Esta política explica qué datos personales tratamos, por qué, con qué base legal, cuánto tiempo los conservamos y qué puedes hacer al respecto. Léela con especial atención si vas a clonar una voz: ese tratamiento afecta a datos de categoría especial y exige tu consentimiento explícito.
El responsable del tratamiento es una LLC de Estados Unidos registrada en Nuevo México. Aun así, el RGPD se aplica a este tratamiento porque el Servicio se dirige a interesados situados en la Unión Europea (art. 3.2 RGPD). Los datos se alojan y procesan principalmente en la UE (véanse las Secciones 5 y 8).
1. Responsable del tratamiento
- Responsable: WE LAUNCH LLC, LLC constituida en el Estado de Nuevo México (EE. UU.).
- Nº de registro / EIN: EIN 38-4335906.
- Domicilio: 412 W 7th St, Clovis, NM 88101, EE. UU..
- Correo de contacto en materia de privacidad: support@makeityours.app.
- Representante en la Unión Europea (art. 27 RGPD): En proceso de designación (art. 27 RGPD).
- Delegado de Protección de Datos (DPD): no designado durante la beta cerrada; punto de contacto de privacidad: support@makeityours.app. La obligación de designar DPD debe reanalizarse antes del lanzamiento abierto, cuando cambie la escala.
2. Quién es responsable de qué cuando clonas la voz de otra persona
Si utilizas MakeItYours para clonar la voz de un tercero —por ejemplo, la de tu cliente—, nosotros somos responsables del tratamiento de los datos de esa persona: determinamos cómo se recogen las muestras, cómo se verifica la titularidad, cómo se protege la evidencia y cuánto tiempo se conserva. Tú tienes la obligación contractual, conforme a la Sección 9.3 de los Términos, de haber informado previamente a esa persona y de haberle facilitado esta política antes de que preste su consentimiento.
3. Qué datos tratamos y con qué base legal
3.1 Lista de espera
Datos: dirección de correo electrónico; segmento profesional; volumen o frecuencia de anuncios. Finalidad: gestionar la lista de espera de la beta e invitarte cuando se abra tu turno. Base jurídica: tu consentimiento (art. 6.1.a RGPD). No enviamos comunicaciones comerciales a la lista de espera más allá de las relativas a tu acceso al Servicio.
3.2 Cuenta y acceso
Datos: correo electrónico; nombre; contraseña (almacenada siempre cifrada mediante función de derivación, nunca en claro); token de invitación; registros de sesión; para cuentas de administración, el secreto del segundo factor. Finalidad: crear y mantener tu cuenta, verificar tu correo, autenticarte y proteger el acceso. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
3.3 Aceptación de términos y registro de consentimientos
Datos: versión del documento aceptado y marca de tiempo de la aceptación. Finalidad: acreditar qué aceptaste y cuándo, conforme al principio de responsabilidad proactiva. Base jurídica: obligación legal (arts. 5.2 y 7.1 RGPD) y ejecución del contrato (art. 6.1.b).
3.4 Contenido que subes: creativos y resultados
Datos: los archivos de vídeo que subes y los resultados de tus conversiones, incluidas las voces, imágenes y sonidos que contengan; el nombre que les das; y los metadatos técnicos del archivo. Finalidad: ejecutar la conversión que solicitas, mostrarte el resultado y mantener tu biblioteca. Base jurídica: ejecución del contrato (art. 6.1.b RGPD). Ten presente que tus creativos pueden contener datos personales de terceros; al subirlos, garantizas contar con los derechos y consentimientos necesarios.
