Política de privacidad

Esta política describe cómo BookGPT (en adelante, «la plataforma») trata tus datos personales cuando creas una cuenta, escribes o votas opciones, lees libros generados o usas cualquier otra funcionalidad. Está redactada conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Si algo no queda claro o quieres ejercer un derecho, escríbenos a privacy@sebasolla.es.

1. Responsable del tratamiento

El responsable del tratamiento es Sebastián Sollazzo, persona física que opera BookGPT con carácter no comercial (proyecto personal sin actividad económica ni publicidad). Canal de contacto único para cualquier cuestión de protección de datos: privacy@sebasolla.es. No existe Delegado de Protección de Datos (DPO) — no concurre ninguno de los supuestos del art. 37.1 del RGPD que lo obligue; las solicitudes se atienden directamente desde esa dirección.

Las comunicaciones formales (ejercicio de derechos, notificaciones de brecha, requerimientos de autoridad de control) deben dirigirse a la dirección de correo indicada. No se publica dirección postal ni teléfono personal por motivos de protección del propio responsable; estos datos se facilitarán únicamente a la AEPD u otra autoridad competente cuando lo requieran formalmente.

2. Qué datos recogemos

Tratamos únicamente los datos necesarios para que la plataforma funcione. Listado exhaustivo:

• Datos de cuenta (vía Google OAuth): dirección de correo electrónico, nombre mostrado y URL de foto de perfil que Google nos proporciona en el momento del registro. No recibimos tu contraseña de Google.
• Datos de perfil: tu pen name (apodo público), avatar editable, biografía corta (campo about) y el flag show real name que controla si tu nombre OAuth se muestra junto al pen name. Por defecto se derivan de tu cuenta de Google.
• Datos de cuenta interna: rol de administrador (is_admin, normalmente false) y flag is_deleted que indica si la cuenta está anonimizada.
• Datos de reputación computada: rank (escalafón: Bronce, Plata, Oro, etc.) y score numérico, ambos calculados a partir de tus contribuciones (opciones aprobadas, likes recibidos, valoraciones emitidas). Son públicos junto al pen name.
• Contenido público que generas: libros que creas (título, sinopsis, géneros, portada), opciones escritas en las páginas de cualquier libro, valoraciones de 1–5 estrellas a libros que has leído, y los votos like/hate que emites sobre opciones de otros usuarios. Cada elemento queda atribuido públicamente a tu pen name junto con la marca de tiempo de creación.
• Datos de lectura y navegación dentro de los libros: progreso de lectura por libro (página actual + camino completo de opciones elegidas hasta ese punto + ruta de retroceso disponible), historial de páginas vistas por libro con su marca de tiempo. Estos datos NO son públicos: solo son accesibles por ti y, agregados sin identificación, por el responsable para métricas internas.
• Registro de consentimiento (RGPD art. 7): versión aceptada, fecha y hora de aceptación, dirección IP y user-agent del navegador en el momento del registro. En el momento del borrado de cuenta se anulan IP y user-agent; se conservan versión + fecha como prueba de consentimiento previo.
• Registro de auditoría GDPR (gdpr_audit_logs): una fila append-only por cada evento relevante (consentimiento aceptado, consentimiento retirado, datos exportados, cuenta borrada). Almacena la acción, el user_id afectado, el actor (cuando un admin actúa sobre otra cuenta), la marca de tiempo, la IP del solicitante en el momento del evento, y metadatos del evento. La IP se anula sobre eventos pasados cuando borras tu cuenta.
• Datos técnicos operativos: logs de error del servidor, métricas agregadas de uso (sin identificación individual) y eventos de moderación de contenido. No usamos cookies de analítica de terceros, ni Google Analytics, ni píxeles publicitarios.
• Cookies estrictamente necesarias: sesión de Auth.js (authjs.session-token / __Secure-authjs.session-token, httpOnly, expiración 24 h), preferencia de tema (light / dark, persistente), estado de la barra lateral (abierta/cerrada). Quedan exentas del deber de consentimiento adicional al amparo del art. 22.2 de la LSSI por ser estrictamente necesarias para la prestación del servicio solicitado por el usuario.

