Política de Privacidad — Jessya

1. Introducción

Tu privacidad importa. Jessya (la "App") es una aplicación de oración católica desarrollada por Wycro Software Developers CIA. LTDA., con sede en Quito, Ecuador.

Esta Política de Privacidad explica:

• Qué información recopilamos
• Cómo la usamos
• Con quién la compartimos
• Cuánto tiempo la guardamos
• Tus derechos sobre tus datos

Aplica a: App móvil (iOS, Android), versión web (jessya.com), y API backend (api.jessya.com)

Contacto de privacidad: privacy@wycro.com

2. Información que Recopilamos

2.1 Información de Autenticación

Cuando creas tu cuenta o inicias sesión:

• Email (obligatorio) — para acceso a tu cuenta y comunicaciones
• Nombre completo o apodo (opcional) — mostrado en el perfil
• Foto de perfil (opcional) — cargada por ti
• Edad: los Términos de Servicio exigen una edad mínima de 13 años, pero hoy no recogemos ni verificamos tu fecha de nacimiento. Lo indicamos aquí en lugar de dar a entender un control que no existe. Si crees que una persona menor de la edad mínima tiene una cuenta, escríbenos a privacy@wycro.com y la eliminaremos

Proveedor: Clerk (clerk.com) — nosotros NO almacenamos contraseñas. Clerk maneja autenticación segura. Ver términos de Clerk: https://clerk.com/legal/privacy

2.2 Información de Oración y Actividad

Registramos tu uso de la App para personalizar tu experiencia:

• Historial de Oraciones: Qué oraciones rezaste, cuándo, duración
• Recordatorios Personalizados: Horarios que estableciste, preferencias
• Marcadores y Favoritos: Qué guardaste y cuándo
• Seguimiento de Progreso: Racha de días, oraciones completadas, logros

Propósito: Personalizar tu experiencia, sugerir oraciones relevantes, motivarte a mantener hábitos saludables.

Retención: Mientras tu cuenta esté activa + 90 días después de cancelación (para recuperación).

2.3 Comunidad de Oración (Intenciones)

Cuando publicas una intención de oración:

• Tu intención (texto que escribes)
• Categoría (familia, salud, trabajo, perdón, agradecimiento, etc.)
• Privacidad (pública o privada)
• Metadata: fecha, hora, ubicación aproximada (si permitiste)

Importante: Las intenciones públicas pueden ser vistas por cualquier usuario registrado. NO incluyas información personal sensible. Wycro puede usar intenciones agregadas (anónimas) para tendencias y estadísticas.

Publicaciones anónimas: Si eliges publicar de forma anónima, tu nombre y foto de perfil no se muestran a otros usuarios. Esto no significa que la publicación sea anónima para Wycro: nuestro equipo de moderación puede ver quién la publicó para poder investigar reportes y hacer cumplir estas políticas. Publicar de forma anónima tampoco te protege si tú mismo incluyes en el texto tu nombre, tu ubicación exacta u otros detalles que te identifiquen — evita incluir esa información.

Retención: Intenciones públicas se guardan indefinidamente. Intenciones privadas: 30 días después de eliminación.

2.4 Audio y Streaming

Cuando reproduces oraciones de audio registramos:

• Cuál audio jugaste (ID, nombre)
• Cuándo, cuántas veces, y duración de reproducción
• Ubicación del dispositivo (IP address) — para detectar acceso no autorizado

Proveedor: Google Cloud Storage (GCS) para archivos de audio

Retención de logs: 30 días para auditoría, luego borrados

2.5 Información Técnica del Dispositivo

Para garantizar compatibilidad y diagnosticar problemas registramos:

• Tipo de dispositivo (iPhone, iPad, Android phone, Android tablet, web)
• Sistema operativo y versión
• Versión de la App
• ID único del dispositivo (solo en nativo)
• Dirección IP
• Información de conectividad (WiFi, celular, offline)

Retención: 90 días

2.6 Información de Pago

Si compras características premium registramos:

• Plan que compraste
• Fecha de compra y monto pagado
• Estado de la suscripción
• Historial de transacciones

Importante: Wycro NO almacena números de tarjeta, CVV, ni datos completos de pago. Los procesadores (Apple, Google, Stripe) manejan toda la información sensible.

2.7 Donaciones

Si donas a Jessya registramos cantidad, fecha, intención de donación, y email.

Retención: Indefinida (requerido para registros impositivos ecuatorianos)

2.8 Información de Ubicación

En apps nativas: Solo si das permiso explícito. Registramos aproximadamente tu ubicación (ciudad, región) — NUNCA coordenadas exactas.

