Zaldito← Volver al inicio

Política de Privacidad de Zaldito

Versión: 0.1 (BORRADOR — pendiente revisión legal) Última actualización: 2026-05-12 Vigencia desde: [DECIDIR fecha de publicación]

1. Quiénes somos

Zaldito es una aplicación de educación financiera bíblica para niños y adolescentes (5 a 17 años), desarrollada por Cesar Beltran Garzón bajo el nombre comercial Hangar de Código (estudio de software en proceso de constitución legal como entidad jurídica en Colombia).

Cuando Hangar de Código complete su constitución como persona jurídica (Sociedad por Acciones Simplificada o equivalente), esta política será actualizada para reflejar a la empresa como Responsable del Tratamiento, con su NIT y representante legal.

Esta política se rige por:

  • Ley Estatutaria 1581 de 2012 (Colombia) — Protección de Datos Personales
  • Decreto 1377 de 2013 (Colombia) — Reglamentación de la Ley 1581
  • Circular Externa 02 de 2015 de la Superintendencia de Industria y Comercio (SIC) — Tratamiento de datos de niños, niñas y adolescentes

Cuando Zaldito esté disponible en otros países de Latinoamérica, esta política se complementará con las regulaciones aplicables (LGPD Brasil, LFPDPPP México, etc.).

3. Qué datos recolectamos

  • Email: para autenticación, comunicación operativa, recuperación de cuenta.
  • Nombre: solo si decide proporcionarlo al crear cuenta (opcional en algunos flujos de OAuth).
  • Datos de OAuth: si elige iniciar sesión con Google, recibimos el email y nombre asociado a esa cuenta; no recibimos ni accedemos a sus contactos, calendario, ni otra información de Google.
  • Datos de pago: si activa una suscripción, los datos financieros (tarjeta de crédito, datos bancarios) son procesados directamente por nuestro procesador de pagos [DECIDIR — Polar/Stripe/otro]. Zaldito no almacena datos de tarjetas de crédito.

3.2 Datos del niño o adolescente (perfil hijo)

Los siguientes datos son ingresados por el padre o tutor legal, no directamente por el menor:

  • Nombre real del niño: usado únicamente para personalización dentro de la app (saludos, dashboard del padre).
  • Nombre del personaje (alias): opcional. Si se proporciona, es lo que el niño ve usar dentro de la app en lugar de su nombre real.
  • Edad y nivel de edad: para adaptar el contenido pedagógico al rango etario apropiado (5-7, 8-10, 11-13, 14-17).
  • PIN de 4 dígitos: para que el niño acceda a su perfil. Se almacena con cifrado bcrypt — no podemos recuperarlo si se olvida; debe ser restablecido por el padre.
  • Configuración del avatar: elecciones visuales (peinado, color de ropa, mascota bíblica, etc.).
  • Progreso pedagógico: lecciones completadas, talentos ganados, respuestas a actividades, racha de días, coleccionables obtenidos.

3.3 Lo que NO recolectamos del niño

  • Email del niño
  • Número de teléfono del niño o cualquier dato de contacto
  • Geolocalización
  • Datos biométricos (rostro, voz, huella digital)
  • Información de navegación fuera de Zaldito
  • Comportamiento para perfiles publicitarios

3.4 Datos técnicos mínimos

  • Logs de errores: si la app falla, registramos errores técnicos para corregirlos. Estos logs no contienen información personal identificable del niño.
  • Cookies funcionales: para mantener la sesión iniciada. Ver Cookie Policy.

4. Para qué usamos los datos

Los datos recolectados se usan exclusivamente para:

  1. Operar la app: permitir que el niño juegue, guardar su progreso, mostrar contenido adaptado a su edad.
  2. Comunicación con el padre: notificaciones operativas (creación de cuenta, recuperación de contraseña, cambios de la app, vencimiento de suscripción).
  3. Facturación: cobrar la suscripción si el padre la contrata.
  4. Mejora del producto: análisis agregado de qué actividades funcionan mejor pedagógicamente. Sin perfiles individuales y sin compartir con terceros.
  5. Cumplimiento legal: responder a obligaciones legales (autoridades, requerimientos judiciales) cuando aplique.

5. Lo que NO hacemos con los datos

  • No vendemos datos personales a terceros, ni los nuestros ni los de los niños.
  • No mostramos publicidad dentro de la app. Cero anuncios.
  • No usamos píxeles publicitarios (Facebook, Google Ads, etc.).
  • No creamos perfiles de comportamiento de los niños para compartir con anunciantes.
  • No permitimos chat o contacto entre niños o con desconocidos dentro de la app.
  • No exponemos perfiles de niños públicamente.

6. Quién accede a los datos (procesadores externos)

Para operar Zaldito usamos los siguientes vendors externos. Ver Data Processing Disclosure para detalle completo:

  • Vercel Inc. (USA) — hosting de la aplicación
  • Supabase Inc. (USA) — base de datos y autenticación
  • Google LLC (USA) — únicamente si el padre elige autenticarse con Google OAuth
  • [DECIDIR — procesador de pagos] — únicamente si el padre activa suscripción

Estos procesadores actúan bajo nuestras instrucciones, con contratos que exigen confidencialidad y uso limitado al servicio que prestan. Ninguno tiene autorización para usar los datos de los niños con fines publicitarios o de perfilamiento.

