Política de tratamiento de datos personales
1. Disposiciones generales
1.1. La Política se aplica a todos los datos personales que el Operador trata en relación con el Servicio, con o sin medios automatizados.
1.2. El inicio de sesión en el Servicio se realiza con una cuenta de polyzon.org. El Servicio y polyzon.org pertenecen al mismo operador; el tratamiento de los datos de la cuenta en polyzon.org se describe en los documentos de polyzon.org.
1.3. Los datos personales se tratan sobre las bases enumeradas en la sección 4. Para el funcionamiento del Servicio no se requiere un consentimiento específico para el tratamiento: el tratamiento es necesario para la ejecución del Acuerdo de usuario y de la oferta en los que el usuario es parte. Si el Operador inicia un tratamiento que requiera consentimiento (por ejemplo, envíos publicitarios o analítica), lo solicitará por separado de otros documentos.
2. Información sobre el Operador
- Empresario individual Nikulin Artem Andreevich
- INN (número de identificación fiscal): 434547133957, OGRNIP (número de registro estatal principal de empresario individual): 326430000048653
- Registro estatal: 30 de julio de 2026, Dirección del Servicio Federal de Impuestos de la región de Kírov
- Dirección postal para solicitudes: office 1022, 109 Lenina St., Kirov, Russia
- Correo electrónico para solicitudes de los titulares de datos personales: support@polyzon.org
- El responsable de organizar el tratamiento de los datos personales es el propio Operador.
3. Principios del tratamiento
El Operador trata los datos personales:
- de forma lícita y leal, solo para las finalidades predeterminadas de la sección 4;
- en la medida necesaria para esas finalidades, sin combinar bases de datos con finalidades incompatibles;
- garantizando la exactitud de los datos y adoptando medidas para suprimir o rectificar los inexactos;
- durante no más tiempo del que exijan las finalidades del tratamiento, el contrato o la ley, tras lo cual los datos se destruyen o se despersonalizan.
4. Finalidades, datos, bases y plazos
| Finalidad | Datos | Base jurídica | Plazo |
|---|---|---|---|
| Inicio de sesión y gestión de la cuenta | Identificador seudónimo de la cuenta de polyzon.org; dirección de correo electrónico, nombre y dirección de la imagen de perfil, si el usuario autorizó su cesión; código de referido; fechas de creación; versión y hora de aceptación de los documentos, dirección IP en el momento de la aceptación | Ejecución de un contrato (apdo. 5 de la parte 1 del art. 6 de la Ley de Datos Personales) | Hasta la eliminación de la cuenta. Los datos sobre la aceptación de documentos, 3 años después de la eliminación (plazo de prescripción), para proteger los derechos del Operador (apdo. 7 de la parte 1 del art. 6) |
| Prestación de los servicios del Servicio | Descripciones y mensajes, imágenes, fotos y modelos 3D subidos, resultados creados, historial de generaciones y de chats con el asistente, enlaces públicos, herramientas favoritas, ajustes | Ejecución de un contrato (apdo. 5 de la parte 1 del art. 6) | Hasta que el usuario elimine el material correspondiente o la cuenta |
| Pago y contabilidad de los tokens | Paquete, importe, fecha y estado del pago, identificador del pago en YooKassa, dirección de correo electrónico para el recibo, movimientos del saldo de tokens | Ejecución de un contrato (apdo. 5 de la parte 1 del art. 6); obligaciones previstas en la legislación sobre cajas registradoras y sobre contabilidad fiscal y contable (apdo. 2 de la parte 1 del art. 6) | 5 años desde el final del año en que se realizó la operación |
| Programa de referidos | Código de referido, vínculo «invitó — fue invitado», tokens abonados; cookie studio_ref | Ejecución de un contrato (apdo. 5 de la parte 1 del art. 6) | Hasta la eliminación de la cuenta; los abonos, como parte de los movimientos del saldo |
| Soporte, reclamaciones y comentarios | Mensajes en el chat «Ayuda» y por correo electrónico, valoraciones y opiniones sobre las respuestas del asistente, información de solicitudes y reclamaciones | Ejecución de un contrato (apdo. 5 de la parte 1 del art. 6); interés legítimo del Operador en mejorar el Servicio y proteger sus derechos (apdo. 7 de la parte 1 del art. 6) | Hasta la eliminación de la cuenta, pero no más de 3 años desde el último mensaje |
| Seguridad y prevención de abusos | Dirección IP, datos del navegador (User-Agent), hash de la clave de sesión, hora de los inicios de sesión y de las solicitudes, contadores de limitación de frecuencia, registros técnicos | Interés legítimo del Operador en proteger el Servicio y a los usuarios (apdo. 7 de la parte 1 del art. 6) | Sesiones: hasta el cierre de sesión o su caducidad (30 días); registros técnicos: no más de 12 meses |
| Cumplimiento de los requisitos legales | Información necesaria para responder a las solicitudes de los titulares de datos personales, de los tribunales y de los organismos competentes | Obligación legal (apdo. 2 de la parte 1 del art. 6) | Durante el plazo establecido por la ley |
4.1. Titulares cuyos datos se tratan: usuarios del Servicio, visitantes del sitio web y personas que hayan enviado al Operador una solicitud o una notificación.
