Blockchain fue una las tecnologías estrella del 2017 y sin duda lo será este año. De hecho, el fenómeno de bitcoin llegó incluso hasta las cenas de Navidad. Por tanto, parece que el intercambio de criptomonedas estará a la orden del día en 2018. Lo que nos lleva al mundo de los exchanges.

Para la compraventa de esas nuevas “monedas digitales” se utilizan plataformas de intermediación denominadas “exchanges”. Muchas de ellas son entidades financieras reguladas y por ello requieren verificar la identidad del usuario que crea una cuenta. Especialmente si para realizar las primeras operaciones mediante criptomonedas se usa dinero fiat como puedan ser los euros.

Con ello se intenta evitar que estas plataformas se usen para el blanqueo de capitales y cumplir de esa forma con la normativa aplicable. Pero sea como sea, uno acaba proporcionando a los exchanges una muy considerable cantidad de información personal.

Por tanto, parece buena idea echarle un ojo a las políticas de privacidad de las principales plataformas de intermediación para comprar y vender el nuevo dinero digital. Al menos, para hacerse una pequeña idea de lo que pueden hacer los exchanges con esa información personal.

Dicho esto, vamos allá:

Coinbase

Recopila información automatizada como la IP, el sistema operativo, operador de móvil e información de navegación relacionada. A su vez, cuando creas cuenta recopila tu nombre, email, dirección, cuenta de Skype, teléfono e información bancaria. Si realizas operaciones con  criptomonedas puede obtener tu fecha de nacimiento, identificador fiscal o documentación nacional tipo DNI. Además, complementa esos datos con información crediticia de terceros o servicios para verificar tu identidad.

Si vinculas tus perfiles de Facebook o Twitter a tu cuenta también obtiene la información relacionada. Y curiosamente dice que no almacena la información personal de menores de 13 años (parece que si eres mayor de 13 no habría inconveniente :p). Sea como sea, almacena esa información un mínimo de 5 años.

La información será usada para: prestar el servicio, verificar tu identidad, resolver disputas, detectar fraude o prevenirlo, personalizar el servicio y dirigirte publicidad.

Los usuarios europeos consienten que su información personal sea transferida a Estados Unidos y analizada allí para verificar su identidad y prevenir fraudes.

Más información en su Política de Privacidad.

Kraken

Recoge información automatizada como la IP, sistema operativo, operador de móvil e información de navegación relacionada. A su vez, cuando creas cuenta, recopila tu nombre, e-mail, dirección, teléfono, género, ocupación e información bancaria. Si realizas operaciones con criptomonedas puede obtener tu fecha de nacimiento, identificador fiscal o documentación nacional tipo DNI. Además, complementa esos datos con información crediticia de terceros o servicios para verificar tu identidad.

Si lo consientes, pueden recopilar la geolocalización exacta de cuando usas el servicio. No se indica el tiempo que almacena los datos

La información será usada para: prestar el servicio, verificar tu identidad, resolver disputas, detectar fraude o prevenirlo, personalizar el servicio, combinar tu información con la de terceros para “entender mejor tus necesidades” y dirigirte publicidad.

Los usuarios europeos consienten que su información personal sea transferida a Estados Unidos y analizada allí para verificar su identidad y prevenir fraudes. Y todavía bajo Safe Harbor. :p

Más información en su Política de Privacidad.

Bitfinex

Recopila información como la IP, sistema operativo, operador de móvil y múltiple información de navegación relacionada. A su vez, cuando creas una cuenta recopila tu nombre, e-mail, dirección, teléfono e información bancaria, entre otra. Si realizas operaciones con criptomonedas puede obtener tu fecha de nacimiento, identificador fiscal o documentación nacional tipo DNI. En circunstancias excepcionales, puede recopilar, usar o compartir información personal sin nuestro consentimiento (no se dan mayores detalles).

Si se usa Tor o cualquier otro sistema de proxy para conectarse al servicio de forma anónima, puede bloquearse el acceso al usuario. No se indica el tiempo que almacena los datos.

La información será usada para: prestar el servicio, verificar tu identidad, resolver disputas, detectar fraude o prevenirlo, personalizar el servicio, gestionar pagos, realizar encuestas y dirigirte publicidad.

Consientes que la información personal pueda ser transferida a países extranjeros con menor nivel de protección. En todo caso, para ejercer nuestros derechos debemos contactar con la central en China.

Más información en su Política de Privacidad.

Binance

Procesa información como la IP, el sistema operativo, idioma, fecha, hora, software y hardware usado y múltiple información de navegación relacionada. Si bien no lo indica expresamente, lo lógico es que también recopile tu nombre, e-mail, dirección, teléfono, operaciones de compra y venta, datos identificativos e información bancaria, entre otra.

No se indica el tiempo que almacena los datos y muy genéricamente se detallan algunos de los usos que se harán de los mismos.

Dice que los datos pueden ser transferidos a cualquier servidor operado por Binance sin tener en cuenta la jurisdicción. En teoría están en localizados en Hong Kong y operan desde Japón y Corea del Sur, pero la verdad es que no queda nada claro mediante la información de la web dónde están ubicados.

Más información en su Política de Privacidad.

Coinmama

Recopila información automatizada como la IP, sistema operativo, país, idioma, enlaces de entrada y salida, la derivada de cookies e información de navegación relacionada. Al crear una cuenta recopila datos como nombre, foto de perfil, documento nacional de identidad, email, fecha de nacimiento o tu información bancaria.

Sí indica que almacena los datos un mínimo de 5 años, de acuerdo a las obligaciones legales pertinentes.

La información será usada para: prestar el servicio, personalizar la experiencia, analizar el uso de la web, mejorar la atención al cliente, verificar tu identidad, enviar emails relacionados sobre el servicio, tus operaciones o productos relacionados y realizar promociones/encuestas.

Nada dice sobre dónde almacena la información personal ni a los países a los que podría transferirse.

Más información en su Política de Privacidad.

Gemini

Señala que de acuerdo a la sección 326 de la Patriot Act norteamericana debe recopilar y verificar la información de cada usuario que abra una cuenta. Por ello puede llegar a recoger datos como el nombre completo, email, teléfono, fecha de nacimiento, documento de identidad nacional, dirección, información financiera y cualquier otro dato requerido por su equipo de compliance. Sin olvidar información generada automáticamente a nivel de geolocalización, dispositivo usado y usos del servicio.

Es la única de las analizadas que expresamente indica que para usar el servicio debes ser mayor de 18 años (las otras lo hacen normalmente en las Condiciones del Servicio, pero tampoco me parece mala idea hacer la mención en la Política de Privacidad).

La información será usada para: dar el servicio y prestar ayuda cuando sea necesario, optimizar el servicio, realizar tareas para la detección y prevención de fraudes (incluyendo a terceros con las que se compartan los datos), marketing o crear informes agregados y anonimizados.

