Política de Privacidad

Quiénes somos

Velysaro es operado por la empresa que se indica abajo, que es el responsable del tratamiento de los datos personales descritos en esta política. Cuando esta política dice "nosotros", "nos" o "Velysaro", se refiere a esa empresa.

Responsable

STORYSTEPPER LIMITED

Número de registro de la empresa

80655938-000-06-26-8

Domicilio registrado

Room 701, Unit 108, 7/F, Tower B, New Mandarin Plaza, 14 Science Museum Road, Tsim Sha Tsui, Kowloon, Hong Kong

Contacto de privacidad

[email protected]

Qué cubre esta política

Esta política se aplica al sitio web de Velysaro en velysaro.com, a la lista de espera y a la aplicación de Velysaro una vez que usted tiene una cuenta. No cubre las plataformas en las que usted publica (por ejemplo TikTok, YouTube o Instagram), que tienen sus propias políticas de privacidad, ni los sitios web a los que enlazamos.

Velysaro se opera desde Hong Kong y está sujeto a la Personal Data (Privacy) Ordinance (Cap. 486). Vendemos en los Estados Unidos, Latinoamérica e Indonesia, por lo que esta política también está redactada para cumplir las leyes estatales de privacidad de los Estados Unidos (incluida la California Consumer Privacy Act, modificada por la CPRA), la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México y la Ley de Protección de Datos Personales de Indonesia (Ley n.º 27 de 2022). Dondequiera que usted esté —incluidos el Espacio Económico Europeo y el Reino Unido—, le extendemos los derechos que se enumeran abajo como política propia, además de lo que le otorgue su ley local.

Qué recopilamos

Lista de espera

Si se une a la lista de espera en la página de inicio, guardamos su dirección de correo, el idioma en que estaba leyendo el sitio, desde qué parte de la página se registró, la página que lo refirió, su dirección IP en ese momento y la hora en que se unió. Esto se guarda en nuestra propia base de datos Postgres, no en ningún proveedor de análisis. Lo usamos para avisarle del lanzamiento y de avances ocasionales, en su idioma, y para entender qué partes de la página atraen a las personas. Si usted se da de baja, guardamos un registro de ello para que la dirección no se vuelva a agregar por error.

Datos de la cuenta

Cuando crea una cuenta, guardamos su dirección de correo, un hash criptográfico de su contraseña (nunca la contraseña en sí), el nombre visible que nos indique, su idioma de interfaz y zona horaria, la intención de creación que eligió, si su correo está verificado, la dirección IP desde la que se registró y la hora en que se registró. Las sesiones iniciadas se guardan junto con el navegador desde el que se abrieron, para que usted pueda verlas y cerrarlas. Los tokens de enlace mágico, verificación y restablecimiento de contraseña se guardan como hashes hasta que se usan o vencen.

Contenido que usted crea

Todo lo que hace en Velysaro se guarda para que pueda volver a ello: perfiles de canal (nicho, mercado, idioma, audiencia, estilo, voz), ideas, hooks, guiones, storyboards, escenas y videos generados, las ediciones que les hace y su calendario. Este contenido puede incluir datos personales si usted los pone allí, por ejemplo su propio nombre o su voz en un guion.

Datos de producto y de marca

Para el flujo de producto, usted puede subir descripciones de producto, datos verificados, afirmaciones permitidas y prohibidas, ofertas, logotipos, fotos de producto y reglas de marca. Los guardamos en su biblioteca de productos y los usamos solo para generar contenido para usted.

Series del Studio

Si usted usa el Studio, guardamos sus series y lo que crea para ellas: los looks y las fichas de los personajes, las locaciones, los guiones, los planes de tomas, los keyframes, los takes, los episodios terminados, la música que sube y su chat con el agente del Studio. Los personajes del Studio son ficticios y no deben mostrar a una persona real (vea los Términos del Servicio).

