Política de privacidad

Última actualización: 24 de octubre de 2026

1. Quiénes somos

La República Mundial («República Mundial», «nosotros» o «nuestro») opera la aplicación y el sitio web de la República Mundial en https://www.worldrepublic.org (el «Servicio»). La misma aplicación se ofrece también con un segundo nombre, Raised by Humanity, en https://www.raisedbyhumanity.org. Ese sitio ejecuta el mismo software, usa las mismas cuentas y la misma base de datos, y lo operamos nosotros. En esta política, «el Servicio» designa ambos sitios, y esta política se aplica en los dos. La República Mundial es una asociación suiza (Verein) conforme a los arts. 60 y ss. del Código Civil suizo, con sede en Zug (Suiza). Tiene personalidad jurídica conforme al art. 60(1) del Código Civil y no está inscrita en el registro mercantil. Nuestra junta directiva administra el Servicio desde Hungría, por lo que, a efectos del Reglamento General de Protección de Datos de la UE (RGPD), la República Mundial está establecida en la Unión Europea y nuestra autoridad de control principal allí es la Autoridad Nacional Húngara de Protección de Datos y Libertad de Información (NAIH).

En la mayoría de los tratamientos que se describen más abajo somos el responsable del tratamiento. En la verificación de identidad somos el responsable y Amazon Web Services actúa como encargado del tratamiento / proveedor de servicios. Más abajo se menciona a un segundo proveedor, Didit, por una derivación que no se ofrece actualmente — véase la sección 4.2.

• Contacto de privacidad: privacy@worldrepublic.org
• Contacto en la Unión Europea: Balázs Kónya, miembro de la junta directiva, 3626 Hangony, Dózsa György út 5., Hungría (privacy@worldrepublic.org)

2. Ámbito de aplicación

Esta política se aplica a todas las personas que usan el Servicio, en todo el mundo. Cuando la legislación local te otorgue derechos adicionales — lo que incluye el RGPD de la UE y el del Reino Unido, la Ley Federal de Protección de Datos suiza revisada (revFADP), la Ley de Privacidad del Consumidor de California en su redacción dada por la CPRA y las leyes estatales de EE. UU. sobre datos biométricos (BIPA de Illinois, CUBI de Texas, Washington) —, esos derechos se describen en la sección 10.

Actualmente la República Mundial celebra elecciones de prueba no vinculantes. Todavía no estamos admitiendo miembros; la participación es experimental.

3. Información que recogemos

3.1 Información que nos das

• Información de la cuenta: si inicias sesión con Google, recibimos un token de autenticación y el identificador de tu cuenta de Google. Conservamos el identificador, que es lo que vincula tu cuenta con tu inicio de sesión de Google. No almacenamos el nombre, el correo electrónico ni la foto de tu cuenta de Google, y no conservamos el token, que los contiene.
• Credenciales de clave de acceso: si usas una clave de acceso (WebAuthn), almacenamos la credencial de clave pública, un identificador y los metadatos del dispositivo necesarios para autenticarte.
• Información del perfil: un nombre de usuario, que te generamos cuando se crea tu cuenta y que puedes cambiar cuando quieras en la configuración de tu cuenta. Tu nombre de usuario se publica allí donde apareces en el Servicio — véase la sección 6 —, así que si pones tu propio nombre, tu propio nombre es lo que se publica. También generamos un código de invitación para cada cuenta; nada en el Servicio lo usa.
• Contenido que creas: nombres de partidos políticos, descripciones y enlaces.
• Una denuncia sobre un partido: si denuncias la entrada de un partido en el registro, conservamos qué partido es, qué motivo elegiste, lo que escribiste y la hora. En la mayoría de los motivos te pedimos además tu nombre y una dirección de correo electrónico, porque la ley que nos obliga a aceptar tu denuncia también nos obliga a confirmarte que la tenemos y a decirte qué decidimos — y no tenemos ninguna otra forma de localizarte. En un motivo no pedimos ninguna de las dos cosas, y no conservamos ninguna: la denuncia de que el contenido es material de abuso sexual infantil. Si tu sesión está iniciada, registramos además desde qué cuenta se presentó. La sección 8 indica durante cuánto tiempo conservamos la dirección que das, y la sección 10.1 indica para qué la usamos y para qué no.
• Lo que nos escribes: si nos escribes por correo electrónico, tenemos la dirección desde la que escribes y cualquier nombre que tu servicio de correo muestre con ella, lo que escribes, todo lo que envíes con ello y nuestras respuestas. Tu servicio de correo también puede añadir datos técnicos, como la dirección de red desde la que lo enviaste. Si empiezas el correo desde un enlace de la aplicación, su línea de asunto lleva además tu nombre de usuario. Iniciar sesión no nos deja ninguna dirección de correo electrónico (véase arriba), así que un correo que nos envíes y una dirección dada en una denuncia son las únicas formas en que llegamos a tener una. Nunca necesitamos saber cómo votaste, y nunca necesitamos una foto tuya ni un documento de identidad, así que te pedimos que no los envíes. La sección 8 indica durante cuánto tiempo conservamos tu correo.
• Confirmación de edad: que confirmaste que tienes 18 años o más, y cuándo. Lo preguntamos una sola vez, antes de la verificación de identidad. No te pedimos tu fecha de nacimiento ni almacenamos ninguna — solo que se dio la confirmación, la edad frente a la que se dio y la hora.
• Resultado de la revisión de tu partido: si la revisión automática de la sección 5.1 mostró tu partido por defecto o lo apartó como spam, el motivo que dio, cuál de sus dos comprobaciones (o qué persona) lo decidió, qué modelo lo decidió cuando lo decidió un modelo, y cuándo.
• Si tu partido dice o no qué quiere en materia de IA: si el nombre o la descripción de tu partido dice qué quiere el partido en materia de inteligencia artificial, tal como lo leyó la revisión de la sección 5.2; la línea que dio, que puede citar tus propias palabras; qué dio la respuesta (el clasificador automático o una persona); qué modelo, cuando respondió un modelo; y cuándo.
• La decisión de retirar tu partido: al margen de la revisión anterior, un partido cuyo contenido consideramos ilícito puede quedar fuera del registro por completo — su página deja de abrirse para todo el mundo, no se puede encontrar y no puede recibir votos. Es una medida distinta y mucho más grave que el resultado de la revisión anterior, que solo afecta a si un partido se muestra por defecto. Cuando lo hacemos, conservamos la fecha, la base jurídica en la que nos apoyamos, nuestra propia explicación escrita de por qué esa base se aplica a tu partido, si lo motivó la denuncia de alguien o nuestra propia revisión, y una etiqueta de quien tomó la decisión. Se te muestra todo eso salvo lo último, en el Servicio, en la página de tu propio partido — que sigue abriéndose para ti aunque no se abra para nadie más. No nombramos a la persona que lo decidió, y no te decimos quién te denunció, si es que alguien lo hizo.
• Registro de voto: que votaste en una elección de prueba concreta, y cuándo. No por qué partido votaste. En esta política, tu papeleta es la opción por la que votas en una elección de prueba. Tu papeleta es privada: tu opción se suma al total del partido y no se almacena con tu cuenta. Aparte de la confirmación que muestra tu propio dispositivo cuando votas, ninguna pantalla del Servicio muestra cómo votaste, y no lo publicamos. En algunos casos, alguien con acceso directo a nuestra base de datos (sección 11), o a una copia de ella, puede aun así vincular una papeleta con la persona que la emitió. La sección 5.3 indica cuándo, y durante cuánto tiempo.
• Detalles de la transacción: cuando retiras WDD, la dirección de la cartera de destino, la cantidad y la red seleccionada.

3.2 Verificación de identidad y datos biométricos

Para que las elecciones de prueba sean justas (una persona verificada, un voto) y para impedir el fraude y las cuentas duplicadas, verificamos que eres una persona real y única y que estás físicamente presente. En la sección 4 está la explicación completa e independiente de los datos biométricos — léela con atención, por favor.

