Política de Privacidad de SyncStudio

Esta Política de Privacidad explica cómo se tratan los datos personales al utilizar SyncStudio, tanto en la aplicación móvil como en la plataforma web y los servicios asociados.

SyncStudio permite a artistas, productores, colaboradores y otros usuarios crear perfiles, gestionar proyectos musicales, compartir archivos y versiones de audio, comunicarse, organizar reservas, realizar o recibir pagos y construir una reputación profesional.

El tratamiento se rige por el Reglamento (UE) 2016/679 General de Protección de Datos («RGPD»), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»), y las demás normas aplicables.

El responsable del tratamiento es:

• Identidad o razón social: [PENDIENTE: indicar la identidad o razón social completa del titular de SyncStudio].
• NIF/CIF: [PENDIENTE: indicar NIF/CIF].
• Domicilio: [PENDIENTE: indicar domicilio social o profesional completo].
• Correo de privacidad: [PENDIENTE: indicar una dirección de correo válida para privacidad y ejercicio de derechos].
• Delegado de Protección de Datos: [PENDIENTE: indicar si existe DPD y sus datos de contacto o señalar expresamente que no se ha designado porque no resulta obligatorio].

En adelante, se denomina «SyncStudio» al responsable identificado en este apartado.

Los datos pueden proceder:

• Del propio usuario, durante el registro, la configuración del perfil, la contratación de un plan, la participación en proyectos o el uso de las funcionalidades.
• De otro usuario de SyncStudio. En concreto, un productor puede facilitar el nombre, correo electrónico, teléfono y rol de un artista al crear una invitación; el artista principal puede seleccionar una cuenta ya existente para invitarla como colaboradora; y los participantes pueden incluir información sobre otras personas en títulos, descripciones, referencias, mensajes, comentarios, reservas, valoraciones o documentos compartidos.
• De la actividad generada dentro de SyncStudio, como mensajes, comentarios, reservas, estados de lectura, valoraciones, pagos o notificaciones.
• De Stripe, en relación con pagos, suscripciones, reembolsos, transferencias y la cuenta de cobros de un productor.
• Del dispositivo y de los servicios de notificaciones, al registrar una instalación para recibir avisos push.

Cuando una persona facilite datos de un tercero, deberá contar con legitimación para hacerlo e informarle de la comunicación a SyncStudio cuando sea exigible.

Según las funciones utilizadas, SyncStudio puede tratar las siguientes categorías:

• Cuenta e identificación: nombre, apellidos, nombre artístico, correo electrónico, teléfono, identificador interno, contraseña protegida mediante hash, rol, estado de cuenta y fechas asociadas.
• Perfil profesional: avatar, biografía, géneros musicales, ciudad, país, disponibilidad, portfolio y enlaces a Instagram, TikTok, Spotify, YouTube u otras plataformas admitidas.
• Datos fiscales y de facturación: tipo de facturación, nombre o razón social, DNI, NIE, NIF u otra identificación fiscal, tipo de documento, domicilio, ciudad, provincia, código postal, país, tipo de IVA, numeración de factura y documentos fiscales.
• Proyectos y colaboraciones: participantes, títulos, descripciones, presupuestos, fechas, referencias, contraofertas, notas, estados, disputas, invitaciones, lanzamientos, álbumes, EP y temas.
• Contenido y archivos: avatares, portadas, imágenes de portfolio, audio, previsualizaciones, archivos de trabajo, nombres de archivo, formato, tamaño, forma de onda y justificantes de pago.
• Comunicaciones: mensajes de chat, comentarios sobre versiones, marcas temporales de audio, estados de lectura, notas de reservas y motivos de rechazo o cancelación.
• Reservas y disponibilidad: horarios, zona horaria, excepciones, vacaciones, bloqueos, ubicación declarada del estudio, tipo de sesión, fechas y alternativas propuestas.
• Reputación profesional: puntuaciones, etiquetas, comentarios, reconocimientos, indicación de si el usuario volvería a trabajar con otra persona y métricas derivadas.
• Pagos y suscripciones: plan contratado, importes, moneda, método, referencias, estado, comisiones, reembolsos, fallos e identificadores de Stripe. SyncStudio no almacena números completos de tarjeta; estos se facilitan directamente a Stripe.
• Notificaciones y datos técnicos: token de notificaciones push, identificador o modelo del dispositivo, plataforma, identificadores de sesión y de servicios externos, estado de lectura y acciones realizadas sobre notificaciones.
• Almacenamiento local: sesión de acceso, copia local del perfil, elementos vistos, estado del recorrido guiado y determinadas preferencias o cachés técnicas del navegador o dispositivo.

