Política de privacidad (versión 3)

This says what happens to your personal data when you use Ollinter. It is written to be read, not to be survived.

The company responsible for it is:

Esto explica qué sucede con tus datos personales cuando usas Ollinter. Está escrito para ser leído, no para ser un suplicio.

La empresa responsable es:

CS Konstruktions-Planung OÜ

Viru väljak 2, Kesklinna linnaosa, 10111 Tallinn, Estonia

Registration number: 17452901

VAT number: EE102970135

Email: legal@ollinter.com

Write to that address with any question about your data, to ask for a copy, or to ask us to correct or delete something.

We do not sell personal data. We run no advertising trackers and no third-party analytics scripts.

## What we hold

Depending on how you use the platform:

- Your name, email address, and a telephone number if you give us one.

- Your date of birth, which we ask once to check you are an adult.

- Your language and time zone.

- Your account and profile, and for a professional the public profile: photo, introduction video, description, qualifications, experience, prices, availability.

- For a professional, identity documents, a selfie, proof of address and proof of qualifications.

- Bookings, sessions, payments, refunds and payouts.

- Messages, files shared in a session, and what is drawn on the board.

- Recordings, transcripts and translated captions, where everyone in the room agreed to them.

- Reviews you write and replies to them.

- For a professional, the private note and rating they may keep about a learner they teach, which the learner does not see.

- Which profiles you looked at recently.

- Support requests, complaints, appeals and disputes.

- Technical data needed to keep the platform safe: sign-in and session records, the address a request came from, a device identifier we generate, and a log of what our staff did.

Card numbers and bank details never reach our servers. Our payment company holds them.

## Why we may hold it, in law

- To give you the service you asked for and to perform our agreement with you (Article 6(1)(b) of the GDPR).

- To meet a legal obligation, such as tax and accounting records (Article 6(1)(c)).

- For our legitimate interests in keeping the platform safe and free of fraud (Article 6(1)(f)).

- With your consent, for anything you are asked about separately, such as recording a session (Article 6(1)(a)).

## Your account

We use your name, email address, telephone number, date of birth, language and time zone to create and run your account, to check you are an adult, to show the site in your language, and to let you book.

The platform is for adults. If the date of birth you give says otherwise, the account is held and the date is kept as the record of why.

## Signing in

We do not store passwords. You sign in with a six-digit code sent to your email, with a connected Google account, or with a passkey. Our sign-in provider, Stytch, handles it, and we store your email address once they confirm the sign-in.

After that you have a session that lasts seven days from your last visit.

## Booking and payment

To run a booking we hold the professional, the service, the date, the length, the price, the state of the booking, the payment, and the messages that go with it.

We use Stripe for payments and payouts. Card numbers do not reach us. A professional's bank details are given to Stripe, not to us. We keep the amounts, the booking, the status, who paid whom, refunds and any card dispute, along with the payment company's own reference for each movement.

For a card dispute we send the card network what it asks for: the name and email address on the account, what the booking was, when the session was, and whether each side joined the room.

## Public profiles

A professional's profile is public: photo, introduction video, description, qualifications, experience, services, prices and availability. That is the point of it. What they publish is theirs to get right.

## Checking who a professional is

Before a professional can be paid, we check who they are. We may process an identity document, a selfie, proof of address and certificates.

Those files are encrypted before they are stored. A person reviews them. We run no face recognition and no automated biometric comparison anywhere.

From the machine-readable strip of an identity document we keep the issuing country, the document type, the nationality and the expiry date. The name, the document number and the date of birth from that strip are not stored as text. We do keep a one-way fingerprint made from them, which lets us notice the same document on two accounts and cannot be turned back into the document.

Identity documents are deleted five years after the professional relationship ends or after a rejection. An open case delays that until it is closed.

## The yearly report to the tax office

EU rules (Council Directive 2021/514, known as DAC7) make a platform report each year what it paid the people who earn through it.

Before a professional's first payout we ask for what that report needs: their address, their tax number, the country that issued it, and for a company its legal name and registration number. The tax number is encrypted and never shown back in full, only its last characters.

