# Política de privacidad e información breve

**BORRADOR NO VIGENTE — 2026-10-23, versión 2026-10-23-draft-1.** Documento de trabajo pendiente de datos del titular y revisión jurídica profesional. No constituye asesoramiento jurídico definitivo, oferta comercial ni condiciones aceptables en el registro.

Responsable y contacto para derechos: pendientes de identificación y verificación; esta carencia impide publicar la política definitiva.

Mapa observado: correo y hash de contraseña; verificación y recuperación con hashes de tokens y fechas; sesiones revocables; identificadores derivados de correo/IP para límites de abuso; historias, destinatarios, ocasiones, preferencias, palabras solicitadas, letras, trabajos, resultados y archivos de audio. No introducir datos de salud, ideología, sexualidad ni otra información especialmente protegida; los datos de terceros requieren evaluación propia. Un contrato con quien encarga una canción no basta por sí solo para tratar todos los datos de otras personas. Debe evaluarse información del art. 14 y sus excepciones, sin presumirlas.

Bases propuestas a validar: art. 6.1.b para cuenta, solicitudes y entrega necesarias; art. 6.1.f para seguridad y prevención de abuso previa ponderación documentada; art. 6.1.c solo para obligaciones concretas acreditadas. Marketing opcional requeriría tratamiento y consentimiento separados: no está implementado. No se exige consentimiento general para usar el servicio. No se ha acreditado base del art. 9 para categorías especiales: no habilitar ese uso.

El código referencia OpenAI para letras, Resend para correo y Cloudflare para web/túnel/R2. Dos GPU de red local reciben los trabajos musicales. Estas referencias no acreditan entidad contratante, regiones, subencargados, contratos del art. 28, retención del proveedor o garantías de transferencias. Completar ese registro, verificar roles y aplicar capítulo V antes de operar comercialmente. No se habilita un proveedor nuevo.

Conservación observada: sesiones de 24 horas, recuperación de 30 minutos y limpieza de contadores de abuso anteriores a 48 horas al efectuar comprobaciones; esas ventanas no prueban borrado global de sesiones, tokens, logs o copias. Historias/payloads, letras y resultados persisten sin calendario de borrado acreditado. Debe aprobarse un calendario por finalidad, borrado automatizado, tratamiento de copias y bloqueo cuando legalmente proceda; no se inventa una obligación de guardar prompts o IP indefinidamente. SHA-256 de IP/correo no equivale a anonimización.

Derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad cuando proceda y retirada de consentimientos opcionales sin afectar su licitud anterior. Debe habilitarse un contacto efectivo, identificación proporcional y respuesta normalmente en un mes, con prórroga legal motivada cuando proceda. Puede reclamarse ante la AEPD si es competente. No hay procedimiento operativo verificado. No hay decisión automatizada del art. 22 acreditada; revisar efectos si se automatizan exclusiones con impacto significativo.

Menores: distinguir art. 8 RGPD/7 LOPDGDD (consentimiento de datos, umbral español 14) de capacidad contractual, derechos de terceros y protección reforzada. Falta decidir acceso, verificación proporcional y actuación del representante. No recoger documentos de identidad por defecto.

Información breve propuesta para registro, aún no publicable: «Responsable: pendiente. Usaremos tu correo para gestionar la cuenta y la verificación; base propuesta: ejecución de la relación solicitada. Consulta destinatarios, conservación y derechos en la política pendiente de completar». Para historia/letra: «El texto se procesa mediante IA y, para música, se envía al motor musical. Evita datos sensibles y aporta solo información y contenido que puedas utilizar. Revisa la política de privacidad antes de enviar». No usar una casilla de consentimiento RGPD genérico.