Política de privacidad

Esta página explica qué datos personales trata Memuseo, por qué, con qué base jurídica, cuánto tiempo los conservamos y quién puede acceder a ellos. Se aplica a todas las personas que usan el sitio: quienes crean y regalan un museo, quienes lo reciben y los simples visitantes. Recogemos la menor cantidad de datos posible.

Responsable del tratamiento

El responsable del tratamiento es el titular de Memuseo. Para cualquier pregunta sobre tus datos o para ejercer tus derechos, escribe a contact@memuseo.com.

1. Crear tu museo

• Para qué: crear tu museo, guardarlo a medida que lo modificas, mostrártelo en vista previa, entregarlo después del pago y permitirte modificarlo más adelante.
• Base jurídica: la ejecución del contrato y de las medidas precontractuales adoptadas a petición tuya (art. 6.1.b del RGPD).
• Datos: lo que pones en el museo (los nombres, el aspecto de los dos personajes, los títulos, fechas y textos de los recuerdos, el mensaje final y las fotos), la ocasión elegida y el idioma del museo. Las fotos se redimensionan y se vuelven a codificar en cuanto se suben, lo que borra sus metadatos ocultos (ubicación GPS, modelo del dispositivo…). Se guardan en un almacenamiento privado y solo se muestran mediante enlaces firmados de corta duración.
• Tu clave de edición: una clave secreta, guardada en tu navegador y en tu enlace privado de edición, demuestra que el museo es tuyo. Solo conservamos una huella de esa clave, que no se puede revertir.
• Plazo: una creación sin pagar que no se modifica durante 30 días se elimina automáticamente, junto con sus fotos. Un museo comprado permanece en línea 2 años después de la compra y luego se elimina junto con sus fotos. Una foto que quitas de tu museo se borra de nuestros servidores en un plazo de dos días. También puedes eliminar tu museo en cualquier momento desde el editor: la eliminación es inmediata y definitiva.
• Quién tiene acceso: tú, desde el editor; cualquier persona a la que envíes el enlace del museo, una vez pagado; nosotros, para dar soporte o para tramitar una notificación; y nuestros proveedores técnicos, que se indican más abajo. Los museos nunca aparecen en listas, no son públicos y no los indexan los buscadores.

2. Pagar

• Para qué: cobrar el pago y prevenir el fraude. Base jurídica: la ejecución del contrato (art. 6.1.b).
• Cómo: pagas en la página segura de Stripe, nuestro proveedor de pagos. Memuseo nunca recibe los datos de tu tarjeta, solo el resultado del pago, su importe, su moneda, el plan comprado (Esencial, Deluxe o paso a Deluxe) y las referencias del pago en Stripe.
• Prueba de tu consentimiento: cuando marcas la casilla antes de pagar, la fecha en que aceptas la entrega inmediata, que supone la renuncia al derecho de desistimiento, y el idioma del sitio se registran con el pago, en Stripe. Base jurídica: nuestras obligaciones legales (art. 6.1.c).
• Responsables del tratamiento independientes: Stripe también trata algunos datos por su cuenta (prevención del fraude, obligaciones regulatorias), según su propia política de privacidad. Lo mismo ocurre con Apple o Google si pagas con Apple Pay o Google Pay.
• Plazo: los datos del pago (importe, fecha, plan, referencias) se conservan durante el tiempo que exigen nuestras obligaciones contables, en principio 10 años, aunque elimines tu museo. No contienen ni tu dirección de correo electrónico ni el contenido del museo.

3. El correo que recibes

• Después de una compra o de un paso a Deluxe, te enviamos un único correo: el enlace del museo que vas a regalar y tu enlace privado de edición. Base jurídica: la ejecución del contrato.
• Tu dirección de correo electrónico, que introduces en la página de pago de Stripe, solo sirve para este envío, que hace nuestro proveedor Resend desde el dominio mail.memuseo.com. No la guardamos en nuestra base de datos y no te enviamos ni boletines ni publicidad. Stripe la conserva con el pago.

