Política de privacidad

Esta política de privacidad te informa, conforme al art. 13 del RGPD, sobre la naturaleza, el alcance y la finalidad del tratamiento de datos personales dentro de nuestra oferta en línea y de los sitios web y funciones asociados a ella.

1. Responsable del tratamiento

Daniel David Ovadia
CastLoop
Eugen-Richter-Str. 159
76187 Karlsruhe, Alemania
Correo electrónico: info@castloop.de

2. Definiciones

Esta política de privacidad utiliza los conceptos del Reglamento General de Protección de Datos (RGPD). Los «datos personales» son toda información sobre una persona física identificada o identificable.

3. Fines y bases jurídicas del tratamiento

Tratamos los datos personales para los siguientes fines:

• la prestación de la oferta en línea y de sus funciones (art. 6 apdo. 1 lit. b del RGPD)
• el cumplimiento de obligaciones contractuales (art. 6 apdo. 1 lit. b del RGPD)
• el cumplimiento de obligaciones legales, en particular las obligaciones de conservación tributarias y mercantiles (art. 6 apdo. 1 lit. c del RGPD)
• la salvaguarda de intereses legítimos — en particular la seguridad, la prevención de abusos, el análisis y la mejora de nuestra oferta (art. 6 apdo. 1 lit. f del RGPD)
• los consentimientos, en la medida en que se hayan otorgado (art. 6 apdo. 1 lit. a del RGPD)

No se adoptan decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (art. 22 del RGPD). La selección asistida por IA de momentos para clips valora tus contenidos, no tu persona.

4. Archivos de registro del servidor y hosting

Al acceder a nuestro sitio web se almacenan automáticamente datos de acceso en archivos de registro del servidor (dirección IP, fecha y hora, página solicitada, agente de usuario, referente). Estos datos sirven a la seguridad técnica del funcionamiento y se eliminan o anonimizan a más tardar a los 14 días.

Hosting: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Alemania. El tratamiento de datos se realiza exclusivamente en servidores de la Unión Europea (Alemania). IONOS también proporciona el relé SMTP para el envío de correos electrónicos transaccionales así como copias de seguridad por instantáneas de VM del entorno productivo. Con el proveedor existe un contrato de encargo de tratamiento conforme al art. 28 del RGPD.

5. Registro y cuenta de cliente

Para utilizar CastLoop puedes crear una cuenta. Los datos obligatorios son la dirección de correo electrónico y la contraseña; son opcionales el nombre de la empresa/del canal y el nombre y apellidos. La contraseña no se almacena nunca en texto plano, sino que se guarda como hash con el método moderno Argon2id (parámetros OWASP 2024).

Base jurídica: art. 6 apdo. 1 lit. b del RGPD (ejecución del contrato). Los datos se eliminan en cuanto dejan de ser necesarios para los fines de su recogida y no se oponen obligaciones legales de conservación.

Para celebrar el contrato de uso es necesario indicar la dirección de correo electrónico y una contraseña (o iniciar sesión con un enlace por correo o mediante uno de los proveedores mencionados en la sección 7), así como si actúas como empresario o como consumidor; sin estos datos no podemos crear una cuenta. Para un plan de pago necesitamos además tu dirección de facturación (véase la sección 10). No existe obligación legal de facilitar los datos.

Si accedes a CastLoop a través de un enlace publicitario que contiene un identificador de campaña (parámetros utm, p. ej., fuente y campaña), almacenamos este identificador en tu cuenta al registrarte. Así sabemos qué publicidad genera registros. No se instalan cookies ni se transmiten datos a redes publicitarias. La base jurídica es el art. 6, apdo. 1, letra f del RGPD; nuestro interés legítimo es medir el éxito de nuestra publicidad. Puedes oponerte a ello (véase la sección 16). En las páginas de acceso y de registro de app.castloop.de registramos además eventos de uso seudonimizados (por ejemplo, visita a la página, inicio y envío del formulario, clic en un proveedor de acceso y códigos de error) para ver en qué punto los visitantes abandonan el registro; para ello almacenamos un valor hash de la dirección IP y de la clase de navegador, pero ni la dirección IP en sí ni direcciones de correo ni contenidos del formulario, no instalamos cookies y eliminamos estos eventos transcurridos 90 días (base jurídica igualmente el art. 6, apdo. 1, letra f del RGPD, oposición véase la sección 16).

Inicio de sesión con un enlace por correo. En lugar de usar una contraseña, puedes iniciar sesión o registrarte con un enlace que enviamos a tu dirección de correo electrónico. Para ello tratamos tu dirección de correo electrónico, el idioma elegido y, al registrarte, tus datos sobre tu rol (empresario o consumidor), sobre tu consentimiento para recibir novedades del producto y el identificador de campaña del enlace publicitario. No almacenamos el enlace en sí; en nuestro servidor solo se guarda un valor hash irreversible junto con estos datos durante un máximo de 15 minutos, tras lo cual se elimina. Una marca adicional sin contenido se conserva hasta 24 horas para que podamos reconocer un enlace caducado como tal. Cada enlace solo se puede usar una vez. Si solicitas el enlace en la página de registro, registramos la fecha y hora, la versión de las condiciones generales y de la política de privacidad, así como un valor hash de tu dirección IP como prueba de tu declaración. Si solicitas el enlace en la página de inicio de sesión para una dirección que todavía no tiene cuenta, al abrir el enlace no se crea ninguna cuenta. Solo cuando eliges tu rol en la página siguiente y haces clic en «Crear cuenta», creamos la cuenta y registramos estos datos en el momento de ese clic. Al abrir el enlace, tu dirección de correo electrónico se considera confirmada. En cambio, el enlace de acceso no confirma tu consentimiento para recibir novedades del producto. Si has elegido recibir novedades del producto, después de crear la cuenta te enviamos un correo aparte con un enlace de confirmación. Tu consentimiento solo es efectivo cuando haces clic en ese enlace (doble opt-in, véase el apartado 11). La base jurídica es el art. 6, apdo. 1, letra b del RGPD.