Señalan que las transacciones en blockchain no son completamente anónimas al usar bitcoin o ether, por ejemplo. Por tanto es posible que se pueda hacer un match entre la dirección pública del usuario y otros datos suyos. En todo caso, no dicen dónde y por cuánto tiempo almacenan la información personal (más allá de un genérico “hasta que cierres tu cuenta”).

Más información en su Política de Privacidad.

Conclusión

Resulta un poco decepcionante cómo informan los exchanges sobre la gestión de la información personal, más teniendo en cuenta lo mucho que pueden llegar a recopilar.

Todos los textos en inglés, no muy actualizados, poco precisos y genéricos, no es fácil saber dónde están los servicios a efectos de ejercer derechos y es muy habitual la transferencia internacional de datos (normalmente a EE.UU., China o lugar cercano).

Gemini sería el mejor, se nota que es un exchange muy nuevo y con textos legales pensados para el servicio en sí. Mientras que Binance sería el peor con diferencia, muy genérico y casi imposible localizar su ubicación real.

Habrá que seguir de cerca este fenómeno de los exchanges y su privacidad, ya que sin duda las criptomonedas y su intercambio será uno de los temas de 2018.

¡Feliz cripto año!

—–

Seguir a @jorge_morell

La entrada Cómo gestionan tus datos personales los exchanges de criptomonedas se publicó primero en Términos y Condiciones.

Supercell, la compañía finlandesa de juegos para dispositivos móviles tan famosos como Clash of Clans, Clah Royale o Hay Day, cumplió recientemente 7 años. Y lo ha celebrado siendo una de las más importantes a nivel mundial en su sector.

En ese tiempo el éxito de Supercell ha sido estratosférico, alcanzando una valoración superior a los 10 mil millones de dólares en junio de 2016 tras haber sido adquirida por la todopoderosa empresa china Tencent.

Además, juegos como Clash Royale están alcanzando gran popularidad entre la comunidad e-sports o deportes electrónicos. Siendo el primer gran candidato para liderar el fenómeno en móviles.

La popularidad de los juegos de Supercell se basa en su estricto control de calidad (la mayoría de sus desarrollos no ven la luz), la facilidad de acceso y que el modo de juego siempre es freemium. Es decir, un juego gratuito con posibilidades de micropagos en función de las monedas virtuales del propio juego.

En cuanto a su público objetivo, un porcentaje alto de los usuarios de juegos de Supercell tiene menos de 21 años. Por ello la propia Supercell ofrece una Guía para Padres en su web sobre compras online, privacidad, publicidad y servicios de mensajería incluidos en los juegos.

El pasado 1 de agosto Supercell modificó las Condiciones de Uso y Política de Privacidad de sus servicios y juegos: Hay Day, Clash of Clans, Boom Beach y Clash Royale.

Dado el número de usuarios que disfrutan de sus juegos, y los muchos menores de edad que se encuentran entre sus filas, creo que puede ser buena idea ver qué dicen esas condiciones, aprovechando las novedades incorporadas.

¡Vamos allá, pues!

Comienza la partida

1.- Mínimo debes tener 14 años (según las Condiciones de Uso). Si tienes entre 14 y 18 garantizas que tus padres han revisado las condiciones. Sin embargo, la Política de Privacidad dice que no recopilan datos de menores de 13 años (que es lo mismo que dice la Guía para Padres). Por tanto, hay un pequeño desajuste entre textos sobre la edad.

2.- Supercell no se responsabiliza por el uso de tarjetas de crédito que puedan hacer menores de edad.

3.- El uso del juego debe ser personal, no comercial.

4.- Supercell puede quitarte tu nombre de usuario en cualquier momento, por ejemplo si alguien lo reclama por considerar que se vulneran sus derechos.

5.- Con el cambio del 1 de agosto se incide en la idea que intentar alterar el servicio o el juego en algún sentido (trucos, rankings o bugs) supondrá el cierre de la cuenta. Igualmente, cualquier compartimento tóxico o inadecuado.

6.- Una cuenta inactiva durante 180 días (6 meses) puede ser eliminada.

7.- Las grabaciones de juegos jugados mediante alguno de los canales oficiales de Supercell, son suyas.

¡Doble de Elixir!

8.- Aceptas que no existen garantías de privacidad sobre cualquier conversación o texto que se pueda enviar a través del servicio.

9.- Sobre tu contenido (por ejemplo un mensaje) das una licencia transferible, indefinida, gratuita, irrevocable y mundial.

10.- Aceptas que Supercell use to nombre, apellidos, apariencia o cualquier otro dato relacionado con tu contenido, cediendo cualquier derecho sobre ese contenido (hasta donde la ley del país lo permita).

11.- El oro y los diamantes comprados, bienes virtuales, no pueden devolverse y tampoco se pueden vender, comprar o canjear sin autorización.

12.- Para los usuarios que no residan en EEUU se aplican las normas y tribunales finlandeses (hasta donde la ley lo permita). En España y para consumidores no sería aplicable.

¡Muerte súbita!

13.- Datos que Supercell puede llegar a recoger: nombre, email, nombre de usuario, contraseña, foto de perfil, género, fecha de cumpleaños, edad, IP, sistema operativo, navegador y su idioma, MAC, IMEI, tipo y nombre del dispositivo, horas de uso, ID permanente o temporal del dispositivo móvil, ubicación de la app y geolocalización precisa (si se consiente), interacciones en juegos e información laboral (si fuera el caso).

Sin olvidar la derivada de mensajes, participación en foros, sorteos, encuestas o concursos.

14.- Expresamente, la información la almacenan en EEUU (aunque también dicen que podría almacenarse en otros países que no señalan).

15.- Pueden mostrar anuncios (basados en nuestros intereses), para lo cual tendrán en cuenta los datos recopilados pero también las apps instaladas o usadas en un determinado momento. La opción de anuncios personalizados se puede limitar aquí.

En resumen: muchos datos recopilados (especialmente si se conecta algún perfil público como Facebook), las condiciones no permiten a priori mucha actividad relacionada con los e-sports (de hecho las partidas jugadas desde los juegos son propiedad de Supercell) y la última actualización de las condiciones intenta hacer frente al acoso que puedan sufrir los jugadores.

¡Feliz partida!

—–

Seguir a @jorge_morell

La entrada Así son las nuevas condiciones de Supercell | Clash Royale y otros se publicó primero en Términos y Condiciones.

Nintendo hizo historia ayer estrenando el que es su primer juego para dispositivo móvil, Miitomo.

Una nueva andadura para el gigante japonés de los videojuegos en una categoría que casi inventaron, los videojuegos portátiles, pero que debido a los smartphones había comenzado a convertirse en su mayor amenaza.

Miitomo es un juego/app gratuito, aunque con micropagos, que permite crear un avatar (un Mii) con el que se puede jugar, cambiar de ropa o hacer fotos, a la vez que permite comunicarse con los Miis de nuestros amigos. La particularidad es que el Mii pregunta al usuario algo, éste le responde y el Mii comparte esa respuesta con los Miis de sus amigos. Por tanto la app es un poco videojuego, red social y sistema de mensajería.

