Política de privacidad

1. Datos personales tratados y finalidades de uso

• Cuenta: correo, identificador de usuario Supabase, fechas y versiones de registro/aceptación, para identificación, acceso, permisos y soporte, según sea necesario para la cuenta y el contrato.
• Análisis existentes: voz grabada o subida, nombre original, referencia de registro vocal y resultados, para consultar análisis ya entregados y resolver errores. La pantalla indica la disponibilidad de nuevos análisis. Esta revisión no autoriza nuevas subidas ni entrenamiento de IA.
• Transacciones docentes: referencias de cuenta/transacción, pedido, producto, importe, moneda, identificadores/estado de pago, fechas e importes de aprobación, período y reembolso, solicitudes/historial de devolución, URL del recibo y versión de condiciones. Finalidades: verificar compras, otorgar/revocar acceso, evitar duplicados, gestionar reembolsos/disputas y conservación legal. Las pruebas se distinguen de pagos y acceso reales.
• Toss Payments trata los datos del medio de pago introducidos en su pantalla. El libro de SongLab para el nuevo plan no guarda números completos de tarjeta, CVC ni contraseñas de tarjeta. Los datos anteriores de PayApp/Lemon Squeezy solo se utilizan para esas transacciones, reembolsos y conservación legal; no son los medios del nuevo producto.
• Diarios privados: apodos, objetivos, archivo, fecha, enfoque, observaciones, práctica, próximos controles y materiales elegidos por el docente, para sus propios registros. No crean cuentas o afiliaciones ni se publican o envían automáticamente a alumnos u otros docentes. Los roles, relaciones y comentarios de academias anteriores se tratan separadamente para esas funciones y permisos.
• Mejora del servicio: identificador de cuenta, finalidad de uso seleccionada (formador / responsable de academia / práctica personal / omitir), fechas y tipos de funciones de simulación y materiales utilizados, comentarios sobre el uso en clase aportados voluntariamente — comprobación del uso recurrente y mejora de las funciones. Esta recopilación no recoge grabaciones ni información del alumnado. Indicar la finalidad de uso y aportar comentarios sobre las clases es opcional.
• Conexión y almacenamiento del navegador: el alojamiento trata IP, User-Agent y URL de solicitud, aparte de hashes IP, horas y errores de prevención de abuso de la aplicación. El almacenamiento local de sesión permanece hasta cerrar sesión o borrarlo; la cookie HttpOnly de autenticación dura hasta 1 hora tras emitirse/renovarse; el identificador contra pedidos duplicados en sessionStorage dura la sesión de la pestaña. Puede borrar o bloquear cookies/datos del sitio en el navegador, lo que puede limitar el acceso o pago. No se guardan datos completos de tarjeta en esos espacios.
• Supabase Auth gestiona las contraseñas como datos de autenticación cifrados; no se guardan en texto sin cifrar en los servidores de SONGLAB ni en los registros operativos.

2. Plazos de conservación y uso

• Registros de fechas y funciones utilizadas y comentarios sobre las clases para mejorar el servicio: se conservan los correspondientes a los últimos 90 días, según la hora de Corea, y después se eliminan automáticamente. La finalidad de uso y la fecha del primer uso se conservan hasta la baja. Al eliminar la cuenta, también se elimina esta información. Puede solicitar su eliminación o la suspensión del tratamiento a través del contacto indicado más abajo.
• Cuenta, análisis, pases y diarios: se conservan mientras exista la cuenta y se eliminan al solicitar la baja. Tras vencer o reembolsar el pase, los diarios siguen en solo lectura; archivar alumnos conserva clases anteriores. Los registros financieros exigidos se separan; los datos del proceso de eliminación se borran una vez cumplida su finalidad.
• Vinculación a la academia, relaciones con docentes asignados y comentarios docentes: hasta la desvinculación o la baja. Cuando un estudiante se da de baja, también se eliminan los comentarios asociados a sus análisis.
• Audio de voz cuyo almacenamiento en la cuenta se ha consentido: se conserva de forma privada hasta que usted elimine el audio y el registro del análisis o se dé de baja. En los análisis de vídeo se conserva solo el audio por separado y el vídeo original se elimina tras el análisis. El audio analizado con el anterior consentimiento de almacenamiento de 30 días mantiene ese plazo, salvo que se elija por separado continuar su almacenamiento. Las cargas fallidas o canceladas se eliminan y las incompletas se depuran después de 3 horas.
• Compartir resultados: quienes reciben el enlace solo pueden ver el resumen de resultados del análisis para el que la persona usuaria haya creado un enlace para compartir. Quien lo recibe puede reenviarlo a otras personas. Si se desactiva la opción de compartir o se elimina el registro del análisis o la cuenta relacionados, los resultados dejan de ser accesibles mediante el enlace. No se comparten el audio de voz, los nombres de archivos originales ni la información de la cuenta.
• Copias del audio de voz del análisis en el ordenador del operador: se conservan durante un máximo de 30 días para comprobar la calidad del análisis y reproducir errores, y después se eliminan automáticamente; en caso de baja, se eliminan con prioridad mediante una cola de solicitudes de eliminación.
• Conservación legal según el artículo 6 del decreto coreano de comercio electrónico: contratos/desistimientos y pagos/prestaciones, 5 años; quejas/disputas de consumidores, 3 años; publicidad, 6 meses. Tras la baja solo se retienen los identificadores de transacción necesarios, separados de los datos ordinarios, y se destruyen al concluir el plazo.
• Cuando otra ley imponga una obligación de conservación, el material correspondiente se separa y se guarda únicamente durante el plazo establecido.

