Política de Privacidad de PulsoRico

Última actualización: 2026-05-05.

Este documento es un borrador y su contenido todavía no ha sido revisado por asesoría legal. Se publica para transparencia y pasará por revisión formal antes de la versión definitiva.

Qué datos recogemos

Para que la ponderación demográfica funcione recogemos, durante el onboarding, cinco variables:

Municipio (uno de los 78 de Puerto Rico).
Bucket de edad (18-24, 25-34, 35-44, 45-54, 55-64, 65+).
Género.
Nivel educativo.
Identificación partidista.

Adicionalmente almacenamos tu email (para login con magic link / OTP) y los votos que emitís en cada encuesta. Cada voto queda asociado a tu cuenta para garantizar la regla "un voto por persona por encuesta", pero nunca se publica asociado a tu identidad.

Identificación partidista como dato sensible

Bajo el Reglamento General de Protección de Datos (GDPR, art. 9), la identificación partidista u opinión política es un dato de categoría especial ("dato sensible"). Lo tratamos como tal:

Lo solicitamos con un disclaimer visible y consentimiento explícito durante el onboarding.
Lo usamos únicamente como variable de ponderación demográfica. Nunca lo publicamos asociado a un usuario individual ni lo cedemos a terceros.
Podés editarlo o borrarlo en cualquier momento desde /perfil. Si lo borrás, se anonimiza y deja de contribuir a futuras ponderaciones.

Base legal del tratamiento

Consentimiento explícito (GDPR art. 6.1.a y, para el dato sensible, art. 9.2.a) prestado durante el onboarding.
Ejecución del servicio (GDPR art. 6.1.b) para el resto de operaciones imprescindibles (login, registro de votos, prevención de fraude).
Interés legítimo (GDPR art. 6.1.f) limitado a seguridad y prevención de abuso (rate limiting, detección de coordinación), nunca con fines comerciales.

Derechos GDPR del titular

Podés ejercer en cualquier momento los derechos reconocidos por GDPR:

Derecho de acceso (art. 15): podés ver todos tus datos en /perfil y descargarlos en formato JSON desde /perfil/datos (función disponible cuando se complete la feature de exportación).
Derecho de rectificación (art. 16): editá tus datos demográficos en cualquier momento desde /perfil.
Derecho de portabilidad (art. 20): la exportación de /perfil/datos te entrega un JSON estructurado con tu profile y tus votos.
Derecho de borrado / "al olvido" (art. 17): podés borrar tu cuenta desde /perfil/datos. Esto elimina tu profile y tus votos asociados; los agregados estadísticos previamente publicados, por ser anónimos e irreversibles, permanecen.
Derecho a retirar el consentimiento (art. 7.3): podés retirarlo en cualquier momento, con efecto a futuro y sin afectar la legalidad del tratamiento previo basado en él.

Para cualquier consulta o reclamo, podés escribirnos a la dirección indicada en el README.md del repositorio público o, si residís en la UE, presentar reclamación ante tu autoridad de control nacional.

Retención

Cuenta activa: mantenemos tus datos mientras la cuenta esté activa.
Cuenta inactiva: si tu cuenta no registra actividad durante 24 meses te enviaremos un aviso; si seguís sin actividad otros 6 meses procederemos a anonimizar el profile.
Borrado a pedido: la solicitud de borrado se ejecuta dentro de los 30 días siguientes (/perfil/datos).
Logs técnicos: los logs de seguridad (login, rate limit) se conservan un máximo de 90 días.
Agregados publicados: los resultados ponderados publicados en /resultados no contienen datos personales y permanecen como histórico cívico.

Cookies y tecnologías similares

Usamos cookies estrictamente necesarias para mantener tu sesión y proteger contra abuso. No usamos cookies publicitarias. Cualquier otra tecnología de medición (analítica) se carga solo tras tu consentimiento, según se detalla en la Política de Cookies.

Seguridad

Las contraseñas no se almacenan: el login es por magic link / OTP (Supabase Auth + Resend).
Las claves de servicio (SUPABASE_SERVICE_ROLE_KEY, RESEND_API_KEY) viven solo en variables de entorno del servidor.
La base de datos aplica Row Level Security: ningún usuario puede leer los votos de otro.

Transferencias internacionales

Los datos se almacenan en infraestructura de Supabase y se sirven desde Netlify. Ambos pueden implicar transferencias a Estados Unidos. Los proveedores aplican cláusulas contractuales tipo y salvaguardas equivalentes a GDPR.

Cambios a esta política

Cualquier cambio sustantivo se notificará en la propia plataforma con al menos 14 días de antelación. El historial queda en el repositorio público.