Política de privacidad

Política de privacidad

Ámbito de este texto

Esta es la única política de privacidad de Voice Scan Lab, S.L. Un solo responsable del tratamiento, un solo texto, para los dos sitios:

• el sitio web informativo voicescanlab.com; y
• la plataforma app.voicescanlab.com.

Antes de esta versión, el WordPress público tenía su propio texto (`portal_wordpress/seed/pages/privacidad.md`), más corto y con el email todavía pendiente. Ese texto queda sustituido por este, no corregido aparte — ver `EVALUACION_TEXTOS_WORDPRESS.md` y `PLAN_ARMONIZACION.md`. Si alguna vez ves un texto de privacidad distinto en el WordPress, es una copia obsoleta.

Capa informativa breve

Antes de la versión completa, el resumen que tiene que poder leerse en 30 segundos:

• Quién trata tus datos: Voice Scan Lab, S.L. (CIF B26702761, Sevilla).
• Para qué: darte de alta, dejarte usar la plataforma, analizar tu voz cantada y darte un informe pedagógico sobre tu técnica vocal, y —solo si tú lo autorizas de forma expresa y separada— conservar tu grabación de forma anónima para investigación durante 2 años.
• El informe lo genera un sistema de inteligencia artificial. Te lo decimos siempre de forma visible, tal y como exige la normativa europea de IA.
• Tu grabación de voz se trata con el cuidado de un dato biométrico potencial: en este servicio no se usa para identificarte ni para autenticarte, solo para medir tu técnica vocal, pero te lo explicamos con detalle en el punto 4.
• No vendemos ni cedemos tus datos a terceros con fines comerciales. Solo acceden a ellos las empresas que nos dan servicio (alojamiento y, en el futuro, pasarela de pago), bajo contrato de encargado de tratamiento.
• Puedes ejercer tus derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad, revocar el consentimiento) escribiendo a legal@voicescanlab.com, y reclamar ante la Agencia Española de Protección de Datos (aepd.es) si consideras que no te hemos atendido bien.

Capa completa

1. Responsable del tratamiento

• Responsable: Voice Scan Lab, S.L.
• CIF: B26702761
• Domicilio: Calle Cueva de Menga 3, Portal 7, Local A, 41020 Sevilla (España)
• Contacto para privacidad / derechos: legal@voicescanlab.com
• Delegado de Protección de Datos: [PENDIENTE — decisión de negocio todavía por tomar, ver `INFORME_LEGAL.md` §1. Mientras no se designe uno formalmente, `legal@voicescanlab.com` es el canal único de contacto para privacidad, siguiendo el mismo patrón que usan entidades que sí tienen DPO (un único buzón de referencia, con o sin el estatus formal) — si más adelante se designa un DPO, esta línea pasa a nombrarlo con su propio contacto]

2. Qué datos tratamos y de quién

Según el tipo de usuario:

Cualquier visitante de la web pública: datos de navegación básicos e IP, y los que nos des voluntariamente en el formulario de contacto (nombre, email, mensaje).

Invitado anónimo (landing `/gratis`): no te pedimos email ni nombre. Se crea un contacto anónimo con un código interno secuencial, tu grabación y el resultado del análisis. No sabemos quién eres a menos que más adelante crees una cuenta y reclames ese análisis como tuyo.

Alumno con cuenta: nombre, apellidos, email, contraseña (cifrada), historial de tus análisis e informes, datos de uso de la plataforma.

Grabación de voz cantada, en todos los casos: el audio que grabas o subes, y los parámetros acústicos que nuestro motor extrae de él (tono, estabilidad, respiración, resonancia, y otros indicadores técnicos de la mecánica vocal).

Profesor / centro: además de tus propios datos de cuenta, los datos de tus alumnos que gestionas (altas, sesiones, grabaciones y análisis), respecto de los cuales actúas como responsable de esa relación docente — ver el punto 8.

Datos técnicos, en todos los casos: dirección IP, identificador de sesión, idioma, y las cookies técnicas descritas en `POLITICA_COOKIES.md`.