Once a year we build one file for the tax authority: each professional we paid, what we credited them each quarter, our share, how many lessons that was, and the account the money went to. Every professional sees the same figures for their own closed years on their Money page, which is what the rules ask us to give them by 31 January.

The legal basis is Article 6(1)(c), a legal obligation. The details and the report copies are kept for as long as tax law requires.

## Messages and sessions

We process the messages and files you exchange here, and what is drawn on the board, so that the service works and so there is a record either side can point to.

Before a paid booking exists between two people, the system hides contact details such as phone numbers and email addresses in messages and profile text. It is a measure against fraud and against taking the work off the platform.

The video and audio run on our own servers, using the open-source LiveKit. Your browser gets a short-lived key to enter a room, and it stops working when the session ends or you leave.

## Recording, transcripts and AI

A session is not recorded automatically. Before anyone joins, each person answers four separate questions: recording, a written transcript, AI help, and translated captions.

A feature is only switched on if the answers allow it. One refusal keeps it off for that room, except in a lecture, where the audience is not on stage and the rule covers the people speaking.

You can withdraw an answer at any point up to the end of the session. Withdrawing the transcript deletes that session's transcript at once. Withdrawing the recording stops it there; what was already recorded is deleted on the ordinary schedule.

Where you have agreed, text may be sent to Google Gemini to translate captions or profile and message text. There is a daily limit on it.

## Recently viewed profiles

We keep the list of professionals you looked at recently, so you can find them again. Only you see it, you can clear it, it expires after 30 days, and it is part of your export and your erasure.

## Statistics

We count how the platform is used: how many searches lead to a profile, a message, a booking. Those tables cannot hold a user, a session, an address or a device, and a test fails if anyone tries to add a column that could.

One list keeps typed words: the searches that found nothing, which tells us which professionals to look for. It holds no trace of who typed them and is deleted after 180 days.

## Keeping the platform safe

We process technical data to spot fake accounts, stop automated attacks, limit sign-in attempts, keep requests under control, and detect abuse. The basis is our legitimate interest in running a platform that is not overrun by it.

Server logs are kept for 90 days.

## Who inside the company can see what

Our staff hold one or more roles: identity checks, finance, moderation, support, translation, audit, and administration. Each role opens only what its work needs, and identity documents open only for the roles that review them.

Every administrative change and every look at sensitive data, such as opening an identity document, is written to a record the database itself refuses to alter or delete. It holds who acted, when, on what, from which address and from which device. We keep it for seven years.

## How we protect it

- Encrypted connections, and the servers refuse outdated encryption.

- Identity documents and tax numbers encrypted before storage.

- Access by role, with a separate sign-in for the staff tools.

- Limits on requests and on upload sizes.

- Every incoming field checked before it is used.

- Answers built from a fixed list of fields, never a raw database row.

- Encrypted backups.

- Automated checks for known holes in the software we use.

- Separate administrative and user access to the servers.

## Where the data lives

The database, the application and the video run on two servers we rent from Hetzner in Helsinki, Finland, inside the EU. Our error tracker is our own and sends nothing outside.

Uploaded files and recordings live in Cloudflare's storage, in its EU region. Identity documents arrive there already encrypted.

We make a backup every night, encrypted before it leaves the server. Daily copies are kept for 30 days and weekly copies for 90.

## Companies that help us

Each one receives only what its job needs:

- Hetzner (Germany, servers in Finland): the servers and the backup storage.

- Cloudflare (United States): file storage, protection against attacks, and the gate in front of our staff tools.

- Stytch (United States): sign-in, including Google sign-in and passkeys.

- Stripe (United States, Irish company for Europe), including its own wallet Stripe Link: payments and payouts.

- Brevo (France): sending our email.

- Google Gemini (United States): translation and the AI features you agreed to.

- Google Firebase (United States): push notifications.

- Google (United States): sign-in, and reading when you are busy if you connect a calendar. We never see the titles or details of your events.