Como se ha comentado, si bien la app es gratuita, pueden comprarse objetos como nueva ropa, que se pagan con las monedas virtuales del propio juego. Y éstas pueden obtenerse desde el juego a cambio de información (responder preguntas de los Mii o comentando las respuestas de los amigos), jugando a minijuegos o adquiriéndolas con dinero real.

Además, siendo Nintendo una marca muy asociada a los niños, es interesante indicar que Miitomo no está recomendada para menores de 13 años.

Por tanto, siendo el primer juego de Nintendo para smartphones y además, con micropagos, parece buena idea echarle un vistazo a su privacidad.

La Política de Privacidad de Miitomo en español y para europeos, puede encontrarse aquí. La versión en inglés para EE.UU., puede encontrarse aquí (es bastante similar).

También es muy interesante la larguísima página de Preguntas Frecuentes sobre Miitomo (enlazada en español).

¡Vamos allá con los 13 detalles!

La privacidad de Miitomo

1.- Se recopilan datos como: el país de residencia, el sexo, la fecha de nacimiento, la dirección IP y MAC, el número de serie, el número de teléfono, la configuración de la conexión a Internet, ajustes del dispositivo como el idioma o la resolución de pantalla.

2.- Nintendo también podrá acceder a información que contiene el dispositivo, como la agenda de contactos o la ubicación. Pero se informaría sobre ello.

3.- Si se hacen compras, Miitomo permite micropagos, se recopilan datos como el historial de compras, uso de los artículos adquiridos o el registro de licencias.

4.- Durante el uso del juego, se recopilan datos como: el apodo, perfil y apariencia del Mii creado, los códigos alfanuméricos que identifican al personaje y los personajes de personas con las que haya interactuado, el contenido creado y cuándo se estaba o no online.

5.- Nintendo también recopila datos como las actividades realizadas en el juego, las funciones usadas, la hora a la que se juega, así como el nivel y puntuación obtenidos.

6.- Es posible vincular la cuenta creada en Miitomo con Facebook o Twitter, para así encontrar más amigos. En ese caso, Nintendo recopila y fusiona los datos de un lado y otro.

7.- Como se ha dicho antes, no se recomienda el uso de Miitomo en menores de 13 años. Es decir es una app para adolescentes (por si hay dudas, basta ver el primer anuncio hecho para EEUU).

8.- La múltiple información recopilada podrá usarse para evitar actividades potencialmente ilegales, cumplir Nintendo con sus obligaciones legales o ejercer los derechos que le correspondan.

9.- Las respuestas compartidas con los Miis de nuestros amigos, únicamente pueden ser vistas por nuestros amigos. Los comentarios que se hagan de esas respuestas podrán verlos: quien hizo el comentario, quién lo recibió y los amigos de quien lo recibió.

10.- Puedes borrar tu cuenta en Miitomo, lo que implicará la desaparición de tus datos de usuario, tus respuestas, comentarios e incluso monedas obtenidas (a no ser que hubieras vinculado Miitomo a una cuenta Nintendo).

11.-Si te haces una Miifoto, aunque tengas vinculado tu Facebook y Twitter a Miitomo, no se publicarán automáticamente en esas redes sociales. Ahora bien, si tú decides publicarla y luego eliminarla, únicamente se quitaré de Miitomo. Si la quieres eliminar de las redes sociales en las que la compartiste, deberás ir una por una.

12.- La información recopilada se podrá usar de forma agregada para realizar análisis demográficos y estadísticos. También podrá Nintendo usar esos datos para estudios de mercado y marketing, aunque en cualquier momento podremos impedir ese uso.

13.- Los datos recopilados se podrán compartir con Nintendo of Europe y todas sus sucursales, así como Nintendo of America.

En conclusión, la primera app de Nintendo para móvil es una mezcla entre videojuego y red social basada en sus famosos Mii, enfocada al público adolescente, con micropagos y un concepto de la privacidad bastante razonable y lógico. Ahora bien, no deja de ser curioso que se ganen monedas para micropagos mientras más información demos a nuestro Mii…

¡Feliz Miiquedada!

—–

Seguir a @jorge_morell

La entrada 13 detalles sobre la privacidad de Miitomo se publicó primero en Términos y Condiciones.

Comparando la privacidad de Spotify, 2013 vs 2015

Síguenos en |     

Spotify, el servicio líder en música por streaming, modificó el pasado día 19 de agosto su Política de Privacidad.

Es el primer cambio serio en 2 años y medio, la última gran modificación data de febrero de 2013. Sin embargo, no ha sido una actualización “tranquila”, que digamos.

La modificación, todavía no presente en la versión en castellano, ha levantado una considerable polémica ya que ahora Spotify pide toda una serie de nuevos datos al usuario, a priori no muy relacionados con el servicio. ¿Cuáles? Entre otros, la agenda de contactos del teléfono móvil, las fotos y archivos que contenga, posicionamiento por GPS e información proveniente de sensores para saber si el usuario camina, corre o está en tránsito (por ej. va se está moviendo en tren o bus).

Eso ha hecho que se levante un considerable revuelo, que muchos usuarios (algunos bastante conocidos) amenacen con abandonar el servicio de pago y finalmente ha habido incluso una disculpa del CEO de Spotify.

¿Era para tanto, hasta el punto de llamar al nuevo texto “escalofriante”? Diría que no. De hecho, en relación al punto más polémico, los datos con origen en el teléfono móvil, desde que saltara la noticia se ha obviado algo importante. Y es que si uno se lee la nueva política de privacidad de Spotify, ésta dice claramente que esos datos únicamente se obtendrán si el usuario lo permite.

Por tanto aquí ha habido un problema de comunicación de Spotify, que ha publicado la política sin avisar previamente (dado el tipo de cambios hubiera sido lo más razonable quizá), pero luego ha habido cierta exageración a la hora de comunicar el cambio por parte de los medios. También creo se ha sumado el hecho que Spotify, un servicio que normalmente no ha abusado demasiado de la recopilación de datos, ahora pretenda recoger información algo ajena al servicio (las fotos que llevo en el móvil), incluso a los usuarios que mensualmente pagan religiosamente.

Ahora bien, ¿significa eso que antes Spotify no captaba casi información personal? No precisamente. Ya desde 2013 recogía muchos datos del usuario. Ahora lo lleva un paso más allá al entrar de pleno, si el usuario quiere, en los móviles de sus clientes y a un nivel de detalle bastante considerable (eso es cierto).

A efectos de facilitar la comprensión de los nuevos datos que capta Spotify, y ver como ya en 2013 podía llegar a acumular una muy considerable cantidad de información, ahí va una comparativa sobre la Política de Privacidad de Spotify, 2013 vs 2015, incluyendo los datos nuevos de acuerdo al texto actualizado.

Por cierto, ¿algún otro cambio a destacar? Pues varios: hay un nuevo apartado 2 a modo de resumen del texto, varios nuevos usos de la información (por ej. enviar SMS publicitarios a los móviles, si se consiente), mucho más detalle sobre con quién pueden compartirse los datos (socios comerciales, dueños de la música o grupos de investigadores en trabajos de analítica, con datos anonimizados) y que Spotify no acepta Do not Track (por desgracia ninguna novedad).

