Mastodon, la red social libre, descentralizada y sin anuncios de microblogging, se ha convertido recientemente en la mayor alternativa a Twitter (siendo usada como vía de escape cuando los tuiteros quieren abandonar el servicio). Mastodon fue lanzada en octubre de 2016 bajo el dominio principal mastodon.social, presentando como gran diferencia con otras redes sociales que es una federación descentralizada de servidores ejecutando software de código abierto.

O lo que es lo mismo, los usuarios de Mastodon no se dan de alta en un registro central, sino que están distribuidos en diferentes comunidades autónomas e independientes llamadas “instancias” (servidores), siendo la red común el “Fediverse” (Federation + Universe), desde el que es posible interactuar entre sí.

De ese modo, hay en teoría tantas condiciones legales como instancias, ya que cada una tiene sus servidores, sus administradores y por tanto sus reglas, y si bien los usuarios de las diferentes instancias pueden interactuar entre ellas si lo permiten sus administradores, en el fondo lo normal es que cada una tenga unas reglas de entrada y convivencia.

Si ese es el caso, ¿qué vamos a analizar? Ya que la red supera los dos millones de usuarios y hay centenares de instancias. Si bien eso es cierto, también lo es que tanta descentralización genera menor control y mayor desorganización. Y a nivel legal eso en Mastodon es bastante evidente.

Como hemos dicho, hay tantos Mastodon como instancias se creen, y si bien pueden interactuar entre ellas, también las hay 100% privadas. Ahora bien, entre las muchas instancias existentes, destaca mucho una y con diferencia: la gestionada por el creador de la red social, Eugen Rochko. Su instancia es la alojada en mastodon.social y en la misma se aloja medio millón de usuarios, una cuarta parte de la red social. Pero es que según la lista de instancias proporcionada por Mastodon, la siguiente en número de usuarios no llega ni a 8000.

Por cierto, ahora mismo no hay ningún Mastodon cuya lengua principal sea el español, según la lista de instancias.

De ese modo, si bien Mastodon conceptualmente es una red descentralizada, la realidad es que una gran parte de sus usuarios están en una misma instancia y el resto tiene tamaños muy micro. Eso ha tenido un efecto muy lógico, las condiciones legales establecidas por la instancia original y mayor son en general copiadas por el resto de instancias, en especial la Política de Privacidad.

Por tanto, vamos a analizar los términos y condiciones de la mayor instancia de Mastodon, la creado por su fundador, ya que sus condiciones legales son copiadas por casi todas las otras instancias (siendo la mayor excepción el Código de Conducta, donde hay algo más de variedad según la instancia, aunque normalmente siempre se cita el original).

En todo caso, indicar que para todas las instancias hay algunas reglas comunes. El primero texto sería el breve Acuerdo sobre la creación de servidores, según el cual: a) cualquier servidor de Mastodon que se cree debe demostrar moderación activa, b) debe hacer copias diarias del contenido, c) dos o más personas pueden tener acceso al contenido en caso de emergencia d) y deben darse al menos 3 meses de preaviso si el servidor decide cerrar.

El otro texto sería la documentación técnica y las reglas relativas al uso de la API.

Dicho esto, los términos y condiciones de la principal instancia de Mastodon, y que cualquier otra instancia debe presentar, son: un Código de Conducta y una Política de Privacidad. En ese sentido, hay cierta falta de sistemática en cuanto a la denominación de las condiciones legales (en castellano) en el software disponible. Es decir, en todas las instancias al darse un usuario de alta se dice que deben aceptarse unas Reglas del Servidor y unos Términos del Servicio. Las Reglas del Servidor en realidad llevan a un Código de Conducta, mientras que los Términos del Servicio enlazan a la Política de Privacidad.

Además, todas las instancias enlazan en su footer a unas Condiciones de Servicio que en realidad llevan de nuevo a la Política de Privacidad.

Esos errores son propios del software actual que se distribuye para montar una instancia, no de las diferentes instancias. Por tanto, ahí ya tenemos un primer problema.

Por tanto, en realidad cada instancia tiene un Código de Conducta y una Política de Privacidad. Así que ahí van 13 detalles sobre los de la principal y por copia-pega los de la mayoría de instancias:

1.- El Código de Conducta se indica que no es un documento legal, aunque junto a la Política de Privacidad es el único documento que debe aceptarse para el alta en la instancia. Se dice que se eliminará del timeline público el contenido excesivamente publicitario, bots de noticias de terceros no curados, contenido violento, sexual, pornográfico o con desnudos que no esté etiquetado, aunque sea artístico.

2.- El contenido racista, sexista, pornográfico, discriminatorio (se incide en el que promueva las castas) o violento será eliminado del timeline público y puede ocasionar la revocación del acceso al servicio. También tendrá ese mismo efecto el contenido que incluya pornografía infantil, el prohibido en Francia y Alemania como la denegación del Holocausto o el relativo a la simbología nazi o el que promueva el nacional socialismo (no se dice nada sobre el contenido prohibido en otros países).

3.- Por tanto, de los anteriores puntos parece deducirse que si buena parte de ese contenido está etiquetado debidamente, sobre todo el contenido violento, sexualmente explícito, pornográfico o con desnudos, no se vulneraría el código de conducta. El racista, discriminatorio, pro-nazi o relativo a menores, se eliminaría haya o no etiqueta.

4.- En cualquier caso, la administración de la instancia (en este caso el dueño del sitio más otros tres usuarios citados como equipo de moderación), pueden en cualquier momento suspender el acceso de un usuario al servicio, con o sin motivo. Es decir, lo mismo que indican el 99% de las redes sociales en sus condiciones legales. Un problema de que se cite este Código de Conducta tal cual en otras instancias es que genera dudas sobre quién la modera y quién puede hacer qué.

5.- El cross-posting o copiar de forma automática posts de una plataforma a otra tiene ciertas limitaciones. Desde Mastodon a cualquier otra plataforma es posible hacerlo sin problemas. De otras plataformas a Mastodon ya es otra historia: a) el contenido no debe incluir referencias expresas de la otra plataforma (por ej. el texto de un tuit), b) el usuario no debe ignorar a los usuarios de Mastodon, c) y el titular de ambas cuentas debe ser la misma persona. Por otro lado, postear en Mastodon y otra plataforma a la vez, por ejemplo en Twitter, es posible y no hay problema.

6.- El domicilio social de la principal instancia de Mastodon está en Alemania y es en principio el de Eugen Rochko, el administrador y dueño de Mastodon. Nuevamente se demuestra que es un problema que otras instancias citen tal cual este Código de Conducta ya que genera dudas sobre quién responde en caso de problemas.

7.- La instancia principal está pensada para mayores de 16 años si el servidor está en la UE o el EEE, mientras que si el servidor está en EEUU basta tener 13 años. Se indica que esos requisitos pueden cambiar según la jurisdicción. La realidad es que la principal instancia no nos dice dónde se aloja, así que no sabemos muy bien qué edad tener en consideración.

8.- Se indica que no se vende ni comercia con los datos más allá de los proveedores necesarios para prestar el servicio o cuando lo exija la ley. El servicio usa cookies, pero a ello solo se le dedican cinco líneas y media (en todo caso, la web no parece usar más que una cookie de sesión).

9.- La información básica para darse de alta en cualquier instancia es: un nombre de usuario, correo electrónico y contraseña. Una vez creado el perfil, puede añadirse información como una biografía, nombre de perfil, foto o cabecera. En cualquier alta se recopila al menos la IP durante 12 meses y el navegador usado.

10.- Las personas seguidas y los seguidores también son datos públicos, al igual que los mensajes publicados, su fecha, la hora, la aplicación usada, la imagen o vídeo adjunto, los mensajes “retuiteados” o los favoritos. Los mensajes compartidos llegan a los seguidores, que como pueden estar en diferentes instancias/servidores, pueden almacenarse allí las copias y todo bajo potencialmente diferentes reglas. Aquí un nuevo problema de la descentralización desorganizada que en realidad copia en su mayoría lo que hace la instancia principal.

11.- Siguiendo con lo anterior, los mensajes directos enviados, dada la estructura de Mastodon, pueden ir a diferentes servidores/instancias en función de dónde estén los usuarios. Por ello, desde la instancia principal se recuerda que quien opera el servidor/instancia puede ver esos mensajes, además del receptor, y que mejor no enviar nada confidencial en Mastodon y antes de hacerlo revisar el servidor al que pertenece el seguidor. Sin duda parece que la descentralización conlleva un importante coste en inseguridad y descontrol sobre los datos.

12.- La información recopilada en la principal instancia se usa para proporcionar el servicio, interactuar con otros usuarios, ayudar en la moderación (por ejemplo comparando direcciones IP) o enviando mensajes al correo electrónico. Se protege mediante autenticación de dos factores y un “algoritmo unidireccional fuerte”. :p

13.- Los datos en la principal instancia (y en el resto, ya que la Política de Privacidad es copiada por sistema) se conservan durante 90 días si afectan a las peticiones del servidor y durante 12 meses en cuanto a las direcciones IP. Se puede solicitar y descargar un archivo con toda la información y borrar la cuenta en cualquier momento.

