Política de privacidad

Esta política explica qué datos tratan la app Lunalulu y su sitio web, por qué, con qué base, con quién y durante cuánto tiempo, conforme al Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD) y a la ley francesa n.º 78-17 de 6 de enero de 1978 relativa a la informática, los ficheros y las libertades. La app cuenta historias con la voz de un padre o una madre: tu voz es un dato personal, y describimos a continuación, sin omitir nada, lo que ocurre con ella. Esta traducción es informativa; prevalece la versión francesa.

1. Responsable del tratamiento

BAUGEY MATHEO, empresario individual (EI), nombre comercial DEVOLIM
248 rue de Bègles, 33800 Burdeos, Francia
SIREN 948 000 757
Correo: [email protected]

El editor no ha designado delegado de protección de datos: cualquier pregunta o solicitud sobre tus datos la atiende él directamente, en la dirección anterior.

2. Nuestros principios

• Ninguna cuenta que crear: nunca se te pide nombre, correo, número de teléfono ni contraseña.
• Tu voz solo sale de tu teléfono tras tu consentimiento explícito, dado en una pantalla que explica lo que ocurre.
• Una vez enviada, tu grabación no se guarda ni en tu teléfono ni en nuestros servidores (Cartesia, que crea tu voz sintética, la conserva hasta que se elimina: sección 3.2). Si no pudo enviarse, espera en el espacio privado de la app, fuera de las copias de seguridad, 30 días como máximo.
• Puedes eliminar tu voz, y todo lo preparado con ella, en cualquier momento desde la app.
• Ninguna publicidad, ningún perfil publicitario, ninguna geolocalización.
• Ningún dato vendido, alquilado, intercambiado o cedido, a nadie.
• Las estadísticas de uso nunca contienen tu voz, el texto de tus historias ni el título de las historias escuchadas. Única excepción, si la rellenas: la respuesta libre «De otra forma» del inicio (sección 5.6).

3. Tu voz

3.1 Lo que se graba y se envía

Para que las historias se cuenten con tu voz, grabas en la app una breve muestra de tu voz, de unas decenas de segundos, leyendo en voz alta un texto propuesto. Puedes escucharla y repetirla antes de enviarla. No se envía nada mientras no hayas dado tu consentimiento.

Una vez dado tu consentimiento y confirmado el envío, la muestra se transmite, cifrada, a nuestra función de servidor (Google Cloud Functions, región europe-west1, en Bélgica), con la versión del consentimiento que aceptaste y el idioma de la app (uno de los que ofrece la app). Nuestro servidor comprueba el formato y la duración de la muestra y la envía a Cartesia, nuestro proveedor de síntesis de voz, que crea con ella una voz sintética (clonación de voz) en ese idioma: es el idioma en el que tu voz cuenta las historias. Nuestro servidor no guarda ninguna copia de la muestra, y la app la borra del teléfono en cuanto el envío se completa.

Si el envío no se completa en ese momento (sin red, servidor no disponible, límite de uso alcanzado), sigues usando la app con normalidad: la muestra se queda en tu teléfono, en el espacio privado de la app, fuera de las copias de seguridad de iCloud y Google, con la versión del consentimiento que diste, y la app la vuelve a enviar sola un poco más tarde (al abrirla, al volver la red, a intervalos crecientes). Se borra en cuanto el envío se completa, si tocas «No enviarla» en la pantalla de inicio, «Eliminar mi voz» o «Borrar todo», y como muy tarde 30 días después de la grabación. Nunca se envía sin el consentimiento que diste: si lo retiras, se borra sin enviarse.

3.2 Lo que se conserva

• En Cartesia: la muestra de tu voz recibida para crear la voz sintética y la propia voz sintética. Ambas se conservan hasta que eliminas tu voz («Eliminar mi voz», una nueva grabación que la sustituye, «Borrar todo») o, en su defecto, hasta el borrado automático tras 12 meses sin abrir la app. Cartesia las trata por nuestra cuenta, como encargado del tratamiento, en el marco de su anexo de tratamiento de datos (Data Processing Addendum), que regula la transferencia a Estados Unidos mediante las cláusulas contractuales tipo de la Comisión Europea (sección 8).
• En nuestros servidores (Google Cloud Firestore, en Europa): para cada voz, su identificador técnico en Cartesia, en un espacio que no puede leerse desde la app, su fecha de creación y la versión del consentimiento dado, que prueban el consentimiento, su idioma y, si le das uno, el nombre que la identifica en la app («¿Quién habla?»).

