Política de privacidad

La presente Política de privacidad le informa, de conformidad con los art. 13 y 14 del RGPD, sobre qué datos personales tratamos en EuroPrisma, con qué fines, sobre qué base jurídica y de qué derechos dispone usted.

1. Responsable del tratamiento

El responsable del tratamiento de datos en esta plataforma en el sentido del RGPD es:

Latuke UG (haftungsbeschränkt) i. Gr. Roonstraße 23a 76137 Karlsruhe Alemania

Correo electrónico: info@latuke.com

Director gerente: Lorenz Meierhofer

No hemos designado un delegado de protección de datos; actualmente no existe ninguna obligación legal de hacerlo (art. 37 RGPD en relación con el art. 38 BDSG).

2. Alojamiento y archivos de registro del servidor

Nuestra plataforma es operada por el siguiente encargado del tratamiento dentro de la UE:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania. Los servidores están situados en la Unión Europea. Política de privacidad del proveedor de alojamiento: https://www.hetzner.com/de/legal/privacy-policy/

Con el proveedor de alojamiento se ha celebrado un contrato de encargo de tratamiento conforme al art. 28 RGPD.

Cada vez que se accede a la plataforma, el servidor web del proveedor de alojamiento registra en archivos de registro los datos de conexión técnicamente necesarios. Esto suele incluir:

• la dirección IP del dispositivo solicitante
• la fecha y la hora del acceso
• la URL solicitada y el código de estado HTTP
• el identificador del navegador (user agent)
• el referente (cuando se transmite)

Base jurídica: art. 6, apdo. 1, letra f) RGPD. El interés legítimo es la operación segura y estable de la plataforma, así como la prevención e investigación de ataques técnicos.

Plazo de conservación: estos archivos de registro del servidor se eliminan automáticamente tras un máximo de 14 días. Estos registros no se combinan con los datos de la cuenta.

3. Cookies y tecnologías similares

Utilizamos un pequeño número de cookies técnicamente necesarias y de mecanismos de almacenamiento del navegador. Para ellos no se requiere consentimiento mediante un banner (art. 25, apdo. 2, n.º 2 TTDSG); no obstante, le informamos sobre este almacenamiento.

No utilizamos ninguna cookie de terceros de marketing, seguimiento o análisis.

4. Al acceder a la plataforma (tratamiento pasivo de datos)

Si visita EuroPrisma sin iniciar sesión, votar o comentar, solo tratamos los datos de registro del servidor mencionados en la sección 2 y los mecanismos de almacenamiento técnico mencionados en la sección 3.

En particular, en este caso no se recopila ninguna huella del dispositivo, ningún perfil basado en el comportamiento ni ningún identificador de seguimiento persistente.

5. Registro y cuenta

Puede crear una cuenta en EuroPrisma para votar, comentar y que su actividad le sea atribuida. El registro se realiza exclusivamente a través del inicio de sesión único de Google (véase la sección 5.1). No ofrecemos un registro clásico con correo electrónico y contraseña; en consecuencia, no almacenamos ninguna contraseña.

Datos tratados al crear una cuenta:

• el identificador de cuenta de Google (google_id) y la dirección de correo electrónico registrada en Google (transmitida por Google, véase la sección 5.1)
• la confirmación de la edad mínima (16 años, casilla de verificación activa; véase la sección 11)

Datos opcionales:

• nombre para mostrar (nombre de usuario)
• asignación de país (el país que usted representa en la plataforma)
• idioma de visualización

Base jurídica: art. 6, apdo. 1, letra b) RGPD (ejecución del contrato de usuario).

Plazo de conservación: durante la vigencia de la cuenta de usuario existente. Tras la eliminación de su cuenta: véase la sección 13.