6. Contenidos tratados

CastLoop trata los contenidos que facilitas activamente — en particular URL de vídeos de YouTube o de episodios de pódcast, grabaciones de canales de Twitch o Kick conectados y archivos que subes, así como las transcripciones, archivos de clip y propuestas de título y subtítulo generados a partir de ellos. Estos contenidos se utilizan exclusivamente para la prestación del servicio contratado y se eliminan tras el vencimiento de los plazos de conservación acordados contractualmente (por regla general 7 días para las descargas en bruto, hasta 90 días para los clips generados en el marco de la función de reciclaje). Los archivos de clip se almacenan exclusivamente en servidores de la UE de IONOS SE; no se realiza ninguna transferencia a proveedores de almacenamiento en la nube fuera de la UE.

7. Inicio de sesión social / SSO

Para simplificar el inicio de sesión, ofrecemos un inicio de sesión único (SSO) a través de distintos proveedores de identidad. Si utilizas esta opción, se te redirige al respectivo proveedor; tras una autenticación satisfactoria recibimos un token de identidad firmado (JWT), del que únicamente leemos un identificador de usuario estable (sub) y tu dirección de correo electrónico. No recibimos ninguna contraseña ni ningún acceso ilimitado a tu cuenta de dicho proveedor. Al iniciar sesión con Facebook o Instagram recibimos un código de autorización en lugar de un token de identidad; los detalles figuran en los apartados 7.4 y 7.5.

7.1 Google Ireland Ltd. — inicio de sesión con Google

Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. Autenticación mediante cuenta de Google («inicio de sesión con Google»). Se tratan sub (ID de usuario estable de Google), la dirección de correo electrónico, el estado de confirmación del correo electrónico y, opcionalmente, el nombre y la URL de la imagen de perfil. Detalles: policies.google.com/privacy.

7.2 Microsoft Ireland Operations Limited — inicio de sesión con Microsoft

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda. Autenticación mediante cuenta de Microsoft (personal o de trabajo/centro educativo). Se tratan sub (ID de usuario estable de Microsoft, no oid), la dirección de correo electrónico y, opcionalmente, el nombre para mostrar. Detalles: privacy.microsoft.com.

7.3 Apple Distribution International Ltd. — inicio de sesión con Apple

Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Autenticación mediante Apple ID. Se tratan sub (ID de usuario estable de Apple) y la dirección de correo electrónico.

Aviso sobre las direcciones de Private Relay: Apple ofrece la opción «Ocultar mi correo electrónico». En ese caso recibimos únicamente una dirección de reenvío anonimizada con la forma <token-aleatorio>@privaterelay.appleid.com. No podemos ver tu dirección de correo electrónico real; Apple reenvía los correos de forma transparente a la dirección que tengas registrada. Detalles: apple.com/legal/privacy.

7.4 Meta Platforms Ireland Ltd. — inicio de sesión con Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda. Puedes iniciar sesión o registrarte con tu cuenta de Facebook («Continuar con Facebook»). La única finalidad es iniciar sesión en CastLoop y crear o reconocer tu cuenta de cliente. Solo solicitamos los permisos estándar public_profile y email. Tras tu consentimiento en el diálogo de Facebook, intercambiamos en nuestro servidor el código de autorización por un token de acceso y lo usamos una sola vez para obtener tu identificador de usuario de Facebook específico de la aplicación (id), tu nombre (name) y tu dirección de correo electrónico (email). No almacenamos el token de acceso; se descarta tras esta consulta. Almacenamos el identificador de usuario, para reconocerte en inicios de sesión posteriores, la dirección de correo electrónico como dirección de tu cuenta de cliente y el nombre y los apellidos de tu nombre de Facebook como nombre en tu cuenta de cliente. Con el nombre creamos además el nombre predeterminado de tu espacio de trabajo, que puedes cambiar en cualquier momento. Si se trata de una cuenta nueva, te enviamos un enlace para confirmar la dirección de correo electrónico. Si Facebook no facilita ninguna dirección de correo electrónico, no creamos ninguna cuenta. La conexión de páginas de Facebook y cuentas de Instagram para publicar es independiente y solo se produce si la eliges expresamente en un diálogo propio (apartados 8.2 y 8.6). Si en los ajustes de Facebook solicitas la eliminación de tus datos en CastLoop, eliminamos la vinculación con tu cuenta de Facebook. La base jurídica es el art. 6 apdo. 1 lit. b del RGPD. Meta Platforms Ireland Ltd. puede transmitir datos a Meta Platforms, Inc. (EE. UU.) (véase el apartado 14). Detalles: facebook.com/privacy/policy.

