Política de privacidad

English version

Esta política explica cómo Otto trata tus datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El tratamiento de los datos que recibimos de las API de Google se detalla en el apartado 6.

1. Responsable del tratamiento

• Responsable: ALVMAT HOLDING SL · NIF B16892838
• Domicilio: Rafael Salgado 9, 2.º Derecha, 28036 Madrid, España
• Contacto de privacidad: info@otto-manager.com
• Delegado de Protección de Datos: No designado

2. Datos que tratamos

• Datos de contacto y cuenta: nombre, correo electrónico, contraseña cifrada, nombre del podcast, empresa.
• Datos de facturación: razón social, NIF, dirección fiscal e historial de pagos (los datos de tarjeta los trata directamente nuestra pasarela de pago, Stripe; Otto no los almacena).
• Contenido que subes: audios, transcripciones, guiones, notas y materiales de episodios, que pueden incluir datos de terceros (por ejemplo, invitados).
• Datos de uso: registros de acceso, dirección IP, tipo de dispositivo y navegador, páginas visitadas y eventos de uso de la plataforma.
• Datos de Google: los que recibimos si inicias sesión con Google o conectas YouTube, Google Calendar o Google Drive (ver apartado 6).
• Datos de otras redes sociales conectadas: los que nos autorizas a obtener de Facebook, Instagram, TikTok y LinkedIn (ver apartado 7).
• Credenciales de correo del podcast: si configuras tu propio servidor de correo (SMTP) para escribir a invitados, guardamos el usuario y la contraseña, esta última cifrada.
• Datos de las apps móviles: modelo y sistema operativo del dispositivo, versión de la app, token de notificaciones push e informes de fallos (ver apartado 8).
• Comunicaciones: mensajes enviados a través de formularios, correo o soporte.

3. Finalidades y bases jurídicas

Plazos de conservación de otros datos concretos:

4. Funcionalidades de inteligencia artificial

Otto utiliza modelos de IA para generar transcripciones, capítulos, títulos, descripciones, resúmenes y sugerencias de clips a partir del contenido que subes, y para detectar en los comentarios públicos de tus publicaciones a qué invitados pide tu audiencia. Este tratamiento se realiza para prestar el servicio contratado. Los proveedores de IA que usamos son Anthropic (modelos de lenguaje) y AssemblyAI (transcripción); actúan como encargados de tratamiento bajo contrato conforme al artículo 28 del RGPD y no los autorizamos a usar tus datos para entrenar sus modelos.

Los comentarios que se analizan son los de YouTube e Instagram publicados en tus publicaciones: se envían al proveedor de IA el texto y el nombre del autor. Qué datos de Google llegan a cada proveedor se detalla, servicio por servicio, en el apartado 6.

5. Contenido de terceros e invitados

Cuando subes grabaciones o materiales que contienen datos de invitados u otras personas, actúas como responsable de esos datos y Otto como encargado del tratamiento. Es tu responsabilidad informar a esas personas y contar con una base jurídica válida para grabarlas y publicarlas.

Los correos que envías a invitados desde Otto salen desde el servidor de correo (SMTP) de tu propio podcast. Incluyen un píxel de seguimiento que registra si el correo se abrió y cuántas veces, sin guardar la dirección IP ni el dispositivo. Tú eres el responsable de ese tratamiento y de contar con una base jurídica para él.

6. Datos de usuario de Google

Este apartado explica qué datos de tu cuenta de Google obtiene Otto, para qué los usa, dónde los guarda, con quién los comparte, cómo los protege y cuándo los elimina. Otto solo accede a los servicios de Google que tú conectas, siempre mediante el sistema de autorización oficial de Google (OAuth 2.0): nunca vemos ni guardamos tu contraseña de Google. Puedes revocar el acceso de Otto en cualquier momento desde la página de configuración de seguridad de tu cuenta de Google.