En resumen, el concepto de Mastodon y su red social descentralizada en la que aún así es posible la interacción con otras “islas”, es atractivo y sobre el papel presenta ventajas interesantes (independencia, robustez o no estar condicionado al futuro), pero a día de hoy hace aguas legalmente: a) cada instancia requiere sus términos y condiciones, pero no disponen de un modelo adecuado b) por tanto, la mayoría copia las de la instancia principal sin más, generando dudas sobre responsabilidad, uso, administración o edad c) los términos y condiciones de la principal instancia tampoco brillan, obviando muchas cuestiones básicas o presentando una Política de Privacidad ni tan siquiera adaptada al RGPD d) y aunque las instancias son en teoría independientes, los usuarios pueden intercambiar mensajes entre las mismas, generando serias dudas sobre la responsabilidad del tratamiento (una corresponsabilidad entre instancias podría ser lo lógico), el acceso a los datos, su conservación o el ejercicio de derechos en las diferentes instancias.

Y todo eso con más de 2 millones de usuarios ya registrados y creciendo.

En conclusión, el concepto y los ideales de Mastodon quizá sean los correctos, pero hoy por hoy a nivel legal deja mucho que desear. Por tanto, si se buscan alternativas a Twitter, quizá mejor buscar otros servicios con mayores garantías.

¡Hasta la próxima!

Foto de portada de James Hammond en Unsplash

La entrada Mastodon, 13 detalles sobre sus términos y condiciones se publicó primero en Términos y Condiciones.

Apple Pay y sus condiciones

El pasado 1 de diciembre llegó Apple Pay a España, el sistema de pago móvil y monedero digital de Apple.

Lo hizo tras algo más de dos años desde su lanzamiento, el 20 de octubre de 2014, convirtiéndose así España en el decimotercer país en acceder al mismo. De acuerdo a Apple por allá junio 2016, el sistema estaba ganando 1 millón de usuarios por semana (aunque no ha compartido la cifra total todavía).

El sistema permite hacer pagos a través de iPhone, iPad, Apple Watch y recientemente Mac, tanto en tiendas físicas como en sitios web y aplicaciones. En el caso de las tiendas físicas, usa los sistemas inalámbricos que otros sistemas de pago emplean.

El usuario simplemente debe añadir una tarjeta de crédito, débito, transporte, puntos o regalo (de una entidad participante) en su dispositivo, configurar algunos datos y a partir de ese momento Apple Pay almacena una “reproducción virtual”, como las llama Apple, de esa tarjeta. Desde ese momento puede usarse el dispositivo para realizar pagos offline u online en unos pocos pasos.

Aprovechando que la mayor época de compras del año está sobre nosotros y que Apple Pay ya ha llegado, ¿qué hay de sus términos y condiciones? Para empezar, Apple Pay se regula por la licencia de uso de iOS 10 (como versión más actual), así como por las condiciones complementarias de Apple Pay, la Política de Privacidad de Apple y las condiciones específicas de Apple Wallet (accesibles únicamente desde un dispositivo).

Veamos ahora algunos detalles del sistema.

13 detalles sobre Apple Pay y sus condiciones

1.- Para usar Apple Pay necesitas una tarjeta compatible, un dispositivo iOS compatible, una cuenta de iCloud y tener al menos 13 años (aunque por lógica será más en función de las condiciones del emisor de la tarjeta, pero a Apple con 13 años le vale).

2.- Apple Pay es para uso personal. ¿Puedo entonces añadir la tarjeta de la empresa a Apple Pay? Sí, pero Apple asume que tienes la autorización correspondiente para ello y que puedes vincular a la empresa respecto a los pagos hechos.

3.- En compras superiores a 20€ necesitarás introducir un PIN.

4.- Apple no procesa los pagos ni otras transacciones realizadas con tarjetas (las de puntos o de regalo). Por tanto, en caso de problemas es el emisor de la tarjeta y sus condiciones las que se aplican y responden.

Eso significa que Apple tampoco quiere saber nada sobre: la disponibilidad de la tarjeta, su contenido, la idoneidad para recibir crédito, la acumulación o canje de puntos ni la recarga de tarjetas prepago.

5.- Apple recopila determinada información para determinar tu idoneidad y permitirte el uso de Apple Pay. Por ejemplo: los datos de la tarjeta, los ajustes del dispositivo usado, el porcentaje de tiempo durante el cual el dispositivo está en movimiento o el número aproximado de llamadas por semana.

Con el mismo objetivo, determinar tu idoneidad, Apple puede enviar a la entidad emisora de la tarjeta, la red de pago u otro proveedor autorizado, datos como: el número de la tarjeta, el nombre y dirección de facturación asociada a la cuenta iTunes, tu historial de transacciones en iTunes, el número de teléfono, el nombre, modelo de dispositivo, y si tienes Apple Watch, el modelo usado. Finalmente, también obtiene Apple tu localización en el momento de añadir la tarjeta (si tienes activada la localización).

6.- Cuando pagas con Apple Pay se suministrará la información sobre el pago a la aplicación, web o comerciante con el que se realice la transacción. Ahora bien, Apple no proporcionará al comerciante el número de la tarjeta.

Por cierto, una web o app que use Apple Pay, puede comprobar si lo tienes activado en tu dispositivo. Si bien esa comprobación puede impedirse desde las opciones de Apple Pay.

7.- Al usar Apple Pay en una web o app, se facilita nuestro código postal u otra información equivalente a la app o web. La finalidad es que el comerciante pueda calcular los impuestos y gastos de envío aplicables. También se proporcionará la dirección de envío, con nuestro consentimiento, al finalizar el pago. Esa información se enviará encriptada a Apple, que brevemente la desencriptará para volverla a encriptar mediante una clave específica del comerciante. Para que así únicamente el comerciante pueda descifrar la información de pago.

8.- Si añades una tarjeta de transporte público a Apple Pay, esa información se asociará con tu cuenta de iCloud. Si añades más de una tarjeta de transporte público, tanto Apple como “sus socios” pueden relacionar información personal y de la cuenta con la tarjeta/s. Se pone el ejemplo de operadores móviles con los que se pueda compartir regularmente información no personal sobre cómo se configuran las tarjetas de transporte público y Apple Pay.

De hecho, al usar una tarjeta de transporte público en Apple Pay, el terminal accede a datos como: estaciones visitadas recientemente, historial de transacciones y billetes adicionales. Se indica que cualquier lector sin contacto cercano puede acceder a esa información si la tarjeta está configurada como tarjeta exprés para transporte público.

9.- Si por el contrario lo que añades es una tarjeta regalo o de bonificación, la información acerca de tu cuenta se guardará en el dispositivo y se sincronizará con iCloud. En todo caso, esto puede desactivarse en opciones. Por otro lado, si usas Apple Pay en tiendas, el terminal de pago puede solicitar el identificador de la tarjeta regalo o de bonificación que hayas asociado (se puede desactivar, también).

Se recuerda que puede que al hacer un pago recibas la notificación relativa a añadir tu tarjeta de bonificación a Apple Pay o registrarte en su programa. En ese caso, el comerciante puede obtener tu nombre, email, código postal y número de teléfono. Información que se gestionará según la política de privacidad del comerciante.

10.- Por otro lado, si tienes la localización activada al usar Apple Pay, Apple puede recibir, sin identificarte personalmente, la ubicación de tu dispositivo en el momento de realizar la compra. Esa información la usará Apple para mejorar los nombres de los comercios en el historial de transacciones y mejorar otros productos. La localización puede también desactivarse.

11.- Los datos de Apple Pay que se desasocien de tu cuenta, pueden conservarse por Apple durante un periodo limitado de tiempo (no se especifica más). La idea es usarlos para mejorar Apple Pay y otros productos.

12.- Las representaciones de tarjetas almacenadas en Apple Pay deben protegerse como las reales. Es decir, mediante un código en el dispositivo. Si el código se comparte con alguien o un tercero también puede usar su huella en el dispositivo, es problema del usuario garantizar la seguridad. Por tanto, si pierdes un dispositivo que permite usar Apple Pay, es responsabilidad tuya, dice Apple.

En todo caso, si se lleva la función “Buscar mi iPhone” activada, se podría intentar suspender la posibilidad de pago con las tarjetas almacenadas o borrar el dispositivo en remoto. Lo que no evita contactar con el emisor de la tarjeta.

13.- Sobre cómo implementar Apple Pay en una app y en una web, deberás tener en cuenta las particularidades para desarrolladores. En materia de condiciones, se aplican también la guía sobre iOS Human Interface y la sección de pagos de la guía sobre App Store Review. Sin olvidar las condiciones de Uso Aceptable.

En conclusión, donde más sorpresas presenta Apple Pay es en los apartados relativos a privacidad (aunque permitir a un menor de 13 años que pueda usar el servicio es llamativo también). Si bien no recoge casi información respecto a la transacción en sí, la cantidad de datos que puede llegar a recopilar entorno a la misma (si no se desconectan muchas funciones) es más que respetable. A su vez, también llaman la atención los parámetros que tiene en consideración para determinar que alguien pueda usarlo. Es decir, el número de llamadas por semana o el historial de transacciones en iTunes. Definitivamente cuestionable, incluso legalmente, que una serie de patrones de uso puedan determinar mi idoneidad para utilizar el servicio.