7.5 Meta Platforms Ireland Ltd. — inicio de sesión con Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda. Puedes iniciar sesión o registrarte con tu cuenta profesional de Instagram (cuenta de empresa o de creador) («Continuar con Instagram», API de Instagram con inicio de sesión de Instagram). Tras tu consentimiento en el diálogo de Instagram, intercambiamos en nuestro servidor el código de autorización por un token de acceso y este por un token de acceso de larga duración. Con él consultamos tu identificador de usuario de Instagram vinculado a la aplicación, el identificador de tu cuenta de Instagram, tu nombre de usuario, el nombre visible, el tipo de cuenta y la dirección de la foto de perfil. Instagram no nos transmite ninguna dirección de correo. Si todavía no conocemos tu cuenta de Instagram, al principio no creamos ninguna cuenta de cliente. Conservamos los datos consultados durante 15 minutos como máximo en un proceso de inicio de sesión de un solo uso, el token de acceso solo cifrado. La cuenta de cliente solo se crea cuando, en el paso «Completar la cuenta», introduces tu dirección de correo, eliges tu función y tocas «¡Vamos!». A la dirección introducida te enviamos un enlace para confirmarla. Almacenamos el identificador de usuario de Instagram para reconocerte en inicios de sesión posteriores, la dirección de correo que has introducido como dirección de tu cuenta de cliente y el nombre de usuario como nombre predeterminado de tu espacio de trabajo, que puedes cambiar en cualquier momento. Con el token de acceso de larga duración conectamos tu cuenta de Instagram como destino de publicación en el mismo paso. Almacenamos el token cifrado tal como se describe en el apartado 8.2, junto con el identificador, el nombre de usuario, el nombre visible y la foto de perfil de la cuenta; puedes desconectarla en cualquier momento. Si eliminas CastLoop en los ajustes de Instagram o solicitas allí la eliminación de tus datos, eliminamos la vinculación con tu cuenta de Instagram. Tu cuenta de cliente se mantiene y después inicias sesión con un enlace por correo. El paso «Completar la cuenta» también se aplica al inicio de sesión con Facebook (apartado 7.4), allí sin introducir la dirección de correo. La base jurídica es el art. 6 apdo. 1 lit. b del RGPD. Meta Platforms Ireland Ltd. puede transmitir datos a Meta Platforms, Inc. (EE. UU.) (véase el apartado 14). Detalles: privacycenter.instagram.com/policy.

Base jurídica para el SSO: art. 6 apdo. 1 lit. b del RGPD (ejecución del contrato / medidas precontractuales).

8. Publicación multiplataforma (tokens OAuth y publicaciones)

La prestación principal de CastLoop es la publicación automatizada de los clips generados en las plataformas de redes sociales conectadas por ti. Para ello nos facilitas tokens de acceso OAuth de la respectiva plataforma. Tus contraseñas de las plataformas no son vistas ni almacenadas por nosotros en ningún momento.

Cifrado de los tokens: los tokens de acceso y de actualización OAuth se almacenan en nuestra base de datos exclusivamente cifrados con AES-256-GCM («envelope encryption»), vinculados a un contexto de datos autenticados adicionales (AAD) específico de la fila (ID de inquilino, ID de cuenta social, plataforma). Una filtración de la base de datos sin acceso al material de claves custodiado por separado resulta así inútil.

8.1 Google Ireland Ltd. — YouTube / YouTube Shorts

Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda. CastLoop utiliza la YouTube Data API v3 exclusivamente en el canal de YouTube conectado por ti, a través de los siguientes ámbitos (scopes) de OAuth:

• https://www.googleapis.com/auth/youtube.readonly — lectura de los metadatos de tu propio canal y de tus vídeos (ID del canal, título, miniatura, lista de vídeos con título, descripción, duración, fecha de publicación). Se utiliza para permitirte seleccionar en el panel de qué vídeos de formato largo debe CastLoop extraer clips cortos. Se invocan exclusivamente los endpoints channels.list, playlistItems.list y videos.list; mediante videos.list o videos.batchGetStats obtenemos además el número de visualizaciones, «me gusta» y comentarios de los Shorts subidos a través de CastLoop para mostrártelos en el panel.
• https://www.googleapis.com/auth/youtube.upload — subida de los clips cortos que has aprobado (hasta 3 minutos, formato vertical) como YouTube Shorts a tu propio canal. Se invoca exclusivamente el endpoint videos.insert. No se realiza ninguna subida automática sin tu aprobación y programación previas.

Al conectar el canal solicitamos además los permisos estándar openid, email y profile. Sirven exclusivamente para asignar el canal de YouTube conectado a la cuenta de Google correcta; no se utilizan para iniciar sesión en CastLoop.

En el momento de la subida se transmiten el archivo de clip (MP4), el título que hayas asignado, la descripción, las etiquetas y el momento de publicación. Los vídeos originales de formato largo no abandonan nuestros servidores en ningún momento.

Limited Use — compromiso de uso conforme a la Google API Services User Data Policy (incl. los Limited Use Requirements):

• Utilizamos los datos recibidos a través de la API de YouTube exclusivamente para ofrecerte la función mostrada en el panel (selección de clips, subida de Shorts).
• No vendemos a terceros los datos recibidos a través de la API de YouTube.
• No utilizamos los datos recibidos a través de la API de YouTube para mostrar publicidad ni para la personalización de publicidad.
• No entrenamos modelos de IA/ML con los contenidos recibidos a través de la API de YouTube.
• El acceso humano (empleados / contratistas) a los datos se realiza exclusivamente (a) con tu consentimiento expreso, (b) con fines de seguridad (p. ej. la investigación de un incidente de abuso o de seguridad), (c) para el cumplimiento de obligaciones legales o (d) en la medida en que los datos estén anonimizados/agregados para procesos internos.

