POLÍTICA DE PRIVACIDAD

1. RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de sus datos personales es:

Sin Delegado de Protección de Datos (DPO) designado. Las actividades principales de Vervox no cumplen los criterios que requieren la designación obligatoria de un DPO según el artículo 37(1) del RGPD (sin función de autoridad pública, sin seguimiento regular y sistemático a gran escala, sin tratamiento a gran escala de categorías especiales). Para cualquier cuestión sobre protección de datos, póngase en contacto con la dirección de email indicada arriba.

2. DATOS RECOPILADOS

2.1 Datos que usted nos proporciona

2.2 Datos recopilados automáticamente

2.3 Datos de pago y de suscripción

Los datos bancarios (número de tarjeta, CVV, fecha de expiración) son recopilados y procesados exclusivamente por Stripe. Nunca tenemos acceso a sus datos bancarios completos. Conservamos los registros de facturación (facturas, identificadores de cliente Stripe, historial de transacciones) durante diez (10) años conforme a la legislación fiscal y contable francesa (Code de commerce art. L123-22 y CGI art. L102 B).

En el marco del modelo de suscripción de Vervox, también procesamos los siguientes datos:

• Plan suscrito (Creator, Pro o Business) y periodicidad (mensual o anual);
• Fecha de suscripción, fecha de renovación, estado de la suscripción (activa, suspendida, cancelada) y eventual beneficio de la Oferta fundador (artículo 7.1bis de las CGV);
• Número e identificadores de los Perfiles creados dentro de su Espacio;
• Créditos IA consumidos por Perfil (asignación mensual del Plan + Recargas eventuales), con marca temporal por funcionalidad utilizada;
• Recargas adquiridas (importe, fecha, Perfil beneficiario);
• Saldos contables Stripe generados al eliminar un Perfil de forma prorrateada.

Estos datos se tratan sobre la base de la ejecución del contrato (art. 6.1.b RGPD) para la facturación y la prestación del Servicio, y del interés legítimo (art. 6.1.f RGPD) para la detección de usos abusivos o fraudulentos (consumo anormal de Créditos, multicuentas no autorizadas, compartición de credenciales). Las trazas de consumo de Créditos también sirven como prueba en caso de disputa de pago, conforme al artículo 7.13 de las CGV/CGU. La conservación sigue la duración de los datos de facturación (10 años).

2.4 Datos de YouTube / Google API Services

Si decide conectar su canal de YouTube a Vervox, accedemos a los siguientes datos a través de YouTube API Services:

Compartición y transferencia: sus datos de YouTube no se comparten con ningún tercero. Se utilizan exclusivamente para operar el Servicio (visualización en interfaz, publicación de vídeos en su propio canal). No se venden, alquilan ni transfieren a terceros para publicidad, perfilado u otros fines no descritos arriba.

Almacenamiento: los tokens de acceso y refresh de YouTube se cifran (AES-256-GCM) antes de almacenarse en nuestra base de datos. Solo el Servicio accede a estos tokens para realizar las acciones que usted solicita.

Revocación: puede desconectar su canal de YouTube en cualquier momento desde la sección Privacidad de su configuración de cuenta. La desconexión elimina inmediatamente los tokens almacenados. También puede revocar el acceso de Vervox desde su página de gestión de permisos de Google.

Conformidad: el uso por parte de Vervox de los datos recibidos a través de Google APIs cumple con la Google API Services User Data Policy, incluidos los Limited Use Requirements.

2.5 Datos de TikTok

Si decide conectar su cuenta de TikTok a Vervox, accedemos a los siguientes datos a través de la API de TikTok:

Compartición y transferencia: sus datos de TikTok no se comparten con ningún tercero. Se utilizan exclusivamente para operar el Servicio. No se venden, alquilan ni transfieren a terceros para publicidad u otros fines no descritos arriba.

Almacenamiento: los tokens de acceso y refresh de TikTok se cifran (AES-256-GCM) antes de almacenarse. Las estadísticas de sus vídeos se almacenan en nuestra base de datos para permitir el seguimiento del progreso a lo largo del tiempo.

