Política de Privacidad

Sutory (en adelante, «la Empresa») trata datos personales con las finalidades indicadas a continuación para la prestación del servicio Sutory. Si las finalidades cambian, la Empresa obtendrá un consentimiento independiente de conformidad con el Artículo 18 de la Ley de Protección de Información Personal de Corea (PIPA).

• Identificación y autenticación de miembros (inicio de sesión social con Apple / Google)
• Prestación del asistente de IA y de los servicios de wiki personal (chat, grafo, calendarios, notificaciones)
• Procesamiento de pagos por servicios de pago y prevención de uso fraudulento
• Garantía de la fiabilidad del servicio (registros de seguridad, rastreo de incidencias)
• Cumplimiento de obligaciones legales (p. ej., conservación de registros de transacciones conforme a la Ley de Comercio Electrónico de Corea)

La Empresa puede tratar temporalmente la ubicación del dispositivo de los usuarios en su aplicación móvil para prestar funciones basadas en ubicación (como sugerencias de restaurantes cercanos y recordatorios de calendario). Para los usuarios que hayan aceptado los términos de ubicación independientes exigidos por la Ley coreana sobre la Protección, Uso, etc. de la Información de Ubicación, el tratamiento sigue los principios indicados a continuación (véanse los Términos de Servicios Basados en Ubicación).

• Cuándo se recopila: con el permiso de ubicación concedido, (i) al abrir la app o volver a ella desde otra aplicación (como máximo una vez cada 30 minutos) y (ii) al usar una función basada en la ubicación, como las sugerencias de almuerzo cercanas.
• Alcance del almacenamiento: no se guardan coordenadas GPS precisas. Solo se guardan en la cuenta el nombre de la ciudad y la región, coordenadas aproximadas truncadas a dos decimales (unos 1 km) y la hora de la última actualización; cada nueva lectura sobrescribe la anterior.
• Finalidad: se usa únicamente para ofrecer sugerencias adaptadas a la ubicación — recomendaciones de almuerzo cercanas y el tiempo local en el resumen matutino.
• Conservación: se elimina junto con la cuenta cuando el usuario la borra (definitivamente tras el periodo de gracia de 30 días). El usuario puede detener nuevas recopilaciones revocando el permiso en su dispositivo.
• Cesión a terceros: la ubicación no se cede a terceros. Única excepción: si activas la participación en el feed de IA y apruebas una publicación concreta, el nombre del lugar incluido en ella será visible para otros participantes (sin nombre ni otros datos identificativos). Las coordenadas se transmiten a una API de mapas externa (Google Places) para la búsqueda de proximidad; ese proveedor procesa la solicitud por cuenta de la Compañía.
• Dirección IP: se usa solo como identificador de acceso con fines de seguridad y registro; nunca para inferir la ubicación, segmentar anuncios ni elaborar perfiles.
• Revocación del permiso: el usuario puede revocar el permiso de ubicación en los ajustes del dispositivo en cualquier momento. Al hacerlo solo se desactivan las funciones basadas en la ubicación; el resto del servicio sigue funcionando con normalidad.
• Menores de 14 años: dado que la Compañía bloquea el registro de menores de 14 años, no se procesan datos de ubicación de dichos menores (Ley de Información de Ubicación §25).

• Cuenta de miembro y contenido: eliminados inmediatamente tras la baja. Tras un período de gracia de 30 días, la recuperación ya no es posible (eliminación temporal → eliminación definitiva).
• Audio de voz original: eliminado inmediatamente tras el procesamiento STT (sin conservación permanente).
• Imágenes compuestas por IA: eliminadas automáticamente a los 7 días (las copias descargadas por el usuario son independientes).
• Registros de pago: conservados durante 5 años en virtud del Artículo 6 de la Ley de Protección al Consumidor en el Comercio Electrónico de Corea.
• Registros de reclamaciones y disputas de consumidores: conservados durante 3 años en virtud del Artículo 6 de la misma Ley.
• Registros de acceso y seguridad: conservados durante 3 meses en virtud del Artículo 15-2 de la Ley de Protección del Secreto de las Comunicaciones de Corea.

La Empresa no divulga los datos personales del usuario a partes externas con carácter general. Las únicas excepciones son las siguientes:

• cuando el usuario haya prestado su consentimiento previo;
• cuando así lo exija la ley, o cuando un organismo de investigación lo solicite de conformidad con los procedimientos y métodos prescritos por la ley; o
• cuando se faciliten datos seudonimizados con fines estadísticos o de investigación académica.

La Empresa externaliza determinadas tareas de tratamiento a los subprocesadores indicados a continuación. Los contratos de externalización incluyen las obligaciones de seguridad exigidas por el Artículo 26 de la Ley de Protección de Información Personal de Corea.

Cualquier cambio en los subprocesadores se anunciará mediante la revisión previa de esta política. Con todos los subprocesadores de IA, la Empresa utiliza canales cubiertos por acuerdos de exclusión de entrenamiento, que prohíben el uso de los datos del usuario para el entrenamiento de modelos.

Entre los subprocesadores enumerados en la Sección 6, los ubicados en Estados Unidos, Reino Unido y la UE reciben datos personales transferidos. El consentimiento a esta política se considera consentimiento a dichas transferencias. Para retirar el consentimiento, elimine su cuenta.