No recogemos categorías especiales de datos (art. 9 RGPD: salud, religión, orientación sexual, ideología, datos genéticos o biométricos). Te pedimos expresamente que no introduzcas ese tipo de datos en el contenido público que escribas; los moderadores rechazarán contenido que viole esta norma.

Origen de los datos (art. 14 RGPD): los datos de cuenta los obtenemos directamente de Google LLC a través del flujo OAuth 2.0 cuando autorizas el acceso. El resto de datos los generas tú directamente a través de la plataforma.

3. Finalidades del tratamiento

• Permitirte iniciar sesión y mantener tu cuenta.
• Mostrar tu pen name junto al contenido que publicas o votas.
• Operar la mecánica colaborativa: votos, publicación de páginas, ranking.
• Generar páginas con IA a partir de las opciones ganadoras (ver §6).
• Prevenir abuso, moderar contenido y aplicar las normas de la comunidad.
• Cumplir nuestras obligaciones legales (RGPD, fiscales, requerimientos judiciales).

4. Base legal

• Consentimiento (art. 6.1.a RGPD): para crear la cuenta y aceptar esta política. Puedes retirarlo en cualquier momento desde tu perfil sin que ello afecte a la licitud del tratamiento previo.
• Ejecución del servicio (art. 6.1.b): para entregarte las funcionalidades que pides (publicar, votar, leer).
• Interés legítimo (art. 6.1.f): para prevenir abuso, mantener la seguridad del servicio y conservar registros de auditoría mínimos.
• Obligación legal (art. 6.1.c): cuando una norma o autoridad competente nos lo exige.

5. Plazos de conservación

• Datos de cuenta activa: mientras la cuenta exista y no se borre.
• Cuentas inactivas (sin login durante 24 meses consecutivos): el responsable puede iniciar el procedimiento de anonimización equivalente al art. 17 sobre la cuenta. Antes de hacerlo se enviará un correo al usuario con 30 días de margen para reactivar la cuenta y, si no hay respuesta, se procede a la anonimización. Tu contenido público se conserva atribuido al gracious name en las mismas condiciones del §8.
• Datos tras borrado voluntario (art. 17): anonimización inmediata; el contenido público se conserva atribuido al gracious name indefinidamente para no romper los libros colaborativos de otros usuarios (base legal: interés legítimo de los co-autores en preservar la integridad de las obras compartidas, art. 6.1.f).
• Registros de auditoría GDPR: 6 años desde el evento (plazo orientativo basado en el plazo de prescripción de infracciones del art. 30 RGPD + art. 78 LOPDGDD). La dirección IP de eventos pasados se anula cuando borras tu cuenta.
• Logs técnicos del servidor: rotación de 30 días salvo necesidad de investigación de incidente activo (en cuyo caso se conservan durante la investigación + el plazo razonable de respuesta).
• Cookies estrictamente necesarias: sesión 24 horas, preferencias persistentes hasta que las limpies desde tu navegador.

6. Tratamiento con IA generativa y decisiones automatizadas (art. 22 RGPD)

Hay dos puntos donde la plataforma usa modelos de IA sobre contenido que aportas:

6.1. Generación de páginas narrativas. Cuando una opción gana una votación, enviamos su texto + el contexto narrativo previo del libro al servicio Amazon Bedrock para que un modelo Claude (Anthropic) redacte la siguiente página. Los datos enviados se limitan a: texto de la opción ganadora y resumen del contexto previo del libro. No se envía tu correo electrónico, tu identificador interno, tu IP, ni ningún otro dato que te identifique directamente. El pen name puede aparecer mencionado en el texto del libro si otro usuario lo escribió, pero no se transmite como metadato.

6.2. Moderación automática de opciones. Cuando publicas una opción nueva, su texto se envía al mismo proveedor (Claude vía Bedrock) para una evaluación previa de moderación. El resultado puede ser: aprobada, marcada como necesita revisión, o rechazada por incumplir las normas de la comunidad.