4. Recibir un museo

• Cuando abres un museo que te han regalado, solo sumamos 1 a un contador anónimo del día («se ha abierto un museo»): nada indica qué museo, ni quién lo ha abierto, ni desde dónde.
• Durante tu visita, tu navegador guarda la lista de los recuerdos que ya has descubierto, para que puedas seguir donde lo dejaste si la página se recarga (consulta Cookies y almacenamiento local). Nada de esto se envía a nuestros servidores.

5. Medición de audiencia

Memuseo no usa ninguna herramienta externa de medición de audiencia. Simplemente contamos, día a día, algunos pasos (por ejemplo, «se ha iniciado una vista previa» o «se ha completado un pago») mediante contadores anónimos: sin cookies, sin identificadores, sin direcciones IP, sin nombres, textos ni fotos. Estos contadores nos dicen si el servicio funciona, no quién lo usa. Base jurídica: nuestro interés legítimo en mejorar el servicio (art. 6.1.f).

6. Seguridad y prevención de abusos

• Para qué: proteger el servicio y tus datos (envíos masivos, intentos de abuso, fraude). Base jurídica: nuestro interés legítimo en proteger el servicio (art. 6.1.f).
• Datos: tu dirección IP sirve de clave para unos contadores temporales que limitan el número de solicitudes; se guardan en memoria en nuestro proveedor de alojamiento. Nuestro proveedor de alojamiento también lleva registros técnicos (dirección IP, página solicitada, fecha y hora, navegador).
• Plazo: los contadores se borran solos al cabo de una hora como máximo; los registros técnicos se conservan 30 días como máximo.

7. Escribirnos

Si nos escribes a contact@memuseo.com, usamos tu mensaje y tu dirección para responderte (base jurídica: la ejecución del contrato si tu solicitud tiene que ver con una compra; si no, nuestro interés legítimo en responder a los mensajes que recibimos), y los conservamos el tiempo necesario para tramitar tu solicitud y hacer su seguimiento. Los correos enviados a esta dirección los encamina Cloudflare (Email Routing) hasta un buzón de Gmail (Google), que los aloja, también en Estados Unidos.

Cookies y almacenamiento local

Memuseo no instala ninguna cookie publicitaria ni usa ningún rastreador que requiera tu consentimiento: por eso no ves ningún banner de cookies. Los únicos rastreadores son los que hacen funcionar el sitio, que se indican a continuación. El almacenamiento local de tu navegador (localStorage y sessionStorage) cumple una función parecida a la de las cookies; esta información se queda en tu dispositivo.

• NEXT_LOCALE (cookie): recuerda el idioma que has elegido con el selector de idioma, los enlaces de idioma del pie de página o la sugerencia de idioma. Solo se instala si haces esa elección. Duración: 12 meses.
• memuseo:language-suggestion-dismissed (almacenamiento local): recuerda que has cerrado la sugerencia de idioma, para no volver a mostrártela. Duración: hasta que borres los datos del sitio.
• museum-of-us:draft (almacenamiento local): el identificador de tu creación y su clave secreta de edición, para encontrarla en este dispositivo. Duración: hasta que elimines tu creación o borres los datos del sitio.
• museum-of-us:backup:… (almacenamiento local): una copia de seguridad de la creación en la que estás trabajando (textos y ajustes, no las fotos en sí), para no perder nada si se corta la conexión. Misma duración.
• mou:progress:… (almacenamiento de sesión): durante la visita de un museo que has recibido, los recuerdos que ya has descubierto. Duración: se borra al cerrar la pestaña.
• Stripe: la página de pago la aloja Stripe, que puede instalar en ella sus propias cookies para proteger el pago y prevenir el fraude (política de Stripe). Solo afectan a esa página de pago.

Puedes borrar las cookies y el almacenamiento local del sitio desde los ajustes de tu navegador. En ese caso perderás el idioma elegido y, si no has guardado tu enlace privado de edición, el acceso a tu creación desde este dispositivo.

Lo que Memuseo no hace nunca

Tus contenidos nunca se usan con fines publicitarios, ni se venden o alquilan a terceros, ni se envían a servicios de inteligencia artificial. Memuseo no elabora perfiles ni toma decisiones basadas únicamente en un tratamiento automatizado.

Destinatarios y encargados del tratamiento

Tus datos se comunican a las personas indicadas más arriba y a los proveedores técnicos que figuran a continuación, que los tratan por cuenta nuestra, siguiendo nuestras instrucciones, en el marco de un acuerdo de tratamiento de datos. Además, Stripe trata algunos datos por su cuenta (consulta el punto 2).