En cualquier caso, parece que el servicio ha llegado para quedarse. Por tanto, habrá que seguirlo de cerca.

¡Felices compras!

—–

Seguir a @jorge_morell

La entrada Apple Pay – 13 detalles sobre sus términos y condiciones se publicó primero en Términos y Condiciones.

Workplace, o la entrada de Facebook en el ámbito profesional

Tras más de 2 años de trabajo, Facebook lanzaba esta semana Workplace, su herramienta para que las empresas y sus empleados puedan gestionar el día a día de sus proyectos bajo el conocido entorno de Facebook. Es decir, su feed, sus eventos, grupos y perfiles, pero ahora enfocados al trabajo.

O lo que es lo mismo, una vez conquistado el espacio personal, recordemos que más de una séptima parte del planeta es ya usuaria de Facebook, llega el momento de conquistar el ámbito profesional. Sin embargo, Facebook no es el único interesado en ello. Es decir, Microsoft adquirió este año LinkedIn, Apple no deja de firmar acuerdos con grandes gigantes del mundo corporativo y Google recientemente relanzó su pack de herramientas profesionales.

Por tanto, la sensación es que las grandes multinacionales quieren ahora también jugar un papel activo e importante en el sector profesional. Facebook apuesta fuerte y lanza su propia intranet para empresas y organizaciones, grandes o pequeñas.

¿Cómo lo hace? Pues mediante Workplace, que permite a una empresa: asignar perfiles a sus trabajadores, que estos se organicen en grupos o multigrupos dentro de la misma, que se comparta información de todo tipo y color desde la empresa y entre los trabajadores, mensajería y videoconferencia en tiempo real, calendario, eventos y búsqueda a todos los niveles. Todo ello administrado por la empresa, con hasta 4 tipos de perfiles y bajo la forma más que conocida de Facebook.

Ahora bien, todo ello ocurre y se almacena en los servidores de Facebook. Y si bien se paga por el uso mensual del servicio, es gratuito para ONGs, colegios, universidades y demás entidades relacionadas (Save the Children y Oxfam ya lo usan, por ejemplo).

Por tanto, la apuesta parece seria y agresiva. Y lo dicho, toda la información compartida por empresa y/o trabajadores se aloja en los servidores de Facebook. Parece por tanto buena idea leerse la letra pequeña.

La cuestión sobre los términos y condiciones de Workplace es la siguiente: a través de la auditoría que Ernst & Young hizo del servicio a finales del año pasado, y que la propia Facebook comparte aquí, sabemos por su apartado External Communication que Workplace dispone de: unas Condiciones de Uso y una Política de Privacidad propias, además de la Política de Cookies general. Aunque algo escondidas, Facebook proporciona las Condiciones de Uso Aceptable, la Política de Privacidad y la Política de Cookies de Workplace.

En el texto de las condiciones menciona un Acuerdo Corporativo para Organizaciones que usen Workplace, pero no lo comparte (si alguien lo tiene, lo analizamos con gusto :D).

En ese sentido, su competencia más directa, Slack, lo hace mejor.

En todo caso, lo anterior y la información proporcionada por las múltiples secciones de la web de Workplace, permiten tener suficiente información para hacerse una buena idea de la privacidad del servicio.

13 detalles sobre la privacidad de Workplace

Antes de nada, unos detalles sobre las breves Condiciones de Uso Aceptable de Workplace: a) Workplace es para organizaciones, no para uso personal; b) si lo usas en el entorno de trabajo, su uso puede estar sujeto también a la reglas internas de la empresa en cuanto a utilización de los medios informáticos y; c) Facebook puede limitar o impedir acceso al contenido que alojaste en Workplace por incumplimiento de las condiciones, de su Acuerdo Corporativo o de la ley (aunque procurará avisar con tiempo de ello). :p

Veamos ahora con las cuestiones sobre su privacidad:

1.- Primero de todo, indicar que la Política de Privacidad de Workplace está en castellano pero es de agosto del 2015. Por tanto, cuando todavía el servicio estaba en fase beta. De modo que quizá haya actualizaciones en camino más pronto que tarde.

2.- Para usar Workplace no hace falta tener Facebook. De hecho, son servicios distintos y tu cuenta personal (si la tienes) no se mezclará con la profesional. Por tanto, lo publicado en tu perfil personal no saldrá en el profesional y viceversa. Ahora bien, desde un mismo menú podrás saltar entre un perfil y otro (si tienes los dos). Por tanto, y aunque Facebook dice que los servicios son lo suficientemente distintos desde un punto de vista visual, es cuestión de tiempo que alguien se equivoque y comparta temas personales en la red de trabajo y al revés.

3.- El servicio no incluye publicidad, ni cuando se usa gratuitamente. De hecho, la información recopilada no se utiliza para mostrar anuncios en el perfil de Facebook personal (si el usuario lo tiene). Pero no demos saltos de alegría todavía.

4.- Pueden existir dos tipos de redes: 1) cuando quien te proporciona Workplace es tu empresa, ahí Facebook opera y funciona en nombre de la organización (que es la que controla todo); 2) cuando es Facebook quien directamente te proporciona Workplace (ahí lo llaman autoservicio y en ese caso el control de tu cuenta y datos te pertenece).

Lo más habitual será que el trabajador no tenga control sobre la cuenta y sus datos más allá de lo básico, sino que sea la organización la que haga y deshaga.

5.- En relación a lo anterior, si accedes a Workplace ya que te lo proporciona tu empresa, aceptas que es ella quien controla y ve toda la información que allí compartes.

En ese sentido, la empresa debe establecer las reglas internas propias sobre el uso de medios informáticos de la organización y obtener el consentimiento para procesar los datos en Facebook (que será el encargado del tratamiento).

6.- Al usar Workplace, Facebook recopila tres grandes bloques de información: a) la proporcionada por ti, el resto de trabajadores y/o la organización; b) la recopilada automáticamente y; c) la recibida del grupo de empresas de Facebook.

En cuanto al primer grupo, la información consiste en: datos de contacto, nombre completo, email, género, usuario y contraseña, cargo, departamento, cualquier contenido creado y/o compartido por ti, cualquier mensaje, conversación o dato enviado por compañeros de trabajo y sugerencias que puedan enviarse al servicio.

Respecto al segundo grupo, se trata de datos como: IP, navegador, sistema operativo, datos sobre bloqueos, proveedor de internet, páginas vistas antes y después de usar el servicio, fecha y hora sobre usos o clicks hechos, entre otros datos.

Sobre el tercer grupo, cabe la posibilidad que datos que una empresa de la familia de Facebook tenga sobre mí (WhatsApp o Instagram por ejemplo), se proporcionen a Workplace. Ya apareció la famosa familia.

7.- Toda la información recopilada puede usarse para: mejorar el servicio, comunicar mejoras y feedback a los usuarios, seguridad, personalizar el servicio, relacionar la actividad registrada por una misma persona en dos o más dispositivos, hacer análisis de los datos, mejorar los otros servicios de Facebook (no Workplace en este caso).

8.- ¿En qué casos puede compartir Workplace la información recopilada? Varias situaciones: 1) con la propia empresa para gestión de trabajadores; 2) con los administradores y otros usuarios autorizados para gestionar la red; 3) con proveedores de servicios externos (incluso de EEUU) para ayudar a prestar el servicio; 4) con las empresas de Facebook; 5) con webs, apps o sitios de terceros a los que te conectes vía los servicios de Workplace; 6) en caso de fusión, venta u otros similares; 7) para evitar fraude, cuestiones técnicas o proteger los derechos de Workplace; 8) para lo que requiera la empresa y; 9) sin identificar personalmente a nadie, para detectar tendencias.

9.- Cuando haya un requerimiento legal relacionado con datos almacenados en Workplace (recordamos que esa información está en los servidores de Facebook), siempre se intentará dirigir al solicitante a la empresa. Si la ley no lo impide. En el peor de los casos, Facebook notificaría a la empresa de tal solicitud. Además, las solicitudes de información en materia de protección de datos, siempre se dirigirán a la empresa, a menos que la ley lo impida.

10.- Cuando se utilice Workplace en su modalidad de autoservicio, no habrá notificación ni redirección de ningún tipo. De modo que en caso de requerimiento legal, si Facebook cree que de buena fe la ley se lo permite, responderá directamente.

11.- Los datos compartidos por la empresa y sus trabajadores se alojan en los servidores de Facebook (ver apartado “Data Management” aquí). Los datos siguen siendo de la empresa (faltaría) pero se moverán entre data centers de EE.UU. y otros países. Incluso si son datos del Espacio Económico Europeo ¿Qué ocurre pues con las transferencias internacionales de datos? Bueno, Facebook recuerda que muy recientemente se adhirió a Privacy Shield. Menos da una piedra, supongo.

12.- Workplace implementa sistemas para detectar comportamientos o contenido ofensivo en los datos compartidos, destacándose la pornografía infantil.

