Qué datos recopilamos, por qué, quién los procesa, y los derechos que usted y su hijo tienen sobre ellos.
Esta es una versión traducida automáticamente de esta Política, proporcionada por conveniencia y aún no certificada. En caso de conflicto o incoherencia entre esta traducción y la versión en inglés, prevalecerá la versión en inglés. Para el original, lea la versión en inglés.
Fecha de entrada en vigor y versión: 20 de septiembre de 2026 (versión 3.0). Esta Política de Privacidad establece la manera en que Khypri AI trata los datos personales a través de la Plataforma y, cuando una salvaguarda aún se encuentra en proceso de implementación, lo indica expresamente sin pretender ser completa. Debe leerse junto con las Condiciones del Servicio, la Política de Seguridad y el Aviso al Titular de los Datos, este último constituye el aviso pormenorizado previsto en el artículo 5 de la Ley de Protección de Datos Personales Digitales de 2023 (India).
Qué recopilamos: el nombre, correo electrónico, número de móvil y fecha de nacimiento del padre/madre; un nombre para mostrar o apodo elegido por el padre/madre para el niño (nunca pedimos el nombre legal del niño); la actividad de aprendizaje del niño (preguntas, respuestas, progreso); y datos técnicos básicos como la dirección IP. No recopilamos ni almacenamos fotografías, audio, vídeo ni ubicación precisa de ninguna persona. (Durante el registro se utiliza la cámara del propio dispositivo del padre/madre, únicamente en ese dispositivo, para verificar la edad; nada de ello se sube ni se almacena.)
Por qué: para gestionar la cuenta del padre/madre, permitir que el niño practique y reciba apoyo de tutoría, y mostrar al padre/madre informes sobre el progreso del niño. Las conversaciones con el tutor de IA también se revisan para detectar preocupaciones graves de seguridad, y se alerta al padre/madre si se detecta alguna. Las ofertas solo se envían si el padre/madre las ha aceptado, y no se dirige publicidad alguna a un niño.
Cuánto tiempo lo conservamos: mientras la cuenta esté activa. Cuando se elimina la cuenta, se desactiva de inmediato y los datos se borran tras un breve período de reflexión, y en todo caso dentro de los 30 días siguientes a una solicitud verificada, salvo los registros que la ley nos exige conservar.
Sus derechos: acceder, corregir, obtener una copia y borrar sus datos y los de su hijo, y retirar el consentimiento, según lo establecido en las Secciones 8 y 8A.
Contacto: nuestra Delegada de Protección de Datos, Debasmita Maharana, en dpo@khypri.com. Este resumen no forma parte de las disposiciones operativas siguientes y no se utilizará para interpretarlas.
1.1 Khypri AI (denominada en esta Política “Khypri”, “la Compañía”, “nosotros”) opera la Plataforma. Respecto de los datos personales recopilados a través de la Plataforma, Khypri actúa como Fiduciario de Datos a los efectos de la Ley de Protección de Datos Personales Digitales de 2023 y como responsable del tratamiento a los efectos del Reglamento General de Protección de Datos, salvo cuando una escuela u otra institución determine de manera independiente los fines y medios del tratamiento para sus propios estudiantes, en cuyo caso dicha institución será el Fiduciario de Datos o responsable del tratamiento, y Khypri actuará como su Encargado del Tratamiento en su nombre y conforme a sus instrucciones documentadas.
1.2 En esta Política, salvo que el contexto exija otra cosa:
1.3 La referencia a una ley o reglamento incluye dicha ley o reglamento tal como sea modificada, reeditada o sustituida periódicamente. Los títulos son solo por conveniencia y no afectarán a la interpretación.
2.1 La Compañía tratará las siguientes categorías de Datos Personales:
2.2 La Compañía no recopila ni almacena grabaciones de audio, fotografías, vídeos ni geolocalización precisa (a nivel GPS) de ningún usuario, sea padre/madre o niño. La verificación de edad en el registro mencionada en la Sección 2.1(e) utiliza la cámara del dispositivo solo en el propio dispositivo del usuario, y nada derivado de ella se sube ni se almacena.