SyncStudio no ha detectado en su implementación actual la recogida de ubicación GPS, contactos, SMS, llamadas o calendario, ni el uso de SDK de publicidad, atribución o analítica.

[PENDIENTE: validar formalmente todas las bases jurídicas antes de publicar esta política y documentar las ponderaciones de interés legítimo].

Cuando el tratamiento se base en el consentimiento, el usuario podrá retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior. La retirada puede limitar determinadas funciones, como aparecer en el buscador o recibir notificaciones push.

El nombre o nombre artístico, avatar, biografía, ciudad, país, géneros, enlaces profesionales, portfolio, disponibilidad y métricas de reputación pueden mostrarse a otros usuarios de SyncStudio.

En el caso de productores, la aparición en el buscador depende de las opciones de visibilidad y disponibilidad del perfil. El contenido que se considera «visible» dentro de SyncStudio no se considera necesariamente público o indexable en Internet.

Las valoraciones pueden mostrar la puntuación, etiquetas, comentario, identidad y avatar de la persona que valora, así como el proyecto relacionado. SyncStudio también calcula métricas de reputación y puede ordenar o destacar perfiles mediante criterios como valoraciones y proyectos completados. Esta clasificación no produce efectos jurídicos ni, según la funcionalidad observada, efectos de importancia similar sobre el usuario.

Cada usuario debe evitar incluir en perfiles, proyectos, archivos, comentarios o mensajes datos personales de terceros que no sean necesarios para la colaboración.

Los proyectos, borradores, solicitudes, contraofertas, chats, comentarios, archivos y reservas se ponen a disposición de los participantes autorizados según su rol: productor, artista principal, colaborador o administrador.

Los mensajes de chat y comentarios pueden generar notificaciones internas y push. Cuando un participante está desconectado, una notificación de chat puede incluir el nombre del remitente y un extracto del mensaje. Este contenido podría mostrarse en la pantalla bloqueada según la configuración del dispositivo.

Las reservas incluyen la disponibilidad del productor, la ubicación declarada del estudio, notas, horarios, alternativas y motivos de rechazo o cancelación. Las solicitudes sin resolver pasan técnicamente a estado «expirado» después de 14 días y las sesiones finalizadas a estado «completado», sin que ese cambio de estado implique su borrado.

Las valoraciones se habilitan durante un periodo limitado después de un proyecto elegible, pero, una vez publicadas, permanecen asociadas al perfil y al proyecto conforme a los plazos indicados en esta política.

SyncStudio permite subir imágenes, portadas, documentos, audio, previsualizaciones y archivos de trabajo. Estos contenidos se almacenan en Amazon S3 y sus referencias técnicas se conservan en la base de datos.

El acceso a los archivos privados se realiza mediante controles de autorización y, en los flujos comprobados, enlaces firmados de duración limitada o descargas autenticadas. Las imágenes de avatar y portfolio pueden mostrarse a otros usuarios conforme a la visibilidad del perfil.

Cuando se sustituyen o eliminan determinados avatares, imágenes de portfolio o archivos de trabajo, SyncStudio intenta eliminar el objeto correspondiente de S3. Algunos registros permanecen desactivados en la base de datos para conservar la trazabilidad.

El usuario garantiza que dispone de los derechos y permisos necesarios sobre el contenido que sube y que dicho contenido no vulnera la privacidad de terceros.

Stripe y Stripe Connect gestionan pagos con tarjeta, suscripciones, onboarding de productores, cobros y transferencias. Stripe recibe los datos necesarios para prestar estos servicios, como el correo, nombre, país, metadatos de usuario o proyecto e información de la operación.

Los datos completos de tarjeta se introducen en los entornos de Stripe y no se almacenan en la base de datos de SyncStudio. SyncStudio conserva identificadores de Stripe, importes, estado, comisiones, transferencias, reembolsos y posibles motivos de fallo.

