Política de privacidad

Esta política explica qué datos trata MeInTheStory, para qué, durante cuánto tiempo y cómo lo controlas todo. La hemos escrito en un lenguaje sencillo a propósito. Se aplica al sitio meinthestory.net y a los libros que se generan en él.

1. Quién se ocupa de tus datos

El responsable del tratamiento de los datos es MeInTheStory. Para cualquier cuestión de privacidad, incluido hablar con nuestro delegado de protección de datos, escríbenos a hello@meinthestory.net.

2. En resumen

• Solo los adultos (18 años o más) crean una cuenta. El niño o la niña nunca rellena nada.
• Pedimos lo mínimo para hacer el libro: casi todo es opcional.
• Los datos del niño o la niña se guardan cifrados y nunca aparecen en enlaces, correos electrónicos, registros técnicos ni herramientas de análisis.
• No vendemos datos ni mostramos anuncios. Usamos una herramienta de análisis (PostHog) solo con tu permiso, y nunca con datos del niño o la niña.
• En Mi cuenta puedes descargar una copia de tus datos o borrarlo todo cuando quieras, al momento.

3. Qué datos tratamos

Datos del adulto responsable

• Correo electrónico, que se usa para entrar en la cuenta y recibir los enlaces de acceso.
• Si entras con Google: el correo electrónico y el identificador de tu cuenta de Google. No recibimos tu nombre, tu foto, tus contactos ni tu contraseña.
• Idioma preferido del sitio y la fecha y la versión del consentimiento que diste.
• Si la cuenta es de pago, los libros desbloqueados para ti (por Me In The Story o con un cupón) y los cupones que usaste, con la fecha.

Datos de la personalización del libro

• Nombre del niño o la niña (obligatorio). Apellido, edad, ciudad, cómo llama a su madre, a su padre, a su abuela y a su abuelo, nombre de la mascota y dedicatoria (todos opcionales).
• Si la historia habla de una niña o de un niño. Lo usamos solo para elegir la ilustración y las palabras de la historia.
• Idioma del libro.

Newsletter (solo si te suscribes)

• Correo electrónico, idioma, las fechas de la solicitud y de la confirmación, la versión de esta política que aceptaste y una versión cifrada (hash) de la IP de la solicitud, para impedir abusos.

Compras (solo si compras)

• El pedido: qué se compró, precio, moneda, descuento o cupón, fechas, estado del pago, el medio de pago (como tarjeta o Pix) y la referencia del pago en Stripe. Nunca recibimos ni guardamos el número de la tarjeta.
• Si es un regalo: el correo de quien lo recibe, el mensaje (que se borra en cuanto se envía el regalo) y la fecha de envío.
• La personalización queda cifrada en el pedido solo hasta que el libro entra en tu biblioteca.

Datos técnicos

• Una cookie de sesión, para que sigas conectado.
• Una versión codificada (hash) de la dirección IP, que se guarda junto con las solicitudes de enlace de acceso para evitar abusos.
• Registros de acceso: dirección IP (y el puerto de origen, cuando el alojamiento lo informa), fecha y hora, navegador y las acciones realizadas en la cuenta, como entrar, añadir, descargar y enviar libros y usar cupones. Estos registros nunca incluyen datos del niño o la niña.
• Fechas de creación, caducidad y revocación de los enlaces para compartir. Cuando envías el libro por correo electrónico, la dirección de quien lo recibe queda en los registros de acceso, para poder investigar una denuncia de envío inapropiado.
• Análisis de uso (solo si lo aceptas en el aviso de cookies): páginas visitadas (con la dirección limpia de códigos de acceso), clics sin su texto, tipo de dispositivo y navegador, país y ciudad aproximados por la IP y, en las páginas públicas (inicio, catálogo, libros, ayuda y páginas legales), grabaciones de la pantalla con todo el texto y los campos ocultos. En la personalización, en Mi Cuenta y en los enlaces para compartir solo registramos que se visitó la página; en el panel del administrador, nada. Estos datos no se vinculan a tu correo ni a tu cuenta.

Mientras rellenas la personalización, el borrador se queda solo en tu navegador. Nada llega a nuestros servidores hasta que pides recibir el libro.

