Política de Privacidad

Esta Política de Privacidad describe cómo 3LOX LLC («3LOX», «nosotros»), con domicilio en 7791 NW 46th Street, Suite 219, Doral, FL 33166, Estados Unidos, recopila, utiliza, protege y comparte la información personal obtenida a través de la plataforma 360° PathFinder (el «Servicio»).

Esta Política complementa los Términos y Condiciones de Uso y la Política de Cookies. Es un documento informativo, exigido por los artículos 13 y 14 del RGPD y normas equivalentes: su lectura no constituye por sí sola una aceptación, y los consentimientos que resulten necesarios se recaban de forma específica y separada en cada caso.

1Responsable del tratamiento

Cuando 3LOX actúe por cuenta de una Institución educativa u organización, dicha Institución será el responsable del tratamiento y 3LOX el encargado, procesando los datos conforme a sus instrucciones documentadas y al Acuerdo de Tratamiento de Datos suscrito entre las partes.

2A quién aplica esta Política

• Exploradores: estudiantes de secundaria y bachillerato, a partir de 14 años.
• Validadores: estudiantes universitarios o recién graduados.
• Renovadores: profesionales en proceso de reinvención o transición de carrera.
• Trascendentes: profesionales senior y líderes enfocados en legado, mentoría e impacto.
• Instituciones educativas, empresas y organizaciones.
• Familias (Referentes): padres, madres y tutores que participan como validadores del entorno del Explorador.
• Facilitadores profesionales: orientadores, psicólogos, coaches y mentores.

3Información que recopilamos

Recopilamos la información que usted o su Institución proporcionan de manera directa o indirecta, conforme al principio de minimización (art. 5.1.c RGPD).

3.1Datos proporcionados directamente

• Identificación: nombre, correo electrónico, fecha de nacimiento, país de residencia, institución educativa o empleador, cargo o rol.
• Datos vocacionales y psicométricos: respuestas a las evaluaciones del Servicio (personalidad, intereses, habilidades, valores, síntesis IKIGAI, RCV), preferencias de carrera, motivaciones y objetivos profesionales.
• Comunicación: mensajes al soporte, formularios de contacto e información enviada voluntariamente.
• Conversaciones con el asistente de inteligencia artificial (K-AI): el contenido de los mensajes que el Usuario escribe libremente durante la conversación.
• Datos de Referentes: cuando padres, profesores o líderes participan como validadores, sus respuestas sobre el Explorador.

3.2Datos recopilados automáticamente

• Técnicos: dirección IP, navegador, sistema operativo, zona horaria, dispositivo, idioma y patrones de navegación.
• De uso: fecha y hora de acceso, páginas visitadas, funcionalidades utilizadas, progreso en evaluaciones y misiones completadas.
• Cookies: según la Política de Cookies.

3.3Datos proporcionados por Instituciones

Nombre de la institución contratante, persona de contacto, NIF/CIF, datos de facturación y listados de usuarios autorizados.

3.4Categorías especiales de datos

El Servicio no está diseñado para recabar ni tratar categorías especiales de datos (origen étnico o racial, opiniones políticas, convicciones religiosas, datos genéticos o biométricos, datos de salud u orientación sexual), y no se solicitan en ningún punto del proceso.

Los campos de texto libre y las conversaciones con el asistente no deben utilizarse para aportar este tipo de información. Cuando 3LOX detecte que se han incorporado datos de esta naturaleza de forma no solicitada, procederá a su supresión sin conservarlos ni utilizarlos para ninguna finalidad, salvo que su conservación resulte necesaria conforme al protocolo descrito en la sección 6.4.

4Finalidades del tratamiento

• Crear y gestionar la Cuenta del Usuario y autenticar su identidad.
• Prestar el Servicio: aplicar las evaluaciones y generar Informes, perfiles, Mapas de Trayectorias Posibles y Planes de Acción personalizados.
• Personalizar la experiencia, incluidas las recomendaciones del asistente K-AI y la selección de contenidos.
• Generar informes de validación comparativos con las respuestas de los Referentes.
• Cumplir obligaciones contractuales con Instituciones.
• Proporcionar paneles institucionales con analíticas agregadas y anonimizadas.
• Enviar comunicaciones de servicio: soporte, actualizaciones, notificaciones de progreso y alertas de seguridad.
• Enviar comunicaciones comerciales, únicamente con consentimiento previo y específico.
• Cumplir obligaciones legales, fiscales, contables o regulatorias.
• Analizar de forma anónima y agregada las tendencias de uso para mejorar el Servicio.
• Prevenir fraudes, abusos y amenazas a la seguridad.
• Actuar ante señales de riesgo para el bienestar de un menor, conforme a la sección 6.4.

