Política de privacidad

Lyriot ("nosotros", "nuestro") se compromete a proteger tu privacidad. Esta política explica cómo recogemos, utilizamos, compartimos y protegemos tu información personal, conforme al Reglamento General de Protección de Datos (RGPD) y a la normativa francesa aplicable.

Recogemos las siguientes categorías de datos:

• Datos de registro: nombre completo, correo electrónico, contraseña cifrada (bcrypt), ciudad, país, sexo, fecha de nacimiento, número de teléfono (opcional).
• Datos de perfil: foto de perfil (almacenada en Cloudflare R2), biografía, intereses.
• Datos de actividad: eventos creados y a los que te has unido, inscripciones en lista de espera, comentarios publicados, reacciones, registros de entrada por código QR, mensajes intercambiados (contenido y fecha), amistades, estado de lectura de los mensajes (confirmaciones de lectura), logros desbloqueados, rachas de actividad, código de invitación y lista de invitados.
• Datos de gamificación: puntos acumulados por origen, rango actual, historial de clasificación, potenciadores activos y su caducidad, saldo e historial del monedero de puntos.
• Datos de pago: historial de transacciones (suscripciones, eventos de pago, potenciadores), suscripción activa y fecha de renovación. Los datos bancarios y de tarjeta los trata exclusivamente Stripe: nosotros nunca los almacenamos.
• Datos de organizador (Stripe Connect): para los organizadores que reciben pagos, Stripe recoge directamente los datos de verificación de identidad: identidad (nombre, fecha de nacimiento, documento de identidad escaneado), dirección postal completa, datos bancarios (IBAN o número de cuenta) y, en su caso, información de empresa (razón social, número fiscal). Estos datos se rigen por la política de privacidad de Stripe.
• Datos de geolocalización: coordenadas GPS (latitud/longitud) introducidas al crear un evento, para mostrar el mapa y permitir la búsqueda por proximidad. Nunca recogemos la ubicación continua. Si ya has autorizado la geolocalización en tu dispositivo, tu posición, redondeada a unos diez kilómetros, también sirve para ordenar las sugerencias de ciudades; no se guarda en tu cuenta.
• Datos de candidatura: CV, carta de presentación y URL de LinkedIn enviados a través de /careers/apply, almacenados en Cloudflare R2 (bucket "resumes"). Se conservan un máximo de 2 años.
• Datos de contacto: nombre, correo electrónico y contenido de los mensajes enviados mediante el formulario /contact.
• Datos técnicos: dirección IP, tipo de navegador, páginas visitadas, fecha y hora de conexión, identificador de sesión (NextAuth), tokens de notificaciones push (Firebase).

Tus datos se utilizan para:

• Prestar, mantener y mejorar nuestros servicios
• Autenticarte y proteger tu cuenta (acceso con correo y contraseña o con Google OAuth)
• Mostrarte los eventos, perfiles y clasificaciones que te resultan relevantes
• Procesar los pagos (suscripciones, eventos de pago, potenciadores) a través de Stripe
• Abonar los fondos a los organizadores de eventos de pago mediante Stripe Connect
• Enviar notificaciones (correo con Resend, push con Firebase)
• Asignar puntos automáticamente cada 15 minutos mediante tareas programadas (cron)
• Calcular y actualizar los rangos de los usuarios de forma automática
• Generar las repeticiones de los eventos recurrentes (semanales, mensuales, etc.)
• Cobrar y transferir a los organizadores los pagos de los eventos
• Reiniciar periódicamente las clasificaciones semanales, mensuales y anuales
• Comprobar los requisitos del programa de invitaciones (prevención de abusos)
• Mostrar tu estado en línea y tu última actividad a tus amistades
• Permitir la moderación de contenidos y la gestión de las denuncias
• Prevenir el fraude, los abusos y las cuentas duplicadas
• Cumplir nuestras obligaciones legales y contables

Tratamos tus datos sobre las siguientes bases jurídicas:

• Ejecución del contrato: para prestarte los servicios de Lyriot que has contratado (cuenta, eventos, pagos, mensajería)
• Interés legítimo: para mejorar la plataforma, prevenir el fraude, garantizar la seguridad, mostrar el estado en línea y gestionar las clasificaciones
• Consentimiento: para las notificaciones push (revocable en cualquier momento desde los ajustes) y las comunicaciones comerciales opcionales
• Obligación legal: para cumplir la normativa aplicable, en particular las obligaciones contables (conservación de 5 años) y los requerimientos judiciales

