Política de Privacidad de Arbo

Better Planet LLC

Versión: 1.0
Fecha de entrada en vigencia: 14 de octubre de 2026
URL pública: https://arbofamily.com/privacidad
Idioma: español · Otras versiones: English · Français · Deutsch

0. Lo que tienes que saber en 30 segundos

• Arbo guarda la historia de vida de niños: fotos, medidas, hitos, emociones, fichas de salud, medicamentos, apoyos por discapacidad, trayectoria educativa, orientación vocacional de adolescentes y la posición de un chip rastreador si lo usas.
• Eso incluye datos de menores y datos de salud. Son las dos categorías más sensibles que existen, y se tratan como tales.
• No vendemos datos. No hay publicidad. No hay rastreadores publicitarios ni herramientas de analítica de terceros dentro de la app. (Verificado en el código: la app no incluye ningún SDK de analítica, publicidad ni atribución. Sí incluye uno de reporte de errores, Sentry, que está apagado salvo que lo activemos: sección 5.7.)
• No entrenamos modelos de inteligencia artificial con tus datos, y exigimos lo mismo a nuestros proveedores.
• Sí enviamos parte del historial del niño a Anthropic cuando usas el consejero o la orientación vocacional. La sección 5 dice exactamente qué se envía.
• Puedes acceder, corregir, exportar y borrar los datos. La sección 10 dice cómo.

1. Quién es responsable de tus datos

Responsable del tratamiento (data controller):

Better Planet LLC, sociedad de responsabilidad limitada constituida en el Estado de Nuevo México, Estados Unidos. Domicilio: 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA

Contacto para privacidad y protección de datos: privacy@arbofamily.com Contacto general: hola@arbofamily.com Sitio: https://arbofamily.com

2. A quién se aplica esta política

• A quien crea una cuenta y usa la app (madre, padre, tutor u otro cuidador adulto).
• A los niños, niñas y adolescentes cuyos datos registra ese cuidador.
• A quien es invitado a la cuenta de una familia.

Se aplica a la app móvil (iOS y Android), al servidor de Arbo y a cualquier sitio web que operemos.

3. Qué datos recogemos, exactamente

Esta sección enumera lo que el sistema realmente guarda, campo por campo. No es un resumen: es el inventario.

3.1. Datos de la cuenta del cuidador (adulto)

3.2. Datos del niño, niña o adolescente

De la familia, no de un niño:

Para elegir la primera cultura, la app envía al servidor, junto con el pedido del dicho de la semana, la etiqueta de idioma y región del teléfono (por ejemplo, "es-CL"; es la región configurada en el teléfono, no su ubicación). El servidor solo la usa mientras la familia todavía no tiene cultura; después la ignora. La etiqueta no se guarda en nuestra base de datos: se guarda solo la cultura elegida, y cualquier adulto de la familia puede cambiarla desde la app.

Ninguna de estas dos funciones envía datos a terceros: nada va a Anthropic ni a Amazon. Las palabras y los dichos salen del catálogo de la app. La pronunciación usa el motor de voz del propio teléfono, y lo que se lee en voz alta son siempre textos de la app (la palabra, su frase de ejemplo, el dicho), nunca algo que haya escrito la familia; la app solo habla, no escucha. El JSON con la ficha del niño (sección 10) incluye las palabras que aprendió, con los dos idiomas y la fecha. El dicho de la semana es de la familia y no de un niño, así que no va en ese JSON. Podemos apagar cualquiera de las dos funciones para todos desde nuestro panel de operación; apagarla no borra nada.

3.3. Chip rastreador (solo si lo usas)

Advertencia importante: el endpoint que recibe las señales del chip (/api/tracker/ping) no exige sesión de usuario: se autentica únicamente con el código del dispositivo. Ese código es la única barrera entre un tercero y la posibilidad de escribir posiciones falsas en la cuenta de una familia. Trátalo como una contraseña.

Nota sobre el estado real: el hardware todavía no existe. Hoy el módulo genera códigos y está preparado para recibir señales, pero no hay chips reportando. Si mañana existen, la posición de un niño se convierte en dato de geolocalización de un menor, una de las categorías más sensibles que hay.

3.4. Comunicación entre cuidadores

En un vecindario, los adultos de las familias vecinas comparten el chat del círculo —cada familia ve la conversación común desde el día en que entró, y lo que escribió antes de entrar sigue siendo solo de su casa— y pueden escribirse mensajes directos. De los adultos de otra casa se ve su nombre para mostrar (o, si no tiene, lo que va antes de la @ de su correo), si es la cuenta principal o un cuidador invitado, su parentesco, su foto de perfil, si verificó su identidad, desde cuándo tiene cuenta, el nombre de su familia (un nombre genérico que pone la app) y cuántos niños tiene; y de esos niños, solo su nombre de casa (el apodo o el primer nombre), su edad en palabras (en años o en meses), su color favorito y su género. Nunca su ficha, su salud, sus medidas, sus fotos ni su GPS. La foto de portada de un adulto no aparece en el círculo: la app solo les da a los demás la dirección de su foto de perfil. Nuestro servidor sí le entregaría la portada vigente a quien comparte con él el círculo si la pidiera con su dirección exacta, pero esa dirección es un nombre aleatorio que la app no le muestra a nadie más.