5Base legal del tratamiento

En Colombia, la base es la autorización previa, expresa e informada del titular conforme a la Ley 1581 de 2012. En Estados Unidos se aplican COPPA y CCPA/CPRA según corresponda. En Brasil, las hipótesis del artículo 7 de la LGPD.

6Datos de menores de edad

6.1Edad mínima y consentimiento

El Servicio está disponible exclusivamente para personas a partir de 14 años. Esta es la edad mínima contractual de 360° PathFinder, aunque algún Estado miembro de la Unión Europea permita el consentimiento digital desde una edad inferior. El Servicio no está dirigido a menores de 14 años y no se recaban conscientemente sus datos.

• España: de 14 a 17 años pueden consentir por sí mismos, conforme al art. 7 de la LOPDGDD.
• Resto de la Unión Europea: solo pueden registrarse personas de 14 años o más. Cuando el Usuario no haya alcanzado la edad de consentimiento digital fijada por su Estado miembro —que puede situarse entre los 13 y los 16 años conforme al art. 8 del RGPD— se requiere autorización verificable del titular de la patria potestad o tutela. Haber alcanzado la edad mínima contractual de 14 años no elimina esta exigencia cuando la legislación nacional establezca una edad de consentimiento superior.
• Estados Unidos: los menores de 18 años requieren autorización del padre, madre o tutor legal.
• Colombia: se requiere autorización del representante legal del menor, conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013. La autorización otorgada por la institución educativa no la sustituye.
• Brasil: se requiere consentimiento específico y destacado de al menos uno de los progenitores o del responsable legal, conforme al art. 14 de la LGPD.
• Otros países: se aplicará la legislación local. En su defecto, los menores de 18 años requerirán autorización de su representante legal.

Cuando el acceso se realice a través de una Institución educativa, esta actúa como responsable del tratamiento y es quien debe obtener y conservar las autorizaciones exigidas por su legislación.

6.2Verificación del consentimiento

El consentimiento parental debe ser verificable. Se registra fecha, medio utilizado, identidad del otorgante y, cuando sea factible, dirección IP.

6.3Medidas de protección reforzadas

• Desactivación automática de todas las cookies de marketing y de seguimiento publicitario.
• Desactivación de las herramientas de analítica de comportamiento de sesión (grabación de interacción, mapas de calor y similares) en cuentas de menores. Solo se emplean cookies estrictamente necesarias y métricas agregadas.
• Minimización estricta: solo se recogen datos necesarios para la finalidad educativa y orientadora.
• No se muestra publicidad personalizada a menores.
• Los padres, tutores o representantes legales pueden ejercer los derechos del menor en legal@3lox.com.
• Determinados contenidos de la conversación del menor con el asistente pueden no ser accesibles al Referente, a fin de preservar los derechos del menor sobre sus propios datos, sin perjuicio de lo previsto en la sección 6.4.

6.4Protocolo ante señales de riesgo para el bienestar

El Servicio acompaña a personas jóvenes en un proceso que puede tocar cuestiones sensibles sobre su futuro y su identidad. 3LOX dispone de un protocolo interno de actuación para el supuesto de que, durante el uso de la plataforma, se detecten indicios de riesgo grave para la integridad física o psíquica de un Usuario menor de edad.

Dicho protocolo prevé que el asistente no adopte en ningún caso un rol clínico o terapéutico, que se ofrezca información sobre recursos de ayuda profesional adecuados a la jurisdicción del Usuario, y que, cuando la gravedad lo justifique, se comunique la situación a la Institución educativa o a los titulares de la patria potestad o tutela, en los términos previstos por la legislación aplicable y por el contrato suscrito con la Institución.

Los datos tratados en el marco de este protocolo se limitan a lo estrictamente necesario, se conservan de forma separada y con acceso restringido, y su tratamiento se ampara en el interés vital del interesado y en las obligaciones legales de protección del menor.

7Conservación de los datos

Esta tabla es la referencia única de plazos de conservación y prevalece sobre cualquier mención dispersa en este documento o en los Términos y Condiciones.