- ntfy.sh: alerts about our own servers, such as disk space and backups. No personal data.

Where one of them is outside the EU, the transfer rests on the European Commission's standard contractual clauses, on the EU-US Data Privacy Framework where the company is listed under it, or on another basis allowed by Articles 44 to 49 of the GDPR. We have a written agreement with each of them under Article 28.

Número de registro: 17452901

Número de IVA: EE102970135

Correo electrónico: legal@ollinter.com

Escribe a esa dirección con cualquier pregunta sobre tus datos, para pedir una copia o para pedirnos que corrijamos o eliminemos algo.

No vendemos datos personales. Tenemos etiquetas de publicidad y estadísticas de otras empresas listas. Ninguna etiqueta de publicidad o estadísticas se ejecuta hasta que las activemos, y actualizaremos esta política cuando lo hagamos. Después de eso, en la UE, el EEE, el Reino Unido y Suiza se cargan solo si dices que sí al banner de cookies; en cualquier otro lugar se cargan sin preguntar. La política de cookies nombra a cada una de ellas.

## Qué guardamos

Dependiendo de cómo uses la plataforma:

- Tu nombre, dirección de correo electrónico y un número de teléfono si nos lo das.

- Tu fecha de nacimiento, que pedimos una vez para verificar que eres adulto.

- Tu idioma y zona horaria.

- Tu cuenta y perfil, y para un profesional el perfil público: foto, video de presentación, descripción, cualificaciones, experiencia, precios, disponibilidad.

- Para un profesional, documentos de identidad, un selfie, prueba de domicilio y prueba de cualificaciones.

- Reservas, sesiones, pagos, reembolsos y cobros.

- Mensajes, archivos compartidos en una sesión y lo que se dibuja en la pizarra.

- Grabaciones, transcripciones y subtítulos traducidos, donde todos en la sala estuvieron de acuerdo.

- Reseñas que escribes y respuestas a ellas.

- Para un profesional, la nota privada y la calificación que puede guardar sobre un alumno al que enseña, que el alumno no ve.

- Qué perfiles has visto recientemente.

- Solicitudes de soporte, quejas, apelaciones y disputas.

- Datos técnicos necesarios para mantener la plataforma segura: registros de inicio de sesión y de sesión, la dirección de donde provino una solicitud, un identificador de dispositivo que generamos y un registro de lo que hizo nuestro personal.

Los números de tarjeta y los datos bancarios nunca llegan a nuestros servidores. Nuestra empresa de pagos los guarda.

## Por qué podemos guardarlos, legalmente

- Para darte el servicio que pediste y para cumplir nuestro acuerdo contigo (Artículo 6(1)(b) del RGPD).

- Para cumplir una obligación legal, como registros fiscales y contables (Artículo 6(1)(c)).

- Por nuestros intereses legítimos en mantener la plataforma segura y libre de fraude (Artículo 6(1)(f)).

- Con tu consentimiento, para cualquier cosa sobre la que se te pregunte por separado, como grabar una sesión (Artículo 6(1)(a)).

## Tu cuenta

Usamos tu nombre, dirección de correo electrónico, número de teléfono, fecha de nacimiento, idioma y zona horaria para crear y administrar tu cuenta, para verificar que eres adulto, para mostrar el sitio en tu idioma y para permitirte reservar.

La plataforma es para adultos. Si la fecha de nacimiento que proporcionas indica lo contrario, la cuenta se retiene y la fecha se guarda como registro del motivo.

## Inicio de sesión

No almacenamos contraseñas. Inicias sesión con un código de seis dígitos enviado a tu correo electrónico, con una cuenta de Google conectada o con una clave de acceso. Nuestro proveedor de inicio de sesión, Stytch, lo gestiona, y almacenamos tu dirección de correo electrónico una vez que confirman el inicio de sesión.

Después de eso, tienes una sesión que dura siete días desde tu última visita.

## Reserva y pago

Para gestionar una reserva, guardamos el profesional, el servicio, la fecha, la duración, el precio, el estado de la reserva, el pago y los mensajes que la acompañan.

