Política de Privacidad

Versión 2026-09-29 · Vigente desde el 29 de septiembre de 2026

Esta política explica qué datos personales recoge SocialMetrics, para qué, con qué base jurídica, con quién los compartimos, cuánto tiempo los conservamos y qué derechos le asisten. Se aplica al sitio web y a la aplicación de SocialMetrics.

Hemos procurado redactarla en lenguaje claro. Si algo no se entiende, consúltenos: los datos de contacto están en la sección 1.

1. Responsable del tratamiento

No hemos designado Delegado de Protección de Datos porque no estamos obligados a ello. Las consultas sobre privacidad se dirigen a la dirección indicada.

2. Qué datos recogemos

2.1 Datos que usted nos facilita

• Datos de cuenta: su dirección de correo electrónico y su nombre, si lo proporciona.
• Datos de autenticación: un hash de su contraseña (nunca la contraseña), o su identificador de cuenta de Google, nombre visible y URL de la foto de perfil si inicia sesión con Google.
• Correspondencia de soporte: cualquier comunicación que nos envíe por correo electrónico.

2.2 Datos procedentes de Instagram, con su autorización

Cuando conecta una cuenta de Instagram Business o Creator mediante Instagram Business Login, recibimos, en su nombre y dentro de los permisos concedidos (instagram_business_basic, instagram_business_manage_insights):

• el identificador de su cuenta de Instagram, el nombre de usuario, la foto de perfil y el número de seguidores y publicaciones;
• sus publicaciones y Reels, incluidos textos, miniaturas, URLs de medios, marcas temporales y métricas por publicación;
• estadísticas de la cuenta: alcance, visualizaciones, número de seguidores, cuentas con interacción, "me gusta", comentarios, veces compartido, guardados y métricas relacionadas;
• datos demográficos agregados de la audiencia: franjas de edad, distribución por género, ciudades y países. Instagram los facilita únicamente como totales agregados. Nunca recibimos la lista de sus seguidores ni podemos identificar a ninguno de ellos.
• un token de acceso, que almacenamos cifrado (véase la sección 7).

2.3 Datos procedentes de YouTube, con su autorización

SocialMetrics utiliza los Servicios de la API de YouTube (YouTube API Services). Cuando conecta un canal de YouTube a través de su cuenta de Google, acepta además los Términos del Servicio de YouTube, y recibimos, en su nombre y dentro de los permisos concedidos (youtube.readonly, yt-analytics.readonly):

• el perfil de su canal: identificador del canal, nombre, imagen y los recuentos públicos de suscriptores, videos y visualizaciones;
• los metadatos de sus videos: títulos, miniaturas, duraciones, fechas de publicación, estado de privacidad (público, oculto o privado) y los recuentos de visualizaciones, "me gusta" y comentarios por video;
• estadísticas del canal: visualizaciones, tiempo de visionado, "me gusta", comentarios, veces compartido, altas y bajas diarias de suscriptores, fuentes de tráfico, tipos de dispositivo y datos demográficos agregados de la audiencia, que YouTube facilita únicamente como porcentajes. Nunca recibimos la lista de sus suscriptores o espectadores, ni podemos identificar a ninguno de ellos;
• un token de acceso y un token de actualización (refresh token), que almacenamos cifrados (véase la sección 7).

Usamos estos datos únicamente para mostrarle sus propios paneles, informes y exportaciones a usted y a las personas que usted autorice de forma expresa, conforme a los requisitos de Uso Limitado (Limited Use) de Google; no los vendemos, no los usamos con fines publicitarios ni para ningún otro propósito. El tratamiento de sus datos por parte de Google se describe en la Política de Privacidad de Google.

Al desconectar un canal de YouTube se eliminan los datos de YouTube que almacenamos sobre él: revocamos nuestro acceso ante Google y eliminamos los tokens almacenados y las capturas diarias del canal. También puede revocar el acceso de SocialMetrics en cualquier momento desde la configuración de seguridad de Google.

2.4 Datos que generamos

• Capturas diarias de métricas seleccionadas, para conservar un historial más extenso que las ventanas breves de la API.
• Resultados de IA: transcripciones de Reels, análisis escritos de Reels y de videos de YouTube, y documentos del Brand Kit, junto con un registro de uso que indica qué función consumió cuántos créditos y cuándo.
• Registros de equipo y de compartición: miembros, permisos, invitaciones, paneles de marca y tokens de enlace (almacenados con hash).
• Registros de aceptación legal: la versión de estos documentos que usted aceptó y la fecha.
• Registros de sesión: un identificador de sesión con hash y su fecha de expiración.

