Legal
Política de privacidad
Última actualización: 21 de septiembre de 2026
1. Responsable del tratamiento
- Responsable: Braian Axel Barros Miranda
- NIF: 26901445R
- Domicilio: Gran Via de les Corts Catalanes 769, piso 3, 08013 Barcelona
- Contacto: contact@cymatica.es
No existe delegado de protección de datos por no ser obligatorio para esta actividad.
2. Qué datos tratamos y para qué
| Finalidad | Datos | Base jurídica (RGPD) | Conservación |
|---|---|---|---|
| Uso anónimo de la app y control de los límites diarios de la versión gratuita | Cookie técnica firmada cymatica_u (contadores del día, sin identificador personal), dirección IP transformada mediante hash con sal diaria para el tope por IP | Interés legítimo (art. 6.1.f): prestar el servicio y evitar abusos | Cookie: 48 h. Hash de IP: 24 h |
| Cuenta de usuario (Google o email con código) | Email, nombre (si lo aporta Google), identificador de cuenta, fecha de alta, sesión | Ejecución de contrato (art. 6.1.b) | Mientras la cuenta exista y hasta 30 días después de su borrado |
| Planes de pago y facturación | Identificador de cliente en Stripe, plan, estado de la suscripción, historial de pagos, dirección de facturación, NIF si se aporta | Ejecución de contrato (art. 6.1.b) y obligación legal (art. 6.1.c: facturación y tributación) | Facturas: 4 años a efectos tributarios (6 años a efectos mercantiles). Datos de suscripción: mientras la cuenta exista |
| Progreso del Camino, racha, presets en la nube (Pro) | Niveles completados, sesiones (fecha, minutos, tipo), configuraciones guardadas | Ejecución de contrato (art. 6.1.b) | Mientras la cuenta exista; presets 90 días tras la baja del plan |
| Descarga del dispositivo de Ableton | Fecha de primera descarga, contador diario | Ejecución de contrato (art. 6.1.b) | Mientras la cuenta exista |
| Analítica de uso (PostHog, servidores en la UE, sin cookies, persistencia en memoria) | Eventos de uso (apertura de la app, inicio de audio, exportación, vista de precios, inicio y éxito de compra, sesión de meditación completada, programación y baja del correo de novedades con un identificador seudónimo), tipo de dispositivo y navegador, IP truncada | Interés legítimo (art. 6.1.f): mejorar el servicio. | 12 meses |
| Atención al usuario y garantía | Email y contenido de la conversación | Ejecución de contrato y interés legítimo | 2 años |
| Correos sobre el servicio (cambios en condiciones, incidencias) | Ejecución de contrato | Mientras la cuenta exista | |
| Comunicaciones comerciales sobre Cymatica por correo a quien dio su consentimiento: novedades de la app (sin periodicidad comprometida), un único correo con la oferta de Cymatica Pro tres días después de confirmar, y entrega del Pack 528 | Email, idioma del alta, país, ciudad (opcional), fecha y versión del texto de consentimiento, huella de la dirección IP del alta (hash con sal; la IP no se guarda) e identificador del correo programado en Resend | Consentimiento (art. 6.1.a RGPD y art. 21 LSSI), recogido con doble confirmación: sin pulsar el enlace del correo no se guarda nada | Hasta la baja, que borra el alta y cancela el correo programado si aún no ha salido. El alta sin confirmar caduca sola a las 48 horas y el permiso de descarga, a las 24 |
No hay publicidad, no hay perfilado con efectos jurídicos, no se venden ni ceden datos a terceros con fines comerciales. No se envían boletines sin consentimiento previo (art. 21 LSSI). Cymatica no trata datos de categorías especiales; la respuesta a la pregunta de cierre de una sesión es opcional y se guarda solo si el usuario pulsa Guardar.
3. Encargados de tratamiento y destinatarios
| Proveedor | Servicio | Ubicación de los datos | Garantía de transferencia |
|---|---|---|---|
| Clerk, Inc. | Autenticación y gestión de cuentas | EE. UU. (con posibilidad de región UE; confirmar la configurada) | Marco de Privacidad de Datos UE-EE. UU. (DPF) y cláusulas contractuales tipo (CCT) |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Pagos, facturación, impuestos (Stripe Tax), portal de cliente | Irlanda / EE. UU. | DPF y CCT. Stripe actúa como responsable independiente para la prevención del fraude |
| Upstash, Inc. | Base de datos Redis (contadores, progreso, presets, caché) | Región UE | DPF y CCT para el soporte desde EE. UU. |
| PostHog, Inc. | Analítica de producto | Región UE (eu.i.posthog.com) | DPF y CCT para el soporte desde EE. UU. |
| Resend (Plus Five Five, Inc.) | Envío de los correos de Cymatica (confirmación, Pack 528, novedades y el correo programado sobre Pro, que Resend guarda hasta su envío) | EE. UU. | DPF y CCT |
| Vercel, Inc. | Alojamiento, funciones y red de entrega | UE (funciones en región europea) y red global de entrega | DPF y CCT |
| Google LLC | Inicio de sesión con Google (solo si el usuario lo elige) | EE. UU. | DPF |
Cuando un proveedor trata datos fuera del Espacio Económico Europeo, se ampara en una decisión de adecuación (DPF) o en cláusulas contractuales tipo aprobadas por la Comisión Europea, con medidas adicionales en su caso. El usuario puede solicitar copia de las garantías en contact@cymatica.es.
Las autoridades públicas podrán ser destinatarias cuando lo exija la ley.
4. Derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a contact@cymatica.es desde el email de tu cuenta o adjuntando un medio de identificación. También puedes borrar tu cuenta desde el propio Servicio (Cuenta → Borrar mi cuenta), lo que elimina los datos salvo los que la ley obliga a conservar (facturas).
Puedes retirar el consentimiento de las comunicaciones de Cymatica cuando quieras, con un clic en el enlace de baja que va al pie de cada correo, respondiendo a cualquiera de ellos o escribiendo a contact@cymatica.es. La baja borra tu alta en el momento y cancela cualquier correo que estuviera programado. La retirada no afecta a la licitud del tratamiento anterior.
Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es.
5. Menores
El Servicio está dirigido a personas mayores de 14 años. Los menores de 14 necesitan autorización de sus tutores.
6. Seguridad
Las comunicaciones van cifradas (TLS). Las cookies de sesión son HttpOnly y Secure. Los contadores anónimos van firmados con HMAC-SHA256 y no contienen datos personales. Los datos de pago nunca pasan por los servidores de Cymatica: los recoge Stripe directamente. Los datos en Upstash tienen plazos de expiración automáticos.
7. Cambios
Cualquier cambio sustancial se comunicará por email a los usuarios con cuenta y se publicará aquí con la fecha de actualización.