El inicio de sesión, YouTube y Google Calendar usan la misma autorización de Google: si conectas YouTube y Calendar con la misma cuenta de Google, desconectar uno de ellos revoca el permiso completo y los dos dejan de funcionar hasta que vuelvas a conectarlos. Google Drive usa una autorización independiente que no se guarda en nuestros servidores.

6.1 Inicio de sesión con Google

• Datos a los que accedemos: tu nombre, tu dirección de correo electrónico, tu foto de perfil y tu identificador de cuenta de Google.
• Para qué los usamos: crear tu cuenta de Otto, identificarte al iniciar sesión y mostrar tu nombre y tu foto dentro de la aplicación. No usamos estos datos en ningún proceso de IA.
• Dónde y cómo los almacenamos: en nuestra base de datos (MongoDB Atlas), en tu registro de usuario y en el registro de la cuenta vinculada, junto con los tokens de acceso y de actualización que emite Google.
• Con quién los compartimos: con nadie, salvo con nuestros proveedores de alojamiento y base de datos (Railway y MongoDB Atlas), que los tratan por cuenta nuestra.
• Cómo los protegemos: los tokens de acceso y de actualización se guardan cifrados (XChaCha20-Poly1305). El inicio de sesión con Google nunca se vincula a una cuenta de Otto cuyo correo no esté verificado, y no crea cuentas nuevas sin que hayas aceptado los Términos.
• Conservación y eliminación: mientras exista tu cuenta. Al eliminarla, revocamos la autorización ante Google y borramos tu usuario, tus sesiones y la cuenta vinculada.

6.2 YouTube (Servicios API de YouTube)

Otto utiliza los Servicios API de YouTube. Al conectar YouTube aceptas los Términos de Servicio de YouTube. Los datos que trata Google se rigen por la Política de Privacidad de Google. Otto no utiliza la API de YouTube Analytics.

• Datos a los que accedemos:
  • Con tu autorización (youtube.readonly): el identificador, el nombre y el nombre de usuario (@) de tu canal.
  • Con tu autorización (youtube.upload): subir los vídeos que publicas desde Otto, consultar su estado de procesamiento y borrarlos si cancelas la publicación después de subirlos.
  • Datos públicos, a través de la API de YouTube sin usar tu autorización: las estadísticas públicas (visualizaciones, «me gusta» y número de comentarios) de los vídeos de tus episodios y el número de suscriptores de tu canal; los comentarios públicos de esos vídeos y sus respuestas (texto, nombre del autor y fecha); y el número de suscriptores de los canales públicos de posibles invitados.
• Para qué los usamos: publicar en tu canal los vídeos, clips y Shorts que apruebas, con el título, la descripción y la visibilidad que tú defines; mostrarte el rendimiento de tus episodios; detectar en los comentarios a qué invitados pide tu audiencia; y estimar la audiencia de posibles invitados.
• Dónde y cómo los almacenamos: en MongoDB Atlas. Guardamos la autorización (tokens cifrados), el registro de cada publicación (identificador y enlace del vídeo, título, descripción y nombre del canal), las estadísticas de tus episodios con su historial, los comentarios en los que la IA ha detectado una petición de invitado (máximo 400 caracteres cada uno y los 40 más recientes por persona) y el número de suscriptores de posibles invitados. El resto de comentarios leídos se descarta después de analizarlos. Los datos de tu canal que se muestran al publicar no se guardan. El vídeo que publicas se aloja en DigitalOcean Spaces (Frankfurt, Alemania) como el resto de tus archivos.
• Con quién los compartimos: los comentarios públicos (texto y nombre del autor), junto con el nombre de tu podcast, se envían a Anthropic para identificar a qué invitados pide tu audiencia. Anthropic actúa como encargado del tratamiento y no autorizamos que use estos datos para entrenar sus modelos. Las estadísticas y los datos de tu canal no se envían a ningún proveedor de IA. No compartimos datos de YouTube con nadie más, salvo con nuestros proveedores de alojamiento y base de datos.
• Cómo los protegemos: los tokens de YouTube se guardan cifrados y se renuevan de forma automática; toda la comunicación con Google y con nuestros proveedores va cifrada (HTTPS).
• Conservación y eliminación:
  • Comentarios con petición de invitado e historial de estadísticas: 26 meses; los eliminamos automáticamente cada día al superar ese plazo.
  • Número de suscriptores de posibles invitados: caché de 30 días.
  • Estadísticas actuales de tus episodios: hasta que las actualizas, desconectas YouTube o eliminas tu cuenta.
  • Registro de publicaciones: hasta que eliminas la publicación, el episodio o tu cuenta.
  • Al desconectar YouTube en Otto, eliminamos de inmediato las estadísticas y los comentarios de YouTube de ese podcast. Si ningún otro podcast de tu cuenta usa esa conexión, además revocamos la autorización ante Google y borramos los tokens. Los vídeos ya publicados permanecen en YouTube.