13.- Lógicamente, puede cerrarse la cuenta de Workplace si uno emplea la herramienta como autoservicio. Si la usa vía su empresa, ya no depende del usuario sino de la compañía. Además, la empresa puede desactivar o eliminar una cuenta del trabajador, siendo lo más normal desactivar (lo que permite impedir el acceso del trabajador a su perfil pero manteniendo sus datos y contenido). Ahora bien, nada se dice sobre exportar datos cuando una empresa decide marchar (más allá de los eventos a otros calendarios)

En conclusión, Facebook llega al mercado laboral con una oferta muy seria en Workplace. Una ventaja obvia es que todo el mundo conoce Facebook. Por tanto, apostar por algo así pero para el entorno profesional supone poder empezar a usarlo muy rápidamente. Ahora bien, el proyecto me da la sensación que implica meterse en la boca del lobo en materia de privacidad e incluso información confidencial. Quizá no en el corto-medio plazo, pero si funciona, en el largo plazo podemos encontrarnos con montones de empresas alojando los datos de sus empleados, los proyectos que realizan, las conversaciones que tienen y todo lo que gira alrededor de una compañía, en Facebook. Es decir, la mayor base de datos personales de la historia de la humanidad. Ahora todavía más grande… Es demasiado en manos del mismo.

Personalmente no lo haría.

¡Feliz lugar de trabajo!

—–

Seguir a @jorge_morell

La entrada 13 detalles sobre la privacidad de Workplace | Facebook llega al trabajo se publicó primero en Términos y Condiciones.

Hazte con todos tus derechos y obligaciones

Pokémon GO lleva poco más de una semana entre nosotros, y únicamente en unos pocos países, pero ya se ha convertido sin duda en uno de los fenómenos del año. De hecho, es ya el mayor juego móvil en la historia de EE.UU. y se acerca rápidamente al nivel de uso de Google Maps y Snapchat. En menos de dos semanas.

El ya clásico concepto de Pokémon consistente en hacerse con los mejores Pokémon en el correspondiente mundo virtual, para luego entrenarlos y competir contra otros entrenadores y en los respectivos torneos, ahora da el salto al mundo real.

Es decir, gracias a la realidad aumentada, los Pokémon ya no viven en un mundo virtual de fantasía, sino que viven y se pasean en el mundo real. Por ejemplo, el jardín del vecino. Gracias a los dispositivos móviles podemos localizarlos (cámara + geolocalización), capturarlos, entrenarlos y competir con el resto del planeta.

De modo que el grado de inmersión e interacción se dispara por las nubes, ya que para hacerse con los Pokémon hay que  físicamente desplazarse hasta los lugares en los que se indica que habitan. Lo que ha generado no pocas críticas por parte de jugadores con discapacidades, que ven muy limitadas sus posibilidades de participación.

Que todo el planeta sea el tablero de juego y uno deba necesariamente desplazarse por él para jugar, ha generado todo tipo de locas historias en estos pocos días que lleva en marcha Pokémon GO:

• Lugares que ya están prohibiendo que la gente vaya a cazar Pokémons
• Parejas infieles delatadas por Pokémon GO
• El alcalde de Río pidiendo que pueda usarse durante los Juegos Olímpicos
• O ladrones y policías beneficiándose a partes iguales de las incursiones de los jugadores

Y esto no ha hecho más que comenzar…

Pero vamos a nuestro tema, ¿qué dicen los términos y condiciones de Pokémon GO? Pues sus Condiciones del Servicio, Política de Privacidad, Política de Copyright y Trainer Guidelines tienen varios puntos llamativos.

¡Vamos a ello!

13 detalles sobre sus términos y condiciones

1.- El acuerdo se firma con Niantic Labs, compañía nacida inicialmente en el seno de Google, que luego se independizaría por allá 2015. En ese momento, y anunciado el desarrollo de Pokémon GO, tanto Google como Nintendo y The Pokémon Company invirtieron económicamente en el crecimiento de la compañía. De modo que ahora las tres participan.

2.- El uso de Pokémon GO es personal y no comercial. Por tanto, ojo esos negocios que lo quieran usar para atraer a clientes, ya que estarían infringiendo las condiciones. Aunque las ubicaciones patrocinadas están en camino.

3.- Al menos hay que tener 13 años para usarlo. Ahora bien, los menores de 13 años necesitan que sus padres se den de alta en The Pokémon Company International vía el Club de Entrenadores Pokémon, indicando nombre del usuario, correo electrónico y fecha de nacimiento. Eso implicaría el consentimiento paterno. Además, los residentes en EEUU deben verificar que son los padres del niño mediante un proceso específico. Desde aquí puede retirarse el consentimiento cuando un padre desee cerrar la cuenta de un menor de 13 años.

4.- Para acceder al servicio se requiere cuenta con Google, con Facebook o con el Club de Entrenadores Pokémon. De esas cuentas se recoge la información personal necesaria (por ej. el email) para generar la cuenta. En el caso del Club, también se necesitará la fecha de nacimiento, el nombre y apellidos. El acceso al servicio por cuentas de terceros, como la de Google, generó polémica en cuanto a la privacidad de Pokémon GO, ya que usar la cuenta de Google implicaba ceder acceso completo al perfil (muchísimo más que el simple email). Algo que en todo caso se arregló a los pocos días.

5.- Los datos recopilados por el juego, en las distintas fases, son: el nombre de usuario o nombre real (en función de lo elegido), los mensajes enviados a otros usuarios, país, idioma, los datos obtenidos vía cookies y balizas (por ej. el tráfico web y uso agregado), la IP, el agente de usuario, el navegador usado, sistema operativo, web de origen, términos de búsqueda, tiempo dedicado, enlaces clicados y muy importante en materia de privacidad, la ubicación (vía GPS, triangulación Wifi o torres de telefonía).

6.- ¿Con quién y cómo se comparte la información recopilada? Veamos un punto básico de su privacidad:

a) Con The Pokémon Company (también la International) se comparten datos personales (de menores de 13 años y adultos) para poder resolver cualquier problema surgido durante el registro. The Pokémon Company International también recopila los datos sobre el consentimiento de los padres respecto a menores de 13 años registrados.

b) Con proveedores de servicios que permiten prestarlo (por ej. el alojamiento web) se comparten datos personales (de menores de 13 años y adultos) para dar el servicio, nada más;

c) Los datos no personales de adultos (quedan excluidos los de menores de 13 años), se comparten para investigación, análisis, creación de perfiles demográficos y otros fines similares;

d) Con un tercero que pueda adquirir la empresa, se comparten los datos personales de adultos y menores de 13 años (en cuyo se avisaría con 30 días de antelación y se daría la oportunidad de oponerse);

e) Con gobiernos, organismos de enjuiciamiento civil (!) o entidades privadas para hacer cumplir la ley, por ej. un proceso legal.

f) En cualquier caso, cabe negarse a la recopilación, uso y divulgación de la información personal (de los menores de 13 años también). Por ej. impidiendo que la información personal de un menor (o adulto) acabe en EE.UU (que es donde se trata y procesa la información personal). Ello debe indicarse en esta dirección: pokemongo-privacy@nianticlabs.com Sin embargo, es muy probable que eso limite casi por completo el acceso y uso de Pokémon GO. Por tanto, es una concesión un poco cara a la galería…

7.- El contenido compartido por el usuario mediante la app se licencia a Niantic Labs de forma indefinida, no-exclusiva, irrevocable, transferible, sublicenciable, mundial y gratuita para hacer y deshacer en casi cualquier modo. Es decir, muuuuuy generosamente.

8.- Los Pokémon obtenidos puede intercambiarse por otros pero dentro del servicio, no a cambio de dinero virtual o real, ni bienes o servicios reales. En cualquier caso, ya hay usuarios online que están montando negocio alrededor de ello (por ej. servicios de “taxi” para llevar a alguien hasta la localización de un Pokémon).

9.- Los micropagos que se hagan dentro del propio juego, que existen, deben ser realizados por usuarios mayores de 18 años o menores de esa edad pero con consentimiento paterno para realizar la compra. Micropagos en los que cabe derecho de desistimiento, pero únicamente hasta que se completa la compra.

10.- Si Pokémon GO no se usa durante 1 año, se cierra la cuenta y se pierde con ello todo contenido relacionado. En todo caso, una cuenta cerrada se conservará por “un tiempo razonable a nivel comercial”. La posible interrupción en el uso del dinero virtual o contenido in-game, se comunicará con 60 días de antelación.

11.- Entre las muchas conductas prohibidas, una importante a tener en cuenta considerando el tipo de juego, es la de intentar acceder un lugar o ubicación en la que no se tiene derecho de acceso. Significativo recordarlo teniendo en cuenta los lugares que ya están prohibiendo el acceso a jugadores de Pokémon GO. De hecho, si alguien quiere que su casa o comercio desaparezca del mapa de Pokémon GO com gym, Pokéstop o quiere denunciar un sitio o lugar que no debería mostrarse en el mapa, Niantic ha puesto a disposición de los usuarios un formulario para ello.

12.- Son responsabilidad exclusiva del usuario las comunicaciones online y offline que tenga con otros usuarios del servicio. De hecho, se dice expresamente que Niantic Labs no investiga ni pregunta sobre los antecedentes de los usuarios.

13.- En caso de conflicto, se aplican las leyes de California y se somete al usuario a arbitraje individual (sin posibilidad de acceder a tribunales a menos que se haya negado el sometimiento al arbitraje). Algo nulo para los usuarios europeos, pero que sí afecta a los norteamericanos, por ejemplo.