3.5 Clonación de voz — datos de categoría especial
Este es el tratamiento más sensible del Servicio y el que exige tu consentimiento explícito. Datos: muestras de audio de la voz del titular; la representación técnica de la voz («voz clonada»); la grabación de la frase de consentimiento leída en directo; el texto generado para esa frase; la marca de tiempo; la versión del texto de consentimiento aceptado; y el nombre declarado del titular. Finalidad: (a) crear y mantener operativa tu voz clonada para usarla en tus conversiones; (b) verificar que quien presta el consentimiento es efectivamente el titular de la voz, para impedir la suplantación de terceros. Base jurídica (regla general): consentimiento explícito para el tratamiento de datos biométricos (art. 9.2.a RGPD), en combinación con la ejecución del contrato (art. 6.1.b). Base jurídica (evidencia de titularidad tras la retirada del consentimiento): formulación, ejercicio o defensa de reclamaciones (art. 9.2.f RGPD, en relación con el art. 17.3.e). Aplicamos el régimen del art. 9 a todo el material de voz.
Qué NO hacemos con tu voz: no la usamos para identificarte al iniciar sesión ni para ninguna finalidad de autenticación distinta de la verificación de titularidad descrita; no la cedemos a terceros para finalidades propias de estos; no utilizamos tu voz para entrenar modelos de IA, y hemos configurado a nuestro proveedor de procesamiento de voz para que tampoco utilice tus datos con fines de entrenamiento (nuestro proveedor almacena el modelo de tu voz únicamente para prestarte el servicio y lo elimina conforme a nuestra política de retención); y la grabación de la frase de consentimiento nunca sale hacia el proveedor tecnológico de conversión de voz: se almacena exclusivamente en nuestro almacenamiento cifrado y solo es accesible desde el panel interno de operaciones, con registro de cada acceso.
3.6 Suscripción y facturación
Datos: plan contratado, estado de la suscripción, ciclos de facturación, consumo de minutos, minutos extra, facturas y datos fiscales. No almacenamos los datos completos de tu tarjeta: los trata directamente nuestro proveedor de pagos. Finalidad: gestionar tu suscripción, cobrar el servicio y cumplir nuestras obligaciones contables y fiscales. Base jurídica: ejecución del contrato (art. 6.1.b) y obligación legal (art. 6.1.c).
3.7 Uso del Servicio, métricas y registros técnicos
Datos: registro de consumo por conversión y variante; etapas, tiempos y errores de cada conversión; eventos de producto; dirección IP y datos del desafío antibot en las superficies públicas; registros de auditoría de las acciones de administración. Finalidad: prestar el servicio, contabilizar el consumo de forma exacta y auditable, diagnosticar incidencias, proteger las superficies públicas frente a abuso automatizado y medir la salud del producto. Base jurídica: ejecución del contrato (art. 6.1.b) e interés legítimo (art. 6.1.f) en la seguridad, la prevención del fraude y la mejora del Servicio. Puedes oponerte al tratamiento basado en interés legítimo conforme a la Sección 7.
3.8 Denuncias de uso indebido de voz
Datos: correo electrónico de contacto de quien denuncia, descripción de los hechos, referencia o descripción de dónde se ha visto el contenido, y relación declarada con la voz afectada. Finalidad: investigar y resolver denuncias de suplantación o uso indebido de voz, y adoptar las medidas correctoras que procedan. Base jurídica: interés legítimo (art. 6.1.f) en proteger los derechos de terceros y la integridad del Servicio; art. 9.2.f cuando la denuncia implique tratar datos de voz; y obligación legal cuando corresponda dar traslado a una autoridad. Las denuncias se conservan como registro independiente y no se eliminan cuando la persona denunciada suprime su cuenta, porque los datos que contienen son de quien denuncia, no de quien es denunciado.
3.9 Comunicaciones
Te enviamos por correo electrónico: la verificación de tu cuenta, la invitación a la beta, el aviso de que una conversión ha terminado, los avisos de consumo, los avisos previos a una eliminación de datos y las comunicaciones contractuales. Son comunicaciones de servicio, necesarias para la ejecución del contrato, y no puedes darte de baja de ellas mientras mantengas tu cuenta. El producto no prevé hoy ningún envío comercial.