En web: No solicitamos. Podemos usar IP para estimar región general.

Retención: 90 días (luego se generaliza)

2.9 Información de Analítica

Para mejorar Jessya recopilamos eventos anónimos (pantallas visitadas, features usadas, errores).

Proveedores: Firebase Analytics (Google) y PostHog (posthog.com)

No incluye: Contenido específico de oraciones, intenciones personales, información personal

2.10 Reporte de Abuso y Moderación

Si reportas o publicas contenido que viola reglas, almacenamos el reporte y la decisión de moderación.

Retención: Indefinida (para patrones de abuso)

2.11 Uso de Inteligencia Artificial

Jessya utiliza modelos de inteligencia artificial (IA) de Google (Gemini) para funciones específicas del Servicio, incluyendo:

• Moderación de contenido: revisión automática de intenciones de oración y otro Contenido de Usuario para detectar spam, lenguaje abusivo, o contenido que viole nuestras reglas (ver Sección 3.3 de los Términos de Servicio).
• Traducción (función opcional, "Traducir esto") — cuando la activas, el texto que traduces se envía a la API de Gemini únicamente para generar la traducción; no se usa para entrenar modelos de terceros.
• Generación de contenido editorial — algunas reflexiones diarias, biografías de santos, y transcripciones de audio son redactadas o transcritas con asistencia de IA y luego revisadas por nuestro equipo antes de publicarse.

Decisiones automatizadas: la moderación por IA puede ocultar automáticamente una intención antes de revisión humana (por ejemplo, tras 3 o más reportes, o si tu puntaje de confianza es bajo — ver el Trust Score en nuestra guía de moderación). Esto puede tener un efecto significativo sobre la visibilidad de tu contenido. Tienes derecho a solicitar revisión humana de cualquier decisión de moderación automatizada escribiendo a abuse@wycro.com; responderemos dentro de los mismos plazos indicados en la Sección 5.2.

Los resultados generados por IA se proporcionan "tal cual" y no deben interpretarse como consejo médico, psicológico, legal, o doctrinal infalible — ver el descargo de responsabilidad en la Sección 5.1 de los Términos de Servicio.

3. Cumplimiento Legal

Jessya cumple con leyes de protección de datos en múltiples jurisdicciones:

• Ecuador: Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General. Tu consentimiento debe ser libre, específico, informado e inequívoco — no aceptamos consentimiento por omisión ni casillas premarcadas. Tienes derechos ARCO+P (Acceso, Rectificación, Cancelación, Oposición, Portabilidad) ante la SPDP (Superintendencia de Protección de Datos Personales).
• Unión Europea / EEE: GDPR — Tienes derechos completos, incluyendo reclamaciones ante tu autoridad local. Las creencias religiosas son un dato de "categoría especial" (Art. 9) y solo las procesamos con tu consentimiento explícito.
• Estados Unidos: leyes estatales integrales de privacidad, incluyendo la New Jersey Data Privacy Act (NJDPA) y la CCPA/CPRA de California, junto con leyes equivalentes en otros estados. En todas ellas, datos sensibles (incluyendo creencias religiosas, salud, orientación sexual, e identidad de género) requieren tu consentimiento explícito ("opt-in"), y puedes solicitar la exclusión ("opt-out") de venta de datos, publicidad dirigida, o perfilado.
• Brasil: LGPD (Lei Geral de Proteção de Dados) — hemos designado un Encargado de Protección de Datos (ver 5.4) conforme lo exige la ley para todo responsable de tratamiento, independientemente de su tamaño.
• Canadá: PIPEDA (federal), la Ley 25 de Quebec, y CASL (anti-spam). Procesamos tus datos con consentimiento significativo y proporcional a la sensibilidad de la información. Por la sensibilidad de los datos religiosos y de salud que trata Jessya, tratamos a Canadá como una jurisdicción con requisitos reforzados — ver la Sección 3.1, dedicada íntegramente a tus derechos si resides en Canadá.
• Menores: EE.UU. (COPPA, < 13), UE (GDPR, entre 13 y 16 años según el país), España (Ley Orgánica 3/2018, < 14), Ecuador (LOPDP, < 15 requiere representante legal), Brasil (LGPD, < 13 requiere consentimiento parental específico) — requieren consentimiento parental o de tutor legal. Jessya requiere una edad mínima de 13 años para crear una cuenta en cualquier jurisdicción (ver Sección 2.1).
• Colombia: Ley 1581 de 2012 (Habeas Data)
• México: LFPDPPP con Aviso de Privacidad
• España: Ley Orgánica 3/2018 (LOPDGDD) + GDPR

3.1 Canadá — PIPEDA, Ley 25 de Quebec, y CASL

Esta sección aplica si resides en Canadá. Complementa el resto de esta política; donde haya conflicto, para residentes en Canadá prevalece esta sección.

