Política de privacidad

1. Responsable del tratamiento

Conforme al Reglamento (UE) 2016/679 (en adelante, «RGPD») y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), te informamos de que el responsable del tratamiento de tus datos personales es:

• Responsable: Esther Gaya Banús (en adelante, «Replicarte»)
• NIF: 47798298C
• Domicilio: Barcelona, España (dirección postal completa disponible bajo requerimiento legal a legal@replicarte.es)
• Email de privacidad: privacidad@replicarte.es
• Web: https://replicarte.es
• Delegado de Protección de Datos (DPD): Replicarte no está obligada a designar DPD conforme al art. 37 RGPD. No obstante, las consultas en materia de privacidad se atienden por el canal específico indicado en el punto anterior.

2. Datos que tratamos

2.1 Si visitas la web sin contactarnos

• Datos técnicos de conexión: dirección IP, tipo de dispositivo, navegador, sistema operativo, idioma, fecha y hora de visita, páginas vistas, página de origen (referrer).
• Información derivada de las cookies estrictamente necesarias y, si das consentimiento, también de las cookies de preferencia (ver Política de Cookies).

2.2 Si nos contactas (email, WhatsApp, formulario)

• Datos identificativos: nombre, apellidos, alias o nombre artístico.
• Datos de contacto: email, teléfono.
• Contenido del mensaje y cualquier información que decidas compartir voluntariamente (por ejemplo: nicho, URL de tu canal, expectativas comerciales).

2.3 Si firmas un contrato con nosotros

• Datos identificativos y de contacto ampliados.
• Datos de facturación: NIF/CIF, denominación fiscal, domicilio fiscal, datos bancarios (cuenta IBAN para cobros y/o domiciliación SEPA).
• Datos profesionales y económicos: condición de autónomo o sociedad, régimen tributario aplicable, retenciones IRPF.
• Datos derivados de la integración con tus plataformas:
  • YouTube (mediante OAuth de Google): identificadores de canal, vídeos publicados, métricas de canal (visualizaciones, retención, ingresos brutos y netos vía YouTube Analytics API), metadatos editoriales (títulos, descripciones, etiquetas).
  • TikTok e Instagram (mediante autorización del usuario): URLs públicas de tus perfiles, vídeos publicados y sus metadatos públicos. El acceso es de sólo lectura; nunca se solicita permiso de escritura.
• Comunicaciones mantenidas durante la relación contractual (correos, mensajería, llamadas resumidas por escrito).

2.4 Datos de terceros que aparecen en tu contenido

Como parte de la prestación del servicio podemos procesar datos personales de terceras personas que aparezcan en tu contenido audiovisual (suscriptores que comentan, personas grabadas con tu autorización, etc.). En este supuesto, Replicarte actúa como encargado del tratamiento respecto de los datos del cliente, y el cliente es responsable del tratamiento. Las condiciones se regulan en el Acuerdo de Encargo de Tratamiento.

2.5 Si eres una agencia y te registras en el Portal de agencias

Cuando una empresa de representación se registra por su cuenta en nuestro Portal de agencias, tratamos:

• De la empresa: denominación social, forma jurídica, número de identificación fiscal, país de establecimiento y domicilio.
• De las personas: nombre, apellidos, cargo, correo electrónico profesional y, de quien acepta el acuerdo, su declaración de poder para obligar a la empresa.
• Del uso del Portal: fecha y hora de cada acción, dirección IP, agente de usuario (el navegador y sistema desde el que se conecta), accesos concedidos y accesos denegados. Este registro existe para poder responder a «¿quién consultó la ficha de esta persona y cuándo?», y es una medida de seguridad, no de control laboral.
• De la aceptación de las condiciones: qué versión se aceptó, cuándo (en tiempo universal coordinado), desde qué dirección IP y quién la aceptó. Esta información es la prueba del contrato y no se modifica nunca: una retirada se anota añadiendo un registro nuevo.