3.10 Cookies y tecnologías similares
Durante la beta, el Servicio utiliza únicamente cookies técnicas exentas de consentimiento: cookies de sesión y autenticación necesarias para el funcionamiento, y las que instale el desafío antibot de las superficies públicas (Cloudflare Turnstile) con finalidad de seguridad. No se utilizan cookies de publicidad, de seguimiento comportamental ni de analítica de terceros.
4. Decisiones automatizadas
No adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar (art. 22 RGPD). Las voces clonadas creadas desde cuentas de agencia se marcan internamente para revisión prioritaria por una persona; esa marca no produce por sí sola ningún efecto sobre ti. Las medidas de la Sección 11 de los Términos (eliminación de voz, bloqueo de cuenta) las adopta siempre una persona, no un sistema automático.
5. Quién recibe tus datos
No vendemos tus datos ni los cedemos a terceros para sus propias finalidades. Para prestar el Servicio recurrimos a encargados del tratamiento que actúan siguiendo nuestras instrucciones y con contrato de encargo conforme al art. 28 RGPD:
- Infraestructura de aplicación y bases de datos (alojamiento, base de datos y cola de procesos), en la Unión Europea (Europa occidental): Railway Corp. (EE. UU.).
- Almacenamiento de archivos (creativos, resultados, muestras y evidencia de titularidad), en la Unión Europea (Ámsterdam, Países Bajos): Backblaze Inc. (EE. UU.).
- Pasarela de pago y facturación (cobro de suscripciones y minutos extra, emisión de facturas), en la Unión Europea / EE. UU.: Stripe.
- Envío de correo transaccional (verificación, invitaciones, avisos de conversión y de consumo): Resend.
- Monitorización de errores (diagnóstico de incidencias técnicas), EE. UU.: Sentry.
- Protección antibot (defensa de las superficies públicas frente a abuso automatizado), red global: Cloudflare.
- Conversión y clonación de voz por IA (ejecutar la conversión de voz y crear la voz clonada a partir de tus muestras), EE. UU. en el plan contratado: proveedor externo de síntesis y conversión de voz, cuya identidad no se divulga en las superficies de usuario por la regla de marca blanca.
Además, podemos comunicar datos a jueces, tribunales, fuerzas y cuerpos de seguridad y administraciones públicas cuando exista una obligación legal de hacerlo.
6. Cuánto tiempo conservamos tus datos
6.1 Tabla general de conservación
- Inscripción en la lista de espera: se suprime cuando la persona se registra y, en todo caso, a los 24 meses desde la inscripción o al cierre de la beta, lo que ocurra antes.
- Cuenta y datos de acceso: mientras la cuenta esté activa. Al suprimirla, se eliminan; la fila de usuario sobrevive convertida en un registro sin datos identificativos, únicamente como ancla técnica de integridad.
- Creativos y resultados: mientras la cuenta esté activa. Se eliminan al suprimir la cuenta.
- Cuentas de prueba gratuita sin ninguna conversión completada: 30 días, con aviso por correo 7 días antes.
- Muestras de voz: mientras exista la voz clonada. Se eliminan al borrar la voz, al retirar el consentimiento o al suprimir la cuenta.
- Voz clonada: mientras la mantengas. Se desactiva por inactividad prolongada (con posibilidad de recuperación automática) y se elimina definitivamente al borrarla, al retirar el consentimiento, al suprimir la cuenta o al aplicarse una medida de la Sección 11 de los Términos.
- Evidencia de titularidad: régimen especial — véase la Sección 6.3.
- Registro de consumo, etapas de conversión y eventos de producto: se conservan sin datos identificativos tras la supresión de la cuenta, para mantener la integridad de la contabilidad y de las métricas agregadas.
- Facturas y documentación contable y fiscal: el plazo que exija la normativa fiscal y contable estadounidense aplicable; por defecto, 7 años.