Rostros y voces

El presentador de IA es un rostro generado, no una foto ni una grabación de usted, y la narración usa voces de IA de un catálogo fijo. No recopilamos datos biométricos como la geometría facial o la huella de voz, y no clonamos el rostro ni la voz de nadie. Una mascota hecha a partir de su foto es una caricatura; cuando usted la hace hablar, habla con la voz de narración de IA del video, nunca con la suya. No suba fotos, videos ni audios de una persona real sin su permiso (vea los Términos del Servicio).

Datos de facturación

Los pagos los gestiona Paddle, que actúa como merchant of record y es quien vende la suscripción y los paquetes de créditos que usted compra. Paddle recopila sus datos de pago, dirección de facturación e información fiscal conforme a su propia política de privacidad. De Paddle recibimos la confirmación de lo que compró, sus identificadores de cliente y de suscripción, el país usado para efectos fiscales y las referencias de las facturas. Nunca recibimos el número completo de su tarjeta.

Uso y créditos

Registramos qué generaciones ejecuta, cuántos créditos consumen y su estado, para mostrarle su saldo, prevenir abusos y diagnosticar fallas. También guardamos en nuestra propia base de datos un pequeño registro de eventos de producto asociados a su cuenta (por ejemplo, que se generó un primer video), sin ningún contenido, para entender si el producto les está funcionando a las personas.

Registros del servidor

Nuestros servidores registran automáticamente información técnica de cada solicitud: dirección IP, tipo de navegador, la página o el endpoint solicitado, marcas de tiempo y detalles de errores. Usamos estos registros para mantener el servicio seguro y en funcionamiento.

Análisis

Usamos PostHog para entender cómo se usan el sitio web y el producto. Hasta que usted lo acepte, PostHog está configurado para funcionar sin cookies y sin identificadores persistentes, y recopila solo datos agregados de páginas y eventos. Si acepta el análisis, PostHog instala cookies para que las visitas puedan vincularse en una sesión y se pueda reconocer a un visitante que regresa. La grabación de sesiones no está activada. Vea Cookies y análisis más abajo.

Soporte y correspondencia

Si nos escribe, conservamos la correspondencia y los datos que incluya en ella durante el tiempo necesario para resolver el asunto y un periodo razonable después.

Para qué lo usamos y con qué base

Todo uso de datos personales necesita una base legal: "dasar pemrosesan" según la Ley PDP de Indonesia, "bases legais" según la LGPD de Brasil, y el mismo concepto según la PDPO de Hong Kong y las leyes estatales de los Estados Unidos. Las nuestras son estas:

• Cumplir nuestro contrato con usted. Crear y proteger su cuenta, generar el contenido que pide, guardar su trabajo, mostrarle sus créditos, cobrar a través de Paddle y enviarle correos transaccionales como enlaces de verificación, restablecimientos de contraseña y recibos.
• Nuestros intereses legítimos. Mantener el servicio seguro, prevenir fraudes y abusos, diagnosticar errores a partir de los registros del servidor, entender el uso agregado del producto para mejorarlo y defender nuestros derechos legales. Cuando nos basamos en esto, hemos ponderado nuestro interés frente a sus derechos, y usted puede oponerse en cualquier momento (vea Sus derechos).
• Su consentimiento. Unirse a la lista de espera, recibir novedades del producto y las cookies de análisis. Puede retirar su consentimiento en cualquier momento; retirarlo no afecta el tratamiento que ya se haya realizado.
• Obligaciones legales. Llevar registros fiscales y contables, y responder a solicitudes legítimas de las autoridades.

No entrenamos modelos de IA propios con su contenido, sus datos de producto ni sus videos, y no los vendemos ni los licenciamos a nadie más para entrenamiento. Tampoco tomamos decisiones sobre usted por medios automatizados que tengan efectos jurídicos o de importancia similar.