En conclusión, Pokémon GO es bastante razonable en materia de términos y condiciones. Presenta dos detalles dignos de mención: a) la preocupación por el consentimiento de los padres en usuarios menores de 13 años y b) la posibilidad de negarse a la recopilación y uso de los datos personales recopilados (aunque en la práctica eso casi inutilice el juego). También se nota interés en regular detalladamente los micropagos y el (no) comercio de ítems virtuales por bienes y servicios reales (que en todo caso ya está ocurriendo). La participación de Google, aunque sea menor, quizá pueda “inquietar” algo en cuanto a la explotación de los datos personales y la privacidad del servicio. Sin embargo, a día de hoy no hay ninguna gran alarma en ese sentido. Y el uso no comercial del servicio va a dar más de un dolor de cabeza, teniendo en cuenta el potencial del servicio para el pequeño comercio.

En resumen, tenemos fenómeno del año entre manos. Disfruten y háganse con todos.

¡Feliz poke-excursión!
—–

Seguir a @jorge_morell

La entrada Pokémon GO – 13 detalles sobre sus términos y condiciones se publicó primero en Términos y Condiciones.

Nintendo hizo historia ayer estrenando el que es su primer juego para dispositivo móvil, Miitomo.

Una nueva andadura para el gigante japonés de los videojuegos en una categoría que casi inventaron, los videojuegos portátiles, pero que debido a los smartphones había comenzado a convertirse en su mayor amenaza.

Miitomo es un juego/app gratuito, aunque con micropagos, que permite crear un avatar (un Mii) con el que se puede jugar, cambiar de ropa o hacer fotos, a la vez que permite comunicarse con los Miis de nuestros amigos. La particularidad es que el Mii pregunta al usuario algo, éste le responde y el Mii comparte esa respuesta con los Miis de sus amigos. Por tanto la app es un poco videojuego, red social y sistema de mensajería.

Como se ha comentado, si bien la app es gratuita, pueden comprarse objetos como nueva ropa, que se pagan con las monedas virtuales del propio juego. Y éstas pueden obtenerse desde el juego a cambio de información (responder preguntas de los Mii o comentando las respuestas de los amigos), jugando a minijuegos o adquiriéndolas con dinero real.

Además, siendo Nintendo una marca muy asociada a los niños, es interesante indicar que Miitomo no está recomendada para menores de 13 años.

Por tanto, siendo el primer juego de Nintendo para smartphones y además, con micropagos, parece buena idea echarle un vistazo a su privacidad.

La Política de Privacidad de Miitomo en español y para europeos, puede encontrarse aquí. La versión en inglés para EE.UU., puede encontrarse aquí (es bastante similar).

También es muy interesante la larguísima página de Preguntas Frecuentes sobre Miitomo (enlazada en español).

¡Vamos allá con los 13 detalles!

La privacidad de Miitomo

1.- Se recopilan datos como: el país de residencia, el sexo, la fecha de nacimiento, la dirección IP y MAC, el número de serie, el número de teléfono, la configuración de la conexión a Internet, ajustes del dispositivo como el idioma o la resolución de pantalla.

2.- Nintendo también podrá acceder a información que contiene el dispositivo, como la agenda de contactos o la ubicación. Pero se informaría sobre ello.

3.- Si se hacen compras, Miitomo permite micropagos, se recopilan datos como el historial de compras, uso de los artículos adquiridos o el registro de licencias.

4.- Durante el uso del juego, se recopilan datos como: el apodo, perfil y apariencia del Mii creado, los códigos alfanuméricos que identifican al personaje y los personajes de personas con las que haya interactuado, el contenido creado y cuándo se estaba o no online.

5.- Nintendo también recopila datos como las actividades realizadas en el juego, las funciones usadas, la hora a la que se juega, así como el nivel y puntuación obtenidos.

6.- Es posible vincular la cuenta creada en Miitomo con Facebook o Twitter, para así encontrar más amigos. En ese caso, Nintendo recopila y fusiona los datos de un lado y otro.

7.- Como se ha dicho antes, no se recomienda el uso de Miitomo en menores de 13 años. Es decir es una app para adolescentes (por si hay dudas, basta ver el primer anuncio hecho para EEUU).

8.- La múltiple información recopilada podrá usarse para evitar actividades potencialmente ilegales, cumplir Nintendo con sus obligaciones legales o ejercer los derechos que le correspondan.

9.- Las respuestas compartidas con los Miis de nuestros amigos, únicamente pueden ser vistas por nuestros amigos. Los comentarios que se hagan de esas respuestas podrán verlos: quien hizo el comentario, quién lo recibió y los amigos de quien lo recibió.

10.- Puedes borrar tu cuenta en Miitomo, lo que implicará la desaparición de tus datos de usuario, tus respuestas, comentarios e incluso monedas obtenidas (a no ser que hubieras vinculado Miitomo a una cuenta Nintendo).

11.-Si te haces una Miifoto, aunque tengas vinculado tu Facebook y Twitter a Miitomo, no se publicarán automáticamente en esas redes sociales. Ahora bien, si tú decides publicarla y luego eliminarla, únicamente se quitaré de Miitomo. Si la quieres eliminar de las redes sociales en las que la compartiste, deberás ir una por una.

12.- La información recopilada se podrá usar de forma agregada para realizar análisis demográficos y estadísticos. También podrá Nintendo usar esos datos para estudios de mercado y marketing, aunque en cualquier momento podremos impedir ese uso.

13.- Los datos recopilados se podrán compartir con Nintendo of Europe y todas sus sucursales, así como Nintendo of America.

En conclusión, la primera app de Nintendo para móvil es una mezcla entre videojuego y red social basada en sus famosos Mii, enfocada al público adolescente, con micropagos y un concepto de la privacidad bastante razonable y lógico. Ahora bien, no deja de ser curioso que se ganen monedas para micropagos mientras más información demos a nuestro Mii…

¡Feliz Miiquedada!

—–

Seguir a @jorge_morell

La entrada 13 detalles sobre la privacidad de Miitomo se publicó primero en Términos y Condiciones.

Hoy 15 de marzo se celebra el Día Mundial de los Derechos del Consumidor. Y justo hoy hace un mes que la plataforma europea para la resolución de litigios online se pusiera en marcha.

¿Pero en qué consiste esta plataforma de la Comisión Europea para la resolución de litigios en línea?

En una ventanilla única europea para aquellos casos en los que un usuario de la Unión Europea (UE) haya hecho una compra online en un servicio con establecimiento en la UE, y haya surgido un problema. Si el usuario decide reclamar frente al servicio (también puede ocurrir al revés en algunos países) y en lugar de acudir a tribunales quiere usar un sistema extrajudicial para resolver esa reclamación, esta plataforma europea es el punto de encuentro entre las partes implicadas: el que reclama, el reclamado y el tercero que resolvería la disputa entre los dos.

De esta forma, el consumidor o empresario que resida o esté establecido en la UE, que haya realizado una compraventa online y quiera reclamar por un problema en esa transacción sin tener que ir a tribunales, puede recurrir a esta plataforma europea para la resolución de litigios en línea y:

• Presentar la reclamación
• Elegir un organismo de resolución de litigios (de acuerdo con la otra parte y según el país de residencia del consumidor)
• El organismo de resolución de litigios seleccionado puede tramitar la reclamación
• La reclamación puede ser resulta.

Todo ello sin salir de la plataforma ni de su web, en los 23 idiomas de la UE y con un sistema de usuario que permite hacer el seguimiento de esa y otras reclamaciones.

Aquí los detalles del proceso.

¿Tiene el sistema pegas? Mayormente que es voluntario. Es decir, el servicio contra el que se presenta la reclamación no tiene obligación de aceptar este sistema de resolución de conflictos. Por tanto, si pasados 10 días desde la presentación de la reclamación no ha habido respuesta, debe acudirse a otra opción (asociaciones de consumidores, procedimientos judiciales u otros).

En el caso particular de España (y otros países como Alemania, Croacia o Polonia), otra muy importante pega es que hoy por hoy no se han indicado cuáles son los organismos de resolución de litigios que cumplen los requisitos de la Comisión Europea. Por tanto, la plataforma no ofrece ninguno. De modo que los consumidores españoles y de esos otros países no pueden usar la plataforma europea para la resolución de litigios en línea hasta que eso no se resuelva.

Y no será que no ha habido tiempo para hacer esa selección, casi 3 años…

En cualquier caso, la iniciativa es buena y definitivamente puede resultar útil. Para obtener más información sobre el sistema y plataforma, su sección de Preguntas Frecuentes merece la pena.

Dicho esto, señala el reglamento que regula la plataforma, en su artículo 14, que los comerciantes establecidos en la UE que celebren contratos de compraventa online deben:

1. Informar de la existencia de la plataforma (por ejemplo desde el propio mail si se realizara por correo electrónico la oferta).
2. Enlazar a la misma.
3. Proporcionar su mail de contacto (el del comercio, para posibles reclamaciones).
4. Incluir todo eso en sus términos y condiciones generales aplicables.

