Política de privacidad

Pomlet es responsable de los datos que trata para operar el sitio web, las cuentas, las suscripciones, la seguridad, el soporte y el producto. Para cuestionarios, partidas en clase, formación de empleados, respuestas de participantes y contenido de organización, el cliente, anfitrión, escuela, empleador u organización también puede ser responsable de decidir qué datos se recopilan y por qué. En esos casos, Pomlet puede actuar como proveedor de servicios o encargado del tratamiento cuando la ley aplicable reconoce ese papel. Sus compromisos como encargado figuran en las Condiciones de servicio (sección 8a).

Las preguntas de privacidad y solicitudes de ejercicio de derechos pueden enviarse a support@pomlet.com.

Según cómo uses Pomlet, podemos recopilar:

• datos de cuenta: nombre, dirección de correo electrónico, hash de contraseña, estado de verificación de correo, método de inicio de sesión y plan;
• datos de autenticación y sesión: tokens de sesión, identificadores de dispositivo, identificadores de cuenta, tokens de restablecimiento y tokens de verificación;
• contenido de cuestionarios: títulos, descripciones, preguntas, respuestas, explicaciones, ajustes, temas, carpetas, imágenes y contenido de diapositivas;
• contenido de pizarras: nombres, fondos, notas, textos, formas, conectores, dibujos, posiciones, votos e instantáneas necesarias para la persistencia y sincronización;
• datos de colaboración y acceso: identificadores de pizarra y sesión, roles de propietario, administrador, editor o lector, enlaces de invitado, invitaciones por correo, presencia y contribuciones;
• datos de entrada de IA: instrucciones, indicaciones, URL de origen y texto extraído de documentos o PDF enviados para generación de cuestionarios con IA;
• datos de salida de IA: títulos, descripciones, preguntas, respuestas, explicaciones y palabras clave de búsqueda de imágenes generados;
• datos de organización: nombre de la organización, roles, miembros, invitaciones, asignaciones de licencias y estado de facturación;
• datos de afiliación: código y enlace de afiliado, clics y atribución de registros, estado y aceptación de condiciones de la cuenta de afiliado, país elegido para el alta en Stripe Connect, monedas, importes, estados y marcas de tiempo del registro de comisiones y pagos, e identificador y estado de la cuenta de Stripe Connect;
• datos de MCP: clientes OAuth autorizados, identificadores de cliente, permisos concedidos, organización autorizada, conexiones, marcas de tiempo y registros de acciones sobre objetos de Pomlet;
• datos de jugadores: PIN de partida, apodo, respuestas, puntuación, puesto, racha, equipo, estado de conexión y progreso de partida;
• informes: resúmenes de sesión, nombres de jugadores, estadísticas de preguntas, distribuciones de respuestas y puntuaciones;
• datos de facturación: identificadores de cliente, identificadores de suscripción, plan, número de licencias, estado de pago, estado de factura y eventos del portal de facturación procedentes de nuestro proveedor de pagos;
• comunicaciones: correos electrónicos, solicitudes de soporte, notificaciones legales, comentarios y metadatos relacionados;
• datos técnicos: dirección IP, metadatos de solicitud, información de navegador/dispositivo, marcas de tiempo, registros de seguridad, registros de limitación de frecuencia e información de errores.

Pomlet no almacena intencionadamente números completos de tarjetas de pago. Los datos de tarjeta los gestiona el proveedor de pagos. Para la generación con IA desde PDF, el navegador extrae el texto del PDF. Pomlet prevé transmitir y procesar el texto extraído, no almacenar el archivo PDF original como una subida del lado del servidor para esa función.

Usamos los datos para:

• proporcionar, mantener, proteger y mejorar Pomlet;
• crear cuentas, verificar correos electrónicos, autenticar usuarios y prevenir abusos;
• almacenar, editar, organizar, lanzar, compartir, insertar y mostrar sesiones, cuestionarios y pizarras;
• sincronizar la colaboración en tiempo real, aplicar roles y accesos, guardar contribuciones y crear informes relacionados;
• operar sesiones en directo y autónomas, modos equipos y eliminación, clasificaciones, códigos QR e informes;
• procesar solicitudes de generación de cuestionarios con IA y devolver borradores generados;
• gestionar organizaciones, miembros, roles, invitaciones y licencias;
• procesar suscripciones, renovaciones, prorrateos, cancelaciones, facturas y soporte de facturación;
• operar el programa de afiliados, atribuir registros y suscripciones, calcular, validar y pagar comisiones, conciliar operaciones y prevenir el fraude;
• enviar correos electrónicos transaccionales, avisos de cuenta, mensajes de seguridad, invitaciones y confirmaciones de facturación;
• supervisar la salud del servicio, aplicar límites, detectar fraude, prevenir ataques y cumplir la ley;
• responder a solicitudes de soporte, privacidad, legales y de abuso.