5.1 Inicio de sesión a través de Google (inicio de sesión único)

El registro y el inicio de sesión en EuroPrisma se realizan exclusivamente a través de una cuenta de Google. En este proceso, Google nos transmite los siguientes datos, siempre que usted lo consienta en el cuadro de diálogo de Google:

• su identificador de cuenta de Google (google_id)
• su dirección de correo electrónico registrada en Google
• opcionalmente: nombre para mostrar e imagen de perfil

El proveedor es Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. Google también trata sus propios datos en el marco del proceso de inicio de sesión (por ejemplo, para la prevención del fraude por parte de Google). A este respecto, Google es su propio responsable del tratamiento; consulte la política de privacidad de Google: https://policies.google.com/privacy

Base jurídica: art. 6, apdo. 1, letra a) RGPD (consentimiento, que usted otorga al confirmar en el cuadro de diálogo de Google), así como art. 6, apdo. 1, letra b) RGPD (ejecución de un contrato).

Transferencia a un tercer país: el tratamiento también puede tener lugar en los EE. UU. Véase la sección 12.

No hemos celebrado un contrato de encargo de tratamiento con Google; Google actúa como su propio responsable del tratamiento en el ámbito del inicio de sesión único y facilita su propia política de privacidad, que se enlaza en el cuadro de diálogo de inicio de sesión de Google.

6. Dirección IP, user agent y huella del dispositivo durante las acciones de escritura

Esta sección es central para nuestro concepto de protección de datos. Léala detenidamente.

6.1 Qué datos

Cuando realiza una acción de escritura en EuroPrisma, es decir, vota o comenta, tratamos, además de los datos de contenido propiamente dichos:

• su dirección IP
• su cadena de user agent (identificador del navegador y del dispositivo tal como lo transmite el navegador)
• un hash de huella del dispositivo: un hash criptográfico (SHA-256) derivado de varias características técnicas de su navegador/dispositivo (en concreto: identificador del navegador/sistema operativo a partir del user agent, idioma preferido, tamaño y profundidad de color de la pantalla, zona horaria, número de núcleos del procesador, identificador de plataforma). En el lado del servidor solo almacenamos el hash, no las características individuales. En el código fuente, en frontend/src/lib/fingerprint.ts, hay disponible una lista de las propiedades específicas del navegador que se leen.

6.2 No tratamos ninguna huella al acceder meramente a la plataforma

Estos tres datos se recopilan únicamente durante las acciones de escritura (voto, comentario), y no al ver meramente contenidos ni al iniciar simplemente sesión.

6.3 Finalidad

El tratamiento sirve exclusivamente para detectar y prevenir la manipulación coordinada, los votos múltiples automatizados y abusos comparables. EuroPrisma muestra distribuciones mayoritarias visualizadas por país; sin funciones de protección técnicas, el valor informativo de estos datos y, por tanto, la finalidad de la plataforma, se verían comprometidos.

Además, en cada acción de escritura verificamos un token de acción de corta duración (X-EP-Action-Token, vida útil de 30 minutos, vinculado a la dirección IP en el momento de su emisión). Este token se transmite exclusivamente en las cabeceras HTTP, no se almacena en el lado del servidor y sirve para dificultar los scripts automatizados y los intentos de repetición desde un entorno de red externo.

6.4 Base jurídica (RGPD y TTDSG)

Art. 6, apdo. 1, letra f) RGPD. Nuestro interés legítimo es la integridad de la distribución de opiniones que mostramos y la protección de la plataforma frente a distorsiones automatizadas o coordinadas.

El tratamiento se lleva a cabo respetando los principios de limitación de la finalidad y minimización de datos (art. 5, apdo. 1, letras b) y c) RGPD):

• la recopilación tiene lugar únicamente durante acciones de escritura activas, no de forma pasiva
• no se crea ningún perfil de comportamiento o publicitario
• la huella se utiliza únicamente como hash y no en combinación con seguimiento de terceros
• los datos se eliminan de forma vinculada a la finalidad y en un breve plazo
• no tiene lugar ningún bloqueo automático; véase la sección 7