Revocación: puede desconectar su cuenta de TikTok en cualquier momento desde la sección Privacidad de su configuración de cuenta. La desconexión revoca los tokens y elimina el acceso de Vervox a sus datos de TikTok.

Cambio de cuenta de TikTok: cuando reemplaza la cuenta de TikTok vinculada a su perfil de Vervox con una cuenta diferente, sus datos anteriores (vídeos, estadísticas, capturas de progresión) se conservan de forma archivada — ya no se muestran en su panel, pero permanecen almacenados en nuestra base de datos con dos fines: (i) su restauración automática si reconecta esa misma cuenta de TikTok más tarde; (ii) análisis agregado y anonimizado para mejorar nuestros modelos de recomendación y predicción de viralidad. Esta conservación se basa en el interés legítimo (artículo 6.1.f del RGPD). Puede solicitar la eliminación definitiva de estos datos archivados en cualquier momento mediante el botón «Eliminar mis datos» en la configuración de su cuenta (sección Privacidad) o escribiéndonos a contact@vervox.app.

2.6 Datos públicos de cuentas de competidores

Cuando ejecuta un análisis de competencia sobre una cuenta de TikTok que no es la suya, Vervox procesa únicamente datos públicamente disponibles de esa cuenta (perfil público, métricas de vídeos públicos). No recopilamos datos privados o no públicos. Los datos del creador tercero se procesan sobre la base legal de nuestro interés legítimo en proporcionar benchmarking competitivo (RGPD art. 6(1)(f)), no se conservan más allá del análisis y no se utilizan para marketing directo o perfilado de dichos terceros.

2.7 Correspondencia por email con el soporte

Cuando nos escribe a contact@vervox.app (antes o después del registro), recopilamos y almacenamos:

• su dirección de email remitente y nombre de visualización (si está presente en el header From)
• el asunto del mensaje, cuerpo de texto, cuerpo HTML y los archivos adjuntos
• los headers técnicos necesarios para el threading (Message-ID, In-Reply-To, References)
• la marca de tiempo de recepción

Procesamiento por IA — Alice: cada email recibido es analizado por nuestra herramienta interna de soporte (“Alice”). El asunto y cuerpo del mensaje se transmiten a Anthropic (Claude Haiku) para (1) clasificarlo automáticamente (categoría, sentimiento, urgencia, idioma, temas, resumen breve), y (2) bajo demanda del equipo de soporte, redactar una sugerencia de respuesta escrita en su idioma. Si escribe en un idioma distinto al francés, el contenido también puede transmitirse a Claude Sonnet únicamente para traducir entre su idioma y el francés, de modo que el equipo de soporte (francófono) pueda revisar la sugerencia antes del envío. Anthropic está vinculado por un DPA (RGPD art. 28(3)) y no utiliza sus datos para entrenar sus modelos.

Agente conversacional Telegram (interno al fundador): para gestionar el soporte en movilidad, el fundador interactúa con Alice mediante un bot privado de Telegram. Durante estas conversaciones, el contenido de su email puede transmitirse a Anthropic (Claude Haiku) para que Alice pueda razonar y redactar sugerencias de respuesta. Alice dispone de herramientas de curación manual (búsqueda full-text de emails por palabra clave, actualización de la categoría / urgencia / kind de un thread, archivado) que permanecen en el ámbito interno del soporte; todas estas operaciones quedan auditadas en inbound_email_events. Si el fundador graba sus instrucciones por voz, el audio se transmite a OpenAI (Whisper) para su transcripción a texto antes del procesamiento por Anthropic. La transcripción contiene únicamente las instrucciones del fundador (nunca el contenido de su email). Ningún dato sobre usted se comparte públicamente; Telegram FZ-LLC solo recibe notificaciones operativas ya pseudonimizadas (hash del remitente, asunto truncado, resumen IA), véase la sección 5. La conversación de Telegram nunca se lee ni se utiliza con fines de marketing.

