POLÍTICA DE PRIVACIDAD DE GRABLO
Fecha de entrada en vigor: 7 de mayo de 2026 (vigente originalmente desde el 8 de agosto de 2025; las disposiciones relativas a los registros de facturación se modificaron con efectos a partir del 1 de octubre de 2026)
FINALIDAD DE ESTA POLÍTICA
Nos comprometemos a respetar y proteger los derechos de privacidad de nuestros usuarios. Esta política de privacidad (la “Política”) explica cómo Grablo Inc. y sus afiliadas (“Grablo” o “nosotros”) recopilan, utilizan, comparten y protegen su información personal cuando utiliza nuestros Servicios. Los términos en mayúscula inicial que no se definen aquí tienen el significado que se les atribuye en nuestros Términos del servicio. Grablo es una sociedad constituida conforme a las leyes de la República de Corea.
RESUMEN
En resumen:
- Recopilamos un conjunto mínimo de información personal: principalmente los datos de la cuenta, del inicio de sesión con redes sociales, el contenido que crea y la información necesaria para el funcionamiento de funciones concretas
- No hacemos pasar su voz ni su audio por nuestros servidores (las llamadas de TTS/STT van directamente de su Controlador a los proveedores externos con sus propias claves)
- No almacenamos su dirección IP, su navegador ni la huella digital de su dispositivo en la base de datos de nuestra aplicación
- No utilizamos herramientas de analítica ni de seguimiento publicitario (ni Google Analytics, ni Sentry, ni similares)
- No vendemos su información personal
- No almacenamos credenciales de pago sin procesar (números de tarjeta o de cuenta bancaria); los pagos de los servicios de pago los procesan proveedores de pago externos, y solo conservamos registros mínimos de las transacciones
- Cumplimos la Ley de Protección de la Información Personal de Corea (PIPA) y, cuando corresponda, el RGPD de la UE y del Reino Unido y las leyes estatales de privacidad de EE. UU. (CCPA/CPRA y similares)
1. ÁMBITO DE APLICACIÓN DE ESTA POLÍTICA
Esta Política se aplica a todos los usuarios de los Servicios de Grablo (los “Servicios”), incluidos grablo.co, nuestras aplicaciones móviles, el software Grablo Controller y el Servicio de Galería y Comunidad. Al acceder a los Servicios o utilizarlos, confirma que ha leído esta Política.
2. DATOS PERSONALES QUE RECOPILAMOS
2.1 Información que nos proporciona
- Dirección de correo electrónico (obligatoria)
- Nombre (obligatorio)
- Contraseña (obligatoria para el registro con credenciales; se almacena como hash bcrypt unidireccional)
- Datos del inicio de sesión con redes sociales (solo si decide iniciar sesión con Google, Naver, Kakao o Apple): el identificador (externalId), el correo electrónico y el nombre (o apodo) que el proveedor facilita con su consentimiento, y un token de actualización cuando el proveedor lo devuelve (se utiliza para mantener su sesión iniciada)
- Opcional: avatar del perfil (subido por usted, máximo 5 MB) e indicador de consentimiento para recibir comunicaciones comerciales
2.2 Contenido que crea
- Datos del Proyecto: programas de bloques, lógica y configuraciones de paneles
- Publicaciones de Usuarios en la Galería y la Comunidad: títulos, descripciones, imágenes adjuntas (portada o miniatura), comentarios, reacciones de “me gusta” y marcadores
- Uso compartido de proyectos: la dirección de correo electrónico del destinatario cuando comparte por correo electrónico
- Consultas de atención al cliente
2.3 Información que tratamos solo cuando se utiliza una función
- Tokens push (FCM para Android, APNs para iOS): solo si instala la app móvil y permite las notificaciones
- Uso de tráfico TURN: bytes acumulados (con reinicio mensual) que se utilizan para gestionar la cuota cuando usa la transmisión de video P2P de WebRTC
- Contadores de cuota: almacenamiento de archivos utilizado y número de proyectos
- Registros de facturación: solo si adquiere un servicio de pago; el producto adquirido (plan de suscripción o plantilla de pago), el importe y la divisa, las marcas de tiempo de los pagos, el tipo de método de pago, los identificadores de transacción y de facturación recurrente del procesador de pagos y los registros de reembolsos y cancelaciones. Las credenciales de pago sin procesar (números de tarjeta o de cuenta bancaria) las gestiona el procesador de pagos, y Grablo nunca las recopila ni las almacena.