En la medida en que se lean características técnicas de su equipo terminal para formar la huella del dispositivo, esto puede constituir un acceso a información almacenada en su equipo terminal en el sentido del art. 25 TTDSG. Este acceso está permitido sin consentimiento en virtud del art. 25, apdo. 2, n.º 2 TTDSG, porque es estrictamente necesario para permitirnos prestarle el servicio que usted ha solicitado expresamente, a saber, votar y comentar, de forma a prueba de manipulaciones. Sin esta función de protección, los votos múltiples automatizados y las campañas coordinadas no podrían detectarse de forma eficaz, lo que comprometería el valor informativo de los resultados mostrados y, por tanto, el núcleo del servicio. La huella se forma exclusivamente durante estas acciones de escritura y no al acceder meramente a contenidos o leerlos (véase la sección 6.2).

6.5 Plazo de conservación

La dirección IP, el user agent y el hash de la huella asociados a un voto o comentario individual se eliminan automáticamente tras 90 días, siempre que no haya pendiente ningún examen de abuso abierto. La entrada de comentario o de voto en sí permanece, pero sin estas funciones de protección.

6.6 Derecho de oposición

Puede oponerse al tratamiento en cualquier momento de conformidad con el art. 21 RGPD. En este caso, es posible que no podamos ofrecerle acciones de escritura, o solo de forma limitada, porque las funciones de protección técnicas son necesarias para la prevención de abusos. El acceso de solo lectura sigue siendo posible.

7. Lucha contra la manipulación y detección de anomalías

Comprobamos los datos recopilados conforme a la sección 6 frente a patrones que indican una manipulación coordinada (por ejemplo, un número inusualmente elevado de votos procedentes de huellas o IP idénticas en un breve período). En caso de coincidencia, se genera un indicador de anomalía interno (anomaly_flag), que contiene:

• el tipo y la gravedad del indicador
• en su caso, los identificadores de usuario afectados, la dirección IP, el hash de la huella
• metadatos adicionales (por ejemplo, ventana temporal, umbral)

Importante: un indicador de este tipo no conduce automáticamente a un bloqueo o sanción. Cada indicador es revisado por una persona. No tiene lugar ninguna decisión de bloqueo basada exclusivamente en un tratamiento automatizado (art. 22 RGPD).

Si se ve afectado por una medida, puede oponerse ante nosotros de forma informal (véase la sección 16); su derecho a la intervención humana en virtud del art. 22, apdo. 3 RGPD permanece inalterado.

Base jurídica: art. 6, apdo. 1, letra f) RGPD (véase la sección 6.4).

Plazo de conservación: los indicadores de anomalía se eliminan o anonimizan tan pronto como se concluye el asunto, a más tardar tras 12 meses.

Hemos evaluado los riesgos de estas medidas de lucha contra la manipulación y de huella del dispositivo en el marco de una evaluación de impacto relativa a la protección de datos conforme al art. 35 RGPD.

8. Comentarios y contenidos que usted publica

Cuando publica un comentario, tratamos:

• el texto del comentario (body)
• su asignación opcional de país
• la atribución a su cuenta
• las funciones de protección técnicas de la sección 6

Los comentarios son, por lo general, públicamente visibles. No publique en ellos datos personales de terceros ni contenidos que no desee hacer públicos.

Moderación: los comentarios se moderan antes o después de su publicación. Para ello se utiliza un cribado previo asistido por IA; toda decisión final de bloqueo o eliminación la toma una persona (véanse la sección 7 y la sección 10).

Traducción: para que su comentario siga siendo legible en otros idiomas de la UE, creamos traducciones automáticamente (véase la sección 10). Estas se almacenan junto con su comentario.

Base jurídica: art. 6, apdo. 1, letra b) RGPD (ejecución de un contrato; prestación de la función de discusión) y art. 6, apdo. 1, letra f) RGPD (para la moderación y la traducción como tratamientos accesorios).

Plazo de conservación: los comentarios se conservan, por lo general, de forma permanente para preservar la trazabilidad del desarrollo de la discusión. Al eliminar la cuenta, su comentario se seudonimiza (véase la sección 13).

