Política de privacidad y tratamiento de datos

Estado del documento y responsable

BORRADOR NO APROBADO PARA PUBLICACIÓN DEFINITIVA. El responsable del tratamiento deberá identificarse con su nombre o razón social, domicilio físico, país, identificación legal o fiscal y un canal de privacidad operativo. No se debe atribuir el servicio a una entidad jurídica que aún no haya sido confirmada.

La política se prepara con referencia a la Ley costarricense N.º 8968 y su reglamento, sin perjuicio de las normas que resulten aplicables según la ubicación de las personas usuarias, el operador, los proveedores y los servicios contratados. El alcance y los requisitos concretos deben confirmarse con asesoría jurídica.

1. Datos que podemos tratar

Dependiendo de las funciones utilizadas, pueden tratarse datos de identificación y contacto (por ejemplo, nombre de usuario y correo), datos de cuenta, autenticación y seguridad, preferencias, consentimiento y versiones de documentos aceptadas, proyectos, instrucciones escritas, archivos cargados, contenido generado, metadatos de tareas, registros técnicos, uso de créditos, transacciones, solicitudes de soporte y comunicaciones con el usuario.

Cuando se habiliten pagos, la pasarela puede procesar datos de pago y prevención de fraude. MultiCreator Studio debe minimizar los datos financieros que recibe y no almacenar números completos de tarjeta ni códigos de seguridad salvo que exista una necesidad y autorización legal y técnica expresa, lo cual no es el diseño previsto.

No solicitamos que se carguen datos sensibles, documentos de identidad, datos de salud, contraseñas de terceros ni información confidencial que no sea necesaria para la tarea. Si una función requiere tratar datos de mayor riesgo, deberá evaluarse y comunicarse antes de activarla.

2. Finalidades del tratamiento

Los datos podrán utilizarse para crear y administrar cuentas, autenticar usuarios, ejecutar proyectos y tareas solicitadas, guardar resultados, gestionar planes y créditos, procesar pagos cuando estén habilitados, prestar soporte, mantener registros de seguridad, prevenir fraude y abuso, resolver reclamaciones, mejorar la fiabilidad técnica y cumplir obligaciones legales.

No se utilizarán los datos para una finalidad incompatible con la informada sin una base jurídica válida y, cuando corresponda, sin informar al usuario y obtener un nuevo consentimiento. La analítica, la publicidad personalizada o el entrenamiento de modelos con contenido del usuario no deben activarse por defecto sin evaluación jurídica, transparencia y base válida.

3. Base jurídica y consentimiento

La base jurídica se determinará por finalidad: ejecución de una solicitud o contrato, cumplimiento de obligaciones legales, intereses legítimos que hayan sido evaluados o consentimiento cuando corresponda. La aceptación de términos no sustituye automáticamente el consentimiento específico que pudiera exigirse para tratamientos distintos.

Cuando el tratamiento se base en consentimiento, este debe ser informado, específico, libre y demostrable, y podrá retirarse conforme a la ley aplicable. El registro de aceptación debe conservar la versión del documento, la fecha y la información mínima necesaria para demostrar qué se aceptó, con controles de acceso y conservación proporcionados.

4. Proveedores, destinatarios y transferencias internacionales

Para operar, pueden intervenir servicios de alojamiento, correo, almacenamiento, seguridad, pagos, analítica técnica y modelos de inteligencia artificial o voz. Antes de habilitar cada proveedor, el operador deberá evaluar qué datos recibe, para qué los utiliza, cuánto tiempo los conserva, si los usa para entrenar modelos, dónde los procesa, qué medidas de seguridad aplica y si realiza transferencias internacionales.

Solo se compartirán los datos razonablemente necesarios para la función solicitada, conforme a contratos y configuraciones revisados. La lista o categorías de proveedores, los países de procesamiento y las garantías pertinentes deberán mantenerse actualizados y publicarse cuando la ley lo requiera. No se debe prometer que un proveedor no conserva ni utiliza datos hasta verificarlo en sus condiciones y configuración reales.

