Política de Privacidad

1. Quiénes somos y alcance de esta política

La organización responsable de sus datos personales (el «responsable del tratamiento») es Bollé Communications inc., sociedad constituida en Quebec y con sede en Montreal, Quebec, Canadá. PPN World es nuestra plataforma de inteligencia de comunicados de prensa en tiempo real: un flujo en vivo que agrega más de 1,400 fuentes RSS/Atom públicas de más de 80 cables de prensa y fuentes oficiales en más de 190 países, un globo y un mapa interactivos, dosieres de entidades, resúmenes e informes generados por IA, un directorio de periodistas y contactos de prensa, búsquedas guardadas con boletines por correo y espacios de trabajo en equipo.

Esta política se aplica a tres grupos de personas: los visitantes de nuestras páginas públicas, los titulares de cuentas y miembros de equipo que usan el Servicio, y las personas que se comunican con nosotros. Dos categorías de datos se tratan en documentos propios: a) los datos de contacto profesionales de periodistas y contactos de prensa extraídos de comunicados distribuidos públicamente — véase nuestro Aviso de privacidad para periodistas y contactos de prensa; y b) el contenido de los comunicados en sí, que no constituye información personal sobre nuestros usuarios — véase nuestra página Contenido de cables de prensa y uso justo.

2. Datos personales que recopilamos

Datos de identidad y de cuenta. Cuando crea una cuenta recopilamos su nombre, su dirección de correo electrónico, una imagen de avatar si la proporciona y su idioma de interfaz. La autenticación la gestiona nuestro proveedor Supabase, ya sea con correo y contraseña o mediante inicio de sesión OAuth con Google o GitHub; con OAuth recibimos del proveedor su nombre, correo y avatar, y nunca vemos su contraseña de Google o GitHub.

Contenido que usted crea y sus preferencias. Conservamos los datos de trabajo que usted construye en el Servicio: marcadores, listas de seguimiento, búsquedas guardadas (incluida la frecuencia de su boletín), historial de lectura y estado leído/no leído, notas, paneles, espacios de trabajo y colecciones de seguimiento, así como un registro de preferencias sincronizado (un objeto de configuración por usuario en nuestra base de datos) para que estos elementos le acompañen entre dispositivos. Si crea un equipo o se une a uno, también conservamos el nombre del equipo, la lista de miembros y sus roles, las invitaciones (incluido el correo de la persona invitada), las listas y temas compartidos y los mensajes del chat de equipo.

Metadatos de facturación. Los pagos los procesa Stripe. Stripe recopila directamente los datos de su tarjeta; nunca recibimos ni almacenamos números de tarjeta completos. De Stripe solo conservamos metadatos de facturación: su identificador de cliente de Stripe, el plan (Pro o Team), el ciclo de facturación, el estado de la suscripción y las fechas del período de facturación.

Datos técnicos y de seguridad. Nuestra infraestructura procesa su dirección IP y los metadatos habituales de las solicitudes (páginas solicitadas, marcas de tiempo, agente de usuario del navegador) en los registros de acceso de los servidores, y utiliza su dirección IP para contadores de limitación de frecuencia de corta duración que protegen el Servicio contra abusos. En su primera visita, la resolución del país a partir de la IP realizada por nuestra plataforma de alojamiento (solo el código de país — nunca una ubicación precisa) puede usarse una sola vez para sugerir un idioma de interfaz. Su cuenta también incluye un registro de eventos de seguridad que usted puede consultar (inicios de sesión, cambios de contraseña, cambios de autenticación multifactor, solicitudes de cambio de correo, solicitudes de eliminación, cierre de todas las sesiones), registrado con el agente de usuario del navegador.

Entradas de las funciones de IA. Cuando utiliza una función de IA (resúmenes, traducciones, extracción de entidades, etiquetado de temas, asistencia de búsqueda, chat de informes, generación de borradores), el texto procesado — su solicitud y los extractos pertinentes de los comunicados — se envía a nuestro proveedor de IA para generar el resultado. La sección 5 lo describe en detalle. Evite introducir datos personales sensibles o confidenciales en las solicitudes de IA.

Comunicaciones. Si nos escribe o utiliza el formulario de contacto (protegido contra bots por Cloudflare Turnstile), conservamos su mensaje, su dirección de correo y nuestras respuestas durante el tiempo necesario para atender la solicitud y dejar constancia de ella.

