En vigor desde el momento de su publicación
En caso de discrepancia de la presente Política con la Carta se aplica la Carta, y en caso de discrepancia de la Carta con la Declaración, la Declaración. El tratamiento de los datos biométricos está descrito aparte, en la Política de verificación biométrica, y en caso de discrepancia sobre esa materia prevalece esta última. En el período constituyente - desde el 22 de noviembre de 2026 hasta la adopción de la Declaración - la firma de la Declaración y la adhesión al pueblo están suspendidas: un pueblo definido por un texto adoptado todavía no existe. La verificación de identidad en ese período se realiza gratuitamente y, como resultado, se entrega un documento temporal de participante en la constitución, y no un pasaporte (documento «El período constituyente», parte 2, apartado 5). El documento temporal se emite en el mismo contrato que el pasaporte (documento «Dónde estamos ahora»). La presente Política se aplica también a esa verificación; lo que en ella se dice sobre la firma, la cuota y el pasaporte se refiere al régimen principal posterior a la adopción de la Declaración.
Responsable del tratamiento de los datos personales. En la etapa de formación de las estructuras, las funciones de responsable las ejercen los fundadores del proyecto. A medida que avance el desarrollo institucional, la función se traspasa a una estructura, y sus datos identificativos se publican aquí.
Comunicaciones sobre los derechos del interesado: privacy@earth-lings.org
Minimización. Se recaba solo lo que es realmente necesario para el funcionamiento del pueblo. Si una función se puede realizar sin datos, se realiza sin ellos.
Limitación de la finalidad. Los datos recabados para una finalidad no se emplean para otra. La lista de finalidades de la sección 03 es exhaustiva.
Comprensibilidad. Cada decisión sobre la recogida o el uso de datos se explica con palabras corrientes. Si la explicación exige formación jurídica, la explicación es mala.
La mayoría de las plataformas consideran los datos personales una mercancía. Nosotros los consideramos parte de la dignidad humana.
Qué: seudónimo a su elección, dirección de correo electrónico, país de residencia, confirmación de ser mayor de 18 años.
Para qué: el seudónimo es el nombre con el que lo ven los demás participantes en la plataforma y que figura en su pasaporte; en la comprobación abierta del pasaporte y en el registro no se muestra; el correo, para confirmar el registro y para el contacto; el país, para la estadística de distribución geográfica, para la página del pasaporte y para el perfil en la plataforma; la edad, condición obligatoria de participación.
El nombre y los apellidos reales no se conservan.
Qué se conserva: el estado de la comprobación, el tipo y el país de expedición del documento, las puntuaciones numéricas de la comprobación, los motivos de denegación y hashes irreversibles, calculados con la clave secreta del servidor - un hash del número del documento y un único hash conjunto del nombre, los apellidos y la fecha de nacimiento que figuran en el documento; el número del documento, el nombre, los apellidos y la fecha de nacimiento como tales no se conservan.
Qué no se conserva: las imágenes del rostro y del documento y las plantillas biométricas. Se tratan en el momento de la comprobación y se suprimen.
Para qué: para que una misma persona no pueda tener dos pasaportes en vigor.
Con precisión, sobre la condición de los hashes. Un hash es irreversible y se calcula con la clave secreta del servidor: de él no se puede leer el nombre ni el número del documento y, sin la clave, tampoco se pueden obtener por fuerza bruta. Pero permite distinguir a una persona concreta entre otras; de lo contrario no cumpliría su tarea. Por eso son datos seudonimizados y no anónimos, y la protección de datos personales se les aplica en su totalidad.
Los detalles están en la Política de verificación biométrica.
Qué: dirección IP, tipo de navegador y de dispositivo, sistema operativo.
Para qué: seguridad, detección de actividad sospechosa, soporte técnico.
Qué: asientos de las acciones en la interfaz: qué secciones se han abierto, la participación en el trabajo de las células, las consultas al soporte; los mensajes en los chats, la delegación del voto, la reputación y las marcas de participación; la localización con precisión de ciudad - ciudad, región y huso horario -, si usted la ha indicado.
Para qué: mejorar el funcionamiento de la plataforma y el diagnóstico técnico.
