Política de Privacidad

Cómo HYPERPULSE GROUP LTD, la empresa que opera Spilix, recopila, usa, comparte y protege tus datos personales.

1. Quiénes somos y alcance

Spilix (spilix.co) es operado por HYPERPULSE GROUP LTD, una sociedad privada de responsabilidad limitada constituida en Inglaterra y Gales (número de registro 17573941) ("Spilix", "nosotros"). Somos el responsable del tratamiento de los datos personales descritos en esta Política.

Esta Política se aplica al sitio web, el panel y los servicios relacionados de Spilix, y debe leerse junto con nuestros Términos del Servicio y la Política de Cookies. Si te registras en nombre de un sello o empresa, también cubre los datos personales que nos proporcionas sobre tus artistas y colaboradores: eres responsable de tener el derecho de compartir esos datos con nosotros.

2. Información que recopilamos

Información que nos proporcionas:

• Cuenta: correo, nombre, nombre de usuario, contraseña (almacenada solo como un hash bcrypt), país, idioma preferido y tu confirmación de que tienes al menos 18 años.

• Seguridad de inicio de sesión: si las activas, las claves públicas de passkey (WebAuthn) y el secreto usado para generar los códigos de autenticación multifactor. Los datos biométricos nunca salen de tu dispositivo y nunca se envían a Spilix.

• Perfil de artista y sello: nombre artístico, bio, avatar, enlaces sociales e identificadores como el Spotify ID, el Apple Music ID y el IPI/CAE.

• Contenido: grabaciones máster, portadas, metadatos, letras, repartos de autoría y datos de colaboradores.

• Facturación: el tipo de método de pago y tu historial de transacciones. Los datos de la tarjeta se ingresan directamente en la página de pago del Socio de Pagos (Link de Stripe, o Dodo Payments) y se tokenizan allí: Spilix nunca recibe ni almacena números de tarjeta completos.

• Datos de pago: nombre del beneficiario, domicilio, número de cuenta bancaria o IBAN, SWIFT/BIC y los demás datos bancarios necesarios para pagar tus regalías.

• Registros de acuerdos: cuando aceptas nuestros Términos, registramos tu nombre, correo, dirección IP, dispositivo, la hora y la versión aceptada, y generamos un Registro del Acuerdo en PDF que Spilix firma digitalmente (posiblemente después del momento de la aceptación).

• Datos fiscales: número de identificación fiscal y prueba de residencia fiscal, solo cuando la ley o un DSP lo exijan (Términos, Sección 22).

• Soporte: los mensajes que nos envías y los datos de contacto que incluyas.

Información recopilada automáticamente:

• Datos de uso y dispositivo: dirección IP y el país aproximado derivado de ella, navegador y sistema operativo, páginas visitadas, acciones en el panel y marcas de tiempo de acceso.

• Datos analíticos a través de Google Analytics, y datos de clics y conversiones publicitarias a través de Google Ads y Meta, solo si eliges "Aceptar todo" en el aviso de cookies (véase la Sección 9), salvo que cada compra pagada se reporta a Meta sea cual sea tu elección (véase la Sección 3).

Información de terceros: estado de entrega, reproducción y pago de los DSP y de nuestros proveedores de pago y de abono; datos públicos de catálogo (por ejemplo estadísticas de artistas y pistas) de proveedores de datos musicales.

3. Cómo usamos la información y bases legales

Tratamos tus datos personales para los fines siguientes. Cuando aplica el RGPD o una ley similar, la base legal se indica entre corchetes.

• Prestar el servicio: crear tu cuenta, distribuir tus lanzamientos, mostrar analíticas y cobrar y pagar tus regalías [ejecución de un contrato].

• Procesar pagos y abonos a través de nuestros proveedores, y llevar los registros financieros que la ley exige [contrato; obligación legal].

• Llevar registros de los acuerdos que aceptas y refrendarlos digitalmente [contrato; obligación legal].

• Enviar correos transaccionales: estado de lanzamientos, estados de pago, alertas de seguridad y respuestas de soporte [contrato].

• Enviar correos de marketing sobre productos, funciones y ofertas de Spilix a los usuarios que registraron una cuenta y aceptaron los Términos (Sección 2); cada uno de esos correos incluye un enlace para darse de baja, y puedes desactivarlos en los ajustes de tu cuenta [consentimiento; interés legítimo en los clientes existentes].

