Política de privacidade

Política de privacidade

Ámbito deste texto

Esta é a única política de privacidade de Voice Scan Lab, S.L. Un só responsable do tratamento, un só texto, para os dous sitios:

• o sitio web informativo voicescanlab.com; e
• a plataforma app.voicescanlab.com.

Antes desta versión, o WordPress público tiña o seu propio texto (`portal_wordpress/seed/pages/privacidad.md`), máis curto e co email aínda pendente. Ese texto queda substituído por este, non corrixido á parte — ver `EVALUACION_TEXTOS_WORDPRESS.md` e `PLAN_ARMONIZACION.md`. Se algunha vez ves un texto de privacidade distinto no WordPress, é unha copia obsoleta.

Capa informativa breve

Antes da versión completa, o resumo que ten que poder lerse en 30 segundos:

• Quen trata os teus datos: Voice Scan Lab, S.L. (CIF B26702761, Sevilla).
• Para que: darte de alta, deixarte usar a plataforma, analizar a túa voz cantada e darte un informe pedagóxico sobre a túa técnica vocal, e —só se ti o autorizas de forma expresa e separada— conservar a túa gravación de forma anónima para investigación durante 2 anos.
• O informe xérao un sistema de intelixencia artificial. Dicímoscho sempre de forma visible, tal e como esixe a normativa europea de IA.
• A túa gravación de voz trátase co coidado dun dato biométrico potencial: neste servizo non se usa para identificarte nin para autenticarte, só para medir a túa técnica vocal, pero explicámoscho con detalle no punto 4.
• Non vendemos nin cedemos os teus datos a terceiros con fins comerciais. Só acceden a eles as empresas que nos dan servizo (aloxamento e, no futuro, pasarela de pagamento), baixo contrato de encargado do tratamento.
• Podes exercer os teus dereitos (acceso, rectificación, supresión, oposición, limitación, portabilidade, revogar o consentimento) escribindo a legal@voicescanlab.com, e reclamar ante a Axencia Española de Protección de Datos (aepd.es) se consideras que non te atendemos ben.

Capa completa

1. Responsable do tratamento

• Responsable: Voice Scan Lab, S.L.
• CIF: B26702761
• Domicilio: Calle Cueva de Menga 3, Portal 7, Local A, 41020 Sevilla (España)
• Contacto para privacidade / dereitos: legal@voicescanlab.com
• Delegado de Protección de Datos: [PENDENTE — decisión de negocio aínda por tomar, ver `INFORME_LEGAL.md` §1. Mentres non se designe un formalmente, `legal@voicescanlab.com` é a canle única de contacto para privacidade, seguindo o mesmo patrón que usan entidades que si teñen DPD (unha única caixa de correo de referencia, con ou sen o estatus formal) — se máis adiante se designa un DPD, esta liña pasa a nomealo co seu propio contacto]

2. Que datos tratamos e de quen

Segundo o tipo de usuario:

Calquera visitante da web pública: datos de navegación básicos e IP, e os que nos deas voluntariamente no formulario de contacto (nome, email, mensaxe).

Invitado anónimo (páxina `/gratis`): non te pedimos email nin nome. Créase un contacto anónimo cun código interno secuencial, a túa gravación e o resultado da análise. Non sabemos quen es a menos que máis adiante crees unha conta e reclames esa análise como túa.

Alumno con conta: nome, apelidos, email, contrasinal (cifrado), historial das túas análises e informes, datos de uso da plataforma.

Gravación de voz cantada, en todos os casos: o audio que gravas ou subes, e os parámetros acústicos que o noso motor extrae del (ton, estabilidade, respiración, resonancia, e outros indicadores técnicos da mecánica vocal).

Profesor / centro: ademais dos teus propios datos de conta, os datos dos teus alumnos que xestionas (altas, sesións, gravacións e análises), respecto dos cales actúas como responsable desa relación docente — ver o punto 8.

Datos técnicos, en todos os casos: enderezo IP, identificador de sesión, idioma, e as cookies técnicas descritas en `POLITICA_COOKIES.md`.

