Aviso de Privacidad para Menores de Edad (Zaldito)

Versión: 0.1 (BORRADOR — pendiente revisión legal) Última actualización: 2026-05-12

Documento dirigido a los padres y tutores legales

Este documento complementa la Política de Privacidad general y detalla las protecciones especiales que aplicamos a los datos personales de niños, niñas y adolescentes (NNA) menores de 18 años en Zaldito.

Marco legal aplicable:

• Ley 1581 de 2012 (Colombia) — Art. 7 sobre datos de menores
• Decreto 1377 de 2013 (Colombia) — Art. 12 sobre tratamiento de datos de NNA
• Constitución Política de Colombia, Art. 44 — Derechos fundamentales de los niños prevalecen sobre los demás
• Circular Externa SIC 02 de 2015 — Directrices específicas sobre tratamiento de datos de NNA
• Ley 1098 de 2006 — Código de Infancia y Adolescencia

1. Principios que aplicamos

1.1 Interés superior del niño

Cualquier decisión sobre el tratamiento de datos de un menor que sea usuario de Zaldito está guiada por el principio del interés superior del niño (Constitución, Art. 44; Código de Infancia y Adolescencia, Art. 8). Si una decisión técnica o de negocio compromete este interés, predomina el interés del menor.

1.2 Datos mínimos necesarios

Recolectamos únicamente los datos estrictamente necesarios para el funcionamiento pedagógico de la app. Cualquier dato no esencial es opcional o no se solicita.

1.3 Consentimiento parental verificable

Ningún menor puede activar una cuenta o un perfil sin participación explícita del padre o tutor legal. El consentimiento parental es prerequisito para la creación del perfil del niño y para cualquier procesamiento subsiguiente de sus datos.

2. Datos que recolectamos del menor

2.1 Datos proporcionados por el padre al crear el perfil del hijo

• Nombre real: usado para personalización interna (saludos, dashboard del padre)
• Nombre del personaje (alias): el nombre que el niño ve dentro de la app (opcional; si no se proporciona, se usa el nombre real)
• Edad: usada para asignar el nivel pedagógico (1: 5-7 años, 2: 8-10, 3: 11-13, 4: 14-17)
• PIN de 4 dígitos: asignado por el padre, cifrado con bcrypt, irrecuperable si se olvida
• Configuración del avatar: elecciones visuales (peinado, color de ropa, mascota bíblica)

2.2 Datos generados durante el uso

• Progreso pedagógico: lecciones completadas, respuestas a actividades, talentos virtuales acumulados, coleccionables obtenidos
• Racha de días: cuántos días consecutivos ha entrado a jugar
• Onboarding completado: marcador booleano (no se almacena la información del onboarding fuera de los flags)

2.3 Lo que NO recolectamos del menor

• Sin email del menor: nunca pedimos ni almacenamos email del niño
• Sin teléfono: ningún dato de contacto del niño
• Sin dirección: ni postal, ni IP de geolocalización rastreada
• Sin biometría: nada de reconocimiento facial, huella, voz
• Sin tracking publicitario: cero píxeles de terceros, cero perfilamiento para anunciantes
• Sin redes sociales: el menor no puede vincular cuentas de redes sociales, ni hay funciones de "compartir" personales

3. Cómo usamos los datos del menor

Los datos del menor se usan exclusivamente para:

1. Operar la app pedagógicamente: mostrar contenido adaptado a su edad, guardar su progreso, permitirle continuar donde dejó.
2. Mostrar al padre: el padre tiene un dashboard donde ve el progreso de su hijo (lecciones completadas, áreas fuertes y débiles).
3. Análisis agregado y anónimo: para mejorar el producto. Ejemplo: "el 65% de los niños de 8 años se atascan en la actividad X de Mundo 1.3, hay que revisarla." Sin perfiles individuales identificables.
4. Cumplir obligaciones legales: responder a autoridades competentes si la ley lo exige.

Lo que NO hacemos con los datos del menor

• No vendemos los datos a nadie
• No los compartimos con anunciantes ni con redes sociales
• No los usamos para enviar publicidad
• No los exponemos públicamente (su perfil no es visible para otros usuarios)
• No los procesamos con algoritmos de IA para fines distintos al pedagógico

4. Quién puede ver los datos del menor

4.1 Padres / tutores legales

El padre que crea el perfil del niño es el único usuario humano con acceso completo:

• Puede ver todos los datos del perfil
• Puede ver el progreso pedagógico detallado
• Puede modificar, exportar o eliminar el perfil en cualquier momento

4.2 Otros niños o usuarios

Ningún otro usuario puede ver el perfil de un menor, ni siquiera de forma agregada. No hay funciones de "amigos", "rankings públicos", "compartir progreso" entre usuarios distintos.

4.3 Equipo de Zaldito (operador)

El Operador (Cesar Beltran Garzón, en su calidad de responsable del tratamiento) tiene acceso técnico a la base de datos en circunstancias muy limitadas:

• Soporte técnico: si el padre reporta un problema y autoriza expresamente el acceso
• Resolución de incidentes: ante una falla técnica que requiere inspección manual
• Cumplimiento legal: ante requerimiento judicial o autoridad competente

Todo acceso queda registrado y se hace bajo principios de mínima intervención.