7. Transferencia internacional de datos

Como Vercel y Supabase tienen infraestructura en Estados Unidos, los datos personales se transfieren y almacenan fuera de Colombia. Esta transferencia es necesaria para la prestación del servicio.

Bajo la Ley 1581 (Art. 26) y el Decreto 1377, esta transferencia está permitida porque:

  • Los procesadores cumplen estándares internacionales de protección de datos
  • Existen acuerdos contractuales que garantizan tratamiento adecuado
  • El titular (padre) otorga consentimiento explícito al aceptar esta política

8. Tiempo de retención

  • Mientras la cuenta esté activa: conservamos los datos para operar el servicio.
  • Después de eliminación voluntaria: 30 días de gracia (para permitir recuperación en caso de error). Pasados los 30 días, los datos personales del niño son borrados de forma permanente. Mantenemos solo lo mínimo exigido por ley (ej: registros contables si hubo pago, por el tiempo que la ley colombiana exija — generalmente 5 años para temas tributarios).
  • Cuentas inactivas por más de 24 meses: se notifica al padre y, si no responde en 90 días, se elimina la cuenta automáticamente.

9. Sus derechos como titular de datos (Habeas Data)

Como padre o tutor legal del niño, tiene los siguientes derechos sobre sus datos y los de su hijo (Art. 8, Ley 1581):

  1. Conocer qué datos tenemos sobre usted y su hijo (derecho de acceso).
  2. Solicitar prueba del consentimiento que otorgó.
  3. Ser informado sobre cómo se usan sus datos.
  4. Actualizar o corregir datos inexactos.
  5. Solicitar prueba de inscripción en el Registro Nacional de Bases de Datos cuando aplique.
  6. Presentar queja ante la Superintendencia de Industria y Comercio (SIC).
  7. Revocar el consentimiento y/o solicitar la supresión de los datos cuando lo desee.
  8. Acceso gratuito a sus datos al menos una vez cada mes calendario.

Cómo ejercer estos derechos

Envíe un correo a cesar.beltran@hangardecodigo.com con:

  • Nombre completo y documento de identidad del padre
  • Email asociado a la cuenta
  • Solicitud específica (acceso, rectificación, eliminación, etc.)
  • Si la solicitud es sobre datos del niño: nombre del perfil del niño y relación parental

Tiempo de respuesta: máximo 10 días hábiles para consultas (Art. 14 Ley 1581), 15 días hábiles para reclamos (Art. 15 Ley 1581).

10. Datos de niños — Protección especial

Como Zaldito está dirigida a niños y adolescentes:

  • No recolectamos datos directamente del niño sin participación del padre o tutor legal.
  • El consentimiento parental es requerido antes de crear el perfil del niño (ver Parental Consent Form).
  • El padre conserva control total del perfil del niño: puede editarlo, eliminarlo, exportarlo en cualquier momento.
  • No utilizamos datos de niños para marketing, publicidad, o creación de perfiles.
  • No facilitamos contacto entre niños o con personas desconocidas.

Más detalles en Children's Privacy Notice.

11. Seguridad de los datos

Implementamos medidas razonables para proteger los datos:

  • Cifrado en tránsito: todas las comunicaciones usan HTTPS (TLS 1.2+).
  • Cifrado de PINs: los PINs de los niños se almacenan con hash bcrypt (no recuperables).
  • Rate limiting: límite de 5 intentos de PIN fallidos antes de bloqueo temporal de 15 minutos.
  • Row Level Security (RLS) en la base de datos: cada padre solo puede acceder a los perfiles de sus propios hijos.
  • Auditorías periódicas de seguridad de la base de datos vía Supabase Advisors.

A pesar de estas medidas, ningún sistema informático es 100% impenetrable. En caso de una brecha de seguridad que comprometa datos personales, notificaremos a los usuarios afectados en un plazo no mayor a 72 horas, conforme a las buenas prácticas internacionales.

12. Cambios a esta política

Esta política puede modificarse periódicamente. Cuando haya cambios materiales:

  • Notificaremos por email a todos los padres con cuenta activa.
  • Mostraremos un banner dentro de la app durante al menos 30 días.
  • Pediremos re-aceptación si el cambio afecta el consentimiento original (ej: nuevos procesadores, nuevos usos de datos).

13. Contacto

Para cualquier consulta, reclamo o ejercicio de derechos relacionados con datos personales:

Para reclamaciones que no resolvamos a su satisfacción, puede presentar queja ante:

Superintendencia de Industria y Comercio (SIC) — Colombia

Este documento es la versión más actualizada de nuestra Política de Privacidad. Cualquier versión impresa o copiada se considera referencia; la versión oficial es la publicada en https://[DECIDIR DOMINIO]/legal/privacy.