3. Encargo del tratamiento y tratamiento en el extranjero

• Supabase Pte. Ltd. (privacy@supabase.com): autenticación, base de datos, archivos privados y funciones de servidor subcontratados. La región de almacenamiento de base de datos es Seúl, Corea (ap-northeast-2). Los datos necesarios para registro, acceso, diarios y transacciones se procesan por conexiones cifradas durante los plazos indicados. Esto no significa que toda autenticación, función o asistencia se procese exclusivamente en Corea.
• Vercel Inc. (privacy@vercel.com): alojamiento, despliegue, solicitudes de servidor y registros de seguridad subcontratados. Al visitar el sitio se transmiten datos de conexión/solicitud cifrados. El servidor actual se ejecuta en Virginia, EE. UU. (iad1), con una red mundial de distribución. La retención y eliminación de registros dependen de la configuración y políticas del proveedor aplicables. El plan actual es Hobby, sin Observability Plus ni envíos externos de logs (drains); los registros de ejecución de la aplicación se consultan/conservan durante 1 hora. Esto no define la retención de todos los datos separados de seguridad, soporte o copias de respaldo.
• Toss Payments Co., Ltd.: pagos, comprobación de aprobación, cancelaciones, reembolsos y disputas del nuevo plan. Se envían cifrados el número de pedido, producto, importe e identificadores necesarios; SongLab recibe resultados e identificadores de transacción. Su aviso de recogida/uso en la pantalla de pago explica los datos recogidos allí y los derechos relacionados.
• Proveedores anteriores: para compras mediante PayApp o Sold through Link, LLC f/k/a Lemon Squeezy LLC, el aviso anterior sigue siendo relevante para su comprobación, devolución y conservación legal. Los avisos anteriores de pagos y tratamiento internacional están archivados. Esta revisión no envía información del nuevo plan a esos proveedores.
• Se encarga a Plus Five Five, Inc. (Resend, privacy@resend.com) el envío y la entrega de correos de confirmación de cuenta y restablecimiento de contraseña. Supabase envía a Resend por conexiones cifradas las direcciones del remitente y destinatario, el asunto y cuerpo con los enlaces de confirmación/restablecimiento, la hora de envío y los resultados de entrega o error necesarios. La región de envío es Tokio, Japón (ap-northeast-1); el país principal de tratamiento y almacenamiento de Resend es Estados Unidos. Elegir Japón para el envío no traslada a Japón el contenido, los metadatos ni los registros almacenados. Según Resend, el plan Free conserva correos/registros durante 30 días y copias de seguridad durante 7; los datos de clientes restantes se eliminan dentro de 90 días tras terminar la cuenta de servicio de Resend de SongLab. Ese cierre es distinto de la baja de un miembro de SongLab y no implica borrar inmediatamente todos los registros de Resend al darse de baja. Esta integración no envía contraseñas en texto plano, grabaciones ni resultados de análisis a Resend, ni obtiene o cambia consentimientos publicitarios o de uso de voz. La subcontratación se limita a cumplir el contrato y operar el servicio. Los cambios importantes de proveedores, datos transferidos, países o plazos actualizan el aviso público y siguen los procedimientos legales de información/consentimiento. Puede solicitar acceso, suspensión o retirada del tratamiento internacional mediante el contacto inferior; detener autenticación o alojamiento esenciales puede impedir usar el servicio correspondiente. Los registros separados de estado de entrega de SongLab no guardan direcciones de correo, cuerpos, enlaces de autenticación ni errores del proveedor en bruto; solo conservan identificadores HMAC, hashes de valores temporales de consulta y del navegador, estados de entrega, categorías fijas de error, marcas de tiempo y contadores de consulta y límites de solicitudes, y una limpieza cada 15 minutos elimina registros de más de 24 horas.