- Denuncias de uso indebido: cinco años (1.830 días), en coherencia con el plazo de la evidencia de titularidad a la que se refieren. Sobreviven a la supresión de la cuenta denunciada.
- Registros de auditoría de las acciones de administración: se conservan por integridad de la auditoría, depurando de ellos cualquier dato identificativo de la persona suprimida o de terceros.
6.2 Qué ocurre exactamente cuando suprimes tu cuenta
Al suprimir tu cuenta: (1) cerramos primero la facturación pendiente y eliminamos tus datos del proveedor de pagos; (2) eliminamos tus voces clonadas, también en los sistemas de nuestros proveedores tecnológicos, y verificamos que la eliminación se ha producido; (3) eliminamos tus archivos —creativos, resultados y muestras de voz, incluidas todas sus versiones—; (4) eliminamos o convertimos en registros sin datos identificativos el resto de tus datos; y (5) conservamos la evidencia de titularidad en el régimen restringido de la Sección 6.3.
6.3 La única excepción: la evidencia de titularidad
Cuando suprimes tu cuenta, la evidencia de titularidad no se elimina de inmediato. Esa evidencia es lo único que permite acreditar, frente a una reclamación futura, que la persona cuya voz se clonó lo consintió; si la elimináramos, destruiríamos precisamente la prueba que protege a la persona que pudiera haber sido suplantada y la que nos permite defendernos. El derecho de supresión no ampara los datos necesarios para la formulación, el ejercicio o la defensa de reclamaciones (art. 17.3.e RGPD), y el art. 9.2.f RGPD habilita el tratamiento de datos de categoría especial para esa misma finalidad. Esto no es anonimización: la evidencia conserva el nombre del titular y la grabación de su voz; lo que se rompe es su vínculo con la cuenta, no su contenido. Mientras dura la conservación, la evidencia queda sellada y desvinculada de la cuenta; no es accesible desde ninguna superficie de usuario (solo desde el panel interno de operaciones); cada consulta deja registro de auditoría; permanece cifrada en reposo en el almacenamiento de la Unión Europea; y se destruye automáticamente al vencer el plazo, con todas sus versiones. El plazo es de cinco años (1.830 días), contados desde que la voz que ampara queda definitivamente eliminada —no cuando suprimes tu cuenta ni cuando se grabó la evidencia—, de modo que si tu voz simplemente se desactiva por inactividad o porque terminas tu suscripción, el plazo todavía no ha empezado. Si sobre una evidencia pesa una denuncia o una investigación abiertas, su destrucción queda suspendida hasta que el caso se resuelva; al resolverse, el plazo se reanuda, no se reinicia.
7. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como retirar el consentimiento que prestaste (sin que ello afecte a la licitud del tratamiento anterior).
7.1 Cómo ejercerlos
Escribiendo a support@makeityours.app, indicando el derecho que ejerces. Podremos pedirte que acredites tu identidad. Responderemos en el plazo de un mes, ampliable en dos meses más si la solicitud es compleja, en cuyo caso te lo comunicaremos. Además, muchas acciones están disponibles directamente en el producto: puedes borrar tu voz clonada, actualizar tus muestras, eliminar tus conversiones y suprimir tu cuenta sin necesidad de escribirnos.
7.2 Retirada del consentimiento a la clonación de voz
Retirar el consentimiento equivale a borrar tu voz. Puedes hacerlo desde «Mi voz» en cualquier momento y sin dar explicaciones. Al hacerlo se elimina tu voz clonada, también en los sistemas de nuestros proveedores; se eliminan tus muestras de audio; y la evidencia de titularidad pasa al régimen restringido de la Sección 6.3 y se destruye al vencer su plazo.
7.3 Reclamación ante la autoridad de control
Si consideras que hemos tratado tus datos de forma indebida, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es), sin perjuicio de cualquier otra vía administrativa o judicial. Te agradeceríamos que nos lo comunicaras antes, para poder resolverlo.