Dicho esto, ahí va la comparativa (haz clic para verla más grande). ¡Feliz canción!

La entrada ¿Qué nuevos datos recoge en verdad la renovada Política de Privacidad de Spotify? se publicó primero en Términos y Condiciones.

Llega iOS 8, y lo hace con destacadas novedades en privacidad

iOS 8, el nuevo sistema operativo de Apple para sus dispositivos móviles, está entre nosotros de forma oficial desde ayer por la tarde. Llegan con él numerosas novedades en diferentes aspectos como los pagos inalámbricos, la automatización y control de tareas domésticas, el control y seguimiento de nuestro estado de salud o la extensión de la funcionalidad de las apps. Todo ello fenomenal, pero no olvidemos que esas nuevas funciones también suponen particularidades en aspectos legales, y mayormente en el área de la privacidad, que quizá antes no teníamos.

De hecho Apple actualizó ayer su Política de Privacidad en áreas como tecnologías para la ubicación, nuevas analíticas, menores de edad o usos de datos por parte de terceros. Pero no se quedó ahí, estrenó también ayer una nueva web dedicada en exclusiva a la privacidad en el universo Apple. En ella explica las medidas adoptadas en múltiples aplicaciones, consejos para mejorar la seguridad, su informe de transparencia y más detalles sobre sus prácticas.

Por tanto, queda para más adelante un comentario más en detalle de los nuevos en los términos y condiciones de iOS 8 y Apple, pero ahora sí me gustaría indicar ocho novedades que trae consigo iOS 8 en materia de privacidad. Para ello nos centraremos en las App Store Review Guidelines, el “código legal” de Apple para aceptar o no una app en su tienda. Para nosotros muy útil, ya que además de montones de previsiones para los desarrolladores relativas al contenido o al diseño de la app, también se establecen los requisitos legales que deben cumplir.

Dicho esto, ¿cuáles son las nuevas áreas de iOS 8 en las que nos interesa dar un primer vistazo? Pues principalmente las siguientes: los datos de salud captados mediante HealthKit, la ampliación de las funcionalidades de las apps básicas a través de las llamadas Extensiones (con especial atención a los nuevos teclados predictivos), el estreno en el ámbito de la domótica por parte de Apple con HomeKit y la llegada de los pagos inalámbricos con Apple Pay.

Para hacer estos primeros apuntes, he pensando que nada mejor que una infografía. Un formato mucho más visual y agradable que el típico bloque de texto (ya habrá tiempo para eso).

3 destacados breves:

– Los datos de salud y la implementación del consentimiento del usuario para su cesión darán mucho que hablar. Y aunque iCloud no puede ser el almacén oficial en la nube, podría serlo otra nube distinta (si hay consentimiento).

– La “mejora de la experiencia de usuario” se convierte cada día más en un nuevo concepto jurídico indeterminado. Y es que bajo ese genérico paraguas se justifican muchos usos de los múltiples datos.

– De aquí en adelante, prácticamente todo va a necesitar una política de privacidad. Por poner algunos ejemplos sencillos: un teclado predictivo, la gestión remota de un aire acondicionado o las luces de casa, una app de notas para llevar el control de nuestra tensión o una calculadora mensual de los pagos hechos inalámbricamente.

Esto no ha hecho más que empezar…

¡Pues nada, feliz iOS 8!

—–

Seguir a @jorge_morell

La entrada iOS 8 – Ocho nuevos aspectos sobre su privacidad se publicó primero en Términos y Condiciones.

¿Qué aspecto presenta la privacidad del buscador web DuckDuckGo?

DuckDuckGo, el buscador web alternativo a Google, Bing o Yahoo (y fundado por Gabriel Weinberg en 2008), promete niveles de privacidad a los que el resto de buscadores más “comerciales” no parecen poder comprometerse a priori. Promesas que parecen funcionar a la vista de sus estadísticas de uso recientes, y es que en 2013 DuckDuckGo superó por primera vez los 1000 millones de búsquedas, consiguiendo récords a los pocos días de estallar el escándalo NSA/Snowden.

¿Pero qué dicen los términos y condiciones de DuckDuckGo? ¿Dan a entender ese nivel de privacidad del que tanto se congratulan frente a la competencia? Veamos a ver qué dice su Política de Privacidad, único texto legal de este buscador web alternativo:

• Presenta una extensión de 2129 palabras en inglés (de Estados Unidos), unas 8 páginas. Con todo, es de las pocas políticas de privacidad que se acompaña de 2 versiones ilustradas (Don’t Track Us y Don’t Bubble Us, ambas en castellano) bastante interesantes y únicas en el mundillo.

• DuckDuckGo presenta como gran particularidad que cuando buscas algo con ellos y haces clic en un enlace, por defecto te redirecciona de tal forma que los términos de búsqueda empleados no se comunican a esa web visitada, como ocurre en otros muchos buscadores. Algo que en todo caso puede desactivarse.

• Presenta también una versión cifrada (HTTPS), que en todo caso es más lenta y sí indica los términos de búsqueda utilizados a la web de destino, si también usara HTTPS. De todos modos, no proporciona esos términos de búsqueda a los ordenadores por los que viaja nuestra petición desde nuestro ordenador al de DuckDuckGo.

• Para llevar un paso más allá la privacidad, incluye un método HTTP llamado POST Request (desactivado por defecto), según el cuál no se muestra en tu navegador la búsqueda, y de ahí que no se envíe a las webs que visites. Ahora bien, esto estropea el botón “Atrás” de los navegadores y hace imposible compartir la URL de tu navegador con un simple copiar/pegar.

• Por si fuera poco, vía la sintaxis del buscador, se puede activar la navegación a través de un proxy; basta escribir en la caja de búsqueda “!proxy” más el dominio que queramos visitar para activarlo. En todo caso, avisan que ello ralentiza la navegación.

• DuckDuckGo no recoge ninguna información personal cuando lo usas. Es decir, no hay forma de vincular tus búsqueda a ti ya que no almacenan ni tu IP ni  el llamado User Agent.

• Dice DuckDuckGo en su Política de Privacidad que tampoco emplea por defecto cookies, dificultando por tanto la vinculación entre tus búsquedas y tu persona al faltar el identificador único que muchas veces se añade vía las galletitas.

• ¿Qué datos recopila por tanto DuckDuckGo? Si cambias la configuración por defecto, usa una cookie (si quieres, ya que pueden usarse otros sistemas de almacenamiento) para guardar los cambios y en todo caso nunca de forma que te pueda identificar. Si usas la sintaxis avanzada, se emplea otra cookie para recordar las fórmulas más empleadas, pero ocurre lo mismo que antes. Las búsquedas que hagas se guardan, pero no de forma personalizada o vinculada a identificadores concretos.  Finalmente, si se proporciona feedback de forma no anónima, almacenan el correo electrónico.