Puedes desautorizar el canal de YouTube en cualquier momento a través de Panel → Canales → Desconectar o revocar la conexión directamente en la cuenta de Google, en «Aplicaciones de terceros con acceso a la cuenta». Tras la desconexión, los tokens OAuth correspondientes se eliminan de inmediato; los YouTube Shorts ya subidos permanecen en tu canal y puedes gestionarlos como de costumbre.

Conservación de datos: los metadatos de vídeo recibidos a través de la API de YouTube (p. ej. título, miniatura) se conservan como máximo 30 días; después se actualizan automáticamente conforme al estado actual en YouTube o se eliminan. Si un vídeo de origen se elimina en YouTube, retiramos los metadatos asociados en la siguiente sincronización. Si desconectas el canal en el panel, estos datos se eliminan en un plazo de 7 días; si revocas la autorización desde la configuración de tu cuenta de Google, en un plazo de 30 días.

Avisos generales de privacidad de Google: policies.google.com/privacy.

Al usar las funciones de YouTube de CastLoop, aceptas quedar vinculado por las Condiciones de Servicio de YouTube (https://www.youtube.com/t/terms).

8.2 Meta Platforms Ireland Ltd. — Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda. Publicación de Reels y Stories mediante la Instagram Graph API. Detalles: facebook.com/privacy/policy.

Como alternativa, puedes conectar Instagram sin página de Facebook iniciando sesión directamente con tu cuenta profesional de Instagram (API de Instagram con inicio de sesión de Instagram). También en ese caso el destinatario es Meta Platforms Ireland Ltd. En ambos casos se transmiten el clip y el texto de la publicación; almacenamos el token OAuth (cifrado, véase la sección 8 anterior) y el identificador y nombre de usuario de la cuenta de Instagram. Además, obtenemos métricas de las publicaciones (p. ej., visualizaciones, «me gusta», comentarios) para mostrártelas en el panel.

8.3 TikTok Technology Ltd. — TikTok

TikTok Technology Limited (grupo ByteDance), 10 Earlsfort Terrace, Dublín 2, Irlanda. Publicación mediante la TikTok Content Posting API. Detalles: tiktok.com/legal/privacy-policy.

8.4 LinkedIn Ireland Unlimited Company — LinkedIn

LinkedIn Ireland Unlimited Company, Wilton Place, Dublín 2, Irlanda. Publicación de publicaciones de vídeo mediante la LinkedIn Marketing Developer Platform. Detalles: linkedin.com/legal/privacy-policy.

8.5 X Corp. — X (antes Twitter)

X Corp., 1355 Market Street, Suite 900, San Francisco, CA 94103, EE. UU. Publicación mediante la X API v2. X Corp. tiene su sede en EE. UU.; las transmisiones de datos a EE. UU. son inevitables para el uso de la plataforma X. La salvaguarda se realiza sobre la base de las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: x.com/privacy.

8.6 Meta Platforms Ireland Ltd. — Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda. Publicación de publicaciones de vídeo de páginas de Facebook mediante la Facebook Graph API. Avisos de privacidad: facebook.com/privacy/policy.

8.7 Meta Platforms Ireland Ltd. — Threads

Meta Platforms Ireland Limited, Merrion Road, Dublín 4, Irlanda. Publicación de publicaciones de Threads mediante la Threads Graph API. Dado que Threads es un producto de Meta, se aplica la misma política de privacidad que a Instagram: facebook.com/privacy/policy.

8.8 Bluesky Social, PBC — Bluesky

Bluesky Social, PBC, Seattle, Washington, EE. UU. Publicación de vídeos a través del AT Protocol (OAuth). Bluesky tiene su sede en EE. UU.; la transferencia se protege mediante las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: bsky.social/about/support/privacy-policy.

8.9 Mastodon — operador de la instancia elegida

Mastodon es una red descentralizada. El destinatario de los datos es el operador de la instancia que el usuario elige al conectar (para mastodon.social: Mastodon gGmbH, Alemania). La publicación se realiza a través de la API de Mastodon con una autorización OAuth de la instancia correspondiente; la sede y los avisos de privacidad dependen de la instancia elegida.

8.10 Tumblr, Inc. — Tumblr

Tumblr, Inc. (grupo Automattic), 60 29th Street #343, San Francisco, CA 94110, EE. UU. Publicación a través de la API de Tumblr. Tumblr tiene su sede en EE. UU.; la transferencia se protege mediante las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: tumblr.com/privacy/en_eu.

8.11 Telegram FZ-LLC — Telegram

Telegram FZ-LLC, Dubái, Emiratos Árabes Unidos (representante de protección de datos en la UE: Telegram UK Holdings Ltd, Londres). La publicación se realiza a través de la Bot API de Telegram en el canal conectado por el usuario; se transmiten el clip, el texto y el identificador del canal. Telegram trata datos fuera de la UE; la transferencia se protege mediante las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: telegram.org/privacy.

8.12 Twitch Interactive, Inc. — Twitch (fuente)

Twitch Interactive, Inc. (empresa de Amazon), 350 Bush Street, 2nd Floor, San Francisco, CA 94104, EE. UU. CastLoop utiliza la API de Twitch exclusivamente en modo lectura para obtener del canal de Twitch conectado por el usuario sus grabaciones bajo demanda (VODs) como material fuente para la creación de clips. La autorización OAuth solo concede acceso de lectura a la identidad del canal; no se produce ningún acceso de escritura a la cuenta de Twitch. Las propias grabaciones se cargan a través de la infraestructura pública de Twitch. Se transmiten/almacenan: el token OAuth (cifrado, véase el apartado 8 anterior), el ID y nombre del canal, y los metadatos de las grabaciones (título, duración, fecha de publicación). Twitch Interactive, Inc. tiene su sede en EE. UU.; el tratamiento también tiene lugar allí. La garantía se basa en las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: twitch.tv/p/es-es/legal/privacy-notice.