El Usuario recibirá aviso previo antes de la supresión automática por inactividad, con posibilidad de reactivar la Cuenta o exportar sus datos.

8Derechos del Usuario

8.1Derechos reconocidos

• Acceso (art. 15 RGPD): conocer qué datos tratamos y obtener una copia.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión (art. 17): eliminar sus datos cuando ya no sean necesarios o retire su consentimiento.
• Limitación (art. 18): restringir el tratamiento en determinadas circunstancias.
• Portabilidad (art. 20): recibir sus datos en formato estructurado y de uso común.
• Oposición (art. 21): oponerse al tratamiento basado en interés legítimo o a la mercadotecnia directa.
• No ser objeto de decisiones automatizadas (art. 22).
• Retirada del consentimiento, sin efecto sobre la licitud del tratamiento previo.
• Derechos CCPA/CPRA para residentes de California: conocer, eliminar y excluirse de la venta de datos. 3LOX no vende datos personales.

8.2Cómo ejercerlos

Escriba a legal@3lox.com con el asunto «Solicitud de Derechos de Privacidad — PathFinder», indicando su nombre, el correo registrado y el derecho que desea ejercer. Responderemos en un plazo máximo de 30 días naturales (RGPD) o 45 días (CCPA).

8.3Reclamaciones

Los Usuarios de la Unión Europea pueden reclamar ante la Agencia Española de Protección de Datos o ante la autoridad de su país de residencia. Los Usuarios de Colombia, ante la Superintendencia de Industria y Comercio.

8.4Información a personas cuyos datos no se obtuvieron de ellas directamente

Conforme al artículo 14 del RGPD, cuando 3LOX obtenga datos personales de una fuente distinta del propio interesado —por ejemplo, listados de estudiantes facilitados por una Institución, o datos de contacto de Referentes aportados por un Explorador— informará al interesado de la identidad del responsable, las finalidades, la base jurídica, las categorías de datos, los destinatarios, los plazos de conservación y sus derechos, en el momento de la primera comunicación y, en todo caso, en el plazo máximo de un mes.

Cuando la obtención se produzca en el marco de una relación institucional, esta información se facilitará de forma coordinada con la Institución responsable en los términos del Acuerdo de Tratamiento de Datos.

9Transferencias internacionales

Sus datos personales pueden ser tratados en Estados Unidos, la Unión Europea y otros países en los que operen nuestros proveedores tecnológicos o sus subencargados, incluidos proveedores de infraestructura y comunicaciones como Amazon Web Services, Supabase, Firebase (Google) y Twilio. Estas operaciones están sujetas a las garantías y mecanismos de transferencia internacional exigidos por la normativa aplicable.

Las salvaguardias aplicadas son:

• Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 para transferencias desde el Espacio Económico Europeo.
• Evaluación de impacto de la transferencia del marco jurídico del país de destino.
• Medidas técnicas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), seudonimización cuando es factible y controles de acceso estrictos.
• Acuerdos de tratamiento de datos con todos los proveedores que acceden a datos personales.

Para Usuarios de Colombia, las transferencias se realizan conforme al régimen de transferencias y transmisiones de la Ley 1581 de 2012 y la Circular Única de la SIC.

10Cookies y tecnologías de seguimiento

Se detallan en la Política de Cookies. Categorías principales:

• Estrictamente necesarias: autenticación, seguridad, preferencias básicas. No se pueden rechazar.
• Analíticas: medición de audiencia y uso. Se pueden rechazar.
• Marketing: se pueden rechazar y están desactivadas por defecto.
• Funcionales: tema, idioma, zona horaria. Se pueden rechazar.

Protección de menores: cuando el Servicio identifica que un Usuario es menor de edad, se desactivan automáticamente las cookies de marketing, el seguimiento publicitario y las herramientas de analítica de comportamiento de sesión, conforme a la sección 6.3.

Puede gestionar sus preferencias desde el banner de consentimiento o el botón «Preferencias de cookies» del pie de página.

11Seguridad de la información

3LOX implementa medidas técnicas y organizativas conforme al art. 32 del RGPD:

• Cifrado: TLS 1.3 en tránsito, AES-256 en reposo.
• Control de acceso: autenticación multifactor, mínimo privilegio y gestión de roles.
• Infraestructura: proveedores con certificaciones SOC 2 e ISO 27001.
• Copias de seguridad cifradas, con políticas de retención y recuperación ante desastres.
• Monitorización: detección de intrusiones y registros de auditoría.
• Respuesta a incidentes: protocolo documentado.