3.3 Para qué sirve tu voz

Tu voz sintética sirve para leer los pasajes del narrador de las historias que eliges escuchar con ella, con la oferta Lunalulu+. Cartesia lee esos pasajes con tu voz y nuestro servidor los une a las réplicas de los personajes, grabadas de una vez por todas con otras voces sintéticas. Tu voz solo se usa en tu propia app, nunca se difunde a otras personas y no sirve para identificarte ni para autenticarte. Cada archivo de audio fabricado con una voz sintética lleva una marca legible por máquina que indica que fue generado por inteligencia artificial (artículo 50 del Reglamento (UE) 2024/1689 sobre inteligencia artificial); esta marca no contiene ningún dato sobre ti.

3.3 bis Entrenamiento de los modelos de Cartesia

Nunca usamos tu voz para entrenar un modelo. Las condiciones de uso de Cartesia (artículo 5.3) prevén, sin embargo, que, salvo acuerdo en contrario, los contenidos que recibe de sus clientes (aquí la muestra de tu voz y los textos que hay que leer) y los que produce pueden servir para entrenar y mejorar sus modelos; permiten a sus clientes pedir que sus contenidos no se usen para ello, y esa petición solo vale para el futuro. Te lo decimos para que tu consentimiento sea plenamente informado. Cuando esa petición se aplique a nuestra cuenta, lo indicaremos aquí, con su fecha. Puedes eliminar tu voz en cualquier momento, lo que la retira de nuestra cuenta de Cartesia.

3.4 Un dato personal, tratado sobre la base de tu consentimiento

Tu voz es un dato personal. No se usa para reconocerte ni identificarte: por tanto, no se trata de un tratamiento de datos biométricos dirigidos a identificar de manera unívoca a una persona en el sentido del artículo 9 del RGPD. Si, pese a ello, se considerara un dato sensible, el consentimiento explícito que das valdría también a efectos del artículo 9.2.a del RGPD. Aun así, le aplicamos las precauciones más estrictas: su envío se basa en tu consentimiento explícito (artículo 6.1.a del RGPD), recogido antes de cualquier grabación en una pantalla específica, con una casilla y un botón «Acepto». Al dar tu consentimiento, confirmas que grabas tu propia voz y que eres mayor de edad. Con la oferta Lunalulu+, otros adultos de la familia pueden añadir su voz: cada uno lee el texto él mismo y da su propio consentimiento en la misma pantalla.

3.5 Retirar tu consentimiento

Puedes retirar tu consentimiento en cualquier momento, tan fácilmente como lo diste: Ajustes, «Tus voces», «Eliminar mi voz». Tu voz se elimina entonces en Cartesia, su identificador y la prueba de tu consentimiento se retiran de nuestros servidores, y las historias preparadas con ella se borran de nuestros servidores y de tu teléfono. Si Cartesia no responde en ese momento, la solicitud de eliminación se conserva en nuestros servidores (solo como identificador técnico de la voz) y se repite automáticamente cada 6 horas hasta que se completa. Volver a grabar una voz elimina la anterior del mismo modo; eliminar una voz no afecta a las demás. Retirar tu consentimiento no afecta a los tratamientos ya realizados; el narrador de la app sigue disponible.

Imagen de una voz. Puedes dar una imagen a cada voz de la familia: una foto tomada en el momento con la cámara del teléfono o elegida con su selector de fotos, recortada en círculo, o uno de los avatares dibujados de la app. Esta imagen se queda en tu teléfono, en el espacio privado de la app, excluido de las copias de seguridad: nunca se envía. Se borra con la voz, al borrar todos tus datos o al desinstalar la app.

3 bis. Crear una historia

Con la oferta Lunalulu+, «Crear una historia» te permite pedir una historia escrita solo para tu hijo o hija y luego contarla con tu voz. Esto es, sin omitir nada, lo que ocurre con la información que das.

Lo que das

El nombre del protagonista (normalmente el de tu hijo o hija) y, si quieres, el nombre de un amigo, un peluche o una mascota, un tema, una frase corta (por ejemplo «le da miedo la oscuridad»), la duración y la edad. Después puedes modificarla tú mismo, a mano, tantas veces como quieras, y pedir a Hibou hasta 3 modificaciones con una breve instrucción («más corta», «añade a su gato»). No indiques apellidos, direcciones, teléfonos ni información de salud: la app rechaza por sí sola direcciones, números de teléfono, correos y enlaces.

Quién escribe la historia

La historia la escribe una inteligencia artificial: un modelo de lenguaje de OpenAI (GPT), al que solo llama nuestro servidor, mediante la API de OpenAI. Antes del primer envío, la app te pide tu acuerdo y te dice qué se envía. Nuestro servidor envía a OpenAI tu guion (o, para una modificación por Hibou, el texto de la historia y tu instrucción; para una modificación a mano, solo los pasajes que cambiaste, para que los verifique el servicio de moderación de OpenAI) y recibe la historia. Adjunta un identificador de seguridad: una huella de tu identificador anónimo, imposible de invertir, que ayuda a OpenAI a detectar un uso abusivo sin saber quién eres. No envía ni tu voz, ni tu identificador anónimo en sí, ni la foto de portada.