4.4 Procesadores externos

Como detalle en Data Processing Disclosure, los siguientes vendors tienen acceso técnico bajo contratos de confidencialidad estricta:

• Vercel (hosting): puede ver logs técnicos pero no datos del niño en bruto
• Supabase (base de datos): almacena los datos cifrados; su personal no accede a contenido en operación normal
• [DECIDIR procesador de pagos]: nunca recibe datos del niño, solo datos del padre

5. Derechos del padre / tutor sobre los datos del menor

Como representante legal del menor, usted ejerce en su nombre todos los derechos del titular de datos personales (Art. 8, Ley 1581):

• Acceder a los datos del menor en cualquier momento desde su dashboard
• Rectificar datos inexactos
• Eliminar el perfil del menor (eliminación física en 30 días tras solicitud)
• Exportar todos los datos del menor en formato legible (JSON)
• Revocar el consentimiento para el tratamiento (esto equivale a eliminar el perfil)
• Presentar queja ante la Superintendencia de Industria y Comercio (SIC) si considera que sus derechos o los del menor han sido vulnerados

Cómo ejercer estos derechos

Envíe un email a cesar.beltran@hangardecodigo.com con asunto "[ZALDITO MENOR — DERECHOS]" indicando:

• Su nombre completo y documento de identidad
• Email asociado a la cuenta
• Nombre del perfil del menor
• Acción solicitada (acceso/rectificación/eliminación/exportación)

Plazo de respuesta: 10 días hábiles para consultas, 15 días hábiles para reclamos.

6. Seguridad reforzada para datos de menores

Aplicamos medidas de seguridad reforzadas conforme a los lineamientos de la SIC (Circular Externa 02 de 2015):

6.1 Técnicas

• Cifrado en reposo y en tránsito de todos los datos del menor
• Cifrado adicional del PIN con bcrypt (irrecuperable incluso por nuestro equipo)
• Rate limiting en validación de PIN (5 intentos antes de bloqueo 15 minutos)
• Row Level Security (RLS) en base de datos: cada padre solo accede a sus propios hijos
• Logs de auditoría de accesos administrativos al perfil

6.2 Organizacionales

• Acceso restringido: solo el Operador (Cesar Beltran) tiene credenciales administrativas
• Política de mínima exposición: ningún empleado o colaborador externo accede a datos de menores sin autorización expresa del Operador y con un propósito documentado
• No backups en almacenamiento de terceros no controlados: los backups se mantienen exclusivamente en infraestructura Supabase

7. Funciones excluidas para proteger al menor

Por decisión de diseño, Zaldito no incluye y no incluirá:

• ❌ Chat o mensajería entre usuarios (niños o adultos)
• ❌ Foros públicos donde el menor pueda interactuar
• ❌ Subida de contenido del menor (fotos, videos, audios propios)
• ❌ Geolocalización del menor
• ❌ Publicidad de cualquier tipo (incluido publicidad nativa)
• ❌ Enlaces a redes sociales donde el menor pueda crear perfil
• ❌ Compras dentro de la app por parte del menor (las compras son exclusivamente decisión del padre)
• ❌ Pay-to-win en la mecánica del juego: los talentos virtuales se ganan, no se compran

8. Notificación de cambios

Cualquier cambio material a este aviso será comunicado:

• Por email al padre con cuenta activa al menos 30 días antes de la vigencia
• Banner dentro de la app durante 30 días
• Re-aceptación requerida si el cambio afecta el consentimiento original

9. Brechas de seguridad

En caso de una brecha de seguridad que pudiera comprometer datos personales de menores:

1. Notificación a la SIC dentro de las 15 horas hábiles siguientes al conocimiento del incidente (Decreto 1377, Art. 25).
2. Notificación a los padres afectados dentro de las 72 horas del descubrimiento.
3. Plan de mitigación: descripción de medidas tomadas para contener y remediar.
4. Auditoría posterior: revisión de causa raíz y refuerzo de controles.

10. Recursos para padres

Si tiene dudas sobre la privacidad de los datos de su hijo en Zaldito o sobre los derechos de los menores en internet:

En Colombia

• Superintendencia de Industria y Comercio (SIC) — Habeas Data

  • https://www.sic.gov.co
  • Línea de denuncia: (601) 587 0000

• Instituto Colombiano de Bienestar Familiar (ICBF) — Protección integral del menor

  • https://www.icbf.gov.co
  • Línea Nacional: 141

• MinTIC — Programa Internet Sano

  • https://www.mintic.gov.co

Recursos internacionales

• Common Sense Media (USA) — guías para padres sobre apps infantiles
• UNICEF — Children's Rights and Digital Environment

11. Contacto específico para asuntos de menores

Para cualquier consulta o reclamo relacionado específicamente con el tratamiento de datos de un menor de edad en Zaldito:

• Email: cesar.beltran@hangardecodigo.com
• Asunto sugerido: "[ZALDITO MENOR] Tu consulta aquí"
• Tiempo de respuesta: máximo 5 días hábiles (más rápido que el plazo legal general, dada la naturaleza sensible).

Este aviso forma parte integral de la Política de Privacidad y se considera complementario, no sustituto. La versión oficial está en https://[DECIDIR DOMINIO]/legal/children.