Política de Privacidad

1. Responsable y alcance

Esta Política de Privacidad se aplica al sitio web qrealmstudios.com, las páginas del producto Intervals, los formularios de solicitud beta, los flujos de compra y licensing y las interacciones relacionadas con soporte al cliente.

El servicio se opera bajo el nombre comercial QRealm Studios. Para solicitudes de privacidad, puedes contactar en qrealmstudios@qrealmstudios.com.

2. Datos que recogemos

Recogemos únicamente las categorías de información razonablemente necesarias para operar el servicio, procesar compras, emitir licencias, prevenir abusos y dar soporte a los clientes.

• Datos de interacción con la web, como información técnica estándar de la petición y preferencias limitadas de almacenamiento local del navegador usadas para idioma y experiencia de navegación.
• Datos de solicitud beta, incluyendo nombre, email, sistema operativo, rol, experiencia musical, información sobre DAW, motivo de la solicitud y confirmación de consentimiento.
• Datos de compra y licensing, incluyendo email del cliente, nombre del cliente, país, producto y variante comprados, identificadores de pedido y cliente, fecha de compra, estado de reembolso y datos relacionados con el estado de la licencia.
• Datos de la cuenta de Intervals, incluyendo tu nombre de usuario, tu email, si el email está confirmado, las licencias registradas en la cuenta, la versión de los Términos que aceptaste y cuándo, y si aceptaste recibir novedades y desde cuándo. Nunca guardamos tu contraseña: solo conservamos un hash Argon2id con sal, a partir del cual no se puede recuperar. La contraseña solo viaja por conexiones cifradas y se mantiene en memoria el tiempo justo para comprobarla o calcular su hash; nunca se registra en logs.
• Ordenadores con sesión iniciada en tu cuenta, incluyendo un identificador aleatorio creado por la app, un hash irreversible del identificador de máquina del sistema operativo (para reconocer el mismo ordenador, nunca el identificador en sí), el nombre del ordenador, la plataforma, las versiones del sistema operativo y de la app, la edición, cuándo se usó por primera y última vez, y registros de las sesiones.
• Registros de seguridad del inicio de sesión: para limitar los intentos repetidos registramos direcciones IP y los nombres de usuario, emails o claves utilizados, guardados solo como hashes con clave (HMAC con una clave secreta; el de la IP cambia además cada día), de modo que no se pueden convertir de nuevo en los valores originales; y eventos de auditoría como inicios y cierres de sesión, cambios de contraseña o de email, y ordenadores sustituidos al alcanzar el límite de cinco.
• Datos de activación de licencia de versiones antiguas de la app que activan una clave por dispositivo, incluyendo identificador de dispositivo, nombre de dispositivo o instance name, plataforma, versión de la app, eventos de activación, entitlement tokens y registros de validación de licencia.
• Registros de soporte y operación, incluyendo logs de webhooks, registros antifraude e historial de eventos del servicio necesarios para diagnóstico y trazabilidad.

3. Datos almacenados localmente en la app de escritorio

Si eliges «Keep me signed in», la app de escritorio guarda en tu ordenador una sesión de cuenta legible solo por tu usuario: un token de sesión que se sustituye en cada renovación, un entitlement token firmado de duración limitada, tu usuario y tu email, tu edición y funcionalidades, tu elección sobre recibir novedades, y las licencias y el número de ordenadores que muestra la ventana Cuenta. Sin esa opción no se escribe nada en disco y la sesión termina al salir. Las versiones antiguas guardaban en su lugar la clave de licencia introducida; la versión actual borra ese archivo en cuanto la clave queda registrada en una cuenta.

En nuestro backend solemos almacenar una representación hash de la clave de licencia junto con datos de referencia limitados, no la clave en texto plano como parte normal del registro de licencias del servidor.

