Política de Privacidad

1. Introducción

Esta Política de Privacidad describe cómo Sostenutoo recopila, utiliza, almacena y protege sus datos personales cuando usted utiliza nuestra plataforma de gestión de orquestas y agrupaciones musicales.

Nos comprometemos a proteger su privacidad y a tratar sus datos de conformidad con el Reglamento General de Protección de Datos (RGPD), los requisitos de la App Store de Apple y las políticas de Google Play Store.

2. Responsable del Tratamiento

SOSTENUTOO - Société par actions simplifiée (SAS), sociedad por acciones simplificada de derecho francés
Domicilio social: 23 rue Flandres Dunkerque 40, 44000 Nantes, Francia
Registro Mercantil de Nantes (RCS) 106 786 437
Correo de contacto: support@sostenutoo.com

3. Datos Recopilados

3.1 Datos que usted nos proporciona

• Datos de identificación: nombre completo, dirección de correo electrónico
• Datos musicales: instrumento(s) que toca, sección orquestal
• Datos de la orquesta: nombre de la orquesta, ciudad, rol (músico, coordinador, administrador, fundador)
• Declaraciones de ausencia: fechas y motivos de las ausencias declaradas para eventos

3.2 Datos recopilados automáticamente

• Datos de conexión: marcas de tiempo de inicio de sesión, token de sesión (JWT)
• Datos técnicos: tipo de dispositivo, sistema operativo (para la aplicación iOS)
• Preferencias: orquesta seleccionada, ajustes de visualización

3.3 Datos vía Google OAuth (opcional)

Si opta por iniciar sesión con Google:

• Nombre y apellidos
• Dirección de correo electrónico
• Foto de perfil (almacenada pero no mostrada en la plataforma)

No accedemos a ningún otro dato de Google (contactos, calendario, Drive, etc.).

3.4 Datos vía Apple Sign In (opcional)

Si opta por iniciar sesión con Apple:

• Nombre y apellidos (solo en el primer inicio de sesión, si acepta compartirlos)
• Dirección de correo electrónico (puede optar por ocultar su dirección real mediante el relay privado de Apple)

Apple Sign In respeta su privacidad: usted controla qué información se comparte con nuestro servicio. No accedemos a ningún otro dato de Apple.

3.5 Datos de partituras (PDF)

Cuando los administradores de la orquesta suben partituras:

• Archivo PDF almacenado de forma segura
• Metadatos técnicos: tamaño del archivo, fecha de subida, nombre del archivo
• Asociación con un instrumento y una obra musical

3.6 Datos de comunicación (chat y anuncios)

Cuando utiliza las funciones de chat y anuncios en las aplicaciones móviles:

• Mensajes de chat: contenido de texto de los mensajes intercambiados dentro de su orquesta, marcas de tiempo, identidad del autor
• Imágenes compartidas en el chat: fotos seleccionadas desde su dispositivo y enviadas en las conversaciones, metadatos (tamaño, dimensiones, fecha de subida), identidad del remitente
• Anuncios: contenido de texto de los anuncios publicados por los administradores, marcas de tiempo, identidad del autor, roles destinatarios
• Notificaciones push: preferencias de notificación para mensajes y anuncios (activadas/desactivadas)

Visibilidad: Los mensajes, las imágenes y los anuncios son visibles únicamente para los miembros activos de su orquesta.

Conservación: Los mensajes y las imágenes se conservan indefinidamente hasta que su autor o un administrador los elimine manualmente.

Almacenamiento de imágenes: Las fotos compartidas en el chat se alojan de forma segura en Supabase Storage (UE - París), en un bucket dedicado y aislado por orquesta. Las imágenes se comprimen al subirse para optimizar el rendimiento.

3.7 Datos NO recopilados automáticamente

• ❌ Geolocalización (GPS o IP)
• ❌ Contactos telefónicos
• ❌ Acceso automático a sus fotos — usted selecciona manualmente las imágenes que comparte en el chat
• ❌ Datos de pago (tarjeta de crédito) — gestionados exclusivamente por Stripe
• ❌ Datos de seguimiento publicitario
• ❌ Datos EXIF de las fotos (ubicación GPS, modelo de cámara, etc.) — eliminados al subirse

4. Aplicaciones Móviles — Permisos Específicos

4.1 Aplicación iOS (App Store)

La aplicación Sostenutoo para iOS puede solicitar acceso a:

• Calendario: para añadir eventos (ensayos, conciertos) a su calendario personal. Esta acción es manual y opcional: usted elige qué eventos añadir.
• Fototeca: para permitirle seleccionar fotos que compartir en el chat. La aplicación utiliza el selector de fotos moderno de iOS (PHPickerViewController), que limita el acceso únicamente a las fotos que usted selecciona, sin acceso a toda su fototeca.

