Política de Privacidad

1. Quiénes somos y quién responde

Chroni (en adelante, "la app", "nosotros") es una aplicación independiente creada para ayudar a estudiantes universitarios a gestionar su vida académica. Hoy la conexión con el portal de la universidad está disponible para estudiantes de la UASD. No estamos afiliados, patrocinados ni respaldados por ninguna universidad.

El responsable del tratamiento de tus datos es Pedro Manzueta (persona física), con domicilio en República Dominicana, contactable en pj.ms.dev@gmail.com. Esta política se rige por la legislación dominicana, incluida la Ley 172-13 sobre Protección de Datos Personales.

2. Qué datos recopilamos

Datos que tú nos das

• Credenciales universitarias: tu matrícula y contraseña. Ver la sección 3, que explica en detalle cómo se guardan.
• Datos de cuenta: si te registras con email o Google, guardamos tu correo y nombre.
• Contenido que generas: reseñas de profesores, preguntas en foros, metas académicas, tareas manuales, notas y mensajes del chat de intercambio de plazas.

Datos que obtenemos de tu universidad en tu nombre

Cuando vinculas tu cuenta, accedemos a los sistemas de tu universidad (hoy, el portal Banner/SSB y el aula virtual Moodle) usando tus credenciales para traer tu información y guardarla en caché en nuestros servidores. Esto incluye datos sensibles: horario, kardex y calificaciones, pensum y progreso, tareas y contenido del aula virtual, estado financiero y transacciones, datos de perfil, y el contenido de tu correo universitario si usas la función de correo.

Datos técnicos

• Token de notificaciones push de tu dispositivo, si activas las notificaciones.
• Dispositivos con sesión abierta: un identificador de la instalación, el sistema (Android o iOS) y las fechas de primer y último uso. Es lo que te permite ver y cerrar tus sesiones en Perfil → Seguridad → Dispositivos.
• Datos de uso, diagnóstico y errores (ver sección 6).
• Identificadores publicitarios del dispositivo, si consientes la publicidad personalizada (ver sección 5).

3. Tus credenciales universitarias

Esta es la parte más importante de esta política y queremos que la entiendas antes de vincular tu cuenta.

Las universidades no suelen ofrecer una API pública ni un sistema de autorización tipo "iniciar sesión con la universidad". La única manera de traer tus datos o de ejecutar acciones por ti es iniciar sesión en el portal como si fueras tú. Por eso necesitamos tu matrícula y tu contraseña. Esto es exactamente lo que hacemos con ellas:

• En tu teléfono: se guardan en el almacenamiento seguro del sistema (Keychain en iOS, Keystore en Android).
• En nuestros servidores: al vincular tu cuenta guardamos tu matrícula y tu contraseña cifradas (AES-256-GCM). Portales como Banner exigen la contraseña tal cual para iniciar sesión, así que el cifrado tiene que poder revertirse: nuestro sistema la descifra cuando debe entrar a la universidad por ti. Lo hacemos para avisarte de tareas, calificaciones, cupos y correo, y para ejecutar la auto-inscripción aunque la app esté cerrada.
• Durante tu sesión: mientras usas la app, una copia cifrada viaja además con tu sesión y expira sola a los 30 minutos.
• Cuándo se borran: al desvincular tu cuenta, al eliminarla, o cuando la universidad rechaza la clave (por ejemplo, porque la cambiaste). Después de eso no queda ninguna copia descifrable.
• Autorización con vencimiento (opcional): en tu perfil puedes activar "Guardar la información de mi cuenta universitaria". Es una copia con fecha de vencimiento (30 días por defecto, 120 como máximo) que puedes retirar con un botón, y te dejamos ver cuándo se usó tu clave por última vez y te avisamos antes de que caduque. Desvincular tu cuenta también la revoca.
• Huella o rostro: si activas "Entrar con huella", la huella o el rostro los procesa tu teléfono; Chroni nunca los recibe. Tu teléfono guarda una llave propia de ese dispositivo y el servidor solo conserva un código derivado de ella, nunca tu contraseña.
• En tránsito: siempre viaja por conexiones cifradas (HTTPS/TLS). Para llegar a la universidad, nuestro servidor usa proveedores de proxy que solo transportan ese tráfico cifrado de extremo a extremo y no pueden leerlo. Nunca compartimos tu contraseña con terceros.
• Qué implica esto para ti: guardar una contraseña en un servidor es un riesgo, y no queremos esconderlo. Si una brecha expusiera a la vez nuestra base de datos y la llave que usamos para cifrar, esas contraseñas podrían leerse. Recomendación: no reutilices tu contraseña universitaria en otros servicios (correo personal, banca, redes sociales) y cámbiala si sospechas que se filtró.