Base legal: ejecución de un contrato (art. 6.1.b) cuando es Usuario registrado, en caso contrario interés legítimo en proporcionar atención al cliente de calidad (art. 6.1.f). Puede oponerse al procesamiento por Alice en cualquier momento escribiendo a la misma dirección; su solicitud se gestionará entonces manualmente.

Sin toma de decisiones automatizada en el sentido del RGPD art. 22: la clasificación de Alice enruta su mensaje en nuestras colas de soporte; no produce decisión legal ni efecto significativo similar. La respuesta siempre la envía un humano (en este caso el fundador).

Conservación: 24 meses desde la recepción, después borrado total 6 meses después (es decir, 30 meses como máximo). Véase la sección 6.

Pseudonimización al eliminar la cuenta: si elimina su cuenta de Vervox, sus emails de soporte se pseudonimizan (su dirección de email + nombre se reemplazan por un identificador hasheado, el contenido se reemplaza por un marcador de borrado) en lugar de eliminarse de manera definitiva. Esto preserva la coherencia de los hilos de conversación en los que pudiera haber participado con otros usuarios sin retener información que le identifique.

2.8 Carácter obligatorio u opcional

Los datos marcados como obligatorios en el registro (email, contraseña o login con Google) son necesarios para la ejecución del contrato. Sin ellos, no puede crear una cuenta ni acceder al Servicio.

Los datos de perfilado (nicho, identificador de TikTok, preferencias) son opcionales pero mejoran la relevancia de los contenidos generados. Las cookies analíticas son opcionales y están sujetas a su consentimiento.

3. COOKIES Y RASTREADORES

3.1 Cookies estrictamente necesarias

El Servicio utiliza una cookie de sesión de autenticación (authjs.session-token) esencial para su funcionamiento, así como una cookie de atribución (__vx_utm, duración: 1 hora) que nos permite vincular su registro con su fuente de adquisición. Estas cookies no requieren su consentimiento.

3.2 Cookies analíticas

Con su consentimiento, utilizamos PostHog para analizar el uso del Servicio (páginas visitadas, clics, recorrido del usuario). PostHog también puede grabar sesiones de navegación (con las entradas enmascaradas) con el fin de mejorar la experiencia de usuario. Cuando está conectado, sus datos analíticos pueden asociarse a su cuenta (email, nombre, plan) para personalizar nuestro seguimiento del producto.

3.3 Medición de audiencia (Vercel Analytics)

Utilizamos Vercel Analytics para medir el rendimiento y tráfico del Sitio. Este servicio recopila datos agregados y anonimizados (páginas visitadas, duración de la visita, país de origen) sin utilizar cookies y sin recopilar datos personales identificativos. De acuerdo con las orientaciones de las autoridades de protección de datos (en particular la CNIL francesa), este rastreador no requiere consentimiento previo.

3.4 Cookies de monitoreo

Sentry recopila información técnica en caso de error (stack traces, contexto de navegación) para mantener la estabilidad del Servicio. En caso de error, puede capturarse una grabación de sesión para facilitar el diagnóstico.

3.5 Seguimiento de eventos de producto del lado servidor

Determinados eventos relacionados con el funcionamiento del Servicio (registro, verificación de email, onboarding, pago, cancelación) se registran del lado servidor mediante PostHog sobre la base legal del interés legítimo (RGPD art. 6.1.f). Estos eventos no dependen de cookies y sirven exclusivamente para mejorar el recorrido del usuario y garantizar el correcto funcionamiento del Servicio.

3.6 Gestión de sus preferencias

Puede aceptar o rechazar las cookies no esenciales mediante el banner de consentimiento mostrado en su primera visita. Puede modificar sus preferencias en cualquier momento desde la sección Privacidad de su configuración de cuenta. Su elección se conserva durante seis (6) meses, transcurridos los cuales se le presentará nuevamente el banner.

4. FINALIDADES Y BASES LEGALES

Para los residentes en Brasil, las bases legales bajo LGPD art. 7 siguen el mismo mapeo (ejecución del contrato, interés legítimo, consentimiento y cumplimiento de obligación legal).