3.3 Información que se recoge automáticamente

• Información del dispositivo y de registro: tipo de dispositivo y de navegador, sistema operativo y datos técnicos similares.
• Dirección IP: tratamos tu dirección IP para aplicar límites de frecuencia e impedir abusos (se almacena a corto plazo en nuestros registros de límite de frecuencia). También almacenamos tu dirección IP y el agente de usuario de tu navegador como parte de un registro de consentimiento cuando aceptas por primera vez nuestros Términos y declaras conocer esta política, o cuando das tu consentimiento biométrico, como prueba de esa aceptación o de ese consentimiento. Tu dirección IP y el agente de usuario de tu navegador también quedan anotados en los registros de seguridad descritos en la sección 8: cuando tu dispositivo inicia la prueba de vida de una comprobación facial, y cada vez que descargas las imágenes de tus comprobaciones faciales.
• Información de uso: funciones utilizadas y acciones realizadas dentro del Servicio.
• Copias de tus datos: cuando descargas el archivo legible por máquina que se describe en la sección 10.1, o las imágenes de tus comprobaciones faciales, registramos que se hizo una copia, cuándo, cuál de las dos fue y qué partes del registro llevaba (en el caso de las imágenes, la parte de verificación a la que pertenecen). En el caso de las imágenes, el registro se hace cuando empieza la descarga, así que una descarga que después falla en tu dispositivo aparece igualmente en la lista y cuenta para el límite. Lo conservamos para que todos los dispositivos en los que tienes la sesión iniciada lean la misma lista — es la única forma que tenemos de decirte que alguien con tu sesión se llevó una copia de todo, ya que iniciar sesión no nos deja ninguna dirección a la que avisarte, y solo te escribimos para responder a algo que nos enviaste (sección 10.1). Leer la copia en pantalla no se registra; lo que la lista recoge es la copia que sale del dispositivo.

3.4 Cookies y almacenamiento local

Solo usamos cookies y almacenamiento local estrictamente necesarios y funcionales:

• Autenticación y seguridad (cookies de sesión y de vinculación de cuentas).
• Preferencias (p. ej., el idioma que elegiste).
• Estado funcional (p. ej., la vuelta a la página tras la verificación).
• Una copia de la pantalla de tu cuenta, que se guarda para que el Servicio pueda volver a dibujarla al instante cuando vuelvas. Contiene lo que esa pantalla muestra: tu saldo de WDD, tus transacciones recientes — incluidas la dirección de la cartera de destino y la red de cada retiro que hiciste — y si tu cuenta está verificada o si se rechazó tu comprobación facial de vida. Al cerrar sesión se sustituye por una copia vacía. Hasta que cierres sesión permanece en el dispositivo, así que cierra sesión si otras personas usan ese dispositivo.

No usamos cookies publicitarias y no ejecutamos ningún SDK de publicidad ni de seguimiento entre sitios.

4. Datos biométricos (comprobación facial de vida) — lee esto con atención

Para votar en una elección de prueba y para registrar un partido, debes completar una comprobación facial de vida. En esta política, a esa comprobación la llamamos la comprobación facial. La comprobación facial trata datos biométricos, que son datos personales sensibles / de categorías especiales. Queremos ser totalmente transparentes al respecto.

4.1 Qué ocurre

• Tu dispositivo capta un breve video facial en vivo, que trata Amazon Web Services (AWS) Amazon Rekognition Face Liveness para confirmar que hay presente una persona real y viva (antisuplantación).
• AWS almacena una imagen facial de referencia de la sesión. AWS almacena esa imagen tanto si la comprobación se supera como si no, así que una comprobación que no se superó deja igualmente una imagen. Puedes hacer que esa imagen se destruya cuando quieras (sección 4.4).
• Si la comprobación se supera, añadimos a una colección segura de AWS Rekognition un vector facial (plantilla) creado a partir de esa imagen. Una comprobación que se rechaza por duplicada no añade ningún vector a la colección.
• Usamos esa colección para ejecutar una comparación de uno a muchos con los vectores faciales de otras personas y comprobar si ese mismo rostro ya está verificado en otra cuenta.

El rechazo es automático. Si la comparación encuentra una coincidencia, la verificación de esa cuenta se rechaza en ese momento, por la propia comparación, y ninguna persona interviene en la decisión. Lo único que se pondera es cuánto se parece el vector facial creado a partir de tu escaneo a un vector que ya está en la colección, medido frente a un único umbral de similitud fijo; nada más sobre ti entra en esa decisión. Una cuenta rechazada no puede votar en elecciones de prueba ni registrar un partido, y el rechazo se mantiene para esa cuenta salvo que una persona lo cambie.

Puedes pedir que una persona lo revise. Escribe a privacy@worldrepublic.org y responderemos en el plazo de un mes. Esa persona compara la imagen de referencia de tu comprobación con la que se conserva para la cuenta con la que coincidió, cuando ambas siguen existiendo — cualquiera de las dos puede haberse destruido ya conforme a la sección 4.5 — y puede revocar el rechazo y verificarte.

Si las imágenes ya no están, la cosa no acaba ahí. Cuando el rostro con el que coincidió tu comprobación se destruyó después — porque esa cuenta se eliminó o porque la persona que había detrás retiró su consentimiento —, una persona puede, en cambio, levantar el rechazo para que puedas volver a hacer la comprobación. Eso no es una decisión de que tu cuenta esté verificada: la nueva comprobación se ejecuta por completo, contra la misma comparación, y puede volver a rechazarte. Para que las dos vías sean posibles, conservamos el registro de la coincidencia junto con la comprobación rechazada: con qué cuenta coincidió y cuánto se acercó la comparación (sección 8).

4.2 Derivación a Didit

Esta vía no se ofrece actualmente y no se puede iniciar ninguna comprobación. Se describe aquí porque está diseñada.

La idea es una derivación a Didit, un proveedor de verificación de identidad, para alguien a quien la comprobación facial rechaza por error — una falsa coincidencia de duplicado entre personas que se parecen. Pediría tu consentimiento explícito y haría que Didit comprobara un documento y un selfi en nuestro nombre.

Hoy no funciona nada de eso: el Servicio no tiene ninguna pantalla que la ofrezca, y la vía que iniciaría una comprobación rechaza todas las solicitudes. Didit no conserva ningún dato de verificación nuestro. Si la comprobación facial te rechazó, la vía que tienes abierta es la de la sección 4.1: escribe a privacy@worldrepublic.org, y una persona puede mirar los dos registros y reabrir la verificación.

Si alguna vez se ofrece la derivación, esta sección indicará qué recoge y qué recibimos nosotros antes de que lo haga.

4.3 Aviso sobre los proveedores de servicios (AWS y Didit)

La República Mundial recurre a proveedores de servicios para los servicios de verificación de identidad. Los identificadores biométricos y la información biométrica («datos biométricos»), en concreto los escaneos de tu geometría facial y las imágenes y plantillas faciales relacionadas, pueden ser recogidos, almacenados y utilizados por estos proveedores de servicios (AWS; y Didit, si alguna vez se ofrece la derivación de la sección 4.2) en nombre de la República Mundial con la finalidad de verificar que eres una persona real y única y que estás físicamente presente, y de impedir cuentas duplicadas o fraudulentas. La República Mundial destruye los datos biométricos que AWS almacena en su nombre cuando se ha cumplido la finalidad inicial para la que se recogieron, cuando pides su eliminación, o antes si la ley lo exige. Didit no conserva ningún dato biométrico ni de identidad nuestro, porque la derivación no se ofrece. Si alguna vez se ofrece, se fijarán y se indicarán aquí antes las condiciones en las que Didit puede conservar esos datos y debe eliminarlos. Los datos biométricos pueden transmitirse entre la República Mundial y sus proveedores de servicios en la medida necesaria para prestar este servicio.

4.4 Tu consentimiento y tu decisión

Debajo de esta comprobación hay dos cosas, y nombramos las dos.

La comprobación en sí es necesaria para el servicio que nos pides. Una elección de prueba en la que una persona verificada tiene un voto no se puede celebrar si no se demuestra que cada votante está inscrito una sola vez, y hoy no tenemos ninguna forma menos intrusiva de demostrarlo. Como la comprobación trata datos biométricos, hace falta además una segunda cosa: tu consentimiento explícito y afirmativo, que es la condición en la que nos apoyamos para los datos biométricos en sí. Pedimos ese consentimiento al principio de la comprobación facial, y no tratamos ningún dato biométrico sin él.

Qué te cuesta negarte. Hoy la comprobación facial es la única vía para votar. Si te niegas, no puedes votar en una elección de prueba ni puedes registrar un partido nuevo. No te cuesta nada más: puedes seguir teniendo WDD, retirar WDD, liderar un partido que registraste antes y usar el resto del Servicio. Antes de cualquier elección cuyo resultado vincule a alguien, ofreceremos una vía para votar que no use una comprobación facial.

