Política de Privacidad

Responsable del Tratamiento: Marie du Mesnil du Buisson, profesional autónoma Dirección: Llull 200, Barcelona 08005, España Email: privacy@pablito.app Delegada de Protección de Datos: no designada. No es legalmente exigible para la escala y tipo de tratamiento. Representante en la UE: no procede (Responsable del Tratamiento establecido en la Unión Europea).

2.1 Datos de cuenta: nombre, email, credenciales de acceso (cifradas), tipo de suscripción y estado de pago, número de IVA (si lo aporta una empresa de la UE).

2.2 Contenido profesional: biografía y declaraciones de artista, currículum vitae (CV), imágenes y vídeos de obras, descripciones de obras, títulos, fechas, dimensiones, archivos subidos y los metadatos asociados. IMPORTANTE. Datos de categorías especiales: si subes imágenes con personas identificables (incluida tú misma o tú mismo), pueden constituir datos biométricos según el artículo 9 del RGPD (categorías especiales de datos personales). Eres responsable de obtener los consentimientos necesarios antes de subir ese contenido. Nosotros tratamos esos datos solo como Encargado del Tratamiento, para almacenamiento y visualización según tus instrucciones.

2.3 Datos técnicos: dirección IP, tipo y versión de navegador, identificadores de dispositivo, registros de acceso y marcas de tiempo, sistema operativo, sitio web de procedencia.

2.4 Datos de uso: funciones usadas y frecuencia, páginas visitadas, duración de la sesión, preferencias y ajustes.

2.5 Datos de integraciones de terceros: si conectas cuentas de terceros (opcional), accedemos a: Instagram (vía Unipile): nombre de usuario, ID de cuenta, mensajes directos (consultados bajo demanda, no almacenados en nuestra base de datos), capacidad de subir contenido. NO accedemos a datos privados de la cuenta ni a analíticas. NO vendemos, alquilamos ni intercambiamos datos personales con terceros para sus fines de marketing.

2.6 Datos de pago: el procesamiento de pagos lo gestiona Stripe. NO almacenamos números de tarjeta completos. Solo recibimos: ID de transacción, estado del pago, últimos 4 dígitos de la tarjeta y email de facturación.

2.7 Cómo nos conociste: cuando te registras, guardamos con tu cuenta cómo conociste Pablito: el enlace o el tipo de sitio web del que vienes (por ejemplo, un enlace de Instagram, un buscador o un asistente de IA) y tu respuesta a la pregunta opcional "¿Cómo nos conociste?". También guardamos el país desde el que te registraste, deducido de tu conexión (no guardamos tu dirección IP con tu cuenta). Solo usamos estos datos para entender qué canales funcionan y dónde están nuestros usuarios.

2.8 Formulario de contacto: si nos escribes desde la página Sobre nosotros, recibimos por email tu nombre (opcional), tu email, el tema y tu mensaje, solo para responderte. No los guardamos en nuestra base de datos y nunca te enviamos un email automático.

Tratamos tus datos en base a los siguientes fundamentos legales:

3.1 Ejecución del contrato (art. 6.1.b): tratamiento necesario para prestar el Servicio que has contratado: creación y gestión de cuenta, alojamiento y almacenamiento de contenido, procesamiento de pagos, atención al cliente.

3.2 Obligaciones legales (art. 6.1.c): tratamiento exigido por ley: cumplimiento fiscal y conservación de registros (la normativa fiscal española exige conservar de 4 a 10 años), respuesta a requerimientos de autoridades, cumplimiento de resoluciones judiciales.

3.3 Intereses legítimos (art. 6.1.f): tratamiento necesario para nuestros intereses legítimos, ponderado con tus derechos: prevención y detección de fraude, seguridad del sistema, mejora del servicio (análisis de patrones de uso para mejorar la funcionalidad), resolución de incidencias técnicas.

3.4 Consentimiento (art. 6.1.a): nos basamos en tu consentimiento explícito para: emails de marketing (puedes darte de baja en cualquier momento), cookies no esenciales (analítica, medición de rendimiento), integraciones opcionales con terceros (Instagram). Puedes retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a la retirada.

