historial de entrenamiento, contraseñas ni tokens. Una obligación o procedimiento concreto que afecte al plazo exige justificar su alcance y revisarlo individualmente, sin extensión automática.
Spam, papelera y copias gestionadas
El spam permanece en la cuarentena configurada de Zoho de 30 días según fecha de recepción y limpieza periódica, con revisión para detectar mensajes legítimos. Los mensajes irrelevantes se eliminan al clasificarlos y comprobar que no requieren atención; los de derechos o incidencias se reclasifican. Ese intervalo de Zoho no es el criterio de cierre de soporte. Suprimir del buzón operativo no equivale a purgar inmediatamente todas las copias: se revisan también los elementos concretos de la papelera. Zoho documenta una recuperación administrativa limitada de mensajes eliminados, de hasta 25 días; no es una garantía de purga universal de todas sus copias internas ni se suma automáticamente a otros plazos para prometer una fecha final.
El borrado de la cuenta no elimina automáticamente el correo ya enviado a soporte, las autorizaciones de Cloudflare Access ni los logs o copias de seguridad gestionados por proveedores. Aplicamos el procedimiento complementario y, cuando corresponde, solicitamos asistencia al proveedor para las capas gestionadas. Para tratar esos datos, escribe a privacy@raiselab.app. Los límites de los registros y recuperación gestionados no equivalen a la eliminación inmediata de todas las copias; no prometemos borrado inmediato o verificable de todos los backups y logs del proveedor. Tampoco declaramos anónimos todos los incidentes o registros operativos.
7. Tus derechos
Puedes solicitar acceso, rectificación, supresión, limitación, oposición y, cuando proceda, portabilidad a privacy@raiselab.app. Para tratamientos basados en consentimiento, si se incorporan, podrás retirarlo sin afectar al tratamiento anterior. Verificaremos tu identidad de forma proporcionada; no envíes contraseñas ni códigos de acceso.
El RGPD establece la respuesta sin dilación indebida y, en general, dentro de un mes; si procede una ampliación por complejidad o número de solicitudes, debe comunicarse dentro de ese mes. Este plazo de derechos no es una promesa de respuesta inmediata del soporte técnico. Puedes reclamar ante la Agencia Española de Protección de Datos.
8. Cambios y alcance
Actualizaremos esta política si cambian los tratamientos, el responsable o los proveedores. No presenta funcionalidades futuras como disponibles ni constituye una declaración de App Store Connect.