• Entre los datos que pueden llegar a recopilar, está la información extraída de códigos de afilados añadidos en productos de determinadas tiendas online, pero de nuevo sin vínculo concreto entre una posible compra y un usuario. De esta forma DuckDuckGo gana un pequeño porcentaje cada vez que alguien compra en una de esas tiendas. No se comparte información personal alguna con la tienda, y información de producto obtenida es agregada y anónima, de forma que no puede vincularse a un particular.

• La información que comparten consiste en los términos de búsqueda usados para llegar hasta las webs visitadas, pero únicamente si se desactiva el sistema por defecto y no se emplea una alternativa como HTTPS o POST Request.

• DuckDuckGo atiende los requerimientos gubernamentales o de cuerpos de seguridad por razones legales, pero no espera que pueda proporcionarles nada útil ya que no almacena información personal alguna.

• Los cambios sustanciales (concepto que no se define) serán señalados aquí con 30 días de antelación, incluyendo un “Updated” rojo en la Política de Privacidad situada en el pie página de la web. Justamente en esa web no hay footer ni enlace directo a la política de privacidad… En todo caso, al inicio se señalan con bastante detalle los cambios realizados hasta ahora en el texto.

• Como curiosidad final, se menciona una alternativa como buscador web, también del mismo estilo que DuckDuckGo y denominado Ixquick.

En conclusión, parece que las promesas de privacidad de DuckDuckGo se aproximan a la realidad, al menos por lo que cuentan en sus términos y condiciones. Falla quizá algo en materia de cambios (aunque luego los indica con precisión), no habla sobre los tiempos de retención o el lugar en el que aloja los datos recopilados, pero destaca positivamente su no almacenamiento por defecto de los términos de búsqueda, el acceso a proxies vía simplemente la sintaxis del buscador, el reducido uso de cookies que lleva a cabo y en general el escaso aprecio por nuestros datos personales.

Será cuestión pues de empezar a usarlo más (yo los días que llevo empleándolo he quedado sorprendido gratamente).

¡Feliz búsqueda!

—–

Seguir a @jorge_morell

La entrada DuckDuckGo – 13 detalles sobre su privacidad se publicó primero en Términos y Condiciones.

Actualizado el 6 de febrero con las nuevas condiciones para febrero de 2017

¿Qué cambios presentan los nuevos términos y condiciones de Dropbox?

Dropbox actualiza sus términos y condiciones.

El anuncio se realizó el pasado 8 de diciembre de 2016, y afecta sus dos documentos básicos: las Condiciones de Uso y su Política de Privacidad.

Los cambios entran en vigor el próximo 10 de febrero. No son tan importantes como en otras ocasiones, 2014 por ejemplo, pero tiene modificaciones destacables.

Así que veamos esas novedades.

Condiciones de Uso

• Dropbox establece por primera vez un derecho de desistimiento para usuarios europeos. Es decir, los usuarios de la UE tienen derecho a cancelar las suscripciones de su cuenta de pago en un plazo de 14 días a partir de la fecha de registro, actualización o renovación de la cuenta.

• El apartado de limitación de responsabilidad ahora recoge expresamente que en algunos países tales exclusiones no son aplicables, por ejemplo para usuarios europeos (AUNQUE TODO SE SIGUE DICIENDO EN MAYÚSCULAS :p).

• En materia de jurisdicción y legislación aplicable las típicas previsiones de California y ley de EEUU se incluyen, pero indicando que no son aplicables a usuarios europeos.

• Se incluye un nuevo aviso sobre la protección de la contraseña, en relación a no compartir las credenciales de la cuenta ni permitir que otras personas accedan a ella.

• Por otro lado, se crea un nuevo apartado sobre los servicios Beta que puntualmente lanza Dropbox (se explica que son funciones en pruebas y con acceso preliminar).

• Para los usuarios con un plan anual, Dropbox ahora te enviará, con tiempo razonable, un correo para avisarte de la renovación. Además, te recuerda que serás responsable de pagar los impuestos aplicables.

• Dropbox se sigue reservando el derecho a darte de baja del servicio, pero ahora con aviso previo en algunos casos, no en otros. Al menos ahora se detalla mucho mejor cuándo se dará un caso u otro.

• Se añade un aviso sobre la posibilidad de suspender los servicios por causas imprevistas o legales. Siempre que sea posible, se avisará de ello con tiempo razonable.

• En todo caso, Dropbox amplia la cláusula sobre arbitraje para residentes en EE.UU.

• Se presentan ahora de forma más clara los motivos por los que pueden modificarse las condiciones. Por ejemplo, se incluye un plazo de al menos 30 días para la entrada en vigor de las nuevas condiciones desde su comunicación y se permite un reembolso prorrateado si quieres dejar el servicio por no aceptar las nuevas condiciones.

• Otro nuevo aviso es que debes usar Dropbox de acuerdo a la legalidad vigente, incluidas leyes sobre control de exportación.

• Finalmente, “Dropbox para empresas” ahora se llama “Equipos de Dropbox”.

Política de Privacidad

• Aunque Dropbox en su post resumiendo los cambios destaca como novedad la adhesión a Privacy Shield, el nuevo mecanismo para transferir legalmente datos personales desde Europa a Estados Unidos, en realidad eso ya estaba en octubre 2016. De hecho, se sigue mencionando a Safe Harbor (el anterior mecanismo, ya invalidado).

• Se incide en que si registras tu cuenta de Dropbox con una dirección de correo en un dominio propiedad de tu empresa u organización, es posible que cierta información básica de tu perfil sea visible al resto de usuarios de ese dominio. Es decir, algo en plan: “¿Tú trabajas con Pepito? Quizá también conozcas a Juanito”.

• También recuerda Dropbox que publica un informe de transparencia sobre las peticiones gubernamentales que recibe. Y recomienda su lectura.

• Ahora la “actividad de cuenta” también se indica que se recopila como dato (seguro que antes también, pero no se especificaba).

• Entre la información que muestran los servicios se recuerda ahora que también está la fotografía de perfil.

En conclusión, se nota que Dropbox opera ya con data centers europeos desde finales de 2016, en Alemania concretamente, ya que sus términos y condiciones se han vuelto legalmente más razonables y ajustados a normativa de la UE. Sobretodo a destacar el nuevo derecho de desistimiento, o la ya no sujeción a normativa y jueces norteamericanos (que era en cualquier caso nula, pero siempre mejor que lo diga el servicio).

Mucho mejor, pues.

¡Feliz nube!

—–

Seguir a @jorge_morell

La entrada Dropbox renueva términos y condiciones: las novedades se publicó primero en Términos y Condiciones.

¿Es la privacidad de Telegram tan excelente como se dice?

ACTUALIZADO: 5 de junio de 2016, debido a los cambios en el último año.

Telegram la app de mensajería, lleva ya un tiempo entre nosotros (mediados de 2013), y desde entonces ha alcanzado una posición bastante respetable en el ámbito de la mensajería (más de 100 millones de usuarios activos al mes). Quizá no suficiente para luchar contra el gigante que es WhatsApp, pero sí para crear su particular nicho.