2.4 Información generada por el funcionamiento del servicio
- Sesión iniciada y cookies (véase la sección 14): para mantener su sesión iniciada y recordar sus preferencias
- Marcas de tiempo de la actividad de la cuenta (último inicio de sesión, cambio de contraseña)
- Preferencias del usuario (idioma, tema, último proyecto visitado, favoritos)
2.5 Datos sensibles y biométricos
- No recopilamos en nuestros servidores categorías especiales de datos personales (sensibles o biométricos).
- Si utiliza las Funciones de Análisis con IA (reconocimiento facial, huella dactilar, etc.) en su Controlador, los datos de registro se crean y almacenan de forma local en su Controlador y no se transmiten a Grablo.
2.6 Lo que NO tratamos
- Datos de voz y audio: las llamadas de TTS (texto a voz) y STT (voz a texto) se ejecutan directamente desde su Controlador hacia el proveedor externo (por ejemplo, Google Cloud, OpenAI o ElevenLabs) con sus propias claves de API. El audio nunca pasa por los servidores de Grablo y no se registra.
- Dirección IP, huella digital del navegador, identificador del dispositivo: no se almacenan en la base de datos de nuestra aplicación.
- Analítica y seguimiento publicitario: no utilizamos Google Analytics, Sentry ni herramientas similares.
- Datos de ubicación: no se recopilan.
- Credenciales de pago sin procesar: los números de tarjeta y de cuenta bancaria los procesan proveedores de pago externos, y Grablo nunca los almacena (véase la sección 2.3, Registros de facturación).
2.7 Comunicación entre el navegador y el Controlador
Los datos de la comunicación entre su navegador y los dispositivos Controladores no pasan por los servidores de Grablo ni se almacenan en ellos. El video P2P de WebRTC puede retransmitirse a través de Cloudflare TURN cuando no se dispone de una conexión directa; la señalización (metadatos SDP/ICE) se intercambia a través de nuestro bróker MQTT (véase la sección 8).
3. CÓMO RECOPILAMOS LOS DATOS PERSONALES
- Directamente de usted (registro, edición del perfil, inicio de sesión con redes sociales, publicación de contenido, consultas de asistencia)
- De proveedores de identidad externos cuando elige iniciar sesión con redes sociales (Google / Naver / Kakao / Apple)
- A partir del funcionamiento del servicio (sesión, cookies, estado de las preferencias)
4. FINALIDADES Y BASES JURÍDICAS DEL TRATAMIENTO
| Finalidad | Base conforme al art. 6 del RGPD | Base conforme a la PIPA de Corea |
|---|---|---|
| Creación y gestión de la cuenta; identificación del usuario; prestación del servicio (alojamiento de los Datos del Proyecto, Galería, notificaciones push, uso compartido de proyectos) | Ejecución de un contrato (6(1)(b)) | PIPA, art. 15(1)4: contrato |
| Atención al cliente, comunicaciones transaccionales | Ejecución de un contrato (6(1)(b)) | PIPA, art. 15(1)4 |
| Seguridad del servicio, prevención del fraude, mitigación de abusos, resolución de controversias | Intereses legítimos (6(1)(f)) / obligación legal (6(1)(c)) | PIPA, art. 15(1)2/6 |
| Cumplimiento de obligaciones legales | Obligación legal (6(1)(c)) | PIPA, art. 15(1)2 |
| Comunicaciones comerciales (boletines, invitaciones a eventos) | Consentimiento (6(1)(a)), recabado por separado y revocable | PIPA, art. 15(1)1 |
No tomamos decisiones automatizadas que produzcan efectos jurídicos o efectos significativos similares, ni elaboramos perfiles individuales con fines comerciales.
