Política de Privacidad

§1. Responsable del tratamiento

1. El responsable del tratamiento de los datos personales de los usuarios de la aplicación móvil Vougly (disponible en el App Store y Google Play, en adelante: la "Aplicación") y del sitio web de marketing disponible en vougly.app (en adelante: el "Sitio web") es Windify Digital Services, con domicilio social en ul. Płocka 127/16, 87-800 Włocławek, Polonia, NIP: 8943145650, REGON: 384382857 (en adelante: el "Responsable").
2. Se puede contactar con el Responsable en cuestiones relativas a los datos personales en: [email protected].
3. El Responsable trata los datos personales de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento General de Protección de Datos, en adelante: el "RGPD"), la Ley polaca de protección de datos personales de 10 de mayo de 2018 (ustawa o ochronie danych osobowych), la Ley polaca de 18 de julio de 2002 sobre la prestación de servicios por vía electrónica (ustawa o świadczeniu usług drogą elektroniczną) y la Ley polaca de telecomunicaciones de 16 de julio de 2004 (Prawo telekomunikacyjne) (en lo que respecta a los artículos 173 y 174 relativos a las cookies).

§2. Alcance de los datos recogidos

El Responsable recoge y trata las siguientes categorías de datos personales:

Datos de la Cuenta

• Dirección de correo electrónico, necesaria para crear la Cuenta, iniciar sesión, verificar la identidad, comunicarse y enviar las confirmaciones de compra.
• Nombre (opcional), facilitado por el usuario para personalizar la correspondencia y la interfaz de la Aplicación.
• Avatar / imagen de perfil (opcional), cargado por el usuario desde su dispositivo.
• Identificador de autenticación, cuando el usuario inicia sesión con un Apple ID o una cuenta de Google: el identificador devuelto por el proveedor de inicio de sesión (Sign in with Apple, Google Sign-In). La contraseña, utilizada únicamente para el inicio de sesión por correo electrónico, se almacena de forma cifrada (hash bcrypt). El Responsable no tiene acceso a la contraseña en texto plano.

Contenido cargado por el usuario

• Fotografías de ropa, cargadas en la Aplicación con el fin de realizar una Generación (p. ej., la fotografía de un vestido extendido en plano tomada en casa). Las fotografías se envían al proveedor del modelo de IA, que devuelve el resultado de la Generación.
• Fotografías de referencia ("selfis") para la función "modelo propia", cargadas opcionalmente por el usuario con el fin de entrenar un embedding de su propia modelo dentro de la Aplicación. Las fotografías de referencia en bruto se eliminan 30 días después de la creación del modelo; dentro de la Aplicación solo permanece el embedding vectorial utilizado para las Generaciones posteriores.
• Contenido Generado, fotografías producidas por los modelos de IA de la Aplicación a partir del Contenido del usuario. Se almacenan en el "Archivo" de la Cuenta hasta que el usuario elimina su Cuenta.
• La función "modelo propia" requiere que la persona representada en las fotografías de referencia haya consentido dicho uso de su imagen; la responsabilidad de obtener dicho consentimiento recae en el usuario (de conformidad con las Condiciones del Servicio).

Datos técnicos y de diagnóstico

• Dirección IP, recogida en los registros del servidor y en los sistemas de seguridad con el fin de detectar abusos.
• Datos del dispositivo, modelo del dispositivo, sistema operativo y su versión, versión de la Aplicación, idioma de la interfaz.
• Identificador de instalación de la Aplicación, un identificador interno generado por la Aplicación. El Responsable no utiliza identificadores publicitarios de dispositivo (IDFA en iOS, GAID en Android) con fines de marketing, ni los comparte con terceros con dicho fin.
• Datos de actividad en la Aplicación, el tipo de Generaciones realizadas, los errores técnicos, los registros de diagnóstico (tratados con el fin de mejorar la estabilidad).
• Token de notificaciones push, para el envío de notificaciones a través de Apple Push Notifications (APNs) o Firebase Cloud Messaging (FCM).
• Cookies y tecnologías similares, únicamente en el Sitio web (vougly.app). La Aplicación no utiliza cookies en el sentido tradicional. La información detallada se establece en la Política de Cookies.

Datos de las transacciones

• Historial de suscripciones y compras, fecha, importe, plan o Pack extra seleccionado, identificador de la transacción (App Store / Google Play).
• Saldo e historial de Generaciones, abonos, deducciones, renovaciones.
• El Responsable no almacena datos de tarjetas de pago. Todos los pagos dentro de la Aplicación se gestionan exclusivamente a través del Apple App Store y Google Play, de conformidad con sus condiciones y mecanismos de pago.