Usamos Stripe para pagos y cobros. Los números de tarjeta no nos llegan. Los datos bancarios de un profesional se dan a Stripe, no a nosotros. Guardamos los importes, la reserva, el estado, quién pagó a quién, los reembolsos y cualquier disputa de tarjeta, junto con la referencia propia de la empresa de pagos para cada movimiento.

Para una disputa de tarjeta, enviamos a la red de tarjetas lo que solicita: el nombre y la dirección de correo electrónico de la cuenta, qué fue la reserva, cuándo fue la sesión y si cada parte se unió a la sala.

## Perfiles públicos

El perfil de un profesional es público: foto, video de presentación, descripción, cualificaciones, experiencia, servicios, precios y disponibilidad. Ese es el objetivo de ello. Lo que publican es su responsabilidad.

## Verificación de la identidad de un profesional

Antes de que un profesional pueda recibir un pago, verificamos su identidad. Podemos procesar un documento de identidad, un selfie, prueba de domicilio y certificados.

Esos archivos se cifran antes de ser almacenados. Una persona los revisa. No realizamos reconocimiento facial ni comparación biométrica automatizada en ningún lugar.

De la banda legible por máquina de un documento de identidad, guardamos el país emisor, el tipo de documento, la nacionalidad y la fecha de caducidad. El nombre, el número de documento y la fecha de nacimiento de esa banda no se almacenan como texto. Sí guardamos una huella digital unidireccional hecha a partir de ellos, lo que nos permite detectar el mismo documento en dos cuentas y no se puede revertir al documento.

Los documentos de identidad se eliminan cinco años después de que finaliza la relación profesional o después de un rechazo. Un caso abierto lo retrasa hasta que se cierra.

## El informe anual a la oficina de impuestos

Las normas de la UE (Directiva del Consejo 2021/514, conocida como DAC7) obligan a una plataforma a informar cada año lo que pagó a las personas que ganan a través de ella.

Antes del primer pago de un profesional, solicitamos lo que ese informe necesita: su dirección, su número de identificación fiscal, el país que lo emitió y, para una empresa, su nombre legal y número de registro. El número de identificación fiscal se cifra y nunca se muestra completo, solo sus últimos caracteres.

Una vez al año, creamos un archivo para la autoridad fiscal: cada profesional al que pagamos, lo que les acreditamos cada trimestre, nuestra parte, cuántas lecciones fueron y la cuenta a la que fue el dinero. Cada profesional ve las mismas cifras para sus propios años cerrados en su página de Dinero, que es lo que las reglas nos piden que les demos antes del 31 de enero.

La base legal es el Artículo 6(1)(c), una obligación legal. Los detalles y las copias del informe se conservan durante el tiempo que exija la ley fiscal.

## Mensajes y sesiones

Procesamos los mensajes y archivos que intercambias aquí, y lo que se dibuja en la pizarra, para que el servicio funcione y para que haya un registro al que ambas partes puedan referirse.

Antes de que exista una reserva pagada entre dos personas, el sistema oculta los datos de contacto como números de teléfono y direcciones de correo electrónico en los mensajes y el texto del perfil. Es una medida contra el fraude y contra la realización del trabajo fuera de la plataforma.

El video y el audio se ejecutan en nuestros propios servidores, utilizando el código abierto LiveKit. Tu explorador obtiene una clave de corta duración para entrar en una sala, y deja de funcionar cuando la sesión termina o te vas.

## Grabación, transcripciones e IA

Una sesión no se graba automáticamente. Antes de que alguien se una, cada persona responde cuatro preguntas separadas: grabación, una transcripción escrita, ayuda de IA y subtítulos traducidos.

Una función solo se activa si las respuestas lo permiten. Una negativa la mantiene desactivada para esa sala, excepto en una conferencia, donde la audiencia no está en el escenario y la regla cubre a las personas que hablan.

Puedes retirar una respuesta en cualquier momento hasta el final de la sesión. Retirar la transcripción elimina la transcripción de esa sesión de inmediato. Retirar la grabación la detiene allí; lo que ya se grabó se elimina según el horario ordinario.

