Política de privacidad

• Datos de la cuenta: correo electrónico, nombre, hash de la contraseña (gestionado por Supabase Auth, nunca se guarda en texto plano) y foto de perfil si subes una.
• Datos del estudio: nombre del estudio, logotipo opcional, correo opcional para Interac e-Transfer y pregunta/respuesta de seguridad opcional que se usa para recibir pagos.
• Datos de los alumnos: nombre completo, nombre preferido, fecha de nacimiento opcional, instrumento, nivel, tarifa por clase y datos de contacto de los padres que ingresa el maestro. Los alumnos menores de edad no crean sus propias cuentas; consulta Datos de menores más abajo.
• Datos de clases y tareas: horarios programados, asistencia, notas de clase, tareas, piezas asignadas para recitales y seguimiento de preparación para exámenes.
• Archivos subidos: grabaciones de audio de la práctica, grabaciones de video, partituras en PDF y fotos. Se guardan cifrados en reposo en Supabase Storage; el acceso se restringe por alumno mediante políticas de seguridad a nivel de fila.
• Metadatos de pago: montos de las facturas, método de pago (Interac, efectivo, etc.) y notas de confirmación. No guardamos números de tarjetas de crédito. Cuando Stripe está integrado, los datos de la tarjeta van directamente a Stripe y nunca pasan por nuestros servidores.
• Datos de comunicación: mensajes que intercambian maestro y familia dentro de la app.
• Datos del calendario (si conectas Google Calendar): leemos y escribimos eventos en el calendario específico que autorizas. No leemos eventos fuera del periodo de programación de clases y nunca compartimos tu calendario con nadie más.
• Datos técnicos: registros de solicitudes del servidor (dirección IP, agente de usuario, marcas de tiempo) que se conservan por seguridad y para depuración.

• Ningún identificador publicitario, ningún IDFA, ningún píxel de rastreo. No dirigimos anuncios. No incorporamos SDK publicitarios de terceros.
• Ningún dato de ubicación.
• Ni contactos, ni historial de navegación, ni datos de otras apps.
• Ningún dato biométrico. Face ID / Touch ID, si los activas, los gestiona el llavero (Keychain) de iOS y nunca salen del dispositivo.

Para prestar el servicio:

• Autenticarte y mantener tu sesión activa.
• Mostrar a los maestros los datos de sus alumnos y viceversa, delimitados por estudio mediante seguridad a nivel de fila.
• Entregar las grabaciones de práctica al maestro asignado a ese alumno.
• Generar facturas y registrar pagos.
• Enviar mensajes transaccionales (recordatorios de clase, avisos de facturas, anuncios de recitales), siempre y solo a personas inscritas en tu estudio.
• Diagnosticar problemas del servicio usando los registros del servidor.

Los alumnos de música con frecuencia tienen menos de 13 años. Manejamos los datos de menores con cuidado:

• No permitimos que los menores creen cuentas directamente. Solo se registran adultos (maestros o padres/tutores).
• El registro de un alumno lo crea un maestro o un padre en nombre del menor. El inicio de sesión que accede a la parte de la app para alumnos es la cuenta del padre, madre o tutor.
• Los padres/tutores pueden revisar, exportar o eliminar los datos de su hijo en cualquier momento desde Ajustes → Cuenta.
• No usamos a sabiendas los datos de un menor para ningún fin distinto de prestar el servicio de enseñanza solicitado.