Con quién lo compartimos

No vendemos datos personales. Los compartimos con los proveedores de servicios que se indican abajo, que los tratan siguiendo nuestras instrucciones conforme a acuerdos de tratamiento de datos, y solo en la medida necesaria para operar Velysaro. El país que aparece después de cada nombre es donde está establecido el proveedor y donde trata principalmente los datos.

• Paddle (Reino Unido)Facturación y merchant of record. Paddle le vende la suscripción, cobra el pago, gestiona los impuestos y emite las facturas. Respecto de los datos de pago, Paddle es un responsable independiente conforme a su propia política.
• PostHog (Estados Unidos)Análisis del producto y del sitio. Sin cookies y sin identificadores persistentes hasta que usted lo acepta; la grabación de sesiones no está activada.
• Resend (Estados Unidos)Correo transaccional: enlaces de verificación, enlaces mágicos, restablecimientos de contraseña, recibos y mensajes de la lista de espera. Resend recibe su dirección de correo y el contenido de cada mensaje.
• OpenAI (Estados Unidos)Redacción con IA: ideas, hooks, guiones, storyboards y paquetes de publicación, además de una revisión automática de que una imagen generada no contenga texto sobrante. Recibe las instrucciones, los datos del canal o del producto y las imágenes necesarias para el paso que usted pidió. En el Studio también crea imágenes de keyframe a partir de la descripción de la toma y de las fichas de los personajes, y escribe los guiones, los planes de tomas y las respuestas del agente del Studio a partir de la serie, sus personajes y lugares, y sus mensajes en el chat.
• Runway (Estados Unidos)Imágenes, movimiento y el presentador de IA para sus escenas. Recibe las descripciones de las imágenes, las imágenes y el audio de la narración de la escena que se está generando. En el Studio también crea clips de video e imágenes de keyframe a partir de la instrucción de la toma y de sus imágenes de keyframe.
• ElevenLabs (Estados Unidos)Generación de voz con IA. Recibe el texto del guion que se va a locutar y la configuración de voz elegida. En el Studio también da voz a los diálogos de los personajes y, si usted elige una música generada, recibe la instrucción de la música.
• Google (Estados Unidos)Video, imágenes de keyframe y música generada del Studio, mediante la API de Gemini de pago. Recibe la instrucción de la toma, sus imágenes de keyframe y las fichas de los personajes y, para una música generada, la instrucción de la música.
• BytePlus (Singapur)Video del Studio. Recibe la instrucción de la toma y sus imágenes de keyframe. BytePlus no ha publicado dónde procesa estos datos.
• fal (Estados Unidos)Video, edición de imágenes de keyframe, upscale y lip-sync del Studio. Recibe la instrucción de la toma y sus imágenes de keyframe, o el clip al que se aplica el upscale o el lip-sync con su diálogo locutado. En el Studio también crea clips con LTX y MiniMax y hace lip-sync con LatentSync, y en los videos Premium puede animar escenas con LTX. Cuando usted usa «Quitar la música de fondo» en una grabación, recibe el sonido de esa grabación para separar la voz. También hace hablar a las mascotas del canal y a los personajes del Studio con Kling AI Avatar: recibe la imagen de la mascota o del personaje (que puede ser la caricatura hecha a partir de su foto) y su diálogo locutado. Cuando se elimina el fondo de una foto de producto (cuando usted lo elimina, o cuando la utiliza un video de producto creado por usted), de un fragmento de una grabación o del presentador en cámara, fal recibe dicha foto, ese fragmento de la grabación sin audio o el clip del presentador.
• Sync Labs (Estados Unidos)Lip-sync de las tomas del Studio. Recibe el clip terminado y el diálogo locutado.
• OpenRouter (Estados Unidos)Revisiones automáticas de calidad de los guiones generados (seguridad de las afirmaciones e idioma). Recibe el texto del guion que se está revisando.
• HostingOVHcloud (OVH US, Estados Unidos) aloja nuestra aplicación, nuestra base de datos y los archivos multimedia guardados.