Puedes retirar ese consentimiento cuando quieras, y no tienes que eliminar tu cuenta para hacerlo. En la aplicación, abre Cuenta → Verificación → Eliminar mis datos faciales. La retirada surte efecto de inmediato y destruye tanto las imágenes de referencia como la plantilla facial con la que comparamos. Si quieres una copia de las imágenes, descárgalas primero, desde la misma pantalla (sección 10.1). Tu cuenta, tu saldo de WDD, el partido que lideres y cualquier voto que ya hayas emitido no cambian. No podrás volver a votar hasta que completes una nueva comprobación facial, que puedes hacer cuando quieras — salvo que tu comprobación ya se haya rechazado por ser un duplicado de otra cuenta (el rechazo automático descrito en la sección 4.1). Retirar el consentimiento destruye los datos, pero no anula esa decisión; escribe a privacy@worldrepublic.org para impugnarla.

Una excepción, y es la misma que la sección 4.5 describe para la eliminación de la cuenta: si una elección de prueba en la que votaste sigue abierta cuando retiras el consentimiento, tu consentimiento termina de inmediato, pero los datos biométricos en sí se destruyen cuando esa elección cierre — salvo que completes una nueva comprobación facial antes, en cuyo caso ese nuevo consentimiento se mantiene y no se destruye nada. Como expone la sección 4.5, la destrucción nunca espera más de catorce días: una elección que cierra más de catorce días después de que retires el consentimiento no retrasa la destrucción en absoluto. También puedes eliminar toda tu cuenta en su lugar (sección 9) o escribirnos para ejercer cualquiera de los derechos de la sección 10.

4.5 Conservación y destrucción

Conservamos los datos biométricos solo durante el tiempo necesario para la verificación y para impedir duplicados. Los destruimos cuando se cumple la finalidad, cuando pides su eliminación, cuando se elimina tu cuenta o tres años después de tu última interacción con el Servicio — lo que ocurra primero. Un registro se conserva más tiempo: la entrada del registro de auditoría de seguridad descrita en la sección 1 de nuestra Política de conservación y destrucción de datos biométricos, que anota las posiciones de tus ojos, tu nariz y tu boca y el ángulo de tu cabeza. Nuestra Política de conservación y destrucción de datos biométricos escrita expone en detalle cada uno de esos supuestos, y la sección 2 de esa política enumera qué cuenta como interacción. La destrucción incluye eliminar la imagen de referencia de AWS (Amazon S3) y el vector facial (colección de Rekognition).

Una excepción, acotada y expuesta aquí porque conviene que la conozcas antes de actuar: si eliminas tu cuenta — o retiras tu consentimiento biométrico conforme a la sección 4.4 — mientras una elección de prueba en la que votaste sigue abierta, conservamos tus datos biométricos hasta que esa elección cierre y los destruimos entonces. Si retiraste el consentimiento y después vuelves a verificarte antes de que la elección cierre, la destrucción pendiente se cancela, porque la nueva comprobación facial es un nuevo consentimiento; una eliminación nunca se cancela de esta manera. Un voto emitido no se puede sacar del total del partido, así que sigue contando, y la comprobación facial es lo único que impide que una misma persona verifique una cuenta nueva y vote por segunda vez en la misma elección. El retraso nunca supera el tiempo que le queda a la elección ni los catorce días: una elección que cierra más de catorce días después de que actúes no retrasa la destrucción en absoluto. Ninguna otra parte de la eliminación espera.

4.6 Dónde se tratan los datos biométricos

AWS trata y almacena tus plantillas faciales y tus imágenes de referencia en la Unión Europea (Irlanda). Los metadatos de verificación asociados (por ejemplo, las puntuaciones de confianza y las referencias de almacenamiento) se conservan en nuestra base de datos principal (véase la sección 7).

5. Cómo usamos la información y nuestras bases jurídicas

5.1 Revisión automática de los registros de partidos

Cuando registras un partido o lo editas, un programa lo revisa antes de que se muestre por defecto. Ninguna persona interviene en ese paso.

• Qué lee: el nombre del partido, la descripción, el enlace al sitio web y el nombre de usuario del líder — nada más sobre ti.
• Qué decide: si el partido aparece en las listas por defecto, en la búsqueda y en la lista de partidos de la elección, o si se aparta como spam. Un partido apartado no se elimina: sigue en su propia dirección, se puede encontrar eligiendo mostrar todos los partidos y se puede votar por él.
• Los motivos: publicidad de algo ajeno al Servicio (incluida la suplantación del Servicio o de un partido ya establecido), ofrecer pagos individuales a cambio de votos, incitación a la violencia y obscenidad. Las opiniones políticas nunca son un motivo, y la revisión debe citar lo que marca.
• Cómo decide: un gran modelo de lenguaje, GLM-5.3 Flash de Z.ai, aplica esas reglas al texto. Cuando ese modelo no está disponible, las mismas reglas las aplica GLM-5.3, del mismo fabricante. Los dos se ejecutan en Baseten, en Estados Unidos (secciones 6 y 7), que no conserva nada de ninguna de las dos peticiones una vez respondida y no entrena con ella. Una segunda regla, fija, compara el nombre del partido con los nombres de los partidos ya establecidos. El resultado, su motivo, qué comprobación decidió y — cuando decidió un modelo — cuál de los dos modelos se conservan junto al partido (sección 8).
• Por qué puede decidirlo un programa: un registro cuyas entradas son todas partidos auténticamente registrados forma parte del servicio para el que registras un partido, y eso es lo que permite que esta decisión la tome un programa. El registro de un partido expresa además opiniones políticas. La decisión nunca se toma en función de esas opiniones — los motivos de arriba son cosas que un registro hace, no cosas sobre las que trata, y un registro nunca se marca por lo que defiende. Esas opiniones solo se leen porque están en el texto que se comprueba, y eres tú quien las hace públicas al registrar el partido para su publicación en el registro público. No tienes que registrar un partido para votar, para tener WDD ni para usar nada más.
• Tus opciones: el líder del partido ve el resultado y el motivo en la página del partido. Editar el partido lo vuelve a enviar a revisión. Puedes pedir que una persona revise el resultado escribiendo a privacy@worldrepublic.org, dirección a la que enlaza la página del partido.

5.2 ¿Dice un partido qué quiere en materia de IA?

Raised by Humanity es una campaña sobre cómo debería gobernarse la inteligencia artificial. Para distinguir qué partidos toman postura al respecto, la misma petición que lleva la revisión de la sección 5.1 hace también una segunda pregunta, distinta.

• Qué pregunta: si alguien que sigue el debate público sobre la IA podría saber, por el nombre o la descripción del partido, qué quiere el partido en materia de IA — cómo debería desarrollarse, usarse, compartirse, limitarse o gobernarse la IA. Cualquier postura cuenta, a favor o en contra, y ninguna cuenta más que otra. Un partido no tiene que usar la palabra «IA». Mencionar la IA, o usarla o venderla, no es una postura.
• Qué lee: los mismos campos que en la sección 5.1, en la misma petición — el nombre del partido, la descripción, el enlace al sitio web y el nombre de usuario del líder. No se envía nada más, y no se envía a ningún otro sitio.
• Qué registra: la respuesta — el partido dice qué quiere en materia de IA, o no lo dice — con una línea que cita las palabras en las que se apoyó, el modelo que respondió y cuándo. Se conserva junto al partido (sección 8).
• Qué cambia: una sola vista, y solo para un lector que la pide. Activar «Mostrar solo los partidos de gobernanza de la IA» en la lista de partidos o en la lista de partidos de una elección muestra solo los partidos cuya respuesta es que dicen qué quieren en materia de IA. El filtro está desactivado, salvo que el lector lo active. La respuesta no interviene en la revisión de la sección 5.1. Sin ese filtro, la respuesta no cambia nada de lo que ve cualquier persona, incluidas las listas por defecto, la búsqueda y la lista de partidos de una elección, y nunca afecta a una votación. Si eso cambia, esta sección lo dirá desde el día en que ocurra.
• Cómo decide: los mismos modelos que en la sección 5.1 — GLM-5.3 Flash de Z.ai, o GLM-5.3 cuando ese modelo no está disponible —, que se ejecutan en Baseten, en Estados Unidos; Baseten no conserva nada de la petición una vez respondida y no entrena con ella.
• Tus opciones: cada edición del partido vuelve a hacer la pregunta, y su respuesta sustituye a la anterior. La respuesta está en la copia de tus datos que te da el Servicio (sección 10). Puedes pedir que una persona la revise, u oponerte a ella, escribiendo a privacy@worldrepublic.org. Si la respuesta es que tu partido no dice qué quiere en materia de IA, la tarjeta de tu partido lo indica mientras tengas ese filtro activado.
• Por qué puede leer una postura política: este es el único lugar en el que el Servicio lee lo que defiende un partido, y no solo lo que hace. Solo lee las palabras que el propio partido publicó, sobre un único tema, y trata igual todas las posturas sobre ese tema. Eres tú quien hace públicas esas palabras al registrar el partido para su publicación en el registro público. No tienes que registrar un partido para votar, para tener WDD ni para usar nada más.

