Política de privacidad

#1. Responsable del tratamiento

El responsable del tratamiento descrito en este documento, en el sentido del artículo 4, apartado 7, del RGPD, es:

Empresa

MATTALNET GRUPP OÜ

Dirección

Tuukri tn 19-315, 10120 Tallinn, Estonia

Número de registro mercantil

14744075

Número de identificación a efectos del IVA

EE102519059

Correo electrónico

mail@vicelume.com

Escriba a esa dirección para cualquier cuestión relativa a esta política, incluida toda solicitud conforme a la sección 15. Indique «Protección de datos» en el asunto y la encauzaremos como corresponde.

No hemos designado un delegado de protección de datos. Nuestro tratamiento no alcanza los umbrales del artículo 37, apartado 1, del RGPD: no llevamos a cabo una observación habitual y sistemática a gran escala, ni tratamos categorías especiales de datos a gran escala. La dirección de correo electrónico indicada más arriba es el punto de contacto en materia de protección de datos.

#2. Qué cubre esta política

El sitio web vicelume.com, las aplicaciones ViceLume para iOS y Android, la emisión de radio y los correos de servicio que enviamos. No cubre los sitios web a los que enlazamos. En cuanto siga un enlace a un medio, se aplicará la política de privacidad propia de ese medio, sobre la que no tenemos ninguna influencia.

#3. Tratamientos, de un vistazo

Cada fila es una finalidad, los datos que requiere, la base jurídica conforme al artículo 6, apartado 1, del RGPD y el tiempo que se conservan los datos. Las secciones siguientes describen cada fila con más detalle.

#4. Su cuenta y las passkeys

ViceLume no utiliza contraseñas. El registro y el inicio de sesión se realizan mediante passkeys (WebAuthn). Su dispositivo genera un par de claves; la clave privada nunca sale de él, y nosotros solo recibimos y almacenamos la clave pública, el identificador de credencial y un contador de firmas. En nuestra base de datos no hay nada que pudiera reutilizarse como contraseña en caso de filtración, y no hay nada que una página de phishing pueda capturar.

Almacenamos una dirección de correo electrónico junto con la cuenta. Existe para que podamos confirmar que la dirección le pertenece, para poder contactarle sobre el servicio (un aviso de seguridad, un cambio en estos documentos, una respuesta a su solicitud) y para que disponga de una vía de recuperación. No es una credencial de acceso y nunca se utiliza para elaborar un perfil suyo.

El alias es lo que usted decida que sea. Si prefiere no ser identificable, elija uno que no sea su nombre — nada en el servicio exige uno real.

#5. Analíticas de uso

Medimos cómo se usa el servicio, para saber qué idiomas, historias y emisoras merecen el coste de producirlos. Hay dos mediciones, y ambas están desactivadas hasta que usted las activa. Mientras no lo haga, no se carga ningún script de analíticas, no se escribe ninguna cookie de analíticas y no se envía a ninguna parte nada sobre su visita — tampoco a Google.

Nuestra propia medición

La primera medición es de primera parte: los datos van a nuestro propio servidor en Alemania y a nadie más. Es la que alimenta los informes de la consola del operador, y es la razón por la que podemos saber si merecía la pena traducir a un idioma.

• Una clave de sesión: un identificador aleatorio que genera su navegador o aplicación por sí mismo. No la derivamos de nada relativo a usted, y no se vincula entre dispositivos.
• La plataforma (web, iOS, Android), el idioma de su interfaz, el tipo de evento y un pequeño conjunto fijo de propiedades para ese tipo — una ruta sin su cadena de consulta, el identificador de una historia, un enlace externo en el que hizo clic, el identificador de una emisora.
• El identificador de su cuenta, pero solo si en ese momento ha iniciado sesión. Sin sesión iniciada, un evento no contiene usuario alguno.
• No su dirección IP y no su cadena de agente de usuario. Ninguna de las dos se escribe en el almacén de analíticas.

Los eventos en bruto se eliminan 400 días después de registrarse. Los recuentos agregados que conservamos para elaborar informes (visitas por día, reproducciones por emisora) no contienen ningún identificador.

Google Analytics 4

La segunda medición no es nuestra. Si activa las analíticas, cargamos Google Analytics 4 (propiedad G-GS3J1SR3NS) desde googletagmanager.com, y este comunica sus visitas de página a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. Google es un tercero. Trata estos datos siguiendo nuestras instrucciones conforme al artículo 28 del RGPD, pero lo hace en su propia infraestructura, con sus propias condiciones, y no podemos inspeccionar lo que conserva. Incorporarlo supone un cambio respecto de cómo funcionaba antes este servicio, y esta sección lo dice en lugar de ocultarlo.

