Datos personales, expuesto claramente.
TwentyThird procesa información sensible sobre su vida interior. Esta política detalla qué se procesa, por quién, dónde, durante cuánto tiempo y cómo detenerlo. Nada se vende. Nada se utiliza para publicidad.
¿Quién es el responsable
WelloWork AB (org. nr. 559472‑9997), Uppsala, Suecia, es el responsable del tratamiento de todos los datos personales procesados a través de TwentyThird: en este sitio web, en su cuenta y en el correo electrónico.
Algunos miembros reciben TwentyThird como un beneficio de su empleador. El empleador paga por el acceso y nada más. Los empleadores nunca reciben sus datos, sus respuestas, su uso ni ningún análisis sobre usted o sobre su personal como grupo.
Contacto de protección de datos: privacy@day-23.com. Respondemos en un plazo de 30 días.
Qué procesamos y por qué
Cuenta. Dirección de correo electrónico, nombre, año de nacimiento, género, idioma y cómo inicia sesión. Se utiliza para gestionar su cuenta. Base legal: contrato (Art. 6(1)(b) RGPD).
Información de salud. Sus respuestas de admisión sobre el estado de ánimo, la familia, las relaciones, el trabajo, el sueño, los sueños y el bienestar; sus Catchups semanales; sus conversaciones en la Consulting Room; y las lecturas e informes producidos a partir de ellos. Estos son datos de categoría especial (Art. 9). Base legal: su consentimiento explícito (Art. 9(2)(a) y Art. 6(1)(a)), otorgado por separado al registrarse y revocable en cualquier momento en Configuración → Consentimiento.
Procesamiento de IA. Para redactar lecturas, resúmenes de Catchup, respuestas de sesión e informes, la parte de esa información que cada tarea necesita se envía a un modelo de IA. Base legal: su consentimiento separado para el procesamiento de IA y para la transferencia fuera del EEE.
Su círculo. Si invita a alguien, nos proporciona su nombre y dirección de correo electrónico para que podamos enviar la invitación. Si responden, sus respuestas informan sus lecturas. Consulte "Personas que invita" a continuación.
Pago. Estado e historial de la suscripción. Los detalles de la tarjeta son gestionados por Stripe y nunca nos llegan. Base legal: contrato.
Datos técnicos. Dirección IP, navegador, dispositivo y marcas de tiempo, para mantener el servicio seguro y limitar el abuso. Cuando almacenamos una dirección IP, almacenamos un hash con sal, no la dirección. Base legal: interés legítimo (Art. 6(1)(f)).
Análisis. Google Analytics solo se ejecuta en las páginas de marketing públicas, y solo después de que lo acepte. Nunca dentro de su cuenta. Base legal: consentimiento.
No preguntamos sobre raza, etnia, opinión política o religión. Si algo que escribe lo revela, se procesa solo como parte de su propia lectura.
Decisiones automatizadas y seguridad
Cada fragmento de texto libre que escribe es verificado por un modelo de IA en busca de señales que indiquen un riesgo de daño. Cuando el riesgo se clasifica como alto, el analyst no responde; en su lugar, ve recursos de crisis para su país y se registra una alerta de seguridad en su cuenta, donde puede consultarla.
Las readings, resúmenes e informes son interpretaciones generadas por IA. No son diagnósticos, y ninguna decisión con efecto legal o similarmente significativo se toma a partir de ellos.
Puede solicitar a una persona de WelloWork que revise cualquier clasificación de seguridad o reading: privacy@day-23.com. Le informaremos el resultado.
Quién lo procesa y dónde
Estas empresas procesan datos bajo nuestras instrucciones, conforme a acuerdos de procesamiento de datos. Cuando los datos salen del EEE, se indica la base de la transferencia.
| Procesador | Propósito | Dónde | Base de transferencia |
|---|---|---|---|
| Supabase | Base de datos, inicio de sesión, almacenamiento de archivos | Irlanda (UE) | Alojamiento en la UE; Cláusulas Contractuales Estándar para acceso de soporte |
| Vercel | Alojamiento y servidores | Estocolmo (UE); red mundial para archivos estáticos | Cláusulas Contractuales Estándar |
| OpenRouter | Pasarela que envía cada solicitud de IA al modelo | Estados Unidos | Cláusulas Contractuales Estándar |
| Google Cloud (Vertex AI), a través de OpenRouter | Modelos de IA (Gemini). Las indicaciones no se almacenan ni se utilizan para entrenamiento | Centros de datos de Google, no limitados a la UE | Marco de Privacidad de Datos UE-EE. UU.; Cláusulas Contractuales Estándar |
| Stripe | Pagos y suscripciones | Irlanda (UE) y Estados Unidos | Marco de Privacidad de Datos UE-EE. UU.; Cláusulas Contractuales Estándar |
| Resend | Correos electrónicos que le enviamos e invitaciones | Estados Unidos | Marco de Privacidad de Datos UE-EE. UU.; Cláusulas Contractuales Estándar |
| Google Analytics | Visitas a páginas públicas, solo con su consentimiento | Centros de datos de Google, incluidos los Estados Unidos | Marco de Privacidad de Datos UE-EE. UU.; Cláusulas Contractuales Estándar |
Los proveedores de IA solo se utilizan si no almacenan indicaciones ni entrenan con ellas. No vendemos ni licenciamos sus datos y no los utilizamos para publicidad.