Para pagos manuales pueden tratarse el método —por ejemplo, Bizum o efectivo—, referencias, notas, justificantes y motivos de rechazo.

Los datos fiscales se utilizan para generar facturas y recibos. Estos documentos pueden contener la identidad fiscal y el domicilio del emisor y del receptor, se almacenan en S3 y se envían por correo electrónico mediante Brevo a las partes de la operación.

SyncStudio utiliza notificaciones internas y, si el usuario concede permiso, notificaciones push. Para ello trata el token Expo, un identificador o modelo del dispositivo, la plataforma y el contenido del aviso.

Las notificaciones se envían mediante Expo Push Service y, en Android, Firebase Cloud Messaging. El usuario puede desactivar las notificaciones push desde los ajustes del dispositivo. Las notificaciones internas necesarias para reflejar actividad de la cuenta o de los proyectos pueden seguir apareciendo dentro del servicio.

La aplicación móvil solicita acceso a la biblioteca de fotos o medios cuando el usuario decide seleccionar una imagen. También declara permisos Android relacionados con notificaciones, reproducción de audio en primer plano, ajustes de audio y detección de grabación de pantalla. La auditoría técnica no detectó una función que grabe audio mediante el micrófono.

La web conserva el token de sesión y determinados estados de uso en localStorage o sessionStorage. La aplicación móvil almacena el token y una copia del perfil mediante Expo SecureStore.

En la implementación revisada se han detectado los siguientes proveedores externos:

Los datos también se comunican a otros participantes cuando sea necesario para ejecutar un proyecto, una reserva, una valoración o una operación de pago y facturación. Por ejemplo, una factura puede contener los datos fiscales de emisor y receptor.

No se detectaron proveedores de publicidad, atribución, analítica o reporte de errores en la implementación auditada.

El almacenamiento S3 está configurado en eu-west-1, región de AWS denominada Europa (Irlanda). La conexión de PostgreSQL apunta a un servicio alojado en Railway, pero la URL técnica no identifica su región física.

Para Stripe, Brevo, Expo, Firebase Cloud Messaging, Spotify y YouTube, el repositorio confirma los servicios y endpoints utilizados, pero no contiene la entidad contractual, región de cuenta, residencia efectiva de los datos, lista de subencargados ni condiciones aplicables.

[PENDIENTE: confirmar la región de PostgreSQL en Railway y documentar para Railway, Stripe, Brevo, Expo/Google, Spotify y YouTube las entidades contratadas, países de tratamiento y, cuando corresponda, la decisión de adecuación, cláusulas contractuales tipo, marco de privacidad u otra garantía de los artículos 45 a 49 del RGPD].

El usuario puede solicitar información sobre las garantías aplicables a través del correo de privacidad indicado en el apartado 2.

Los datos se conservarán durante el tiempo necesario para prestar el servicio, mantener la cuenta y cumplir las finalidades descritas. Después podrán permanecer bloqueados durante los plazos exigidos para atender obligaciones legales o posibles responsabilidades.

Los plazos técnicos concretos detectados son:

• Enlaces de verificación de correo: 24 horas.
• Invitaciones: 7 días.
• Enlaces de recuperación de contraseña: 1 hora y anulación después de su uso.
• Registros de alta pendientes de pago: caducidad indicada de 24 horas, aunque no se ha detectado su purga automática.
• Solicitudes de reserva no resueltas: cambio a estado «expirado» tras 14 días, sin borrado.
• Mensajes de chat eliminados: se vacía el texto, pero se conservan autoría y fechas.
• Comentarios eliminados: se desactivan, conservándose actualmente el registro y el texto.
• Archivos de trabajo e imágenes de portfolio eliminados: se intenta eliminar el archivo de S3 y se conserva un registro desactivado.
• Tokens push inválidos o sustituidos: se desactivan, aunque pueden permanecer registrados.

[PENDIENTE: aprobar plazos de conservación para cuentas, registros pendientes, proyectos, versiones, archivos, chats, comentarios, reservas, valoraciones, notificaciones, pagos, facturas, registros de seguridad y copias de respaldo].

