En resumen
- Los datos se alojan en la Unión Europea, en Fráncfort.
- Ningún dato se vende, se alquila ni se usa para publicidad.
- El sitio no instala cookies publicitarias ni de medición de audiencia.
- Para los datos de las Modelos, decide la Agencia: TECH APP STUDIO los trata por cuenta de ella.
- Puede ejercer sus derechos en cualquier momento escribiendo a support@velora-hq.com.
1. Quién es responsable de sus datos
TECH APP STUDIO, SAS de derecho francés, 19 Avenue des Diables Bleus, 06300 Nice, France («nosotros»), edita Velora. Según los datos, nuestra función cambia:
- Responsable del tratamiento para las cuentas de las Agencias, la facturación, la seguridad de la plataforma, el soporte y el sitio. Es a estos tratamientos a los que se aplica esta política.
- Encargado del tratamiento para los datos que cada Agencia introduce en Velora sobre sus Modelos y su equipo (ventas, contenidos, mensajes, sesiones, contratos, actividad en la app). La Agencia es entonces la responsable del tratamiento. Actuamos según sus instrucciones, conforme al acuerdo de tratamiento de datos.
¿Es usted una Modelo? Su Agencia es su primer interlocutor para sus datos. Su propia política puede consultarse en la app (Ajustes, Privacidad). También puede escribirnos: transmitiremos su solicitud a su Agencia.
No hemos designado un delegado de protección de datos. Para cualquier pregunta: support@velora-hq.com.
2. Datos que tratamos como responsables
| Para qué | Qué datos | Base jurídica | Plazo |
|---|---|---|---|
| Crear y gestionar la cuenta de la Agencia y de su equipo | Nombre, correo, contraseña (cifrada con hash, nunca legible), nombre de la Agencia, rol, idioma | Ejecución del contrato | Duración del contrato y después 30 días para la exportación |
| Facturar la suscripción | Razón social, dirección, número de IVA, correo de facturación, historial de pagos (la tarjeta y el IBAN quedan en Stripe) | Ejecución del contrato y obligación legal | 10 años para las facturas (Código de Comercio francés) |
| Proteger el servicio y prevenir el fraude | Dirección IP, navegador, dispositivos, sesiones, intentos fallidos de inicio de sesión, registro de acciones sensibles, verificación contra bots | Interés legítimo (seguridad del servicio) | Sesiones: hasta que caducan. Registro de auditoría: 3 años |
| Enviar los correos del servicio | Correo, nombre, contenido del mensaje (verificación, invitación, factura, alerta de seguridad) | Ejecución del contrato | Registros de envío: 30 días como máximo |
| Atender el soporte | Intercambios por correo e información útil para la solicitud | Interés legítimo | 3 años después del último intercambio |
| Defender nuestros derechos | Datos útiles como prueba (contrato, facturas, registros) | Interés legítimo | Plazo de prescripción aplicable |
No enviamos correos publicitarios. Si eso cambia, se pedirá su consentimiento cuando la ley lo exija, y cada mensaje incluirá un enlace para darse de baja.
3. Datos tratados por cuenta de las Agencias
Para prestar el servicio, tratamos para cada Agencia, según sus instrucciones:
- Modelos: nombre artístico y nombre, correo, teléfono, foto, idioma, zona horaria, plataformas conectadas (sesiones y claves cifradas), ventas, contenidos de trabajo, respuestas a formularios, sesiones de fotos y vídeo, contratos, muestras de voz si la Agencia usa la función de voz, actividad en la app.
- Equipo de la Agencia: nombre, correo, rol, ámbito, actividad en la consola.
- Datos del dispositivo de la Modelo (ver la sección 4).
La Agencia fija el plazo de conservación de estos datos. Se eliminan como máximo 30 días después del fin de su suscripción, o antes si lo solicita.
4. App de iPhone: dispositivo, notificaciones, App Attest
- Dispositivo: modelo de iPhone, versión de iOS y de la app, fechas de la primera y la última conexión. Sirve para mostrar sus dispositivos conectados y cerrar su sesión a distancia.
- Notificaciones: si las acepta, se guarda un identificador de notificaciones de Apple para enviarle las alertas de ventas y los mensajes de su Agencia. Puede desactivarlas en los ajustes del iPhone.
- App Attest: la app demuestra ante Apple que es la app oficial, sin modificar. Guardamos la clave pública y el recibo facilitados por Apple, y un contador contra la repetición de peticiones. Base jurídica: interés legítimo (seguridad de las cuentas).
- Dispositivo modificado: la app puede señalar indicios de jailbreak. Es una señal de seguridad, no bloquea el acceso.
- Face ID: la comprobación se hace en el iPhone. No se nos transmite ningún dato biométrico.
- Llavero (Keychain): una copia cifrada de la sesión se queda solo en este iPhone, nunca en iCloud ni en una copia de seguridad.