4. Para qué los usamos y con qué base legal

• Crear tu cuenta y permitirte entrar: ejecución del contrato (LGPD art. 7º, V; RGPD art. 6(1)(b)).
• Crear, guardar y entregar el libro personalizado con los datos del niño o la niña: consentimiento específico y destacado del adulto responsable (LGPD art. 14, § 1º; RGPD art. 6(1)(a) y art. 8). Das ese consentimiento al marcar la casilla del formulario y puedes retirarlo en cualquier momento borrando el libro o la cuenta.
• Enviar el libro a quien tú elijas: ejecución del contrato, a petición tuya.
• Medir las colaboraciones de difusión: contamos cuántas veces se ha usado cada cupón. Quien difundió el cupón recibe solo el recuento, nunca quién lo usó. Interés legítimo (LGPD art. 7º, IX; RGPD art. 6(1)(f)).
• Proteger el servicio y a las familias frente a abusos (límite de solicitudes de enlace e investigación de denuncias): interés legítimo (LGPD art. 7º, IX; RGPD art. 6(1)(f)).
• Entender cómo se usa el sitio y mejorarlo (PostHog): consentimiento (LGPD art. 7º, I; RGPD art. 6(1)(a)), dado en el aviso de cookies y que puedes retirar cuando quieras.
• Avisarte de nuevos títulos (newsletter): consentimiento (LGPD art. 7, I; RGPD art. 6(1)(a)), confirmado mediante el enlace que enviamos a tu correo. Puedes darte de baja cuando quieras con el enlace que va en cada correo de la newsletter.
• Vender, cobrar y entregar los libros, incluidos los regalos, y emitir el recibo: ejecución del contrato (LGPD art. 7, V; RGPD art. 6(1)(b)). Conservar los pedidos durante el plazo de la ley fiscal: obligación legal (LGPD art. 7, II; RGPD art. 6(1)(c)).
• Cumplir obligaciones legales, como conservar registros de acceso cuando la ley lo exija (Marco Civil de Internet de Brasil, art. 15).

No tomamos decisiones automatizadas sobre ti ni elaboramos perfiles.

5. Cómo los protegemos

• Los datos de la personalización se guardan cifrados en la base de datos con AES-256-GCM. La clave se guarda aparte de la base de datos.
• Los enlaces de acceso, las sesiones y los enlaces para compartir se guardan solo como hash: quien viera la base de datos no podría usarlos.
• Los enlaces de acceso valen 15 minutos y una sola vez. Los enlaces para compartir valen 7 días y puedes revocarlos.
• Todo el tráfico usa HTTPS.
• El PDF y el EPUB se generan en el momento de la descarga y no se guardan en nuestros servidores.
• El pago se hace en la página segura de Stripe: los datos de la tarjeta no pasan por nuestros servidores.

6. Con quién los compartimos

Solo con los proveedores necesarios para que el servicio funcione, que tratan los datos en nuestro nombre y siguiendo nuestras instrucciones:

• Hostinger: alojamiento del sitio y de la base de datos.
• Resend: envío de los correos electrónicos (enlaces de acceso, libros que envías tú, correos de las compras y de los regalos, y la newsletter, si te suscribes). Recibe la dirección de destino y el contenido del correo, que nunca incluye datos del niño o la niña.
• Google: solo si eliges entrar con Google.
• PostHog (Estados Unidos): análisis de uso del sitio, solo con tu consentimiento. Nunca recibe datos del niño o la niña, tu correo ni la identificación de tu cuenta.
• Stripe: procesamiento de los pagos (tarjeta, Pix y otros medios). Recibe tu correo, el importe y los datos que indicas en su página de pago. Stripe también trata estos datos como responsable, para prevenir fraudes y cumplir las leyes financieras, según su propia política de privacidad. Nunca recibe datos del niño o la niña.

Cuando envías el libro a alguien, esa persona recibe un enlace para descargarlo y, claro, el libro contiene la personalización.

No vendemos ni alquilamos datos, ni los compartimos con fines publicitarios.

Autoridades: solo entregamos registros o datos por orden judicial o requerimiento de una autoridad con competencia legal, en los términos de la ley (Marco Civil de Internet de Brasil, arts. 10, 15 y 22).