Qué no hay aquí ni lo habrá. El contenido de su voto no debe ser accesible a nadie, incluidos quienes operan la plataforma, y tampoco se hace público el hecho de que usted haya participado o no en la votación. Son públicos el resultado de la votación y los votos cedidos que emite el delegado: es una propiedad de la votación misma, y no de la analítica. El medio que lo asegurará técnicamente todavía se está eligiendo, y sobre cómo están las cosas ahora hablamos con claridad: en el canal abierto de votaciones desplegado, el voto y la dirección del monedero son públicos, y en él no se han celebrado votaciones de fondo; los votos en las células la plataforma los conserva junto con la cuenta, a los demás participantes de la célula les muestra el resultado y las objeciones con sus argumentos, y quienes operan la plataforma tienen acceso técnico a los votos conservados.
Para mejorar la plataforma, los datos de uso se emplean de forma agregada. Son datos agregados, y no anonimizados: mientras un asiento esté vinculado a una cuenta, sigue siendo un dato personal.
Qué: direcciones de monederos, asientos sobre el pasaporte, transacciones.
Para qué: el funcionamiento de la infraestructura y su participación en las decisiones.
Los asientos del registro, por la naturaleza de la tecnología, no se suprimen, y precisamente por eso el nombre, el documento, la biometría y los hashes de la comprobación no se inscriben en ellos en el momento de la emisión. En la emisión se inscriben en el registro la dirección del monedero, el número del asiento del pasaporte, el identificador del participante por el que el asiento queda vinculado a los datos del sistema de verificación de identidad, y la hora de la emisión; la emisión y la destrucción dejan marcas en el registro. Son datos seudónimos que nosotros tenemos vinculados a su cuenta de usuario.
Cómo se relaciona esto con el derecho de supresión (art. 17 del RGPD). El derecho de supresión se ejerce allí donde los datos están en nuestro poder: la cuenta y los registros de la plataforma se suprimen a petición suya, salvo la dirección del monedero, el número del asiento del pasaporte, el seudónimo y el país y, para quien pertenece al pueblo, la supresión de la cuenta solo va unida a la salida; los datos de la verificación de identidad señalados más arriba permanecen, incluidos los hashes, para que una misma persona no pueda tener dos pasaportes en vigor. El asiento del registro en sí no se suprime porque no puede suprimirlo nadie, nosotros incluidos: no está bajo nuestro control, y en él no hay nombre, ni documento, ni biometría, ni hashes de la comprobación. No afirmamos que eso resuelva la cuestión de manera exhaustiva: la relación entre los registros inmutables y el derecho de supresión no está asentada en la práctica de las autoridades de control. Hemos elegido una construcción en la que a la parte inmutable no llegan ni el nombre, ni el documento, ni la biometría, ni los hashes de la comprobación.
Ejecución de un contrato (art. 6.1.b del RGPD): registro, mantenimiento de la cuenta, emisión y servicio del pasaporte, participación en las decisiones, tratamiento de las transacciones, acceso a la infraestructura.
Consentimiento explícito (art. 6.1.a y art. 9.2.a del RGPD): exclusivamente para el tratamiento de datos biométricos en la verificación de identidad. Para los envíos informativos el fundamento es el consentimiento (art. 6.1.a del RGPD).
Aquí no hay ni puede haber dos bases a la vez. La biometría pertenece a la categoría especial de datos del artículo 9 del RGPD, y ni la ejecución de un contrato ni el interés legítimo la legitiman por sí solos. La única base es su consentimiento explícito, y usted puede revocarlo en cualquier momento. Las consecuencias de la revocación están descritas en la Política de verificación biométrica.
Interés legítimo (art. 6.1.f del RGPD): prevención de registros múltiples y de abusos, seguridad de la plataforma, soporte técnico, llevanza del registro de participantes en sus campos no sensibles (seudónimo, país, estado de la comprobación). Usted puede oponerse al tratamiento basado en esta base (sección 07).
Obligación legal (art. 6.1.c del RGPD): cumplimiento de las obligaciones que nos impone el derecho de la Unión Europea o de un Estado miembro.
La lista es exhaustiva: no se realiza tratamiento con otras finalidades.
Nunca: publicidad y marketing de terceros; venta o cesión a intermediarios de información; elaboración de perfiles con fines comerciales; seguimiento fuera de la plataforma; cualquier finalidad no indicada más arriba.
Aquí hay que separar tres recursos distintos, porque están hechos de manera distinta.
El sitio público no emplea cookies: ni para autenticar, ni para personalizar, ni para analizar. Lo único que se conserva en el navegador es la lengua de interfaz que usted haya elegido, en el almacenamiento local del dispositivo. Es un ajuste técnico y no un identificador: no está vinculado a su identidad.
