Política de Privacidad

1. Responsable del tratamiento

Matvei Dobrovolskii, comerciante individual del Reino Unido (UK sole trader) que opera bajo el nombre comercial «Susurra», con domicilio profesional en 221 Derby Road, Nottingham, NG7 1QJ, United Kingdom, es el responsable del tratamiento de los datos personales recogidos a través de https://susurra.net. Como comerciante individual no disponemos de número de registro mercantil ni de identificación fiscal de otros países.

Puedes contactarnos en support@susurra.net para cuestiones generales y de soporte, o en privacy@susurra.net para cuestiones de protección de datos. No hemos designado un Delegado de Protección de Datos (DPO) y no estamos obligados a hacerlo conforme al artículo 37 del RGPD del Reino Unido (UK GDPR).

Nuestra autoridad de control principal es la Information Commissioner's Office (ICO), Reino Unido — ico.org.uk. Si resides en España también puedes dirigirte a la Agencia Española de Protección de Datos (AEPD) — aepd.es (ver la sección Tus derechos).

2. Qué datos recogemos y de dónde

Tratamos las siguientes categorías de datos personales:

2.1 Datos de cuenta

• Registro propio: dirección de correo electrónico, nombre visible y contraseña. La contraseña se almacena cifrada con bcrypt; nunca guardamos tu contraseña en claro. La sesión se mantiene mediante un JWT firmado en una cookie HttpOnly.
• Inicio de sesión con Google (opcional, Google OAuth): recibimos de Google tu correo electrónico, tu nombre y tu foto de perfil (avatar).
• Verificación de correo (opcional): registramos si tu correo ha sido verificado mediante un enlace.
• Comunicaciones: el contenido de los correos que nos envías y nuestra correspondencia de soporte.

2.2 Datos de lectura

• Progreso de lectura: las historias y capítulos que has abierto y la posición en la que retomas la lectura.
• Favoritos y preferencias: las historias que marcas como favoritas y tus ajustes de lectura.

2.3 Datos de facturación y pago

Los pagos los procesa Stripe. Susurra almacena el identificador de cliente de Stripe, el estado de la suscripción, el plan contratado y metadatos de pago (importes y fechas). Nunca almacenamos el número completo de tu tarjeta ni el CVV — esos datos los gestiona y conserva Stripe.

2.4 Datos de analítica y atribución

• Analítica de primera parte (almacenada en nuestra propia base de datos): un identificador de sesión, las páginas que visitas, el sitio del que provienes ( referrer), el país aproximado (derivado de tu dirección IP) y el navegador / agente de usuario.
• Atribución de marketing (etiquetas UTM e identificadores de clic publicitario como fbclid o gclid): se almacenan por defecto, salvo que tu navegador envíe una señal de exclusión (GPC / DNT).
• Analítica de terceros (activa por defecto, con exclusión voluntaria): cuando están activados, Meta Pixel y la API de Conversiones de Meta, y Google Analytics 4. Consulta la sección Cookies y exclusión voluntaria.

El país aproximado se deduce de tu dirección IP en nuestros servidores y se utiliza para mostrar los precios regionales correspondientes.

3. Para qué usamos los datos (bases jurídicas)

• Para prestarte el servicio (crear y gestionar tu cuenta, entregar los capítulos, guardar tu progreso, gestionar la suscripción). Base jurídica: ejecución del contrato que celebras al registrarte y suscribirte.
• Para cumplir obligaciones legales (registros fiscales y de IVA, contabilidad, prevención del fraude y respuesta a requerimientos legítimos de autoridades). Base jurídica: obligación legal.
• Para mantener el servicio seguro y operativo (limitar abusos, detectar bots y fraude en los pagos, depurar errores y operar la infraestructura básica). Base jurídica: interés legítimo.
• Para la analítica y el marketing no esenciales (atribución de campañas, Meta Pixel / API de Conversiones y Google Analytics 4). Base jurídica: interés legítimo (promoción de nuestros propios servicios), con derecho de oposición inmediato: respetamos las señales GPC / DNT de tu navegador y dejan de ejecutarse en cuanto las activas.

Las funciones esenciales del servicio no dependen del consentimiento de analítica o marketing: si lo rechazas, podrás seguir leyendo, gestionar tu cuenta y tu suscripción con total normalidad.

