Política de privacidad

Este texto explica cómo se tratan tus datos personales cuando usas el servicio Moonpix AI en moonpixai.com. Es un aviso informativo conforme al art. 10 de la Ley n.º 6698 de Protección de Datos Personales de Turquía (KVKK) y una información conforme al art. 13 del Reglamento General de Protección de Datos de la UE (RGPD). No es un contrato: no te pide tu consentimiento; solo registramos que lo has leído. El único tratamiento basado en tu consentimiento explícito es la medición de anuncios que se describe más abajo.

Responsable del tratamiento

El responsable del tratamiento es Umut Hasan Şahin (persona física, a título individual). Si has iniciado sesión, puedes contactarnos desde la sección de soporte del sitio; si no puedes iniciar sesión, a través del formulario de solicitud. No se ha designado un delegado de protección de datos.

Con la misma cuenta puedes iniciar sesión también en nuestras otras aplicaciones y usar allí tus monedas. El responsable del tratamiento de esas aplicaciones es el mismo; por eso, los datos de tu cuenta y de tus monedas también se usan allí.

Qué datos tratamos

Cuenta: tu dirección de correo electrónico, un hash irreversible de tu contraseña (argon2id; no guardamos la contraseña en sí), tu año de nacimiento, tu preferencia de idioma, tu ID de miembro, la fecha de apertura de la cuenta y la del último inicio de sesión, y tus ajustes de seguridad de acceso.
Si inicias sesión con Google, de Google: el ID de tu cuenta de Google, tu dirección de correo electrónico y si está verificada, tu nombre y el enlace a tu foto de perfil.
Códigos de verificación: solo un hash (SHA-256) de los códigos de 6 dígitos que te enviamos por correo electrónico. Los códigos son válidos durante 10 minutos.
Sesiones: el ID de sesión, un hash de los datos de tu navegador (user agent), el país y las fechas de apertura y último uso de la sesión.
Las fotos y los vídeos que subes y tus prompts (el texto que escribes para generar).
Generaciones: los archivos de resultado, el modelo y los ajustes que eliges, el precio en monedas, el estado de la generación y el país.
Monedas y compras: tu saldo; los movimientos de monedas reservadas, gastadas y devueltas; el estado de tu suscripción; el ID de transacción, el producto, el precio, la tienda y el país que nos comunica la tienda. Los datos de tu tarjeta nunca nos llegan.
Confirmación de edad: si has confirmado tu edad para acceder a ciertos contenidos, el momento de la confirmación y tu ID de miembro.
Prueba de aceptación: la versión y el idioma que aceptaste, un hash SHA-256 de cada documento, el momento en que terminaste de leer cada documento, las frases de aceptación que viste en pantalla (incluida tu declaración de que indicaste correctamente tu año de nacimiento y tienes 18 años o más), tu año de nacimiento, tu dirección IP, los datos de tu navegador (user agent), un hash SHA-256 de tu dirección de correo electrónico y el momento de la aceptación.
Soporte y solicitudes: lo que escribes en la sección de soporte; el nombre y apellidos, la dirección de correo electrónico y el mensaje que indicas en el formulario de solicitud; el país.
Medición de uso: que se ha iniciado una sesión, la ruta de la página que abres, una señal de «sigo aquí» que se envía cada 60 segundos mientras la página está abierta, y que la sesión ha terminado. Si has iniciado sesión, se vincula a tu ID de miembro; si no, a un número aleatorio que desaparece al cerrar la pestaña.
Registros de seguridad: intentos de inicio de sesión y eventos de riesgo. En ellos no se guarda tu dirección IP en sí, sino un hash irreversible (HMAC) generado a partir de ella con una clave secreta. Al iniciar sesión, registrarte o gestionar tu contraseña, estos registros se vinculan a un identificador aleatorio asignado a tu navegador (la cookie __Host-iid); así, las cuentas abiertas desde el mismo navegador pueden vincularse entre sí.
País: el código de país que Cloudflare deduce de tu conexión. Se anota en los registros de sesiones, medición de uso, archivos multimedia, generaciones y soporte; algunos contenidos pueden estar disponibles o no según el país.
Registros técnicos: registros del sistema (logs) y métricas de rendimiento. Los logs pueden incluir datos de conexión.
Datos de medición de anuncios: solo si das tu permiso; ver la sección específica más abajo.

No guardamos tu dirección IP en claro en nuestra base de datos; la única excepción es la prueba de aceptación. Además, tu dirección IP se transmite a Cloudflare para la protección contra bots y, si has dado tu permiso, a Meta.

No tratamos tus fotos con fines de reconocimiento facial ni para identificarte.

Cómo recogemos los datos

Tus datos se recogen por medios electrónicos: de lo que escribes en los formularios y de lo que subes; automáticamente, mediante cookies, el almacenamiento del navegador y los registros del sistema mientras usas el sitio; de Google, si inicias sesión con Google; de la tienda, cuando compras; y el dato del país, de Cloudflare.

Por qué tratamos los datos y con qué base jurídica

Para abrir tu cuenta, permitirte iniciar sesión y prestar el servicio (generación, monedas, suscripciones, mostrarte tus resultados, preparar una copia de tus datos): celebración y ejecución del contrato. Art. 5/2-c KVKK; art. 6/1-b RGPD.
Para enviar tus entradas a los proveedores de IA para la generación: ejecución del contrato (art. 5/2-c KVKK; art. 6/1-b RGPD). Para ello, además, se te pide que aceptes expresamente el Acuerdo de procesamiento con IA.
Para aplicar el límite de edad (año de nacimiento, límite de 18 años y declaración de edad, confirmación de edad): nuestras obligaciones legales de protección de los menores y nuestro interés legítimo. Art. 5/2-ç y 5/2-f KVKK; art. 6/1-c y 6/1-f RGPD.
Seguridad y prevención de abusos (protección contra bots, seguridad de la cuenta, multiplicación de usos gratuitos con varias cuentas, contenido prohibido, fraude): nuestro interés legítimo. Art. 5/2-f KVKK; art. 6/1-f RGPD.
Conservar la prueba de aceptación (para poder demostrar qué aceptaste y cuándo): el establecimiento, el ejercicio o la protección de un derecho. Art. 5/2-e KVKK; art. 6/1-f RGPD.
Compras y registros financieros: obligación legal derivada de la normativa fiscal y contable. Art. 5/2-ç KVKK; art. 6/1-c RGPD.
Responder al soporte y a las solicitudes: ejecución del contrato, nuestra obligación de responder a las solicitudes y nuestro interés legítimo. Art. 5/2-c, 5/2-ç y 5/2-f KVKK; art. 6/1-b, 6/1-c y 6/1-f RGPD.
Nuestra propia medición de uso (para ver qué páginas se usan y mejorar el sitio): nuestro interés legítimo. Art. 5/2-f KVKK; art. 6/1-f RGPD. Puedes desactivarla en cualquier momento.
Medición de anuncios (Meta): únicamente tu consentimiento explícito. Art. 5/1 KVKK y, para la transferencia al extranjero, art. 9 KVKK; art. 6/1-a RGPD. No dar tu permiso no afecta a nada y puedes retirarlo en cualquier momento.
Atender las solicitudes lícitas de las autoridades competentes: obligación legal. Art. 5/2-ç KVKK; art. 6/1-c RGPD.

Sin los datos necesarios para la cuenta y la generación no podemos prestar el servicio. En cambio, dar tu permiso para la medición de anuncios es totalmente voluntario.

A quién comunicamos los datos

Solo comunicamos tus datos a los proveedores de servicios con los que trabajamos para prestar el servicio, y solo en la medida en que lo requiera cada tarea:

netcup GmbH (Alemania): nuestros servidores. La base de datos y el propio servicio funcionan en el centro de datos de Núremberg, Alemania.
Cloudflare, Inc. (EE. UU.): la red por la que pasa el tráfico y la distribución de contenidos; el código de país; la protección contra bots (Turnstile, que funciona con tu dirección IP y los datos de tu navegador en los formularios de inicio de sesión, registro, restablecimiento de contraseña y solicitud); el almacenamiento de los archivos multimedia y de las copias de seguridad cifradas (R2).
Brevo (Sendinblue SAS, Francia): envío de correos electrónicos (códigos de verificación y avisos de la cuenta). Brevo indica que aloja los datos en la UE.
Proveedores de IA: fal (Features & Labels Inc., EE. UU.), Atlas Cloud (Atlas Cloud AI LLC, EE. UU.) y Siray (RUNEX AI PTE. LTD., Singapur). Tu prompt, la foto o el vídeo que subes y los ajustes que eliges se envían solo para realizar la generación que pides. Los detalles están en el Acuerdo de procesamiento con IA.
Google (en la UE, Google Ireland Limited, Irlanda; en otros países, Google LLC, EE. UU.): solo si inicias sesión con Google, para verificar el inicio de sesión. Cuando se habilite el inicio de sesión con Apple, si lo usas, será Apple (fuera de Turquía) quien lo verifique.
App Store (Apple) y Google Play (Google), ambos fuera de Turquía: cuando compras en la tienda, son ellos quienes cobran el pago; a nosotros solo nos llegan los datos de la transacción.
Meta (en la UE, Meta Platforms Ireland Limited, Irlanda; además, Meta Platforms, Inc., EE. UU.): solo si das tu permiso para la medición de anuncios; ver la sección específica más abajo.
Telegram (fuera de Turquía): para nuestros avisos internos de ventas, el ID de miembro, el país, el producto, el precio, la tienda y el ID de transacción. Tu dirección de correo electrónico no se envía.
Autoridades y organismos públicos competentes, y tribunales: solo cuando la ley lo exija.

No vendemos ni alquilamos tus datos personales.

Transferencias internacionales

Nuestros servidores están en Alemania; algunos de nuestros proveedores de servicios están en EE. UU., Singapur y otros países. Por eso, tus datos se transfieren fuera de Turquía y del Espacio Económico Europeo. Estas transferencias son necesarias para que podamos realizar las tareas descritas arriba, y cada una se limita a los datos que requiere esa tarea.

Cuánto tiempo los conservamos

Las fotos y los vídeos que subes: se eliminan al terminar la generación (como máximo en 2 horas); los que no se usan en ninguna generación, a los 15 minutos.
Las imágenes y los vídeos generados: se retiran en un plazo de 30 días.
Prompts: se guardan cifrados y se eliminan a los 30 días junto con los resultados.
Copias en los proveedores de IA: pedimos a fal que elimine los archivos que genera a las 24 horas; las copias en Atlas Cloud y Siray están sujetas a sus propias condiciones.
Conversaciones de soporte: se eliminan 2 años después de cerrarse la conversación; si eliminas tu cuenta, se eliminan de inmediato.
Registros del formulario de solicitud: se conservan para responder a tu solicitud y poder demostrar que la hemos respondido.
Medición de uso: 90 días.
Registros de seguridad: eventos de riesgo, 90 días; expedientes de revisión cerrados, 2 años.
Registros técnicos: 14 días; métricas de rendimiento, 15 días.
Copias de seguridad: las copias en el servidor se eliminan a los 14 días; las copias cifradas fuera del servidor, a los 30 días.
Sesiones: el token de acceso es válido durante 15 minutos y el de renovación, durante 30 días; tu sesión en el sitio se cierra si no se usa durante 30 días y, en cualquier caso, a más tardar a los 90 días.
Copia de tus datos: se puede descargar durante 7 días después de prepararse.
Datos de la cuenta: mientras la cuenta esté abierta.

Si eliminas tu cuenta, la eliminación se realiza 7 días después. Se eliminan tus datos de identidad, lo que has subido, tus generaciones y tus prompts; tu registro de miembro y tus registros de medición de uso se seudonimizan. Se conservan:

Registros financieros (compras y movimientos de monedas): durante el plazo que establece la normativa fiscal y contable.
Registros de generación: sin archivos ni prompts, de forma seudonimizada.
Registros de confirmación de edad: de forma seudonimizada, para poder demostrar que un contenido se generó para un miembro que había confirmado su edad.
Prueba de aceptación: 10 años desde la fecha de aceptación, incluidos tu dirección IP, los datos de tu navegador, tu año de nacimiento y el hash de tu dirección de correo electrónico. Es necesaria como prueba en caso de controversia sobre lo que aceptaste.
Los registros de seguridad y las copias de seguridad se eliminan automáticamente cuando vencen los plazos indicados arriba.