3. Para que usamos os teus datos e con que base legal — finalidade por finalidade

Cada finalidade ten a súa propia base xurídica. Non pedimos un único consentimento xenérico para todo.

| Finalidade | Base xurídica | Notas | |—|—|—| | Crear e xestionar a túa conta, deixarte usar a plataforma | Execución do contrato de prestación do servizo (art. 6.1.b RXPD) | É necesaria para o servizo que pides; non depende dunha caixa de consentimento | | Analizar a túa gravación e xerar o teu informe de técnica vocal | Execución do contrato — é a prestación principal que solicitas | Ver o punto 4 sobre a natureza da voz como dato | | Conservar a túa gravación de forma anónima 2 anos con fins de investigación e mellora do modelo | Consentimento explícito, informado e separado (art. 6.1.a, e 9.2.a se aplica o art. 9) | Caixa específica, ver `CONSENTIMIENTO_INVESTIGACION.md`. Revogable en calquera momento sen efecto retroactivo sobre o xa feito | | Recibir novas e novidades por email | Consentimento (art. 6.1.a) | Caixa opcional, separada das anteriores | | Responder á túa consulta do formulario de contacto | Consentimento, ou interese lexítimo en atender a túa solicitude (art. 6.1.a ou 6.1.f) | Só se usa para iso, non se reutiliza para outro fin | | Que o teu profesor xestione as túas sesións e vexa as túas análises (se tes profesor asignado) | Execución da relación docente entre ti e o teu profesor/centro, na que a plataforma actúa como provedor tecnolóxico | Ver o punto 8 | | Que un avaliador do panel cego universitario valore a túa análise (só se participas en probas cegas) | Consentimento específico de investigación, sobre datos xa desvinculados da túa identidade | Ver o punto 8 | | Seguridade, prevención de fraude e cumprimento de obrigas legais | Interese lexítimo / obriga legal (art. 6.1.c e 6.1.f) | Por exemplo, rexistro de eventos RXPD do punto 10 |

4. A gravación da túa voz: por que a tratamos con especial coidado

A voz é un dato persoal sempre: identifica ou pode chegar a identificar unha persoa. Ademais, o Regulamento Xeral de Protección de Datos inclúe entre os datos de categoría especial (art. 9) os “datos biométricos dirixidos a identificar de maneira unívoca unha persoa física”. Segundo o criterio consolidado sobre esta cuestión (ver fontes en `INFORME_LEGAL.md`), a voz só se considera dato biométrico nese sentido estrito cando se usa para identificar ou autenticar a persoa — por exemplo, un sistema de “inicio de sesión por voz”.

VoiceScan non usa a túa voz para identificarte nin para autenticarte: úsaa para medir parámetros acústicos da túa técnica de canto (afinación, respiración, resonancia, etc.) e xerar recomendacións pedagóxicas. Nunca comparamos a túa gravación cun modelo de referencia da túa identidade nin co doutra persoa: non hai un paso de “esta voz é a de Fulano?” en ningún punto do proceso. Por iso, o noso criterio de traballo é que, no uso concreto que lle damos, non é un dato biométrico no sentido do art. 9 RXPD, nin sequera baixo o criterio máis estrito que aplica hoxe a AEPD.

Isto é unha interpretación razoada, non unha certeza absoluta, e así llo dicimos tamén ao noso avogado en `INFORME_LEGAL.md`. Somos conscientes de que a AEPD endureceu o seu criterio sobre biometría na súa guía de novembro de 2023 (pensada para control de acceso e presenza): desde entón trata como categoría especial tanto a identificación como a autenticación biométrica. VoiceScan non fai nin unha cousa nin a outra —non identifica, non autentica, non verifica—, así que entendemos que queda fóra mesmo dese criterio máis estrito. Mentres se confirma cun xurista, tratamos a túa gravación coas mesmas cautelas que se fose un dato de categoría especial: consentimento explícito para a conservación con fins de investigación, minimización (borramos o audio en bruto salvo que autorices a súa conservación), e nunca a usamos para recoñecerte nin para verificar a túa identidade fronte a outro sistema.

O informe tamén describe aspectos de mecánica vocal (esforzo, tensión, xestión da respiración) que poden soar próximos a un dato de saúde. Non o son: non avaliamos o teu estado de saúde nin facemos unha diagnose clínica, só describimos como usas o teu instrumento vocal desde un punto de vista técnico e pedagóxico. Aínda así, redactamos o informe evitando terminoloxía clínica (“síntoma”, “patoloxía”) que poida inducir a esa lectura.