8.13 Vimeo.com, Inc. — Vimeo (destino)

Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, EE. UU. CastLoop sube los clips aprobados por el usuario a la cuenta de Vimeo conectada mediante la API de Vimeo. La autorización OAuth abarca los scopes public, private, upload y edit. En el momento de la subida se transmiten el archivo de vídeo, el título y la descripción indicados por el usuario, así como su ID de usuario/enlace de perfil de Vimeo; adicionalmente recuperamos las visualizaciones, «me gusta» y comentarios de los vídeos publicados para mostrarlos en el panel como métricas de rendimiento. Vimeo.com, Inc. tiene su sede en EE. UU.; el tratamiento también tiene lugar allí. La garantía se basa en las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: vimeo.com/privacy.

8.14 Kick Streaming Pty Ltd — Kick (fuente)

Kick Streaming Pty Ltd, 2/287 Collins Street, Melbourne VIC 3000, Australia. CastLoop utiliza la API de Kick exclusivamente en modo lectura (permisos user:read y channel:read) para comprobar la identidad de tu canal de Kick al conectarlo. El token de acceso concedido para ello se revoca en Kick inmediatamente después de esa comprobación y no se almacena; no hay acceso de escritura a tu cuenta de Kick. Las grabaciones de tus directos finalizados (VOD) se cargan después a través de la infraestructura pública de Kick; solo se procesan las grabaciones del canal que has conectado. Se almacenan: el ID y el nombre del canal (slug) y los metadatos de las grabaciones (título, duración, fecha de publicación). Kick Streaming Pty Ltd tiene su sede en Australia; según su propia política, Kick también trata datos en EE. UU. La salvaguarda se basa en las cláusulas contractuales tipo de la UE (SCC 2021/914). Detalles: kick.com/privacy-policy.

Base jurídica para la publicación: art. 6 apdo. 1 lit. b del RGPD (ejecución del contrato). La respectiva plataforma es responsable independiente del tratamiento en sus sistemas, a efectos de la protección de datos.

8.15 Pinterest Europe Ltd. — Pinterest (destino)

Pinterest Europe Limited, Palmerston House, 2nd Floor, Fenian Street, Dublín 2, Irlanda. Si conectas una cuenta de Pinterest, CastLoop publica los clips que hayas aprobado como pines de vídeo mediante la API de Pinterest en un tablero que elijas. La autorización OAuth comprende los permisos pins:read, pins:write, boards:read, boards:write y user_accounts:read. Se transmiten el archivo de vídeo, el título, la descripción y el tablero elegido; almacenamos el token OAuth (cifrado, véase la sección 8 anterior) y el identificador y nombre de tu cuenta de Pinterest. Pinterest Europe Ltd. puede transmitir datos a Pinterest, Inc. (EE. UU.); la transferencia se protege sobre la base de las cláusulas contractuales tipo de la UE (SCC 2021/914). La base jurídica es el art. 6, apdo. 1, letra b del RGPD. Detalles: policy.pinterest.com/privacy-policy.

8.16 Feeds RSS de pódcast — Pódcast (fuente)

Si conectas un pódcast mediante la dirección de su feed RSS, nuestro servidor obtiene el feed público y los archivos de audio o vídeo enlazados en él del alojamiento de pódcast correspondiente; el alojamiento recibe la dirección IP de nuestro servidor, no la tuya. No interviene ningún token de acceso. Para garantizar que solo se procesen programas propios, comparamos la dirección de correo electrónico del titular indicada en el feed con la de tu cuenta o comprobamos un código de verificación que introduces en la descripción del programa. Almacenamos la dirección del feed, el título del programa y los metadatos de los episodios (título, duración, fecha de publicación). La base jurídica es el art. 6, apdo. 1, letra b del RGPD.

9. Tratamiento con IA (transcripción y análisis de clips)

Para la creación automática de transcripciones, para el reconocimiento de momentos interesantes y para la generación de variantes de gancho/título utilizamos procedimientos asistidos por IA. Se transmiten transcripciones de audio/texto así como metadatos relevantes del respectivo vídeo. El tratamiento se realiza dentro de la UE o – cuando intervienen encargados del tratamiento en un tercer país – sobre la base de cláusulas contractuales tipo de la UE (art. 46 RGPD). Los contenidos se tratan exclusivamente para la prestación de la función y no para el entrenamiento de modelos de IA.

Base jurídica: art. 6 apdo. 1 lit. b del RGPD (ejecución del contrato).

10. Tramitación de pagos

La tramitación de los pagos se realiza a través de Mollie B.V. (Keizersgracht 126, 1015 CW Ámsterdam, Países Bajos). A Mollie se transmiten los datos necesarios para la tramitación del pago (importe, método de pago, correo electrónico, dirección de facturación). Mollie es responsable a efectos del RGPD del tratamiento de los datos de pago. Encontrarás más información en la política de privacidad de Mollie.

Base jurídica: art. 6 apdo. 1 lit. b del RGPD (ejecución del contrato), art. 6 apdo. 1 lit. c del RGPD (obligaciones legales de conservación según el § 257 HGB, el § 147 AO).