2.3.1 La Compañía tratará cada categoría de Datos Personales solo para la finalidad, y sobre la base, indicada frente a ella a continuación:
3.1 La Compañía utiliza únicamente las cookies estrictamente necesarias para mantener la sesión de inicio de sesión y las preferencias de seguridad del usuario. La Compañía no utiliza cookies publicitarias o de marketing de terceros ni construye perfiles publicitarios de comportamiento. Más detalles figuran en la Política de Cookies.
3.2 Las categorías de cookies utilizadas son:
4.0 La Plataforma utiliza inteligencia artificial para generar contenido de práctica y proporcionar evaluación y retroalimentación automatizadas sobre las respuestas de un Estudiante. Cuando una evaluación automatizada pudiera tener un efecto significativo sobre un Estudiante (por ejemplo, cuando se utiliza como parte de una evaluación calificada), un profesor humano conservará la capacidad de revisar, anular o desestimar la evaluación generada por IA. Un Titular de los Datos puede solicitar una revisión humana de cualquier evaluación automatizada que le afecte materialmente escribiendo a dpo@khypri.com. El uso de inteligencia artificial se describe con más detalle en la Política de IA Responsable.
4.1.1 La Plataforma está diseñada para operar como una extensión de la manera en que una escuela evalúa a sus estudiantes, y registra las respuestas de pruebas y preguntas de un Estudiante con el fin de generar un análisis de rendimiento visible para el Titular de Cuenta. A este respecto:
4.2.1 El acceso del equipo de atención al cliente de la Compañía al registro académico de un Estudiante (progreso, certificados y actividad) está controlado por un PIN de Soporte. Cada Titular de Cuenta tiene un PIN de Soporte de seis caracteres (letras y dígitos), que se genera al registrar la Cuenta, se muestra al Titular de Cuenta en el perfil, y se reemplaza automáticamente cada diez (10) días. El personal de soporte no puede ver el PIN: el Titular de Cuenta lo entrega a un miembro del equipo de soporte solo cuando se desea ayuda, y esa persona lo introduce. Solo si es correcto se abre el registro académico del Estudiante, únicamente para esa Cuenta y por un período limitado de treinta (30) minutos, y un nuevo PIN pone fin a ese acceso de inmediato. Las entradas incorrectas repetidas se bloquean, y cada entrada, verificación y renovación de un PIN se registra junto con el empleado correspondiente. Los administradores de la Compañía pueden ver un PIN, y los administradores y el personal de soporte pueden generar uno nuevo. El acceso de soporte está limitado por rol en lo demás (véase la Sección 13.1).
4.3.1 Con el fin de ayudar a mantener seguros a los niños, las conversaciones del tutor de IA con un niño se revisan automáticamente para detectar indicios de riesgo grave para la seguridad o el bienestar del niño, incluyendo autolesión, abuso, violencia, acoso o angustia severa. Aparte de ayudar al aprendizaje del niño, esta es la única finalidad para la que se revisan las conversaciones; la revisión no se utiliza con fines publicitarios ni para construir un perfil de comportamiento.
4.3.2 Cuando se detecta una preocupación grave, la IA responderá con orientación de apoyo, la preocupación se registrará en el perfil del niño, y la Compañía alertará sin demora al Titular de Cuenta por WhatsApp y correo electrónico, indicando la gravedad y el tipo de preocupación. Cuando una alerta no se confirme, se enviarán recordatorios adicionales en las horas siguientes. Aproximadamente quince (15) minutos después de la primera alerta, la Compañía también enviará un breve resumen de una o dos frases, preparado con la asistencia de uno de los proveedores de IA enumerados en la Sección 5, sobre el asunto en cuestión. El equipo de soporte de la Compañía también puede contactar al Titular de Cuenta respecto de una alerta.