7. Transferencias internacionales

Algunos proveedores (como Resend, Google, PostHog y Stripe) pueden tratar datos fuera de Brasil y del Espacio Económico Europeo, sobre todo en Estados Unidos. En esos casos, recurrimos a proveedores que ofrecen las garantías previstas en la LGPD (art. 33) y en el RGPD (capítulo V), como las cláusulas contractuales tipo.

8. Cuánto tiempo los conservamos

• Cuenta y libros: mientras exista la cuenta. Si eliminas la cuenta, borramos al momento la cuenta, los libros, los datos de los niños y los enlaces para compartir.
• Solicitudes de enlace de acceso y de inicio de sesión con Google: la personalización se elimina de la solicitud en cuanto el libro pasa a la biblioteca; las solicitudes en sí se borran en un plazo máximo de 30 días.
• Sesiones: hasta 30 días, o hasta que cierres la sesión.
• Newsletter: mientras la suscripción esté activa. Al darte de baja, tu correo sale de la lista al instante; al eliminar la cuenta, también se cancela la suscripción de ese correo. Las solicitudes no confirmadas se borran en un máximo de 30 días.
• Registros de acceso: 6 meses, de forma confidencial (Marco Civil de Internet, art. 15), aunque elimines la cuenta. Si hay una denuncia de abuso o un requerimiento de una autoridad, podemos conservar los registros y una copia cifrada de los libros de la cuenta implicada durante el tiempo necesario para la investigación.
• Análisis de uso (PostHog): eventos durante un máximo de 1 año y grabaciones de pantalla durante un máximo de 30 días.
• Uso de cupones: al eliminar la cuenta, el registro del uso deja de estar vinculado a ti y queda solo como un recuento.
• Enlaces para compartir: valen 7 días; el registro desaparece cuando eliminas el libro o la cuenta.
• Pedidos: 5 años después de la compra, por el plazo de las leyes fiscales y contables, aunque elimines la cuenta. Al eliminar la cuenta, el pedido deja de estar vinculado a ti: borramos el correo del regalo y cualquier personalización que todavía contenga.
• Las copias de seguridad de la base de datos pueden tardar hasta 30 días en sustituirse.

9. Tus derechos

Puedes, en cualquier momento: confirmar si tratamos tus datos, acceder a ellos, corregirlos, llevarte una copia (portabilidad), pedir que se borren, retirar el consentimiento, saber con quién los compartimos y oponerte a un tratamiento (LGPD art. 18; RGPD arts. 15 a 22).

Lo más rápido es ir a Mi cuenta: allí puedes descargar todos tus datos en JSON o eliminar la cuenta al momento. Para cualquier otra petición, escríbenos a hello@meinthestory.net. Respondemos en un plazo máximo de 15 días.

Si crees que no lo hemos resuelto bien, puedes presentar una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD) o ante la autoridad de protección de datos de tu país en la Unión Europea.

10. Cookies y almacenamiento en el navegador

Esenciales, siempre activas:

• mits_session: cookie que te mantiene conectado (30 días). Sin ella, la cuenta no funciona.
• Tema claro u oscuro: se guarda en tu navegador (localStorage).
• Borrador de la personalización: se queda solo en esta pestaña del navegador (sessionStorage) y desaparece al cerrarla.
• mits-consent: guarda tu elección en el aviso de cookies (localStorage).

Solo si haces clic en «Aceptar» en el aviso de cookies:

• ph_…_posthog (PostHog): identificador anónimo de este navegador, para contar visitas y recorridos por el sitio (hasta 1 año).

No usamos cookies de publicidad. Puedes cambiar tu elección cuando quieras en «Preferencias de cookies», en el pie de página; si las rechazas, PostHog se desactiva y se borra lo que guardó en tu navegador.

11. Niños y niñas

MeInTheStory está pensado para que los adultos creen libros para niños. No recogemos datos directamente de los niños y no permitimos cuentas de menores de 18 años. Si sabes que un niño o una niña ha creado una cuenta, escríbenos a hello@meinthestory.net y lo borraremos todo.

12. Cambios en esta política

Cuando cambiemos algo importante, te avisaremos por correo electrónico o en el sitio antes de que el cambio entre en vigor. Si el cambio afecta al uso de los datos de los niños, te pediremos un nuevo consentimiento.