Cuando se apliquen leyes como el RGPD, el RGPD del Reino Unido, la LPD suiza o normas similares, nos apoyamos en bases legales que pueden incluir la ejecución de un contrato, intereses legítimos, consentimiento, cumplimiento de obligaciones legales y, cuando proceda, las instrucciones de un cliente que actúa como responsable del tratamiento.

Ejemplos: el tratamiento de cuentas y suscripciones suele ser necesario para ejecutar un contrato; los registros de seguridad y la prevención de abusos se basan en intereses legítimos y obligaciones legales; el marketing o las cookies opcionales, si se introducen, se basarían en el consentimiento cuando sea requerido.

Si usas la generación con IA integrada en la aplicación Pomlet, indicas a Pomlet que envíe las instrucciones, indicaciones, materiales de origen y textos extraídos pertinentes a OpenRouter, que enruta la solicitud a endpoints de modelos de terceros. Esos proveedores procesan datos bajo sus propios sistemas, políticas y términos contractuales.

Pomlet no controla la conservación independiente, supervisión de abusos, seguridad ni decisiones de política de los proveedores de IA. Eres responsable de asegurarte de que tienes derecho a enviar el contenido a un proveedor de IA y de que el contenido es adecuado para tratamiento con IA. No envíes secretos comerciales, documentos confidenciales, datos personales, expedientes de estudiantes, datos de salud, datos financieros, datos regulados u otra información sensible salvo que estés autorizado y aceptes el riesgo de tratamiento por terceros.

En la fecha indicada arriba, Pomlet configura las llamadas a OpenRouter para usar solo endpoints declarados con Zero Data Retention (ZDR), de modo que las instrucciones y los resultados no se conserven tras el tratamiento en esos endpoints. Las políticas de proveedores pueden cambiar; la documentación de OpenRouter sobre ZDR está disponible en la documentación Zero Data Retention de OpenRouter.

Los resultados de IA se almacenan en Pomlet como contenido de cuestionario hasta que los elimines o se elimine tu cuenta. El texto de origen usado para la generación con IA no se almacena intencionadamente como documento de origen separado después de la generación, pero puede aparecer en preguntas, respuestas, explicaciones, registros, sistemas de proveedores o expedientes de soporte/seguridad.

Proveedores de IA utilizados: a la fecha indicada, OpenRouter envía las solicitudes a modelos de OpenAI alojados en Microsoft Azure y, como alternativa, a modelos Google Gemini, usando solo endpoints que declaran retención cero de datos (Zero Data Retention).

Muro de ideas: durante una sesión, la pregunta y el texto de las ideas enviadas por los participantes siguen el mismo circuito para agrupar por tema las ideas parecidas. No se envían los apodos de los participantes.

Antes de conectar un asistente de IA por MCP, la pantalla de autorización de Pomlet muestra la dirección de correo electrónico de la cuenta conectada, el espacio afectado (tu espacio personal y, cuando corresponda, la organización), los permisos solicitados y el dominio al que se devuelve la conexión. Al conectar un asistente a Pomlet, Pomlet trata los identificadores del cliente OAuth, permisos, tokens de conexión, organización autorizada y metadatos técnicos necesarios para la autenticación y seguridad. Para ejecutar una solicitud, Pomlet recibe los argumentos enviados a las herramientas: por ejemplo, un identificador de cuestionario, el texto de una pregunta, respuestas, un cambio en una pizarra o una URL de contenido multimedia. Pomlet no recupera automáticamente todo el historial de tu conversación. Solo recibe texto de la conversación si el cliente lo incluye en los argumentos enviados.

A cambio, el cliente y, cuando corresponda, su proveedor reciben los resultados necesarios para la herramienta solicitada, dentro de los permisos concedidos: contexto y capacidades de la cuenta, listas de contenidos accesibles, preguntas y respuestas correctas, explicaciones, contenidos de pizarras, metadatos y enlaces multimedia, enlaces de Pomlet, o PIN y enlaces de participación al crear una sesión. Estos resultados pueden aparecer en la conversación y ser tratados por el modelo del asistente. Las herramientas MCP no permiten acceder a informes individuales de participantes; no obstante, los contenidos que incluyas en un cuestionario o pizarra pueden contener datos personales.

