Política de Privacidad

1. Responsable del Tratamiento

De conformidad con el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, «RGPD»), le informamos de que el Responsable del Tratamiento de sus datos personales es:

Curapitch SL es la entidad responsable de las decisiones relativas al tratamiento de datos personales dentro de la Plataforma. Para cualquier cuestión relacionada con la privacidad o el ejercicio de derechos, puede dirigirse a nosotros a través del correo electrónico indicado o mediante correo postal a nuestra dirección de Madrid.

2. Datos que Recopilamos

Recopilamos únicamente los datos necesarios para prestar el servicio de manera adecuada, aplicando el principio de minimización de datos establecido en el RGPD. A continuación se detallan las categorías de datos que tratamos:

2.1 Datos de registro y perfil

• Dirección de correo electrónico: necesaria para la creación de cuenta, autenticación e comunicaciones transaccionales.
• Nombre artístico o nombre de curador: nombre público visible en la Plataforma.
• Contraseña: almacenada siempre en formato cifrado (hash bcrypt). Nunca se almacena en texto plano.
• Rol de usuario: artista, curador o ambos.
• Fecha de registro y último acceso.

2.2 Datos de la cuenta de Spotify

• ID de usuario de Spotify: identificador único de la cuenta de Spotify vinculada.
• Nombre de usuario de Spotify: nombre visible en la plataforma de Spotify.
• URL de perfil de Spotify y foto de perfil (si está disponible públicamente).
• Playlists (solo para curadores): nombre, descripción, número de seguidores, URL e ID de las playlists seleccionadas para participar en el marketplace.
• Token de acceso OAuth 2.0: token temporal necesario para realizar consultas autorizadas a la API de Spotify. Este token se cifra en almacenamiento y caduca automáticamente según las condiciones de Spotify.

2.3 Datos de actividad en la Plataforma

• Historial de pitches: fecha y hora del envío, canción enviada (ID de Spotify), curador destinatario, estado (pendiente, aceptado, rechazado), feedback recibido.
• Saldo de Pitches: créditos disponibles, historial de adquisición y consumo.
• Transacciones: importe, fecha, identificador de sesión de Stripe (nunca datos de tarjeta), estado del pago.
• Ingresos de curadores: historial de liquidaciones, importes devengados, método de pago configurado.

2.4 Datos técnicos recopilados automáticamente

• Dirección IP: recopilada con fines de seguridad, detección de fraude y registro de accesos.
• User-agent del navegador: tipo y versión del navegador utilizado.
• Cookies de sesión: necesarias para mantener la sesión autenticada.
• Registros de actividad (logs): acciones realizadas en la Plataforma, errores técnicos, tiempos de respuesta. Estos registros no se usan con fines publicitarios.

3. Cómo Usamos los Datos

Tratamos los datos personales recopilados para los siguientes fines:

4. Base Legal del Tratamiento

Todo tratamiento de datos personales realizado por Curapitch se ampara en alguna de las bases legales previstas en el artículo 6 del RGPD:

• Ejecución de un contrato (art. 6.1.b RGPD): El tratamiento de datos necesario para prestar el servicio (gestión de cuentas, pitches, pagos, reembolsos, comunicaciones transaccionales) se basa en la relación contractual establecida entre el usuario y Curapitch al aceptar los Términos de Servicio. Sin estos datos, no es posible prestar el servicio.
• Interés legítimo (art. 6.1.f RGPD): El tratamiento de datos técnicos (IPs, logs de acceso) y las actividades de seguridad y antifraude se basan en el interés legítimo de Curapitch de proteger la integridad de la Plataforma y los datos de sus usuarios. Hemos realizado un test de ponderación y consideramos que este interés no prevalece sobre los derechos fundamentales de los usuarios.
• Obligación legal (art. 6.1.c RGPD): La conservación de registros de transacciones durante 7 años se basa en las obligaciones establecidas por la legislación fiscal y mercantil española (Ley General Tributaria, Código de Comercio).
• Consentimiento (art. 6.1.a RGPD): El envío de comunicaciones de marketing y el uso de cookies analíticas opcionales se basan en el consentimiento libre, específico, informado e inequívoco del usuario, que puede retirarse en cualquier momento sin que ello afecte a la legalidad del tratamiento previo.

5. Integración con Spotify

Curapitch utiliza la API oficial de Spotify y el protocolo de autorización estándar OAuth 2.0 para conectar las cuentas de los usuarios con la Plataforma. Esta integración es fundamental para la prestación del servicio.

