Política de Privacidad

1. Introducción

Esta Política de Privacidad describe el tratamiento de datos personales que realiza SingThem (en adelante, "SingThem", "nosotros" o "el Servicio") cuando utilizas nuestra aplicación web (singthem.com), nuestra app para Android disponible en Google Play, nuestra app para iOS disponible en la App Store, y los servicios asociados. Tu cuenta, tus créditos y tus canciones son los mismos en todos los modos de SingThem (CookThem, WooThem, HypeThem, PrankThem, ThankThem y CelebrateThem).

Esta política se aplica a todos los usuarios, registrados o no. Si decides crear una cuenta también aceptas nuestros Términos de Uso. Si no estás de acuerdo con alguno de estos puntos, te pedimos que no utilices el Servicio.

El uso del Servicio implica el conocimiento y aceptación de esta política. La fecha de entrada en vigor figura en la cabecera de este documento; las modificaciones futuras se comunicarán mediante aviso destacado en la app y, si afectan a usuarios registrados, también por email.

2. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es el titular del proyecto SingThem. Para cualquier consulta relacionada con esta política, ejercicio de tus derechos o incidente de seguridad, puedes contactarnos en:

Email: privacy@cookthem.com Web: https://singthem.com Dirección postal: España (UE).

Si resides en la Unión Europea o el Espacio Económico Europeo, te recordamos que tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de tu país de residencia.

3. Datos que recopilamos

Recopilamos los datos estrictamente necesarios para prestar el Servicio. Los agrupamos en las siguientes categorías:

Datos de cuenta: cuando te registras, recogemos tu dirección de correo electrónico, un nombre de usuario y, si te autenticas con Google o Apple, el identificador único que esos proveedores nos facilitan. Si te registras con email y contraseña, almacenamos la contraseña cifrada (hash bcrypt) — nunca en texto plano.

Datos de identificación de dispositivo: para limitar el uso anónimo gratuito (una canción gratis por dispositivo) generamos una huella digital del navegador o dispositivo a través de FingerprintJS Pro. Esta huella no es un dato personal directo, pero permite identificarte de forma estable. También guardamos el tipo de plataforma (web/iOS/Android) y, en apps nativas, el token de Firebase Cloud Messaging para enviarte notificaciones push.

Datos de uso: registramos eventos de uso (páginas visitadas, acciones de creación de canciones, compras, errores) a través de Google Analytics 4 con consentimiento. Estos datos se usan en forma agregada para mejorar el producto.

Contenido generado por el usuario: descripciones de la persona a quien va dirigida la canción, tono solicitado, perfiles de redes sociales que nos indiques (Instagram, LinkedIn, YouTube), letras generadas y ficheros de audio resultantes. Si decides subir fotos (por ejemplo, de la persona a quien va dedicada la canción), también tratamos esas imágenes para analizarlas, inspirar la letra y, si activas la portada con IA, generar la imagen de portada. Solo debes subir fotos que tengas derecho a compartir.

Datos de pago: cuando realizas una compra, los datos de tarjeta NUNCA pasan por nuestros servidores. Los procesa directamente Stripe (web) o Apple/Google a través de RevenueCat (apps nativas). Nosotros guardamos sólo el identificador de la transacción y el estado de tu suscripción.

Datos de comunicación: si nos escribes a soporte, almacenamos el contenido del mensaje, tu email y la fecha; cuando enviamos canciones por email o WhatsApp, guardamos los identificadores de envío para fines de auditoría.

4. Base legal del tratamiento

Tratamos tus datos sobre alguna de las siguientes bases legales recogidas en el Reglamento General de Protección de Datos (RGPD, UE 2016/679):

Ejecución de un contrato (Art. 6.1.b): para prestarte el Servicio, gestionar tu cuenta y procesar tus compras necesitamos tratar los datos esenciales de cuenta y pago.

Consentimiento (Art. 6.1.a): el envío de comunicaciones comerciales, las cookies analíticas no esenciales y el marketing personalizado se basan en tu consentimiento, que puedes retirar en cualquier momento.

Interés legítimo (Art. 6.1.f): la detección de fraude (FingerprintJS Pro), la seguridad del Servicio y la mejora del producto se sustentan en nuestro interés legítimo, debidamente ponderado frente a tus derechos.

Obligación legal (Art. 6.1.c): conservamos información fiscal y de transacciones durante los plazos exigidos por las leyes españolas y europeas (típicamente 6 años para datos contables).

5. Compartición con terceros

Para operar el Servicio compartimos datos estrictamente necesarios con los siguientes encargados de tratamiento. Todos ellos están sujetos a contratos que garantizan medidas de seguridad equivalentes y, cuando procede, cláusulas contractuales tipo (SCC) para transferencias internacionales:

Google Cloud / Google Analytics 4 (EE. UU.): analítica de uso del producto. Recibe eventos de navegación e identificadores anonimizados cuando aceptas las cookies analíticas.