Los proveedores de IA reciben el material necesario para la pieza que usted está generando y nada más: no les enviamos los datos de su cuenta. Algunos de nuestros proveedores pueden usar el material que reciben para entrenar o mejorar sus propios modelos de IA, según sus propios términos. Cuando un proveedor ofrece una configuración que mantiene su contenido fuera del entrenamiento, la activamos antes de enviar nada real. La situación es distinta en cada proveedor y la decimos con claridad: OpenAI no entrena sus modelos con las entradas ni las salidas de su API para empresas de forma predeterminada; ElevenLabs entrena con el contenido de forma predeterminada y ofrece una exclusión a nivel de cuenta, que nosotros usamos; los términos de Runway para nuestra cuenta le permiten usar las entradas y salidas para entrenar y mejorar sus modelos. A medida que crezca nuestro uso, tenemos previsto pasar a los términos empresariales de Runway, que lo prohíben, y actualizaremos esta política cuando lo hagamos. Para el Studio: la API de Gemini de pago de Google no usa las instrucciones ni las respuestas para mejorar los productos de Google, y las conserva durante 55 días para detectar abusos; BytePlus no entrena modelos con los datos de sus clientes salvo que estos lo acepten expresamente; fal conserva de forma predeterminada las entradas y salidas de las solicitudes durante 90 días y puede usar datos anonimizados o agregados derivados de ellas para desarrollar sus servicios y modelos; los términos de Sync Labs le otorgan una licencia duradera para usar lo que recibe para desarrollar y mejorar sus servicios, y su política de privacidad incluye el entrenamiento de sus modelos de IA entre esos usos. El Studio usa cada modelo con su propio creador siempre que puede; a los modelos a los que accedemos a través de un revendedor como Runway o fal, como Seedance, Kling y Wan, también se les aplican los términos de sus creadores con ese revendedor. Los personajes del Studio deben ser ficticios, y a los proveedores solo les enviamos lo que la toma necesita, nunca los datos de su cuenta. Más allá de los términos que publica cada proveedor, no podemos controlar lo que hace, y por eso la lista de arriba dice exactamente qué recibe cada uno. Sus propios términos también rigen cuánto tiempo conservan las solicitudes para monitorear abusos.

También podemos divulgar datos personales cuando la ley lo exija, para proteger nuestros derechos o la seguridad de otras personas, o como parte de una fusión o venta del negocio, en cuyo caso esta política seguirá aplicándose hasta que se le informe lo contrario.

Conexiones que usted activa

Algunas funciones envían datos a un servicio que usted elige conectar, por indicación suya. Si conecta una cuenta de redes sociales y publica desde Velysaro, le enviamos a esa plataforma el video, el texto de la publicación y la configuración que usted eligió. Si conecta un asistente de IA (por ejemplo, Claude) en Conexiones de IA, este puede leer y actuar en su cuenta de Velysaro dentro de los permisos que usted apruebe, y recibe lo que esas acciones devuelvan. Estos servicios no son nuestros encargados: a lo que reciben se le aplican sus propios términos y políticas de privacidad. Puede desconectar cualquiera de ellos en cualquier momento desde su configuración. Qué puede ver y hacer una conexión de IA, y qué guardamos sobre ella, se explica en Conexiones de IA y sus datos.

Transferencias internacionales

Estamos establecidos en Hong Kong; nuestra aplicación, nuestra base de datos y los archivos multimedia guardados están alojados en los Estados Unidos, y los proveedores mencionados tratan datos en los Estados Unidos y en otros países. Por lo tanto, sus datos personales cruzarán fronteras, incluso fuera del país en el que usted vive.