Los mensajes se guardan en el servidor sin cifrado de extremo a extremo. Better Planet puede técnicamente acceder a ellos, aunque no lo hace de forma rutinaria (ver sección 8.4), y en el camino entre la app y el servidor pasan por Cloudflare (sección 5.6).

3.5. Fotos

• Se guardan como archivos en un almacenamiento privado de Cloudflare R2 (sección 5.6), no en la base de datos, con un nombre generado por nosotros (UUID). El nombre del archivo que subes nunca se guarda. Ese almacenamiento no tiene acceso público ni enlaces para compartir, y la app nunca se conecta a él.
• Formatos aceptados: JPEG, PNG y WebP. Tamaño máximo por archivo: 5 MB.
• Solo se sirven con sesión iniciada y a través de nuestro servidor, que antes comprueba quién la pide: la foto de un niño, solo a los adultos de su casa; la foto de perfil o de portada vigente de un adulto, también a quien comparte con él el círculo (sección 3.4). Los nombres se validan para que nadie pueda pedir un archivo de otra carpeta.
• Antes de guardarse, cada foto pasa por una revisión automática de contenido en Amazon Rekognition: las del álbum y la línea de vida de los niños, y la foto de perfil y de portada de los adultos. La selfie y el documento de la verificación de identidad (sección 5.2) no pasan por esta revisión y no se guardan. Qué se envía, qué pasa si el filtro marca una foto y qué pasa si la revisión falla está en la sección 5.3.
• Cada subida deja en el servidor una línea en una bitácora: la familia, el niño o el adulto al que pertenece la foto, la fecha, el tamaño, el tipo de archivo y el resultado (pasó, marcada o sin revisar); si el filtro la marcó, también las categorías que le asignó y, después, lo que decidió nuestro equipo. De las fotos que pasan no se guarda el nombre del archivo. De las que el filtro marca se guarda además una copia en cuarentena, en una carpeta aparte que la app no muestra. Cuándo se borra cada cosa: sección 5.3.
• La app recomprime las imágenes en tu teléfono antes de subirlas (calidad 0,7). Además, al recibir una foto, el servidor le quita los metadatos (EXIF, XMP y similares), incluidas las coordenadas GPS de dónde se sacó, el modelo del teléfono y la hora. Solo se conserva la orientación, para que la foto no se vea girada.

3.6. Datos técnicos

Lo que NO recogemos:

• No hay publicidad, ni identificadores publicitarios (IDFA / GAID), ni SDK de analítica, ni herramientas de atribución, ni píxeles de seguimiento. Verificado leyendo las dependencias de la app. La app sí incluye la librería de reporte de errores de Sentry, apagada salvo que la activemos; qué envía cuando está encendida está en la sección 5.7.
• No accedemos a la ubicación de tu teléfono. La app no pide permiso de ubicación y no incluye la librería que lo haría. La única geolocalización posible es la que reportaría un chip físico (sección 3.3). Lo más parecido que lee la app es la configuración de idioma y región del teléfono (por ejemplo, "es-CL"), que "El dicho de la semana" usa para elegir la primera cultura de la familia (sección 3.2): es una configuración, no una posición.
• No leemos tu libreta de direcciones, tu calendario, tu micrófono ni tus mensajes.
• No usamos notificaciones push del servidor. Todos los recordatorios son notificaciones locales, programadas en tu propio teléfono, incluido el aviso diario opcional de "Una palabra al día" (sección 3.7). No existe ningún token de push en nuestro servidor y no podemos enviarte notificaciones a voluntad.

3.7. Qué se guarda en tu teléfono

Ese aviso es una notificación local y opcional, que el propio teléfono programa una vez al día. Viene apagado, con una excepción: en el teléfono desde el que un adulto configura la función para un hijo, se enciende solo, a las 19:00, salvo que en ese teléfono ya se hubiera encendido o apagado antes. Cada teléfono decide por su cuenta: en cada uno se puede encender, apagar o cambiar de hora. Su texto no lleva el nombre del niño («La palabra de hoy te espera.»), porque se lee sin desbloquear el teléfono.

Desinstalar la app borra todo lo que está en el teléfono, pero no borra nada del servidor.

4. Para qué usamos los datos y con qué base legal

No usamos los datos para: publicidad, perfilamiento comercial, decisiones automatizadas con efectos jurídicos, venta o cesión a terceros con fines comerciales, ni entrenamiento de modelos de inteligencia artificial.

5. Con quién se comparten los datos

Better Planet no vende datos personales y no los comparte con nadie salvo con los proveedores que hacen funcionar el servicio, listados aquí.

