Política de privacidad

Aplicación Decidimos · última actualización: 28 de octubre de 2026

Esta política explica qué datos maneja la aplicación Decidimos, por qué, y cuánto tiempo. Está escrita en el mismo espíritu que la aplicación: lo mínimo indispensable, y verificable.

Quién es el responsable

Heitaria Swiss AG, Rigistrasse 1, 6374 Buochs, Suiza, es la titular de la aplicación y responsable del tratamiento de datos. La operación en terreno la realiza el Comité Único Provincial de las Comunidades Originarias de Nor Lípez (CUPCONL) bajo instrucciones de la titular.

Contacto: info@heitaria.ch

Qué datos recogemos, y por qué

Cuenta de ingreso — inicias sesión con Apple o Google. Firebase (Google) guarda el identificador de tu cuenta y el correo que Apple o Google entregan (con Apple puedes ocultar tu correo real). Sirve para reconocerte cuando vuelves a entrar.
Cédula de identidad — se procesa al verificar tu identidad, a través del proveedor Didit. La aplicación no guarda el número: guarda únicamente un hash con sal secreta, que sirve para reconocer a la misma persona sin poder recuperar su número.
Fotografía del rostro y de la cédula — se envían a Didit para la verificación, al inscribirte y en la comprobación anual de vida (una selfie al año). No las guardamos en nuestros servidores; Didit las retiene según su propia política.
Padrón de la comunidad — tu comunidad, si vives en ella (residencia, que da derecho a los pagos), y los cambios que aprueba la asamblea (nacimientos, fallecimientos, bajas). El padrón no contiene nombres: cada persona figura sólo por el hash de su cédula.
Billetera — la dirección pública de tu billetera en la red Polkadot, los pagos mensuales que te enviamos y los movimientos hechos dentro de Decidimos. Lo necesitamos para pagarte y para que veas tu historial.
Contactos y ayudantes de recuperación — si eliges familiares que te ayuden a recuperar tu billetera, guardamos el hash de su cédula y la dirección de su billetera, nunca su nombre.
Propuestas — el texto, la categoría y, si grabas, el audio de las propuestas que presentas. Los facilitadores pueden subir fotos, planos y audios de las obras para calcular su costo.
Notificaciones — si las aceptas, un identificador del teléfono para enviarte avisos, tu idioma y qué avisos quieres recibir.
Ubicación aproximada — sólo si concedes el permiso, y sólo para ordenar la lista de comunidades por cercanía. Se usa en el teléfono; no se guarda ni se envía al servidor.
Voto — se firma con una firma ciega antes de ser enviado. Por diseño criptográfico, ni Heitaria, ni CUPCONL, ni ningún tercero puede vincular un voto a la persona que lo emitió.

Lo que nunca sale de tu teléfono

La llave de tu billetera y tus 12 palabras de respaldo. Se crean y se quedan sólo en tu teléfono. Nadie más —ni Heitaria, ni CUPCONL— puede mover tu dinero ni recuperarlo por ti.
Tu huella o Face ID, si los usas para confirmar un voto o un pago. Los verifica el propio teléfono.

Importante: la red Polkadot es pública

Los pagos y las transferencias de la billetera quedan registrados en la red Polkadot, que es pública y permanente. Cualquiera puede ver los movimientos de una dirección; nadie puede ver a quién pertenece, salvo que tú se lo digas. Lo que queda en la red no se puede borrar, tampoco si eliminas tu cuenta.

Qué datos NO recogemos

Tu nombre. La base de datos no lo almacena.
Tu dirección ni tu teléfono.
Historial de navegación ni datos de otras aplicaciones.
Publicidad ni identificadores publicitarios. No hay rastreo.

Con quién compartimos datos

Didit (verificación de identidad) — sólo lo necesario para verificar tu cédula y tu rostro.
Google Firebase y Google Cloud — inicio de sesión e infraestructura donde corre el sistema. Los datos permanecen bajo control de Heitaria Swiss AG.
Expo — envío de notificaciones al teléfono.
La red Polkadot — ver arriba: las transacciones de la billetera son públicas.

No vendemos datos. No compartimos datos con anunciantes. La aplicación no cambia dólares digitales a bolivianos ni a otra moneda.