Cuando lo hayas acordado, se puede enviar texto a Google Gemini para traducir subtítulos o texto de perfil y mensajes. Hay un límite diario para ello.

## Perfiles vistos recientemente

Mantenemos la lista de profesionales que has visto recientemente, para que puedas encontrarlos de nuevo. Solo tú la ves, puedes borrarla, caduca después de 30 días y es parte de tu exportación y tu borrado.

## Estadísticas

Contamos cómo se usa la plataforma: cuántas búsquedas llevan a un perfil, un mensaje, una reserva. Esas tablas no pueden contener un usuario, una sesión, una dirección o un dispositivo, y una prueba falla si alguien intenta añadir una columna que pudiera.

Una lista guarda palabras escritas: las búsquedas que no encontraron nada, lo que nos dice qué profesionales buscar. No guarda rastro de quién las escribió y se elimina después de 180 días.

## Mantener la plataforma segura

Procesamos datos técnicos para detectar cuentas falsas, detener ataques automatizados, limitar intentos de inicio de sesión, mantener las solicitudes bajo control y detectar abusos. La base es nuestro interés legítimo en ejecutar una plataforma que no esté desbordada por ello.

Los registros del servidor se guardan durante 90 días.

## Quién dentro de la empresa puede ver qué

Nuestro personal tiene uno o más roles: verificaciones de identidad, finanzas, moderación, soporte, traducción, auditoría y administración. Cada rol abre solo lo que su trabajo necesita, y los documentos de identidad se abren solo para los roles que los revisan.

Cada cambio administrativo y cada consulta de datos sensibles, como abrir un documento de identidad, se escribe en un registro que la propia base de datos se niega a alterar o eliminar. Contiene quién actuó, cuándo, sobre qué, desde qué dirección y desde qué dispositivo. Lo guardamos durante siete años.

## Cómo lo protegemos

- Conexiones cifradas, y los servidores rechazan el cifrado obsoleto.

- Documentos de identidad y números de identificación fiscal cifrados antes del almacenamiento.

- Acceso por rol, con un inicio de sesión separado para las herramientas del personal.

- Límites en las solicitudes y en los tamaños de carga.

- Cada campo entrante verificado antes de ser utilizado.

- Respuestas construidas a partir de una lista fija de campos, nunca una fila de base de datos sin procesar.

- Copias de seguridad cifradas.

- Comprobaciones automatizadas de agujeros conocidos en el software que usamos.

- Acceso administrativo y de usuario separado a los servidores.

## Dónde residen los datos

La base de datos, la aplicación y el video se ejecutan en dos servidores que alquilamos a Hetzner en Helsinki, Finlandia, dentro de la UE. Nuestro rastreador de errores es propio y no envía nada al exterior.

Los archivos subidos y las grabaciones residen en el almacenamiento de Cloudflare, en su región de la UE. Los documentos de identidad llegan allí ya cifrados.

Hacemos una copia de seguridad cada noche, cifrada antes de que salga del servidor. Las copias diarias se guardan durante 30 días y las copias semanales durante 90.

## Empresas que nos ayudan

Cada una recibe solo lo que su trabajo necesita:

- Hetzner (Alemania, servidores en Finlandia): los servidores y el almacenamiento de copias de seguridad.

- Cloudflare (Estados Unidos): almacenamiento de archivos, protección contra ataques y la puerta de entrada a nuestras herramientas de personal.

- Stytch (Estados Unidos): inicio de sesión, incluido el inicio de sesión de Google y las claves de acceso.

- Stripe (Estados Unidos, empresa irlandesa para Europa), incluida su propia billetera Stripe Link: pagos y cobros.

- Brevo (Francia): envío de nuestro correo electrónico.

- Google Gemini (Estados Unidos): traducción y las funciones de IA que aceptaste.

- Google Firebase (Estados Unidos): notificaciones push.