La aplicación no recopila ni sincroniza automáticamente los datos de su calendario o de sus fotos. Todas las acciones son manuales e iniciadas por usted.

4.1.1 Suscripción iCalendar (sincronización de calendario)

Sostenutoo ofrece una función opcional de suscripción iCalendar que muestra automáticamente en su aplicación de calendario personal (Apple Calendar, Google Calendar, Outlook, etc.) los eventos (ensayos, conciertos) de una o varias orquestas a las que pertenece.

• Estrictamente opcional (opt-in): sin suscripción por defecto. Usted genera el enlace de suscripción usted mismo desde la aplicación (web, iOS o Android).
• Datos almacenados (tabla user_calendar_tokens): un identificador único, un token aleatorio, su ID de usuario, el ID de la orquesta (o «todas mis orquestas»), una etiqueta opcional, fecha de creación, número de accesos, fecha del último acceso y, en su caso, la fecha de revocación.
• Datos compartidos a través del feed: únicamente datos de los eventos (título, tipo, fechas, ubicación, notas del director). Ningún contenido musical (programas, obras, partituras) ni ningún dato personal de otros miembros queda expuesto.
• Base jurídica: interés legítimo (organización de la orquesta) y ejecución del servicio (art. 6.1.b y 6.1.f del RGPD), respaldados por su consentimiento explícito al generar el token.
• Conservación: hasta que usted lo revoque. El token puede revocarse en cualquier momento desde la pantalla «Calendario personal» de la aplicación (web: ventana de suscripción; iOS: Preferencias; Android: pantalla de la orquesta → botón «Calendario personal»). La revocación detiene inmediatamente la sincronización.
• Seguridad: el token (32 bytes aleatorios, codificado en base64url) debe tratarse como un secreto. Cualquiera con el enlace puede leer su feed. Si sospecha de una filtración, revoque el token y genere uno nuevo.

4.2 Aplicación Android (Google Play Store)

La aplicación Sostenutoo para Android utiliza los siguientes permisos:

• INTERNET: para acceder a los datos de su orquesta y sincronizar la información
• ACCESS_NETWORK_STATE: para comprobar la conectividad a internet antes de las operaciones de red
• READ_MEDIA_IMAGES (Android 13+) / READ_EXTERNAL_STORAGE (Android 12 e inferiores): para permitirle seleccionar fotos que compartir en el chat. Se usa únicamente cuando usted decide enviar una imagen, sin lectura automática de sus fotos.
• POST_NOTIFICATIONS (Android 13+): para recibir notificaciones de mensajes y anuncios (opcional)

Importante: El acceso a las fotos está estrictamente limitado a su selección manual. La aplicación no puede explorar ni acceder a sus fotos sin una acción explícita suya.

5. Finalidades del Tratamiento

6. Compartición de Datos y Subencargados

6.1 Dentro de su orquesta

Los administradores, coordinadores y fundadores de su orquesta pueden ver:

• Su nombre y dirección de correo electrónico
• Su(s) instrumento(s)
• Sus declaraciones de ausencia para los eventos
• Sus mensajes en el chat de la orquesta

Chat y anuncios: Los mensajes del chat son visibles para todos los miembros activos de su orquesta. Los anuncios son visibles según los roles a los que el autor los haya dirigido (todos los músicos, solo los directores, etc.).

Los demás músicos no pueden acceder a sus datos personales (correo electrónico, instrumento) salvo que se compartan a través del chat.

6.2 Encargados del tratamiento (terceros)

Nunca vendemos sus datos a terceros. Los datos transmitidos a los servicios de inteligencia artificial (Google Gemini, Perplexity Sonar) se utilizan exclusivamente para proporcionar las funciones de la plataforma y estos proveedores no los usan para entrenar sus modelos.

