Política de conservación y destrucción de datos biométricos

Última actualización: 12 de octubre de 2026

Este es el calendario escrito de conservación y destrucción de datos biométricos al que se refiere nuestra Política de privacidad. Se aplica a todas las personas que inician la comprobación facial de vida en el Servicio, estén donde estén. El Servicio es la aplicación y el sitio web de la República Mundial, incluida la misma aplicación cuando se ofrece con el nombre Raised by Humanity. La sección 1 de la Política de privacidad establece qué sitios cubre el Servicio, y esta política usa ese mismo significado. Publicamos esta política para que puedas exigirnos que la cumplamos y para cumplir las leyes que exigen un calendario público de este tipo.

1. Qué cubre esta política

La comprobación facial — la comprobación facial de vida descrita en la sección 4 de la Política de privacidad — genera dos tipos de datos biométricos, ambos conservados por Amazon Web Services (AWS) en su región de la UE (Irlanda) en nuestro nombre:

Una imagen facial de referencia de tu sesión de comprobación facial, almacenada en Amazon S3.
Un vector facial (plantilla) derivado de esa imagen, almacenado en una colección de Amazon Rekognition y vinculado a tu cuenta. La colección es lo que nos permite comprobar que un mismo rostro no se use para verificar una segunda cuenta.

«Datos biométricos» en esta política significa ambas cosas, junto con los registros internos de nuestra base de datos que apuntan a ellas (los registros de sesión de tus comprobaciones faciales).

Esta política no cubre el resultado de una comprobación. El hecho de que tu cuenta esté verificada o no, y el registro de que tu rostro coincidió con otra cuenta y la verificación se rechazó (con qué cuenta y la puntuación de similitud), son registros ordinarios de la cuenta y se gestionan como se describe en la Política de privacidad.

Los plazos de esta política no se aplican a un registro. El registro de auditoría de seguridad de nuestras cuentas en la nube anota la solicitud que incorpora tu cara a la colección, y esa entrada anota dónde están tus ojos, tu nariz y tu boca en la imagen de referencia y el ángulo de tu cabeza — nunca la imagen ni la plantilla. Tratamos esas posiciones como datos biométricos. Esa entrada se conserva durante el plazo que la sección 8 de la Política de privacidad fija para el registro de auditoría de seguridad, que puede ser más largo que los plazos de esta política, y destruir tus demás datos biométricos no la elimina. Nunca usamos esas posiciones.

2. Cuándo se destruyen los datos biométricos

Conservamos los datos biométricos solo durante el tiempo necesario para verificar que eres una persona única y que estás físicamente presente, y para impedir cuentas duplicadas con las que votar. Se destruyen de forma permanente en el primero de estos momentos que se produzca:

Cuando se elimina la cuenta. Esto abarca una eliminación que haces tú en el Servicio y un cierre que hacemos nosotros mismos, a mano — conforme a los Términos de uso, o porque tenemos conocimiento de que el titular de la cuenta es menor de 18 años. Lo que cambia entre ambos casos es cómo empieza la destrucción. Una eliminación que haces tú en el Servicio la inicia automáticamente: destruye tus imágenes de referencia y tu vector facial como parte de la propia eliminación — de inmediato o, si una elección de prueba en la que votaste cierra dentro de los catorce días siguientes, cuando esa elección cierre. Una elección que cierra más de catorce días después de que actúes no retrasa la destrucción en absoluto; el motivo se expone en la sección 4.5 de la Política de privacidad. Un cierre que hacemos a mano no tiene ninguna pantalla en el Servicio que lo inicie, así que somos nosotros quienes dejamos registrada la destrucción como pendiente, y eso puede hacer que tarde más en empezar. Una vez que una destrucción queda registrada como pendiente, se lleva a cabo automáticamente y se reintenta automáticamente cada día hasta que se complete. Esto vale tanto para una eliminación que haces tú como para un cierre que hacemos nosotros. Es también lo que ocurre si la destrucción no puede completarse en el momento en que eliminas tu cuenta: tu cuenta se elimina igualmente y la destrucción queda registrada como pendiente.
Cuando retiras el consentimiento o nos pides que los eliminemos. Retirar tu consentimiento en el Servicio (la sección 4.4 de la Política de privacidad indica dónde) y una solicitud dirigida a la dirección de contacto de la Política de privacidad se gestionan igual que una eliminación conforme al punto 1, con una diferencia: si una destrucción pendiente sigue sin ejecutarse y completas una nueva comprobación facial, la nueva comprobación es un nuevo consentimiento y la destrucción pendiente se cancela. Una eliminación nunca se cancela de esta manera.
Tres años después de tu última interacción con el Servicio. Tres años después de la última interacción que muestren nuestros registros — un voto, un retiro de WDD, un intento de verificación, una edición de un partido que registraste o una sesión que sigue abierta —, un proceso automático destruye tus datos biométricos y elimina tu verificación. Por lo demás, iniciar y cerrar sesión no queda registrado por sí solo. Las recompensas que se te conceden no cuentan como interacción. Tu cuenta, tu saldo y tus votos anteriores no se ven afectados. Si vuelves, puedes verificarte de nuevo con una nueva comprobación facial.
Cuando se cumple la finalidad para la que se recogieron. Esa finalidad es verificar que eres una persona única y que estás físicamente presente, e impedir que un mismo rostro verifique una segunda cuenta. Dura mientras exista la cuenta, porque el vector facial es lo único que puede ver que se abra una segunda cuenta con el mismo rostro. Cuando la finalidad termina, los datos se destruyen.
Antes, si la ley lo exige.

