Política de privacidad

1. Introducción

Clipia.ai es un servicio operado por Clipia LLC, una sociedad de responsabilidad limitada de Wyoming (EE. UU.) («nosotros», «nuestro», «la Empresa»), que actúa como responsable del tratamiento de sus datos personales. Clipia LLC respeta su privacidad. Esta Política de privacidad explica cómo recopilamos, utilizamos y protegemos sus datos personales cuando utiliza nuestro Servicio, y describe sus derechos en virtud de la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California («CCPA/CPRA»), y de otras leyes de privacidad de EE. UU. aplicables.

Para los usuarios ubicados en la Federación de Rusia, y para el tratamiento realizado conforme a la legislación rusa, el operador de datos personales es el empresario individual Maksim S. Zakharov (datos completos en la sección 12). Para ese tratamiento, este documento sirve también como Política de tratamiento de datos personales exigida por el artículo 18.1(2) de la Ley Federal rusa n.º 152-FZ, de 27 de julio de 2006, «Sobre los datos personales», y se publica sin restricciones en clipia.ai/privacy.

2. Datos que recopilamos

2.1. Datos que usted proporciona:

• Correo electrónico y nombre durante el registro
• Información de pago (tratada a través de sistemas de pago seguros)
• Prompts de texto para la generación
• Imágenes y vídeos subidos
• Solicitudes de soporte y la correspondencia relacionada

2.2. Datos recopilados automáticamente:

• Dirección IP. En los registros de inicio de sesión en la cuenta, en el registro de acciones de los administradores y en el registro de auditoría de facturación almacenamos un hash irreversible de la dirección, calculado con una sal secreta, en lugar de la propia dirección. El hash muestra que dos eventos proceden de la misma dirección, que es lo que protege el Servicio frente al abuso, pero a partir de él no puede recuperarse la dirección original.
• Información del dispositivo y del navegador
• Estadísticas de uso del Servicio
• Cookies y tecnologías similares

Dónde la dirección IP se conserva sin cifrar. El hash se aplica a los registros enumerados anteriormente. Aun así, cada solicitud nos llega desde una dirección real, por lo que esta figura en claro en los registros técnicos operativos: registros del servidor web, registros de solicitudes a la API, registros de errores de la aplicación, registros de las autorizaciones concedidas a aplicaciones de terceros y los contadores temporales de protección frente al abuso y de limitación de frecuencia. Sin ella, el tráfico no puede enrutarse, los fallos no pueden diagnosticarse y los ataques de red no pueden bloquearse. Esos registros solo son accesibles para el personal autorizado del Operador y no se utilizan para elaborar un perfil sobre usted.

Cuánto tiempo se conservan esos registros. Registros del servidor web: no más de 15 días; se rotan cada día y se conservan las 14 copias anteriores. Los registros de la aplicación se rotan cada día y, si el volumen de escritura es elevado, al alcanzar 50 MB, y se conservan las 7 copias anteriores; para los registros principales, esto significa no más de 7 días. Copias de los registros en el almacén central de registros: 30 días. Los registros de errores de la aplicación se suprimen 30 días después de resolverse el error y, en cualquier caso, no más tarde de 90 días después de su primera aparición. Los contadores temporales de protección frente al abuso y de limitación de frecuencia no duran más que su ventana y nunca más de 24 horas. Los registros de las autorizaciones concedidas a aplicaciones de terceros se conservan mientras la autorización esté en vigor y se suprimen junto con la cuenta. El registro de solicitudes a la API se almacena en la base de datos del Operador y está a su disposición en la Consola para desarrolladores con un periodo de consulta de hasta 90 días; los registros que alcanzan esa antigüedad se suprimen automáticamente: la limpieza se ejecuta cada día. El registro de acciones de los administradores se conserva no más de 1 año, y los registros de sesiones de administrador durante la vida de la sesión más 7 días después de su caducidad; ambos se eliminan igualmente mediante la misma limpieza automática diaria.

Sobre las imágenes faciales. Las imágenes y los vídeos que sube pueden contener representaciones de rostros. Esas imágenes se tratan únicamente para prestar el servicio de generación y edición de contenidos. No las utilizamos para crear un identificador biométrico, una huella facial ni una plantilla, ni las utilizamos para identificar o verificar a ninguna persona. En consecuencia, no tratamos estas imágenes como información biométrica a efectos de la CCPA/CPRA ni de otras leyes de privacidad de EE. UU. aplicables.

