Política de Privacidad

1. Responsable del tratamiento

Esta política explica cómo tratamos los datos personales conforme al Reglamento (UE) 2016/679, General de Protección de Datos ("RGPD"), y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD").

Delegado de protección de datos: no estamos obligados a designarlo (artículo 37 del RGPD y artículo 34 de la LOPDGDD). Para cualquier cuestión de privacidad escríbenos a admin@twinyx.app.

2. A quién se aplica esta política

• Usuarios de Twinyx (las creadoras que contratan el servicio): Twinyx es el responsable de los datos de su cuenta, su facturación, la seguridad y las comunicaciones comerciales.
• Visitantes de twinyx.app y del panel de control.
• Contactos de Telegram de las creadoras (fans, clientes y otras creadoras): sus datos los trata Twinyx por cuenta de cada creadora, como encargado del tratamiento. Ver el apartado 6 y la información para contactos.

3. Qué datos tratamos

3.1 Cuenta y registro

• Correo electrónico, idioma preferido y fecha de registro.
• Contraseña, guardada solo como hash bcrypt y nunca en texto plano. Si accedes con Google, recibimos de Google tu correo, tu nombre y un identificador de cuenta. Si accedes con Telegram, recibimos tu identificador, tu nombre, tu apellido y tu nombre de usuario de Telegram (no guardamos tu foto); el correo lo escribes tú y lo verificamos con un enlace.
• Ajustes de seguridad, como el segundo factor de autenticación, cuyo secreto se guarda cifrado.

3.2 Conexión con Telegram

• Tu nombre de usuario e identificador de Telegram, y el identificador de la conexión de Telegram Business que enruta los mensajes.
• Los mensajes que envías a tus contactos desde el panel o la aplicación: se entregan por Telegram y se guardan en el historial de conversaciones (apartado 9).

3.3 Configuración del servicio

• Tu contexto de personalidad, el estilo de escritura extraído, los mensajes de ejemplo, las categorías y plantillas de respuesta, tus servicios y precios, tus métodos de pago y redes sociales, los horarios y los demás ajustes del bot.
• Los datos con los que el bot habla en tu nombre: tu nombre o alias, tus apodos, tu género (para las formas gramaticales) y tu país. También tu zona horaria, que solo usamos para aplicar tus horarios y no se envía a la IA. El país te lo proponemos a partir de tu dirección IP y la zona horaria a partir de la de tu dispositivo; puedes cambiar los dos.
• Las listas de usuarios de Telegram que gestionas (contactos excluidos, permitidos o cuya conversación ha pasado a ti, y socios de intercambio de promociones de confianza o vetados): su identificador y su nombre de usuario de Telegram, el nombre de pila de los socios de intercambio y las notas o motivos que añadas.
• En tus métodos de pago, los datos para cobrar que escribes tú, que pueden incluir un número de teléfono (Bizum), un correo, un nombre de usuario o datos bancarios como un IBAN.
• Tus valoraciones de las respuestas de la IA, con el motivo y la nota que añadas si quieres.
• El texto de tu aviso de inteligencia artificial.

3.4 Capturas de pantalla

• Las imágenes que subes voluntariamente para extraer tu estilo de escritura o el contenido de tus categorías, y las capturas que subes como prueba de las visualizaciones en un intercambio de promociones con otra creadora de Twinyx, no se guardan en Twinyx: se procesan en memoria y se envían a la API de Google Gemini. Google conserva lo que recibe hasta 55 días solo para detectar abusos y no lo usa para entrenar sus modelos.
• Solo se guarda el resultado: el texto que describe tu estilo, el contenido de tus categorías o el número de visualizaciones. El análisis de estilo está configurado para no extraer nombres, teléfonos, correos, enlaces ni otra información que identifique a tus contactos.

3.5 Datos de pago

• No guardamos datos de tarjeta: los pagos de la suscripción se gestionan íntegramente a través de Stripe. Los datos para cobrar que decidas añadir a tus métodos de pago (apartado 3.3) sí se guardan, como parte de la configuración del bot.
• Guardamos el identificador de cliente y de suscripción de Stripe, el plan, el estado de la suscripción, sus fechas, la región de precios y el historial de eventos de facturación.