9. Votos / Votación

Cuando vota su posición respecto a un eje de encuadre de un evento, tratamos:

• el identificador del eje y su posición (valor numérico)
• su asignación opcional de país
• la atribución a su cuenta
• las funciones de protección técnicas de la sección 6

Es posible un voto por eje y cuenta; las modificaciones posteriores sustituyen al voto anterior.

En la plataforma se muestran públicamente evaluaciones agregadas que no pueden rastrearse hasta personas individuales (por ejemplo, "el X % de los participantes del país Y votó a la derecha del centro en este eje").

Base jurídica: art. 6, apdo. 1, letra b) RGPD (ejecución de un contrato) y art. 6, apdo. 1, letra f) RGPD (funciones de protección de la sección 6).

10. Uso de la inteligencia artificial (Anthropic Claude)

EuroPrisma utiliza modelos de IA del proveedor Anthropic PBC, 548 Market St, San Francisco, CA 94104, EE. UU., para los siguientes fines:

1. Descubrimiento de temas (Discovery): identificación de eventos relevantes en toda Europa a partir de fuentes de acceso público.
2. Creación de ejes de encuadre: propuestas de dimensiones de evaluación por evento (dos polos opuestos).
3. Moderación de comentarios como filtro previo: clasificación previa automática de si un comentario infringe nuestros Estándares de la comunidad. La decisión final la toma una persona.
4. Traducción de sus comentarios y de nuestros contenidos a otros idiomas de la UE admitidos (alemán, inglés, francés, español, polaco, italiano).

Al traducir sus comentarios y durante la moderación por IA, el contenido de su comentario se transmite a Anthropic. No tiene lugar ninguna identificación de su persona más allá del texto del comentario; en particular, no transmitimos a Anthropic ningún dato de correo electrónico, IP, user agent o huella.

Los contenidos generados por IA (resúmenes, ejes de encuadre, traducciones automáticas) se señalan como tales en la interfaz (art. 50 del Reglamento de IA).

Función de Anthropic: encargado del tratamiento (art. 28 RGPD). El tratamiento se lleva a cabo sobre la base del contrato de encargo de tratamiento de Anthropic (Data Processing Addendum), que incluye las Cláusulas Contractuales Tipo de la UE (cf. sección 12).

Transferencia a un tercer país: EE. UU. Véase la sección 12.

Base jurídica: art. 6, apdo. 1, letras b) y f) RGPD. El interés legítimo es la disponibilidad multilingüe de la plataforma, así como la moderación previa para salvaguardar un clima de discusión respetuoso.

Los riesgos asociados a la moderación por IA (en particular, el bloqueo excesivo y el bloqueo insuficiente) se mitigan mediante la revisión humana y un procedimiento de oposición (véase la sección 16), en consonancia con la jurisprudencia relativa al filtrado algorítmico de contenidos.

11. Edad mínima

El uso de EuroPrisma requiere una edad mínima de 16 años (art. 8 RGPD). Al registrarse, usted lo confirma mediante una casilla de verificación activa (no preseleccionada). No recopilamos ninguna fecha de nacimiento.

Si tenemos conocimiento de que una cuenta pertenece a una persona menor de 16 años, eliminaremos dicha cuenta.

12. Transferencia a un tercer país (EE. UU.)

Algunos de los proveedores mencionados tienen su sede en los EE. UU. o tratan datos allí:

• Google (inicio de sesión único; sección 5.1): Google LLC está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (DPF). La transferencia se basa, por tanto, en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (art. 45 RGPD).
• Anthropic (moderación y traducción de comentarios asistidas por IA; sección 10): Anthropic no está certificada conforme al DPF. La transferencia se basa en las Cláusulas Contractuales Tipo de la UE conforme al art. 46, apdo. 2, letra c) RGPD (módulo responsable-encargado), que forman parte del contrato de encargo de tratamiento celebrado con Anthropic. Se conserva internamente una evaluación complementaria de riesgos ("Transfer Impact Assessment").
• Wikimedia (visualización de imágenes de eventos con licencia libre; sección 14.2): las imágenes incrustadas las recupera su navegador directamente de la infraestructura de Wikimedia, por lo que su dirección IP y su user agent pueden llegar a la Wikimedia Foundation, Inc. (EE. UU.). A este respecto, Wikimedia es su propio responsable del tratamiento; no existe ningún contrato de encargo de tratamiento ni de transferencia de datos con nosotros ni certificación DPF. La transferencia es una consecuencia técnica de que su navegador recupere un recurso públicamente y libremente licenciado.