Categorías de la CCPA. Conforme a la CCPA/CPRA, la información personal anterior se incluye en las siguientes categorías legales: identificadores (p. ej., nombre, correo electrónico, dirección IP); información comercial (p. ej., registros de transacciones y pagos); actividad en internet u otras redes electrónicas (p. ej., información de uso y del dispositivo); información visual (p. ej., imágenes y vídeos que usted sube); y otro contenido generado por el usuario (p. ej., prompts de texto). Recopilamos esta información directamente de usted y de forma automática a través de su uso del Servicio.

3. Cómo utilizamos sus datos

• Prestar y mejorar el Servicio
• Procesar los pagos
• Moderación de contenidos y seguridad
• Personalizar la experiencia del usuario
• Comunicarnos con los usuarios
• Cumplir los requisitos legales

4. Operaciones y métodos de tratamiento

Realizamos las siguientes operaciones con los datos personales: recogida, registro, sistematización, acumulación, conservación, precisión (actualización, modificación), extracción, uso, transferencia (comunicación, puesta a disposición, incluida la transferencia transfronteriza), despersonalización, bloqueo, supresión y destrucción.

El método de tratamiento es mixto: los datos se tratan tanto con medios automatizados como sin ellos, con y sin transmisión a través de redes de información y telecomunicaciones.

No vendemos datos personales ni los difundimos a un grupo indeterminado de personas, salvo lo que usted publica por sí mismo: cuando publica una obra en una zona pública del Servicio, su nombre de usuario se muestra junto a ella. Publicar una obra es decisión suya y siempre puede deshacerse.

Sobre las decisiones automatizadas. Las decisiones que producen efectos jurídicos para un usuario, o que afectan de otro modo a los derechos e intereses legítimos de un usuario, no se toman únicamente sobre la base del tratamiento automatizado de datos personales (artículo 16 de la Ley Federal n.º 152-FZ). El resultado de las comprobaciones automatizadas de contenidos puede ser revisado por un miembro de nuestro equipo a petición suya, enviada a privacy@clipia.ai.

5. Moderación y seguridad

Para garantizar la seguridad de la plataforma:

• Almacenamos hashes de los prompts: para detectar infracciones reiteradas, almacenamos hashes SHA-256 de los prompts, pero no los propios prompts
• Registramos los eventos de moderación: categoría de la infracción, marca de tiempo y medida adoptada
• No almacenamos contenido prohibido: las imágenes y los vídeos que infringen nuestras políticas se suprimen de inmediato
• Mantenemos una calificación de confianza: una puntuación interna de integridad para cada cuenta

6. Conservación y destrucción de los datos

6.1. Plazos de conservación

Tratamiento internacional de datos. Clipia LLC es el responsable del tratamiento. Los datos personales se tratan y almacenan en una infraestructura gestionada por nuestro proveedor de servicios ubicado en la Federación de Rusia, en virtud de un contrato de encargo del tratamiento que exige garantías adecuadas. Al utilizar el Servicio, usted consiente esta ubicación del tratamiento.

6.2. Plazos y procedimiento de destrucción

Cuando el tratamiento se rige por la legislación rusa, se aplican los siguientes plazos legales:

• Retirada del consentimiento o cumplimiento de la finalidad del tratamiento: dejamos de tratar y destruimos los datos personales en un plazo máximo de 30 días desde la fecha en que se recibe la retirada o se cumple la finalidad, salvo que un contrato con usted o una obligación legal de conservación exija otra cosa (artículo 21(4) y 21(5) de la Ley Federal n.º 152-FZ)
• Detección de un tratamiento ilícito: cesamos el tratamiento ilícito y bloqueamos los datos afectados en un plazo máximo de 3 días hábiles desde su detección; si no puede garantizarse un tratamiento lícito, los datos se destruyen en un plazo máximo de 10 días hábiles desde la detección (artículo 21(3))
• Detección de datos inexactos: los datos se bloquean durante el periodo de verificación y se rectifican en un plazo de 7 días hábiles desde que se confirma la inexactitud, tras lo cual se levanta el bloqueo (artículo 21(2))
• Copias de seguridad: los datos destruidos desaparecen de las copias de seguridad a medida que estas rotan y, en cualquier caso, no más tarde de 90 días

Previa solicitud, enviamos al interesado una confirmación de que sus datos personales han sido destruidos.