Permisos que solicitamos y para qué los usamos:

Qué no hacemos con la conexión de Spotify:

• No almacenamos ni tenemos acceso a la contraseña de Spotify del usuario en ningún momento.
• No leemos el historial de reproducción del usuario ni sus listas de seguimiento.
• No modificamos el perfil público de Spotify del artista ni del curador.
• No enviamos datos de Spotify a terceros con fines publicitarios o comerciales.
• No accedemos a los datos financieros de la cuenta de Spotify (suscripción, métodos de pago).

Los tokens de acceso de Spotify se almacenan cifrados en nuestra base de datos y se renuevan automáticamente según el flujo de actualización de OAuth 2.0. Puedes revocar el acceso de Curapitch a tu cuenta de Spotify en cualquier momento desde la configuración de privacidad de Spotify en spotify.com/account/apps. La revocación del acceso implica que no podrás seguir usando el servicio de Curapitch hasta que vuelvas a vincular tu cuenta.

6. Integración con Stripe

Todos los pagos en la Plataforma son procesados por Stripe Payments Europe, Ltd. (con sede en Dublín, Irlanda), proveedor de servicios de pago certificado PCI DSS Nivel 1, el más alto nivel de seguridad disponible en la industria de pagos.

Qué hace Stripe con tus datos: Cuando introduces los datos de tu tarjeta en el formulario de pago, dichos datos van directamente a los servidores de Stripe y nunca pasan por los servidores de Curapitch. Curapitch únicamente recibe de Stripe:

• Un identificador de sesión de pago (Payment Intent ID) para registrar la transacción en nuestra base de datos.
• El estado del pago (completado, fallido, reembolsado).
• El importe y la moneda de la transacción.
• Los últimos 4 dígitos de la tarjeta y la marca (Visa, Mastercard, etc.) para que el usuario pueda identificar su método de pago en el historial de transacciones.

Curapitch nunca almacena el número completo de la tarjeta, el CVV, la fecha de caducidad completa ni ningún otro dato sensible de pago.

Para las liquidaciones a curadores, Stripe Connect puede requerir que el curador complete un proceso de verificación de identidad (KYC) directamente con Stripe. Curapitch no tiene acceso a los documentos de identidad aportados; dicho proceso es gestionado íntegramente por Stripe.

7. Compartición de Datos con Terceros

Los datos personales únicamente se comparten con terceros en los siguientes supuestos limitados:

• Stripe: Compartimos la información mínima necesaria para procesar pagos y liquidaciones (identificación de la transacción, importe). Stripe actúa como encargado del tratamiento conforme al RGPD.
• Spotify: Las consultas a la API de Spotify requieren transmitir tokens de autenticación. Spotify puede registrar estas consultas conforme a su propia política. Curapitch no comparte datos de usuarios con Spotify más allá de lo necesario para las llamadas a la API.
• Proveedores de infraestructura: Curapitch utiliza servicios de alojamiento web y bases de datos en servidores ubicados en la Unión Europea o con garantías adecuadas de protección conforme al RGPD. Estos proveedores actúan como encargados del tratamiento y están vinculados por contratos que garantizan la confidencialidad y seguridad de los datos.
• Cumplimiento legal: Podemos divulgar datos personales cuando sea estrictamente necesario para cumplir una obligación legal, responder a un proceso judicial, proteger los derechos o la seguridad de Curapitch o de terceros, o colaborar con las autoridades competentes en el marco de una investigación legítima.

En el caso de una transmisión de negocio (fusión, adquisición, venta de activos), los datos de usuarios podrían transferirse al nuevo titular, siempre que este se comprometa a mantener las mismas condiciones de privacidad establecidas en esta Política. Notificaríamos a los usuarios con al menos 30 días de antelación ante tal eventualidad.

8. Cookies y Tecnologías de Seguimiento

Curapitch utiliza cookies y tecnologías similares para garantizar el funcionamiento de la Plataforma y, con su consentimiento, mejorar su experiencia. A continuación se detalla el uso que hacemos de cada tipo:

Gestión de cookies: Al acceder a la Plataforma por primera vez, se le mostrará un banner de gestión de cookies donde podrá aceptar o rechazar las cookies no esenciales. Puede modificar su configuración de cookies en cualquier momento desde la sección «Privacidad» de su perfil o a través de la configuración de su navegador.

Tenga en cuenta que la desactivación de las cookies necesarias puede afectar al funcionamiento correcto de la Plataforma, impidiendo el acceso a ciertas funcionalidades como la autenticación o la protección de formularios.

Curapitch no utiliza cookies de terceros con fines publicitarios ni comparte datos de comportamiento de usuarios con redes publicitarias.

9. Retención de Datos

Conservamos los datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recopilados, respetando el principio de limitación del plazo de conservación del RGPD.

