Política de privacidad

Fecha de entrada en vigor: 15 de junio de 2026

Última actualización: 15 de junio de 2026

En CreatorNote nos importa tu privacidad. Esta Política de privacidad explica cómo recopilamos, usamos y protegemos tu información personal. Al usar el Servicio, aceptas estas prácticas.

1. Introducción y alcance

Esta Política se aplica al Servicio prestado a través de creatornote.ai, las extensiones de navegador y la API. Está diseñada para proteger tus derechos conforme a la KVKK turca (Ley de Protección de Datos Personales), el RGPD de la UE (Reglamento General de Protección de Datos) y la CCPA de California (Ley de Privacidad del Consumidor).

2. Información que recopilamos

2.1 Información que proporcionas directamente:

• Registro de cuenta: nombre (opcional), correo electrónico, contraseña (cifrada con bcrypt, nunca almacenada como texto plano), avatar (opcional).
• Datos de perfil: idioma preferido, elección de plan.
• Contenido del usuario: PDF, audio, vídeo, texto, URL y transcripciones que subes.
• Comunicaciones: solicitudes de soporte, comentarios del blog, opiniones.
• Pago: NO almacenamos los datos de tu tarjeta; los procesa Stripe, conforme a PCI DSS. Solo conservamos el estado de tu suscripción y los identificadores de cliente/suscripción de Stripe (NO números de tarjeta ni dígitos).

2.2 Información recopilada automáticamente:

• Analítica de uso: qué herramientas usas, recuentos diarios de caracteres/archivos (anonimizados/agregados). Google Analytics 4 (solo con tu consentimiento).
• Dispositivo/navegador: dirección IP (límite de uso y prevención de fraude), tipo de navegador, sistema operativo, idioma, marca de tiempo de la visita.
• Cookies: consulta nuestra Política de cookies para más detalles.

2.3 Información de terceros:

• Inicio de sesión de terceros: con Google o Apple, correo electrónico y nombre. Las contraseñas no se comparten.
• Proveedor de pago: estado de la suscripción desde Stripe (activa/cancelada/fecha de renovación).

3. Cómo usamos tu información

3.1 Prestación y mejora del Servicio: crear cuentas, ofrecer las funciones principales (transcripciones de YouTube, resúmenes, traducción, chat con IA), analizar el uso y mejorar el sistema.

3.2 Comunicación y soporte: responder a consultas, enviar notificaciones de cuenta (restablecimiento de contraseña, renovación de suscripción).

3.3 Cumplimiento legal, seguridad y prevención del fraude: cumplir las leyes, hacer cumplir las Condiciones, prevenir el fraude, el abuso y las amenazas de ciberseguridad.

3.4 Marketing (solo con consentimiento expreso): boletines por correo electrónico sobre nuevas funciones, artículos del blog y noticias del producto. Cada correo incluye un enlace para darse de baja.

4. Resumen de la política de cookies

Para más detalles, consulta nuestra Política de cookies. En resumen:

• Estrictamente necesarias: autenticación, seguridad (cookies de sesión). No requieren consentimiento.
• Funcionales: tema, preferencia de idioma (localStorage).
• Analíticas: Google Analytics, activas solo con tu consentimiento a través del banner de cookies.
• Publicidad: no se usa actualmente.

5. Compartición y divulgación de datos

La IA y tus datos: el contenido que subes (enlaces de vídeo, archivos, texto) se envía a proveedores de IA únicamente para cumplir tu solicitud y nunca se usa para entrenar modelos de IA. Los resultados generados se almacenan en nuestros sistemas mientras tu cuenta esté activa para que puedas acceder a tu historial; se anonimizan cuando eliminas tu cuenta (véase la Sección 7). Entre los proveedores que usamos o podemos usar se incluyen Groq, Google Gemini, OpenAI, Anthropic (Claude), Mistral y servicios de IA empresariales similares.

5.1 Proveedores de servicios externos:

• Stripe (EE. UU.): procesamiento de pagos, conforme a PCI DSS.
• Groq (EE. UU.): resultados de resumen, transcripción y traducción con IA. El contenido del usuario se elimina tras el procesamiento y nunca se usa para entrenar modelos.
• Google Gemini (proveedor de IA de respaldo): se activa cuando Groq no está disponible.
• Resend (UE): correo transaccional (verificación de cuenta, notificaciones).
• Sentry (EE. UU.): seguimiento de errores y registro (los datos personales se enmascaran automáticamente).
• Google Analytics 4 (EE. UU.): analítica de uso anónima, solo con tu consentimiento.
• Alojamiento en la nube: AWS (Alemania, centro de datos europeo).
• Cloudflare (EE. UU.): red de distribución de contenido (CDN), firewall de aplicaciones web y protección contra ataques DDoS. Todo el tráfico del sitio pasa por ella; procesa direcciones IP y metadatos de las solicitudes.

5.2 Requisitos legales: podemos divulgar información cuando lo exija una orden judicial, una solicitud fiscal o una obligación legal. Te lo notificamos en la medida en que la ley lo permita.

