Quién trata tus datos
El responsable de los datos de acceso, relación con los participantes y funcionamiento de Cromaya es Carmelo Aledo, persona física. Contacto para privacidad y ejercicio de derechos: carmeloaledo@gmail.com. La identificación y el domicilio de contacto figuran en el aviso legal.
Cromaya está en un piloto gratuito por invitación para usuarios profesionales mayores de edad. Cuando una marca encarga tratar datos de otras personas por su cuenta, deberá formalizarse la relación de encargado de tratamiento antes de ese uso. La autorización para subir una fotografía y el acuerdo de protección de datos son cuestiones distintas.
Qué información utiliza Cromaya
- Acceso y equipo: usuario, nombre, credencial protegida, rol y pertenencia a marcas.
- Trabajo creativo: bocetos, fotografías, referencias, instrucciones, apariencia de modelos, resultados generados, sesiones, clasificaciones, ediciones, entregas y borradores de campañas.
- Cuentas conectadas: identificadores, permisos, credenciales de integración y datos de perfil, contenido o resultados que la plataforma devuelva dentro de lo autorizado.
- Operación y seguridad: consumo, tareas, incidencias y datos técnicos de acceso, como la IP y fecha de la petición. No se solicita información de pago al participante por este piloto.
Las imágenes pueden contener datos personales. Aporta material propio, sintético o para el que tengas derechos y una base adecuada de uso. Evita incluir datos que la tarea no necesite. El piloto no está destinado a identificar personas mediante biometría ni a gestionar datos especialmente sensibles.
Para qué se utilizan
- Prestar el piloto solicitado: gestionar usuarios, marcas, proyectos, generación, edición y entregas. La base para los datos de la relación con el participante es la ejecución del acuerdo de acceso al piloto o sus gestiones previas.
- Proteger y mantener el servicio: controlar permisos, limitar accesos indebidos, resolver incidencias y llevar el consumo. Se basa en el interés legítimo de mantener seguro y operativo el servicio, con datos limitados a esa necesidad. Puedes oponerte cuando proceda.
- Atender derechos y obligaciones: responder a solicitudes y a requerimientos legalmente exigibles, sobre la base de la obligación correspondiente.
- Funciones externas opcionales: solo se consulta o envía a una plataforma aquello que requiere la operación que solicitas y sus permisos. Puedes retirar la autorización de la cuenta desde la plataforma. El permiso técnico de una API no sustituye la base jurídica que deba tener la marca para los datos que aporta.
No es necesario conectar redes para diseñar o editar. Los datos de acceso son necesarios para utilizar un espacio privado; las referencias o cuentas externas son opcionales, aunque una función concreta puede necesitarlas. Las recomendaciones de IA son una ayuda para revisión humana: no toman por sí solas decisiones de inversión ni activan campañas.
Conexión de lectura de TikTok
Si la autorizas, se solicita acceso a los datos básicos del perfil, descripción/enlace, contadores del perfil y vídeos públicos, mediante los permisos user.info.basic, user.info.profile, user.info.stats y video.list. La información disponible depende de lo que concedas.
La vista consulta hasta veinte vídeos públicos recientes y sus contadores acumulados. No constituye un informe completo por fechas, ventas o rentabilidad. Esta conexión no publica contenido, no accede al buzón y no activa publicidad.
Las credenciales se guardan cifradas y separadas por marca en el servidor. Al desconectar se retira el acceso guardado en esa marca. También puedes revocar los permisos de la aplicación en TikTok. Desconectar no elimina vídeos de TikTok ni borra las copias o exportaciones que ya hayas creado.
Proveedores y destinos de la información
- Render: alojamiento y almacenamiento de la aplicación. Su acuerdo de tratamiento recoge las condiciones de procesamiento y transferencias del proveedor.
- Google / Gemini API: generación y análisis que solicites. Se envían las instrucciones, imágenes y referencias necesarias para esa tarea. La lectura opcional de campañas prepara cifras, objetivos y alias de anuncios, en lugar de enviar nombres de personas, credenciales o imágenes de anuncios.