Transcurridos los plazos de retención indicados, los datos personales se eliminarán o anonimizarán de forma irreversible. Los datos anonimizados pueden conservarse indefinidamente con fines estadísticos, ya que no permiten identificar a personas concretas.

10. Tus Derechos como Titular de los Datos RGPD

En virtud del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), tienes los siguientes derechos sobre tus datos personales:

Cómo ejercer tus derechos: Puedes ejercer cualquiera de estos derechos enviando un correo electrónico a legal@curapitch.com indicando claramente:

• Tu nombre completo y dirección de correo electrónico registrada en Curapitch.
• El derecho que deseas ejercer.
• Una descripción concisa de tu solicitud.
• Copia de un documento de identidad válido (para verificar tu identidad).

Responderemos a tu solicitud en un plazo máximo de un mes desde su recepción. Este plazo puede prorrogarse dos meses adicionales en casos de solicitudes complejas o numerosas, informándote de dicha prórroga dentro del primer mes.

11. Transferencias Internacionales de Datos

Como norma general, Curapitch trata los datos personales dentro del Espacio Económico Europeo (EEE). No obstante, algunos de nuestros proveedores de servicios tienen su sede o procesan datos fuera del EEE:

• Stripe (Estados Unidos): Los datos de pago procesados por Stripe pueden ser transferidos a servidores ubicados en Estados Unidos. Esta transferencia se realiza bajo el amparo de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución UE 2021/914), que garantizan un nivel de protección equivalente al exigido por el RGPD.
• Spotify (sueco, con servidores globales): Spotify AB tiene sede en Estocolmo (Suecia), dentro del EEE, aunque sus servidores pueden estar distribuidos globalmente. Las consultas a la API de Spotify están sujetas a la política de privacidad de Spotify y a sus compromisos de cumplimiento con el RGPD.

En cualquier caso, Curapitch se asegura de que todas las transferencias internacionales de datos cuenten con las garantías adecuadas exigidas por el Capítulo V del RGPD, ya sea mediante decisiones de adecuación, cláusulas contractuales tipo u otras garantías apropiadas.

Puede solicitar información sobre las garantías específicas aplicables a cada transferencia internacional escribiendo a legal@curapitch.com.

12. Menores de Edad

Curapitch es un servicio dirigido exclusivamente a personas mayores de 16 años, conforme a lo establecido en el artículo 8 del RGPD y el artículo 7.1 de la Ley Orgánica 3/2018 (LOPDGDD), que fija en 16 años la edad mínima para prestar el consentimiento al tratamiento de datos en España.

Curapitch no recopila consciente ni intencionadamente datos personales de personas menores de 16 años. Si un progenitor, tutor legal o el propio interesado nos comunica que un menor de 16 años ha facilitado datos personales sin la autorización parental correspondiente, procederemos a:

• Verificar la denuncia con la información disponible.
• Eliminar la cuenta y los datos personales asociados sin demora injustificada.
• Notificar la resolución adoptada en un plazo máximo de 30 días.

Si tiene conocimiento de que un menor de 16 años está usando la Plataforma, le rogamos que nos lo comunique a la mayor brevedad posible en legal@curapitch.com.

13. Cambios en esta Política de Privacidad

Curapitch puede actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas de tratamiento de datos, en la legislación aplicable o en las funcionalidades de la Plataforma. Todas las versiones anteriores quedan archivadas y disponibles bajo petición.

Notificación de cambios sustanciales: Cuando los cambios sean materiales (es decir, afecten de manera relevante a tus derechos o a la forma en que tratamos tus datos), te avisaremos con al menos 15 días naturales de antelación mediante:

• Correo electrónico a la dirección registrada en tu cuenta.
• Aviso destacado al iniciar sesión en la Plataforma.
• Actualización de la fecha «Última actualización» al inicio de este documento.

Si no estás de acuerdo con los cambios introducidos, puedes eliminar tu cuenta antes de la entrada en vigor de la nueva versión. El uso continuado de la Plataforma tras la fecha de entrada en vigor implicará la aceptación de la Política de Privacidad actualizada.

14. Contacto y Reclamaciones

Para cualquier consulta relacionada con esta Política de Privacidad, el ejercicio de tus derechos o cualquier incidencia de privacidad, puedes contactar con nuestro equipo a través de los siguientes canales:

Nos comprometemos a responder todas las consultas de privacidad en un plazo máximo de 30 días desde su recepción, conforme a los plazos establecidos por el RGPD.

Reclamaciones ante la autoridad de control: Sin perjuicio de tu derecho a contactarnos directamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), autoridad de control competente en España en materia de protección de datos personales: