Política de privacidad

1. Identidad del responsable del tratamiento

El responsable del tratamiento es Alexis Le Pin, editor de la aplicación Lexu, localizable en la dirección alexis@lexu.fr. Para cualquier duda relativa a la protección de tus datos, escríbenos a alexis@lexu.fr con el asunto «RGPD».

2. Datos recogidos

Solo recogemos los datos necesarios para el funcionamiento del servicio:

• Cuenta: dirección de correo electrónico, contraseña (con hash, nunca almacenada en claro), método de autenticación (correo electrónico, Apple, Google).
• Perfil: nombre visible, nombre de usuario (@), avatar, biografía, preferencias (géneros preferidos, objetivos de lectura).
• Biblioteca: libros añadidos, progreso (páginas leídas), estado (en curso, terminado, por leer, abandonado), notas, citas, impresiones, así como la información que introduces tú mismo sobre tu ejemplar (precio pagado, lugar donde lo guardas, estado, formato, editorial, etiquetas personales, recomendación). Una nota puede contener una grabación de voz que activas tú mismo, y una foto: el micrófono nunca se activa sin que pulses para grabar.
• Actividades de lectura: sesiones (duración, páginas leídas, fecha), historial de las actividades compartidas.
• Red social: seguimientos (followers / following), me gusta, comentarios, contenidos compartidos.
• Obras publicadas (espacio de autores): si publicas una obra en Lexu: seudónimo, título, resumen, género, portada y texto de los capítulos. Estos contenidos son públicos por naturaleza una vez validada la obra. En el lector, tu posición de lectura y tus subrayados se guardan y solo son visibles para ti.
• Mensajería: contenido y metadatos de las conversaciones entre usuarios (cifrado en tránsito, almacenamiento en el servidor).
• Suscripción Premium: estado de la suscripción (activa / expirada), identificador de producto, fecha de renovación. Lexu no almacena ningún dato bancario: los pagos los gestionan Apple (App Store), Google (Play Store) y, en la web, Stripe.
• Datos técnicos: identificador de dispositivo (anonimizado), versión del sistema operativo, versión de la app, idioma, zona horaria, dirección IP (recogida temporalmente para la seguridad y la prevención de abusos).
• Notificaciones push: token de dispositivo (Apple Push / Firebase) si activas las notificaciones.

No recogemos ningún dato sensible (salud, opiniones políticas, religiosas, sindicales, orientación sexual, etc.).

Publicidad: la aplicación muestra espacios patrocinados a todos sus usuarios. Cada espacio lleva la mención «Patrocinado», y el nombre del anunciante se muestra en el espacio. No vendemos, no alquilamos y no transmitimos ningún dato personal a los anunciantes: solo reciben estadísticas agregadas de su campaña.

3. Bases legales y finalidades

Conforme al artículo 6 del RGPD, cada tratamiento se basa en una base legal clara:

• Ejecución del contrato (art. 6.1.b): creación de la cuenta, funcionamiento de la biblioteca, estadísticas de lectura, mensajería, suscripción Premium, soporte al usuario.
• Interés legítimo (art. 6.1.f): seguridad del servicio, prevención del fraude, mejora de la app mediante análisis agregados y anonimizados.
• Consentimiento (art. 6.1.a): notificaciones push, analítica, contenidos compartidos públicamente. Puedes retirar tu consentimiento en cualquier momento desde los ajustes de la app o de tu dispositivo.
• Obligación legal (art. 6.1.c): conservación de los registros de conexión (loi n° 2004-575 du 21 juin 2004, ley francesa sobre la confianza en la economía digital) y facturación.

