Política de privacidad

1. Qué datos recogemos y cómo

Recogemos y tratamos los siguientes datos personales. Los apartados marcados como «opcional» no son necesarios para usar las funciones principales del Servicio.

[Cuenta — registro con correo] Dirección de correo, nombre, contraseña (guardada solo como hash unidireccional no reversible) y preferencia de idioma.

[Cuenta — inicio de sesión social (GitHub/Google)] La dirección de correo, el nombre y la imagen de perfil (avatar) que nos transmite el proveedor.

[Seguridad · opcional] Claves de acceso (credenciales de clave pública WebAuthn) y datos de verificación en dos pasos (secreto TOTP, códigos de respaldo).

[Perfil · opcional] @usuario, biografía, géneros o gustos preferidos e imagen de avatar.

[Facturación] Los datos del medio de pago (números de tarjeta, etc.) los recoge y trata directamente nuestro proveedor de pagos, Polar; el Servicio no los almacena. Solo conservamos el estado y el periodo de su suscripción, el registro de concesión y consumo de tokens y los datos de tramitación de pedidos.

[Notificaciones push · opcional] Un token push del dispositivo e información de plataforma para las notificaciones de la aplicación móvil.

[Uso] Datos del espacio de trabajo (obras/salas), audio subido y resultados de separación, historial de uso de tokens, última conexión, estado de las notificaciones y preferencias de correo.

[Comunicación] Mensajes del chat de sala, comentarios y reacciones, tratados con el fin de mostrarlos en el Servicio.

[Recogida automática] Registros de acceso y seguridad (dirección IP, hora de acceso, información del dispositivo o navegador) y cookies de sesión.

Cómo los recogemos: los introduce usted al registrarse y al usar el Servicio, nos los transmiten los proveedores de inicio de sesión social, o se generan automáticamente mientras usa el Servicio.

2. Para qué los tratamos

Identificación de la persona usuaria, autenticación y gestión de la cuenta: confirmación del registro, verificación del correo, inicio de sesión, restablecimiento de contraseña y funciones de seguridad (claves de acceso, verificación en dos pasos).

Funciones principales: separación de audio en pistas, procesamiento de audio espacial y guardado, reproducción y difusión de obras.

Funciones de comunidad: mostrar @usuarios y perfiles, seguimientos, creación y participación en salas, visualización de chats, comentarios y reacciones, y la galería.

Servicios de pago: gestión de suscripciones y tokens, tramitación de pagos y reembolsos (a través de nuestro proveedor de pagos, Polar) y conservación de los registros de transacciones.

Avisos y notificaciones: notificaciones del servicio, correo transaccional obligatorio (verificación, facturación), correo informativo con consentimiento previo (por ejemplo, el resumen semanal) y notificaciones push (cuando estén registradas).

Operación segura: prevención del fraude y del abuso, medidas de aplicación, respuesta a incidentes de seguridad, registros de reclamaciones y cumplimiento de obligaciones legales.

Tratamos los datos personales únicamente dentro de las finalidades indicadas y, si una finalidad cambia, solicitamos previamente un consentimiento independiente.

3. Conservación y supresión

Por regla general, destruimos sus datos personales sin demora cuando elimina su cuenta. Puede eliminarla usted mismo desde Mi página.

Las excepciones exigidas por la ley se conservan por separado durante el plazo indicado y después se destruyen: registros de contratos y de retirada de ofertas, 5 años; registros de pago y suministro de bienes, 5 años; registros de reclamaciones de consumidores y de resolución de conflictos, 3 años (Ley de Comercio Electrónico de Corea); registros de acceso, 3 meses (Ley de Protección del Secreto de las Comunicaciones).

Las cuentas cuyo correo no se haya verificado en los 7 días siguientes al registro pueden ser destruidas.

El audio subido y los resultados de separación se conservan dentro de lo necesario para su procesamiento y prestación; los enlaces a resultados alojados en el proveedor externo caducan pasado un tiempo. Lo que usted borra de su biblioteca se elimina del Servicio.

Procedimiento y método de destrucción: los archivos electrónicos se borran de forma permanente e irrecuperable. Los datos conservados por imperativo legal se guardan por separado y se destruyen del mismo modo, sin demora, una vez vencido su plazo de conservación.

4. Comunicación a terceros

No facilitamos datos personales a terceros salvo con su consentimiento o cuando la ley lo exija, y no vendemos datos personales.

5. Encargados del tratamiento y transferencias internacionales

Al conectar tu clave API, las comprobaciones y las instrucciones, contexto del proyecto o medios seleccionados necesarios se envían por HTTPS al proveedor elegido: Replicate, fal, OpenAI, Anthropic o Google. La clave solo se envía a ese proveedor para autenticarte. La retención, ubicación del tratamiento y uso de datos dependen de tu contrato y configuración; las API gratuitas y de pago pueden tener condiciones distintas. ULLIMO cifra las claves y las elimina cuando borras la clave o tu cuenta.