FingerprintJS Pro (UE/EE. UU.): identificación de dispositivo para detectar fraude y aplicar el límite de canciones gratuitas. Recibe la huella técnica del navegador.

Google Gemini (Google, EE. UU.) y OpenAI (EE. UU.): generación de letras y análisis de fotos mediante inteligencia artificial. Google Gemini es nuestro proveedor principal y OpenAI se utiliza como alternativa cuando Gemini no está disponible. Reciben la descripción que escribes, el tono solicitado y, si las subes, tus fotos. No reciben tu email ni datos de cuenta.

Kie.ai (kie.ai), proveedor a través del cual utilizamos los modelos de música de Suno: generación de la música y, si activas la portada con IA, de la imagen de portada. Para la música recibe la letra, el título y el estilo musical. Para la portada recibe la letra y el título y, si has subido fotos, enlaces firmados temporales que le permiten descargar esas fotos durante un tiempo limitado. No recibe tu email ni datos de cuenta.

Apify (UE/EE. UU.): scraping de perfiles públicos (Instagram, LinkedIn, YouTube) cuando nos los proporcionas. Recibe únicamente el username público.

Stripe (UE/EE. UU.): procesamiento de pagos en la web. Recibe el método de pago y los datos fiscales necesarios para la transacción.

RevenueCat (EE. UU.): gestión de compras dentro de la app (IAP) en iOS y Android. Recibe identificadores de usuario y eventos de compra.

Apple Inc. y Google LLC: tramitación de las compras dentro de la app y validación de recibos. Cada uno aplica su propia política de privacidad.

Firebase Cloud Messaging (Google, EE. UU.): envío de notificaciones push a las apps nativas.

Resend (UE/EE. UU.): envío de emails transaccionales (verificación, recuperación de contraseña, notificación de canciones).

Twilio / WhatsApp Business (EE. UU.): envío de canciones por WhatsApp cuando lo solicitas explícitamente.

Proveedores de infraestructura en la nube: hosting del backend y almacenamiento de ficheros. Las fotos que subes, los audios y las portadas se guardan en proveedores de almacenamiento en la nube (actualmente Cloudflare R2, servicio de almacenamiento de objetos).

Cloudflare (EE. UU./global): CDN, servicio del frontend web y almacenamiento de objetos (Cloudflare R2) para fotos, audios y portadas.

MongoDB Atlas (UE/EE. UU.): base de datos principal.

No vendemos tus datos personales. No los cedemos a anunciantes terceros. No realizamos perfilados automatizados con consecuencias jurídicas significativas para ti.

6. Plazos de conservación

Mantenemos tus datos sólo el tiempo necesario para cumplir las finalidades descritas en esta política y para atender obligaciones legales:

Datos de cuenta: mientras tu cuenta esté activa. Si eliminas tu cuenta, anonimizamos los datos identificadores de inmediato (ver sección 7).

Canciones generadas: se conservan asociadas a tu cuenta hasta que la elimines. Tras la eliminación, el contenido sigue accesible mediante el enlace público pero queda desligado de tu identidad.

Datos de pago: 6 años desde la última transacción para cumplir obligaciones contables y fiscales (Ley General Tributaria española).

Logs técnicos y de seguridad: 90 días en CloudWatch antes de archivado o purga automática.

Eventos de webhook procesados: 90 días (TTL automático en MongoDB) para evitar duplicados en pagos.

Copias temporales en proveedores de IA: los proveedores que generan el contenido pueden conservar temporalmente los ficheros generados antes de que los copiemos a nuestro propio almacenamiento. Por ejemplo, Kie.ai conserva los audios generados hasta 14 días y los enlaces a los resultados durante unas 24 horas. Los enlaces firmados a tus fotos que compartimos con Kie.ai caducan automáticamente al poco tiempo.

7. Tus derechos

El RGPD y la legislación española te reconocen los siguientes derechos sobre tus datos personales:

Acceso: puedes solicitarnos copia de los datos que tenemos sobre ti.

Rectificación: puedes corregir datos inexactos directamente desde tu perfil o solicitándolo a privacy@cookthem.com.

Supresión ("derecho al olvido"): puedes eliminar tu cuenta desde la opción "Eliminar cuenta" en tu perfil. La supresión es inmediata y anonimiza el email, el nombre de usuario, los identificadores OAuth y los tokens de autenticación. Las canciones se conservan sin vínculo con tu identidad.

Limitación: puedes pedirnos que limitemos el tratamiento mientras se verifica una rectificación.

Portabilidad: puedes solicitar tus datos en formato estructurado (JSON) escribiéndonos a privacy@cookthem.com.

Oposición: puedes oponerte al tratamiento basado en interés legítimo.

Revocación del consentimiento: puedes retirar el consentimiento para cookies analíticas o comunicaciones comerciales en cualquier momento sin que ello afecte a la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos escribe a privacy@cookthem.com con tu email asociado a la cuenta. Responderemos en un plazo máximo de un mes.

8. Menores de edad

El Servicio no está dirigido a menores de 13 años y no recopilamos conscientemente datos de menores de esta edad. En España, el consentimiento para el tratamiento de datos de menores de 14 años requiere autorización de los padres o tutores.

Si descubrimos que hemos recopilado datos de un menor sin la debida autorización, los eliminaremos lo antes posible. Si crees que un menor nos ha proporcionado datos, escríbenos a privacy@cookthem.com.

Algunos modos, como CookThem, pueden contener humor adulto. Recomendamos su uso a partir de 16 años por sensibilidad de contenido.

9. Transferencias internacionales

Algunos de nuestros encargados de tratamiento (Google, OpenAI, Kie.ai, Stripe, Cloudflare, etc.) están localizados en Estados Unidos u otros países fuera del Espacio Económico Europeo.

Estas transferencias se amparan en mecanismos legales reconocidos: bien Decisiones de Adecuación de la Comisión Europea (cuando aplican), bien Cláusulas Contractuales Tipo (SCC) firmadas con el proveedor, complementadas con medidas técnicas y organizativas adicionales (cifrado en tránsito y en reposo, controles de acceso).

Puedes solicitar copia de las garantías aplicadas escribiéndonos a privacy@cookthem.com.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos: cifrado HTTPS/TLS en todas las comunicaciones, contraseñas almacenadas con bcrypt, secretos gestionados en AWS Systems Manager Parameter Store con cifrado SSE, control de acceso mediante roles IAM, auditoría de logs en CloudWatch y revisiones periódicas de dependencias.

Ninguna medida de seguridad es infalible. En caso de brecha que afecte a tus datos personales y suponga un riesgo para tus derechos, te lo notificaremos sin dilación injustificada y, si procede, lo comunicaremos a la Agencia Española de Protección de Datos en un plazo de 72 horas.

11. Cambios en esta política

Podemos modificar esta política para reflejar cambios legales o evolutivos del Servicio. Cuando los cambios sean sustanciales:

Bumpearemos la versión y la fecha de entrada en vigor visibles en la cabecera.

Publicaremos un aviso destacado dentro de la app durante al menos 30 días.

Si has aceptado comunicaciones, te enviaremos un email resumen.

Tu uso continuado del Servicio tras la entrada en vigor de la nueva versión implica la aceptación de los cambios.

12. Uso de SingThem desde asistentes de IA

Puedes conectar SingThem a asistentes de IA como ChatGPT o Claude (como app o conector) para crear, escuchar, gestionar y enviar tus canciones desde la conversación, por texto o por voz. Esta sección explica qué cambia en ese caso.

Inicio de sesión y permisos: inicias sesión en nuestra propia página, nunca dentro del asistente, así que nunca ve tu contraseña. Tú eliges qué puede hacer el asistente (por ejemplo, ver tus canciones, crear canciones con tus créditos o enviar canciones en tu nombre). Cada acceso dura una hora y solo se renueva automáticamente si permites seguir conectado; ese permiso de renovación caduca tras 30 días sin uso.

Lo que el asistente nos envía: solo lo que necesita cada acción — los datos de la canción que pides (nombres, historias, estilo, letra), las fotos que decidas adjuntar, los destinatarios cuando nos pides enviar una canción y el idioma de la conversación. No recibimos el resto de tu conversación.

Lo que devolvemos: la información de tus canciones que pides (títulos, letras, estado, portadas, enlaces temporales para escuchar o descargar) y tus créditos disponibles. Esa información pasa a formar parte de tu conversación y la trata el proveedor del asistente (OpenAI en ChatGPT, Anthropic en Claude) según su propia política de privacidad, igual que tu voz si usas el modo de voz. SingThem no controla cómo conservan tus conversaciones.

Interfaz en el chat: algunas respuestas muestran una pequeña interfaz de SingThem (reproductor, galería, formulario de creación) dentro del asistente. Se ejecuta aislada por el asistente, no usa cookies ni analítica y solo habla con nuestro servidor a través del asistente. Las fotos que subes desde ella van directamente a nuestro almacenamiento mediante enlaces firmados temporales.

Métricas de uso: por cada acción guardamos contadores diarios (qué acción, qué asistente, si funcionó y cuánto tardó), sin el contenido de la petición ni tu identidad, y los borramos a los 90 días.

Desconexión: puedes desconectar SingThem cuando quieras en los ajustes del asistente; desde entonces deja de usar el acceso, que caduca solo. También puedes escribirnos para revocarlo de inmediato. Tu cuenta y tus canciones siguen en SingThem; para borrarlas, usa la opción de eliminar la cuenta (sección 7).

13. Contacto

Para cualquier cuestión sobre privacidad, ejercicio de derechos o incidentes de seguridad: privacy@cookthem.com.

Para soporte general: support@cookthem.com.

Autoridad de control en España: Agencia Española de Protección de Datos, www.aepd.es.