OpenAI trata estos datos por nuestra cuenta, como encargado del tratamiento, en Estados Unidos (sección 8). Según su documentación, los datos enviados a su API nunca sirven para entrenar sus modelos. Le pedimos que no guarde nada de estos intercambios (opción «store» desactivada, caché desactivada); OpenAI solo conserva registros de vigilancia de abusos, 30 días como máximo, salvo obligación legal. El tratamiento en Europa que ofrece OpenAI (residencia de datos) está reservado, por ahora, a los clientes que aprueba tras estudio: no está disponible para esta app.

Lo que escribes y la historia devuelta se revisan automáticamente, mediante el servicio de moderación de OpenAI y reglas dadas al modelo: la violencia, la sexualidad, el odio, los peligros y los datos personales de otras personas se rechazan, con una explicación, y puedes corregir. Las historias se escriben para niños de 3 a 10 años, y el modelo lo sabe. Si la verificación no puede hacerse (servicio no disponible), la historia no se entrega. Una historia escrita por inteligencia artificial puede contener torpezas: reléela antes de que se cuente (puedes modificarla) y denúncianos desde la app cualquier pasaje que te parezca inapropiado (sección 5.5).

Quién la cuenta

Una vez revisada la historia, eliges quién la cuenta: tu voz (o la de otro adulto de la familia) o un narrador de la app. En ambos casos, nuestro servidor envía el texto de la historia, que contiene el nombre del protagonista, a Cartesia, nuestro proveedor de síntesis de voz, en Estados Unidos (secciones 7 y 8), que lo lee y nos devuelve el audio; en una nueva fabricación, solo se envían los pasajes nuevos o modificados. Con un narrador, no se usa ninguna voz de la familia. También puedes guardar la historia sin voz: entonces no se envía nada a Cartesia.

Lo que guardan nuestros servidores, y lo que no

Nuestros servidores no guardan ni el nombre de tu hijo o hija, ni tu idea, ni el texto, ni el título de la historia. Solo guardan, vinculados a tu identificador anónimo: huellas técnicas de los pasajes (cadenas de caracteres que no permiten recuperar el texto), que sirven para saber que un pasaje ya se revisó y rehacer solo los pasajes modificados; el idioma, la duración, la edad, el número de modificaciones hechas; y, durante 7 días como máximo tras su fabricación, la historia leída con tu voz (archivos de audio, Google Cloud Storage, en Bélgica), mientras tu teléfono la descarga. El nombre de tu hijo o hija se pronuncia en ese archivo de audio. El audio se borra de nuestros servidores 7 días después de su fabricación, y antes si eliminas la historia, eliminas o cambias tu voz, o tocas «Borrar todo». Las huellas y los contadores se borran cuando eliminas la historia, con «Borrar todo», y automáticamente 180 días después de la última modificación de la historia.

Lo que se queda en tu teléfono

El guion, el texto, la portada elegida, la foto de portada si eliges una y la historia leída con tu voz se guardan en tu teléfono, en el espacio privado de la app, fuera de las copias de seguridad. La foto nunca se envía: la tomas con la cámara del teléfono o la eliges con su selector de fotos, que solo da a la app esa foto; después la app la recorta y guarda una copia reducida.

Lo que se mide

Las estadísticas de uso y los informes de errores nunca contienen el nombre, la idea, el texto ni el título de la historia: solo eventos sin contenido (historia escrita, tema, duración, edad, rechazo y su motivo).

4. Lo que se queda en tu teléfono

Se guardan solo en tu teléfono:

• las historias del narrador que has descargado y las historias preparadas con tu voz, para que puedas escucharlas sin conexión;
• tus favoritos y el número de escuchas de cada historia;
• tus historias creadas («Mis historias»): guion, texto, portada o foto e historia leída con tu voz, fuera de las copias de seguridad (sección 3 bis); la edad indicada, para la próxima historia;
• tus ajustes (narrador elegido, música después de la historia, pantalla encendida durante la historia, sonidos de los botones, recordatorios elegidos) y el estado del inicio de la app;
• las imágenes de tus voces (foto o avatar dibujado, sección 3.5);
• el hecho de que diste tu consentimiento al envío de tu voz y de que ya respondiste a la petición de valorar la app.

Durante la grabación, la muestra de tu voz se guarda en una carpeta temporal de la app mientras la escuchas y la envías. Se borra en cuanto el envío se completa. Si el envío no pudo completarse, espera en el espacio privado de la app, fuera de las copias de seguridad, hasta que la app consiga enviarla, la abandones o, como máximo, 30 días (sección 3).