• Qué recibe Google: la ruta de la página en la que se encuentra, el sitio que le remitió, el idioma de su interfaz, y datos técnicos sobre su navegador, su dispositivo y su pantalla.
• Un identificador entre sitios. Google establece las cookies _ga descritas en la sección 10 y las utiliza para reconocer el mismo navegador en visitas posteriores. Es el identificador de Google, no el nuestro, y no podemos ver qué más asocia Google a él.

#6. Radio, audio e historias habladas

La radio reproduce música instrumental y vocal sin letra generada por IA, boletines informativos hablados leídos por una voz sintética y anuncios de audio. Nada de ello es la grabación de un intérprete real, y la voz de ningún oyente se captura jamás — el servicio no tiene acceso a ningún micrófono ni entrada de voz de ningún tipo.

Escuchar la radio está disponible para los usuarios con sesión iniciada, de modo que el servidor sabe qué cuenta está reproduciendo y contabiliza la reproducción. Con las analíticas aceptadas, la reproducción también genera un evento radio_play como se describe más arriba. Con las analíticas rechazadas, solo se incrementa el contador de reproducciones del lado del servidor, que está asociado a la pista, no a usted.

#7. Notificaciones push y correo electrónico

Las notificaciones push son opcionales y siempre están desactivadas hasta que usted las active. Cuando lo hace, su navegador o sistema operativo emite un punto de conexión push y un par de claves, que almacenamos para que se pueda entregar un mensaje. Las usamos para aquello para lo que las activó —nuevos resúmenes, boletines de última hora— y para nada más.

Desactívelas en la aplicación o en la configuración del sitio de su navegador y la suscripción se elimina. Base jurídica: su consentimiento, artículo 6, apartado 1, letra a), del RGPD.

Cartas que puede activar

Existen dos cartas, y ambas están desactivadas hasta que usted las active en la configuración de notificaciones de su cuenta: una carta semanal que resume lo que se ha movido en los temas que sigue, y avisos de un cambio que no debe esperar a la semana. Ninguna de las dos se envía jamás a quien no la haya activado. Base jurídica: su consentimiento, artículo 6, apartado 1, letra a), del RGPD.

• Lo que almacenamos para poder enviarlas: los dos interruptores, su dirección de correo electrónico, el idioma en el que escribir, un token que identifica la suscripción dentro de un enlace de baja, y la zona horaria que comunicó su navegador al activarlas — para que una carta semanal llegue por su mañana y no en mitad de su noche. Las cartas informan sobre los temas del seguimiento que usted mismo eligió; nada más de lo que lee entra en ellas.
• Darse de baja es un clic, y se mantiene. Cada carta de canal lleva un botón de parada en su pie y una cabecera List-Unsubscribe, de modo que también funciona el propio botón de baja de su programa de correo, sin abrir la carta. Los interruptores de su cuenta hacen lo mismo.
• Dejamos constancia de que alguien se ha ido. Cada baja añade una fila: qué canal, por qué vía (el botón del pie, el clic único del programa de correo, la configuración de su cuenta o un administrador), cuándo, una forma enmascarada de la dirección — r***@example.test, nunca la dirección misma — y una referencia a la cuenta o entrada de lista a la que pertenecía. Existe para que podamos ver una tasa de bajas por cada mil cartas enviadas, que es como se distingue una mala carta de una semana corriente. Base jurídica: artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en saber si nuestro propio correo funciona.
• Ese registro nunca se utiliza para escribir a nadie. Lo lee la consola del operador y nada más, y ninguna fila de él puede convertirse de nuevo en una dirección.

El correo transaccional es otra cosa, y no se puede desactivar. La confirmación de su dirección, una invitación de passkey, un recibo, un aviso sobre su cuenta o sobre estos documentos — ninguno de ellos es un canal y ninguno lleva una baja, porque sin ellos perdería el acceso a su propia cuenta. La distinción no se deja a quien escribe el correo: cada mensaje se declara transaccional o de canal, y el módulo que compone los correos rechaza un correo de canal que no ofrezca una salida, y un correo transaccional que la ofrezca. Base jurídica: artículo 6, apartado 1, letra b), del RGPD, el contrato que tiene con nosotros.

#8. Registros del servidor, seguridad y prevención de abusos

Nuestro servidor web escribe un registro de acceso estándar: dirección IP, hora, URL solicitada, estado de la respuesta, referente y agente de usuario. Es lo que nos permite ver que una página está rota, que un rastreador está saturando el feed o que alguien está intentando enumerar passkeys. El registro se elimina a los 30 días y nunca se utiliza para elaborar un perfil ni se combina con el almacén de analíticas.

Los límites de tasa asociados a la dirección IP protegen el inicio de sesión, el formulario de retirada de contenidos y los puntos de conexión de IA. Las acciones administrativas y de moderación se registran en un registro de auditoría para que una decisión sobre un contenido pueda reconstruirse. Base jurídica de todo ello: artículo 6, apartado 1, letra f), del RGPD, nuestro interés legítimo en un servicio que permanezca disponible y no sea objeto de abuso. Consideramos que ese interés no se ve superado por sus intereses, porque los datos son mínimos, de corta duración y nunca se usan para nada más.

#9. Pagos

La facturación aún no está activa. Premium existe como plan, pero actualmente no se cobra ningún pago ni se trata ningún dato de pago.

Cuando se active la facturación, los pagos serán gestionados por Stripe (Stripe Payments Europe, Limited, Irlanda, con transferencia ulterior a Stripe, Inc. en los Estados Unidos). Los datos de la tarjeta se introducen en la infraestructura propia de Stripe y nunca llegan a nuestros servidores. Almacenaremos el estado de la suscripción, su duración y el identificador de cliente que asigne Stripe — lo suficiente para saber a qué tiene derecho, y nada más. Las facturas se conservarán durante los siete años que exige la legislación contable estonia. Esta política se actualizará, y esta sección se sustituirá, antes de que se realice el primer cobro.

#10. Cookies y almacenamiento local

No utilizamos cookies publicitarias. Las únicas cookies de terceros que este servicio puede establecer son las dos de Google Analytics que figuran a continuación, y solo existen si usted activó las analíticas. Todo lo que el servicio almacena en su navegador se detalla íntegramente aquí.

#11. Encargados y subencargados del tratamiento

Utilizamos los siguientes proveedores de servicios. Cada uno actúa siguiendo nuestras instrucciones en virtud de un contrato de encargo del tratamiento conforme al artículo 28 del RGPD, o bien —cuando no llega a él ningún dato personal— en virtud de un contrato de servicios ordinario.

#12. Transferencias a terceros países

Los servidores, la base de datos, las copias de seguridad y el correo permanecen todos dentro de la Unión Europea. Tres transferencias van más allá. Solo la primera de ellas le afecta a usted, y únicamente si activó las analíticas; las demás se refieren a contenidos — texto de artículos publicados y nuestros propios guiones — y se enumeran para que el panorama sea completo:

• Estados Unidos — cláusulas contractuales tipo conforme al artículo 46, apartado 2, letra c), del RGPD, complementadas, cuando el proveedor está certificado, por el EU–US Data Privacy Framework (artículo 45 del RGPD). Google LLC está certificada conforme a dicho marco, y esa es la base sobre la que le llegan los datos de analíticas de la sección 5.
• Reino Unido — cubierto por la decisión de adecuación de la Comisión Europea de 28 de junio de 2021, por lo que no se requiere ninguna garantía adicional.
• China — cláusulas contractuales tipo conforme al artículo 46, apartado 2, letra c), del RGPD, junto con una evaluación de impacto de la transferencia. Reducimos el riesgo residual prácticamente a cero al enviar únicamente texto ya publicado, y ningún dato personal en absoluto.

Puede solicitarnos una copia de las garantías vigentes para cualquiera de estas transferencias escribiendo a mail@vicelume.com.

#13. De dónde procede nuestro contenido

Nuestros resúmenes se redactan a partir de artículos de prensa, anuncios oficiales y cobertura de creadores de contenido que el editor ya ha hecho públicos. Se trata de contenido, no de datos personales sobre usted, por lo que el artículo 14 del RGPD tiene poco que decir aquí — pero, por completitud: si un artículo público menciona a una persona, ese nombre puede aparecer en un resumen sobre él, sobre la base jurídica del artículo 6, apartado 1, letra f), del RGPD (nuestro interés y el del público en informar sobre información ya publicada), y usted puede oponerse conforme al artículo 21 como se describe más abajo.

No compramos datos, no enriquecemos las cuentas con fuentes de terceros y no rastreamos perfiles en redes sociales.

