Política de privacidad
BORRADOR
2026-10-12-borrador— pendiente de revisión profesional. Revisado el 12-oct-2026: los proveedores, dónde tratan los datos y sus garantías se han comprobado en sus páginas oficiales (fuentes enREADME.md). Lo que sigue marcado con [CONFIRMAR] necesita la revisión del abogado o un dato de Marco.
1. Quién trata tus datos
- Responsable: [RAZÓN SOCIAL], NIF [NIF], [DOMICILIO].
- Contacto para privacidad: contacto@tomaatoma.com.
2. Qué datos tratamos, para qué y con qué base legal
| Datos | Para qué | Base legal (RGPD) |
|---|---|---|
| Cuenta: nombre, email y contraseña (guardada con un algoritmo de un solo sentido; nunca la vemos) | Crear tu cuenta, que entres y escribirte sobre el servicio | Ejecución del contrato (art. 6.1.b) |
| Lo que subes: vídeos, audios, fotos, logo y música; y lo que escribes: respuestas del asistente, guiones y peticiones de cambio (también por voz) | Prestar el servicio: preparar el guion, montar el vídeo, reels, portadas y ajustes | Ejecución del contrato (art. 6.1.b) |
| Transcripción de tu voz, separación de voz y música, y análisis de la imagen (dónde está la cara o el producto en el cuadro, para reencuadrar) | Montar el vídeo alineado con lo que dices, limpiar el audio y encuadrar los verticales | Ejecución del contrato. No identificamos a nadie: la detección de caras solo sirve para encuadrar, no para reconocer personas |
| Pagos: plan, facturas e identificador de cliente en Stripe. No guardamos los datos de tu tarjeta | Cobrar el plan o los packs y emitir facturas | Contrato y obligación legal (art. 6.1.b y 6.1.c) |
| Redes sociales (si las conectas): nombre de las cuentas conectadas y resultado de cada publicación | Publicar tus vídeos cuando tú lo pides | Contrato (art. 6.1.b) |
| Publicación de cada vídeo: título, descripción, etiquetas, tu código de afiliado de tiendas (por ejemplo, el de Amazon), tus plantillas de enlaces y los enlaces de cada vídeo | Preparar la descripción con tus enlaces y tus avisos legales | Ejecución del contrato (art. 6.1.b) |
Enlaces cortos (go.tomaatoma.com/…): el destino y un contador de clics por enlace y por día. No guardamos la IP, cookies ni ningún otro dato de quien hace clic en el contador |
Que el enlace lleve a la tienda y que veas cuántos clics tiene | Contrato (para ti). De quien hace clic solo quedan los registros técnicos del servidor del apartado 5 |
| Denuncias de enlaces cortos (página «Denunciar este enlace»): el enlace denunciado, el motivo elegido y una huella no reversible de la IP de quien denuncia, para no contar dos veces a la misma persona. Se borran con el enlace o cuando lo revisamos. Además, durante una hora, un contador por IP para limitar abusos | Cortar enlaces de fraude o phishing | Interés legítimo (art. 6.1.f) |
| Verificación en dos pasos (si la activas; obligatoria para administradores): la clave de tu app de códigos (cifrada) y tus códigos de recuperación (guardados como huella) | Proteger el acceso a tu cuenta | Ejecución del contrato (art. 6.1.b) |
| Datos técnicos: IP, fecha de acceso, sesiones y registro de acciones de seguridad (entradas, cambios de contraseña, pagos) | Seguridad, prevención del abuso (límite de registros e intentos, comprobación contra robots) y resolver incidencias | Interés legítimo (art. 6.1.f) |
| Emails enviados y su entrega (entregado, rebotado) | Saber si te llegan los avisos y no insistir a direcciones que rebotan | Interés legítimo (art. 6.1.f) |
| Programa de afiliados (solo si te das de alta): datos fiscales y bancarios, y estadísticas de tu enlace | Gestionar el programa, pagarte y cumplir obligaciones fiscales | Contrato y obligación legal (art. 6.1.b y 6.1.c). Detalle en las Condiciones del programa de afiliados |
- No usamos tus datos para publicidad ni los vendemos.
- No tomamos decisiones automatizadas con efectos jurídicos sobre ti. La IA propone guiones, cortes y ajustes, y tú decides siempre qué se queda.
3. Uso de inteligencia artificial
- Anthropic (Claude): para generar guiones, interpretar tus peticiones de cambio, elegir momentos para los reels, proponer títulos, descripciones y capítulos, y elegir fotogramas, enviamos a su API el texto necesario (tus respuestas, el guion, la transcripción, tus peticiones) y, cuando hace falta, fotogramas o miniaturas de tus tomas. Usamos la API con los términos comerciales de Anthropic, que no usa por defecto lo que se le envía por la API para entrenar sus modelos.