Cuando tomas o eliges una foto, la cámara o el selector de fotos entrega a la app un archivo original, que la app recorta antes de guardar una copia reducida. Ese archivo original se borra de la carpeta temporal de la app en cuanto se hace la copia reducida, o en cuanto sales de la pantalla de recorte; «Borrar todo» borra también los que pudieran quedar, por ejemplo tras un cierre inesperado de la app. Nunca se envía.

No tenemos acceso a esta información. Se elimina con «Borrar todo» (Ajustes) o al desinstalar la app. Las historias preparadas con tu voz también se borran del teléfono cuando eliminas o cambias tu voz.

5. Lo que sale de tu teléfono

5.1 Desde el primer inicio

• Identificador anónimo: la app crea un identificador técnico aleatorio (inicio de sesión anónimo de Firebase Authentication). No contiene ni tu nombre, ni tu correo, ni tu número; por eso lo llamamos «anónimo», pero en el sentido del RGPD es un dato seudónimo, ya que es propio de tu instalación. Sirve para vincular tu voz, tus historias preparadas y tu suscripción, aplicar los límites de uso y borrar tus datos cuando lo pides.
• Protección del servicio: cada solicitud a nuestros servidores lleva una certificación de Firebase App Check (App Attest de Apple, Play Integrity de Google) que prueba que viene de la app auténtica. Esta certificación no contiene ningún contenido personal, solo vale una vez y no la conservamos.
• Estado de la suscripción: la app vincula tu identificador anónimo a RevenueCat, nuestro proveedor de gestión de suscripciones, para saber si hay una suscripción activa.
• Ajustes remotos: al iniciarse, y después como máximo una vez por hora, la app consulta en Firebase Remote Config (Google) ajustes comunes a todos los usuarios: versión mínima o recomendada de la app, mensaje de actualización, modo de mantenimiento, interruptores de funciones y ajustes de la petición de valoración. Para ello, Google recibe el identificador de instalación de Firebase del teléfono e información técnica (app y versión, sistema, idioma, país aproximado), que sirve para elegir los ajustes adecuados. No añadimos ningún dato personal: ni tu voz, ni un texto, ni lo que haces en la app. Los ajustes consultados se quedan en el teléfono.

Las estadísticas de uso (5.6) y los informes de errores (5.7) también están activos desde el primer inicio.

5.2 Tu voz

Solo con tu consentimiento, como se describe en la sección 3.

5.3 Las historias preparadas con tu voz

Cuando escuchas una historia con tu voz, nuestro servidor comprueba que tienes una voz, una suscripción activa (oferta Lunalulu+) y lunas disponibles; envía a Cartesia el texto de los pasajes del narrador (el texto de la historia, nunca un texto que hayas escrito tú) con el identificador de tu voz y monta el archivo de audio. Este archivo se guarda en nuestros servidores (Google Cloud Storage, región europe-west1, en Bélgica), vinculado a tu identificador anónimo, 7 días como máximo tras su fabricación. La app lo descarga mediante un enlace seguro válido 2 minutos y lo guarda en tu teléfono: es esa copia la que se usa después. Si el archivo ya no está en nuestros servidores, se fabrica de nuevo, en las condiciones de la app. El servidor registra también el estado de preparación de cada historia (lista o no, fecha, duración) y una huella técnica de la voz usada, que evita servirte una historia preparada con una voz antigua.

Las historias contadas por el narrador son archivos comunes a todos, que no contienen ningún dato sobre ti (sección 5.3 ter).

5.3 bis Las historias que creas

Solo si usas «Crear una historia», como se describe en la sección 3 bis.

5.3 ter La descarga de las historias del narrador

Los archivos de audio de las historias del narrador se guardan en Hetzner, en su almacenamiento de archivos situado en Alemania (Falkenstein). Son archivos comunes a todos: no contienen ningún dato personal. Para descargar una historia, la app pide a nuestro servidor un enlace seguro, válido 10 minutos, y recupera el archivo directamente en Hetzner. Ese enlace no lleva ni tu identificador anónimo ni ninguna información sobre ti; como en toda conexión a un servidor, Hetzner ve la dirección IP del teléfono. Nuestro servidor cuenta las descargas de cada identificador anónimo, por día y por mes, para evitar abusos (sección 5.4).