3. Para qué usamos tus datos y con qué base legal — finalidad por finalidad

Cada finalidad tiene su propia base jurídica. No pedimos un único consentimiento genérico para todo.

| Finalidad | Base jurídica | Notas | |—|—|—| | Crear y gestionar tu cuenta, dejarte usar la plataforma | Ejecución del contrato de prestación del servicio (art. 6.1.b RGPD) | Es necesaria para el servicio que pides; no depende de una casilla de consentimiento | | Analizar tu grabación y generar tu informe de técnica vocal | Ejecución del contrato — es la prestación principal que solicitas | Ver punto 4 sobre la naturaleza de la voz como dato | | Conservar tu grabación de forma anónima 2 años con fines de investigación y mejora del modelo | Consentimiento explícito, informado y separado (art. 6.1.a, y 9.2.a si aplica el art. 9) | Casilla específica, ver `CONSENTIMIENTO_INVESTIGACION.md`. Revocable en cualquier momento sin efecto retroactivo sobre lo ya hecho | | Recibir noticias y novedades por email | Consentimiento (art. 6.1.a) | Casilla opcional, separada de las anteriores | | Responder a tu consulta del formulario de contacto | Consentimiento, o interés legítimo en atender tu solicitud (art. 6.1.a o 6.1.f) | Solo se usa para eso, no se reutiliza para otro fin | | Que tu profesor gestione tus sesiones y vea tus análisis (si tienes profesor asignado) | Ejecución de la relación docente entre tú y tu profesor/centro, en la que la plataforma actúa como proveedor tecnológico | Ver punto 8 | | Que un evaluador del panel ciego universitario valore tu análisis (solo si participas en pruebas ciegas) | Consentimiento específico de investigación, sobre datos ya desvinculados de tu identidad | Ver punto 8 | | Seguridad, prevención de fraude y cumplimiento de obligaciones legales | Interés legítimo / obligación legal (art. 6.1.c y 6.1.f) | Por ejemplo, registro de eventos RGPD del punto 10 |

4. La grabación de tu voz: por qué la tratamos con especial cuidado

La voz es un dato personal siempre: identifica o puede llegar a identificar a una persona. Además, el Reglamento General de Protección de Datos incluye entre los datos de categoría especial (art. 9) los «datos biométricos dirigidos a identificar de manera unívoca a una persona física». Según el criterio consolidado sobre esta cuestión (ver fuentes en `INFORME_LEGAL.md`), la voz solo se considera dato biométrico en ese sentido estricto cuando se usa para identificar o autenticar a la persona — por ejemplo, un sistema de «inicio de sesión por voz».

VoiceScan no usa tu voz para identificarte ni para autenticarte: la usa para medir parámetros acústicos de tu técnica de canto (afinación, respiración, resonancia, etc.) y generar recomendaciones pedagógicas. Nunca comparamos tu grabación contra una plantilla de referencia de tu identidad ni contra la de otra persona: no hay un paso de «¿esta voz es la de Fulanito?» en ningún punto del proceso. Por eso, nuestro criterio de trabajo es que, en el uso concreto que le damos, no es un dato biométrico en el sentido del art. 9 RGPD, ni siquiera bajo el criterio más estricto que aplica hoy la AEPD.

Esto es una interpretación razonada, no una certeza absoluta, y así se lo decimos también a nuestro abogado en `INFORME_LEGAL.md`. Somos conscientes de que la AEPD endureció su criterio sobre biometría en su guía de noviembre de 2023 (pensada para control de acceso y presencia): desde entonces trata como categoría especial tanto la identificación como la autenticación biométrica. VoiceScan no hace ni una cosa ni la otra —no identifica, no autentica, no verifica—, así que entendemos que queda fuera incluso de ese criterio más estricto. Mientras se confirma con un jurista, tratamos tu grabación con las mismas cautelas que si fuera un dato de categoría especial: consentimiento explícito para la conservación con fines de investigación, minimización (borramos el audio en bruto salvo que autorices su conservación), y nunca la usamos para reconocerte ni para verificar tu identidad frente a otro sistema.

El informe también describe aspectos de mecánica vocal (esfuerzo, tensión, gestión de la respiración) que pueden sonar próximos a un dato de salud. No lo son: no evaluamos tu estado de salud ni hacemos un diagnóstico clínico, solo describimos cómo usas tu instrumento vocal desde un punto de vista técnico y pedagógico. Aun así, redactamos el informe evitando terminología clínica («síntoma», «patología») que pueda inducir a esa lectura.

