Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Razón social: CREATIVE IMPACT STUDIO SL
• NIF: B75782235
• Datos registrales: Inscrita en el Registro Mercantil de Barcelona, sección 8.ª, hoja B-644162, inscripción 2.ª, con IRUS 1000441902342.
• Dirección postal: Calle de Pedro Salinas 4, 2B, 28043 Madrid
• Email de contacto: help@iridya.io
• Web: creativeimpact.es

2. Datos que recogemos

Recogemos las siguientes categorías de datos:

2.1. Datos de registro

• Email.
• Contraseña (almacenada de forma encriptada, nunca en texto plano).
• Nombre completo.
• Si entras con Google: tu nombre, tu email y el identificador de tu cuenta de Google, que nos da Google cuando lo autorizas.

2.2. Datos de perfil

• Nombre público, bio y foto de perfil.
• Usuarios de redes sociales (Instagram, TikTok).
• Ubicación, email de contacto profesional, teléfono y web.
• Nichos y tono de tu contenido, y marcas con las que has trabajado, con sus logotipos.
• Los datos fiscales que añadas para tus presupuestos (identificación fiscal, país e impuestos), y tus condiciones y notas de presupuesto.
• Tu zona horaria.

2.3. Datos generados por uso

• Las estadísticas de redes sociales que guardas tú. Las capturas de pantalla que subes para leerlas no se guardan: se envían a Anthropic para extraer las cifras (apartado 5.1).
• Las colaboraciones que registras y los mensajes con marcas que guardas en ellas.
• Tareas del calendario y tarjetas del tablero.
• Las ideas y guiones del Director.
• Los vídeos que subes al Viralyzer, que se borran al terminar el análisis, y los análisis con su miniatura.
• Tu consumo de las herramientas: cuál usas, cuándo, el modelo de inteligencia artificial y su coste. Sirve para contar los usos de tu plan.
• Tu plan, los bonos que compras y el identificador de cliente que te asigna Stripe. De la dirección de facturación guardamos solo el país.
• Los textos legales que aceptas: qué texto (su versión y una huella que lo identifica), cuándo, desde qué dirección IP y con qué navegador, y en las compras, el importe y las referencias del pago en Stripe.
• Los correos de confirmación de compra que te enviamos: a qué dirección, si salieron y cuántos intentos hicieron falta.

2.4. Datos técnicos

• Dirección IP y navegador, que incluye el sistema operativo y el tipo de dispositivo.
• Fecha y hora de cada petición a la plataforma y la página pedida, que quedan en los registros del servidor, y la fecha de tu última actividad.
• Los días en que entras en la aplicación: solo la fecha, sin la hora ni las páginas que visitas.
• Al registrarte, para frenar registros abusivos, guardamos tu dirección IP y una huella cifrada de tu email, que no permite leerlo. Si tu alta falla a mitad de camino, guardamos además tu email para poder resolverla.

Para que la plataforma funcione, también se guarda cierta información en tu dispositivo (cookies de sesión y almacenamiento del navegador). El detalle de qué se guarda, para qué y durante cuánto tiempo está en la Política de Cookies.

2.5. Datos de Instagram y TikTok (solo si vinculas tus cuentas)

Iridya te permite vincular voluntariamente tu cuenta de Instagram o de TikTok para traer tus estadísticas de forma automática. Esta vinculación es opcional: solo recogemos estos datos si tú la autorizas, y puedes deshacerla en cualquier momento (apartado 7). Cuando vinculas una cuenta, recogemos:

• Información de perfil: tu nombre de usuario, el identificador de tu cuenta y tu número de seguidores. En TikTok recogemos además el número total de «me gusta» que han recibido tus vídeos y el número de vídeos que has publicado.
• Tus publicaciones y sus métricas: el texto de tus publicaciones y vídeos, sus miniaturas y sus datos de rendimiento (por ejemplo, el número de reproducciones), y la evolución diaria de tus seguidores, tu alcance y tus visualizaciones.
• Datos demográficos agregados de tu audiencia. De Instagram: la distribución por edad, género y país de tus seguidores, y por edad, género, país y ciudad de las personas que interactúan con tu contenido y de las personas a las que llega. De TikTok: la distribución por edad, género, país y ciudad de tu audiencia, y las horas en que está activa. Son datos agregados que nos dan Instagram y TikTok sobre el conjunto de tu audiencia: en ningún caso recibimos datos de seguidores concretos.
• Token de acceso: un token que nos da la plataforma que vinculas y que hace falta para consultar los datos anteriores en tu nombre.