4.3.3 Las alertas se enviarán únicamente al número de móvil y correo electrónico registrados en la Cuenta, bajo el consentimiento requerido de “Alertas esenciales” y para la protección de un niño que pueda estar en riesgo de daño grave. Las alertas no sustituyen a los servicios de emergencia; si un niño está en peligro inmediato, debe contactarse el número de emergencia local. Debido a que estas alertas son esenciales para la seguridad de un niño, ese consentimiento es un consentimiento requerido y permanece vigente mientras exista la Cuenta (véase la Sección 8A).
5.1 La Compañía no vende Datos Personales. Los Datos Personales solo se divulgarán a las siguientes categorías de proveedores de servicios, y únicamente en la medida necesaria para operar la Plataforma:
5.2 Ninguno de los proveedores enumerados en la Sección 5.1 tiene actualmente un Acuerdo de Tratamiento de Datos firmado con la Compañía, y sus servicios se utilizan bajo sus términos estándar públicamente disponibles. Esta lista se mantendrá actualizada a medida que cambien las relaciones de proveedores de la Compañía. La lista completa actual, con detalles de la ubicación de los datos, figura en la página de Subencargados.
5.3 La Compañía también puede divulgar Datos Personales cuando lo exija la ley, por orden de un tribunal o autoridad competente, o cuando sea necesario para proteger a un niño de un daño grave.
6.1 Conservación. Los Datos Personales se conservarán mientras la Cuenta permanezca activa y, posteriormente, solo según lo previsto en esta Sección 6. El detalle figura en la Política de Conservación y Borrado de Datos.
6.2 Eliminación por el Titular de Cuenta. Un Titular de Cuenta puede solicitar en cualquier momento la eliminación de la Cuenta, que incluye cada perfil de Estudiante bajo ella, (a) dentro de la Plataforma, seleccionando la opción “Eliminar mi cuenta” en la configuración del perfil y confirmando la solicitud escribiendo el correo electrónico registrado en la Cuenta; o (b) mediante solicitud escrita al DPO de conformidad con la Sección 8.
6.3 Efecto inmediato. Tras realizarse una solicitud de eliminación dentro de la Plataforma, o ser verificada por la Compañía: (a) la Cuenta y cada perfil de Estudiante se desactivarán de inmediato y el inicio de sesión cesará; (b) todo consentimiento registrado en la Cuenta se tratará como retirado y dicha retirada se registrará; (c) toda suscripción se cancelará de modo que no se realice ningún cargo adicional; y (d) la Compañía enviará una confirmación al correo electrónico registrado indicando la fecha a partir de la cual se llevará a cabo el borrado.
6.4 Período de reflexión y plazo. El borrado se llevará a cabo tras un período de reflexión de siete (7) días desde la solicitud (u otro período, que no exceda veintiún (21) días, que el DPO pueda establecer en una solicitud hecha por escrito), durante el cual la solicitud puede cancelarse y la Cuenta restaurarse mediante solicitud escrita enviada al DPO desde el correo electrónico registrado. Una suscripción cancelada conforme a la Sección 6.3(c) no se restablece con la restauración de la Cuenta. El borrado se completará en todo caso dentro de los treinta (30) días siguientes a una Solicitud Verificada, salvo en la medida en que se aplique la Sección 6.6. Una solicitud de restauración presentada después de que se haya llevado a cabo el borrado no puede hacerse efectiva.
6.5 Alcance del borrado. Al borrar: (a) se eliminarán los Datos Personales en la Cuenta y en cada perfil de Estudiante, incluyendo actividad de aprendizaje, conversaciones de chat, registros de exámenes y práctica, archivos subidos y el texto y vectores derivados de ellos, historial de inicio de sesión, códigos de verificación, mensajes enviados a través del formulario de contacto desde el correo electrónico registrado, y copias de correos electrónicos enviados a esa dirección; (b) los datos de identidad en la Cuenta y en cada perfil de Estudiante (nombre, correo electrónico, número de teléfono, fecha de nacimiento, fotografía, hash de contraseña y ubicación) se borrarán de forma irreversible o se reemplazarán de modo que cualquier registro conservado conforme a la Sección 6.6 ya no identifique a una persona; (c) las credenciales de inicio de sesión mantenidas con el proveedor de autenticación de la Compañía se eliminarán; y (d) los registros de incidentes de seguridad y entrega de mensajes se conservarán solo en forma desidentificada (gravedad, tipo, plantilla, estado y hora), borrándose el texto de la conversación, los datos de contacto y el contenido del mensaje.