Validamos la identidad fiscal contra fuentes oficiales. Consultamos el sistema VIES de la Comisión Europea (y, para números españoles, la validación del propio identificador) para comprobar que el número declarado existe y a quién corresponde. Guardamos el resultado de esa consulta —fecha, respuesta, país y denominación devueltos— como prueba de que la comprobación se hizo. No se consulta ningún dato distinto del identificador fiscal facilitado.

Base jurídica: la ejecución del contrato y las medidas precontractuales que la propia agencia solicita al registrarse (art. 6.1.b RGPD); el cumplimiento de nuestras obligaciones legales, fiscales y contables (art. 6.1.c); y nuestro interés legítimo en la seguridad del Portal y en la prevención del fraude y del uso indebido (art. 6.1.f), que hemos ponderado y que no prevalece sobre derechos que exijan una intervención mayor: el registro de acciones es el mínimo que permite detectar un acceso indebido a datos de terceros.

2.6 Si una agencia te ha dado de alta (y tú aún no nos conocías)

Puede que recibas un correo nuestro diciéndote que una agencia te ha dado de alta en el Programa Tándem. En ese caso tus datos no nos los has dado tú, y por eso tienes que saber esto:

• Qué datos tenemos: tu nombre y apellidos, tu correo electrónico, tu canal de YouTube, tus perfiles públicos de TikTok e Instagram y los datos de encuadre de tu canal (sector, tono y lo que no quieres que se publique) que la agencia haya facilitado.
• De dónde salen: nos los ha facilitado la agencia que dice representarte, al darte de alta. Ella nos ha declarado que te representa y que cuenta con tu autorización para comunicárnoslos.
• Para qué los usamos: sólo para escribirte una vez y que decidas tú si quieres contratar con nosotros. Nada más. No empezamos a trabajar en tu canal, no accedemos a tu cuenta de Google y no te cobramos nada mientras tú no aceptes personalmente.
• Con qué base: nuestro interés legítimo en dirigirte esa primera comunicación (art. 6.1.f RGPD), porque es una comunicación única, la ha promovido quien dice representarte y es fácil de ignorar. Si aceptas, a partir de ese momento la base pasa a ser el contrato (art. 6.1.b) y, para lo fiscal, nuestras obligaciones legales (art. 6.1.c).
• Cuánto los guardamos si no aceptas: 90 días desde la invitación. Después los borramos y sólo queda constancia de que la invitación se cursó y caducó.
• Si no conoces a quien te ha dado de alta: no sigas el enlace y escríbenos a privacidad@replicarte.es. Borramos tus datos de inmediato y bloqueamos a quien los introdujo.

Puedes oponerte a este tratamiento en cualquier momento y sin dar explicaciones (art. 21 RGPD), y ejercer todos los derechos del apartado 9.

3. Finalidades del tratamiento

Tratamos los datos descritos para las siguientes finalidades:

4. Plazos detallados de conservación

Portal de agencias — plazos concretos:

• 30 días: registros de agencia que nunca llegan a verificar su correo electrónico. Se borran automáticamente.
• 12 meses: cuentas de agencia que verifican el correo pero nunca validan su identidad fiscal ni contratan nada. Se borran automáticamente.
• 90 días: datos de una persona a la que una agencia dio de alta y que no aceptó la invitación. Queda sólo la constancia de que se cursó.
• 30 días: datos de personas invitadas que no habían aceptado, cuando la agencia que las dio de alta es suspendida o dada de baja.
• 6 años bloqueados: expediente de la agencia, registro de sus acciones en el Portal, extractos e historial de comisión, desde la terminación del acuerdo. «Bloqueado» significa sin uso operativo, accesible sólo a requerimiento de jueces, tribunales y administraciones competentes (art. 32 LOPDGDD). Este plazo responde a los plazos de prescripción mercantiles y contables (art. 30 del Código de Comercio; art. 1964 del Código Civil).