5. SUBCONTRATISTAS Y TRANSFERENCIAS INTERNACIONALES

Sus datos pueden transmitirse a los siguientes subcontratistas, cada uno vinculado por un Acuerdo de Procesamiento de Datos (DPA) firmado de conformidad con el RGPD art. 28(3):

Las transferencias a Estados Unidos se rigen por el EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea del 10 de julio de 2023) para los subcontratistas certificados DPF, y por las Cláusulas Contractuales Tipo (SCCs) de la Comisión Europea (decisión de ejecución 2021/914) como salvaguarda adicional en todos los casos.

Para los residentes en el Reino Unido, las transferencias se rigen por el UK International Data Transfer Agreement (IDTA) o por el UK Addendum a las SCCs de la UE.

Puede obtener una copia de las salvaguardas aplicables (SCCs, DPAs) escribiéndonos a contact@vervox.app.

6. PERIODOS DE CONSERVACIÓN

Tras la eliminación de su cuenta, todos sus datos personales y contenidos generados se eliminan de nuestra base de datos, excepto los registros de facturación que estamos obligados a conservar durante 10 años conforme a la legislación fiscal y contable francesa. Los datos en poder de nuestros subcontratistas se eliminan según sus propias políticas de retención.

Caso especial de los emails de soporte: los emails que envió a contact@vervox.app se pseudonimizan al eliminar la cuenta (su dirección + nombre se reemplazan por un identificador hasheado, contenido reemplazado por un marcador de borrado) en lugar de eliminarse de manera definitiva, con el fin de preservar la coherencia de los hilos de conversación en los que pudiera haber participado con otros usuarios. Ninguna información que le identifique directamente permanece tras la pseudonimización. La eliminación definitiva ocurre como tarde al final del periodo de retención indicado arriba (30 meses desde la recepción del mensaje).

7. SEGURIDAD Y NOTIFICACIÓN DE VIOLACIÓN

7.1 Medidas de seguridad

• Cifrado de datos en tránsito (HTTPS/TLS)
• Hash de contraseñas (bcrypt)
• Cifrado de tokens OAuth (AES-256-GCM en reposo)
• Principio del menor privilegio para el acceso de subcontratistas
• Actualizaciones regulares de dependencias de software y escaneo de vulnerabilidades
• Monitoreo de errores (Sentry) para detección de anomalías
• Acceso administrativo restringido

7.2 Notificación de violación de datos personales

En caso de violación de datos personales que pueda generar un riesgo para sus derechos y libertades, Vervox notificará a la autoridad de control competente (CNIL para Francia) en un plazo de 72 horas tras tener conocimiento de la violación, según lo exigido por el RGPD art. 33.

Si la violación puede generar un riesgo elevado para sus derechos y libertades, también le notificaremos directamente sin demora indebida, conforme al RGPD art. 34 (y disposiciones equivalentes del UK GDPR, CCPA §1798.82 y LGPD art. 48).

8. TOMA DE DECISIONES AUTOMATIZADA Y PERFILADO

El Servicio utiliza inteligencia artificial para generar sugerencias de contenido (scripts, ideas, texto de carruseles) basadas en sus inputs de perfilado. Estas sugerencias generadas por IA no constituyen decisiones automatizadas que produzcan efectos jurídicos o le afecten significativamente de manera similar en el sentido del RGPD art. 22. Son sugerencias que puede aceptar, modificar o rechazar libremente.

Puede desactivar el perfilado IA en cualquier momento mediante el toggle “Perfilado IA” en la sección Privacidad de su configuración de cuenta.

9. PRIVACIDAD DE LOS NIÑOS

El Servicio está destinado a Usuarios de 16 años o más. No recopilamos a sabiendas datos personales de menores de 16 años, independientemente de que la legislación local permita edades inferiores (p. ej., 13 en Reino Unido, 14 en España o Italia, 15 en Francia, 16 en Alemania).

Para los residentes en Estados Unidos, cumplimos con la Children’s Online Privacy Protection Act (COPPA, 15 U.S.C. §§ 6501-6506): no recopilamos a sabiendas información personal de menores de 13 años, y nuestro umbral de edad de 16 es más estricto que el de COPPA.