6.6 Registros conservados por ley o por responsabilidad legítima. No obstante lo anterior, la Compañía conservará, y utilizará únicamente para la finalidad para la que se conservan: (a) los registros de pago, pedido, suscripción y libro mayor de crédito, durante el período requerido por la legislación fiscal y contable aplicable; (b) el registro de consentimientos otorgados y retirados, que comprende solo identificadores y respuestas, junto con el historial fechado de cambios y el texto mostrado en cada momento, como prueba del consentimiento y su retirada; y (c) las listas de bloqueo de fraude y seguridad. La correspondencia de soporte se revisa individualmente ante una solicitud de borrado y se borra a menos que su conservación sea necesaria para una finalidad permitida por la ley.
7.1 Los Datos Personales pueden procesarse en servidores ubicados fuera del país de origen del Titular de los Datos, incluso por los proveedores de mensajería (Meta/WhatsApp) y de IA de la Compañía.
7.2 Cuando datos de personas en la Unión Europea o el Espacio Económico Europeo se transfieran fuera del EEE, la transferencia se regirá por Cláusulas Contractuales Tipo, que actualmente están en proceso de finalización y aún no se han ejecutado plenamente con todos los proveedores.
7.3 Cuando los Datos Personales de Titulares de Datos indios se transfieran fuera de la India, la Compañía aplicará salvaguardas conformes con los requisitos de la Ley en materia de transferencia transfronteriza. Más detalles figuran en la Política de Transferencia Transfronteriza de Datos.
8.1 Para ejercer cualquier derecho descrito en esta Política (incluyendo acceso, corrección, borrado, restricción, portabilidad u oposición), un Titular de los Datos enviará una solicitud a dpo@khypri.com desde el correo electrónico asociado a la Cuenta o, en el caso de una solicitud realizada en nombre de un niño, desde el correo electrónico verificado del Titular de Cuenta. Se aplicará el siguiente procedimiento:
8.2 Un Titular de Cuenta también puede ejercer el derecho de borrado directamente dentro de la Plataforma según lo previsto en la Sección 6.2, y puede ver y corregir los datos de la Cuenta y de cada perfil de Estudiante en la configuración del perfil. Un Titular de Cuenta también puede descargar una copia de los datos de la Cuenta, y de los datos de cada perfil de Estudiante bajo ella, como un único archivo en formato JSON, seleccionando “Exportar mis datos” en el perfil. Antes de la descarga se advierte al Titular de Cuenta que el archivo no está cifrado; la descarga puede realizarse una vez cada cinco (5) minutos, y cada descarga se registra (quién y cuándo, nunca el contenido del archivo).
8A.1 Un Titular de Cuenta puede retirar el consentimiento con la misma facilidad con que se otorgó. La forma de retirarlo depende de la naturaleza del consentimiento:
8A.2 Para retirar por completo el consentimiento y cerrar la Cuenta, el Titular de Cuenta puede (a) usar la opción “Eliminar mi cuenta” dentro de la Plataforma como se describe en la Sección 6.2, (b) usar la opción “Retirar todo y cerrar la cuenta” en el Aviso al Titular de los Datos, o (c) escribir a la DPO, Debasmita Maharana, a dpo@khypri.com con el asunto “Retirada del consentimiento” desde el correo electrónico verificado del Titular de Cuenta. Tras confirmar la identidad, la Compañía cesará todo tratamiento adicional de los datos del niño y procederá, a menos que el Titular de Cuenta solicite por separado la conservación, al borrado de conformidad con la Sección 6.
8A.3 La retirada del consentimiento no afectará a la licitud de ningún tratamiento realizado con base en el consentimiento antes de su retirada. La Compañía mantiene un registro fechado de cuándo se otorgó o modificó cada consentimiento y del texto mostrado en ese momento, para poder mostrar a un Titular de los Datos lo que se acordó.