Con origen en Rusia (aunque no legal o físicamente, ya que su domicilio social se encuentra en Berlín),  nos interesa ver qué dicen sus términos y condiciones, y en especial en materia de privacidad. Por tanto, ahí va un 13 detalles dedicado a la privacidad de Telegram. Comencemos:

• La escueta y algo escondida Política de Privacidad de Telegram nunca llega a ser aceptada por el usuario al instalar la aplicación (al menos en la versión de iOS). Sí es cierto que ahora se aceptan unas muy, muy breves Condiciones del Servicio antes de indicar nuestro teléfono, que se resumen en: 1) No uses el servicio para enviar spam o fraudes al los usuarios; 2) no promociones la violencia mediante los bots del servicio o los canales de Telegram y; 3) no compartas contenido pornográfico mediante los bots o los canales de Telegram.

De hecho, dentro de la propia app sólo es posible encontrar la Política de Privacidad indirectamente a través de la opción “Preguntas Frecuentes”. Por tanto para empezar estaríamos ante un tratamiento de datos personales no consentido y escasamente informado.

• La edad necesaria para usar Telegram sigue sin indicarse en los términos y condiciones, al igual que otros detalles. De modo que habrá que entender que al menos en España será necesario tener 14 años para su uso (o menos, si consta consentimiento paterno).

• Telegram usa el número de teléfono como identificador único y solicita permiso antes de sincronizar la agenda de contactos. Agenda de contactos que es almacenada por el servicio a efectos de mostrar adecuadamente los nombres de los mismos y notificar (si así se ha indicado) cuando alguno de ellos se da de alta. De la agenda únicamente se recopilan número y nombre del usuario.

• Indican que nunca comparten tu información con nadie, entendiendo “nadie” (por lo que se deduce de sus FAQs) como agencias publicitarias, empresas de analítica o entidades que busquen un beneficio económico de la información personal recogida.

• Telegram dice que nunca incorporará anuncios o cobrará por la app. Si en algún momento necesita capital para continuar, dice que recurrirá a las donaciones o a los pagos por funciones no esenciales.

• Telegram únicamente almacenará los datos necesarios para funcionar de forma apropiada. O lo que es lo mismo: el número de teléfono, la fotografía de perfil (si se usa la opción), el nombre de perfil seleccionado, el “apodo” (público por defecto y si lo conocen te pueden contactar aunque desconozcan tu teléfono) la agenda de contactos, los mensajes escritos (excluyendo los chats secretos), los archivos enviados mediante la aplicación (cuyo acceso previamente se debe haber permitido), la última hora a la que te conectaste y los datos técnicos sobre el dispositivo en el que se instale la app. Esto hasta donde se dice expresamente o puede comprobarse, es probable que haya más datos (por ej. relativos a geolocalización).  

• Telegram almacena los mensajes y su contenido en la nube, para que sean accesibles desde cualquier dispositivo. ¿Por cuánto tiempo los almacena? En los chats secretos, el tiempo fijado por el emisor. En el resto de casos, cuando emisor y receptor lo eliminan de su dispositivo, entonces desaparece del servidor. Además, si en 6 meses no has hecho login el servicio, tu cuenta será eliminada. ¿Dónde los almacena? Desconocido (aunque gracias a Twitter sabemos que los datos de  usuarios europeos se alojan en Londres). Dicen que mediante un infraestructura propia basada en múltiples data-centers, la app es más rápida y segura. La localización de esos múltiples data-centers y si los datos llegan o no a abandonar Europa (con el mayor riesgo en materia de privacidad que eso pueda generar), es algo que desconocemos oficialmente.

• Los mensajes se almacenan cifrados, con tecnología simétrica de AES 256 bits, RSA 2048 y Diffie-Hellman, según el tipo de chat (si es secreto o no). Lo explican con mucho más detalle en su FAQ avanzada. También señalan ahora que las llaves de cifrado son almacenadas en diferentes data centers a lo largo de distintas jurisdicciones, dificultando el acceso físico a la información. 

• Quizá la gran particularidad de Telegram, ofrece salas de chat secretas. Son conversaciones que no se replican en la nube, ya que los mensajes quedan únicamente alojados en el dispositivo de quien los envió/recibió, una vez enviados desaparecen de sus servidores, se puede autodestruir el mensaje según el temporizador establecido por los usuarios y para el servicio las conversaciones son irrecuperables. Además, especifican ahora en su Pol. de Privacidad que el mensaje desaparece en los dispositivos de emisor y receptor al comenzar la cuenta atrás una vez mostrado el doble latiguillo. En los mensajes que circulan vía chats NO secretos, esto no ocurre (con la excepción del cifrado). Se detalla además qué pasa técnicamente al enviar fotos o vídeos mediante chats secretos.  

• Telegram emplea un sistema de doble latiguillo, mientras que el primero quiere decir que el mensaje ha sido enviado, el segundo significa que ha sido “leído” (es decir, que la conversación con ese mensaje ha sido abierta por el receptor y potencialmente vista/leída). La opción “Última vez conectado” puede desactivarse y tienes hasta 4 estados diferentes, en función del tiempo pasado desde la última conexión. 

• Si indicas que quieres eliminar tu cuenta, debes hacerlo desde la página de desactivación. Eliminar la cuenta implica el borrado permanente de los mensajes, grupos y contactos. Tal desactivación debe confirmarse a través de la aplicación y no puede deshacerse. Además, a los 6 meses sin conectarse al servicio, la cuenta y su contenido se elimina.

• Puedes crear bots en el servicio, aunque necesitar saber programar para ello, o usar bots creados por otros. Si decides añadirlos a un grupo, ojo ya que el bot podría no tener activado el modo privacidad y estar leyendo todos los mensajes de ese grupo. 

• Existen tres tipos de grupos, los normales (de hasta 200 miembros), los super grupos (de hasta 5.000 miembros) y los canales (con número ilimitado). Todo lo que compartas en una canal es público y el mensaje lo firma el titular del canal, no tú. En los super grupos, cuando eliminas un mensaje se elimina para todos. Y si bien los grupos están abiertos a cualquiera y todos pueden invitar, existe un modo restringido para establecer un administrador del grupo.

• Todo lo que se elimina, eliminado queda, ¿para siempre?. Bueno, hay dos excepciones: 1º las imágenes divertidas de gatos, esas las conservan porqué les encantan. La 2ª, se elimina todo de sus servidores y para el emisor, pero los contactos podrán seguir escribiendo en los grupos creados por ese emisor y los mensajes que envió seguirán en los buzones de los receptores hasta que los elimine (si no se quiere eso, debe usarse siempre la conversación en salas secretas).