Para cada transferencia nos basamos en contratos por escrito con cada encargado, que lo obligan a proteger los datos y a usarlos solo siguiendo nuestras instrucciones. Esa es la garantía que exige la Ley PDP de Indonesia para una transferencia al extranjero cuando el destino no tiene un nivel de protección equivalente, la base para transferencias internacionales según la LGPD de Brasil y la protección contractual que exige la PDPO de Hong Kong. Para cualquier persona en el EEE o en el Reino Unido usamos las Cláusulas Contractuales Tipo de la Comisión Europea y el Anexo del Reino Unido. Puede preguntarnos qué garantía se aplica a una transferencia determinada.

Cuánto tiempo lo conservamos

• Correo de la lista de espera: hasta que terminen las comunicaciones del lanzamiento o usted se dé de baja, lo que ocurra primero, y como máximo 24 meses después de su última interacción con nosotros.
• Cuenta y contenido: mientras exista su cuenta. Cuando usted elimina su cuenta, o nos pide que lo hagamos, eliminamos los datos y el contenido de su cuenta en un plazo de 30 días, salvo las copias en respaldos cifrados, que vencen en un plazo adicional de 90 días.
• Series del Studio: mientras exista su cuenta; para eliminar una serie antes, escriba a [email protected]. Eliminar la cuenta las elimina como se describe arriba.
• Registros de facturación: durante el tiempo que exija la ley fiscal y contable: siete años después de la transacción según la Companies Ordinance y la Inland Revenue Ordinance de Hong Kong.
• Registros del servidor: 90 días, salvo que un registro específico se necesite para investigar un incidente de seguridad.
• Análisis: PostHog conserva los eventos durante el tiempo que permita la retención de nuestro plan: hasta siete años según la retención estándar de PostHog. Un evento solo se vincula a un identificador persistente si usted lo aceptó, y puede pedirnos en cualquier momento que eliminemos los eventos asociados a usted.
• Correspondencia de soporte: hasta 24 meses después de cerrado el asunto.

Sus derechos

Usted tiene los siguientes derechos sobre sus datos personales, sujetos a las condiciones de la ley que le sea aplicable:

• Acceso: a saber si tratamos sus datos y a recibir una copia de ellos.
• Rectificación: a que se corrijan los datos inexactos y se completen los incompletos.
• Supresión: a que se eliminen sus datos cuando ya no los necesitemos, cuando retire su consentimiento o cuando se oponga y no tengamos motivos prevalentes para conservarlos.
• Portabilidad: a recibir los datos que nos dio en un formato estructurado, de uso común y lectura mecánica, y a que se transmitan a otro responsable cuando sea técnicamente posible.
• Limitación: a que se limite el tratamiento mientras se resuelve una controversia sobre la exactitud o la licitud.
• Oposición: a oponerse al tratamiento basado en nuestros intereses legítimos, y a oponerse en cualquier momento al marketing directo.
• Retiro del consentimiento: a retirar su consentimiento en cualquier momento cuando el consentimiento sea la base, por ejemplo para las cookies de análisis o la lista de espera.
• Reclamación: a presentar una reclamación ante la autoridad de protección de datos de donde usted vive; por ejemplo, el Privacy Commissioner for Personal Data de Hong Kong, la ANPD de Brasil, la Secretaría Anticorrupción y Buen Gobierno de México, el ministerio supervisor según la Ley PDP de Indonesia o el Fiscal General de su estado en los Estados Unidos. Le agradeceríamos la oportunidad de atender su inquietud primero.

Si usted está en EE. UU., Latinoamérica o Indonesia

Estados Unidos. No vendemos sus datos personales ni los compartimos para publicidad conductual entre contextos, así que en ese aspecto no hay nada de qué excluirse; no hacemos publicidad dirigida ni elaboramos perfiles que produzcan efectos jurídicos. Las personas residentes en California pueden ejercer los derechos de saber, eliminar, corregir y limitar a través de la misma dirección que se indica abajo, pueden usar un agente autorizado y nunca recibirán un trato distinto por hacer una solicitud. Las categorías que recopilamos, para qué y quién las recibe son las que se enumeran arriba.

