Política de privacidad

En palabras sencillas. ALFAMU PLAY es un servicio educativo para niños de 6 a 12 años. Quien crea la cuenta y decide qué datos se comparten es siempre una persona adulta: el padre, la madre, el tutor o la institución educativa. El niño entra por un Perfil Infantil que el adulto crea y controla. Pedimos los menos datos posibles: para jugar y aprender no necesitamos su nombre real, su documento de identidad, su ubicación ni fotografías suyas. No mostramos publicidad basada en su comportamiento ni vendemos datos de menores. En cualquier momento el adulto puede consultar, corregir, exportar o eliminar la información del niño y retirar el consentimiento.

1. Identificación del responsable del tratamiento

1.1. El responsable del tratamiento es:

2. Objeto, ámbito de aplicación y alcance extraterritorial

2.1. Esta política describe qué datos trata ALFAMU PLAY, con qué finalidad, sobre qué base legitimadora, por cuánto tiempo, a quién se comunican y cómo se ejercen los derechos.

2.2. Ámbito material. Alcanza a los sitios web, aplicaciones, juegos, mundos 2D y 3D, herramientas de aprendizaje adaptativo y recursos para familias y docentes de la plataforma PACHA TRAIN, a los canales de soporte y a las licencias educativas de LEGAL-19.

2.3. Alcance territorial y extraterritorial. La jurisdicción base es la República del Perú. La Ley N.º 29733 y el Decreto Supremo N.º 016-2024-JUS se aplican al tratamiento realizado por el responsable establecido en el país y, por el alcance extraterritorial que dicho reglamento introduce, al de datos de titulares situados en el Perú aunque el responsable o el encargado estén establecidos fuera. De forma acumulativa se aplican los regímenes de la Unión Europea, el Reino Unido, los Estados Unidos de América y los países de América Latina en los que se opere, según la cláusula 6.

2.4. Norma más protectora. Cuando concurran dos o más regímenes sobre un mismo tratamiento, se aplicará la disposición que otorgue mayor protección al titular y, en particular, al niño.

2.5. Arquitectura de cuentas. Todo el público infantil (6 a 12 años) es menor de trece años en las jurisdicciones relevantes. Por ello: (i) el titular de la cuenta y parte contractual es siempre una persona adulta; (ii) el niño accede por un Perfil Infantil dependiente, creado y administrado por la Cuenta Adulta, sin credenciales de recuperación autónomas, sin correo propio y sin capacidad de compra; (iii) ninguna funcionalidad de pago, comunicación abierta, publicidad conductual o compartición con terceros está activada por defecto en él; y (iv) el consentimiento parental verificable es previo a toda recogida de datos del niño, salvo la necesaria para obtenerlo.

3. Principios rectores del tratamiento

3.1. Todo tratamiento se sujeta a los principios rectores establecidos en la Ley N.º 29733 y desarrollados por el Decreto Supremo N.º 016-2024-JUS:

3.1.1. Legalidad. Tratamiento conforme a derecho; se rechaza toda recopilación fraudulenta, desleal o ilícita.

3.1.2. Consentimiento. Libre, previo, expreso, informado e inequívoco; tratándose de niños lo otorga quien ejerce la patria potestad o la tutela (LEGAL-05).

3.1.3. Finalidad. Finalidades determinadas, explícitas y lícitas, informadas antes de la recogida; sin tratamiento incompatible con ellas.

3.1.4. Proporcionalidad. Tratamiento adecuado, relevante y no excesivo. No se solicita al niño nombre completo, documento de identidad, domicilio, teléfono, fotografía, voz ni geolocalización precisa.

3.1.5. Calidad. Datos exactos, veraces y actualizados; los inexactos se rectifican o suprimen.

3.1.6. Seguridad. Medidas técnicas, organizativas y jurídicas apropiadas al riesgo (LEGAL-09).

3.1.7. Disposición de recurso. Vías administrativas y jurisdiccionales de tutela, incluida la reclamación ante la autoridad.

3.1.8. Nivel de protección adecuado. Sin flujos transfronterizos hacia destinos sin protección suficiente, salvo los mecanismos de LEGAL-08.

3.2. Principios adicionales asumidos. Privacidad desde el diseño y por defecto (artículo 25 del RGPD); minimización; máxima privacidad por defecto en Perfiles Infantiles (Age Appropriate Design Code); interés superior del niño (Ley N.º 27337 y Observación General N.º 25 de 2021); y prohibición de patrones oscuros.