No se ha detectado configuración de copias de seguridad de PostgreSQL, snapshots, recuperación a un punto temporal, replicación, versionado de S3 ni retención mediante Object Lock. Los archivos que la interfaz denomina «backups» son archivos de trabajo aportados por los usuarios y no constituyen una copia de seguridad de la infraestructura.

[PENDIENTE: comprobar en los paneles de Railway y AWS si existen copias de seguridad, snapshots, recuperación a un punto temporal, versionado, replicación, reglas de ciclo de vida u Object Lock, y aprobar sus plazos de conservación].

[PENDIENTE: definir el periodo de cancelación previo a la ejecución y la vigencia del enlace público de verificación].

Los usuarios pueden solicitar la eliminación de su cuenta desde la propia aplicación, desde la configuración de su cuenta en la web o mediante la página pública de eliminación de cuenta. La cuenta queda inaccesible al confirmar la solicitud y puede cancelarse mediante el enlace enviado por correo antes de que comience la ejecución. Los proyectos y contenidos compartidos se conservan anonimizados como «Usuario eliminado». La supresión no afecta a los datos que deban conservarse restringidos por obligación legal, especialmente información fiscal y de pagos, ni a los datos de terceros que deban mantenerse para proteger sus derechos.

SyncStudio aplica medidas técnicas destinadas a proteger los datos, entre ellas:

• Hash bcrypt para las contraseñas.
• Cifrado AES-256-GCM por campo para nombre legal, identificación fiscal y determinados componentes del domicilio fiscal.
• Cifrado SSE-S3 AES-256 forzado en cada objeto subido a Amazon S3. El entorno revisado no tiene configurada una clave AWS_S3_KMS_KEY_ID, por lo que no utiliza SSE-KMS.
• Acceso autenticado y enlaces firmados temporales para archivos privados en los flujos revisados.
• Almacenamiento de credenciales móviles mediante Expo SecureStore.
• Controles de acceso basados en usuario, rol y participación en proyectos.
• Uso de HTTPS para los dominios públicos syncstudio.studio y api.syncstudio.studio, para la API móvil y para las conexiones salientes a S3, Brevo, Expo, Spotify y YouTube. Stripe se integra mediante su SDK oficial.
• Exclusión de archivos .env del control de versiones. La clave de cifrado de campos admite rotación manual mediante una clave actual, claves anteriores temporales y una migración transaccional.

La conexión PostgreSQL se configura únicamente mediante DATABASE_URL, sin opción ssl en el cliente y sin sslmode en la URL revisada. Por tanto, no existe evidencia de TLS entre el backend y PostgreSQL y no puede afirmarse que todos los datos estén cifrados en tránsito.

Las subidas S3 no asignan una ACL pública, el acceso normal utiliza URLs firmadas y el listado anónimo del bucket responde con acceso denegado. No obstante, el repositorio no contiene la política del bucket y no se pudo verificar mediante API la configuración completa de Block Public Access, políticas o ACL de objetos.

[PENDIENTE: verificar en AWS S3 que Block Public Access está activado en sus cuatro opciones, que la política del bucket no concede acceso público y que ningún objeto tiene una ACL pública].

[PENDIENTE: configurar o acreditar TLS para PostgreSQL y comprobar el valor efectivo de `NEXT_PUBLIC_API_URL` en el despliegue web antes de afirmar que todo el tráfico de usuario está cifrado en tránsito].

[PENDIENTE: documentar el gestor de secretos utilizado en producción y los procedimientos de rotación de `JWT_SECRET`, credenciales AWS, claves de Stripe y Brevo y secretos de webhooks. Solo se ha comprobado un procedimiento manual de rotación para `DATA_ENCRYPTION_KEY`].

[PENDIENTE: documentar los controles operativos, copias de seguridad, restauración y gestión de incidentes].

Ningún sistema es completamente invulnerable. El usuario debe proteger sus credenciales, utilizar una contraseña robusta y comunicar cualquier acceso sospechoso.