Para prestar el Servicio de forma fiable, encargamos parte del tratamiento a los proveedores extranjeros que se indican a continuación. Conforme al artículo 28-8 de la PIPA, informamos de las transferencias internacionales como sigue.

Puede oponerse a la transferencia internacional de sus datos personales dirigiéndose al responsable de privacidad (support@ullimo.com).

No obstante, estas transferencias son infraestructura esencial del Servicio, por lo que oponerse a ellas puede impedir o limitar el registro y el uso del Servicio.

6. Cuentas sociales conectadas (YouTube, Instagram, TikTok)

Esta sección se aplica únicamente a las cuentas de YouTube, Instagram y TikTok que usted conecta por su propia iniciativa. Si nunca conecta una cuenta, no le afecta.

[Qué recogemos] El identificador de la cuenta, el nombre del canal y el alias que devuelve la plataforma; la lista de permisos (scopes) que usted concede; el identificador, el enlace y el estado de cada publicación; las métricas públicas de cada publicación (visualizaciones, «me gusta», comentarios, veces compartido, guardados, tiempo de visualización y similares) y las métricas de cuenta (número de seguidores y similares). Los tokens de acceso y de actualización se guardan cifrados y nunca aparecen en claro en la pantalla, en las respuestas ni en los registros. No almacenamos la imagen de perfil: aunque la plataforma la devuelva, no guardamos ninguna copia y la pantalla de conexiones muestra un círculo con la inicial del nombre.

[Para qué los tratamos] Para publicar, programar y reintentar exactamente según sus instrucciones, para mostrar el estado de la publicación y para ofrecerle el análisis y el resumen de sus propios resultados. Los datos recibidos de las plataformas no se usan para segmentación publicitaria, no se venden a terceros y no se muestran a otros miembros.

[YouTube] La parte de YouTube de esta función utiliza los YouTube API Services, por lo que también se aplican las Condiciones del Servicio de YouTube (https://www.youtube.com/t/terms), y la Política de Privacidad de Google (https://policies.google.com/privacy) rige lo que Google recoge y trata. Puede revocar el acceso de esta aplicación en cualquier momento en la configuración de seguridad de su cuenta de Google (https://myaccount.google.com/permissions).

[Instagram y TikTok] La parte de Instagram utiliza Instagram Platform de Meta y la de TikTok, la API de TikTok for Developers; las condiciones y la política de privacidad de cada plataforma se aplican junto con esta.

[Conservación] Los tokens se conservan solo mientras dure la conexión. El historial de publicaciones (título, texto, hora de publicación y enlace) se conserva hasta que usted lo elimine o cierre su cuenta, y las métricas recibidas de una plataforma se conservan hasta que desconecte esa cuenta o elimine la publicación.

[Cómo y cuándo suprimimos] Puede desconectar cuando quiera en la pantalla de conexiones del sector Publicar (/publish/connections). Al desconectar eliminamos de inmediato los tokens de esa cuenta, pedimos a la plataforma que revoque el acceso y destruimos en un plazo de 7 días las métricas obtenidas de esa cuenta y los análisis derivados de ellas: el mismo plazo que exigen las Políticas para Desarrolladores de los YouTube API Services. Su propio historial de publicaciones (título, texto, hora y enlace) se conserva, y la cuenta aparece como «desconectada». Si cierra su cuenta, todo se destruye junto con el resto de sus datos.

[Primer comentario] (aplicable desde el 2026-10-01) El texto del primer comentario y de los comentarios posteriores que usted activa y escribe para cada publicación se envía a esa plataforma tal como lo escribió, con el nombre de su cuenta, y se conserva junto con su historial de publicaciones (permanece aunque desconecte la cuenta) hasta que cierre su cuenta; el token de TikTok API for Business que conecta aparte para los comentarios de TikTok se guarda cifrado y se elimina de inmediato cuando desconecta esa conexión o la cuenta de TikTok, o cierra su cuenta.

[Contacto] Para consultar el avance de una supresión o formular cualquier otra solicitud, escriba al responsable de privacidad (support@ullimo.com); actuaremos sin demora y le comunicaremos el resultado.

7. Sus derechos y cómo ejercerlos

Puede solicitar en cualquier momento el acceso, la rectificación o la supresión de sus datos personales, o la limitación de su tratamiento.

Puede cambiar su perfil y sus preferencias de correo y eliminar su cuenta directamente desde Mi página. Para el resto de solicitudes, escriba al responsable de privacidad (support@ullimo.com); actuaremos sin demora dentro del plazo legal y le informaremos del resultado.

Los derechos también pueden ejercerse a través de un representante legal o de un apoderado; podemos pedir documentación que acredite la representación.