- Google (Estados Unidos): inicio de sesión y lectura de tu disponibilidad si conectas un calendario. Nunca vemos los títulos o detalles de tus eventos.

- ntfy.sh: alertas sobre nuestros propios servidores, como espacio en disco y copias de seguridad. Sin datos personales.

Cuando una de las empresas mencionadas anteriormente está fuera de la UE, la transferencia se basa en las cláusulas contractuales estándar de la Comisión Europea, en el Marco de Privacidad de Datos UE-EE. UU. donde la empresa está listada bajo él, o en otra base permitida por los Artículos 44 a 49 del RGPD. Tenemos un acuerdo escrito con cada una de ellas según el Artículo 28.

## Etiquetas de estadísticas y publicidad

Cuatro etiquetas de otras empresas están listas. Ninguna de ellas se ejecuta hasta que las activemos, y actualizaremos esta política cuando lo hagamos. Son Google Analytics y Google Ads de Google, el Meta Pixel de Meta y el TikTok Pixel de TikTok. El Google de la lista anterior está ahí para el inicio de sesión y los calendarios. Estas dos etiquetas de Google son un asunto separado, y esta sección las cubre.

Una vez que las etiquetas están activadas, envían las páginas que visitas aquí, si te registraste y si pagaste y cuánto, para que podamos medir nuestros anuncios. Nunca envían tu nombre, tu correo electrónico o tus mensajes de nuestra parte. En la UE, el EEE, el Reino Unido y Suiza esto solo sucede si dijiste que sí al banner de cookies, y un no lo detiene todo. En cualquier otro lugar no preguntamos. La política de cookies enumera cada etiqueta.

Cada empresa tiene un papel diferente:

- Google Analytics cuenta las visitas por nosotros. Google maneja esos datos en nuestro nombre y solo como le indicamos.

- Google Ads le dice a Google qué anuncio te trajo aquí. Google decide por sí mismo cómo usa esos datos, bajo la política de privacidad de Google.

- Meta y TikTok. Nosotros y la empresa somos controladores conjuntos para un paso: recopilar los datos en nuestro sitio y enviárselos. Una vez que llegan, la empresa decide por sí misma qué hace con ellos, bajo su propia política de privacidad.

Para Meta y TikTok, el acuerdo conjunto funciona así:

- Los términos comerciales de cada empresa, que aceptamos antes de activar su etiqueta, dicen quién hace qué bajo el RGPD para ese paso.

- Te informamos al respecto, aquí y en la política de cookies, y donde la ley necesita tu sí, lo pedimos.

- La empresa gestiona tus solicitudes para ver, corregir, eliminar o mover los datos que guarda una vez que los ha recibido.

- Puedes ejercer tus derechos con nosotros o con la empresa, como prefieras. Si nos escribes sobre datos que la empresa guarda, les enviamos tu solicitud.

La parte de Meta es Meta Platforms Ireland. Su política de privacidad está en facebook.com/privacy/policy y el acuerdo en sí en facebook.com/legal/controller_addendum. La política de privacidad de TikTok está en tiktok.com/legal/page/eea/privacy-policy.

Google, Meta y TikTok pueden mover estos datos fuera de la UE. Google y Meta están listados bajo el Marco de Privacidad de Datos UE-EE. UU. TikTok dice que se basa en las cláusulas contractuales estándar de la Comisión Europea.

## Cookies

We set no advertising cookies and load no third-party analytics. Everything we store on your device is needed for the service: signing you in, keeping you signed in, remembering your language, and spotting batches of fake accounts. Each one is listed in the cookie policy.

## How long we keep things

- A guest in a practice room: 1 day.

- Recently viewed profiles: 30 days.

- Recordings of sessions: 30 days.

- A closed account before it is erased: 30 days.

- Server logs: 90 days.

- Transcripts and translated captions: 6 months.

- Notifications, announcements and support requests: 12 months.

- Messages: 18 months.

- Files shared in a session: 24 months.

- Identity documents: 5 years after the relationship ends.

- The staff action record, suspensions and appeals: 7 years.