El panel interactivo muestra datos seleccionados y contenido multimedia autorizado en la interfaz del asistente. Las respuestas introducidas en esta vista previa son una simulación local: no se guardan como respuestas de participantes ni modifican el cuestionario. Puede enviarse al cliente contexto sobre el contenido seleccionado para continuar tu solicitud; las modificaciones del cuestionario se realizan por conversación o en el editor completo de Pomlet. Al cargar un panel, un archivo multimedia o un enlace de Pomlet, también pueden transmitirse la dirección IP y los metadatos de la solicitud a nuestra infraestructura de alojamiento. Abrir un enlace a la aplicación Pomlet te lleva a las interfaces y controles de acceso del sitio.

Las solicitudes MCP utilizan el modelo de tu asistente: Pomlet no las envía a OpenRouter ni descuenta créditos de generación con IA de Pomlet. La configuración Zero Data Retention descrita para la generación integrada en Pomlet no se aplica a conversaciones, resultados de herramientas u otros datos conservados por ChatGPT, Claude u otro cliente. Sus reglas de conservación, mejora de modelos y eliminación dependen de su política, tu plan, tus ajustes y, cuando corresponda, el contrato de tu organización.

Pomlet utiliza estos intercambios para ejecutar la acción solicitada, aplicar permisos y límites, conservar tus contenidos y proteger el servicio. Pomlet no vende datos de las herramientas MCP ni los utiliza para publicidad dirigida o para entrenar modelos propios. Activar el conector no envía por sí mismo toda tu biblioteca al asistente: las herramientas invocadas devuelven los contenidos. Limita los permisos y datos transmitidos a lo necesario; evita incluir datos de participantes u otras personas sin una base legal e información adecuadas.

Puedes consultar y revocar conexiones en cualquier momento desde la ventana MCP de tu cuenta de Pomlet. La revocación bloquea futuros accesos de esa conexión; no elimina contenidos ya guardados en Pomlet ni conversaciones y copias conservadas por el proveedor del asistente. Eliminar tu cuenta de Pomlet revoca sus conexiones y aplica las reglas de eliminación indicadas abajo. Para las copias ya transmitidas, utiliza también los controles y procedimientos de eliminación del servicio externo. Puedes enviar solicitudes sobre el tratamiento de Pomlet a support@pomlet.com.

Las solicitudes de soporte, comentarios y facturación incluyen tus datos de contacto, cuenta o contrato, mensaje y fechas de seguimiento. El personal autorizado las tramita con proveedores de mensajería y asistencia para responder, hacer seguimiento y conservar pruebas. Los mensajes transaccionales pueden conservar intentos e identificadores del proveedor; su aceptación no demuestra por sí sola la recepción o lectura. Los registros necesarios para litigios u obligaciones legales pueden conservarse tras eliminar la cuenta durante el tiempo necesario. Evita incluir datos sensibles innecesarios.

Podemos compartir datos con:

• proveedores de servicios que nos ayudan a alojar, procesar, proteger, enviar correos, facturar, dar soporte u operar Pomlet;
• proveedores de IA cuando usas funciones de generación con IA;
• proveedores de pago para pago, suscripciones, facturas, prevención de fraude y soporte de facturación;
• proveedores de imágenes cuando buscas o importas imágenes públicas, o cuando se usan palabras clave de portada generadas por IA para encontrar imágenes de portada;
• KLIPY cuando buscas GIF: se le envían la consulta, el idioma y un identificador de cliente seudónimo; como la búsqueda se realiza directamente desde tu navegador, KLIPY también recibe directamente tu dirección IP y los metadatos técnicos de la solicitud y del navegador;
• administradores y miembros de organización según su rol en el espacio de trabajo y sus derechos de acceso;
• participantes y colaboradores según el modo de sesión, el rol de pizarra y la configuración;
• cualquier persona que pueda acceder a una integración, PIN público, código QR, enlace de invitado de pizarra o página compartida que publiques;
• fuerzas de seguridad, reguladores, tribunales, asesores u otras partes cuando lo exija la ley o sea necesario para proteger derechos, seguridad e integridad;
• sucesores en relación con una fusión, adquisición, financiación, reorganización o venta de activos.

Dónde se almacenan los datos y quién los trata. En la fecha indicada arriba, Pomlet funciona sobre Cloudflare Workers. Los datos relacionales principales (cuentas, cuestionarios, informes, organizaciones, atribuciones y registro de afiliación e instantáneas persistentes) se conservan en Cloudflare D1; las imágenes y otros archivos multimedia subidos, en Cloudflare R2; y el estado activo de partidas y pizarras colaborativas, en Cloudflare Durable Objects. Cloudflare también puede tratar registros técnicos mediante la observabilidad de Workers y, si está habilitado, datos de uso mediante Cloudflare Web Analytics.

