Política de privacidad — MirrorVox

Versión: 1.0

Fecha de entrada en vigor: la de publicación de esta versión (esta versión aún no se ha publicado)

Última actualización: 19 de agosto de 2026

1. Quién es responsable de tus datos

El responsable del tratamiento de tus datos personales es:

Francisco Serralvo
Calle La Unión Mercantil 33, 29004 Málaga, España
NIF: 53693189B
Contacto: hello@mirrorvox.app

No estamos obligados a designar un delegado de protección de datos: no somos una autoridad pública, no realizamos observación habitual y sistemática de personas a gran escala y no tratamos categorías especiales de datos a gran escala (artículo 37 del RGPD). Estamos establecidos en España, por lo que tampoco procede designar un representante del artículo 27 del RGPD. Para cualquier cuestión de privacidad puedes escribir a hello@mirrorvox.app.

2. Qué datos tratamos

Datos de cuenta y perfil: nombre, dirección de email y avatar facilitados por el acceso con Google, plan y estado de la cuenta, fecha de creación.
Identificadores de autenticación: tu identificador de usuario y los tokens de sesión gestionados por nuestro proveedor de autenticación.
Vídeos y metadatos asociados: los archivos de vídeo que subes, además de nombre, tamaño, duración, formato y ubicación de almacenamiento.
Registros de conversión: qué vídeo, qué voz, estado, resultado, duración, minutos utilizados y marcas temporales.
Muestras de voz: el audio que subes para crear una voz propia.
Metadatos de voces propias: nombre, estado, identificador del proveedor y fechas.
Registros de consentimiento para clonación de voz: hora del consentimiento, texto y versión del consentimiento, idioma, proveedor e identificadores relacionados.
Consumo y minutos: derechos concedidos, compras y asientos de consumo en nuestro libro de uso.
Datos de facturación: identificadores de cliente y de suscripción de nuestro proveedor de pagos, información de plan y período y eventos de pago. No recibimos ni almacenamos números completos de tarjeta.
Evidencia de consentimiento de compra: por cada compra iniciada en el checkout registramos tu identificador de usuario, el tipo de compra, el identificador de plan o el número de minutos, el entorno, el identificador de la sesión de checkout de Stripe, la versión y la hora de aceptación de los Términos, la versión y la hora del acuse de la Política de privacidad, la versión y la hora de tu solicitud expresa de inicio inmediato, el idioma de la interfaz y la hora de creación del registro. Las marcas temporales probatorias las genera nuestra base de datos en el servidor, y el registro no puede ser modificado ni eliminado por los usuarios desde la aplicación.
Datos de email transaccional: tu dirección de email, los datos de la compra que aparecen en la confirmación (plan o número de minutos, importe, moneda, fecha y versiones de los documentos aplicables), el contenido del mensaje que te enviamos y los metadatos y eventos de entrega generados por nuestro proveedor de email (por ejemplo eventos de envío, rechazo, rebote, queja, baja o supresión).
Datos de soporte y contacto: el contenido de los emails que envías a hello@mirrorvox.app.
Datos técnicos estrictamente necesarios: los datos de solicitud que tratan nuestros proveedores de alojamiento e infraestructura para servir el sitio y protegerlo.

No utilizamos analítica web, píxeles publicitarios ni herramientas de rastreo, y no elaboramos perfiles publicitarios.

3. Para qué los tratamos

Para crear y mantener tu cuenta y permitirte iniciar sesión.
Para prestar el servicio de conversión: almacenar tu vídeo, procesarlo, generar y entregar el resultado y mostrar tu historial.
Para crear y gestionar voces propias a petición tuya.
Para dejar constancia de que se prestó el consentimiento de clonación de voz.
Para medir minutos y aplicar los límites del plan y el uso gratuito.
Para cobrar los pagos, gestionar las suscripciones y cumplir obligaciones contables y fiscales.
Para conservar evidencia de la información precontractual y de los consentimientos recogidos en el checkout.
Para responder a tus mensajes.
Para mantener el servicio seguro y prevenir el fraude y el abuso.
Para atender las solicitudes de eliminación de cuenta y ejecutar la purga del ciclo de vida de datos.