El usuario puede ejercer los siguientes derechos en cualquier momento, ya sea a través de la pantalla de Configuración o contactando al Responsable de Protección de Datos (Sección 14).

• Derecho de acceso: descarga directa a través de Configuración → Exportación de datos (JSON / Markdown).
• Derecho de rectificación o supresión: edite su perfil y contenido directamente en Configuración, o dé de baja su cuenta.
• Derecho de limitación del tratamiento: solicítelo por correo electrónico al Responsable de Protección de Datos.
• Derecho a la portabilidad de datos: las exportaciones de datos se proporcionan en formato JSON estándar.
• Derecho a oponerse y a recibir una explicación sobre decisiones automatizadas (PIPA §37-2, añadido en 2024): los resultados de IA son únicamente información de referencia — la Empresa no toma decisiones automatizadas con efecto legal o financiero. Si desea oponerse, contacte al Responsable de Protección de Datos y revisaremos y responderemos.

La Empresa destruye los datos personales sin demora una vez transcurrido el período de conservación o alcanzada la finalidad del tratamiento.

• Forma electrónica: eliminación permanente de forma irrecuperable (anulación de columnas de base de datos y eliminación automática una vez caducada la retención de copias de seguridad).
• Documentos en papel: trituración o incineración.
• Datos transmitidos a subprocesadores de IA: destruidos de inmediato conforme al contrato de externalización (opciones de exclusión de entrenamiento y sin conservación aplicadas).

• Administrativas: plan de gestión interna, formación periódica en seguridad, principio de acceso mínimo necesario.
• Técnicas: TLS 1.3 en tránsito, AES-256 en reposo, aislamiento multitenant mediante Row-Level Security, hash de contraseñas (Argon2id), JWT de corta duración.
• Físicas: controles ISO 27001 / SOC 2 de los centros de datos de Azure.
• Registro y supervisión: detección de anomalías de acceso, notificación en un plazo de 72 horas ante cualquier incidente de seguridad (conforme al RGPD / PIPA).

La Empresa almacena los siguientes elementos en LocalStorage para mantener las sesiones autenticadas. No utilizamos cookies para el seguimiento publicitario ni para analítica de terceros.

• tory-auth: sesión autenticada (tokens de acceso / actualización y caducidad).
• tory-oauth-state: estado de inicio de sesión OAuth de un solo uso (eliminado inmediatamente tras la devolución de llamada).

El usuario puede eliminar estos elementos en cualquier momento a través de la configuración de su navegador.

La Empresa bloquea el registro de menores de 14 años. Esta medida satisface tanto el Artículo 22-2 de la Ley de Protección de Información Personal de Corea como la Ley estadounidense de Protección de la Privacidad Infantil en Línea (COPPA, menores de 13 años).

• Cuándo se bloquea: el paso de consentimiento del registro solicita el año de nacimiento; si se determina que el usuario es menor de 14 años, el registro se rechaza directamente y no se almacenan datos introducidos.
• Protección predeterminada de los proveedores sociales: el Apple ID y las cuentas de Google se emiten únicamente a usuarios de 13 años o más según los términos de cada proveedor, lo que constituye una primera línea de defensa.
• Detección posterior: si se descubre que un usuario es menor de 14 años tras el registro, la Empresa suspende inmediatamente la cuenta y destruye todos los datos personales recopilados en un plazo de 7 días. Se notifica la destrucción al correo electrónico registrado.
• Derechos de los tutores legales: un tutor legal que descubra que la Empresa está tratando datos personales de un menor de 14 años podrá requerir de inmediato la destrucción, el acceso o el cese del uso a través del Responsable de Protección de Datos.

La Empresa no recopila datos personales con fines de marketing, publicidad o promoción. Solo enviamos notificaciones esenciales para el funcionamiento del servicio, como avisos de pago y seguridad, que están comprendidas en las excepciones al consentimiento del Artículo 22-2 de la Ley de Protección de Información Personal de Corea.

• Responsable: Min-kyung Kim (CEO)
• Correo electrónico: privacy@tory.my
• Empresa: Sutory · Número de registro mercantil: 633-02-03631
• Tiempo de respuesta: en un plazo de 7 días hábiles
• Resolución de disputas: Comité de Mediación de Disputas sobre Información Personal (1833-6972), Centro de Denuncias de Infracciones de Privacidad (118), Unidad de Ciberinvestigación de la Fiscalía General (1301), Oficina de Ciberinvestigación de la Policía Nacional (182)

• 2026-07-10 · Se añadió xAI (búsqueda en tiempo real) como subencargado, se actualizaron los nombres de los modelos de IA y se introdujo un consentimiento separado para el procesamiento con IA de terceros
• 2026-05-27 · Se añade traducción al español (el texto original en coreano sigue siendo el legalmente vinculante; las versiones en otros idiomas se proporcionan como conveniencia).
• 2026-05-13 · Se añade una sección explícita sobre el tratamiento de información de ubicación (§3), se añade protección de menores (§12 COPPA / PIPA §22-2) y se corrige el dominio del correo electrónico del Responsable de Protección de Datos.
• 2026-05-12 · Publicación inicial.