4.2. El Operador no trata categorías especiales de datos personales ni datos personales biométricos: las fotos subidas se utilizan únicamente para crear imágenes y modelos 3D a petición del usuario y no se emplean para identificar a nadie.
4.3. El Operador no recopila deliberadamente información sobre terceros. Si el usuario sube una foto de otra persona, está obligado a obtener su consentimiento (Acuerdo de usuario, sección 8). Estos materiales se eliminan a petición de la persona representada.
4.4. El Servicio no está dirigido a menores de 14 años. La cuenta de una persona así se elimina junto con sus datos a petición de su representante legal o cuando se detecta este hecho.
4.5. El Operador no adopta decisiones que produzcan efectos jurídicos para el usuario basadas únicamente en el tratamiento automatizado. Los filtros automáticos de los proveedores de IA pueden rechazar una generación; los tokens de esa generación se devuelven y el usuario tiene derecho a dirigirse al soporte.
5. Procedimiento y condiciones del tratamiento
5.1. El tratamiento incluye la recogida, el registro, la sistematización, la acumulación, la conservación, la rectificación, la extracción, el uso, la cesión (comunicación, acceso), la despersonalización, el bloqueo, la supresión y la destrucción. El tratamiento se realiza principalmente por medios automatizados.
5.2. Los datos se obtienen del propio usuario y de polyzon.org al iniciar sesión. El registro, la sistematización, la acumulación, la conservación, la rectificación y la extracción de los datos personales de ciudadanos de la Federación de Rusia se realizan en bases de datos alojadas en servidores situados en el territorio de la Federación de Rusia (parte 5 del artículo 18 de la Ley de Datos Personales).
5.3. Las herramientas de la sección «Herramientas» funcionan en el navegador del usuario: los archivos que se suben a ellas no se transmiten al Operador hasta que el propio usuario envía el resultado a Studio, a la biblioteca o al asistente.
6. Cesión de datos
6.1. El Operador cede los datos personales solo en la medida necesaria para la finalidad:
- a OOO NKO «YooMoney» (servicio YooKassa, Rusia; entidad de crédito no bancaria), para aceptar pagos y enviar el recibo fiscal: el importe, la descripción de la compra, los identificadores del pedido y del usuario en el Servicio y la dirección de correo electrónico para el recibo. El usuario introduce los datos de la tarjeta en YooKassa; el Operador no los recibe;
- a un proveedor de servicios de alojamiento (centro de datos en Rusia), para alojar el Servicio y almacenar los datos por encargo del Operador;
- a los proveedores de IA, para ejecutar la solicitud del usuario: OpenRouter, Inc. (EE. UU.) y los modelos de inteligencia artificial a los que esta dirige la solicitud, así como Meshy (EE. UU.) para los modelos 3D. Solo se transmite el contenido de la solicitud (la descripción, los mensajes al asistente, las imágenes y los modelos subidos), sin el nombre, la dirección de correo electrónico ni los identificadores de la cuenta;
- a los organismos públicos y los tribunales, en los casos y en la forma que establece la ley.