Cuánto tiempo se conservan

El hash de tu cédula y tu registro en el padrón: mientras figures en el padrón de tu comunidad. El padrón pertenece a la asamblea.
Tu cuenta de ingreso: hasta que la elimines.
Los registros de pagos: el tiempo que exija la ley para la rendición de cuentas del programa.
Tus votos: anónimos por diseño. No hay forma técnica de asociarlos contigo, y por eso no pueden eliminarse uno por uno.
Las transacciones en la red Polkadot: permanentes, fuera de nuestro control.

Tus derechos

Eliminar tu cuenta desde la aplicación: Más → Mi cuenta → Eliminar mi cuenta. Antes de eliminarla, guarda tus 12 palabras o pasa tu dinero a otra billetera: el dinero sigue en la red y sólo se puede mover con tu llave.
Pedir acceso a tus datos, su corrección o su eliminación, escribiendo a info@heitaria.ch.
Si vives en la Unión Europea o en Suiza, también puedes reclamar ante la autoridad de protección de datos de tu país.

Niñas, niños y adolescentes

Las cuentas, el voto y la billetera son sólo para personas mayores de 18 años. Para pagar la parte que corresponde a cada menor, CUPCONL lo inscribe en el padrón con el acta de la asamblea: guardamos el hash de su cédula, su fecha de nacimiento y quién es su madre, padre o tutor (también por hash). El 70 % de su parte se paga cada mes a la billetera del tutor; el 30 % queda guardado en una cuenta bloqueada hasta que cumpla 18 años.

Mi Ahorro y Aprende. La madre, el padre o el tutor puede ver en su propia aplicación lo guardado para cada hijo o hija y hacer con ellos lecciones cortas sobre el dinero. Desde los 12 años, el tutor puede además vincular el teléfono del propio menor: lo hace mostrando un código de un solo uso, válido 15 minutos. Ese teléfono sólo puede mirar lo guardado y hacer las lecciones: no tiene cuenta, ni billetera, ni voto, y no puede mover dinero.

De un teléfono vinculado guardamos únicamente: un código aleatorio que identifica el vínculo (guardado como hash), el modelo del teléfono para que el tutor lo reconozca en su lista, la última vez que se usó, y qué lecciones se hicieron y con qué resultado. No pedimos al menor su nombre, su correo, su ubicación ni fotos. Si el tutor le pone un apodo, sólo lo ven el tutor y ese teléfono. No hay publicidad ni rastreo.

El tutor puede desvincular el teléfono cuando quiera, y el menor también desde su propio teléfono. Para pedir que se borren estos datos, escribe a info@heitaria.ch.

Seguridad

Todas las comunicaciones usan TLS. Los hashes de cédula usan una sal secreta guardada en Google Secret Manager. El registro de eventos es una cadena de hashes con firma diaria Ed25519, publicada abiertamente en el bucket público del programa.

Cambios a esta política

Si hacemos cambios importantes, publicaremos la nueva versión aquí y lo anunciaremos dentro de la aplicación.

Privacy policy

Decidimos app · last updated: 28 October 2026

Español English

This policy explains what data the Decidimos app handles, why, and for how long. It follows the same idea as the app: as little as necessary, and verifiable. The app itself is in Spanish, Quechua and Aymara; this English version is provided for information.

Who is responsible

Heitaria Swiss AG, Rigistrasse 1, 6374 Buochs, Switzerland, owns the app and is the data controller. On the ground, the app is operated by the Comité Único Provincial de las Comunidades Originarias de Nor Lípez (CUPCONL) on Heitaria's instructions.