Quién es responsable y a quién escribir

El responsable del tratamiento es Wycro Software Developers CIA. LTDA. (Quito, Ecuador). Hemos designado a una persona responsable de la privacidad (Privacy Officer), que rinde cuentas del cumplimiento de esta política. Puedes contactarla en privacy@wycro.com; su nombre y cargo están disponibles a solicitud, conforme al Principio 1 (Responsabilidad) del Anexo 1 de PIPEDA.

Tus datos se almacenan en Estados Unidos

Aviso de transferencia transfronteriza. Toda la infraestructura de producción de Jessya — base de datos, almacenamiento de archivos y servidores de aplicación — opera en la región us-central1 (Iowa, Estados Unidos) de Google Cloud. Esto significa que tu información personal se almacena y procesa fuera de Canadá y, mientras esté allí, queda sujeta a la legislación estadounidense, incluida la posibilidad de acceso legal por parte de autoridades de ese país (por ejemplo, bajo la CLOUD Act), sin que un aviso previo a ti sea siempre posible.

PIPEDA permite esta transferencia para fines de procesamiento, pero mantenemos la responsabilidad sobre tus datos mientras estén en manos de nuestros procesadores, y usamos medios contractuales para exigirles un nivel de protección comparable. Te informamos de esta transferencia de forma expresa para que tu consentimiento sea significativo; si no estás de acuerdo con que tus datos se procesen en Estados Unidos, no uses Jessya.

Datos sensibles y consentimiento expreso

Usar Jessya revela que tienes interés en la fe católica, y tus intenciones de oración pueden revelar información sobre tu salud, tu familia, un duelo, o tus circunstancias personales. Bajo PIPEDA la forma del consentimiento debe ser proporcional a la sensibilidad de la información. Reconocemos abiertamente que nuestro mecanismo actual todavía no alcanza ese estándar: la aceptación se recoge en una sola casilla junto con los Términos, y no conservamos un registro de consentimiento. Tenemos pendiente construir un mecanismo específico y verificable para datos sensibles; mientras tanto, preferimos declarar el vacío antes que afirmar un control que no tenemos.

Riesgos que debes conocer antes de consentir (elemento exigido por la guía de consentimiento significativo de la OPC):

• El texto de tus intenciones se envía a un proveedor de inteligencia artificial de terceros (Google Gemini, en Estados Unidos) para moderación automática de contenido abusivo. No lo usamos para entrenar modelos.
• Si publicas una intención sin el modo anónimo, será visible para otras personas usuarias. El modo anónimo está activado por defecto.
• Tu historial de oración revela la frecuencia de tu práctica religiosa, un dato sensible por inferencia.

Tus derechos bajo PIPEDA

• Acceso: puedes solicitar acceso a tu información personal. Responderemos en un máximo de 30 días naturales (no hábiles), prorrogables una sola vez conforme a PIPEDA y notificándote la prórroga y su motivo. El acceso es gratuito o a costo mínimo.
• Relación de divulgaciones a terceros: además del acceso a tus datos, puedes pedirnos una relación de las terceras partes a las que hemos comunicado tu información personal. Este derecho es específico de PIPEDA y lo atendemos en el mismo plazo de 30 días.
• Corrección: puedes exigir que corrijamos información inexacta o incompleta.
• Retiro del consentimiento: puedes retirar tu consentimiento en cualquier momento, sujeto a restricciones legales o contractuales y con aviso razonable. Debes saber que retirar el consentimiento al tratamiento de datos religiosos y de oración hace imposible prestarte el servicio, por lo que equivale a cerrar tu cuenta.
• Eliminación: puedes borrar tu cuenta y tus datos desde jessya.com/data-deletion o desde la app.
• Portabilidad: puedes solicitar una copia exportable de tus datos.

Decisiones automatizadas (Ley 25 de Quebec, art. 12.1)

Jessya toma algunas decisiones de moderación de forma automatizada, y pueden afectarte de forma significativa. Si resides en Quebec, la Ley 25 te da derecho a saber cómo funcionan:

• Qué decisiones: ocultar automáticamente una intención tras acumular 3 o más reportes; someter tus publicaciones a moderación reforzada por IA; y, en casos persistentes, limitar el alcance de tu cuenta.
• Qué datos usamos: el número y tipo de reportes recibidos, el resultado del análisis automático del texto, y un puntaje de confianza (trust score, de 0 a 100) asociado a tu cuenta, que baja cuando tu contenido es marcado.
• Factor principal: un puntaje por debajo de 75 activa la moderación por IA de todas tus publicaciones.
• Tus derechos: puedes solicitar que te informemos del puntaje y de los factores aplicados a tu caso, presentar observaciones y pedir la revisión por una persona (no automatizada) de cualquier decisión, escribiendo a abuse@wycro.com.