4. Encargados del tratamiento y destinatarios

Tus datos pueden ser tratados por los siguientes encargados del tratamiento, sujetos a contratos conformes al RGPD:

• Supabase (Unión Europea, Suecia): alojamiento de la base de datos y del almacenamiento de archivos (avatares, portadas personalizadas).
• Apple Inc. (Estados Unidos): App Store, pagos in-app, notificaciones push en iOS, Sign in with Apple.
• Google LLC (Estados Unidos): Play Store y pagos en Android, Sign in with Google.
• RevenueCat (Estados Unidos): gestión técnica de las suscripciones y webhooks de facturación.
• Stripe Payments Europe (Irlanda): pagos realizados en la web (acceso de por vida, ofertas Pro y publicidad).
• OneSignal (Estados Unidos): entrega de las notificaciones push.
• OpenAI y Anthropic (Estados Unidos): tratamiento de las funciones de inteligencia artificial. El contenido que envías al asistente de lectura, así como los extractos de libros necesarios para generar los cuestionarios y los resúmenes, se les transmiten para producir la respuesta. No utilizan estos contenidos para entrenar sus modelos.
• Resend (Estados Unidos): envío de los correos de servicio (restablecimiento de contraseña, cambio de dirección, respuestas del soporte). Tu dirección de correo electrónico se les transmite para ese envío.
• Netlify (Estados Unidos): alojamiento del sitio lexu.fr.
• Boxtal (Francia): creación de las etiquetas de envío del Troc, el intercambio de libros de Lexu. Cuando se genera una etiqueta para un intercambio, se les transmiten el nombre, la dirección de correo electrónico, el número de teléfono y el punto de recogida de cada uno de los dos miembros, así como al transportista que entrega el paquete.
• Spotify AB (Suecia): si conectas tu cuenta de Spotify, Lexu intercambia con Spotify los tokens de conexión y recupera los títulos escuchados durante tus sesiones de lectura para asociarlos a la sesión. No se transmite nada si no la conectas.
• Discord Inc. (Estados Unidos): si vinculas tu cuenta Lexu al servidor de Discord de Lexu, se le transmiten tu nombre de usuario, tu estado Premium o de autor, tu número de libros, tu racha de lectura y tu fecha de registro para mostrar tus roles. Si tu cuenta es privada, solo se transmiten los roles y la fecha de registro. Puedes retirar la vinculación en cualquier momento.
• Boxtal (Francia): creación de las etiquetas de envío del Trueque. Cuando se genera una etiqueta para un intercambio, el nombre, la dirección de correo electrónico, el número de teléfono y el punto de recogida de cada uno de los dos miembros se les transmiten, así como al transportista que entrega el paquete.
• Spotify AB (Suecia): si conectas tu cuenta de Spotify, Lexu intercambia con Spotify los tokens de conexión y recupera las canciones que escuchas durante tus sesiones de lectura para asociarlas a la sesión. No se transmite nada si no la conectas.
• Discord Inc. (Estados Unidos): si vinculas tu cuenta de Lexu al servidor de Discord de Lexu, tu nombre de usuario, tu estado Premium o de autor, tu número de libros, tu racha de lectura y tu fecha de registro se le transmiten para mostrar tus roles. Si tu cuenta es privada, solo se transmiten los roles y la fecha de registro. Puedes eliminar la vinculación en cualquier momento.

Nunca vendemos tus datos. Solo los compartimos con terceros para prestar el servicio o si la ley nos obliga a ello.

5. Transferencias fuera de la Unión Europea

Algunos de nuestros encargados del tratamiento (Apple, Google, RevenueCat, OneSignal, OpenAI, Anthropic, Resend, Netlify) están ubicados en Estados Unidos. Estas transferencias se amparan en:

• las cláusulas contractuales tipo de la Comisión Europea;
• la certificación de los proveedores estadounidenses en el Data Privacy Framework (DPF) UE-EE. UU. cuando sea aplicable;
• medidas complementarias (cifrado en tránsito y en reposo, control de acceso estricto).

6. Plazo de conservación

• Datos de la cuenta: se conservan mientras tu cuenta esté activa. Se eliminan en un plazo de 30 días tras tu solicitud de eliminación de la cuenta.
• Actividades y mensajes: se conservan mientras tu cuenta esté activa, se eliminan al cerrar la cuenta.
• Registros de conexión: se conservan 12 meses (obligación legal).
• Datos de facturación: se conservan 6 años (obligación fiscal, art. L. 102 B del Libro de procedimientos fiscales francés).
• Cuentas inactivas: tras 3 años de inactividad total, te enviamos un correo de aviso antes de la eliminación automática.