4. Categorías de datos, finalidades, bases legitimadoras, plazos y destinatarios

4.1. Los tratamientos efectuados por ALFAMU PLAY son los siguientes:

Además acceden el personal autorizado del responsable, bajo mínimo privilegio, y las autoridades competentes que lo requieran conforme a ley.

4.2. Datos que no se recogen del niño. No se tratan identificación oficial, domicilio, teléfono, fotografías, grabaciones de voz o video, contactos, geolocalización precisa ni datos biométricos, calificados como sensibles por el Decreto Supremo N.º 016-2024-JUS. Los avatares proceden de una galería predefinida y el nombre de pantalla se filtra para impedir que revele datos identificativos.

4.4. Datos sensibles. No se recogen datos sensibles ni categorías especiales del artículo 9 del RGPD. Los remitidos espontáneamente por soporte se suprimen, salvo que sean indispensables para atender la solicitud, en cuyo caso se tratan con consentimiento expreso del adulto.

4.5. Ejercicio de derechos. Las solicitudes se conservan tres (3) años desde la respuesta; las hojas del Libro de Reclamaciones, por el plazo de su reglamento (LEGAL-15).

5. Distinción entre datos de personas adultas y datos de menores

5.1. Los datos de la Cuenta Adulta pertenecen a una persona mayor de edad que contrata en nombre propio y, cuando corresponde, en representación legal del menor.

5.2. Los datos del Perfil Infantil pertenecen al niño y se tratan bajo el régimen reforzado de LEGAL-04, que prevalece sobre esta política en caso de divergencia. El consentimiento parental se regula en LEGAL-05.

5.3. No se recaban del menor datos que revelen información de su grupo familiar sin consentimiento de los titulares, ni se condiciona el acceso a bienes o servicios restringidos para su edad.

6. Bases legitimadoras diferenciadas por jurisdicción

6.1. Perú. La base principal es el consentimiento libre, previo, expreso, informado e inequívoco, otorgado por quien ejerce la patria potestad o la tutela si se trata de datos del niño. Operan además la ejecución contractual, el cumplimiento de obligaciones legales y las restantes excepciones de la Ley N.º 29733.

6.2. Unión Europea y Espacio Económico Europeo. Se aplican las bases del artículo 6 del RGPD identificadas en la cláusula 4.1. Como todo el público infantil es menor de trece años, la regla del artículo 8 del RGPD opera de modo uniforme: el consentimiento lo presta siempre el titular de la responsabilidad parental, sin distinguir las edades de consentimiento digital de cada Estado miembro.

6.3. Reino Unido. Rigen el UK GDPR y la Data Protection Act 2018, con los estándares del Age Appropriate Design Code y las evaluaciones de riesgo infantil de la Online Safety Act 2023.

6.4. Estados Unidos de América. Rigen la COPPA y la COPPA Rule enmendada, exigible desde el 22 de abril de 2026. Se obtiene consentimiento parental verificable previo a toda recogida de información personal del niño y, de ser aplicable, uno separado y específico para divulgaciones a terceros, que no se realizan en el modelo actual.

6.5. América Latina. Brasil: artículo 14 de la LGPD y Estatuto da Criança e do Adolescente. México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente desde el 21 de marzo de 2025, con aviso de privacidad. Colombia: Ley 1581 de 2012 y Decreto 1377 de 2013, con consentimiento del representante legal previo derecho del menor a ser escuchado. Chile: Ley N.º 21.719. Argentina: Ley N.º 25.326.

7. Decisiones automatizadas y perfilado educativo

7.1. Descripción. ALFAMU PLAY emplea aprendizaje adaptativo: los sistemas ajustan la dificultad, la secuencia y el tipo de actividad según el desempeño del niño (aciertos, errores, tiempos de respuesta y progresión). Constituye un perfilado de finalidad estrictamente educativa.

7.2. Ausencia de efectos jurídicos. Este perfilado no produce efectos jurídicos sobre el niño ni le afecta significativamente de modo similar: no determina calificaciones oficiales, no condiciona la promoción escolar, no restringe el acceso a bienes o servicios, no genera puntuaciones de riesgo, no se emplea para segmentación publicitaria ni se comunica a terceros ajenos al servicio.

7.3. Garantías. El adulto puede conocer la lógica general del sistema, pedir revisión humana de un resultado, corregir el nivel asignado y desactivar la adaptación automática, quedando el servicio disponible en modalidad no adaptativa. No se emplean técnicas subliminales o manipuladoras ni sistemas que exploten vulnerabilidades derivadas de la edad, conforme al artículo 5 del Reglamento (UE) 2024/1689.

