Política de Privacidad

1. Introducción

Esta Política de Privacidad describe cómo Sostenutoo recopila, utiliza, almacena y protege sus datos personales cuando usted utiliza nuestra plataforma de gestión de orquestas y agrupaciones musicales.

Nos comprometemos a proteger su privacidad y a tratar sus datos de conformidad con el Reglamento General de Protección de Datos (RGPD), los requisitos de la App Store de Apple y las políticas de Google Play Store.

2. Responsable del Tratamiento

SOSTENUTOO - Société par actions simplifiée (SAS), sociedad por acciones simplificada de derecho francés
Domicilio social: 23 rue Flandres Dunkerque 40, 44000 Nantes, Francia
Registro Mercantil de Nantes (RCS) 106 786 437
Correo de contacto: support@sostenutoo.com

3. Datos Recopilados

3.1 Datos que usted nos proporciona

• Datos de identificación: nombre completo, dirección de correo electrónico
• Datos musicales: instrumento(s) que toca, sección orquestal
• Datos de la orquesta: nombre de la orquesta, ciudad, rol (músico, coordinador, administrador, fundador)
• Declaraciones de ausencia: fechas y motivos de las ausencias declaradas para eventos

3.2 Datos recopilados automáticamente

• Datos de conexión: marcas de tiempo de inicio de sesión, token de sesión (JWT)
• Datos técnicos: tipo de dispositivo, sistema operativo (para la aplicación iOS)
• Preferencias: orquesta seleccionada, ajustes de visualización

3.3 Datos vía Google OAuth (opcional)

Si opta por iniciar sesión con Google:

• Nombre y apellidos
• Dirección de correo electrónico
• Foto de perfil (almacenada pero no mostrada en la plataforma)

No accedemos a ningún otro dato de Google (contactos, calendario, Drive, etc.).

3.4 Datos vía Apple Sign In (opcional)

Si opta por iniciar sesión con Apple:

• Nombre y apellidos (solo en el primer inicio de sesión, si acepta compartirlos)
• Dirección de correo electrónico (puede optar por ocultar su dirección real mediante el relay privado de Apple)

Apple Sign In respeta su privacidad: usted controla qué información se comparte con nuestro servicio. No accedemos a ningún otro dato de Apple.

3.5 Datos de partituras (PDF)

Cuando los administradores de la orquesta suben partituras:

• Archivo PDF almacenado de forma segura
• Metadatos técnicos: tamaño del archivo, fecha de subida, nombre del archivo
• Asociación con un instrumento y una obra musical

3.6 Datos de comunicación (chat y anuncios)

Cuando utiliza las funciones de chat y anuncios en las aplicaciones móviles:

• Mensajes de chat: contenido de texto de los mensajes intercambiados dentro de su orquesta, marcas de tiempo, identidad del autor
• Imágenes compartidas en el chat: fotos seleccionadas desde su dispositivo y enviadas en las conversaciones, metadatos (tamaño, dimensiones, fecha de subida), identidad del remitente
• Anuncios: contenido de texto de los anuncios publicados por los administradores, marcas de tiempo, identidad del autor, roles destinatarios
• Notificaciones push: preferencias de notificación para mensajes y anuncios (activadas/desactivadas)

Visibilidad: Los mensajes, las imágenes y los anuncios son visibles únicamente para los miembros activos de su orquesta.

Conservación: Los mensajes y las imágenes se conservan indefinidamente hasta que su autor o un administrador los elimine manualmente.

Almacenamiento de imágenes: Las fotos compartidas en el chat se alojan de forma segura en Supabase Storage (UE - París), en un bucket dedicado y aislado por orquesta. Las imágenes se comprimen al subirse para optimizar el rendimiento.