4. Con quién compartimos los datos (encargados)

No vendemos tus datos personales. Nos apoyamos en encargados del tratamiento que procesan datos siguiendo nuestras instrucciones:

• Stripe Payments Europe, Ltd. (Irlanda) — pagos, suscripciones y procesamiento de tarjetas. Stripe puede transferir datos a sus filiales bajo las garantías correspondientes. Política de privacidad.
• Resend (resend.com) — envío de correos transaccionales (restablecimiento de contraseña y verificación de correo electrónico).
• Google Ireland Ltd — «Iniciar sesión con Google» (Google OAuth) y, cuando está activado y no te has excluido, Google Analytics 4. Política de privacidad.
• Meta Platforms Ireland Ltd — medición publicitaria mediante el Meta Pixel y la API de Conversiones, salvo que tu navegador envíe una señal de exclusión (GPC / DNT). Compartimos un correo electrónico cifrado (hash), la dirección IP y eventos de conversión para atribuir y optimizar nuestras campañas. Política de privacidad.
• Nuestro proveedor de alojamiento (hosting/VPS) — Susurra ejecuta su propio software en un servidor virtual con una base de datos PostgreSQL autogestionada; los archivos multimedia subidos (imágenes de portada y archivos de audio) se guardan en ese mismo servidor.
• Asesores profesionales (gestoría, asesoría legal) sujetos a deber de confidencialidad, y autoridades cuando la ley nos obligue a responder a un requerimiento válido.

5. Transferencias internacionales

El responsable está establecido en el Reino Unido. Algunos de nuestros encargados están en la UE / Irlanda (Stripe, Meta, Google) y en Estados Unidos. Cuando los datos personales salen del Reino Unido o del EEE, la transferencia se ampara en garantías adecuadas: el Adenda Internacional de Transferencia de Datos del Reino Unido (UK IDTA), las Cláusulas Contractuales Tipo de la UE (CCT/SCC) o decisiones de adecuación, según corresponda.

6. Cuánto tiempo conservamos los datos

• Eventos de analítica de primera parte: se eliminan automáticamente a los 180 días.
• Datos de cuenta: se conservan mientras tu cuenta esté activa y se eliminan o anonimizan cuando eliminas tu cuenta.
• Registros de pago y fiscales: se conservan durante el tiempo que exija la normativa fiscal y contable aplicable (los gestiona principalmente Stripe).

7. Tus derechos

Conforme al RGPD del Reino Unido (artículos 15 a 22), tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti;
• Rectificar los datos inexactos;
• Suprimir tus datos (derecho de supresión);
• Portar tus datos en un formato estructurado;
• Limitar u oponerte a determinados tratamientos;
• Retirar tu consentimiento en cualquier momento cuando el tratamiento se base en él.

Dos de estos derechos son autoservicio e inmediatos: desde tu Perfil → Privacidad y datos puedes descargar todos tus datos como un archivo JSON y eliminar tu cuenta (lo que también cancela cualquier suscripción activa). Para cualquier otra solicitud, o si no puedes iniciar sesión, escríbenos a privacy@susurra.net desde la dirección de correo de tu cuenta y responderemos en un plazo de 30 días.

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante nuestra autoridad de control principal, la Information Commissioner's Office (ICO), Reino Unido — ico.org.uk (ico.org.uk). Si resides en España, también puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) — aepd.es (aepd.es).

8. Cookies y exclusión voluntaria

Las cookies son pequeños archivos de texto que guardamos en tu dispositivo. Usamos las siguientes categorías:

• Estrictamente necesarias (siempre activas): el token de sesión (JWT en cookie HttpOnly) y la cookie de confirmación de edad (18+). Sin ellas el servicio no puede funcionar.
• Analítica y marketing (activas por defecto, con exclusión voluntaria): un identificador de sesión propio para la analítica de primera parte y, cuando están activados, Meta Pixel / API de Conversiones de Meta y Google Analytics 4, junto con la atribución de marketing (UTM, fbclid, gclid).

Respetamos las señales Global Privacy Control (GPC) y Do-Not-Track (DNT): si tu navegador las envía, tratamos los tratamientos no esenciales como rechazados — ningún rastreador de Meta o Google se ejecuta (ni en el navegador ni del lado del servidor) y la atribución de marketing no se almacena. Puedes activar GPC/DNT o eliminar las cookies en cualquier momento desde la configuración de tu navegador; las estrictamente necesarias se volverán a establecer porque el servicio no puede funcionar sin ellas.

9. Edad — solo adultos (18+)

Susurra es un servicio estrictamente para mayores de 18 años. Una verificación de edad bloquea el acceso a menores; el servicio no se ofrece a menores de edad y no tratamos conscientemente datos de menores. Si crees que hemos recogido datos de un menor, escríbenos a privacy@susurra.net y los eliminaremos sin demora.

10. Cambios y contacto

Podemos actualizar esta Política de Privacidad. La versión actualizada se indicará con una nueva fecha de «Última actualización». Si introducimos cambios sustanciales, te avisaremos por correo electrónico o mediante un aviso destacado en el servicio.

Consultas y solicitudes de privacidad: privacy@susurra.net.

Responsable del tratamiento: Matvei Dobrovolskii (comerciante individual del Reino Unido), 221 Derby Road, Nottingham, NG7 1QJ, United Kingdom. La presente política se rige por la ley de Inglaterra y Gales, sin perjuicio de los derechos imperativos que te correspondan como consumidor en tu país de residencia.

Consulta también nuestros Términos del Servicio y el Aviso Legal.