6.2. La cesión a los proveedores de IA es transfronteriza, a Estados que no figuran en la lista de los que garantizan una protección adecuada de los derechos de los titulares de datos personales. Se realiza conforme al artículo 12 de la Ley de Datos Personales y solo para ejecutar el contrato con el usuario, a petición suya. Los datos personales llegan a los proveedores de IA solo si el propio usuario los incluye en la solicitud. No incluyas datos personales en las descripciones ni en los mensajes, y sube fotos de personas solo con su consentimiento.
6.3. Los proveedores de IA tratan lo que reciben conforme a sus propias normas, publicadas en sus sitios web. El Operador no utiliza los materiales de los usuarios para entrenar modelos de inteligencia artificial y no vende datos personales.
7. Cese del tratamiento y destrucción
7.1. El Operador cesa el tratamiento y destruye los datos personales cuando se alcanza la finalidad, cuando vence el plazo de la sección 4, cuando se revoca el consentimiento (si el tratamiento se basaba en él), cuando el titular exige el cese del tratamiento basado en el interés legítimo o cuando se detecta un tratamiento ilícito, en los plazos establecidos por el artículo 21 de la Ley de Datos Personales, como regla general en un plazo máximo de 30 días.
7.2. El usuario elimina por sí mismo sus materiales en el Servicio, en la Biblioteca y en la sección «Cuenta»; la cuenta completa la elimina el Operador a petición. Los datos que el Operador está obligado a conservar por ley (sección 4, «Pago y contabilidad de los tokens») se conservan por separado hasta que vence el plazo y no se utilizan para otros fines. Los datos se eliminan de las copias de seguridad cuando estas se sobrescriben de forma programada.
7.3. La destrucción se acredita mediante un acta y un extracto del registro en la forma establecida por Roskomnadzor (autoridad rusa de protección de datos).
8. Protección de los datos personales
8.1. El Operador adopta medidas de protección jurídicas, organizativas y técnicas, entre ellas:
- inicio de sesión a través de polyzon.org mediante el protocolo OpenID Connect (authorization code + PKCE): el Servicio no recibe ni almacena contraseñas;
- almacenamiento de las claves de sesión solo en forma de hash SHA-256;
- cifrado de las conexiones mediante el protocolo TLS;
- control de acceso a los datos y a las funciones de administración;
- protección contra ataques de fuerza bruta y abusos: limitación de la frecuencia de solicitudes, protección CSRF, validación de entradas;
- actualización periódica del software y corrección de vulnerabilidades;
- copias de seguridad y control del cumplimiento de esta Política.
8.2. El Operador notifica a Roskomnadzor toda cesión ilícita de datos personales que haya vulnerado los derechos de los titulares en un plazo de 24 horas, y los resultados de la investigación en un plazo de 72 horas (parte 3.1 del artículo 21 de la Ley de Datos Personales).
9. Derechos del titular de los datos personales
9.1. El titular de los datos personales tiene derecho a:
- obtener información sobre el tratamiento de sus datos personales;
- exigir la rectificación, el bloqueo o la destrucción de los datos si son incompletos, obsoletos, inexactos, se obtuvieron ilícitamente o no son necesarios para la finalidad declarada;
- exigir el cese del tratamiento basado en el interés legítimo del Operador y revocar el consentimiento si el tratamiento se basaba en él;
- recurrir las actuaciones del Operador ante Roskomnadzor o ante los tribunales, y exigir la indemnización de los daños y perjuicios y la compensación del daño moral.
9.2. La solicitud se envía a support@polyzon.org desde la dirección de correo electrónico de la cuenta o por carta a la dirección: office 1022, 109 Lenina St., Kirov, Russia. En la solicitud se indican los datos que acreditan la relación con el Operador (por ejemplo, la dirección de correo electrónico de la cuenta) y el contenido de la petición.
9.3. El Operador responde en un plazo de 10 días hábiles desde la recepción de la solicitud. El plazo puede prorrogarse no más de 5 días hábiles mediante el envío de una notificación motivada.
10. Cookies
El Servicio solo utiliza cookies necesarias y funcionales; no hay cookies analíticas ni publicitarias. Más información en la Política de cookies.
11. Modificación de la Política
11.1. El Operador tiene derecho a modificar la Política. La nueva versión entra en vigor desde su publicación, salvo que en ella se indique otra cosa; el Operador comunica los cambios importantes en el Servicio.
11.2. La versión vigente está disponible permanentemente en https://studio.polyzon.org/es/legal/data-processing.