§3. Fines y bases jurídicas del tratamiento

§4. Destinatarios de los datos

Los datos personales de los usuarios pueden transferirse a las siguientes categorías de destinatarios (encargados del tratamiento y responsables independientes):

1. Cloudflare, Inc. (EE. UU.), proveedor de la infraestructura de alojamiento del Sitio web vougly.app (Cloudflare Pages), de la red de distribución de contenidos (CDN), de la protección contra bots y ataques DDoS, y de los servicios de reenvío de correo electrónico (Cloudflare Email Routing) para las direcciones del dominio vougly.app. Cloudflare trata los datos técnicos (dirección IP, User-Agent, cabeceras HTTP) necesarios para entregar el contenido del Sitio web, así como los correos electrónicos reenviados a las direcciones del dominio vougly.app.
2. Proveedor de almacenamiento de objetos, en el que se almacenan los datos de las Cuentas, las Fotografías y el Contenido Generado de la Aplicación (incluido Cloudflare R2). Los datos están cifrados en reposo y en tránsito.
3. OpenRouter, Inc. (EE. UU.), proveedor de un servicio proxy que enruta solicitudes a grandes modelos de lenguaje (LLM), utilizado para tratar metadatos, descripciones e instrucciones de generación. El Responsable configura OpenRouter con el ajuste Zero Data Retention (ZDR) activado y el filtro data_collection: deny; esto significa que las solicitudes se enrutan exclusivamente a proveedores finales que no conservan los datos enviados una vez realizada la inferencia y no los utilizan para entrenar sus modelos.
4. Google LLC y Google Ireland Limited, proveedor de la API del modelo Google Gemini (modelos de lenguaje multimodales), utilizada para analizar y describir las Fotografías de ropa. De conformidad con las condiciones de la API de Google Gemini (nivel de pago, de producción), el contenido enviado a través de la API no se utiliza para entrenar los modelos de Google.
5. Un proveedor especializado de un modelo de IA de tipo virtual try-on (con sede en EE. UU.), la entidad que realiza la Generación propiamente dicha de la fotografía de la ropa en una modelo o sobre una superficie. El Contenido del usuario (la Fotografía de ropa y, opcionalmente, las fotografías de referencia para la función "modelo propia") se transmite únicamente con el fin de realizar una Generación concreta y no es utilizado por dicho proveedor para entrenar modelos. La identidad de este proveedor constituye un secreto comercial del Responsable por motivos de competencia. El Responsable revelará el nombre exacto y el domicilio social de este proveedor a cualquier usuario que lo solicite por escrito a [email protected] (de conformidad con el art. 13.1.e) y el art. 15 del RGPD).
6. Apple Inc. y Google LLC, en relación con la venta de Suscripciones dentro de la Aplicación a través del App Store y Google Play, y en relación con el envío de notificaciones push (Apple Push Notifications, Firebase Cloud Messaging).
7. Formsubmit.co (EE. UU.), proveedor de un servicio que reenvía los envíos del formulario de contacto de la página vougly.app/contact. Recibe los datos introducidos en el formulario (nombre, dirección de correo electrónico, asunto, contenido del mensaje) y los reenvía como correo electrónico al Responsable a [email protected].
8. Google LLC (Google Analytics 4, identificador G-H319FJRQ28), una herramienta de analítica del Sitio web vougly.app utilizada para medir el tráfico, las fuentes de las visitas y las interacciones con el sitio. Se activa únicamente después de que el usuario haya dado su consentimiento en el banner de cookies (Consent Mode v2). La dirección IP se anonimiza (parámetro anonymize_ip: true). Los detalles se establecen en la Política de Cookies.
9. Autoridades públicas, a requerimiento de los organismos autorizados, sobre la base de la legislación aplicable.
10. Asesores jurídicos y fiscales, en la medida necesaria para la formulación, el ejercicio o la defensa de reclamaciones legales.