Si es padre, madre o tutor y considera que su hijo ha facilitado datos personales a Vervox, póngase en contacto con contact@vervox.app para su eliminación inmediata.

10. SUS DERECHOS (RGPD UE / RGPD UK)

Bajo el RGPD UE y el RGPD UK, dispone de los siguientes derechos:

• Acceso (art. 15): obtener una copia de sus datos
• Rectificación (art. 16): corregir datos inexactos
• Supresión (art. 17): solicitar la eliminación de sus datos
• Limitación (art. 18): restringir temporalmente el tratamiento
• Portabilidad (art. 20): recibir sus datos en un formato estructurado y legible por máquina
• Oposición (art. 21): oponerse al tratamiento basado en interés legítimo
• Retirada del consentimiento (art. 7(3)): retirar el consentimiento en cualquier momento para los tratamientos basados en él, sin afectar la licitud del tratamiento previo
• No ser objeto de decisiones automatizadas (art. 22): véase sección 8 — no tomamos tales decisiones

10.1 Cómo ejercer sus derechos — autoservicio

Si tiene una cuenta Vervox, la mayoría de los derechos son directamente accesibles desde la sección Privacidad de su configuración de cuenta:

• Acceso y portabilidad — botón “Exportar mis datos” (formato JSON estructurado)
• Supresión — “Eliminar mi cuenta” en la Zona peligrosa (eliminación en cascada de todos los datos, cliente Stripe y tokens de terceros)
• Rectificación — Edite directamente los campos de su perfil
• Retirada del consentimiento — toggles “Perfilado IA” y “Cookies analíticas”
• Revocación de acceso de terceros — botones Desconectar TikTok / YouTube

10.2 Cómo ejercer sus derechos — por email

Si no tiene una cuenta Vervox pero procesamos sus datos (p. ej., su contenido público fue analizado por un usuario de Vervox), o para solicitudes que no se pueden gestionar en autoservicio (limitación del tratamiento, datos en un formato no JSON específico), escriba a contact@vervox.app. Respondemos en un plazo de 30 días según lo exigido por el RGPD art. 12(3), prorrogable por dos meses para solicitudes complejas. Podemos verificar su identidad antes de responder.

10.3 Derecho a presentar una reclamación

Tiene derecho a presentar una reclamación ante su autoridad de control local:

• Francia — CNIL: www.cnil.fr
• Reino Unido — ICO: ico.org.uk
• Alemania — BfDI: www.bfdi.bund.de
• Italia — Garante per la protezione dei dati personali: www.garanteprivacy.it
• España — AEPD: www.aepd.es
• Otros países UE/EEE: su autoridad nacional de control

10.4 Prueba de aceptación de las Condiciones

La aceptación de las Condiciones Generales de Venta, las Condiciones Generales de Uso y la presente Política de Privacidad se materializa con la creación de su cuenta Vervox. La fecha y hora exactas de su registro se registran automáticamente en nuestros sistemas en el momento de la creación de la cuenta y constituyen la prueba formal de su aceptación de conformidad con el artículo 6, apartado 1, letra b) del RGPD (base jurídica: ejecución de un contrato).

Esta información puede obtenerse mediante simple solicitud a contact@vervox.app, en el marco del derecho de acceso previsto en el artículo 15 del RGPD.

11. RESIDENTES EN CALIFORNIA — DERECHOS DE PRIVACIDAD VOLUNTARIOS

Vervox no cumple actualmente con los umbrales legales del California Civil Code §1798.140(d) para calificar como un “negocio” sujeto a la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA). Honramos voluntariamente los siguientes derechos al estilo CCPA para los residentes en California.

11.1 Derechos otorgados

• Derecho a saber qué información personal recopilamos
• Derecho a eliminar su información personal
• Derecho a corregir información personal inexacta
• Derecho a optar por no participar en venta o intercambio — Vervox no vende su información personal y no la comparte para publicidad conductual entre contextos
• Derecho a limitar el uso de información personal sensible — no utilizamos información personal sensible para fines que activen este derecho
• Derecho a no discriminación — no discriminamos a los residentes en California simplemente por ejercer sus derechos CCPA, conforme al Cal. Civ. Code §1798.125

11.2 Cómo ejercer

Si tiene una cuenta Vervox, la mayoría de los derechos son autoservicio mediante la sección Privacidad de su configuración de cuenta (véase sección 10.1).

