Política de privacidad

1. Responsable del tratamiento

Responsable del tratamiento: BLACKBOX CHANNELS LLC, que opera Vexels. Para cualquier cuestión de privacidad o para ejercer tus derechos, escribe a soporte@vexels.app.

2. Qué datos tratamos

• Datos de cuenta: tu correo (es tu forma de entrar), tu nombre si nos lo das, tu idioma y tus preferencias de avisos, y la fecha de alta y de último acceso.
• La aceptación de los términos: qué versión aceptaste, cuándo y en qué idioma.
• Si te apuntas a la lista de espera: tu correo, el canal, el idioma y la nota que escribas.
• Tu contenido: los títulos y guiones que escribes, los vídeos que encargas y los ajustes de tus canales. Un guion puede contener datos personales si tú los escribes en él; te pedimos que no incluyas datos de terceros que no sean necesarios ni datos sensibles (salud, ideología, etc.).
• Uso del servicio: el historial de créditos, los vídeos encargados y su estado, y lo que nos cuentes de un vídeo (estrellas, si lo publicarías y las escenas que marques como «no encaja»).
• Pagos: lo que Stripe nos comunica (estado de la suscripción, plan, importes, país de facturación y los últimos dígitos de la tarjeta). El número completo de la tarjeta lo trata solo Stripe.
• La app de escritorio (Vexels Echo 1): el nombre y el sistema de los ordenadores que vinculas, la versión de la app y la información de uso necesaria para la licencia. Si guardas claves de API en la web, las recibimos y almacenamos cifradas para entregarlas a tu app vinculada o comprobarlas. Los títulos, guiones y ajustes enviados por la web también llegan a nuestros servidores; el archivo de vídeo generado localmente no se sube salvo que uses una función que indique lo contrario.
• Datos técnicos: dirección IP, navegador y registros de acceso y errores de nuestros servidores, por seguridad.
• Si usas la cara de una persona real en un avatar: la foto (sin sus metadatos) y la declaración de consentimiento con su texto, la fecha, tu cuenta y, cuando está disponible, la dirección IP desde la que la firmaste. Se borran al borrar el avatar o tu cuenta, y con ellas los vídeos hechos con esa cara (ver «Contenido sintético»).
• Si nos escribes: el correo y lo que nos cuentes.

3. Para qué y con qué base legal

• Darte acceso, hacer y entregarte tus vídeos, gestionar tus créditos, tu suscripción y tu app, y atenderte: ejecución del contrato (art. 6.1.b RGPD).
• Cobrar, facturar y cumplir obligaciones fiscales y contables: obligación legal (art. 6.1.c) y ejecución del contrato.
• Seguridad, prevenir el fraude y el abuso, y hacer cumplir los términos (por ejemplo, revisar un vídeo denunciado): interés legítimo (art. 6.1.f).
• Mejorar la verificación de imágenes con lo que marcas como «no encaja» y con tus opiniones: interés legítimo. Puedes oponerte escribiéndonos.
• Avisarte de que hay plaza si te apuntas a la lista de espera: tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras.
• Avisos sobre tu cuenta y tus vídeos (por ejemplo, que un vídeo está listo o va a caducar): ejecución del contrato; puedes apagar los que no son imprescindibles en Cuenta.
• No vendemos tus datos, no hacemos publicidad con ellos, no tomamos decisiones automatizadas que te produzcan efectos jurídicos y no usamos tus guiones ni tus vídeos para entrenar modelos de IA.

4. Con quién se comparten (encargados del tratamiento)

Para prestar el servicio usamos proveedores que tratan datos por cuenta nuestra, con su contrato de encargo de tratamiento (DPA). A cada uno le mandamos solo lo necesario para su tarea; a los proveedores de IA les enviamos el texto del guion o de una escena y las imágenes candidatas, no tu correo ni los datos de tu cuenta.