No conservamos los datos biométricos más de tres años después de tu última interacción, salvo la entrada del registro de auditoría de seguridad descrita en la sección 1.

Tres años es el mismo plazo para todo el mundo, y algunas leyes fijan un máximo más corto. Colorado exige que los datos biométricos se destruyan a más tardar 24 meses después de tu última interacción. No te preguntamos dónde vives, así que el proceso automático descrito arriba no puede aplicarte por sí solo un plazo más corto. No tienes que esperar a ese proceso. Puedes destruir tus datos biométricos cuando quieras, sin eliminar tu cuenta — la sección 4.4 de la Política de privacidad indica dónde hacerlo en el Servicio — y puedes pedirnos que los destruyamos en la dirección de la sección 7.

3. Cómo funciona la destrucción

La destrucción consiste en eliminar los datos, no en marcarlos como no utilizados:

Las imágenes de referencia se eliminan de Amazon S3, en todas tus sesiones de comprobación facial.
El vector facial se elimina de la colección de Amazon Rekognition, y con él se elimina la entrada de la cuenta en esa colección.
Los registros internos que apuntaban a ellos se eliminan de nuestra base de datos. La única excepción es el registro de que tu rostro coincidió con otra cuenta y la verificación se rechazó (con qué cuenta y la puntuación de similitud): si tu cuenta sigue abierta, se conserva como un registro de la cuenta, sin la referencia a la imagen; cuando se elimina la cuenta, se elimina junto con lo demás.

Si algún paso falla, la cuenta se marca y el proceso lo reintenta a diario. Una comprobación facial cuyos datos se destruyeron según el calendario de inactividad pierde también su verificación en ese mismo momento, para que ninguna cuenta pueda votar sobre la base de un rostro que la comprobación de duplicados ya no puede ver.

Con independencia del calendario anterior, el mismo proceso diario elimina todos los vectores faciales que ya no están vinculados a una cuenta, para que nada permanezca en la colección por accidente.

4. Imágenes revisadas a petición

Si tu rostro coincide con otra cuenta, la verificación se rechaza automáticamente y ninguna persona ve las imágenes. Puedes pedirnos que una persona revise esa decisión; la Política de privacidad explica cómo. Si lo pides, esa persona abre la imagen de referencia de tu comprobación y la que se conserva para la cuenta con la que coincidió — solo cuando ambas siguen existiendo, ya que cualquiera de las dos puede haberse destruido ya según el calendario anterior. Son las mismas imágenes de referencia descritas arriba, se destruyen según el mismo calendario y no se conserva ninguna copia una vez que la persona las haya visto.

5. Proveedores de servicios

AWS almacena y trata los datos biométricos en nuestro nombre y siguiendo nuestras instrucciones, tal como se describe en la Política de privacidad. Nuestras sesiones de comprobación facial están configuradas para que AWS no conserve ninguna imagen de auditoría de ellas.

Diseñamos una derivación a un segundo proveedor, Didit, para hacer una comprobación de documento de identidad cuando la comprobación facial rechaza a alguien por error. Esa derivación no se ofrece. El Servicio no tiene ninguna pantalla que inicie esa comprobación, y la solicitud que la iniciaría se rechaza siempre. Didit no conserva ningún dato biométrico ni de identidad nuestro. Como no se puede iniciar ninguna comprobación, no hay nada en Didit a lo que pueda llegar la eliminación de una cuenta ni nada en Didit sobre lo que preguntar.

Si alguna vez se ofrece la derivación, la Política de privacidad indicará en qué condiciones Didit puede conservar tus datos y debe eliminarlos, y esta política indicará cómo se aplica a esos datos el calendario de destrucción de la sección 2. Publicaremos ambos cambios antes de que se realice cualquier comprobación de ese tipo.

6. Cambios en esta política

Si cambiamos el plazo de conservación o el método de destrucción, publicaremos el cambio en esta página y actualizaremos la fecha de «Última actualización» de arriba antes de que el cambio surta efecto. Esta página es la única manera que tenemos de avisarte: no tenemos ninguna dirección de correo electrónico, ningún número de teléfono ni ninguna dirección postal tuya procedente del inicio de sesión, una dirección que hayas dado en una denuncia sobre un partido se usa para esa denuncia y para nada más, y en el Servicio no hay ningún aviso ni mensaje — la sección 13 de la Política de privacidad explica por qué. Un plazo de conservación más corto puede aplicarse de inmediato. Un plazo de conservación más largo no se aplica a los datos que ya tenemos hasta que el cambio lleve 30 días publicado en esta página.

Esta política está escrita en inglés y la publicamos en otros idiomas. La versión que se te aplica es la versión en el idioma en que el Servicio te la mostró. Cuando esa versión y el texto en inglés difieran, se aplica el significado que te resulte más favorable.

7. Contacto

Las preguntas sobre esta política y las solicitudes relativas a tus datos biométricos se dirigen a la dirección de contacto que figura en la Política de privacidad.