Brasil y Latinoamérica. Según la LGPD, usted también puede pedirnos que confirmemos la existencia del tratamiento, que anonimicemos o bloqueemos los datos tratados innecesariamente y que le digamos con quién hemos compartido sus datos; la lista de encargados de arriba responde lo último. Las solicitudes se envían a la misma dirección; nosotros actuamos como responsable y nuestros encargados actúan siguiendo nuestras instrucciones.

Indonesia. Según la Ley n.º 27 de 2022, usted puede retirar su consentimiento, pedir que sus datos se corrijan o eliminen, oponerse al tratamiento y pedirnos que lo aplacemos o limitemos. Sus datos se tratan fuera de Indonesia, con la base descrita en transferencias internacionales. Nuestro contacto de privacidad, indicado abajo, es el punto de contacto para las solicitudes de los titulares.

Cómo ejercerlos

Escriba a [email protected] desde la dirección de correo de su cuenta, o desde la dirección que dio para la lista de espera. Podemos pedirle información para confirmar su identidad antes de atender una solicitud sobre los datos de una cuenta. Respondemos tan rápido como lo exija el plazo más estricto aplicable: dentro de 15 días para solicitudes según la LGPD de Brasil, dentro de 45 días para solicitudes según las leyes estatales de privacidad de los Estados Unidos (prorrogables una vez por otros 45 días), a partir del 16 de enero de 2027 dentro de 72 horas para solicitudes de acceso, rectificación, supresión y portabilidad según la Ley PDP de Indonesia, y dentro de un mes en los demás casos. Si una solicitud es compleja, se lo informamos antes de que venza el plazo. Las solicitudes son gratuitas, salvo que sean claramente infundadas o excesivas.

Algunas cosas puede hacerlas usted mismo: cambiar su correo, su nombre y su idioma en la configuración de la cuenta, y retirar el consentimiento de análisis desde el aviso de cookies o desde la página de la Política de Cookies.

Cookies y análisis

Usamos un número reducido de cookies estrictamente necesarias para mantener su sesión iniciada y para proteger los formularios contra la falsificación de solicitudes entre sitios. Esas no necesitan consentimiento.

Las cookies de análisis son distintas. PostHog funciona sin cookies de forma predeterminada e instala cookies solo después de que usted lo acepte en el aviso de cookies. En el modo sin cookies, cada visita a una página igual llega a PostHog con los datos técnicos habituales de una solicitud web, como su dirección IP y el tipo de navegador, pero nada vincula una visita con la siguiente. Puede retirar ese consentimiento en cualquier momento desde el aviso o desde la página de la Política de Cookies, que además enumera cada cookie y cada elemento de almacenamiento que usamos y para qué sirve cada uno.

Seguridad

Protegemos los datos personales con medidas adecuadas al riesgo: cifrado en tránsito, contraseñas con hash, controles de acceso limitados a quienes los necesitan, separación de los entornos de producción y de desarrollo, y registro de los accesos administrativos. Ningún sistema es perfectamente seguro; si nos enteramos de una vulneración que ponga en riesgo sus derechos, se lo notificaremos a usted y a la autoridad correspondiente según lo exija la ley.

Menores de edad

Velysaro no está dirigido a menores y no recopilamos a sabiendas datos personales de un menor; en los Estados Unidos eso incluye a cualquier persona menor de 13 años para efectos de la COPPA. Debe tener al menos 18 años para crear una cuenta o unirse a la lista de espera. Si cree que una persona menor de 18 años nos dio datos personales, escriba a [email protected] y los eliminaremos.

Cambios a esta política

Actualizaremos esta política a medida que cambien el producto y la ley. La fecha al pie de esta página indica la versión más reciente. Ante cambios importantes, como una nueva finalidad o una nueva categoría de proveedor, avisaremos a los titulares de cuentas por correo o con un aviso en el producto antes de que el cambio entre en vigor.

Contacto

Preguntas y solicitudes de privacidad: [email protected]. Todo lo demás está en la página de contacto.