La plataforma, donde usted entra en su cuenta, emplea cookies de sesión técnicamente necesarias; sin ellas no se puede entrar. No se emplean ni para analítica, ni para publicidad, ni para seguimiento fuera de la plataforma, y se suprimen al salir de la cuenta. La página de verificación de identidad (id.earth-lings.org) coloca una cookie del formulario técnicamente necesaria, elp_form_session - dura 24 horas, y sin ella no se puede completar el formulario -, y, con una vigencia de un año, una cookie earthlings_lang con la lengua elegida; en el almacenamiento local del navegador la página guarda la lengua elegida y la marca de los acuerdos aceptados junto con la dirección del monedero.
No hay cookies de analítica ni de publicidad en ninguno de los tres recursos, y no se instalan rastreadores de terceros. Las visitas a los tres las cuenta el contador de estadística propio del pueblo (stats.earth-lings.org), también sin cookies: recibe la dirección de la página, la dirección IP, el tipo de navegador y de dispositivo, el tamaño de la pantalla y las acciones en la página, incluido el cambio de lengua, y sirve a la estadística agregada de visitas.
Por defecto, los datos permanecen en la infraestructura del pueblo. Las excepciones se limitan a tres casos.
Proveedores técnicos. La verificación de identidad la realiza el sistema propio del pueblo. Para el funcionamiento de la infraestructura reciben datos de los participantes: el proveedor de alojamiento en cuyos servidores funciona la infraestructura; el servicio de correo Zoho - cartas y consultas; Web3Auth - entrada con el correo, con Google o con Apple y creación del monedero; Cloudflare Turnstile - protección del formulario frente a peticiones automáticas (señales del navegador y dirección IP); las redes de entrega de scripts jsDelivr, cdnjs y esm.sh - la dirección IP al cargar la página; los nodos de la red Polygon, WalletConnect y Snapshot - la dirección del monedero, la dirección IP y los actos firmados con el monedero; el servicio de pagos NOWPayments - la dirección de correo y la del monedero al abonar la cuota en el régimen principal; GitHub - el registro abierto de propuestas del período constituyente, en el que se publican la propuesta misma y la respuesta a ella (documento «El período constituyente»).
Requerimientos legales. Los datos se ceden únicamente por una resolución judicial firme o un requerimiento legal equivalente, cuya legitimidad se comprueba en cada caso. De los requerimientos atendidos se avisa al participante, salvo que la propia resolución lo prohíba; el resumen se publica en el informe de transparencia.
Datos públicos de las decisiones. Una parte de los datos es pública por la naturaleza del autogobierno: las propuestas, incluidas las propuestas del período constituyente junto con sus respuestas (documento «El período constituyente»), los resultados de las votaciones, el movimiento de los fondos comunes. De una carta con una propuesta se publica su texto; el nombre y los datos de contacto de quien la envía no se publican sin su consentimiento y, si pide que se le nombre, se publica únicamente el nombre que haya indicado. El contenido del voto personal y la participación de una persona concreta en la votación no pertenecen a esa categoría; son públicos los votos cedidos que emite el delegado.
Por ahora la descentralización protege solo el registro: la base del sistema de verificación de identidad, junto con la clave con la que se calculan los hashes, y la base de la plataforma están en un mismo servidor, y su compromiso revelaría los datos allí conservados. El registro de pasaportes vive en una red distribuida y no en nuestros servidores, y sigue siendo verificable con independencia de que la plataforma funcione o no.
Ante un incidente. Si se produce una violación de seguridad que afecte a sus datos, le avisaremos en el plazo de 72 horas desde su detección y le informaremos de las medidas adoptadas.
Acceso. Obtener una copia de sus datos e información sobre cómo se tratan.
Rectificación. Rectificar datos inexactos o incompletos.
Supresión. Suprimir los datos que estén fuera del registro distribuido, salvo los señalados en la sección 02 (recuadro sobre el derecho de supresión); para quien pertenece al pueblo, la supresión de la cuenta solo va unida a la salida. Los asientos del registro, por la naturaleza de la tecnología, no se suprimen; al salir, el pasaporte se destruye y en el registro queda una marca seudónima de que la pertenencia existió en un período determinado. Es un hecho del pasado, y no una pertenencia continuada.
Limitación del tratamiento (art. 18 del RGPD). Exigir que se suspenda el tratamiento mientras se comprueba la exactitud de los datos o la fundamentación de una oposición.
Oposición (art. 21 del RGPD). Oponerse al tratamiento basado en el interés legítimo. Cesamos el tratamiento salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses.
Portabilidad. Obtener sus datos en formato legible por máquina y transmitirlos a otro responsable.
Revocación del consentimiento (art. 7.3 del RGPD). Revocar en cualquier momento el consentimiento para el tratamiento de datos biométricos o para los envíos. La revocación no afecta a la licitud del tratamiento anterior a ella; las consecuencias están descritas en la Política de verificación biométrica.
Decisiones sin automatización (art. 22 del RGPD). Usted puede no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca para usted efectos significativos.
Qué significa esto en la práctica. Una denegación automática de la verificación de identidad no es definitiva: usted puede exponer su posición y exigir la revisión por una persona y, tras dos intentos automáticos fallidos, la revisión por una persona se realiza sin necesidad de solicitarla.
Si para analizar las propuestas en la plataforma se emplean herramientas auxiliares, estas no adoptan decisiones: sus conclusiones tienen carácter de recomendación, sus fundamentos se revelan y el examen por una persona está garantizado.
Reclamación. Presentar una reclamación ante la autoridad de control de protección de datos de su país.
Salida. Poner fin a la participación en cualquier momento: usted destruye el pasaporte con su propia clave. La destrucción del pasaporte no suprime por sí sola los datos: los datos de la cuenta se suprimen a petición suya.
Cómo ejercerlos. La mayoría de las funciones está disponible en el área personal. Para lo demás: privacy@earth-lings.org. Respondemos en el plazo de 48 horas y concluimos el tratamiento de la solicitud en el plazo de 30 días.
Una vez convertida en earthling, la persona lo sigue siendo por elección propia. Ninguna decisión de la mayoría, incluida la cualificada, puede privarla de la pertenencia al pueblo. La salida solo es posible por la voluntad libre del propio participante.
Cuenta en vigor. Los datos se conservan mientras dure la participación en el pueblo.
Tras la salida. La destrucción del pasaporte no suprime por sí sola los datos: los datos de la cuenta se suprimen a petición suya, salvo los señalados en la sección 02 (recuadro sobre el derecho de supresión). Los hashes irreversibles se conservan en forma seudonimizada exclusivamente para que una misma persona no pueda tener dos pasaportes en vigor; no limitan el derecho a volver.
Registros técnicos. Direcciones IP y marcas de tiempo: hasta 12 meses, para la seguridad y la investigación de incidentes.
Asientos del registro distribuido. Se conservan de manera permanente por la naturaleza de la tecnología. Al destruirse el pasaporte, el asiento se marca como destruido y no da acceso a nada; el nombre, el documento, la biometría y los hashes de la comprobación no se inscriben en él en el momento de la emisión.
El pueblo es transnacional, y los datos pueden tratarse en distintas jurisdicciones.
La infraestructura se elige por sus posibilidades técnicas y por el nivel de protección de los derechos humanos, y no por afinidad política.
La participación es posible al cumplir 18 años. Está ligado a la naturaleza de las obligaciones: firmar la Declaración, participar en las decisiones, disponer de medios de cuenta.
La edad de 18 años es una condición incondicionada, y el consentimiento de los padres o tutores no la sustituye.
Si se llega a saber que se ha registrado una persona que no ha cumplido 18 años, la cuenta se suspende de inmediato, a la persona se le comunican los fundamentos y el plazo para objetar, a las objeciones se les da respuesta y la decisión puede recurrirse en la forma prevista en la Carta (Declaración, artículo 4); hasta la adopción de la Declaración no hay órgano ante el que recurrir. Los datos que están fuera del registro se suprimen si, tras el examen de las objeciones, se confirma que la persona no ha cumplido 18 años. El pasaporte se destruye entonces: o bien por su propio titular o bien, si eso no ocurre, por la vía de la anulación de una emisión inválida, puesto que la edad es condición de emisión (Carta, artículo 21). El documento temporal de participante en la constitución se destruye, hasta la adopción de la Declaración, en la forma prevista en el documento «El período constituyente» (parte 2, apartado 5). La adhesión es posible al cumplir 18 años en las condiciones generales.
Las iniciativas educativas para jóvenes se llevan a cabo mediante programas aparte que no exigen registrarse en el pueblo.
La Política se actualiza a medida que avanzan las tecnologías y la legislación. Las modificaciones se publican indicando la fecha de entrada en vigor.
Ante modificaciones sustanciales:
Para cuestiones sobre la presente Política: privacy@earth-lings.org