11.1Notificación de brechas

En caso de brecha que suponga riesgo para los derechos y libertades de los Usuarios, 3LOX notificará a la autoridad de control competente dentro de las 72 horas siguientes a tener constancia (art. 33 RGPD), comunicará a los afectados sin dilación indebida cuando el riesgo sea alto (art. 34) y documentará la naturaleza de la brecha, sus consecuencias y las medidas adoptadas. Cuando 3LOX actúe como encargado, notificará a la Institución responsable sin dilación indebida.

Ningún sistema digital es completamente seguro. El Usuario reconoce el riesgo inherente al uso de servicios en línea.

12Instituciones y terceros

12.1Acuerdo de Tratamiento de Datos

Cuando 3LOX actúe como encargado para una Institución, se formalizará un Acuerdo de Tratamiento de Datos conforme al art. 28 del RGPD, que establecerá el objeto, duración, naturaleza y finalidad del tratamiento; las categorías de datos e interesados; las obligaciones y derechos del responsable; las medidas de seguridad; las condiciones de subencargo con derecho de información previa y objeción; la asistencia en el ejercicio de derechos; y la devolución o supresión de los datos al finalizar la prestación.

12.2No venta de datos

3LOX no vende, alquila ni comercializa datos personales. Los datos se comparten únicamente con:

• Proveedores que actúan como encargados bajo instrucciones de 3LOX y con garantías contractuales adecuadas.
• Proveedores de infraestructura de inteligencia artificial, en los términos descritos en la sección 14.
• Autoridades competentes cuando sea legalmente requerido.
• La Institución contratante, en el ámbito de su relación contractual y en la medida necesaria para la prestación del Servicio.

12.3CRM interno y beta externa controlada

3LOX opera una herramienta de CRM desarrollada principalmente para uso interno. De forma limitada, una organización externa participa actualmente en una beta cerrada y controlada. Esta funcionalidad no se ofrece de manera general al público ni al conjunto de las Instituciones usuarias de 360° PathFinder.

La herramienta permite conectar cuentas autorizadas de WhatsApp Business, Facebook e Instagram mediante las API oficiales de Meta Platforms, Inc., con el fin de centralizar la comunicación con los contactos propios de 3LOX o, en el caso de la beta externa, con los contactos de la organización participante.

A través de esta integración, el CRM puede acceder, almacenar y procesar identificadores de página y de negocio, número de teléfono y perfil de WhatsApp Business, así como el contenido de los mensajes intercambiados con los contactos autorizados.

Estos datos pueden ser procesados mediante proveedores tecnológicos como Supabase, Firebase (Google) y Twilio, de acuerdo con la configuración técnica vigente y con las salvaguardias descritas en las secciones 9 y 11.

La organización participante en la beta es responsable de contar con una base legal adecuada para tratar los datos de sus propios contactos. Cuando 3LOX procese esos datos por cuenta de dicha organización, actuará como encargado del tratamiento y las responsabilidades correspondientes se documentarán en el acuerdo aplicable.

3LOX no utiliza los datos obtenidos de Meta con fines publicitarios propios ni los comparte con terceros distintos de los proveedores necesarios para operar esta funcionalidad.

13Naturaleza orientativa de los resultados

Son el resultado del procesamiento algorítmico de las respuestas del propio Usuario, y su contenido narrativo se genera mediante inteligencia artificial según la sección 14. No constituyen diagnósticos médicos ni psicológicos, ni asesoramiento profesional vinculante, ni decisiones automatizadas con efectos jurídicos.

3LOX recomienda que los resultados se complementen con el acompañamiento de un profesional cualificado. La calidad de los resultados depende de la veracidad y completitud de las respuestas del Usuario. 3LOX no se responsabiliza de las decisiones académicas, profesionales o personales adoptadas con base en los Informes.

Los Informes no pueden utilizarse como criterio único ni determinante en decisiones de admisión, selección, contratación, promoción o evaluación, conforme a la cláusula 6.2 de los Términos y Condiciones.