Comunicaciones comerciales (CASL)

Los recordatorios de oración que tú configuras y los correos de servicio (por ejemplo, la confirmación de eliminación de cuenta) son mensajes solicitados por ti, no publicidad. Si alguna vez te enviamos un mensaje de carácter comercial, lo haremos únicamente con tu consentimiento conforme a la CASL, identificándonos con claridad e incluyendo siempre un mecanismo de baja que atenderemos dentro de los 10 días hábiles y que permanecerá válido al menos 60 días. Los recordatorios de oración los configuras y desactivas desde los ajustes de la app; para cualquier otro tipo de mensaje puedes darte de baja desde el propio mensaje o escribiendo a privacy@wycro.com.

Cómo reclamar

1. Escríbenos primero a privacy@wycro.com. Acusaremos recibo y te daremos una respuesta motivada.
2. Si no quedas conforme, puedes presentar una queja ante la Office of the Privacy Commissioner of Canada (OPC) — priv.gc.ca.
3. Si resides en Quebec, puedes acudir a la Commission d'accès à l'information du Québec (CAI) — cai.gouv.qc.ca.
4. En Alberta y Columbia Británica existen además comisionados provinciales de información y privacidad.

4. Cómo Compartimos Tus Datos

Compartimos datos mínimos con procesadores de datos confiables bajo contratos DPA:

Wycro NUNCA compartirá tus datos con publicistas, data brokers, o gobiernos (excepto orden judicial válida).

4.1 Transferencias Internacionales

La mayoría de nuestros procesadores (Clerk, Google Cloud/Firebase, Stripe) están ubicados o procesan datos en Estados Unidos — nuestra infraestructura principal corre en la región us-central1 de Google Cloud. Si accedes desde Ecuador, la UE, Brasil, Canadá, u otra jurisdicción con reglas de transferencia internacional, esto constituye una transferencia de datos fuera de tu país. Si resides en Canadá, lee el aviso específico de transferencia transfronteriza en la Sección 3.1.

Cada uno de estos procesadores mantiene su propio Acuerdo de Procesamiento de Datos (DPA) con cláusulas contractuales estándar u otro mecanismo de transferencia reconocido. Mantenemos un registro interno de estas transferencias conforme lo exige la normativa de la SPDP de Ecuador sobre transferencia nacional e internacional de datos personales.

5. Tus Derechos

5.1 Derechos Universales

• Acceso: Solicita una copia de todos tus datos (30 días)
• Corrección/Rectificación: Corrige datos incorrectos
• Eliminación: Solicita que borremos tus datos (excepto datos agregados anónimos o requeridos legalmente)
• Limitación: Restringe el procesamiento mientras resuelves
• Portabilidad: Recibe tus datos en formato estructurado (JSON, CSV)
• Oposición: NO proceses para ciertos fines (ej. recomendaciones personalizadas)

5.2 Cómo Solicitar

Para ejercer cualquier derecho:

1. Contacta: privacy@wycro.com
2. Incluye: Nombre, email registrado, derecho específico, prueba de identidad
3. Respuesta: En 30 días hábiles en general. Si nos escribes desde Canadá, respondemos en 30 días naturales (no hábiles), el plazo que exige PIPEDA, prorrogables una sola vez con aviso motivado. Si nos escribes desde Ecuador ejerciendo un derecho ARCO, o desde Nueva Jersey (EE.UU.) solicitando exclusión de venta de datos, publicidad dirigida, o perfilado, respondemos en 15 días hábiles (ampliable 10 días adicionales para solicitudes ARCO complejas, conforme a la LOPDP).
4. Costo: Gratis en la mayoría de casos

5.3 Autoridades Supervisoras

Si Wycro no responde adecuadamente, puedes contactar:

• Ecuador: SPDP — Superintendencia de Protección de Datos Personales (spdp.gob.ec)
• UE: Autoridad de protección de datos de tu país
• España: AEPD (aepd.es)
• Estados Unidos: la Fiscalía General (Attorney General) de tu estado — por ejemplo, la New Jersey Division of Consumer Affairs para reclamaciones bajo la NJDPA, o la California Privacy Protection Agency para la CCPA/CPRA
• Brasil: ANPD (Autoridade Nacional de Proteção de Dados)
• Canadá: OPC — Office of the Privacy Commissioner of Canada (priv.gc.ca). En Quebec, la Commission d'accès à l'information du Québec (cai.gouv.qc.ca). Ver el procedimiento de reclamación en la Sección 3.1.
• Colombia: SIC (Superintendencia de Industria y Comercio)
• México: INAI (gob.mx/inai)