5.3 Tu papeleta

Cuando votas, nuestro servidor recibe a la vez quién eres y tu opción, porque tiene que comprobar que puedes votar y después contar el voto. Almacena las dos cosas por separado, en tres registros que se guardan juntos: un registro de que votaste en esa elección, y cuándo; un registro de tu consentimiento para que se cuente tu voto, que nombra la elección y el día; y un voto más sumado al total del partido. Ningún registro almacena tu opción con tu cuenta. En algunos casos tu papeleta puede, aun así, vincularse contigo, y esta sección indica cuándo.

• Mientras una elección está abierta. Nuestra base de datos marca cada cambio que guarda con un número de referencia. Los tres registros se guardan en el mismo cambio, así que llevan el mismo número. Por eso, mientras una elección está abierta, alguien con acceso directo a nuestra base de datos (sección 11) podría averiguar quién emitió la papeleta más reciente a favor de cada partido y, observando cómo cambian los totales, quién emitió cada papeleta durante ese tiempo. Con herramientas que leen directamente el almacenamiento de la base de datos, también podría averiguar quién emitió otras papeletas recientes, a partir de versiones anteriores de los totales que la base de datos todavía no ha borrado. Nuestras elecciones de prueba reciben papeletas durante tres días, y el Servicio nunca recibe papeletas en una elección durante más de catorce días.
• Una vez que cierra. Poco después de que una elección cierre, normalmente en cuestión de minutos, reescribimos sus totales en un cambio aparte. A partir de entonces, ningún registro de nuestra base de datos principal, con la que funciona el Servicio, vincula una papeleta con la persona que la emitió. Las versiones anteriores de los totales pueden quedarse en el almacenamiento de la base de datos hasta que se sobrescriban, y esas mismas herramientas todavía pueden leerlas.
• En el historial de recuperación y las copias de seguridad de nuestro proveedor. Nuestro proveedor de base de datos conserva un historial de recuperación de la base de datos, que actualmente fijamos en unas seis horas. Ese historial puede vincular cualquier papeleta emitida en ese tiempo, y puede recuperar los totales tal como estaban antes de que los reescribiéramos, con los vínculos que contenían. El proveedor conserva además copias de seguridad propias, que, según afirma, conserva durante 30 días; todavía no hemos confirmado con él qué abarcan esas copias de seguridad. Esas copias de seguridad, y cualquier copia de nuestra base de datos (sección 11) hecha antes de que se reescribieran los totales, conservan estos vínculos hasta que vencen o se eliminan, y una copia que eliminamos puede permanecer en esas copias de seguridad hasta que venzan.
• En lo que publicamos. Publicamos el total de cada partido una vez cerrada la elección (sección 6); mientras está abierta, solo mostramos cuántas papeletas se han emitido en total. Si todos los votantes de una elección votan por el mismo partido, los totales muestran cómo votó cada uno de ellos a cualquiera que sepa que votaron. Y cuando votan muy pocas personas, alguien que sepa cómo votaron las demás puede deducir el resto.

Nada en el Servicio usa nada de esto para vincular una papeleta con la persona que la emitió.

Como tu opción revela una opinión política, te pedimos tu consentimiento explícito antes de contarla. La pantalla en la que emites tu voto tiene una casilla sin marcar que pide ese consentimiento, en cada elección de prueba, y hay que marcarla antes de emitir el voto; nuestro servidor rechaza una papeleta sin él. Registramos ese consentimiento con la elección, la versión y el idioma del texto que marcaste, y el día. Con él no registramos ninguna dirección IP ni ningún navegador, y solo registramos el día, porque se guarda en el mismo momento que el registro de que votaste, y una hora exacta sería un segundo registro de cuándo votaste. Puedes retirar ese consentimiento (sección 10).

6. Cómo compartimos la información

No vendemos tu información personal. Esta sección expone quién recibe información sobre ti y en calidad de qué. Parte de ella la gestionan para nosotros proveedores de servicios, siguiendo nuestras instrucciones y sin ninguna finalidad propia. Parte llega a una empresa que decide por su cuenta qué hacer con esa información, y esta sección nombra a esos destinatarios. Parte tenemos que revelarla para cumplir la ley y, en una fusión, una adquisición o una transmisión de activos, lo que tenemos pasaría al comprador, con sujeción a las garantías que exige la ley — salvo tus datos biométricos, que nunca pasan de ese modo. Y parte la publica el Servicio para otras personas.

Proveedores de servicios que actúan por cuenta nuestra. Estos proveedores tratan la información siguiendo nuestras instrucciones y sin ninguna finalidad propia. Didit figura en la lista de abajo solo para que esté completa, y hoy no trata nada para nosotros:

• Google Workspace — aloja nuestros buzones de correo: todas las direcciones que terminan en @worldrepublic.org, entre ellas info@worldrepublic.org, privacy@worldrepublic.org y legal@worldrepublic.org. Todo lo que nos escribas a cualquiera de ellas, y todo lo que envíes con ello — incluido lo que envíes para demostrar que una solicitud es tuya (sección 10.3) —, lo trata Google como proveedor nuestro. Los avisos operativos que se describen más abajo en la entrada de Amazon Web Services también se entregan por correo electrónico, y una de las direcciones a las que llegan está en nuestro propio dominio. Así que un aviso que lleva una dirección de cartera de destino también lo trata Google. Iniciar sesión con Google es una relación distinta, y esta sección la expone más abajo.
• Amazon Web Services (AWS) — cuatro cosas. Amazon Rekognition Face Liveness, Amazon S3 (imágenes de referencia) y Amazon Cognito (credenciales temporales de invitado), como proveedor de servicios nuestro para la verificación biométrica (región de la UE). Amazon Simple Notification Service, que transporta nuestros avisos operativos. AWS CloudTrail, que lleva el registro de auditoría de seguridad de nuestras cuentas en la nube y nuestro registro de accesos a las imágenes de comprobaciones faciales (sección 8). Y Amazon Simple Email Service, que transporta los dos mensajes que debemos a quien denuncia un partido — que tenemos la denuncia y qué decidimos. Esos mensajes van a la dirección que esa persona nos dio y llevan el nombre del partido, la fecha y una referencia; nunca llevan el motivo que se eligió ni lo que la persona escribió. Un aviso nos dice que algo necesita atención — por ejemplo, un retiro que salió mal, una cuenta que alcanzó uno de los límites que fijamos sobre con qué frecuencia puede actuar, un registro de partido que la revisión automática no pudo leer, o una destrucción de datos biométricos que no se completó. Son ejemplos, no la lista completa. Un aviso puede llevar una dirección de cartera de destino, la cantidad y la red de un retiro y la referencia que damos a ese retiro en nuestros propios registros, el identificador interno de una cuenta y el identificador de un partido. Cuando se envió una transferencia, un aviso puede llevar además el hash de esa transacción en la cadena de bloques y la referencia que le dio el proveedor de pagos. Un aviso nunca lleva el nombre ni la descripción de un partido, y nunca lleva lo que la revisión automática dijo sobre él.
• Didit — verificación de identidad por derivación. No se ofrece actualmente y no conserva ningún dato nuestro (sección 4.2). Véanse el Verification Privacy Notice y los End User Terms for Identity Verification de Didit.
• Coinbase — ejecuta los retiros de WDD en la cadena de bloques; recibe la dirección de destino, la cantidad, la red y la referencia que damos a ese retiro en nuestros propios registros, y nada más.
• Neon — alojamiento de la base de datos para los datos del Servicio. Nuestra base de datos se ejecuta en Singapur, y Neon también trata datos en Estados Unidos (sección 7).
• Vercel — alojamiento de la aplicación y registros de infraestructura. Nuestra aplicación se ejecuta en Singapur, y Vercel también trata datos en Estados Unidos (sección 7). Su AI Gateway transporta además la petición de revisión de partidos de las secciones 5.1 y 5.2 — una sola petición — hasta Baseten y a ningún otro sitio.
• Baseten — ejecuta los modelos de lenguaje que revisan los registros de partidos (secciones 5.1 y 5.2); recibe el nombre del partido, la descripción, el enlace y el nombre de usuario del líder, no conserva nada de ello una vez respondida la petición y no entrena con ello (Estados Unidos).

Puedes pedirnos una lista actualizada de los subencargados del tratamiento.