• Supabase (base de datos Postgres, autenticación y almacenamiento de archivos). Centros de datos en Estados Unidos y la UE. Elegimos la región más cercana a nuestra base de usuarios; puedes preguntar en qué región están los datos de tu estudio escribiendo a [email protected].
• Google Calendar API (opcional, solo si la conectas). Usamos el alcance mínimo necesario ( calendar.events ). Puedes desconectarla en cualquier momento desde Ajustes → Google Calendar; entonces revocamos nuestro acceso y borramos el token de actualización guardado.
• Fly.io (o el proveedor de hosting que elijamos) para la aplicación web. Sirve el HTML de la app y ejecuta el código del lado del servidor. Solo tiene acceso a los registros del servidor.
• Apple App Store se encarga de la distribución de la app de iOS y (cuando lancemos compras dentro de la app) del procesamiento de pagos.
• Stripe procesa los pagos con tarjeta cuando un maestro conecta una cuenta de Stripe (mediante Stripe Connect Express). El dinero va directamente entre la familia y el maestro; nunca tocamos el dinero ni vemos los números de tarjeta. La política de privacidad de Stripe se aplica a los datos que pasan por su proceso de pago.
• Resend entrega los correos transaccionales de facturas que la app envía a las familias. Solo enviamos la dirección de correo, el asunto y el cuerpo del mensaje. Nunca compartimos datos no relacionados.

La lista consolidada de todos los subencargados del tratamiento está en el Anexo de tratamiento de datos. La información sobre cookies está en el Aviso de cookies y rastreo.

Nunca vendemos, alquilamos ni intercambiamos tu información personal con ningún tercero. No compartimos datos de alumnos con nadie fuera del estudio al que pertenece el alumno.

Conservamos tus datos mientras tu cuenta esté activa. Si eliminas tu cuenta (Ajustes → Cuenta → Eliminar cuenta):

• Hacemos tus datos inaccesibles de inmediato para los demás miembros del estudio.
• Eliminamos tu usuario de autenticación, perfil, notas de clase, grabaciones de práctica, partituras adjuntas, piezas de recital, exámenes, facturas y mensajes en un plazo de 30 días.
• Conservamos registros de facturación agregados y anonimizados con fines fiscales y de auditoría hasta por 7 años, como exige la ley canadiense.

Tienes derecho a:

• Acceder a tus datos: expórtalos desde Ajustes → Cuenta.
• Corregir datos inexactos: edita tu perfil, alumnos y facturas.
• Eliminar tus datos: Ajustes → Cuenta → Eliminar cuenta.
• Retirar tu consentimiento para cualquier uso opcional de los datos.
• Oponerte al tratamiento o limitarlo.
• Portabilidad de datos: solicitar una exportación en formato legible por máquina.
• Presentar una queja ante una autoridad de protección de datos. En Columbia Británica, es la Office of the Information and Privacy Commissioner for BC (Oficina del Comisionado de Información y Privacidad de Columbia Británica). Los residentes de la UE pueden presentar una queja ante su autoridad de control nacional. Los residentes de California tienen derechos adicionales conforme a la CCPA / CPRA, incluido el derecho a excluirse de la «venta» de información personal (nosotros no vendemos).

Usamos prácticas de seguridad modernas: TLS 1.2+ en todo el tráfico, hash de contraseñas con bcrypt (gestionado por Supabase Auth), políticas de seguridad a nivel de fila que limitan cada lectura de la base de datos al usuario que la solicita, URL firmadas para acceder a los objetos almacenados y alcances OAuth mínimos necesarios para cualquier integración de terceros. Ningún sistema es 100% seguro; si una filtración afecta tus datos, te lo notificaremos en un plazo de 72 horas, como exige la ley aplicable.

Tus datos pueden tratarse en países distintos de tu país de residencia, incluido Estados Unidos. Cuando transferimos datos fuera de Canadá o de la UE, nos basamos en Cláusulas Contractuales Tipo (Standard Contractual Clauses, SCC) u otros mecanismos de transferencia legalmente reconocidos.

Podemos actualizar esta política de vez en cuando. Cuando lo hagamos, cambiaremos la fecha de «Última actualización» de arriba y, si los cambios son importantes, te avisaremos dentro de la app. Seguir usando el servicio después de una actualización implica que la aceptas.

¿Preguntas, solicitudes o quejas? Escribe a [email protected]. Procuramos responder en un plazo de 7 días hábiles.

Note & Key · Langley, British Columbia, Canada