Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es:

Para cualquier consulta relativa a la protección de sus datos personales, puede contactarnos en [email protected].

2. Tipos de datos recopilados

Datos proporcionados voluntariamente

• Dirección de correo electrónico y nombre para mostrar proporcionados durante el registro
• Contenido creativo: textos, capítulos, notas, fichas de personajes y cualquier otro contenido creado en la plataforma
• Datos de pago y facturación — gestionados íntegramente por Stripe. Narraya no almacena datos de tarjetas de crédito
• Textos enviados a las funcionalidades de IA para el procesamiento de análisis
• Archivos importados mediante integraciones opcionales de almacenamiento en la nube (Google Drive, Dropbox) — solo por acción explícita del usuario

Datos recopilados automáticamente

• Registros técnicos de acceso y seguridad
• Datos de navegación agregados y anónimos (mediante Plausible Analytics, sin cookies)
• Información técnica sobre el dispositivo y el navegador

3. Finalidades y bases jurídicas

Tratamos sus datos exclusivamente para las siguientes finalidades, cada una con su propia base jurídica conforme al Art. 6 GDPR:

Narraya no vende datos personales ni realiza elaboración de perfiles con fines publicitarios.

4. Uso de inteligencia artificial y procesamiento de textos

Narraya utiliza herramientas de inteligencia artificial para ofrecer funcionalidades de análisis de textos. Es importante distinguir dos casos:

5. Integraciones con almacenamiento en la nube

Narraya permite a los usuarios conectar su cuenta de Google Drive o Dropbox para importar archivos a la plataforma.

• La integración es opcional y se activa exclusivamente por el usuario mediante un flujo OAuth estándar. Narraya no accede automáticamente al almacenamiento del usuario.
• Narraya solicita únicamente los permisos mínimos necesarios (lectura de archivos seleccionados). No modifica, elimina ni comparte archivos del almacenamiento del usuario.
• Solo los archivos seleccionados explícitamente por el usuario se importan y guardan en la plataforma. Narraya no mantiene acceso persistente al almacenamiento del usuario más allá de lo necesario para la importación.
• Base jurídica: ejecución del contrato (Art. 6.1.b) y consentimiento explícito mediante autorización OAuth (Art. 6.1.a).
• Google Drive y Dropbox son responsables independientes del tratamiento de los datos almacenados en sus respectivos servicios. Narraya es responsable únicamente de los datos una vez importados.
• El usuario puede revocar la autorización OAuth en cualquier momento desde la configuración del proveedor (Google Account, Dropbox) y/o desde la configuración de Narraya.

6. Subencargados y terceros

Los datos personales pueden compartirse con los siguientes proveedores de servicios, que actúan como Encargados del Tratamiento (Art. 28 GDPR):

LanguageTool no aparece en esta tabla ya que está alojado internamente en los servidores de Narraya en Alemania (UE) y no constituye un subencargado externo.

7. Transferencias de datos fuera de la UE

Algunos de nuestros proveedores tienen sede en los Estados Unidos. Para cada transferencia de datos fuera de la UE adoptamos los siguientes mecanismos, por orden de prioridad:

1. DPF: Data Privacy Framework EU-USA (DPF): decisión de adecuación de la Comisión Europea C(2023) 4745 de 10/07/2023, confirmada por el Tribunal General de la UE en septiembre de 2025. Aplicable a: Google, Stripe, Cloudflare, Resend, Dropbox.
2. SCC: Standard Contractual Clauses (SCC): cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión UE 2021/914), como medida de garantía para proveedores no certificados DPF. Aplicable a: Ollama Inc.

Ningún proveedor fuera de la UE se utiliza sin un mecanismo de transferencia declarado y documentado.

8. Período de conservación de datos

Conservamos sus datos durante el tiempo estrictamente necesario para las finalidades para las que fueron recopilados:

Al finalizar el período de conservación, los datos se eliminan o se anonimizan de forma irreversible.

9. Derechos del interesado (GDPR)

Conforme a los artículos 15-22 del GDPR, usted tiene los siguientes derechos:

• Acceso (Art. 15): solicitar confirmación y una copia de sus datos personales
• Rectificación (Art. 16): corregir datos inexactos o incompletos
• Supresión (Art. 17): solicitar la eliminación de su cuenta y sus datos
• Limitación (Art. 18): solicitar la limitación del tratamiento en determinados casos
• Portabilidad (Art. 20): recibir sus datos en un formato estructurado y legible
• Oposición (Art. 21): oponerse al tratamiento basado en el interés legítimo
• Retirada del consentimiento (Art. 7.3): retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo

Para ejercer sus derechos, escriba a [email protected]. Responderemos en un plazo de 30 días desde la recepción de su solicitud.

Asimismo, tiene derecho a presentar una reclamación ante la Autoridad Italiana de Protección de Datos (Garante per la Protezione dei Dati Personali — [email protected] — www.garanteprivacy.it).

10. Seguridad de los datos

Adoptamos medidas técnicas y organizativas adecuadas para proteger sus datos personales, entre las que se incluyen:

• Cifrado TLS en tránsito para todas las comunicaciones
• Cifrado en reposo para la base de datos
• Control de acceso basado en roles y principio de mínimo privilegio
• Autenticación segura mediante JWT con tokens de corta duración + tokens de actualización HttpOnly
• Registros de seguridad y supervisión de anomalías
• Copias de seguridad periódicas con almacenamiento seguro

Ningún sistema es 100 % inmune, pero nos comprometemos constantemente a mejorar nuestras medidas de seguridad.

11. Notificación de brechas de seguridad

De conformidad con los artículos 33 y 34 del GDPR, en caso de una violación de datos personales que suponga un riesgo para los derechos y libertades de los interesados, Narraya:

• Notificará a la Autoridad de Protección de Datos en un plazo de 72 horas desde su descubrimiento (Art. 33 GDPR)
• Informará a los usuarios afectados sin demora indebida si la violación supone un riesgo elevado (Art. 34 GDPR)
• Comunicará: naturaleza de la violación, categorías de datos afectados, consecuencias probables y medidas adoptadas

Si sospecha una violación de sus datos personales, contacte con nosotros inmediatamente en [email protected].

12. Modificaciones de esta política

Esta política puede actualizarse como consecuencia de cambios en los servicios o en las obligaciones legales. En caso de cambios sustanciales, le informaremos por correo electrónico y actualizaremos la fecha en la parte superior de la página.

13. Contacto y autoridad de control