5. CÓMO COMPARTIMOS LOS DATOS PERSONALES
5.1 No vendemos información personal
No vendemos, alquilamos ni intercambiamos su información personal. En virtud de la Ley de Privacidad del Consumidor de California (CCPA/CPRA) y de leyes estatales similares de EE. UU., no “vendemos” ni “compartimos” información personal para publicidad conductual entre contextos.
5.2 Proveedores de servicios (encargados del tratamiento)
Compartimos información con los encargados del tratamiento externos que se enumeran en la sección 8 para operar los Servicios. Cada uno de ellos está obligado contractualmente a tratar los datos personales únicamente siguiendo nuestras instrucciones y a protegerlos.
5.3 Divulgaciones legales
Podemos divulgar datos personales cuando así lo exijan la ley, una orden judicial o un requerimiento de una autoridad reguladora, o para proteger derechos, la seguridad y bienes.
5.4 Transmisiones empresariales
Si Grablo participa en una fusión, una adquisición, una venta de activos o una operación similar, los datos personales podrán transferirse con sujeción a obligaciones de confidencialidad y a la legislación aplicable.
5.5 Información agregada o desidentificada
Podemos compartir información agregada o desidentificada que no permita identificar a ninguna persona.
6. CUÁNTO TIEMPO CONSERVAMOS LOS DATOS PERSONALES
| Categoría | Conservación |
|---|---|
| Información de la cuenta | Hasta la eliminación de la cuenta; después se elimina sin demora |
| Datos del Proyecto y Publicaciones de Usuarios | Hasta que los elimine o cierre su cuenta |
| Tokens push | Hasta que el token caduque o se anule su registro al cerrar sesión |
| Avatar del perfil / imágenes de publicaciones (Cloudflare R2) | Hasta que elimine el registro correspondiente |
| Contador de uso de TURN | Acumulativo; se reinicia cada mes en la fecha de aniversario de la cuenta |
| Registros de prevención de abusos | Hasta 1 año después de la eliminación de la cuenta |
| Copias de seguridad | Hasta 90 días después de la eliminación del registro correspondiente |
| Registros de reclamaciones de consumidores y de controversias | 3 años (Ley de Protección de los Consumidores en el Comercio Electrónico de Corea) |
| Registros de contratos y de desistimiento de ofertas | 5 años (Ley de Protección de los Consumidores en el Comercio Electrónico de Corea) |
| Registros de pagos y de suministro de bienes o servicios | 5 años (Ley de Protección de los Consumidores en el Comercio Electrónico de Corea) |
| Registros de transacciones financieras electrónicas | 5 años (Ley de Transacciones Financieras Electrónicas de Corea) |
7. SUS DERECHOS
Con sujeción a la legislación aplicable (PIPA de Corea, RGPD de la UE y del Reino Unido, CCPA/CPRA y normas similares):
- Acceso: recibir una copia de los datos personales que conservamos sobre usted
- Rectificación: corregir datos inexactos o incompletos
- Supresión: eliminar sus datos, con sujeción a las excepciones legales de conservación
- Limitación: limitar el tratamiento en determinadas circunstancias
- Oposición: oponerse al tratamiento basado en intereses legítimos, incluida la mercadotecnia directa
- Portabilidad: recibir sus datos en un formato estructurado, de uso común y de lectura mecánica
- Retirada del consentimiento: en cualquier momento, cuando el consentimiento sea la base jurídica (sin que ello afecte al tratamiento previo)
- Decisiones no automatizadas: no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o efectos significativos similares (actualmente no tomamos este tipo de decisiones automatizadas)
- Derecho a presentar una reclamación ante la autoridad de control de su país de residencia (en Corea: PIPC, www.pipc.go.kr)
Para ejercer sus derechos, escríbanos a support@grablo.co. Respondemos en el plazo que exija la legislación aplicable (por lo general, 10 días conforme a la PIPA de Corea y 30 días conforme al RGPD). Podemos verificar su identidad.
