Política de privacidad — Sanabel
En resumen: Sanabel es una app educativa para niños. No muestra anuncios y funciona entera sin cuenta: el niño compra en el mercado de la app con monedas que gana aprendiendo, nunca con dinero. Nada de lo que el niño escribe o dice sale del dispositivo. Su progreso solo sale con Sanabel+, en la copia diaria del recorrido de cada niño a la cuenta del padre (sección 7), sin su nombre ni sus grabaciones. Sanabel+ es una suscripción opcional que solo compra un padre, con Google Play, desde la zona de padres protegida con código; necesita que el padre inicie sesión con una cuenta de Google, y entonces nuestro servidor guarda la cuenta del padre, sus teléfonos y sus compras, y de cada niño un número aleatorio y sus dos últimas copias diarias (sección 7). Aparte de eso, lo que sale del dispositivo es: datos técnicos que llegan a Firebase Crashlytics, de Google, para detectar fallos, las solicitudes para descargar audio de recitación y las voces de Sanabel+ para sus suscriptores. Las hojas de letras y de matemáticas para imprimir solo salen cuando se imprimen o se comparten, a la impresora o la app que se elija, y no contienen nada sobre el niño.
1. Quiénes somos
Esta app la publica Amigos-lab, editor de las apps Rafiqi y Sanabel. Contacto para cuestiones de privacidad: sanabel.amigoslab@gmail.com.
2. Lo que no recopilamos
La app no recopila ni transmite nada de lo siguiente:
- Nada que diga quién es un niño: ni su nombre ni su voz. El nombre de cada niño, si un padre lo escribe, se queda en el dispositivo, cifrado (sección 3), y su imagen es uno de los dibujos de animales de la app, nunca una foto. Su edad y su progreso solo salen del dispositivo en la copia diaria de Sanabel+, con un número aleatorio (sección 7)
- Números de teléfono, ni el correo electrónico del padre: solo lo lee el teléfono, cuando el padre inicia sesión con Google, para mostrar quién ha iniciado sesión, y nuestro servidor no lo guarda (sección 7)
- Datos de la tarjeta de pago: el pago lo hace Google Play, y nunca los vemos
- Ubicación
- Contactos, mensajes o calendario
- Fotos o archivos
- Cámara — la app nunca pide permiso de cámara
- Identificadores de publicidad (AAID) o similares — la app no pide ese permiso
- Huella dactilar o rostro — entre los permisos de la app figura «usar hardware biométrico», que viene con la biblioteca que cifra los nombres de los niños. La app nunca pide ni lee una huella ni un rostro
El micrófono se usa en una sola función, que el niño inicia por sí mismo — ver la sección 4.
3. Lo que se guarda en tu dispositivo
La app guarda lo siguiente en el dispositivo y no envía nada de ello a ningún servidor, salvo que la copia diaria de Sanabel+ lleva los dos primeros puntos, y los ajustes y la imagen del niño (sección 7). Con más de un niño (cuatro como máximo), lo de cada uno se guarda aparte:
- El progreso y las respuestas de cada niño: Corán, letras árabes, matemáticas, vida musulmana, las lecciones de animales y los juegos
- Sus monedas, boletos e insignias, su jardín y sus animales, y lo que compró en el mercado
- Los ajustes de cada niño: su edad, qué materias tiene activas y su nivel de matemáticas
- El nombre de cada niño (opcional): cifrado con una clave guardada en el Android Keystore, y nunca sale del dispositivo; y su imagen, uno de los dibujos de animales de la app
- Las grabaciones de la recitación de cada niño (sección 4)
- Los ajustes de la familia: sonido y movimiento, las reglas del tiempo de juego, «Hora de dormir» y el «Modo bloqueo», que fija la app en la pantalla. El código de los padres se guarda como un hash con sal, nunca sus dígitos; el teléfono cuenta los intentos fallidos seguidos, bloquea el teclado cinco minutos tras cinco, y no envía esa cuenta a ningún sitio
- Un registro técnico de errores en la zona de padres, que un padre puede leer, copiar y borrar. La app no lo envía a ningún sitio
Si un padre inicia sesión para Sanabel+, la app también guarda en el dispositivo: el correo de la cuenta de Google, que se muestra en la zona de padres; el pase que firma nuestro servidor, que abre Sanabel+; las voces de Sanabel+ descargadas (sección 5); y el token de la sesión y un identificador de instalación aleatorio que crea la app. Estos dos últimos están cifrados con una clave del Android Keystore y se envían a nuestro servidor con cada solicitud (sección 7).