Si no quieres que guardemos tu contraseña, puedes usar Chroni en modo manual, sin vincular tu cuenta: introduces tus materias y notas a mano y usas las funciones que no requieren acceso a la universidad.

4. Cómo usamos tus datos

• Mostrarte tu información académica dentro de la app.
• Ejecutar las acciones que tú pides: inscribirte, retirar materias, reservar secciones, entregar tareas, enviar correos, intercambiar cupos.
• Generar funciones inteligentes: armado de horario con IA, proyección del índice, resúmenes de opiniones sobre profesores.
• Enviarte notificaciones que tú habilitas (tareas próximas, nuevas calificaciones, cupos liberados, respuestas en foros) y avisarte de inicios de sesión nuevos en tu cuenta.
• Mantener la seguridad del servicio, aplicar límites de uso y prevenir abusos.

No usamos tus datos académicos para segmentar publicidad. Tu kardex, tus notas y tu situación financiera nunca se envían a redes publicitarias.

5. Publicidad

Chroni es gratis y se sostiene con publicidad. Mostramos anuncios de Google AdMob (banners y anuncios de apertura). Google puede usar identificadores de tu dispositivo para medir y, si lo consientes, personalizar los anuncios que ves.

• Consentimiento: en las regiones donde la ley lo exige (Espacio Económico Europeo, Reino Unido y Suiza) mostramos el formulario oficial de Google (UMP) antes de cargar anuncios. Si no consientes allí, o si no podemos determinar tu estado de consentimiento, no cargamos anuncios. En el resto de países, incluida República Dominicana, ese formulario no se muestra y los anuncios se cargan; Google decide si son personalizados según la configuración que tenga tu dispositivo.
• iOS: además te pedimos permiso de seguimiento del sistema (App Tracking Transparency). Si lo rechazas, no se usa el identificador publicitario para seguimiento entre apps.
• Cambiar de opinión: donde aplica el formulario, puedes revisar o revocar tu consentimiento en Perfil → Seguridad → Privacidad de anuncios. El permiso de iOS se cambia en Ajustes → Privacidad y seguridad → Seguimiento. También puedes restablecer o desactivar el identificador publicitario desde los ajustes de tu teléfono.
• Sin anuncios cuando importa: apagamos toda la publicidad durante tu ventana personal de inscripción (más una hora de margen antes y después) y durante tus primeras 24 horas con la app.
• El tratamiento que Google hace de estos datos se rige por sus propias políticas: Cómo usa Google la información.

6. Analítica y diagnóstico

Para mantener la app estable usamos dos servicios de terceros:

• Sentry — reportes de errores y caídas. Puede incluir el modelo de dispositivo, la versión de la app, la pantalla donde ocurrió el fallo y un identificador interno de usuario. No pedimos que adjunte datos personales ni capturas de pantalla.
• PostHog — analítica de uso (qué pantallas se usan, qué funciones fallan). Asocia los eventos a un identificador interno, sin tu nombre ni tu correo. También lo usamos en este sitio web.

No enviamos a estos servicios tu contraseña, tus calificaciones ni el contenido de tu correo universitario. Ambos operan en Estados Unidos. Al eliminar tu cuenta dejamos de enviarles datos tuyos; si quieres que además borremos los eventos ya registrados, escríbenos a pj.ms.dev@gmail.com.

7. Con quién los compartimos

No vendemos tus datos personales. Solo los compartimos en estos casos:

• Tu universidad: al actuar en tu nombre, tus solicitudes llegan a los sistemas de la universidad.
• Proveedores de infraestructura: alojamiento en la nube (Railway), envío de notificaciones push (Expo/Google/Apple), correo transaccional y proxies de red para conectarnos a la universidad (ver sección 3).
• Proveedor de inteligencia artificial (actualmente MiniMax): recibe lo que escribes en las funciones de IA (por ejemplo, tu pedido de horario o un texto que pides resumir) y las reseñas de profesores para generar resúmenes. Nunca recibe tu contraseña.
• Publicidad y analítica: Google AdMob, Sentry y PostHog, según las secciones 5 y 6.
• Contenido público: las reseñas y preguntas que publiques son visibles para otros usuarios (de forma anónima cuando así lo eliges). Al intercambiar una plaza, la contraparte ve tu nombre y los mensajes del chat.
• Obligaciones legales: si una autoridad competente lo exige conforme a la ley.

8. Dónde se almacenan (fuera del país)

Nuestros servidores y bases de datos están alojados con proveedores de nube fuera de República Dominicana, principalmente en Estados Unidos y en los demás países donde operan nuestros proveedores. Al usar Chroni aceptas que tus datos, incluidas tus credenciales cifradas y tu información académica, se transfieran y procesen en esos países, que pueden tener un marco de protección de datos distinto al dominicano.