Solo compartimos datos con proveedores de servicios de confianza (subencargados) que ayudan a operar el Servicio. Todos los subencargados están sujetos a obligaciones contractuales de protección de datos conformes al artículo 28 del RGPD. Para la lista completa y actualizada de subencargados, visita /legal/subprocessors o escribe a privacy@pablito.app

Comunicación a autoridades: podemos comunicar datos personales para cumplir con obligaciones legales conforme a la legislación española o de la UE, resoluciones u órdenes judiciales, requerimientos de las autoridades (cuando esté legalmente exigido) y para proteger nuestros derechos, propiedad o seguridad.

Cambios en los subencargados: notificaremos a los Usuarios Profesionales por email con al menos 14 días de antelación antes de añadir nuevos subencargados. Los Usuarios Profesionales pueden oponerse en ese plazo escribiendo a privacy@pablito.app. Si no podemos atender la oposición, el usuario puede cancelar su suscripción.

Algunos subencargados operan fuera del Espacio Económico Europeo (EEE). Cuando los datos se transfieren fuera del EEE, garantizamos las salvaguardas adecuadas: Decisiones de adecuación de la Comisión Europea: para transferencias a países considerados con un nivel adecuado de protección de datos (por ejemplo, Reino Unido, Suiza). Cláusulas Contractuales Tipo (CCT): para transferencias a encargados en países sin decisión de adecuación (por ejemplo, proveedores con sede en EE. UU. como Stripe, Cloudinary, Google). Puedes solicitar una copia de las salvaguardas aplicables escribiendo a privacy@pablito.app.

Conservamos los datos personales durante los siguientes periodos:

• Datos de la cuenta (perfil, obras, planificación): se conservan mientras tu cuenta esté activa; se borran cuando eliminas tu cuenta
• Eventos de uso y analítica: se eliminan automáticamente a los 90 días
• Integraciones desconectadas (p. ej. Instagram): los datos asociados se eliminan en un plazo de 30 días
• Cumplimiento legal (fiscal, contable): de 4 a 10 años, según exija la ley española
• Copias de seguridad: se eliminan en un plazo de 90 días
• Datos de marketing (si hay consentimiento): hasta la retirada del consentimiento

Puedes eliminar tu cuenta en cualquier momento para borrar tus datos personales (sujeto a los plazos de conservación legal indicados arriba). Pasados estos periodos, los datos se eliminan de forma segura.

Tienes los siguientes derechos sobre tus datos personales:

• Derecho de acceso (art. 15): solicitar una copia de tus datos personales
• Derecho de rectificación (art. 16): corregir datos inexactos
• Derecho de supresión / "derecho al olvido" (art. 17): solicitar la eliminación de tus datos (sujeto a obligaciones legales de conservación)
• Derecho a la portabilidad (art. 20): recibir tus datos en formato legible por máquina (JSON/CSV)
• Derecho a la limitación del tratamiento (art. 18): limitar el uso que hacemos de tus datos
• Derecho de oposición (art. 21): oponerte al tratamiento basado en intereses legítimos
• Derecho a retirar el consentimiento: retirar el consentimiento para emails de marketing, cookies no esenciales o integraciones opcionales en cualquier momento

Cómo ejercer tus derechos: envía las solicitudes a privacy@pablito.app. Responderemos en un plazo de 30 días (ampliable a 60 para solicitudes complejas). Podemos pedir prueba de identidad para evitar accesos no autorizados.

Derecho a presentar una reclamación: si crees que hemos vulnerado tus derechos en materia de protección de datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid, España, o ante tu autoridad local de protección de datos en la UE.

NO tomamos decisiones automatizadas que produzcan efectos jurídicos o te afecten significativamente de modo similar. Todas las decisiones sobre tu cuenta, acceso o condiciones del servicio las toman personas. Sí usamos herramientas asistidas por IA para funciones organizativas (etiquetado de obras, agrupación visual, generación de metadatos), pero son herramientas de apoyo que no afectan a tus derechos ni a tu acceso al Servicio. Puedes contactar con privacy@pablito.app si tienes preguntas sobre cómo se usa el tratamiento automatizado.

Aplicamos medidas técnicas y organizativas para proteger tus datos:

• Cifrado en tránsito: TLS 1.3 (HTTPS)
• Hashing de contraseñas: bcrypt con 12 rondas de salt
• Controles de acceso: autenticación basada en JWT, restricciones por roles
• Procesamiento seguro de pagos: infraestructura PCI-DSS de Stripe
• Infraestructura en la nube con monitorización de seguridad automatizada
• Copias de seguridad automáticas y periódicas con MongoDB Atlas

Notificación de brechas de datos: si se produce una brecha que afecta a tus datos personales, notificaremos a la AEPD en un plazo de 72 horas desde el conocimiento (art. 33 RGPD), avisaremos a las personas afectadas sin dilación indebida si la brecha supone un riesgo alto para sus derechos (art. 34 RGPD) y aplicaremos medidas correctivas inmediatas para contener y mitigar la brecha.

IMPORTANTE: aunque aplicamos medidas de seguridad razonables, ningún sistema garantiza la seguridad absoluta. Cada persona usuaria es responsable de proteger sus credenciales de acceso.

Datos de la plataforma Meta/Instagram: nuestro uso de los datos de Meta (Facebook/Instagram) cumple con la Política de Plataforma de Meta. Integración con Instagram (vía Unipile): accedemos a tu nombre de usuario y al ID de cuenta (almacenados) y a los mensajes directos (consultados bajo demanda, no almacenados). NO accedemos a datos privados de la cuenta, analíticas ni información de seguidores. NO usamos datos de Meta con fines publicitarios ni los vendemos a terceros.

Proveedores de IA: usamos API de IA de terceros para funciones clave — Google Gemini (análisis de imágenes de obras), OpenAI (generación del calendario de publicación) y Anthropic / Claude (descripciones, hashtags y documentos de artista). Usan autenticación por API key, sin datos de cuenta de Google ni de otro OAuth. Solo enviamos el contenido que cada función necesita: tus imágenes de obras y el texto que pides a Pablito que cree. Cada proveedor trata estos datos por cuenta nuestra en el marco de un acuerdo de tratamiento de datos (consulta la página de Subencargados).

Conservación de datos para integraciones de terceros: los datos de Instagram (nombre de usuario, ID de cuenta) se almacenan mientras dure la integración. Los mensajes directos se consultan bajo demanda y no se almacenan. Si desconectas una integración, los datos asociados se eliminan en un plazo de 30 días. Puedes revocar el acceso a las integraciones de terceros en cualquier momento desde los ajustes de tu cuenta de Pablito o desde los ajustes de tu cuenta de Meta/Instagram.

Si resides en California, tienes derechos adicionales conforme a la California Consumer Privacy Act (CCPA):

• Derecho a saber: solicitar la divulgación de las categorías y los datos personales concretos recogidos
• Derecho a eliminar: solicitar la eliminación de los datos personales (sujeto a excepciones legales)
• Derecho a oponerte a la venta: NO vendemos datos personales
• Derecho a no sufrir discriminación: no se te discriminará por ejercer tus derechos CCPA

Para ejercer estos derechos, contacta con: privacy@pablito.app

El Servicio no está dirigido a personas menores de 18 años. No recogemos conscientemente datos personales de menores. Si descubrimos que hemos recogido datos de un menor de forma inadvertida, los eliminamos sin demora.

Podemos actualizar esta Política de Privacidad periódicamente. Avisaremos por email de los cambios sustanciales con al menos 30 días de antelación. Seguir usando el Servicio tras el periodo de aviso implica la aceptación.

Para preguntas sobre esta Política de Privacidad o para ejercer tus derechos: Email: privacy@pablito.app Dirección: Marie du Mesnil du Buisson, Llull 200, Barcelona 08005, España