Nunca vendemos tus datos personales. Solo los compartimos con nuestros proveedores técnicos, estrictamente para poder prestar el servicio:

• Stripe: procesamiento de pagos (suscripciones, eventos de pago, potenciadores) y abonos a organizadores mediante Stripe Connect — política de Stripe
• OVH: alojamiento de la base de datos PostgreSQL (VPS, Francia); Cloudflare R2: almacenamiento de archivos (fotos de perfil, CV)
• Resend: envío de correos transaccionales (confirmación de registro, restablecimiento de contraseña, avisos de eventos)
• Mapbox: visualización de los mapas interactivos para la ubicación de los eventos y la búsqueda por proximidad
• Photon (komoot) y Nominatim (OpenStreetMap Foundation, datos en el Reino Unido y los Países Bajos): sugerencias de ciudades mientras escribes; Nominatim solo se usa si Photon no responde. Nuestros servidores les transmiten únicamente el texto escrito y, en el caso de Photon, una posición aproximada: el centro de tu país o, si ya has autorizado la geolocalización, tu posición redondeada a unos diez kilómetros. Nunca se les transmiten tu nombre, tu dirección IP ni tu cuenta.
• Firebase (Google): envío de notificaciones push a tus dispositivos (si las has activado)
• Google OAuth: si eliges acceder con Google, tu nombre, correo y foto de perfil de Google se transmiten a Lyriot
• Autoridades competentes: cuando lo exija la ley, una resolución judicial o la defensa de nuestros derechos legítimos

Algunos proveedores están establecidos fuera de la Unión Europea (Firebase/Google, Stripe, en Estados Unidos). Estas transferencias están amparadas por:

• Las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea
• Las decisiones de adecuación de la Comisión (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para Stripe y Google)
• Las garantías adecuadas previstas en el artículo 46 del RGPD

Conservamos tus datos mientras tu cuenta esté activa. Si la eliminas, se borran en un plazo de 30 días, salvo obligación legal:

• Datos de transacciones: 5 años (obligación contable francesa)
• Datos de candidatura (CV, cartas): 2 años como máximo
• Registros técnicos: 12 meses
• Historial de moderación y sanciones: por tiempo indefinido (seguridad y prevención de abusos)
• Mensajes privados eliminados: los metadatos (fecha, participantes) pueden conservarse incluso después de borrar el contenido

Conforme al RGPD, dispones de los siguientes derechos:

• Derecho de acceso: consultar los datos que tenemos sobre ti
• Derecho de rectificación: corregir tus datos inexactos (directamente en Ajustes o poniéndote en contacto con nosotros)
• Derecho de supresión: eliminar tu cuenta desde Ajustes → Zona sensible (se tramita en 30 días)
• Derecho a la portabilidad: obtener una copia de tus datos en un formato estructurado
• Derecho de oposición: oponerte a determinados tratamientos (por ejemplo, comunicaciones comerciales o estado en línea)
• Derecho a la limitación: solicitar la suspensión del tratamiento en determinados casos
• Derechos frente a las decisiones automatizadas: ser informado de los tratamientos automatizados (asignación de puntos, cálculo del rango, validación de invitaciones) e impugnar su resultado

Para ejercer estos derechos: formulario de contacto. También puedes presentar una reclamación ante la CNIL.

Medidas técnicas y organizativas aplicadas:

• Cifrado de todas las comunicaciones en tránsito (HTTPS/TLS)
• Contraseñas cifradas con bcrypt (nunca se guardan en claro)
• Acceso a los datos restringido según el principio de mínimo privilegio
• Almacenamiento seguro de los archivos en Cloudflare R2 (acceso mediante URL firmada temporal)
• Protección CSRF en todos los formularios (token de NextAuth)
• Registro de las acciones de administración
• Copias de seguridad periódicas de la base de datos
• En caso de violación de datos, se informará a las personas afectadas en un plazo de 72 horas, conforme al RGPD

Utilizamos cookies técnicas necesarias para el funcionamiento de la plataforma (sesión de usuario, protección CSRF). También usamos el almacenamiento local de tu navegador para recordar tus preferencias (tema claro u oscuro, moneda de visualización, idioma): estos datos nunca salen de tu dispositivo. Para más información, consulta nuestra política de cookies.