Cookies y almacenamiento del navegador

Las necesarias se requieren para que el sitio funcione y no piden permiso. Puedes desactivar la medición de uso; las cookies publicitarias solo se usan si das tu permiso. Puedes cambiar tus preferencias en la parte inferior de esta página o con «Gestionar preferencias» en el banner de cookies.

__Host-sid (necesaria): mantiene abierta tu sesión; los scripts del navegador no pueden leerla. Caduca si no se usa durante 30 días.
__Host-signed-in (necesaria): un indicador que permite a las páginas saber que has iniciado sesión; 7 días.
__Host-iid (necesaria): un identificador aleatorio asignado a este navegador para la seguridad de la cuenta y la prevención de abusos; los scripts del navegador no pueden leerlo. Se escribe al iniciar sesión, registrarte o gestionar tu contraseña; 1 año.
moonpix_oauth_google, moonpix_oauth_apple (necesarias): completar de forma segura el inicio de sesión con Google o Apple; 4 minutos.
moonpix_consent (necesaria): recuerda tu preferencia de cookies y medición; 180 días.
NEXT_LOCALE (necesaria): recuerda el idioma que elegiste; 1 año.
moonpix.analytics.sid (almacenamiento de la pestaña, medición de uso): el número aleatorio de la sesión; se elimina al cerrar la pestaña.
moonpix.analytics.consent (almacenamiento del navegador, medición de uso): una copia de tu preferencia de medición; hasta que la borres.
moonpix.favorites, moonpix.jobs.blur (almacenamiento del navegador): tus favoritos y tu preferencia de mostrar los resultados difuminados. Se quedan solo en tu navegador y no se nos envían; hasta que los borres.
moonpix.adVisit, moonpix.fbclid (almacenamiento de la pestaña): que llegaste desde un anuncio de Meta y el ID de ese clic en el anuncio. Se eliminan si rechazas la medición de anuncios o cierras la pestaña.
_fbc (publicidad, solo con permiso): si hiciste clic en un anuncio de Meta, el ID de ese clic; 90 días.
_fbp (publicidad, solo con permiso): el ID que Meta Pixel asigna a este navegador; su duración la fija Meta.

Medición de anuncios (Meta)

Para medir si nuestros anuncios funcionan y para que Meta pueda mostrarte anuncios más relevantes, usamos Meta Pixel y la API de conversiones de Meta. Esta medición:

solo se te propone si llegaste al sitio desde un anuncio de Meta (Facebook o Instagram); si no llegaste desde un anuncio, Meta ni siquiera se carga;
solo se activa si eliges Permitir; «Permitir», «Rechazar» y «Gestionar preferencias» son opciones equivalentes;
permanece desactivada, y no se te pregunta, si tu navegador envía la señal de «no rastrear» (Global Privacy Control);
nunca se realiza para las cuentas cuya edad según el año de nacimiento (este año menos el año de nacimiento) sea inferior a 18, aunque se haya dado el permiso; en una cuenta cuya edad resulte ser 18, solo se realiza si confirmaste en el paso de los acuerdos que tienes 18 años o más, porque no conocemos tu fecha exacta de nacimiento y esa persona podría tener todavía 17 años.

Lo que se envía a Meta: las páginas que visitas y su tipo (como precios, modelos o estudio); que te has registrado; hashes SHA-256 de tu dirección de correo electrónico y de tu ID de miembro; tu dirección IP; los datos de tu navegador; los ID de las cookies _fbc y _fbp. Lo que generas, tus prompts y tus fotos nunca se envían.

Meta trata estos datos según su propia política de privacidad, también para sus propios fines. Puedes retirar tu permiso en cualquier momento desde las preferencias en la parte inferior de esta página; retirarlo no invalida el tratamiento anterior. No dar tu permiso no afecta en absoluto al sitio, al registro ni a las compras.

Si vives en EE. UU. o en California

No vendemos tu información personal. La medición de anuncios de Meta puede considerarse, según la ley de California (CCPA/CPRA), «compartir» (sharing) información con fines de publicidad personalizada. Solo lo hacemos si tenemos tu permiso, y tratamos la señal Global Privacy Control de tu navegador como una solicitud de exclusión de ese intercambio. Para excluirte, desactiva la medición de anuncios en las preferencias en la parte inferior de esta página o activa GPC en tu navegador. También tienes derecho a conocer, corregir y eliminar tu información; puedes ejercerlo a través del formulario de solicitud. No te trataremos de forma diferente por ejercer tus derechos.