Pues aprovechando que el Boletín de Términos y Condiciones nos dice cómo y cuando cambian los servicios sus términos y condiciones, ahí van 13 servicios (con algunas muestras) que desde el estreno de la plataforma ya cumplen con ese deber de información:

• Amazon
• Air Europa
• Badoo
• Fnac
• Expedia
• HomeAway
• PC Componentes
• Pixmania
• Redcoon
• Seedrs
• Top Rural
• Tous
• William Hill

Todos informan (con más o menos detalle), algunos ya se comprometen a atender la reclamación a través de esa vía y otros directamente rechazan la opción (sería el caso de 1&1 o Jimdo). Lo que decíamos, el sistema es voluntario.

En cualquier caso, el deber de información sí existe. Y aunque esos 13 servicios no son los únicos que lo incluyen, tampoco por ahora abundan los que ya informan de la plataforma europea para la resolución de litigios en línea en sus términos y condiciones.

Pero también es verdad que todavía es pronto. Tiempo al tiempo, pues.

¡Feliz día del consumidor!

La entrada 13 servicios que ya mencionan la plataforma europea para la resolución de litigios en línea se publicó primero en Términos y Condiciones.

Twyp, la app de la entidad financiera ING para realizar pequeños pagos rápidos y fáciles desde el dispositivo móvil enviando simplemente un mensaje, ha tenido un nivel de visibilidad muy respetable durante su lanzamiento.

Principalmente gracias a la campaña de publicidad que la ha acompañado. Esa campaña muestra las bondades de la aplicación: su gratuidad, que no está vinculada a una entidad financiera en concreto o su forma de uso rápida y fácil.

Lo que no cuentan los anuncios son algunas de las particularidades de la letra pequeña que acompañan a la app. Y algunas son muy interesantes a efectos de su uso diario y especialmente en el largo plazo.

No olvidemos que estamos ante un servicio de pago P2P en el que lo que se transfiere es dinero electrónico entre dos usuarios. Siendo cualquiera de los dos capaz de iniciar la transferencia.

Brevemente, vamos a ver pues 13 detalles de esos términos y condiciones de Twyp, consistentes en: una Política de Cookies, un Aviso Legal y unos Términos y Condiciones.

Let’s go!

• El sistema funciona mediante el intercambio de dinero electrónico y la funcionalidad de chat que permite enviar y recibir mensajes con la cantidad a pagar.

• Sólo puedes tener 1 cuenta, asociada a un número de teléfono activo que no puedes cambiar y si eres mayor de 18 años.

• Únicamente puedes (re)cargar tu cuenta con una tarjeta de crédito o débito de la que seas titular (española si se usa la app desde España) y usando euros. Una vez que haces eso, Twyp te proporciona la misma cantidad ingresada en euros, en su equivalente electrónico.

• No puedes tener tu cuenta de Twyp con el saldo en negativo. De hecho, puedes tener como mucho 1.000 euros. Esa misma cantidad es lo máximo que puedes retirar, enviar y recibir durante un año natural.

• No puedes usar Twyp con una finalidad comercial, empresarial o para un tema de trabajo. Es exclusivamente personal, entre consumidores. Y no se aplican comisiones.

• Twyp no funciona si no permites al servicio que acceda a tu agenda de contactos, ya que el chateo con ellos es necesario para realizar los pagos. También se solicitan como datos personales: tu nombre y apellidos, una foto de perfil (opcional), el historial de pagos, el número de teléfono y un correo electrónico.

• Si cambias de número de teléfono, debes retirar tu saldo, cancelar tu cuenta actual en el servicio y crear una nueva. Por otro lado, si te pasas año y medio sin usar el servicio, te cerrarán la cuenta.

• Com buen consumidor que debe ser un usuario de Twyp, tienes derecho a desistir en los 14 días naturales siguientes a la aceptación del contrato. Relacionado, si el servicio quiere cancelar tu cuenta, debe avisarte con dos meses de antelación (a no ser que hayas incumplido los términos y condiciones, entonces ese plazo no se aplica).

• Para hacer una transferencia, desde el chat, debes enviar un mensaje a la persona a la que quieres realizar el pago con el importe exacto y teclear tu clave secreta de Twyp. Hecho el pago, no puedes retirarlo (en condiciones normales).

• La única forma de recuperar un pago es: a) si se hizo incorrectamente por culpa de Twyp; b) cuando no lo hayas autorizado tú (lo hace tu amigo bromista, por ej.). Ahora bien, entonces debes comunicarlo al servicio más pronto que tarde, y en el plazo máximo de 13 meses desde el cargo.

• Si por ejemplo pierdes o te roban el móvil y usas Twyp, debes avisar al servicio tan rápido como si hubieras perdido la cartera, para que bloqueen tu cuenta. No hacerlo puede suponer que cometas una negligencia grave.

• Cancelar tu cuenta, que puede hacerse cuando quieras, no significa que se elimine toda la información asociada a la misma. Twyp se queda hasta un máximo de 10 años tu histórico de pagos. Aunque sin la información personal asociada, por ejemplo los mensajes enviados.

• Si se produce un pago no autorizado, el usuario por defecto lo asume. A no ser que haya habido un fallo técnico relevante. En todo caso, el titular de la cuenta de Twyp sólo soportará las pérdidas derivadas de ese pago no autorizado hasta un máximo de 150 euros. Ahora bien, siempre y cuando haya comunicado al instante tal hecho al servicio.

Hasta aquí el breve resumen de los términos y condiciones de Twyp. Sin duda, la primera app de muchas similares que están por llegar (véase Yaap).

¡Feliz micro pago!

La entrada 13 cosas que los anuncios de Twyp no te cuentan se publicó primero en Términos y Condiciones.

ACTUALIZADO el 04/10/2016, de acuerdo a los cambios de finales de septiembre 2016 | Novedades en verde.

Los mensajes de Snapchat son efímeros, ¿pero y tu privacidad?

Snapchat, el servicio de mensajería efímera para fotos nacido por allá septiembre de 2011, ya no es obviamente flor de un día. De hecho, ahora la empresa con la que se contrata se llama Snap (la app mantiene el nombre).

Con más de 700 millones de fotos enviadas por día y una valoración superior a los 4 billones de dólares, parece claro que es y será un jugador de peso en el lucrativo mercado de la mensajería en los próximos años.

En todo caso, ha tenido en los últimos tiempos algunas polémicas sobre su privacidad bastante destacadas: un importante crackeo a finales de 2013, las más de 100.000 imágenes supuestamente eliminadas reaparecidas o sus mejorables previsiones legales justo en materia de privacidad.

Vamos allá pues, primero con 3 novedades en sus Condiciones de Uso:

1.- La licencia que damos sobre nuestro contenido a Snapchat les permite ahora alojar y almacenar ese contenido (en las mismas condiciones que antes, eso no ha cambiado). De forma que contenido que en teoría has eliminado, podría tenerlo en sus servidores. Sin embargo, en ningún momento se indica que eso afecte a las conversaciones privadas, sino al contenido compartido en sus canales públicos, como la opción Live Story.

2.- Relacionado con el anterior, ahora hay una nueva licencia en favor de Snapchat y sus socios comerciales (no citados), de forma que puedan usar tu nombre, aspecto y voz en cualquier contenido compartido en sus canales públicos, presentes o futuros. Además, de forma indefinida y gratuita. Vamos, que no te pagarán por eso que compartiste en una de sus Live Stories si al final acaba en un anuncio del socio comercial.

3.- Para los usuarios de EE.UU., se incluye ahora una cláusula de sometimiento a arbitraje (es decir, si hay problemas nada de ir a tribunales menos en casos muy concretos) y una renuncia por parte del usuario a presentar demandas colectivas.

Sobre la Política de Privacidad ahora (destacando las novedades en verde):

• Los términos y condiciones pueden cambiar, pero avisarán siempre. A veces cambiando la fecha de “Última actualización” y otras con un aviso en la web o una notificación. 

• Para usar el servicio debes tener al menos 13 años. Antes en el caso del servicio Snapcash debías tener 18 años, pero esa referencia desapareció. También desapareció la referencia Snapkidz, que permitía usar el servicio a menores de 13 años.

• Para crear una cuenta en Snapchat, mínimo debes dar: un nombre de usuario, tu número de teléfono, una contraseña, un correo electrónico y tu fecha de nacimiento. 

• La información que automáticamente das al servicio es considerable: navegador web, idioma, IP, páginas vistas, mensajes enviados, a quién, hora y fecha, con quién intercambias más mensajes, dispositivo usado, su sistema operativo, su MAC e IMEI o información de diagnóstico en caso de error. También los anuncios vistos, las Live Stories consultadas, tu localización en función del giroscopio, acelerómetro y otros sensores de tu dispositivo, los filtros vistos, las búsquedas realizadas o los identificadores únicos de apps. 

• Snapchat recogía antes de forma automática las apps instaladas en tu móvil cuando se daba un error al usar el servicio. Esa frase desapareció, pero se sigue recogiendo información cuando eso ocurre. Simplemente no indica ningún ejemplo de información. 

• También acceden automáticamente, aunque si lo hemos consentido expresamente, a la agenda de contactos, nuestras fotos y sus datos, así como nuestra ubicación si activamos la geolocalización.