• Mantener el servicio seguro: gestión de sesiones, prevención de fraude, detección de abusos y la verificación de disponibilidad geográfica basada en tu dirección IP descrita en la Sección 16 de los Términos [intereses legítimos; obligación legal].

• Entender cómo se usa el sitio y mejorarlo, usando Google Analytics solo si aceptas las cookies analíticas [consentimiento].

• Medir cuáles de nuestros anuncios de Google Ads y Meta llevan a registros y compras, y mostrar anuncios de Spilix a quienes han visitado nuestro sitio, usando Google Ads y Meta solo si aceptas las cookies publicitarias, salvo el reporte de compras a Meta descrito a continuación [consentimiento].

• Reportar cada compra pagada a Meta, sea cual sea tu elección de cookies, para poder medir cuáles de nuestros anuncios de Meta llevan a compras y para que Meta pueda optimizar la entrega de los anuncios de Spilix: nuestro servidor envía el producto y el importe, tu dirección de correo y tu número de cuenta en forma hash, y la dirección IP y los detalles del navegador de la solicitud de pago; para esto no se establecen ni leen cookies; puedes oponerte en cualquier momento escribiendo a privacy@spilix.co (Sección 8) [intereses legítimos].

• Verificar derechos de autor y prevenir el fraude de contenido, generando una huella de audio de las grabaciones que subes y comparándola con la base de datos de reconocimiento musical de ACRCloud para detectar coincidencias con grabaciones propiedad de otros [contrato; intereses legítimos].

• Cumplir obligaciones fiscales, contables, de prevención de lavado de dinero y otras obligaciones legales, y responder a solicitudes lícitas de las autoridades [obligación legal].

No tomamos decisiones automatizadas que tengan efectos legales o similarmente significativos sobre ti. La verificación de disponibilidad geográfica es automatizada, pero solo determina si Spilix se ofrece en tu país.

4. Con quién compartimos la información

Compartimos datos personales únicamente con las partes a continuación, y solo los datos que cada una necesita:

• Proveedores de servicios digitales (Spotify, Apple Music, YouTube, Zing MP3, JOOX, Boomplay y las demás tiendas que selecciones): metadatos del lanzamiento, audio, portada y los datos del artista necesarios para la distribución.

• Organismos de gestión de derechos de ejecución y mecánicos (BMI, ASCAP, GEMA, VCPMC y otros): información de la obra y repartos de autoría, si te suscribes a Administración Editorial.

• Stripe y Link (procesador de pagos y Comerciante Registrado): datos de pago, de suscripción, de dirección de facturación y fiscales. Los datos de la tarjeta van directamente a Stripe y Spilix nunca los ve. Link puede contactarte sobre tu compra y te permite gestionarla en link.com; una solicitud de eliminación hecha a Link también cancela las suscripciones compradas a través de él.

• Dodo Payments (procesador de pagos y Comerciante Registrado para las compras realizadas a través de su página de pago): datos de pago y suscripción. Los datos de la tarjeta van directamente a Dodo y Spilix nunca los ve.

• Airwallex (proveedor de abonos): nombre del beneficiario, domicilio y datos bancarios, para que puedan enviarse tus pagos de regalías.

• Amazon Web Services: base de datos (Aurora PostgreSQL), almacenamiento de archivos (S3), entrega de contenido (CloudFront), correo transaccional (SES) y la clave que aplica nuestra firma digital a los registros de acuerdos (KMS, que recibe solo una huella del documento, nunca su contenido).

• ACRCloud (reconocimiento de audio): el archivo de audio o la huella de audio de las grabaciones que subes, con metadatos básicos del lanzamiento (título, nombre del artista), para verificar los derechos de autor antes de la distribución. ACRCloud no recibe tus datos de cuenta, contacto ni pago.

• Google: Google Analytics y Google Ads, solo si eliges "Aceptar todo" en el aviso de cookies. Consulta la Política de Cookies.