Tus derechos

Según el art. 11 de la KVKK, tienes derecho a saber si se tratan tus datos personales; si se han tratado, a solicitar información al respecto; a conocer la finalidad del tratamiento y si los datos se usan conforme a ella; a conocer los terceros, en Turquía o en el extranjero, a quienes se transfieren; a pedir su rectificación si se han tratado de forma incompleta o incorrecta; a pedir su supresión o destrucción en el marco de las condiciones del art. 7 de la KVKK; a pedir que estas operaciones se notifiquen a los terceros a quienes se hayan transferido; a oponerte a un resultado desfavorable para ti derivado exclusivamente del análisis mediante sistemas automatizados; y a reclamar la reparación del daño si lo sufres por un tratamiento ilícito.

Si vives en la UE, según los arts. 15 a 22 del RGPD también tienes los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición, así como el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado. En el tratamiento basado en el consentimiento (medición de anuncios), puedes retirar tu consentimiento en cualquier momento.

Para ejercerlos:

En la página Cuenta puedes descargar una copia de tus datos y eliminar tu cuenta.
Para otras solicitudes, escríbenos desde la sección de soporte si has iniciado sesión o, si no puedes, a través del formulario de solicitud. Es posible que tengamos que verificar tu identidad. Respondemos a tu solicitud de forma gratuita en un plazo máximo de 30 días.

Si nuestra respuesta no te satisface, puedes presentar una reclamación ante el Kişisel Verileri Koruma Kurulu (Consejo de Protección de Datos Personales de Turquía). Si vives en la UE, también tienes derecho a reclamar ante la autoridad de protección de datos del país en el que vives o trabajas.

Decisiones automatizadas: si, según el año de nacimiento, el titular de una cuenta resulta ser menor de 18 años, no puede continuar en el servicio y se cierra su sesión; si resulta ser menor de 13 años, además se inicia automáticamente la eliminación de la cuenta. La confirmación de edad y la medición de anuncios también se mantienen desactivadas según el año de nacimiento. Si crees que hay un error, escríbenos a través del formulario de solicitud; una persona revisará tu caso.

Menores

El servicio no está dirigido a menores de 18 años y no tratamos a sabiendas datos personales de menores de 18 años para este servicio. El año de nacimiento se pregunta en el paso de los acuerdos y se te pide que confirmes que tienes 18 años o más. Si, según el año de nacimiento, alguien resulta ser menor de 18 años, no puede continuar: no se crea ningún registro de aceptación y cerramos su sesión; si resulta ser menor de 13 años, además iniciamos la eliminación de la cuenta. Si crees que un menor de 18 años está usando el servicio, notifícalo a través del formulario de solicitud; cerraremos el acceso de esa cuenta al servicio.

Seguridad

Las contraseñas se guardan de forma irreversible con argon2id.
Los códigos por correo electrónico son válidos durante 10 minutos y solo se guardan sus hashes.
Si quieres, puedes añadir un segundo paso de verificación al inicio de sesión.
Los prompts se guardan cifrados.
En los registros de seguridad se guarda un hash con clave (HMAC) en lugar de la dirección IP.
La cookie de sesión no puede ser leída por los scripts del navegador (httpOnly) y solo se envía por conexiones seguras; el sitio solo funciona con conexión cifrada (HTTPS).
Los archivos multimedia se encuentran en un almacenamiento que no es público.
Las copias de seguridad fuera del servidor se cifran antes de salir del servidor.
Los formularios de inicio de sesión, registro y solicitud están protegidos contra ataques automatizados mediante protección contra bots.

Ningún sistema es infalible. Si se produce una violación de datos, la notificaremos al Kişisel Verileri Koruma Kurulu y a las personas afectadas en la forma que prevé la ley.

Cambios

Este texto está versionado. Anunciamos cualquier cambio importante en el sitio antes de que entre en vigor, y el nuevo texto se te vuelve a mostrar en la pantalla de los acuerdos. Conservamos las versiones anteriores.

Traducciones

Este texto es una traducción del original en turco. Si las versiones difieren, prevalece el texto en turco.