3.6 Datos técnicos y de seguridad

• En los registros técnicos del servidor, tu dirección IP, tu navegador y la dirección de cada petición, que puede incluir lo que se busca en el panel; en los registros de seguridad, tu dirección IP y tu navegador (inicios de sesión, cambios de contraseña, aceptación de documentos legales, accesos de administración).
• Tu dirección IP, para saber tu país: con él calculamos la región de precios que te mostramos (también si solo visitas la web) y te lo proponemos al configurar el bot. El país que guardes queda en tu configuración y se usa en las instrucciones de la IA para adaptar las respuestas a las expresiones de tu región.
• La comprobación antibots de Cloudflare Turnstile en el registro, el acceso y el restablecimiento de la contraseña.
• Al abrir una página con el botón de Telegram (acceso, registro, confirmación para vincular Telegram a tu cuenta, Ajustes y conexión con Telegram), tu dispositivo carga el componente de inicio de sesión de Telegram desde telegram.org, así que Telegram recibe tu dirección IP y los datos de tu navegador. En la aplicación de Android no ocurre al abrir la página (apartado 3.12).
• Si usas el dictado por voz del panel web, el reconocimiento de voz lo hace tu navegador con su propio servicio (en Google Chrome, por ejemplo, el audio lo procesa Google); a nosotros solo nos llega el texto resultante.
• Analítica web agregada y anónima con Umami, alojado por nosotros y sin cookies.

3.7 Soporte

• El contenido de las consultas que nos envías, tu correo, tu plan, el navegador, la página desde la que escribes y los adjuntos. Los adjuntos llegan a nuestro correo y no se guardan en la base de datos.

3.8 Referidos

• Tu código de referido, quién te refirió y el origen de la invitación, el estado de conversión y los hitos alcanzados.
• Lo que ve la otra persona: quien te invitó ve en su panel los dos primeros caracteres de tu correo, la fecha de tu registro y, si llegas a pagar, la fecha de tu primer pago. Quien abre tu enlace o usa tu código ve los dos primeros caracteres de tu correo.

3.9 Notificaciones

• Los identificadores de notificaciones push de tu navegador o dispositivo, y las notificaciones del panel.

3.10 Consentimientos

• El registro de tus aceptaciones y retiradas de los Términos, de esta Política y del consentimiento para comunicaciones comerciales, con fecha, versión, dirección IP y navegador.

3.11 Diagnóstico y observabilidad

• Trazas de la IA: cada respuesta y cada análisis de capturas queda registrado en nuestra herramienta de observabilidad, alojada por nosotros, con las instrucciones enviadas a la IA (en las respuestas, tu configuración y el historial reciente de la conversación; en los análisis, sin las imágenes), el resultado, el identificador de tu cuenta y la valoración que hagas de esa respuesta. Las usamos solo para operar y depurar el servicio, y se suprimen a los 30 días.
• Informes de error automáticos: si falla el guardado del asistente de configuración, el panel nos envía un informe con el mensaje de error, el paso y un resumen sin contenido de lo que habías configurado (recuentos y el idioma). Se guarda en los registros de seguridad con tu dirección IP y tu navegador, y lo usamos para diagnosticar y corregir el fallo.

3.12 Aplicación móvil (Android)

• La aplicación de Android de Twinyx muestra el mismo panel que la web y trata los mismos datos. No incluye kits de publicidad ni de analítica de terceros, y solo te pide permiso para mostrarte notificaciones: no usa la ubicación GPS de tu dispositivo, no lee la agenda de tu teléfono y no usa la cámara ni el micrófono. Tu país aproximado lo deducimos de tu dirección IP (apartado 3.6).
• Tu sesión se mantiene con la misma cookie que en la web, guardada en la aplicación, en tu dispositivo. La aplicación queda fuera de la copia de seguridad de Android en tu cuenta de Google.
• Para las notificaciones incluye Firebase Cloud Messaging (Google). Al abrir la aplicación por primera vez, Firebase crea un identificador de instalación y un token del dispositivo y los registra en sus servidores, aunque no actives las notificaciones. Solo si las activas nos envía la aplicación ese token, que guardamos para mandarte los avisos.
• La comprobación antibots de Cloudflare Turnstile también funciona dentro de la aplicación (apartado 3.6). En la aplicación, ninguna página carga nada de telegram.org al abrirse: la página de inicio de sesión de Telegram se abre, dentro de la propia aplicación, solo cuando tocas el botón, y solo entonces Telegram recibe tu dirección IP y los datos de tu navegador.
• La copia de tus datos (apartado 10) también se descarga desde la aplicación: se abre el menú de compartir del sistema para que guardes o envíes el archivo. La aplicación guarda la última copia en su almacenamiento privado, en tu dispositivo, hasta la siguiente exportación o hasta que borres los datos de la aplicación o la desinstales.

4. Finalidades y bases jurídicas

Cuando la base es el interés legítimo, hemos ponderado tus derechos y puedes oponerte escribiéndonos (apartado 10).

