Política de Privacidad

1. Responsable del tratamiento

El responsable es TONVI TECH SL (CIF B-19780394), Calle Puerta del Mar 18, 5ª planta, 29005 Málaga, España — la empresa detrás de OpenShorts (openshorts.app). Para cualquier cuestión sobre tus datos, escribe a [email protected]. Esta política está también disponible en inglés; para residentes en España prevalece la versión en castellano en caso de discrepancia.

2. Qué tratamos, para qué y con qué base jurídica

Tu cuenta

Tu dirección de email (y, si inicias sesión con Google, tu identificador de cuenta de Google), fechas de alta y de último acceso. Usamos enlaces mágicos sin contraseña, así que nunca almacenamos una contraseña. Base: ejecución del contrato (art. 6.1.b RGPD).

Facturación

Los pagos se realizan íntegramente en Stripe: guardamos tu referencia de cliente de Stripe, el plan y el estado de la suscripción, nunca tu número de tarjeta. Los datos de facturación se conservan porque la normativa fiscal lo exige. Base: contrato (art. 6.1.b) y obligación legal (art. 6.1.c).

Los vídeos que procesas

Los vídeos que subes o nos ordenas descargar, sus transcripciones y los clips generados a partir de ellos se tratan para prestarte exactamente el trabajo que solicitaste. Base: contrato (art. 6.1.b). Cuando un vídeo contiene datos personales de otras personas (su imagen, su voz), el responsable de esos datos eres tú y nosotros actuamos como tu encargado siguiendo tus instrucciones — ver cláusula 6 de los Términos de Servicio.

Tu declaración de derechos

Cada vez que envías un trabajo confirmas que tienes derechos sobre el contenido. Conservamos esa declaración con su fecha, el identificador de tu navegador y tu dirección IP truncada a su red (descartamos la parte final, de modo que identifica una red y no un dispositivo), como prueba de diligencia ante posibles disputas de derechos de autor o de imagen. Se guarda junto al proyecto al que pertenece y se elimina con tu cuenta. Base: interés legítimo en la formulación y defensa de reclamaciones (art. 6.1.f).

Emails de servicio, y el que no lo es

Te enviamos enlaces de acceso, recibos, avisos de renovación, avisos de clips listos y avisos previos a la eliminación de clips. Forman parte del servicio, no son marketing. Base: contrato (art. 6.1.b). Hay un mensaje distinto: si estás en el plan gratuito y agotas tus minutos, te enviamos un único email sugiriendo mejorar de plan. Ese sí es una comunicación comercial (art. 21.2 de la Ley 34/2002, que la permite sobre productos propios similares a clientes propios), lleva enlace de baja y cabecera de baja en un clic en todos sus envíos, y darte de baja lo detiene de forma permanente sin afectar a los mensajes de servicio. No tenemos boletín y jamás vendemos ni cedemos tu dirección.

Analítica de producto

Medimos el uso de la aplicación con OpenPanel, en una instancia que operamos nosotros mismos; el script de medición se sirve desde este dominio y no desde un tercero. No se carga nada hasta que aceptas la categoría "medición de audiencia" en el banner de cookies, y rechazarla es un solo clic en ese mismo banner — puedes cambiar de opinión cuando quieras desde el enlace "cookies" del pie de página. Con esos eventos enviamos el identificador interno de la cuenta (un uuid aleatorio) para distinguir el primer uso del uso recurrente; no enviamos tu dirección de email. Sin píxeles publicitarios, sin seguimiento entre sitios, sin compartir nada con nadie. Base: tu consentimiento (art. 6.1.a RGPD y art. 22.2 de la Ley 34/2002); puedes retirarlo cuando quieras en el banner o escribiendo a [email protected].

Seguridad y antiabuso

Registros del servidor, límites de uso por IP y señales de fraude, conservados para proteger el servicio y a sus usuarios. Base: interés legítimo (art. 6.1.f). Los registros de aplicación se conservan como máximo 7 días en el log rotatorio del contenedor, no se agregan en ningún otro sitio y no contienen tu dirección de email.

No tratamos categorías especiales de datos (art. 9 RGPD) como parte del servicio, no tomamos decisiones automatizadas con efectos jurídicos sobre ti (art. 22 RGPD) y no usamos tu contenido ni tus datos para entrenar modelos de IA — ni nuestros ni de terceros — ni los vendemos.

3. Cookies y almacenamiento local

No instalamos cookies de terceros ni cargamos ningún script de terceros al abrir la página. Lo que el sitio guarda se divide en dos grupos.

Estrictamente necesario — siempre activo, sin consentimiento. Todo es de primera parte y vive en el almacenamiento local de tu navegador, no en una cookie: tu token de sesión (te mantiene identificado), un token de medios de vida corta (permite que tu navegador descargue tus propios clips y miniaturas, que no son públicos), tus preferencias de interfaz (últimos ajustes del editor, pestaña, idioma), el referente de la primera visita que registramos una sola vez al darte de alta y — si usas el modo con claves propias — tus claves API de proveedores de IA. Esas claves están ofuscadas, no cifradas: el valor se transforma para que no sea legible de un vistazo en las herramientas de desarrollo, lo cual no es protección criptográfica, y quien tenga acceso a tu perfil de navegador podría recuperarlas. Solo se envían para ejecutar tus propios trabajos y nunca se almacenan en nuestros servidores. El registro de tu decisión sobre cookies también se guarda aquí.

Medición de audiencia — siempre activa, solo de primera parte. OpenPanel (ver apartado 2) escribe un identificador anónimo de visitante. El script se sirve desde este dominio; la instancia es nuestra, los datos no se ceden ni se usan entre sitios, lo que según el criterio de la AEPD y la CNIL la exime de consentimiento previo. El banner solo se muestra a visitantes del EEE, Reino Unido y Suiza; los identificadores no viven más de 13 meses y los datos brutos no más de 25. "Rechazar todo" y "Aceptar todo" están uno al lado del otro en el banner, y el enlace "cookies" del pie de página lo reabre para que retirar el consentimiento cueste lo mismo que darlo.

Marketing. No usamos rastreadores publicitarios ni de remarketing. La categoría existe en el banner para que, si algún día añadiéramos alguno, empiece desactivado.

4. Quién recibe datos (encargados) y dónde

Todos los proveedores que usamos, qué recibe cada uno y dónde está. La versión detallada de esta lista, con la garantía de transferencia de cada uno, se mantiene en el repositorio público en docs/compliance/subprocessors.md, donde también se registran los cambios.

• Google (API Gemini) — análisis con IA para seleccionar momentos, encuadres, títulos y miniaturas. Recibe la transcripción de tu vídeo y fotogramas muestreados (que pueden mostrar caras), la foto de referencia que elijas para una miniatura y — solo cuando se ejecuta la comprobación de encuadre "screencast" — el propio archivo de vídeo de origen, que borramos del almacén de archivos de Google en cuanto llega la respuesta en lugar de dejar que caduque allí. Las condiciones de la API de pago de Google prohíben usar los datos de clientes para entrenar modelos. EE. UU.
• ElevenLabs — doblaje y voces con IA, solo cuando lo solicitas. Recibe el audio del clip, es decir la voz de quien habla en él. EE. UU.
• fal.ai — los modelos de imagen y vídeo que hay detrás de AI Shorts (Flux para las imágenes de actor, Kling y Hailuo para el avatar que habla). Recibe la foto de actor que subes o generas — que puede ser la fotografía de una persona real — y el audio con el que se sincronizan sus labios. EE. UU.
• Stripe — pagos y facturación. EE. UU./UE.
• Cloudflare R2 y Amazon Web Services S3 — almacenamiento de tus clips y archivos de proyecto. Regiones UE/EE. UU.
• Cloudflare — DNS y CDN delante del sitio web, por lo que ve la dirección IP y los metadatos de petición de cada visitante. EE. UU./global.
• Hetzner y Contabo — los servidores donde se ejecuta el servicio. Alemania.
• Proxies de descarga (DataImpulse y proxies ISP estáticos) — cuando una plataforma de vídeo rechaza a nuestros servidores directamente, la descarga se enruta por un proxy comercial. Ve la URL del vídeo y transporta sus bytes; no recibe ningún dato de tu cuenta.
• Upload-Post — publicación en las cuentas sociales que conectes, solo siguiendo tu instrucción, y custodio de los tokens de plataforma que esas conexiones generan. Operado por TONVI TECH SL bajo esta misma política.
• Aikount — nuestro propio sistema de facturación, que emite la factura legal española de tu pago y por tanto recibe de Stripe tu nombre fiscal, dirección y email. Operado por TONVI TECH SL, servidores en Alemania.
• OpenPanel — medición de audiencia propia, exenta de consentimiento previo (apartado 3). La instancia es nuestra y funciona en nuestros propios servidores en Alemania; el script se sirve desde este dominio.
• Namecheap Private Email — entrega de los emails de servicio. EE. UU.
• Google (iniciar sesión con Google) — solo si lo eliges, y solo con el ámbito "openid email profile", de modo que conocemos tu dirección y tu identificador de cuenta de Google y nada más. EE. UU.

Dos cosas que deliberadamente no enviamos a ningún sitio: nuestras alertas operativas internas te identifican por los primeros caracteres del identificador de tu cuenta, nunca por tu email ni por el título de tu vídeo; y la detección de caras que decide dónde recortar se ejecuta en nuestros propios servidores y no genera ninguna plantilla biométrica.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE–EE. UU. si el proveedor está certificado y, en todo caso, en las Cláusulas Contractuales Tipo de la Comisión Europea (art. 46.2.c RGPD) como salvaguarda subsidiaria, junto con las medidas técnicas del proveedor. Preferimos regiones de la UE cuando el proveedor las ofrece.

5. Cuánto tiempo conservamos cada cosa

• Clips del plan gratuito: 7 días; después se eliminan de forma permanente (te avisamos antes por email).
• Proyectos y clips de planes de pago: mientras tu suscripción esté activa, más 7 días.
• Datos de cuenta: mientras exista tu cuenta; tras su eliminación, solo lo necesario para cumplir obligaciones legales o resolver disputas.
• Datos de facturación: 6 años (Código de Comercio).
• Declaraciones de derechos: hasta 5 años junto al proyecto al que pertenecen, en línea con el plazo de prescripción de las acciones civiles, y se eliminan con tu cuenta si la borras antes.
• Archivos de trabajo en el servidor de procesado (la descarga de origen, las copias intermedias): 1 hora tras finalizar el trabajo. Subidas pendientes de trabajo: 6 horas.
• Miniaturas generadas y fotogramas muestreados para crearlas: 24 horas desde la última vez que descargaste una.
• Fotos que subes para animar un actor de IA: se eliminan con el trabajo que las usó, dentro de la hora siguiente.
• Registros de aplicación: 7 días en el log rotatorio del contenedor.
• Copias de seguridad cifradas de la base de datos: 30 días, pasados los cuales una eliminación que hayas hecho desaparece también de toda copia.
• Identificadores de analítica: 13 meses; datos brutos de analítica: 25 meses.

La versión completa y detallada de esta tabla, escrita contra el código que realmente la aplica, está en el repositorio público en docs/compliance/retencion.md.

6. Tus derechos

Puedes pedirnos acceso, rectificación, supresión, limitación y portabilidad de tus datos, y oponerte a los tratamientos basados en interés legítimo — basta un email a [email protected] o a [email protected] desde la dirección de tu cuenta; respondemos en el plazo de un mes. Dos de ellos puedes ejercerlos tú mismo, ahora y sin pedir permiso a nadie: Cuenta → Descargar mis datos te entrega un fichero JSON con todo lo que nuestra base de datos guarda sobre ti más un enlace de descarga para cada clip de tu biblioteca (art. 20), y Cuenta → Eliminar cuenta lo borra (art. 17). Para la supresión no necesitas pedírnosla: Cuenta → Eliminar cuenta en el panel la ejecuta tú mismo, de forma inmediata y permanente, y se lleva por delante tus proyectos, clips, transcripciones, claves de API y conexiones con redes sociales, además de cancelar cualquier suscripción activa. Solo sobreviven dos cosas, ambas recogidas en el apartado 5: tus facturas, que la normativa fiscal nos obliga a conservar, y un registro de que la eliminación se produjo, que te identifica mediante un hash irreversible de tu dirección de email y no mediante la dirección en sí. Si crees que tratamos mal tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, aepd.es) o ante la autoridad de tu país de la UE.

7. Residentes en California (CCPA/CPRA)

Si resides en California, este apartado es tu aviso en el momento de la recogida. En los últimos doce meses hemos recogido estas categorías de información personal: identificadores (la dirección de email con la que accedes); información comercial (tu plan, tu saldo de minutos y la referencia de Stripe de tus pagos, nunca el número de tu tarjeta); actividad en internet (analítica propia y autoalojada sobre el uso de la aplicación); e información audiovisual (los vídeos que subes o enlazas, su audio, los clips que generamos y sus transcripciones). Las recogemos para prestarte el servicio que has pedido, facturarlo, mantenerlo seguro y cumplir nuestras obligaciones legales, según el detalle del apartado 2. Las fuentes eres tú y, cuando pegas un enlace, la plataforma de la que tomas el vídeo.

No vendemos tu información personal ni la compartimos para publicidad conductual entre contextos. No lo hemos hecho en los doce meses anteriores y no lo hacemos con datos de menores de 16 años. Solo la comunicamos a proveedores de servicios, para los fines y a los destinatarios del apartado 4, con contratos que les impiden usarla para otra cosa.

Nuestro reencuadre detecta caras y sujetos dentro de la imagen para saber por dónde recortar. Ocurre en nuestros propios servidores, nunca se usa para reconocer ni identificar a nadie, y no genera una plantilla facial ni ningún identificador que permita relacionar a una persona entre vídeos. No usamos información personal sensible para inferir características sobre ti, así que el derecho a limitar su uso no llega a nacer.

Tienes derecho a saber qué recogemos y a recibir una copia, a que se rectifique, a que se elimine y a no sufrir discriminación por ejercer cualquiera de estos derechos: no damos peor servicio, ni precio más alto, ni menos funciones a quien los ejerce. Se ejercen escribiendo a [email protected] desde la dirección de tu cuenta, o eliminándolo todo tú mismo desde Cuenta → Eliminar cuenta. Verificamos la solicitud por el control que tienes sobre el email de la cuenta, que es la misma credencial con la que accedes, y respondemos en 45 días. Un agente autorizado puede actuar por ti si aporta tu permiso por escrito.

8. Edad

El servicio no está dirigido a menores. Para crear una cuenta debes tener al menos 16 años, o la edad de consentimiento digital de tu país si es mayor, y se te pide confirmarlo al registrarte. Si crees que un menor ha creado una cuenta, escribe a [email protected] y la eliminaremos.

8 bis. Contenido generado por IA

El doblaje, AI Shorts y las miniaturas con IA producen contenido sintético. Marcamos lo que generamos de forma legible por máquina — una etiqueta de metadatos en los archivos de vídeo y un marcado XMP DigitalSourceType: trainedAlgorithmicMedia en las imágenes generadas — conforme al art. 50.2 del Reglamento (UE) 2024/1689 (Reglamento de IA). Ese marcado no siempre sobrevive a la recodificación que hacen las plataformas al subir un archivo, así que cuando publiques contenido sintético eres tú quien debe activar la etiqueta de contenido de IA de la propia plataforma (art. 50.4); la aplicación te lo recuerda en el momento de publicar. Clonar una voz o animar la fotografía de una persona real sin su consentimiento está prohibido por los Términos de Servicio, y ambas funciones te piden confirmar que cuentas con ese consentimiento antes de ejecutarse.

9. Cambios

Si cambiamos esta política de forma relevante te lo comunicaremos por email o en la aplicación antes de que el cambio surta efecto, y la fecha de esta página refleja siempre la versión vigente.