Personas que invitas
Cuando un miembro te invita, nos proporciona tu nombre y dirección de correo electrónico. Los utilizamos únicamente para enviar la invitación y para mostrar al miembro si has respondido.
Si respondes a las preguntas de relación, tus respuestas y un párrafo generado por IA basado en ellas informan las lecturas, sesiones e informes de ese miembro. El miembro nunca ve tus respuestas ni el párrafo. Consientes esto antes de que comiencen las preguntas.
Tus respuestas se eliminan 30 días después de que finaliza la conexión, o inmediatamente cuando utilizas el enlace de eliminación en tu correo electrónico de invitación. Las invitaciones rechazadas o caducadas se eliminan 30 días después de su vencimiento. Tienes los mismos derechos que los miembros; escribe a la dirección que se indica a continuación.
Quién lo ve lo ve
Dentro de WelloWork AB: Un número reducido de personal que mantiene el servicio, con acceso limitado por función. Revisamos su contenido solo para responder a una solicitud suya, revisar una alerta de seguridad que nos pida que revisemos o corregir un fallo.
No su empleador. Ningún empleador, clínica u otra organización tiene acceso a los datos de los miembros o a análisis sobre los miembros.
Su psicólogo, si tiene uno: Además de su solicitud de supervisión, usted elige elemento por elemento lo que ve su psicólogo, y puede cambiar cada elección en cualquier momento.
Obligación legal: Divulgamos datos a las autoridades competentes solo cuando lo exige la ley, y solo en la medida requerida.
Retención
Cuánto tiempo se conserva cada tipo de dato. Un proceso automático diario aplica estos períodos.
| Datos | Conservado durante |
|---|---|
| Cuenta, respuestas de admisión (cada versión), readings, Catchups, conversaciones de sesión, informes, registros de consentimiento | Mientras su cuenta exista |
| Todo lo anterior, después de que elimine su cuenta | Borrado 30 días después de la solicitud, excepto los registros contables que se detallan a continuación. Iniciar sesión antes de esa fecha lo cancela |
| Alertas de seguridad | Gravedad y categoría con su cuenta; el texto citado se elimina después de 90 días |
| Registro de procesamiento de IA (tarea, modelo, tiempo — nunca contenido) | 90 días |
| Registros de correos electrónicos enviados a usted | 30 días después del envío |
| Respuestas de personas que invitó | Mientras la conexión esté activa; 30 días después de que termine, o de inmediato si lo solicitan |
| Invitaciones rechazadas o caducadas | 30 días después de la caducidad |
| Mensajes enviados a través del formulario de contacto | 24 meses |
| Contadores de prevención de abuso (hasheados) | 1–2 días |
| Supervisión con un psicólogo: su solicitud, la supervisión, sus planes de atención y su consentimiento para compartir | Mientras existan su cuenta y la cuenta de su psicólogo. Su psicólogo las ve solo mientras la supervisión esté activa y su consentimiento se mantenga. |
| Solicitudes de supervisión que fueron rechazadas, retiradas o caducadas | 12 meses después de la decisión |
| Derivaciones a su psicólogo | 24 meses después de que se cierren o finalice la supervisión; de inmediato si la supervisión se elimina |
| Notificaciones en la aplicación | 12 meses |
| Visitas pagadas y pagos a psicólogos (cantidad, fecha, referencia de pago) | 7 años después del final del año de pago, según lo exige la Ley de Contabilidad sueca. Su nombre, notas y enlaces se eliminan cuando se borra su cuenta |
| Copias de seguridad de la base de datos | Copias de seguridad rotativas en un ciclo corto; los datos eliminados permanecen hasta que expiran |
| Registros de pagos en Stripe | Según lo exija la legislación financiera |
Los procesadores mantienen registros operativos bajo sus propios términos, enumerados anteriormente.
Sus derechos
Puede acceder y exportar sus datos (Ajustes → Datos), corregirlos (Ajustes y su intake), eliminar su cuenta (Ajustes → Zona de peligro), retirar el consentimiento (Ajustes → Consentimiento), restringir u oponerse al procesamiento, y recibir sus datos en un formato portable. Retirar el consentimiento detiene el procesamiento futuro; no anula lo hecho anteriormente.
Para cualquier otra cosa, o si no puede iniciar sesión: privacy@day-23.com. Respondemos en un plazo de 30 días. También puede presentar una queja ante la Integritetsskyddsmyndigheten (IMY), la autoridad de protección de datos de Suecia.
Seguridad
Los datos se cifran en tránsito y en reposo. Cada tabla está protegida por seguridad a nivel de fila, de modo que una cuenta solo puede leer sus propios registros, y lo que el servicio escribe no puede modificarse desde un navegador. Los datos de la tarjeta nunca llegan a nuestros servidores.
Edad
TwentyThird es para adultos. Debe tener 18 años o más para crear una cuenta. Si descubrimos que alguien menor de 18 años tiene una cuenta, la eliminaremos.
Cambios
Cuando esta política cambie sustancialmente, se lo notificaremos en el producto antes de que el cambio se aplique y solicitaremos su consentimiento nuevamente cuando sea necesario. La fecha de la versión se encuentra a continuación.
Vigencia: 18 October 2026 · Ley aplicable: legislación sueca y el RGPD