• Snapchat usa los datos recogidos para: dar el servicio; contactar contigo y enviarte publicidad, analizar el uso de la app, mejorar el servicio, personalizar el servicio y sus anuncios, prevenir fraudes y otros fines para los que la información haya sido recogida. Además, alguna información puede quedar almacenada en tu dispositivo a efectos de caché y hacer que la app y el contenido funcionen más rápido. Recordar que el  snapcode y la foto de perfil pueden ser compartidas de forma pública. Dos nuevos usos: 1) contextualizar la experiencia por ej. etiquetando “Recuerdos” con localización precisa; 2) teledirigir y medir mejor los anuncios si tienes localización precisa activada. El tema de la localización precisa se debe haber consentido.

• En cuanto a los anuncios, una novedad, se establece un sistema similar al de Facebook para mostrarlos según intereses. Algo que puede gestionarse desde preferencias de la cuenta. Por cierto, ha desaparecido la referencia a Do not Track.

• Vivas donde vivas, consientes que los datos recogidos por Snapchat se almacenan y tratan en Estados Unidos y “otros países”. La novedad ahora es que puede almacenarse en otros países y que Snap también se ha adherido al nuevo sistema para intercambiar datos entre Europa y EE.UU. llamado “Privacy Shield”.

• Cómo comparte los datos Snapchat: para el envío y recepción de mensajes, para prestar determinadas funciones (vídeo o detección de capturas de pantalla), en historias públicas, para encontrar amigos en el servicio, para que vean tu perfil, con terceros necesarios para prestar el servicio (por ej. alojamiento), con socios comerciales, por un proceso legal, el gobierno, una venta u otro que consientas. Snap también habla ahora de su familia de empresas y que puede compartir con ellas nuestros datos.

• También se comparte información de forma anónima para determinados usos del servicio (por ej. darte pistas sobre si una petición de amistad es o no de fiar) y campañas publicitarias propias o con terceros que lleven a otros servicios.

• Los mensajes se eliminan por defecto, pero hay varias excepciones: si alguien hace una captura, si se usa la opción “Replay, Live Story”, si lo publica en una historia privada (dura entonces 24 horas), si se comparte en una historia pública y si un chat es guardado o fotografiado. En todo caso, un mensaje eliminado puede todavía perdurar durante un tiempo breve o incluso ser recuperado.

Recordar en todo caso que hay contenido que Snapchat puede conservar de forma indefinida, aunque haya sido eliminado, si ha sido compartido en sus canales públicos (por ejemplo Live Story). Ya sea para reutilizarlo en el servicio o con terceros. También se recopilan metadatos, que si bien son recuperables, es difícil eliminarlos en determinado periodo de tiempo.

Por otro lado, la información enviada podría ser accedida mediante técnicas de informática forense o desde el almacenamiento temporal del dispositivo. 

La novedad ahora es que el proceso de eliminación que la app realiza sobre el contenido, puede ser suspendido si legalmente es necesario o para hacer cumplir los términos y condiciones. 

• El acceso a determinada información personal puede ser denegado si supone un esfuerzo desproporcionado, la petición pone en riesgo la privacidad de otros, es repetitiva o directamente ilegal. Además, aunque la voluntad es que el derecho de acceso sea gratuito, se podría cobrar por ello si el esfuerzo técnico fuera muy considerable.  

• Si decides eliminar tu cuenta, tendrás hasta 30 días para restablecerla. Durante ese tiempo la cuenta no estará visible al resto de usuarios.

¡Feliz snap!

—–

Seguir a @jorge_morell

La entrada 13 detalles sobre la privacidad de Snapchat – Actualizado se publicó primero en Términos y Condiciones.

Ello, ¿la red social en la que no eres el producto?

Ello, servicio nacido en marzo de 2014, ha saltado al primer plano mediático estas últimas semanas de septiembre como el anti-Facebook o la red social en la que no eres el producto (de hecho ese es su eslogan).

Fundada por Paul Budnitz y otros 6 componentes como una red personal privada, ha estado creciendo a un ritmo de 34.000 usuarios por hora desde la semana pasada. ¿Sus méritos? Afirmar que el usuario no es el producto, que nunca incluirá anuncios, no obligar a usar identidades reales, tolerancia cero con los discursos violentos y política flexible con el contenido de tipo erótico. El servicio es una mezcla de Twitter y Facebook y por defecto existen dos timelines, el de los Amigos y el del Ruido. Puedes seguir a los usuarios desde uno u otro sin que nadie sepa dónde los colocaste.

La razón de su repentina explosión en popularidad se ha debido a la polémica de Facebook con importantes miembros del movimiento LGBTQ, a los que obligaba a cumplir su política sobre identidades reales. Muchos de ellos se han negado, abandonando Facebook y marchando a Ello como red alternativa. Comenzando así su camino hacia la fama.

Por ahora únicamente puede accederse a Ello mediante invitación, pero sus múltiples políticas, términos, condiciones y manifiesto están disponibles para cualquiera, usuario o no.

Vamos por tanto a ver 13 detalles sobre los mismos:

• Comenzando por su manifiesto, dice Ello que no creen en el usuario como producto o en una red social propiedad de los anunciantes. Creen en la transparencia (importante esto, luego veremos porqué) y por tanto no van a convertir al usuario en el producto.

• Siguiendo con la transparencia, su política de seguridad dice que están a favor de especialistas en la materia que busquen las vulnerabilidades en el sistema. Siempre y cuando sigan unos mínimos, bastante lógicos, para ello.

• Como complemento a las Condiciones de Uso y Política de Privacidad, disponen de unas Ello Rules, a modo de los básico que uno debe tener en cuenta al darse de alta. Es decir, nada de amenazas, spam, lenguaje violento, infracciones de propiedad intelectual o vulneraciones de la privacidad de los usuarios. Tampoco se permite el contenido sexualmente explícito que no esté debidamente marcado (puede ponerse la cuenta en modo NSFW). Si se incumplen algunas de las reglas, pueden bloquearte la cuenta, la IP o directamente echarte. En todo caso, siempre bajo el exclusivo criterio de Ello y las reglas pueden cambiar en cualquier momento.

• Vamos ahora con las Condiciones de Uso, ya algo más habituales. Contratamos con “Ello, Inc.” para sus productos presentes o futuros (tienen anunciadas apps para Android e iOS) y necesitas tener al menos 13 años para usar el servicio. Todo lo compartido en Ello es público, menos los mensajes privados. De modo que por ejemplo los buscadores lo pueden indexar.

• El contenido que compartimos en Ello es siempre nuestro, pero lo licenciamos sin límite (lo que quizá sea demasiado ilimitado) a Ello para que puedan reproducirlo, mostrarlo, almacenarlo o distribuirlo como consideren. Desde este punto de vista, Facebook es menos excesivo… En todo caso, aceptamos que lo compartido puedan verlo otros usuarios y que se elimine o transfiera por la razón que sea.

• Nuestro contenido no será vendido a terceros, sin nuestro permiso. Por tanto si consentimos sí puede venderse… Interesante el matiz ya que abre la puerta a consentimientos “accidentales” o “relativamente” informados. Por ejemplo los informes sin datos que te identifiquen (el nombre), que aceptamos que se compartan con cualquiera.

• Sobre la eliminación de la cuenta, puede hacerse en cualquier momento, pero por cuestiones técnicas puede pasar cierto tiempo (no especificado) entre darle al botón y la verdadera eliminación. De hecho, es posible que queden copias (no visibles) de nuestro contenido en sus servidores incluso pasado ese tiempo. En cualquier caso no concretan demasiado sus políticas de retención de datos. Sí lo hacen en cuanto a la actividad del usuario. De forma que si en 60 días no has puesto una foto de perfil, pueden eliminarte la cuenta. Y si en 365 días no has entrado, también. En todo caso te avisarían antes.

• En materia de privacidad, tenemos por un lado la Política de Privacidad y por otro un texto extra sobre cómo se usará la información compartida/recopilada. Comenzando por este documento extra, Ello recopila información cuando visitas la web y te mueves por ella, pero lo hace mediante una versión especial de Google Analytics que recopila datos de forma anónima. Si el usuario quiere mayor privacidad, ofrecen la opción de rechazar ese seguimiento mediante el correspondiente opt-out.

• ¿Qué datos capta Ello con ese Google Analytics especial? La localización, el idioma, la web de procedencia y el tiempo que se ha estado visitando Ello. Los datos se captan de forma anónima y antes de llegar a los servidores de Google se les “oscurece” la IP. Dicen que eso dificulta mucho que los datos se puedan vincular a un usuario o se utilicen para publicidad (aunque la realidad nos dice que es una simple cuestión de tiempo).

• Si en cualquier caso lo anterior no convence, es posible desde las opciones de la cuenta bloquear el seguimiento de Google Analytics. Además, otra particularidad de Ello, acepta la señal de los navegadores Do Not Track (Facebook o Google por ejemplo no la admiten). Con todo, indican que otros productos de Google (Android, Chrome o Youtube) podrían estar enviando información a pesar de haber rechazado el seguimiento.

• Además de la información indicada, Ello recopila el nombre y email al registrarse, el dispositivo usado, las webs visitadas o la información enviada. Por cierto, caben los emails comerciales (que en todo caso se pueden rechazar). En cuanto a cookies, únicamente hablan de las propias, no las de terceros que usen…

• ¿Cuándo puede Ello compartir tu información? Para empezar dice que no vende nuestra información a terceros como anunciantes o data brokers. Sí lo hará en caso de existir consentimiento, si la ley lo requiere o si contrata con un tercero que la necesite para prestar un servicio (hablan de una compañía que procese pagos con tarjeta de crédito en caso de comprar algo vía Ello). También lo podría hacer con afiliados (¿un comprador?) que tuviera en el futuro.

