Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de CreativeStar es SONANDAR MARKETING Y COMUNICACIÓN, S.L., entidad titular del sitio web creativestar.store y responsable de la actividad comercial de CreativeStar, con sede en España.

• Responsable: SONANDAR MARKETING Y COMUNICACIÓN, S.L.
• Correo de privacidad: [email protected].
• Sitio web: https://creativestar.store.

En esta política, «Plataforma» se refiere al servicio de software de animación y renderizado de CreativeStar, a su sitio web y a las herramientas gratuitas que se ofrecen en él.

2. Alcance de esta política

Esta política explica qué datos personales tratamos, por qué los tratamos, qué bases jurídicas utilizamos, durante cuánto tiempo los conservamos y cómo pueden ejercerse los derechos reconocidos por la normativa de protección de datos.

Se aplica al registro, autenticación, gestión de la cuenta, uso de la aplicación, configuración de animaciones, renderizado, soporte técnico, boletín de novedades, programa de creadores y comunicaciones relacionadas con el servicio.

Las suscripciones y el pack fundador los vende y factura directamente SONANDAR MARKETING Y COMUNICACIÓN, S.L., y los pagos los procesa Stripe. Los packs de presets, y las suscripciones contratadas a través de Polar mientras sigan activas, se venden a través de Polar, que actúa como vendedor (Merchant of Record) y realiza algunos tratamientos en su propio papel contractual y de privacidad. Esta política se limita a los tratamientos efectuados por el responsable y a los que le corresponda explicar conforme a la normativa aplicable.

3. Categorías de datos personales

Según el uso que el usuario haga de la Plataforma, podremos tratar las siguientes categorías de datos:

3.1. Datos de cuenta

• Dirección de correo electrónico.
• Identificador interno de usuario.
• Nombre o alias, si se facilita.
• Fecha de creación de la cuenta.
• Estado de la cuenta y preferencias de configuración.
• Datos necesarios para autenticar al usuario y gestionar su sesión.
• Si el usuario inicia sesión con Google o Discord: el identificador de esa cuenta y el correo, el nombre y la imagen de perfil que el proveedor nos facilita.

3.2. Datos de autenticación y seguridad

• Contraseñas, almacenadas mediante funciones criptográficas de hash, nunca en texto plano.
• Datos técnicos de sesión y tokens de autenticación.
• Registros de intentos de acceso, recuperación de cuenta y eventos de seguridad.
• Direcciones IP, fechas, identificadores de sesión y datos técnicos que se generen al utilizar el servicio.

3.3. Proyectos y datos de uso

• Parámetros y configuraciones de animación.
• Identificadores de proyectos y trabajos de renderizado.
• Estado de los trabajos y errores técnicos.
• Metadatos necesarios para procesar y gestionar los proyectos.
• Datos sobre el uso de las funciones y los límites de la suscripción, cuando sean necesarios para prestar el servicio o investigar incidencias.

3.4. Imágenes subidas, archivos de trabajo y resultados

Algunas animaciones admiten imágenes del usuario, por ejemplo un logotipo o una fotografía. Las imágenes que el usuario sube se almacenan para poder usarlas en sus proyectos y en sus renderizados, y solo se tratan con ese fin.

La Plataforma también utiliza almacenamiento para los archivos de trabajo, los recursos técnicos y los vídeos exportados. Estos archivos pueden no contener datos personales o incluirlos incidentalmente, según el contenido que aporte el usuario.

Se recomienda no subir imágenes con datos personales de terceros sin su autorización.

3.5. Datos de suscripción y transacciones

Podremos tratar los datos necesarios para identificar el plan contratado, el estado de la suscripción, las fechas de renovación, la cancelación y la elegibilidad para determinadas funciones.

Para cobrar las suscripciones y el pack fundador, emitir sus facturas y calcular los impuestos, tratamos el nombre, el correo electrónico, la dirección de facturación (al menos el país y el código postal) y, si el comprador lo indica, su número de identificación fiscal, junto con el producto, el importe, los impuestos, la fecha y el estado de cada pago.

El pago lo procesa Stripe, que trata los datos del medio de pago y, en su propio papel, los necesarios para cumplir sus obligaciones legales y prevenir el fraude. Si el comprador paga con PayPal, PayPal trata los datos de su cuenta conforme a su propia política. En las compras realizadas a través de Polar, Polar nos comunica los identificadores de cliente, suscripción y pedido, el correo de la compra, el producto contratado y el estado del pago.

No recibimos ni almacenamos números de tarjeta de pago.

3.6. Comunicaciones y soporte

Podremos tratar la dirección de correo electrónico, el contenido de los mensajes enviados a soporte y la información necesaria para investigar y resolver incidencias.