- Payment, booking and tax records: 10 years.

A nightly job enforces these. The law can require us to keep something longer, and an open dispute holds it until it is settled.

## Getting a copy of your data

Ask for it in your settings and the system builds one file, in JSON, with the data we hold about you. It stays available for three days and is then removed, because a full copy of a person's data should not sit around.

## Closing your account

You can close your account in your settings. Access stops at once.

For 30 days nothing is erased, so a closure by mistake can still be undone. After that we erase the identity behind the account: the name, the email address, the telephone number, the photo, the date of birth and the profile text. The email address is replaced by a meaningless value rather than removed, because records the law makes us keep, such as payment records and our own log of staff actions, cannot be edited once written.

Private messages you sent are deleted. Messages in a lesson room or a group chat are a shared record of that session, so they stay without your name against them and are deleted on the ordinary schedule for messages.

If a dispute is open or a paid session has not happened yet, erasure waits until the money is settled. The page tells you so.

## Your rights

Under the GDPR you can:

- Ask what we hold about you, and get a copy (Articles 15 and 20).

- Correct what is wrong (Article 16). Much of it you can edit yourself.

- Have your data erased (Article 17), unless the law makes us keep it.

- Restrict or object to processing based on our legitimate interests (Articles 18 and 21).

- Withdraw consent at any time, for anything given by consent (Article 7). What was done before you withdrew stays lawful.

Write to legal@ollinter.com and we answer within the month the law allows.

## Complaining to the authority

You can complain to a data protection authority: the one where you live, the one where you work, or the one where you think something went wrong. Because we are established in Estonia, the authority that supervises us is:

Andmekaitse Inspektsioon (Estonian Data Protection Inspectorate)

Tatari 39, 10134 Tallinn, Estonia

Email: info@aki.ee

Telephone: +372 627 4135

You can complain whether or not you have written to us first.

## If something goes wrong

We take measures to prevent, detect and limit a breach of personal data. If one happens, we tell the authority without undue delay and within 72 hours of becoming aware of it where the law requires, and we tell the people affected where the risk to them is high.

## When the law asks us for data

We hand over personal data when a legal obligation, a court decision or a binding order from a competent authority requires it, and only as far as it requires.

## Changes to this policy

We update this policy when the law, the platform, the companies we work with or the purposes change. The current version is always here, and when a change matters to you we tell you.

La mayor parte de lo que almacenamos en tu dispositivo es necesario para el servicio: iniciar sesión, mantenerte conectado, recordar tu idioma y detectar lotes de cuentas falsas. Una vez que activemos las etiquetas anteriores, Google, Meta y TikTok también establecen cookies para estadísticas y publicidad. En la UE, el EEE, el Reino Unido y Suiza preguntamos antes de que cualquiera de ellas se cargue, y un no las mantiene desactivadas; en cualquier otro lugar se cargan sin preguntar. Cada cookie se enumera en la política de cookies, que también dice cómo cambiar tu respuesta.

## Cuánto tiempo guardamos las cosas

- Un invitado en una sala de práctica: 1 día.

- Perfiles vistos recientemente: 30 días.

- Grabaciones de sesiones: 30 días.

- Una cuenta cerrada antes de ser borrada: 30 días.

- Registros del servidor: 90 días.

- Transcripciones y subtítulos traducidos: 6 meses.

- Notificaciones, anuncios y solicitudes de soporte: 12 meses.

- Mensajes: 18 meses.

- Archivos compartidos en una sesión: 24 meses.

- Documentos de identidad: 5 años después de que finaliza la relación.

- El registro de acciones del personal, suspensiones y apelaciones: 7 años.

- Registros de pago, reserva e impuestos: 10 años.

Un trabajo nocturno los aplica. La ley puede exigirnos que guardemos algo más tiempo, y una disputa abierta lo retiene hasta que se resuelve.

## Obtener una copia de tus datos

Pídelo en tu configuración y el sistema creará un archivo, en JSON, con los datos que tenemos sobre ti. Permanece disponible durante tres días y luego se elimina, porque una copia completa de los datos de una persona no debe permanecer por ahí.

