Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos en OpenCreators es OpenCreators.

Para cualquier cuestión relativa a sus datos personales: contact@opencreators.io

OpenCreators no ha designado un Delegado de Protección de Datos (DPD), ya que dicha designación no es obligatoria dada la naturaleza y el volumen de los tratamientos realizados.

Conforme al artículo 30 del RGPD, OpenCreators mantiene un registro de sus actividades de tratamiento.

2. Datos recogidos

2.1 Datos de registro

• Dirección de correo electrónico
• Contraseña (almacenada en forma de hash, nunca en texto claro)
• Rol en la plataforma (Creador o Marca)
• Preferencia de idioma (francés, inglés o español)
• Preferencias de notificación (desactivación global de las notificaciones dentro de la aplicación, preferencias detalladas por categoría de correo)
• Fecha de la última actividad autenticada (actualizada en cada interacción con la plataforma)

2.2 Datos de perfil del Creador

• Nombre de usuario del canal principal
• Plataforma principal y plataformas secundarias (Twitch, YouTube, TikTok, Kick)
• Número de seguidores (verificado por la plataforma)
• País: indicado al registrarse o rellenado automáticamente, modificable en cualquier momento en sus ajustes
• Categorías temáticas (de 1 a 3 de entre 10 temas: gaming, lifestyle, música, etc.)
• Foto de perfil (avatar)
• Identificadores técnicos de OAuth de Twitch y/o de YouTube (ID de usuario, tokens)
• Solicitudes de verificación de plataforma de TikTok/Kick (nombre de usuario declarado, código de verificación, estado de la solicitud)

2.3 Datos de perfil de la Marca

• Nombre de la marca
• Sitio web
• Descripción
• Logotipo

2.4 Datos relativos a los regalos

• Dirección postal de entrega (facilitada por el Creador únicamente al aceptar un regalo físico; no se recoge ninguna dirección para un regalo digital)
• Número de teléfono del destinatario (únicamente en caso de entrega en punto de recogida, donde el transportista lo exige para el aviso de disponibilidad)
• Información de seguimiento del paquete (transportista, número de seguimiento opcional, URL de seguimiento)
• Pruebas de promoción (archivos de imagen o de vídeo subidos por el Creador)
• Mensajes, preguntas y respuestas intercambiados entre Marcas y Creadores en el marco de un regalo
• Identificación de la parte que ha cancelado un regalo (Marca, Creador o sistema automático tras 14 días sin respuesta)
• Valoraciones (de 1 a 5 estrellas) otorgadas por las Marcas a las promociones y por los Creadores a los regalos recibidos
• Avisos de no entrega (motivo facilitado por el Creador, decisión administrativa)
• Fecha de la primera apertura de una propuesta de regalo por parte del Creador destinatario (uso interno, nunca comunicada a la Marca)

2.5 Datos de navegación y datos técnicos

Recogemos datos técnicos estándar a través de los registros del servidor (dirección IP, navegador, páginas visitadas) con fines de seguridad y de buen funcionamiento de la plataforma.

• Servicio de protección antibots: datos del navegador y de interacción para la detección de bots.
• Servicio de seguimiento de errores: trazas de error, tipo de navegador y datos de rendimiento en producción.
• Servicio de medición de rendimiento: páginas visitadas y velocidad de carga. No se utiliza ninguna cookie publicitaria.

2.6 Datos recogidos a través de la API de YouTube (Google)

Si conecta su cuenta de YouTube mediante OAuth, accedemos a los siguientes datos a través de la API de YouTube (permiso youtube.readonly):

• Identificador de su canal de YouTube (channel ID)
• Nombre de su canal
• Número de suscriptores
• Foto de perfil del canal (avatar)
• Temáticas de su canal (categorías), utilizadas únicamente para rellenar previamente sus categorías al registrarse

Finalidad: estos datos se utilizan exclusivamente para mostrar su perfil en la plataforma y verificar su número de suscriptores. No accedemos a ningún vídeo, comentario, lista de reproducción ni dato analítico de su canal.

