Aviso de privacidad

1. Responsable del tratamiento

En adelante denominado «Fornava» o «nosotros».

2. Contacto de privacidad

Para preguntas sobre privacidad o para ejercer tus derechos, puedes contactarnos en la dirección de contacto de privacidad indicada arriba. Puedes escribirnos por correo electrónico o utilizar «Tus datos» en Fornava.

Respondemos, por regla general, sin dilación indebida y, como máximo, en el plazo de un mes (art. 12, apdo. 3 del RGPD). En solicitudes complejas, el plazo puede prorrogarse hasta dos meses más. Te informaremos oportunamente al respecto.

El ejercicio de tus derechos es, por regla general, gratuito. En solicitudes manifiestamente infundadas o excesivas, podemos exigir un pago razonable o rechazar la solicitud (art. 12, apdo. 5 del RGPD).

3. Delegado de protección de datos

Actualmente no hay un delegado de protección de datos designado, salvo que la ley lo exija. Si existe obligación de designación conforme al art. 37 del RGPD en relación con el § 38 del BDSG depende, entre otros factores, de la identidad y el alcance del responsable y se revisa de forma continua.

Si se designa un delegado de protección de datos, se añadirán aquí su nombre y datos de contacto.

4. Finalidades del tratamiento

Tratamos datos personales, en particular, para las siguientes finalidades:

• Provisión de tu cuenta, inicio de sesión y gestión de sesiones
• Almacenamiento de tu progreso de aprendizaje, pares de idiomas, tarjetas y repasos
• Provisión de contenidos del juego, escenas del pueblo, herramientas y resúmenes de progreso
• Incorporación, nivelación y adaptación de tu ruta de aprendizaje
• Chat, diálogo y funciones de aprendizaje asistidas por IA, si has dado tu consentimiento
• Entrada y salida de voz a través de nuestra propia infraestructura, si utilizas funciones de IA
• Crónica, duelos, forja y otras herramientas asistidas por IA
• Tramitación de comentarios y solicitudes de soporte
• Tramitación de solicitudes en materia de protección de datos (arts. 15 a 22 del RGPD)
• Seguridad informática, prevención de abusos y funcionamiento estable
• Análisis de uso opcional para mejorar Fornava, solo si has dado tu consentimiento. Actualmente no recopilamos datos de uso.

5. Bases jurídicas

Según la operación, basamos el tratamiento en las siguientes bases jurídicas del RGPD:

• Art. 6, apdo. 1, letra b) del RGPD: contrato o medidas precontractuales (funcionamiento de tu cuenta, almacenamiento de tu progreso de aprendizaje, provisión de funciones principales)
• Art. 6, apdo. 1, letra a) del RGPD: consentimiento (IA y procesamiento de voz, analítica opcional, cuando esté activada)
• Art. 6, apdo. 1, letra f) del RGPD: interés legítimo (véase la sección 6)
• Art. 6, apdo. 1, letra c) del RGPD: obligación legal, en la medida en que nos apliquen obligaciones legales

Puedes retirar en cualquier momento un consentimiento otorgado con efectos para el futuro (art. 7, apdo. 3 del RGPD). El tratamiento hasta la retirada sigue siendo lícito.

6. Intereses legítimos

Cuando tratamos datos personales sobre la base de intereses legítimos (art. 6, apdo. 1, letra f) del RGPD), se trata, en particular, de los siguientes intereses:

• Seguridad informática, integridad de tu sesión y prevención de abusos en el funcionamiento del inicio de sesión
• Estabilidad del servicio y registros operativos proporcionados y redactados sin contenido bruto de tus conversaciones
• Tramitación de solicitudes en materia de protección de datos con datos de verificación mínimos
• Calidad del producto y soporte cuando nos envías comentarios

Sopesamos estos intereses frente a tus derechos e intereses fundamentales. Puedes oponerte en cualquier momento al tratamiento sobre esta base (art. 21, apdo. 1 del RGPD), en la medida en que resulte aplicable. Documentamos internamente las ponderaciones detalladas.