5.1. Anthropic PBC — consejero de crianza y orientación vocacional

Cuándo: solo cuando un cuidador abre el consejero y hace una pregunta, o cuando se envía a analizar una conversación guiada de orientación vocacional. Si no usas esas funciones, no se envía nada a Anthropic.

Qué se envía exactamente (leído del código; el contexto se recorta a 4.000 caracteres):

• En lugar del nombre y el apodo del niño, una marca (ver más abajo); su edad en años y su género.
• Sus gustos, tal como los escribiste.
• Los apoyos o condiciones registrados, en las palabras de la familia, y qué le ayuda.
• Hasta 5 medicamentos en curso: nombre y cada cuántas horas se toma.
• Las últimas 5 medidas: fecha, estatura, peso e hito.
• Las emociones de los últimos 30 días: el recuento por emoción, y hasta 5 notas textuales de esos registros.
• Hasta 5 condiciones de salud activas o crónicas: solo el título de la ficha (no las notas).
• La institución educativa actual y el curso o carrera.
• Los "talentos" acumulados en el modo de juego.
• Tu pregunta (hasta 1.000 caracteres) y hasta 6 turnos previos de la conversación.

En la orientación vocacional se envían además las 11 respuestas abiertas del adolescente, incluida la que pregunta cómo se siente.

Modelo utilizado: modelos Claude de Anthropic. Qué hace Anthropic con eso: según sus condiciones comerciales para la API, Anthropic no usa estos datos para entrenar sus modelos y los conserva por un tiempo limitado.

Seudonimización. El nombre del niño no se envía a la IA: en su lugar viaja una marca, y nuestro servidor vuelve a poner el nombre en la respuesta antes de mostrártela. Esto vale tanto para el consejero como para la conversación vocacional.

La conversación con el consejero no se guarda en nuestro servidor. El análisis de la conversación vocacional sí se guarda, porque es parte del historial del adolescente.

5.2. Amazon Web Services (Amazon Rekognition) — verificación de identidad, opcional

Cuándo: solo si la función está activada por nosotros y tú decides verificarte. Qué se envía: dos imágenes del adulto — una selfie y la foto de su documento de identidad — para una comparación facial (CompareFaces). Qué guardamos nosotros: solo el resultado (verificado / fallido), el porcentaje de similitud y la fecha. Las imágenes no se guardan en nuestro servidor. Región de procesamiento: Norte de Virginia (us-east-1), Estados Unidos.

Aviso honesto: la operación CompareFaces de AWS no persiste las imágenes ni las plantillas faciales. Por defecto, AWS puede usar el contenido enviado a sus servicios de IA para mejorarlos, pero Better Planet tiene activada en AWS la política de exclusión de los servicios de IA (AI services opt-out policy), por lo que AWS no usa estas imágenes para mejorar sus servicios.

La verificación de identidad no usa fotos de niños: solo recibe esas dos imágenes del adulto. Pero las fotos de niños sí llegan a Amazon Rekognition, por otra vía: la revisión automática de cada foto que se sube, que se explica en la sección 5.3.

5.3. Amazon Web Services (Amazon Rekognition) — revisión de las fotos al subirlas

Todas las fotografías que se suben a la app —las del álbum y la línea de vida de un niño, y la foto de perfil y de portada de un adulto— se envían a Amazon Rekognition en el momento de subirlas. Lo escribimos aquí con todas las letras porque una política que se equivoca sobre esto no sirve para nada.

Cuándo: en cada subida, antes de guardar la foto, mientras la función esté encendida. Viene encendida, y en el servicio publicado el servidor no arranca sin las credenciales de este servicio. Podemos apagarla para todos desde nuestro panel de operación; apagada, no se envía nada a Amazon y las fotos se guardan sin revisar. Las dos imágenes de la verificación de identidad (sección 5.2) no pasan por esta revisión. Qué se envía: la imagen, una sola vez, a la operación DetectModerationLabels. Solo la imagen: ni el nombre del archivo, ni el del niño, ni ningún otro dato de la familia. Para qué: detectar contenido inapropiado —por ejemplo, desnudez, contenido sexual o violencia, entre otras categorías que define Amazon— antes de que la foto se guarde. Solo cuentan las categorías principales que Amazon detecta con una confianza de al menos el 80 %, y basta una para que la foto se rechace. Las reglas de las tiendas de aplicaciones (en Apple, la guía 1.2) exigen a las apps con contenido de sus usuarios una forma de filtrar el material inapropiado, y una app con fotos de menores sin este filtro no debería existir. Qué NO se hace: ningún ser humano mira las fotos que pasan el filtro. No hay reconocimiento facial, ni identificación de personas, ni comparación con ninguna base de rostros. La imagen viaja para una clasificación automática y nada más.