4. Bases jurídicas

| Finalidad | Base jurídica |

| --- | --- |

| Creación de cuenta e inicio de sesión | Ejecución del contrato (art. 6.1.b RGPD) |

| Conversión de vídeo y entrega de resultados | Ejecución del contrato (art. 6.1.b) |

| Creación de voces propias a partir de tus muestras | Ejecución del contrato (art. 6.1.b); la declaración de consentimiento que aceptas es una autorización sobre el uso de una voz, no la base jurídica del tratamiento |

| Conservación de los registros de consentimiento de voz | Interés legítimo en poder acreditar que la declaración se prestó y en la defensa frente a reclamaciones (art. 6.1.f) |

| Conservación de la evidencia de consentimiento de compra | Obligación legal derivada de la normativa de consumo sobre contratos a distancia (art. 6.1.c, en relación con los artículos 97 y 103 del TRLGDCU) e interés legítimo en poder probarla (art. 6.1.f) |

| Minutos, cuotas y control del uso gratuito | Ejecución del contrato (art. 6.1.b) |

| Pagos y suscripciones | Ejecución del contrato (art. 6.1.b) |

| Facturación, contabilidad y registros fiscales | Obligación legal (art. 6.1.c) |

| Correspondencia de soporte | Ejecución del contrato cuando se refiere a tu contrato; en otro caso, interés legítimo (art. 6.1.b o 6.1.f) |

| Seguridad, prevención del fraude e integridad del servicio | Interés legítimo (art. 6.1.f) y obligación legal en cuanto a la seguridad del tratamiento (art. 32) |

| Eliminación de cuenta y purga | Cumplimiento de tus derechos (art. 17) y ejecución del contrato |

5. Cuenta y autenticación

Las cuentas se crean con el acceso de Google. Al iniciar sesión, Google nos facilita tu identificador, tu dirección de email, tu nombre y tu avatar. Las sesiones las gestiona nuestro proveedor de autenticación, Supabase. No recibimos tu contraseña de Google.

6. Vídeos y datos de conversión

Los vídeos que subes se almacenan en nuestro almacenamiento de archivos, los procesa nuestro worker y se envían al proveedor de voz únicamente en la medida necesaria para generar el resultado solicitado. El contenido visual del vídeo no se altera.

Cada archivo de vídeo almacenado —tanto el original que subes como el resultado generado— lleva una fecha de purga fijada 30 días después de su creación. El proceso de purga solo actúa sobre archivos cuya fecha de purga ya ha pasado y que no han sido purgados todavía; elimina primero el objeto almacenado y solo después marca el activo como purgado, de modo que un fallo del almacenamiento deja el activo pendiente y la operación puede repetirse con seguridad.

Los metadatos y las referencias internas se tratan de forma separada de los archivos multimedia: los registros de conversión (qué conversión se ejecutó, su estado, su duración y los minutos utilizados) y los identificadores internos permanecen en tu historial hasta que los elimines o hasta que se elimine tu cuenta y, cuando sirven de soporte a la facturación, durante los plazos indicados en la sección 11. No afirmamos que todo registro relacionado con un vídeo desaparezca a los 30 días.

7. Clonación de voz y muestras de voz

Si creas una voz propia, subes muestras de audio. Antes de que pueda iniciarse el intento de clonación debes aceptar una declaración de consentimiento en la interfaz; sin un consentimiento registrado el intento se bloquea técnicamente. Las muestras se procesan después para crear una voz personalizada a través de nuestro proveedor de voz, ElevenLabs, que se utiliza para determinadas operaciones de clonación y devuelve un identificador de proveedor que almacenamos asociado a tu cuenta. Con ese identificador podemos solicitar la eliminación de la voz clonada en el proveedor; si esa solicitud falla, el fallo se conserva como estado recuperable para poder reintentarla.

