Política de privacidad

1.Responsable del tratamiento

El responsable del tratamiento es Vincent Pruvost, empresario individual, SIRET 941 612 962 00022, dispensado de inscripción en el RCS y en el RM franceses.

No se ha designado ningún delegado de protección de datos: aquí la designación no es obligatoria, ya que la actividad no se basa ni en un seguimiento a gran escala ni en el tratamiento de datos sensibles.

2.Datos tratados

Buvard solo recoge lo que el servicio necesita para funcionar. En concreto:

• Cuenta: tu correo electrónico, un nombre mostrado si indicas uno, tu plan (gratuito o Pro), tus contadores de uso del mes, la fecha de tu última conexión y tus preferencias (idioma, objetivo diario, ajustes de generación por defecto).
• Conexión: para cada petición de enlace mágico, una huella del token, una huella del desafío depositado en el navegador que hizo la petición, el correo electrónico de destino, la dirección IP de origen de la petición, la página a la que querías ser conducido tras la conexión, la fecha en que se usó el enlace y una fecha de caducidad. Esos registros validan el enlace y permiten detectar los abusos.
• Contenidos subidos: el texto pegado y el texto extraído de tus archivos se tratan en memoria para producir las tarjetas. El archivo en sí nunca se almacena en nuestros servidores. Del texto de origen solo se conserva un extracto de 500 caracteres junto al mazo, para recordarte su procedencia. Antes de tu conexión, en cambio, ese texto se deposita en TU dispositivo, en el almacenamiento local del navegador, para que no se pierda durante el rodeo por tu buzón de correo: véase la sección «Cookies y almacenamiento local».
• Mazos y tarjetas: título, descripción, carpeta, ajustes, y tanto el anverso como el reverso de cada tarjeta — es decir, en la práctica, una parte de tus contenidos reformulados.
• Progreso: para cada tarjeta repasada, su estado (nueva, en curso, sabida), el número de repasos y la fecha del último.
• Historial de generación: fecha, título, modo, modelo utilizado, número de caracteres enviados, número de tarjetas producidas, duración y, en su caso, el mensaje de error. El texto enviado no figura en él.
• Pago: Buvard no trata ni conserva ningún dato bancario. Los pases los vende Polar, que recoge y conserva en exclusiva la información de pago y facturación. Buvard solo recibe tu identificador de cliente, tu correo electrónico, el pase comprado y sus fechas de validez — lo estrictamente necesario para activar tu cuenta.

3.Finalidades y bases jurídicas

Cada tratamiento persigue una finalidad precisa y se apoya en una base jurídica en el sentido del RGPD:

• Prestar el servicio — cuenta, generación, repaso, exportación: ejecución del contrato (artículo 6.1.b).
• Enviar los enlaces de conexión y los mensajes relativos a la cuenta: ejecución del contrato.
• Hacer respetar las cuotas y prevenir los abusos: interés legítimo en proteger el servicio (artículo 6.1.f).
• Garantizar la seguridad y diagnosticar los errores técnicos: interés legítimo.
• Cumplir las obligaciones contables y legales: obligación legal (artículo 6.1.c).

Ninguna prospección comercial, ningún perfilado publicitario, ninguna reventa de datos. Si algún día aparece un boletín, se basará en un consentimiento explícito e independiente.

4.Tus contenidos se transmiten a OpenAI, fuera de la Unión Europea

Este es el punto que hay que conocer antes de subir nada. Para generar tus tarjetas, el contenido que facilitas se transmite a OpenAI, la empresa que edita los modelos utilizados, a través de su interfaz de programación. Se trata de una comunicación de tus contenidos a una sociedad tercera cuyos tratamientos tienen lugar en Estados Unidos.

Están afectados: el texto pegado en el generador y el texto extraído de tus PDF, documentos de Word y archivos de texto. Las imágenes que subes se envían al mismo proveedor, cuyo modelo de visión reconoce los caracteres que contienen. La extracción del texto de los PDF y de los documentos de Word, en cambio, se realiza en nuestros propios servidores, sin terceros.

Esta transferencia sale de la Unión Europea. Está amparada por las cláusulas contractuales tipo de la Comisión Europea, a las que OpenAI se adhiere en sus condiciones de tratamiento de datos.

Consecuencia práctica: no envíes a Buvard datos de salud, datos personales de terceros, secretos profesionales ni documentos confidenciales. Un material de clase, sí; un historial clínico, no.

5.Otros destinatarios y encargados del tratamiento

Además de OpenAI, los siguientes proveedores intervienen en el funcionamiento del servicio:

• Polar Software, Inc. — vende los pases en calidad de vendedor oficial y tramita los pagos. Recoge por sí mismo la información de pago y facturación, que nunca pasa por Buvard. Para ese tratamiento, Polar actúa como responsable del tratamiento AUTÓNOMO y no como encargado: es él el vendedor, determina sus propios fines y responde de sus obligaciones fiscales. Su propia política de privacidad se aplica, por tanto, por derecho propio.
• Resend — envío de los correos de conexión. Recibe tu correo electrónico y el contenido del mensaje.
• No hay configurado ningún proveedor SMTP de reserva: si el envío por Resend falla, ningún otro proveedor recibe tu dirección.
• OVH SAS (Francia) — aloja el sitio, ejecuta el código y almacena las cuentas, los mazos, las tarjetas, el historial y el progreso. Los datos permanecen en Francia.
• Cloudflare, Inc. (Estados Unidos) — distribuye el sitio y lo protege frente a ataques. Ve las direcciones IP y las cabeceras de las peticiones, sin acceder al contenido de las cuentas. También se encarga de la medición de audiencia (Cloudflare Web Analytics): número de visitas, páginas consultadas, página de origen, país y tipo de dispositivo, sin cookies ni identificadores persistentes, y sin construir un perfil de una visita a otra. Transferencias amparadas por las cláusulas contractuales tipo de la Comisión Europea.