5.4 Delegado de Protección de Datos (DPO)

Wycro mantiene una función de Delegado de Protección de Datos / Data Protection Officer responsable de supervisar el cumplimiento de esta Política y de responder a tus solicitudes de derechos, conforme lo exige la LGPD de Brasil (para todo responsable de tratamiento, sin importar su tamaño) y la LOPDP de Ecuador (para responsables en sectores regulados). Puedes contactar a esta función en privacy@wycro.com. El registro formal ante la SPDP (Ecuador) o la ANPD (Brasil), cuando aplique, se gestiona por separado con asesoría legal.

6. Retención de Datos

Guardamos datos solo mientras sea necesario:

Después de eliminación de cuenta, tus datos se borran en 90 días (excepto excepciones legales). Las intenciones públicas se hacen anónimas.

7. Seguridad

Protegemos tus datos con tecnología moderna:

• En Tránsito: HTTPS/TLS 1.2+ — toda comunicación encriptada
• En Reposo: Base de datos PostgreSQL encriptada, backups encriptados
• Acceso: Autenticación requerida, tokens válidos por 24 horas
• Monitoreo: Detección de acceso anómalo, alertas, auditorías regulares

Limitaciones: La seguridad nunca es perfecta. Si ocurre una brecha de seguridad que represente un riesgo para tus datos, te notificaremos dentro de las 48 horas siguientes a su confirmación.

Notificación a autoridades: también notificaremos a la autoridad de protección de datos competente (por ejemplo, la SPDP en Ecuador o la ANPD en Brasil) dentro de las 72 horas siguientes a la detección, conforme lo exija la ley aplicable en tu jurisdicción.

Canadá: bajo PIPEDA notificaremos a la OPC y a las personas afectadas tan pronto como sea factible cuando la brecha suponga un riesgo real de daño significativo, y también a cualquier organización que pueda ayudar a mitigar ese daño. Si resides en Quebec, notificaremos además a la CAI. Los plazos de 48 y 72 horas indicados arriba son un compromiso nuestro más estricto que el estándar canadiense, y los mantenemos.

8. Cookies y Tracking

8.1 App Móvil

• No usamos cookies tradicionales
• Firebase Analytics y PostHog recopilan eventos anónimos
• Pedimos permiso ANTES de usar IDFA/GAID
• No hacemos seguimiento para publicidad personalizada

8.2 Web

• session_token — para mantener sesión iniciada (requerida)
• preferences — guarda idioma, tema (opcional)
• Puedes rechazar cookies opcionales en el banner
• Respetamos "Do Not Track" en navegador

9. Cambios a Esta Política

Wycro puede actualizar esta política en cualquier momento.

Cambios materiales (nuevos datos recopilados, nuevos usos, nueva compartición) serán notificados por email, in-app, y publicados en jessya.com/privacy con 30 días antes de que entren en vigor.

Continuación = Aceptación: Si continúas usando Jessya después del aviso, aceptas los cambios.

10. Contacto

Preguntas de Privacidad: privacy@wycro.com — Respuesta esperada en 30 días hábiles

Solicitudes de Derechos (Acceso, Eliminación, etc.): privacy@wycro.com — Incluir nombre, email registrado, derecho específico, ID

Reportar Breach de Seguridad: security@wycro.com

11. Información de la Empresa

Responsable de Datos (Data Controller):

• Nombre: Wycro Software Developers CIA. LTDA.
• Jurisdicción: Ecuador
• Ubicación: Quito, Ecuador
• Email: privacy@wycro.com
• Delegado de Protección de Datos / DPO: privacy@wycro.com (ver 5.4)

12. Aceptación

Al usar Jessya, aceptas esta Política de Privacidad y consientes que procesemos tu información de cuenta y de uso según se describe. Eso incluye tus datos sensibles — intenciones de oración y datos de perfil que puedan revelar tus creencias religiosas (ver Sección 2). Como explicamos allí, hoy esa aceptación es general y no separada: no existe todavía una casilla específica para datos sensibles ni un registro de consentimiento con fecha y hora.

Si no estás de acuerdo, no uses Jessya.

Gracias por rezar con Jessya. Tu privacidad es sagrada.

Wycro Software Developers CIA. LTDA. — Quito, Ecuador

También consulta nuestros Términos de Servicio.