7.4 Si no eres usuario y tu voz ha sido usada sin tu permiso
Si crees que alguien ha clonado tu voz en MakeItYours sin tu consentimiento, no necesitas tener cuenta para actuar. Escríbenos a support@makeityours.app o utiliza el formulario público de denuncia. Investigamos estas denuncias con prioridad y podemos eliminar la voz de forma inmediata.
8. Transferencias internacionales de datos
Tus datos se alojan y procesan principalmente en la Unión Europea. La infraestructura de aplicación y el almacenamiento de archivos —incluidos las muestras de voz y la evidencia de titularidad— están ubicados en centros de datos de la UE (Ámsterdam). No obstante, el responsable del tratamiento es una sociedad estadounidense (LLC de Nuevo México) y algunos de nuestros proveedores son sociedades constituidas fuera del Espacio Económico Europeo, principalmente en Estados Unidos; en particular, la conversión y clonación de voz ocurre, en el plan contratado, en Estados Unidos. Estas comunicaciones constituyen transferencias internacionales de datos. Cuando una transferencia se dirige a un tercer país, la amparamos en el mecanismo que corresponda conforme al Capítulo V del RGPD: la decisión de adecuación aplicable o la certificación del importador en el marco de adecuación UE-EE. UU. cuando esté vigente y le sea aplicable, y, en su defecto, las cláusulas contractuales tipo (CCT) de la Comisión, con las garantías adicionales que procedan. Se presta atención reforzada a las transferencias que afectan a datos biométricos. Puedes solicitarnos copia de las garantías aplicadas escribiendo a la dirección de contacto de privacidad.
9. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre ellas: cifrado en tránsito en todas las comunicaciones; cifrado en reposo de los archivos almacenados, con un almacén separado y de acceso restringido para las muestras de voz y la evidencia de titularidad; separación de superficies (el panel interno de operaciones exige rol de administrador y segundo factor de autenticación obligatorio); registro de auditoría de las acciones de administración y de cada acceso a la evidencia sellada; principio de mínimo privilegio en las credenciales de acceso al almacenamiento; control de acceso al proveedor de conversión de voz (toda comunicación con él se realiza desde nuestros servidores; tu navegador nunca se comunica con él ni conoce sus credenciales, aunque sí se comunica directamente con el almacenamiento de archivos mediante enlaces temporales de un solo uso que emitimos nosotros); y versionado y retención de versiones en el almacén sensible, como protección frente a borrados accidentales (toda supresión efectiva elimina también las versiones anteriores). Ninguna medida elimina por completo el riesgo. Si se produjera una violación de seguridad que suponga un alto riesgo para tus derechos, te lo comunicaríamos conforme al art. 34 RGPD.
10. Evaluación de impacto
Dado que tratamos datos biométricos en la clonación de voz, este tratamiento está sujeto a una evaluación de impacto relativa a la protección de datos (art. 35 RGPD), que abordamos con carácter previo al tratamiento de datos reales en la beta.
11. Menores
El Servicio está reservado a personas mayores de 18 años y no está dirigido a menores (Sección 5 de los Términos). No recabamos conscientemente datos de menores de esa edad. Si detectamos que una cuenta pertenece a un menor de 18 años, la suspenderemos y eliminaremos sus datos —incluidas las muestras de voz y la evidencia asociada— salvo lo que debamos conservar por obligación legal.
12. Cambios en esta política
Podemos actualizar esta política. Toda actualización genera una versión nueva con su propia fecha, y la versión vigente está siempre publicada en esta página. Si el cambio es sustancial —en particular, si afecta a las finalidades, a las bases jurídicas o a los plazos de conservación de los datos de voz— te lo comunicaremos por correo electrónico antes de que surta efecto y, cuando la base jurídica sea el consentimiento, te pediremos que lo prestes de nuevo.