Según las funciones que utilices, Resend trata el envío de correos, Stripe los pagos, suscripciones y cuentas de cobro de Stripe Connect, Google el inicio de sesión con Google, OpenRouter (y los endpoints de modelos a los que enruta) las solicitudes de generación con IA, Pixabay las búsquedas e importaciones de imágenes y KLIPY las búsquedas de GIF realizadas directamente desde tu navegador. Los datos de tarjeta se introducen y tratan en Stripe y Pomlet no los almacena. Stripe también trata los datos bancarios, documentos de identidad y verificaciones de afiliados; Pomlet solo conserva el identificador y estado de la cuenta conectada. Estos proveedores pueden operar infraestructura en varios países; por ello Pomlet no promete un único país de almacenamiento salvo acuerdo contractual separado. Puedes escribir a support@pomlet.com para solicitar la lista actual de proveedores y la información de ubicación disponible.

GIF: cuando un cuestionario o una pizarra contiene un GIF de KLIPY, los dispositivos de los participantes lo cargan directamente desde los servidores de KLIPY, que reciben su dirección IP y metadatos técnicos del navegador.

Notificaciones internas: Pomlet recibe notificaciones internas en Telegram. Indican el nombre de pila (o, en su defecto, la dirección de correo electrónico) de las cuentas nuevas, precisando si el registro se hizo con Google, y de los compradores; para la facturación, el importe, el número de licencias, las fechas y el estado del pago; en los demás casos, identificadores técnicos seudonimizados (cuenta, organización, pago, comentario sobre el producto) y alertas técnicas o de seguridad.

Los correos enviados a una dirección @pomlet.com se encaminan mediante Cloudflare Email Routing al buzón del equipo de Pomlet.

Principales proveedores y países

Conservamos los datos durante el tiempo razonablemente necesario para los fines descritos en esta Política, incluido proporcionar el servicio, mantener cuentas, cumplir la ley, resolver disputas, hacer cumplir acuerdos, mantener la seguridad y conservar registros comerciales.

• Los datos de cuenta se conservan generalmente mientras la cuenta exista.
• Las sesiones expiran automáticamente según su periodo de validez; las sesiones y dispositivos revocados se purgan como máximo después de 30 días.
• Las sesiones, cuestionarios, pizarras, imágenes y contenidos de organización se conservan hasta que los elimine un usuario autorizado o el proceso de eliminación de cuenta.
• Los informes de sesiones y pizarras se conservan hasta que los elimine un usuario autorizado o el proceso de eliminación de cuenta.
• Los registros de facturación pueden conservarse según sea necesario para contabilidad, impuestos, prevención de fraude y cumplimiento legal.
• Los datos de atribución, cuenta de afiliado, comisiones, pagos y auditoría se conservan mientras sea necesario para administrar y conciliar el programa, resolver disputas, prevenir el fraude y cumplir obligaciones contables, fiscales y legales. Cuando siga siendo necesario conservarlos tras eliminar una cuenta, los identificadores de la cuenta pueden desvincularse de esos registros.
• Los registros de seguridad de la base operativa de Pomlet y el registro técnico de webhooks se purgan mediante la limpieza diaria después de 30 días; los contadores de frecuencia se eliminan al vencer su ventana.
• Las autorizaciones MCP se conservan hasta su revocación, caducidad o eliminación de la cuenta. Las respuestas almacenadas para evitar acciones duplicadas caducan a las 24 horas; los registros de acciones MCP, a los 90 días. Se eliminan mediante la limpieza diaria o la eliminación de la cuenta. Por ello, una conexión revocada puede seguir apareciendo en esos registros durante su plazo de conservación.
• Cuando una acción tiene un resultado incierto, puede conservarse una reserva técnica sin copia del contenido de la solicitud hasta su resolución o la eliminación de la cuenta, para evitar repetir la acción. Contiene referencias técnicas y una huella de la solicitud, no el texto del cuestionario ni de la conversación. Las huellas de revocación con hash y su fecha se conservan sin caducidad, incluso después de eliminar la cuenta, para que un token antiguo o una autorización revocada no vuelvan a ser utilizables. No contienen contraseñas, tokens en texto claro ni contenidos de cuestionarios.
• Estos plazos se aplican a los datos operativos MCP almacenados por Pomlet. Los registros de infraestructura y las copias conservadas por el proveedor del asistente siguen sus propios ajustes y reglas de conservación; los plazos de 24 horas y 90 días no se les aplican automáticamente.
• Los comentarios sobre el producto enviados desde la aplicación se conservan mientras exista la cuenta y se eliminan con ella; también se envía una copia por correo al soporte.
• El registro de las acciones del equipo de Pomlet sobre una cuenta (por ejemplo, conceder Pro de cortesía) se conserva por seguridad y como prueba de esas acciones. Mantiene la dirección de correo afectada tras eliminar la cuenta; por ahora no se aplica ningún plazo automático.
• Una cuenta sin ningún inicio de sesión durante 24 meses recibe un aviso por correo electrónico. Si nadie inicia sesión en los 30 días siguientes a ese correo, la cuenta se elimina con sus datos personales; el contenido creado en una organización se queda en la organización. Basta con iniciar sesión una vez para conservar la cuenta. No se aplica a las cuentas con una suscripción o un Pro de cortesía en curso, ni al propietario de una organización que tenga otros miembros o una suscripción.
• Una cuenta cuya dirección de correo electrónico nunca se ha confirmado se elimina a los 30 días, salvo que ya esté vinculada a una organización, una invitación, una suscripción o un Pro de cortesía.
• Las imágenes subidas que no se guardan se eliminan después de unas 24 horas. Los estados de partidas abandonadas se borran como máximo después de 48 horas; una imagen retirada puede permanecer hasta 72 horas si una partida activa todavía la utiliza y hasta que se ejecute la limpieza diaria.