Una vez finalizada la relación, los datos se conservarán bloqueados (es decir, sin uso operativo, accesibles sólo a requerimiento judicial o de administraciones públicas) durante:

• 4 años: documentación con incidencia fiscal (art. 66 Ley General Tributaria).
• 5 años: documentación con incidencia en LOPDGDD (art. 32).
• 6 años: libros de contabilidad y soporte documental (art. 30 Código de Comercio).
• 10 años: documentación relativa a prevención de blanqueo de capitales si fuera aplicable.

Transcurridos los plazos, los datos se eliminan de forma segura (sobrescritura, borrado físico de soportes) salvo que medie consentimiento expreso para una conservación adicional.

5. Destinatarios y encargados de tratamiento

No vendemos ni cedemos tus datos a terceros para finalidades comerciales propias. Sólo compartimos datos con los proveedores estrictamente necesarios para prestar el servicio. Todos ellos actúan como encargados de tratamiento con contratos firmados conforme al art. 28 RGPD:

• Proveedor de hosting del sitio web: alojamiento del sitio replicarte.es (proveedor con servidores en UE).
• Google Ireland Limited / Google LLC: APIs de Google (YouTube Data API, YouTube Analytics API, Google Fonts, Google OAuth). Las transferencias internacionales a Estados Unidos se cubren mediante el EU-U.S. Data Privacy Framework.
• Plataformas de mensajería para soporte: WhatsApp Business (Meta Ireland Ltd.) y servicios de email transaccional. Aplicable a quienes contacten por estos canales.
• Pasarela de cobros y/o entidad bancaria: domiciliaciones SEPA, transferencias, contabilidad.
• Asesoría fiscal y contable de Replicarte: profesional autónomo o sociedad colegiada con domicilio en la UE, sujeto a secreto profesional.
• Comisión Europea — sistema VIES: consulta de validez del número de operador intracomunitario declarado por una agencia. Se consulta el número; no se comunica ningún otro dato.
• Agencia de representación (para sus propios talentos): si te representa una agencia dentro del Programa Tándem, ella ve el estado de tu alta, el estado de los servicios contratados para tu canal y los datos públicos de tu canal. No ve tus facturas, ni tus datos fiscales, ni tus credenciales, ni el informe de tu canal salvo que tú lo autorices aparte y puedas retirarlo cuando quieras. La agencia y Replicarte somos responsables independientes: cada uno responde de lo suyo.

Importante respecto al material audiovisual del cliente: los vídeos sobre los que opera Replicarte son por naturaleza contenido público. Se trata bien de vídeos que el Cliente ya ha publicado en TikTok o Instagram, bien de vídeos que se publicarán en su canal de YouTube. La transcripción de su audio tampoco constituye información reservada — cualquier tercero puede obtenerla con herramientas estándar de uso público. Por tanto, sobre ese material audiovisual y su transcripción Replicarte no asume compromisos de confidencialidad ni de tratamiento exclusivamente local.

La redacción de los textos que se publican en el canal del cliente (títulos, descripciones, etiquetas, comentarios fijados) se apoya en un proveedor de IA cloud seleccionado —actualmente Google Gemini API, prestada por Google Ireland Limited / Google LLC—. Sobre dicho proveedor opera el sistema propietario de Replicarte, que se adapta a las características y al rendimiento histórico del canal de cada Cliente. Los criterios técnicos específicos de adaptación constituyen know-how propio del prestador y no son objeto de divulgación pública. La identidad del proveedor de IA podrá cambiar (otros motores cloud equivalentes o vuelta a procesamiento in-house) con notificación previa en esta página con al menos quince (15) días de antelación. Las transferencias internacionales a Estados Unidos quedan cubiertas por el EU-U.S. Data Privacy Framework (Decisión de Adecuación de 10 de julio de 2023) y, supletoriamente, por las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

Por el contrario, los datos del cliente que sí son reservados (credenciales de acceso a TikTok/Instagram, tokens OAuth de YouTube/AdSense, datos fiscales y de facturación, datos personales de contacto) se almacenan exclusivamente en servidores físicos propios de Replicarte ubicados en España, cifrados en reposo conforme al apartado 8 de esta política, y no se transmiten a proveedores de IA ni a otros terceros distintos de los estrictamente necesarios para la prestación del servicio.