5. El informe lo genera un sistema de inteligencia artificial

Tu informe se genera mediante un motor de análisis acústico y un modelo de aprendizaje automático (no una persona, salvo que tu profesor lo revise antes de mostrártelo). Te lo indicamos siempre de forma clara y visible en el propio informe, tal como exige el artículo 50 del Reglamento (UE) 2024/1689 de Inteligencia Artificial, en vigor desde el 2 de agosto de 2026 para esta obligación de transparencia. Voice Scan Lab, S.L. actúa aquí como «responsable del despliegue» del sistema de IA (no como su fabricante), y esa condición es precisamente la que obliga a poner el aviso visible al usuario final — es una obligación nuestra, no de quien construye el modelo.

Corrección pendiente detectada en este mismo trabajo: a fecha de esta versión, el informe que ve el usuario no incluye todavía ese aviso de forma visible. Es una obligación ya vigente, no una mejora deseable — ver `INFORME_LEGAL.md` §6.

Sobre decisiones automatizadas (art. 22 RGPD): si nadie ha revisado tu informe antes de que lo veas (por ejemplo, en el flujo de invitado anónimo o si no tienes un profesor asignado), el resultado que recibes proviene íntegramente de un tratamiento automatizado. Aunque entendemos que un informe pedagógico no produce por sí solo «efectos jurídicos» ni «efectos significativos similares» en el sentido estricto del art. 22, preferimos no dar esto por hecho sin más y ofrecerte, en todo caso:

• información sobre la lógica aplicada: qué parámetros acústicos se miden y qué tipo de modelo los interpreta (a alto nivel, sin revelar secretos técnicos del motor);
• la posibilidad de pedir que una persona (tu profesor, o nuestro equipo si no tienes profesor) revise el resultado si no estás de acuerdo con él;
• el recordatorio de que el informe es una herramienta pedagógica de orientación, no una calificación definitiva.

6. A quién damos acceso a tus datos

No vendemos tus datos. Solo acceden a ellos:

• Hetzner (Alemania, Unión Europea), como encargado de tratamiento para el alojamiento de la plataforma. Al estar en la UE, no hay transferencia internacional.
• Stripe (Estados Unidos), cuando el cobro de análisis completos esté activo — hoy no lo está. Stripe está autocertificada en el marco EU-U.S. Data Privacy Framework, por lo que la transferencia de tus datos de pago, cuando exista, cuenta con la cobertura de la decisión de adecuación de la Comisión Europea de julio de 2023.
• Nuestro proveedor de correo transaccional [PENDIENTE DE CONFIRMAR POR CARLOS — identificar y nombrar aquí], para enviarte emails de verificación y notificaciones.
• Si participas en la investigación científica y esta llega a formalizarse con una universidad, esa institución accederá únicamente a datos ya anonimizados o pseudonimizados según el modelo que se defina — ver `CONSENTIMIENTO_INVESTIGACION.md` §3. Hoy no hay convenio firmado, así que no se comparte nada con ninguna universidad.
• Tu profesor o centro, si te ha dado de alta como alumno o si te registras bajo su grupo — ver punto 8.
• Un evaluador de un panel ciego solo si participas voluntariamente en pruebas de validación, y siempre sobre datos ya desvinculados de tu identidad.

Nunca cedemos tus datos a terceros con fines publicitarios o comerciales ajenos al servicio.

Analítica del sitio web público: en voicescanlab.com medimos visitas agregadas con Umami, una herramienta de analítica que alojamos nosotros mismos (no es un tercero: corre en nuestra propia infraestructura, `analytics.voicescanlab.com`), no instala cookies y no genera un identificador que te siga entre sitios. Ver el detalle en `POLITICA_COOKIES.md`.