5. O informe xérao un sistema de intelixencia artificial

O teu informe xérase mediante un motor de análise acústica e un modelo de aprendizaxe automática (non unha persoa, salvo que o teu profesor o revise antes de amosarcho). Indicámoscho sempre de forma clara e visible no propio informe, tal como esixe o artigo 50 do Regulamento (UE) 2024/1689 de Intelixencia Artificial, en vigor desde o 2 de agosto de 2026 para esta obriga de transparencia. Voice Scan Lab, S.L. actúa aquí como “responsable do despregamento” do sistema de IA (non como o seu fabricante), e esa condición é precisamente a que obriga a poñer o aviso visible ao usuario final — é unha obriga nosa, non de quen constrúe o modelo.

Corrección pendente detectada neste mesmo traballo: a data desta versión, o informe que ve o usuario non inclúe aínda ese aviso de forma visible. É unha obriga xa vixente, non unha mellora desexable — ver `INFORME_LEGAL.md` §6.

Sobre decisións automatizadas (art. 22 RXPD): se ninguén revisou o teu informe antes de que o vexas (por exemplo, no fluxo de invitado anónimo ou se non tes un profesor asignado), o resultado que recibes provén integramente dun tratamento automatizado. Aínda que entendemos que un informe pedagóxico non produce por si só “efectos xurídicos” nin “efectos significativos similares” no sentido estrito do art. 22, preferimos non dar isto por feito sen máis e ofrecerche, en todo caso:

• información sobre a lóxica aplicada: que parámetros acústicos se miden e que tipo de modelo os interpreta (a alto nivel, sen revelar segredos técnicos do motor);
• a posibilidade de pedir que unha persoa (o teu profesor, ou o noso equipo se non tes profesor) revise o resultado se non estás de acordo con el;
• o recordatorio de que o informe é unha ferramenta pedagóxica de orientación, non unha cualificación definitiva.

6. A quen damos acceso aos teus datos

Non vendemos os teus datos. Só acceden a eles:

• Hetzner (Alemaña, Unión Europea), como encargado do tratamento para o aloxamento da plataforma. Ao estar na UE, non hai transferencia internacional.
• Stripe (Estados Unidos), cando o cobro de análises completas estea activo — hoxe non o está. Stripe está autocertificada no marco EU-U.S. Data Privacy Framework, polo que a transferencia dos teus datos de pagamento, cando exista, conta coa cobertura da decisión de adecuación da Comisión Europea de xullo de 2023.
• O noso provedor de correo transaccional [PENDENTE DE CONFIRMAR POR CARLOS — identificar e nomear aquí], para enviarche emails de verificación e notificacións.
• Se participas na investigación científica e esta chega a formalizarse cunha universidade, esa institución accederá unicamente a datos xa anonimizados ou pseudonimizados segundo o modelo que se defina — ver `CONSENTIMIENTO_INVESTIGACION.md` §3. Hoxe non hai convenio asinado, así que non se comparte nada con ningunha universidade.
• O teu profesor ou centro, se te deu de alta como alumno ou se te rexistras baixo o seu grupo — ver o punto 8.
• Un avaliador dun panel cego só se participas voluntariamente en probas de validación, e sempre sobre datos xa desvinculados da túa identidade.

Nunca cedemos os teus datos a terceiros con fins publicitarios ou comerciais alleos ao servizo.

Analítica do sitio web público: en voicescanlab.com medimos visitas agregadas con Umami, unha ferramenta de analítica que aloxamos nós mesmos (non é un terceiro: corre na nosa propia infraestrutura, `analytics.voicescanlab.com`), non instala cookies e non xera un identificador que te siga entre sitios. Ver o detalle en `POLITICA_COOKIES.md`.