Google, cuando inicias sesión. Iniciar sesión con Google es un intercambio entre tú y Google, y Google decide por su cuenta qué hacer con ese intercambio. Aquí Google no actúa solo siguiendo nuestras instrucciones, así que para esto Google no es proveedor de servicios nuestro. Recibimos un token de autenticación y un identificador de tu cuenta de Google, y conservamos solo el identificador (sección 3.1). Lo que Google hace con un inicio de sesión se rige por la propia política de privacidad de Google (policies.google.com/privacy).

Revelaciones exigidas por la ley, y si el Servicio pasa a otra organización. Podemos revelar información para cumplir la ley o requerimientos válidos de autoridades públicas. También podemos revelar información en una fusión, una adquisición o una transmisión de activos (con sujeción a las garantías que exige la ley). Tus datos biométricos nunca forman parte de una transmisión así. No los vendemos, no los arrendamos, no los intercambiamos ni sacamos provecho de ellos de ninguna otra forma, y no se los pasamos a un comprador junto con el resto de lo que tenemos. Aparte del proveedor que los almacena para nosotros y siguiendo nuestras instrucciones (sección 4.3), solo revelamos datos biométricos cuando lo consientes, cuando una ley lo exige o cuando lo obligan una orden judicial o una citación válidas. Una fusión, una adquisición y una transmisión de activos no son ninguna de esas cosas.

Lo que publica el Servicio. Parte de lo que haces se muestra a otras personas. Esto no es compartir con un proveedor. Es publicación, y no se puede deshacer pidiéndole a un proveedor que pare:

• El registro de partidos. Si registras un partido, se publican en el registro el nombre, la descripción y el enlace del partido, tu nombre de usuario y el total de WDD concedido al partido en subvenciones. El registro es abierto: cualquiera puede leerlo sin una cuenta y los buscadores pueden indexarlo.
• Retiros. Un retiro de WDD es una transacción pública en la cadena de bloques. La dirección de destino, la cantidad, la red, la hora y la referencia que damos a ese retiro en nuestros propios registros se publican en la cadena de bloques, no los publicamos nosotros, y nadie puede eliminarlos. Escribimos esa referencia dentro de la transacción para que se pueda demostrar que un retiro se hizo una vez y solo una. La referencia no es el identificador de tu cuenta. Cada retiro tiene su propia referencia, y una referencia pertenece a un solo retiro. Para comprobar que un retiro se hizo, pedimos a un servicio público de cadena de bloques que busque la transacción por nosotros. Esos servicios ven lo que la cadena de bloques ya publica — la dirección, la cantidad y la referencia — y nada más de lo que tenemos sobre ti.
• Resultados electorales. El total de votos de cada partido se publica una vez cerrada la elección. Mientras una elección está abierta, no se muestra el total de ningún partido, solo cuántas papeletas se han emitido en total. Publicamos solo totales, nunca una papeleta individual. Si todo el mundo votó por el mismo partido, los totales pueden mostrar aun así cómo votaste a alguien que sepa que votaste; y si votaron muy pocas personas, a alguien que además sepa cómo votaron las demás (sección 5.3). La sección 5.3 indica cuándo puede vincularse una papeleta contigo en nuestra base de datos.

Tu nombre de usuario es el nombre que aparece en todo esto, y lo eliges tú (sección 3.1).

7. Transferencias internacionales de datos

Nuestra sede está en Suiza, que cuenta con una decisión de adecuación de la UE, y además estamos establecidos en la Unión Europea (sección 1). Tus datos se tratan en más de un país:

• Los datos biométricos (plantillas faciales e imágenes de referencia) los trata y almacena AWS en la Unión Europea (Irlanda).
• El registro de auditoría de seguridad de nuestras cuentas en la nube, y nuestro registro de accesos a las imágenes de comprobaciones faciales (sección 8): las entradas sobre ti se guardan en la Unión Europea — en Irlanda, donde se hace la comprobación facial, y en Alemania, donde guardamos nuestras copias.
• Los datos de la cuenta y de la aplicación se guardan en nuestra base de datos en Neon y los sirve Vercel. Los dos se ejecutan en Singapur, y parte de estos datos llega también a Estados Unidos: el acuerdo de tratamiento de datos de Vercel indica que sus principales instalaciones de tratamiento están en Estados Unidos, y Neon contrata a través de una empresa matriz estadounidense cuyas condiciones nombran a un proveedor estadounidense para la supervisión de la infraestructura. Lo que viaja por esa vía son los registros de solicitudes y de servidor — tu dirección IP, el agente de usuario de tu navegador, la página que pediste y, en algunos registros de error, el identificador interno de una cuenta.
• Los registros de partidos en revisión (nombre, descripción, enlace, nombre de usuario del líder) se envían a Baseten, en Estados Unidos, para la revisión automática de las secciones 5.1 y 5.2, y allí no se almacenan.
• Los detalles del retiro — la dirección de destino, la cantidad, la red y la referencia que damos a ese retiro en nuestros propios registros — van a Coinbase, una empresa con sede en Estados Unidos. No hemos determinado en qué países trata Coinbase esos datos.
• Los avisos operativos los transporta Amazon Simple Notification Service (sección 6), y un aviso puede llevar una dirección de cartera de destino, la cantidad y la red de un retiro y la referencia que damos a ese retiro en nuestros propios registros, el identificador interno de una cuenta y el identificador de un partido. Cuando se envió una transferencia, un aviso puede llevar además el hash de esa transacción en la cadena de bloques y la referencia que le dio el proveedor de pagos. Un aviso nunca lleva el nombre ni la descripción de un partido, y nunca lleva lo que la revisión automática dijo sobre él. Ese servicio se ejecuta en la región de Amazon que tengamos configurada para él, y esa región puede estar fuera de la Unión Europea. El aviso se entrega después por correo electrónico, y una de las direcciones a las que llega está en nuestro propio dominio, que Google Workspace aloja en Estados Unidos y en otros países (sección 6).
• Los mensajes a quien denunció un partido los transporta Amazon Simple Email Service en la Unión Europea (Irlanda) — la misma región que los datos biométricos, al amparo del mismo acuerdo.
• Los datos de inicio de sesión van a Google, que los trata en Estados Unidos y en otros países.
• La derivación a la comprobación de documento de identidad de la sección 4.2 no envía nada a ninguna parte, porque no se ofrece y no se puede iniciar ninguna comprobación. La empresa de Didit que contrata con clientes en Europa es Didit Identity Spain, S.L., y Didit afirma que sus principales sistemas de tratamiento están dentro del Espacio Económico Europeo. Esa afirmación es de Didit, y nosotros no la hemos confirmado. Antes de que la vía se ofrezca, confirmaremos en esta sección dónde se trataría una comprobación y nombraremos la garantía que la cubre.
• Lo que escribes a cualquiera de nuestras direcciones — info@worldrepublic.org, privacy@worldrepublic.org, legal@worldrepublic.org o cualquier otra dirección que termine en @worldrepublic.org — lo trata Google Workspace (sección 6) en Estados Unidos y en otros países en los que Google y las empresas a las que recurre tienen instalaciones.

Singapur no está cubierto por ninguna decisión de adecuación de la UE ni de Suiza, y Estados Unidos solo lo está para los destinatarios certificados en el Marco de Privacidad de Datos. No nos apoyamos en una única garantía para todas estas transferencias. Preferimos decirte qué garantía cubre a qué destinatario antes que nombrar un instrumento que no tenemos:

• Vercel, y Baseten a través de la pasarela de Vercel: las Cláusulas Contractuales Tipo de la Comisión Europea y el International Data Transfer Addendum del Reino Unido, ambos incorporados en el acuerdo de tratamiento de datos de Vercel. No hemos determinado si ese acuerdo lleva además el complemento que exige la ley suiza. No tenemos ningún acuerdo aparte con Baseten.
• Google, para nuestros buzones de correo: las condiciones estándar de Workspace de Google, que incorporan la adenda de tratamiento de datos de Google y las Cláusulas Contractuales Tipo.
• Google, para el inicio de sesión: ninguna propia. Google decide por su cuenta cómo gestiona un inicio de sesión, así que aquí Google no actúa solo siguiendo nuestras instrucciones, y no tenemos ningún acuerdo de tratamiento de datos con Google para el inicio de sesión. Google afirma que está certificado en el Marco de Privacidad de Datos UE-EE. UU. No hemos obtenido ningún instrumento aparte para esta transferencia.
• AWS: el acuerdo de tratamiento de datos de AWS. Tus datos biométricos se guardan en la Unión Europea (Irlanda) y no se transfieren fuera de la Unión Europea en absoluto. Cuando descargas una copia de las imágenes de tus propias comprobaciones faciales (sección 10.1), tu navegador las obtiene directamente de AWS en la Unión Europea (Irlanda), estés donde estés: no pasan por nuestros servidores y no guardamos ninguna copia de lo que descargas. Los avisos operativos descritos arriba se transportan al amparo del mismo acuerdo, en la región de Amazon que tengamos configurada para esos avisos. Los mensajes que enviamos a quien denunció un partido se transportan al amparo de ese mismo acuerdo, en la Unión Europea (Irlanda).
• Neon: las condiciones estándar de Neon, que se aplican automáticamente cuando usamos Neon. Las cláusulas de transferencia de ese contrato están en las condiciones de la empresa matriz de Neon, y todavía no las hemos obtenido.
• Coinbase: las condiciones estándar para desarrolladores de Coinbase. Entendemos que esas condiciones llevan un anexo de transferencias, y todavía no lo hemos confirmado.