9. Seguridad y acceso administrativo

Aplicamos medidas razonables: cifrado en tránsito (TLS), cifrado de credenciales y sesiones (la llave de cifrado se guarda fuera de la base de datos), aislamiento de datos por usuario, límites de tasa y control de acceso.

Al mismo tiempo, seremos francos: el equipo que opera la infraestructura tiene, por necesidad técnica, capacidad de acceso a la base de datos, incluidos los datos académicos cacheados. Nuestra política interna es no consultar datos de usuarios individuales salvo cuando sea imprescindible para resolver un problema que tú nos reportas o para investigar un abuso del servicio. Ningún sistema es infalible; si ocurriera una brecha que afecte tus datos, te lo notificaremos por los canales de contacto que tengamos.

10. Cuánto tiempo los guardamos

• Credenciales universitarias: mientras tu cuenta esté vinculada; se borran al desvincular, al eliminar tu cuenta o cuando la universidad rechaza la clave. La copia de sesión expira a los 30 minutos. La autorización opcional vence en la fecha que elijas.
• Datos académicos cacheados (lo que traemos de tu universidad): mientras tu cuenta esté vinculada; se borran al desvincular o al eliminar tu cuenta.
• Lo que anotas a mano (materias, notas, tareas, planes): es tuyo y se conserva al desvincular, hasta que elimines tu cuenta.
• Datos de cuenta de plataforma (correo, nombre, token push, dispositivos): hasta que elimines tu cuenta.
• Registros técnicos y de errores: por un tiempo limitado, que fija cada proveedor según su plan (normalmente días o pocas semanas).
• Analítica de uso: la conserva PostHog con un identificador interno hasta que nos pidas borrarla (ver sección 6).
• Contenido comunitario (reseñas, preguntas): puede permanecer de forma anónima y disociada de ti tras eliminar tu cuenta.

11. Datos de terceros y contenido comunitario

Algunas funciones muestran información sobre personas que no son usuarias de la app, en particular opiniones y valoraciones sobre profesores, elaboradas a partir de lo que otros estudiantes publican. Ese contenido refleja opiniones de estudiantes, no hechos verificados por nosotros, y se presenta con fines informativos dentro de la comunidad universitaria.

Si eres docente y consideras que un contenido publicado sobre ti es inexacto, difamatorio o vulnera tus derechos, escríbenos a pj.ms.dev@gmail.com: lo revisaremos y, cuando proceda, lo corregiremos o retiraremos.

12. Tus derechos

Conforme a la Constitución dominicana (habeas data) y a la Ley 172-13, puedes en cualquier momento:

• Acceder a los datos que tenemos sobre ti y obtener una copia.
• Rectificar o actualizar tu información.
• Desvincular tu cuenta universitaria (Perfil → Desvincular), lo que borra las copias guardadas de tu contraseña.
• Eliminar tu cuenta y tus datos personales (ver abajo cómo hacerlo).
• Oponerte al tratamiento con fines publicitarios y revocar tu consentimiento.
• Desactivar las notificaciones.

Para ejercer estos derechos, escríbenos a pj.ms.dev@gmail.com. Respondemos en un plazo máximo de 30 días.

Cómo eliminar tu cuenta y tus datos

• Desde la app: Perfil → Seguridad → Eliminar cuenta. Se borran tu cuenta y tus datos: horario, notas, tareas, planes, preferencias, dispositivos y la contraseña guardada. Tus reseñas y publicaciones no se borran: quedan anónimas, para no romper las conversaciones de otros estudiantes.
• Sin acceso a la app: escríbenos a pj.ms.dev@gmail.com desde el correo de tu cuenta, indicando "Eliminar mi cuenta de Chroni". Te confirmamos en un plazo máximo de 30 días.

13. Edad mínima

Chroni está dirigida a estudiantes universitarios y solo debe usarse por personas de 18 años o más. No recopilamos conscientemente datos de menores de edad. Si detectamos una cuenta de un menor, la eliminaremos.

14. Cambios a esta política

Podemos actualizar esta política. Si hacemos cambios importantes —especialmente sobre credenciales, publicidad o compartición de datos— te avisaremos dentro de la app antes de que entren en vigor. La fecha de "última actualización" indica la versión vigente.

6 de octubre de 2026: corregimos las secciones 3, 5, 6, 7, 8, 10 y 12. La versión anterior decía que tu contraseña no se guardaba de forma permanente en nuestros servidores, y eso no era exacto: se guarda cifrada mientras tu cuenta esté vinculada, como explica ahora la sección 3. También precisamos cuándo mostramos el formulario de consentimiento de anuncios, quiénes procesan datos (IA y proxies) y cómo eliminar tu cuenta. Además, esta política deja de hablar de una sola universidad: Chroni se está preparando para varias.

15. Contacto

¿Dudas sobre tu privacidad, o quieres reportar un incidente de seguridad? Escríbenos a pj.ms.dev@gmail.com.