4. Cómo usamos los datos

• Operar el sitio web público y los flujos de cliente.
• Revisar y responder a solicitudes beta.
• Enviar a los beta testers aceptados novedades sobre el programa beta. Cada comunicación incluye un enlace para darse de baja; darse de baja no afecta a los emails sobre tu propio feedback o recompensa.
• Procesar compras y reembolsos.
• Crear y proteger tu cuenta de Intervals, iniciar y cerrar sesión en ordenadores y enviar los emails de la cuenta (confirmación de email, restablecimiento de contraseña, avisos de seguridad cuando cambian tu contraseña o tu email, y un aviso al comprador cuando una clave se registra en una cuenta con otro email).
• Comprobar las contraseñas nuevas contra filtraciones de datos conocidas (ver «Cesiones y terceros»).
• Enviar novedades y ofertas del producto, solo si lo pediste al registrarte o en Help ▸ Account….
• Emitir, renovar, desactivar y validar licencias.
• Prevenir fraude, abuso, activaciones duplicadas y accesos no autorizados.
• Mantener registros contables, fiscales, legales y de seguridad cuando sea necesario.

5. Bases jurídicas

Dependiendo de dónde te encuentres, normalmente nos apoyamos en una o varias de las siguientes bases:

• Ejecución de un contrato, cuando los datos son necesarios para procesar tu compra, proporcionarte el software, activar tu licencia o responder a soporte ligado a la compra.
• Interés legítimo, cuando los datos son necesarios para la fiabilidad del servicio, la prevención de abuso, el diagnóstico, la seguridad operativa y la administración del producto.
• Consentimiento, cuando envías voluntariamente una solicitud beta, eliges recibir novedades y ofertas, o facilitas información para una finalidad claramente opcional. Puedes retirar el consentimiento en cualquier momento —para las novedades, desmarcando «Email me about Intervals updates and offers» en Help ▸ Account…, con el enlace de baja de cualquiera de esos emails o escribiéndonos— sin que afecte al tratamiento anterior.
• Obligaciones legales, cuando debamos conservar o revelar información por motivos contables, fiscales, antifraude o regulatorios.

6. Cesiones y terceros

No vendemos tus datos personales. Podemos compartir datos limitados con proveedores de servicios solo cuando sea razonablemente necesario para operar el producto o cumplir la ley.

• Lemon Squeezy, para checkout, procesamiento de pagos, gestión de impuestos, operaciones como merchant of record y determinadas acciones relacionadas con reembolsos o antifraude.
• Supabase, que aloja nuestra base de datos (en la Unión Europea, región de Irlanda) y las funciones de servidor de las cuentas de Intervals, la activación de licencias, la gestión de entitlement, los webhooks y los formularios beta.
• Resend, que envía los emails de la cuenta, como la confirmación de email, el restablecimiento de contraseña y los avisos de seguridad.
• Have I Been Pwned (Pwned Passwords): cuando eliges una contraseña, enviamos solo los 5 primeros caracteres de su hash SHA-1 para comprobar si aparece en filtraciones de datos conocidas. No se envía ni tu contraseña, ni su hash completo, ni nada que te identifique.
• Proveedores de email transaccional, como los utilizados para enviar comunicaciones beta o mensajes operativos.
• Proveedores de infraestructura y hosting que soportan la web, la entrega de la app y las operaciones técnicas.
• Autoridades, asesores o terceros legitimados cuando lo exija la ley, una regulación, un requerimiento formal o para proteger derechos, seguridad o integridad.

7. Transferencias internacionales

Nuestra base de datos de cuentas y licencias está alojada en la Unión Europea. Algunos proveedores tienen su sede fuera del Espacio Económico Europeo y pueden acceder a datos o tratarlos allí: Supabase (Singapur, con su grupo en Estados Unidos; alojamiento y soporte), Resend (Estados Unidos; envío de emails) y Lemon Squeezy (Estados Unidos; pagos, como merchant of record). Estas transferencias se basan en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en el acuerdo de tratamiento de datos de cada proveedor y, para los proveedores certificados (como Resend), en la decisión de adecuación del Marco de Privacidad de Datos UE–EE. UU. Puedes pedirnos una copia de las garantías correspondientes en la dirección de contacto indicada abajo.

8. Cookies, almacenamiento local y analítica

La web pública utiliza actualmente almacenamiento local limitado del navegador principalmente para la preferencia de idioma y ciertos ajustes de presentación. A la fecha de entrada en vigor de esta política, no utilizamos intencionadamente cookies publicitarias de terceros ni scripts públicos de analítica comportamental.