7. Tus derechos

Conforme al RGPD, dispones de los siguientes derechos sobre tus datos:

• Derecho de acceso (art. 15): obtener una copia de tus datos.
• Derecho de rectificación (art. 16): corregir un dato inexacto.
• Derecho de supresión (art. 17): eliminar tus datos.
• Derecho a la limitación (art. 18): congelar temporalmente un tratamiento.
• Derecho a la portabilidad (art. 20): recuperar tus datos en un formato estructurado.
• Derecho de oposición (art. 21): oponerte a un tratamiento basado en el interés legítimo.
• Derecho a retirar tu consentimiento en cualquier momento (art. 7).
• Directrices post mortem: definir el destino de tus datos tras tu fallecimiento.

Para ejercer estos derechos, escríbenos a alexis@lexu.fr. Respondemos en un plazo máximo de 30 días (prorrogable 60 días en caso de solicitud compleja). Se te puede pedir una prueba de identidad.

Si consideras que tus derechos no se respetan, puedes presentar una reclamación ante la CNIL (autoridad francesa de protección de datos, 3 Place de Fontenoy, 75007 Paris).

8. Eliminación de la cuenta

Puedes eliminar tu cuenta directamente desde la app (Perfil → Ajustes → Ayuda y soporte → Eliminar mi cuenta) o contactándonos. La eliminación es irreversible y conlleva la pérdida de todos tus datos (biblioteca, actividades, impresiones, mensajes). Los datos necesarios para las obligaciones legales (facturación, registros) se conservan durante el plazo legal y después se eliminan.

9. Cookies e identificadores técnicos

La aplicación móvil y el sitio lexu.fr utilizan:

• Cookies estrictamente necesarias (sesión, autenticación, preferencias): no requieren tu consentimiento.
• Identificadores de dispositivo anonimizados: para la seguridad y la limitación de los abusos (antispam, antifraude).

Lexu no utiliza ningún píxel de seguimiento de terceros, ninguna red publicitaria externa y nunca sigue tu actividad fuera de la aplicación. En el sitio web, pueden utilizarse herramientas de análisis estrictamente agregadas y anonimizadas.

Enlaces de compra. La hoja «¿Dónde encontrar este libro?» de la aplicación ofrece Amazon.fr y Fnac.com. Amazon deposita sus propias cookies según su política de privacidad. El enlace hacia Fnac.com pasa primero por el redirector de la plataforma de afiliación Awin, que deposita un identificador de seguimiento que sirve para atribuir la compra a Lexu. Ese enlace no contiene nada que te concierna: únicamente el identificador público de Lexu y una marca que indica desde qué pantalla has hecho clic. No se transmiten ni tu cuenta, ni tu dirección de correo electrónico, ni tu biblioteca, y solo recibimos informes agregados de clics y comisiones, nunca la identidad de los compradores.

9 bis. Espacios patrocinados y medición

Los espacios patrocinados los vende directamente Lexu a autores y a editoriales, y se validan uno por uno: en ellos solo se destacan libros. No interviene ninguna agencia ni red publicitaria de terceros.

Autores y editoriales que sigues. Los autores y editoriales que sigues podrán escribirte por correo electrónico solo si lo aceptas, cuando este ajuste esté disponible en Ajustes; hasta entonces, ningún autor ni editorial puede escribirte, y sin ese consentimiento nunca reciben tu dirección. Podrás retirar tu consentimiento en cualquier momento en el mismo lugar, y cada mensaje contiene un enlace para darte de baja. El anunciante de un espacio patrocinado nunca recibe tu dirección ni tu identidad.