Cuando otra norma exija la recogida de esos datos, la supresión puede no ser posible, y las solicitudes de limitación del tratamiento pueden estar restringidas por ley.

8. Menores de 14 años

El Servicio no admite el registro de menores de 14 años. Si detectamos que hemos recogido datos personales de un menor, los destruimos sin demora.

9. Cookies y tecnologías similares

Usamos cookies y tecnologías similares en tres categorías:

[Necesarias] Mantener la sesión iniciada (cookie de sesión), la seguridad y ajustes de funcionamiento como el tema y el idioma. Son imprescindibles para que el servicio funcione y se usan sin consentimiento.

[Analíticas] Cookies que miden de forma anónima las visitas y el recorrido de uso para ayudarnos a mejorar el servicio. Utilizamos Google Analytics 4 (a través del contenedor de GTM).

[Marketing] Con su consentimiento de marketing, Meta Pixel y la API de conversiones envían a Meta visitas, registros completados, inicios de pago y compras. Los eventos del servidor pueden incluir dirección IP, información del navegador, identificadores de clic y navegador (fbc/fbp), un identificador de cuenta con hash, fecha e ID del evento e importe y moneda de compra. Con el mismo consentimiento, también enviamos visitas, registros completados, inicios de pago, suscripciones y compras a OpenAI (anuncios de ChatGPT) y Reddit (ambas empresas de EE. UU.) mediante sus píxeles y API de conversiones. Pueden incluir dirección IP (con hash en el caso de Reddit), información del navegador, identificadores de clic y navegador de cada empresa, un identificador de cuenta y un correo electrónico con hash, fecha e ID del evento e importe y moneda de la suscripción o compra; ambos píxeles pueden usar la coincidencia automática, que detecta y aplica hash a la información de cliente mostrada en la página. Con el mismo consentimiento, la etiqueta de conversión de Google Ads (empresa de EE. UU.) mide las compras de suscripción completadas con su importe, moneda e identificador de pedido, y su función de conversiones mejoradas puede aplicar hash a la información de cliente mostrada en la página, como su correo electrónico, y enviarla a Google. Nunca enviamos sus creaciones, instrucciones ni números de tarjeta, y no enviamos su correo electrónico a Meta. Puede retirar el consentimiento en Configuración de cookies; también respetamos GPC.

Las cookies analíticas y de marketing solo se activan con su consentimiento. Usted elige en la primera visita mediante el banner de consentimiento; antes de consentir, tanto el almacenamiento analítico como el publicitario están denegados conforme al Consent Mode v2 de Google. Su elección se guarda en la cookie ull_consent durante unos 180 días.

Puede cambiar o retirar su consentimiento en cualquier momento con el enlace «Configuración de cookies» del pie de página, y puede rechazar las cookies desde los ajustes de su navegador; rechazar la cookie de sesión impedirá iniciar sesión y usar las funciones relacionadas.

Respetamos la señal Global Privacy Control (GPC) del navegador como una preferencia de exclusión. Cuando está presente, las cookies de marketing y publicidad (almacenamiento publicitario) se desactivan automáticamente; así lo declaramos también en /.well-known/gpc.json.

10. Medidas de seguridad

Cifrado en tránsito (TLS) y hash unidireccional de las contraseñas.

Minimización de datos, acceso de mínimo privilegio para el tratamiento y controles de acceso, incluida la verificación en dos pasos en la consola de administración.

Se conservan y revisan registros de auditoría del tratamiento para detectar usos indebidos.

11. Responsable de privacidad y vías de reclamación

Responsable de privacidad: el operador del Servicio · correo: support@ullimo.com

Ese mismo contacto recibe y tramita las solicitudes de acceso y demás derechos. Consultas generales: support@ullimo.com

Para denuncias o consultas sobre vulneraciones de la privacidad puede dirigirse a: Centro de Denuncias de Vulneración de Datos Personales (KISA) — 118 (desde Corea) · privacy.kisa.or.kr / Comité de Mediación de Conflictos sobre Datos Personales — 1833-6972 · kopico.go.kr

12. Cambios en esta política

Los cambios en esta política se anuncian en la página de avisos al menos 7 días antes de su entrada en vigor; los cambios sustanciales para sus derechos (datos recogidos, finalidades, transferencias internacionales, etc.) se anuncian con al menos 30 días de antelación.

Anunciada: 2026-09-22 · En vigor: 2026-09-30 (versión 2026-09-30). La política anterior (en vigor desde el 14 de septiembre de 2026) queda sustituida por esta a partir de la fecha de entrada en vigor. Esta revisión añade los datos recogidos y las transferencias internacionales que introduce la nueva función de cuentas sociales conectadas (YouTube, Instagram, TikTok), y añade OpenAI y Reddit (y, desde el 2026-10-01, Google Ads) como socios de medición publicitaria.

Dudas sobre esta política: support@ullimo.com.