Cuando una decisión de adecuación cubre una transferencia — la Unión Europea y Suiza se reconocen mutuamente —, nos apoyamos en esa decisión y no hace falta ningún otro instrumento.

Dos cosas más que conviene que sepas en vez de tener que suponerlas. No hemos hecho ninguna evaluación de impacto de las transferencias para ninguna de las transferencias nombradas arriba. No nos apoyamos en ninguna medida complementaria más allá de las medidas de seguridad de la sección 11. Estamos trabajando para poner en vigor los instrumentos que faltan, y actualizaremos esta sección a medida que cada uno esté en vigor.

Puedes pedirnos una copia de las garantías nombradas arriba. Escribe a privacy@worldrepublic.org (sección 10.1).

8. Conservación de los datos

9. Eliminación de la cuenta

Puedes eliminar tu cuenta en el Servicio. La eliminación destruye los datos biométricos que AWS tiene en nuestro nombre y suprime tus registros de verificación. Destruye tus credenciales de inicio de sesión — el vínculo con tu cuenta de Google y cualquier clave de acceso — para que ya no se pueda iniciar sesión en la cuenta. Si después vuelves a iniciar sesión, obtienes una cuenta nueva y vacía. Sustituye tu nombre de usuario por uno generado al azar, y suprime la dirección IP y los datos del dispositivo que se conservan con tus registros de consentimiento. Dentro de nuestra base de datos, estos cambios se hacen en nuestra base de datos principal, con la que funciona el Servicio. Nuestro proveedor de base de datos conserva un historial de recuperación de la base de datos, que actualmente fijamos en unas seis horas, y copias de seguridad propias, que, según afirma, conserva durante 30 días; todavía no hemos confirmado con él qué abarcan esas copias de seguridad. Lo que eliminamos permanece en ese historial y en esas copias de seguridad hasta que vencen. Solo hacemos una copia de nuestra base de datos para probar un cambio en el Servicio o para recuperarnos de un fallo, y la eliminamos cuando ese trabajo termina. Una copia hecha antes de que eliminaras tu cuenta conserva lo que contenía hasta que se elimina, y después puede permanecer en las copias de seguridad del proveedor hasta que venzan. Lo mismo ocurre con todos los registros que, según la sección 8, eliminamos de nuestra base de datos.

Al eliminar tu cuenta también se pierde tu saldo de WDD y se cancelan tus recompensas en curso — las recompensas que todavía se te estaban liberando. Eso es una condición de los Términos de uso más que una cuestión de privacidad, y la sección 8.5 de los Términos de uso la expone. Si quieres conservar tu saldo, retíralo antes de eliminar tu cuenta. No tienes que eliminar tu cuenta para que se destruyan tus datos biométricos: la sección 4.4 describe esa vía aparte, y usarla deja intacto tu saldo de WDD.

La eliminación no suprime todo, y preferimos nombrar lo que queda antes que llamarlo anónimo. Tu cuenta tiene un identificador interno que no eliminamos, y casi todos estos registros siguen vinculados a ese identificador:

• Que votaste en cada elección de prueba, y cuándo — no por qué partido votaste, que no se almacena con tu cuenta. La sección 5.3 indica cuándo una papeleta todavía puede vincularse con la persona que la emitió. El registro de que votaste se conserva para que la participación de cada elección siga siendo verdadera.
• Tu registro de WDD — cada recompensa que se te concedió, guardada como la recompensa en curso que la iba liberando en tu saldo, cada cambio en ella y cada retiro que hiciste: la dirección de la cartera de destino, la cantidad y la red y, cuando un retiro no se pudo enviar, el registro de ese intento. Tu saldo se pone a cero y tus recompensas en curso se eliminan, pero el registro de lo que se concedió y de lo que se pagó permanece. Este es nuestro registro de los WDD que hemos concedido y de los WDD que hemos pagado (sección 8).
• El código de invitación generado para tu cuenta, que nada en el Servicio usa (sección 3.1).
• La prueba de cada consentimiento que diste y de cada uno que retiraste — qué documento, qué versión, cuándo, el idioma y la pantalla en la que se mostró la declaración y, en el consentimiento para que se cuente un voto, qué elección (sección 8).
• Que confirmaste que tenías 18 años o más, y cuándo — se conserva como prueba de que lo preguntamos y de que respondiste (sección 3.1). No conservamos ninguna fecha de nacimiento, así que no hay ninguna fecha de nacimiento que suprimir.
• Un partido que registraste, que permanece en el registro. El nombre de usuario generado al azar sustituye al que elegiste como nombre del líder de ese partido.
• Los avisos operativos sobre algo que salió mal, y las copias de ellos en los buzones que los reciben — un aviso puede llevar una dirección de cartera de destino, la cantidad y la red de un retiro y la referencia que damos a ese retiro en nuestros propios registros, el identificador interno de una cuenta y el identificador de un partido. Cuando se envió una transferencia, un aviso puede llevar además el hash de esa transacción en la cadena de bloques y la referencia que le dio el proveedor de pagos. Un aviso nunca lleva el nombre ni la descripción de un partido, y nunca lleva lo que la revisión automática dijo sobre él. Un aviso es un mensaje sobre un suceso, no un registro guardado bajo tu cuenta, así que lleva los identificadores que tuviera ese suceso. Eliminar tu cuenta no los elimina (sección 8).
• Los registros de servidor y de errores, que nuestros proveedores de alojamiento y de base de datos conservan durante un plazo que no controlamos. Una línea de registro puede llevar el identificador interno de tu cuenta, la dirección desde la que llegó una solicitud y la página que pidió. Eliminar tu cuenta no elimina estos registros (sección 8).
• El registro de auditoría de seguridad de nuestras cuentas en la nube, y nuestro registro de accesos a las imágenes de comprobaciones faciales (sección 8, que indica cuánto tiempo se conserva cada uno). Sus entradas pueden llevar el identificador interno de tu cuenta o nombrar una de tus sesiones de comprobación facial. Las entradas de tus comprobaciones faciales pueden llevar además un identificador que AWS asignó a tu navegador. Las entradas de tus pruebas de vida y de tus propias descargas de las imágenes de tus comprobaciones faciales llevan también la dirección IP y el agente de usuario del navegador, y la entrada de la incorporación de tu cara a la colección anota dónde están tus ojos, tu nariz y tu boca en la imagen de referencia y el ángulo de tu cabeza, nunca la imagen ni la plantilla. La destrucción de tus datos faciales que pone en marcha la eliminación añade entradas propias, y eliminar tu cuenta no elimina ninguna de estas entradas.
• Las fechas de la propia cuenta — cuándo se creó la cuenta, cuándo cambió por última vez y cuándo se eliminó.

Esos registros están seudonimizados, no son anónimos, y la diferencia merece la pena decirla. Ninguno lleva tu dirección de correo electrónico. Ninguno lleva tu nombre ni el nombre de usuario que elegiste. Casi todos estos registros siguen vinculados al mismo identificador interno, así que todavía se pueden leer como los registros de una sola cuenta. Algunos tipos de registro son la excepción, y cada uno está nombrado arriba: un aviso operativo es un mensaje sobre un suceso, no un registro guardado bajo una cuenta, y una línea de registro de servidor o de errores, o una entrada del registro de auditoría de seguridad o de nuestro registro de accesos a las imágenes de comprobaciones faciales, solo lleva el identificador interno algunas veces. Una dirección de cartera de destino es más que un identificador seudónimo: es un identificador permanente en una cadena de bloques pública, y cualquiera que ya conozca una dirección tuya puede ver los pagos hechos a esa dirección. Llamar anónimos a estos registros no sería cierto, así que no los llamamos así.

