1. Quién es responsable
El responsable del tratamiento de los datos personales aquí descritos es Daniele Zotta, persona física establecida en Italia, que opera AI Podcast Lab.
- Correo para asuntos de privacidad: [email protected]
- Dirección postal: Via Cesare Battisti 36, 38053 Castello Tesino (TN), Italia
No hemos nombrado un Delegado de Protección de Datos; no estamos obligados a hacerlo. Escribe a la dirección anterior para cualquier cuestión relativa a esta política.
2. Qué recogemos
Datos de la cuenta
Tu nombre de usuario, tu dirección de correo, opcionalmente tu nombre y apellidos, y un hash criptográfico de tu contraseña. Nunca almacenamos la contraseña en sí. También registramos cuándo te diste de alta, cuándo iniciaste sesión por última vez y si tu dirección de correo ha sido confirmada.
El registro solo se completa cuando abres el enlace de confirmación que te enviamos por correo. Hasta entonces la cuenta existe pero no permite iniciar sesión y, si nunca se confirma, se elimina automáticamente, como se indica en la sección 7.
El contenido que creas
Todo lo que pertenece a un episodio: su título, tus puntos a tratar, cualquier URL de origen que facilites, cualquier texto que pegues, el texto que extraemos de una URL de origen, tus peticiones de revisión al editor de IA, el guion generado, el archivo de audio generado y los ajustes que elegiste (idioma, duración, voz, calidad, formato). Cuando la investigación web está activada, también guardamos los enlaces a las fuentes devueltos.
Datos de facturación
Tu plan, el estado de la suscripción, las fechas del periodo de facturación, los saldos de créditos incluidos y comprados, y el historial de compras de créditos. Si te suscribes o compras créditos, guardamos los identificadores que Stripe asigna al cliente, la suscripción, la sesión de Checkout y el pago, para poder relacionar los pagos con tu cuenta y evitar entregas duplicadas. Nunca vemos ni almacenamos el número de tu tarjeta. Los datos de la tarjeta van directamente a Stripe.
Los mensajes que nos envías
Si nos escribes a través del formulario de contacto, guardamos el nombre y la dirección de respuesta que indicas, el asunto que eliges, el mensaje en sí, el idioma en el que lo escribiste y, si habías iniciado sesión, de qué cuenta procede. Junto a ello conservamos nuestras propias notas sobre cómo se gestionó la solicitud. No incluyas en un mensaje de soporte nada que no quieras que quede por escrito.
Datos técnicos
Nuestros servidores guardan registros web normales — dirección IP, marca de tiempo, URL solicitada, agente de usuario, estado de la respuesta — e informes de error cuando algo falla. Existen para operar y proteger el Servicio.
Comprobaciones antiabuso en los formularios públicos
Los formularios de registro, inicio de sesión, restablecimiento de contraseña y contacto llevan una comprobación Cloudflare Turnstile, para que los bots no puedan crear cuentas en masa, adivinar contraseñas, usar nuestro servicio de correo para inundar a desconocidos ni sepultar nuestro buzón de soporte. Cuando se carga una de esas páginas, Cloudflare recibe tu dirección IP, los datos de tu navegador y señales de comportamiento de la página, y devuelve un token que verificamos con ellos. Nosotros nunca vemos esas señales: solo si la comprobación se superó.
Analítica — solo si la aceptas
Si, y solo si, aceptas las cookies de analítica, Google Analytics 4 recoge las páginas que ves, la ubicación aproximada derivada de una dirección IP truncada, el tipo de dispositivo y navegador, el sitio de procedencia y el identificador seudónimo guardado en su propia cookie. Si has iniciado sesión, esos datos no se vinculan a tu cuenta: no enviamos a Google tu ID de usuario, tu nombre de usuario ni tu dirección de correo, y no subimos el contenido de los episodios.