Para el tratamiento sin referencia personal alguna (selección y preparación automáticas de eventos), no se transfieren datos personales a los EE. UU.

Tiene derecho a solicitar una copia de las garantías (solicitud por correo electrónico a info@latuke.com).

13. Plazo de conservación y eliminación

En principio, almacenamos datos personales únicamente durante el tiempo que sea necesario para los fines indicados en esta política o que exijan los plazos de conservación legales.

Las copias de seguridad sirven exclusivamente para garantizar la disponibilidad y la integridad de los sistemas y están sujetas a los mismos conceptos de eliminación que los datos de producción (por ejemplo, rotación de 7 días).

13.1 Eliminación de la cuenta

Puede eliminar su cuenta en cualquier momento a través de los ajustes (DELETE /users/me tras una confirmación en dos pasos). En este caso:

• sus datos de cuenta (correo electrónico, nombre de usuario, identificador de Google) se eliminan
• sus votos y comentarios no se eliminan, sino que se seudonimizan: la atribución a su identidad se sustituye por un identificador estable asignado aleatoriamente con la forma deleted_user_<random>
• la dirección IP, el user agent, el hash de la huella y la dirección de correo electrónico se retiran de sus votos y comentarios anteriores

Conservamos deliberadamente el texto del comentario para no distorsionar retroactivamente el desarrollo público de la discusión. Puede hacer eliminar usted mismo comentarios individuales antes de eliminar su cuenta.

14. Destinatarios de sus datos

Los destinatarios de sus datos son únicamente aquellos organismos necesarios en el marco de los fines descritos anteriormente:

• el proveedor de alojamiento mencionado en la sección 2 (Hetzner Online GmbH) como encargado del tratamiento
• Anthropic PBC como encargado del tratamiento para las funciones de IA mencionadas en la sección 10
• Google Ireland Ltd. al utilizar el inicio de sesión de Google (su propio responsable del tratamiento; sección 5.1)
• en su caso, las autoridades policiales en el marco de las obligaciones legales de divulgación

No vendemos sus datos ni los cedemos con fines publicitarios.

14.1 Nota: Event Registry

Para el descubrimiento de temas utilizamos el servicio externo de datos de medios Event Registry (proveedor: Quintelligence d.o.o., Eslovenia). En este proceso no se transmite ningún dato personal de nuestros usuarios. Event Registry nos facilita exclusivamente metadatos agregados sobre contenidos mediáticos publicados públicamente.

14.2 Nota: Wikimedia / imágenes con licencia CC

El material de imagen incrustado relativo a eventos puede proceder de Wikimedia Commons y facilitarse bajo licencias libres (Creative Commons). La información sobre autor y licencia es visible para cada imagen.

Estas imágenes no se entregan desde nuestros servidores, sino que las recupera directamente de la infraestructura de Wikimedia (upload.wikimedia.org) su navegador al cargar una página. En este proceso, por razones técnicas, su dirección IP y su user agent pueden transmitirse a la Wikimedia Foundation, Inc. (San Francisco, EE. UU.). A este respecto, Wikimedia es su propio responsable del tratamiento; no existe ningún contrato de encargo de tratamiento ni otro acuerdo de transferencia de datos con Wikimedia. Política de privacidad de Wikimedia: https://foundation.wikimedia.org/wiki/Policy:Privacy_policy

Base jurídica: art. 6, apdo. 1, letra f) RGPD. El interés legítimo es el enriquecimiento de la presentación de los eventos con imágenes temáticamente apropiadas, con licencia libre, procedentes de una fuente consolidada y sin ánimo de lucro.