7.4. Remisión. La gobernanza de la inteligencia artificial, incluidas las obligaciones de la Ley N.º 31814 y del Decreto Supremo N.º 115-2025-PCM para el sector educación, se desarrolla en LEGAL-17.

8. Publicidad conductual y no venta de datos

8.1. ALFAMU PLAY declara que no realiza publicidad conductual dirigida a menores, no elabora perfiles publicitarios con datos de menores y no muestra publicidad de terceros en los Perfiles Infantiles, conforme al artículo 28 del Reglamento (UE) 2022/2065, a la COPPA y al Age Appropriate Design Code.

8.2. ALFAMU PLAY no vende, alquila ni cede datos personales de menores, ni los pone a disposición de intermediarios publicitarios, corredores de datos o redes de afiliación, a ningún título.

8.3. No se dirigen al niño exhortaciones directas de compra ni mensajes que lo induzcan a persuadir a un adulto, conforme a la Directiva 2005/29/CE y a las disposiciones sobre adecuación social y protección del menor del Decreto Legislativo N.º 1044 (LEGAL-14).

9. Encargados del tratamiento y subencargados

9.1. ALFAMU PLAY recurre a proveedores que tratan datos por su cuenta en alojamiento, pagos, correo transaccional, soporte, analítica agregada y copias de seguridad.

9.2. Todo encargado suscribe, antes de acceder a los datos, un contrato de encargo que impone actuar solo conforme a instrucciones documentadas, confidencialidad, medidas de seguridad conformes a LEGAL-09, asistencia en derechos y brechas, prohibición de uso propio y supresión o devolución al término del servicio.

9.3. Los subencargados requieren autorización previa del responsable y la transmisión íntegra de esas obligaciones; el encargado responde de su cumplimiento.

9.4. Se mantiene un registro de encargados y subencargados, con servicio prestado, país de tratamiento y mecanismo de legitimación, disponible para el titular y la autoridad de control.

10. Transferencias internacionales

10.1. El servicio puede implicar flujo transfronterizo de datos hacia países distintos del Perú. Estos flujos se rigen por LEGAL-08, que identifica cada proveedor, el país de destino, las categorías transferidas, el mecanismo de legitimación y las medidas suplementarias.

10.2. No se transfieren datos de menores a jurisdicciones que no ofrezcan garantías adecuadas ni mecanismos válidos de legitimación.

11. Derechos del titular de datos personales

11.1. Catálogo. El titular puede ejercer los derechos de acceso, rectificación, cancelación (supresión), oposición, portabilidad, limitación del tratamiento y revocación del consentimiento, así como el derecho a no ser objeto de decisiones automatizadas con efectos jurídicos, el derecho a la información y el de tutela ante la autoridad.

11.2. Legitimación. Los derechos sobre los datos del Perfil Infantil los ejerce quien ostenta la patria potestad o la tutela, a través de la Cuenta Adulta; los relativos a la Cuenta Adulta, su propio titular.

11.4. Acreditación de identidad y de vínculo parental. Se exige acreditación razonable de la identidad y, si se actúa en representación del menor, del vínculo parental o la tutela, por los medios de LEGAL-05. Los documentos exhibidos se cotejan y se eliminan tras la verificación, conservándose solo la constancia del cotejo.

11.5. Plazos. Se atenderán en el plazo más breve que resulte de las normas aplicables. En el Perú rigen los plazos en días hábiles de la Ley N.º 29733 y del Decreto Supremo N.º 016-2024-JUS, computados desde la recepción de la solicitud completa. Bajo el RGPD y el UK GDPR, la respuesta se emitirá en un (1) mes, prorrogable por dos (2) meses ante solicitudes complejas o numerosas, comunicando la prórroga motivada dentro del primer mes.

11.6. Gratuidad y denegación. El ejercicio es gratuito; solo cabe repercutir costes razonables ante solicitudes manifiestamente infundadas o excesivas, previa motivación. Toda denegación se comunicará por escrito, con sus fundamentos y las vías y plazos de reclamación.

11.7. Revocación del consentimiento. Puede revocarse en cualquier momento, sin efecto retroactivo y sin justificación, por el mismo canal en que se otorgó. La revocación del consentimiento parental determina el cese del tratamiento de los datos del niño y la supresión del Perfil Infantil (LEGAL-07).