2.5 Datos recogidos automáticamente

• Registros del servidor, conservados brevemente por seguridad, prevención de abusos y depuración.
• Almacenamiento local en su navegador: identificador de sesión, idioma, tema y una caché de los datos ya mostrados. Permanece en su dispositivo.
• Google Analytics: véase la sección 6 y la Política de Cookies.

2.6 Qué no recogemos

No recogemos datos de tarjetas de pago: los recoge Stripe directamente. No recibimos sus contraseñas de Instagram ni de Google. No recogemos categorías especiales de datos (salud, biometría, opiniones políticas y similares), y le pedimos que no nos los envíe.

3. Para qué los usamos y con qué base jurídica

Conforme al RGPD y a normativas equivalentes, nos basamos en:

Cuando nos basamos en el interés legítimo, hemos ponderado ese interés frente a sus derechos y consideramos el tratamiento proporcionado y previsible. Usted puede oponerse: véase la sección 9.

No vendemos datos personales, no los compartimos con fines de publicidad conductual entre contextos y no los utilizamos para decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos.

4. Tratamiento con inteligencia artificial

Cuando usted ejecuta un análisis de Reel o genera un Brand Kit, enviamos el audio y el video de los Reels seleccionados, junto con las métricas asociadas, a nuestro proveedor de IA (Google — API de Gemini) para su procesamiento y devolución.

Cuando usted ejecuta un análisis de un video de YouTube, no enviamos el archivo del video. Enviamos la dirección (URL) del video, que nuestro proveedor de IA obtiene directamente de YouTube, junto con su título, su duración, las estadísticas agregadas del video y el idioma de su interfaz. Solo se pueden analizar videos públicos en YouTube; los videos ocultos y privados nunca se envían.

Cuando un usuario con permiso de IA ejecuta la clasificación de contenido (pilares de contenido y detección de publicaciones patrocinadas), enviamos el texto (caption) de cada publicación que se clasifica y, si usted ya ejecutó antes un análisis de Reel de pago sobre esa publicación, un extracto de su transcripción almacenada, a un segundo proveedor de IA (TypeSafe AI). Nunca enviamos imágenes, audio ni video a TypeSafe. Solo almacenamos la clasificación resultante y un hash de los datos enviados, no el texto del caption.

• El resultado está generado por un modelo de IA y se identifica como tal en la interfaz. Puede contener errores.
• Nuestros proveedores de IA (Google y TypeSafe) actúan como encargados del tratamiento en condiciones que no les permiten entrenar modelos con sus datos. TypeSafe actúa conforme a un acuerdo de encargado del tratamiento.
• El tratamiento lo inicia usted, trabajo por trabajo. Si nunca utiliza estas funciones, no se envía nada.
• Las transcripciones y los análisis se almacenan en su cuenta para que pueda consultarlos, y se eliminan junto con ella.

5. Con quién compartimos los datos

Utilizamos un número reducido de encargados. Cada uno actúa siguiendo nuestras instrucciones, bajo un contrato que incluye las cláusulas de protección de datos exigidas por el artículo 28 del RGPD.

También podemos comunicar datos cuando la ley nos obligue, para formular o defender reclamaciones legales, o en el marco de una fusión o venta del negocio, en cuyo caso se lo notificaríamos previamente.

Las personas que usted invita ven las secciones de la cuenta que usted les concede. Quien reciba un enlace compartido ve el contenido de ese panel de marca. Esas comunicaciones las realiza usted y usted las controla.

6. Analítica

Nuestro sitio web público carga Google Analytics, que recoge información de uso como páginas visitadas, ubicación aproximada derivada de la dirección IP, y tipo de dispositivo y navegador.

Esto no es estrictamente necesario para prestar el Servicio, por lo que en el Espacio Económico Europeo, el Reino Unido y otras regiones con normas equivalentes solicitamos su consentimiento antes de cargarlo, y usted puede retirarlo en cualquier momento. Los detalles y la forma de cambiar su elección están en la Política de Cookies.