9.1 Consentimiento parental verificable. Solo un padre/madre o tutor legal puede registrarse en la Plataforma; un Estudiante no puede crear una Cuenta directamente. El registro captura la fecha de nacimiento del Titular de Cuenta, una autodeclaración de condición de adulto y una verificación de edad en el dispositivo, seguidas de la verificación del correo electrónico y número de móvil del Titular de Cuenta. Un perfil de Estudiante solo puede añadirse una vez que el propio perfil del Titular de Cuenta esté completo, y ningún perfil de Estudiante puede existir sin un Titular de Cuenta verificado detrás de él. El método se describe con más detalle en la Política de Consentimiento Parental Verificable.
9.2 Sin perfilado de comportamiento. La Compañía no rastrea la navegación o el comportamiento de un Estudiante fuera del espacio de trabajo académico ni ofrece publicidad dirigida.
9.3 Corrección y borrado. Un Titular de Cuenta puede ver, corregir o solicitar el borrado de los datos de un niño en cualquier momento, en la forma prevista en las Secciones 6 y 8.
9.4 Resolución de quejas y nominación. Las consultas y quejas conforme a la Ley pueden dirigirse al DPO en dpo@khypri.com, según lo previsto en la Sección 16. Un Titular de los Datos también puede ejercer cualquier derecho de nominación disponible conforme a la Ley escribiendo al DPO.
10.1 Base legal. El tratamiento se realiza sobre la base del consentimiento (del Titular de Cuenta o de la institución) y, cuando corresponda, el interés legítimo de la escuela como responsable del tratamiento.
10.2 Derechos. Las solicitudes de acceso, corrección, restricción, portabilidad y borrado pueden enviarse a dpo@khypri.com y se gestionarán de conformidad con la Sección 8.
10.3 Notificación de violaciones. La Compañía se compromete a notificar a los usuarios afectados y a las autoridades de control pertinentes dentro de las setenta y dos (72) horas siguientes al descubrimiento de una violación de datos personales, de conformidad con la Sección 14.
11.1 Ámbito de aplicación. La Ley de Protección de la Privacidad Infantil en Línea (COPPA) se aplica a los niños menores de trece (13) años en los Estados Unidos.
11.2 Recopilación mínima. La Compañía no recopila audio, medios visuales ni geolocalización precisa de niños menores de trece años.
11.3 Consentimiento parental verificable. Como solo un padre/madre o tutor puede registrarse, y debe verificar su propia identidad antes de añadir un niño a la Cuenta, ningún niño menor de trece años puede otorgar su propio consentimiento ni crear una cuenta independiente.
11.4 Derechos parentales. Un padre/madre puede revisar, o solicitar la eliminación de, los datos de su hijo en cualquier momento contactando a dpo@khypri.com o eliminando la Cuenta según lo previsto en la Sección 6.2.
11.5 Sin condicionamiento. La participación no se condicionará a la divulgación de más datos de los razonablemente necesarios.
12.1 La Compañía enviará comunicaciones promocionales o de marketing (incluyendo ofertas, ofertas de renovación de plan y actualizaciones de producto) solo cuando el Titular de Cuenta lo haya aceptado a través del consentimiento opcional de “Ofertas y recordatorios por correo electrónico”. Ese consentimiento puede retirarse en cualquier momento en la configuración de la cuenta; todo correo promocional contiene un enlace a la configuración de la cuenta, y el Titular de Cuenta también puede escribir a dpo@khypri.com. Las actualizaciones de progreso y resúmenes semanales relativos a un niño solo se enviarán cuando el Titular de Cuenta los haya activado para ese niño, por correo electrónico y/o WhatsApp, y pueden desactivarse de la misma manera.