Lyriot está abierto a personas de 15 años o más, conforme al artículo 7-1 de la Ley francesa de Protección de Datos. En los países cuya legislación fije una edad distinta (por ejemplo, 13 años en Estados Unidos según la COPPA, o 16 en determinados Estados miembros de la UE), se aplica la edad más protectora. No recogemos conscientemente datos de menores que no alcancen la edad requerida. Si crees que un menor en esa situación ha creado una cuenta, ponte en contacto con nosotros de inmediato.

Además del RGPD europeo, Lyriot cumple las siguientes normativas de protección de datos según tu país de residencia:

• California (CCPA/CPRA): si resides en California, dispones de derechos adicionales en virtud de la California Consumer Privacy Act y la California Privacy Rights Act: derecho a saber qué datos personales se recogen, derecho de supresión, derecho a excluirte de la venta de datos (nosotros no vendemos tus datos) y derecho a no sufrir discriminación por ejercerlos. Escríbenos a contact@lyriot.com para hacerlos valer.
• Reino Unido (UK GDPR): cumplimos el UK GDPR posterior al Brexit. La autoridad de control es la ICO (Information Commissioner's Office). Tus derechos son equivalentes a los del RGPD europeo.
• Brasil (LGPD): conforme a la Lei Geral de Proteção de Dados Pessoais, dispones de los derechos de acceso, corrección, supresión, portabilidad y oposición. La autoridad competente es la ANPD (Autoridade Nacional de Proteção de Dados).
• Canadá (PIPEDA + Ley 25): cumplimos la Ley de Protección de la Información Personal y los Documentos Electrónicos (PIPEDA) y, en Quebec, la Ley 25 (Ley que moderniza disposiciones legislativas en materia de protección de la información personal). Autoridades: OPC (federal) y CAI (Quebec).
• Australia (Privacy Act 1988): cumplimos la Australian Privacy Act y los Australian Privacy Principles. La autoridad competente es la OAIC (Office of the Australian Information Commissioner).
• Japón (APPI): conforme a la Ley de Protección de la Información Personal (個人情報の保護に関する法律), cumplimos las obligaciones de la APPI. La autoridad competente es la PPC (Personal Information Protection Commission / 個人情報保護委員会).
• China (PIPL): conforme a la Ley de Protección de la Información Personal (个人信息保护法), tratamos tus datos según los principios de licitud, legitimidad y necesidad. La autoridad competente es la CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Corea del Sur (PIPA): conforme a la Ley de Protección de la Información Personal (개인정보 보호법), dispones de los derechos de acceso, rectificación, supresión y oposición. La autoridad competente es la PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• India (DPDP Act 2023): conforme a la Digital Personal Data Protection Act 2023, tienes derecho a la información, la corrección y la supresión de tus datos personales digitales. La autoridad competente es el Data Protection Board of India (en proceso de constitución por el MeitY).
• Turquía (KVKK): conforme a la Ley n.º 6698 de Protección de Datos Personales (Kişisel Verilerin Korunması Kanunu), dispones de los derechos de acceso, corrección y supresión. La autoridad competente es la KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesia (UU PDP): conforme a la Ley n.º 27/2022 de Protección de Datos Personales (Undang-Undang Perlindungan Data Pribadi), tus derechos incluyen el acceso, la corrección y la supresión. La autoridad competente es el Kementerian Komunikasi dan Informatika.
• Tailandia (PDPA): conforme a la Personal Data Protection Act B.E. 2562 (2019), dispones de los derechos de acceso, portabilidad, supresión y oposición. La autoridad competente es el PDPC (Personal Data Protection Committee).
• Arabia Saudí (PDPL): conforme a la Personal Data Protection Law (نظام حماية البيانات الشخصية), dispones de los derechos de acceso y corrección. La autoridad competente es la SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Autoridades de control por país :

Podemos actualizar esta política en cualquier momento. Si el cambio es sustancial, te avisaremos por correo electrónico o mediante una notificación en la plataforma. Seguir utilizando Lyriot tras ese aviso supone la aceptación de las modificaciones.

Esta política está redactada en francés. Las versiones en otros idiomas son traducciones facilitadas a título informativo; en caso de discrepancia, solo la versión francesa es jurídicamente vinculante.

Responsable del tratamiento: Lyriot, Francia.

Para cualquier consulta sobre tus datos personales, para ejercer tus derechos RGPD (acceso, rectificación, supresión, portabilidad, oposición, limitación) o para cualquier reclamación relativa al tratamiento de tus datos: formulario de contacto o directamente en contact@lyriot.com.

También puedes presentar una reclamación ante la autoridad de control competente: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 París.