Para solicitudes no autoservicio, o si no tiene una cuenta pero procesamos sus datos como residente en California, escriba a contact@vervox.app con el asunto “California Privacy Request”. Respondemos en un plazo de 45 días, prorrogable una vez por 45 días adicionales si es necesario. Podemos verificar su identidad antes de responder. También puede contactar con el Fiscal General de California en oag.ca.gov/privacy/ccpa.

12. RESIDENTES EN BRASIL — LGPD

Bajo la Ley General de Protección de Datos brasileña (Lei 13,709/2018, LGPD), y de manera coherente con nuestras prácticas RGPD, los residentes en Brasil tienen derechos que incluyen acceso, corrección, anonimización/bloqueo/eliminación, portabilidad, información sobre intercambio y retirada del consentimiento (LGPD art. 18).

Si tiene una cuenta Vervox, estos derechos son autoservicio mediante la sección Privacidad de su configuración de cuenta (véase sección 10.1). Para solicitudes no autoservicio, escriba a contact@vervox.app con el asunto “LGPD Request”. Respondemos en un plazo de 15 días según lo exigido por LGPD art. 19.

Encarregado (DPO) — exención: Vervox califica como agente de tratamiento a pequeña escala según la Resolución ANPD CD/ANPD 2/2022 y está exento de la designación obligatoria de un Encarregado. Para cuestiones de protección de datos, utilice el email de contacto indicado arriba.

También puede contactar con la Autoridad Nacional de Protección de Datos brasileña (ANPD): www.gov.br/anpd.

13. MODIFICACIÓN DE ESTA POLÍTICA DE PRIVACIDAD

Podemos actualizar la presente Política de Privacidad para reflejar cambios en nuestros tratamientos, en nuestros subencargados, en el marco legal aplicable, o para aclarar disposiciones.

13.1 Modificaciones sustanciales

Se consideran sustanciales las modificaciones que tienen un efecto directo y significativo de:

• añadir una nueva categoría de datos personales recopilados;
• añadir un nuevo subencargado;
• ampliar los plazos de conservación existentes;
• modificar las bases legales en virtud del artículo 6 del RGPD;
• introducir una transferencia internacional a un país sin decisión de adecuación;
• reducir los derechos que le asisten en virtud del RGPD.

Estas modificaciones le serán notificadas por email previamente a su entrada en vigor, en un plazo razonable adaptado a la naturaleza de la modificación, y en cualquier caso al menos quince (15) días. Puede oponerse a ellas ejerciendo los derechos previstos en la sección 10.

13.2 Otras modificaciones

Las modificaciones no comprendidas en la sección 13.1 (en particular correcciones de redacción, aclaraciones, actualizaciones descriptivas vinculadas a la evolución del Servicio, ajustes operativos o técnicos sin impacto en el tratamiento de sus datos) pueden entrar en vigor inmediatamente y se publicarán en esta página con una fecha de “Última actualización” renovada.

13.3 Aceptación

El uso continuado del Servicio más allá de la fecha de entrada en vigor de una modificación constituye aceptación. A falta de oposición manifestada por email a contact@vervox.app antes de esa fecha, se considerará que ha aceptado las nuevas condiciones.

14. LEY APLICABLE E IDIOMA

Esta Política de Privacidad se rige por el derecho francés, sin perjuicio de las protecciones locales obligatorias que se le apliquen en función de su país de residencia (RGPD UE, RGPD UK, CCPA/CPRA, LGPD, y cualquier otra ley aplicable).

En caso de discrepancia entre las versiones española y francesa, la versión francesa (“Politique de Confidentialité”) prevalece como texto auténtico.

15. CONTACTO

Para cualquier consulta:

Email: contact@vervox.app