Las facturas las emitimos nosotros mismos en nuestros servidores; para ello tratamos el nombre o la empresa, la dirección de facturación, en su caso tu NIF-IVA y los datos del pago correspondiente. Si indicas un NIF-IVA, comprobamos su validez mediante el sistema de intercambio de información sobre el IVA (VIES) de la Comisión Europea; solo se transmiten el código de país y el NIF-IVA. La base jurídica es el art. 6, apdo. 1, letras b y c del RGPD (ejecución del contrato, obligaciones en materia de IVA).

11. Envío de correos electrónicos

Para el envío de correos electrónicos transaccionales (confirmación de registro, restablecimiento de contraseña, facturas, notificaciones sobre clips) utilizamos el relé SMTP de IONOS SE (véase la sección 4). No se utiliza ningún proveedor de envío independiente fuera de la UE. El envío se realiza exclusivamente mediante conexiones cifradas con TLS (TLS 1.2 o superior).

Si al registrarte consentiste recibir novedades del producto por correo electrónico (nuevas funciones, consejos para empezar y recordatorios, por ejemplo si unos días después del registro todavía no has añadido ningún vídeo), el consentimiento solo es efectivo al hacer clic en el enlace de confirmación (doble opt-in); almacenamos el momento como prueba. La base jurídica es tu consentimiento (art. 6, apdo. 1, letra a del RGPD), que puedes revocar en cualquier momento con efectos para el futuro, por ejemplo mediante el enlace de baja de cada correo o en los ajustes.

12. Cookies y tecnologías comparables

Nuestro sitio web de marketing castloop.de no utiliza cookies ni integra servicios de análisis o publicidad; solo guarda tu elección de idioma y, en su caso, tu configuración de cookies en el almacenamiento local de tu navegador. La aplicación app.castloop.de utiliza exclusivamente cookies y entradas de almacenamiento local técnicamente necesarias (en particular una cookie HttpOnly para el token de actualización, una cookie de corta duración que protege los inicios de sesión y las conexiones de cuentas, así como tu elección de idioma y de apariencia). Para ello no se requiere consentimiento según el § 25 apdo. 2 n.º 2 TDDDG. Encontrarás más detalles en nuestra política de cookies.

13. Destinatarios de los datos / encargados del tratamiento

Los siguientes prestadores de servicios tratan datos personales por encargo o como responsables independientes (en el caso de las plataformas de redes sociales y Mollie):

• IONOS SE (Montabaur, DE) — infraestructura de hosting, relé SMTP, copias de seguridad por instantáneas de VM
• Mollie B.V. (Ámsterdam, NL) — procesamiento de pagos y tramitación de facturas
• Google Ireland Ltd. (Dublín, IE) — YouTube Data API, inicio de sesión con Google
• Microsoft Ireland Operations Ltd. (Dublín, IE) — autenticación mediante cuenta de Microsoft
• Apple Distribution International Ltd. (Cork, IE) — autenticación mediante Apple ID
• Meta Platforms Ireland Ltd. (Dublín, IE) — inicio de sesión con Facebook e Instagram (Facebook Login, Instagram Login), publicaciones en Instagram, Facebook y Threads
• TikTok Technology Ltd. (Dublín, IE) — publicaciones en TikTok
• LinkedIn Ireland Unlimited Company (Dublín, IE) — publicaciones en LinkedIn
• X Corp. (San Francisco, EE. UU.) — publicaciones en X/Twitter (tratamiento de datos también en EE. UU., salvaguardado mediante las SCC 2021/914)
• Bluesky Social, PBC (Seattle, EE. UU.) — publicaciones en Bluesky (tratamiento de datos también en EE. UU.)
• Operador de la instancia de Mastodon elegida por el usuario (descentralizado; para mastodon.social: Mastodon gGmbH, DE) — publicaciones en Mastodon
• Tumblr, Inc. (grupo Automattic, San Francisco, EE. UU.) — publicaciones en Tumblr (tratamiento de datos también en EE. UU.)
• Telegram FZ-LLC (Dubái, EAU) — publicaciones en Telegram (tratamiento de datos también fuera de la UE)
• Twitch Interactive, Inc. (San Francisco, EE. UU.) — acceso de lectura a tu canal de Twitch como fuente (tratamiento de datos también en EE. UU., salvaguardado mediante las SCC 2021/914)
• Kick Streaming Pty Ltd (Melbourne, Australia) — acceso de lectura a tu canal de Kick como fuente (tratamiento de datos en Australia y EE. UU., salvaguardado mediante las SCC 2021/914)
• Vimeo.com, Inc. (Nueva York, EE. UU.) — publicaciones en Vimeo (tratamiento de datos también en EE. UU., salvaguardado mediante las SCC 2021/914)
• Pinterest Europe Ltd. (Dublín, IE) — publicaciones en Pinterest, si conectas una cuenta de Pinterest
• Comisión Europea (Bruselas, BE) — verificación del NIF-IVA mediante el sistema de intercambio de información sobre el IVA (VIES), solo si indicas un NIF-IVA

Celebramos con todos los encargados del tratamiento un contrato de encargo de tratamiento (DPA) conforme al art. 28 del RGPD; los clientes empresariales pueden, por su parte, celebrar un DPA con nosotros (véase la plantilla de DPA).