3.7 Datos NO recopilados automáticamente

• ❌ Geolocalización (GPS o IP)
• ❌ Contactos telefónicos
• ❌ Acceso automático a sus fotos — usted selecciona manualmente las imágenes que comparte en el chat
• ❌ Datos de pago (tarjeta de crédito) — gestionados exclusivamente por Stripe
• ❌ Datos de seguimiento publicitario
• ❌ Datos EXIF de las fotos (ubicación GPS, modelo de cámara, etc.) — eliminados al subirse

3.8 Herramientas gratuitas en línea (correo opcional)

Algunas herramientas gratuitas accesibles sin cuenta (el simulador de derechos SACEM, la calculadora de equilibrio de agrupación) te permiten recibir tu resultado por correo. En ese caso solo recopilamos la dirección de correo que introduces y el resultado correspondiente, con el único fin de enviártelo y de que puedas volver a él.

Unos días después de que utilices la herramienta, el fundador de Sostenutoo puede enviarte un único mensaje para presentarte la plataforma de la que forma parte y proponerte una conversación (servicios análogos, artículo L34-5 del Código francés de correos y comunicaciones electrónicas). Puedes oponerte en cualquier momento, de forma gratuita, simplemente respondiendo al mensaje o con un clic en «Cancelar suscripción», que tu aplicación de correo muestra junto al remitente. Tu dirección, el resultado y el registro de este mensaje se conservan como máximo 3 años después del último intercambio. Introducir tu correo es totalmente opcional: la herramienta funciona sin él.

3.9 Mensajes sobre el uso de Sostenutoo

Si crea una agrupación en Sostenutoo, o si utiliza una de nuestras herramientas con su cuenta, podemos escribirle por correo electrónico sobre su uso: para saber cómo se organiza su agrupación, proponerle una presentación o indicarle lo que permite la plataforma. Estos mensajes se detienen en cuanto usted responde o se da de baja. Los músicos miembros de una agrupación no los reciben.

• Datos utilizados: su nombre, su dirección de correo, su idioma, el nombre de su agrupación y algunos indicadores de uso (número de miembros, herramientas utilizadas, fecha de la última conexión), para escribir solo a las personas a las que el mensaje concierne.
• Base jurídica: interés legítimo (art. 6.1.f del RGPD) y, para los mensajes de carácter comercial, el artículo L34-5 del Código francés de correos y comunicaciones electrónicas (servicios análogos ofrecidos a un usuario).
• Oposición: en cualquier momento y de forma gratuita, respondiendo simplemente al mensaje, o con un clic en «Cancelar suscripción», que su aplicación de correo muestra junto al remitente. Se aplica a todos estos envíos y no afecta a los correos necesarios para el servicio (invitaciones, notificaciones de su agrupación).
• Conservación: el historial de los mensajes enviados se conserva como máximo 3 años después del último intercambio.

3.10 Nuestros intercambios con usted (correos y citas)

Cuando escribe a una dirección @sostenutoo.com, cuando le escribimos, o cuando reserva una cita de presentación, llevamos un seguimiento de nuestros intercambios para responderle a tiempo y saber en qué punto estamos con usted. Solo el fundador de Sostenutoo lo consulta.

• Datos conservados: su nombre y su dirección de correo, la fecha y el asunto de cada correo intercambiado con un breve extracto (200 caracteres como máximo; el texto completo y los archivos adjuntos permanecen en nuestro buzón), las citas (fecha, hora, enlace de videollamada, respuestas al formulario de reserva) y las notas tomadas tras un intercambio.
• Fuentes: nuestro correo y nuestra agenda (Google), y nuestra herramienta de reserva de citas (Calendly).
• Base jurídica: interés legítimo (art. 6.1.f del RGPD) en dar seguimiento a una relación que usted inició.
• Conservación: como máximo 3 años después del último intercambio. Puede solicitar en cualquier momento el acceso a estos datos o su supresión escribiendo a support@sostenutoo.com.

4. Aplicaciones Móviles — Permisos Específicos

4.1 Aplicación iOS (App Store)

La aplicación Sostenutoo para iOS puede solicitar acceso a:

• Calendario: para añadir eventos (ensayos, conciertos) a su calendario personal. Esta acción es manual y opcional: usted elige qué eventos añadir.
• Fototeca: para permitirle seleccionar fotos que compartir en el chat. La aplicación utiliza el selector de fotos moderno de iOS (PHPickerViewController), que limita el acceso únicamente a las fotos que usted selecciona, sin acceso a toda su fototeca.