• Anthropic (EE. UU.): proveedor de IA de texto. Recibe el texto del guion.
• Z.ai, de Zhipu AI (China): proveedor de IA de visión. Recibe fragmentos de texto del guion e imágenes.
• Google (EE. UU.): proveedor de IA de texto. Recibe fragmentos del guion.
• Proveedor de síntesis de voz (según la voz y el idioma: ElevenLabs, Inworld, MiniMax o Algrow; dentro y fuera del EEE): convierte la narración en audio. Recibe solo el texto que se narra.
• Supabase (servidores en la UE, en Francia; empresa de EE. UU.): base de datos de cuentas, créditos y ajustes.
• Cloudflare (EE. UU., red mundial): almacenamiento de los vídeos para su descarga, red y correo de nuestro dominio.
• Vercel (EE. UU.): alojamiento de la web.
• Stripe (EE. UU. e Irlanda): pagos y facturación. Trata los datos de pago también como responsable propio, según su política.
• Resend (EE. UU.): envío de los correos de acceso y de avisos. Recibe tu correo y el contenido del aviso.
• Para buscar imágenes consultamos bancos y archivos de imágenes con licencia con palabras sacadas de tu guion, nunca con tus datos de cuenta.
• Proveedores de red y de obtención de metraje de vídeo (para los fragmentos de vídeos públicos de terceros de los Términos, punto 9). Reciben solo consultas de búsqueda breves derivadas de tu guion, identificadores públicos de vídeo, los rangos de tiempo que se recortan y la dirección IP de nuestros servidores. Nunca reciben tu guion, tu nombre, tu correo ni ningún dato de tu cuenta. Las consultas pueden contener nombres de personas, lugares u organizaciones que menciona tu guion; si no quieres que salgan, desactiva el metraje de terceros en el encargo.
• Webshare (EE. UU.): proveedor de red (direcciones de salida, «proxies») por las que viajan esas consultas y descargas.
• Oxylabs (Lituania, UE): servicio de descarga de vídeo. Recibe el identificador público del vídeo y el rango de tiempo.

5. Transferencias fuera del Espacio Económico Europeo

• Varios proveedores están en EE. UU. Las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido y, si no, en las cláusulas contractuales tipo de la Comisión Europea incluidas en su contrato de encargo.
• Z.ai está en China, un país sin decisión de adecuación de la Comisión Europea. Para reducir el riesgo, solo recibe el texto de cada escena y las imágenes candidatas, nunca datos de tu cuenta. La transferencia se apoya en las garantías contractuales del proveedor cuando las ofrece y, en su defecto, en que es necesaria para prestarte el servicio que nos pides (art. 49.1.b RGPD). Por eso te pedimos que no escribas datos personales de terceros en tus guiones.
• Algún proveedor de voz puede tratar el texto narrado fuera del EEE con las mismas garantías.
• Puedes pedirnos más información sobre estas garantías escribiendo a la dirección de contacto.

6. Cuánto tiempo los guardamos

• La cuenta y sus datos: mientras la tengas. Al borrarla se borran tus datos, tus canales y tus vídeos; las copias de seguridad de la base de datos se renuevan en un máximo de 30 días.
• Los vídeos terminados: 30 días desde la entrega, y se borran solos (la pantalla del vídeo te dice la fecha).
• El guion, los medios y el informe técnico de cada vídeo: se borran con el vídeo y, como mucho, a los 90 días.
• El registro de qué obras de terceros se usaron (para citarlas y atender retiradas): se conserva, sin tu guion.
• La lista de espera: hasta que entres o pidas salir.
• Los registros técnicos de acceso y errores: hasta 30 días, salvo que hagan falta para investigar un incidente.
• Los datos de pago y facturación: el tiempo que exija la ley fiscal y contable.
• La constancia de qué términos aceptaste: mientras exista tu cuenta y, después, el tiempo necesario para atender reclamaciones.

7. Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte a su tratamiento, llevártelos (portabilidad) y retirar tu consentimiento cuando quieras, sin que eso afecte a lo hecho antes.

Desde Cuenta puedes descargar todos tus datos en un fichero y borrar tu cuenta. Para lo demás, escribe a soporte@vexels.app; te contestamos en un plazo máximo de un mes. Podemos pedirte que confirmes que eres tú.

Si crees que no tratamos bien tus datos, puedes reclamar ante la autoridad de protección de datos de tu país (en España, la Agencia Española de Protección de Datos, aepd.es). Te agradecemos que antes nos escribas para intentar resolverlo.

8. Seguridad

Todo viaja cifrado (HTTPS). Los enlaces de entrada y las sesiones se guardan solo como una huella (hash), no en claro; el acceso a la base de datos está restringido al servidor; y los vídeos se sirven solo a su dueño. Ningún sistema es infalible: si hubiera una brecha que te afecte, te avisaremos como manda la ley.

9. Menores

Vexels no está dirigido a menores de 18 años y no tratamos a sabiendas sus datos. Si crees que un menor nos ha dado datos, escríbenos y los borraremos.

10. Cambios

Si cambiamos esta política de forma importante (por ejemplo, un nuevo encargado que reciba tu guion), lo diremos aquí con la nueva fecha y te avisaremos antes de que se aplique.