5.4 Contadores técnicos y estado de la suscripción en nuestros servidores

En nuestros servidores (Google Cloud Firestore, en Europa) están vinculados a tu identificador anónimo:

• contadores que aplican los límites de uso (voces creadas y eliminadas, historias preparadas, historias del narrador descargadas, mensajes enviados, solicitudes de borrado), por día y por mes, y la lista de historias ya preparadas en el mes;
• tus lunas (oferta Lunalulu+): las lunas usadas en el ciclo en curso, la lista de historias ya pagadas en ese ciclo y, para pasar lunas de un ciclo al siguiente, el número de lunas del último ciclo;
• tus lunas compradas: un monedero designado por un número aleatorio, que solo contiene un número de lunas, vinculado a tu identificador anónimo; y, para cada compra de lunas, una huella no reversible de la transacción de la tienda (nunca su número en claro), con el producto, el número de lunas y las fechas, para que una compra nunca se cuente dos veces;
• el estado de tu suscripción (activa o no, prueba en curso o no, fechas del periodo), tal como lo transmite RevenueCat, guardado para no volver a pedirlo en cada historia, y una clave de suscripción no reversible que permite contar las lunas de una misma suscripción tras una reinstalación.

Estos elementos no contienen ni tu voz ni ningún texto.

5.5 Ideas, valoraciones y denuncias

Si nos escribes desde la app (Ajustes, «Ideas y errores», o el formulario que sigue a una valoración de la app), recibimos: el tipo de mensaje (idea o problema), el texto que escribes, la valoración de 1 a 5 estrellas si acabas de poner una, la versión de la app, el sistema del teléfono (iPhone o Android), el idioma y tu identificador anónimo. Estos mensajes no contienen ni tu nombre ni tu correo: no podemos responderlos. No escribas en ellos información personal, ni sobre ti ni sobre tu hijo o hija.

Denunciar una historia. Si denuncias una historia o un pasaje que te parece inapropiado, recibimos además la referencia de la historia afectada (historia del catálogo o historia creada) y el pasaje en cuestión, 2000 caracteres como máximo. Ese pasaje puede contener el nombre que diste para una historia creada. Solo sirve para examinar la denuncia y corregir la historia o nuestras verificaciones, y se borra 90 días después del envío, o antes con «Borrar todo».

5.6 Estadísticas de uso sin contenido

Para saber cuántas personas usan la app y qué funciones se utilizan, la app envía a Google Analytics para Firebase, con un identificador de instancia seudónimo: las pantallas mostradas; las acciones realizadas, sin su contenido (por ejemplo: voz creada, en espera de envío o eliminada, con el motivo técnico de un envío que no se completó, historia iniciada o terminada y su modo, narrador o voz del padre o la madre, favorito añadido, búsqueda iniciada sin la palabra buscada, música después de la historia ajustada, historias descargadas, compra iniciada y su resultado, valoración de la app); dos indicadores, voz grabada o no y suscripción activa o no; si respondes a las preguntas opcionales del inicio, quién eres (mamá, papá, abuelo o abuela, u otro), tu franja de edad y cómo conociste la app, con, si eliges «De otra forma» y lo escribes, tu respuesta libre, tal como la escribiste (100 caracteres como máximo); y la información que Google Analytics recoge automáticamente (modelo y sistema del teléfono, idioma, país aproximado, sesiones, primera apertura). Nunca se envían: tu voz, el texto y el título de las historias, lo que escribes para «Crear una historia», tus mensajes, la palabra que buscas. La respuesta libre «De otra forma» es el único texto escrito que se envía: no escribas en ella nombres, datos de contacto ni información sobre tu hijo o hija. La publicidad siempre se rechaza en los ajustes de consentimiento de Google Analytics y el identificador publicitario no se recoge. «Borrar todo» reinicia el identificador de instancia.

5.7 Informes de errores

Cuando la app falla o encuentra un error, Firebase Crashlytics recibe un informe técnico: traza del error, modelo de teléfono, versión del sistema y de la app, y un identificador de instalación propio de Crashlytics. Por diseño, estos informes no contienen tu voz ni lo que escribes.

5.8 Compras

Los pagos los cobran Apple (App Store) o Google (Google Play): no vemos ni tu identidad ni tus datos bancarios. RevenueCat recibe tu identificador anónimo y, en una compra o restauración, la información de la transacción transmitida por la tienda (producto, fechas, país y moneda de la tienda, recibo), para abrir y verificar tu acceso Lunalulu+. Nuestro servidor consulta RevenueCat con tu identificador anónimo antes de preparar una historia con una voz de la familia o una historia creada.

5.9 Mensajes al soporte

Si nos escribes por correo, usamos tu dirección y tu mensaje solo para responderte.

5.10 Registros técnicos

Los registros de nuestras funciones de servidor indican el tipo de evento y cifras (duraciones, cantidades, códigos de error), nunca tu voz, un texto, tu identificador ni el identificador de tu voz. Como en todo servicio en línea, los registros de solicitudes de Google Cloud guardan también datos técnicos de conexión, entre ellos la dirección IP de origen de cada llamada. Para limitar los abusos, nuestro servidor cuenta además las llamadas por dirección IP: nunca guardamos la dirección en sí, solo una huella calculada con una clave elegida al azar cada día (para una dirección IPv6, la de su prefijo), que se borra con ese contador a los 3 días; dos días distintos no pueden relacionarse entre sí.