Transferencia a un tercer país: la transferencia tiene lugar a los EE. UU. Véase la sección 12.

15. Seguridad de los datos

Adoptamos medidas técnicas y organizativas para proteger sus datos frente a la destrucción accidental o ilícita, la pérdida, la alteración y la divulgación o el acceso no autorizados, en particular:

• transmisión exclusivamente a través de conexiones cifradas con TLS (HTTPS)
• autenticación exclusivamente a través del inicio de sesión único de Google - no almacenamos ninguna contraseña
• acceso a los datos de producción restringido a un círculo reducido de personas autorizadas
• actualizaciones de seguridad periódicas del software utilizado

16. Sus derechos

En virtud del RGPD, usted dispone de los siguientes derechos frente a nosotros:

• Acceso a los datos almacenados sobre usted (art. 15 RGPD)
• Rectificación de datos inexactos (art. 16 RGPD)
• Supresión de sus datos (art. 17 RGPD; véase la sección 13.1)
• Limitación del tratamiento (art. 18 RGPD)
• Portabilidad de los datos (art. 20 RGPD) - puede solicitar una copia legible por máquina de sus datos
• Oposición al tratamiento basado en el art. 6, apdo. 1, letra f) RGPD (art. 21 RGPD; véase la sección 6.6)
• Retirada del consentimiento otorgado, con efecto para el futuro (art. 7, apdo. 3 RGPD)
• Reclamación ante una autoridad de control (art. 77 RGPD; véase la sección 17)

Para ejercer estos derechos, basta con un correo electrónico informal a info@latuke.com. Por lo general, respondemos en el plazo de un mes (art. 12, apdo. 3 RGPD).

16.1 Oposición a decisiones de moderación o de lucha contra la manipulación

Si se ve afectado por una decisión de moderación o por una medida basada en un indicador de anomalía (sección 7), puede comunicárnoslo de forma informal por correo electrónico a info@latuke.com. Ofrecemos esta posibilidad de oposición de forma voluntaria; como microempresa, no estamos obligados a operar un procedimiento interno formal de tramitación de reclamaciones conforme al art. 20 DSA (art. 19 DSA). La motivación de las medidas adoptadas en virtud de nuestras Condiciones de uso se facilita conforme al art. 17 DSA (obligación de motivación); su oposición es revisada por nosotros en cada caso concreto. Su derecho a la intervención humana en virtud del art. 22, apdo. 3 RGPD y su derecho a presentar una reclamación ante una autoridad de control (sección 17) permanecen inalterados.

17. Derecho a presentar una reclamación ante una autoridad de control

Sin perjuicio de cualquier otro recurso, tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos, en particular en el Estado miembro de su lugar de residencia, de su lugar de trabajo o del lugar de la presunta infracción.

La autoridad de control competente para nuestra sede social es:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI Baden-Württemberg), Lautenschlagerstraße 20, 70173 Stuttgart.

18. Decisiones automatizadas y elaboración de perfiles

Una decisión basada exclusivamente en un tratamiento automatizado en el sentido del art. 22 RGPD - es decir, una decisión con efectos jurídicos o que le afecta significativamente de modo similar, adoptada sin intervención humana - no tiene lugar en EuroPrisma.

Sí tienen lugar comprobaciones previas asistidas por IA (moderación de comentarios, detección de anomalías), pero las decisiones finales sobre bloqueo, eliminación u otras medidas las toma siempre una persona.

19. Modificaciones de la presente Política de privacidad

Podemos adaptar la presente Política de privacidad si cambian los requisitos legales o nuestros tratamientos. La versión actual está disponible en todo momento en la plataforma; en caso de modificaciones significativas, informaremos por correo electrónico a los usuarios registrados.

20. Versiones lingüísticas

La presente Política de privacidad se facilita en varios idiomas para que pueda acceder a la información en un idioma que comprenda. La versión alemana es la vinculante; las traducciones a otros idiomas sirven únicamente para facilitar la comprensión.