6.3 Google Calendar

• Datos a los que accedemos: con el permiso calendar.events, Otto crea, actualiza y borra eventos en tu calendario principal. Otto no lee ningún evento de tu calendario ni accede a tus otros calendarios.
• Para qué los usamos: añadir a tu calendario las grabaciones y reuniones que programas en Otto y mantenerlas al día si cambian o se cancelan. Cada evento incluye un título (por ejemplo, «Grabación · nombre del invitado» o el título de la reunión), la fecha, la hora y la zona horaria.
• Dónde y cómo los almacenamos: en MongoDB Atlas solo guardamos el identificador de cada evento creado, para poder actualizarlo o borrarlo, y la autorización (tokens cifrados).
• Con quién los compartimos: con nadie. Los datos de Calendar no se envían a ningún proveedor de IA.
• Cómo los protegemos: tokens cifrados y comunicación cifrada (HTTPS).
• Conservación y eliminación: al desconectar Google Calendar en Otto, revocamos la autorización ante Google y borramos los tokens. Los eventos ya creados permanecen en tu calendario hasta que los borres. Los identificadores de eventos forman parte de las grabaciones y reuniones del espacio de trabajo y se eliminan al borrarlas o al eliminar el espacio.

6.4 Google Drive

• Datos a los que accedemos: con el permiso drive.file, solo los archivos que eliges en el selector de Google Drive. Otto no ve ni puede abrir el resto de tu Drive.
• Para qué los usamos: importar a Otto el archivo elegido: audios y vídeos de episodios o clips, guiones (documentos de Google, que se importan como texto), listas de invitados (hojas de cálculo, que se importan como tabla) o el logotipo del podcast.
• Dónde y cómo los almacenamos: el archivo se descarga en tu navegador y se sube a Otto como cualquier otro archivo tuyo: los audios y vídeos, a DigitalOcean Spaces (Frankfurt, Alemania); los guiones, las filas de invitados y el logotipo, a MongoDB Atlas. El permiso de Drive solo vive en la memoria de tu navegador mientras la pestaña está abierta: nunca llega a nuestros servidores ni se guarda.
• Con quién los compartimos: si importas el audio de un episodio, AssemblyAI lo transcribe y la transcripción se envía a Anthropic para generar los capítulos y el texto de la publicación del episodio. Si importas un guion, su texto se envía a Anthropic para estructurarlo. Las hojas de cálculo y el logotipo no se envían a ningún proveedor de IA. Ambos proveedores actúan como encargados del tratamiento y no autorizamos que usen estos datos para entrenar sus modelos.
• Cómo los protegemos: el permiso de Drive se limita a los archivos elegidos, no se almacena y caduca al cerrar la pestaña; la comunicación va cifrada (HTTPS).
• Conservación y eliminación: el audio del episodio se borra de nuestro almacenamiento una vez generados los capítulos; si no llegan a generarse, se conserva hasta que lo elimines. Los clips, las transcripciones, los guiones, los invitados y el logotipo se conservan hasta que los eliminas o eliminas tu cuenta. El archivo original sigue en tu Drive, sin cambios. Puedes retirar el acceso de Otto a Drive desde la configuración de seguridad de Google.