8. ENCARGADOS DEL TRATAMIENTO QUE UTILIZAMOS
| Encargado del tratamiento | Finalidad | Categorías tratadas | País | Conservación |
|---|---|---|---|---|
| Cloudflare, Inc. | Almacenamiento de imágenes (R2) y retransmisión TURN de WebRTC | Imágenes subidas (avatar, portadas de publicaciones); metadatos de las sesiones TURN | Estados Unidos / red perimetral global | R2: hasta la eliminación del registro / TURN: no se conservan más allá del tratamiento |
| Google LLC (Firebase) | Notificaciones push en Android (FCM) | Token push, metadatos de las notificaciones | Estados Unidos | Hasta que el token caduque o se anule su registro |
| Apple Inc. (APNs) | Notificaciones push en iOS | Token push, metadatos de las notificaciones | Estados Unidos | Hasta que el token caduque o se anule su registro |
| Namecheap, Inc. (PrivateEmail) | Correo electrónico saliente de Grablo (verificación del registro, restablecimiento de la contraseña, etc.) | Dirección del destinatario, cuerpo del mensaje | Estados Unidos | No se conservan más allá de la entrega |
| Google LLC | Inicio de sesión con Google | Identificador OAuth, correo electrónico, nombre, token de actualización | Estados Unidos | Hasta la eliminación de la cuenta o la desvinculación del inicio de sesión con redes sociales |
| NAVER Corp. | Inicio de sesión con Naver | Identificador OAuth, correo electrónico, nombre | República de Corea | Hasta la eliminación de la cuenta o la desvinculación del inicio de sesión con redes sociales |
| Kakao Corp. | Inicio de sesión con Kakao | Identificador OAuth, correo electrónico, apodo | República de Corea | Hasta la eliminación de la cuenta o la desvinculación del inicio de sesión con redes sociales |
| Apple Inc. | Inicio de sesión con Apple | Identificador OAuth, correo electrónico (puede ser una dirección de retransmisión), nombre | Estados Unidos | Hasta la eliminación de la cuenta o la desvinculación del inicio de sesión con redes sociales |
El procesamiento de pagos y la facturación recurrente de los servicios de pago se encomiendan a un procesador de pagos externo, que se agregará a esta tabla cuando se contrate. Los pagos de los usuarios de fuera de Corea podrán gestionarse a través de un comerciante registrado (merchant of record), que igualmente se indicará aquí cuando se incorpore.
Actualizamos esta tabla cuando agregamos, eliminamos o cambiamos encargados del tratamiento.
Nota sobre los servicios de terceros que utiliza directamente desde su Controlador (por ejemplo, Google Cloud / OpenAI / ElevenLabs para TTS/STT, los bots de Telegram que opera o Home Assistant): se trata de servicios que contrata y a los que llama con sus propias credenciales; no son encargados del tratamiento de Grablo, y su tratamiento se rige por sus propias condiciones y políticas de privacidad.
9. TRANSFERENCIAS INTERNACIONALES
Algunos de los encargados del tratamiento indicados anteriormente se encuentran fuera de su país de residencia. Cuando transferimos datos personales fuera de Corea o del EEE/Reino Unido, nos basamos en:
- Decisiones de adecuación, cuando corresponda
- Cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea, con medidas complementarias cuando sea necesario
- Su consentimiento explícito para transferencias concretas cuando lo exija el art. 28-8 de la PIPA de Corea
Puede oponerse a las transferencias internacionales; en ese caso, es posible que la función correspondiente (notificaciones push, inicio de sesión con redes sociales, subida de imágenes, video P2P) no esté disponible para usted.
10. MEDIDAS DE SEGURIDAD
De conformidad con el art. 29 de la PIPA de Corea y el art. 30 de su Decreto de Aplicación:
- Administrativas: responsable de privacidad, plan de gestión interna, formación periódica de los empleados y principio de acceso mínimo necesario
- Técnicas: hash bcrypt unidireccional de las contraseñas, cifrado TLS en tránsito, controles de acceso, supervisión de malware y cifrado AES-256 de las credenciales almacenadas en el Controlador
- Físicas: controles de acceso seguros a las instalaciones de los servidores y dispositivos de cierre
Ninguna transmisión por internet es totalmente segura; no podemos garantizar una seguridad absoluta, pero aplicamos medidas de protección conformes con los estándares del sector.