5. Mi ciclo: datos de salud
El seguimiento «Mi ciclo» implica datos de salud, protegidos por el artículo 9 del RGPD. Es opcional y solo se activa con el consentimiento explícito de la Modelo, recabado en la app.
Estos datos están cifrados y no se muestran a la Agencia. La Modelo puede retirar su consentimiento en cualquier momento desactivando la función: todos sus datos de ciclo se borran entonces.
6. Quién recibe los datos
- Las personas autorizadas de TECH APP STUDIO, solo cuando es necesario (soporte, seguridad, mantenimiento), sujetas a confidencialidad.
- Los miembros de la Agencia, según su rol y su ámbito en la consola.
- Nuestros encargados técnicos, enumerados más abajo, dentro de los límites de su función.
- Los servicios de terceros que la propia Agencia conecta (plataformas de venta, mensajería, firma electrónica, redes sociales, proveedores de IA). Reciben los datos que la Agencia decide enviarles, bajo su responsabilidad y según sus propias condiciones.
- Las autoridades, solo a petición legal.
En la pantalla «Personalizar» de la consola, la vista previa de las fuentes carga la fuente elegida desde Google Fonts: la dirección IP de la persona conectada se transmite entonces a Google.
7. Nuestros encargados del tratamiento
| Proveedor | Servicio | Función | Ubicación de los datos | Garantías en caso de transferencia |
|---|---|---|---|---|
| Vercel Inc. | Vercel | Alojamiento y ejecución de la aplicación | Fráncfort (Alemania, UE) | Marco de Privacidad de Datos UE-EE. UU., Cláusulas contractuales tipo |
| Supabase Pte. Ltd. | Supabase | Base de datos | Fráncfort (Alemania, UE) | Cláusulas contractuales tipo |
| Upstash, Inc. | Upstash Redis | Caché, colas de tareas, límites de peticiones | Fráncfort (Alemania, UE) | Cláusulas contractuales tipo |
| Cloudflare, Inc. | Cloudflare R2, Turnstile | Almacenamiento de medios, protección contra bots | Unión Europea | Marco de Privacidad de Datos UE-EE. UU., Cláusulas contractuales tipo |
| Stripe Payments Europe, Limited | Stripe | Pago y facturación | Irlanda (UE) | Marco de Privacidad de Datos UE-EE. UU., Cláusulas contractuales tipo |
| Plus Five Five, Inc. | Resend | Envío de los correos del servicio | Estados Unidos | Cláusulas contractuales tipo |
| Apple Inc. | Apple Push Notification service | Notificaciones en iPhone | Estados Unidos | Marco de Privacidad de Datos UE-EE. UU., Cláusulas contractuales tipo |
Cualquier cambio en esta lista se anuncia a las Agencias con al menos 30 días de antelación, como prevé el DPA.
8. Transferencias fuera de la Unión Europea
Las bases de datos, la caché y los archivos se alojan en la Unión Europea. Algunos proveedores son empresas establecidas fuera de la UE, principalmente en Estados Unidos: sus equipos pueden acceder a datos para el soporte o la explotación, y el envío de correos y notificaciones pasa por sus servidores.
Estas transferencias están amparadas por las cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está certificado, por el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación del 10 de julio de 2023). Puede pedirse una copia de las garantías en support@velora-hq.com.
9. Seguridad
Las medidas principales: aislamiento de las agencias en la base de datos, cifrado de los secretos con una clave por agencia, contraseñas con hash (Argon2id), autenticación en dos pasos, medios privados con enlaces limitados a 5 minutos, registro de auditoría, copias de seguridad cifradas, límites de peticiones contra la extracción de datos. El detalle está en la página Seguridad.
En caso de violación de datos que suponga un riesgo, avisamos a la CNIL (autoridad francesa de protección de datos) en un plazo de 72 horas y, cuando la ley lo exige, a las personas afectadas.
10. Sus derechos
Tiene derecho de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como a retirar su consentimiento en cualquier momento. También puede dar instrucciones sobre el destino de sus datos tras su fallecimiento.
Para ejercerlos, escriba a support@velora-hq.com desde la dirección vinculada a su cuenta. Respondemos en el plazo de un mes, prorrogable dos meses para una solicitud compleja. Solo se pide un justificante de identidad en caso de duda razonable.
Muchas acciones se hacen directamente: modificar el perfil, exportar los datos de la Agencia (Ajustes, Datos), pedir la eliminación de la cuenta desde la consola o la app.
11. Reclamación
Si considera que no se respetan sus derechos, puede presentar una reclamación ante la CNIL: 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia, o en línea en cnil.fr. También puede dirigirse a la autoridad de protección de datos del país de la UE donde reside (en España, la AEPD).
13. Menores
El servicio está reservado a personas mayores de edad. Las Agencias se comprometen a no invitar a ninguna persona menor. Una cuenta que sepamos que pertenece a una persona menor se cierra y sus datos se eliminan.
14. Cambios
Esta política puede cambiar. La fecha de actualización figura al principio de la página. En caso de cambio importante, las Agencias reciben un aviso por correo.