6.5 Uso limitado de los datos de Google

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Otto se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. En concreto:

• Solo usamos los datos de Google para prestar y mejorar las funciones de Otto que tú utilizas y que se describen en este apartado.
• Solo los transferimos a terceros cuando es necesario para esas funciones (los encargados indicados arriba), para cumplir la ley o como parte de una fusión o adquisición, con tu consentimiento previo.
• No los usamos para publicidad ni los vendemos.
• No permitimos que ninguna persona los lea, salvo con tu consentimiento expreso, cuando sea necesario por motivos de seguridad o para cumplir la ley.
• No usamos los datos obtenidos de las API de Google para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o de aprendizaje automático generalizados o no personalizados, ni permitimos que nuestros proveedores lo hagan.

Otto's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Otto does not use data obtained from Google APIs to develop, improve, or train generalized or non-personalized AI and/or ML models.

7. Integraciones con Facebook, TikTok y LinkedIn

Si conectas una red social a Otto, lo haces mediante su sistema de autorización oficial (OAuth). Nunca vemos ni guardamos tus contraseñas de esas plataformas. Solo solicitamos los permisos necesarios para las funciones que usas, y los datos obtenidos se usan exclusivamente para prestarte el Servicio: publicar y programar el contenido que apruebas y mostrarte estadísticas de tus publicaciones. No vendemos estos datos ni los usamos para publicidad o para entrenar modelos de IA. Solo los compartimos con los encargados indicados en el apartado 10 para las funciones descritas en esta política (por ejemplo, el análisis de comentarios del apartado 4) o cuando lo exija la ley.

Facebook (Meta)

• Datos a los que accedemos: tu nombre e identificador de Facebook, la lista de Páginas que administras y sus tokens de acceso, y las estadísticas de las publicaciones realizadas desde Otto (alcance, reacciones, comentarios, reproducciones).
• Uso: permitirte elegir en qué Página publicar, publicar y programar vídeos, imágenes y textos en esas Páginas, y mostrarte su rendimiento.
• Revocar y eliminar: desde Configuración > Integraciones empresariales de Facebook, o siguiendo las instrucciones de eliminación de datos.

TikTok

• Datos a los que accedemos: información básica del perfil (identificador, nombre visible, avatar), las opciones de publicación disponibles para tu cuenta y las estadísticas de los vídeos publicados desde Otto.
• Uso: publicar en tu cuenta los vídeos que confirmas, con la visibilidad y opciones de interacción que eliges, y mostrarte su rendimiento.
• Revocar: desde la app de TikTok, en Ajustes y privacidad > Seguridad > Gestionar permisos de apps.

LinkedIn

• Datos a los que accedemos: nombre, foto de perfil y correo electrónico, y el permiso para publicar en tu nombre. Otto no lee páginas de empresa ni estadísticas de LinkedIn; esas cifras las introduces tú a mano.
• Uso: publicar en tu perfil el contenido que apruebas.
• Revocar: desde Ajustes > Privacidad de datos > Servicios permitidos de LinkedIn.

En todos los casos puedes desconectar la plataforma desde los ajustes de Otto. Al hacerlo, eliminamos los tokens y los datos obtenidos de ella en un plazo máximo de 7 días. El contenido ya publicado permanece en la red social.

Cuentas conectadas por un miembro del equipo: solo puede desconectarlas esa persona o un administrador del espacio. El administrador no puede revocar el permiso que concedió otro miembro; solo puede quitar esa cuenta del podcast. Para revocar el permiso, el miembro debe hacerlo desde Otto o desde la propia plataforma. Esta regla se aplica también a YouTube.