Se recomienda a los usuarios no enviar contraseñas, credenciales, información de tarjetas ni otros datos sensibles a través del correo de soporte.

3.7. Boletín de novedades

Si el usuario deja su correo para recibir el pack gratuito o las novedades, tratamos esa dirección únicamente para enviarle esas comunicaciones. Cada envío incluye un enlace para darse de baja.

3.8. Programa de creadores

Si el usuario llega a través del enlace de un creador de contenido, guardamos qué creador le trajo, un identificador aleatorio de su navegador, la fecha y una huella cifrada de su dirección IP que no permite recuperarla, para aplicar el descuento del creador y calcular su comisión. El creador solo ve cifras agregadas, nunca el nombre ni el correo del usuario.

Si el usuario participa como creador, tratamos además los datos necesarios para calcular y pagar sus comisiones.

3.9. Herramientas gratuitas del sitio web

Las herramientas gratuitas del sitio web funcionan en el navegador del usuario: las fotos que se cargan en ellas no se envían a nuestros servidores ni se guardan.

4. Finalidades y bases jurídicas

Tratamos datos personales únicamente cuando existe una finalidad determinada y una base jurídica aplicable.

Crear y gestionar la cuenta, autenticar al usuario y prestar el servicio contratado.

Ejecución del contrato o medidas precontractuales solicitadas por el usuario.

Guardar configuraciones e imágenes, procesar proyectos y ejecutar renderizados.

Ejecución del contrato.

Gestionar la suscripción, su estado, los cobros, la cancelación y la coordinación con los proveedores de pago (Stripe y, en lo contratado a través de él, Polar).

Ejecución del contrato y, cuando corresponda, cumplimiento de obligaciones legales.

Atender consultas y solicitudes de soporte.

Ejecución del contrato o interés legítimo, según la naturaleza de la consulta.

Enviar el boletín de novedades y el pack gratuito.

Consentimiento del usuario, que puede retirarse en cualquier momento.

Atribuir visitas y registros al programa de creadores y pagar sus comisiones.

Interés legítimo en el funcionamiento del programa y ejecución del contrato con el creador.

Medir la audiencia del sitio web.

Interés legítimo, en la medición agregada sin cookies; consentimiento, en Google Analytics.

Mostrar publicidad en el sitio web (Google AdSense).

En el EEE, el Reino Unido y Suiza, consentimiento del usuario, recogido con el mensaje de consentimiento de Google; en el resto, interés legítimo en financiar con publicidad las herramientas gratuitas.

Detectar y corregir los errores del sitio web.

Interés legítimo en que el servicio funcione correctamente.

Proteger la Plataforma, investigar accesos no autorizados y prevenir fraude o abuso.

Interés legítimo en la seguridad del servicio o cumplimiento de obligaciones legales cuando corresponda.

Emitir facturas, calcular y declarar los impuestos y conservar los registros exigidos por obligaciones fiscales, contables o legales.

Cumplimiento de obligaciones legales aplicables.

Atender reclamaciones y defender derechos en procedimientos.

Interés legítimo y, cuando proceda, formulación, ejercicio o defensa de reclamaciones.

Cuando el tratamiento se base en el interés legítimo, hemos valorado que el tratamiento es necesario para ese interés y que no prevalecen sobre él los derechos de las personas afectadas.

No utilizamos el consentimiento como base jurídica genérica para tratamientos que sean necesarios para ejecutar el contrato.

5. Registros técnicos y prevención de abusos

La Plataforma genera registros técnicos para diagnosticar errores, proteger la infraestructura, investigar incidentes y detectar posibles infracciones de las condiciones de uso.

Estos registros pueden incluir direcciones IP, identificadores de usuario, fechas, eventos de acceso, operaciones relevantes y datos sobre trabajos de renderizado.

Los errores que se producen en el navegador al usar el sitio web se envían a Sentry para poder corregirlos: el mensaje del error, la página en la que ocurrió, el navegador y el sistema operativo. No incluyen la dirección IP, cookies ni datos de la cuenta.

El acceso a estos registros se limita a personas autorizadas que los necesiten para tareas de soporte, seguridad o administración.

La detección de abuso se basa en registros técnicos y revisión manual. No utilizamos sistemas de decisiones automatizadas que produzcan efectos jurídicos sobre el usuario sin intervención humana.

Si se introducen sistemas de evaluación automatizada o elaboración de perfiles con efectos relevantes, se revisarán sus implicaciones legales y se actualizará esta política.

6. Plazos de conservación

Conservamos los datos durante el tiempo necesario para cumplir las finalidades descritas, atendiendo a las obligaciones legales, los requisitos de seguridad y la necesidad de gestionar posibles reclamaciones.

Imágenes subidas.