5. Inteligencia artificial y decisiones automatizadas

5.1 Respuestas generadas con IA

Para contestar a tus contactos con tu estilo enviamos a nuestro proveedor de IA, Google (apartado 7), tu contexto de personalidad, los datos con los que el bot habla en tu nombre (apartado 3.3), tus categorías con tus métodos de pago y el historial reciente de cada conversación. Google no usa estos datos para entrenar sus modelos y los conserva hasta 55 días solo para detectar abusos. Google guarda además tu contexto de personalidad hasta 1 hora para responder más rápido.

5.2 Decisiones automatizadas

El servicio decide de forma automática, por ejemplo, si contestar a un mensaje, en qué categoría encaja, si una conversación debe pasar a ti, si un contacto parece spam o si puede ser menor de edad. Ninguna de estas decisiones produce efectos jurídicos sobre ti ni sobre tus contactos ni les afecta de forma similar (artículo 22 del RGPD): cuando el sistema no contesta, la conversación queda para ti, y puedes revisar y cambiar cualquier decisión desde el panel.

6. Los datos de tus contactos

Cuando tus contactos te escriben por Telegram, y cuando añades a alguien a tus listas (apartado 3.3), tú eres la responsable del tratamiento de sus datos y Twinyx actúa como encargado por tu cuenta, conforme al Acuerdo de encargo del tratamiento, que forma parte de los Términos. En resumen:

• Antes de contestar con IA, cada contacto recibe el aviso de inteligencia artificial y, salvo las contrapartes verificadas de un intercambio de promociones (ver el Acuerdo de encargo), una petición de consentimiento explícito, con la declaración de mayoría de edad. Sin un SÍ, sus mensajes no se procesan con IA; con STOP lo retira cuando quiera.
• Si un contacto indica ser menor de edad, la IA deja de contestarle y te avisamos.
• No usamos los datos de tus contactos para fines propios, ni para entrenar modelos de IA.
• Tus contactos tienen la información completa en la página de privacidad para contactos, a la que enlaza el propio chat.

7. Destinatarios y encargados del tratamiento

Comunicamos datos a estos proveedores, que los tratan por cuenta nuestra como encargados, con un contrato conforme al RGPD. Debajo de la tabla explicamos las excepciones: cuándo Telegram y Google actúan como responsables independientes, el uso propio que hace Cloudflare de las señales de Turnstile y el servicio de notificaciones de tu navegador.

• Telegram, como plataforma de mensajería y cuando tu dispositivo carga su botón de inicio de sesión (apartado 3.6), y Google o Telegram cuando inicias sesión con ellos, tratan los datos como responsables independientes, según sus propias políticas.
• Cloudflare trata los datos como encargado cuando comprueba en nuestro sitio que no eres un bot, y como responsable independiente de las señales que usa para mejorar su detección de bots (dirección IP, huella TLS, navegador y clave del sitio), según su anexo de privacidad de Turnstile.
• Servicio de notificaciones de tu navegador: las notificaciones push en el navegador pasan por el servicio de quien lo fabrica (por ejemplo, Google en Chrome, Mozilla en Firefox, Apple en Safari o Microsoft en Edge), que las recibe cifradas de extremo a extremo y no puede leer su contenido.
• Have I Been Pwned: cuando eliges una contraseña (registro, cambio o restablecimiento), comprobamos si aparece en filtraciones conocidas enviando solo los 5 primeros caracteres de su huella SHA-1, que comparten cientos de contraseñas distintas. Ni tu contraseña ni tu correo salen de nuestros servidores.
• Herramientas alojadas por nosotros: la observabilidad de la IA (apartado 3.11) y la analítica web (Umami) funcionan en nuestra propia infraestructura de OVHcloud; no ceden datos a terceros.
• Podemos comunicar datos a jueces, tribunales y autoridades cuando la ley lo exija.

8. Transferencias internacionales

Algunos proveedores tratan datos en Estados Unidos. Estas transferencias se amparan en:

• El Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea de 10 de julio de 2023) para los proveedores certificados.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) para los demás, con una evaluación del nivel de protección y medidas adicionales como el cifrado en tránsito y la minimización de los datos enviados.

Puedes pedirnos una copia de las garantías escribiendo a admin@twinyx.app.

9. Plazos de conservación

9.1 Bloqueo de datos

Cuando suprimimos datos que pueden ser necesarios para atender reclamaciones, los bloqueamos en lugar de borrarlos al momento (artículo 32 de la LOPDGDD): quedan apartados, sin uso, y solo a disposición de jueces y tribunales, el Ministerio Fiscal o las autoridades competentes durante el plazo de prescripción. En concreto: el registro de tus consentimientos (5 años), los registros de seguridad (dentro de su plazo de 3 años; el de la propia eliminación de la cuenta no se bloquea, ver el apartado 11) y las pruebas del aviso de IA y del consentimiento de tus contactos, con las marcas de posibles menores (3 años). Después se destruyen. El identificador de las cuentas de Telegram que se conectaron a Twinyx por primera vez desde tu cuenta y el de tu cuenta, que guardamos para no repetir la prueba gratuita, no se bloquean, porque se siguen usando para prevenir el fraude: se suprimen en el plazo de la tabla.