La aplicación no recopila ni sincroniza automáticamente los datos de su calendario o de sus fotos. Todas las acciones son manuales e iniciadas por usted.

4.1.1 Suscripción iCalendar (sincronización de calendario)

Sostenutoo ofrece una función opcional de suscripción iCalendar que muestra automáticamente en su aplicación de calendario personal (Apple Calendar, Google Calendar, Outlook, etc.) los eventos (ensayos, conciertos) de una o varias orquestas a las que pertenece.

• Estrictamente opcional (opt-in): sin suscripción por defecto. Usted genera el enlace de suscripción usted mismo desde la aplicación (web, iOS o Android).
• Datos almacenados (tabla user_calendar_tokens): un identificador único, un token aleatorio, su ID de usuario, el ID de la orquesta (o «todas mis orquestas»), una etiqueta opcional, fecha de creación, número de accesos, fecha del último acceso y, en su caso, la fecha de revocación.
• Datos compartidos a través del feed: únicamente datos de los eventos (título, tipo, fechas, ubicación, notas del director). Ningún contenido musical (programas, obras, partituras) ni ningún dato personal de otros miembros queda expuesto.
• Base jurídica: interés legítimo (organización de la orquesta) y ejecución del servicio (art. 6.1.b y 6.1.f del RGPD), respaldados por su consentimiento explícito al generar el token.
• Conservación: hasta que usted lo revoque. El token puede revocarse en cualquier momento desde la pantalla «Calendario personal» de la aplicación (web: ventana de suscripción; iOS: Preferencias; Android: pantalla de la orquesta → botón «Calendario personal»). La revocación detiene inmediatamente la sincronización.
• Seguridad: el token (32 bytes aleatorios, codificado en base64url) debe tratarse como un secreto. Cualquiera con el enlace puede leer su feed. Si sospecha de una filtración, revoque el token y genere uno nuevo.

4.2 Aplicación Android (Google Play Store)

La aplicación Sostenutoo para Android utiliza los siguientes permisos:

• INTERNET: para acceder a los datos de su orquesta y sincronizar la información
• ACCESS_NETWORK_STATE: para comprobar la conectividad a internet antes de las operaciones de red
• READ_MEDIA_IMAGES (Android 13+) / READ_EXTERNAL_STORAGE (Android 12 e inferiores): para permitirle seleccionar fotos que compartir en el chat. Se usa únicamente cuando usted decide enviar una imagen, sin lectura automática de sus fotos.
• POST_NOTIFICATIONS (Android 13+): para recibir notificaciones de mensajes y anuncios (opcional)

Importante: El acceso a las fotos está estrictamente limitado a su selección manual. La aplicación no puede explorar ni acceder a sus fotos sin una acción explícita suya.

5. Finalidades del Tratamiento

6. Compartición de Datos y Subencargados

6.1 Dentro de su orquesta

Los administradores, coordinadores y fundadores de su orquesta pueden ver:

• Su nombre y dirección de correo electrónico
• Su(s) instrumento(s)
• Sus declaraciones de ausencia para los eventos
• Sus mensajes en el chat de la orquesta

Chat y anuncios: Los mensajes del chat son visibles para todos los miembros activos de su orquesta. Los anuncios son visibles según los roles a los que el autor los haya dirigido (todos los músicos, solo los directores, etc.).

Los demás músicos no pueden acceder a sus datos personales (correo electrónico, instrumento) salvo que se compartan a través del chat.

6.2 Encargados del tratamiento (terceros)

Nunca vendemos sus datos a terceros. Los datos transmitidos a los servicios de inteligencia artificial (Google Gemini, Perplexity Sonar) se utilizan exclusivamente para proporcionar las funciones de la plataforma y estos proveedores no los usan para entrenar sus modelos.

6.3 Editores de las partituras compradas

Cuando su agrupación compra una partitura en la tienda, comunicamos a su editor, que sigue siendo su propietario y debe remunerar a los autores, el número y la fecha del pedido, así como el nombre y el país de la agrupación. Esta información figura en el correo enviado en cada venta y en el informe periódico de ventas. El nombre de la agrupación y el número de pedido también se imprimen al pie de cada página de las partituras entregadas, para identificar a su titular.