11. NOTIFICACIÓN DE VIOLACIONES DE DATOS PERSONALES
En caso de una violación de datos personales que afecte a su información, lo notificaremos a los usuarios afectados sin dilación indebida (en un plazo de 72 horas cuando así lo exijan los arts. 33 y 34 del RGPD o el art. 34 de la PIPA de Corea) y lo notificaremos a la autoridad de control competente cuando sea obligatorio. La notificación incluirá las categorías afectadas, el momento y las circunstancias, las medidas recomendadas a los usuarios, nuestra respuesta y los puntos de contacto.
12. PRIVACIDAD DE LOS MENORES
Aplicamos los siguientes umbrales de edad en función del lugar de residencia:
- República de Corea: menores de 14 años; la recopilación requiere el consentimiento del tutor legal (art. 22-2 de la PIPA)
- Estados Unidos (COPPA): menores de 13 años; no recopilamos datos personales a sabiendas
- UE/EEE (art. 8 del RGPD): menores de 16 años (o de la edad inferior que establezca el Estado miembro correspondiente, que no podrá ser inferior a 13 años); la recopilación requiere el consentimiento de los padres
Si cree que su hijo o hija nos ha proporcionado datos personales sin el consentimiento adecuado, escriba a support@grablo.co y eliminaremos los datos sin demora.
13. PERMISOS DE LA APP MÓVIL
De conformidad con el art. 22-2 de la Ley de Redes de Información y Comunicaciones de Corea:
- Obligatorios: notificaciones (envío de notificaciones push)
- Opcionales: cámara (fotos del perfil), fotos / almacenamiento (avatar e imágenes de las publicaciones) y micrófono (transmisión de audio con el Controlador)
Puede revocar los permisos opcionales en cualquier momento desde la configuración de su dispositivo; la función correspondiente se desactivará en consecuencia.
14. COOKIES Y TECNOLOGÍAS SIMILARES
Utilizamos cookies para la gestión esencial de la sesión (estado del inicio de sesión) y para recordar las preferencias del usuario (idioma, tema, banners descartados). No utilizamos cookies de analítica ni de seguimiento publicitario.
Puede controlar las cookies desde la configuración de su navegador. Si bloquea las cookies esenciales, se limitará el acceso a las funciones que requieren iniciar sesión.
Instrucciones para cada navegador:
- Edge: Configuración > Cookies y permisos del sitio > Administrar cookies y datos del sitio
- Chrome: Configuración > Privacidad y seguridad > Cookies y otros datos de sitios
- Firefox: Ajustes > Privacidad & Seguridad > Cookies y datos del sitio
- Safari: Preferencias > Privacidad > Gestionar datos de sitios web
- Whale: Configuración > Privacidad > Cookies y otros datos de sitios
15. CAMBIOS EN ESTA POLÍTICA
Podemos modificar esta Política. En el caso de cambios sustanciales, lo notificaremos en el Sitio de Grablo, por correo electrónico o mediante una notificación dentro del Servicio con al menos 30 días de antelación a la fecha de entrada en vigor (o 7 días en el caso de cambios no sustanciales). Cuando la legislación local exija un plazo de preaviso más largo o procedimientos específicos, prevalecerán dichos requisitos.
16. RESPONSABLE DE PRIVACIDAD Y CONTACTO
Grablo Inc. Responsable de privacidad: Young-Min Kim (director ejecutivo) Dirección: 8, Dunsan-ro, Seo-gu, Daejeon, República de Corea Correo electrónico: support@grablo.co Sitio web: grablo.co
17. AUTORIDADES DE CONTROL
Para residentes en Corea:
- Comisión de Protección de la Información Personal (PIPC): www.pipc.go.kr
- Comité de Mediación de Controversias sobre Información Personal: 1833-6972 (www.kopico.go.kr)
- Centro de Denuncias de Infracciones de la Privacidad de la Agencia de Internet y Seguridad de Corea (KISA): 118 (privacy.kisa.or.kr)
Los usuarios de la UE/EEE pueden ponerse en contacto con su autoridad nacional de protección de datos.
Última actualización: 7 de mayo de 2026