Los videos de demostración se insertan desde YouTube en modo de privacidad mejorada (youtube-nocookie.com), por lo que YouTube no instala cookies de seguimiento hasta que reproduces un video. Si lo reproduces, YouTube (Google) puede usar cookies y tecnologías similares según su propia política de privacidad.

Si cambiamos de forma material este enfoque en el futuro, actualizaremos esta política y los flujos de información o consentimiento relacionados cuando sea necesario.

9. Conservación de datos

Conservamos los datos personales únicamente durante el tiempo razonablemente necesario para las finalidades descritas arriba. En la práctica, el plazo depende del tipo de registro y de la necesidad legal u operativa asociada.

• Los registros de compra, impuestos y contabilidad pueden conservarse durante el periodo exigido por la ley.
• Los registros de licensing, activación y prevención de abuso pueden conservarse mientras la licencia siga activa y durante un periodo razonable posterior para soporte, antifraude y auditoría.
• Los datos de la cuenta se conservan mientras exista la cuenta y se borran cuando nos pides eliminarla; las licencias que compraste se mantienen como registro de compra, pero dejan de estar vinculadas a ti.
• Los registros de límite de intentos se borran a los 7 días, los enlaces de confirmación y restablecimiento a los 30 días, las sesiones terminadas y los registros de entitlement 180 días después de terminar, y los eventos de auditoría de licencias a los 24 meses.
• Los registros de solicitudes beta se conservan de forma continuada para gestionar el programa beta. Solo los usamos para contactarte sobre la beta, nunca para comunicaciones ajenas a ella, y los conservamos hasta que nos pidas que los eliminemos (consulta Tus derechos).
• Podemos borrar, anonimizar o minimizar registros cuando ya no sean necesarios.

10. Tus derechos

Tienes derecho a acceder a tus datos personales, rectificarlos y suprimirlos, a limitar el tratamiento u oponerte a él, y a recibir los datos que nos diste en un formato portable. Cuando el tratamiento se base en tu consentimiento, puedes retirarlo en cualquier momento. Respondemos a las solicitudes en el plazo de un mes.

Para ejercer una solicitud de privacidad, escribe a qrealmstudios@qrealmstudios.com e incluye la información suficiente para identificar el registro correspondiente. Podemos pedir información adicional razonablemente necesaria para verificar la solicitud y evitar divulgaciones o borrados no autorizados.

Si consideras que no hemos tratado tus datos conforme a la ley, puedes presentar una reclamación ante la Agencia Española de Protección de Datos o ante la autoridad de control de tu país de residencia.

11. Edad mínima

Debes tener al menos 14 años para crear una cuenta de Intervals o enviar una solicitud beta. No recogemos a sabiendas datos de menores de esa edad; si crees que un menor de 14 años nos ha facilitado datos personales, contáctanos y los borraremos.

12. Seguridad

Aplicamos medidas administrativas, técnicas y organizativas acordes con el tamaño del servicio y el tipo de datos tratados, entre ellas conexiones cifradas, hashes Argon2id con sal para las contraseñas, tokens de sesión guardados como hash, límites a los intentos repetidos de inicio de sesión y una base de datos accesible solo desde nuestras propias funciones de servidor. Ningún sistema puede garantizar seguridad absoluta, pero buscamos minimizar la recogida, limitar accesos y reducir la exposición innecesaria siempre que sea práctico.

Si se produce una brecha de seguridad de los datos personales, la notificamos a la Agencia Española de Protección de Datos en un plazo de 72 horas cuando sea obligatorio, y avisamos sin dilación indebida a las personas afectadas cuando la brecha pueda suponer un alto riesgo para sus derechos.

13. Cambios en esta política

Podemos actualizar esta Política de Privacidad de vez en cuando para reflejar cambios en el producto, en la normativa, en la operativa o en la pila de proveedores. La versión más reciente se publicará en esta página con su fecha de entrada en vigor actualizada.

14. Datos de contacto