7. Cómo protegemos sus datos

• Los tokens de acceso de Instagram y los tokens de acceso y actualización de YouTube (Google) se cifran en reposo con AES-256-GCM; la clave reside únicamente en el entorno del servidor.
• Las contraseñas se almacenan como hashes scrypt. Nunca almacenamos ni registramos una contraseña en claro.
• Los identificadores de sesión se almacenan como hashes SHA-256; el valor original existe solo en su navegador.
• Los tokens de enlaces compartidos y los códigos de invitación se almacenan con hash. Las contraseñas de enlaces se cifran con scrypt y nunca se guardan en claro.
• Nuestros secretos de aplicación y sus tokens de Instagram y YouTube nunca se envían al navegador.
• El tráfico se sirve sobre HTTPS; la conexión con la base de datos utiliza TLS.
• Las peticiones están limitadas por cuenta y por usuario; los enlaces públicos tienen límites propios más estrictos.

Ningún sistema es perfectamente seguro. Si una brecha afecta a sus datos personales y es probable que entrañe un riesgo para sus derechos, lo notificaremos a la autoridad de control competente en un plazo de 72 horas y a usted sin dilación indebida, conforme exige el RGPD.

8. Transferencias internacionales

Estamos radicados en Estados Unidos, al igual que la mayoría de nuestros encargados. Cuando los datos personales salen del Espacio Económico Europeo o del Reino Unido, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea, en una decisión de adecuación, o en el Marco de Privacidad de Datos UE-EE. UU. cuando el encargado está certificado. Puede solicitarnos detalles sobre las garantías aplicables a una transferencia concreta.

9. Sus derechos

Con independencia de dónde resida, puede solicitarnos:

• acceder a los datos personales que tratamos sobre usted y obtener una copia;
• rectificar lo que sea inexacto o incompleto;
• suprimir su cuenta y sus datos ("derecho de supresión");
• portar sus datos en un formato estructurado y legible por máquina;
• limitar el tratamiento u oponerse al basado en interés legítimo;
• retirar el consentimiento en cualquier momento, sin que ello afecte al tratamiento ya realizado.

Cómo ejercerlos. Algunas acciones puede realizarlas usted mismo de inmediato:

Para lo demás — incluida una exportación completa de datos — escriba a [email protected] desde la dirección de correo asociada a la cuenta. Respondemos en un plazo de 30 días.

No cobramos por ello y no le trataremos peor por ejercer un derecho.

Si se encuentra en el EEE o el Reino Unido, puede presentar una reclamación ante su autoridad nacional de protección de datos. Le agradeceríamos la oportunidad de resolverlo antes.

Si se encuentra en California, dispone de los derechos anteriores y del derecho a conocer las categorías de datos recogidos, comunicados y vendidos o compartidos. No vendemos ni compartimos datos personales en el sentido de la CCPA/CPRA, y no los tratamos con fines de publicidad conductual entre contextos. Respetamos la señal Global Privacy Control cuando nuestro proveedor de analítica la admite. Puede designar a un agente autorizado para actuar en su nombre.

Si se encuentra en otro estado de EE. UU. con ley integral de privacidad — incluidos Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana, Delaware, Nuevo Hampshire, Nueva Jersey, Nebraska, Minnesota, Maryland, Rhode Island, Indiana, Kentucky, Iowa, Tennessee o Florida — se aplican los mismos derechos. Si su estado prevé un recurso frente a una solicitud denegada, comuníquenoslo y revisaremos la decisión, explicándole el resultado por escrito.

10. Cuánto tiempo conservamos los datos

Cuando elimina su cuenta, suprimimos o anonimizamos de forma irreversible sus datos personales de inmediato, salvo aquellos registros que debamos conservar, señaladamente los documentos contables y fiscales. Estos conservan el importe, la moneda y la fecha, con la referencia a usted eliminada. Las copias de seguridad se sobrescriben en su ciclo habitual.

11. Menores

El Servicio no está dirigido a menores de 18 años y no recogemos conscientemente datos de menores. Si cree que un menor nos ha facilitado datos personales, contáctenos y los eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política. Cada versión lleva un identificador y una fecha de entrada en vigor. Si un cambio afecta sustancialmente al uso de sus datos personales, se lo notificaremos por correo electrónico o dentro de la aplicación antes de que entre en vigor y, cuando la ley lo exija, solicitaremos un nuevo consentimiento.

13. Contacto

Consultas sobre privacidad y solicitudes para ejercer sus derechos:

[email protected]