7. Transferencias Internacionales

Algunos de nuestros subencargados (Netlify, Resend, Stripe, OneSignal, Google LLC, Perplexity AI) pueden tratar datos en Estados Unidos. Estas transferencias se rigen por:

• Las Cláusulas Contractuales Tipo de la Comisión Europea
• El Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework, para empresas certificadas)

Su base de datos principal permanece alojada en Francia (París) a través de Supabase.

8. Plazo de Conservación de los Datos

8.1 Eliminación de una orquesta

Cuando se elimina una orquesta, todas las partituras, eventos, programas, mensajes y anuncios asociados se eliminan de forma permanente.

8.2 Abandono de una orquesta

Cuando usted abandona una orquesta, sus declaraciones de ausencia para esa orquesta se eliminan. Sus datos personales (cuenta, perfil) permanecen intactos. Sus mensajes de chat siguen siendo visibles (con su nombre) para preservar la continuidad de la conversación, salvo que los haya eliminado manualmente antes de su salida.

8.3 Eliminación de mensajes e imágenes

Puede eliminar sus propios mensajes (texto e imágenes) en cualquier momento desde la aplicación móvil. Al eliminar un mensaje que contiene una imagen, esta se elimina de forma permanente del almacenamiento en un plazo de 24 horas. Los administradores también pueden eliminar cualquier mensaje en caso de contenido inapropiado.

9. Sus Derechos Conforme al RGPD

De conformidad con el RGPD (Reglamento General de Protección de Datos — Reglamento UE 2016/679) y la Loi Informatique et Libertés francesa (Ley francesa de Informática y Libertades), usted dispone de los siguientes derechos:

• Derecho de acceso: obtener una copia de sus datos (respuesta en un plazo de 7 días hábiles)
• Derecho de rectificación: corregir sus datos directamente en la aplicación o previa solicitud
• Derecho de supresión: eliminar su cuenta desde los ajustes o previa solicitud
• Derecho a la portabilidad de los datos: recibir sus datos en un formato estructurado (JSON/CSV)
• Derecho de oposición: oponerse al tratamiento basado en interés legítimo (incluida la mejora de la plataforma y las funciones inteligentes)
• Derecho a retirar el consentimiento en cualquier momento

10. Seguridad de los Datos

Aplicamos las siguientes medidas:

• Cifrado en tránsito: todas las comunicaciones están protegidas mediante HTTPS/TLS
• Autenticación segura: contraseñas cifradas, tokens JWT firmados
• Aislamiento de datos: cada orquesta está aislada mediante Row Level Security (RLS)
• Copias de seguridad: copias de seguridad periódicas de la base de datos
• Acceso restringido: principio de mínimo privilegio para el acceso de los administradores

11. Cookies y Almacenamiento Local

Solo utilizamos cookies y almacenamiento local estrictamente necesarios:

• Token de sesión: para mantener su sesión iniciada
• Preferencias: orquesta seleccionada, tema de visualización

No se utilizan cookies de seguimiento, publicidad ni analítica.

Nota: en el futuro podría añadirse Google Analytics con opción de consentimiento.

12. Protección de Menores

Sostenutoo es un servicio diseñado para la gestión de orquestas y agrupaciones musicales. No existe restricción de edad para utilizar el servicio, ya que no recopila datos sensibles y se utiliza en un contexto educativo y cultural supervisado (escuelas de música, conservatorios, orquestas de aficionados).

Si usted es padre, madre o tutor legal y desea obtener información sobre los datos de su hijo/a, contáctenos en support@sostenutoo.com.

13. Violación de Datos

En caso de violación de la seguridad de los datos que pueda suponer un riesgo para sus derechos y libertades, nos comprometemos a:

• Notificar a la CNIL (Commission Nationale de l'Informatique et des Libertés — la autoridad francesa de protección de datos) en un plazo de 72 horas
• Informarle lo antes posible por correo electrónico
• Adoptar las medidas correctoras necesarias

14. Cambios en Esta Política

Esta política puede actualizarse. En caso de un cambio sustancial:

• Se revisará la fecha de actualización en la parte superior de esta página
• Se enviará un correo informativo a los usuarios
• Podrá aparecer una notificación dentro de la aplicación

15. Contacto y Reclamaciones

Para cualquier pregunta sobre esta política:

Correo electrónico: support@sostenutoo.com

Para presentar una reclamación ante la autoridad de control:

CNIL — Commission Nationale de l'Informatique et des Libertés (Autoridad Francesa de Protección de Datos)
3 Place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07
www.cnil.fr