Esto último constituye una decisión automatizada en el sentido del art. 22 RGPD. Lógica resumida: el modelo recibe el texto de tu opción + las reglas de moderación (publicadas en los Términos §4); devuelve un veredicto que se aplica de forma inmediata. Derechos garantizados:

• Intervención humana: cualquier rechazo o marcado puede ser revisado por un administrador humano si lo solicitas; basta con responder al correo de notificación que recibirás o escribir a privacy@sebasolla.es. Las opciones aprobadas no requieren intervención posterior.
• Expresar tu punto de vista e impugnar la decisión: puedes resubmitir la opción corregida (estado necesita revisión) o pedir la reapertura del caso por correo en cualquier momento.
• Lógica subyacente: el modelo aplica los criterios listados en los Términos §4 (uso aceptable). No se evalúan tus datos personales para la moderación, solo el texto enviado en cada opción.

Encargados del tratamiento (art. 28 RGPD):

• Amazon Web Services EMEA SARL (Luxemburgo) — actúa como encargado al ofrecer la infraestructura Bedrock. La región operativa es la europea (eu-west-1, Irlanda). Sujeto al AWS Data Processing Addendum aceptado por el responsable como parte de las condiciones del servicio. Los datos no salen de la UE para esta finalidad.
• Anthropic, PBC (Estados Unidos) — proporciona el modelo Claude que se ejecuta dentro de la infraestructura Bedrock de AWS. Bajo el acuerdo de AWS, Anthropic no almacena los prompts ni los outputs más allá de lo necesario para servir la respuesta inmediata. No usa el contenido para entrenar modelos.

7. Tus derechos

Como interesado, el RGPD te reconoce los siguientes derechos, que puedes ejercer de forma gratuita y por una vía sencilla:

• Acceso y portabilidad (arts. 15 y 20): desde tu perfil puedes descargar un fichero JSON con todos tus datos y contenido en un formato estructurado y legible por máquina.
• Rectificación (art. 16): puedes editar tu pen name, biografía y avatar directamente desde tu perfil. Para corregir otros datos (correo, real name recibido de Google, etc.), escríbenos.
• Supresión (art. 17, «derecho al olvido»): ver §8. Si necesitas borrado total del contenido público (no solo de tu identidad), indícalo expresamente en el correo y se valorará caso por caso ponderando con el interés legítimo de los co-autores.
• Limitación del tratamiento (art. 18) y oposición (art. 21): contacta a privacy@sebasolla.es indicando el motivo. Se atiende en el plazo del art. 12.3 (un mes prorrogable a dos).
• No ser objeto de decisiones automatizadas (art. 22): ver §6. Puedes pedir intervención humana en cualquier veredicto automático de moderación de tus opciones.
• Retirada del consentimiento: botón «Retirar consentimiento» en tu perfil. Tras retirarlo, dejarás de poder escribir, votar o valorar; podrás seguir leyendo. La retirada no afecta a la licitud del tratamiento previo.
• Reclamación ante la autoridad de control: tienes derecho a presentar una queja ante la Agencia Española de Protección de Datos (AEPD) — C/ Jorge Juan 6, 28001 Madrid, www.aepd.es — o ante la autoridad de tu Estado miembro de residencia si vives fuera de España.

Plazo de respuesta: un mes desde la recepción de tu solicitud (art. 12.3 RGPD), ampliable hasta dos meses cuando la complejidad del caso lo justifique, en cuyo caso te informaremos del motivo y el plazo previsto dentro de ese primer mes.

8. Cómo borrar tu cuenta

Desde tu perfil tienes un botón Borrar cuenta. La acción es inmediata e irreversible y produce los siguientes efectos:

• Tu correo electrónico se sustituye por un valor centinela (uuid@deleted.bookgpt) que impide recrear la cuenta con el mismo email durante 24h.
• Tu nombre real y tu pen name se sustituyen por un nombre genérico tomado de un repertorio cerrado (gracious name, por ejemplo «Anonymous Reader 42»).
• Tu avatar, IP y user-agent de consentimiento se eliminan; las marcas de auditoría existentes mantienen el evento pero con la IP anulada.
• Tus libros, páginas y opciones publicadas se conservan atribuidas al nombre genérico, porque eliminarlas rompería los libros colaborativos de otros usuarios. Tus votos se eliminan y las puntuaciones afectadas se recalculan.
• Tu sesión se cierra en el dispositivo desde el que solicitaste la baja.