• En caso de modificaciones significativas en el servicio o en los términos y condiciones (concepto como siempre indeterminado), se avisará por email o sistema similar con antelación suficiente, tanto respecto a las Condiciones de Uso como la Política de Privacidad. Por cierto, la normativa aplicable en caso de conflicto es la de Colorado y se acudirá al arbitraje si no pudiera resolverse la disputa de forma amistosa.

En conclusión, ¿eres el producto en Ello? La buena voluntad mostrada apunta al no. También varias de las medidas técnicas adoptadas (respetar DNT, anonimizar buena parte de los hábitos de navegación o permitir identidades ficticias). Pero todavía hay elementos de sobra para convertirte en producto. De hecho hay que dice que ya lo eres. Una de las grandes polémicas de Ello por el momento es que vive de una considerable aportación hecha por un fondo de inversión, pero ese dato no es mencionado en parte alguna de su web (de ahí la importancia de la famosa transparencia que comentaba al inicio). Hay quien dice que nadie invierte en ti casi medio millón de dólares si no es para venderte un día de estos y recuperar lo invertido con intereses. Y cierto es que la Política de Privacidad contempla compartir tus datos con futuros afiliados, un comprador por ejemplo. De modo que lo de convertirte en el producto sería una cuestión de tiempo.

Por tanto no, quizá por ahora no seas el producto. Pero ojo, ya que podría cambiar fácilmente eso. Facebook también dice que será gratis para siempre, pero en realidad no aceptas eso… No lo olvidemos, hablar es fácil.

¡Ello everyone!

—–

Seguir a @jorge_morell

La entrada Ello – 13 detalles sobre sus términos y condiciones se publicó primero en Términos y Condiciones.

Apple y Beats by Dre, unidas pero separadas, ¿también en privacidad?

Beats by Dre, en realidad Beats Electronics si nos ponemos técnicos, es desde finales de mayo de 2014 una división de Apple que crea productos relacionados con el audio. A su vez, es la protagonista de la mayor adquisición realizada nunca por los de Cupertino, al módico precio de 3 billones de dólares. Curioso que una compañía fundada en 2006 para, entre otras cosas, proporcionar unos auriculares mejores que los cuestionables acompañantes del iPod, acabe finalmente en manos de Apple

En cualquier caso, Beats y Apple son uno, aunque legalmente hablando se mantengan como unidades autónomas (algo bastante excepcional en los de la manzana). De hecho, si bien Beats ha cambiado sus términos y condiciones en varias ocasiones (Junio y Agosto) desde que fuera adquirida por Apple, sigue manteniendo sus propios textos con sus correspondientes particularidades.

De modo que me parece interesante echar un vistazo a los términos y condiciones de Beats, unas Condiciones de Uso, una Política de Privacidad y una Política de Cookies, y a su vez ver cómo comulgan esos detalles con lo indicado por Apple en sus propios textos. A ver si van a formar parte de la familia sólo para lo que les interese.

Ahí van 13 detalles sobre sus términos y condiciones y cómo se comparan con Apple:

• Si resides en EE.UU., contratas con Beats Electronics, LLC. Pero desde que los comprara Apple, tienen también una rama irlandesa, Beats Electronics International Limited. Con esa contratan por ejemplo los usuarios europeos o cualquier que no resida en EE.UU. | Con Apple los europeos contratamos con su delegación de Luxemburgo. Irlanda “simplemente” procesa los datos ofrecidos al usar iCloud.

• Beats by Dre dice que necesitas ser mayor de edad para crear una cuenta, aunque también pueden hacerlo menores de edad con el OK del representante legal (que asumirá los términos y condiciones). En todo caso, voluntariamente no recopilan datos de menores de 13 años. | Muy similar, Apple permite menores de 13 años si entran vía su programa de estudiantes y con consentimiento paterno.

• En todo caso, Beats puede negarte el uso del servicio en cualquier momento, bajo su exclusivo criterio. | Apple, más de lo mismo.

• En cuanto a la compraventa de productos, algunas particularidades. Beats se reserva el derecho de limitar las cantidades del producto solicitado y el de negarse a vender productos a cualquier cliente, con motivo o sin él. También se reserva el derecho de no vender a revendedores. Además, aceptamos no responsabilizar a Beats de los problemas con los envíos… Por cierto, desde que los adquiriera Apple, prevén el derecho de desistimiento de 14 días por cualquier motivo respecto a una compra. | Apple también muy similar.

• Beats entiende por información personal la relativa a datos que permitan identificar o contactar a una persona. | Igual que Apple, de hecho.

• Beats by Dre recopila información cuando voluntariamente se la damos (el registro, una encuesta o un comentario) y automáticamente cuando navegamos o descargamos una app. ¿Datos que puede llegar a recopilar? El nombre, dirección, código postal, email, teléfono, idioma, ubicación, fecha de nacimiento, IP, productos comprados, una dirección de facturación y una tarjeta de crédito (o el medio de pago usado). Hay que sumar los datos captados vía servicios de terceros, por ej. Facebook, y los captados por la simple navegación, por ej. la secuencia de clics o las páginas de entrada y salida. Además, si compartes información con amigos o familiares, también recopilarán datos de ellos. | Apple también muy similar, incluso al tratar la IP como dato personal donde corresponda.

• Toda esa información se combinará entre sí, y además con datos públicos (!) y de terceros que acaben de personalizar la experiencia y las comunicaciones. Por ejemplo, la publicidad. Algo que en todo caso se puede despersonalizar pero entonces seguirás recibiendo anuncios simplemente que no personalizados. | Mejor Apple aquí, habla de combinar datos personales y NO personales, qué ocurre en esos casos y nada dice acudir a datos públicos.

• ¿Usos de todos esos datos? Pues desde el envío de comunicaciones comerciales o no, la analítica, la estadística (con fines comerciales incluidos si no son datos identificativos, aunque no los venderán), la monitorización de los usuarios o la mejora del producto y servicios, entre otros. | Mayormente iguales, quizá Apple lo estructura y presenta de forma más clara.

• Por otro lado, Beats usa cookies en toda su extensión, incluidas otras tecnologías como etiquetas píxel, URLs especiales en comunicaciones comerciales o contadores de visita específicos. Más detalles sobre ellos en su parte incompleta Política de Cookies (en el fondo no indica exactamente las cookies usadas :P). | Apple en este punto está peor, menor detalle incluso.

• La mucha información disponible, ¿a quién puede ir a parar? Pues a terceros en los casos previstos y sino mediante consentimiento del usuario. ¿Cuáles son los casos previstos? Cuestiones legales o protección de los derechos de Beats en general, fusiones o adquisiciones por parte de un tercero (sería interesante saber si cuando Apple los adquirió hubo alguna comunicación específica mediante email), proveer el servicio mediante el prestador que resulte necesario y redes sociales de terceros como Google+ u otras. | Muy similar, quizá Apple hace más hincapié en los motivos de seguridad nacional y orden público.

• ¿Por cuanto tiempo retiene los datos recogidos, Beats by Dre? Pues desconocido, más allá del necesario (concepto no aclarado) para evitar fraudes, gestionar el servicio y cumplir cualquier exigencia legal. Por cierto, tus datos personales pueden ser accedidos por entidades de cualquier parte del mundo, principalmente de EE.UU. En todo caso, Beats está adherida a Puerto Seguro (y más ahora con Apple de por medio), así que igualadas en eso. | Apple es igual de poco clara en cuanto a la retención de los datos.

• En materia de privacidad, si resides en la UE y tienes una disputa con Beats, debes acudir a la autoridad de protección de datos que te corresponda. En cualquier otro caso, deberás resolver el asunto en los 45 días posteriores a la “declaración” del conflicto. Si pasado ese tiempo todavía sigue, todo el mundo a Los Ángeles a hacer mediación. | Apple no menciona para nada la mediación, te remite al “legislador correspondiente de tu jurisdicción” si tienes quejas.

• Finalmente, Beats by Dre puede modificar las Condiciones de Uso cuando quiera y publicará los cambios sin más en la web correspondiente. En materia de privacidad, si el cambio es sustancial (concepto no definido) se avisaría por email u otro mecanismo antes de la entrada en vigor. | Si el cambio es significativo (no definido), Apple lo comunicará; muy similar por tanto.

En conclusión, y únicamente tras un par de cambios en los términos y condiciones de Beats desde que fuera adquirida, las diferencias entre una y otra no son excesivas: Luxemburgo en lugar de Irlanda, cookies algo deficientes, usos de los datos personales recopilados mejor presentados, diferentes métodos de resolución de conflictos y más foco de atención en la seguridad nacional.

Vaya, que en términos y condiciones Beats y Apple no están muy separadas. Y lo lógico es que con el tiempo cada día lo estén menos…

—–

Seguir a @jorge_morell

La entrada Beats by Dre – 13 detalles sobre sus términos y condiciones y su relación con Apple se publicó primero en Términos y Condiciones.