7. Categorías de datos personales

Según tu uso, tratamos, en particular:

• Datos de cuenta (p. ej., identificador interno de usuario, nombre para mostrar, correo electrónico, proveedor de inicio de sesión, roles)
• Contexto lingüístico y de aprendizaje (lengua materna, lengua de aprendizaje, tarjetas, repasos, títulos, progreso, valores diarios)
• Contenidos del juego y del chat (textos de conversación, entradas de diálogo, estado de relaciones y escenas)
• Contexto de IA (prompts, textos generados, palabras de la forja, contenidos de crónica y duelos)
• Configuraciones relacionadas con el dispositivo y caché local en el dispositivo (en la medida en que se almacene localmente)
• Configuraciones y solicitudes de privacidad (consentimientos, exportaciones, solicitudes de eliminación)
• Metadatos técnicos para funcionamiento y seguridad (p. ej., metadatos de proveedor y uso redactados sin prompts en bruto)
• Comentarios y mensajes de soporte cuando nos escribes

Las entradas de audio se transmiten para su procesamiento inmediato cuando utilizas funciones de voz. No almacenamos de forma permanente el audio en bruto en la base de datos posteriormente.

No tratamos categorías especiales de datos personales en el sentido del art. 9 del RGPD, salvo que tú nos las facilites en campos de texto libre.

8. Origen de los datos

Obtenemos datos personales:

• directamente de ti (entradas en el juego, chat, forja, comentarios, solicitudes de privacidad)
• al iniciar sesión a través de Kanidm (p. ej., correo electrónico, nombre para mostrar, roles y credenciales de identidad)
• automáticamente durante el funcionamiento (datos de sesión, metadatos técnicos, datos de registro)

Si no recopilamos datos personales directamente de ti, te informamos aquí. Al iniciar sesión, los datos principales de la cuenta proceden del servicio de identidad Kanidm.

9. Destinatarios y encargados del tratamiento

Los destinatarios pueden ser:

• Operaciones de Fornava y administradores técnicamente autorizados en nuestra infraestructura.
• Hetzner Online GmbH (hosting en la nube en Alemania): encargado del tratamiento para la app, la base de datos y las copias de seguridad en nuestro VPS.
• Kanidm (KANIDM/OIDC) en nuestra propia infraestructura en Hetzner (Alemania, UE): inicio de sesión, credenciales de identidad y gestión de contraseñas. Fornava no almacena contraseñas en la base de datos; los datos de inicio de sesión permanecen en el servicio de identidad Kanidm.
• MS Azure Europe: provisión de funciones de IA como conversaciones con aldeanos, ejercicios personalizados, traducciones, generación de textos y procesamiento de voz (speech-to-text y text-to-speech), si has consentido el uso de funciones de IA.
• Mistral AI SAS (Francia): provisión de funciones de IA y generación de textos, si se utilizan estos servicios y has consentido el uso de funciones de IA.
• Servicios de voz en nuestra propia infraestructura (en la medida en que se utilicen): procesamiento breve de audio. El audio en bruto no se almacena de forma permanente en la base de datos.

Con los encargados del tratamiento celebramos, en la medida en que la ley lo exija, contratos de encargo de tratamiento conforme al art. 28 del RGPD.

10. Transferencias a terceros países

Los destinatarios mencionados en la sección 9 procesan actualmente datos dentro de la Unión Europea o del Espacio Económico Europeo (en particular Alemania y Francia).

No está previsto actualmente transferir datos personales a terceros países fuera de la UE/EEE.

Si esto cambiara (p. ej., por otros subencargados, accesos de soporte desde terceros países, replicación en la nube o servicios de voz del navegador activados), actualizaremos oportunamente este aviso y, en la medida necesaria, basaremos las transferencias en garantías adecuadas conforme al capítulo V del RGPD (p. ej., decisión de adecuación o cláusulas contractuales tipo), incluidas las evaluaciones de impacto de transferencia necesarias.

11. Plazo de conservación

Conservamos datos personales solo el tiempo necesario para las finalidades indicadas o mientras existan obligaciones legales de conservación.