Copia de seguridad: Android puede incluir el progreso y los ajustes en la copia de seguridad de la cuenta de Google de la familia. Es una función del propio Android, sujeta a las condiciones de Google; la app no le envía nada por su cuenta. Los nombres de los niños, las grabaciones, el audio de recitación y las voces descargados, el token de la sesión y el identificador de instalación quedan fuera de esa copia y de la transferencia a un teléfono nuevo, así que un teléfono restaurado desde una copia vuelve a iniciar sesión. El código de los padres solo figura en ella como hash. El correo del padre y el pase pueden figurar en ella con los ajustes.
Todo se borra del dispositivo al desinstalar la app o al borrar sus datos en los ajustes del sistema.
4. Micrófono, grabaciones y voz
En la pantalla «Mis grabaciones» el niño graba su propia recitación y se escucha después. El permiso de micrófono se pide solo para esta función, y únicamente cuando el niño empieza a grabar.
Las grabaciones se quedan en el dispositivo y nunca se suben a ningún servidor. Cada niño tiene las suyas. Quedan fuera de la copia de seguridad en la nube de Android y de la transferencia entre dispositivos. Cualquier grabación se puede borrar desde la app, y todas se borran al desinstalarla.
Un padre escucha estas grabaciones en la zona de padres para aprobar una sura como memorizada, también en el mismo dispositivo.
Mucho de lo que la app dice en voz alta es audio ya grabado: una parte va dentro de la app y otra la descargan los suscriptores de Sanabel+ (sección 5). Una frase sin archivo de audio la lee el motor de texto a voz del propio teléfono; la app no envía ningún texto por su cuenta. Los sonidos de los animales son archivos incluidos en la app.
5. Descargas
La app incluye cinco suras que funcionan sin conexión: Al-Fatiha, Al-Kawthar, Al-Ikhlas,
Al-Falaq y An-Nas. Al elegir otra sura, la app descarga su audio una sola vez desde
rafiqi-quran.amigoslab.net, el servidor de Amigos-lab que también usa Rafiqi Quran.
Después el audio se queda en el dispositivo y funciona sin conexión.
Estas solicitudes no llevan ningún identificador: ni cuenta, ni ID del dispositivo, ni cookies, ni datos del niño. Solo la ruta fija de un archivo. Nuestro proveedor de alojamiento (Cloudflare) ve la dirección IP de la conexión y la ruta solicitada en sus registros habituales, como en cualquier descarga. Nosotros no recopilamos ni conservamos esos registros.
Voces de Sanabel+: cuando Sanabel+ está abierto y un padre ha iniciado sesión,
la app descarga los archivos de voz del servidor de Sanabel, api.sanabel.amigoslab.net.
Estas solicitudes llevan la sesión del padre y el identificador de instalación (sección 7), para que
el servidor compruebe la suscripción; el servidor no guarda ningún registro de quién las descarga.
Después las voces se quedan en el dispositivo y funcionan sin conexión.
La app comprueba la firma digital de cada archivo antes de usarlo, para que al niño no se le reproduzca nada distinto de lo previsto.
6. Informes de fallos (Firebase)
Usamos Firebase Crashlytics (Google) para detectar y corregir fallos técnicos, solo en la versión publicada de la app.
Al abrir la app, las bibliotecas de Firebase crean un identificador de instalación para esta app y registran el inicio de una sesión: el fabricante y el modelo del dispositivo, las versiones del sistema y de la app, el tipo de conexión a la red y la hora en que se abrió la app. Google lo usa para contar cuántos dispositivos afecta cada fallo.
Cuando ocurre un fallo o un error técnico, se envía:
- La causa del fallo y el punto del código donde ocurrió
- Detalles técnicos del error, por ejemplo qué sura no se pudo descargar y por qué
- El estado del dispositivo en ese momento (memoria, almacenamiento)
- El identificador de instalación
Nada de esto contiene el nombre del niño, el código de los padres, la voz del niño ni lo que escribe, y no lo vinculamos a ninguna cuenta ni identidad. Se envía cifrado por HTTPS. Crashlytics conserva los datos de fallos, y su copia de los identificadores, 90 días antes de eliminarlos. Firebase puede conservar el identificador de instalación en sí hasta que se elimine; identifica una instalación de la app, no a una persona, y al borrar los datos de la app o reinstalarla esta recibe uno nuevo. Política de privacidad de Google: policies.google.com/privacy; privacidad en Firebase: firebase.google.com/support/privacy.
7. Sanabel+ y la cuenta de Google del padre
Sanabel+ es una suscripción opcional que abre el resto de las lecciones y los juegos; toda la app funciona sin ella. Solo la compra un padre, desde la zona de padres protegida con código o desde la configuración inicial, con Google Play, que se encarga del pago.