Naturaleza del uso de los modelos de IA

1. La Generación de una fotografía es realizada por modelos de IA de forma probabilística; el resultado no es determinista y puede diferir en cada generación, incluso a partir de los mismos datos de entrada. Las reclamaciones relativas a resultados defectuosos se rigen por las Condiciones del Servicio (reembolso de la Generación en caso de defectos manifiestos).
2. El Contenido del usuario (Fotografías de ropa, fotografías de referencia, selfis para la función "modelo propia") se transmite a los proveedores de modelos de IA únicamente con el fin de realizar la Generación correspondiente. El Responsable elimina el Contenido de los sistemas de los proveedores inmediatamente después de la entrega satisfactoria del resultado, utilizando las interfaces de eliminación de datos puestas a disposición por los proveedores. Los proveedores de modelos de IA no utilizan el Contenido enviado para entrenar ni afinar (fine-tuning) sus modelos; el Responsable celebra con cada proveedor un acuerdo de encargo de tratamiento de datos (DPA) que contiene dicho compromiso.
3. La Generación no constituye una decisión automatizada en el sentido del art. 22 del RGPD; el resultado de la Generación es contenido gráfico entregado al usuario para el uso que estime oportuno, y no una decisión que produzca efectos jurídicos que le conciernan o que le afecte significativamente de modo similar.
4. La lista completa de los subencargados del Responsable, incluido el nombre exacto del proveedor del modelo de virtual try-on, se pone a disposición del usuario previa solicitud por escrito enviada a [email protected].
5. WaveSpeed AI y ByteDance Ltd. (proveedor del modelo Seedream), utilizados para producir los Contenidos generados. Solo se transmiten la Foto de entrada y la instrucción de texto necesarias para realizar la Generación. El tratamiento se realiza fuera del EEE en los términos descritos en el § 5.

§5. Transferencias de datos fuera del EEE

1. Algunas de las entidades a las que el Responsable encarga el tratamiento de datos tienen su domicilio social fuera del Espacio Económico Europeo (EEE), en particular en Estados Unidos. Esto se aplica en particular a: Cloudflare, Inc., OpenRouter, Inc., Google LLC (API de Gemini y Google Analytics 4), el proveedor especializado del modelo de virtual try-on (EE. UU.), Formsubmit.co, así como Apple Inc. y Google LLC en lo que respecta a las notificaciones push y las tiendas de aplicaciones.
2. Las transferencias de datos a EE. UU. se realizan sobre la base del Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) (decisión de ejecución de la Comisión Europea de 10 de julio de 2023) o de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, de conformidad con el art. 46 del RGPD.
3. El Responsable utiliza únicamente proveedores que garantizan un nivel adecuado de protección de los datos personales de conformidad con los requisitos del RGPD.
4. En caso de que un mecanismo de transferencia de datos sea invalidado o modificado, el Responsable adoptará sin demora las medidas necesarias para garantizar que la transferencia cumpla la legislación aplicable.

§6. Plazo de conservación de los datos

1. Una vez expirado el plazo de conservación, los datos se eliminan de forma permanente o se anonimizan.
2. En caso de eliminación de la Cuenta, los datos del usuario se eliminan sin demora (con una ventana de restauración de 30 días), con excepción de los datos cuya conservación exija la ley (p. ej., los datos de las transacciones, 5 años).

§7. Derechos del usuario

En virtud del RGPD, el usuario tiene los siguientes derechos:

• Derecho de acceso (art. 15), a obtener información sobre los datos tratados, incluida una copia de los datos.
• Derecho de rectificación (art. 16), a corregir los datos inexactos o completar los datos incompletos.
• Derecho de supresión (art. 17), a solicitar la eliminación de los datos (el "derecho al olvido"). El usuario puede eliminar su Cuenta por sí mismo en los ajustes de la Aplicación. Este derecho no se aplica a los datos cuya conservación exija la ley.
• Derecho a la limitación (art. 18), a limitar el tratamiento de los datos en determinados casos.
• Derecho a la portabilidad de los datos (art. 20), a recibir los datos en un formato estructurado, de uso común y lectura mecánica.
• Derecho de oposición (art. 21), a oponerse al tratamiento basado en el interés legítimo del Responsable, incluida la oposición al uso del Contenido anonimizado para el entrenamiento de modelos de IA.
• Derecho a revocar el consentimiento (art. 7.3), en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado con anterioridad. Esto se aplica en particular al consentimiento a las cookies analíticas y de marketing y al consentimiento para la función "modelo propia".
• Derecho a presentar una reclamación, ante la autoridad de control: el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsovia, Polonia (uodo.gov.pl).

Para ejercer los derechos anteriores, el usuario puede contactar con el Responsable en [email protected]. El Responsable atenderá la solicitud en un plazo de 30 días. En caso de solicitudes complejas o numerosas, este plazo podrá prorrogarse otros 60 días, de lo cual el Responsable informará al usuario.