2.6. Datos de Google Calendar (solo si lo conectas)

Si conectas Google Calendar, recibimos el email y el identificador de tu cuenta de Google y un token de acceso. Iridya crea en tu Google Calendar un calendario propio, llamado «Iridya», y solo tiene acceso a ese calendario, no a los demás. En él publica tus tareas (título, descripción y fechas), y de él trae a Iridya los eventos que añadas, desde 7 días atrás hasta 3 meses adelante.

2.7. Datos de otras personas que nos das tú

Si pegas en la Réplica el correo que te ha enviado una marca, ese correo puede llevar datos de otras personas, como su nombre, su cargo o su email. Lo usamos para leer la propuesta y prerrellenar la colaboración, se envía a Anthropic (apartado 5.1) y, si creas la colaboración, se guarda en ella.

3. Finalidades del tratamiento

Tratamos tus datos con los siguientes fines:

• Gestionar tu cuenta y darte acceso a la plataforma.
• Prestarte las herramientas, incluidas las de inteligencia artificial (apartado 5.1).
• Calcular presupuestos y tarifas estimadas de colaboraciones.
• Cobrar los planes y los bonos, y enviarte las confirmaciones de compra.
• Contar los usos de cada plan y controlar el gasto de inteligencia artificial de la plataforma.
• Medir cómo se usa la plataforma, por ejemplo cuántas personas vuelven a entrar de una semana a otra, para mejorarla.
• Detectar y frenar abusos, como los registros en masa o las contraseñas filtradas.
• Guardar la prueba de los textos legales que aceptas y de los correos de confirmación que te enviamos.
• Cumplir con obligaciones legales (fiscales, contables).
• Atender comunicaciones y solicitudes que nos hagas.
• Si vinculas tu cuenta de Instagram o de TikTok: mostrarte tus estadísticas dentro de la plataforma, calcular métricas derivadas (como la media de visualizaciones) y nutrir herramientas como el media kit y el cálculo de presupuestos de colaboración.
• Si conectas Google Calendar: mantener sincronizadas tus tareas con el calendario «Iridya».
• Si marcas la casilla de comunicaciones al registrarte: enviarte por email novedades, ofertas y promociones de Iridya.

Los datos que obtenemos de tu cuenta de Instagram o de TikTok vinculada se utilizan únicamente para las finalidades anteriores. No se destinan a ningún otro fin, ni se venden ni se ceden a terceros con fines publicitarios.

4. Base legal del tratamiento

De acuerdo con el Reglamento General de Protección de Datos (RGPD), las bases legales que justifican el tratamiento son:

• Ejecución del contrato: el tratamiento de tus datos de registro, perfil y uso, y el de tus pagos, es necesario para prestarte el servicio que has contratado.
• Interés legítimo: detectar abusos, mantener la seguridad de la plataforma, controlar su gasto, medir cómo se usa para mejorarla y guardar la prueba de los textos legales que aceptas y de los correos de confirmación que te enviamos.
• Obligación legal: conservación de datos fiscales y contables exigidos por la legislación española.
• Consentimiento: enviarte comunicaciones comerciales, solo si marcaste esa casilla al registrarte. Es opcional y no marcarla no cambia nada de tu cuenta. Puedes retirarlo cuando quieras escribiéndonos a help@iridya.io, y retirarlo no afecta a lo anterior.

5. Con quién compartimos tus datos

Para prestar el servicio, compartimos parte de tus datos con los siguientes proveedores:

• Supabase Inc. (Estados Unidos), con los datos en servidores de Frankfurt (Alemania): base de datos, inicio de sesión y almacenamiento de ficheros. Guarda tu cuenta, tu perfil y todo lo que generas en la plataforma.
• Vercel Inc. (Estados Unidos): aloja la aplicación. Todas tus peticiones pasan por sus servidores, con tu dirección IP.
• Stripe Payments Europe, Ltd. (Irlanda): cobra los planes y los bonos, emite las facturas y da el portal de «Gestionar suscripción». Recibe tu email, tu dirección de facturación y los datos de tu medio de pago, que nosotros no vemos.
• Brevo (Francia): envía los correos de tu cuenta (confirmación del alta, recuperación de contraseña y aprobación del alta) y las confirmaciones de compra. También nos envía a nosotros avisos internos de funcionamiento, que pueden incluir tu email. Brevo registra si se abren esos correos y si se pulsan sus enlaces.
• Anthropic PBC (Estados Unidos): proveedor de inteligencia artificial, con el modelo Claude, en el Viralyzer, el Director, Colaboraciones, la Réplica y Estadísticas (apartado 5.1).
• Google LLC (Estados Unidos): proveedor de inteligencia artificial, con el modelo Gemini, en el Viralyzer (apartado 5.1).
• Google, para tres cosas más:
  • el inicio de sesión con Google, si lo usas (apartado 2.1);
  • Google Calendar, si lo conectas (apartado 2.6);
  • las miniaturas de logotipos: cuando buscas el logotipo de una marca, tu navegador carga las miniaturas directamente desde servidores de Google, así que Google recibe tu dirección IP y los datos de tu navegador.
• Serper: cuando buscas el logotipo de una marca, le enviamos el nombre de la marca para encontrarlo. No le enviamos ningún dato tuyo.
• Have I Been Pwned: al registrarte, comprobamos que tu contraseña no aparece en filtraciones conocidas. Solo se envían los 5 primeros caracteres de una huella de la contraseña, que no permiten reconstruirla.