Inicio de sesión: Sanabel+ necesita que el padre inicie sesión con una cuenta de
Google, en la ventana de inicio de sesión de Android, para que la suscripción le acompañe en cualquier
teléfono. El teléfono envía el token de inicio de sesión que emite Google a nuestro servidor,
api.sanabel.amigoslab.net, que lo comprueba con Google y solo guarda un hash de un solo
sentido del identificador de la cuenta de Google, no el correo electrónico ni el nombre que el token
también lleva.
Lo que guarda nuestro servidor:
- Un número de cuenta aleatorio, que nunca se deriva de los datos de Google, junto con ese hash
- Por cada teléfono con la sesión iniciada, cuatro como máximo: su modelo, para mostrarlo en la lista de teléfonos; el identificador de instalación aleatorio (no un identificador del dispositivo); cuándo inició sesión y cuándo se usó por última vez; y su token de sesión, como hash
- Las compras tal como las confirma Google Play: el plan, el número de pedido y el token de compra de Google, el estado de la suscripción y su fecha de fin
- Por cada niño de la familia, cuatro como máximo: un número aleatorio que el teléfono creó para él, y cuándo se añadió
- La copia diaria de cada niño, la última y la anterior: su progreso y sus respuestas (Corán, letras árabes, matemáticas, vida musulmana, las lecciones de animales y los juegos), sus monedas, boletos e insignias, su jardín y sus animales, su imagen (uno de los dibujos de animales de la app), su edad, su nivel de matemáticas y sus materias, con cuándo se guardó cada una, su tamaño y su suma de comprobación (SHA-256). Cada copia se comprime, se envía por HTTPS y Cloudflare la guarda cifrada
El servidor nunca guarda el nombre, la voz ni las grabaciones del niño, ni el código de los padres ni los ajustes de la familia.
La copia diaria: con Sanabel+, el teléfono envía el recorrido de cada niño que ha jugado desde su última copia, como mucho una vez al día, cuando la app pasa a segundo plano, para que el padre pueda recuperarlo en un teléfono nuevo tras iniciar sesión. El padre puede ponerla en manual (zona de padres → App → Copia diaria), y entonces no se envía nada hasta que toque «Guardar ahora».
Cuándo contacta la app con nuestro servidor: después de que un padre inicie sesión: para iniciar y cerrar sesión, para comprar o restaurar una compra, para comprobar la suscripción una vez al día, para descargar las voces de Sanabel+, y para las copias diarias de los niños y su recuperación en un teléfono nuevo. Cada solicitud lleva el token de la sesión, el identificador de instalación y la versión de la app. Al iniciar sesión y al comprar, la app pide a Google Play que confirme que la app y el teléfono son auténticos (Play Integrity); el servidor lee la respuesta de Google y no la guarda.
Antes de abrir las pantallas de Google, o cuando no puede mostrar los precios de la suscripción, la app pregunta a nuestro servidor si está disponible, incluso antes de que un padre inicie sesión, para avisarle si el teléfono no tiene conexión a internet. Esa solicitud no lleva nada de la app: ni token de sesión, ni identificador de instalación, ni versión de la app.
Cuánto tiempo: la sesión de un teléfono termina al cerrar sesión, o tras 180 días sin usarse, y entonces se elimina. La cuenta y sus compras se conservan hasta que el padre elimine la cuenta (sección 11). La copia de un niño se conserva hasta que otra más reciente la sustituya, se quite al niño del teléfono (sus copias salen entonces de nuestro servidor la próxima vez que ese teléfono llegue a Sanabel+ con la sesión del padre iniciada), el padre lo quite de la cuenta en la tarjeta de copia diaria o se elimine la cuenta. Una copia que no se abre al recuperar a un niño se elimina. Si Sanabel+ termina, las dos últimas se conservan 3 meses y después se eliminan.
Alojamiento y registros: Cloudflare aloja nuestro servidor, su base de datos y las copias diarias de los niños. Las líneas del registro del servidor llevan un código de error y un número de solicitud, nunca un token, un correo ni un número de cuenta, y Cloudflare las conserva 7 días como máximo. Como cualquier alojamiento, Cloudflare ve la dirección IP de la conexión y la usa para limitar cuántas veces se puede llamar al servidor; nosotros no la guardamos.