6. Transferencias internacionales

Como regla general, los datos se tratan dentro del Espacio Económico Europeo. Existen las siguientes excepciones, inherentes a la naturaleza del servicio:

• Google LLC (Estados Unidos): el uso de las APIs oficiales de YouTube exige autorización a través de Google. Las transferencias se acogen al EU-U.S. Data Privacy Framework (Decisión de Adecuación de 10 de julio de 2023) y, con carácter supletorio, a las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
• Meta Platforms Ireland (matriz en EE.UU.): si la comunicación se canaliza por WhatsApp. Misma cobertura.
• TikTok: ByteDance Ltd. y filiales. Datos públicos de tus perfiles, accedidos mediante credenciales que tú nos facilitas. Garantías mediante Cláusulas Contractuales Tipo.

Puedes obtener copia de las garantías escribiendo a privacidad@replicarte.es.

7. Decisiones automatizadas y perfilado

Criterio de admisión por audiencia. Para admitir un canal comprobamos, contra el perfil público de TikTok o Instagram que se nos indique, el criterio de audiencia mínima que publicamos con carácter general. Esa comprobación se hace antes de empezar a trabajar y de ella guardamos únicamente la fecha, el perfil consultado y la cifra observada. No accedemos a nada que no esté público, no descargamos contenido y no elaboramos ningún perfil de la persona.

Siempre puedes pedir que lo revise una persona. Si la comprobación no confirma el criterio, te lo decimos por escrito con su motivo y, si no estás de acuerdo, puedes pedirnos dentro de los diez días naturales siguientes que lo revise una persona, explicarnos tu punto de vista y aportar lo que consideres. Te contestamos por escrito y de forma motivada en diez días hábiles. Ninguna no-admisión es definitiva sin que hayas podido pedir esa revisión (art. 22.3 RGPD). Si ya habías pagado algo, te lo devolvemos íntegro, por el mismo medio de pago y en 14 días, sin retener nada.

Fuera de eso, no tomamos decisiones automatizadas con efectos jurídicos ni que te afecten significativamente, y no hacemos perfilado con fines publicitarios ni de scoring.

8. Medidas de seguridad

Replicarte aplica medidas técnicas y organizativas apropiadas al riesgo del tratamiento, conforme al art. 32 RGPD:

• Cifrado en tránsito mediante TLS 1.2/1.3 en todas las comunicaciones web y de APIs.
• Cifrado en reposo de datos sensibles (credenciales, tokens OAuth, datos bancarios) mediante algoritmos estándar de la industria.
• Custodia reforzada de credenciales y datos reservados del cliente (credenciales de TikTok/Instagram, tokens OAuth de YouTube/AdSense, datos fiscales y de facturación) en servidores físicos propios ubicados en España, cifrados en reposo y sin acceso de terceros.
• Sistema propietario de Replicarte ejecutado sobre el proveedor de IA seleccionado (a la fecha, Google Gemini API), encargado de adaptar la generación de textos a las características y al rendimiento histórico del canal de cada cliente. Los criterios técnicos específicos constituyen know-how propio del prestador.
• Control de accesos por identificación, autenticación multifactor y registro de actividad.
• Política de copias de seguridad diaria con retención escalonada y verificación periódica de restauración.
• Aislamiento estricto entre cuentas de distintos clientes para evitar contaminación cruzada.
• Procedimiento de gestión de incidentes conforme a los arts. 33 y 34 RGPD (notificación a autoridad e interesados cuando proceda en plazo máximo de 72 horas).