Cómo clasificamos estos datos. Tu voz, tus muestras y el audio extraído de tus vídeos son datos personales. No los utilizamos para identificar ni verificar la identidad de ninguna persona mediante técnicas biométricas: se emplean únicamente para producir la conversión de voz que solicitas. Por ese motivo no los tratamos como categoría especial del artículo 9 del RGPD. Si en el futuro introdujéramos una funcionalidad que identificase a personas por su voz, te informaríamos previamente y recabaríamos tu consentimiento explícito. Mientras tanto, tratamos estas muestras como material especialmente sensible y restringimos su acceso.

Si las muestras corresponden a la voz de otra persona, eres responsable de contar con su autorización; nosotros no la verificamos.

Política de conservación de las muestras. Nuestra política es conservar las muestras de voz un máximo de 30 días desde la última actividad de la voz a la que pertenecen, salvo que las elimines antes. Hoy este límite se aplica cuando eliminas una voz o tu cuenta; la aplicación automática del plazo de 30 días es un cambio que todavía debemos implementar, y no lo presentamos como ya operativo.

8. Registros de consentimiento de clonación

El consentimiento para la clonación de voz se almacena como un registro no modificable que los usuarios no pueden editar ni eliminar. Contiene la hora del consentimiento, el texto y la versión del consentimiento, el idioma, el proveedor e identificadores relacionados, y está vinculado a tu cuenta y a la voz correspondiente. Conservamos estos registros para poder acreditar que la declaración se prestó.

8 bis. Evidencia de consentimiento de compra

Cuando inicias una compra, MirrorVox registra la evidencia descrita en la sección 2 para poder acreditar qué documentos se te mostraron, en qué versión e idioma, y cuándo los aceptaste y solicitaste expresamente el inicio inmediato de la prestación. Las marcas temporales utilizadas como prueba se generan en el servidor por nuestra base de datos, y los usuarios no pueden editar ni eliminar el registro desde la aplicación.

9. Facturación y pagos

Los pagos y las suscripciones los procesa Stripe mediante su Embedded Checkout. Los precios se resuelven en nuestro servidor, y Stripe recoge la dirección de facturación y aplica el cálculo automático de impuestos. Stripe recibe los datos de facturación necesarios para la transacción, nuestros identificadores internos de compra y metadatos técnicos relacionados. No enviamos a Stripe vídeos, audio, muestras de voz ni ningún otro contenido multimedia. Almacenamos los identificadores y los datos de evento necesarios para saber qué plan tienes, qué has comprado y si los pagos se han completado. No recibimos los datos completos de tu tarjeta.

Al ser europea nuestra cuenta de Stripe, la entidad contratante es Stripe Payments Europe, Ltd. Conforme al acuerdo de tratamiento de datos de Stripe, Stripe actúa como encargado en parte del tratamiento y como responsable independiente en otras finalidades, como su propia prevención del fraude y su cumplimiento normativo. La documentación de privacidad de Stripe describe ese tratamiento.

9 bis. Emails de confirmación de compra

Cuando el proveedor de pagos confirma una compra, te enviamos un email de confirmación a la dirección asociada a tu registro de cliente de facturación. El envío se realiza mediante Lovable Cloud Emails, el servicio de email de la plataforma Lovable (Lovable Labs), que según su documentación publicada utiliza Mailgun y Amazon SES como subencargados. El envío se realiza en Estados Unidos; esa transferencia está amparada por las Cláusulas Contractuales Tipo incluidas en el acuerdo de tratamiento correspondiente.

El proveedor de email recibe únicamente lo necesario para entregar la confirmación: tu dirección de email, el contenido del mensaje y los datos de compra que contiene (plan o número de minutos, importe, moneda, fecha y versiones de los documentos). Nunca enviamos al proveedor de email vídeos, audio, muestras de voz, previews, rutas de almacenamiento, tu identificador de usuario, tokens, credenciales, metadatos del worker ni tu historial de conversiones. No utilizamos seguimiento de aperturas ni de clics. Nuestro proveedor registra eventos de entrega con fines operativos y de diagnóstico y mantiene una lista de supresión de direcciones que rebotan, marcan como spam o se dan de baja. No disponemos de información confirmada sobre el plazo exacto de conservación que aplica el proveedor al contenido de los mensajes y a esos registros de eventos y supresión, por lo que no lo indicamos aquí; puedes consultarnos en hello@mirrorvox.app.