7. Cuánto tiempo conservamos tus datos

• Datos de tu cuenta: mientras la mantengas activa, y hasta que solicites su supresión.
• Grabación de audio (el fichero en bruto): si no autorizas su conservación con fines de investigación, se elimina [PENDIENTE DE CONFIRMAR TÉCNICAMENTE el plazo exacto: «tras generar el informe» es la intención de producto, pero hace falta que el equipo técnico confirme si el borrado es inmediato, por lote nocturno, o con qué margen máximo, para poder prometer un plazo concreto y verificable].
• Grabación de audio con tu consentimiento de investigación: se conserva de forma anónima durante 2 años desde la grabación, y se elimina después automáticamente.
• Informe y parámetros acústicos derivados (la puntuación, el nivel, las recomendaciones): se conservan asociados a tu cuenta mientras la cuenta exista, porque forman tu histórico de evolución — es parte del servicio que contrataste. Si suprimes tu cuenta, se suprimen también.
• Formulario de contacto: 12 meses desde la última comunicación.
• Eventos de consentimiento y derechos ejercidos (ver punto 10): se conservan más allá de la baja del usuario, porque son la prueba de que cumplimos con el RGPD — es una obligación de nuestra parte, no un perjuicio para ti.

8. Si tienes un profesor, o si tu profesor te da de alta

Cuando un profesor o centro te da de alta como alumno, gestiona tus sesiones o registra tus grabaciones, esa relación docente sigue siendo, en lo esencial, la misma que ya tenéis fuera de la plataforma: la plataforma es la herramienta que la soporta, no quien decide qué se hace contigo como alumno. Por eso:

• Tu profesor es responsable de tener una base legítima para darte de alta (por ejemplo, el acuerdo de clases que ya tenéis) y, si eres menor de 14 años, de contar con la autorización de tu padre, madre o tutor — ver punto 9.
• Voice Scan Lab, S.L. trata esos datos como proveedor tecnológico de tu profesor para esa parte de la relación, y como responsable propio para las finalidades que son suyas y no de tu profesor: la conservación anónima con fines de investigación (que sigue exigiendo tu propio consentimiento separado, nunca el de tu profesor en tu nombre) y la mejora del servicio.

Esto todavía no está formalizado con un contrato de encargado de tratamiento entre Voice Scan Lab y cada profesor o centro. Es una de las tareas pendientes señaladas en `INFORME_LEGAL.md` §11.

9. Menores de edad

Conforme al artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), en España un menor puede prestar su propio consentimiento para el tratamiento de sus datos a partir de los 14 años. Por debajo de esa edad, hace falta el consentimiento de quien tenga la patria potestad o tutela.

Muchos alumnos de canto son menores de edad. Hoy la plataforma no tiene implementado ningún mecanismo para verificar la edad del alumno ni para recabar el consentimiento parental cuando un menor de 14 años se registra directamente o es dado de alta por su profesor. Esto es una cuestión abierta señalada como urgente en `INFORME_LEGAL.md` §4: hasta que se resuelva, cada profesor que dé de alta a un alumno menor de 14 años debe contar personalmente con la autorización de su padre, madre o tutor, y comunicarlo así al alumno y su familia por su propio canal habitual (fuera de la plataforma).

10. Tus derechos, y cómo los registramos

Puedes ejercer en cualquier momento tus derechos de:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos.
• Supresión: pedir que borremos tus datos.
• Oposición: oponerte a un tratamiento concreto.
• Limitación: pedir que dejemos de tratar tus datos temporalmente sin borrarlos.
• Portabilidad: recibir tus datos en un formato que puedas llevarte a otro servicio.
• Revocar tu consentimiento en cualquier momento (para la investigación o para las comunicaciones informativas), sin que afecte a lo ya hecho antes de revocarlo.
• Solicitar intervención humana sobre un informe generado automáticamente, y a impugnarlo, cuando no estés de acuerdo con el resultado (ver punto 5).

Puedes ejercerlos escribiendo a legal@voicescanlab.com. Cada solicitud queda registrada internamente con su tipo, fecha, IP y estado, de forma que podamos acreditar que la atendimos.

Si consideras que no hemos atendido bien tu solicitud, tienes derecho a reclamar ante la Agencia Española de Protección de Datos (calle Jorge Juan, 6, 28001 Madrid — sede electrónica en aepd.es).

11. Transferencias internacionales

Hoy no hay ninguna transferencia internacional de datos activa: nuestro alojamiento está en la Unión Europea (Hetzner, Alemania). En cuanto se active el cobro con Stripe, existirá una transferencia de tus datos de pago a Estados Unidos, cubierta por el marco EU-U.S. Data Privacy Framework — esta política se actualizará entonces con el detalle correspondiente.