9.2 Copias de seguridad

Hacemos una copia de seguridad diaria de la base de datos, que se sobrescribe cada 24 horas. Lo que se suprime desaparece también de la copia en ese plazo.

10. Tus derechos

Conforme al RGPD y la LOPDGDD puedes ejercer en cualquier momento tus derechos de:

• Acceso: saber qué datos tuyos tratamos y obtener una copia: desde Ajustes puedes descargar un archivo JSON con los datos de tu cuenta, tu configuración y tus conversaciones (en la aplicación móvil, con el menú de compartir del sistema).
• Rectificación de los datos inexactos.
• Supresión, cuando ya no sean necesarios (puedes eliminar tu cuenta desde Ajustes, ver el apartado 11).
• Limitación del tratamiento en los casos previstos en la ley.
• Portabilidad, en un formato estructurado y legible por máquina (el mismo archivo JSON).
• Oposición a los tratamientos basados en el interés legítimo.
• Retirada del consentimiento, sin que afecte a la licitud del tratamiento anterior.
• No ser objeto de decisiones automatizadas con efectos jurídicos o similares.

Cómo ejercerlos: escribe a admin@twinyx.app desde el correo de tu cuenta, indicando el derecho que quieres ejercer. Solo te pediremos más datos para identificarte si tenemos dudas razonables sobre tu identidad (artículo 12.6 del RGPD). Te responderemos en un mes, prorrogable dos meses más en casos complejos, y el ejercicio es gratuito.

Personas fallecidas: sus familiares, personas vinculadas de hecho y herederos pueden solicitar el acceso, la rectificación o la supresión de sus datos, salvo que la persona fallecida lo hubiera prohibido (artículo 3 de la LOPDGDD).

Si consideras que no hemos atendido bien tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Eliminar tu cuenta

Puedes eliminar en cualquier momento tu cuenta de Twinyx (el servicio y la aplicación de Android de BAIXOSAMA INVERSIONES, SL):

• Desde el panel web o la aplicación: en Ajustes, con el botón "Eliminar cuenta". Si tienes contraseña, te la pedimos para confirmar; si entras solo con Google o Telegram, te enviamos a tu correo un enlace de confirmación válido durante 1 hora.
• Sin la aplicación ni el panel: escribe a admin@twinyx.app desde el correo de tu cuenta pidiendo que la eliminemos. Nuestro personal la eliminará en el plazo del apartado 10 y te confirmará por correo qué se ha suprimido y qué se conserva.

Cuando la eliminas desde Ajustes, suprimimos de inmediato tu cuenta, tu configuración, tus conexiones con Telegram, el historial de conversaciones, las notificaciones, tus consultas de soporte y los demás datos del servicio, cancelamos tu suscripción en Stripe y te borramos de la lista de comunicaciones comerciales. Solo se conserva lo siguiente:

12. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Comunicaciones cifradas (TLS/HTTPS).
• Contraseñas guardadas como hash bcrypt y comprobadas frente a contraseñas filtradas.
• Segundo factor de autenticación disponible para todos los usuarios y obligatorio para el personal de administración.
• Aislamiento de los datos por cuenta, consultas parametrizadas y límites contra el abuso.
• Registro de los accesos de administración a datos de conversaciones.
• Verificación de la firma de los webhooks de Stripe y de Telegram.
• Copia de seguridad diaria, procedimientos de gestión de brechas y revisiones periódicas de seguridad.

13. Menores de edad

Twinyx está dirigido exclusivamente a personas mayores de 18 años, que lo declaran al registrarse. No recogemos conscientemente datos de menores. Si sabes que un menor nos ha facilitado datos, escríbenos a admin@twinyx.app y los suprimiremos.

14. Cookies y almacenamiento local

Consulta la Política de cookies. Solo usamos cookies y almacenamiento técnicos o de preferencias, que no requieren consentimiento.

15. Cambios en esta política

Si modificamos esta política, actualizaremos la versión y la fecha de la parte superior. Si los cambios son relevantes, te avisaremos en el servicio o por correo electrónico y te pediremos que aceptes la nueva versión para seguir usándolo.

16. Contacto

• Correo electrónico: admin@twinyx.app
• Dirección postal: Rua Condesa Casa Barcenas, 11, 36204 Vigo, Pontevedra