7. Sus derechos

7.1. Derechos del interesado en virtud de la Ley Federal n.º 152-FZ (artículo 14)

Si sus datos se tratan conforme a la legislación rusa, tiene derecho a:

• Obtener información sobre el tratamiento: confirmación de que el tratamiento se realiza, sus bases jurídicas y finalidades, los métodos aplicados, el nombre y la dirección del operador, las categorías de datos personales tratados y su origen, los plazos de tratamiento y conservación, información sobre cualquier transferencia transfronteriza efectiva o prevista y el nombre de cualquier parte que trate datos por cuenta del operador
• Solicitar la rectificación, el bloqueo o la destrucción de sus datos cuando sean incompletos, estén desactualizados, sean inexactos, se hayan obtenido ilícitamente o no sean necesarios para la finalidad del tratamiento declarada
• Retirar su consentimiento al tratamiento de datos personales
• Oponerse al tratamiento realizado para la promoción de bienes, obras y servicios
• Recurrir los actos u omisiones del operador ante Roskomnadzor o ante un tribunal

7.2. Cómo ejercer sus derechos y nuestro plazo de respuesta

Envíe su solicitud a privacy@clipia.ai o a dpo@clipia.ai. Podemos pedirle que verifique su identidad antes de atender la solicitud.

Nuestro plazo de respuesta es de 10 días hábiles desde la fecha de recepción de la solicitud. Ese plazo puede ampliarse en no más de 5 días hábiles adicionales, y le enviaremos un aviso motivado en el que explicaremos el motivo de la ampliación (artículo 20(1) de la Ley Federal n.º 152-FZ).

7.3. Derechos adicionales en determinadas jurisdicciones

En virtud de la CCPA/CPRA, los residentes en California (y, cuando proceda, otros consumidores de EE. UU.) tienen los siguientes derechos respecto de su información personal:

• Derecho a saber / de acceso: solicitar las categorías y los elementos concretos de información personal que hemos recopilado, sus fuentes, las finalidades empresariales o comerciales de su recopilación y las categorías de terceros con los que la compartimos
• Derecho de supresión: solicitar la supresión de la información personal que hemos recopilado de usted, con sujeción a las excepciones legales
• Derecho de rectificación: solicitar la rectificación de la información personal inexacta
• Derecho de exclusión de la venta o la compartición: indicarnos que no vendamos ni compartamos su información personal. No vendemos ni compartimos su información personal en el sentido en que la CCPA/CPRA define esos términos
• Derecho a limitar el uso de la información personal sensible: indicarnos que limitemos el uso de cualquier información personal sensible a lo necesario para prestar el Servicio
• Derecho a no ser discriminado: no le discriminaremos por ejercer ninguno de sus derechos de privacidad
• Derecho a la portabilidad de los datos: recibir una copia de su información personal en un formato portátil y legible por máquina

Los usuarios del Espacio Económico Europeo y del Reino Unido tienen además los derechos que otorga el Reglamento General de Protección de Datos: acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición al tratamiento y retirada del consentimiento.

Para ejercer cualquiera de estos derechos, póngase en contacto con nosotros en legal@clipia.ai o en privacy@clipia.ai. Verificaremos su solicitud con la información asociada a su cuenta y responderemos en los plazos que exija la legislación aplicable: hasta 45 días conforme a la CCPA/CPRA y hasta 30 días naturales conforme al RGPD. Puede recurrir a un agente autorizado para que presente una solicitud en su nombre.

8. Cookies y analítica web

8.1. Cookies

Utilizamos cookies con las siguientes finalidades:

• Esenciales: autenticación y seguridad
• Funcionales: recordar sus preferencias
• Analíticas: mejorar el Servicio

Puede gestionar las cookies a través de la configuración de su navegador. Consulte nuestra Política de cookies para obtener más información.

8.2. Analítica web

• Federación de Rusia: Yandex Metrica (datos almacenados en Rusia). La grabación de sesiones (Webvisor) está activada: se graban el movimiento del cursor, los clics, el desplazamiento por la página y la interacción con los elementos de la interfaz. Estas grabaciones se utilizan únicamente para diagnosticar la interfaz y mejorar la usabilidad del Servicio
• Google Analytics: estadísticas de visitas, incluidos los usuarios de Rusia (EE. UU.)
• Google Ads: medición publicitaria solo para usuarios fuera de Rusia
• Si su navegador envía una señal Do Not Track o Global Privacy Control, no se carga ninguna analítica
• Para los usuarios del Espacio Económico Europeo, el Reino Unido y Suiza, las cookies analíticas solo se establecen tras un consentimiento expreso

9. Comunicación de información personal a terceros

Comunicamos información personal a las siguientes categorías de terceros, únicamente con fines empresariales:

• Proveedores de modelos de IA, para atender las solicitudes de generación
• Procesadores de pagos, para gestionar las transacciones
• Stripe, que actúa como comerciante registrado (merchant of record) en las compras cobradas en dólares estadounidenses, para venderle el pedido, cobrar el pago, determinar e ingresar los impuestos aplicables, emitir su recibo y gestionar los reembolsos y las devoluciones de cargo
• Proveedores de nube y alojamiento, para almacenar y tratar los datos
• Fuerzas y cuerpos de seguridad o autoridades públicas, previa solicitud legal

Salvo lo que se indica a continuación, estos terceros actúan como nuestros proveedores de servicios o contratistas y, por contrato, solo pueden utilizar la información personal para prestar servicios por nuestra cuenta. No vendemos su información personal ni la compartimos para publicidad comportamental entre contextos, en el sentido en que la CCPA/CPRA define esos términos.