La base jurídica es la ejecución del contrato que has celebrado (artículo 6.1.b RGPD): son mensajes transaccionales, no comerciales. No enviamos newsletters comerciales desde este servicio.

10. Consumo y minutos

Registramos los derechos concedidos, las compras y cada asiento de consumo para poder calcular tu saldo, aplicar los límites del plan y la conversión gratuita y resolver dudas de facturación.

11. Almacenamiento y conservación

Vídeos y resultados: eliminados por el proceso de purga una vez transcurrida su fecha de purga de 30 días, o antes si tú los eliminas.
Registros de conversión y referencias internas: se conservan en tu historial hasta que los elimines o hasta la eliminación de la cuenta, sin perjuicio de la conservación asociada a la facturación.
Muestras de voz: política de un máximo de 30 días desde la última actividad de la voz, según la sección 7, y eliminación cuando borras la voz o tu cuenta.
Metadatos de voces propias: se conservan mientras la voz existe en tu cuenta; se eliminan o anonimizan al eliminar la cuenta. La eliminación del modelo alojado en el proveedor se solicita según la sección 7.
Registros de consentimiento de voz: se conservan como evidencia no modificable mientras puedan ejercitarse acciones relacionadas con el uso de la voz (con carácter general, cinco años para las acciones personales, artículo 1964 del Código Civil).
Evidencia de consentimiento de compra: se conserva junto con los registros de facturación correspondientes, para poder acreditar el cumplimiento precontractual mientras el contrato pueda dar lugar a reclamaciones.
Facturación, contabilidad y libro de consumo: se conservan seis años desde el último asiento, conforme al artículo 30 del Código de Comercio, y más tiempo cuando la normativa tributaria lo exija (el plazo de prescripción de cuatro años puede interrumpirse, y se aplican hasta diez años para la comprobación de créditos fiscales compensables conforme al artículo 66 bis de la Ley General Tributaria).
Emails de soporte: se conservan tres años desde la última interacción, salvo que una obligación legal, una reclamación o la defensa de derechos justifique un plazo distinto. Se trata de una política de conservación aplicada por nosotros; no afirmamos que estos emails se borren automáticamente mediante software.
Registros de eliminación de cuenta: se conservan como rastro de auditoría de la propia eliminación.

12. Eliminación de la cuenta

Cuando eliminas tu cuenta:

se cierran tus sesiones y se revoca tu acceso;
se anonimizan los datos de tu perfil;
se eliminan los objetos almacenados para tu cuenta;
tus conversiones y activos se procesan mediante el flujo de eliminación;
se eliminan tus voces propias y sus muestras, y se solicita la eliminación de las voces alojadas en el proveedor externo cuando disponemos de su identificador;
si el proveedor devuelve un error, el fallo se conserva como estado recuperable para poder reintentar la eliminación;
se crea un registro interno de eliminación;
los asientos de facturación y del libro de consumo, y determinados registros operativos, se conservan cuando existe una necesidad contable o técnica;
los registros de consentimiento de voz se conservan como evidencia no modificable;
el registro de autenticación subyacente se conserva por integridad referencial, con el acceso bloqueado de forma permanente.

Por las reglas de conservación de la sección 11, no describimos la eliminación como el borrado inmediato y total de todos los registros.

13. Proveedores

Utilizamos los siguientes encargados y proveedores:

Supabase — base de datos, autenticación y almacenamiento de archivos. Nuestro proyecto se ejecuta en la Unión Europea (AWS, región de Estocolmo, eu-north-1). Supabase publica un anexo de tratamiento de datos y una lista de subencargados.
Stripe (Stripe Payments Europe, Ltd.) — pagos, checkout y gestión de suscripciones, conforme a su acuerdo de tratamiento de datos publicado.
ElevenLabs — determinadas operaciones de clonación y generación de voz, conforme a su anexo de tratamiento de datos publicado.
Fly.io — infraestructura donde se ejecuta nuestro worker de procesamiento multimedia; su región primaria es Ámsterdam, en la Unión Europea.
Lovable — plataforma que aloja la aplicación web y sus funciones de servidor.
Lovable Cloud Emails (Lovable Labs) — envío de emails transaccionales como las confirmaciones de compra, con Mailgun y Amazon SES como subencargados. Este tratamiento se realiza en Estados Unidos al amparo de las Cláusulas Contractuales Tipo.