• Meta: Meta Pixel y la Meta Conversions API. El Pixel, las cookies publicitarias y los eventos de registro e inicio de pago se usan solo si eliges "Aceptar todo" en el aviso de cookies, e incluyen tu dirección de correo en forma hash, la dirección IP y los detalles del navegador. Por cada compra pagada, sea cual sea tu elección de cookies, nuestro servidor envía a Meta el producto y el importe, tu dirección de correo y tu número de cuenta en forma hash, y la dirección IP y los detalles del navegador de la solicitud de pago (véase la Sección 3). Consulta la Política de Cookies.

• Proveedores de datos musicales (Soundcharts): consultamos identificadores públicos de artistas y pistas para mostrar tendencias de streaming. No se envían datos de cuenta.

• Herramientas internas: las alertas operativas enviadas a nuestro equipo a través de Discord pueden incluir identificadores de cuenta y referencias de facturas.

• Autoridades, asesores y sucesores: cuando la ley lo exija, para proteger nuestros derechos, o en relación con una fusión, adquisición o venta de activos (en cuyo caso se te notificará).

Spilix no vende tus datos personales y no los comparte con terceros para su propio marketing.

5. Transferencias internacionales

Spilix es operado por HYPERPULSE GROUP LTD, una empresa constituida en el Reino Unido. Nuestra infraestructura corre en Amazon Web Services en Estados Unidos y en Sídney, Australia. Los proveedores enumerados en la Sección 4 pueden tratar datos en otros países, incluidos los países en los que operan Stripe, Dodo Payments, Airwallex, ACRCloud, Google y Meta.

Cuando transferimos datos personales fuera del EEE, el Reino Unido o Suiza, nos apoyamos en decisiones de adecuación cuando existen y, en su defecto, en Cláusulas Contractuales Estándar o en el Addendum del Reino Unido, junto con cifrado y controles de acceso.

6. Almacenamiento y seguridad

Los datos se almacenan en AWS con cifrado en reposo y cifrado TLS en tránsito. Las contraseñas se almacenan solo como hashes bcrypt. Los archivos de audio e imagen se almacenan en S3 con cifrado del lado del servidor y se entregan a través de CloudFront. Las sesiones usan cookies HttpOnly y Secure, y puedes agregar passkeys y autenticación multifactor a tu cuenta.

El acceso a los datos de producción se limita al personal que lo necesita para su función. Ningún sistema es completamente seguro y no podemos garantizar una seguridad absoluta, pero aplicamos estas salvaguardas para proteger tus datos del acceso no autorizado, la pérdida o la alteración.

7. Conservación de datos

Conservamos los datos personales solo durante el tiempo necesario para los fines de la Sección 3. En la práctica:

• Datos de cuenta, perfil y contenido: mientras exista tu cuenta. La distribución es una relación continua —tus lanzamientos permanecen en los DSP, las regalías siguen llegando y debemos poder vincularlas contigo—, por lo que no eliminamos estos datos en un calendario fijo mientras tu catálogo esté en vivo o te sigan debiendo regalías.

• Registros financieros (facturas, pagos, estados de pago y registros de acuerdos): durante el periodo que exige la ley contable y fiscal aplicable, generalmente hasta diez años, incluso después de que tu cuenta se cierre.

• Registros de seguridad y acceso: durante el periodo limitado necesario para la prevención de fraude y la investigación de incidentes.

• Dirección IP y detalles del navegador de la página de pago conservados para reportar una compra a Meta: hasta 8 días después de que se inicie el pago.

Cuando cierras tu cuenta y nos pides eliminar tus datos, eliminamos o anonimizamos los datos personales que ya no necesitamos una vez que tus lanzamientos se hayan retirado y se hayan pagado las regalías pendientes. Conservamos solo los registros que la ley nos obliga a conservar, como se describe arriba. Consulta la Sección 8 para saber cómo hacer una solicitud.

8. Tus derechos

Según donde vivas, tienes los derechos a continuación sobre tus datos personales. Los respetamos para todos los usuarios independientemente de su ubicación, sujetos a los límites legales descritos en esta Política.

• Acceso: obtener una copia de los datos personales que tenemos sobre ti.

• Rectificación: corregir datos inexactos o incompletos. La mayoría de los datos de cuenta y perfil pueden editarse directamente en tu panel.

• Supresión: pedirnos que eliminemos tu cuenta y tus datos personales. Los lanzamientos ya entregados pueden permanecer en los DSP bajo tu nombre artístico según los acuerdos de distribución, y conservamos los registros que la ley exige (Sección 7).