• Datos de sesión hasta su caducidad o cierre de sesión
• Datos de cuenta y progreso de aprendizaje mientras exista tu cuenta
• Contenidos de chat e IA mientras exista tu cuenta, si utilizas funciones de IA
• Solicitudes de privacidad, exportaciones y justificantes conforme a obligaciones legales de prueba
• Registros operativos solo el tiempo necesario para seguridad, prevención de abusos o facturación
• Los datos locales del dispositivo pueden restablecerse en el dispositivo en cualquier momento

Tras solicitudes de eliminación, revisamos qué datos deben eliminarse, restringirse o conservarse por motivos legales. Las copias de seguridad en nuestro VPS de Hetzner pueden retrasar la eliminación; procuramos no reintroducir datos eliminados al restaurar.

Los datos de cuenta de Kanidm (contraseña, passkeys, auditoría de identidad) se gestionan por separado en el servicio de identidad y están sujetos a sus propios procesos de eliminación o desactivación.

12. Almacenamiento en el dispositivo, cookies y datos locales

Además de los datos del servidor, utilizamos almacenamiento en el dispositivo:

• Web: cookie de sesión (HttpOnly, SameSite=Lax) para tu inicio de sesión y gestión de sesiones. Base jurídica: art. 6, apdo. 1, letra b) del RGPD y § 25, apdo. 2, n.º 2 TTDSG (estrictamente necesario).
• App: almacenamiento seguro de tokens (Secure Store) para tu inicio de sesión.
• Web y app: almacenamiento local en el dispositivo (almacenamiento del navegador o de la app) para configuraciones, estado de la interfaz y estado del juego. Puedes eliminar estos datos en «Tus datos» o en el perfil con «Restablecer dispositivo».

Actualmente no utilizamos cookies de marketing ni seguimiento de terceros. El análisis de uso opcional aún no está implementado; solo se almacena tu consentimiento.

El acceso opcional a servicios de voz del navegador o del sistema operativo está desactivado por defecto y, de activarse alguna vez, solo ocurriría tras una revisión jurídica separada y una actualización de este aviso.

13. Seguridad del tratamiento

Adoptamos medidas técnicas y organizativas adecuadas conforme al art. 32 del RGPD, entre otras:

• conexiones de transporte cifradas (HTTPS/TLS) para inicio de sesión y uso de la app
• cookies de sesión HttpOnly firmadas, OIDC con state, nonce y PKCE
• sin almacenamiento permanente de tokens de acceso OIDC en el frontend
• registro redactado en conexiones de IA sin prompts en bruto en los registros
• procesamiento breve de voz sin almacenamiento permanente de audio en bruto en la base de datos
• accesos basados en roles y compuertas de consentimiento para funciones de IA

Las medidas de protección se adaptan continuamente al estado de la técnica. Los detalles sobre endurecimiento del VPS, cifrado en reposo, accesos a copias de seguridad y respuesta a incidentes se documentan en el registro de actividades de tratamiento conforme al art. 30 del RGPD.

14. Obligación de facilitar datos

Para utilizar Fornava son necesarios los datos de inicio de sesión y de cuenta, así como los datos requeridos para el funcionamiento del aprendizaje (art. 6, apdo. 1, letra b) del RGPD). Sin estos datos no podemos proporcionarte una cuenta ni las funciones principales.

Las funciones de IA, el procesamiento de voz y el análisis de uso opcional son voluntarios. Requieren un consentimiento separado. El funcionamiento principal sin IA sigue estando disponible si no otorgas estos consentimientos.

No existe obligación legal de facilitar datos para las funciones voluntarias.

15. Tus derechos

Con sujeción a los requisitos del RGPD, tienes, en particular, los siguientes derechos:

• Acceso (art. 15 del RGPD) y copia de tus datos
• Rectificación (art. 16 del RGPD)
• Supresión (art. 17 del RGPD)
• Limitación del tratamiento (art. 18 del RGPD)
• Portabilidad de los datos (art. 20 del RGPD), en la medida en que resulte aplicable
• Oposición al tratamiento basado en intereses legítimos (art. 21, apdo. 1 del RGPD), en la medida en que resulte aplicable
• Retirada de consentimientos otorgados (art. 7, apdo. 3 del RGPD). El tratamiento hasta la retirada sigue siendo lícito.