Pertinencia de las campañas. Para evitar mostrarte un libro sin relación con tus gustos, el orden de visualización tiene en cuenta los temas de los libros de tu biblioteca (por ejemplo «Romance» o «Fantasy»). Dos garantías:

• Los temas que puedan revelar un dato sensible (religión, salud, opiniones políticas, orientación sexual) están excluidos por construcción de este cálculo.
• Esta clasificación solo reordena las campañas. No descarta a nadie y no tiene ninguna consecuencia sobre tu cuenta, tus contenidos o tus funcionalidades.

Medición. Registramos, para cada campaña, la impresión efectivamente visualizada, la apertura de la ficha del libro y la adición a la pila de lectura, como máximo una vez al día y por persona. Estos eventos sirven para elaborar el informe comunicado al anunciante, que solo contiene totales y números de lectores únicos, nunca tu identidad ni tu perfil.

Base legal: interés legítimo (art. 6.1.f) en financiar un servicio gratuito y medir su eficacia, ponderado con tus derechos.

Tu derecho de oposición. Puedes desactivar esta clasificación en cualquier momento, sin justificación y sin perder nada del servicio, desde Ajustes y luego Privacidad, o escribiendo a alexis@lexu.fr. Las campañas se te presentan entonces en un orden indiferente. Las cuentas declaradas como menores quedan excluidas de oficio: ninguna de sus lecturas entra en el cálculo.

10. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: cifrado TLS 1.2+ en tránsito, cifrado AES-256 en reposo para los archivos sensibles, hash de las contraseñas (bcrypt/argon2), políticas de acceso estrictas (Row Level Security de Supabase), auditorías periódicas, registros de acceso. En caso de violación que pueda generar un riesgo para tus derechos, notificaremos a la CNIL en un plazo de 72 h y a ti mismo con la mayor brevedad.

11. Menores

Lexu está destinada a un público de 15 años o más. No recogemos a sabiendas datos relativos a personas menores de 15 años. Si crees que un menor nos ha transmitido datos, contáctanos: procederemos a su eliminación inmediata.

12. Clientes profesionales (Lexu Pro)

Esta sección se dirige a usted si utiliza el espacio Lexu Pro (lexu.fr/pro) para una editorial o como autora o autor, o si compra un espacio publicitario. El responsable del tratamiento es el indicado en la sección 1.

Datos tratados.

• Contacto: su nombre y su dirección de correo electrónico, el nombre de su editorial o su seudónimo, y la dirección de correo electrónico de los colaboradores que invita a su espacio.
• Pago y facturación: el pago lo gestiona Stripe, que recoge la información necesaria para el pago. Lexu no recibe ni conserva ningún dato bancario: recibimos de Stripe su nombre, su dirección de correo electrónico y el estado de su suscripción o de su pedido, así como los datos de facturación que nos comunica (por ejemplo, el nombre que debe figurar en la factura).
• Contenidos de su espacio: fichas y textos de sus libros, preguntas de quiz, briefs y visuales de campaña, calendario editorial, boletines, y los contactos que registra.

Bases legales. Ejecución del contrato o medidas precontractuales adoptadas a petición suya (art. 6.1.b): creación y funcionamiento de su espacio, pago, correos electrónicos ligados al servicio (acceso, decisión sobre su solicitud, informes, seguimiento de las campañas). Obligación legal (art. 6.1.c): conservación de los justificantes contables y de facturación.

Plazos de conservación.

• Datos de contacto y contenidos de su espacio: se conservan mientras su espacio esté abierto y se eliminan en un plazo de 30 días tras su solicitud de cierre, salvo lo que la ley obligue a conservar. Las fichas de libros son una excepción: pasan al catálogo público de Lexu, en el que se apoyan las bibliotecas de los lectores, y permanecen en él tras el cierre; solo se elimina su vínculo con su espacio.
• Justificantes contables y de facturación: 6 años (art. L. 102 B del Libro de procedimientos fiscales francés).
• Registros de conexión: 12 meses, como se indica en la sección 6.