- Plataformas que conectes: TikTok y, para las funciones disponibles, Meta o Google Ads reciben las peticiones necesarias para verificar la cuenta, consultar resultados o realizar las operaciones que confirmes.
- Autoridades y asistencia necesaria: cuando exista una obligación o una necesidad legítima de atender incidencias o defender derechos, con el acceso limitado al caso.
Algunos proveedores operan internacionalmente. El alojamiento y sus procesamientos auxiliares no equivalen a que todo dato permanezca exclusivamente en España o en la UE. Las condiciones y garantías de los proveedores, incluidas las cláusulas contractuales aplicables a transferencias, pueden consultarse en el acuerdo de Render y en las condiciones de Gemini API y su acuerdo de tratamiento. Puedes pedir información adicional a la dirección de contacto.
En el piloto se utiliza el servicio de API con facturación del proveedor para las llamadas reales de Gemini. La gratuidad para el participante no cambia esas condiciones del proveedor. No se promete que un proveedor no conserve nunca información ni que una condición contractual sea una certificación de Cromaya.
Conservación, baja y supresión
Los datos de cuenta y proyectos se mantienen mientras sean necesarios para la participación y el trabajo de la marca. No existe una purga general automática por inactividad. Al solicitar la baja o supresión se revisa el contenido afectado y se elimina o limita lo que deje de ser necesario, preservando únicamente lo que deba mantenerse por obligaciones legales o para atender responsabilidades durante el plazo aplicable.
Si dejas un equipo, los proyectos compartidos de la marca pueden seguir siendo necesarios para sus demás usuarios. Quitar un miembro no elimina por sí solo todo el trabajo de la marca. Eliminar un recurso de biblioteca tampoco elimina automáticamente las copias que ya forman parte de sesiones y entregas.
Los registros técnicos se utilizan para seguridad y diagnóstico; el registro local de diagnóstico rota por tamaño. Las copias de continuidad, cuando existan, deben tratarse también al atender una supresión. La revisión es manual: no se presenta como un borrado instantáneo de todos los sistemas. Los datos restringidos de una copia no se utilizan como archivo de trabajo, y una restauración requiere volver a aplicar las supresiones registradas.
En los proveedores externos se aplican además sus condiciones y conservación. Solicita la baja, exportación o supresión en carmeloaledo@gmail.com, indicando la cuenta o marca para poder localizar el caso.
Tus derechos y cómo ejercerlos
Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad cuando procedan, así como retirar el consentimiento de los tratamientos que se basen en él. Escribe a carmeloaledo@gmail.com. Si resulta necesario, se pedirá solo la información proporcionada para verificar tu identidad.
Se responderá dentro del plazo legal: normalmente un mes, con la ampliación prevista para casos complejos y su comunicación cuando corresponda. Puedes reclamar ante la Agencia Española de Protección de Datos u otra autoridad competente. El ejercicio de un derecho no se condiciona a mantener una cuenta activa.
Sesión y preferencias
La cookie técnica cromaia_session mantiene la autenticación durante un máximo de ocho horas. Es de tipo HttpOnly y SameSite=Lax; en el despliegue HTTPS se configura como segura. Cerrar sesión retira esa cookie.
El navegador guarda preferencias de la interfaz, como el nivel sencillo/avanzado y el tamaño de las miniaturas. Esas preferencias permanecen hasta cambiarlas o borrar el almacenamiento del sitio. Las fuentes de la interfaz se sirven desde Cromaya. Estas páginas no incorporan analítica, píxeles publicitarios ni formularios de captación; una integración de cuentas o de anuncios no instala por sí sola un píxel en la web del cliente.
Cambios en el piloto
Si cambia el tratamiento de forma relevante, se actualizará esta información y se comunicará a los participantes antes de utilizar sus datos para una nueva finalidad que lo requiera. La información de privacidad no es una autorización general para publicar imágenes o gastar en publicidad.