Cada proveedor recibe únicamente los datos necesarios para su función.

14. Transferencias internacionales

Nuestra base de datos, la autenticación, el almacenamiento y el procesamiento multimedia se ejecutan en la Unión Europea, en las regiones indicadas en la sección 13. ElevenLabs trata datos principalmente en Estados Unidos; esa transferencia está amparada por las Cláusulas Contractuales Tipo incluidas en su anexo de tratamiento de datos. Los emails transaccionales se envían mediante Lovable Cloud Emails y sus subencargados Mailgun y Amazon SES, que tratan en Estados Unidos los datos descritos en la sección 9 bis al amparo de las Cláusulas Contractuales Tipo. Cuando cualquier otro proveedor trate datos fuera del Espacio Económico Europeo, lo hará bajo los mecanismos de transferencia previstos en su propio acuerdo de tratamiento. Puedes solicitarnos información sobre estas garantías en hello@mirrorvox.app.

15. Seguridad

El acceso a tus datos está restringido mediante autenticación y reglas de seguridad a nivel de fila en la base de datos, de modo que cada cuenta solo puede alcanzar sus propios registros. Las credenciales privilegiadas se mantienen en el servidor y no se exponen al navegador, y nuestro worker de procesamiento no dispone de credenciales de base de datos. Los registros de consentimiento son no modificables. Ningún sistema puede garantizarse como completamente seguro.

16. Cookies y almacenamiento local

MirrorVox no utiliza tecnologías de analítica, publicidad ni rastreo. El almacenamiento que empleamos es almacenamiento técnico estrictamente necesario para prestar el servicio que solicitas: el almacenamiento de sesión que utiliza nuestro proveedor de autenticación para mantenerte identificado, tu preferencia de idioma y un almacenamiento de navegador de corta duración que conserva el estado del flujo de conversión y de compra. Conforme al artículo 22.2 de la Ley 34/2002 y a la Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos (mayo de 2024), este tipo de almacenamiento está exento del deber de recabar consentimiento, por lo que no mostramos un banner de cookies.

El paso de pago lo presenta Stripe Embedded Checkout, que puede utilizar su propio almacenamiento o cookies para el funcionamiento y la prevención del fraude del pago que has solicitado. La política de cookies de Stripe describe sus prácticas. Por ello no afirmamos que no intervenga ninguna cookie.

Si en el futuro incorporásemos tecnologías de analítica o publicidad, te pediríamos tu consentimiento antes de utilizarlas.

17. Tus derechos

Tienes derecho a solicitar el acceso a tus datos personales, su rectificación, su supresión, la limitación del tratamiento, la oposición al tratamiento basado en interés legítimo y la portabilidad de los datos. Cuando el tratamiento se base en el consentimiento, puedes retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a la retirada.

Algunas solicitudes pueden verse limitadas por excepciones legales, por ejemplo cuando debemos conservar registros contables o necesitamos mantener la evidencia de una declaración de consentimiento.

18. Cómo ejercer tus derechos

Escribe a hello@mirrorvox.app. Es posible que necesitemos verificar que la solicitud procede del titular de la cuenta. Respondemos dentro de los plazos previstos por el RGPD.

Muchas acciones están además disponibles directamente en el producto: puedes eliminar conversiones y archivos, eliminar voces propias y eliminar tu cuenta.

19. Reclamaciones ante la autoridad de control

Si consideras que tus datos se han tratado incorrectamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o ante la autoridad de control de tu país de residencia.

20. Cambios en esta Política de privacidad

Podemos actualizar esta política. La versión vigente, con su número de versión y su fecha, se publica siempre aquí. El checkout registra qué versión de esta política se te mostró en cada compra, de modo que siempre puede identificarse la versión aplicable.

21. Contacto

hello@mirrorvox.app