Qué queda guardado, según el resultado:

• Si la foto pasa: se guarda como cualquier otra (sección 3.5). En nuestra bitácora queda solo una línea con la familia, el niño o el adulto al que pertenece, la fecha, el tamaño, el tipo de archivo y el resultado — sin el nombre del archivo y sin copia de la imagen. Esa línea se borra a los 30 días.
• Si el filtro la marca: la foto se rechaza —no entra al álbum, y la app lo avisa— y una copia queda en cuarentena, en una carpeta aparte que la app no muestra, para que una persona de nuestro equipo revise desde el panel de operación si fue un error. Eso significa que alguien de Better Planet puede llegar a ver esa foto, que muchas veces será la de un niño; es el único caso en que el panel de operación muestra una foto. La línea de la bitácora guarda además las categorías que asignó Amazon y, después, lo que decidió nuestro equipo. Resolver el caso borra la copia, sea cual sea la decisión, y no agrega la foto al álbum: la decisión solo queda anotada. Si nadie lo resuelve, la copia se borra sola a los 30 días de la subida; la línea de la bitácora se borra también a los 30 días, resuelta o no. Si la familia ya tiene 20 fotos esperando revisión, las siguientes que el filtro marque se rechazan igual, pero ya no se guarda copia; tampoco queda copia si no se pudo guardar. En esos casos, la línea de la bitácora también se borra a los 30 días, como las demás.
• Si la revisión no se puede hacer —Amazon no responde, rechaza la imagen, se alcanzó el tope diario de revisiones que fijamos para todo el servicio para controlar su costo, o falla por cualquier otro motivo—: la foto no se guarda, y la app pide intentarlo de nuevo en unos minutos. Una foto sin revisar no se da por buena. Queda una línea en la bitácora con los mismos datos que la de una foto que pasa, marcada como sin revisar, sin archivo ni copia, que se borra a los 30 días.

Si borras a un niño, se borran en el acto la bitácora de sus fotos y las copias que hubiera en cuarentena; si cierras tu cuenta, las de tus fotos de perfil y de portada; y si se cierra la última cuenta de la casa, las de toda la familia (sección 9.2). Región de procesamiento: Norte de Virginia (us-east-1), Estados Unidos.

Aviso honesto: igual que en la verificación de identidad, AWS puede usar por defecto el contenido enviado a sus servicios de IA para mejorarlos, pero Better Planet tiene activada en AWS la política de exclusión de los servicios de IA (AI services opt-out policy), por lo que AWS no usa estas imágenes para mejorar sus servicios.

5.4. Google LLC y Apple Inc. — inicio de sesión (opcional)

Si eliges "Continuar con Google" o "Iniciar sesión con Apple", tu teléfono obtiene un token de identidad de ese proveedor y nosotros lo verificamos criptográficamente contra sus claves públicas. De ahí obtenemos tu correo electrónico y, si viene, tu nombre. No obtenemos tu contraseña ni acceso a tu cuenta de Google o Apple. Ese proveedor sabrá que iniciaste sesión en Arbo.

5.5. Render — alojamiento del servidor y la base de datos

El servidor de Arbo y su base de datos PostgreSQL se alojan en Render, en Oregón, Estados Unidos. Las fotos no se guardan en Render sino en Cloudflare R2 (sección 5.6), aunque pasan por el servidor al subirlas y al mostrarlas. Render actúa como encargado del tratamiento, bajo su acuerdo de tratamiento de datos, y sus empleados no acceden a los datos salvo para operar la infraestructura.

5.6. Cloudflare, Inc. — red, almacenamiento de fotos y sitio web

Cloudflare trabaja para nosotros en tres papeles, siempre como encargado del tratamiento, bajo su acuerdo de tratamiento de datos:

• Delante de nuestro servidor. Todo el tráfico entre la app y nuestro servidor (api.arbofamily.com) pasa por la red de Cloudflare: cada pedido y cada respuesta, las fotos que subes y las que ves, y los mensajes del chat. La conexión va cifrada desde tu teléfono hasta Cloudflare, que la descifra para reenviarla y la vuelve a cifrar hasta Render (sección 8.2). Eso significa que Cloudflare procesa en tránsito todo lo que viaja entre la app y el servidor, incluidos los datos de los niños, y ve tu dirección IP, que nos pasa para aplicar el límite de peticiones (sección 3.6). Nuestro servidor marca todas las respuestas de la API para que ningún intermediario las guarde en caché (sección 8.1).
• Guardando las fotos. Todas las fotos —las del álbum y la línea de vida de los niños, la foto de perfil y la de portada de los adultos, y las copias en cuarentena de las fotos que el filtro marcó (sección 5.3)— se guardan en Cloudflare R2, en un almacenamiento privado: sin acceso público y sin enlaces para compartir. La app nunca se conecta a R2: pide cada foto a nuestro servidor, que antes comprueba que puedes verla (sección 3.5) y recién entonces la lee de R2 y te la entrega. Cuando una foto se borra (secciones 5.3 y 9.2), se borra de R2. Ubicación del almacenamiento: Estados Unidos (Norteamérica). Las fotos se guardan cifradas en reposo.
• Nuestro sitio web y nuestro correo. Cloudflare Pages aloja el sitio público: la portada, esta política, los términos y la página para pedir el borrado de la cuenta; como cualquier servidor web, ve la dirección IP de quien lo visita. Cloudflare Email Routing recibe los correos que nos escribes a hola@arbofamily.com, privacy@arbofamily.com o support@arbofamily.com y los reenvía al buzón de nuestro equipo en Google Workspace (Google LLC).