5.11 Notificaciones

Durante el inicio, la app te pregunta si aceptas sus notificaciones; puedes negarte, y desactivarlas o reactivarlas en cualquier momento en los ajustes del teléfono. Nunca contienen publicidad. Hay dos tipos:

• Las notificaciones programadas en el teléfono (por ejemplo el recordatorio de la hora del cuento, las historias descargadas o las lunas recargadas): la app las prepara ella misma, sin enviar nada.
• Las notificaciones enviadas por nuestro servidor, por ejemplo cuando una historia preparada con tu voz está lista mientras la app está cerrada: pasan por Firebase Cloud Messaging (Google) y, en iPhone, por el servicio de notificaciones de Apple. Para ello, la app guarda en nuestros servidores un token de notificación propio de este teléfono, con el sistema (iPhone o Android) y el idioma de la app, vinculado a tu identificador anónimo, en un espacio que no puede leerse desde la app. El mensaje es un texto de la app, en tu idioma, y no contiene ni tu voz ni el texto de una historia creada.

El token se sustituye cuando el teléfono da uno nuevo y se elimina con «Borrar todo» o tras 12 meses sin abrir la app. Si rechazas las notificaciones, no se usa ningún token para enviártelas.

6. Finalidades y bases legales

7. Destinatarios y encargados

Tus datos solo son accesibles para el editor y para los proveedores siguientes, que actúan por su cuenta como encargados del tratamiento (artículo 28 del RGPD), salvo Apple y Google para la venta, que actúan bajo su propia responsabilidad.

Cada uno de estos proveedores está obligado por contrato a garantizar la confidencialidad y la seguridad de los datos. Ningún dato se vende, alquila o cede a terceros. Solo comunicaríamos datos a una autoridad ante una solicitud legalmente fundada.

8. Transferencias fuera de la Unión Europea

Nuestras funciones de servidor, nuestra base de datos, el almacenamiento de las historias preparadas y el de las historias del narrador (Hetzner, en Alemania) están en la Unión Europea. Tu voz, en cambio, la trata Cartesia, una empresa con sede en Estados Unidos: la muestra de tu voz, tu voz sintética y el texto de los pasajes que hay que leer (incluido el de las historias que creas) pueden tratarse en Estados Unidos. El anexo de tratamiento de datos de Cartesia regula estas transferencias mediante las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión (UE) 2021/914, módulo responsable a encargado). Las historias creadas las escribe OpenAI, en Estados Unidos: el guion, las instrucciones y el texto de esas historias se tratan allí. El anexo de tratamiento de datos de OpenAI, celebrado con OpenAI Ireland Limited, regula esta transferencia mediante las cláusulas contractuales tipo de la Comisión Europea (artículo 46 del RGPD) o mediante una decisión de adecuación (artículo 45) cuando se aplica. Otros datos también pueden tratarse fuera de la Unión Europea, en particular en Estados Unidos, por nuestros proveedores o sus empresas vinculadas: RevenueCat, Google para sus servicios mundiales (inicio de sesión anónimo, App Check, Crashlytics, Analytics, Firebase Cloud Messaging, Remote Config) y, en su caso, Cloudflare para la distribución del sitio. Estas transferencias se rigen por el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el destinatario está adherido y, si no, por las cláusulas contractuales tipo de la Comisión Europea. Puedes pedirnos información sobre estas garantías en la dirección indicada en la sección 1.

9. Plazos de conservación

Los borrados automáticos en nuestros servidores los realiza Google al vencer el plazo previsto, normalmente en los días siguientes. Importante: desinstalar la app no borra de inmediato tu voz en Cartesia ni los datos de nuestros servidores, vinculados a un identificador anónimo que no podemos relacionar contigo: se borran automáticamente 12 meses después de la última apertura de la app. Para que se borren de inmediato, toca «Eliminar mi voz» o «Borrar todo» antes de desinstalar la app o cambiar de teléfono. En todos los casos, una copia inaccesible puede permanecer 14 días como máximo en nuestras copias de seguridad antes de borrarse definitivamente (tabla anterior).

10. Lo que no hacemos

• Ninguna publicidad, ni en la app ni en el sitio.
• Ningún seguimiento publicitario ni perfilado: el identificador publicitario no se recoge, y la app nunca te pide el permiso de seguimiento de Apple (App Tracking Transparency), ya que no sigue tu actividad en otras apps o sitios.
• Ninguna geolocalización, ningún acceso a tus contactos, ningún acceso a tu fototeca: solo se da a la app la foto que tomas o eliges para una portada o para una voz, y se queda en tu teléfono. La cámara solo se usa cuando eliges «Tomar una foto».
• Ningún uso de tu voz fuera de tus historias, ni difusión a otras personas.
• Ninguna venta, alquiler o intercambio de datos, ningún intermediario de datos.
• Ninguna cuenta, y no se pide nada a tu hijo o hija. El nombre que das para «Crear una historia» solo sirve para escribirla y leerla, nunca lo guardan nuestros servidores y nunca entra en las estadísticas.