7. Canto tempo conservamos os teus datos

• Datos da túa conta: mentres a manteñas activa, e ata que solicites a súa supresión.
• Gravación de audio (o ficheiro en bruto): se non autorizas a súa conservación con fins de investigación, elimínase [PENDENTE DE CONFIRMAR TECNICAMENTE o prazo exacto: “tras xerar o informe” é a intención de produto, pero fai falta que o equipo técnico confirme se o borrado é inmediato, por lote nocturno, ou con que marxe máxima, para poder prometer un prazo concreto e verificable].
• Gravación de audio co teu consentimento de investigación: consérvase de forma anónima durante 2 anos desde a gravación, e elimínase despois automaticamente.
• Informe e parámetros acústicos derivados (a puntuación, o nivel, as recomendacións): consérvanse asociados á túa conta mentres a conta exista, porque forman o teu histórico de evolución — é parte do servizo que contrataches. Se suprimes a túa conta, suprímense tamén.
• Formulario de contacto: 12 meses desde a última comunicación.
• Eventos de consentimento e dereitos exercidos (ver o punto 10): consérvanse máis alá da baixa do usuario, porque son a proba de que cumprimos co RXPD — é unha obriga da nosa parte, non un prexuízo para ti.

8. Se tes un profesor, ou se o teu profesor te dá de alta

Cando un profesor ou centro te dá de alta como alumno, xestiona as túas sesións ou rexistra as túas gravacións, esa relación docente segue sendo, no esencial, a mesma que xa tedes fóra da plataforma: a plataforma é a ferramenta que a sustenta, non quen decide que se fai contigo como alumno. Por iso:

• O teu profesor é responsable de ter unha base lexítima para darte de alta (por exemplo, o acordo de clases que xa tedes) e, se tes menos de 14 anos, de contar coa autorización do teu pai, nai ou titor — ver o punto 9.
• Voice Scan Lab, S.L. trata eses datos como provedor tecnolóxico do teu profesor para esa parte da relación, e como responsable propio para as finalidades que son súas e non do teu profesor: a conservación anónima con fins de investigación (que segue esixindo o teu propio consentimento separado, nunca o do teu profesor no teu nome) e a mellora do servizo.

Isto aínda non está formalizado cun contrato de encargado do tratamento entre Voice Scan Lab e cada profesor ou centro. É unha das tarefas pendentes sinaladas en `INFORME_LEGAL.md` §11.

9. Menores de idade

Conforme ao artigo 7 da Lei Orgánica 3/2018 (LOPDGDD), en España un menor pode prestar o seu propio consentimento para o tratamento dos seus datos a partir dos 14 anos. Por debaixo desa idade, fai falta o consentimento de quen teña a patria potestade ou tutela.

Moitos alumnos de canto son menores de idade. Hoxe a plataforma non ten implementado ningún mecanismo para verificar a idade do alumno nin para recadar o consentimento parental cando un menor de 14 anos se rexistra directamente ou é dado de alta polo seu profesor. Isto é unha cuestión aberta sinalada como urxente en `INFORME_LEGAL.md` §4: ata que se resolva, cada profesor que dea de alta un alumno menor de 14 anos debe contar persoalmente coa autorización do seu pai, nai ou titor, e comunicarllo así ao alumno e á súa familia pola súa propia canle habitual (fóra da plataforma).

10. Os teus dereitos, e como os rexistramos

Podes exercer en calquera momento os teus dereitos de:

• Acceso: saber que datos teus tratamos.
• Rectificación: corrixir datos inexactos.
• Supresión: pedir que borremos os teus datos.
• Oposición: opoñerte a un tratamento concreto.
• Limitación: pedir que deixemos de tratar os teus datos temporalmente sen borralos.
• Portabilidade: recibir os teus datos nun formato que poidas levar a outro servizo.
• Revogar o teu consentimento en calquera momento (para a investigación ou para as comunicacións informativas), sen que afecte ao xa feito antes de revogalo.
• Solicitar intervención humana sobre un informe xerado automaticamente, e impugnalo, cando non esteas de acordo co resultado (ver o punto 5).

Podes exercelos escribindo a legal@voicescanlab.com. Cada solicitude queda rexistrada internamente co seu tipo, data, IP e estado, de forma que poidamos acreditar que a atendemos.

Se consideras que non atendemos ben a túa solicitude, tes dereito a reclamar ante a Axencia Española de Protección de Datos (calle Jorge Juan, 6, 28001 Madrid — sede electrónica en aepd.es).

11. Transferencias internacionais

Hoxe non hai ningunha transferencia internacional de datos activa: o noso aloxamento está na Unión Europea (Hetzner, Alemaña). En canto se active o cobro con Stripe, existirá unha transferencia dos teus datos de pagamento a Estados Unidos, cuberta polo marco EU-U.S. Data Privacy Framework — esta política actualizarase entón co detalle correspondente.