#14. Cuánto tiempo conservamos las cosas

• Datos de la cuenta — hasta que elimine la cuenta. La eliminación es de autoservicio en su perfil: la cuenta se marca inmediatamente como eliminada y desaparece del servicio, y el registro se purga en un plazo de 30 días. Una credencial de passkey se elimina de inmediato.
• Entradas de la lista de correo — hasta que se dé de baja, o hasta que la lista previa al lanzamiento se purgue tras el lanzamiento.
• Registro de bajas — sin plazo propio: una fila se elimina junto con la cuenta o la entrada de lista a la que apunta. Las filas contienen una dirección enmascarada, nunca una dirección.
• Eventos de analíticas — 400 días.
• Registros de acceso del servidor — 30 días.
• Suscripciones push — hasta que se desactiven o caduquen.
• Expedientes de retirada de contenidos y reclamaciones — 3 años tras el cierre del caso, para que una reclamación posterior pueda valorarse frente a la primera.
• Registro de auditoría administrativa — 12 meses.
• Facturas y registros contables (una vez activa la facturación) — 7 años, conforme exige la legislación estonia.

#15. Sus derechos

Conforme al RGPD, usted tiene frente a nosotros los siguientes derechos. Ejercer cualquiera de ellos es gratuito, y respondemos en el plazo de un mes.

• Acceso (art. 15) — una copia de los datos que conservamos sobre usted y una explicación de qué hacemos con ellos. Su perfil también ofrece una exportación de autoservicio.
• Rectificación (art. 16) — corrección de cualquier dato inexacto.
• Supresión (art. 17) — eliminación de sus datos. De autoservicio en su perfil, o escribiéndonos.
• Limitación (art. 18) — congelación del tratamiento mientras se resuelve una controversia sobre la exactitud o la licitud.
• Portabilidad (art. 20) — los datos que nos proporcionó, en un formato estructurado y de lectura mecánica, para llevárselos a otro lugar.
• Oposición (art. 21) — puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento que basamos en intereses legítimos (secciones 8 y 13). En tal caso dejaremos de tratarlos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses.
• Retirada del consentimiento (art. 7, apartado 3) — para las analíticas, las notificaciones push y la lista de correo. Un clic, con efecto inmediato, sin afectar a la licitud del tratamiento anterior.

Escriba a mail@vicelume.com. Podemos pedirle que confirme el control de la cuenta o de la dirección de correo electrónico antes de actuar — no para obstaculizarle, sino porque entregar una exportación de la cuenta a la persona equivocada sería en sí misma una vulneración.

#16. Reclamaciones

Si considera que tratamos sus datos de forma ilícita, tiene derecho conforme al artículo 77 del RGPD a presentar una reclamación ante una autoridad de control — en el Estado miembro de su residencia, de su lugar de trabajo o del lugar en que se hubiera producido la presunta infracción. Nuestra autoridad principal es la estonia:

Autoridad

Andmekaitse Inspektsioon (Estonian Data Protection Inspectorate)

Dirección

Tatari 39, 10134 Tallinn, Estonia

Correo electrónico

info@aki.ee

Sitio web

https://www.aki.ee

Por supuesto, es bienvenido a plantearlo primero con nosotros — suele ser más rápido, y preferimos corregir un error a discutir sobre él.

#17. Sin decisiones automatizadas

No llevamos a cabo decisiones automatizadas ni elaboración de perfiles en el sentido del artículo 22, apartado 1, del RGPD. Nada sobre usted lo decide una máquina, y de lo que lee no se deriva ninguna consecuencia jurídica ni de efecto similar.

La IA se utiliza para producir contenido —resúmenes, traducciones, planes de Coach, boletines hablados, música—, no para evaluar a las personas. Un plan de Coach es una sugerencia generada a partir del tiempo de juego y el objetivo que usted mismo indicó; no es una evaluación de su persona, y no tiene consecuencias fuera del plan que solicitó.

#18. ¿Es obligatorio facilitar datos?

No. Leer, escuchar y buscar no requieren cuenta ni datos. Si desea una cuenta, un alias, una passkey y una dirección de correo electrónico son necesarios para crearla — sin ellos el contrato no puede ejecutarse. Todo lo demás es opcional y está claramente identificado como tal.

#19. Menores

El servicio no está dirigido a menores. Las cuentas son para usuarios de 16 años en adelante; por debajo de esa edad, el consentimiento conforme al artículo 8 del RGPD tendría que prestarlo el titular de la patria potestad, y no disponemos de medios para verificarlo. Si cree que un menor se ha registrado, comuníquenoslo y eliminaremos la cuenta.

#20. Modificaciones de esta política

Actualizamos esta política cuando el servicio cambia — cuando se activa la facturación, cuando se incorpora o se elimina un encargado del tratamiento. La fecha que figura arriba siempre indica cuándo. Un cambio sustancial se anuncia en el sitio antes de que entre en vigor y, si disponemos de su dirección de correo electrónico, por correo.