Contact: info@heitaria.ch

What we collect, and why

Sign-in account — you sign in with Apple or Google. Firebase (Google) stores your account identifier and the email address Apple or Google provides (with Apple you can hide your real address). It lets us recognise you when you return.
National ID card (cédula) — processed when you verify your identity, through the provider Didit. The app does not store the number: only a salted hash, which recognises the same person without the number being recoverable.
Face and ID-card photos — sent to Didit for verification, when you enrol and for the yearly proof-of-life check (one selfie a year). We do not keep them on our servers; Didit retains them under its own policy.
Community register (padrón) — your community, whether you live there (residence, which qualifies for payouts), and changes approved by the assembly (births, deaths, removals). The register holds no names: each person appears only as the hash of their ID number.
Wallet — your wallet's public address on the Polkadot network, the monthly payouts we send you, and transactions made inside Decidimos. We need this to pay you and to show you your history.
Recovery contacts and helpers — if you choose family members to help you recover your wallet, we store the hash of their ID number and their wallet address, never their name.
Proposals — the text, category and, if you record one, the audio of proposals you submit. Facilitators may upload photos, plans and audio of the works to estimate their cost.
Notifications — if you allow them, a device token to send you notices, your language, and which notices you want.
Approximate location — only if you grant permission, and only to sort the list of communities by distance. It is used on the phone and never stored or sent to the server.
Your vote — blind-signed before it is sent. By cryptographic design, neither Heitaria, nor CUPCONL, nor anyone else can link a vote to the person who cast it.

What never leaves your phone

Your wallet's private key and your 12 backup words. They are created and kept only on your phone. Nobody else — not Heitaria, not CUPCONL — can move your money or recover it for you.
Your fingerprint or Face ID, if you use them to confirm a vote or a payment. The phone itself checks them.

Important: the Polkadot network is public

Wallet payouts and transfers are recorded on the Polkadot network, which is public and permanent. Anyone can see the transactions of an address; nobody can see who owns it unless you tell them. What is recorded on the network cannot be deleted, including when you delete your account.

What we do NOT collect

Your name. The database does not store it.
Your home address or phone number.
Browsing history or data from other apps.
Advertising data or advertising identifiers. There is no tracking.

Who we share data with

Didit (identity verification) — only what is needed to verify your ID and face.
Google Firebase and Google Cloud — sign-in and the infrastructure the system runs on. The data remains under Heitaria Swiss AG's control.
Expo — delivery of push notifications.
The Polkadot network — see above: wallet transactions are public.

We do not sell data. We do not share data with advertisers. The app does not exchange digital dollars into bolivianos or any other currency.

How long we keep data

Your ID hash and register entry: as long as you are on your community's register. The register belongs to the assembly.
Your sign-in account: until you delete it.
Payout records: as long as the law requires for the programme's accountability.
Your votes: anonymous by design. There is no technical way to link them to you, so they cannot be deleted individually.
Transactions on the Polkadot network: permanent and outside our control.

Your rights

Delete your account in the app: Más → Mi cuenta → Eliminar mi cuenta. Before deleting it, keep your 12 words or move your money to another wallet: the money stays on the network and can only be moved with your key.
Request access to, correction of, or deletion of your data by writing to info@heitaria.ch.
If you live in the European Union or Switzerland, you can also complain to your country's data protection authority.

Children and teenagers

Accounts, voting and the wallet are for people aged 18 and over only. To pay the share each minor is entitled to, CUPCONL enters them in the register on the basis of the assembly's minutes: we store the hash of their ID number, their date of birth, and who their mother, father or guardian is (also as a hash). 70% of their share is paid monthly to the guardian's wallet; 30% is held in a locked account until they turn 18.

Mi Ahorro and Aprende. A mother, father or guardian can see in their own app what is being saved for each child, and do short money lessons with them. From age 12, the guardian can also link the minor's own phone by showing a one-time code valid for 15 minutes. That phone can only view the savings and do the lessons: it has no account, no wallet, no vote, and cannot move money.

From a linked phone we store only: a random code identifying the link (stored as a hash), the phone model so the guardian can recognise it in their list, when it was last used, and which lessons were done and with what result. We do not ask the minor for their name, email, location or photos. If the guardian gives the child a nickname, only the guardian and that phone can see it. There is no advertising and no tracking.

The guardian can unlink the phone at any time, and so can the minor from their own phone. To request deletion of this data, write to info@heitaria.ch.

Security

All communication uses TLS. ID hashes use a secret salt kept in Google Secret Manager. The event log is a hash chain with a daily Ed25519 signature, published openly in the programme's public bucket.

Changes to this policy

If we make important changes, we will publish the new version here and announce it in the app.