En conclusión, Telegram es muy competente, los chats secretos son útiles, los mensajes normales están en principio cifrados, es gratuito, sin ánimo comercial hoy por hoy, abierto y teóricamente es un servicio que no tiene su base en Estados Unidos (lo que debería ser positivo en materia de protección de datos). Ahora bien, siguen tratando nuestros datos sin haberlo aceptado, no sabemos todavía con exactitud dónde los tratan ni el tiempo que los retienen, informan poco sobre cuestiones bastante básicas de privacidad (derechos ARCO o equivalentes) y olvidan toda mención al uso, edad o eventuales licencias.

Por tanto, es una alternativa interesante y sin duda ya asentada, pero más allá de cuestiones técnicas, sigue sin ser el salvador de la privacidad en mensajería.

¡Feliz chateo!

—–

Seguir a @jorge_morell

La entrada Telegram – 13 detalles sobre su privacidad se publicó primero en Términos y Condiciones.

¿Qué servicios aceptan, o no, la tecnología Do Not Track?

Última actualización: 1 de junio, añadidos Airbnb, Secret y Zynga

Do Not Track, en su fórmula abreviada DNT, consiste es una funcionalidad de los navegadores web modernos que, en caso de estar activada, indica a las webs que visitamos que no queremos ser rastreados y por tanto que no queremos que registren nuestros datos de navegación. Es algo así como decirle a Internet “No me sigas más”.

Su concepción es reciente, julio de 2009, y la propuesta corrió a cargo de los investigadores Christopher Soghoian, Sid Stamm, and Dan Kaminsky. No hace falta decir que en un mundo altamente preocupado por su privacidad y a la luz de que vivimos en un estado, si quien manda lo desea, de cuasi constante vigilancia, iniciativas como DNT son muy interesantes.

Ahora bien, ¿dónde está el “pero” (ya que obviamente hay uno)? El “pero” consiste en que DNT no es un encabezado HTTP estándar hoy por hoy, de modo que al final del día por mucho que el usuario lo active, depende del servidor web en concreto obedecerlo no. Unos lo hacen, otros no, en el fondo ahora mismo es una cuestión de etiqueta digital y poco más.

Pero ocurrió algo interesante este 1 de enero de 2014. En California entró en vigor una enmienda de la Online Privacy Protection Act californiana, la ley AB370. ¿Dónde está la particularidad de este cambio? Pues que la Ley AB370 establece que toda web con visitantes residentes en California, debe indicar en su Política de Privacidad cómo responde a peticiones “Do Not Track” o cualquier mecanismo que permita al usuario elegir si quiere o no que se recopile información personal mientras navega por Internet. De acuerdo que el cambio está pensando para entidades californianas, pero teniendo en cuenta la multitud de servicios basados en EE.UU. que empleamos, que raro es que no reciban visitas de residentes en California y que los servicios no crearán 2 políticas de privacidad, la información de esas políticas de privacidad sirven para los que residen en California pero también para los saurios del resto del mundo.

Aunque yo no pueda exigirlo como derecho, saber que por ejemplo las webs de Disney no aceptan “Do Not Track” puede resultarme muy útil, a pesar de no residir en California.

Como servidor se dedica a monitorizar políticas de privacidad, entre otros muchos términos y condiciones, y llevo semanas detectando cambios para indicar si se acepta o no “Do Not Track”, porqué no poner en orden esa información y compartir con todos el grado de “aceptación” que está teniendo una tecnología como “Do Not Track” en las grandes corporaciones. Pues dicho y hecho.

Ahí va tabla y gráfica con los (pocos) servicios que confirmado tengo han ya cambiado su Política de Privacidad para señalar si aceptan o no “Do Not Track”. La verdad es que por ahora no aplican mucho la norma… También añado alguno que no lo indica en su Pol. de Privacidad, pero aún así señala qué hace con “Do Not Track”. El caso de Facebook es el único en el que debo basarme en declaraciones de sus directivos para “confirmar” la no aceptación de DNT. Ya adelanto que la cosa pinta mal. En general el argumento para no aceptarlo es que no es un estándar y nadie sabe exactamente qué debe entenderse por DNT. Así prefieren no confundir a, entre otros, los usuarios.

A medida que haya nuevas incorporaciones, iré actualizando la información.

Geolocalización y otros datos de las empresas según sus términos y condiciones, en el Mapa de Términos y Condiciones.

La tabla:

El gráfico: ¿Aceptan “Do Not Track” las empresas?

Continuará…

—–

Seguir a @jorge_morell

La entrada Do Track or Do Not Track, he ahí la cuestión se publicó primero en Términos y Condiciones.

¿Qué particularidades presenta la privacidad de la video consola Xbox One?

Xbox One, la nueva video consola de Microsoft, llega hoy al mercado precedida de varias y entretenidas polémicas.

La más destacada fue la relativa a su en principio muy presente sistema de DRM y a la reventa de los videojuegos, asunto resuelto finalmente con una de las mayores rectificaciones que se recuerdan en los últimos años por parte de una gran multinacional. Otra muy interesante, y que aún hoy sigue dando que hablar, consiste en hasta que punto la nueva Xbox y la cámara inteligente que incorpora de serie, Kinect, resultan un peligro demasiado alto para la privacidad de sus usuarios (y sus allegados). ¿Nos espía Kinect en favor de un nivel de conocimiento de los hábitos de consumo y una personalización de la publicidad pocas veces vista hasta el momento? Microsoft dice que no, pero sigue existiendo la duda.

Pues bien, teniendo en cuenta lo que dice la Declaración de Privacidad de Xbox que acabas de aceptar, vamos a destacar algunos de los puntos respecto a los que te acabas de comprometer en cuanto a la privacidad de Xbox One. Será un comentario sencillo y únicamente en materia de privacidad, ya que dejo para el análisis más exhaustivo de todos los términos y condiciones de la nueva video consola (bastante extensos y variados), el resto de asuntos. De modo que por ahora nos centramos en la privacidad.

Recordar que la geolocalización y otros datos de la empresa según sus términos y condiciones, pueden encontrarse en el Mapa de Términos y Condiciones.

Dicho esto, vamos allá.

Cuando creas una cuenta de Microsoft/Xbox, le es asignada un identificador exclusivo de 64 bits que ayuda a dar con la información asociada a la cuenta, como por ejemplo la información de seguridad para recuperar la cuenta como emails alternativos o preguntas secretas que te hayan hecho. Pero no olvides que el correo electrónico y la contraseña elegida son las piezas claves para ganar o recuperar el acceso a tu cuenta.

Ahora bien, de los datos personales proporcionados, los importantes a efectos de recibir anuncios personalizados son: sexo, país, código postal y fecha de nacimiento. Dos particularidades en este sentido, la fecha de nacimiento es el dato clave para que la cuenta Microsoft/Xbox sea verificada o no como apta para un niño. Existen cuentas de menores (menores de 13 años), adolescentes (menores de 17 años) y adultos (mayores de 18 años). Si se tienen menos de 18 años, es necesario el consentimiento paterno para crear una cuenta verificada. ¿Cómo se obtiene el consentimiento de uno de los padres para crear una cuenta verificada? Con un cargo en una tarjeta de crédito o débito a nombre del tutor legal. La segunda particularidad es que uno puedo rechazar los anuncios personalizados, pero eso sólo significa que no recibirá publicidad teledirigida, ya que el rastreo se seguirá haciendo, la información se seguirá recopilando y se seguirán mostrando anuncios, pero aleatorios.