12. Medidas de seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo: contraseñas cifradas, control de acceso por perfil (alumno, profesor, evaluador, administrador), conexión cifrada (HTTPS) y registro de los eventos relacionados con tus derechos. El detalle técnico completo no se publica por motivos de seguridad, pero está documentado internamente.

13. Cambios en esta política

Cualquier cambio relevante se anunciará con antelación razonable y, si afecta a una finalidad para la que nos diste tu consentimiento, se te pedirá de nuevo. La plataforma guarda la versión del texto que aceptaste en cada momento.

Anexo — cláusulas de recogida específicas por formulario

Textos breves para insertar junto a cada formulario, además (no en lugar) de esta política completa, a la que deben enlazar.

A. Registro de alumno con cuenta

> Al crear tu cuenta tratamos tu nombre, email y contraseña para darte > acceso a la plataforma, y tus grabaciones de voz para generar tus > informes de técnica vocal. Puedes autorizar además, de forma separada y > voluntaria, que conservemos tu grabación de forma anónima 2 años con > fines de investigación. Más información en nuestra Política de > privacidad.

B. Landing anónima (`/gratis`)

> No te pedimos ningún dato identificativo para probar VoiceScan. Tu > grabación y el resultado del análisis se guardan asociados a un código > anónimo, no a tu identidad. Si más adelante creas una cuenta, podrás > reclamar este análisis como tuyo. Puedes autorizar, de forma voluntaria, > que conservemos tu grabación de forma anónima 2 años con fines de > investigación. Más información en nuestra Política de privacidad. > > Nota interna (actualizada en v1.1): en v1.0 este checkbox no existía > todavía en `records_anonimous.twig` / flujo `/gratis`. Se ha comprobado en > este trabajo que ya está implementado (`legal_consents.twig`, > `mode=’self’`, issue #173): el texto de esta cláusula ya se corresponde > con lo que el usuario ve en pantalla. Ver `DATOS_LEGALES_VOICESCANLAB.md` > §5.

C. Formulario de contacto (web pública)

> Los datos que nos envíes en este formulario (nombre, email, mensaje) se > usan únicamente para responder a tu consulta, y se conservan 12 meses > desde nuestra última comunicación. Más información en nuestra Política de > privacidad.

D. Alta de alumno por el profesor (importación)

> Al dar de alta a tu alumno, confirmas que cuentas con su consentimiento > (o, si es menor de 14 años, con el de su padre, madre o tutor legal) para > que sus datos y grabaciones se traten en VoiceScan con fines pedagógicos. > Voice Scan Lab, S.L. actúa como proveedor tecnológico de tu relación > docente con tu alumno. Más información en nuestra Política de privacidad. > > Nota interna (actualizada en v1.1): comprobado en este trabajo que el > formulario de alta/importación de alumno ya muestra esta declaración > (`legal_consents.twig`, `mode=’teacher_declaration’`, issue #173, presente > en `students_edit.twig`, `students_edit_alternative.twig` y en el alta > rápida de `records_anonimous.twig`).

Registro de cambios

• v1.1 (2026-09-16): email de contacto (`legal@voicescanlab.com`) en todos los puntos pendientes; sección de Ámbito; matiz sobre el criterio AEPD de noviembre de 2023 en biometría (§4); aclaración de que Voice Scan Lab actúa como responsable del despliegue de IA a efectos del art. 50 (§5) y de que el aviso visible todavía no está implementado; mención de la analítica propia (Umami) del sitio público (§6); actualización de las notas internas de los anexos A/D: los checkboxes que en v1.0 estaban pendientes de implementar ya existen en el código (issue #173); versión en inglés (`PRIVACY_POLICY_EN.md`).
• v1.0 (2026-09-16): redacción inicial.

Nota de idiomas: este documento debe traducirse a los 10 idiomas activos de la plataforma (es, en, de, fr, it, pt, ca, eu, gl, pl), igual que el resto de contenido de producto, porque forma parte del flujo de alta que el usuario acepta en su propio idioma. El aviso legal y la política de cookies pueden servirse solo en castellano con nota, si Carlos así lo decide, porque no forman parte de un flujo de aceptación activa; esta política sí, porque el usuario la acepta con una casilla.