- Google Cloud Text-to-Speech (solo si eliges que una voz sintética lea tu guion): recibe el texto del guion y la voz elegida; no tu nombre, tu email ni tus grabaciones. Según Google, este servicio no registra ni guarda el texto ni el audio. Guardamos la locución en tu cuenta.
- fal.ai (solo si pides un plano generado con IA): recibe la descripción del plano y, si lo eliges, un fotograma de tu producto. [CONFIRMAR: firmar su acuerdo de encargo (DPA) y comprobar que no usa las entradas para entrenar antes de ofrecer los planos con IA a usuarios]
- En nuestro propio servidor, sin enviarlo a terceros: la transcripción de tu voz, la separación de voz y música, la limpieza del audio, el análisis de imagen para encuadrar y el recorte del fondo de las imágenes.
4. Con quién compartimos datos (encargados del tratamiento)
Solo lo necesario para prestar el servicio, con contrato de encargo (art. 28 RGPD):
| Proveedor | Para qué | Dónde trata los datos | Garantías si sale del EEE |
|---|---|---|---|
| Hostinger | Servidor donde están la aplicación, la base de datos y tus archivos | Francia (UE) [CONFIRMAR en el panel de Hostinger] | — |
| Google (Drive) | Copias de seguridad de los resultados (vídeos terminados, reels, portadas), no de tus grabaciones originales | UE / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Anthropic | IA de texto e imagen (guiones, ajustes, reels, portadas, descripciones, fotogramas) | EE. UU. | Cláusulas contractuales tipo de su acuerdo de encargo |
| Google (Cloud Text-to-Speech) | Voz generada por IA (solo si la eliges) | UE / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| fal.ai | Planos generados con IA (solo si los pides) | EE. UU. | Cláusulas contractuales [CONFIRMAR] |
| Resend | Envío de emails | Envío desde la UE (Irlanda); guarda los datos en EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Stripe | Pagos y facturas | UE (Irlanda) / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. Para la prevención del fraude y sus obligaciones legales, Stripe actúa como responsable independiente, según su propia política de privacidad [CONFIRMAR] |
| Upload-Post (Tonvi Tech SL, Málaga) | Publicación en tus redes (solo si las conectas) | UE (Alemania) | — |
| Cloudflare | DNS del dominio (no pasa el tráfico de la aplicación) y Turnstile, la comprobación contra robots al entrar y al registrarte: recibe tu dirección IP y datos técnicos del navegador | UE / EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. Base legal de Turnstile: interés legítimo en la seguridad (art. 6.1.f) |
- Pexels (vídeos e imágenes de archivo, solo si los pides) no recibe datos personales tuyos: solo el término de búsqueda.
- Cuando publicas en una red social (YouTube, Instagram, TikTok…), el vídeo pasa a regirse también por la política de esa red.
5. Cuánto tiempo guardamos los datos
- Mientras tengas la cuenta: tus datos y archivos. Conservamos las versiones de tus tomas y vídeos para que puedas volver atrás; puedes borrar proyectos cuando quieras. Los proyectos borrados se eliminan del todo a los 30 días, y las tomas originales de proyectos sin actividad, a los 120 días (ver Condiciones de uso).
- Si borras la cuenta: se borran tus datos y archivos del servidor en ese momento, cancelamos tu plan, borramos tu cliente en Stripe (Stripe conserva las facturas emitidas por obligación legal) y tu perfil en Upload-Post con las redes conectadas. Las copias de seguridad de la base de datos se renuevan solas y desaparecen en un máximo de 5 semanas (7 copias diarias y 4 semanales). Tus enlaces cortos dejan de funcionar.
- Facturas y datos de pago: el tiempo que exige la ley (6 años, art. 30 del Código de Comercio). [CONFIRMAR con el gestor]
- Registros de seguridad y del servidor web (incluida la IP): 12 meses.
- Direcciones que rebotan o se quejan: aunque borres la cuenta, guardamos esa dirección en la lista de «no enviar» para no volver a escribirle (interés legítimo), durante 3 años. [CONFIRMAR plazo]
6. Tus derechos
- Puedes pedir acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contacto@tomaatoma.com.
- Desde la propia aplicación, en «Cuenta», puedes:
- descargar todos tus datos: tu cuenta, proyectos, guiones y archivos, los vídeos en la papelera, tus tomas propias con sus fotogramas, las imágenes para la web, la descripción, los enlaces y sus clics, tus plantillas, las invitaciones que recibiste y si tu dirección está en la lista de «no enviar»;
- borrar tu cuenta con todos sus archivos.
- Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Menores
Tomaatoma no está dirigido a menores de 14 años. Si tienes menos de 18, necesitas el permiso de tus padres o tutores para contratar un plan de pago.
8. Personas que aparecen en tus vídeos
Si en tus grabaciones aparecen otras personas, eres tú quien tiene que contar con su permiso para grabarlas y publicarlas (ver Condiciones de uso).
9. Cambios
Si cambiamos esta política de forma importante, te avisaremos por email y en la aplicación antes de que se aplique.