5.1. Envío de tu contenido a proveedores de inteligencia artificial

Para que las herramientas de inteligencia artificial funcionen, Iridya envía parte del contenido que subes o escribes a proveedores externos, que lo procesan en nuestro nombre:

• Viralyzer: el vídeo que subes se envía a Google (modelo Gemini) para analizarlo. A Anthropic (modelo Claude) solo se le envía texto, nunca el vídeo.
• Director: tu nicho, los datos de tu audiencia y lo que escribes en cada paso se envían a Anthropic para generar ideas y guiones.
• Colaboraciones: los datos de la colaboración y de tu audiencia se envían a Anthropic para calcular y explicar el precio.
• Réplica: el correo de la marca que pegas se envía a Anthropic para leerlo (apartado 2.7).
• Estadísticas: las capturas y los datos de métricas que subes se envían a Anthropic para interpretarlos y devolverte el análisis en lenguaje claro.

Este contenido se transmite de forma cifrada. Con Google usamos el servicio de pago de Gemini, en el que Google no usa el contenido que le enviamos para mejorar sus productos. El tratamiento por parte de estos proveedores se rige además por sus propias condiciones de uso y políticas de privacidad. Si no deseas que tu contenido se procese con estos servicios, no utilices las herramientas de inteligencia artificial (Viralyzer, Director, Colaboraciones, Réplica y Estadísticas).

Algunos de estos proveedores pueden tratar datos fuera del Espacio Económico Europeo (EEE). En esos casos, las transferencias internacionales se realizan amparadas en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o mecanismos equivalentes que garantizan un nivel adecuado de protección.

5.2. Origen de los datos de Instagram (Meta)

Cuando vinculas tu cuenta, los datos de Instagram descritos en el apartado 2.5 se obtienen directamente de Meta Platforms, Inc. (Instagram, Estados Unidos / UE), a través de su API oficial y siempre con tu autorización expresa durante el proceso de conexión. Meta es, por tanto, la fuente de la que recibimos estos datos con tu consentimiento. El tratamiento que Meta hace de tu información se rige además por sus propias condiciones de uso y su política de privacidad.

5.3. Origen de los datos de TikTok

Cuando vinculas tu cuenta, los datos de TikTok descritos en el apartado 2.5 se obtienen directamente de TikTok Technology Limited (Irlanda), a través de su API oficial y siempre con tu autorización expresa durante el proceso de conexión. TikTok es, por tanto, la fuente de la que recibimos estos datos con tu consentimiento. El tratamiento que TikTok hace de tu información se rige además por sus propias condiciones de uso y su política de privacidad.

6. Cuánto tiempo guardamos tus datos

Algunos datos se borran pasado un plazo. Ese borrado no se hace en una fecha fija: se hace la siguiente vez que se guarda un dato del mismo tipo. Por eso los plazos de abajo son lo mínimo que se conserva cada dato, no lo máximo.