Almacenamiento: los tokens de acceso y de actualización de YouTube se almacenan de forma segura en la base de datos (nunca se exponen del lado del cliente) y se utilizan únicamente para actualizar su número de suscriptores. Se eliminan al desconectar su cuenta de YouTube o al eliminar su cuenta.

El uso de los datos recibidos a través de las API de Google cumple la Política de datos de usuario de los servicios API de Google, incluidos los requisitos de uso limitado (Limited Use).

2.7 Datos de administración

Las acciones de administración realizadas en la plataforma (aprobación o rechazo de una marca, verificación de una promoción, confirmación de una entrega, suspensión o reactivación de una cuenta, gestión de las incidencias) se registran en un registro de auditoría que incluye la fecha, el tipo de acción y el identificador de la cuenta afectada.

El historial de modificaciones del perfil de las Marcas (nombre, sitio web, descripción) se conserva con fines de prevención de abusos.

2.8 Registro de auditoría de las eliminaciones de cuenta

Cuando elimina su cuenta, se conserva un registro de auditoría mínimo durante 24 meses con fines de prevención de abusos y trazabilidad operativa. Los campos conservados se limitan estrictamente a:

• Identificador técnico residual (UUID, no vinculado a una cuenta activa)
• Rol en el momento de la eliminación (Creador o Marca)
• Nombre de usuario público de OC o nombre público de la marca en el momento de la eliminación
• Método de registro (correo electrónico, OAuth de Twitch u OAuth de Google)
• Existencia de al menos una verificación de plataforma aprobada (sí / no)
• Número total de seguidores verificados en el momento de la eliminación (Creadores)
• Duración de actividad de la cuenta en días
• Fecha de eliminación

No se conservan en este registro: dirección de correo electrónico, contraseña, dirección postal, tokens OAuth, contenido de los regalos, contenido de las promociones ni mensajes intercambiados. La conservación de los registros de regalos y de promociones en sí se describe en el punto 5 («Plazos de conservación»).

Una purga automática mensual elimina las entradas de más de 24 meses.

3. Finalidades y bases jurídicas del tratamiento

Cuando el tratamiento se basa en nuestro interés legítimo, este consiste en garantizar la seguridad de la plataforma, prevenir los abusos y permitir la puesta en contacto entre Marcas y Creadores, respetando siempre sus derechos y libertades fundamentales.

4. Comunicación de los datos a terceros

Nunca vendemos sus datos personales. Solo los comunicamos en los siguientes casos:

• A la Marca en cuestión: la dirección de entrega del Creador solo se le comunica cuando este acepta un regalo físico (así como el nombre y el teléfono del destinatario en caso de entrega en punto de recogida). La Marca se compromete a utilizarla únicamente para el envío. La Marca actúa como responsable independiente del tratamiento de los datos personales que recibe y se compromete a tratarlos conforme al RGPD.
• Supabase (alojamiento de la base de datos y almacenamiento de archivos): servidores alojados en la Unión Europea (Francia y Alemania), conforme al RGPD.
• Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, EE. UU.): alojamiento del sitio y medición de rendimiento (Vercel Analytics).
• Resend (envío de correos transaccionales): se utiliza únicamente para los avisos relacionados con la actividad en la plataforma (confirmaciones, alertas de entrega, etc.).
• Cloudflare (DNS y captcha Turnstile): se utiliza para la resolución DNS y la protección frente a bots. Se transmiten datos del navegador durante las comprobaciones captcha.
• Sentry (Functional Software Inc., Estados Unidos): seguimiento de errores técnicos. Se transmiten trazas de error y datos de rendimiento en producción. Un filtro del servidor retira automáticamente los datos sensibles (correos electrónicos, tokens, direcciones IP, parámetros de URL) antes de la transmisión.
• PostHog (PostHog Inc., Estados Unidos): medición de audiencia y de uso del producto. Los datos se alojan en la Unión Europea (Fráncfort). La medición se limita al recorrido de uso: sin captura automática de los clics, sin grabación de sesión, sin seguimiento publicitario y sin geolocalización. Las direcciones IP no se conservan y los parámetros de URL se retiran antes de la transmisión.
• Twitch (API OAuth): lectura únicamente del número de seguidores y de la información de perfil, con su consentimiento explícito al conectarse.
• YouTube / Google (API de YouTube, permiso youtube.readonly): lectura únicamente del número de suscriptores, del nombre del canal y del avatar, con su consentimiento explícito al conectarse mediante OAuth. No se accede a ningún vídeo, comentario ni dato analítico. Véase la sección 2.6 para el detalle de los datos recogidos.
• Autoridades competentes: si así lo exige la ley o una resolución judicial.