La analítica no se usa con fines publicitarios, y Google Signals y la personalización de anuncios están desactivados. Si la rechazas, no se carga absolutamente nada de Google Analytics.
Cookies
Un número reducido de cookies estrictamente necesarias, siempre activas, más las cookies de Google Analytics que solo se instalan con tu consentimiento. Todo el detalle, incluido cómo retirar ese consentimiento, está en la Política de cookies.
3. Por qué y con qué base jurídica
| Finalidad | Datos | Base jurídica (art. 6 del RGPD) |
|---|---|---|
| Creación y funcionamiento de tu cuenta | Datos de la cuenta | Ejecución de un contrato, art. 6(1)(b) |
| Escribir guiones y generar audio para ti | El contenido que creas | Ejecución de un contrato, art. 6(1)(b) |
| Cobrar pagos, entregar las compras de créditos y gestionar suscripciones | Datos de facturación | Ejecución de un contrato, art. 6(1)(b) |
| Conservar facturas y registros contables | Datos de facturación | Obligación legal, art. 6(1)(c) |
| Correos de servicio (confirmación de la dirección, restablecimiento de contraseña, avisos de facturación) | Datos de la cuenta | Ejecución de un contrato, art. 6(1)(b) |
| Confirmar que la dirección de correo de una cuenta es real y te pertenece | Datos de la cuenta | Interés legítimo, art. 6(1)(f) — evitar registros falsos o secuestrados y asegurar que el correo de la cuenta te llega |
| Responder a un mensaje que nos envías a través del formulario de contacto | Los mensajes que nos envías | Ejecución de un contrato, art. 6(1)(b) cuando se refiere a tu cuenta; en caso contrario, interés legítimo, art. 6(1)(f): responder a quien nos hace una pregunta |
| Bloquear bots en los formularios públicos (Cloudflare Turnstile) | Dirección IP, señales del navegador y de comportamiento | Interés legítimo, art. 6(1)(f) — evitar el abuso de cuentas, inicios de sesión y de nuestro sistema de correo |
| Seguridad, prevención del fraude y del abuso, depuración | Datos técnicos | Interés legítimo, art. 6(1)(f) — mantener el Servicio disponible y sin usos indebidos |
| Estadísticas de uso agregadas y no identificativas de nuestros propios registros | Datos técnicos | Interés legítimo, art. 6(1)(f) — entender la carga y las tasas de error |
| Analítica del sitio web (Google Analytics) | Páginas vistas, dispositivo y navegador, ubicación aproximada, identificador de analítica | Consentimiento, art. 6(1)(a) — rechazado por defecto, retirable en cualquier momento |
La analítica es el único tratamiento aquí que se basa en el consentimiento. Retirarlo es tan fácil como darlo — el botón de la Política de cookies reabre la elección — y la retirada no afecta a la licitud de lo recogido con anterioridad. Rechazar la analítica no cambia nada de lo que el Servicio hace por ti.
No vendemos datos personales, no los usamos con fines publicitarios y no enviamos correos comerciales. No hay decisiones automatizadas que produzcan efectos jurídicos sobre ti, ni elaboración de perfiles.
4. Qué ocurre con tu contenido
Esta es la parte más importante, así que se dice con claridad. No ejecutamos modelos de IA nosotros mismos. Para escribir o revisar un guion, las partes relevantes de tu episodio — título, puntos a tratar, texto de origen pegado o extraído, el guion actual y tu petición de revisión — se transmiten a un proveedor de IA externo. Para generar el audio, el guion se transmite a un proveedor de voz. Cuando activas la investigación web, tu tema se envía además a un proveedor de búsqueda gestionada.
Qué empresa lo recibe depende de cómo esté configurado el Servicio y de la calidad de audio que elijas; el conjunto actual figura en la sección 5.
No pegues datos personales sensibles — información de salud, registros financieros, identificadores oficiales o información privada de otras personas — en un episodio. El Servicio no está diseñado para categorías especiales de datos del art. 9 del RGPD y, una vez que el contenido sale hacia un proveedor de IA, queda sujeto al tratamiento de ese proveedor.