## Cerrar tu cuenta

Puedes cerrar tu cuenta en tu configuración. El acceso se detiene de inmediato.

Durante 30 días no se borra nada, por lo que un cierre por error aún se puede deshacer. Después de eso, borramos la identidad detrás de la cuenta: el nombre, la dirección de correo electrónico, el número de teléfono, la foto, la fecha de nacimiento y el texto del perfil. La dirección de correo electrónico se reemplaza por un valor sin sentido en lugar de eliminarse, porque los registros que la ley nos obliga a guardar, como los registros de pago y nuestro propio registro de acciones del personal, no se pueden editar una vez escritos.

Los mensajes privados que enviaste se eliminan. Los mensajes en una sala de lecciones o un chat grupal son un registro compartido de esa sesión, por lo que permanecen sin tu nombre asociado a ellos y se eliminan según el horario ordinario para los mensajes.

Si hay una disputa abierta o una sesión pagada aún no ha ocurrido, el borrado espera hasta que se resuelva el dinero. La página te lo indica.

## Tus derechos

Según el RGPD puedes:

- Preguntar qué tenemos sobre ti y obtener una copia (Artículos 15 y 20).

- Corregir lo que está mal (Artículo 16). Gran parte de ello puedes editarlo tú mismo.

- Hacer que tus datos sean borrados (Artículo 17), a menos que la ley nos obligue a guardarlos.

- Restringir u oponerte al procesamiento basado en nuestros intereses legítimos (Artículos 18 y 21).

- Retirar el consentimiento en cualquier momento, para cualquier cosa dada por consentimiento (Artículo 7). Lo que se hizo antes de que lo retiraras sigue siendo legal.

Escribe a legal@ollinter.com y te responderemos dentro del mes que permite la ley.

## Quejarse a la autoridad

Puedes presentar una queja ante una autoridad de protección de datos: la de tu lugar de residencia, la de tu lugar de trabajo o la de donde crees que algo salió mal. Como estamos establecidos en Estonia, la autoridad que nos supervisa es:

Andmekaitse Inspektsioon (Inspectorado de Protección de Datos de Estonia)

Tatari 39, 10134 Tallin, Estonia

Correo electrónico: info@aki.ee

Teléfono: +372 627 4135

Puedes quejarte hayas o no nos hayas escrito primero.

## Si algo sale mal

Tomamos medidas para prevenir, detectar y limitar una violación de datos personales. Si ocurre una, lo comunicamos a la autoridad sin demora indebida y dentro de las 72 horas de tener conocimiento de ello cuando la ley lo exige, y se lo comunicamos a las personas afectadas cuando el riesgo para ellas es alto.

## Cuando la ley nos pide datos

Entregamos datos personales cuando una obligación legal, una decisión judicial o una orden vinculante de una autoridad competente lo exige, y solo en la medida en que lo exige.

## Cambios a esta política

Actualizamos esta política cuando la ley, la plataforma, las empresas con las que trabajamos o los propósitos cambian. La versión actual siempre está aquí, y cuando un cambio te sea relevante, te lo comunicaremos.

Qué guardamos

Por qué podemos guardarlos, legalmente

Tu cuenta

Inicio de sesión

Reserva y pago

Perfiles públicos

Verificación de la identidad de un profesional

El informe anual a la oficina de impuestos

Mensajes y sesiones

Grabación, transcripciones e IA

Perfiles vistos recientemente

Estadísticas

Mantener la plataforma segura

Quién dentro de la empresa puede ver qué

Cómo lo protegemos

Dónde residen los datos

Empresas que nos ayudan

Etiquetas de estadísticas y publicidad

Cookies

Cuánto tiempo guardamos las cosas

Obtener una copia de tus datos

Cerrar tu cuenta

Tus derechos

Quejarse a la autoridad

Si algo sale mal

Cuando la ley nos pide datos

Cambios a esta política

Todas las versiones

Qué cambió entre la versión 2 y la versión 3