9. Tus derechos

Como interesado tienes derecho a ejercer, frente a Replicarte y sin coste para ti, los siguientes derechos:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión («derecho al olvido»): borrar tus datos cuando ya no sean necesarios o retires tu consentimiento.
• Oposición: oponerte al tratamiento por motivos relacionados con tu situación particular, salvo cuando exista un interés legítimo prevalente o sea necesario para una reclamación.
• Limitación del tratamiento: pedir que congelemos el uso de tus datos mientras se resuelve una disputa sobre los mismos.
• Portabilidad: recibir tus datos en formato estructurado de uso común y lectura mecánica, o pedir que los transmitamos a otro responsable.
• No ser objeto de decisiones automatizadas con efectos jurídicos o significativos (ver punto 7).
• Revocación del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Para ejercer cualquier derecho envíanos un email a privacidad@replicarte.es indicando claramente el derecho que ejercitas y adjuntando copia de un documento que acredite tu identidad. Responderemos en el plazo máximo de un mes ampliable a dos en caso de especial complejidad.

Si has llegado aquí porque te ha llegado un correo nuestro y no sabes por qué: probablemente una agencia te ha dado de alta (apartado 2.6). Tienes derecho a saber quién nos facilitó tus datos, a oponerte al tratamiento y a que los borremos. Escríbenos a privacidad@replicarte.es y lo hacemos de inmediato, sin pedirte nada a cambio y sin que tengas que justificarte.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa o que tus derechos no se atienden correctamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), con domicilio en C/ Jorge Juan, 6, 28001 Madrid.

10. Datos de menores

Los servicios de Replicarte están dirigidos exclusivamente a mayores de edad o, en su caso, a creadores con plena capacidad jurídica. No tratamos conscientemente datos personales de menores de 14 años. Si detectas que un menor nos ha facilitado datos sin la autorización de sus tutores legales, escribe a privacidad@replicarte.es y procederemos a su eliminación.

11. Cumplimiento con la Política de Datos de Usuario de las APIs de Google

Replicarte declara que el uso y la transferencia de información recibida a través de las APIs de Google se ajustan a la Política de Datos de Usuario de los Servicios de las APIs de Google (Google API Services User Data Policy), incluyendo los requisitos de Uso Limitado (Limited Use).

En consecuencia:

• El acceso a los datos del usuario de YouTube se limita estrictamente a los scopes necesarios para prestar el servicio explícitamente contratado.
• Los datos del usuario obtenidos a través de las APIs de Google no se utilizan para entrenar, ajustar ni mejorar modelos generalizados de IA.
• Los datos del usuario no se transfieren a terceros con fines distintos a la prestación o mejora del servicio contratado y al cumplimiento de las obligaciones legales aplicables.
• Los datos del usuario no se utilizan ni se cruzan con fines publicitarios.
• Los datos del usuario no se venden.
• El acceso humano a los datos del usuario se limita a (i) consentimiento expreso del propio usuario, (ii) finalidades de seguridad (p. ej. investigación de abuso), (iii) cumplimiento de obligaciones legales aplicables, o (iv) operaciones internas con datos previamente agregados y anonimizados.

El uso que Replicarte hace de la información obtenida a través de las APIs de YouTube se rige adicionalmente por los Términos del Servicio de las APIs de YouTube y la Política de Privacidad de Google.

Puedes revocar el acceso de Replicarte a tu cuenta de YouTube en cualquier momento desde https://myaccount.google.com/permissions sin que ello afecte a la legalidad del tratamiento previo.

12. Modificaciones

Esta Política de Privacidad puede actualizarse para reflejar cambios legislativos, jurisprudenciales o en la operativa de Replicarte. Las modificaciones sustanciales se comunicarán a los clientes activos por email con al menos 30 días de antelación. Los cambios menores se publicarán en esta página, con indicación de la fecha de la última actualización en la parte superior.

Cuando una modificación afecte a las agencias del Programa Tándem, se les comunica además con 30 días naturales de antelación y se les da a aceptar en el Portal; hasta que la aceptan, rige para ellas la versión anterior.