5. Contenido e inteligencia artificial

Las instrucciones, archivos, voz, imágenes y otros materiales que el usuario envía pueden procesarse para ejecutar la tarea elegida y devolver resultados. El usuario debe contar con los derechos y autorizaciones necesarios para incluir datos personales o materiales de terceros.

El uso de IA puede implicar procesamiento automatizado por proveedores externos y resultados no deterministas. Antes de utilizar una función de IA con datos personales, se debe informar lo relevante y aplicar minimización, permisos, controles de acceso y medidas de seguridad adecuadas. El contenido del usuario no debe incorporarse al entrenamiento de modelos propios o de terceros salvo que esa finalidad haya sido evaluada, informada y habilitada con la base jurídica necesaria.

6. Conservación y eliminación

Los datos se conservarán durante el tiempo necesario para prestar el servicio, mantener la seguridad, atender reclamaciones, cumplir obligaciones fiscales o legales y resolver controversias. No todos los datos tienen el mismo plazo; el operador debe aprobar un calendario de conservación por categoría antes del lanzamiento.

Cuando deje de existir la finalidad y no haya obligación de conservar los datos, se eliminarán, anonimizarán o bloquearán según proceda. Las copias de respaldo y los registros de seguridad pueden tener ciclos de eliminación distintos, que deben documentarse. El cierre de una cuenta no implica que todos los registros se borren instantáneamente de respaldos o archivos legalmente obligatorios.

7. Seguridad y control de acceso

Se aplicarán medidas técnicas y organizativas proporcionales al riesgo, que pueden incluir contraseñas protegidas, acceso por roles, mínimo privilegio, separación de secretos, conexiones cifradas, registros de auditoría, copias de respaldo y procedimientos de respuesta a incidentes. Ninguna medida garantiza riesgo cero.

El usuario debe proteger sus credenciales, cerrar sesiones en dispositivos compartidos y comunicar sospechas de acceso no autorizado. Los datos de autenticación no deben compartirse con personal de soporte. Los incidentes se investigarán y notificarán cuando lo exija la legislación aplicable.

8. Derechos de las personas y cómo ejercerlos

Conforme a la legislación aplicable, las personas pueden tener derecho a solicitar acceso a sus datos personales, rectificación o actualización, supresión cuando proceda, oposición y otros derechos reconocidos legalmente, así como retirar consentimientos cuando el tratamiento se base en ellos. El ejercicio de un derecho puede estar sujeto a verificación razonable de identidad y a excepciones legales.

Las solicitudes se dirigirán a privacy@multicreatorstudio.com únicamente cuando el buzón haya sido creado y probado. El operador debe establecer un procedimiento de registro, verificación, respuesta dentro de los plazos legales y escalamiento de solicitudes. También deberá identificarse la autoridad competente en la versión definitiva, según corresponda.

9. Cookies y tecnologías similares

El sitio puede utilizar cookies estrictamente necesarias para sesión, autenticación y seguridad. Las tecnologías no esenciales, analítica de terceros, publicidad o seguimiento deberán inventariarse y no activarse antes de informar su finalidad y obtener consentimiento cuando sea legalmente necesario.

El comportamiento real debe verificarse en navegador: nombres de cookies, duración, terceros que las reciben y posibilidad de retirar el consentimiento. La Política de cookies complementa este documento y deberá mantenerse coherente con las tecnologías efectivamente instaladas.

10. Menores, cambios y contacto

La Plataforma no debe utilizarse para recopilar o procesar datos de menores sin la base jurídica, autorización y garantías requeridas. Si se detecta tratamiento no autorizado, el usuario podrá comunicarlo por el canal de privacidad para su evaluación.

Los cambios materiales de esta política se publicarán con una nueva versión y fecha efectiva y se notificarán de forma apropiada. Cuando la ley lo exija, se obtendrá nuevo consentimiento antes de continuar el tratamiento afectado.

Canal propuesto: privacy@multicreatorstudio.com. Debe crearse y probarse antes de publicar la política definitiva. El presente texto es un borrador informativo y requiere revisión jurídica, confirmación de la identidad del responsable y validación de todos los proveedores y flujos de datos reales.