Si una partitura vendida se difunde sin autorización, el editor puede, mediante una solicitud motivada, obtener además la dirección de la agrupación, el nombre y la dirección de correo electrónico de la persona que realizó el pedido, y las fechas en que se descargaron las partituras. Solo puede utilizarlos para defender sus derechos, y es entonces responsable de su tratamiento.

Nunca transmitimos a los editores sus datos de pago, la lista de miembros de su agrupación, los datos de sus músicos ni los demás contenidos de su agrupación. Base jurídica: la ejecución del contrato de venta y nuestro interés legítimo, compartido con el editor, en proteger las obras vendidas. Las condiciones de la licencia se describen en el artículo 12 de las Condiciones Generales de Venta.

7. Transferencias Internacionales

Algunos de nuestros subencargados (Netlify, Resend, Stripe, OneSignal, Google LLC, Perplexity AI) pueden tratar datos en Estados Unidos. Estas transferencias se rigen por:

• Las Cláusulas Contractuales Tipo de la Comisión Europea
• El Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework, para empresas certificadas)

Su base de datos principal permanece alojada en Francia (París) a través de Supabase.

8. Plazo de Conservación de los Datos

8.1 Eliminación de una orquesta

Cuando se elimina una orquesta, todas las partituras, eventos, programas, mensajes y anuncios asociados se eliminan de forma permanente.

8.2 Abandono de una orquesta

Cuando usted abandona una orquesta, sus declaraciones de ausencia para esa orquesta se eliminan. Sus datos personales (cuenta, perfil) permanecen intactos. Sus mensajes de chat siguen siendo visibles (con su nombre) para preservar la continuidad de la conversación, salvo que los haya eliminado manualmente antes de su salida.

8.3 Eliminación de mensajes e imágenes

Puede eliminar sus propios mensajes (texto e imágenes) en cualquier momento desde la aplicación móvil. Al eliminar un mensaje que contiene una imagen, esta se elimina de forma permanente del almacenamiento en un plazo de 24 horas. Los administradores también pueden eliminar cualquier mensaje en caso de contenido inapropiado.

8.4 Importación de archivos antes de crear una cuenta

Desde nuestra página de inicio, puede depositar sus archivos existentes (lista de músicos, calendario, repertorio) para ver qué reconoce Sostenutoo en ellos, sin crear una cuenta. Este tratamiento le permite evaluar el servicio antes de comprometerse, conforme al artículo 6.1.b del RGPD (medidas precontractuales adoptadas a petición suya).

• Sus archivos no se conservan. Se leen dentro de su navegador; solo el texto extraído de ellos se envía a nuestros servidores para su análisis. Los archivos en sí no salen de su dispositivo.
• Análisis mediante inteligencia artificial: el texto extraído se envía a Google LLC (Gemini) para clasificarlo y estructurarlo, en las condiciones descritas en la sección 6. No se utiliza para entrenar sus modelos.
• Conservación: 30 días. Transcurrido ese plazo, un depósito que no se haya incorporado a un conjunto se elimina automáticamente, junto con todo lo que se hubiera extraído de él. Si crea su conjunto, los datos que haya elegido importar se incorporan a él y pasan entonces al régimen ordinario descrito más arriba.
• Sin cuenta, sin elaboración de perfiles: un depósito anónimo no está vinculado a ninguna cuenta y no sirve para identificarle en ningún otro lugar. Se almacena un identificador técnico en su navegador para limitar el número de depósitos por día; no se cruza con ningún otro dato.

Si deposita una lista de músicos, está transmitiendo datos relativos a otras personas. En ese caso, su conjunto sigue siendo el responsable del tratamiento: le corresponde a usted informar a esas personas, actuando Sostenutoo únicamente como encargado del tratamiento. Puede solicitar la eliminación inmediata de un depósito en support@sostenutoo.com.