• Limitación y oposición: pedirnos que limitemos ciertos tratamientos, u oponerte a los tratamientos basados en nuestros intereses legítimos.

• Portabilidad: recibir los datos de tu cuenta en un formato estructurado y legible por máquina (JSON o CSV), preparado a solicitud.

• Retirar el consentimiento: en cualquier momento, para los tratamientos basados en el consentimiento; por ejemplo borrando los datos de este sitio en tu navegador para que el aviso de cookies vuelva a aparecer, o usando el enlace para darte de baja en un correo de marketing.

• Reclamar: presentar una reclamación ante tu autoridad de protección de datos. En el Reino Unido es la Information Commissioner's Office (ICO), en la que Spilix está registrado; en el EEE, tu autoridad nacional de control.

• Residentes de California (CCPA/CPRA): los derechos a conocer, eliminar y corregir los datos personales, a optar por no participar en su venta o compartición (no la vendemos; el reporte de compras a Meta descrito en la Sección 3 podría contar como "compartición" para publicidad conductual entre contextos, y puedes optar por no participar escribiendo a privacy@spilix.co), y a no ser discriminado por ejercer estos derechos.

Para ejercer cualquier derecho, escribe a privacy@spilix.co desde la dirección de tu cuenta. Podemos pedirte que verifiques tu identidad. Respondemos dentro de 30 días, o antes cuando la ley exija un plazo más corto, y te avisaremos si una solicitud compleja requiere más tiempo.

9. Cookies, analíticas y publicidad

Spilix establece cookies esenciales solo para operar el inicio de sesión: spilix_session te mantiene conectado, y spilix_trusted permite que un dispositivo en el que marcaste "Recordarme" omita el código de verificación de inicio de sesión durante 30 días. Con tu consentimiento, también usamos Google Analytics 4, que establece cookies analíticas y envía datos de uso —páginas vistas, eventos como registros y compras, información de dispositivo y navegador, y una dirección IP truncada— a Google, y Google Ads y el Meta Pixel, que establecen cookies publicitarias que registran si llegaste a Spilix desde uno de nuestros anuncios en Google, Facebook o Instagram, para que podamos medir qué anuncios llevan a registros y compras y mostrar anuncios de Spilix a quienes visitaron el sitio. Ninguna de estas se carga hasta que eliges "Aceptar todo" en el aviso de cookies. Para cambiar tu elección más adelante, borra las cookies y los datos de este sitio en los ajustes de tu navegador: el aviso de cookies volverá a aparecer en tu próxima visita.

No vendemos tus datos personales. Los detalles completos —nombres de cookies, finalidades, duraciones y el almacenamiento del navegador que usamos— están en nuestra Política de Cookies.

10. Menores

Debes tener al menos 18 años para usar Spilix, según se establece en los Términos. No recopilamos a sabiendas datos personales de ninguna persona menor de 18 años. Si crees que una persona menor de edad se ha registrado, contacta a privacy@spilix.co y eliminaremos la cuenta.

11. Violaciones de datos

Si una violación de datos personales puede poner en riesgo tus derechos, te lo notificaremos a ti y a la autoridad competente sin demora indebida y dentro de los plazos exigidos por la ley aplicable, y te diremos qué estamos haciendo al respecto.

12. Cambios a esta Política

Podemos actualizar esta Política de vez en cuando. Para cambios sustanciales —nuevos fines, nuevas categorías de terceros o derechos reducidos— te lo notificaremos por correo y mediante un aviso en la aplicación al menos 30 días antes de que entren en vigor. Los cambios menores entran en vigor al publicarse, con la fecha de "Última actualización" revisada.

13. Contacto

Para preguntas sobre esta Política o para ejercer tus derechos, contacta a privacy@spilix.co.

Responsable del tratamiento: HYPERPULSE GROUP LTD, una sociedad privada de responsabilidad limitada constituida en Inglaterra y Gales. Número de registro: 17573941. Domicilio registrado: 167-169 Great Portland Street, Fifth Floor, London, W1W 5PF, United Kingdom. Registrado ante la Information Commissioner's Office (ICO) del Reino Unido, con número de registro 00016310751.