11. Permisos del teléfono

• Micrófono: solo se pide cuando grabas tu voz. La app nunca escucha fuera de la grabación que inicias.
• Reproducción en segundo plano y pantalla encendida: para que la historia siga cuando la pantalla se apaga, con sus controles en la pantalla de bloqueo, o para mantener la pantalla encendida si lo elegiste.
• Cámara: solo se usa cuando eliges «Tomar una foto», para la portada de una historia creada o la imagen de una voz. En iPhone y iPad, el permiso se te pide en ese momento; en Android, la app abre la cámara del teléfono sin pedir permiso. Solo se entrega a la app la foto que confirmas: no se filma ni se graba nada aparte de ella, no se añade a tus fotos y nunca se envía. La app la recorta y guarda una copia reducida en su espacio privado, fuera de las copias de seguridad (secciones 3.5, 3 bis y 4). Puedes rechazar la cámara y elegir una foto ya tomada.
• Fotos: ningún permiso de acceso a la fototeca; el selector de fotos del teléfono solo da a la app la foto que eliges para una portada o para una voz.
• Internet: para descargar las historias, tu voz, escribir las historias creadas, preparar las historias, las compras, los mensajes al equipo, los informes de errores y las estadísticas.

Puedes retirar estos permisos en cualquier momento en los ajustes de tu teléfono.

12. Seguridad

• Todos los intercambios con nuestros servidores y nuestros proveedores están cifrados (HTTPS).
• Nuestros servidores solo aceptan solicitudes de la app auténtica (App Check, token de un solo uso) y de una sesión identificada.
• El identificador de tu voz en Cartesia, los contadores y el estado de la suscripción no pueden leerse desde la app; solo tú puedes leer el estado de tus historias preparadas, y los archivos de audio solo se obtienen mediante enlaces firmados válidos 2 minutos (10 minutos para las historias del narrador).
• Las claves de acceso a Cartesia, RevenueCat y OpenAI se quedan en el servidor, en un almacén de secretos que solo pueden leer nuestras funciones, nunca en la app; la inteligencia artificial solo la llama el servidor.
• Los límites de uso protegen el servicio y tu voz contra los abusos.
• Los datos guardados en nuestros servidores se borran automáticamente al vencer el plazo previsto, o a petición tuya desde la app.
• Para reparar el servicio tras una avería o un error, nuestros servidores guardan copias de seguridad de la base de datos y de los archivos. Son inaccesibles desde la app y no sirven para nada más; un dato borrado permanece en ellas 14 días como máximo y después desaparece definitivamente.

Ningún sistema es invulnerable: protege tu teléfono con un código y mantén su sistema actualizado.

13. Tus opciones y tus derechos

En cualquier momento dispones, en la app:

• de la función «Eliminar mi voz» (Ajustes, «Tus voces»), que retira tu consentimiento y elimina tu voz, las historias preparadas con ella y el audio de las historias creadas (sección 3.5);
• de la eliminación de una historia creada (botón «Eliminar esta historia»), que la borra de tu teléfono y de nuestros servidores;
• de la función «Borrar todo» (Ajustes). Elimina tus voces en Cartesia, tus historias preparadas, tus historias creadas y sus fotos, las imágenes de tus voces, el identificador de tu voz y la prueba de tu consentimiento, el estado de tu suscripción guardado por nuestros servidores, tu token de notificación, tus ideas, valoraciones y denuncias, así como tus favoritos y ajustes en el teléfono; reinicia el identificador de estadísticas. Tu identificador anónimo se conserva, sin ningún contenido, para que los límites de uso sigan aplicándose. Quedan así: tus contadores técnicos y los de tus lunas, que se borran al vencer su plazo (sección 9), tus lunas compradas y las huellas de esas compras, que te pertenecen, el identificador anónimo (cuenta de inicio de sesión anónimo en Google y ficha en RevenueCat), la información de suscripción en Apple o Google, así como los registros, informes y estadísticas ya transmitidos, que se borran al vencer su plazo (sección 9). Sin conexión, el teléfono se borra de inmediato y el borrado en nuestros servidores se relanza en la siguiente apertura de la app. Tu suscripción sigue vinculada a tu cuenta de Apple o Google: «Restaurar mis compras» la recupera.

Lo que borras desaparece de inmediato de la app y del servicio; una copia inaccesible permanece 14 días como máximo en nuestras copias de seguridad y después se borra definitivamente (sección 9).