El correo que nos enviaste se guarda aparte de tu cuenta. Eliminar tu cuenta no lo elimina. Lleva la dirección desde la que escribiste, cualquier nombre que se muestre con ella y tu nombre de usuario si lo incluiste o si empezaste el correo desde un enlace de la aplicación. Se elimina según su propio calendario (sección 8). No está en la copia que la aplicación genera para ti (sección 10.1); pídenoslo en privacy@worldrepublic.org. Puedes pedirnos que lo eliminemos antes, y lo haremos, salvo el correo que la sección 8 conserva durante tres años: es nuestro registro de cómo tramitamos una solicitud, así que se conserva durante todo el plazo.

Puedes guardar una copia de tus datos antes de eliminar tu cuenta, y conviene hacerlo primero (sección 10.1). Una vez eliminada la cuenta, esa vía desaparece: la copia se genera para una cuenta con la sesión iniciada, y en una cuenta eliminada no se puede iniciar sesión. Tampoco tendríamos después ninguna forma de convencernos de que una solicitud sobre una cuenta eliminada viene de la persona de quien era esa cuenta (sección 10.3). La copia de la aplicación no incluye las imágenes de tus comprobaciones faciales; son una descarga aparte, en Cuenta → Verificación, y, como la copia, no se pueden descargar una vez eliminada la cuenta.

Los votos que emitiste siguen contando. Tu opción forma parte del total del partido y no se almacena con tu cuenta, así que no hay nada de ella que podamos suprimir por separado. Eliminar tu cuenta deja registrado como retirado, en ese día, tu consentimiento para que se cuenten. Si una elección de prueba en la que votaste sigue abierta cuando eliminas la cuenta, tus datos biométricos se destruyen cuando esa elección cierre, no de inmediato (véase la sección 4.5).

10. Tus derechos

Según dónde vivas, puedes tener los derechos que siguen. Ejercerlos normalmente no te cuesta nada (sección 10.5), y no se te tratará de forma distinta por ejercerlos.

• UE/EEE y Reino Unido (RGPD / RGPD del Reino Unido): acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento. Cuando una decisión sobre ti se haya tomado únicamente por medios automatizados y te afecte significativamente — el rechazo descrito en la sección 4.1 y la decisión de inclusión en el listado de la sección 5.1 —, tienes además derecho a obtener intervención humana por nuestra parte, a expresar tu punto de vista y a impugnar la decisión; escribe a privacy@worldrepublic.org. Tomamos esas dos decisiones por medios automatizados porque cada una es necesaria para el servicio que nos pediste. En el caso del rechazo, ese servicio es una elección de prueba en la que una persona verificada tiene un voto. En el caso de la decisión de inclusión, ese servicio es un registro cuyas entradas son todas partidos auténticamente registrados. El rechazo decide sobre datos de categoría especial — tus datos biométricos — y la condición en la que nos apoyamos para ello es el consentimiento explícito que das en la comprobación facial (sección 4.4). La decisión de inclusión nunca se toma en función de las opiniones políticas que expresa un registro; esas opiniones solo se leen como parte del texto que se comprueba, y eres tú quien las hace públicas al registrar el partido para su publicación (sección 5.1). La respuesta de la sección 5.2 es distinta en ambos aspectos: esta sí lee la postura que un partido publica sobre la IA, y no cambia nada en cómo se muestra tu partido, salvo que un lector pida ver solo los partidos que dicen qué quieren en materia de IA (sección 5.2). Puedes pedir que una persona la revise, y puedes oponerte a ella, porque para ella nos apoyamos en nuestro interés legítimo (sección 10.6). Puedes presentar una reclamación ante tu autoridad de control local; a efectos del RGPD de la UE, nuestra autoridad de control principal es la NAIH húngara (sección 14).
• Suiza (revFADP): acceso, rectificación, eliminación, portabilidad de los datos (art. 28 revFADP), oposición y el derecho a presentar una reclamación ante el Comisionado Federal de Protección de Datos e Información (FDPIC). En el rechazo automático descrito en la sección 4.1, también puedes dar a conocer tu posición y pedir que una persona revise la decisión.
• Brasil (LGPD): confirmación de que tratamos tus datos, acceso, corrección, anonimización o eliminación, portabilidad, información sobre con quién hemos compartido tus datos y retirada del consentimiento.
• California (CCPA/CPRA): saber, eliminar, corregir, oponerte a la venta o a que se comparta (no vendemos ni compartimos) y limitar el uso de la información personal sensible (que incluye los datos biométricos).
• Leyes biométricas (BIPA de Illinois, CUBI de Texas, Washington): obtenemos tu consentimiento antes de recoger datos biométricos, nunca los vendemos, arrendamos, intercambiamos ni sacamos provecho de ellos de ninguna otra forma, y seguimos un calendario escrito de conservación y destrucción. Nunca forman parte de una fusión, una adquisición o una transmisión de activos (sección 6).

Puedes retirar tu consentimiento para que se cuente tu papeleta (sección 5.3) cuando quieras: en la aplicación, abre Cuenta → Verificación → Retirar mi consentimiento de voto. La retirada abarca todas las elecciones en las que votaste, y registramos el día en que lo retiras (sección 8). Retirarlo no afecta a la licitud del recuento de tus votos hecho antes de la retirada. Un voto ya contado se queda en el total del partido: tu opción forma parte de ese total y no se almacena con tu cuenta, así que no hay nada de ella que podamos suprimir por separado (sección 9). Retirarlo no acorta los plazos de la sección 5.3 durante los que una papeleta todavía puede vincularse contigo. Tu próximo voto vuelve a pedirte el consentimiento.

10.1 Cómo ejercerlos

Hay dos vías. La primera responde al acceso y a la portabilidad en el acto, sin pedírselo a nadie.

• En la aplicación. Abre la configuración de tu cuenta; en Cuenta hay una fila que se llama Tus datos. Genera una copia de todo lo que guardamos sobre ti y a lo que podemos llegar desde tu cuenta — una página que puedes leer y un archivo legible por máquina que puedes entregar a otro servicio. Se genera en el momento en que lo pides, para la cuenta que lo pide, y no se almacena en ninguna parte: no guardamos ninguna copia de él y no hay ningún enlace que se le pueda enviar a nadie. Esa es nuestra respuesta al acceso y a la portabilidad, y no tienes que pedírnosla. Esa copia no incluye las imágenes que tus comprobaciones faciales dejaron en nuestro poder: quedan fuera de un archivo pensado para entregarse a otros. Descárgalas en su lugar desde Cuenta → Verificación, donde vienen en un archivo propio — todas las imágenes que se guardan bajo tus propias comprobaciones faciales, y nunca ninguna que se guarde bajo las de otra persona. Eliminar tu cuenta está en la misma pantalla.
• Por escrito. Todo lo demás — rectificación, limitación, oposición, una pregunta sobre datos que tienen nuestros proveedores (secciones 4.3 y 6) o una reclamación sobre una decisión — va a privacy@worldrepublic.org.

Iniciar sesión no nos deja ninguna dirección de correo electrónico tuya (sección 3.1), así que normalmente solo podemos responder a una dirección desde la que nos escribas. Hay una excepción, y es acotada. Si denuncias un partido, conservamos la dirección que diste en esa denuncia, y la usamos para esa denuncia y para nada más: para confirmarte que la tenemos y para decirte qué decidimos. No la usamos para responder a otra pregunta, para avisarte de un cambio en esta política ni para enviarte nada que no hayas pedido. Es además parte del registro de la decisión, y por eso la sección 8 la conserva en vez de descartarla una vez enviados los dos mensajes.

10.2 Cuánto tardamos

Balázs Kónya, miembro de la junta directiva, es quien responde de que las solicitudes sobre tus datos se contesten dentro de los plazos que se indican abajo, sea cual sea la dirección nuestra a la que lleguen. No prometemos ningún plazo interno más corto que el que exige la ley: un objetivo que nadie cumple es peor que el plazo legal cumplido, y los plazos de abajo son con los que trabajamos.

El plazo corre desde el día en que tu solicitud nos llega — no desde el día en que terminamos de identificarte ni desde el día en que encontramos lo que pediste. Conforme al RGPD y al RGPD del Reino Unido, respondemos sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción. Cuando una solicitud es compleja, o cuando has presentado varias, podemos tardar hasta dos meses más; te diremos dentro del primer mes que lo estamos haciendo, y por qué.

Cuando la ley del lugar donde vives fije algo distinto, eso es lo que hacemos:

• Reino Unido. Si necesitamos razonablemente más información para identificarte o para encontrar lo que has pedido, el plazo se detiene desde el día en que lo pedimos hasta el día en que respondes. Solo lo pediremos cuando de verdad no podamos seguir sin ello.
• Brasil. Confirmamos si tratamos tus datos y te damos acceso a ellos de forma simplificada de inmediato, y de forma completa en un plazo de 15 días desde tu solicitud.
• Suiza. Por regla general respondemos en 30 días. La respuesta lleva lo que el art. 25(2) revFADP exige que lleve, incluidos los destinatarios o las categorías de destinatarios a los que van tus datos y, cuando salen al extranjero, a qué país y en qué garantías nos apoyamos — las secciones 6 y 7 exponen ambas cosas de antemano.
• California. Acusamos recibo en 10 días hábiles y respondemos en 45 días, que podemos prorrogar una vez por otros 45 días si te decimos por qué.