8. Apps móviles para iOS y Android

• Datos del dispositivo: modelo, sistema operativo, idioma y versión de la app, para garantizar la compatibilidad y resolver incidencias.
• Notificaciones push: si las activas, guardamos un token de notificaciones para avisarte de publicaciones, aprobaciones y recordatorios. Puedes desactivarlas desde los ajustes del dispositivo.
• Permisos opcionales: la app solo pide acceso al micrófono, la cámara o la fototeca cuando usas una función que lo requiere (grabar, subir o seleccionar contenido). Esos archivos solo se suben a Otto si tú lo decides.
• Diagnóstico: recopilamos informes de fallos y rendimiento, sin asociarlos a publicidad, para mejorar la estabilidad de la app.
• Sin rastreo: las apps no rastrean tu actividad en apps o sitios web de otras empresas ni comparten datos con intermediarios de datos, y no contienen publicidad de terceros.

9. Eliminación de la cuenta

Puedes eliminar tu cuenta y tus datos desde la web, desde las apps o por correo electrónico, sin necesidad de tener la app instalada. En la web, ve a Menú de cuenta > Ajustes de la cuenta > Eliminar cuenta.

• Te enviamos un enlace por correo para confirmar la eliminación.
• Al confirmarla, el borrado es inmediato y revocamos los permisos concedidos a Otto en cada red social conectada, incluida Google.
• Las facturas se conservan en Stripe durante el plazo legal y te las enviamos por correo.
• Si eres el único propietario de un espacio de trabajo, se elimina el espacio entero y el resto del equipo pierde el acceso.

Consulta el resto del procedimiento en Eliminar cuenta y datos.

10. Destinatarios y encargados

No vendemos tus datos. Los comunicamos a los proveedores que nos prestan servicios bajo contrato de encargo:

• Anthropic: modelos de inteligencia artificial. Recibe, entre otros, los comentarios públicos de tus publicaciones y las transcripciones y guiones de tus episodios (ver apartado 6).
• AssemblyAI: transcripción del audio de tus episodios.
• DigitalOcean: almacenamiento de archivos multimedia (Frankfurt, Alemania).
• MongoDB Atlas: base de datos (Unión Europea).
• Stripe: procesamiento de pagos y facturación.
• Railway: alojamiento de la aplicación.
• Proveedor de correo (SMTP): envío de correo transaccional y comercial.

También podemos comunicarlos a administraciones públicas cuando exista una obligación legal.

11. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En ese caso, la transferencia se ampara en una decisión de adecuación de la Comisión Europea o en Cláusulas Contractuales Tipo, junto con medidas complementarias cuando resulte necesario. Puedes solicitar copia de estas garantías escribiendo a info@otto-manager.com.

12. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas, así como retirar el consentimiento prestado, escribiendo a info@otto-manager.com e indicando el derecho que deseas ejercer. Podemos solicitarte documentación que acredite tu identidad.

Si consideras que tus datos no se tratan correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

13. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado en tránsito y en reposo, control de accesos por roles, registro de actividad, copias de seguridad y revisión periódica de proveedores. En concreto:

• Los tokens de acceso y de actualización de Google y de las redes sociales (OAuth) se guardan cifrados.
• Las contraseñas se almacenan con el algoritmo scrypt.
• Las sesiones no guardan tu dirección IP ni el agente de usuario de tu navegador.
• El inicio de sesión con Google no se vincula a cuentas cuyo correo no esté verificado.

En caso de brecha de seguridad con riesgo para tus derechos, te informaremos y lo notificaremos a la autoridad de control en el plazo legalmente previsto.

14. Menores

El servicio está dirigido a mayores de 18 años. Si detectamos que un menor ha creado una cuenta, procederemos a eliminarla junto con sus datos.

15. Cambios en esta política

Podemos actualizar esta política para adaptarla a cambios normativos o del servicio. Te avisaremos por correo o desde la propia plataforma cuando los cambios sean sustanciales.