Si hemos hecho públicos datos personales y tienes derecho a la supresión, informamos, cuando sea posible, a otros responsables sobre tu solicitud de supresión (art. 19 del RGPD), en la medida en que resulte aplicable.

Puedes iniciar muchas solicitudes directamente en «Tus datos» en Fornava. Antes del acceso, la exportación o la eliminación, podemos verificar tu identidad para prevenir abusos.

No estás sujeto a decisiones automatizadas en el sentido del art. 22 del RGPD (véase la sección 17).

16. Aviso, contrato y consentimientos

Este aviso de privacidad te informa sobre nuestro tratamiento (arts. 13/14 del RGPD). Antes del uso, confirmas que lo has leído. Esto no constituye un consentimiento general para todos los tratamientos.

Basamos la provisión de cuenta y funciones principales en el art. 6, apdo. 1, letra b) del RGPD (contrato o medidas precontractuales).

Para funciones asistidas por IA (conversaciones con aldeanos, traducciones, crónica, forja, duelos, entrada y salida de voz) se requiere un consentimiento separado. El tratamiento se realiza a través de Mistral AI (UE/EEE) y nuestra propia infraestructura de voz.

Puedes activar por separado el análisis de uso opcional. Actualmente solo almacenamos tu consentimiento. La recopilación de datos analíticos aún no está implementada.

Puedes modificar los consentimientos en cualquier momento en «Tus datos». La retirada no afecta a la licitud del tratamiento hasta la retirada.

17. Decisiones automatizadas y elaboración de perfiles

Fornava no adopta decisiones basadas únicamente en tratamiento automatizado en el sentido del art. 22 del RGPD que produzcan efectos jurídicos sobre ti o te afecten de manera similar de forma significativa.

Las recomendaciones de aprendizaje, títulos, contenidos del juego o textos generados por IA sirven al diseño didáctico. No constituyen evaluaciones legalmente vinculantes.

Actualmente no realizamos elaboración de perfiles en el sentido del art. 4, n.º 4 del RGPD con fines publicitarios o de evaluación.

18. Violaciones de datos

En caso de violación de la seguridad de los datos personales, evaluamos el riesgo y actuamos conforme a los arts. 33 y 34 del RGPD.

• Notificación a la autoridad de control en un plazo de 72 horas si existe riesgo
• Notificación a los interesados si es probable un alto riesgo para tus derechos y libertades
• documentación interna de todos los incidentes

Recomendamos contactarnos de inmediato si sospechas un uso indebido de tu cuenta.

19. Niños y jóvenes

Fornava no está dirigido específicamente a niños. Cuando el derecho nacional exija consentimiento parental para menores (en Alemania, por regla general a partir de los 16 años para servicios de la sociedad de la información), el servicio no puede utilizarse sin dicho consentimiento.

Si crees que estamos tratando datos de un niño sin el consentimiento requerido, contáctanos. Revisaremos el caso y eliminaremos o restringiremos el tratamiento en la medida en que la ley lo exija.

20. Cambios en este aviso

Podemos adaptar este aviso de privacidad cuando cambien la situación jurídica, las funciones o los tratamientos.

• La versión se muestra en Fornava.
• En cambios sustanciales, te informaremos de forma adecuada (p. ej., en la app o por correo electrónico) antes de que entren en vigor nuevos tratamientos, en la medida en que sea necesario.
• Lee la versión actual antes de utilizar Fornava.

La documentación estructurada de cumplimiento del responsable se mantiene internamente en el registro de actividades de tratamiento conforme al art. 30 del RGPD.

21. Derecho de reclamación

Tienes derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos (art. 77 del RGPD), en particular en el Estado miembro de tu residencia habitual, lugar de trabajo o lugar de la presunta infracción.

La autoridad de control competente es la Comisionada de Protección de Datos y Libertad de Información de Berlín [(https://www.datenschutz-berlin.de/)](https://www.datenschutz-berlin.de/).

Por favor, contáctanos antes de presentar una reclamación ante una autoridad de control. Revisaremos tu solicitud y te responderemos. Tu derecho de reclamación ante una autoridad de control permanece intacto.