12.2 Ciertos mensajes no son marketing y se enviarán con independencia de las preferencias de marketing del Titular de Cuenta, porque forman parte del funcionamiento de la Cuenta y de la seguridad de un niño: recibos de facturación, avisos de seguridad, avisos de vencimiento y saldo del plan, y alertas críticas de seguridad infantil (véase la Sección 4.3). Dichos mensajes se envían por WhatsApp y correo electrónico bajo el consentimiento requerido de “Alertas esenciales”. Más detalles figuran en la Política de Comunicaciones.
13.0 Los Datos Personales se cifran en tránsito mediante TLS 1.3 y en reposo mediante AES-256. La Compañía está trabajando para obtener la certificación ISO 27001 de sus prácticas de gestión de seguridad de la información; dicha certificación está en curso y aún no se ha obtenido.
13.1.1 El acceso interno a los Datos Personales, incluyendo el registro académico de un niño, los datos de un Titular de Cuenta y la información de pago, se rige por un control de acceso basado en roles fundado en el principio del mínimo privilegio. El acceso predeterminado de cada miembro del personal es ninguno, y el acceso se concede solo a los datos específicos que un rol requiere para desempeñar su función.
13.1.2 Esta Sección rige el propio acceso interno de la Compañía. Es independiente de los controles de acceso internos de una escuela cuando esta sea el Fiduciario de Datos de sus propios estudiantes, y de los Subencargados enumerados en la Sección 5, que solo reciben los datos seudonimizados y filtrados descritos allí.
13.2.1 Un niño inicia sesión en la Plataforma con un nombre de usuario y contraseña que el Titular de Cuenta crea para el niño; estas credenciales son verificadas por los propios sistemas de la Compañía, nunca se envían a Firebase, y la contraseña nunca se almacena tal como se introduce: se convierte en los servidores de la Compañía en un hash unidireccional con sal mediante una función deliberadamente lenta y estándar de la industria (PBKDF2), de modo que la contraseña no pueda ser leída por nadie, incluida la Compañía, y una copia de los valores almacenados no pueda revertirse con listas precalculadas. Una contraseña mantenida en un formato más antiguo y débil se convierte a este formato la próxima vez que el niño inicia sesión, y una contraseña en formato antiguo que no haya sido convertida para la fecha que la Compañía establezca para retirar el formato antiguo debe ser restablecida por el Titular de Cuenta en la configuración del perfil. Un niño no puede registrarse ni crear una Cuenta. La autenticación del Titular de Cuenta se gestiona mediante Firebase Authentication (Google), que administra el almacenamiento de credenciales, el hash de contraseñas y la seguridad de inicio de sesión en nombre de la Compañía, y la Compañía no almacena ella misma las contraseñas de los padres. Ningún dato de un niño se envía a Firebase, incluyendo el nombre para mostrar y la actividad académica del niño (y, como se indica en la Sección 2, la Compañía nunca recopila el nombre legal de un niño). Una vez verificada la identidad del Titular de Cuenta a través de Firebase, todos los datos relativos a un niño (perfiles, respuestas, progreso y documentos generados) se crean, almacenan y procesan exclusivamente en las bases de datos de Khypri AI y/o My Paper Genie, separadamente de la capa de autenticación.
14.1 En caso de una violación de datos personales, la Compañía seguirá el proceso siguiente, descrito con más detalle en la Política de Respuesta ante Violaciones de Datos Personales:
15.1 La Compañía puede modificar esta Política periódicamente. Cuando se realice un cambio material, la fecha de entrada en vigor y la versión indicadas anteriormente se actualizarán y, cuando la ley lo exija, se notificará directamente a los usuarios afectados.
16.1 Cualquier pregunta, corrección, solicitud de borrado o queja conforme a la Ley, el Reglamento General de Protección de Datos o la Ley COPPA deberá dirigirse a la Delegada de Protección de Datos, Debasmita Maharana, en dpo@khypri.com.
16.2 La Compañía acusará recibo de cada solicitud dentro de los tres (3) días hábiles y resolverá las Solicitudes Verificadas de borrado dentro de los treinta (30) días, de conformidad con la Sección 8. La manera de presentar y resolver una queja se establece en la Política de Resolución de Quejas.