8. Anuncios, compras y enlaces
La app no muestra anuncios, no contiene ningún SDK de publicidad y no tiene más analítica que los informes de fallos y de inicio de la sección 6. Su única compra es la suscripción a Sanabel+ (sección 7), a la que un niño no llega porque está tras el código; por eso entre los permisos de la app figura la facturación de Google Play. No tiene chat ni contacto con otros usuarios. Solo sale de la app en estos casos: a los ajustes del teléfono, para activar el micrófono si se rechazó ese permiso; a la pantalla de impresión o al menú de compartir de Android, cuando se imprime o se comparte una hoja (sección 10); y, solo desde la zona de padres y la configuración inicial, a la ventana de inicio de sesión de Google y la de compra de Google Play, a la página de suscripciones de Google Play para gestionar la suscripción, a esta página en el navegador, a la página de Sanabel en Google Play, para valorarla, y a la app de correo del propio padre, con un mensaje ya dirigido a nosotros. Sanabel no envía nada por sí misma: el mensaje solo sale si el padre lo envía desde su correo, y lo que escribe solo lo usamos para responderle y mejorar Sanabel, y no lo guardamos más de lo necesario para ello. Una sola vez, en la zona de padres, Google Play puede mostrar su propia ventana de valoración sobre la app; Google gestiona la valoración y la app no sabe si el padre valoró ni cómo.
9. Niños
Esta app está dirigida a niños. Cumplimos las políticas para familias de Google Play, la COPPA y el RGPD, incluidas sus disposiciones sobre menores. No recopilamos datos personales de los niños aparte del identificador de instalación de la sección 6, que solo se usa para detectar y corregir fallos, y la copia diaria de Sanabel+ (sección 7): un padre la activa al suscribirse y puede ponerla en manual, y lleva el progreso y el jardín del niño con un número aleatorio, nunca su nombre ni su voz, solo para recuperar su recorrido en otro teléfono. Una cuenta de Sanabel+ es siempre del padre, nunca del niño, y lo que nuestro servidor guarda de ella está en la sección 7. No mostramos publicidad personalizada y no compartimos datos con terceros con fines de marketing.
10. Compartir datos
No vendemos ni compartimos ningún dato. Solo usamos dos proveedores de servicios: Google, para los informes de fallos (Firebase Crashlytics) y para el inicio de sesión, el pago y la comprobación de la app en Sanabel+ (cuenta de Google, Google Play, Play Integrity); y Cloudflare, para entregar el audio de recitación y las voces y para alojar el servidor de Sanabel, su base de datos y las copias diarias de los niños.
Hojas para imprimir: en las secciones de letras y de matemáticas, una hoja se puede imprimir, o guardar como imagen y compartir. Una hoja no contiene nada sobre el niño: una letra y palabras, o números y cuentas, dibujos, y líneas vacías para el nombre y la fecha. La app la entrega a la pantalla de impresión o al menú de compartir de Android y no la envía a ningún sitio por su cuenta, así que solo va a la impresora o la app que se elija allí, nunca a nosotros. La imagen se escribe antes en el almacenamiento temporal de la propia app.
11. Eliminar datos
Para borrar todo lo que la app guarda en el dispositivo, desinstálala o borra sus datos en los ajustes del sistema. Una copia en la copia de seguridad de la cuenta de Google de la familia se borra desde los ajustes de copia de seguridad de esa cuenta. Los informes de fallos no están vinculados a ningún nombre ni cuenta, así que no podemos distinguir los de una familia concreta; Crashlytics los elimina a los 90 días. Firebase puede conservar el identificador de instalación durante más tiempo; tampoco está vinculado a ningún nombre ni cuenta.
Una cuenta de Sanabel+ la elimina el padre en la app (zona de padres → Aplicación → Sanabel+ → Eliminar la cuenta), o sin la app en api.sanabel.amigoslab.net/account/delete, iniciando sesión con la misma cuenta de Google. Al eliminarla, primero se detienen las renovaciones de la suscripción y después se eliminan a la vez la cuenta, las sesiones de sus teléfonos, sus registros de compras y las copias de todos sus niños. Solo conservamos 30 días el hash del identificador de la cuenta de Google, para que restaurar nuestra base de datos desde su historial no pueda devolver una cuenta eliminada; el historial de restauración de Cloudflare conserva los datos eliminados 30 días como máximo, y después desaparecen. Google conserva su propio registro de la compra según su política. Cerrar sesión elimina la sesión de ese teléfono, y quitar a un niño, del teléfono o de la cuenta en la tarjeta de copia diaria, elimina sus copias de nuestro servidor. Para cualquier pregunta sobre tus datos, escríbenos a sanabel.amigoslab@gmail.com.
12. Cambios en esta política
Si cambian nuestras prácticas, actualizaremos esta página y la fecha de entrada en vigor de abajo.