14Inteligencia artificial y transparencia

14.1Qué información se transmite al proveedor de modelos

El Servicio utiliza modelos de lenguaje de terceros para dos flujos distintos, con tratamientos diferentes:

• Generación de Informes. El proveedor del modelo no recibe las respuestas literales del Usuario a las evaluaciones. Recibe los resultados numéricos ya calculados por los algoritmos propietarios de 3LOX (perfiles, puntuaciones IKIGAI, RCV y equivalentes), a partir de los cuales genera la narrativa personalizada.
• Conversación con el asistente K-AI. En este flujo, los mensajes que el Usuario escribe durante la conversación sí se transmiten al proveedor del modelo, junto con el contexto de perfil necesario para generar una respuesta pertinente. Esto es inherente al funcionamiento de un asistente conversacional.

Se recomienda al Usuario no incluir en la conversación información personal sensible que no sea necesaria para la orientación vocacional.

14.2Proveedores

El modelo de lenguaje que impulsa a K-AI es proporcionado actualmente por OpenAI, que actúa como subencargado del tratamiento bajo instrucciones de 3LOX y con garantías contractuales adecuadas, incluidas Cláusulas Contractuales Tipo cuando corresponda. 3LOX podrá cambiar de proveedor; cualquier cambio material se reflejará en esta Política.

14.3Elaboración de perfiles

El Servicio realiza elaboración de perfiles vocacionales y psicométricos conforme al art. 4.4 del RGPD, procesando las respuestas del Usuario para generar puntuaciones, categorías y recomendaciones. Este perfilado tiene fines exclusivamente orientativos y no produce decisiones automatizadas con efectos jurídicos, conforme a la sección 13.

14.4Reconocimiento de emociones

K-AI no realiza reconocimiento de emociones ni análisis del estado emocional del Usuario, ni a partir de texto ni de voz, en el sentido del Reglamento (UE) 2024/1689. Lo previsto en la sección 6.4 constituye un protocolo de seguridad ante indicios explícitos de riesgo, y no un sistema de inferencia emocional.

14.5Transparencia conforme al Reglamento de IA

En cumplimiento del art. 50 del Reglamento (UE) 2024/1689, 3LOX identifica a Kai como sistema de inteligencia artificial mediante avisos claros y visibles dentro de la plataforma desde el primer contacto, y los Informes indican que su contenido narrativo es generado por inteligencia artificial. Estos avisos dispuestos en el propio producto constituyen el mecanismo principal de divulgación; esta Política y la cláusula 10.4 de los Términos son constancia complementaria y no la sustituyen.

3LOX evalúa y documenta la clasificación de riesgo de sus sistemas de inteligencia artificial conforme a dicho Reglamento y mantiene la evaluación actualizada.

14.6No entrenamiento de modelos de terceros

Los datos personales de los Usuarios no se utilizan para entrenar modelos de inteligencia artificial de terceros. 3LOX mantiene con sus proveedores acuerdos que excluyen expresamente el uso de los datos transmitidos con fines de entrenamiento.

15Contacto y representación

16Enlaces a sitios y servicios de terceros

El Servicio puede contener enlaces a sitios o plataformas de terceros. 3LOX no controla ni asume responsabilidad por sus prácticas de privacidad, seguridad o contenido. Recomendamos revisar sus políticas antes de compartir información personal.

17Cambios en esta Política

3LOX podrá actualizar esta Política para reflejar cambios en sus prácticas, en la legislación aplicable o en las funcionalidades del Servicio.

Para cambios sustanciales que afecten a sus derechos, se notificará por correo electrónico o mediante aviso en la plataforma con al menos 15 días naturales de antelación.

18Ley aplicable

• Unión Europea: Reglamento (UE) 2016/679 y legislación nacional del país de residencia, incluida la LOPDGDD en España. Los consumidores podrán acudir a los tribunales de su domicilio.
• Estados Unidos: COPPA, CCPA/CPRA, FERPA cuando resulte aplicable y la legislación estatal en materia de privacidad de datos estudiantiles.
• Colombia: Ley 1581 de 2012, Decreto 1377 de 2013 y normativa de la SIC.
• Chile: Ley 19.628 y, desde su entrada en vigencia el 1 de diciembre de 2026, la Ley 21.719.
• Brasil: Ley 13.709 (LGPD).
• México: la legislación federal en materia de protección de datos personales en posesión de particulares vigente en cada momento.
• Resto de países: las leyes nacionales de protección de datos aplicables en cada jurisdicción.