9. Sus Derechos Conforme al RGPD

De conformidad con el RGPD (Reglamento General de Protección de Datos — Reglamento UE 2016/679) y la Loi Informatique et Libertés francesa (Ley francesa de Informática y Libertades), usted dispone de los siguientes derechos:

• Derecho de acceso: obtener una copia de sus datos (respuesta en un plazo de 7 días hábiles)
• Derecho de rectificación: corregir sus datos directamente en la aplicación o previa solicitud
• Derecho de supresión: eliminar su cuenta desde los ajustes o previa solicitud
• Derecho a la portabilidad de los datos: recibir sus datos en un formato estructurado (JSON/CSV)
• Derecho de oposición: oponerse al tratamiento basado en interés legítimo (incluida la mejora de la plataforma y las funciones inteligentes)
• Derecho a retirar el consentimiento en cualquier momento

10. Seguridad de los Datos

Aplicamos las siguientes medidas:

• Cifrado en tránsito: todas las comunicaciones están protegidas mediante HTTPS/TLS
• Autenticación segura: contraseñas cifradas, tokens JWT firmados
• Aislamiento de datos: cada orquesta está aislada mediante Row Level Security (RLS)
• Copias de seguridad: copias de seguridad periódicas de la base de datos
• Acceso restringido: principio de mínimo privilegio para el acceso de los administradores

Para notificar una vulnerabilidad o un problema de seguridad, escriba a securite@sostenutoo.com. Consulte también la página Seguridad: política de notificación, periodo de soporte e instrucciones de uso seguro.

11. Cookies y Almacenamiento Local

Dos categorías, sujetas a reglas distintas.

Estrictamente necesarias — no requieren consentimiento, conforme al artículo 82 de la ley francesa de Informática y Libertades:

• Token de sesión: para mantener su sesión iniciada
• Preferencias: orquesta seleccionada, idioma, tema de visualización

Medición de audiencia y publicidad — se depositan únicamente tras su consentimiento:

• Google Analytics (Google Ireland Limited): medir el tráfico del sitio y saber qué páginas se consultan. Cookies _ga y _ga_*, conservadas 13 meses.
• Píxel de Meta (Meta Platforms Ireland Limited): medir la eficacia de nuestras campañas publicitarias. Cookies _fbp y _fbc, conservadas 3 meses.

Ambas herramientas implican una transferencia de datos a Estados Unidos, amparada por el Data Privacy Framework al que están certificadas Google LLC y Meta Platforms Inc.

Su elección. Ninguna de estas cookies se deposita mientras no haya aceptado. Rechazar se ofrece al mismo nivel que aceptar, con un solo clic, y no afecta a su navegación. Su elección se conserva 6 meses; puede cambiarla en cualquier momento mediante el enlace Cookies del pie de página.

Si acepta, también memorizamos la procedencia de su visita (parámetros utm_*, identificador de clic publicitario, sitio de referencia) para vincular una eventual suscripción con la campaña que le dio a conocer Sostenutoo. Esta información se conserva 90 días.

12. Protección de Menores

Sostenutoo es un servicio diseñado para la gestión de orquestas y agrupaciones musicales. No existe restricción de edad para utilizar el servicio, ya que no recopila datos sensibles y se utiliza en un contexto educativo y cultural supervisado (escuelas de música, conservatorios, orquestas de aficionados).

Si usted es padre, madre o tutor legal y desea obtener información sobre los datos de su hijo/a, contáctenos en support@sostenutoo.com.

13. Violación de Datos

En caso de violación de la seguridad de los datos que pueda suponer un riesgo para sus derechos y libertades, nos comprometemos a:

• Notificar a la CNIL (Commission Nationale de l'Informatique et des Libertés — la autoridad francesa de protección de datos) en un plazo de 72 horas
• Informarle lo antes posible por correo electrónico
• Adoptar las medidas correctoras necesarias

14. Cambios en Esta Política

Esta política puede actualizarse. En caso de un cambio sustancial:

• Se revisará la fecha de actualización en la parte superior de esta página
• Se enviará un correo informativo a los usuarios
• Podrá aparecer una notificación dentro de la aplicación

15. Contacto y Reclamaciones

Para cualquier pregunta sobre esta política:

Correo electrónico: support@sostenutoo.com

Para presentar una reclamación ante la autoridad de control:

CNIL — Commission Nationale de l'Informatique et des Libertés (Autoridad Francesa de Protección de Datos)
3 Place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07
www.cnil.fr