Política de privacidad
Versión 2026-09-06 · Vigente desde 6 de septiembre de 2026
1. Responsable y funciones
Álvaro Berlanga Fernández, autónomo que opera Conduct Studio, establecido en Madrid, es responsable de los datos de cuenta, facturación, uso, seguridad y soporte. Para datos que un cliente incluye sobre terceros, el cliente suele ser responsable y Conduct encargado bajo el DPA. Contacto: privacy@conductstudio.com.
2. Datos tratados
Tratamos datos de cuenta y organización; contenido, audio, imagen, cues, mensajes y revisiones; facturación sin almacenar números completos de tarjeta; datos técnicos, de seguridad y soporte; y analítica solo con consentimiento. En modo Dropbox o disco local, los originales permanecen en la ubicación elegida y pueden subirse previsualizaciones comprimidas y metadatos para funciones web. No entrenamos IA con contenido de clientes.
3. Finalidades y bases jurídicas
Usamos ejecución contractual para cuenta, servicio, pagos y mensajes necesarios; obligación legal para fiscalidad y requerimientos; interés legítimo para seguridad, fraude, soporte y monitorización de errores; y consentimiento independiente para analítica opcional y marketing. Puedes retirar el consentimiento en cualquier momento.
| Tratamiento | Base jurídica | Artículo RGPD |
|---|---|---|
| Cuenta, almacenamiento, colaboración y pagos | Ejecución del contrato | 6.1(b) |
| Mensajes transaccionales y de seguridad | Contrato / interés legítimo | 6.1(b)/(f) |
| Analítica y marketing opcionales | Consentimiento | 6.1(a) |
| Seguridad, fraude y errores | Interés legítimo | 6.1(f) |
| Fiscalidad y requerimientos legales | Obligación legal | 6.1(c) |
4. Proveedores y transferencias
Usamos los proveedores publicados en /legal/es/subprocessors. La base de datos principal y regiones seleccionadas se configuran en la UE. Antes de activar pagos, el registro interno exige confirmar las condiciones y el mecanismo de transferencia aplicables a cada cuenta de producción. Solo afirmamos certificación DPF cuando se ha verificado.
| Proveedor | Finalidad | Ubicación | DPA |
|---|---|---|---|
| Supabase Inc. | Autenticación, base de datos, almacenamiento y tiempo real | Región UE; operaciones globales del proveedor | supabase.com/legal/dpa |
| Vercel Inc. | Alojamiento web, funciones y cron | Preferencia UE; operaciones globales | vercel.com/legal/dpa |
| Stripe | Pagos, facturación, fraude e impuestos | UE y red global de pagos | stripe.com/legal/dpa |
| Brevo SAS | Correo transaccional | UE (Francia) | brevo.com/legal/dpa |
| PostHog Inc. | Analítica opcional con consentimiento | UE | posthog.com/dpa |
| Sentry | Errores y rendimiento con redacción | Infraestructura y soporte global | sentry.io/legal/dpa |
| Cloudflare | Copia cifrada en R2 | Infraestructura global | cloudflare.com/cloudflare-customer-dpa |
5. Derechos
Puedes solicitar acceso, rectificación, supresión, portabilidad, limitación y oposición, y retirar consentimientos desde Ajustes → Privacidad o escribiendo a privacy@conductstudio.com. Procuramos acusar recibo en 72 horas y respondemos dentro del plazo exigido por la ley, incluidas sus prórrogas. Puedes reclamar ante la AEPD o tu autoridad local. Respetamos GPC. No vendemos ni compartimos datos para publicidad conductual.
6. Canadá y Quebec
En provincias canadienses admitidas puedes pedir acceso y corrección y retirar consentimientos dentro de los límites legales. Conduct no se ofrece a residentes de Quebec en este lanzamiento.
7. Conservación
Cuenta activa: mientras sea necesaria. Borrado solicitado: 14 días reversibles. Pérdida del plan: 30 días en lectura. Las copias operativas tienen como objetivo vencer en 60 días. Conduct mantiene actualmente instantáneas cifradas y de acceso restringido para recuperación ante desastres con niveles diarios, semanales y mensuales; algunas instantáneas bloqueadas se conservan durante más tiempo. Las cuentas eliminadas no se reactivan desde esas copias y, si se restaura una instantánea por desastre, los registros de supresión y limitación deben reaplicarse antes de reanudar el servicio. Estamos separando la evidencia contractual y fiscal minimizada del contenido de clientes para reducir esa conservación prolongada. Analítica identificable: 6 meses. Registros de seguridad y auditoría: 24 meses salvo bloqueo legal. Cuenta Free inactiva: aviso a los 23 meses y, a los 24, entrada en el ciclo reversible de borrado de 14 días. Evidencia contractual y contable minimizada: 6 años. Una obligación legal o litigio puede exigir conservar datos concretos durante más tiempo.
| Categoría | Plazo | Motivo |
|---|---|---|
| Cuenta y proyectos activos | Mientras sean necesarios | Contrato |
| Borrado solicitado | 14 días reversibles | Recuperación y exportación |
| Pérdida del plan | 30 días en lectura | Recuperación o exportación |
| Copias operativas | Objetivo: hasta 60 días | Ciclo técnico; véase la salvedad de recuperación ante desastres |
| Analítica identificable | 6 meses | Mejora consentida |
| Seguridad y auditoría | 24 meses | Investigación y prevención |
| Cuenta Free inactiva | 24 meses con aviso previo | Minimización |
| Evidencia contractual y contable | 6 años | Obligaciones legales y reclamaciones |
9. Seguridad e incidentes
Aplicamos cifrado de transporte y almacenamiento del proveedor, controles por rol y fila, enlaces temporales, acceso administrativo limitado y registrado, copias cifradas y procedimientos de incidentes. Ningún sistema es absolutamente seguro. Documentamos las brechas confirmadas y notificamos a autoridades y afectados cuando la ley lo exige.
10. Decisiones automatizadas
No adoptamos decisiones exclusivamente automatizadas que produzcan efectos jurídicos o similares. Los límites automáticos contra abuso protegen el servicio y las decisiones relevantes pueden revisarse por una persona.
11. Menores
El servicio se dirige a adultos y profesionales y no pretende tratar datos de menores. Si detectamos datos de un menor sin base válida, los eliminaremos.
12. Cambios
Avisaremos los cambios materiales con al menos 30 días cuando sea posible. Los cambios urgentes exigidos por seguridad o ley pueden aplicarse antes con aviso.
13. Contacto
privacy@conductstudio.com Álvaro Berlanga Fernández · Madrid, España