• Tu cuenta, tu perfil y lo que generas en las herramientas: hasta que lo borres tú o borres la cuenta.
• Tu consumo de las herramientas y los bonos que compras: hasta que borres la cuenta.
• Los días en que entras en la aplicación: hasta que borres la cuenta.
• Las opciones que genera el Director: 30 días, para que puedas recuperarlas si cierras la pestaña.
• Los vídeos del Viralyzer: se borran al terminar el análisis, salga bien o mal. Si el análisis no llega a empezar, el vídeo se queda guardado hasta que borres la cuenta.
• Las capturas de Estadísticas: no se guardan.
• Las notificaciones dentro de la aplicación: de 7 a 180 días, según el tipo.
• Los datos de registro que sirven para frenar abusos (apartado 2.4): 30 días.
• Los avisos internos de funcionamiento que pueden incluir tu email: 30 o 90 días, según el tipo, también si borras la cuenta.
• Los textos legales que aceptas, las confirmaciones de compra y el registro del borrado de tu cuenta: mientras tengas la cuenta y cinco años después de borrarla. Los guardamos como prueba de lo que aceptaste y compraste, y de que borramos tu cuenta cuando nos lo pediste.
• Los datos de facturación: conservamos tus facturas durante 6 años, como exige la normativa fiscal y contable española, también si borras la cuenta. Stripe, además, conserva tu ficha de cliente y tus facturas aunque borres tu cuenta en Iridya.
• Las copias de seguridad de la base de datos: hacemos una copia al día y guardamos las de los últimos 7 días, así que un dato borrado puede seguir en ellas hasta 7 días después. No guardamos un historial continuo que permita recuperar la base de datos en un momento concreto. Los ficheros (fotos, logotipos, miniaturas) no tienen copia de seguridad.

6.1. Lo que se queda aunque desvincules una cuenta o borres la tuya

• Al desvincular Instagram o TikTok, las métricas y el contenido que ya habíamos traído se quedan: la evolución diaria, el resumen de tu cuenta y de tu audiencia, y tus publicaciones y vídeos con sus miniaturas. No puedes borrarlos desde la aplicación; se borran al borrar la cuenta. Lo explicamos en Eliminación de datos.
• Al desvincular Google Calendar, se borra el token, pero se quedan el email y el identificador de tu cuenta de Google y el del calendario «Iridya». Las tareas, también las que trajimos de Google, siguen en Iridya, y el calendario «Iridya» no se borra de tu Google Calendar.
• Si retiras el permiso desde la propia Instagram, en Iridya no se borra nada: ni el token ni los datos que ya habíamos traído. Para borrar el token, usa «Desvincular» (apartado 7).
• Al borrar tu cuenta no retiramos los permisos que diste en Google y en TikTok. Puedes retirarlos tú desde tu cuenta de Google o de TikTok. Al desvincular sí lo intentamos (apartado 7).
• Stripe conserva tu ficha de cliente y tus facturas.
• Los textos legales que aceptaste, las confirmaciones de compra, el registro del borrado y los avisos internos se conservan como se indica arriba.

Si nos pides borrar tu cuenta, borramos tu cuenta, tu perfil, todo lo que has generado y todos tus ficheros, salvo lo que se indica en este apartado.

7. Tus derechos

Como titular de los datos, tienes derecho a:

• Acceso: obtener confirmación de qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar el borrado de tus datos (derecho al olvido).
• Limitación: restringir el tratamiento en determinadas circunstancias.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en un formato estructurado y legible por máquina.

Para ejercer cualquiera de estos derechos, envíanos un email a help@iridya.io indicando claramente qué derecho deseas ejercer.

Desvincular tus cuentas: puedes desvincular Instagram, TikTok o Google Calendar en cualquier momento desde «Mi cuenta». Al desvincular, borramos el token de acceso y dejamos de obtener datos nuevos de esa cuenta. En TikTok y en Google intentamos además retirar el permiso que diste a Iridya; si no lo conseguimos, la desvinculación se completa igual. Instagram no permite retirarlo desde Iridya. En los tres casos también puedes retirar el permiso desde la configuración de tu cuenta de Instagram, TikTok o Google. Lo que se conserva al desvincular está en el apartado 6.1.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, también tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), en www.aepd.es.

8. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos:

• Cifrado en tránsito (HTTPS/TLS) y en reposo.
• Autenticación obligatoria y contraseñas almacenadas con algoritmos de hashing robustos.
• Control de accesos basado en roles y políticas de seguridad a nivel de base de datos.
• Registro y monitorización de accesos a sistemas.
• Los tokens de acceso de Instagram, TikTok y Google Calendar se guardan cifrados.

En caso de que detectemos una brecha de seguridad que afecte a tus datos personales, te lo notificaremos y comunicaremos a la AEPD en los plazos exigidos por el RGPD.

9. Datos de menores

La plataforma no está dirigida a personas menores de 16 años. No recogemos conscientemente datos de menores de esa edad. Si detectas que un menor de 16 años se ha registrado, te pedimos que nos lo comuniques en help@iridya.io para que procedamos a eliminar la cuenta.

10. Cambios en esta política

Nos reservamos el derecho a modificar esta Política de Privacidad. Los cambios sustanciales se notificarán por email a los usuarios con cuenta activa con al menos 15 días de antelación. La fecha de última actualización aparece al pie de esta página.