Cada vez que inicias sesión en una cuenta de Microsoft/Xbox en un dispositivo X, se le asigna al mismo un identificador aleatorio que luego se envía e integra en las credenciales de tu cuenta. Además, cada vez que inicias sesión en general, se registra tu IP, el identificador de 64 bits comentado antes, el navegador web, la fecha y la hora.

Muy bien, ¿pero qué información se recopila en concreto al crear una cuenta en Xbox One? Pues mucha. Y el origen se encuentra en 3 fuentes, la que se da de forma voluntaria, la recopilada automáticamente y la que tiene origen en terceras partes. Es decir, concretamente hablamos de: nombre, fecha de nacimiento, código postal, correo electrónico, contraseña, eventualmente número de móvil y PIN, hábitos de uso, IP, ubicación, identificadores únicos variados, navegador web usado, páginas vistas, funcionalidades empleadas, múltiples estadísticas de juego, juegos empleados, sesiones abiertas y cerradas, información de diagnóstico, versión de Xbox Live y su SO, posible hardware instalado en Xbox, términos de búsqueda empleados en Bing (se guardan por separado), comandos de voz utilizados (se guardan por separado), películas, apps, TV, música u otro contenido consumido o adquirido (si se ha dado el permiso) y datos demográficos que se puedan comprar de otras compañías (esto último lo dice literal).

Destacar que los datos de consumo televisivo, en cuentas verificadas como de niños o adolescentes, no son recopilados. A los adultos se les pedirá permiso.

Toda esa información recopilada, se usa para personalizar el servicio, ofrecer recomendaciones, facilitar el historial de transacciones, responder las solicitudes de atención al cliente y en general mejorar los servicios Xbox. Pero ojo, ya que esos datos pueden combinarse con información que Microsoft tenga de otros servicios, para hacerla más personalizada, y además se puede complementar con los datos adquiridos de otras empresas. Por ejemplo, los de ubicación. Además, tu participación en partidas en directo, logros, torneos, clasificaciones o similares implica que se recopilen y compartan datos de hábitos de uso por parte Microsoft y terceros implicados.

Uno de los usos importantes de la información recopilada es la publicidad, más si se tiene en cuenta que hasta 25 empresas de publicidad oficialmente pueden proporcionar anuncios, y como no ahí Kinect puede jugar un papel fundamental. ¿Lo hace? Vamos a verlo. En primer lugar decir que para un tercero poder emplear datos personales captados con Kinect, necesita el OK expreso de Microsoft. Si lo obtuviera, no puede luego emplear esa información para publicidad, marketing, vender un producto o personalizar un anuncio. Por tanto un tercero puede usar Kinect para recoger datos que le permitan mejorar las experiencias ofrecidas y crear de nuevas. Pero nada más.

¿Y qué capta por tanto Kinect? Una considerable cantidad de información biométrica, aunque casi toda queda en local o se autodestruye al poco tiempo. En primer lugar capta la estructura facial del usuario, que se guarda en local en forma de número asignado únicamente a él y que nunca llega a estar online. En segundo lugar, capta un esqueleto de su cuerpo. Este “muñeco de palos” se guarda temporalmente en memoria hasta que cierra la sesión. Si durante la sesión conecta online, Microsoft guarda el esqueleto para análisis y mejora de Kinect, pero lo recopila de forma anónima y una vez analizado, elimina el dato. En tercer lugar están los gestos con las manos, utilizados para dar órdenes al dispositivo. Al parecer no se almacenan y dicen que no te identifican. En cuarto lugar encontramos las expresiones faciales, guardadas en la consola, se eliminan al finalizar la sesión y según Microsoft no te identifican. En quinto lugar Kinect recoge tu voz, y aquí es importante destacar que en cuanto a las conversaciones por chat o video chat, expresamente se dice que no esperes nivel alguno de privacidad… si bien Microsoft no escucha lo que se habla por Skype. En lo que respecta a las órdenes de voz, si das permiso (da la sensación que es la opción por defecto) se almacenan fragmentos de tu voz para darte por ejemplo los resultados de una búsqueda y se envían y analizan el resto de órdenes para la mejora del producto. Si no das el OK a este tratamiento, se eliminarán todos los fragmentos pendientes de enviar, no así los ya compartidos. Finalmente, y en sexto lugar, Kinect a través de Xbox Fitness es capaz de detectar tu ritmo cardíaco y las calorías que quemas durante una actividad, dato que si quieres puede complementarse con tu peso, altura, edad y sexo. Esa información por defecto sí está online pero privada. Puede eliminarse a través de la app concreta que la recogió.

Dos detalles más sobre Kinect y Xbox One, en principio no realiza escucha pasiva mientras está en reposo, exceptuando la orden “Xbox On”, que sí entenderá con independencia de quién la dé. El dispositivo también puede capturar fotografías y/o vídeos que si bien quedan en la consola, pueden compartirse si el usuario lo desea.

Cambiando de tercio, otra de las novedades de Xbox One es el sistema de DVR o grabación de juego, ya sea voluntario o automatizado. Las particularidades aquí residen en que el nivel de compartir el contenido grabado varía en función de si la cuenta ha sido verificada como de adulto, adolescente o niño, y que las grabaciones durante partidas con otros jugadores captan tu personaje y gamertag, pero no los chat de voz.

SmartGlass, otra de las novedades de Xbox One, implica “llevarse” contenido del juego a una segunda pantalla, ya sea de tablet o móvil. En este caso Microsoft y/o tercero que proporcione la app conocerá información sobre el dispositivo usado y los hábitos de uso de la app en concreto. También podrías revelar tu ubicación para por ejemplo obtener logros por distancia viajada entre sesiones de juego.

En materia de cookies, y sobretodo ahora que Internet Explorer está muy integrado en Xbox, decir que existen en sus múltiples variedades (y son muchas), pueden bloquearse, eliminarse y gestionarse, pero lo que sí es importante destacar, es que Microsoft no instala cookies propiamente hablando en Xbox. Eso lo señala literalmente.

Como curiosidad final, incluye Microsoft en los términos y condiciones de su Declaración de Privacidad de Xbox una cláusula denominada “Otra información de privacidad importante”. Según Microsoft se trata de información que no creen que resulte necesario resaltar en todas las declaraciones de privacidad, ya que parte de ella “simplemente afirma obviedades”. Ahora bien, “nuestros abogados nos aconsejan incluirla” xD Se agradece la franqueza.

Y por ahora nada más en cuanto a los términos y condiciones de Xbox One, próximamente análisis en profundidad de todo lo que regulan y no sólo los aspectos de privacidad.

¡Feliz partida!

—–

Seguir a @jorge_morell

La entrada Xbox One y su privacidad, qué debe preocuparte se publicó primero en Términos y Condiciones.