3. Cómo los recopilamos

Directamente de usted (creación de la cuenta, contenido y ajustes que guarda, pagos que realiza, mensajes que envía); automáticamente por su uso del Servicio (datos técnicos y de seguridad descritos arriba, cookies y almacenamiento del navegador descritos en nuestra Política de Cookies); y de terceros en tres casos concretos: Google o GitHub cuando elige el inicio de sesión OAuth, Stripe para los metadatos de facturación descritos arriba, y los comunicados de prensa distribuidos públicamente para el directorio de contactos de prensa, cubierto por su propio aviso. No compramos datos personales a intermediarios de datos ni recopilamos datos sobre usted en redes sociales.

4. Finalidades y bases jurídicas

Tratamos los datos personales para las siguientes finalidades, cada una vinculada a una base jurídica cuando se aplica el RGPD (UE/Reino Unido): - Prestar el Servicio solicitado — crear y gestionar su cuenta, guardar y sincronizar su contenido, operar los equipos, generar los resultados de IA, enviar los boletines de búsquedas guardadas que usted activó y facturar su suscripción. Base: ejecución del contrato. - Seguridad y prevención de abusos — autenticación, gestión de sesiones, limitación de frecuencia basada en la IP, protección de formularios contra bots, el registro de eventos de seguridad de la cuenta y la investigación de incidentes. Base: interés legítimo (operar un servicio seguro) y obligación legal cuando se apliquen leyes de notificación de incidentes. - Operación y mejora del Servicio — diagnóstico de errores mediante informes de error depurados, planificación de capacidad a partir de registros de servidor agregados. Base: interés legítimo. - Comunicaciones — correos transaccionales sobre su cuenta, su suscripción o la seguridad. Base: ejecución del contrato; comunicaciones opcionales solo con su consentimiento, que puede retirar en cualquier momento. - Cumplimiento legal — registros contables y fiscales, respuestas a requerimientos legales válidos, formulación o defensa de reclamaciones. Base: obligación legal e interés legítimo.

Conforme a la Ley de protección de la información personal en el sector privado de Quebec, modificada por la Ley 25, y a la PIPEDA de Canadá, recopilamos y usamos sus datos personales con su consentimiento — expreso o implícito según la sensibilidad y el contexto — para las finalidades indicadas arriba, todas necesarias para prestar el Servicio que usted contrató. Puede retirar su consentimiento, con sujeción a las restricciones legales o contractuales; retirar el consentimiento para un tratamiento necesario para el Servicio puede impedirnos prestarlo. No usamos sus datos personales para fines incompatibles con los aquí indicados sin informarle antes.

5. Inteligencia artificial y tratamiento automatizado

Las funciones de IA del Servicio se basan en modelos de OpenAI (actualmente modelos de la clase gpt-4o-mini), utilizados a través de la API de OpenAI en los Estados Unidos. Se dividen en dos grupos. Las funciones activadas por el usuario solo se ejecutan cuando usted lo pide: resúmenes e informes bajo demanda, traducciones, extracción de entidades, explicaciones de temas, el asistente de búsqueda con IA, el chat de informes, la generación de borradores y la transcripción de audio (un archivo de audio que usted envía se transmite a OpenAI para producir su transcripción). Una sola función se ejecuta automáticamente y solo sobre el contenido: un clasificador de países con coste limitado que ayuda a situar un comunicado en el mapa cuando las reglas deterministas no lo logran; procesa el texto de los comunicados, nunca sus datos de cuenta. Para las traducciones, también podemos usar la API de memoria de traducción MyMemory (Translated S.r.l., Italia) como motor de reserva; solo se envía el texto a traducir.

Tres compromisos sobre el tratamiento por IA. Primero, sin entrenamiento: según los términos de API a los que nos acogemos, los datos que enviamos a OpenAI mediante la API no se usan para entrenar sus modelos, y nosotros nunca usamos sus datos personales ni su contenido para entrenar modelos de IA. Segundo, caché: los resultados de IA se almacenan en caché en nuestra base de datos, indexados por una huella del contenido procesado, de modo que las solicitudes repetidas del mismo resumen o traducción se sirven desde la caché en lugar de reenviarse al proveedor. Tercero, sin decisiones automatizadas con efectos importantes: no tomamos ninguna decisión que produzca efectos jurídicos o significativamente similares sobre usted basada únicamente en un tratamiento automatizado. Los resultados de IA pueden ser erróneos; los Términos del Servicio le exigen verificarlos antes de confiar en ellos o republicarlos.

La síntesis de voz y las alertas de audio se ejecutan íntegramente en su dispositivo mediante la función Web Speech integrada en su navegador; ningún audio ni texto se envía a nosotros ni a ningún proveedor para esas funciones.

6. Analítica — lo que realmente funciona hoy

Un solo producto de analítica funciona en PPN World: Vercel Web Analytics, de nuestra plataforma de alojamiento. Es de origen propio y sin cookies — no se escribe nada en su dispositivo — y registra las páginas vistas con la ruta, la página de procedencia, el país, el navegador, el sistema operativo y el tipo de dispositivo. Para contar visitantes que regresan dentro de un mismo día, calcula un hash unidireccional a partir de su dirección IP y su agente de usuario más un secreto que se renueva cada 24 horas; la IP no queda almacenada por esta herramienta y el hash no puede vincularse a usted ni de un día para otro. No perfila a nadie, no le sigue a ningún otro sitio y nunca se usa con fines publicitarios. No usamos Google Analytics, ni grabación de sesiones, ni píxeles publicitarios, ni rastreadores entre sitios. Nuestro conocimiento más amplio del tráfico sigue proviniendo de los registros de acceso del servidor de nuestro alojamiento y de los contadores de limitación de frecuencia de corta duración, que existen por motivos operativos y de seguridad. La sección 5 de la Política de Cookies describe esta medición en detalle.

7. Cookies y almacenamiento del navegador

Solo usamos cookies esenciales: las cookies de sesión de autenticación de Supabase que le mantienen conectado, y una cookie «ppn-geo-lang» de un año que registra, en la primera visita, una sugerencia de idioma derivada del código de país de su dirección IP (proporcionado por nuestra plataforma de alojamiento). También usamos el almacenamiento local (localStorage) del navegador para las preferencias de interfaz e IndexedDB para una caché local de comunicados. La lista exhaustiva — cada cookie y clave de almacenamiento, su finalidad y su duración — figura en nuestra Política de Cookies.

8. Con quién compartimos datos personales

No vendemos datos personales ni los compartimos con fines publicitarios. Solo los comunicamos a los proveedores de servicios (subencargados) que operan partes del Servicio por contrato y bajo nuestras instrucciones: - Vercel (EE. UU.) — alojamiento de la aplicación, funciones serverless, CDN, registros de acceso y la cabecera de país IP usada para la sugerencia de idioma; - Supabase (empresa estadounidense; base de datos alojada en la región del proyecto) — autenticación y base de datos Postgres con las cuentas y todo el contenido del usuario; - Stripe (EE. UU./Irlanda) — procesamiento de pagos, facturación de suscripciones y portal de cliente; - OpenAI (EE. UU.) — funciones de IA descritas en la sección 5; - MyMemory / Translated S.r.l. (Italia) — motor de traducción de reserva (solo texto de comunicados); - Resend (EE. UU.) — correos transaccionales y boletines de búsquedas guardadas; - Upstash (EE. UU.) — limitación de frecuencia Redis basada en la IP, con contadores de expiración automática; - Sentry (EE. UU.) — monitoreo de errores; nuestra configuración elimina de los informes las cookies, las cabeceras de autorización, los cuerpos de las solicitudes, las direcciones IP y los correos antes de enviarlos; - Cloudflare (EE. UU.) — verificación antibots Turnstile en los formularios públicos; - CARTO (UE/EE. UU.) y Esri (EE. UU.) — teselas de mapa base solicitadas directamente por su navegador al abrir las vistas de mapa, lo que expone su dirección IP y la zona de mapa solicitada a esos proveedores, como en cualquier servicio cartográfico.

La tabla de subencargados que figura más abajo resume cada proveedor, su ubicación y las categorías de datos que trata; la actualizamos cuando la lista cambia, y los cambios importantes se anuncian según la sección 15. Además de los proveedores, podemos comunicar datos personales cuando la ley lo exige (una orden judicial válida o equivalente), cuando sea necesario para proteger nuestros derechos, a nuestros usuarios o al público, o en una operación empresarial (fusión, adquisición, venta de activos), en cuyo caso el sucesor queda vinculado por esta política.

9. Transferencias internacionales

Operamos desde Canadá y la mayoría de nuestros proveedores tratan los datos en los Estados Unidos (Stripe también en Irlanda; MyMemory en Italia). Por tanto, sus datos personales pueden almacenarse y tratarse fuera de su provincia o país de residencia, en jurisdicciones cuyas leyes de privacidad difieren de las de Quebec, Canadá, la UE/Reino Unido o California, y donde pueden ser accesibles a las autoridades locales conforme al derecho local.

Garantías. Antes de comunicar datos personales fuera de Quebec, realizamos la evaluación exigida por el artículo 17 de la ley de privacidad del sector privado de Quebec (modificada por la Ley 25) para confirmar que la información recibirá una protección adecuada, y vinculamos a cada proveedor mediante un acuerdo escrito de tratamiento de datos. Para las transferencias sujetas al RGPD de la UE o del Reino Unido, nos apoyamos en las Cláusulas Contractuales Tipo de los proveedores (con la Adenda del Reino Unido o el IDTA) y, cuando el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU. Puede solicitar más información sobre estas garantías en ppnw@ppnsource.com.

10. Plazos de conservación

Conservamos los datos personales solo el tiempo necesario para las finalidades anteriores y luego los eliminamos o anonimizamos: - Datos de la cuenta y todo lo vinculado a ella (perfil, preferencias, marcadores, listas de seguimiento, búsquedas guardadas, notas, historial de lectura, espacios de trabajo, registro de eventos de seguridad, pertenencias a equipos): se conservan mientras exista la cuenta. Cuando usted solicita la eliminación, la cuenta se programa para el borrado definitivo tras un período de gracia de 30 días durante el cual puede cambiar de opinión; una tarea diaria elimina después de forma permanente la cuenta y todos los datos vinculados. Los nombres mostrados en el chat de equipo se anonimizan y los correos de las invitaciones se censuran durante la purga. - Registros de facturación: metadatos de suscripción durante la vida de la suscripción; comprobantes y registros fiscales mientras lo exijan las leyes fiscales y contables (generalmente hasta 7 años). - Contadores de limitación de frecuencia (indexados por IP): minutos — expiran automáticamente al final de cada ventana deslizante. - Informes de error (Sentry, depurados): se conservan según la ventana móvil estándar del proveedor, normalmente unos 90 días. - Registros de acceso del servidor (Vercel): retención móvil corta fijada por la plataforma. - Correspondencia de soporte: el tiempo necesario para atender y documentar la solicitud. - Comunicados indexados y directorio de contactos de prensa: conservación continua ligada al contenido, descrita en la página Contenido de cables de prensa y en el Aviso de privacidad para periodistas y contactos de prensa. - Caché de resultados de IA: derivados en caché del contenido de los comunicados, indexados por huella de contenido; se conservan mientras el contenido subyacente siga siendo pertinente. No contiene datos de cuenta.

11. Medidas de seguridad

Nuestras medidas incluyen: cifrado en tránsito (HTTPS/TLS con HSTS) en todo el Servicio; seguridad a nivel de fila en nuestra base de datos Postgres, de modo que cada usuario y miembro de equipo solo puede leer las filas a las que tiene derecho; una Política de Seguridad de Contenido (CSP) estricta y cabeceras de respuesta reforzadas; limitación de frecuencia basada en IP y verificación antibots en los formularios públicos; depuración de cookies, cabeceras de autorización, direcciones IP y correos de los informes de error antes de que salgan de nuestra infraestructura; un registro de eventos de seguridad por cuenta que usted puede revisar; y la gestión de pagos delegada íntegramente en Stripe, con certificación PCI-DSS — nunca almacenamos números de tarjeta. El acceso a los sistemas de producción está restringido y autenticado.

Ningún sistema es perfectamente seguro. Si un incidente de confidencialidad presenta un riesgo de perjuicio grave, notificaremos a las personas afectadas y a la Commission d'accès à l'information de Quebec, así como a cualquier otra autoridad competente, conforme a la ley, y mantenemos un registro de incidentes de confidencialidad como exige la Ley 25.