Si volviste y nos escribes desde el correo original, podemos confirmarte que tu cuenta fue borrada; lo que no podemos hacer es recuperar el contenido bajo tu nombre original una vez completada la supresión.

9. Seguridad y auditoría

Los datos se alojan en infraestructura situada en la Unión Europea (regiones europeas de AWS, principalmente Irlanda). Aplicamos:

• Cifrado en tránsito mediante HTTPS/TLS para todas las conexiones del navegador y entre servicios internos.
• Sesiones con cookies httpOnly, SameSite=Lax, Secure en producción, y con duración limitada a 24 horas para reducir el impacto de un eventual robo de token.
• Principio de mínimo privilegio para el acceso a la base de datos y a los buckets de almacenamiento; los administradores solo ven los datos imprescindibles para su función.
• Registro de auditoría GDPR (gdpr_audit_logs) apend-only con los eventos relevantes (consentimiento, exportación, borrado).
• Notificación de brechas (arts. 33 y 34 RGPD): en caso de violación de la seguridad que afecte a tus datos personales con riesgo para tus derechos, te notificaremos por correo electrónico sin dilación indebida y a más tardar dentro de las 72 horas siguientes a haber tenido conocimiento, indicando la naturaleza de la brecha, las categorías de datos afectados, las medidas correctoras adoptadas y las recomendaciones para reducir el impacto. La AEPD será notificada en paralelo cuando proceda.

10. Transferencias internacionales

Por defecto los datos no salen del Espacio Económico Europeo. Existen dos excepciones controladas:

• Google LLC (Estados Unidos) — autenticación OAuth. Alcance de la transferencia: correo electrónico, nombre y URL de la foto de perfil que recibimos cuando inicias sesión con tu cuenta de Google. Mecanismo de transferencia válido: EU–U.S. Data Privacy Framework (DPF), del que Google LLC es entidad participante activa, y como salvaguarda subsidiaria las Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea por si el DPF fuese invalidado. Puedes consultar la página DPF de Google en policies.google.com/privacy/frameworks.
• Anthropic, PBC (Estados Unidos) — proveedor del modelo Claude vía Bedrock. La transferencia se canaliza a través de AWS EMEA SARL (encargado intermediario en la UE), y el modelo se ejecuta dentro de regiones europeas de Bedrock. AWS y Anthropic mantienen Cláusulas Contractuales Tipo entre sí; tu contenido no se almacena por Anthropic más allá del tiempo necesario para servir la respuesta inmediata.

No realizamos transferencias internacionales a otros países que carezcan de decisión de adecuación de la Comisión Europea ni de las salvaguardas adecuadas.

11. Menores de edad

La plataforma no está dirigida a menores de 16 años. El art. 8 del RGPD establece la edad mínima en 16 años por defecto en la UE, salvo que el Estado miembro la rebaje (entre 13 y 16). En España, el art. 7 LOPDGDD la sitúa en 14 años, pero como el servicio es accesible desde todo el EEE adoptamos el techo de 16 años para evitar diferencias por país y proteger al menor en jurisdicciones con edad superior.

Si detectamos una cuenta perteneciente a un menor por debajo de esa edad, procederemos a su supresión sin solicitar consentimiento parental — el proyecto no está diseñado para procesar consentimiento de titulares de la patria potestad (art. 8.2 RGPD). Si eres padre/madre o tutor y detectas que un menor a tu cargo ha creado una cuenta, escríbenos.

12. Cambios en esta política

Cuando esta política cambie de forma sustancial publicaremos una nueva versión con fecha y un resumen en /privacy/changes. Al volver a iniciar sesión te pediremos aceptar la nueva versión; tu cuenta permanece operativa pero no podrás escribir ni votar hasta hacerlo.

13. Contacto

Para cualquier consulta o ejercicio de derechos: privacy@sebasolla.es. Responderemos en el plazo máximo de un mes (art. 12.3 RGPD), ampliable a dos meses si la solicitud es compleja.