Además, nuestro panel de operación puede estar protegido por Cloudflare Access, que pide un código a la persona de nuestro equipo antes de dejarla entrar. Access solo trata datos de nuestro equipo, no de las familias.

5.7. Sentry (Functional Software, Inc.) — reporte de errores

Usamos Sentry para enterarnos cuando algo falla y poder arreglarlo. Actúa como encargado del tratamiento, bajo su acuerdo de tratamiento de datos. Funciona en dos lugares, y en los dos está apagado salvo que lo activemos con una configuración nuestra.

En nuestro servidor. Si está activado, cada vez que el servidor anota en su registro un error —solo entonces: no los avisos ni la actividad normal—, envía a Sentry ese mensaje, la traza técnica del error (en qué parte del código ocurrió), datos técnicos del servidor y, como contexto, las últimas líneas informativas y de aviso que el registro anotó antes del error. No envía el contenido de las peticiones. Por regla, nuestro registro no escribe nombres, correos, datos de los niños ni credenciales: anota números internos (de una familia, de un niño, de una cuenta) y descripciones técnicas. Pero el texto técnico de un error inesperado puede, excepcionalmente, arrastrar un fragmento del dato que lo provocó.

En la app. Si está activado, cuando la app tiene un error o se cierra de forma inesperada, envía a Sentry:

• el error: su tipo, su mensaje y en qué parte del código de la app ocurrió;
• datos técnicos del teléfono y de la app: modelo, sistema operativo y su versión, memoria, configuraciones como el idioma o la zona horaria, y la versión de la app;
• el número interno de tu cuenta, nunca tu nombre ni tu correo;
• lo que pasó justo antes: por qué pantallas pasó, con el nombre de la ruta como patrón (por ejemplo, child/[id]/growth); qué llamadas hizo a nuestro servidor, también como patrón: la dirección sin su parte de consulta y con los números internos y los nombres de archivo de las fotos tapados (por ejemplo, /api/children/:id/growth), el método y el código de respuesta; y qué elementos se tocaron, por el nombre interno que les da el código de la app y no por lo que dice en pantalla. Ni las pantallas ni las llamadas llevan el número de un niño, de una cuenta ni de una foto.

Lo que la app no envía: nombres, correos, datos de los niños, capturas de pantalla, grabaciones de la sesión (Session Replay), la estructura de la pantalla, lo que la app escribe en su consola ni avisos de cada vez que se abre o se cierra (las sesiones de uso): solo errores y cierres. No adjunta tu dirección IP ni le pide a Sentry que la registre (aunque, como en cualquier conexión, Sentry la ve al recibir el reporte). Antes de salir del teléfono, cada reporte pasa por un filtro que borra los campos sensibles (contraseñas, tokens y sesiones, correos, nombres y apellidos, fechas de nacimiento, teléfonos, direcciones y coordenadas) y, dentro de cualquier texto, lo que parezca un token o un correo; lo que no reconozca como tal, como una palabra suelta en el mensaje de un error, no lo puede borrar.

Límite honesto: ese filtro corre en la parte JavaScript de la app. Los cierres del código nativo del teléfono los registra y los envía —al volver a abrir la app— la parte nativa de la librería, y no pasan por ese filtro: llevan el mismo número de cuenta, los mismos datos técnicos y las migas que registra el propio sistema, que pueden incluir las direcciones completas de las llamadas a nuestro servidor, con sus números internos, porque tampoco pasan por el tapado del párrafo anterior.

Región: Estados Unidos. Nuestro proyecto de Sentry está configurado para no guardar direcciones IP.

5.8. Resend — correo para recuperar la cuenta

Cuándo: solo cuando alguien pide recuperar la contraseña ("olvidé mi contraseña") con un correo que corresponde a una cuenta de Arbo. Si nadie lo pide, no se envía nada a Resend. Qué recibe: la dirección de correo del adulto y el mensaje que le mandamos, en el idioma de la familia, con un código de 6 dígitos que vale por 30 minutos. Nada sobre los niños. Qué guardamos nosotros: solo una huella (hash) del código, nunca el código; deja de valer a los 30 minutos o tras 5 intentos fallidos. Resend actúa como encargado del tratamiento, bajo su acuerdo de tratamiento de datos, y envía el correo por cuenta nuestra, desde hola@arbofamily.com. Región: Estados Unidos (us-east-1).

5.9. Expo / plataformas móviles

La app se construye con Expo y se distribuye por el App Store de Apple y Google Play. Esas tiendas recogen sus propios datos sobre la descarga y el uso, conforme a sus propias políticas de privacidad, sobre las que no tenemos control.