No usamos tu contenido ni el resultado generado para entrenar ningún modelo propio. Los proveedores de IA pueden conservar el contenido enviado durante un tiempo limitado para vigilar abusos, conforme a sus propias políticas; no controlamos esos plazos de conservación y no podemos borrar datos de sus sistemas en tu nombre más allá de pedírselo.
5. Quién más recibe datos
Compartimos datos personales únicamente con los proveedores necesarios para operar el Servicio, cada uno con un contrato de encargo del tratamiento cuando el RGPD lo exige:
| Proveedor | Qué hace | Qué recibe |
|---|---|---|
| Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA) | Pagos únicos y facturación de suscripciones | Correo, nombre, datos de tarjeta introducidos directamente en Stripe, dirección de facturación, registros de transacciones |
| OpenRouter, Inc. (USA) | Pasarela hacia los modelos de texto y de voz | Contenido del episodio enviado para escribir el guion y narrarlo |
| Los proveedores de modelos alcanzados a través de esa pasarela — actualmente OpenAI, xAI y Google, según la calidad que elijas | Generar el texto del guion y la voz sintética | El mismo contenido del episodio, transmitido por la pasarela |
| El proveedor de búsqueda web gestionada que usa la pasarela (actualmente Parallel) | Investigación web, solo cuando la activas | Consultas de búsqueda derivadas de tu tema |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. (USA) | Proveedor de IA directo alternativo, cuando el Servicio está configurado para usarlo en lugar de la pasarela | Contenido del episodio enviado para escribir el guion y narrarlo |
| Cloudflare, Inc. (USA) — R2 | Almacenar de forma privada los archivos de audio generados | Archivos de audio y sus metadatos |
| Oracle Corporation (EE. UU.) — Oracle Cloud Infrastructure, servidores en la región Italy Central (Milán) | Ejecutar la aplicación y la base de datos | Todos los datos almacenados, como infraestructura |
| Google Ireland Ltd. / Google LLC (USA) — Gmail | Entregar los correos de confirmación de dirección, de restablecimiento de contraseña y de servicio | Dirección de correo y contenido del mensaje |
| Google Ireland Ltd. / Google LLC (USA) — Google Fonts | Servir las dos tipografías web que usa el sitio | Tu dirección IP y los detalles de tu navegador, cuando tu navegador descarga una tipografía |
| Google Ireland Ltd. / Google LLC (USA) — Google Analytics 4 | Contar visitas y páginas vistas, solo si aceptas las cookies de analítica | Páginas vistas, ubicación aproximada a partir de una dirección IP truncada, dispositivo y navegador, referente e identificador de la cookie de analítica. Nunca la identidad de tu cuenta ni el contenido de los episodios. |
| Cloudflare, Inc. (USA) — Turnstile | Bloquear el abuso automatizado de los formularios de registro, inicio de sesión y restablecimiento de contraseña | Tu dirección IP, los detalles de tu navegador y señales de comportamiento de esas tres páginas |
También podemos comunicar datos cuando la ley lo exija, o para formular o defender reclamaciones legales.
6. Transferencias fuera de la UE
Varios de los proveedores anteriores están establecidos en Estados Unidos, por lo que tus datos se transfieren fuera del Espacio Económico Europeo. Esas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea, en la certificación del proveedor conforme al Marco de Privacidad de Datos UE-EE. UU. cuando dispone de ella, o en ambas, junto con las medidas complementarias que cada proveedor documenta. Puedes pedirnos los detalles del mecanismo aplicable a un proveedor concreto.
7. Cuánto tiempo lo conservamos
- Datos de la cuenta — hasta que nos pidas eliminar tu cuenta; entonces se borran en un plazo de 30 días.