14. Transferencias a países terceros

Siempre que es posible, tratamos los datos personales dentro de la Unión Europea o del Espacio Económico Europeo. En los siguientes casos es inevitable una transmisión a países terceros (en particular a EE. UU.):

• X Corp. (EE. UU.) — al publicar clips en X
• Meta Platforms, Inc. (EE. UU.) — al iniciar sesión con Facebook y al publicar en Instagram, Facebook o Threads, en la medida en que Meta Ireland transmita datos a su matriz estadounidense
• TikTok Inc. / ByteDance Ltd. (EE. UU. / Singapur) — en las publicaciones de TikTok, en la medida en que se transmitan datos a sociedades del grupo
• Apple Inc. (EE. UU.) — en el inicio de sesión con Apple, en la medida en que Apple Distribution International Ltd. transmita datos a su matriz estadounidense
• Google LLC (EE. UU.) — en la medida en que Google Ireland Ltd. transmita datos a su matriz estadounidense
• Microsoft Corporation (EE. UU.) — en la medida en que Microsoft Ireland Operations Ltd. transmita datos a su matriz estadounidense
• Bluesky Social, PBC (EE. UU.) — al publicar clips en Bluesky
• Tumblr, Inc. / Automattic Inc. (EE. UU.) — en publicaciones de Tumblr
• Telegram FZ-LLC (Dubái, EAU) — en publicaciones de Telegram
• Twitch Interactive, Inc. (EE. UU.) — en el acceso de lectura al canal de Twitch conectado como fuente
• Kick Streaming Pty Ltd (Australia) — en el acceso de lectura al canal de Kick conectado como fuente
• Vimeo.com, Inc. (EE. UU.) — en publicaciones de Vimeo
• Operador de la instancia de Mastodon elegida — solo si el usuario conecta una instancia operada fuera de la UE
• Pinterest, Inc. (EE. UU.) — en publicaciones en Pinterest, en la medida en que Pinterest Europe Ltd. transmita datos a su matriz estadounidense

Para estas transferencias a países terceros, la salvaguarda se realiza sobre la base de las cláusulas contractuales tipo de la UE (SCC) conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea. Google, Microsoft, Meta y Apple están además certificados conforme al Marco de Privacidad de Datos UE-EE. UU. (DPF) y ofrecen los correspondientes compromisos de transferencia. Si lo necesitas, te facilitamos copias de las SCC celebradas previa solicitud.

Base jurídica: art. 46 apdo. 2 lit. c del RGPD.

15. Plazo de conservación

Tratamos y almacenamos los datos personales únicamente durante el tiempo que sea necesario para alcanzar el fin del tratamiento o que existan obligaciones legales de conservación (en particular el § 257 HGB: 10 años para comprobantes contables / facturas, el § 147 AO: 6 o 10 años para documentos fiscalmente relevantes).

En concreto: los archivos de registro del servidor se eliminan o anonimizan a más tardar a los 14 días (sección 4). Tras la eliminación de una cuenta, esta queda bloqueada de inmediato; los datos se eliminan de la base de datos productiva a más tardar a los 30 días. En nuestras copias de seguridad cifradas (las diarias se conservan 14 días, las semanales 8 semanas y las mensuales 12 meses) los datos eliminados pueden seguir contenidos hasta que la copia correspondiente se elimine por rotación, a más tardar 13 meses después de su eliminación de la base de datos productiva. Las copias de seguridad solo se utilizan para restablecer el servicio tras una avería. Encontrarás más detalles en la página Eliminación de datos.

Las declaraciones de cancelación recibidas a través del botón de cancelación (apartado 19) las conservamos como cartas comerciales recibidas durante seis años (§ 257 apdo. 1 n.º 2, apdos. 4 y 5 HGB; § 147 apdo. 1 n.º 2, apdos. 3 y 4 AO). El plazo empieza al final del año natural en el que termina el contrato cancelado; si no podemos asignar una declaración a ningún contrato, al final del año natural en el que se recibió. Después eliminamos la declaración automáticamente. El valor hash de la dirección IP lo eliminamos ya a los 30 días.

16. Tus derechos

Conforme al RGPD te asisten los siguientes derechos:

• Derecho de acceso (art. 15 del RGPD)
• Derecho de rectificación (art. 16 del RGPD)
• Derecho de supresión (art. 17 del RGPD)
• Derecho a la limitación del tratamiento (art. 18 del RGPD)
• Derecho a la portabilidad de los datos (art. 20 del RGPD)
• Derecho de oposición (art. 21 del RGPD)
• Revocación de los consentimientos otorgados con efectos para el futuro (art. 7 apdo. 3 del RGPD)
• Derecho a presentar una reclamación ante una autoridad de control (art. 77 del RGPD)

Autoservicio en el panel: puedes gestionar tus datos tú mismo en cualquier momento a través del panel:

• Exportación de datos (art. 15 del RGPD) — en Ajustes → Exportar datos puedes descargar una copia legible por máquina de tus datos personales (JSON).
• Eliminación de la cuenta (art. 17 del RGPD) — en Ajustes → Eliminar cuenta puedes eliminar tu cuenta de forma permanente. La cuenta se bloquea de inmediato y se elimina de la base de datos productiva a más tardar a los 30 días; de las copias de seguridad, los datos desaparecen cuando estas se eliminan por rotación (véase la sección 15).

Como alternativa, basta con un mensaje sin formalidades a info@castloop.de.

Derecho de oposición conforme al art. 21 del RGPD. En la medida en que tratemos tus datos sobre la base de intereses legítimos (art. 6, apdo. 1, letra f del RGPD, por ejemplo para la seguridad y la prevención de abusos, para medir el éxito de nuestra publicidad o en la página pública de verificación), puedes oponerte en cualquier momento a este tratamiento por motivos relacionados con tu situación particular. En ese caso dejaremos de tratar los datos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre tus intereses o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones. Basta con una oposición informal a info@castloop.de.