4. Método de destrucción

• Los archivos electrónicos se eliminan mediante métodos que dificultan su recuperación, se depuran las relaciones de la base de datos y después se elimina la cuenta de autenticación.
• El material sujeto a conservación legal se separa de los datos generales de miembros y no se utiliza para ningún otro fin.

5. Derechos de las personas usuarias

• Las personas usuarias pueden exigir el acceso a sus datos personales, su rectificación, eliminación y la suspensión de su tratamiento, y retirar el consentimiento.
• Tras iniciar sesión, solicite la baja en gestión de cuenta. Se ayuda a liquidar con seguridad pagos, reembolsos o pases activos. No se rechazan de forma general los derechos sobre datos fuera de la conservación legal obligatoria.
• No se aceptan registros de menores de 14 años. Si detectamos un registro realizado por error, lo verificamos y después eliminamos la cuenta y los datos personales.

6. Medidas de protección

• El almacenamiento de voz no es público y el acceso se restringe mediante la comprobación de la titularidad de la cuenta y URL firmadas de corta duración. Los enlaces para compartir resultados no incluyen audio de voz ni una dirección para reproducirlo. La función de compartir una grabación con el docente asignado solo se ofrece cuando se ha obtenido un consentimiento independiente.
• Al navegador solo se facilitan claves publicables; las claves secretas de Supabase y los tokens de los procesos de trabajo de GPU se guardan únicamente en entornos de servidor y locales.
• Las contraseñas, los tokens de autenticación y los secretos de integración de pagos no se escriben en los registros de la aplicación.

7. Respuesta ante incidentes de seguridad

• Si tenemos conocimiento de una filtración de datos personales u otro incidente similar, notificamos sin demora a las personas afectadas los datos implicados, el momento y las circunstancias, las formas de minimizar los daños, nuestra respuesta y un punto de contacto, y lo comunicamos conforme a la legislación aplicable.

8. Uso de voz y características acústicas para mejorar la IA — consentimiento independiente previsto

• Cuando se habilite la función de análisis, prevemos solicitar un consentimiento expreso independiente para cada carga sobre el posible uso de la voz subida y de las características acústicas derivadas para el análisis vocal y la mejora de la calidad de la IA. Primero se explicarán los datos utilizados, las finalidades, el plazo de conservación y el método para retirar el consentimiento; no consentir no supondrá ninguna desventaja en el uso del análisis básico. Este cambio en el consentimiento al iniciar sesión no autoriza ni inicia el entrenamiento con voz. Antes de reanudar la función de análisis, se establecerá un procedimiento independiente de consentimiento para la carga y de tratamiento.
• Las grabaciones existentes no se utilizan con efecto retroactivo. Quien suba la grabación de un tercero, como un estudiante, debe obtener el consentimiento válido de esa persona; el consentimiento del titular de la cuenta para marketing no autoriza el uso de la voz del estudiante.

9. Uso opcional para marketing y recepción de publicidad por correo electrónico

• Con el consentimiento opcional, el correo electrónico de la cuenta se utiliza para anunciar nuevas funciones, la apertura del análisis, materiales didácticos, eventos y ventajas. El consentimiento para el uso de datos personales con fines de marketing y para recibir publicidad por correo electrónico se recaban por separado y ambos comienzan sin otorgarse. La recepción de correo solo puede seleccionarse cuando existe consentimiento para el uso con fines de marketing.
• No consentir no afecta al uso de la simulación gratuita ni de los materiales didácticos. Puede cambiar o retirar el consentimiento en cualquier momento en la gestión de la cuenta; el uso para marketing cesa al retirarlo o darse de baja. No se considera que los miembros existentes hayan consentido automáticamente.
• Para poder comprobar los elementos consentidos y retirados, la versión del aviso y el momento del tratamiento, este historial se conserva hasta la baja. Es independiente del consentimiento para el uso de voz; esta elección por sí sola no incorpora grabaciones ni material del alumnado a la mejora de la IA.

10. Responsable y contacto de privacidad

Responsable: Choi Sang-il (최상일) · Tel.: +82-10-9936-3075. Consultas sobre acceso, corrección, eliminación, limitación y recursos. Línea coreana de privacidad: 118; Comité de Mediación de Controversias sobre Información Personal: 1833-6972.
Correo electrónico: hello@songlab.kr

11. Vigencia y cambios

Revisión: 2026-10-30 (añade el encargado Resend, el tratamiento internacional y la conservación de correos de autenticación). Historial de revisión anterior: Vigencia inicial: 2026-07-16 · Revisión: 2026-10-28 (plan docente, diarios privados, Toss Payments y conservación legal). Documentos anteriores enlazados abajo. Los cambios importantes se anuncian antes y se obtiene consentimiento separado cuando es necesario. No se cambian automáticamente opciones previas ni se amplía el uso de grabaciones anteriores.