12. Sus derechos

Quebec (Ley 25). Usted puede: acceder a los datos personales que tenemos sobre usted y obtener una copia; hacer rectificar datos inexactos, incompletos o equívocos; retirar su consentimiento a los usos que no sean necesarios para el Servicio; pedirnos que cesemos la difusión de sus datos personales o que desindexemos cualquier hipervínculo asociado a su nombre cuando la difusión infrinja la ley o una orden judicial, o le cause un perjuicio grave que prevalezca sobre el interés público (derecho a la desindexación); y recibir los datos personales informatizados que nos proporcionó en un formato tecnológico estructurado y de uso común (portabilidad). Nuestro responsable de la protección de datos personales responde en un plazo de 30 días.

Resto de Canadá (PIPEDA). Puede solicitar el acceso a sus datos personales, cuestionar su exactitud e integridad y hacer que se corrijan, retirar su consentimiento con sujeción a restricciones legales o contractuales, y hacer preguntas o presentar quejas sobre nuestro cumplimiento — primero ante nosotros y después ante el Comisionado de Privacidad de Canadá.

UE y Reino Unido (RGPD / RGPD británico). Cuando se aplica el RGPD, usted dispone de los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición, incluida la oposición al tratamiento basado en el interés legítimo (art. 21), además del derecho a retirar su consentimiento en cualquier momento y del derecho a no ser objeto de decisiones totalmente automatizadas con efectos jurídicos o similares (art. 22 — no tomamos ninguna).

California (CCPA/CPRA). Usted tiene derecho a conocer, acceder, corregir y suprimir los datos personales que conservamos, a la portabilidad de los datos y a no sufrir discriminación por ejercer estos derechos. No vendemos datos personales ni los «compartimos» para publicidad conductual entre contextos — no hay tecnología publicitaria en el Servicio — por lo que no existe venta ni intercambio del que excluirse. No usamos ni divulgamos datos personales sensibles para fines que requieran un derecho de limitación. Puede designar a un agente autorizado para presentar solicitudes en su nombre.

Cómo ejercer sus derechos. Las vías más rápidas son de autoservicio: puede editar su perfil, exportar una copia de los datos de su cuenta (JSON) desde la página de cuenta, solicitar allí la eliminación de la cuenta (período de gracia de 30 días, cancelable) y gestionar o cancelar su suscripción a través del portal de cliente de Stripe. Para cualquier otra solicitud — o si lo prefiere — escriba a ppnw@ppnsource.com. Podemos necesitar verificar su identidad antes de actuar, y respondemos dentro de los plazos que fija la ley aplicable (30 días según la Ley 25 y la PIPEDA; un mes según el RGPD, prorrogable; 45 días según la CCPA, prorrogable). El ejercicio de sus derechos es gratuito, salvo cuando la ley permita un cargo razonable por solicitudes manifiestamente excesivas.

13. Reclamaciones

Le pedimos que se ponga primero en contacto con nosotros en ppnw@ppnsource.com para que podamos intentar resolver el problema. También tiene siempre derecho a reclamar ante la autoridad competente: la Commission d'accès à l'information de Quebec (cai.gouv.qc.ca); el Comisionado de Privacidad de Canadá (priv.gc.ca); su autoridad de protección de datos en la UE, o la Information Commissioner's Office (ico.org.uk) en el Reino Unido; o el Fiscal General de California / la California Privacy Protection Agency en California.

14. Menores

PPN World es una herramienta profesional. No está dirigida a menores de 16 años y no recopilamos a sabiendas datos personales de menores de 16 años. Si cree que un menor nos ha facilitado datos personales, escriba a ppnw@ppnsource.com y los eliminaremos.

15. Cambios en esta política

Actualizamos esta política cuando cambian el Servicio, nuestros proveedores o la ley. La fecha de «Última actualización» en la parte superior identifica la versión vigente. Para los cambios importantes — una nueva categoría de datos, una nueva finalidad, un nuevo subencargado que trate datos de cuentas — daremos aviso por un medio razonable (un aviso en el Servicio o un correo) antes de que el cambio entre en vigor.

16. Responsable de la protección de datos y contacto

Como exige la Ley 25, Bollé Communications inc. ha designado a una persona responsable de la protección de los datos personales. Para cualquier pregunta de privacidad, solicitud de derechos o reclamación: - Correo electrónico: ppnw@ppnsource.com (asunto «Privacidad») - Correo postal: Responsable de la protección de datos, Bollé Communications inc., Montreal, Quebec, Canadá Esta política se rige por las leyes de la provincia de Quebec y las leyes federales de Canadá aplicables en ella.

Lista de subencargados