5.10. Otros casos en que podríamos revelar datos

• Obligación legal: por orden de un tribunal o de una autoridad competente.
• Seguridad: para prevenir un fraude, un ataque o un daño grave e inminente a una persona.
• Protección de menores: denunciaremos a las autoridades cualquier indicio de material de abuso sexual infantil o de riesgo grave para un niño.
• Cambio de control: en una fusión, adquisición o venta de activos, los datos podrían transferirse al adquirente, sujeto a esta política. Te avisaríamos.

5.11. Resumen de terceros

6. Transferencias internacionales

Better Planet LLC es una empresa estadounidense. El servidor y la base de datos están alojados en Oregón, Estados Unidos; las fotos se guardan en Estados Unidos (Norteamérica); el tráfico pasa por la red global de Cloudflare, que puede procesarlo en cualquiera de sus centros de datos, normalmente el más cercano a ti; los correos para recuperar la cuenta los envía Resend, en Estados Unidos (us-east-1); y los reportes de errores, si están activados, van a Sentry, en Estados Unidos. Si estás en Chile, en la Unión Europea o en otro país, tus datos se transfieren fuera de tu país.

• Para usuarios de la UE / EEE / Reino Unido / Suiza: las transferencias desde el Espacio Económico Europeo, el Reino Unido o Suiza se amparan en las cláusulas contractuales tipo de la Comisión Europea incluidas en los acuerdos de tratamiento de datos de cada proveedor o, cuando el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU., más las medidas técnicas descritas en la sección 8.
• Para usuarios de Chile: bajo la Ley 21.719, la transferencia internacional exige garantías adecuadas. Cuando la Agencia de Protección de Datos Personales de Chile dicte instrucciones sobre transferencias internacionales, adecuaremos a ellas este mecanismo.

7. 🔴 DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

Esta sección es la más importante de esta política.

7.1. Arbo existe para guardar datos de menores

No es un efecto secundario: es el propósito de la app. Casi todo lo que Arbo almacena es información sobre un menor de edad, y una parte importante son datos de salud, que la ley trata como la categoría más protegida.

7.2. Quién puede registrar a un niño

Solo un adulto que sea su madre, padre, tutor legal o titular de su cuidado personal, o que actúe con autorización expresa de esa persona. El adulto declara esa condición al crear el registro. Nosotros no podemos verificarlo, y por eso lo pedimos de forma explícita y destacada.

7.3. El niño no tiene cuenta propia

Los menores no crean cuentas en Arbo y no inician sesión. Toda la información la introduce y controla un cuidador adulto. Cuando un niño usa el "modo peques" o responde la palabra del día, o un adolescente responde la conversación guiada, lo hace en el dispositivo del adulto y bajo su supervisión.

7.4. Consentimiento parental verificable (COPPA, Estados Unidos)

Como la app está dirigida a familias y recoge información personal de menores de 13 años, se aplica la Children's Online Privacy Protection Act de Estados Unidos y su reglamento reformado por la FTC, cuyo cumplimiento pleno es exigible desde el 22 de abril de 2026. En consecuencia:

• Solo un progenitor o tutor puede aportar los datos del niño.
• El consentimiento se pide de forma clara y separada antes de crear el primer registro de un menor.
• La cesión a terceros requiere un consentimiento separado del consentimiento general de recolección — esa es una de las novedades de la reforma de 2025. Por eso el envío de datos al consejero de IA se consiente aparte y puede rechazarse sin perder el resto de la app.
• El aviso a los padres identifica qué terceros reciben datos y para qué.
• Un progenitor puede en cualquier momento revisar los datos de su hijo, pedir su borrado y retirar el consentimiento, sin que eso le impida seguir usando el resto del servicio.
• No se condiciona la participación del niño en ninguna actividad a que entregue más datos de los necesarios.

Cómo se da el consentimiento. La cuenta la crea un adulto, que declara ser madre, padre, tutor legal o titular del cuidado personal del niño y da su consentimiento expreso al agregarlo. El niño no crea cuenta ni escribe datos por su cuenta. Si eres madre, padre o tutor y crees que registramos datos de tu hijo sin tu consentimiento, escríbenos a privacy@arbofamily.com y los borramos.

7.5. Chile: interés superior y autonomía progresiva (Ley 21.719)

La ley chilena, plenamente vigente desde el 1 de diciembre de 2026, establece un régimen reforzado para los datos de niños, niñas y adolescentes (art. 16 quáter):

• El tratamiento debe respetar el interés superior del menor y su autonomía progresiva.
• Para tratar datos de niños (menores de 14 años) se requiere el consentimiento de los padres o representantes legales o de quien tenga su cuidado personal.
• Para adolescentes (14 a 17 años) se aplican, en general, las reglas de los adultos, salvo los datos sensibles de los menores de 16 años, que requieren consentimiento del padre, madre o representante.
• Los datos de salud son datos sensibles. La mayor parte de lo que guarda Arbo sobre un niño cae en esa categoría.
• Quienes tratan datos de menores tienen el deber especial de velar por su uso lícito y su protección.

Consecuencia práctica para Arbo: los datos de salud de un adolescente de 14 o 15 años siguen necesitando consentimiento parental; y desde los 16, corresponde pedirle también a él o ella su acuerdo antes de tratar sus datos, especialmente en la conversación vocacional, donde las respuestas son suyas y hablan de cómo se siente.

7.6. Adolescentes: su voz cuenta

La conversación guiada de orientación vocacional recoge respuestas escritas por el propio adolescente, incluida una sobre su estado de ánimo, y las envía a un tercero para analizarlas. Eso no debería ocurrir sin que el adolescente lo sepa y lo acepte. La app le pide su acuerdo antes de empezar, con sus palabras y no con las de un formulario.

7.7. Nada de publicidad ni de perfilamiento

Arbo no muestra publicidad, no hace publicidad conductual, no crea perfiles comerciales de niños y no comparte datos de menores con anunciantes, corredores de datos ni redes sociales. Esto lo exigen además, expresamente, las reglas de Apple (guía 5.1.4) y la política de Familias de Google Play.

7.8. Minimización

No pidas ni ingreses más de lo necesario. Todos los campos sensibles de Arbo — apoyos, condiciones, notas de salud, notas de emociones — son opcionales. Un registro con menos datos es un registro con menos riesgo.

8. Cómo protegemos los datos

8.1. Lo que hay implementado hoy

• Contraseñas guardadas solo como hash BCrypt; nunca en texto plano.
• Sesiones con tokens JWT firmados (HMAC-SHA256), verificados en tiempo constante.
• Límite de peticiones por IP, con un cubo más estrecho para el login, registro y OAuth, que frena los ataques de fuerza bruta.
• Login federado con verificación criptográfica real de los tokens de Google y Apple contra sus claves públicas oficiales.
• Subida de fotos restringida por tipo y tamaño, con nombres generados por el servidor, sin posibilidad de recorrer directorios, guardadas en un almacenamiento privado sin acceso público ni enlaces firmados, y descarga siempre autenticada y a través de nuestro servidor.
• Chat por WebSocket autenticado en el handshake, con el token fuera de la URL para que no quede en los registros de acceso.
• Cabeceras de seguridad en todas las respuestas, incluida Cache-Control: no-store en toda la API, para que los datos de menores no queden en cachés intermedias.
• Sin SQL construido a mano: todas las consultas son parametrizadas.
• Errores genéricos hacia el cliente; el detalle queda solo en el registro del servidor.
• Esquema versionado con migraciones y respaldos periódicos de la base de datos.

8.2. Cifrado

• En tránsito: en producción, todo el tráfico entre la app y el servidor va cifrado con HTTPS/TLS. Lo descifra primero Cloudflare (sección 5.6), que lo vuelve a cifrar hasta Render en el modo que verifica el certificado de nuestro servidor (Full (strict)); Render lo descifra en su borde y lo entrega al servidor, ya sin cifrar, dentro de su propia red. El servidor reconoce las cabeceras que agregan esos intermediarios —y se niega a arrancar en Render si no está configurado para hacerlo—, de modo que envía HSTS (la instrucción de usar siempre https) y aplica el límite de peticiones sobre tu IP real y no sobre la de un intermediario. Entre el servidor y Cloudflare R2, las fotos viajan siempre cifradas (HTTPS): el servidor se niega a arrancar si la dirección de R2 no lo es.
• En reposo: las fotos se guardan cifradas en reposo en Cloudflare R2. La base de datos no es accesible desde internet, y el acceso de cada familia está separado del de las demás (sección 8.3).

8.3. Lo que aún no está y hay que decir

8.4. Acceso del personal

El acceso a los datos de producción se limita al personal estrictamente necesario para operar y mantener el servicio. No leemos las notas, los mensajes ni las fotos de las familias de forma rutinaria, y solo accederíamos a ellos ante un problema técnico que lo requiera, una obligación legal o un riesgo grave para una persona. Hay dos excepciones previstas en la propia app: una persona de nuestro equipo revisa la copia de una foto que el filtro de contenido marcó (sección 5.3) y la copia de un mensaje que un adulto denunció (sección 3.4), para decidir qué hacer con ellas. Solo el personal de Better Planet que opera el servicio accede a la administración, con credenciales personales, y solo cuando hace falta (por ejemplo, para revisar una foto que el filtro detuvo).

8.5. Notificación de brechas

Si ocurre una violación de seguridad que afecte datos personales:

• Te avisaremos sin dilación indebida y, cuando el riesgo lo justifique, dentro de las 72 horas de conocerla, por correo y dentro de la app.
• Notificaremos a las autoridades que corresponda: la Agencia de Protección de Datos Personales de Chile, la autoridad de control europea si aplica, y las autoridades estatales de EE. UU. que lo exijan.
• Te diremos qué pasó, qué datos se vieron afectados, qué estamos haciendo y qué puedes hacer tú.

8.6. Ninguna medida es perfecta

Ningún sistema conectado a internet es completamente seguro. Hacemos lo razonable, y lo decimos sin exagerar: no podemos garantizar seguridad absoluta.

9. Cuánto tiempo conservamos los datos, y cómo se borran

9.1. Plazos

9.2. Qué significa "borrar"

Cuando borras un niño, el sistema elimina de verdad sus registros de crecimiento, emociones, salud, medicamentos, educación, progreso, misiones, resultados y entrevistas vocacionales, sus dispositivos y señales de tracker, sus palabras del día (los idiomas elegidos y la palabra de cada día, aprendida o no) y la bitácora de revisión de sus fotos, y borra sus fotos del almacenamiento (Cloudflare R2, sección 5.6), incluidas las copias que hubiera en cuarentena. No queda un registro marcado como "eliminado": se borra.

Cuando cierra su cuenta la última persona de la casa, a cada hijo le pasa lo mismo, y se borra además lo que es de la familia y no de un niño: el chat, el dicho de la semana (la cultura elegida y qué dicho le tocó cada semana), la bitácora de revisión de fotos de la familia con sus copias en cuarentena y la pertenencia al vecindario, cuyo código de ingreso además se cambia. Mientras queden otros adultos, los hijos y lo que es de la familia se quedan (ver 8.3). Y quien cierra su cuenta, sea o no la última, se lleva también la bitácora de revisión de sus fotos de perfil y de portada con sus copias en cuarentena, sus bloqueos y las denuncias que hizo o en las que aparece.

En el teléfono, cerrar sesión o borrar la cuenta olvida el aviso diario de las palabras y cancela lo que ya estaba programado.

Excepción honesta: los respaldos. Un dato borrado hoy puede seguir existiendo en una copia de seguridad hasta que esa copia expire por rotación. No restauramos respaldos para recuperar datos borrados a petición del usuario.

10. Tus derechos

Tienes derecho a:

Plazo de respuesta: contestaremos dentro de 30 días corridos, prorrogables cuando la solicitud sea compleja, avisándote.

Verificación: para proteger a las familias, antes de entregar o borrar datos verificaremos que quien pide es realmente el titular de la cuenta.

Gratuidad: ejercer estos derechos es gratis, salvo solicitudes manifiestamente infundadas o excesivas.

10.1. Derechos específicos de padres bajo COPPA

Si eres madre, padre o tutor de un menor de 13 años, tienes derecho a: revisar la información personal que hemos recogido de tu hijo; pedir que la borremos; y negarte a que se siga recogiendo o usando, sin que eso te impida usar el resto de la app. Escribe a privacy@arbofamily.com.

10.2. Residentes de California y otros estados de EE. UU.

Better Planet no vende ni comparte información personal en el sentido de la CCPA/CPRA, y no usa datos personales para publicidad conductual entre sitios. Los residentes de California y de otros estados con leyes equivalentes tienen derechos de conocer, borrar, corregir y no ser discriminados por ejercerlos. Reconocemos estos derechos a todas las personas que usan Arbo, estemos o no obligados por la ley de su estado.

11. Decisiones automatizadas

Arbo no toma decisiones automatizadas con efectos jurídicos sobre nadie. Los cálculos de percentiles, los perfiles RIASEC, los "talentos" y las respuestas de la IA son material informativo para que una persona lo interprete, y no producen por sí solos ninguna consecuencia.

12. Cookies y tecnologías similares

La app móvil no usa cookies. El sitio web —la portada, esta política, los términos y la página de borrado de cuenta, alojados en Cloudflare Pages (sección 5.6)— son archivos estáticos: no usa cookies de analítica ni de publicidad ni carga nada de terceros, y lo único que el propio sitio guarda en tu navegador, si usas el botón de tema de la portada, es si elegiste el tema claro u oscuro. Cloudflare, que lo aloja, puede usar una cookie técnica estrictamente necesaria para proteger el sitio contra tráfico automatizado.

13. Cambios a esta política

Podemos actualizar esta política. Si el cambio es sustancial —por ejemplo, un nuevo tercero que reciba datos, o una nueva finalidad— avisaremos con al menos 30 días de anticipación por correo y dentro de la app, y volveremos a pedir consentimiento cuando la ley lo exija. La fecha de la última versión aparece al inicio. Si pides una versión anterior, te la enviamos: escribe a privacy@arbofamily.com.

14. Contacto y reclamos

Better Planet LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. Privacidad: privacy@arbofamily.com General: hola@arbofamily.com

Si no quedas conforme con nuestra respuesta, puedes reclamar ante:

• Chile: Agencia de Protección de Datos Personales (desde su entrada en funciones). Para materias de consumo, SERNAC.
• Unión Europea / EEE: la autoridad de control de tu país de residencia.
• Estados Unidos: la Federal Trade Commission (FTC), en reportfraud.ftc.gov.

Fin del documento.