El usuario puede ejercer los derechos reconocidos por la normativa:

• Acceso: conocer qué datos trata SyncStudio y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación cuando proceda.
• Oposición: oponerse a tratamientos basados en interés legítimo por motivos relacionados con su situación particular.
• Limitación: solicitar que se restrinja temporalmente el tratamiento en los casos previstos legalmente.
• Portabilidad: recibir los datos facilitados en un formato estructurado y transmitirlos a otro responsable cuando resulte aplicable.
• Retirada del consentimiento: retirar en cualquier momento el consentimiento otorgado.
• No ser objeto de decisiones exclusivamente automatizadas que produzcan efectos jurídicos o le afecten significativamente de forma similar, cuando resulte aplicable.

Para ejercer estos derechos deberá escribir a [PENDIENTE: correo de privacidad], indicando el derecho solicitado y la información necesaria para verificar su identidad. El ejercicio es gratuito, salvo solicitudes manifiestamente infundadas o excesivas en los términos legales.

SyncStudio responderá, con carácter general, en el plazo de un mes. Este plazo podrá ampliarse otros dos meses cuando resulte necesario por la complejidad o el número de solicitudes, informando al usuario de la ampliación.

[PENDIENTE: establecer la edad mínima para utilizar SyncStudio y el procedimiento aplicable a menores, incluido, cuando corresponda, el consentimiento de sus progenitores o tutores].

La implementación auditada no contiene controles específicos de edad ni mecanismos de autorización parental. Hasta que se defina este extremo, no debe afirmarse que SyncStudio está dirigido a menores o que dispone de un sistema verificado de consentimiento parental.

En España, cuando un tratamiento se base en el consentimiento del menor, este solo puede prestarlo por sí mismo si es mayor de 14 años, salvo los supuestos en los que la ley exija además la asistencia de sus representantes legales. Para menores de 14 años, el tratamiento basado en el consentimiento requiere el de quien ejerza la patria potestad o tutela.

Si SyncStudio tuviera conocimiento de que se han tratado datos de un menor sin la legitimación necesaria, adoptará las medidas que correspondan conforme a la normativa y a la información disponible.

Si el usuario considera que el tratamiento de sus datos vulnera la normativa, puede dirigirse primero a SyncStudio mediante [PENDIENTE: correo de privacidad].

También tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos:

• Sitio web: https://www.aepd.es/
• Sede electrónica: https://sedeagpd.gob.es/

Cuando la reclamación se refiera al ejercicio de un derecho, la AEPD indica que debe haberse dirigido previamente al responsable del tratamiento o, en su caso, al Delegado de Protección de Datos.

SyncStudio podrá actualizar esta Política de Privacidad cuando cambien sus tratamientos, proveedores, funcionalidades o las obligaciones legales aplicables.

Cuando los cambios sean relevantes, se informará por medios razonables dentro de la aplicación, la web o mediante el correo asociado a la cuenta, según corresponda. La fecha de la versión vigente aparecerá al inicio del documento.

La sección «Seguridad de los datos» de Google Play deberá reflejar, como mínimo, la siguiente información derivada de la aplicación auditada:

La recogida de datos de cuenta necesarios para registrarse y utilizar el servicio es obligatoria. Los datos de perfil opcionales, la biblioteca de imágenes, las notificaciones push y el contenido aportado para funciones concretas dependen de la elección del usuario. Los datos fiscales o de pago son necesarios cuando se utilizan servicios que requieren facturación o cobro.

Los datos se transfieren a AWS, Stripe, Brevo, Expo/FCM y, en el caso de referencias aportadas, Spotify o YouTube. Antes de marcar estos envíos como «datos compartidos» o acogidos a la excepción de proveedor de servicios, deberá comprobarse la relación contractual y el uso real de cada proveedor.

• Eliminación de datos: la auditoría no detectó actualmente un mecanismo de eliminación de cuenta; no debe declararse que existe hasta que pueda verificarse.
• Cifrado en tránsito: los dominios públicos, la API móvil y los proveedores externos comprobados utilizan HTTPS, pero la conexión PostgreSQL no configura TLS y no se conoce el valor efectivo de NEXT_PUBLIC_API_URL en producción. [PENDIENTE: no responder afirmativamente en Play Console hasta acreditar TLS en PostgreSQL y en todos los flujos de la aplicación].
• Publicidad y analítica: no se detectaron SDK de publicidad, atribución o analítica en la implementación revisada.