Conforme a los artículos 15 a 22 del RGPD, tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad, el derecho a retirar tu consentimiento en cualquier momento sin que ello afecte a los tratamientos ya realizados, y el derecho a fijar directrices sobre el destino de tus datos tras tu fallecimiento (artículo 85 de la ley francesa de protección de datos). Estos derechos se ejercen por correo en [email protected]. Respondemos en el plazo de un mes, prorrogable dos meses en caso de solicitud compleja.

Como no conocemos tu identidad, no podemos encontrar por tu nombre o tu correo los datos vinculados a tu identificador anónimo: las funciones de la app indicadas arriba son la forma más segura y rápida de ejercer tus derechos. Puedes oponerte a las estadísticas de uso y a los informes de errores escribiéndonos; como no están vinculados a ninguna información sobre ti, no podemos encontrar los que te conciernen, y desinstalar la app, después de «Borrar todo», es hoy la forma segura de detener su envío. La información de compra también se gestiona con Apple o Google.

14. Niños

Lunalulu está pensada para padres y adultos que cuidan de niños: el adulto instala la app, graba su propia voz tras confirmar que es mayor de edad y gestiona la suscripción. El niño escucha las historias, escritas para niños de 3 a 10 años; las que escribe la inteligencia artificial se verifican antes de entregarse (sección 3 bis), y puedes denunciarnos cualquier historia desde la app. La app no crea ninguna cuenta y no ofrece al niño ni publicidad, ni compras, ni intercambios con otras personas. Solo la función «Crear una historia» te pide, a ti, un nombre y una edad: sirven únicamente para escribir la historia (sección 3 bis). El nombre de tu hijo o hija es un dato personal de un menor: no des más (apellidos, colegio, dirección, salud). No grabes la voz de un niño y no escribas información sobre tu hijo o hija en los mensajes enviados desde la app. Si crees que un menor ha grabado su voz, escríbenos; «Eliminar mi voz» y «Borrar todo» la eliminan de inmediato.

Usuarios en Estados Unidos (COPPA). La app está dirigida a adultos: no está destinada a menores de 13 años en el sentido de la Children's Online Privacy Protection Act (COPPA). No recoge ninguna información personal directamente de un niño, no le ofrece ni cuenta, ni compras, ni intercambios con otras personas, y no hace ni publicidad dirigida ni seguimiento. El nombre y la edad indicados para «Crear una historia» los facilita el padre o la madre, para su propio uso: solo sirven para escribir y leer la historia, y nuestros servidores no los guardan (sección 3 bis). Si crees que un menor de 13 años nos ha transmitido información personal, por ejemplo grabando su voz o escribiéndonos, contáctanos en [email protected]: la eliminaremos sin demora.

15. Sitio web

Este sitio no instala ninguna cookie y no usa ninguna herramienta de medición de audiencia, salvo el contador anónimo descrito más abajo. Las fuentes se alojan con el sitio: tu navegador no contacta ningún servicio de fuentes, publicidad o medición. El sitio lo aloja OVH y puede distribuirse a través de la red de Cloudflare, que lo protege contra ataques y acelera su carga; estos proveedores tratan, solo con esos fines, los datos técnicos de tu visita (dirección IP, páginas solicitadas, fecha) durante un tiempo limitado.

Única excepción, la página para compartir /app (el enlace compartido desde la app y publicado en nuestras redes sociales) lleva un contador anónimo: el número de visitas y de clics hacia la App Store o Google Play, por día, con el idioma de la página, el tipo de dispositivo, el país y la fuente indicada en el enlace. No se instala ninguna cookie, no se crea ningún identificador y no se guarda ninguna dirección IP: son solo totales, que no permiten reconocer a nadie. Este contador lo aloja Cloudflare por cuenta de Devolim y sus cifras se borran a los 13 meses.

16. Incidente de seguridad

En caso de violación de datos personales, la notificamos a la CNIL en las condiciones del artículo 33 del RGPD y, cuando pueda entrañar un alto riesgo para tus derechos y libertades, te informamos en la app o en este sitio, conforme al artículo 34.

17. Reclamación ante la autoridad de control

Si, tras contactarnos, consideras que tus derechos no se respetan, puedes presentar una reclamación ante la autoridad francesa de protección de datos (Commission nationale de l'informatique et des libertés, CNIL): 3 place de Fontenoy, TSA 80715, 75334 París Cedex 07, Francia, o en línea en cnil.fr. Si resides en otro Estado miembro de la Unión Europea, también puedes acudir a la autoridad de control de tu país de residencia (artículo 77 del RGPD).

18. Cambios

Esta política puede modificarse para tener en cuenta cambios legales o técnicos. La fecha de la última actualización figura al principio de la página; los cambios sustanciales se indican en la app y, si afectan al envío de tu voz, se te vuelve a pedir tu consentimiento.