• Vercel Inc. — Alojamiento del sitio y de sus funciones, y almacenamiento privado de las fotos (Vercel Blob). Ubicación: empresa estadounidense; el sitio, sus funciones y las fotos se alojan en la región de Fráncfort (Alemania, Unión Europea). Transferencias fuera de la Unión Europea amparadas por: cláusulas contractuales tipo (UE) 2021/914 y EU-US Data Privacy Framework. Acuerdo de tratamiento de datos
• Neon, Inc. — Base de datos (contenido de los museos, pagos, contadores anónimos). Ubicación: Unión Europea, Fráncfort (AWS eu-central-1). Transferencias fuera de la Unión Europea amparadas por: cláusulas contractuales tipo (UE) 2021/914 y EU-US Data Privacy Framework. Acuerdo de tratamiento de datos
• Stripe Payments Europe, Ltd — Pago (ningún dato de tarjeta pasa por nuestro sitio). Ubicación: Irlanda (Unión Europea); el tratamiento puede implicar a Estados Unidos. Transferencias fuera de la Unión Europea amparadas por: cláusulas contractuales tipo (UE) 2021/914 y EU-US Data Privacy Framework. Acuerdo de tratamiento de datos
• Plus Five Five, Inc. (Resend) — Envío del correo de confirmación después de una compra, desde el dominio mail.memuseo.com. Ubicación: Estados Unidos. Transferencias fuera de la Unión Europea amparadas por: cláusulas contractuales tipo (UE) 2021/914 y EU-US Data Privacy Framework. Acuerdo de tratamiento de datos
• Cloudflare, Inc. — Encaminamiento de los correos enviados a nuestra dirección de contacto (Email Routing). Ubicación: Estados Unidos; red mundial. Transferencias fuera de la Unión Europea amparadas por: EU-US Data Privacy Framework y cláusulas contractuales tipo (UE) 2021/914. Acuerdo de tratamiento de datos

Transferencias fuera de la Unión Europea

El sitio, las fotos y la base de datos se alojan en la Unión Europea, en Fráncfort. Sin embargo, varios proveedores son empresas estadounidenses (en particular Vercel, Resend, Stripe y Cloudflare), que pueden tratar datos en Estados Unidos. Estas transferencias están amparadas por las garantías indicadas para cada uno en la lista anterior: la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (EU-US Data Privacy Framework) para las empresas certificadas, y las cláusulas contractuales tipo de la Comisión (Decisión 2021/914). Puedes obtener una copia escribiéndonos.

Tus derechos

• Acceso y portabilidad: obtener una copia de tus datos y recibir los que nos has facilitado en un formato de uso común y de lectura mecánica.
• Rectificación y supresión: corregir datos inexactos o pedir que se borren tus datos.
• Limitación y oposición: pedir que congelemos temporalmente el uso de tus datos, u oponerte a un tratamiento basado en nuestro interés legítimo.
• Instrucciones para después de tu fallecimiento: decidir qué pasa con tus datos después de tu fallecimiento (art. 85 de la ley francesa Informatique et Libertés).

Para ejercer estos derechos, escribe a contact@memuseo.com, a ser posible con el enlace de tu museo o desde la dirección que usaste para pagar, para que podamos comprobar que la solicitud viene de ti. Te respondemos en el plazo de un mes, que puede ampliarse dos meses más si la solicitud es compleja (en ese caso te avisamos).

También puedes, en cualquier momento y sin escribirnos, corregir tu museo o eliminarlo definitivamente desde el editor. Una vez eliminados, el museo, sus fotos y sus textos se borran de nuestros servidores, sin posibilidad de recuperarlos. Solo quedan, sin tu dirección de correo electrónico ni el contenido del museo: en nuestro caso, el registro del pago (importe, fecha, plan), para nuestra contabilidad; en Stripe, los datos de pago que conserva para cumplir sus propias obligaciones legales.

Si consideras que no se respetan tus derechos, puedes presentar una reclamación ante la CNIL (la autoridad francesa de protección de datos) o ante la autoridad de protección de datos de tu país.