5.3 Transferencias empresariales: en caso de fusión, adquisición o quiebra, los datos personales pueden transferirse a la entidad sucesora. Recibirás un aviso previo por correo electrónico y conservarás tus derechos.

5.4 Con tu consentimiento: para divulgaciones no descritas anteriormente, obtenemos tu consentimiento expreso.

5.5 Datos anonimizados/agregados: los datos estadísticos no identificables (p. ej., «N resúmenes producidos al día») pueden compartirse sin restricción.

6. Seguridad de los datos

Las principales medidas que aplicamos para proteger tus datos:

• Cifrado HTTPS/TLS para todo el tráfico; HSTS (1 año) obligatorio en producción.
• Las contraseñas se cifran con bcrypt (cost 12) y nunca se almacenan en texto plano.
• Los códigos de los enlaces de verificación de correo y restablecimiento de contraseña se almacenan cifrados con SHA-256.
• Política de Seguridad de Contenido (CSP) y cabeceras de seguridad (Helmet) para protección contra XSS/clickjacking.
• Todas las consultas a la base de datos están parametrizadas (Prisma ORM), protección contra inyección SQL.
• Límite de uso por IP para prevenir fuerza bruta y abuso.
• Lista de permitidos CORS, solo se aceptan solicitudes de orígenes autorizados.
• Alojamiento en un centro de datos europeo (AWS, Alemania).

Aun así, ninguna transmisión por internet es 100 % segura; compartes la responsabilidad de proteger la contraseña de tu cuenta.

7. Conservación de los datos

• Datos de la cuenta: se conservan mientras tu cuenta esté activa. Cuando eliminas tu cuenta, los datos identificativos se anonimizan DE INMEDIATO; solo pueden conservarse registros anonimizados/agregados para obligaciones legales (impuestos, auditoría).
• Datos de uso/analítica: de 3 meses a 2 años, después se anonimizan o se eliminan.
• Contenido: mientras tu cuenta esté activa. Se anonimiza al cerrar la cuenta (KVKK artículo 7, RGPD artículo 17).
• Copias de seguridad: copias rotativas conservadas hasta 30 días.
• Comunicaciones: hasta que se resuelva el soporte + 2 años de archivo.

8. Tus derechos (KVKK + RGPD + CCPA)

Conforme a las leyes aplicables, tienes los siguientes derechos:

• Derecho de acceso: solicitar acceso a tus datos personales.
• Derecho de rectificación: solicitar la corrección de datos inexactos.
• Derecho de supresión: puedes eliminar tu cuenta tú mismo en cualquier momento desde Ajustes → Eliminar cuenta introduciendo tu contraseña y confirmando. También puedes solicitar la eliminación escribiendo a [email protected]; en ese caso la eliminamos tras verificar tu identidad.
• Derecho a restringir el tratamiento: limitar determinadas actividades de tratamiento.
• Portabilidad de los datos: solicitar tus datos en un formato legible por máquina.
• Derecho de oposición: oponerte al tratamiento con fines de marketing.
• Decisiones automatizadas/elaboración de perfiles: derecho a no ser objeto de decisiones automatizadas.
• Retirar el consentimiento: retirar el consentimiento en cualquier momento.
• Derecho a presentar una reclamación: ante la Autoridad Turca de Protección de Datos Personales (KVKK) o la autoridad de protección de datos de la UE correspondiente (RGPD).

Para ejercer cualquiera de estos derechos, basta con escribir a [email protected]. Tras verificar tu identidad, respondemos en un plazo de 30 días.

9. Transferencias internacionales de datos

Algunos de nuestros proveedores de servicios se encuentran en EE. UU. y la UE. Por ello, tus datos pueden transferirse fuera de las fronteras del país. Para las transferencias a la UE usamos Cláusulas Contractuales Tipo (CCT) conforme al artículo 46 del RGPD y otras garantías adecuadas. Conforme al artículo 9 de la KVKK, las transferencias se realizan con tu consentimiento expreso o con excepciones legales.

10. Privacidad de los menores

El Servicio no está dirigido a menores de 13 años y no recopilamos conscientemente datos de menores de 13 años. El límite de edad es de 16 años para los usuarios de la UE (RGPD artículo 8). Si descubres que tu hijo ha creado una cuenta, notifícanoslo; la cuenta se eliminará de inmediato.

11. Actualizaciones de la política

Podemos actualizar esta Política para reflejar novedades operativas, tecnológicas o legales. Anunciamos los cambios importantes al menos 30 días antes de que entren en vigor, por correo electrónico o mediante notificación dentro del Servicio. La «Fecha de entrada en vigor» se actualiza con cada revisión.

12. Contacto y responsable del tratamiento

Responsable del tratamiento: CreatorNote (la razón social y el número MERSIS se actualizarán en la página de Contacto cuando se publiquen).

Contacto: [email protected]

Representante del responsable del tratamiento KVKK: se designará tras el lanzamiento.