12. Medidas de seguridade

Aplicamos medidas técnicas e organizativas proporcionadas ao risco: contrasinais cifrados, control de acceso por perfil (alumno, profesor, avaliador, administrador), conexión cifrada (HTTPS) e rexistro dos eventos relacionados cos teus dereitos. O detalle técnico completo non se publica por motivos de seguridade, pero está documentado internamente.

13. Cambios nesta política

Calquera cambio relevante anunciarase con antelación razoable e, se afecta a unha finalidade para a que nos deches o teu consentimento, pediráseche de novo. A plataforma garda a versión do texto que aceptaches en cada momento.

Anexo — cláusulas de recollida específicas por formulario

Textos breves para inserir xunto a cada formulario, ademais (non en lugar) desta política completa, á que deben ligar.

A. Rexistro de alumno con conta

> Ao crear a túa conta tratamos o teu nome, email e contrasinal para darte > acceso á plataforma, e as túas gravacións de voz para xerar os teus > informes de técnica vocal. Podes autorizar ademais, de forma separada e > voluntaria, que conservemos a túa gravación de forma anónima 2 anos con > fins de investigación. Máis información na nosa Política de privacidade.

B. Páxina anónima (`/gratis`)

> Non te pedimos ningún dato identificativo para probar VoiceScan. A túa > gravación e o resultado da análise gárdanse asociados a un código > anónimo, non á túa identidade. Se máis adiante creas unha conta, poderás > reclamar esta análise como túa. Podes autorizar, de forma voluntaria, que > conservemos a túa gravación de forma anónima 2 anos con fins de > investigación. Máis información na nosa Política de privacidade. > > Nota interna (actualizada na v1.1): na v1.0 esta caixa non existía > aínda en `records_anonimous.twig` / fluxo `/gratis`. Comprobouse neste > traballo que xa está implementada (`legal_consents.twig`, > `mode=’self’`, incidencia #173): o texto desta cláusula xa se corresponde > co que o usuario ve na pantalla. Ver `DATOS_LEGALES_VOICESCANLAB.md` §5.

C. Formulario de contacto (web pública)

> Os datos que nos envíes neste formulario (nome, email, mensaxe) úsanse > unicamente para responder á túa consulta, e consérvanse 12 meses desde a > nosa última comunicación. Máis información na nosa Política de > privacidade.

D. Alta de alumno polo profesor (importación)

> Ao dar de alta o teu alumno, confirmas que contas co seu consentimento > (ou, se ten menos de 14 anos, co do seu pai, nai ou titor legal) para que > os seus datos e gravacións se traten en VoiceScan con fins pedagóxicos. > Voice Scan Lab, S.L. actúa como provedor tecnolóxico da túa relación > docente co teu alumno. Máis información na nosa Política de privacidade. > > Nota interna (actualizada na v1.1): comprobado neste traballo que o > formulario de alta/importación de alumno xa amosa esta declaración > (`legal_consents.twig`, `mode=’teacher_declaration’`, incidencia #173, > presente en `students_edit.twig`, `students_edit_alternative.twig` e na > alta rápida de `records_anonimous.twig`).

Rexistro de cambios

• v1.1 (2026-09-16): correo electrónico de contacto (`legal@voicescanlab.com`) en todos os puntos pendentes; sección de Ámbito; matiz sobre o criterio da AEPD de novembro de 2023 en biometría (§4); aclaración de que Voice Scan Lab actúa como responsable do despregamento de IA a efectos do art. 50 (§5) e de que o aviso visible aínda non está implementado; mención da analítica propia (Umami) do sitio público (§6); actualización das notas internas dos anexos A/D: as caixas que na v1.0 estaban pendentes de implementar xa existen no código (incidencia #173); versión en inglés (`PRIVACY_POLICY_EN.md`).
• v1.0 (2026-09-16): redacción inicial.

Nota de idiomas: a versión castelá deste documento debe traducirse aos 10 idiomas activos da plataforma (es, en, de, fr, it, pt, ca, eu, gl, pl), igual que o resto de contido de produto, porque forma parte do fluxo de alta que o usuario acepta no seu propio idioma. Esta versión galega é a tradución fiel que se usa para o locale `gl`.