Stripe es una excepción a ese planteamiento. Como comerciante registrado, es el vendedor de su pedido, no nuestro encargado del tratamiento, y determina los fines y los medios del tratamiento de los datos de pago que recopila; por ello, respecto de ese tratamiento actúa como responsable independiente conforme a su propia política de privacidad. Sus datos de pago se introducen directamente en la página de pago alojada por Stripe y nunca se nos transmiten; solo recibimos un identificador de cliente anonimizado y el resultado de la transacción. Stripe no recibe sus prompts, sus archivos subidos ni el contenido generado, y no interviene en su moderación.

Dado que nuestra infraestructura de tratamiento se encuentra en la Federación de Rusia (véase la sección 6, Tratamiento internacional de datos), algunas comunicaciones implican la transferencia internacional de información personal. Puede obtener más información sobre los destinatarios extranjeros y los países de destino previa solicitud en legal@clipia.ai y en nuestra Política de transferencias transfronterizas de datos.

10. Seguridad y notificación de incidentes

10.1. Medidas de seguridad

Aplicamos medidas de seguridad conformes a los estándares del sector:

• Cifrado de los datos en tránsito (TLS/SSL)
• Cifrado de los datos en reposo
• Auditorías de seguridad periódicas
• Acceso restringido a los datos personales

10.2. Notificación de incidentes

Si se produce un incidente que vulnere los derechos de los interesados —transferencia, comunicación, difusión o acceso ilícitos o accidentales a datos personales—, actuamos de conformidad con el artículo 21(3.1) de la Ley Federal n.º 152-FZ:

• En un plazo de 24 horas desde la detección del incidente, notificamos a Roskomnadzor el propio incidente: sus causas presuntas, el daño presunto a los derechos de los interesados, las medidas adoptadas y la persona autorizada para relacionarse con el regulador
• En un plazo de 72 horas desde la detección del incidente, notificamos a Roskomnadzor los resultados de nuestra investigación interna y las personas cuyas acciones causaron el incidente, si las hubiera
• Informamos sin demora indebida a los usuarios afectados cuando sea probable que el incidente genere un riesgo para sus derechos e intereses legítimos

11. Menores

• El Servicio está destinado exclusivamente a personas de 18 años o más
• No prestamos el Servicio a personas menores de 18 años ni recopilamos a sabiendas sus datos personales
• Si tenemos conocimiento de que una cuenta fue registrada por una persona menor de 18 años, esa cuenta se bloquea y se suprimen los datos personales asociados a ella
• Los padres y tutores legales pueden denunciar una cuenta de este tipo en privacy@clipia.ai

12. Responsable, operador y contactos

12.1. Datos del responsable del tratamiento

12.2. Operador de datos personales para la Federación de Rusia

12.3. Contactos

• Solicitudes de privacidad y notificaciones legales: legal@clipia.ai
• Consultas generales sobre datos personales: privacy@clipia.ai
• Persona responsable de organizar el tratamiento de datos personales: dpo@clipia.ai

12.4. Cómo presentar una reclamación

Si considera que se han vulnerado sus derechos de privacidad, puede presentar una reclamación ante el regulador competente. En California, es la Agencia de Protección de la Privacidad de California (cppa.ca.gov) o la Oficina del Fiscal General de California (oag.ca.gov/privacy). En la Federación de Rusia, es el Servicio Federal de Supervisión de las Comunicaciones, las Tecnologías de la Información y los Medios de Comunicación (Roskomnadzor), 7 bldg. 2 Kitaygorodsky Proezd, Moscow 109992 (rkn.gov.ru). Le animamos a ponerse primero en contacto con nosotros en legal@clipia.ai para que podamos atender su inquietud.

12.5. Finalidades empresariales del tratamiento

De conformidad con la CCPA/CPRA, recopilamos y tratamos información personal con las siguientes finalidades empresariales:

• prestar, mantener y mejorar el Servicio, y ejecutar nuestro contrato con usted;
• procesar los pagos y prevenir el fraude;
• proteger la plataforma, moderar los contenidos y hacer cumplir nuestros términos;
• cumplir las obligaciones legales y responder a las solicitudes legales.

Cuando nos basamos en su consentimiento (por ejemplo, para la ubicación del tratamiento descrita en la sección 6), puede retirarlo en cualquier momento poniéndose en contacto con legal@clipia.ai, sin que ello afecte al tratamiento realizado antes de la retirada.