Pomlet y sus proveedores pueden tratar datos en países distintos de aquel en el que vives. Esos países pueden tener leyes de protección de datos diferentes. Cuando sea requerido, usamos garantías adecuadas como compromisos contractuales, mecanismos de transferencia o términos de proveedores.

El uso de ChatGPT o Claude puede transferir resultados de herramientas a Estados Unidos, entre otros lugares, según la información publicada por OpenAI y Anthropic. Estos proveedores describen las decisiones de adecuación y cláusulas contractuales tipo utilizadas para las transferencias correspondientes. Cloudflare también describe tratamientos internacionales y el uso del marco de privacidad de datos Suiza–Estados Unidos o de cláusulas contractuales según la transferencia. Esto no supone una promesa de almacenamiento exclusivo en Suiza; los demás lugares dependen del servicio y los ajustes aplicables.

Información oficial sobre tratamiento, transferencias y controles de privacidad: OpenAI, Anthropic, Cloudflare.

Según tu ubicación y rol, puedes tener derechos a acceder, corregir, eliminar, limitar, oponerte al tratamiento o portar datos personales, retirar el consentimiento y presentar una reclamación ante una autoridad de control. También puedes tener derecho a oponerte a determinados tratamientos.

Para ejercer derechos, contacta con support@pomlet.com. Podemos necesitar verificar tu identidad y podemos dirigir solicitudes de jugadores, estudiantes o empleados al anfitrión, escuela, empleador u organización correspondiente cuando controlen los datos.

Pomlet no está destinado a permitir que menores creen cuentas sin autorización adecuada. Los jugadores pueden unirse a partidas sin cuentas, pero los anfitriones deben evitar recopilar información personal innecesaria de menores. Las escuelas, docentes y organizaciones son responsables de obtener los avisos, consentimientos, aprobaciones o condiciones de tratamiento de datos necesarios antes de usar Pomlet con menores o estudiantes. Los compromisos de Pomlet sobre los datos de los participantes figuran en la sección 8a de las condiciones de uso.

Usamos medidas técnicas y organizativas razonables diseñadas para proteger los datos. Ningún servicio de internet es completamente seguro. Eres responsable de usar contraseñas fuertes, limitar quién recibe PIN de partidas e integraciones, gestionar roles de organización y evitar contenido sensible innecesario.

Pomlet usa cookies necesarias y almacenamiento del navegador para mantener a los usuarios conectados, recordar nombres de jugadores, reconectar a un invitado con una pizarra, conservar rutas de regreso de demostración y operar el servicio. Una cookie funcional también recuerda la atribución cuando un visitante abre un enlace de afiliado válido. Consulta la Política de cookies para más detalles.

Podemos actualizar esta Política de privacidad cuando cambien el producto, los proveedores, las leyes o las prácticas. La fecha de actualización anterior muestra cuándo se modificó la página por última vez. El uso continuado de Pomlet después de una actualización significa que se aplica la Política actualizada.