Ningún otro destinatario. Ninguna red publicitaria, ninguna reventa de datos y ninguna medición de audiencia más allá de la descrita anteriormente.

6.Plazos de conservación

Los plazos aplicados son los siguientes:

• Cuenta, mazos, tarjetas, progreso, carpetas e historial: se conservan mientras exista la cuenta, y se borran inmediatamente al eliminarla.
• Tokens de conexión (huella, correo electrónico, dirección IP): quince minutos de validez, purgados automáticamente al caducar.
• Cookie de sesión: treinta días, renovada en cada conexión.
• Registros técnicos: conservados 30 días como máximo en el servidor y borrados después automáticamente. Contienen la dirección IP, la fecha y la página solicitada, y sirven únicamente para la seguridad y el diagnóstico de averías. Nunca se cruzan con tu cuenta.
• Documentos contables relativos a los pases: diez años desde el cierre del ejercicio, conforme al artículo L123-22 del Código de comercio francés. Se refieren a los pagos recibidos de Polar, no a facturas de clientes — estas las emite y conserva Polar, vendedor del pase.

7.Cookies y almacenamiento local

Buvard no deposita ningún rastreador publicitario. La medición de audiencia del sitio la realiza Cloudflare Web Analytics, que no escribe ninguna cookie ni ningún otro dato en tu dispositivo y no te sigue de un sitio a otro. Por eso no se muestra ningún aviso de consentimiento: no se deposita nada en tu terminal más allá de las cookies indicadas a continuación, estrictamente necesarias para el servicio que solicitas, lo que las exime de consentimiento previo.

• buvard_session — mantiene tu sesión abierta. Firmada, inaccesible para el JavaScript de la página, treinta días.
• buvard_challenge — vincula un enlace mágico al navegador que lo pidió, lo que impide que un enlace interceptado sirva en otro sitio. Quince minutos.
• NEXT_LOCALE — memoriza el idioma de visualización elegido. Un año.
• buvard_sidebar — memoriza si la barra lateral de la aplicación está plegada. Un año.
• buvard:draft — almacenamiento local, no cookie: el borrador de generación, es decir el texto que has pegado o que se ha extraído de tus archivos (hasta 300 000 caracteres), el título propuesto y el nombre de los documentos. Permanece en tu dispositivo, solo se recupera durante una hora, y se borra en cuanto termina la generación, en tu visita siguiente si ha caducado, o con la función «borrar los datos del sitio» de tu navegador.
• buvard:decks-view — almacenamiento local: memoriza si tus mazos se muestran en cuadrícula o en lista.

Las dos últimas entradas no son cookies: viven en el almacenamiento local del navegador, nunca se envían a nuestros servidores y no salen del dispositivo que las ha escrito. El borrador es el único sitio donde tus contenidos se conservan fuera de tu cuenta; si prefieres que no sea así, borra los datos del sitio después de tu generación.

Ninguna de estas cookies sigue tu navegación fuera de Buvard.

8.Tus derechos

Dispones de un derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad sobre tus datos, así como del derecho a definir directrices relativas a su destino tras tu fallecimiento.

Estos derechos se ejercen sin coste alguno, y la supresión de tu cuenta no tiene que justificarse.

9.Cómo ejercerlos en la aplicación

Dos de esos derechos están directamente resueltos dentro de Buvard, sin tener que escribir a nadie: ve a la aplicación, pantalla Ajustes, pestaña Datos.

• Acceso y portabilidad: «Exportar en JSON» produce un archivo con tu cuenta, tus mazos, tus tarjetas y tu historial de generación. Además, cada mazo puede exportarse en formato .apkg, legible por Anki.
• Supresión: «Eliminar mi cuenta» borra en cascada tu cuenta, tus mazos, tus tarjetas, tu progreso, tus carpetas, tu historial y los tokens de conexión asociados a tu dirección. Es inmediato y definitivo — exporta antes.
• Rectificación: tu nombre mostrado, tu idioma y tus preferencias se modifican en esa misma pantalla.

Para los demás derechos, o si ya no tienes acceso a tu cuenta, escribe a [email protected]. Respondemos en el plazo de un mes, conforme al RGPD.

10.Seguridad

No existe ninguna contraseña, por tanto no hay ninguna base de contraseñas que comprometer. Los tokens de conexión solo se conservan en forma de huella, la cookie de sesión está firmada criptográficamente y no es legible por el JavaScript de la página, y los intercambios pasan por HTTPS.

Aun así, ningún sistema es infalible. En caso de violación de datos que pueda entrañar un riesgo alto para tus derechos, se te informará conforme al artículo 34 del RGPD.

11.Menores

Buvard se dirige a alumnos de secundaria, estudiantes y profesionales. El servicio está reservado a personas de 15 años o más: en Francia, un menor de quince años no puede consentir por sí solo el tratamiento de sus datos para un servicio en línea. La edad se declara al registrarse y no se verifica mediante documento; si tenemos conocimiento de que una cuenta pertenece a una persona menor de 15 años, se elimina.

12.Modificaciones

Esta política puede evolucionar, en particular si cambia algún encargado del tratamiento. La fecha de última actualización figura al principio de la página, y todo cambio significativo se comunica a los titulares de una cuenta.

13.Contacto y reclamación

Para cualquier cuestión o para ejercer un derecho: [email protected].

Si nuestra respuesta no te satisface, puedes dirigirte a la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 París Cedex 07, o a la autoridad de control de tu país de residencia — en España, la Agencia Española de Protección de Datos (AEPD).