Política de privacidad

1. Responsable del tratamiento

Fanset es operado por Eduardo Baptista (persona humana, Ciudad Autónoma de Buenos Aires, Argentina; CUIT 20-19130025-5), responsable del tratamiento de datos personales conforme a la Ley 25.326 de Protección de los Datos Personales (Argentina) y, cuando corresponda, al Reglamento General de Protección de Datos (GDPR) de la Unión Europea u otras normas locales aplicables.

Contacto de privacidad y asuntos legales: legal@fanset.io. Soporte general: support@fanset.io. Respondemos solicitudes de derechos en un plazo máximo de 30 días naturales. También podés gestionar datos de perfil desde tu cuenta en la app.

2. Datos que recopilamos

• Uso anónimo: dirección IP hasheada con sal (SHA-256) para cuotas; identificador de invitado (cookie/localStorage); eventos técnicos agregados.
• Cuenta registrada (opcional): email, nombre de usuario, avatar (si login Google o Spotify), identificadores de proveedor OAuth; historial de playlists (nombre, fecha, enlace Spotify, lista de canciones en tracks_json).
• Perfil opcional: fecha de nacimiento y sexo (solo si los completás en «Editar perfil»; podés dejarlos vacíos).
• Contenido de playlist: orden de canciones; en plan Plus, nombre y descripción personalizados que enviás al crear (siempre con marca Fanset en el nombre público).
• Feedback: puntuación CSAT y comentario opcional tras crear una playlist.
• v1 Canal: no pedimos OAuth Spotify del fan para crear playlists en el Canal Fanset; publicamos server-side con la cuenta marca. El login Spotify (si está habilitado) solo autentica tu cuenta Fanset, no publica en tu biblioteca personal.
• YouTube (opcional): si conectás la cuenta, likes vía scope youtube.readonly; refresh token cifrado en servidor.
• Preferencias locales: idioma, tema, plan demo (localStorage), consentimiento de cookies.
• No almacenamos audio ni ofrecemos streaming.

3. Finalidad y base legal

4. Conservación

• IP hasheada para cuotas: hasta 90 días desde el último uso.
• Historial de playlists (cuenta registrada): mientras la cuenta exista; borrado a solicitud.
• Perfil (nacimiento / sexo): mientras la cuenta exista o hasta que los borres en el perfil.
• Caché de APIs de terceros (Spotify; Setlist si se habilita): periodos breves (por defecto 1 hora; máximo 24 h).
• Tokens OAuth (Canal Fanset / Google / Spotify login / YouTube): mientras sean necesarios; refresh cifrado cuando aplique.
• Logs técnicos: hasta 30 días, sin tokens ni contraseñas.
• CSAT: mientras sea necesario para análisis agregado; comentarios pueden anonimizarse.
• Consentimiento de cookies (localStorage): hasta 12 meses o hasta que lo cambies.

5. Subprocesadores y transferencias

No vendemos datos personales. No compartimos datos de Spotify ni de YouTube con redes publicitarias para targeting. Las transferencias internacionales se amparan en cláusulas contractuales tipo (SCC) o decisiones de adecuación cuando corresponda.

Transferencia con Soundiiz: cuando elegís «Transferir con Soundiiz» enviamos a Soundiiz únicamente la metadata pública de las canciones (título y artista); no enviamos datos personales tuyos. La conexión de tu cuenta de música de destino ocurre entre vos y Soundiiz, bajo sus propios términos, y Soundiiz genera un enlace temporal (~24 h).

6. Cookies y tecnologías similares

Usamos cookies y almacenamiento local esenciales (sesión HttpOnly, preferencias de tema e idioma, guest id, registro de consentimiento) sin consentimiento previo. Analytics, publicidad y cookies no esenciales requieren tu consentimiento vía el banner de la app. En EEA, Reino Unido y Suiza el banner usa un modo más estricto; cuando AdSense esté activo podrá sumarse un CMP certificado (p. ej. Google Privacy & Messaging).

Detalle de cookies: ver Política de cookies. Puedes cambiar preferencias en cualquier momento desde el enlace «Gestionar cookies» en el pie de la app.

7. Tus derechos

• Acceso, rectificación, supresión, portabilidad y oposición al tratamiento.
• Retirar el consentimiento de analytics/ads sin afectar la licitud del tratamiento previo.
• Argentina: derechos Ley 25.326 ante la Agencia de Acceso a la Información Pública (AAIP).
• Usuarios EEA/UK: derecho a reclamar ante la autoridad de protección de datos de tu país.
• Otras jurisdicciones: derechos locales de protección de datos / habeas data cuando apliquen.

Contacto de privacidad y asuntos legales: legal@fanset.io. Soporte general: support@fanset.io. Respondemos solicitudes de derechos en un plazo máximo de 30 días naturales. También podés gestionar datos de perfil desde tu cuenta en la app.

8. Menores

El servicio no está dirigido a menores de 13 años (16 en el EEE cuando la ley local lo exija). Si indicás fecha de nacimiento, podremos usarla para reforzar este límite. Si detectamos datos de menores sin consentimiento parental verificable, los eliminaremos.

9. Seguridad

Aplicamos HTTPS, hashing de IP, cookies httpOnly para sesión, cifrado Fernet para tokens sensibles (YouTube), rate limiting y validación de secretos en staging/producción. Los incidentes de seguridad con riesgo para derechos se notificarán conforme a la ley aplicable (p. ej. GDPR 72 h ante autoridad).

10. Cambios

Podemos actualizar esta política. Publicaremos la fecha de «Última actualización» y, si el cambio es sustancial, un aviso visible en la app.

11. Descargo de afiliación

Fanset usa la API de Spotify; no está afiliado ni respaldado por Spotify AB, Live Nation, setlist.fm ni YouTube/Google.