Contactos que registra. Respecto a las personas que registra en su espacio (prensa, librerías, reseñadores y otros interlocutores), usted es el responsable del tratamiento: Lexu actúa como encargado, siguiendo sus instrucciones, en las condiciones del artículo 11 de las Condiciones de venta Pro («Datos confiados por el cliente»). Al cerrar su espacio, estos datos se eliminan o se le devuelven, a su elección. Si una de estas personas nos escribe para ejercer sus derechos, le transmitimos su solicitud.

Encargados del tratamiento. Para Lexu Pro, sus datos son tratados por:

• Supabase: alojamiento de la base de datos y de los archivos de su espacio, en la Unión Europea (Suecia).
• Stripe Payments Europe (Irlanda): pago, suscripciones y facturas.
• Resend (Estados Unidos): envío de los correos de Lexu Pro y de los boletines que dirige a sus contactos.
• Netlify (Estados Unidos): alojamiento del sitio lexu.fr y del espacio Lexu Pro.
• Anthropic (Estados Unidos): revisión automática de las preguntas de quiz que propone.

Las transferencias fuera de la Unión Europea se enmarcan como se describe en la sección 5. Dispone de los derechos descritos en la sección 7, que se ejercen del mismo modo, en alexis@lexu.fr.

12 bis. Prospección profesional

Esta sección se dirige a usted si Lexu le ha escrito para presentarle Lexu Pro, el Espacio Autores o sus formatos publicitarios: editorial, autora o autor, agencia o plataforma al servicio del libro. El responsable del tratamiento es el indicado en la sección 1.

Origen de los datos. Únicamente los datos de contacto que usted mismo publica para las solicitudes profesionales: dirección de contacto, de prensa o de colaboraciones, formulario de contacto de su sitio web, página profesional en una red social. Anotamos la dirección de la página donde los hemos leído. No se compra, alquila ni intercambia ningún fichero, y no se deduce ninguna dirección.

Datos tratados. El nombre de la editorial o su seudónimo, el dato de contacto publicado y su fuente, nuestros intercambios, y las cifras de lectura agregadas de sus títulos en Lexu citadas en nuestros mensajes (nunca por debajo de cinco lectores, nunca un dato sobre un lector identificable).

Finalidad y base legal. Presentarle una oferta relacionada con su actividad profesional, sobre la base de nuestro interés legítimo (art. 6.1.f del RGPD), en el marco del artículo L. 34-5 del Código francés de correos y comunicaciones electrónicas.

Número de mensajes. Un primer mensaje y, sin respuesta, como máximo dos recordatorios para una editorial o una empresa, uno solo para una autora o un autor. Nada después.

Oposición. Responda STOP a uno de nuestros mensajes, o escriba a alexis@lexu.fr: no volveremos a escribirle. Su dirección pasa entonces a una lista de oposición, que solo sirve para eso y se conserva al menos tres años.

Plazo de conservación. Tres años desde la recogida o desde su último mensaje, y después eliminación.

Destinatarios y herramientas. Solo Alexis Le Pin lee y trata estos datos. Los mensajes pasan por el correo profesional de lexu.fr (Google Workspace, Google LLC, Estados Unidos); su preparación y su seguimiento se apoyan en Anthropic (Estados Unidos), herramienta de asistencia, que no utiliza estos contenidos para entrenar sus modelos. Las transferencias fuera de la Unión Europea se enmarcan como se describe en la sección 5.

Dispone de los derechos descritos en la sección 7 (acceso, rectificación, supresión, oposición), que puede ejercer en alexis@lexu.fr. Respuesta en el plazo de un mes.

13. Modificaciones

Podemos actualizar esta política. La fecha de la última actualización figura en la parte superior de la página. En caso de cambio sustancial, te informaremos por correo electrónico o mediante una notificación en la app al menos 15 días antes de la entrada en vigor de las nuevas disposiciones.

14. Contacto

Para cualquier duda relativa a esta política o a tus datos:

alexis@lexu.fr · Formulario de contacto (en francés)