Algunos de nuestros encargados del tratamiento están situados fuera de la Unión Europea. Las transferencias se enmarcan de la siguiente manera:

Hemos suscrito con cada uno de nuestros encargados del tratamiento un contrato de encargo del tratamiento de datos (DPA) conforme al artículo 28 del RGPD. Puede obtener información adicional y una copia de las garantías aplicables solicitándolo a contact@opencreators.io.

5. Plazo de conservación

• Datos de la cuenta y datos relativos a los regalos: se conservan durante todo el periodo de actividad de la cuenta y se eliminan en un plazo de 30 días tras su cierre. Los registros de regalos y de promociones se conservan disociados de su cuenta (se borra el vínculo con su perfil).
• Direcciones de entrega: 30 días tras la confirmación de la entrega.
• Notificaciones dentro de la aplicación: se eliminan automáticamente a los 90 días.
• Registro de auditoría de las acciones administrativas: 24 meses como máximo.
• Registro de auditoría de las eliminaciones de cuenta: 24 meses (purga mensual automática).
• Registros técnicos: 12 meses como máximo.
• Tokens OAuth (Twitch / YouTube): hasta la desconexión de la plataforma o la eliminación de la cuenta.

6. Sus derechos (RGPD)

Conforme al Reglamento General de Protección de Datos (RGPD) y a la ley francesa de protección de datos (Loi Informatique et Libertés), usted dispone de los siguientes derechos:

• Derecho de acceso: obtener una copia de sus datos personales.
• Derecho de rectificación: corregir datos inexactos o incompletos.
• Derecho de supresión: solicitar la eliminación de sus datos («derecho al olvido»). Puede eliminar su cuenta directamente desde sus ajustes.
• Derecho a la portabilidad: recibir sus datos en un formato estructurado y legible por máquina. Puede exportar sus datos (regalos, promociones) en formato CSV desde sus ajustes.
• Derecho de oposición: oponerse a determinados tratamientos basados en el interés legítimo.
• Derecho a la limitación: solicitar la suspensión temporal de un tratamiento.
• Derecho a retirar su consentimiento: en particular para la conexión OAuth con Twitch o YouTube, en cualquier momento desde sus ajustes.

El ejercicio de estos derechos es gratuito. Para ejercerlos, escríbanos a contact@opencreators.io. Respondemos en un plazo máximo de 1 mes, prorrogable por dos meses adicionales en caso de solicitud compleja (en cuyo caso se le informará).

Baja de los correos

Los correos que le enviamos se organizan en tres categorías configurables individualmente desde sus ajustes:

• Recordatorios: recordatorios de acciones pendientes (solo Creadores)
• Actividad: reactivación de cuentas inactivas, mensajes de ánimo
• Cuenta: información relativa a su cuenta (solo Marcas)

Cada correo de actividad incluye un enlace de baja en un clic en su pie de página. Los correos puramente transaccionales (aceptación de un regalo, confirmación de entrega, verificación de una promoción) no admiten baja, ya que son necesarios para la ejecución del servicio.

Revocar el acceso a YouTube / Google

Puede revocar el acceso de OpenCreators a sus datos de YouTube en cualquier momento:

• Desde OpenCreators: en sus ajustes, desconecte su cuenta de YouTube. Sus tokens se eliminarán inmediatamente de nuestra base de datos.
• Desde Google: entre en myaccount.google.com/permissions y retire el acceso de OpenCreators.

Conforme al artículo 85 de la ley francesa de protección de datos, puede establecer directrices relativas a la conservación, la supresión y la comunicación de sus datos tras su fallecimiento escribiéndonos a contact@opencreators.io.

También tiene derecho a presentar una reclamación ante la AEPD (Agencia Española de Protección de Datos), ante la CNIL o ante cualquier otra autoridad de control competente de la Unión Europea.