§8. Seguridad de los datos

1. El Responsable aplica medidas técnicas y organizativas adecuadas para proteger los datos personales, entre ellas:

   • Cifrado SSL/TLS, toda la comunicación con la Aplicación y el Sitio web se realiza a través de una conexión HTTPS cifrada.
   • Cifrado de los datos en reposo, las Fotografías de ropa, las fotografías de referencia y el Contenido Generado se almacenan en un almacenamiento de objetos cifrado.
   • Hashing de contraseñas, las contraseñas (para el inicio de sesión por correo electrónico) se almacenan únicamente como hash bcrypt.
   • Autenticación basada en tokens, las sesiones de la Aplicación se basan en tokens firmados, que pueden revocarse.
   • Sin almacenamiento de datos de tarjetas, los datos de pago son tratados exclusivamente por el Apple App Store / Google Play.
   • Control de acceso, el acceso a los datos está limitado a las personas autorizadas, con un registro de accesos.
   • Restricciones en el tratamiento de fotografías, las fotografías de referencia en bruto se eliminan a los 30 días; las fotografías de ropa, a los 90 días desde la última actividad.
2. No obstante las salvaguardias anteriores, el Responsable no puede garantizar la seguridad completa de los datos transmitidos por Internet. El usuario es responsable de proteger su propio dispositivo y sus credenciales de inicio de sesión.

§9. Violación de la seguridad de los datos personales

1. En caso de una violación de la seguridad de los datos personales que pueda entrañar un riesgo para los derechos o libertades de las personas físicas, el Responsable notificará dicha violación al Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych) sin dilación indebida y, a más tardar, 72 horas después de haber tenido constancia de ella (art. 33 del RGPD).
2. Cuando una violación de la seguridad de los datos personales pueda entrañar un alto riesgo para los derechos o libertades de las personas físicas, el Responsable informará sin demora a los usuarios afectados (art. 34 del RGPD), incluyendo la naturaleza de la violación, las posibles consecuencias y las medidas correctoras.

§10. Elaboración de perfiles y decisiones automatizadas

1. La Aplicación utiliza modelos de IA para generar fotografías (incluida la prueba virtual de ropa en una modelo). Esto se realiza únicamente a petición del usuario y no constituye una decisión automatizada en el sentido del art. 22 del RGPD, ya que no produce efectos jurídicos ni afecta significativamente a la situación del usuario.
2. El Sitio web de marketing puede utilizar herramientas de analítica (sobre la base del consentimiento) que crean segmentos de audiencia agregados con fines estadísticos; los detalles se establecen en la Política de Cookies.

§11. Datos personales de menores

1. La Aplicación y el Sitio web no están destinados a personas menores de 16 años. El Responsable no recoge de forma consciente datos personales de menores.
2. Está prohibido cargar en la Aplicación fotografías que muestren a menores de edad (de conformidad con el §5 de las Condiciones del Servicio). Si el Responsable tiene conocimiento de que el Contenido contiene la imagen de un menor o de que una Cuenta pertenece a una persona menor de 16 años, eliminará sin demora los datos correspondientes y bloqueará la Cuenta.

§12. Obligación de facilitar los datos

1. Facilitar los datos de la Cuenta (dirección de correo electrónico) es voluntario, pero necesario para crear una Cuenta y utilizar la Aplicación.
2. Cargar fotografías de ropa es voluntario y necesario para realizar una Generación.
3. Cargar fotografías de referencia para la función "modelo propia" es completamente voluntario; sin ellas, dicha función no está disponible, pero las demás funciones de la Aplicación funcionan con normalidad.
4. Dar el consentimiento a las cookies analíticas y de marketing en el Sitio web es voluntario y no afecta a la posibilidad de utilizar el Sitio web ni la Aplicación.

§13. Cambios en la Política de Privacidad

1. El Responsable se reserva el derecho a modificar la presente Política de Privacidad en cualquier momento, en particular con el fin de adaptarla a cambios legislativos, cambios tecnológicos o cambios en el alcance del tratamiento de datos.
2. El Responsable informará a los usuarios titulares de una Cuenta de los cambios sustanciales por correo electrónico o mediante una notificación dentro de la Aplicación, con una antelación mínima de 14 días.
3. Se recomienda revisar periódicamente el contenido de la presente Política; está disponible en vougly.app/privacy-policy.

§14. Datos del Responsable

Windify Digital Services
ul. Płocka 127/16, 87-800 Włocławek
NIP: 8943145650 · REGON: 384382857
Contacto: [email protected]