- Registros nunca confirmados — una cuenta cuya dirección de correo nunca se confirma se elimina automáticamente aproximadamente una semana después del alta, una vez caducado su enlace de confirmación.
- Datos de analítica — conservados por Google durante 14 meses desde tu última visita, el periodo de conservación a nivel de usuario más corto que ofrece Google Analytics 4, tras el cual se eliminan automáticamente. Los informes agregados pueden persistir más allá.
- Episodios, guiones y audio — hasta que tú o nosotros los eliminemos, o hasta que se elimine tu cuenta. No hay límite de almacenamiento ni caducidad automática, así que los episodios antiguos permanecen hasta que se borran.
- Facturas y registros contables — 10 años, como exige la ley italiana. Es una obligación legal y sobrevive a la eliminación de tu cuenta.
- Registros de pago en poder de Stripe — conforme a la política de conservación de Stripe.
- Mensajes de contacto: se conservan mientras la solicitud está abierta y durante dos años después de resolverse, para poder retomar un hilo que vuelve, y luego se eliminan automáticamente. Los mensajes marcados como spam se eliminan en el plazo de un mes.
- Registros del servidor — normalmente no más de 90 días, salvo que un incidente de seguridad concreto exija conservarlos más tiempo.
8. Tus derechos
Conforme al RGPD tienes derecho a acceder a tus datos, a que se rectifiquen, a que se supriman, a limitar el tratamiento u oponerte a él, a recibirlos en un formato portátil y a retirar cualquier consentimiento que hayas dado.
Retirar el consentimiento a la analítica no requiere ningún correo: el botón de la Política de cookies reabre la elección y el rechazo surte efecto de inmediato. También puedes oponerte en cualquier momento a los tratamientos que basamos en el interés legítimo — las comprobaciones antiabuso y el registro de seguridad de la sección 3 — escribiéndonos, aunque puede que debamos mantenerlos cuando nuestros motivos prevalezcan sobre tu oposición.
Cómo ejercerlos. Escribe a [email protected] desde la dirección de tu cuenta. Respondemos en un plazo de 30 días. Por ahora no hay un botón de eliminación autoservicio en la aplicación: la eliminación de la cuenta y de los episodios se gestiona manualmente a petición, y lo confirmamos por escrito cuando está hecho. La eliminación borra tu cuenta, tus episodios, tus guiones y tus archivos de audio; no borra los registros contables que debemos conservar, y no puede recuperar contenido ya tratado por un proveedor de IA.
Si crees que hemos tratado tus datos de forma ilícita puedes reclamar ante la autoridad de control italiana, el Garante per la protezione dei dati personali (garanteprivacy.it), o ante la autoridad de tu propio país de la UE.
9. Seguridad
Las contraseñas se almacenan solo como hashes con sal. Las cuentas nuevas permanecen inactivas hasta que se confirma su dirección de correo, y los formularios públicos están protegidos frente al abuso automatizado, de modo que una dirección no puede ser registrada ni forzada por quien no la controla. El tráfico se sirve por HTTPS con HSTS. Las cookies de sesión y CSRF se marcan como seguras y HTTP-only. Los archivos de audio se guardan en un bucket privado que no es legible públicamente; la reproducción y las descargas pasan por enlaces firmados de corta duración, válidos unos quince minutos, y solo después de comprobar que el episodio te pertenece.
Ningún sistema es perfectamente seguro. Si se produce una brecha que probablemente ponga en riesgo tus derechos, te lo notificaremos a ti y a la autoridad de control como exige el RGPD.
10. Menores
El Servicio es para adultos. No recogemos conscientemente datos de menores de 18 años. Si crees que un menor ha creado una cuenta, escríbenos y la eliminaremos.
11. Cambios
Podemos actualizar esta política. Si un cambio afecta de forma sustancial a cómo tratamos tus datos, te lo comunicaremos por correo antes de que entre en vigor. La fecha de la parte superior de esta página siempre muestra la versión actual.