7. Decisiones automatizadas y elaboración de perfiles

El número de seguidores verificados (recuperado automáticamente mediante las API de Twitch y YouTube, o introducido por un administrador tras una verificación manual en el caso de TikTok y Kick) se utiliza para determinar la visibilidad de su perfil ante las Marcas. Se exige un umbral mínimo de 30 000 seguidores verificados sumando todas sus plataformas para aparecer en la lista de búsqueda de las Marcas.

Este criterio se aplica de forma automática, transparente e idéntica para todos los Creadores. No produce efectos jurídicos: los Creadores por debajo de ese umbral conservan su cuenta, su panel y todas las funcionalidades de la plataforma. Solo se ve afectada su visibilidad en la lista de búsqueda. Puede actualizar su número de seguidores en cualquier momento desde sus ajustes.

OpenCreators también utiliza indicadores automatizados para detectar comportamientos sospechosos. Estos indicadores se presentan únicamente al equipo de moderación y no producen ninguna acción automática. Toda cuenta señalada se examina manualmente antes de cualquier decisión.

Estos tratamientos no constituyen decisiones automatizadas en el sentido del artículo 22 del RGPD (no producen efectos jurídicos ni efectos significativos similares). No obstante, para cualquier duda puede escribirnos a contact@opencreators.io.

8. Seguridad de los datos

Aplicamos medidas técnicas y organizativas adecuadas para proteger sus datos frente a cualquier acceso no autorizado, pérdida o divulgación:

• Cifrado de las comunicaciones (HTTPS/TLS)
• Contraseñas almacenadas mediante hash con algoritmos conformes a los estándares del sector
• Control de acceso granular a los datos en la base de datos
• Tokens OAuth almacenados de forma segura, nunca expuestos del lado del cliente
• Acceso de administrador restringido al personal autorizado
• Protección antibots en los formularios sensibles

9. Cookies

OpenCreators utiliza cookies estrictamente necesarias para el funcionamiento de la plataforma, así como una cookie de medición de audiencia. No utilizamos ninguna cookie publicitaria.

Vercel Analytics recoge datos de rendimiento sin utilizar cookies.

Las cookies estrictamente necesarias no requieren consentimiento previo conforme a la directiva ePrivacy. La cookie de medición de audiencia de PostHog se utiliza sobre la base de nuestro interés legítimo en comprender y mejorar el servicio; se limita a una medición seudonimizada del recorrido de uso, vinculada a un identificador técnico (alojamiento en la Unión Europea, direcciones IP no conservadas, sin geolocalización, sin seguimiento publicitario ni grabación de sesión). Puede oponerse activando la señal «Do Not Track» de su navegador, que se respeta automáticamente, o escribiéndonos a contact@opencreators.io.

10. Notificación en caso de violación de la seguridad de los datos personales

Conforme a los artículos 33 y 34 del RGPD, en caso de violación de la seguridad de los datos personales que pueda entrañar un riesgo para sus derechos y libertades, nos comprometemos a:

• Notificar a la autoridad de control competente (la CNIL francesa) en un plazo de 72 horas desde que se tenga constancia de la violación.
• Informarle lo antes posible si la violación puede entrañar un riesgo elevado para sus derechos y libertades, por correo electrónico o mediante una notificación dentro de la aplicación.
• Documentar toda violación conforme al artículo 33, apartado 5, del RGPD.

11. Menores

El uso de la plataforma está reservado a personas de al menos 16 años. Este umbral es una decisión interna superior al mínimo legal francés de 15 años previsto en el artículo 45 de la ley francesa de protección de datos (y conforme al artículo 8 del RGPD). Al crear una cuenta, el usuario declara tener como mínimo 16 años.

Si constatamos que un usuario tiene menos de 16 años, su cuenta se eliminará y sus datos personales se borrarán lo antes posible.

12. Modificaciones de esta política

Nos reservamos el derecho de modificar esta política en cualquier momento. En caso de modificación sustancial, se le informará por correo electrónico a la dirección asociada a su cuenta al menos 15 días antes de la entrada en vigor de los cambios.