17. Autoridad de control competente

La autoridad de control de protección de datos competente para nosotros es el Delegado estatal de protección de datos y libertad de información de Baden-Wurtemberg, Lautenschlagerstraße 20, 70173 Stuttgart, baden-wuerttemberg.datenschutz.de. Encontrarás una lista completa de los delegados estatales de protección de datos en el Delegado Federal de Protección de Datos y Libertad de Información (BfDI).

18. Página pública de verificación del marcado de IA

En la página castloop.de/ki-pruefung puedes subir un archivo de vídeo sin cuenta y sin iniciar sesión para comprobar si lleva un marcado firmado de contenido generado por IA (C2PA) incorporado por CastLoop. La comprobación está abierta a todo el mundo, porque el art. 50, apartado 2, del Reglamento (UE) 2024/1689 exige que el marcado sea verificable.

El archivo subido (como máximo 50 MB) se trata exclusivamente para esta comprobación. Se guarda con un nombre asignado al azar de forma temporal en la memoria de trabajo y en un directorio temporal de nuestro servidor, se lee en busca del marcado y se elimina inmediatamente después de la comprobación, incluso si esta falla. No se conserva el nombre original del archivo. El archivo no se almacena de forma permanente, no se analiza su contenido, no se transmite a terceros y no se utiliza para entrenar modelos de IA.

Recibes el resultado en tu navegador. En el registro de aplicación de nuestra interfaz solo queda de cada comprobación el resultado de forma resumida (marcado encontrado, no encontrado o no verificable), además del método, la ruta, el estado de la respuesta y la duración de la solicitud, pero ningún contenido del archivo, ningún nombre de archivo y ninguna dirección IP. Como en cada acceso a nuestros servidores, tu dirección IP se registra en los archivos de registro del servidor (véase la sección 4). Para evitar abusos contamos además el número de comprobaciones por dirección IP (en IPv6, por prefijo de red) en una memoria temporal; este contador caduca automáticamente cuando durante 15 minutos no se realiza ninguna otra comprobación.

La base jurídica es el art. 6, apartado 1, letra f, del RGPD. Nuestro interés legítimo consiste en poner a disposición de todos la verificabilidad del marcado exigida por la ley y en proteger la página de verificación frente a abusos y sobrecargas. Si usas la comprobación como cliente en el marco de tu contrato con nosotros, la base jurídica es el art. 6, apartado 1, letra b, del RGPD. Subir el archivo es voluntario; sin él no es posible realizar la comprobación. Tienes derecho a oponerte al tratamiento conforme al art. 21 del RGPD (véase la sección 16).

19. Cancelación mediante el botón de cancelación

Con el botón «Cancelar contratos aquí» de la página castloop.de/kuendigen puedes cancelar tu contrato sin iniciar sesión (§ 312k del Código Civil alemán, BGB). Tratamos los datos del formulario: tu nombre, la dirección de correo de tu cuenta de CastLoop, el tipo de cancelación y, en una cancelación extraordinaria, el motivo, el contrato o plan, la fecha deseada y, si los indicas, tu espacio de trabajo o tu referencia de cliente. Además, tratamos la fecha y la hora de recepción y el idioma de la página.

Tratamos estos datos para asignar la cancelación a tu contrato, ejecutarla y confirmarte su recepción de inmediato por correo electrónico. Para ello comparamos la dirección de correo con nuestras cuentas de cliente. Si tu suscripción se gestiona a través de Mollie, le comunicamos su finalización (véase el apartado 10); enviamos la confirmación como se describe en el apartado 11. Si la cancelación no puede asignarse automáticamente, la revisamos a mano. Para evitar abusos, la confirmación contiene un enlace con el que el titular de la cuenta autoriza la ejecución; solo entonces, o tras comprobar tu identidad, finalizamos la suscripción. La fecha en que surte efecto la cancelación no cambia.

La base jurídica es el art. 6 apdo. 1 lit. b del RGPD (ejecución y terminación del contrato) y el art. 6 apdo. 1 lit. c del RGPD en relación con el § 312k BGB (obligación legal de ofrecer el botón de cancelación y de confirmar la recepción).

Para evitar abusos, guardamos para cada declaración un valor hash de tu dirección IP formado con un valor secreto, no la dirección IP en sí, y lo eliminamos a los 30 días. Además, contamos los envíos por dirección IP en una memoria intermedia que caduca al cabo de una hora. La base jurídica es el art. 6 apdo. 1 lit. f del RGPD; nuestro interés legítimo es proteger la página y los buzones de terceros frente a envíos masivos.

Conservamos la declaración como carta comercial recibida durante seis años, contados desde el final del año natural en el que termina el contrato cancelado (§ 257 apdo. 1 n.º 2, apdos. 4 y 5 HGB; § 147 apdo. 1 n.º 2, apdos. 3 y 4 AO; véase el apartado 15). Si no podemos asignarla a ningún contrato, el plazo empieza al final del año natural en el que se recibió. Después la eliminamos automáticamente. La base jurídica de la conservación es el art. 6 apdo. 1 lit. c del RGPD. Facilitar los datos es voluntario; sin embargo, sin nombre y dirección de correo no podemos asignar ni confirmar la cancelación. También puedes cancelar de manera informal por correo electrónico a info@castloop.de.

20. Vigencia

Esta política de privacidad se adapta de forma continua a la evolución jurídica y técnica.

Estado: 27 de octubre de 2026 · Versión 2.2 (precisado el contenido de las novedades del producto en el apartado 11)