10.3 Cómo sabemos que eres tú

No conservamos ningún documento de identidad tuyo ni ninguna dirección registrada, así que la escala de abajo es lo que tenemos. La recorremos hacia abajo y nos detenemos en el primer paso que te identifique.

1. Tu cuenta con la sesión iniciada. La copia de la aplicación y la descarga de las imágenes de tus comprobaciones faciales se generan para la cuenta que las pide, en el momento en que las pide. Nada te identifica mejor, y por eso es la primera vía de la sección 10.1 y no una comodidad.
2. Una clave de acceso registrada en esa cuenta. Si no puedes llegar a la aplicación, podemos pedirte que completes un inicio de sesión con clave de acceso contra una credencial que la cuenta ya tiene.
3. La cuenta de Google vinculada a ella. Si iniciaste sesión con Google, podemos pedirte que demuestres que controlas esa cuenta iniciando sesión con ella.
4. Más información. Si nada de eso es posible, podemos pedirte más información que necesitemos razonablemente para convencernos de que la solicitud es tuya, y nada más que eso.
5. Una negativa por escrito. Si aun así no podemos convencernos, te lo diremos por escrito, dentro del plazo de la sección 10.2, con nuestros motivos y con la vía de reclamación de la sección 10.4. Preferimos negarnos a una solicitud que no podemos situar antes que contestársela a la persona equivocada.

Nunca aceptaremos una dirección de cartera como prueba de quién eres. Los retiros se hacen en cadenas de bloques públicas, así que una dirección que hayas usado es algo que puede nombrar cualquiera que lea la cadena; conocerla no demuestra nada, y firmar un mensaje desde ella demostraría que controlas una clave, no esta cuenta.

Tampoco te pediremos un documento de identidad para contestar una solicitud. No conservamos ningún documento de identidad con el que compararlo, así que no nos diría nada y te costaría más de lo que vale la solicitud.

10.4 Si nos negamos

Si no damos curso a tu solicitud, te diremos por qué, dentro del plazo de la sección 10.2, y te diremos qué hacer después. Puedes presentar una reclamación ante la autoridad de protección de datos del lugar donde vives — a efectos de la UE, la NAIH húngara; en Suiza, el FDPIC; en el Reino Unido, la ICO (sección 14) — y puedes acudir a los tribunales. Ninguna de las dos cosas depende de que estemos de acuerdo.

En el Reino Unido tienes además derecho a reclamarnos directamente. Acusaremos recibo de una reclamación en 30 días y te diremos el resultado sin dilación indebida. Reclamarnos a nosotros no es un requisito para reclamar ante la ICO.

10.5 Cuánto cuesta

Nada. Cuando una solicitud es manifiestamente infundada o excesiva — en particular cuando repite una que ya hemos contestado —, la ley nos permite cobrar un canon razonable o negarnos a actuar, y si alguna vez hacemos una de las dos cosas diremos cuál y por qué. Preferimos negarnos a una solicitud con motivos antes que ponerle precio a las demás.

El archivo legible por máquina y la descarga de las imágenes de tus comprobaciones faciales comparten un límite pequeño de copias que se pueden hacer en cualquier periodo de 24 horas. Eso no es una tarifa y no tiene que ver con la capacidad: está ahí para que alguien que se haga con tu sesión no pueda llevarse en silencio todo tu registro una y otra vez. Nunca te impide leer la copia en pantalla, y nunca te impide escribirnos.

10.6 Dos derechos que gestionamos a mano

El acceso, la portabilidad y la eliminación están en la aplicación y no hace falta ninguna solicitud. La limitación y la oposición, no. No tenemos ningún interruptor que suspenda el tratamiento de una parte de tu registro dejando el resto en funcionamiento, así que una solicitud de limitación o de oposición la ejecutamos nosotros, a mano, caso por caso, dentro de los plazos de la sección 10.2. Escríbenos, di qué quieres que se detenga y qué hay en tu situación que lo hace importante, y lo ponderaremos y te diremos qué hicimos. Preferimos decirte que esto es manual antes que dejar que lo deduzcas por lo que tarda.

11. Seguridad

Usamos TLS en tránsito y almacenamiento con control de acceso. El acceso directo a nuestra base de datos está limitado a las personas a las que autorizamos a hacer funcionar el Servicio, a nuestros proveedores de base de datos y de alojamiento, y al software que usamos para hacer funcionar el Servicio. Solo hacemos una copia de nuestra base de datos para probar un cambio en el Servicio o para recuperarnos de un fallo, y la eliminamos cuando ese trabajo termina. Una copia contiene los mismos datos, y la sección 9 indica cuánto tiempo conserva lo que eliminamos. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos.

12. Menores

El Servicio es para personas adultas de 18 años o más. Antes de verificar tu identidad te pedimos que confirmes que tienes 18 años o más, y no verificamos a quien no lo confirme. Solo registramos que se dio la confirmación y cuándo; no te pedimos tu fecha de nacimiento.

No recogemos a sabiendas datos de ninguna persona menor de 18 años. Si llegamos a saber que tenemos datos sobre una persona menor de 18 años, cerramos su cuenta y destruimos sus datos biométricos como expone la sección 2 de nuestra Política de conservación y destrucción de datos biométricos. Si crees que alguien menor de 18 años tiene una cuenta, escribe a privacy@worldrepublic.org.

13. Cambios

Podemos actualizar esta política. Cuando lo hagamos, publicaremos el nuevo texto en esta página y actualizaremos la fecha de «Última actualización» de arriba. Un cambio en esta política surte efecto cuando lo publicamos. Esta política describe lo que hacemos de verdad con tus datos, así que tiene que volverse cierta en el mismo momento en que se vuelve cierto lo que describe; retener un cambio durante un mes solo significaría que esta política estuvo equivocada durante un mes. No ocurre lo mismo con los Términos de uso. Los Términos de uso son el acuerdo entre tú y nosotros, y la sección 14 de los Términos de uso te da 30 días antes de que un cambio sustancial en ese acuerdo se te aplique.

Un cambio es más lento a propósito. Si alguna vez alargamos el plazo durante el que conservamos los datos biométricos, el plazo más largo no se aplica a los datos que ya tenemos hasta que el cambio lleve 30 días publicado. La sección 6 de la Política de conservación y destrucción de datos biométricos lo expone, y rige el plazo indicado en la sección 4.5 y en la tabla de conservación de la sección 8.

No podemos enviarte un aviso cuando esta política cambie. Iniciar sesión no nos deja ninguna dirección de correo electrónico, ningún número de teléfono ni ninguna dirección postal, porque deliberadamente no conservamos ninguna (sección 3.1), y el Servicio no lleva ningún banner ni mensaje que pudiera decírtelo. Si denunciaste un partido, tenemos la dirección que diste en esa denuncia — y no la usaremos para esto, ni para nada que no sea esa denuncia (sección 10.1). Es una consecuencia de conservar tan poco: aparte de una dirección dada en una denuncia, y de la dirección desde la que nos escribiste (sección 8), no tenemos ningún dato de contacto tuyo, y no usamos ninguna de las dos para avisarte de un cambio. La sección 10.1 dice lo mismo de todo lo demás — solo podemos responder a una dirección desde la que nos escribas. Así que esta página es el aviso: el texto vigente está siempre aquí, y la fecha de arriba es la fecha en la que cambiamos esta política por última vez.

Esta política está escrita en inglés y la publicamos en otros idiomas. La versión que se te aplica es la versión en el idioma en que el Servicio te la mostró. Cuando esa versión y el texto en inglés difieran, se aplica el significado que te resulte más favorable.

14. Contacto

• Privacidad: privacy@worldrepublic.org
• Contacto en la Unión Europea: Balázs Kónya, miembro de la junta directiva, 3626 Hangony, Dózsa György út 5., Hungría (privacy@worldrepublic.org)
• Autoridad de control principal en la UE: Autoridad Nacional Húngara de Protección de Datos y Libertad de Información (NAIH), Budapest — naih.hu
• Autoridad de control suiza: Comisionado Federal de Protección de Datos e Información (FDPIC), Berna
• Autoridad de control del Reino Unido: Oficina del Comisionado de Información (ICO), Wilmslow — ico.org.uk