Mientras un proyecto guardado las utilice. Si ninguno las usa, se eliminan tras 14, 30 o 90 días sin utilizarse, según el plan (Basic, Pro o Max).

Vídeos exportados.

Disponibles para descarga durante 30, 90 o 365 días desde que termina el renderizado, según el plan (Basic, Pro o Max). Después se elimina el archivo.

Logs técnicos y eventos de uso.

Hasta 90 días desde su generación, salvo que deban conservarse de forma limitada por un incidente o una obligación legal.

Datos de cuenta.

Mientras la cuenta permanezca activa y durante el tiempo adicional estrictamente necesario para completar su eliminación o atender obligaciones legales.

Proyectos guardados.

Mientras la cuenta exista o hasta que el usuario los elimine.

Mensajes de soporte.

Durante el tiempo necesario para resolver la solicitud y conservar evidencia de la gestión cuando exista una justificación válida.

Facturas y datos de las transacciones.

Durante los plazos que exige la normativa fiscal y mercantil (en general, seis años) o los necesarios para gestionar reclamaciones.

Correo del boletín de novedades.

Hasta que el usuario se da de baja.

Atribución a un creador (cookie cs_ref).

60 días desde la llegada a través del enlace del creador.

Copias de seguridad

Algunos datos pueden permanecer temporalmente en copias de seguridad de la base de datos después de eliminarse del sistema principal. Estas copias se renuevan periódicamente según el ciclo de rotación del proveedor de base de datos, están sujetas a medidas de seguridad y acceso restringido, y no se utilizan para finalidades ordinarias.

Cuando se restaure una copia de seguridad, se aplicarán los procedimientos necesarios para evitar que datos que debían haberse eliminado permanezcan en el sistema restaurado.

7. Destinatarios y proveedores

Para prestar el servicio, permitimos el acceso a datos personales a proveedores que actúan como encargados del tratamiento, solo cuando resulta necesario y con una base contractual adecuada. No vendemos datos personales.

• Hetzner: alojamiento de la aplicación.
• PlanetScale: base de datos.
• Cloudflare: almacenamiento de archivos y red.
• Amazon Web Services: procesamiento de renderizados.
• Vast.ai: procesamiento de la vista previa del editor.
• Resend: envío de correos electrónicos.
• Stripe: cobro de las suscripciones y del pack fundador, cálculo de impuestos y facturación. Trata algunos datos bajo su propia política de privacidad.
• PayPal: pago, solo si el comprador lo elige al pagar. Trata los datos de su cuenta bajo su propia política de privacidad.
• Polar: venta de los packs de presets y de las suscripciones contratadas a través de él, como Merchant of Record. Trata algunos datos bajo su propia política de privacidad.
• Google y Discord: inicio de sesión, solo si el usuario lo elige.
• Umami y Google Analytics: medición de audiencia del sitio web; Google Analytics, solo con consentimiento.
• Google AdSense: publicidad en el sitio web. Google trata los datos que usa para mostrar y medir anuncios como responsable independiente, bajo su propia política de privacidad (https://policies.google.com/privacy).
• Sentry: registro de errores del sitio web, con los datos alojados en la Unión Europea.

No utilizamos proveedores de inteligencia artificial para tratar datos de los usuarios.

8. Transferencias internacionales

Los servidores principales de la Plataforma se alojan en la Unión Europea.

Algunos proveedores (Cloudflare, Resend, Stripe, PayPal, Polar, Google, Discord, Umami y Sentry) son empresas establecidas fuera del Espacio Económico Europeo o pueden tratar datos fuera de él, y el renderizado en Amazon Web Services se realiza en el Reino Unido.

En esos casos, la transferencia se ampara en los mecanismos previstos por el RGPD: una decisión de adecuación de la Comisión Europea, como la del Reino Unido o el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas, o las cláusulas contractuales tipo aprobadas por la Comisión, junto con las medidas adicionales que resulten necesarias.

9. Cookies y tecnologías similares

La Plataforma utiliza cookies y almacenamiento local estrictamente necesarios para prestar el servicio, mantener la sesión, gestionar la autenticación, recordar el idioma y proteger la seguridad, y la cookie del programa de creadores cuando el usuario llega por el enlace de un creador.

La medición de audiencia con Umami no utiliza cookies. Google Analytics solo se carga si el usuario lo acepta, y esa decisión puede cambiarse en cualquier momento desde el enlace «Cookies» del pie de página. Los anuncios de Google AdSense usan cookies publicitarias: en el EEE, el Reino Unido y Suiza, con el consentimiento que se pide en el mensaje de Google, que decide también Google Analytics.

El detalle de cada cookie, su finalidad y su duración está en la política de cookies.

10. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta la naturaleza de los datos, el funcionamiento del servicio y los posibles daños derivados de un acceso o tratamiento no autorizado. Entre ellas:

• Protección de credenciales mediante funciones criptográficas de hash.
• Control de acceso a sistemas, bases de datos y registros.
• Restricción de privilegios según las funciones necesarias.
• Cifrado de las comunicaciones y protección de las sesiones.
• Supervisión de errores y eventos relevantes de seguridad.
• Procedimientos de gestión de incidencias y eliminación de datos.
• Revisión de las condiciones de seguridad de los proveedores.

Estas medidas reducen el riesgo, pero ningún sistema garantiza la ausencia absoluta de incidentes.

Si se produce una violación de seguridad de datos personales, evaluaremos el riesgo y cumpliremos las obligaciones de notificación a la autoridad de control y de comunicación a las personas afectadas cuando correspondan conforme al RGPD.

11. Derechos de las personas

Los usuarios pueden ejercer los derechos que les reconozca la normativa aplicable, entre ellos:

• Acceso: conocer si se tratan sus datos y obtener acceso a ellos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación cuando se cumplan los requisitos legales.
• Limitación: solicitar que se limite el tratamiento en los supuestos previstos.
• Portabilidad: recibir determinados datos en un formato estructurado y transmitirlos a otro responsable cuando se cumplan los requisitos.
• Oposición: oponerse a tratamientos basados en el interés público o legítimo en los supuestos legalmente previstos.
• Retirada del consentimiento: cuando un tratamiento se base en el consentimiento, retirarlo sin afectar a la licitud del tratamiento anterior.

Para ejercer estos derechos, puede escribirse a [email protected].

Podremos solicitar información adicional razonable para verificar la identidad cuando existan dudas fundadas, sin recabar datos excesivos.

Las solicitudes se atenderán dentro de los plazos establecidos por la normativa aplicable. En general, el RGPD prevé un plazo de un mes, con posibilidad de ampliación en los supuestos legalmente previstos.

El ejercicio de estos derechos no tendrá coste, salvo las excepciones permitidas por la ley.

12. Eliminación de cuentas y datos

Los usuarios pueden solicitar la eliminación de su cuenta escribiendo a [email protected] desde la dirección de correo asociada a la cuenta.

La solicitud inicia la eliminación de los datos de cuenta, los proyectos asociados, las imágenes subidas y los vídeos exportados, que se completa en el sistema principal en un plazo máximo de un mes desde que se confirma la solicitud. Cancelar la suscripción no elimina la cuenta.

Determinados datos podrán conservarse durante el tiempo necesario para cumplir obligaciones legales, gestionar reclamaciones o mantener evidencia de incidentes de seguridad cuando exista una base jurídica válida.

Los datos presentes en copias de seguridad desaparecen cuando caducan las copias que los contienen, con acceso restringido y sin utilizarse para finalidades ordinarias mientras tanto.

13. Decisiones automatizadas

La Plataforma no utiliza decisiones exclusivamente automatizadas que produzcan efectos jurídicos sobre los usuarios o les afecten significativamente de forma similar.

Los registros pueden utilizarse para identificar comportamientos sospechosos, pero las medidas de suspensión por abuso se basan en la revisión de incidencias y en una valoración humana.

Si esta situación cambia, se actualizará la política y se facilitará la información exigida por la normativa.

14. Datos de menores

La Plataforma está destinada exclusivamente a personas mayores de 18 años.

No pretendemos ofrecer el servicio a menores. Si tenemos conocimiento de que una cuenta pertenece a una persona menor de edad, podremos adoptar las medidas necesarias para verificar la situación y gestionar la cuenta de acuerdo con la legislación aplicable.

Esta restricción contractual no sustituye las obligaciones legales que correspondan al responsable respecto de los datos personales ya tratados.

15. Reclamaciones ante la autoridad de control

Si una persona considera que el tratamiento de sus datos infringe la normativa, puede ponerse en contacto con el responsable a través de [email protected].

También puede presentar una reclamación ante la autoridad de protección de datos competente. En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD, aepd.es), sin perjuicio de las competencias de otras autoridades cuando proceda.

16. Cambios en esta política

La política podrá actualizarse cuando cambien las funcionalidades, los proveedores, las finalidades, las obligaciones legales o las prácticas de tratamiento.

La versión vigente indica su fecha de actualización. Cuando una modificación requiera comunicación específica o una actuación adicional del usuario, se realizará conforme a la normativa aplicable.

17. Contacto

Para consultas sobre privacidad o protección de datos:

• Responsable: SONANDAR MARKETING Y COMUNICACIÓN, S.L.
• Correo de privacidad: [email protected].
• Sitio web: https://creativestar.store.