11.8. Portabilidad. El adulto puede obtener el historial de progreso educativo del Perfil Infantil en formato estructurado, de uso común y lectura mecánica, apto para su transmisión a otro responsable cuando sea técnicamente posible.

12. Reclamación ante las autoridades de control

12.1. Perú. Autoridad Nacional de Protección de Datos Personales, a cargo de la Dirección General de Protección de Datos Personales del MINJUSDH, ante la que caben la reclamación de tutela y la denuncia por infracción. En consumo, INDECOPI (LEGAL-15).

12.2. Otras jurisdicciones. Unión Europea: autoridad de control del Estado miembro de residencia habitual, lugar de trabajo o de la presunta infracción, sin perjuicio de la vía judicial. Reino Unido: Information Commissioner's Office y, en seguridad de menores en línea, Ofcom. Estados Unidos: Federal Trade Commission y fiscalías generales estatales. América Latina: ANPD (Brasil); Secretaría Anticorrupción y Buen Gobierno (México); Superintendencia de Industria y Comercio (Colombia); Agencia de Protección de Datos Personales (Chile), desde su entrada en funciones; Agencia de Acceso a la Información Pública (Argentina).

13. Seguridad de la información

13.1. Se adoptan medidas técnicas, organizativas y jurídicas para garantizar confidencialidad, integridad, disponibilidad y resiliencia: cifrado en tránsito y en reposo, control de accesos bajo mínimo privilegio, segregación de entornos, auditoría y gestión de vulnerabilidades (LEGAL-09).

14. Brechas de seguridad

14.1. Ante una violación de la seguridad de los datos personales se activará el procedimiento de LEGAL-09 y se notificará a la Autoridad Nacional de Protección de Datos Personales dentro de las cuarenta y ocho (48) horas de conocido el hecho, conforme al Decreto Supremo N.º 016-2024-JUS.

14.2. Cuando resulte aplicable el RGPD o el UK GDPR, la notificación se efectuará sin dilación indebida y, de ser posible, dentro de las setenta y dos (72) horas. El mismo plazo se observará ante la autoridad chilena conforme a la Ley N.º 21.719.

14.3. Si la violación entraña alto riesgo para los derechos y libertades, en particular de menores, se comunicará al adulto responsable en lenguaje claro y sencillo, describiendo el incidente, los datos afectados, las medidas adoptadas y las recomendaciones.

15. Cookies y tecnologías de almacenamiento

15.1. El uso de cookies, almacenamiento local y tecnologías equivalentes, y la gestión del consentimiento, se regulan en LEGAL-06. En los Perfiles Infantiles solo se emplean tecnologías estrictamente necesarias para el funcionamiento y la seguridad; no se usan cookies publicitarias ni de seguimiento entre sitios.

16. Menores de edad

16.1. El régimen especial de los datos de niños (verificación de edad proporcionada, máxima privacidad por defecto, desactivación por defecto de geolocalización, notificaciones nocturnas, reproducción automática y mecánicas de permanencia, y límites a la interacción) se desarrolla en LEGAL-04 y, en moderación, en LEGAL-16; el consentimiento parental, en LEGAL-05.

17. Conservación y supresión

17.1. Los plazos de conservación, sus criterios justificativos, las excepciones legítimas, el borrado en cascada de los Perfiles Infantiles y los procedimientos de supresión y anonimización se desarrollan en LEGAL-07, parte integrante de esta política.

18. Modificaciones de la política

18.1. Esta política se revisará al menos una vez al año y siempre que cambios normativos, tecnológicos o de producto lo justifiquen. La versión vigente y su fecha se publican en pachatrain.com. Última actualización: 20 de agosto de 2026.

18.2. Los cambios sustanciales (los que amplíen finalidades, incorporen nuevas categorías de datos, modifiquen bases legitimadoras o introduzcan nuevos destinatarios o flujos transfronterizos) se comunicarán previamente al adulto titular por correo y aviso destacado en el servicio, con antelación no menor de quince (15) días calendario.

18.3. Cuando el cambio afecte a datos de menores o la base sea el consentimiento, se recabará nuevo consentimiento parental verificable antes de aplicarlo, sin que la continuidad en el uso del servicio pueda interpretarse como aceptación.

18.4. Se conservará el histórico público de versiones.

Este documento constituye un borrador técnico elaborado como insumo de trabajo. No sustituye la asesoría de un abogado colegiado. Debe ser revisado y visado profesionalmente antes de su publicación o de la puesta en producción del servicio.